اثنان من العقبات التي يواجهها المطوّرون عند الانتقال إلى بروتوكول HTTPS هي المفاهيم والمصطلحات. يقدّم هذا الدليل لمحة موجزة عن كليهما.
ملخّص
- تم استخدام مفاتيح عامة أو خاصة لتوقيع الرسائل وفك تشفيرها بين المتصفِّح والخادم.
- مرجع التصديق (CA) هو مؤسسة تضمن التعيين بين المفاتيح العامة وأسماء نظام أسماء النطاقات العامة (مثل "www.foobar.com").
- طلب توقيع الشهادة (CSR) هو تنسيق بيانات يجمع مفتاحًا عامًا مع بعض البيانات الوصفية حول الكيان الذي يملك المفتاح.
ما هما مفتاحَا التشفير العام والخاص؟
زوج المفاتيح العام/الخاص هو زوج من الأرقام الكبيرة جدًا التي تُستخدم كمفاتيح تشفير وفك التشفير، وتتشارك علاقة رياضية خاصة. ويُعد نظام تشفير RSA من الأنظمة الشائعة لأزواج المفاتيح. يتم استخدام المفتاح العام لتشفير الرسائل، ولا يمكن فك تشفير الرسائل إلا باستخدام المفتاح الخاص المقابل لها. يعلن خادم الويب عن مفتاحه العام للعالم، ويستخدم العملاء (مثل متصفحات الويب) ذلك لتمهيد قناة آمنة على الخادم.
ما هو مصدر الشهادة؟
هيئة إصدار الشهادات (CA) هي مؤسسة تضمن التعيين بين المفاتيح العامة وأسماء نظام أسماء النطاقات العامة (مثل "www.foobar.com"). على سبيل المثال، كيف يعرف العميل ما إذا كان مفتاحًا عامًا معيّنًا هو المفتاح العام الصحيح لموقع www.foobar.com؟ في البداية، ليست هناك طريقة لمعرفة ذلك. يؤكّد مرجع التصديق على أنّ مفتاحًا معيّنًا هو المفتاح الحقيقي لموقع إلكتروني معيّن، وذلك باستخدام مفتاحه الخاص من أجل التوقيع على المفتاح العام للموقع الإلكتروني. تزوير هذا التوقيع حساب غير ممكن. تحتفظ المتصفحات (والبرامج الأخرى) بمتاجر الثقة التي تحتوي على المفاتيح العامة التي تمتلكها مراجع التصديق المعروفة، وتستخدم هذه المفاتيح العامة للتحقق من صحة توقيعات مرجع التصديق.
شهادة X.509 هي تنسيق بيانات يجمع مفتاحًا عامًا مع بعض البيانات الوصفية حول الكيان الذي يملك المفتاح. في حالة الويب، يكون مالك المفتاح هو عامل تشغيل الموقع، والبيانات الوصفية المهمة هي اسم نظام أسماء النطاقات لخادم الويب. عندما يتصل عميل بخادم ويب HTTPS، يقدّم خادم الويب شهادته للعميل ليتحقق منها. يتحقّق العميل من أنّ صلاحية الشهادة لم تنتهِ صلاحيتها، وأنّ اسم نظام أسماء النطاقات يتطابق مع اسم الخادم الذي يحاول العميل الاتصال به، وأنّ مرجع تصديق معروف لإرساء الثقة قد وقّع الشهادة. وفي معظم الحالات، لا توقّع مراجع التصديق شهادات خادم الويب مباشرةً، وعادةً ما توجد سلسلة من الشهادات تربط مراسي الثقة بالموقّع أو الموقِّعين الوسيطين، وأخيرًا بالشهادة الخاصة بخادم الويب (الكيان النهائي).
ما المقصود بطلب توقيع الشهادة؟
طلب توقيع الشهادة (CSR) هو تنسيق بيانات يضمّ، مثل الشهادة، مفتاحًا عامًا مع بعض البيانات الوصفية حول الكيان الذي يملك المفتاح. على الرغم من ذلك، لا يفسر العملاء CSR. عندما تطلب الحصول على ضمانة CA للمفتاح العام لخادم الويب، ترسل CSR إلى مرجع التصديق. يتحقق مرجع التصديق من المعلومات الواردة في CSR ويستخدمها لإنشاء شهادة. يرسل المرجع المصدق بعد ذلك الشهادة النهائية، وتثبت هذه الشهادة (أو، على الأرجح، سلسلة شهادات) ومفتاحك الخاص على خادم الويب.