ما هي البنية التحتية للمفاتيح العامة (PKI)؟

لسنوات طويلة، ظلت البنية التحتية للمفاتيح العامة (PKI) في الخلفية فيما يتعلق بأمن المؤسسات، باعتبارها مجالًا متخصصًا يهم خبراء التشفير ومسؤولي الشهادات. لكن هذا الوضع تغير. مع قيام المؤسسات بتبني بنى «الثقة الصفرية» ومع بدء تجاوز عدد الهويات الآلية عدد الهويات البشرية، انتقلت البنية التحتية للمفاتيح العامة (PKI) من كونها أداة مساعدة تعمل في الخلفية إلى مستوى التحكم الاستراتيجي. يشرح هذا المقال ماهية هذه البنية وكيفية عملها، ومكانها في استراتيجية الأمان الحديثة.

البنية التحتية للمفاتيح العامة هي الإطار الذي يضم الأجهزة والبرامج والسياسات والإجراءات المستخدمة لإنشاء الشهادات الرقمية وإدارتها وتوزيعها واستخدامها وتخزينها وإلغائها. وتربط الشهادة الرقمية زوجًا من المفاتيح التشفيرية بهوية تم التحقق منها، بحيث يمكن لأي شخص يعتمد على المفتاح العام أن يثق في هوية صاحب المفتاح الخاص المقابل.

وتستند هذه الفكرة إلى التشفير غير المتماثل. فبدلاً من استخدام سر مشترك واحد، يمتلك كل طرف مفتاحًا عامًا يمكن توزيعه بحرية، ومفتاحًا خاصًا يظل تحت سيطرته الحصرية. وتُعد البنية الأساسية للمفاتيح العامة (PKI) هي ما يجعل هذا النموذج قابلاً للتطبيق على نطاق واسع، لأنها توفر طريقة موثوقة للإجابة على السؤال الذي يتعين على كل طرف معتمد طرحه: هل هذا المفتاح العام ينتمي حقًّا إلى من يدعي أنه ينتمي إليه؟

بحكم تعريفها، يجب أن يغطي إطار عمل البنية التحتية للمفاتيح العامة (PKI) دورة حياة الشهادة بالكامل، وليس مجرد إنشائها. وتقوم البنية التحتية للمفاتيح العامة (PKI) الفعالة بإصدار الشهادات، وتوزيعها على الأطراف المعنية، وتتبعها، وإلغائها عندما تفقد مصداقيتها.

على المستوى الميكانيكي، تعتمد البنية الأساسية للمفاتيح العامة (PKI) على عمليتين تشفيريتين يمكن لأي زوج من المفاتيح غير المتماثلة القيام بهما. يمكن لأحد المفتاحين تشفير البيانات التي لا يمكن فك تشفيرها إلا بالمفتاح الآخر. ويمكن لأحد المفتاحين توقيع البيانات بطريقة يمكن للمفتاح الآخر التحقق منها. واعتمادًا على حالة الاستخدام، يلعب كل من المفتاح العام والمفتاح الخاص أدوارًا مختلفة، لكن الحسابات الرياضية هي نفسها.

لنفترض أن متصفحًا يتصل بموقع ويب. عند بدء الاتصال، يقدم الخادم شهادته الرقمية. تحتوي الشهادة على المفتاح العام للخادم وتوقيعًا من هيئة إصدار الشهادات (CA) التي تضمن هوية الخادم. يقوم المتصفح بمقارنة هذا التوقيع بقائمة من سلطات إصدار الشهادات الجذرية الموثوقة التي يعرفها بالفعل. إذا كان التوقيع صالحًا ولم تنته صلاحية الشهادة أو لم يتم إلغاؤها، فإن المتصفح يثق بالمفتاح العام ويستخدمه لإنشاء جلسة عمل مشفرة.

