ملخص البرمجة والذكاء الاصطناعي تانية ثانوي، الترم الأول الأمن السيبراني

أهداف التعلم

1. شرح كيفية حماية بروتوكول HTTPS للاتصال عبر الإنترنت باستخدام مصافحة TLS.
2. توضيح دور التشفير بالمفتاح العام (asymmetric) والتشفير بالمفتاح المتناظر (symmetric) في تأمين نقل البيانات.
3. تعريف المصادقة الثنائية (Two‑Factor Authentication) والمصادقة متعددة العوامل (Multi‑Factor Authentication) وتبيان فائدتها في منع الدخول غير المصرح به.
4. بيان كيفية عمل الشهادات الرقمية والتوقيع الرقمي في إثبات هوية الخادم وضمان عدم التنصل.
5. ربط تقنيات التشفير بالمصادقة لتكوين نظام أمان شامل يقلل من مخاطر التنصت، التلاعب، وانتحال الهوية.
6. تطبيق المفاهيم على خدمات حقيقية مثل الخدمات المصرفية عبر الإنترنت والتسوق الإلكتروني.

المصطلحات والتعريفات

آلية عمل HTTPS ومصافحة TLS

HTTPS يضيف طبقة TLS إلى بروتوكول HTTP لتأمين الاتصال بين المتصفح (العميل) والخادم. تبدأ العملية بـ مصافحة TLS التي تتضمن عدة مراحل:

1. إرسال الشهادة الرقمية: يرسل الخادم شهادته الرقمية إلى المتصفح. تحتوي الشهادة على المفتاح العام للخادم وسلسلة الثقة التي تصدرها سلطة شهادة موثوقة.
2. التحقق من الشهادة: يتحقق المتصفح من صلاحية الشهادة، من تاريخ الانتهاء، ومن تطابق اسم النطاق مع ما هو مذكور في الشهادة. إذا فشل التحقق، يُظهر المتصفح تحذيرًا للمستخدم.
3. تبادل مفاتيح الجلسة: يستخدم المتصفح المفتاح العام للخادم لتشفير مفتاح جلسة عشوائي (session key) ثم يرسله إلى الخادم. يفتحه الخادم بمفتاحه الخاص، فيصبح كلا الطرفين يمتلكان نفس المفتاح السري.
4. تشفير البيانات: تُستَخدم الآن خوارزمية تشفير متناظر (مثل AES) لتشفير جميع البيانات المتبادلة باستخدام مفتاح الجلسة.

المعادلة التي تُظهر استخراج مفتاح الجلسة يمكن تمثيلها بـ

$$K_{\text{session}} = \text{Decrypt}{\text{private}} \big( \text{Encrypt}{\text{public}}(K_{\text{session}}^{\text{rand}}) \big)$$

حيث $K_{\text{session}}^{\text{rand}}$ هو المفتاح العشوائي المُولد من قبل المتصفح.

نقاط أساسية

• سرية البيانات تتحقق بفضل التشفير المتناظر بعد إنشاء مفتاح الجلسة.
• سلامة البيانات تُضمن عبر آليات التحقق من التكامل (MAC أو HMAC) داخل TLS.
• التحقق من الهوية يتم عبر الشهادة الرقمية وسلسلة الثقة.

المصادقة المتعددة العوامل (MFA)

المصادقة تُعنى بالتأكد من هوية المستخدم قبل منحه حق الوصول. الاعتماد على كلمة المرور فقط يُعدّ ضعيفًا؛ لذا تُستَخدم عوامل إضافية لتقليل مخاطر الاختراق.

الفروقات بين المصادقة الثنائية (2FA) والمصادقة متعددة العوامل (MFA)

كيف يعمل MFA في الواقع؟

1. العامل الأول (المعرفة): يُدخل المستخدم كلمة مرور أو PIN.
2. العامل الثاني (الحيازة): يُطلب منه إدخال رمز يُولد من تطبيق توثيق (Google Authenticator) أو يُستقبل عبر رسالة SMS.
3. العامل الثالث (السمات الحيوية): يُطلب مسح بصمة الإصبع أو التعرف على الوجه باستخدام جهاز يدعم هذه التقنية.

بعد استيفاء جميع العوامل، يُمنح المستخدم توكن جلسة (session token) يُستخدم للوصول إلى الموارد المطلوبة.

