HTTPS

📅 آخر تحديث: ٢٥ يوليو ٢٠٢٦
✍️ نُشر في: ٢٥ يوليو ٢٠٢٦
📷 يحتوي على 8 صور
الموسوعة الحرة

مجموعة بروتوكولات الإنترنت
طبقة التطبيق
طبقة النقل
طبقة الانترنت
طبقة الارتباط
  • ف
  • ت
  • هـ
HTTP
طرق الطلب
حقول الرأس
رموز حالة الاستجابة
طرق التحكم في الوصول الأمني
الثغرات الأمنية
  • ف
  • ت
  • هـ

بروتوكول نقل النص التشعبي الآمن ( HTTPS ) هو امتداد لبروتوكول نقل النص التشعبي (HTTP). يستخدم التشفير للاتصال الآمن عبر شبكة الكمبيوتر ، ويُستخدم على نطاق واسع على الإنترنت . [1] [2] في HTTPS، يتم تشفير بروتوكول الاتصال باستخدام أمان طبقة النقل (TLS) أو، سابقًا، طبقة مآخذ التوصيل الآمنة (SSL). لذلك يُشار إلى البروتوكول أيضًا باسم HTTP عبر TLS ، [3] أو HTTP عبر SSL .

الدوافع الرئيسية لـ HTTPS هي مصادقة موقع الويب الذي تم الوصول إليه وحماية خصوصية وسلامة البيانات المتبادلة أثناء نقلها. إنه يحمي من هجمات الرجل في المنتصف ، كما أن تشفير الكتلة ثنائي الاتجاه للاتصالات بين العميل والخادم يحمي الاتصالات من التنصت والتلاعب . [4] [ 5 ] يتطلب جانب المصادقة في HTTPS طرفًا ثالثًا موثوقًا به لتوقيع شهادات رقمية من جانب الخادم. كانت هذه عملية باهظة الثمن تاريخيًا، مما يعني أن اتصالات HTTPS المصادق عليها بالكامل كانت عادةً موجودة فقط على خدمات معاملات الدفع الآمنة وأنظمة المعلومات المؤسسية الآمنة الأخرى على شبكة الويب العالمية . في عام 2016، أدت حملة قامت بها مؤسسة الحدود الإلكترونية بدعم من مطوري متصفح الويب إلى انتشار البروتوكول بشكل أكبر. [6] يستخدم HTTPS الآن بشكل متكرر من قبل مستخدمي الويب أكثر من HTTP الأصلي غير الآمن، وذلك في المقام الأول لحماية صحة الصفحة على جميع أنواع مواقع الويب، وتأمين الحسابات، والحفاظ على خصوصية اتصالات المستخدم وهويته وتصفح الويب.

ملخص

عنوان URL يبدأ بمخطط HTTPS وعلامة اسم نطاق WWW

يحتوي مخطط معرف الموارد الموحد (URI) HTTPS على نفس قواعد الاستخدام لمخطط HTTP. ومع ذلك، يشير HTTPS إلى المتصفح لاستخدام طبقة تشفير إضافية من SSL/TLS لحماية حركة المرور. SSL/TLS مناسب بشكل خاص لـ HTTP، لأنه يمكن أن يوفر بعض الحماية حتى إذا تم مصادقة جانب واحد فقط من الاتصال . هذه هي الحال مع معاملات HTTP عبر الإنترنت، حيث يتم عادةً مصادقة الخادم فقط (من خلال فحص العميل لشهادة الخادم ).

ينشئ HTTPS قناة آمنة عبر شبكة غير آمنة. وهذا يضمن الحماية المعقولة من المتنصتين وهجمات الوسيط ، بشرط استخدام مجموعات تشفير مناسبة والتحقق من شهادة الخادم والثقة بها.