يعتمد هذا التحقق على سلسلة الثقة. تقع هيئة التصديق الجذرية (CA) في قمة التسلسل الهرمي وتوقع على شهادتها الخاصة. كما أنها توقع على شهادات هيئات التصديق الوسيطة، التي تقوم بدورها بالتوقيع على شهادات الكيانات النهائية الصادرة للخوادم والأجهزة والمستخدمين. وعندما تقوم الجهة المعتمدة بالتحقق من صحة شهادة ما، فإنها تتتبع السلسلة إلى أعلى حتى تصل إلى سلطة التصديق الجذرية التي تثق بها بالفعل. ويجب أن يكون كل حلقة في تلك السلسلة صالحة حتى يتم قبول الشهادة.

تمر الشهادة نفسها بدورة حياة محددة:

1. إنشاء زوج المفاتيح، حيث يقوم الطرف الطالب بإنشاء مفتاح عام ومفتاح خاص.
2. طلب توقيع الشهادة (CSR)، حيث يقوم الطالب بتجميع المفتاح العام مع المعلومات التعريفية وإرساله إلى جهة إصدار الشهادات (CA).
3. التحقق من صحة شهادة المصدق الرقمي (CA)، حيث تقوم شهادة المصدق الرقمي (أو سلطة التسجيل التي تعمل نيابة عنها) بالتحقق من هوية مقدم الطلب.
4. الإصدار، حيث تقوم السلطة المصدقة (CA) بتوقيع الشهادة باستخدام مفتاحها الخاص.
5. التوزيع، حيث يتم تثبيت الشهادة على الخادم أو الجهاز أو حساب المستخدم الذي سيستخدمها.
6. يُستخدم في الحالات التي تثبت فيها الشهادة الهوية وتتيح إجراء عمليات التشفير أو التوقيع.
7. التجديد، قبل انتهاء صلاحية الشهادة.
8. الإلغاء، في حالة تعرض الشهادة للاختراق أو عند انتفاء الحاجة إليها.

تنطوي كل خطوة من هذه الخطوات على آثار أمنية، وتعود معظم التحديات التشغيلية المتعلقة بنظام البنية التحتية للمفاتيح العامة (PKI) إلى إحدى هذه الخطوات.

يعتمد عمل البنية التحتية للمفاتيح العامة (PKI) على عدة عناصر مترابطة. ويؤدي كل عنصر منها دورًا محددًا في إصدار الشهادات، والتحقق من صحتها، وإدارتها طوال دورة حياتها.

سلطة التصديق (CA)

سلطة التصديق هي الطرف الثالث الموثوق به الذي يصدر الشهادات الرقمية. تقوم سلطة التصديق (CA) بتوقيع كل شهادة بمفتاحها الخاص، وهو ما يسمح للأطراف المعتمدة بالتحقق من صحة الشهادة. تستخدم معظم البنى التحتية للمفاتيح العامة (PKI) نظامًا هرميًا: حيث تقوم سلطة تصديق جذرية غير متصلة بالإنترنت بتوقيع شهادات سلطات التصديق الوسيطة، والتي تقوم بدورها بتوقيع شهادات الكيانات النهائية. يحد هذا الهيكل من تعرض المفتاح الجذري للخطر ويوفر للمشغلين وسيلة لتقسيم الثقة إلى أقسام منفصلة.

سلطة التسجيل (RA)

تتحقق سلطة التسجيل من هوية أي شخص يطلب شهادة. في بعض حالات النشر، تعمل سلطة التصديق (CA) بصفتها سلطة التسجيل (RA) الخاصة بها. وفي حالات أخرى، لا سيما على نطاق المؤسسات، تتولى سلطة تسجيل منفصلة عملية التحقق، حتى تتمكن سلطة التصديق من التركيز على العمليات التشفيرية. وفي كلتا الحالتين، تعتمد قوة البنية التحتية للمفاتيح العامة (PKI) على مدى دقة سلطة التسجيل في أداء مهامها.

