ما الذي تتحقق منه سلطة التصديق فعليًا؟

بالنسبة لشهادات التحقق من النطاق الشائعة، تؤكد سلطة التصديق فقط أن مقدم الطلب يتحكم في النطاق (على سبيل المثال، عن طريق الاستجابة لتحدي). ولا تضمن شرعية المنظمة. تتضمن الشهادات ذات الضمان الأعلى المزيد من فحوصات الهوية، ولكن معظم شهادات الويب تشهد فقط على التحكم في النطاق.

ماذا يحدث إذا تم اختراق سلطة التصديق؟

يمكن للمهاجم إصدار شهادات احتيالية لأي موقع، مما يتيح انتحال الشخصية. تشمل الدفاعات إلغاء سلطة التصديق وعدم الثقة بها، وسجلات شفافية الشهادات التي تكشف عن الشهادات غير المصرح بها، وفترات صلاحية الشهادات القصيرة التي تحد من نافذة سوء الاستخدام.

البنية التحتية للمفاتيح العامة

البنية التحتية للمفاتيح العامة (PKI) هي نظام من سلطات التصديق، والشهادات الرقمية، والسياسات التي تربط المفاتيح العامة بالهويات المتحقق منها، مما يسمح للأطراف التي لم تلتقِ مطلقًا بالوثوق بمفاتيح بعضها البعض.

اعثر على موضوع باستخدام PaperMindقريبًاFind papers & topics

Tools & resources

تنزيل الشرائح

Learn & explore

فيديوقريبًا

Definition

البنية التحتية للمفاتيح العامة هي مجموعة الأدوار والسياسات والأجهزة والبرامج اللازمة لإنشاء وتوزيع وتخزين والتحقق من وإلغاء الشهادات الرقمية التي تربط المفاتيح العامة بالهويات.

Scope

يغطي هذا الموضوع مكونات وتشغيل البنية التحتية للمفاتيح العامة (PKI): شهادات X.509، وسلطات التصديق وسلاسل الثقة، وإصدار الشهادات والتحقق منها، والإلغاء (قوائم إبطال الشهادات CRLs، بروتوكول حالة الشهادات على الإنترنت OCSP)، وآليات الشفافية. ويتناول نموذج الثقة الذي تقوم عليه البنية التحتية للمفاتيح العامة للويب وبدائلها (شبكة الثقة). ويستثني خوارزميات التوقيع الرقمي التي تستخدمها الشهادات وبروتوكولات القنوات الآمنة (TLS) التي تستهلك الشهادات، حيث يتم تناول كلاهما بشكل منفصل.

Core questions

كيف يكتسب الطرف المعتمد الثقة بأن المفتاح العام ينتمي إلى هوية معينة؟
كيف تؤسس سلاسل الشهادات وسلطات الجذر الثقة الهرمية؟
كيف يتم التحقق من صحة الشهادات، وكيف يتم التعامل مع الإلغاء عند اختراق المفاتيح؟
ما هي أنماط الفشل (اختراق سلطة التصديق، الإصدار الخاطئ) التي تهدد نموذج الثقة؟
كيف تعمل آليات مثل شفافية الشهادات على تحسين المساءلة؟

Key concepts

شهادة X.509
سلطة التصديق (CA)
سلسلة الثقة ومخزن الجذر
طلب توقيع الشهادة
إلغاء الشهادة (CRL، OCSP)
شفافية الشهادات
شبكة الثقة
اختراق سلطة التصديق والإصدار الخاطئ
تثبيت الشهادة

Key theories

سلسلة الثقة الهرمية: تتجذر الثقة في مجموعة صغيرة من سلطات التصديق الجذرية الموقعة ذاتيًا والمثبتة مسبقًا في العملاء؛ تقوم هذه السلطات بتوقيع سلطات التصديق الوسيطة، والتي بدورها توقع شهادات الكيانات النهائية، بحيث يمكن للعميل التحقق من أي شهادة عن طريق التحقق من السلسلة وصولاً إلى جذر موثوق به.
الإلغاء والشفافية: نظرًا لأنه يمكن اختراق المفاتيح أو إصدار الشهادات بشكل خاطئ، توفر البنية التحتية للمفاتيح العامة آليات الإلغاء (قوائم إبطال الشهادات وبروتوكول حالة الشهادات على الإنترنت) وبشكل متزايد، سجلات تدقيق عامة (شفافية الشهادات) بحيث يمكن اكتشاف الشهادات الصادرة بشكل خاطئ وعدم الثقة بها.

