التشفير وPKI وإدارة المفاتيح

التشفير وPKI وإدارة المفاتيح

يختار المصمم أداة التشفير بعد تحديد الهدف. التشفير المتماثل يستخدم المفتاح نفسه للتشفير وفك التشفير، وهو مناسب لحماية حجم كبير من البيانات بسرعة، لكن توزيع المفتاح يصبح تحديًا. التشفير غير المتماثل يستخدم مفتاحًا عامًا وآخر خاصًا؛ يمكن تشفير مادة قصيرة بالمفتاح العام أو التحقق من توقيع بالمفتاح العام، لكنه أبطأ ولذلك لا يشفر جلسة طويلة وحده عادة. في TLS يجمع النظام الطريقتين: تستخدم الشهادة والمفاتيح غير المتماثلة لإثبات هوية الخادم والمساهمة في إنشاء سر جلسة، ثم تحمي خوارزمية متماثلة حركة الجلسة. التجزئة ليست تشفيرًا؛ تنتج قيمة ثابتة الطول للتحقق من تغير البيانات ولا يفترض أن تعيد النص الأصلي. إذا نشر المورد قيمة SHA-256 لملف، يحسب المستلم القيمة محليًا ويقارنها، لكن المقارنة لا تثبت هوية المورد إذا حصل المهاجم على الملف وصفحة القيمة معًا. توقيع القيمة بمفتاح خاص موثوق يضيف إثبات المنشأ. أما كلمات المرور فلا تحفظ بتجزئة سريعة وحدها؛ تستخدم دالة اشتقاق بملح فريد وكلفة مناسبة حتى يصبح التخمين واسع النطاق أصعب. اختيار الخوارزمية لا ينفصل عن طول المفتاح ووضع التشغيل وتوليد العشوائية وإدارة المفاتيح؛ اسم قوي مع مفتاح مكشوف لا يوفر حماية حقيقية.

البنية التحتية للمفاتيح العامة تربط هوية بمفتاح عام عبر شهادة موقعة من جهة تصديق. عند اتصال العميل بخادم، لا يكفي أن تكون الشهادة «صالحة زمنيًا». يتحقق العميل من تطابق اسم المضيف، وسلسلة الثقة إلى جذر موثوق، وفترة الصلاحية، والاستخدام المسموح للمفتاح، وحالة الإبطال عند توفرها. الشهادة ذاتية التوقيع قد تشفر الاتصال، لكنها لا تمنح عميلًا جديدًا سببًا مستقلًا للثقة ما لم توزع بصمتها أو جذرها بقناة موثوقة. طلب توقيع الشهادة يحتوي المفتاح العام والهوية المطلوبة، ويبقى المفتاح الخاص لدى صاحبه. إذا خرج المفتاح الخاص من الجهاز أثناء إنشاء الطلب فقد تستطيع جهة أخرى انتحال الخادم حتى لو أصدرت الشهادة بطريقة صحيحة. لذلك تُولد المفاتيح الحساسة داخل HSM أو مخزن أسرار مناسب، وتحدد صلاحيات استخدامها لا مجرد قراءتها. الإبطال يعالج مفتاحًا مخترقًا أو شهادة لم تعد صالحة قبل تاريخ انتهائها، بينما التجديد الدوري يقلل مدة التعرض لكنه لا يعوض غياب خطة إبطال. ويجب مراقبة انتهاء الشهادات؛ توقف خدمة بسبب شهادة منتهية إخفاق توافر سببه تشغيلي، لا ضعف رياضي في الخوارزمية.

حالة محلولة: تحتاج واجهة دفع إلى سرية النقل، وسلامة الطلب، وإثبات هوية الخادم. يثبت الفريق شهادة TLS باسم المضيف من جهة موثوقة، ويمنع الإصدارات والخوارزميات القديمة وفق توافق العملاء الموثق. يحتفظ المفتاح الخاص في مخزن مفاتيح غير قابل للتصدير، ويمنح عملية الخادم حق استخدامه فقط. بعد النشر يفحص عميل مستقل السلسلة والاسم والتواريخ والخوارزمية، ثم يرسل طلبًا تجريبيًا ويتأكد أن محتواه غير ظاهر في التقاط الشبكة وأن الاستجابة لم تتغير. لإثبات سلامة ملف تسوية يُنشئ النظام تجزئة ثم يوقعها بمفتاح توقيع منفصل؛ يتحقق المستلم من التوقيع والشهادة قبل قبول الملف. لا يستخدم الفريق مفتاح TLS نفسه لكل الأغراض، لأن الفصل يقلل أثر الاختراق ويسمح بإبطال غرض دون تعطيل الآخر. توثق الخطة مالك كل مفتاح، ومكانه، وتاريخ إنشائه، ودورانه، ونسخته الاحتياطية إن كانت السياسة تسمح، وإجراء الإبطال والاستعادة. اختبار الاستعادة ينفذ على نسخة مشفرة من مادة اختبار، لا على ادعاء أن النسخة الاحتياطية موجودة. وإذا فقد مفتاح تشفير بيانات بلا نسخة مصرح بها، تصبح البيانات غير قابلة للاستعادة؛ هذه خاصية أمنية يجب أن تدخل قرار التصميم قبل الإنتاج.

دورة حياة المفتاح تبدأ بالتوليد من مصدر عشوائية مناسب، ثم التخزين والتوزيع والاستخدام والدوران والإبطال والإتلاف. لكل مرحلة تهديد مختلف. إرسال مفتاح متماثل بالبريد يهزم سرية التوزيع، ونسخ المفتاح الخاص إلى أجهزة متعددة يزيد سطح السرقة، وحذف شهادة منتهية دون الاحتفاظ بسجلها قد يعرقل التحقق من توقيعات قديمة. يفصل الفريق مفاتيح التشفير عن التوقيع، ويمنح الخدمة إذن استخدام داخل HSM بدل تصدير المادة. يختبر الدوران بإنشاء مفتاح جديد، نشر معرفه، إبقاء القديم لفك البيانات ضمن مدة محددة، ثم إعادة تشفير أو إتلاف آمن. خطة التسوية عند الاشتباه تحدد الإبطال واستبدال الشهادة والبحث عن استخدام غير مشروع. التجزئة أو الشهادة ليست «دليل أمان» منفردًا؛ الدليل هو تحقق ناجح ضمن سلسلة ثقة وحماية مفتاح وخوارزمية وسياسة استخدام مناسبة.

في تدوير مفتاح التوقيع، توقيع اليوم يستخدم المفتاح الجديد لكن التحقق من مستند قديم قد يحتاج سلسلة الشهادة السابقة وبيانات الإبطال التاريخية. لا تحتفظ بالمفتاح الخاص القديم قابلًا للتوقيع لمجرد هذا الغرض. افصل حفظ مادة التحقق العامة عن السماح بإنشاء توقيع جديد، وحدد مدة حفظ السجلات بحسب حاجة العمل.