الشهادات الرقمية (X.509)

يحدد معيار X.509 تنسيق معظم الشهادات الرقمية المستخدمة حاليًا. تحتوي شهادة X.509 على الاسم المميز للجهة المعنية، والمفتاح العام للجهة المعنية، واسم الجهة المانحة للشهادة (CA)، وتاريخي إصدار الشهادة وانتهاء صلاحيتها، ورقمًا تسلسليًّا، والاستخدامات المسموح بها، وتوقيع الجهة المانحة للشهادة (CA). وهذا التوقيع هو ما يحول مجموعة من البيانات التعريفية إلى بيانات اعتماد قابلة للتحقق.

قائمة إلغاء الشهادات (CRL) وبروتوكول OCSP

في بعض الأحيان، يتعين إبطال صلاحية الشهادات قبل انتهاء صلاحيتها، إما بسبب تعرض المفتاح الخاص للاختراق، أو مغادرة أحد الموظفين للمؤسسة، أو إصدار الشهادة عن طريق الخطأ. وقائمة الشهادات الملغاة (CRL) هي قائمة موقعة بالشهادات الملغاة تنشرها هيئة إصدار الشهادات (CA) وفقًا لجدول زمني منتظم. ويوفر بروتوكول حالة الشهادات عبر الإنترنت (OCSP) بديلاً في الوقت الفعلي، حيث يتيح للطرف المعتمد أن يستفسر من جهة إصدار الشهادات (CA) عما إذا كانت شهادة معينة لا تزال صالحة في لحظة الاستخدام.

نظام إدارة ومستودع الشهادات

يجب تخزين الشهادات في مكان ما وإدارتها من قبل شخص ما. ويحتوي مستودع الشهادات على الشهادات الصادرة بحيث يمكن استرجاعها عند الحاجة. ويقوم نظام إدارة الشهادات بمعالجة الأعمال التشغيلية المتعلقة بإصدار الشهادات وتوزيعها وتجديدها وإلغائها على نطاق واسع. وفي المؤسسات التي تستخدم آلاف أو عشرات الآلاف من الشهادات، غالبًا ما تكون طبقة الإدارة هذه هي الفارق بين بنية المفاتيح العامة (PKI) التي تعمل بشكل سليم وتلك التي تتسبب في انقطاع الخدمة.

المفاتيح الخاصة بالأرشفة والاستعادة

تُعد المفاتيح الخاصة أسرارًا، لكنها في الوقت نفسه أصول حيوية للأعمال. فإذا فُقد مفتاح خاص يُستخدم لتشفير البيانات، فقد يتعذر استعادة البيانات المشفرة. وتقوم أنظمة أرشفة المفاتيح بتخزين نسخ من بعض المفاتيح الخاصة بشكل آمن، بحيث يمكن استعادة البيانات عند الحاجة، مع تحقيق التوازن بين إمكانية الاستعادة ومخاطر الكشف عن المفتاح.

تتبع جميع الشهادات الرقمية نفس التنسيق الأساسي، لكنها تصدر لأغراض مختلفة وتترتب عليها آثار مختلفة من حيث الثقة. ومن المفيد لأي شخص يسعى إلى تحديد كيفية دمج البنية التحتية للمفاتيح العامة (PKI) في استراتيجية أمنية أوسع نطاقًا أن يفهم ما يحميه كل نوع من هذه الشهادات.

شهادات طبقة المقابس الآمنة (SSL)/أمان طبقة النقل (TLS)

تأمين حركة المرور بين العملاء والخوادم على الويب. هذا هو الاستخدام الأكثر شيوعًا لنظام البنية التحتية للمفاتيح العامة (PKI)، وهو موجود فعليًّا في كل موقع ويب يستخدم بروتوكول HTTPS، ونقطة نهاية واجهة برمجة التطبيقات (API)، وخدمة شبكة مشفرة.