نظرًا لأن HTTPS يعتمد بالكامل على HTTP فوق TLS، فيمكن تشفير بروتوكول HTTP الأساسي بالكامل. يتضمن ذلك عنوان URL للطلب ومعلمات الاستعلام والرؤوس وملفات تعريف الارتباط (التي غالبًا ما تحتوي على معلومات تعريفية عن المستخدم). ومع ذلك، نظرًا لأن عناوين مواقع الويب وأرقام المنافذ هي بالضرورة جزء من بروتوكولات TCP/IP الأساسية ، فإن HTTPS لا يمكنه حماية الكشف عنها. في الممارسة العملية، يعني هذا أنه حتى على خادم ويب مُهيأ بشكل صحيح، يمكن للمتنصتين استنتاج عنوان IP ورقم المنفذ لخادم الويب، وأحيانًا حتى اسم المجال (على سبيل المثال www.example.org، ولكن ليس بقية عنوان URL) الذي يتواصل معه المستخدم، إلى جانب كمية البيانات المنقولة ومدة الاتصال، ولكن ليس محتوى الاتصال. [4]

تعرف متصفحات الويب كيفية الثقة في مواقع الويب التي تستخدم بروتوكول HTTPS استنادًا إلى السلطات المصدقة التي تأتي مثبتة مسبقًا في برامجها. وبهذه الطريقة، يثق منشئو متصفحات الويب في السلطات المصدقة لتوفير شهادات صالحة. لذلك، يجب على المستخدم أن يثق في اتصال HTTPS بموقع ويب إذا وفقط إذا كانت كل الشروط التالية صحيحة:

  • يثق المستخدم في أن جهازه الذي يستضيف المتصفح وطريقة الحصول على المتصفح نفسه غير معرض للخطر (أي لا يوجد هجوم على سلسلة التوريد ).
  • يثق المستخدم في أن برنامج المتصفح ينفذ HTTPS بشكل صحيح من خلال سلطات الشهادات المثبتة مسبقًا بشكل صحيح.
  • يثق المستخدم في هيئة الشهادة لضمان المواقع الإلكترونية المشروعة فقط (أي أن هيئة الشهادة غير معرضة للخطر ولا يوجد إصدار خاطئ للشهادات).
  • يوفر الموقع شهادة صالحة، مما يعني أنه تم توقيعها من قبل سلطة موثوقة.
  • تعمل الشهادة على تحديد موقع الويب بشكل صحيح (على سبيل المثال، عندما يقوم المتصفح بزيارة "https://example.com"، تكون الشهادة المستلمة مناسبة لـ "example.com" وليس لأي كيان آخر).
  • يثق المستخدم في أن طبقة تشفير البروتوكول (SSL/TLS) آمنة بدرجة كافية ضد المتنصتين.

يعد HTTPS مهمًا بشكل خاص على الشبكات غير الآمنة والشبكات التي قد تكون عرضة للتلاعب. تسمح الشبكات غير الآمنة، مثل نقاط الوصول إلى شبكة Wi-Fi العامة، لأي شخص على نفس الشبكة المحلية بتتبع الحزم واكتشاف المعلومات الحساسة غير المحمية بواسطة HTTPS. بالإضافة إلى ذلك، لوحظ أن بعض شبكات WLAN المجانية والمدفوعة تتلاعب بصفحات الويب من خلال الانخراط في حقن الحزم من أجل تقديم إعلاناتها الخاصة على مواقع ويب أخرى. يمكن استغلال هذه الممارسة بشكل ضار بعدة طرق، مثل حقن البرامج الضارة في صفحات الويب وسرقة المعلومات الخاصة للمستخدمين. [7]

يعد HTTPS مهمًا أيضًا للاتصالات عبر شبكة Tor ، حيث يمكن لعقد Tor الضارة إتلاف أو تغيير المحتويات التي تمر عبرها بطريقة غير آمنة وحقن البرامج الضارة في الاتصال. هذا هو أحد الأسباب التي دفعت مؤسسة الحدود الإلكترونية ومشروع Tor إلى بدء تطوير HTTPS Everywhere ، [4] والذي تم تضمينه في متصفح Tor. [8]

مع الكشف عن المزيد من المعلومات حول المراقبة الجماعية العالمية وسرقة المجرمين للمعلومات الشخصية، أصبح استخدام أمان HTTPS على جميع مواقع الويب مهمًا بشكل متزايد بغض النظر عن نوع اتصال الإنترنت المستخدم. [9] [10] على الرغم من أن البيانات الوصفية حول الصفحات الفردية التي يزورها المستخدم قد لا تعتبر حساسة، إلا أنه عند تجميعها يمكن أن تكشف الكثير عن المستخدم وتهدد خصوصية المستخدم. [11] [12] [13]

يسمح نشر HTTPS أيضًا باستخدام HTTP/2 و HTTP/3 (وإصداراتهما السابقة SPDY و QUIC )، وهي إصدارات HTTP جديدة مصممة لتقليل أوقات تحميل الصفحة وحجمها ووقت الاستجابة.

