كيف يعمل HTTPS وTLS حقًا: شرح المصافحة

تكتب عنوان URL، وتضغط Enter، فيظهر قفل. لكن ما الذي يحدث فعليًا بين متصفحك والخادم لجعل هذا الاتصال آمنًا؟ يعتبر العديد من المطورين HTTPS صندوقًا أسود—حتى يحدث خطأ ما، مثل خطأ في الشهادة أو مشكلة في الأداء. يرفع هذا المقال الستار عن TLS، البروتوكول الذي يقف خلف HTTPS، ويشرح المصافحة بعبارات بسيطة.

ما هو HTTPS حقًا

HTTPS هو ببساطة HTTP فوق TLS (أمان طبقة النقل). يوفر TLS ثلاث ضمانات:

• السرية – يتم تشفير البيانات بحيث لا يمكن للمتنصتين قراءتها.
• السلامة – لا يمكن تعديل البيانات أثناء النقل دون اكتشاف.
• المصادقة – أنت تتحدث إلى الخادم الحقيقي، وليس إلى محتال.

بدون TLS، يرسل HTTP كل شيء بنص واضح: كلمات المرور وملفات تعريف الارتباط وبيانات النماذج تكون مرئية لأي شخص على مسار الشبكة.

مصافحة TLS بعبارات بسيطة

المصافحة هي التفاوض الذي يحدث قبل إرسال أي بيانات تطبيق. هدفها: الاتفاق على خوارزميات التشفير، والتحقق من هوية الخادم، وإنشاء مفاتيح سرية مشتركة. إليك التدفق لـ TLS 1.3، المعيار الحديث:

1. Client Hello – يرسل المتصفح قائمة بمجموعات التشفير المدعومة، وقيمة عشوائية، وحصته الرئيسية (لتبادل المفاتيح).
2. Server Hello – يختار الخادم مجموعة تشفير، ويرسل قيمته العشوائية وحصته الرئيسية، ويقدم سلسلة شهاداته.
3. التحقق من الشهادة – يتحقق المتصفح من الشهادة مقابل سلطات الشهادات الجذرية الموثوقة، ويتحقق من اسم النطاق، ويفحص تاريخ الانتهاء.
4. اشتقاق المفتاح – يحسب الطرفان نفس السر المشترك باستخدام تبادل المفاتيح (عادة ECDHE). يتم اشتقاق مفاتيح الجلسة.
5. Finished – يرسل الطرفان MAC على نص المصافحة لتأكيد عدم التلاعب بأي شيء.

بعد ذلك، تتدفق بيانات التطبيق المشفرة. في TLS 1.3، تستغرق المصافحة رحلة ذهاب وعودة واحدة (1-RTT)، ويمكن أن يحقق الاستئناف 0-RTT.

TLS 1.2 مقابل TLS 1.3

تطلب TLS 1.2 رحلتين ذهاب وعودة ودعم خوارزميات أضعف. أزالت TLS 1.3 الأصفار القديمة، وبسطت المصافحة، وتشفير المزيد من المصافحة نفسها. فضل دائمًا TLS 1.3؛ معظم الخوادم والمتصفحات الحديثة تدعمه.

الشهادات: مرساة الثقة

تربط الشهادة مفتاحًا عامًا باسم نطاق ويتم توقيعها من قبل سلطة شهادات (CA). تأتي المتصفحات مع مخزن لسلطات الشهادات الجذرية الموثوقة. أثناء التحقق، يبني المتصفح سلسلة من شهادة الخادم وصولاً إلى جذر موثوق.

أنواع الشهادات الشائعة:

• DV (التحقق من النطاق) – يثبت التحكم في النطاق؛ سريع ومجاني (مثل Let's Encrypt).
• OV (التحقق من المؤسسة) – يتضمن تفاصيل الشركة التي تم التحقق منها.
• EV (التحقق الممتد) – فحوصات هوية أكثر صرامة؛ لم يعد يظهر شريط أخضر في معظم المتصفحات.

تنتهي صلاحية الشهادات. أتمت التجديد باستخدام عملاء ACME مثل Certbot لتجنب الانقطاعات.

تبادل المفاتيح والسرية التامة الأمامية

يستخدم TLS الحديث تبادل مفاتيح مؤقت (ECDHE). تولد كل جلسة زوج مفاتيح جديد، لذلك حتى إذا تم اختراق المفتاح الخاص للخادم لاحقًا، لا يمكن فك تشفير الجلسات السابقة. تسمى هذه الخاصية السرية الأمامية. تجنب تبادل مفاتيح RSA الثابت، الذي يفتقر إلى هذه الحماية.

المزالق الشائعة لـ HTTPS وكيفية تجنبها

• المحتوى المختلط – تحميل موارد HTTP على صفحة HTTPS يثير تحذيرات المتصفح. استخدم عناوين URL نسبية أو الترقية إلى HTTPS.
• الشهادات المنتهية الصلاحية – قم بإعداد المراقبة والتجديد التلقائي.
• مجموعات التشفير الضعيفة – قم بتعطيل TLS 1.0/1.1 وRC4/3DES. استخدم أداة مثل SSL Labs للاختبار.
• غياب HSTS – أضف رأس Strict-Transport-Security لفرض HTTPS.

تصحيح مشكلات TLS

عند فشل المصافحة، استخدم openssl s_client لفحص الاتصال:

openssl s_client -connect example.com:443 -servername example.com

يعرض هذا سلسلة الشهادات والبروتوكول المتفاوض عليه والتشفير. بالنسبة للأخطاء الخاصة بالمتصفح، تحقق من لوحة الأمان في DevTools.

الأسئلة الشائعة

هل HTTPS هو نفسه TLS؟

HTTPS هو HTTP فوق TLS. TLS هو البروتوكول التشفيري؛ HTTPS هو النسخة الآمنة من بروتوكول تطبيق HTTP.

هل أحتاج إلى شهادة منفصلة لكل نطاق فرعي؟

ليس بالضرورة. تغطي شهادة النطاق الواسع جميع النطاقات الفرعية من المستوى الأول، ويمكن لشهادة متعددة النطاقات (SAN) أن تدرج عدة أسماء.

كيف يحسن TLS 1.3 الأداء؟

يقلل TLS 1.3 المصافحة إلى رحلة ذهاب وعودة واحدة (وصفر عند الاستئناف)، ويبسط تفاوض التشفير، مما يقلل زمن الوصول.

هل أنت مستعد لفحص أمان موقعك؟ استخدم محلل سجلات Nginx الخاص بنا لاكتشاف أخطاء TLS المشبوهة وفشل المصافحة في سجلاتك.