شهادات توقيع البرامج

السماح لناشري البرامج بتوقيع التطبيقات وبرامج التشغيل والنصوص البرمجية. وعندما يقوم مستخدم أو نظام تشغيل بتشغيل رمز موقّع، يمكنه التحقق من المصدر والتأكد من أن الرمز لم يتعرض لأي تلاعب منذ توقيعه.

البريد الإلكتروني وشهادات S/MIME

تمكين المستخدمين من توقيع رسائل البريد الإلكتروني حتى يتمكن المستلمون من التحقق من هوية المرسل، وتشفير رسائل البريد الإلكتروني بحيث لا يتمكن من قراءتها سوى المستلمون المقصودون. وهو أمر شائع في القطاعات الخاضعة للتنظيم والجهات الحكومية.

شهادات مصادقة العملاء

تحديد هوية المستخدمين والأجهزة التي تدخل إلى الأنظمة. وتعتمد على هذه الفئة البطاقات الذكية، وبطاقات الوصول الموحدة (CAC)، وبطاقات التحقق من الهوية الشخصية (PIV) المستخدمة في مختلف الوكالات الفيدرالية. كما يمكن لمفاتيح الأمان المادية استخدامها، مثل سلسلة مفاتيح RSA iShield Key 2.

شهادات توقيع المستندات

تطبيق التوقيعات المشفرة على ملفات PDF والمستندات الإلكترونية الأخرى، مما يضفي صفة قانونية وقيمة إثباتية على العقود والمستندات المقدمة والسجلات الموقعة.

شهادات هوية الأجهزة والآلات

إصدار هويات قابلة للتحقق لأجهزة إنترنت الأشياء (IoT) والخوادم والحاويات وأحمال العمل. ومع تزايد عدد هويات الأجهزة إلى الملايين في بعض البيئات، يُعد هذا أحد الاستخدامات التي تشهد نمواً سريعاً لنظام البنية التحتية للمفاتيح العامة (PKI).

المصادقة عبر البنية التحتية للمفاتيح العامة هي عملية استخدام شهادة رقمية، والمفتاح الخاص المقترن بها، لإثبات الهوية. فبدلاً من كتابة كلمة مرور أو إدخال رمز لمرة واحدة، يقدم المستخدم أو الجهاز شهادة ويثبت بطريقة تشفيرية امتلاكه للمفتاح الخاص المطابق من خلال الرد على استفزاز من النظام المعتمد.

بالمقارنة مع كلمات المرور والرموز التي تُستخدم لمرة واحدة، تتميز المصادقة القائمة على الشهادات بخاصيتين هامتين. أولاً، إنها مقاومة لعمليات التصيد الاحتيالي. فلا يمكن إدخال المفتاح الخاص في صفحة تسجيل دخول مزيفة أو إرساله إلى مهاجم يعترض رسالة ما. فهو يبقى على جهاز المستخدم النهائي أو في جهاز رمزي (token)، ولا يُجرى به أي عمليات تشفير إلا محليًّا. ثانياً، إنها تقلل من العوائق التي يواجهها المستخدم. بمجرد توفير الشهادة، يمكن أن يصبح مسار المصادقة شفافاً، ولا يتطلب أي إدخال إضافي سوى لمس بطاقة ذكية أو إلغاء قفل الجهاز.

تعد المصادقة القائمة على الشهادات أساسًا للتقنيات الحديثة مصادقة بدون كلمة مرور ومقاومة للتصيد الاحتيالي مصادقة متعددة العوامل, ، وهي إحدى الركائز الأساسية لبناء الهوية التي تعتمد عليها بنى «الصفر ثقة». فبدلاً من الوثوق بموقع شبكي معين، تتطلب بنية «الصفر ثقة» إثبات الهوية في كل قرار يتعلق بالوصول، وتوفر البنية التحتية للمفاتيح العامة (PKI) هذا الإثبات في شكل دائم وقابل للتحقق ويصعب تزويره.

تظهر البنية الأساسية للمفاتيح العامة (PKI) في العديد من المجالات، لكن معظم تطبيقاتها تندرج ضمن بضع فئات عامة. وتحل كل فئة منها فئة محددة من مشكلات الثقة.