يوصى باستخدام HTTP Strict Transport Security (HSTS) مع HTTPS لحماية المستخدمين من هجمات الوسيط، وخاصة تجريد SSL . [13] [14]

لا ينبغي الخلط بين HTTPS و Secure HTTP (S-HTTP) النادر الاستخدام المحدد في RFC 2660.

الاستخدام في المواقع الإلكترونية

اعتبارًا من أبريل 2018 ، يستخدم 33.2% من أفضل مليون موقع ويب في أليكسا بروتوكول HTTPS افتراضيًا [15] ويستخدم 70% من عمليات تحميل الصفحات (التي تم قياسها بواسطة Firefox Telemetry) بروتوكول HTTPS. [16] اعتبارًا من ديسمبر 2022 ، يستخدم 58.4% من أكثر 135422 موقع ويب شهرة على الإنترنت تنفيذًا آمنًا لبروتوكول HTTPS، [17] ومع ذلك، على الرغم من إصدار TLS 1.3 في عام 2018، كان التبني بطيئًا، مع بقاء العديد من المواقع على بروتوكول TLS 1.2 الأقدم. [18]

تكامل المتصفح

تعرض معظم المتصفحات تحذيرًا إذا تلقت شهادة غير صالحة. عند الاتصال بموقع بشهادة غير صالحة، تعرض المتصفحات القديمة للمستخدم مربع حوار يسأله عما إذا كان يريد الاستمرار. تعرض المتصفحات الأحدث تحذيرًا عبر النافذة بأكملها. تعرض المتصفحات الأحدث أيضًا معلومات أمان الموقع بشكل بارز في شريط العناوين . تعرض شهادات التحقق الممتدة الكيان القانوني في معلومات الشهادة. تعرض معظم المتصفحات أيضًا تحذيرًا للمستخدم عند زيارة موقع يحتوي على مزيج من المحتوى المشفر وغير المشفر. بالإضافة إلى ذلك، تعيد العديد من مرشحات الويب تحذيرًا أمنيًا عند زيارة مواقع الويب المحظورة.

مقارنة بين أنواع مختلفة من شهادات SSL/TLS
(باستخدام Firefox كمثال)
  • تستخدم العديد من متصفحات الويب، بما في ذلك Firefox (كما هو موضح هنا)، شريط العناوين لإخبار المستخدم بأن اتصاله آمن، ويجب أن تحدد شهادة التحقق الممتدة الكيان القانوني للشهادة.
    تستخدم العديد من متصفحات الويب، بما في ذلك Firefox (كما هو موضح هنا)، شريط العناوين لإخبار المستخدم بأن اتصاله آمن، ويجب أن تحدد شهادة التحقق الممتدة الكيان القانوني للشهادة.
  • عند الوصول إلى موقع باستخدام شهادة مشتركة فقط، تظهر علامة "قفل" على شريط العناوين في Firefox والمتصفحات الأخرى.
    عند الوصول إلى موقع باستخدام شهادة مشتركة فقط، تظهر علامة "قفل" على شريط العناوين في Firefox والمتصفحات الأخرى .
  • تنبه معظم متصفحات الويب المستخدم عند زيارة مواقع تحتوي على شهادات أمان غير صالحة.
    تنبه معظم متصفحات الويب المستخدم عند زيارة مواقع تحتوي على شهادات أمان غير صالحة.

مؤسسة الحدود الإلكترونية ، التي ترى أنه "في عالم مثالي، يمكن تعيين كل طلب ويب افتراضيًا على HTTPS"، قدمت وظيفة إضافية تسمى HTTPS Everywhere لمتصفحات Mozilla Firefox و Google Chrome و Chromium و Android ، والتي تمكن HTTPS افتراضيًا لمئات المواقع الإلكترونية المستخدمة بشكل متكرر. [19] [20]

تم دعم إجبار متصفح الويب على تحميل محتوى HTTPS فقط في Firefox بدءًا من الإصدار 83. [21] بدءًا من الإصدار 94، أصبح Google Chrome قادرًا على "استخدام الاتصالات الآمنة دائمًا" إذا تم تبديله في إعدادات المتصفح. [22] [23]