Mechanisms

يقوم مقدم الطلب بإنشاء زوج مفاتيح وتقديم طلب توقيع شهادة؛ تتحقق سلطة التصديق (CA) من هوية مقدم الطلب أو التحكم في النطاق وتصدر شهادة X.509 تربط المفتاح العام بتلك الهوية، موقعة بالمفتاح الخاص لسلطة التصديق. يتحقق الطرف المعتمد من صحة الشهادة عن طريق فحص سلسلة التوقيع إلى جذر موثوق به، وفترة الصلاحية، والاسم، وحالة الإلغاء (عبر CRL أو OCSP). تسجل شفافية الشهادات جميع الشهادات الصادرة علنًا حتى يتمكن مالكو النطاقات من اكتشاف الإصدار غير المصرح به.

Clinical relevance

البنية التحتية للمفاتيح العامة للويب هي ما يجعل قفل المتصفحات ذا معنى: يعتمد كل اتصال HTTPS على شهادة صادرة عن سلطة تصديق لمصادقة الخادم. وقد أدى الإصدار الآلي والمجاني (Let's Encrypt) إلى اعتماد HTTPS شبه الشامل. تدعم البنية التحتية للمفاتيح العامة أيضًا توقيع التعليمات البرمجية، والبريد الإلكتروني الآمن، وتوقيع المستندات، وهوية أجهزة المؤسسات. إن إخفاقات سلطات التصديق (مثل اختراق DigiNotar عام 2011) لها تأثير عالمي، ولهذا السبب تكتسب الشفافية والإلغاء أهمية.

Evidence & guidelines

يتم وصف شهادات X.509 والإلغاء في RFC 5280؛ وشفافية الشهادات في RFC 6962؛ و OCSP في RFC 6960. تحكم المتطلبات الأساسية لمنتدى CA/Browser Forum سلطات التصديق الموثوق بها علنًا. يقوم بروتوكول ACME (RFC 8555) بأتمتة الإصدار. تفضل أفضل الممارسات الشهادات قصيرة الأجل، والتجديد التلقائي، والاعتماد على مراقبة شفافية الشهادات.

History

تم اقتراح مفهوم الشهادة في أطروحة لورين كونفيلدر عام 1978 في معهد ماساتشوستس للتكنولوجيا. ظهرت X.509 من جهود دليل X.500 في أواخر الثمانينيات وأصبحت أساس البنية التحتية للمفاتيح العامة للويب مع انتشار SSL/TLS في التسعينيات. كشفت الاختراقات المتكررة لسلطات التصديق والإصدار الخاطئ (Comodo و DigiNotar في عام 2011) عن هشاشة الثقة غير المشروطة في سلطات التصديق، مما دفع إلى ظهور شفافية الشهادات وحوكمة أكثر صرامة لسلطات التصديق، بينما أضفت Let's Encrypt (2015) طابعًا ديمقراطيًا على إصدار الشهادات.

Key figures

Loren Kohnfelder
Whitfield Diffie
Ross Anderson
Ben Laurie

Seminal works

stallings2017
rfc5280
anderson2020

Frequently asked questions

ما الذي تتحقق منه سلطة التصديق فعليًا؟: بالنسبة لشهادات التحقق من النطاق الشائعة، تؤكد سلطة التصديق فقط أن مقدم الطلب يتحكم في النطاق (على سبيل المثال، عن طريق الاستجابة لتحدي). ولا تضمن شرعية المنظمة. تتضمن الشهادات ذات الضمان الأعلى المزيد من فحوصات الهوية، ولكن معظم شهادات الويب تشهد فقط على التحكم في النطاق.
ماذا يحدث إذا تم اختراق سلطة التصديق؟: يمكن للمهاجم إصدار شهادات احتيالية لأي موقع، مما يتيح انتحال الشخصية. تشمل الدفاعات إلغاء سلطة التصديق وعدم الثقة بها، وسجلات شفافية الشهادات التي تكشف عن الشهادات غير المصرح بها، وفترات صلاحية الشهادات القصيرة التي تحد من نافذة سوء الاستخدام.