تأمين الاتصالات

يُعد بروتوكول TLS المثال الأكثر شيوعًا، حيث يعمل على حماية حركة مرور الويب وطلبات واجهة برمجة التطبيقات (API) ورسائل البريد الإلكتروني أثناء نقلها. كما تعتمد شبكات VPN والأنفاق بين المواقع على البنية التحتية للمفاتيح العامة (PKI) لمصادقة نقاط النهاية في القناة المشفرة. وفي كل حالة من هذه الحالات، توفر البنية التحتية للمفاتيح العامة (PKI) ضمان الهوية الذي يجعل التشفير ذا مغزى.

إثبات الأصالة والنزاهة

يتيح توقيع الكود لناشري البرامج إثبات أن الملفات الثنائية التي يوشك المستخدم على تشغيلها قد جاءت من المصدر المتوقع. ويؤدي توقيع المستندات نفس الغرض بالنسبة لملفات PDF والملفات الأخرى. وتستخدم آليات تحديث البرامج الثابتة والبرامج نظام البنية التحتية للمفاتيح العامة (PKI) لمنع المهاجمين من إرسال تحديثات ضارة إلى مجموعات الأجهزة.

التحقق من هوية المستخدمين والأجهزة

تتيح البطاقات الذكية وبطاقات CAC/PIV وعمليات تسجيل الدخول القائمة على الشهادات للمؤسسات التحقق من هوية الطرف المقابل في الجلسة، وذلك على جهاز يتوافق مع السياسة المعمول بها. وهنا يتقاطع نظام البنية التحتية للمفاتيح العامة (PKI) بشكل مباشر مع إدارة الهوية والوصول، وهو خيار قوي للبيئات التي تتطلب مستوى عالٍ من الضمان وعمليات نشر نموذج «الثقة الصفرية» (Zero Trust).

هوية الجهاز وحجم العمل

تعتمد البنى التحتية الحديثة على قدرة الخدمات والحاويات وأجهزة إنترنت الأشياء على المصادقة المتبادلة فيما بينها. وتُعد البنية التحتية للمفاتيح العامة (PKI) الآلية التي تمنح كل حمل عمل هوية قابلة للتحقق، بحيث يمكن اتخاذ قرارات الوصول بناءً على طبيعة الحمل نفسه، وليس فقط على مكانه على الشبكة.

إن استمرار استخدام بنية المفاتيح العامة (PKI) له سبب وجيه. فقليلٌ جدًّا من الأساليب الأخرى لبناء الثقة تعمل على نفس النطاق أو توفر نفس الضمانات التشفيرية.

