SSL (طبقة المقابس الآمنة) هي بروتوكول الشبكات الذي يؤمن الاتصالات بين عملاء الويب و خوادم الويب عبر الشبكات الداخلية أو الإنترنت عن طريق تشفير البيانات المرسلة بين هؤلاء العملاء والخوادم.
لماذا تعتبر طبقة المقابس الآمنة (SSL) مهمة؟
يكمن جزء من أهمية SSL في حقيقة أنه كان أول بروتوكول شبكة يستخدم على نطاق واسع ويتم تنفيذه على نطاق واسع لتمكينه بشكل مشفر الاتصالات الآمنة بين أنظمة العميل والخادم. يستخدم SSL المفتاح العام و مفتاح خاص التشفير ووظائف التشفير الأخرى لتأمين الاتصالات بين الأجهزة التي تتصل عبر شبكة تكب / إب شبكة. يمكن لـ SSL خلط نص واضح (نص عادي) تم إدخالها على موقع ويب باستخدام التشفير غير المتماثل وتشفير المفتاح العام. إنها مجرد إحدى الطرق التي يتم من خلالها إنشاء البنية التحتية للمفتاح العام (البنية التحتية للمفاتيح العمومية) يتم استخدامه من قبل الشركات الحديثة.
تم استخدام SSL بشكل أساسي لتأمين الاتصالات بين عملاء الويب وخوادم الويب لتأمين الاتصالات بينهم ولضمان خصوصيتهم. بدون SSL، يمكن اعتراض البيانات المرسلة من وإلى موقع الويب وقراءتها بسهولة.
المصادقة يعد استخدامًا مهمًا آخر لـ SSL. ومن خلال مصادقة جهازين متصلين، تؤكد طبقة المقابس الآمنة (SSL) أن الأجهزة هي كما تدعي، وبالتالي ضمان سلامة البيانات والاتصالات. وعلى هذا النحو، تعمل تقنية SSL على تسهيل المعاملات الآمنة بين المستهلكين والشركات، مما ساعد على وضع الأساس للتجارة الإلكترونية.
بالإضافة إلى تأمين اتصالات الإنترنت، يتم استخدام SSL أيضًا لمصادقة وتشفير التطبيقات على الشبكة طبقة النقل التابع نموذج ربط الأنظمة المفتوحة. موقع البروتوكول بين طبقة التطبيق وتضمن طبقة TCP/IP إرسال بيانات التطبيق بشكل آمن إلى طبقة النقل، بينما تسمح أيضًا لتطبيقات العميل والخادم باكتشاف المخاطر الأمنية، مثل التلاعب بالاتصالات أو التزوير أو الاعتراض.
لماذا يتم استخدام SSL؟
أصبحت طبقة المقابس الآمنة (SSL) جزءًا أساسيًا من أمان الإنترنت بسبب المشكلات المتعلقة بها HTTP، الإطار المستخدم لربط عملاء الويب بخوادم الويب. يستخدم HTTP الشبكات العامة ويفتقر إلى التشفير، مما يجعله عرضة لأنواع كثيرة من الهجمات الإلكترونية. يمكن للجهات الفاعلة الضارة قراءة أو استخراج الأسماء والعناوين وأرقام بطاقات الائتمان وغيرها بسهولة معلومات التعريف الشخصية يتم إرسالها إلى موقع ويب باستخدام HTTP.
لمعالجة نقاط الضعف هذه، استخدم HTTP عبر SSL (HTTPS)، المعروف أيضًا باسم HTTP الآمن، ظهر كـ خليفة HTTP الأكثر أمانًا. تعرض معظم مواقع الويب اليوم البادئة HTTPS في بداية عنوان الويب الخاص بها. يشير الحرف “s” للزائر إلى أن الموقع يستخدم طبقة المقابس الآمنة (SSL) – أو، بشكل أكثر شيوعًا، خليفته الأكثر أمانًا، Transport Layer Security (TLS) – لتأمين الاتصالات وتشفير البيانات وتسهيل المصادقة والحفاظ على خصوصية المستخدم. يعد استخدام HTTPS أمرًا شائعًا بشكل خاص مع مواقع الويب المتعلقة بالخدمات المصرفية والتجارة الإلكترونية وأنواع أخرى من المعاملات المالية.
