يتصل عدد أكبر من الأشخاص بالويب اليوم أكثر من أي وقت مضى، ومن أماكن أكثر.
لقد اتصلنا بأجهزة الكمبيوتر المحمولة والهواتف والأجهزة اللوحية، وربما قريبًا بما يكفي مع الأجهزة الشخصية والملحقات. فنحن نصل إلى الإنترنت من شبكات غير موثوق بها بل وحتى عدوانية في بعض الأحيان. مع انتقال الكثير من حياتنا إلى الإنترنت، من الضروري اتخاذ الخطوات اللازمة لحماية بياناتنا وبيانات المستخدمين.
قبل كل شيء، بصفتنا مطورين، نحتاج إلى استيعاب ضرورة طبقة المقابس الآمنة وعمليتها.
ما المقصود بطبقة المقابس الآمنة (SSL)؟ إنه اختصار لطبقة المقابس الآمنة، وهي بروتوكول تشفير مصمم لتوفير أمان الاتصالات عبر الإنترنت. ويضمن الخصوصية، عبر التشفير والتكامل، لمنع التطفل أو العبث باتصال الإنترنت لديك. و تشتمل طبقة المقابس الآمنة على عيوبها، ولكنها الطريقة الرائدة - والطريقة الوحيدة حقًا - لضمان أمان أي نوع من أمان اتصالات البيانات على الإنترنت.
وفقًا لـ SSL Pulse، كان لدينا قبل عام أقل من 15% تقريبًا من استخدام طبقة المقابس الآمنة، والآن تجاوزنا نسبة 50%.
اختصاران:
بروتوكول أمان طبقة النقل (TLS): لمعظم الأغراض والأغراض نفسها مثل طبقة المقابس الآمنة. وحتى نكون أكثر دقة، تمت إعادة تسمية طبقة المقابس الآمنة 3.1 إلى بروتوكول أمان طبقة النقل، وبروتوكول أمان طبقة النقل هو الاسم المعياري لمجموعة مهندسي شبكة الإنترنت (IETF). لكنها قابلة للتبديل!
HTTPS: يشير هذا المصطلح إلى HTTP عبر طبقة المقابس الآمنة، وهو يعرض طبقات من إمكانات الأمان لكل من طبقة المقابس الآمنة وHTTP العادي. أولًا، تأكيد الاتصال بين العميل والخادم، باستخدام تشفير المفتاح العام/الخاص لإنشاء مفتاح مشترك، والذي يستخدمه الجزء الثاني من بروتوكول طبقة المقابس الآمنة (SSL) لتشفير الاتصال.
قد يبدو التواصل على الإنترنت آمنًا وفوريًا وسريعًا. يبدو أننا نتحدث مباشرةً إلى الموقع الإلكتروني. لكن في الواقع، هذا ليس ارتباطًا مباشرًا. وتحصل اتصالاتنا من خلال جهاز توجيه Wi-Fi ومزوّد خدمة الإنترنت، وربما عبر خوادم وكيلة وسيطة أخرى، وذلك بين جهازك وموقعك الإلكتروني. وبدون HTTPS، تكون جميع اتصالاتنا في نص عادي.
تكمن المشكلة في أن المستخدمين نادرًا ما يكتبون عنوان URL كاملاً مع تحديد HTTPS، أو ينقرون على رابط باستخدام HTTP. والأسوأ من ذلك، من الممكن تحميل هجوم وسيط الوسيط (wo) واستبدال HTTPS ببروتوكول HTTP. هناك أداة تدعى "SSLstrip" تم عرضها في عام 2009 تؤدي هذه الأداة بالضبط. كانت Firesheep من العام 2010، استمعت للتو إلى شبكات Wi-Fi المفتوحة للحصول على ملفات تعريف الارتباط التي يتم إرسالها بشكل واضح، وهذا يعني أنه يمكنك الاستماع إلى الدردشة أو تسجيل الدخول إلى حساب أحد الأشخاص على Facebook.
لكن طبقة المقابس الآمنة (نسبيًا) رخيصة وسريعة وسهلة النشر (يمكنك الاطّلاع على ssllabs.com وكتاب Ilya Grigorik "شبكات المتصفح ذات الأداء العالي"). ويمكنك حتى الحصول على شهادات مجانية من startssl.com للاستخدام غير التجاري. تم تصميم ميزة تثبيت المفتاح العام لمنح مشغّلي المواقع الإلكترونية وسيلة لتقييد الجهات المصدقة التي يمكنها فعليًا إصدار شهادات لمواقعها الإلكترونية.
"في كانون الثاني (يناير) من هذا العام (2010)، تحول Gmail إلى استخدام HTTPS في جميع الخدمات بشكل افتراضي. .. ولإجراء ذلك، لم يكن علينا نشر أجهزة إضافية ولا أجهزة خاصة. على أجهزة الواجهة الأمامية للإنتاج، تستحوذ طبقة المقابس الآمنة على أقل من 1% من حِمل وحدة المعالجة المركزية (CPU)، وأقل من 10 كيلوبايت من الذاكرة لكل اتصال، وأقل من 2% من أحمال الشبكة...
فإذا توقفت عن القراءة الآن، لن تحتاج سوى أن تتذكر شيئًا واحدًا: لم تعد طبقة المقابس الآمنة مكلفة من الناحية الحسابية".
– تجاوز سرعة طبقة المقابس الآمنة، "آدم لانغلي" (Google)
وأخيرًا، هناك نوعان من الأخطاء الأكثر شيوعًا:
- المحتوى المختلَط: المواقع الإلكترونية التي تستخدم HTTP بالإضافة إلى HTTPS. سينزعج المستخدم لأنه يتعين عليه النقر على زر إذن لتحميل المحتوى. (يحظر Chrome وFirefox المحتوى المختلَط من إطارات iframe). تأكَّد من أنّ كل مواردك على صفحة HTTPS يتم تحميلها بواسطة HTTPS، وذلك باستخدام عناوين URL نسبية أو ذات صلة بالمخطط، على سبيل المثال
<style src="//foo.com/style.css">. - ملفات تعريف الارتباط غير الآمنة: يتم إرسالها بشكل واضح عبر اتصال HTTP. تجنَّب ذلك عن طريق ضبط السمة الآمنة على عناوين ملفات تعريف الارتباط. يمكنك أيضًا استخدام رأس "الأمان المشدَّد لنقل البيانات" الجديد لطلب أمان النقل المشدَّد لطبقة المقابس الآمنة (HSTS).
الخلاصات
- إذا كنت مهتمًا بخصوصية وسلامة بيانات المستخدمين، فيجب استخدام طبقة المقابس الآمنة. إنها أسرع وأسهل وأرخص من أي وقت مضى.
- تجنَّب أخطاء التنفيذ الشائعة، مثل أخطاء المحتوى المختلط أو عدم ضبط وحدات بت عنوان HTTP الصحيحة.
- استخدِم عناوين URL نسبية أو نسبية على المخطط.
- يمكنك الاطّلاع على بعض العناصر الجديدة الرائعة، مثل HSTS وتثبيت الشهادات.
العروض التقديمية من Google: هل لديك طبقة المقابس الآمنة؟