عندما تكتب كلمة مرور أو تملأ استمارة، تنتقل تلك البيانات من متصفحك إلى الخادم. فهل يستطيع طرف ثالث قراءتها أو تعديلها؟ وهل تتواصل بالفعل مع النطاق الذي يظهر في شريط العناوين؟
يجيب HTTPS عن هذه الأسئلة عبر اتصال محمي. إنه خط دفاع أساسي عن الخصوصية على الويب، لكن نطاقه محدد: فهو يحمي الاتصال أثناء النقل. ولا يحدد ما سيفعله المستلم بالمعلومات، ولا يمنع التتبع بمفرده، ولا يجعل المستخدم مجهول الهوية.
فكرة أساسية: يحمي HTTPS القناة التي تنتقل عبرها البيانات؛ ولا يضمن كل ما يحدث قبل إرسالها أو بعد وصولها.
من HTTP إلى HTTPS: حماية المسار
يتيح HTTP للمتصفح طلب الموارد وإرسال المعلومات إلى الخادم. وبدون طبقة حماية، يمكن لشخص موجود على مسار الاتصال —على سبيل المثال، داخل شبكة مشتركة مخترقة— أن يراقب هذا التبادل أو يتلاعب به.
يعني HTTPS، بعبارات بسيطة، HTTP عبر TLS. ويُنشئ TLS، وهو اختصار لـ Transport Layer Security، قناة محمية بين المتصفح والخادم. وبعد التفاوض على الاتصال، يحمي الترويسات ومحتوى اتصالات HTTP. وبذلك، لا تنتقل كلمة المرور أو نص الاستمارة أو الصفحة المستلمة كمعلومات قابلة للقراءة المباشرة من قبل أي وسيط.
يُعرف هذا باسم التشفير أثناء النقل: وتكون البيانات مشمولة بالحماية أثناء انتقالها بين نقطتين، وليس بالضرورة على جهاز المصدر أو في أنظمة المستلم.
الحمايات الثلاث التي يوفرها TLS
وفقاً لمعيار TLS 1.3، يسعى البروتوكول إلى توفير ثلاث خصائص مترابطة وثيقة الصلة: السرية، وسلامة البيانات، والمصادقة.
السرية
يجعل التشفير المحتوى غير مفهوم لأي شخص يعترضه دون امتلاك المفاتيح المقابلة. ويمكن للمراقب اكتشاف حركة المرور، لكنه لا يستطيع قراءة الصفحة أو ترويسات HTTP أو البيانات المحمية بالجلسة قراءة مباشرة.
سلامة البيانات
يتيح TLS أيضاً اكتشاف التغييرات في البيانات أثناء المسار. وإذا حاول طرف ثالث تعديل استجابة الخادم أو حقن محتوى، فإن عمليات التحقق التشفيرية تجعل هذا التعديل يفشل في المرور كاتصال صالح. فالخصوصية لا تقتصر على إخفاء المعلومات فحسب: بل تقتضي أيضاً الحفاظ عليها دون تلاعب يمر دون ملاحظة.
المصادقة
في اتصال الويب المعتاد، يتحقق المتصفح من الهوية التقنية للخادم عبر شهادة رقمية. وتربط الشهادة مفتاحاً عاماً بنطاق معين، وتسمح بالتحقق من أن الاتصال يطابق النطاق المطلوب. وعادة ما يثبت المستخدم هويته بوسائل أخرى، مثل كلمة المرور.
فكرة أساسية: تمنع السرية القراءة المباشرة، وتتيح سلامة البيانات اكتشاف التعديلات، وتساعد المصادقة على تأكيد النطاق في الطرف الآخر من القناة.
ما يعنيه حقاً مؤشر الاتصال الآمن
يشير مؤشر المتصفح —سواء كان رمز قفل أو أيقونة أخرى— بشكل أساسي إلى الاتصال. وهو لا يضمن أن الموقع يذكر الحقيقة، ولا أن منتجاته جيدة، ولا أن سياسة البيانات لديه تراعي الخصوصية. فالموقع الاحتيالي يمكنه أيضاً الحصول على شهادة صالحة لنطاقه واستخدام HTTPS.
لذلك يجدر الفصل بين سؤالين. الأول تقني: «هل الاتصال بهذا النطاق محمي؟». والثاني يتطلب تقديراً: «هل أريد ائتمان من يدير هذا الموقع على بياناتي؟». يساعد HTTPS في الإجابة عن السؤال الأول، لا الثاني.
ما لا يحميه HTTPS
تخيل أنك ترسل عنواناً ورقم هاتف عبر استمارة تستخدم HTTPS. يمنع التشفير قراءتهما المباشرة أثناء الانتقال، لكن يجب على الموقع فك تشفيرهما لمعالجتهما. وبعد ذلك يمكنه تخزينهما، أو دمجهما مع بيانات أخرى، أو التعرض لحادثة تسريب.
كما لا يمنع HTTPS الموقع من التعرف على حساب معين، أو وضع ملفات تعريف الارتباط، أو قياس النشاط، أو بناء ملف شخصي. ولا يحل TLS هذه المشكلة. إن فهم ما نعنيه بالخصوصية يقتضي النظر في الجهة التي تجمع المعلومات، ولأي غرض، وما هو نطاق التحكم الذي يحتفظ به الشخص.