الخطوات المتبعة في عملية SSL
لفهم الخطوات المتضمنة في عملية SSL، ضع في اعتبارك الإجراءات التي تنفذها شركة تجارة إلكترونية تسمى العلامة التجارية أ:
- الاتصال الأولي. عندما يقوم العميل بتسجيل الدخول إلى موقع الويب الخاص بالعلامة التجارية أ، يشير متصفح الويب الخاص بالمستخدم إلى خادم العلامة التجارية أ بأن المستخدم يريد إنشاء اتصال خاص. هذا الاتصال الأولي، المعروف باسم أ مصافحة، يبدأ عندما يقوم متصفح المستخدم أولاً بالاستعلام عن الخادم الأصلي لموقع الويب. بعد تلقي هذا الإشعار من المتصفح، يرسل خادم الويب الخاص بالعلامة التجارية أ عبره شهادة SSL، والذي يتضمن مفتاحه العام.
- مصادقة الشهادة. كجزء من عملية المصافحة الأولية، يقدم خادم العلامة التجارية أ شهادة SSL الخاصة به لمصادقة نفسه للعميل. وفي هذه الحالة، هذا هو متصفح الويب الخاص بالعميل. شهادات الخادم تتبع شهادة X.509 التنسيق المحدد بواسطة معايير تشفير المفتاح العام. يقوم متصفح الويب بتحليل الشهادة للتحقق من أن العميل يتفاعل مع الخادم المقصود. يتم استخدام تشفير المفتاح العام للتحقق من صحة الشهادة الرقمية وللتحقق من أن الخادم هو ما يدعي أنه. تثق معظم متصفحات الويب ضمنيًا بشهادات SSL التي تم إصدارها بواسطة مرجع مصدق (كاليفورنيا) كوسيلة لتسريع العملية.
- تشفير الرسائل. بمجرد قيام المتصفح أو العميل بمصادقة خادم الويب وشهادته، فإنه يقوم بتشفير رسالة المستخدم باستخدام المفتاح العام للعلامة التجارية أ. يتم بعد ذلك إرسال الرسالة إلى خادم العلامة التجارية أ.
- فك تشفير الرسالة. يقوم خادم العلامة التجارية أ بفك تشفير الرسالة باستخدام مفتاحه الخاص. تتضمن الرسالة مفتاح جلسة متماثل لإنشاء مصافحة ثنائية الاتجاه بين الكيانين.
- إعدادات التشفير ومفتاح التشفير المشترك. بمجرد مصادقة الخادم، يتم إنشاء العميل وخادم العلامة التجارية أ التشفير الإعدادات ومفتاح مشترك لتشفير المعلومات التي يتبادلونها خلال الفترة المتبقية من الجلسة. وهذا يوفر سرية البيانات وسلامتها، وتكون العملية غير مرئية للعميل. على سبيل المثال، إذا كانت صفحة الويب تتطلب اتصال SSL، يتغير عنوان URL من HTTP إلى HTTPS، ويظهر رمز القفل في المتصفح بمجرد مصادقة الخادم.
- مصادقة العميل. تسمح المصافحة أيضًا للعميل بمصادقة نفسه على الخادم. في هذه الحالة، بعد اكتمال مصادقة الخادم، يجب على العميل تقديم شهادته إلى الخادم لمصادقة هوية العميل قبل إنشاء جلسة SSL المشفرة.
أهمية شهادات SSL
لكي تقوم الشركة بتنفيذ بروتوكول SSL على موقعها الإلكتروني، تبدأ العملية بالحصول على شهادة SSL صالحة من مرجع مصدق موثوق به. الغرض من شهادة SSL هو إعلام المستخدم ومتصفح الويب الخاص به بأنهم يتفاعلون مع خادم الويب المطلوب وليس محتالًا.
