Securing the Web with HSTS-Enforced
تقدم هذه الورقة "HSTS-Enforced"، وهي آلية أمنية مبتكرة تعكس النموذج الحالي القائم على الاختيار (opt-in) إلى نهج الاختيار من عدمه (opt-out) لبروتوكول HTTPS افتراضياً باستخدام سجلات نظام أسماء النطاقات (DNS) وقوائم التحميل المسبق (preload lists)، مما يقضي على ثغرات تجريد طبقة النقل الآمنة (TLS stripping) مع الحفاظ على إمكانية الوصول للمواقع التي تتطلب بروتوكول HTTP.
البحث الأصلي مرخَّص بموجب CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). هذا شرح مولَّده بالذكاء الاصطناعي للبحث أدناه. لم يكتبه المؤلفون ولم يصادقوا عليه. وللتحقق من الدقة التقنية، يرجى الرجوع إلى البحث الأصلي. اقرأ إخلاء المسؤولية الكامل
تخيل الإنترنت كشبكة ضخمة من الطرق. لسنوات، كانت لدينا قاعدة تقول: "إذا أردت القيادة على الطريق السريع (HTTPS)، فأنت بحاجة إلى تصريح خاص". لكن المشكلة هنا هي أن الحصول على هذا التصريح أمر اختياري. إذا نسيت الحصول عليه، أو إذا قام طرف سيئ (مخترق) بقطع طريقك إلى الطريق السريع، فستضطر سيارتك لاتخاذ طريق ترابي وعر ومكشوف (HTTP). وعلى هذا الطريق الترابي، يمكن لأي شخص يقف بجانب الطريق أن ينظر داخل سيارتك، أو يسرق أمتعتك، أو حتى يستبدل ركابك بآخرين مزيفين.
تقدم هذه الورقة نظامًا جديدًا يسمى HSTS-Enforced. فكر في الأمر كقلب كامل لكتاب قواعد المرور.
الطريقة القديمة: الأمن "الاختياري" (Opt-In)
في الوقت الحالي، يتعين على أصحاب المواقع قول: "مهلاً، يرجى إغلاق أبوابي!" عن طريق إضافة "ترويسة" (header) محددة إلى موقعهم.
- العيب: إذا نسي المالك إضافة القفل، أو إذا قام مخترق بحجب الإشارة التي تخبر متصفحك بإغلاق الأبواب، فستظل صلتك غير مؤمنة.
- النتيجة: الأمر يشبه حيًا حيث يتعين عليك شراء قفل بابك بنفسك. إذا لم تفعل ذلك، أو إذا تعرض عامل التوصيل للسرقة، فسيكون منزلك مفتوحًا على مصراعيه.
الطريقة الجديدة: الأمن "الاستثنائي" (Opt-Out) - (HSTS-Enforced)
يقترح المؤلفون نظامًا يكون فيه كل موقع إلكتروني مغلقًا بشكل افتراضي.
- القاعدة: يفترض متصفحك أن كل موقع إلكتروني هو حصن منيع. وسيحاول فقط الدخول عبر البوابة الآمنة والمدرعة (HTTPS).
- الاستثناء: إذا كان موقع ما يحتاج حقًا لأن يكون مفتوحًا (ربما بسبب جهاز قديم لا يمكنه التعامل مع الأقفال، أو إعدادات راوتر محلي)، فيجب على المالك تعليق لافتة محددة جديدة وغير قابلة للتلاعب تقول: "من الآمن الدخول هنا بدون قفل".
"اللافتتان" (المؤشران)
كيف يعرف المتصفح أي المواقع مسموح لها أن تكون مفتوحة؟ تقترح الورقة طريقتين لتعليق تلك اللافتة:
- "قائمة التحميل المسبق" (الدليل الرئيسي):
تخيل دليلًا رسميًا ضخمًا تحتفظ به الشركات المصنعة للمتصفحات. إذا أراد صاحب موقع أن يكون مفتوحًا، فإنه يتقدم بطلب للإدراج في هذه القائمة. يتحقق المتصفح من هذه القائمة أولاً. إذا لم يكن الموقع مدرجًا في القائمة، يفترض المتصفح أنه مغلق ولن يسمح لك بالدخول بدون مفتاح آمن.
- التشبيه: يشبه الأمر قائمة "عدم الإزعاج" في الفنادق. إذا لم يكن اسمك في قائمة "عدم الإزعونة"، يفترض موظف الاستقبال أنك تريد أن يتم إيقاظك (تأمين اتصالك).