• المصادقة المقاومة للتصيد الاحتيالي: لا تغادر المفاتيح الخاصة نقطة النهاية أبدًا، ولا يمكن للمهاجم الذي يعترض جلسة ما إعادة استخدامها، مما يجعل المصادقة القائمة على الشهادات مقاومة لتكتيكات سرقة بيانات الاعتماد التي تقوض فعالية كلمات المرور والمصادقة متعددة العوامل القائمة على الإشعارات. وقد كتبت شركة RSA في مقالات أخرى حول كيف يتجاوز المهاجمون المصادقة متعددة العوامل (MFA) ولماذا تُعدّ الأساليب المقاومة للتصيد الاحتيالي مهمة.
• السرية والنزاهة عبر الشبكات غير الموثوق بها: لا يمكن قراءة البيانات المشفرة باستخدام المفتاح العام للمستلم إلا من قبل صاحب المفتاح الخاص المطابق، كما يمكن التحقق من صحة البيانات الموقعة دون الحاجة إلى أي سر مشترك مسبق. وهذا المزيج هو ما يجعل التجارة والخدمات المصرفية والاتصالات الآمنة أمراً ممكناً عبر شبكة الإنترنت العامة.
• عدم الإنكار بالنسبة للمعاملات الموقعة:يُعد التوقيع الرقمي المدعوم بشهادة موثوقة دليلاً قوياً على أن طرفاً معيناً قد وافق على مستند أو معاملة معينة، وهو أمر مهم في السياقات القانونية والمالية وسياقات الامتثال.
• الثقة القابلة للتوسع:يمكن لسلطة إصدار الشهادات الواحدة أن تضمن هويات ملايين حاملي الشهادات، دون الحاجة إلى أن تقيم كل جهة معتمدة علاقة ثقة مباشرة مع كل واحد منهم.
• أساس نهج «الثقة الصفرية»:يحتاج كل عنصر فاعل في بنية «الثقة الصفرية»، سواء كان بشريًّا أو آليًّا، إلى هوية قابلة للتحقق منها. وتُعد البنية التحتية للمفاتيح العامة (PKI) وسيلةً موثوقةً لإصدار تلك الهويات والتحقق منها، وهي إحدى الركائز الأساسية لـ نهج «الثقة الصفرية» في مجال الأمن.
• التوافق بين اللوائح التنظيمية وإجراءات الضمان:تُقر كل من معايير FIPS والمعايير المشتركة (Common Criteria) وeIDAS، فضلاً عن المتطلبات الخاصة بقطاعات معينة مثل الحكومة والخدمات المالية والرعاية الصحية، بأن الآليات القائمة على البنية التحتية للمفاتيح العامة (PKI) تُعد وسيلة رقابة قوية لضمان الهوية والسلامة والسرية.

على الرغم من جميع نقاط قوتها، تنطوي البنية التحتية للمفاتيح العامة (PKI) على مخاطر تشغيلية حقيقية. فمعظم الحوادث المرتبطة بالبنية التحتية للمفاتيح العامة (PKI) لا تعود إلى خلل في التشفير نفسه، بل إلى خلل في الأنظمة والعمليات المحيطة به.

• انقطاع خدمة الشهادات: تؤدي الشهادات منتهية الصلاحية إلى تعطل الخدمات. فعندما تنتهي صلاحية شهادة على جهاز موازنة الأحمال، أو واجهة برمجة تطبيقات داخلية، أو موقع ويب متاح للجمهور دون أن يُلاحظ ذلك، تتوقف الأنظمة المعتمدة عليها عن العمل. وتعد حالات الانقطاع البارزة التي تُعزى إلى الشهادات منتهية الصلاحية نمطًا متكررًا.
• اختراق المفتاح الخاص: في حالة تعرض المفتاح الخاص للاختراق، تصبح كل الشهادات الموقعة به معرضة للخطر، وتصبح كل جلسة أو توقيع يعتمد عليه موضع شك. وعادةً ما يعني التعافي من اختراق المفتاح الخاص إلغاء الشهادات وإعادة إصدارها على نطاق واسع.
• حل وسط بشأن حساب CA:يمكن للمهاجم الذي يخترق هيئة إصدار الشهادات (CA) إصدار شهادات مزورة تحظى بثقة المتصفحات وأنظمة التشغيل والأطراف المعتمدة الأخرى. وقد أدت حالات الاختراق السابقة لهيئات إصدار الشهادات إلى انتشار عدم الثقة على نطاق واسع وإلى الاستبدال القسري لعدد كبير من الشهادات.
• ثغرات الإلغاء:لا يقوم كل عميل بالتحقق من قوائم الشهادات الملغاة (CRL)، كما أن استجابات بروتوكول OCSP قد تتعرض لـ«فشل مؤقت» في ظل ظروف شبكية يمكن للمهاجمين استغلالها. وحتى عندما تعمل عملية الإلغاء وفقًا للتصميم المقصود، غالبًا ما تكون هناك فترة زمنية تظل خلالها الشهادة الملغاة تعمل فعليًّا.
• توسع الشهادات:تدير المؤسسات الحديثة عشرات الآلاف من الشهادات عبر الخدمات السحابية، والأنظمة المحلية، ونقاط النهاية، وهويات الأجهزة. وبدون وجود قائمة جرد مركزية، من السهل أن يفقد المرء تتبع ما تم إصداره، وأين تم تثبيته، ومتى تنتهي صلاحيته.
• التهديد ما بعد الكمّي:تُعتبر خوارزميات RSA والمنحنيات الإهليلجية، التي تشكل الأساس لمعظم أنظمة البنية التحتية للمفاتيح العامة (PKI) اليوم، آمنة في مواجهة أجهزة الكمبيوتر التقليدية، ولكن ليس في مواجهة أجهزة الكمبيوتر الكمومية الكبيرة بما يكفي. وقد بدأ المعهد الوطني للمعايير والتقنية (NIST) في توحيد معايير خوارزميات التشفير ما بعد الكم، ويجب على المؤسسات التي تعتمد على البنية التحتية للمفاتيح العامة (PKI) التخطيط لعملية انتقال تمتد لعدة سنوات.

