التسوق الآمن

الملف الشخصي · 03-27-2011 11:19 PM

التسوق الآمن

السلام عليكم ورحمة الله وبركاته :

التسوق الآمن

بنية المفاتيح العامة

ما هي بنية المفاتيح العامة (Public Key infrastructure)؟:
بنية المفاتيح العامة (Public Key infrastructure)- - PKIهي عبارة عن تقنية وسياسات أمنية شاملة تستخدم التشفير و القياسات لتمكين الأشخاص من :
1- التعريف – التحقق- من الأشخاص المستخدمين للشبكة.
2- توقيع البريد الالكتروني، كذلك المستندات وأي خدمة الكترونية أخرى.
3- تشفير رسائل البريد الالكتروني وغيرها من المستندات لمنع الأشخاص غير المخول لهم من الوصول إليها.
4- منح الشهادات الالكترونية الموثقة .
أصبحت المفاتيح العامة اليوم أساسا في التعاملات التجارية الالكترونية و الموازنات الشرعية و الحكومية من خلال الشبكة. حيث أصبحت الآن منظمات وهيئات لإصدار شهادات المفاتيح العامة (Certificate Authority) - CA- ، يقوم CA بتخزين المفاتيح – العامة و الخاصة - ، الشهادات و الشهادات المرفوضة في الانترنت على شكل مخازن تصل إليها باستخدام نظام الدخول في أدلة المعلومات (Light-weight Directory Access Protocol ) -LDAP-.

[صورة مرفقة: public_key_infra.jpeg]

نظرا لأهمية المعلومات الموجودة في هيئة الشهادات فإنها تضع الشهادات و المفاتيح في ما يسمى بالمخزن حتى يستطيع المستخدم من التأكد من هوية الشخص وصحة بياناته ، كذلك لتخفيف الضغط على هيئة الشهادات فإنها تعطي الصلاحيات – الثقة – لهيئة شهادات أصغر منها أو هيئة تسجيل لتسجيل الطلبات على الشهادات .

ما هي مكونات بنية المفاتيح العامة:
هناك العديد من المكونات لبنية المفاتيح العامة وذلك لتنوع استخداماتها، ولكن هنا سنذكر مكونات البنية للمفاتيح العامة المنطقية في تطبيقات التجارة الالكترونية حيث تتكون من:
1- المشتركين ( End entities or subscribers).
2- هيئة الهيئة (Certificates authorities ).
3- سياسة الشهادة.( Certificate policies ) .
4- شهادة ممارسة الشهادة(Certificate practices statement ).
5- وحدات أمن الأجهزة (Hardware security modules ).
6- شهادة المفتاح العمومي (Public key certificates ) .
7- امتدادات الشهادة (Certificate extensions ) .
8- سلطات التسجيل (authorities ).
9- مستودعات الشهادة (Certificate depositories ).

ما هي وظائف بنية المفاتيح العامة ؟:
إن أكثر وظائف بنية المفاتيح العامة شيوعا هي:
‌أ- إصدار شهادات التوثيق ( Issuing Certificates) : تقوم CA بالتوقيع على الشهادة لتوثيق شخص ما ، مثل كاتب عدل عندما يكتب تعريف لشخص معين ، أضف إلى ذلك أن شهادات التوثيق يضاف إليها تاريخ انتهاء ومعلومات أخرى ، نستطيع تلخيص دورة حياة الشهادة إلى أربع نقاط هي : أ- أنشاء ، ب- إلغاء ، ج- انتهاء ، د- تعليق .

[صورة مرفقة: certifecate.jpeg]

‌ب- إبطال الشهادات (Revoking Certificates): قد تقوم CA بإبطال الشهادة قبل انتهاءها لعدة أسباب منها تغير اسم المستخدم، اكتشاف مفتاح المستخدم الخاص، تحت هذه الظروف تقوم CA بإبطالها بتضمين رقم تسلسلي على قائمة الشهادات المرفوضة( Corticated Revocation Lists) -CRL -.
‌ج- تخزين و استرجاع الشهادات (Storing and Retrieving Certificates and CRLs ): أغلب طرق تخزين و استرجاع الشهادات تكون عن طريق خدمات الأدلة، من خلال نظام الدخول في أدلة المعلومات -LDAP- ، الانترنت HTTP و البريد الالكتروني .
‌د- إعطاء الثقة (Providing trust) : كل مستخدم عنده مفتاح عام يجب أن يكون مسجل عند CA يوثق به ، المنظمات تستطيع أن تأسس وتعدل لتمنح هذه الثقة من خلال ما يسمى بمجال إدارة الأمن (single security management domain) مع بقاء الإشراف عن طريق CA .حيث هناك عدة أشكال من الثقة، منها الثقة الهرمية كما هو موضح في الشكل.

ca_hirachle

[صورة مرفقة: ca_hirachle.jpeg]

‌ه- التوقيع الالكتروني : عندما يقوم المستخدم بتشفير الرسالة مستخدما المفتاح الخاص به فإنه يكون قد أضاف إليها ما يسمى بالتوقيع الالكتروني ، حيث أن هذا التشفير لا يفك إلا بواسطة المفتاح العمومي للمستخدم نفسه – مالك المفتاح الخاص – وبذلك يضمن بأن الرسالة فد أرسلت من ذلك الشخص

[صورة مرفقة: public_key_encryption.jpeg]

[صورة مرفقة: public_key_encryption.jpeg]

كيفية الحصول على الشهادة الموثقة و استخدامها ؟:
أولا تقوم بإنشاء زوج من المفاتيح تضع أحدها على الشهادة ثم ترسلها – الطلب - إلى CA ، أو تعرف نفسك إلى سلطة التسجيل Registration Authority) ) – RA - ، ثم تقوم RA برفع طلبك إلى CA لتأكيد مصداقيتك أو إذا كانت لسلطة التسجيل الحق في إعطاءك الشهادة تقوم بإرسالها لك مباشرة ،أو ترسل CA لك شهادة واحدة موثقة .الآن عندك شهادة موثقة تستطيع من خلالها أن يثق الناس بك.