- "سجل HTTPREQ DNS" (الختم الرقمي):
هذا ختم رقمي خاص مرفق بعنوان الموقع في "دفتر العناوين" (DNS). وهو يستخدم ختمًا تشفيريًا (DNSSEC) يثبت أن صاحب الموقع هو من طلب فعليًا حالة "عدم وجود قفل".
- التشبيه: يشبه الأمر الختم الشمعي على الرسالة. إذا كان الختم مكسورًا أو مفقودًا، فإن المستلم يعرف أن الرسالة لم تكن مرخصًا رسميًا لفتحها.
لماذا هذا أفضل؟
تزعم الورقة أن هذا يحل ثلاث مشكلات رئيسية:
- لا مزيد من "ثغرات المرة الأولى": في النظام القديم، كنت معرضًا للخطر في المرة الأولى التي تزور فيها موقعًا حتى يتم تحميل "القفل". في هذا النظام الجديد، أنت محمي منذ اللحظة الأولى. لن يتم فتح القفل إلا إذا أثبت الموقع أنه يحتاج لذلك.
- لا مزيد من الأخطاء العرضية: غالبًا ما يرتكب أصحاب المواقع أخطاءً في إعدادات الأمان الخاصة بهم. في النظام القديم، كان الخطأ يعني أن موقعك مفتوح. في هذا النظام الجديد، الخطأ يعني فقط أن موقعك سيبقى مغلقًا (وهو أمر آمن). يجب عليك أن تحاول بنشاط كسر القواعد لتصبح مفتوحًا.
- لا مزيد من التتبع: تسمح بعض طرق الأمان القديمة للمواقع بتتبعك بناءً على إعداداتك الخاصة. هذا النظام الجديد يعامل الجميع بالتساوي ما لم توجد لافتة عامة محددة تقول خلاف ذلك، مما يجعل التجسس على المستخدمين أصعب.
ماذا عن الحالات "المعقدة"؟
يعلم المؤلفون أن بعض الأشياء يجب أن تظل مفتوحة، مثل صفحة الإعداد الخاصة بجهاز الراوتر المنزلي أو بوابة تسجيل الدخول في المقاهي (Captive Portal).
- الحل: يقوم النظام تلقائيًا بعمل استثناءات لأشياء مثل "localhost" (جهاز الكمبيوتر الخاص بك)، وعناوين IP، وأجهزة الشبكة المحلية. كما يسمح لـ "قائمة التحميل المسبق" بالتعامل مع حالات محددة حيث يثبت مالك الموقع أنه يحتاج إلى HTTP.
هل يبطئ هذا العملية؟
اختبر المؤلفون هذا في متصفح حقيقي (Chromium) ووجدوا:
- السرعة: بالنسبة لـ 99% من المواقع (المواقع الآمنة بالفعل)، لا يوجد أي تباطؤ. أنت فقط تقود على الطريق السريع.
- التكلفة: الوقت الوحيد الذي قد يصبح فيه الأمر أبطأ قليلاً هو إذا حاولت زيارة موقع قديم وغير مغلق. سيتعين على المتصفح التحقق من "الختم الرقمي" (DNSSEC) للتأكد من أنه آمن للدخول. هذا يضيف تأخيرًا طفيفًا (مثل التحقق من خريطة لبضع ثوانٍ)، لكنه ثمن صغير مقابل الأمان.
خطة الانتقال
يقترح المؤلفون عملية طرح تدريجي:
- المرحلة الأولى: منح أصحاب المواقع وقتًا لتحديث مواقعهم أو التقدم بطلب للقائمة "المفتوحة".
- المرحلة الثانية: تبدأ المتصفحات في فرض هذه القاعدة الجديدة بشكل افتراضي.
- المرحلة الثالثة: في النها respect، ستستخدم جميع أدوات الإنترنت (ليس فقط المتصفحات، بل أيضًا أدوات التحميل والتطبيقات) هذه القاعدة الآمنة افتراضيًا.
الخلاصة
يغير نظام HSTS-Enforced الإنترنت من مكان حيث يتعين عليك أن تأمل أن يكون منزلك مغلقًا، إلى مكان حيث كل منزل مغلق افتراضيًا، ويجب عليك إثبات أنك تحتاج لفتح الباب قبل أن يُفتح. إنه يمنع المخترقين من إجبارك على استخدام "الطريق الترابي" ويجعل الويب أكثر أمانًا للجميع، مع تكلفة شبه معدومة في السرعة أو الراحة.
غارق في أبحاث مجالك؟
تصلك نشرة يومية بأحدث الأبحاث المطابقة لكلماتك البحثية المفتاحية — مع ملخصات تقنية، بلغتك.