الأرشيف الشهري: مايو 2017

مفاهيم مغلوطة في بروتوكول HTTPS

مرحبا مرة أخري, قبل البدأ في هذه التدوينة أود الاعتذار عن عدم الكتابة في مدونتي العربية عن المواضيع الخاصة بأمن المعلومات وذلك لأن المواضيع التي اكتب عنها عادة ما تكون بها معلومات تستلزم قراءة متخصص في الموضوع وفي المدونة العربية لا اجد كمية التفاعل التي اجدها في مدونتي باللغة الانجليزية على أي حال موضوع اليوم يهم المستخدم الغير تقني لمحاولة تصحيح بعض المفاهيم الخاصة ببروتوكول HTTPS .. قبل البدأ في الموضوع سأحاول تقسيم التدوينة للحديث اولا عن ماهو البروتوكول الى ان اصل إلى مغزى التدوينة وذلك لأني افترض انك لاتعلم أي شيء عن هذا البروتكول

على بركة الله نبدأ,  في الوقت الحالي أو بمعنى أصح عندما بدأ استخدام شبكة الانترنت ولدت الحاجة لاستخدام بروتوكول لتصفح الصفحات الخاصة بالويب ليتمكن المستخدم العادي من استخدام المتصفح في هذه العملية, فوجدوا انه يجب استحداث بروتوكول(طريقة) لتتمكن الخوادم(servers) من معالجة الطلب (Request) ومن ثم تحميل الصفحة للمستخدم وهذا بالفعل ماحدث فالان عند طلب اي موقع عبر شبكة الانترنت نستخدم هذا البروتوكول مثال: http://almorabea.net  وأغلب الاحيان لايستلزم كتابتها من قبلنا لأن المتصفح سيضيفها على أي حال من غير تدخل من المستخدم .. فهذا البروتوكول هو الذي يرسل لطلب صفحات الانترنت.

لكن بعد فترة من الوقت أكتشف الخبراء التقنين ان هذا البروتكول غير آمن !! مامعنى غير آمن ؟ بمعنى أن الطلب الذي يرسل (Request) يمكن لأي شخص يقع في منتصف الطريق ان يعترضه ويرى محتوى الصفحة او البيانات المرسلة من خلاله وقائمة الاشخاص الذين يمكن اعتراض الاتصال كبيرة تبدأ من مقدم الخدمة الخاص بك ومقدم الخدمة الخاص بالسيرفر ولاتنسى جارك الذي يعتبر نفسه هاكر واعترض شبكتك بالفعل يمكنني ترك التدوينة الان والحديث عن قائمة الاشخاص الذين يمكنهم اعتراض الاتصال لكني لا اعتقد اني سأقوم بذلك الان حفاظا على صحتك :D .. خلاصة الكلام ان هذا البروتكول غير امن لتصفح البيانات المهمة مثل بريدك او حساباتك في مواقع التواصل او البنك الخاص بك  ولذلك اتت الحاجة الى استخدام بروتكول امن ومن هنا استحدثوا بروتكون HTTPS وتم زيادة حرف S  وذلك تعني Secure .. وطريقة عمل البروتكول كالتالي قبل البدأ بتحميل الموقع الذي طلبته يتم انشاء اتصال مشفر بينك وبين الموقع وبالتالي جميع البيانات المرسلة من قبلك او المستقبلة من الموقع تكون مشفرة بطريقة معينة (لا أريد أن ادخلك بالتفاصيل الخاصة بالتشفير) ..وبالتالي تكون بياناتك نوعا ما بأمان ..

الان وصلت لأهم جزء في التدوينة:

اذا وصلت هنا فالحمد لله على تحملك لدرس التاريخ السابق لكن دائما أريد ان تكون مدرك لجميع التفاصيل في حالة سألك صديقك عن البروتوكول يمكنك تقمص شخصية الخبير في البروتكولات كحال أغلب المتخصصين بأمن المعلومات العرب :D .. رجوعا الى التدوينة ورجاء خاص حاول استيعاب الجزء القادم لأنه اهم جزء ..

استخدامك لبروتكول HTTPS لايعني انك امن 100% في الحقيقة لايجب ان تتصرف على انك امن بصورة كاملة دائما ضع في اعتبارك ان هناك خطأ ما .. بروتكول HTTPS يمكن اعتراضه اذا كان هناك شخص ما على الشبكة الخاصة بك عن طريق وضع شهادة مزورة, وهنالك العديد من الطرق لكن هذا لايعني ان لا تستخدمه بل يجب على استخدام وتحويل جميع المواقع إلى HTTPS ..

بروتوكول HTTPS مصمم ليضمن لك ان اتصالك مع الموقع الذي طلبته صحيح بمعنى اذا ذهبت إلى https://emample.com ستجد أن الشريط الذي يوجد به الرابط تحول إلى secured كالصورة التالية

لكن هذا لايضمن لك أن الموقع آمن من أي ثغرات أمنية هذا يضمن لك فقط أن اتصالك مع الموقع مشفر وهذا خطأ شائع. أغلب الناس يظنون أنه اذا وجد علامة القفل(secured) يظنون أن الموقع امن 100% وهذا خطأ

في الوقت الحالي ظهرت بعض الاخطار مثل علامة (secured) تعني أن الموقع تم التعرف عليه لكن لايعني بالضرورة أنك بالفعل في المكان الصحيح بمعنى انك اذا طلبت موقع almorabea.net وتم وضع علامة secured لايعني انك بالفعل في almorabea.net ربما تم توجيهك الى موقع اخر مثلا example.com  وتم التلاعب بمعلومات dns ولكن هذه العملية تطلب جهد لتغييرها فلا تقلق منها في الوقت الحالي لكن فقط للعلم بالشيء..

الخلاصة:

ليس مغزى التدوينة هو تخويفك أو جعلك تستغني عن هذا البروتكول انما هي لارشادك وتوعيتك بما يدور حولك من أخطار فليس من المنطقي أن تحدث هذه التغيرات وأنت كما أنت لاتعلم عنها أي شيء .. أكرر دائما عند طلبك لأي موقع تأكد أن الموقع يخدم لك عبر بروتكول HTTPS لتضمن تشفير اتصالك مع الموقع الذي طلبته وهنالك عدة اضافات ممكن اضافتها على متصفحك ليتم توجيهك تلقائيا إلى النسخة المشفرة من الموقع  مثل اضافة  HTTPS Everywhere تجدها على متصفح كروم و فايرفوكس.