حماية

إن أمان HTTPS هو أمان TLS الأساسي، والذي يستخدم عادةً مفاتيح عامة وخاصة طويلة الأجل لتوليد مفتاح جلسة قصير الأجل ، والذي يُستخدم بعد ذلك لتشفير تدفق البيانات بين العميل والخادم. تُستخدم شهادات X.509 لمصادقة الخادم (وأحيانًا العميل أيضًا). ونتيجة لذلك، فإن سلطات الشهادات وشهادات المفتاح العام ضرورية للتحقق من العلاقة بين الشهادة ومالكها، وكذلك لتوليد الشهادات وتوقيعها وإدارتها. وفي حين أن هذا قد يكون أكثر فائدة من التحقق من الهويات عبر شبكة من الثقة ، فقد لفتت إفصاحات المراقبة الجماعية لعام 2013 الانتباه إلى سلطات الشهادات كنقطة ضعف محتملة تسمح بهجمات الرجل في المنتصف . [24] [25] إحدى الخصائص المهمة في هذا السياق هي السرية الأمامية ، والتي تضمن عدم إمكانية استرداد الاتصالات المشفرة المسجلة في الماضي وفك تشفيرها في حالة تعرض مفاتيح سرية طويلة الأجل أو كلمات مرور للخطر في المستقبل. لا توفر جميع خوادم الويب السرية الأمامية. [26] [ يحتاج إلى تحديث ]

لكي يكون HTTPS فعالاً، يجب استضافة الموقع بالكامل عبر HTTPS. إذا تم تحميل بعض محتويات الموقع عبر HTTP (البرامج النصية أو الصور، على سبيل المثال)، أو إذا تم تحميل صفحة معينة فقط تحتوي على معلومات حساسة، مثل صفحة تسجيل الدخول، عبر HTTPS بينما يتم تحميل بقية الموقع عبر HTTP العادي، فسيكون المستخدم عرضة للهجمات والمراقبة. بالإضافة إلى ذلك، يجب تمكين سمة الأمان في ملفات تعريف الارتباط على موقع يتم تقديمه عبر HTTPS . في الموقع الذي يحتوي على معلومات حساسة، سيتم الكشف عن المستخدم والجلسة في كل مرة يتم فيها الوصول إلى هذا الموقع باستخدام HTTP بدلاً من HTTPS. [13]

اِصطِلاحِيّ

الفرق عن HTTP

تبدأ عناوين URL الخاصة بـ HTTPS بـ "https://" وتستخدم المنفذ 443 بشكل افتراضي، بينما تبدأ عناوين URL الخاصة بـ HTTP بـ "http://" وتستخدم المنفذ 80 بشكل افتراضي.

لا يتم تشفير HTTP وبالتالي فهو عرضة لهجمات التنصت والتجسس ، والتي يمكن أن تسمح للمهاجمين بالوصول إلى حسابات الموقع والمعلومات الحساسة وتعديل صفحات الويب لحقن البرامج الضارة أو الإعلانات. تم تصميم HTTPS لمقاومة مثل هذه الهجمات ويعتبر آمنًا ضدها (باستثناء تطبيقات HTTPS التي تستخدم إصدارات قديمة من SSL).

طبقات الشبكة

يعمل بروتوكول HTTP في أعلى طبقة من نموذج TCP/IP — طبقة التطبيق ؛ كما يفعل بروتوكول أمان TLS (يعمل كطبقة فرعية سفلية من نفس الطبقة)، والذي يقوم بتشفير رسالة HTTP قبل الإرسال وفك تشفير الرسالة عند وصولها. بالمعنى الدقيق للكلمة، لا يعد HTTPS بروتوكولاً منفصلاً، ولكنه يشير إلى استخدام HTTP العادي عبر اتصال SSL/TLS مشفر .

يقوم بروتوكول HTTPS بتشفير كافة محتويات الرسائل، بما في ذلك رؤوس HTTP وبيانات الطلب/الاستجابة. وباستثناء هجوم التشفير CCA المحتمل الموضح في قسم القيود أدناه، يجب ألا يتمكن المهاجم من اكتشاف حدوث اتصال بين طرفين، إلى جانب أسماء النطاق وعناوين IP الخاصة بهما.

