هناك الكثير ممن يقيم موقعك بناءً على شهادات SSL وفي الحقيقة بامكان المواقع تركيبها بأقل من 50$
ما هي فوائد الشهادات الرقمية SSL للمستخدم ولأصحاب المواقع وهل هذا يعني انه بامكانك ان تتعامل مع المواقع التي تمتلك هذه الشهاذات وانت مغمض العينين؟
شاركنا رأيك بمعلومات تعرفها عن شهادات SSL او بقصة واجهتك مع مواقع تمتلك هذه الشهادات كمستخدم او كصاحب موقع.
الأمن في ال SSL لا يعني ان الموقع نظيف وامن ، بل من الممكن ان يحتوي الموقع على اكواد خبيثة وبرمجيات ضارة أو ثغرات قابلة للاستغلال وهو يستخدم SSL.
ال SSL تشفر الاتصال بينك وبين السيرفر وبالتالي لا يستطيع احد مشاهدة البيانات المرسلة والمستقبلة ولا حتى تغييرها. هذا يمنع المتصنتين في الشبكة من سرقة بياناتك، ايضاً من خلالها تعرف ان الموقع الذي فتحته هو الموقع الصحيح وليس موقع اخر، لأن الشهادة خرجت بواسطة طرف موثوق.
هذا الطرف الموثوق عندما يستخرج الشهادة للموقع فهو لا يقوم بفحص الموقع من الناحية الأمنية، بل هي اجرائات عادية وارسال بريد وتعبئة معلومات وبالتالي تحصل على الشهادة الرقمية.
لذلك هي ليست لها علاقة بالموقع من ناحية امنية الكود ولا من ناحية امنية التعامل مع بياناتك، مثلاً يتم تخزين كلمات مرورك بشكل clear بدون تشفير، أو بيع معلوماتك لطرف اخر ونشرها.
تركيبها بيتطلب اعادة تكويد صفحات تسجيل الدخول مثلاً (وباقي الصفحات الحساسة) من أجل عملية التشفير؟ كيف لمجرد شهادة وإجراءات عادية أن تغير من آلية ارسال البيانات بين المستخدم والسيرفر؟
لا بتطلب ذلك، بالرغم من انك تستطيع من داخل الكود ان تعرف ان الrequest الذي اتي HTTP وتقوم بعمل Redirect الى HTTPS، لكن من الأفضل جعل المهمه للويب سيرفر، وعمل اعدادات الشهادة فيه، وهي تختلف من ويب سيرفر للآخر.
والذي يحصل ان المتصفح هو الذي سوف يقوم بعملية التشفير للداتا المرسلة من الكلاينت الى السيرفر من خلال مفتاح السيرفر الموجود في الشهادة والذي يتم الحصول بواسطة المتصفح عند اول طلب للموقع. وبنفس الفكرة يتم فك الداتا القادمة من جهة السيرفر.
شهادة SSL هي ببساطة شهادة تؤكد أنّ بياناتك فعلا محمية من قبل التجسس من قبل الحكومات
حيث المعلومات كلها يتم تشفيرها. بعض المواقع تستخدم هذا التشفير ولكن لا تملك الشهادة، والمواقع التي تملك الشهادة تملك التشفير وتفعله بشكل كامل
وهل هناك مواقع غير آمنة تمتلك هذه الشهادات؟
نعم هناك مواقع تمتلك هذه الشهادات تم اختراقها ورفعوا عليها صفحات مزورة ...
ماذا عن امان هذه المواقع للمستخدم حيث ان المستخدم يقيم هذه المواقع بناءً على الشهادة قبل ان يتعامل معها؟
بالنسبة لك كشخص تقني، لكن بالنسبة لشخص عادي ، سيجد في الفايفوكس SSL SAFE! وسيستخدمه مغمض العينين
بما ان معظم المستخدمين عم اشخاص غير تقنيين هذا يعني ان أصحاب مواقع قد تشتري الشهادات حتى تدخل السوق بوقت اسرع ويجلبوا انتباة المستخدمين.
هل هذا يعني انها اصبحت شهادات وهمية مثل بعض شهادات الجودة التي تشتريها بعض الشركات؟
نعم لها فوائد جمه
السبب :
فهي تمنع (هجوم الرجل في الوسط = man on middle attack) و هو هجوج شبكي يعتمد على أخذ مُدْخل مُستخدم الموقع عبر الشبكة و معرفته ثم ينتقل المُدْخل بعد ذلك إلي الموقع كمثال : (رقم الـ credit card) فمعلومة كهذه خطيرة جداً
ما تفعله الشهادات
تشفير البيانات المدخلة من قبل المستخدم قبل إرسالها عبر الشبكة ثم عندما تصل إلي الموقع يتم فك تشفير هذه المعلومات و التعامل معها .
العلة في الموضوع
إن هذا يعتمد كلياً على نوع التشفير المُستخَدم ، اي إذا لم يكن امن فلا فائدة من هذه الشهادة
سأجيب على شقى سؤالك وابدأ بهل تقييم المواقع بناء على شهادات SSL
الإجابة : نعم ، مؤخرا أعلنت جوجل اعتمادها على شهادة SSl كأحد عوامل تقييم المواقع .
الجزء الثانى هل هناك مواقع غير امنة تمتلك هذه الشهادات ؟!
سأعيد صياغة السؤال والاجابة عن هذا الجزء وهو هل كل المواقع التى تمتلك SSL امنة ؟!
الإجابة : لا
فمعنى SSL أن كل الاتصالات بينك وبين الموقع تتم عبر قناة مؤمنة ، ولا يعنى ذلك فحص محتويات الموقع .
لذا من الممكن أن يكون الموقع غير امن ويمتلك شهادة SSL .
فلسفيا : المواقع الغير امنة والتى تمتلك SSL أمر غير موجود أو نادر وذلك بسبب فلسفة تحقيق الارباح عن طريق النصب على مستخدميه ، لذا فهو لا يريد الإنفاق نظرا لان استثماره غير امن فى الاساس .
لا اعتقد ان هذه الشهادات كافية للوثوق في الموقع، ببساطة اذا اردت انا ان انصب وووو ... لن امانع ان ادفع ولو 1000$ للشهادة .. للنصب لاني سابقى الرابح !
التعليقات