HTTPS وSSL/TLS ببساطة: ماذا يعني القفل الصغير في المتصفح؟

قبل أن تكتب رقم بطاقتك في متجر إلكتروني، تنظر غالبًا إلى ذلك القفل الصغير بجوار عنوان الموقع. هذا القفل ليس زينة، بل إشارة إلى أن حوارك مع الموقع مشفّر عبر بروتوكول HTTPS. لكن ما الذي يحدث فعلًا خلف هذا الرمز؟ ولماذا يصرّ خبراء الأمن على تجنّب المواقع التي تفتقده؟ لنفكّك الأمر بلغة بسيطة.

من HTTP إلى HTTPS

HTTP هو اللغة التي يتحدث بها متصفحك مع خوادم المواقع، لكنه يرسل كل شيء كنصّ مكشوف؛ أي أن أي طرف على الشبكة، كصاحب شبكة واي فاي عامة، يستطيع قراءة ما ترسله. الحرف "S" في HTTPS يعني "آمن" (Secure)، وهو يضيف طبقة تشفير تجعل ما يمرّ بين جهازك والموقع طلاسم لا معنى لها لأي متلصّص. الفرق جوهري: الأول كأنك ترسل بطاقة بريدية يقرأها الجميع، والثاني كأنك ترسل رسالة داخل ظرف مغلق ومختوم.

SSL وTLS: ما الفرق؟

كثيرًا ما تُذكر الكلمتان معًا، لكن SSL (طبقة المقابس الآمنة) هو البروتوكول الأصلي الذي ظهر في التسعينيات وأصبح قديمًا وغير آمن، بينما TLS (أمن طبقة النقل) هو خليفته الحديث المستخدم فعليًا اليوم بإصداراته 1.2 و1.3. رغم ذلك بقي اسم SSL شائعًا في الحديث اليومي وفي بيع "شهادات SSL"، لذا حين يقول أحدهم SSL فهو غالبًا يقصد TLS. المهم أن تعرف أن التقنية الفعلية التي تحميك اليوم هي TLS.

كيف تتم المصافحة (Handshake)؟

قبل تبادل أي بيانات حساسة، يجري متصفحك والخادم "مصافحة" سريعة تستغرق أجزاءً من الثانية. أولًا يقدّم الخادم شهادته الرقمية التي تثبت هويته. ثم يستخدم الطرفان التشفير غير المتماثل، وهو نظام بمفتاحين: مفتاح عام يشفّر ومفتاح خاص يفكّ التشفير، للاتفاق سرًّا على مفتاح جلسة مشترك. بعد ذلك ينتقلان إلى التشفير المتماثل الأسرع الذي يستخدم المفتاح نفسه للطرفين طوال بقية الجلسة.

لماذا هذا التبديل بين نوعي التشفير؟ لأن التشفير غير المتماثل آمن جدًا لكنه بطيء وثقيل حسابيًا، فيُستخدم فقط في اللحظة الحرجة لتبادل المفتاح، ثم يتولّى التشفير المتماثل الخفيف بقية العمل. إنه أشبه باستخدام صندوق مصفّح ثقيل مرة واحدة لتسليم مفتاح غرفة، ثم استعمال ذلك المفتاح الخفيف لفتح الباب وإغلاقه بسرعة طوال اليوم.

الشهادات والقفل: ماذا يضمنان وماذا لا؟

الشهادة الرقمية يصدرها طرف موثوق يُسمى "سلطة إصدار الشهادات"، وتؤكّد أن هذا الموقع يملك فعلًا العنوان الذي يدّعيه. لكن انتبه إلى نقطة مهمة: القفل يضمن أن الاتصال مشفّر وأن الموقع هو من يدّعي، لكنه لا يضمن أن أصحاب الموقع أمناء. فموقع احتيالي يمكنه أيضًا الحصول على شهادة وإظهار قفل. لذا فوجود القفل شرط ضروري للأمان لكنه ليس كافيًا وحده للثقة الكاملة.

مثال عملي: حين تسجّل الدخول إلى بنكك على شبكة واي فاي في مقهى، يمنع HTTPS الجالس بجوارك من التقاط كلمة مرورك حتى لو كان يراقب الشبكة، لأن كل ما سيلتقطه هو بيانات مشفّرة عديمة المعنى. لكن إن خدعك رابط مزيّف قادك إلى موقع بنك مقلّد يحمل قفلًا، فالتشفير هنا يحمي بياناتك وهي تصل بأمان تام إلى المحتال. الخلاصة: تحقّق من عنوان الموقع بعينيك، ولا تكتفِ برؤية القفل، فهو يحمي الطريق لا يضمن الوجهة.