إعداد الخادم

لإعداد خادم ويب لقبول اتصالات HTTPS، يجب على المسؤول إنشاء شهادة مفتاح عام لخادم الويب. يجب أن يتم توقيع هذه الشهادة من قبل هيئة إصدار شهادات موثوقة حتى يتمكن متصفح الويب من قبولها دون سابق إنذار. تشهد الهيئة بأن حامل الشهادة هو مشغل خادم الويب الذي يقدمها. يتم توزيع متصفحات الويب عمومًا بقائمة من شهادات التوقيع من هيئات إصدار الشهادات الرئيسية حتى تتمكن من التحقق من الشهادات الموقعة من قبلها.

الحصول على الشهادات

هناك عدد من هيئات الشهادات التجارية التي تقدم شهادات SSL/TLS مدفوعة الأجر من عدد من الأنواع، بما في ذلك شهادات التحقق الممتدة .

تم إطلاق Let's Encrypt في أبريل 2016، [27] وهي تقدم خدمة مجانية وآلية توفر شهادات SSL/TLS الأساسية لمواقع الويب. [28] ووفقًا لمؤسسة Electronic Frontier Foundation ، فإن Let's Encrypt ستجعل التحول من HTTP إلى HTTPS "سهلًا مثل إصدار أمر واحد أو النقر فوق زر واحد". [29] تستفيد غالبية مضيفات الويب وموفري الخدمات السحابية الآن من Let's Encrypt، حيث تقدم شهادات مجانية لعملائها.

استخدم للتحكم في الوصول

يمكن استخدام النظام أيضًا لمصادقة العميل من أجل تقييد الوصول إلى خادم الويب للمستخدمين المصرح لهم. للقيام بذلك، يقوم مسؤول الموقع عادةً بإنشاء شهادة لكل مستخدم، والتي يقوم المستخدم بتحميلها في متصفحه. عادةً، تحتوي الشهادة على اسم وعنوان البريد الإلكتروني للمستخدم المصرح له ويتم فحصها تلقائيًا بواسطة الخادم في كل اتصال للتحقق من هوية المستخدم، وربما دون الحاجة حتى إلى كلمة مرور.

في حالة اختراق المفتاح السري (الخاص)

من الخصائص المهمة في هذا السياق السرية التامة للأمام (PFS). إن امتلاك أحد مفاتيح السرية غير المتماثلة طويلة المدى المستخدمة لإنشاء جلسة HTTPS لا ينبغي أن يجعل من السهل اشتقاق مفتاح الجلسة قصير المدى لفك تشفير المحادثة، حتى في وقت لاحق. يعد تبادل مفاتيح ديفي-هيلمان (DHE) وتبادل مفاتيح ديفي-هيلمان المنحني الإهليلجي (ECDHE) في عام 2013 المخططات الوحيدة المعروفة بامتلاكها هذه الخاصية. في عام 2013، استخدمتها 30% فقط من جلسات متصفحات Firefox وOpera وChromium، ونحو 0% من جلسات Safari و Microsoft Internet Explorer من Apple. [26] أسقط TLS 1.3، الذي نُشر في أغسطس 2018، دعم التشفير بدون سرية للأمام. اعتبارًا من فبراير 2019 ، يدعم 96.6% من خوادم الويب التي شملها الاستطلاع شكلًا من أشكال السرية للأمام، وسيستخدم 52.1% السرية للأمام مع معظم المتصفحات. [30] اعتبارًا من يوليو 2023 ، يدعم 99.6% من خوادم الويب التي شملها الاستطلاع شكلًا من أشكال السرية الأمامية، وسيستخدم 75.2% السرية الأمامية مع معظم المتصفحات. [31]

إلغاء الشهادة

قد يتم إلغاء الشهادة قبل انتهاء صلاحيتها، على سبيل المثال بسبب تعرض سرية المفتاح الخاص للخطر. تطبق الإصدارات الأحدث من المتصفحات الشائعة مثل Firefox ، [32] وOpera ، [33] و Internet Explorer على Windows Vista [34] بروتوكول حالة الشهادة عبر الإنترنت (OCSP) للتحقق من عدم حدوث ذلك. يرسل المتصفح الرقم التسلسلي للشهادة إلى هيئة إصدار الشهادات أو مندوبها عبر OCSP (بروتوكول حالة الشهادة عبر الإنترنت) وتستجيب الهيئة، وتخبر المتصفح ما إذا كانت الشهادة لا تزال صالحة أم لا. [35] قد تصدر هيئة إصدار الشهادات أيضًا قائمة إلغاء الشهادات لإخبار الأشخاص بأن هذه الشهادات قد تم إلغاؤها. لم تعد قوائم إلغاء الشهادات مطلوبة من قبل منتدى هيئة إصدار الشهادات/المتصفح، [36] ومع ذلك، لا تزال تستخدم على نطاق واسع من قبل هيئات إصدار الشهادات. تختفي معظم حالات الإلغاء على الإنترنت بعد فترة وجيزة من انتهاء صلاحية الشهادات. [37]

