HTTPS والشهادات: ماذا تثبته أيقونة القفل وما لا تثبته

أشار الدرس الأول إلى أن عناوين https:// تستخدم التشفير. يتفحّص هذا الدرس عن قرب كيفية إعداد ذلك التشفير، وما الذي تضمنه أيقونة القفل في متصفحك فعليًا، وأين يتوقف ضمانها.

TLS: البروتوكول الذي يقف خلف أيقونة القفل

HTTPS هو بروتوكول الويب العادي، HTTP، يعمل داخل أمان طبقة النقل (TLS)، وهو بروتوكول نُشر لأول مرة عام 1999 وبات الآن في إصداره 1.3. يلخّص مركز تعلّم Cloudflare ما يحققه TLS في ثلاثة أجزاء: التشفير، الذي يخفي البيانات عن أي شخص آخر على الشبكة؛ والمصادقة (authentication)، التي تتحقق من أنك تتحدث فعلًا إلى الخادم الذي تظن أنك تتحدث إليه؛ والسلامة (integrity)، التي تكشف ما إذا كانت البيانات قد عُدِّلت أثناء النقل. قبل تبادل أي محتوى، يجري جهاز Mac والخادم «مصافحة TLS» (TLS handshake): يتفقان على إصدار من TLS، ويتفقان على الطرق التشفيرية التي سيستخدمانها، ويولّدان المفاتيح التي ستشفّر بقية الجلسة.

ما الذي تثبته الشهادة فعليًا

لكي تعني تلك المصافحة شيئًا، يحتاج متصفحك إلى إثبات أن المفتاح العام للخادم يخص فعلًا الموقع الذي كتبته. ذلك الإثبات هو شهادة TLS. وفقًا لـ Cloudflare، تجمع الشهادة اسم النطاق، والمفتاح العام، وتاريخ انتهاء الصلاحية، والتوقيع الرقمي لمن أصدرها: هيئة إصدار شهادات (certificate authority، أو CA)، وهي منظمة يثق بها متصفحك ونظام تشغيلك مسبقًا. تصف Let’s Encrypt، وهي هيئة إصدار شهادات مجانية وواسعة الاستخدام، العملية بوضوح: قبل أن تصدر شهادة، يتحقق برنامجها من أن الطالب يتحكم فعلًا في النطاق، مثلًا بأن يطلب منه نشر ملف محدد على ذلك الموقع أو سجل DNS محدد. ولا توقّع شهادة إلا بعد هذا التحقق.

يهم هذا لأنه يحدد حدود ما تثبته الشهادة القياسية. فهي تثبت أن من طلبها يتحكم في اسم النطاق في تلك اللحظة. لكنها لا تدقّق في الجهة التجارية التي تقف خلف الموقع، ولا تتحقق من نزاهة مشغّله، ولا تَعِد بأن المحتوى آمن. يمكن لأي شخص، بمن في ذلك محتال، تسجيل نطاق والحصول على شهادة صالحة له في دقائق.

قراءة أيقونة القفل بشكل صحيح

يطرح دليل الدفاع الذاتي في المراقبة من مؤسسة الحدود الإلكترونية (EFF) النقطة الجوهرية مباشرة: «مجرد استخدام خدمة ما لـ HTTPS لا يعني أن تلك الخدمة تحمي خصوصية مستخدميها بالكامل.» يحمي HTTPS القناة؛ ولا يقول شيئًا عمّا تفعله الوجهة بما يصلها عبرها. ويشير الدليل نفسه إلى أن HTTPS يخفي عن المتنصتين على الشبكة الصفحة التي زرتها في موقع ما، لكن الموقع نفسه لا يزال يستقبل كل ما تكتبه — عمليات البحث، والرسائل، وبيانات تسجيل الدخول — بوضوح تام، لأنه الطرف الآخر للاتصال المشفَّر، لا مراقبًا له.

الشهادات الموقّعة ذاتيًا والمنتهية الصلاحية

توضح Cloudflare أيضًا ما يحدث دون هيئة إصدار شهادات موثوقة: يمكن لأي شخص توليد شهادة «موقّعة ذاتيًا» خاصة به، لكن المتصفحات لا تملك هيئة خارجية للتحقق منها، لذا تصنّف مثل هذه المواقع بأنها غير آمنة أو ترفض تحميلها كليًا. وتُنتج شهادة منتهية الصلاحية تحذيرًا مماثلًا. لا يعني أي من التحذيرين بالضرورة أن هجومًا يحدث، لكنه يعني أن المتصفح لا يستطيع حاليًا التحقق من هوية من يتحدث إليه، وهو بالضبط التحقق الذي صُمِّم TLS لتوفيره.