وعلى وجه التحديد، لا يضمن HTTPS ما يلي:
- تعامل الموقع مع البيانات بطريقة مسؤولة؛
- بقاء المعلومات مشفرة عند تخزينها؛
- عدم وجود ملفات تعريف الارتباط أو أدوات التحليل أو غيرها من أشكال التتبع؛
- خلو الجهاز من البرمجيات الخبيثة؛
- كون المستخدم مجهول الهوية.
علاوة على ذلك، فإن تشفير المحتوى لا يجعل الاتصال بأكمله خفياً. فتبعاً لتهيئة الشبكة والتقنيات المستخدمة، قد تظل البيانات الوصفية قابلة للملاحظة مثل عناوين IP، وحجم حركة المرور وتوقيتها، أو في سيناريوهات معينة، اسم الخادم. وتعمل بعض التقنيات على تقليل هذا التعرض، ولذا لن يكون من الصواب أيضاً الادعاء بأن مزود الشبكة يعرف دائماً كل نطاق يُزار. كما أن بروتوكول TLS بمفرده لا يخفي طول الرسائل ولا كافة أنماط الاتصال.
الخصوصية ليست هي إخفاء الهوية
يمكن لأي شخص استخدام HTTPS، وفي الوقت ذاته، التعريف بنفسه طواعية عند تسجيل الدخول أو كتابة اسمه أو الدفع مقابل عملية شراء. ويرى الخادم أيضاً عنوان IP الذي يتلقى منه الاتصال، ما لم تتدخل خدمة أخرى. ولا يتعارض أي من هذا مع طريقة عمل HTTPS: فمهمته هي حماية التبادل، وليست محو هوية المشاركين فيه.
وهذا التمييز مهم لأن التشفير وإخفاء الهوية ليسا شيئاً واحداً. يحد التشفير من الأشخاص القادرين على فهم الرسالة؛ بينما يسعى إخفاء الهوية إلى منع ربط إجراء ما بهوية معينة. إنهما هدفان مختلفان، وإن كانت بعض الأدوات قد تسهم في تحقيق كليهما.
تحذير مفيد: قد يكون الاتصال مشفراً بصورة صحيحة ومع ذلك يكشف هويتك للمستلم أو يسمح له بتسجيل نشاطك.
HTTPS، والتصفح المتخفي، وVPN، والتشفير التام بين الطرفين
غالباً ما تظهر هذه الأدوات معاً، لكنها تعالج مشكلات مختلفة.
يقلل وضع التصفح المتخفي أو التصفح الخاص الآثار التي يحتفظ بها المتصفح محلياً عند إغلاق الجلسة، مثل سجل التصفح على الجهاز. ولا يخفي النشاط بمفرده عن المواقع أو عن الشبكة، ولا يحل محل HTTPS.
تنشئ الشبكة الافتراضية الخاصة (VPN) نفقاً بين الجهاز وخادمها. ويمكنها إخفاء عنوان IP الأصلي عن الموقع وتنقل جزءاً من الثقة إلى مزود خدمة VPN. ويظل بروتوكول HTTPS ضرورياً لحماية الاتصال بالموقع والمصادقة على النطاق.
يسعى التشفير التام بين الطرفين إلى ضمان ألا يتمكن من فك تشفير المحتوى سوى الأطراف المعنية المحددة في الاتصال. وفي اتصال HTTPS العادي، يكون خادم الويب أحد هذين الطرفين ويتلقى المحتوى بنص واضح لمعالجته. ولهذا السبب لا يعادل HTTPS التشفير التام بين طرفين لمحادثة بين شخصين عندما يعجز الوسيط الخدمي عن قراءتها.
معيار عملي للتصفح
يُعد HTTPS متطلباً أساسياً، وليس خاتم ثقة شاملاً. وأمام أي استمارة أو معاملة حساسة، يجدر التحقق من خلو الاتصال من التحذيرات، ومطابقة النطاق لما هو متوقع، وتناسب المعلومات المطلوبة مع الخدمة المقدمة. ثم تأتي مسألة أخرى مختلفة: تقييم ممارسات المستلم وتقرير حجم ما يمكن الكشف عنه.
يحمي هذا الفصل الاستقلالية الفردية؛ إذ تقلل القناة المشفرة من التعرض غير الطوعي أمام الوسطاء، بينما يحد القرار المستنير مما يُسلَّم للمتلقي. وتتطلب الخصوصية الرقمية كلا الأمرين.
يؤدي HTTPS وظيفة قوية ودقيقة. فهو يحمي مسار انتقال البيانات، ويساعد على اكتشاف التلاعب، ويؤكد الهوية التقنية للنطاق. ولكنه لا يتحكم في مآل المعلومات ولا يمحو آثار من يتصفح. وفهم هذا الحد لا يقلل من قيمة HTTPS: بل يتيح استخدامه وفق حقيقته الفعلية، بوصفه جزءاً لا غنى عنه —وإن لم يكن كافياً وحده— للخصوصية على الإنترنت.
المصادر
- RFC 8446: The Transport Layer Security (TLS) Protocol Version 1.3
- MDN Web Docs: HTTPS
- MDN Web Docs: Transport Layer Security
- مساعدة Google Chrome: التحقق مما إذا كان الاتصال بموقع إلكتروني آمناً
- RFC 8744: Issues and Requirements for Server Name Identification (SNI) Encryption in TLS
مشاركة