إن بنية المفاتيح العامة (PKI) التي تُدار بشكل جيد ليست مجرد مجموعة من المكونات التشفيرية، بل هي نظام تشغيلي منظم. وتساهم الممارسات الواردة أدناه في تقليل مخاطر حدوث الأعطال المذكورة أعلاه.

الحفاظ على قائمة كاملة بالشهادات

تتبع كل شهادة عبر الخدمات السحابية، والأنظمة المحلية، ونقاط النهاية، وهويات الأجهزة. نادرًا ما تفي جداول البيانات اليدوية بالغرض في البيئات الحديثة، وتعد أداة الاكتشاف والجرد استثمارًا مجديًّا لأي مؤسسة على نطاق واسع.

أتمتة إدارة دورة حياة الشهادات

يؤدي الإصدار والتجديد والتثبيت الآلي إلى القضاء على الأخطاء البشرية التي تتسبب في معظم حالات انقطاع الشهادات. كما أن الأتمتة تجعل الشهادات قصيرة الأجل خيارًا عمليًّا، مما يقلل من المخاطر في حالة تعرض المفتاح للاختراق.

تطبيق حماية قوية للمفاتيح

قم بتخزين المفاتيح الخاصة لشهادة المصدق (CA) في وحدات الأمان المادية (HSMs)، وحماية مفاتيح الكيانات النهائية من خلال التخزين الآمن للمفاتيح على نقطة النهاية أو في رمز مادي. تعتمد قوة البنية التحتية للمفاتيح العامة (PKI) في نهاية المطاف على مدى جودة حماية مفاتيحها الخاصة.

استخدم الشهادات قصيرة الأجل حيثما أمكن ذلك

تؤدي فترات صلاحية الشهادات الأقصر إلى تقليل نطاق تأثير المفتاح المخترق، وتجعل عملية الإلغاء أقل أهمية من الناحية التشغيلية. وتعد الأتمتة شرطًا أساسيًا في هذا الصدد، لأن التجديد اليدوي للشهادات قصيرة الصلاحية على نطاق واسع أمر غير عملي.

تنفيذ عملية تدقيق قوية لإلغاء الصلاحية

إن استخدام تقنية OCSP stapling، وفترات التحديث القصيرة لقوائم الشهادات الملغاة (CRL)، وسياسات الفشل التام عند الاقتضاء، كلها عوامل تساعد في سد الثغرات التي تجعل الشهادات الملغاة لا تزال صالحة للاستخدام في الواقع العملي. ولا يكون الإلغاء فعالاً إلا عندما تقوم الأطراف المعتمدة بالتحقق فعليًّا.