القيود

يمكن تكوين تشفير SSL (Secure Sockets Layer) وTLS (Transport Layer Security) في وضعين: بسيط ومتبادل . في الوضع البسيط، يتم إجراء المصادقة بواسطة الخادم فقط. يتطلب الإصدار المتبادل من المستخدم تثبيت شهادة عميل شخصية في متصفح الويب لمصادقة المستخدم. [ 38] في كلتا الحالتين، يعتمد مستوى الحماية على صحة تنفيذ البرنامج وخوارزميات التشفير المستخدمة. [ بحاجة لمصدر ]

لا يمنع SSL/TLS فهرسة الموقع بواسطة برنامج زحف الويب ، وفي بعض الحالات يمكن استنتاج URI للمورد المشفر من خلال معرفة حجم الطلب/الاستجابة المعترض فقط. [39] يسمح هذا للمهاجم بالوصول إلى النص العادي (المحتوى الثابت المتاح للجمهور)، والنص المشفر (النسخة المشفرة من المحتوى الثابت)، مما يسمح بهجوم تشفيري . [ بحاجة لمصدر ]

نظرًا لأن TLS يعمل على مستوى بروتوكول أقل من مستوى HTTP وليس لديه معرفة بالبروتوكولات ذات المستوى الأعلى، فإن خوادم TLS لا يمكنها تقديم سوى شهادة واحدة بدقة لمجموعة عنوان ومنفذ معينين. [40] في الماضي، كان هذا يعني أنه لم يكن من الممكن استخدام الاستضافة الافتراضية القائمة على الاسم مع HTTPS. يوجد حل يسمى Server Name Indication (SNI)، والذي يرسل اسم المضيف إلى الخادم قبل تشفير الاتصال، على الرغم من أن العديد من المتصفحات القديمة لا تدعم هذا الامتداد. يتوفر دعم SNI منذ Firefox 2 و Opera 8 و Apple Safari 2.1 و Google Chrome 6 و Internet Explorer 7 على Windows Vista . [41] [42] [43]

تم تقديم نوع متطور من هجمات الرجل في المنتصف يسمى SSL stripping في مؤتمر Blackhat لعام 2009. هذا النوع من الهجمات يهزم الأمان الذي يوفره HTTPS عن طريق تغيير https:الرابط إلى http:رابط، والاستفادة من حقيقة أن قِلة من مستخدمي الإنترنت يكتبون "https" في واجهة المتصفح الخاصة بهم: يصلون إلى موقع آمن بالنقر فوق رابط، وبالتالي يتم خداعهم للاعتقاد بأنهم يستخدمون HTTPS بينما هم في الواقع يستخدمون HTTP. ثم يتواصل المهاجم بوضوح مع العميل. [44] دفع هذا إلى تطوير تدبير مضاد في HTTP يسمى HTTP Strict Transport Security . [ بحاجة لمصدر ]

لقد ثبت أن بروتوكول HTTPS معرض لمجموعة من هجمات تحليل حركة المرور . تعتبر هجمات تحليل حركة المرور نوعًا من هجمات القنوات الجانبية التي تعتمد على الاختلافات في توقيت وحجم حركة المرور من أجل استنتاج خصائص حول حركة المرور المشفرة نفسها. تحليل حركة المرور ممكن لأن تشفير SSL/TLS يغير محتويات حركة المرور، ولكن له تأثير ضئيل على حجم وتوقيت حركة المرور. في مايو 2010، اكتشفت ورقة بحثية أجراها باحثون من Microsoft Research وجامعة إنديانا أنه يمكن استنتاج بيانات المستخدم الحساسة التفصيلية من القنوات الجانبية مثل أحجام الحزم. وجد الباحثون أنه على الرغم من حماية HTTPS في العديد من تطبيقات الويب البارزة والأعلى جودة في الرعاية الصحية والضرائب والاستثمار والبحث على الويب، يمكن للمتنصت استنتاج أمراض المستخدم/أدويته/جراحاته ودخل أسرته وأسرار الاستثمار. [45]