تطبيقات وأمثلة محلولة

مثال 1: تسجيل الدخول إلى تطبيق مصرفي باستخدام 2FA

الخطوات

1. يفتح المستخدم تطبيق البنك ويُدخل اسم المستخدم وكلمة المرور (العامل الأول – المعرفة).
2. يرسل الخادم طلبًا لتوليد رمز OTP ويُرسله إلى هاتف المستخدم عبر رسالة SMS (العامل الثاني – الحيازة).
3. يُدخل المستخدم الرمز المستلم؛ إذا كان صحيحًا، يُنشئ الخادم توكن جلسة مشفرًا باستخدام TLS ويُرسله إلى التطبيق.
4. جميع البيانات المتبادلة (مثل تفاصيل الحساب) تُشفّر بالمفتاح المتناظر المستخرج من مصافحة TLS.

النتيجة: لا يمكن للمهاجم الذي يحصل على كلمة المرور فقط الدخول إلى الحساب؛ يحتاج إلى الوصول إلى هاتف المستخدم لتوليد الرمز.

مثال 2: إتمام عملية شراء إلكترونية عبر موقع HTTPS مع توقيع رقمي

الخطوات

1. يزور المستخدم موقعًا يُظهر القفل الأخضر في شريط العنوان، ما يعني أن الاتصال محمي بـ HTTPS.
2. المتصفح يتحقق من شهادة الموقع الرقمية؛ إذا كانت صالحة، يُستكمل إنشاء مفتاح الجلسة عبر مصافحة TLS.
3. يُدخل المستخدم بيانات بطاقة الائتمان؛ تُشفّر هذه البيانات بالمفتاح المتناظر وتُرسل إلى الخادم.
4. قبل إتمام الطلب، يُضيف الخادم توقيعًا رقميًا على تفاصيل الطلب باستخدام مفتاحه الخاص؛ يُرسل التوقيع مع الطلب إلى العميل.
5. يتحقق المتصفح من صحة التوقيع باستخدام المفتاح العام الموجود في شهادة الخادم، ما يضمن عدم التنصل (non‑repudiation).

النتيجة: يضمن هذا السيناريو سرية البيانات (بفضل TLS) وصحة هوية الخادم (بفضل الشهادة) وكذلك عدم إمكانية إنكار العملية (بفضل التوقيع الرقمي).

تنبيهات الامتحان (أخطاء شائعة)

1. خلط بين التشفير بالمفتاح العام والمفتاح المتناظر – لا يُستخدم المفتاح العام لتشفير كميات كبيرة من البيانات بسبب بطئه؛ يُستَخدم فقط لتبادل مفتاح الجلسة.
2. إغفال خطوة التحقق من الشهادة – اعتبار أن وجود القفل الأخضر يكفل أمانًا كاملًا دون فحص صلاحية الشهادة قد يؤدي إلى هجمات “Man‑In‑The‑Middle”.
3. الاعتماد على كلمة مرور واحدة فقط – في أسئلة المصادقة، يجب ذكر ضرورة إضافة عوامل إضافية (2FA أو MFA) لتقليل مخاطر الاختراق.
4. سوء تفسير “عدم التنصل” – لا يعني مجرد تشفير البيانات، بل يتطلب توقيعًا رقميًا يُثبت أن المرسل لا يمكنه إنكار محتوى الرسالة.

قائمة المراجعة

• [ ] تعريف HTTPS ومكوناته (TLS، الشهادة الرقمية).
• [ ] شرح خطوات مصافحة TLS بالتفصيل.
• [ ] توضيح الفرق بين التشفير بالمفتاح العام والمتناظر.
• [ ] كتابة معادلة استخراج مفتاح الجلسة باستخدام المفتاح العام.
• [ ] تعريف الشهادة الرقمية ودورها في التحقق من هوية الخادم.
• [ ] شرح مفهوم التوقيع الرقمي وعلاقته بعدم التنصل.
• [ ] تعريف المصادقة الثنائية (2FA) ومثال عملي عليها.
• [ ] تعريف المصادقة متعددة العوامل (MFA) وتوضيح الفئات الثلاث (المعرفة، الحيازة، السمات الحيوية).
• [ ] مقارنة جدولية بين 2FA وMFA مع ذكر مزايا وعيوب كل منهما.
• [ ] تقديم مثالين محلولين يبرزان دمج التشفير مع المصادقة.
• [ ] مراجعة الأخطاء الشائعة في أسئلة الامتحان وتجنبها.
• [ ] التأكد من كتابة جميع المصطلحات بالخط العريض عند الحاجة لتسليط الضوء.
• [ ] مراجعة النص للتأكد من عدم وجود روابط أو صور أو HTML.

بالتوفيق في امتحاناتك!