هل تستخدم الانترنت؟ ماهي شهادات TLS/SSL والمواقع الآمنة! (للمستخدم العادي) .

مصطلحات علي كل متعامل مع الانترنت ضرورة الألمام بها لاننا نستخدمها يومياً والمعرفة بها تثقف صاحبها امنياً وتحميه من الكثير من المخاطر.
عندما تدخل الي موقع معين وعند كتابة www على شريط العنوان تجد أن المستعرض قد اضاف كلمة جديده ربما تكون http او https بحسب كل موقع!! باختصار فأن المواقع التي تحتوي علي http عادة لاتستخدم آلية آمنة لنقل البيانات بين جهاز المستخدم والسيرفر، أي ان عدم وجود حرف الs كما يبدو أعلاه فلاتدخل أي اسم مستخدم او كلمة مرور او بيانات شخصية للموقع، ليس هذا معناه ان الموقع سيئ طبعا لا!! ولكن معناه أن البيانات التي تدخل للموقع سترسل اليه غير مشفرة وبالتالي بامكان اي مخترق يتنصت علي الأتصال سرقة أسم المستخدم وكلمة المرور او اي بيانات حساسة أخري هذا بالاضافة طبعاً لان حرف ال s يضمن ان الموقع يمتلك شهادة توثيق وهو معروف ومضمون، وسنتحدث لاخقا عن انواع الشهادات.

ماهي شهادات SSL?

حاليا خلصنا لان المواقع المضمونه تلك التي تحتوي https اذن السؤال من اين اتت ال s هذه؟؟
ببساطة ترمز لأن الموقع يستخدم بروتوكول SSL/ TLS وهو عبارة عن بروتوكول لاجراء وضمان عملية التحقق هي عملية ادخال اسم المستخدم وكلمة المرور بالأضافة للتشفير.

اذن ف ssl هي آلية التشفير والتامين التي تستخدم في التعامل مع بيانات المستخدمين المرسلة للمواقع.
اذن ماهي شهادة ssl؟
ببساطة هو مستند رقمي أو ملف يربط بين بيانات الموقع الرسمية وبين مفتاحي التشفير وهما مفتاحان رقميان يستخدم أحدهم وهو العام في التشفير والاخر هو الخاص في فك التشفير.
المفتاح العام يكون مع الشهادة ويرسل لمستعرض المستخدم حتي يتم أستخدامه في تشفير البيانات التي يرسلها المستخدم، وبمجرد وصول البيانات الي السيرفر يتم أستخدام المفتاح الخاص لفك التشفير.
ايضا تستخدم ssl كم ذكرنا سابقا في تاكيد معلومات الموقع بالاضافة لبيانات مالك للموقع وبيانات اخري بحسب نوع الشهادة.

واذا تم اصدار الشهادة من أحد مصدري الشهادات العالميين مثل ssl. com و verisign و comodo وغيرهم فان بباناتهم تكون عادة موجودة بمستعرضات الانترنت حيث يتم التعرف علي البياتات من قبل المستعرض ويتم اظهار القفل الاخضر لتاكيد ضمان الشهادة لمعرفة مصدرها.
اما اذا كانت الشهادة مصدرة محلياً من السيرفر فقط وهو نوع بسيط من الشهادات يسمي self sign certifcate فلايتعرف مستعرض المستخدم علي مصدر الشهادة ويظهر تحذيراً بأن الموقع غير مؤمن او مصدر الشهادة غير معروف وبامكانك طبعا في هذه الحالة اذا كنت تضمن الموقع ان تحفظ الشهادة ليتم تشفير البيانات المرسلة او بامكانك مغادرة الموقع.

اذن هل من الضروري علي اي موقع يستخدم شهادة ان يكون مستخدم عنوان انترنت حقيقي IP
في البداية كان وجود عنوان أنترنت ثابت ضروري لاستخدام الشهادات لكن الان مع تقنية
Server name indication SNI بات بامكان استخدام الشهادات حتي اذا كان مخدمك او موقعك يستخدم عنوان انترنت مشترك shared كما نشاهد في مواقع الاستضافة المشتركة.

أما عملية طلب الشهادة فتتكون من ٣ خطوات.
اولا يتم انشاء المفتاحان العام والخاص بالسيرفر وتجهيز بيانات الشركة.
بعدها يتم انشاء طلب اصدار الشهادة certificate signing request وتستخدم هنا بيانان هما
معلومات الدومين او الشركة مع المفتاح العام.
ثالثا يتم ارسال ال csr الي أحد الجهات المعتمدة في اصدار وضمان الشهادات مثل verisign و comodo و sll
الشركة تستلم الطلب وتتحقق من المعلومات وتقوم باصدار الشهادة وبعد استلامها بامكانك تثبيتها علي مخدم الانترنت ليتم ارسالها عند فتح الصفحة او الموقع من قبل المستخدم.

اذن ماهي انواع الشهادات التي احتاجيها بموقعي؟

الاولي خاصة بتاكيد محتويات الدومين والتشفير طبعا وتسمي
DV domain validation
وهي بسيطة ورخيصة وسهلة.، لكن اذا كنت تود تامين جميع العناوين الفرعية subdomains للموقع فتحتاج شرا شهادة dv بميزة wildcard وعادة تكلفتها أعلي قليلاً.

النوع الثاني شهادة
OV Organization Validation
وهي تضم ايضاً بيانات المؤسسة بالشهادة والتاكد من وجودها وتسجيلها.

ونوع آخر وهو EV extended validation
وهي تخص مواقع التجارة الالكترونية وتمتلك مميزات أعلي مثل معدل تشفير اعلي وبيانات اكثر دقة عن الشركة والمالك وغيرها وتكلفة اعلي من مثيلاتها.

الموضوع ييحتوي علي تفاصيل كثيرة وددت اختصارها وتبسيطها ليسهل فهمها، اما اذا كانت لاتزال معقدة لديك فالسطر القادم يختصر الموضوع :

كمستخدم أنترنت عادي يهمنا وجود حرف ال s كما ذكرنا في البداية ويضمن لنا تشفير بياناتنا المرسلة لعدم سرقتها بالاضافة لضمان الموقع الذي ندخله.

المصادر :

https://www.websecurity.digicert.com/security-topics/what-is-ssl-tls-https

https://www.cloudflare.com/learning/ssl/what-is-ssl/

اترك تعليقاً

لن يتم نشر عنوان بريدك الإلكتروني.

سبعة + أربعة عشر =

هذا الموقع يستخدم Akismet للحدّ من التعليقات المزعجة والغير مرغوبة. تعرّف على كيفية معالجة بيانات تعليقك.