كيف يعمل HTTPS وTLS حقًا: دليل عملي

لقد رأيت أيقونة القفل في متصفحك ألف مرة. ولكن ماذا يحدث فعليًا عند زيارة موقع HTTPS؟ كيف يعرف متصفحك أنه يتحدث إلى الخادم الحقيقي وليس إلى محتال؟ ولماذا لا تزال بعض المواقع تظهر تحذيرات على الرغم من امتلاكها شهادات؟

في هذا الدليل، سنشرح HTTPS وTLS بلغة واضحة، مع أمثلة عملية ونصائح قابلة للتنفيذ. سواء كنت مطورًا أو مسؤول نظام أو مجرد فضولي حول أمن الويب، ستخرج بنموذج ذهني متين لكيفية إنشاء الاتصالات الآمنة والحفاظ عليها.

ما هو HTTPS وTLS؟

HTTPS (بروتوكول نقل النص التشعبي الآمن) هو ببساطة HTTP فوق طبقة TLS (أمان طبقة النقل). TLS هو بروتوكول تشفير يوفر ثلاث ضمانات:

• السرية: يتم تشفير البيانات بحيث لا يمكن للمتنصتين قراءتها.
• السلامة: لا يمكن تعديل البيانات أثناء النقل دون اكتشاف ذلك.
• المصادقة: أنت تتحدث إلى الخادم الذي تنوي الوصول إليه.

تاريخيًا، كان SSL (طبقة المقابس الآمنة) سلف TLS. على الرغم من أن المصطلحين غالبًا ما يستخدمان بالتبادل، إلا أن SSL مهمل وغير آمن. تستخدم الأنظمة الحديثة TLS 1.2 أو 1.3.

مصافحة TLS: إعداد اتصال آمن

قبل تدفق أي بيانات مشفرة، يقوم العميل (المتصفح) والخادم بإجراء مصافحة للاتفاق على المعلمات التشفيرية وتبادل المفاتيح. تختلف الخطوات الدقيقة بين إصدارات TLS، لكن الفكرة الأساسية متشابهة.

مصافحة TLS 1.2 (مبسطة)

1. Client Hello: يرسل العميل إصدارات TLS المدعومة ومجموعات التشفير وقيمة عشوائية.
2. Server Hello: يختار الخادم إصدار TLS ومجموعة التشفير، ويرسل قيمته العشوائية الخاصة بالإضافة إلى شهادته.
3. التحقق من الشهادة: يتحقق العميل من صلاحية الشهادة وتاريخ انتهائها وسلسلة الثقة.
4. تبادل المفاتيح: باستخدام المفتاح العام للشهادة، يقوم العميل بتشفير سرية أولية ويرسلها إلى الخادم. يستخرج كلاهما نفس مفاتيح الجلسة.
5. Finished: يرسل كلا الجانبين MAC عبر المصافحة للتحقق من السلامة. يبدأ الاتصال المشفر.

مصافحة TLS 1.3 (أسرع وأكثر أمانًا)

يقلل TLS 1.3 من عدد الرحلات ذهابًا وإيابًا ويزيل الخوارزميات الضعيفة. يمكن أن تكتمل المصافحة في رحلة واحدة (1-RTT) أو حتى صفر رحلات (0-RTT) للجلسات المستأنفة. كما أنه يشفر المزيد من المصافحة، مما يحسن الخصوصية.

# مثال: فحص مصافحة TLS باستخدام OpenSSL
openssl s_client -connect example.com:443 -tls1_3 -brief

يعرض هذا الأمر البروتوكول المتفاوض عليه والتشفير وتفاصيل الشهادة.

الشهادات وسلسلة الثقة

الشهادات هي وثائق رقمية تربط مفتاحًا عامًا بهوية (مثل اسم نطاق). يتم إصدارها من قبل جهات إصدار الشهادات (CAs) وهي حجر الزاوية للمصادقة في TLS.

عندما يتصل متصفحك بخادم، فإنه يتحقق من:

• أن الشهادة موقعة من قبل CA موثوقة (مباشرة أو عبر وسيط).
• أن الشهادة صالحة للنطاق الذي تزوره.
• أن الشهادة ضمن فترة صلاحيتها.
• أن الشهادة لم يتم إلغاؤها (عبر CRL أو OCSP).

إذا فشل أي فحص، يعرض المتصفح تحذيرًا. هذا هو السبب في أن الشهادة منتهية الصلاحية تكسر HTTPS.

التشفير في العمل: التماثلي مقابل غير التماثلي

يستخدم TLS كلاً من التشفير غير المتماثل والمتماثل:

• التشفير غير المتماثل (المفتاح العام): يُستخدم أثناء المصافحة لتبادل المفاتيح بشكل آمن. تحتوي شهادة الخادم على مفتاحه العام؛ فقط الخادم يحتفظ بالمفتاح الخاص.
• التشفير المتماثل: بمجرد تبادل المفاتيح، يتم تشفير البيانات الضخمة باستخدام خوارزميات سريعة مثل AES أو ChaCha20.

يوازن هذا النهج الهجين بين الأمان والأداء.

نصائح عملية لتطبيق HTTPS

إليك كيفية تطبيق HTTPS بشكل صحيح على موقعك:

1. استخدم CA موثوقة: تقدم Let's Encrypt شهادات مجانية؛ وتوفر CAs التجارية التحقق الموسع والدعم.
2. تمكين TLS 1.2 و1.3 فقط: قم بتعطيل SSLv3 وTLS 1.0 وTLS 1.1.
3. تكوين مجموعات تشفير قوية: فضّل تشفيرات AEAD مثل AES-GCM وChaCha20-Poly1305.
4. تنفيذ HSTS: يفرض رأس Strict-Transport-Security على المتصفحات استخدام HTTPS للزيارات المستقبلية.
5. إعادة توجيه HTTP إلى HTTPS: استخدم إعادة توجيه 301 لضمان تشفير جميع حركة المرور.
6. أتمتة التجديد: تنتهي صلاحية الشهادات؛ استخدم أدوات مثل Certbot للتجديد التلقائي.
7. الاختبار بانتظام: استخدم اختبار SSL Labs SSL Test لتقييم تكوينك.

المزالق الشائعة وكيفية تجنبها

الأسئلة الشائعة

ما الفرق بين HTTPS وTLS؟

HTTPS هو النسخة الآمنة من HTTP، وTLS هو البروتوكول الذي يوفر الأمان. يستخدم HTTPS TLS لتشفير حركة HTTP.

هل أحتاج إلى شهادة للتطوير المحلي؟

للتطوير المحلي، يمكنك استخدام شهادات موقعة ذاتيًا، لكن المتصفحات ستعرض تحذيرات. يمكن لأدوات مثل mkcert إنشاء شهادات موثوقة محليًا.

كم مرة يجب تجديد الشهادات؟

أفضل ممارسة حديثة هي التجديد كل 90 يومًا (كما تفعل Let's Encrypt) أو حتى بشكل أكثر تكرارًا. الأتمتة هي المفتاح لتجنب انتهاء الصلاحية.

هل أنت مستعد لوضع هذه المعرفة موضع التنفيذ؟ إذا كنت بحاجة إلى تحليل سجلات Nginx الخاصة بك لاكتشاف أخطاء TLS أو فشل المصافحة، جرّب محلل سجلات Nginx الخاص بنا لتحليل بيانات السجل وعرضها بسرعة.