خطة لتحقيق المرونة في مجال العملات المشفرة والانتقال إلى عصر ما بعد الكم

قم بإجراء جرد للخوارزميات التشفيرية المستخدمة في جميع أنحاء البيئة، وافهم أي الأنظمة تعتمد عليها، وابدأ في تقييم الخيارات ما بعد الكم مع نضوج معايير المعهد الوطني للمعايير والتقنية (NIST). ستستغرق عملية الانتقال سنوات، وستكون المفاجآت غير المرغوب فيها أقل لدى المؤسسات التي تبدأ في ذلك مبكرًا.

التسلسلات الهرمية للقطاع CA

يجب الحفاظ على شهادات المصادقة الجذرية (CA) في وضع غير متصل بالإنترنت، ومراقبة شهادات المصادقة الوسيطة (CA) بشكل صارم، وتطبيق سياسات الشهادات المناسبة على كل مستوى وحالة استخدام. فالتسلسل الهرمي المقسم جيدًا يحد من تأثير أي اختراق فردي.

لقد غيّرت فلسفة «الثقة الصفرية» الافتراضات التي تعمل في ظلها فرق الأمن. فلم يعد الموقع على الشبكة يعني الثقة تلقائيًّا، ويجب تقييم كل طلب وصول على أساس مزاياه الخاصة. ولا يعمل هذا النموذج إلا إذا كان لكل جهة فاعلة في البيئة هوية يمكن التحقق منها بدرجة عالية من اليقين، وهنا تصبح البنية التحتية للمفاتيح العامة (PKI) أساسية.

بالنسبة للمستخدمين، توفر البنية التحتية للمفاتيح العامة (PKI) مصادقة قائمة على الشهادات تقاوم عمليات التصيد الاحتيالي وتعمل عبر الأجهزة والتطبيقات. أما بالنسبة للأجهزة، فهي توفر هوية قابلة للتحقق يمكن التحقق منها عند كل قرار يتعلق بالوصول. وبالنسبة لأحمال العمل والخدمات، فإنها تتيح هوية الجهاز على النطاق الذي تتطلبه البنى الحديثة. إدارة الهوية والوصول (IAM)،,حوكمة الهوية وإدارتها(IGA)، وإدارة هوية الأجهزة، كلها تستند إلى الثقة التي توفرها البنية التحتية للمفاتيح العامة (PKI). وبدونها، تصبح «الثقة الصفرية» مجرد مجموعة من السياسات التي لا يوجد ما يدعمها بشكل دائم لإنفاذها.

تُعد البنية التحتية للمفاتيح العامة (PKI) طبقة الثقة التي تتيح بهدوء معظم ما تعتبره فرق الأمن أمراً مفروغاً منه، بدءاً من حركة المرور الآمنة على الويب وصولاً إلى البرامج الموقعة ومروراً بمصادقة المستخدمين القائمة على الشهادات. ومع توجه المؤسسات نحو نموذج «الثقة الصفرية» (Zero Trust)، واستمرار توسع هويات الأجهزة والهويات غير البشرية الأخرى، أصبحت البنية التحتية للمفاتيح العامة (PKI) مستوى تحكم استراتيجيًّا بدلاً من مجرد أداة مساعدة تعمل في الخلفية. ويتطلب تشغيلها بشكل جيد انضباطًا تشغيليًّا يشمل الجرد، والأتمتة، وحماية المفاتيح، والتخطيط الاستشرافي للتشفير ما بعد الكم.

تتمتع شركة RSA بتاريخ عريق في هذا المجال. تُعد خوارزمية RSA بحد ذاتها أحد أنظمة التشفير الأساسية القائمة على المفتاح العام التي مكنت من ظهور البنية التحتية الحديثة للمفاتيح العامة (PKI)، ولا تزال RSA تساعد المؤسسات على الاستفادة من هذه التقنية التشفيرية من خلال المصادقة القائمة على الشهادات، وأجهزة المصادقة، وحلول الهوية المصممة للبيئات التي تتطلب درجة عالية من الأمان. اكتشف كيف تدعم RSA المصادقة القائمة على الشهادات والمقاومة للتصيد الاحتيالي من خلال RSA ID Plus.