دعنا نشفّر ، وهي سلطة توقيع شهادة (CA) مجانية ومؤتمتة ومفتوحة من مجموعة أبحاث أمان الإنترنت (ISRG) غير الربحية ، قالت إنها أصدر مليار شهادة منذ إطلاقه في عام 2015.
أصدر المرجع المصدق الشهاده الاولى في سبتمبر 2015 ، قبل الوصول في النهاية 100 مليون في يونيو 2017. منذ أواخر العام الماضي ، أصدر Let's Encrypt ما لا يقل عن 1.2 مليون شهادة كل يوم.
يأتي هذا التطوير حيث بدأ استخدام أكثر من 80 بالمائة من تحميلات صفحات الويب HTTPS حول العالمو 91 في المئة في الولايات المتحدة وحدها.
يأتي HTTPS ، الوسيلة الافتراضية للاتصال الآمن على الإنترنت ، مع ثلاث مزايا: المصادقة والتكامل والتشفير. يسمح بإرسال طلبات HTTP عبر قناة مشفرة آمنة ، وبالتالي حماية المستخدمين من مجموعة من الأنشطة الضارة ، بما في ذلك تزوير الموقع ومعالجة المحتوى.
وقالت الشركة: "منذ عام 2017 ، بدأت المتصفحات تتطلب HTTPS لمزيد من الميزات ، وحسنت بشكل كبير الطرق التي يتواصلون بها مع مستخدميها حول مخاطر عدم استخدام HTTPS". "عندما تعرض مواقع الويب مستخدميها للخطر بسبب عدم استخدام HTTPS ، تُظهر المتصفحات الرئيسية الآن تحذيرات أقوى. استجابت العديد من المواقع بنشر HTTPS ".
تم إطلاقه بهدف تسريع معدل تشفير الويب وخفض تكاليف تمكين HTTPS ، يتيح بروتوكول تشفير ACME (بيئة إدارة الشهادات التلقائية) وسيلة سهلة إعداد وإصدار شهادات SSL يمكن أن يكون تم تجديده واستبداله بدون تدخل يدوي من مشرفي المواقع.
مؤسسة الحدود الإلكترونية Certbot هو أحد أشهر برامج ACME المجانية مفتوحة المصدر والتي تتيح استخدام HTTPS على مواقع الويب من خلال نشر شهادات Let's Encrypt تلقائيًا - وهي صالح فقط لمدة أيام 90 - وإدارة التجديدات.
ولكن مع سوء استخدام الممثلين السيئين فلنشفر شهادات HTTPS إخفاء حركة المرور الضارة وتوجيه المستخدمين غير المطمئنين إلى المواقع الضارةالشركة لديها الخطوات المتخذة إلى "التأكد من أن مقدم طلب الشهادة يتحكم فعليًا في النطاق الذي يريد الحصول على شهادة له."
آبل تخطو خطوة كبيرة إلى الأمام
لكن هذا ليس كل شيء. تمكنت شركة Apple من القيام بما كان يتردد في تحقيقه معظم المراجع المصدقة طوال هذا الوقت: اختصار الصلاحية القصوى للشهادات الصادرة إلى عام واحد.
أعلن عملاق التكنولوجيا مؤخرًا أنه بدءًا من 1 سبتمبر 2020 ، سيرفض Safari شهادات HTTPS الجديدة التي تنتهي أكثر من 13 شهرًا (أو 398 يومًا) من تاريخ إنشائها ، مما يؤدي إلى خفض عمر الشهادة الأقصى من 825 يوم.
يتبع هذا أ اقتراع فاشل عقدت في سبتمبر الماضي من قبل CA / Browser Forum لتقليل عمر الشهادة. رغم أن Let's Encrypt و certSIGN و Apple و Cisco و Google و Microsoft و Mozilla و Opera صوتوا لصالح هذه الخطوة ، فقد رفض ما يقرب من ثلثي CAs المشاركة الفكرة.
تحرك Apple لتقصير عمر شهادات HTTPS يعني أن عملاء CA مثل Let's Encrypt و ACME مثل Certbot سيصبحون أكثر قيمة للمضي قدمًا فقط ، لأنه سيجبر مسؤولي الموقع على استخدام شهادة صادرة لمدة عام واحد أو أقل.
كيف تزيد الشهادات قصيرة العمر من الأمان؟
يؤدي تحديد مدة صلاحية الشهادة إلى تحسين أمان موقع الويب ، ليس أقله لأنه يقلل من إمكانية سرقة المجرمين للشهادات المهملة لشن هجمات التصيّد والبرامج الضارة.
ثانيًا ، لا تتحقق إصدارات الجوال من Chrome و Firefox بشكل استباقي من حالة الشهادة ، مما يعني أن موقع الويب الذي تم إبطال شهادته سيستمر في التحميل دون إعطاء أي تحذير للمستخدم.
هذا هو أسباب الأداء حيث سيتعين على المتصفحات في نهاية المطاف تنزيل قوائم إبطال الشهادات (CRLs) التي يمكن أن تكون كبيرة الحجم ، مما يؤثر على تحميل الصفحة.
بدلاً من ذلك ، يستخدم Chrome مجموعات CRL "منع الشهادات في حالات الطوارئ" ، بينما كانت موزيلا تجرّب CRLite في بنياتها الليلية.
وبصرف النظر عن هذه التقنيات ، أعلن صانع Firefox أيضًا عن المواصفات الفنية لبروتوكول تشفير جديد يسمى "بيانات الاعتماد المفوضة لـ TLS، "التي" تسمح للشركات بالسيطرة الجزئية على عملية توقيع شهادات جديدة لأنفسهم - مع فترة صلاحية لا تزيد عن 7 أيام وبدون الاعتماد كليًا على سلطة الشهادة. "
وغني عن القول أن قرار شركة آبل بقطع عمر الشهادة يعد خطوة مهمة للأمن. وإذا كان يساعد بشكل استباقي على منع المستخدمين من الاتصال بمواقع الويب المخترقة ، فيمكن أن يكون ذلك أمرًا جيدًا فقط.
