تقنيات التشفير والتحقق من الهوية

HTTPS بيشتغل إزاي؟

HTTPS = HTTP + تشفير TLS. بيوفر تشفير، اكتشاف التلاعب، والتأكد من هوية الطرف التاني، فبيحميك من التنصت (eavesdropping) والتلاعب (tampering) وانتحال الشخصية (impersonation). إجراءات بدء الاتصال الآمن اسمها TLS handshake.

ثلاث مراحل

• 1) الاتصال: السيرفر يبعت شهادة رقمية + مفتاح عام (public key)، والمتصفح يتأكد من صحة السيرفر عن طريق CA (جهة إصدار الشهادات). — تشفير بالمفتاح العام.
• 2) تبادل المفتاح: المتصفح يعمل مفتاح مشترك (common key)، يشفّره بالمفتاح العام للسيرفر ويبعته، والسيرفر يفكّه بمفتاحه الخاص (private key).
• 3) تبادل البيانات: البيانات تتشفر وتتبادل بالمفتاح المشترك — تشفير بالمفتاح المشترك (symmetric).

ليه الاتنين؟

المفتاح العام (public-key) مناسب لـ مشاركة المفتاح بأمان. المفتاح المشترك (common/symmetric-key) مناسب لـ تبادل كمية كبيرة من البيانات بسرعة. التقسيم ده بيحقق الأمان والسرعة مع بعض.

تذكّر: المفتاح العام بيقفل والخاص بيفتح. وفي التوقيع الرقمي بيتعكس: الخاص بيوقّع والعام بيتحقق.

التحقق متعدد العوامل (MFA)

بيجمع عاملين أو أكتر من التلاتة: Knowledge (حاجة تعرفها كباسورد)، Possession (حاجة معاك كموبايل/كارت)، Biometric (بصمة/وجه). لو عامل واحد اتكسر، التاني لسه يمنع الدخول.

• البنك الإلكتروني: باسورد + one-time password.
• السوشيال ميديا: باسورد + SMS.
• لابتوب الشركة: smart card + بصمة.
• الشراء الأونلاين: باسورد + كود 3-D Secure.

ربط التقنيات ببعض

• Encryption: يمنع الغير من قراءة المحتوى.
• Digital signature: يكشف التلاعب وانتحال المرسل، ويمنع المرسل من إنكار الإرسال (non-repudiation).
• Digital certificate: يتأكد إن الطرف التاني حقيقي.
• MFA: يمنع الدخول غير المصرح به.