لنفترض أن العلامة التجارية (أ) تريد إطلاق موقع ويب آمن حيث يمكن للمستخدمين طلب منتجاتها بأمان دون المخاطرة بسرقة معلوماتهم الحساسة، مثل أرقام بطاقات الائتمان، من قبل المتسللين أو مجرمي الإنترنت. لتأمين موقعها، تستخدم العلامة التجارية “أ” طبقة المقابس الآمنة (SSL) على موقع الويب من خلال التنسيق مع مرجع مصدق حسن السمعة والحصول على شهادة SSL من المرجع المصدق.
شهادة SSL، وهي نوع محدد من شهادة رقمية، يتضمن المعلومات التالية:
- الشخص أو المؤسسة أو الجهاز الذي تم إصدار الشهادة له – في هذه الحالة، العلامة التجارية أ.
- بصمة إبهام الشهادة، وهي عبارة عن تجزئة لجميع بيانات الشهادة وتوقيعها.
- يتم استخدام إصدار SSL أو TLS.
- اسم المجال تم إصداره تحت، على سبيل المثال، www.brandA.com.
- أي النطاقات الفرعية المرتبطة.
- اسم CA المصدر.
- التوقيع الرقمي لـ CA.
- تاريخ إصدار الشهادة وانتهاء صلاحيتها.
- المفتاح العام – متاح لأي مستخدم.
- المفتاح الخاص المرتبط الذي يظل سريًا.
تؤكد الشهادة لعملاء العلامة التجارية “أ” أن العلامة التجارية “أ” تمتلك المجال المحدد الخاص بها حيث تجري معاملات التجارة الإلكترونية. كما أنه يتحقق من سمعة العلامة التجارية “أ” من خلال الرجوع إلى تفاصيل CA الخاصة بشهادة SSL. يتيح ذلك للعميل ومتصفح الويب الخاص به معرفة أنه يمكن الوثوق بالموقع وأنه يمكنهم إجراء معاملاتهم بأمان دون خوف من سرقة معلوماتهم أو هويتهم. عادةً ما تعرض مواقع الويب المحمية باستخدام SSL – أو TLS الذي يخلفها – رمز قفل بجوار نطاق الويب. محركات البحث قم بتصنيف هذه المواقع في مرتبة أعلى في صفحات النتائج الخاصة بها بناءً على أمان المستخدم الإضافي.
أنواع شهادات SSL
هناك ثلاثة أنواع رئيسية من شهادات SSL التي يمكن للشركات الحصول عليها من CA. هذه هي التحقق الموسع (EV SSL)، والتحقق من صحة المنظمة (OV SSL)، والتحقق من صحة المجال (DV SSL). مستويات التشفير هي نفسها لجميع الأنواع الثلاثة، ولكن تختلف العمليات المستخدمة للتحقق من المتقدمين للحصول على الشهادات:
- EV SSL التحقق من وجود وهوية الجهة المقدمة للطلب وحقها في استخدام النطاق الذي تتقدم بموجبه. مطلوب مجموعة من المستندات التكميلية، بالإضافة إلى فحوصات الخلفية، للحصول على EV SSL. قد يستغرق الأمر خمسة أيام عمل أو أكثر للحصول على هذه الشهادة.
- OV SSL يتحقق من حق مقدم الطلب في استخدام النطاق ويقوم ببعض التدقيق للمنظمة. قد يستغرق الحصول عليها من يومين إلى خمسة أيام.
- DV SSL التحقق من الشخص الذي يقدم طلب الشهادة. لم يتم التحقق من معلومات الشركة. يتطلب فقط تأكيد الطلب عبر البريد الإلكتروني أو الإنترنت. يمكن الحصول عليها في غضون ساعات قليلة.
