عندما تتصل بموقع عبر HTTPS، كيف تعرف أن المفتاح العام الذي وصلك يخص البنك فعلاً وليس مهاجماً في المنتصف؟ الإجابة هي PKI اختصار لـ Public Key Infrastructure، أي البنية التحتية للمفتاح العام، وعنصرها الأساسي هو الشهادة الرقمية (Digital Certificate).
ما هي الشهادة الرقمية؟
هي ملف بصيغة معيارية تسمى X.509 يحتوي على: اسم صاحبها (مثل النطاق في حقل Subject Alternative Name)، ومفتاحه العام، وتاريخي بداية ونهاية الصلاحية، والجهة المصدرة، واستخدامات المفتاح، وتوقيعاً رقمياً من الجهة المصدرة يثبت صحة كل ما سبق.
مكونات PKI
- Root CA: جهة الإصدار الجذرية، وشهاداتها مدمجة مسبقاً في أنظمة التشغيل والمتصفحات كجهات موثوقة، ومفاتيحها تُحفظ عادة دون اتصال بالشبكة.
- Intermediate CA: جهة وسيطة موقّعة من الجذر، وهي التي تصدر الشهادات للمواقع فعلياً.
- Registration Authority: تتحقق من هوية طالب الشهادة.
- آليات الإلغاء: قوائم CRL أو بروتوكول OCSP لإبطال الشهادات المسروقة قبل انتهائها.
كيف يتم إصدار شهادة لموقع؟
- يُنشئ صاحب الموقع زوج مفاتيح ويحتفظ بالمفتاح الخاص سراً على السيرفر.
- يرسل طلب توقيع شهادة CSR يحتوي المفتاح العام واسم النطاق.
- تتحقق الجهة من ملكية النطاق، ثم توقّع الشهادة وتعيدها.
- يثبّت صاحب الموقع الشهادة مع الشهادات الوسيطة (Chain).
وقد جعلت Let’s Encrypt هذه العملية مجانية وآلية بالكامل عبر بروتوكول ACME. ويتجه القطاع إلى تقصير صلاحية الشهادات تدريجياً لتصل إلى 47 يوماً بحلول 2029 وفق قرار CA/Browser Forum، مما يجعل التجديد الآلي ضرورة لا رفاهية.
مثال واقعي: اختراق DigiNotar
في 2011 اختُرقت جهة الإصدار الهولندية DigiNotar، وأصدر المهاجمون شهادات مزيفة لنطاقات كبرى منها Google، واستُخدمت لاعتراض اتصالات مستخدمين. أزالت المتصفحات ثقتها بالجهة وأفلست الشركة بعدها بوقت قصير. الدرس: منظومة PKI كلها تقوم على أمان جهات الإصدار.
استخدامات داخل الشركات
تبني كثير من المؤسسات CA داخلية مثل Active Directory Certificate Services لإصدار شهادات لمصادقة 802.1X على الشبكات، و VPN، وتوقيع الكود، والبريد الآمن S/MIME، وواجهات إدارة أجهزة الشبكة.
الفرق بين الشهادة الموقعة ذاتياً والموقعة من CA
الشهادة Self-Signed تشفّر الاتصال لكنها لا تثبت الهوية لأنه لا يوجد طرف ثالث موثوق وقّعها، لذا يظهر تحذير في المتصفح. وتُقبل فقط في المختبرات أو حين يُثبَّت المفتاح العام مسبقاً على الأجهزة.
