كيف يعمل HTTPS وTLS حقًا: دليل عملي

تكتب عنوان URL وتضغط Enter، فتتحمّل الصفحة. تخبرك أيقونة القفل أن الاتصال آمن، لكن ماذا يحدث فعليًا بين متصفحك والخادم؟ إذا كنت مطورًا، فإن فهم HTTPS وTLS ليس مجرد أمر أكاديمي—بل يؤثر على كيفية تكوين الخوادم وتصحيح أخطاء الاتصال وحماية بيانات المستخدمين.

يفصّل هذا الدليل مصافحة TLS وطبقات التشفير والتحقق من الشهادات بعبارات بسيطة. سترى كيف يعمل HTTPS حقًا وستحصل على نصائح عملية لمشاريعك الخاصة.

ما هو HTTPS وTLS فعليًا

HTTPS هو HTTP فوق TLS. TLS (أمان طبقة النقل) هو البروتوكول التشفيري الذي يشفر البيانات أثناء النقل. عند زيارة عنوان URL يستخدم HTTPS، يقوم متصفحك والخادم بإجراء مصافحة TLS للاتفاق على مفاتيح التشفير قبل تبادل أي بيانات HTTP.

حل TLS محل SSL (طبقة المقابس الآمنة) منذ سنوات، لكن المصطلحات غالبًا ما تُستخدم بالتبادل. تدعم المتصفحات الحديثة TLS 1.2 وTLS 1.3؛ الإصدارات الأقدم مهملة بسبب ثغرات معروفة.

مصافحة TLS: خطوة بخطوة

تنشئ المصافحة قناة آمنة. إليك ما يحدث في مصافحة TLS 1.2 النموذجية (TLS 1.3 يبسّط هذا أكثر):

1. Client Hello: يرسل المتصفح قائمة بمجموعات التشفير المدعومة وإصدارات TLS وقيمة عشوائية (client random).
2. Server Hello: يختار الخادم مجموعة تشفير، ويرسل قيمته العشوائية الخاصة (server random)، ويقدم شهادة SSL/TLS الخاصة به.
3. التحقق من الشهادة: يتحقق المتصفح من الشهادة مقابل سلطات الشهادات الجذرية الموثوقة، ويتحقق من اسم النطاق، ويفحص تاريخ انتهاء الصلاحية.
4. تبادل المفاتيح: باستخدام المفتاح العام للشهادة، يقوم العميل بتشفير سر أولي (pre-master secret) ويرسله إلى الخادم. يستخلص الطرفان نفس مفاتيح الجلسة.
5. Finished: يرسل الطرفان رسالة Finished مشفرة بمفاتيح الجلسة الجديدة، مما يؤكد نجاح المصافحة.

في TLS 1.3، تُختصر المصافحة إلى رحلة ذهاب وعودة واحدة (1-RTT) وتدعم استئناف 0-RTT للاتصالات المتكررة، مما يحسّن زمن الاستجابة.

التشفير: متماثل وغير متماثل

يستخدم TLS كلا النوعين من التشفير:

• التشفير غير المتماثل (مثل RSA، ECDHE) يُستخدم أثناء المصافحة لتبادل المفاتيح بأمان. إنه بطيء لكنه يحل مشكلة توزيع المفاتيح.
• التشفير المتماثل (مثل AES-GCM، ChaCha20-Poly1305) يُستخدم لنقل البيانات بكميات كبيرة بعد المصافحة. إنه سريع وفعّال.

مفاتيح الجلسة المستخلصة أثناء المصافحة هي مفاتيح متماثلة. تضمن أنه حتى لو التقط شخص ما حركة المرور المشفرة، فلن يتمكن من فك تشفيرها بدون المفاتيح.

التحقق من الشهادات: الثقة ولكن التحقق

تُصدر الشهادات من قبل سلطات الشهادات (CAs). تأتي المتصفحات وأنظمة التشغيل بقائمة من سلطات الشهادات الجذرية الموثوقة. عندما يقدم الخادم شهادة، يتحقق المتصفح من:

• أن الشهادة موقعة من سلطة شهادة موثوقة (مباشرة أو عبر سلطة وسيطة).
• أن اسم نطاق الشهادة يطابق المضيف المطلوب.
• أن الشهادة ضمن فترة صلاحيتها.
• أن الشهادة لم يتم إلغاؤها (عبر CRL أو OCSP).

إذا فشل أي فحص، يعرض المتصفح تحذيرًا. كمطور، يمكنك استخدام أدوات مثل openssl s_client لفحص الشهادات وتصحيح مشكلات السلسلة.

أخطاء تكوين TLS الشائعة وكيفية إصلاحها

استخدم فاحصات SSL عبر الإنترنت أو أدوات سطر الأوامر لتدقيق تكوينك بانتظام.

نصائح عملية للمطورين

• فعّل HSTS: أضف رأس Strict-Transport-Security لإجبار المتصفحات على استخدام HTTPS للزيارات المستقبلية.
• استخدم TLS 1.3: إنه أسرع وأكثر أمانًا. تدعمه معظم الخوادم الحديثة؛ قم بتكوين خادمك لتفضيله.
• أتمت إدارة الشهادات: أدوات مثل Certbot يمكنها الحصول على الشهادات وتجديدها تلقائيًا.
• اختبر باستخدام openssl: شغّل openssl s_client -connect example.com:443 -servername example.com لفحص المصافحة وسلسلة الشهادات.

إليك مقتطف تكوين سريع لـ Nginx لتمكين إعدادات TLS الحديثة:

server {
    listen 443 ssl http2;
    server_name example.com;

    ssl_certificate /etc/letsencrypt/live/example.com/fullchain.pem;
    ssl_certificate_key /etc/letsencrypt/live/example.com/privkey.pem;

    ssl_protocols TLSv1.2 TLSv1.3;
    ssl_ciphers 'ECDHE-ECDSA-AES128-GCM-SHA256:ECDHE-RSA-AES128-GCM-SHA256';
    ssl_prefer_server_ciphers off;

    add_header Strict-Transport-Security "max-age=63072000" always;
}

يمكّن هذا التكوين TLS 1.2 و1.3، ويستخدم تشفيرات قوية، ويضبط HSTS.

الأسئلة الشائعة

ما الفرق بين HTTPS وTLS؟

HTTPS هو HTTP فوق TLS. TLS هو البروتوكول الذي يوفر التشفير والمصادقة. لذا HTTPS هو النسخة الآمنة من HTTP، مدعومة بـ TLS.

كيف تنشئ مصافحة TLS مفتاحًا مشتركًا؟

يستخدم العميل والخادم التشفير غير المتماثل (مثل ECDHE) للاتفاق على سر مشترك دون إرساله مباشرة. ثم يستخلصان مفاتيح جلسة متماثلة من هذا السر لتشفير البيانات.

لماذا تنتهي صلاحية الشهادات؟

يحد الانتهاء من الضرر إذا تم اختراق مفتاح خاص ويشجع على أتمتة التجديد. الشهادات قصيرة العمر هي ممارسة أمان أفضل.

هل أنت مستعد لفحص إعداد TLS الخاص بك؟ استخدم محلل سجلات Nginx من TryQuickToolBox لاكتشاف أخطاء TLS وفشل المصافحة في سجلات خادمك.