SSL والمفاتيح العامة/الخاصة
تعد البنية التحتية للمفاتيح العامة (PKI) للتشفير عنصرًا مهمًا في بروتوكول SSL. تعتبر مفاتيح الأمان العامة والخاصة المستخدمة فريدة ومرتبطة رياضيًا. كما أن استخدام هذين المفتاحين يجعل طريقة التشفير هذه غير متماثل. يتم تشفير المعلومات المرسلة من جهاز إلى آخر باستخدام المفتاح العام لمنع اعتراضها أو قراءتها من قبل أطراف غير مصرح بها، مثل المتسللين. ببساطة، يعمل المفتاح العام والمفتاح الخاص كمشفر وأداة فك التشفير، على التوالي. في الأساس، يعمل النظام كباب لا يمكن قفله إلا بمفتاح عام وفتحه بمفتاح خاص.
لفك تشفير المعلومات المشفرة، يحتاج الجهاز المتلقي إلى المفتاح الخاص. بدون هذا المفتاح، لا يمكن فك تشفير المعلومات المشفرة باستخدام المفتاح العام. يمكن للمفتاح الخاص فقط فك تشفير البيانات التي تم تشفيرها بواسطة المفتاح العام. حصل المفتاح العام على اسمه لأنه يتم توزيعه بشكل عام. ومع ذلك، فإن فائدته لا تذكر دون الوصول إلى المفتاح الخاص. يتم الاحتفاظ بالمفتاح الخاص سرًا بواسطة خادم الويب المرتبط بموقع ويب معين من أجل تأمين الاتصالات بين خادم الويب وعملاء الويب المختلفين.
SSL مقابل TLS
تم تحديد SSL في الأصل في التسعينيات كبروتوكول خاص تم تمكينه نتسكيب عملاء المتصفح الذين يستخدمون HTTP للتواصل بشكل آمن مع خوادم الويب Netscape. على الرغم من أن الإصدار 1.0 من SSL لم يتم إطلاقه مطلقًا، إلا أن الإصدار 2.0 ظهر لأول مرة في عام 1995. فرقة عمل هندسة الإنترنت استحوذت على بروتوكول SSL لتوحيده من خلال عملية مفتوحة. تم إصدار الإصدار 3.1 من SSL كـ TLS 1.0. تم تغيير الاسم لتجنب المشكلات القانونية المحتملة مع Netscape.
في حين أن TLS وSSL غير قابلين للتشغيل المتبادل، فإن إصدارات TLS حتى 1.2 كانت قابلة للتشغيل المتبادل متوافق مع الإصدارات السابقة مع SSL 3.0. ومع ذلك، تمت إزالة التوافق مع الإصدارات السابقة مع SSL من TLS 1.3، الإصدار الحالي من TLS الذي تم نشره في عام 2018.
ركزت العديد من الهجمات ضد SSL على مشكلات تنفيذ SSL. ومع ذلك، القلطي تعد الثغرة الأمنية (Padding Oracle On Downgraded Legacy Encryption) عيبًا معروفًا في بروتوكول SSL 3.0 نفسه. يستغل POODLE الطريقة التي يتجاهل بها SSL بايتات الحشو عند التشغيل تسلسل كتلة التشفير وضع. يسمح هذا الخلل للمهاجم بفك تشفير المعلومات الحساسة، مثل المصادقة ملفات تعريف الارتباط. TLS 1.0 ليس عرضة لهذا الهجوم لأنه يحدد أن جميع بايتات الحشو يجب أن يكون لها نفس القيمة ويجب التحقق منها.
الاختلافات الرئيسية الأخرى بين SSL وTLS التي تجعل TLS بروتوكولًا أكثر أمانًا وفعالية هي مصادقة الرسائل، وإنشاء المواد الأساسية ومجموعات التشفير المدعومة، مع دعم TLS للخوارزميات الأحدث والأكثر أمانًا.
إن SSL وTLS هما مجرد جزء واحد من الصورة الأكبر لأمن الشبكة. تعرف على المزيد حول أمان الشبكة في موقعنا الدليل النهائي لنموذج أمان الثقة المعدومة.