طريقة عمل التشفير:
عند إرسال أي رسالة أو أي خدمة تخبر المستقبل لها بأن الرسالة التي من جهتك مشفرة ولا تفك إلا بواسطة المفتاح العام الذي معك في الشهادة ، بهذه الطريقة يتأكد المستقبل بأنك أنت صاحب الرسالة من خلال إرسال شهادتك إلى CA و التأكد من صلاحيتها ، ننبه بأن التشفير يكون بواسطة المفتاح الخاص بك Private Key والذي يجب أن يكون محمي من الوصول إليه ، أيضا أنه يجب تجديد الشهادة إذا قاربت على الانتهاء مثل تجديد بطاقات الهوية مع ملاحظة أنه قد ترفض شهادتك في أي وقت حتى قبل انتهاء صلاحيتها لأي سبب كان.

[صورة مرفقة: public_key_how_encryption.jpeg]

[صورة مرفقة: public_key_how_encryption.jpeg]

ما هي مخاطر بينة المفاتيح العامة :
1- من الذي يستخدم مفتاحك؟ : تعتبر من أكبر مشاكل أنظمة CA هي حماية المفتاح الخاص بك، حيث كيف يتم حمايته ؟ لا يستطيع أي أحد ضمان عدم سرقة مفتاحك الخاص بسبب وجود الفيروسات و التروجونات و غيرها من الثغرات الموجودة في شبكة الانترنت، حتى لو استطعت أن تحمي جهازك من الثغرات والفيروسات وغيرها ووضعت جهازك في غرفة مغلقة لا يستخدمه غيرك لمزيد من الاحتياط ، حتى لا يصل أحد إلى مفتاحك الخاص ، هل اتخذت التدبيرات التالية ؟ كاميرات مراقبة على الغرفة الموجودة فيها جهازك ؟ كلمة سر على الجهاز ؟ الخ، هناك أسئلة كثيرة تجعل المفتاح الخاص بك في وضع غير آمن.
2- أيهم خالد محمد ؟ : في الغالب ترتبط المفاتيح العامة بأسماء مستخدميها، تخيل أنك تعرف خالد محمد واحد، ولكن كم خالد محمد مسجل عند CA ؟ قد تستلم رسالة نحمل شهادة خالد محمد ولكن لا تدري من هو ؟ قد تكون بعض التطبيقات مثل PGP تستطيع التمييز بينها ولكن لو وصلت لك رسالة بالبريد ولا تدري هل هي من خالد محمد الذي تعرفه أم لا ؟ هناك معلومات أخرى في الشهادة تعرف بالشخص الحامل لها و من أين صدرت ولكن هل تعرف هذه المعلومات التي في شهادة صديقك ؟

ما هي تطبيقات المفاتيح العامة:
للمفاتيح العامة تطبيقات واسعة خصوصا المستخدمة في امن الخدمات مثل :
1- SSL , IPsec , HTTPs الاتصال الآمن.
2- S/MIME , PGP لأمن البريد الالكتروني.
3- SET Value for exchange لتبادل القيم.
4- Identrus for B2B للتعامل التجاري المباشر.

الخاتمة:
نجد أن البنية للمفاتيح العامة PKI هي عبارة عن مزيج من البرامج، تقنيات التشفير، و الخدمات التي تسهل عمل مشاريع وتطبيقات آمنة على الانترنت وذلك من خلال:
- التزويد ببرامجَ تسجيلِ
- يصدرُ أدلةَ الشّهادةِ للشركاتِ
- يُديرُ، يُجدّدُ، ويُبطلُ الشّهاداتَ
- يوفر خدمات أمن الشبكة .
بواسطة PKI نستطيع عمل شهادات رقمية ،و تشفير البيانات المتراسلة عبر الشبكة ومنح شهادات موثقة ، حيث يعطي لنا عدة فوئد منها :
1- التحقق من هوية المستخدم.
2- دقة ونزاهة المعلومات المرسلة وسلامتها من التغيير.
3- ضمان السرية.
4- تصديق الصفقات الالكترونية.
في الختام نذكر بأنه تعتبر قضية الثقة عاملاً رئيسياً من عوامل نمو التجارة الإلكترونية. ولقد استخدمت الحكومات والقطاعات المالية عدداً من المناهج لمعالجة هذه القضية الرئيسية. كما استخدمت تقنية البنية التحتية للمفاتيح العمومية PKI على نطاق واسع كوسيلة رئيسية لمعالجة هذه القضية، وخاصة بالنسبة لمعاملات التجارة الالكترونية بين القطاعات التجارية(B2B) ومعاملات التجارة الإلكترونية بين القطاعات التجارية والحكومة (B2G) . إن ملائمة استخدام البنية التحتية للمفاتيح العمومية (PKI) لتحقيق الثقة في التجارة الالكترونية أمر معترف به وعلى نطاق واسع .

منقول من مركز التميز

ادارة سكيورتي العرب

المواضيع المحتمل أن تكون متشابهة .
التسوق الالكتروني الآمن
التسوق الإلكتروني الآمن
التسوق المنزلي
التسوق الآمن