كيف يعمل HTTPS و TLS حقًا: دليل عملي

لماذا HTTPS مهم

في كل مرة تزور فيها موقعًا إلكترونيًا، فإنك تثق بأن الاتصال خاص وأن الموقع هو من يدّعي أنه عليه. HTTPS (بروتوكول نقل النص التشعبي الآمن) هو البروتوكول الذي يجعل ذلك ممكنًا عبر وضع HTTP فوق TLS (أمن طبقة النقل). بدونه، ستنتقل كلمات المرور وأرقام بطاقات الائتمان والبيانات الشخصية كنص عادي، مما يسهل اعتراضها من قبل أي شخص على نفس الشبكة.

في هذا الدليل، سنشرح كيف يعمل HTTPS و TLS فعليًا — بدءًا من المصافحة التي تنشئ قناة آمنة إلى التشفير الذي يحمي بياناتك. سترى المفاهيم الأساسية والخطوات المتضمنة ونصائح عملية لضمان تأمين مواقعك بشكل صحيح.

مصافحة TLS: بناء الثقة

قبل تبادل أي بيانات، يقوم العميل (المتصفح) والخادم بإجراء مصافحة TLS. تُصادق هذه العملية على الخادم وتتفاوض على خوارزميات التشفير وتولّد مفاتيح الجلسة. تختلف الخطوات الدقيقة بين إصدارات TLS، لكن الأفكار الأساسية متشابهة.

خطوة بخطوة: مصافحة TLS 1.2

1. Client Hello: يرسل العميل رسالة تحتوي على إصدارات TLS المدعومة ومجموعات التشفير وقيمة عشوائية (Client Random).
2. Server Hello: يستجيب الخادم بإصدار TLS المختار ومجموعة التشفير وقيمة عشوائية (Server Random) وشهادته الرقمية.
3. التحقق من الشهادة: يتحقق العميل من الشهادة مقابل جهات إصدار الشهادات الموثوقة (CAs) ويتحقق من هوية الخادم.
4. تبادل المفاتيح: باستخدام خوارزميات مثل ECDHE، يحسب الطرفان سرًا أوليًا مشتركًا دون إرساله مباشرة.
5. مفاتيح الجلسة: يستخلص الجانبان مفاتيح جلسة متطابقة من السر الأولي والقيم العشوائية.
6. Finished: يرسل كل جانب MAC لتأكيد سلامة المصافحة؛ يبدأ الاتصال المشفر.

يبسّط TLS 1.3 هذا إلى رحلة ذهاب وإياب واحدة (1-RTT) ويدعم حتى استئناف 0-RTT للاتصالات المتكررة، مما يقلل زمن الوصول بشكل كبير.

التشفير: متماثل وغير متماثل

يستخدم TLS كلاً من التشفير غير المتماثل والمتماثل. يُستخدم التشفير غير المتماثل (المفتاح العام) أثناء المصافحة لتبادل المفاتيح بأمان. بمجرد إنشاء مفاتيح الجلسة، يتولى التشفير المتماثل (مثل AES أو ChaCha20) نقل البيانات الضخمة لأنه أسرع بكثير.

تستخدم مجموعات التشفير الحديثة التشفير الموثق مع البيانات المرتبطة (AEAD)، مثل AES-GCM أو ChaCha20-Poly1305، والتي توفر السرية والسلامة في خطوة واحدة.

الشهادات وسلاسل الثقة

تربط الشهادة الرقمية مفتاحًا عامًا بهوية (مثل اسم نطاق) ويتم توقيعها من قبل جهة إصدار الشهادات (CA). تأتي المتصفحات وأنظمة التشغيل مع مخزن لجهات إصدار الشهادات الجذرية الموثوقة. عندما يقدم الخادم شهادته، يتحقق العميل من:

• أن الشهادة موقعة من جهة إصدار شهادات موثوقة (مباشرة أو عبر جهة وسيطة).
• أن الشهادة ضمن فترة صلاحيتها.
• أن اسم النطاق يطابق الاسم البديل للموضوع (SAN) في الشهادة.
• أن الشهادة لم يتم إبطالها (عبر OCSP أو CRL).

إذا فشل أي فحص، يعرض المتصفح تحذيرًا. توفر Let's Encrypt وجهات إصدار أخرى شهادات مجانية، مما يجعل HTTPS متاحًا للجميع.

أخطاء شائعة في تكوين TLS

حتى مع تمكين HTTPS، يمكن أن تؤدي التكوينات الخاطئة إلى إضعاف الأمان. احترس من:

• البروتوكولات القديمة: عطّل TLS 1.0 و 1.1؛ فضّل TLS 1.2 أو 1.3.
• مجموعات التشفير الضعيفة: تجنب RC4 أو DES أو التشفير من فئة التصدير.
• غياب HSTS: أضف رأس Strict-Transport-Security لمنع هجمات التخفيض.
• عدم تطابق الشهادات: تأكد من أن الشهادات تغطي جميع النطاقات الفرعية ويتم تجديدها قبل انتهاء صلاحيتها.

اختبار إعداد HTTPS الخاص بك

استخدم أدوات عبر الإنترنت مثل SSL Test من SSL Labs لتقييم تكوينك. استهدف الحصول على A أو A+ من خلال تمكين TLS 1.3 واستخدام تشفير قوي وتنفيذ HSTS. راقب انتهاء صلاحية الشهادة بانتظام — وأتمت التجديد باستخدام عملاء ACME مثل Certbot.

الأسئلة الشائعة

ما الفرق بين HTTPS و TLS؟

HTTPS هو HTTP فوق TLS. TLS هو البروتوكول التشفيري الذي يوفر التشفير والمصادقة والسلامة. HTTPS هو النسخة الآمنة من HTTP التي تستخدم TLS.

كيف يحسن TLS 1.3 الأداء؟

يقلل TLS 1.3 المصافحة إلى رحلة ذهاب وإياب واحدة (1-RTT) ويدعم استئناف 0-RTT، مما يقلل زمن الوصول. كما يزيل الخوارزميات القديمة، مما يبسط التكوين.

هل أحتاج إلى شهادة منفصلة لكل نطاق فرعي؟

يمكنك استخدام شهادة بطاقة بدل (wildcard) لـ *.example.com أو شهادة متعددة النطاقات (SAN) لتغطية أسماء مضيفين متعددة. تقدم Let's Encrypt كلا الخيارين مجانًا.

هل أنت مستعد لفحص حركة TLS الخاصة بك؟ استخدم محلل سجلات Nginx الخاص بنا لتحليل سجلات الوصول واكتشاف الأنماط المشبوهة أو مصافحات TLS الفاشلة.