إن حقيقة أن معظم المواقع الحديثة، بما في ذلك Google وYahoo! وAmazon، تستخدم HTTPS تسبب مشاكل للعديد من المستخدمين الذين يحاولون الوصول إلى نقاط اتصال Wi-Fi العامة، لأن صفحة تسجيل الدخول إلى نقطة اتصال Wi-Fi الخاصة بالبوابة الأسيرة تفشل في التحميل إذا حاول المستخدم فتح مورد HTTPS. [46] تضمن العديد من المواقع، مثل NeverSSL، [47] أنها ستظل دائمًا في متناول اليد من خلال HTTP. [48]

تاريخ

أنشأت شركة Netscape Communications بروتوكول HTTPS في عام 1994 لمتصفح الويب Netscape Navigator . [49] في الأصل، تم استخدام بروتوكول HTTPS مع بروتوكول SSL . ومع تطور SSL إلى بروتوكول أمان طبقة النقل (TLS)، تم تحديد بروتوكول HTTPS رسميًا بواسطة RFC 2818 في مايو 2000. أعلنت Google في فبراير 2018 أن متصفح Chrome الخاص بها سيضع علامة على مواقع HTTP على أنها "غير آمنة" بعد يوليو 2018. [50] كانت هذه الخطوة لتشجيع أصحاب مواقع الويب على تنفيذ بروتوكول HTTPS، كجهد لجعل شبكة الويب العالمية أكثر أمانًا.

انظر أيضا

مراجع

  1. ^ "تأمين موقعك باستخدام HTTPS". دعم جوجل . Google Inc. مؤرشف من الأصل في 1 مارس 2015. استرجاع 20 أكتوبر 2018 .
  2. ^ "ما هو HTTPS؟". Comodo CA Limited . مؤرشف من الأصل في 12 فبراير 2015 . تم الاسترجاع 20 أكتوبر 2018 . بروتوكول نقل النص التشعبي الآمن (HTTPS) هو الإصدار الآمن من HTTP [...]{{cite web}}:CS1 maint: عنوان URL غير مناسب ( الرابط )
  3. ^ "https URI Scheme". دلالات HTTP. IETF . يونيو 2022. القسم 4.2.2. doi : 10.17487/RFC9110 . RFC 9110.
  4. ^ abc "HTTPS Everywhere FAQ". 8 نوفمبر 2016. مؤرشف من الأصل في 14 نوفمبر 2018. تم الاسترجاع 20 أكتوبر 2018 .
  5. ^ "إحصائيات استخدام بروتوكول https الافتراضي لمواقع الويب، يوليو 2019". w3techs.com . مؤرشف من الأصل في 1 أغسطس 2019 . تم الاسترجاع 20 يوليو 2019 .
  6. ^ "تشفير الويب". مؤسسة الحدود الإلكترونية . مؤرشف من الأصل في 18 نوفمبر 2019. تم استرجاعه في 19 نوفمبر 2019 .
  7. ^ "Hotel Wifi JavaScript Injection". JustInsomnia . 3 أبريل 2012. مؤرشف من الأصل في 18 نوفمبر 2018 . تم الاسترجاع 20 أكتوبر 2018 .
  8. ^ The Tor Project, Inc. "ما هو متصفح Tor؟". TorProject.org . مؤرشف من الأصل في 17 يوليو 2013 . تم الاسترجاع في 30 مايو 2012 .
  9. ^ كونيجسبورج، إيتان؛ بانت، راجيف؛ كفوشكو، إيلينا (13 نوفمبر 2014). "احتضان HTTPS". نيويورك تايمز . مؤرشف من الأصل في 8 يناير 2019. تم الاسترجاع في 20 أكتوبر 2018 .
  10. ^ غالاغر، كيفن (12 سبتمبر 2014). "بعد خمسة عشر شهرًا من كشف وكالة الأمن القومي، لماذا لا تستخدم المزيد من المؤسسات الإخبارية بروتوكول HTTPS؟". مؤسسة حرية الصحافة. ​​مؤرشف من الأصل في 10 أغسطس 2018. تم الاسترجاع في 20 أكتوبر 2018 .
  11. ^ "HTTPS كإشارة ترتيب". مدونة مشرفي المواقع من Google. 6 أغسطس 2014. مؤرشف من الأصل في 17 أكتوبر 2018. تم الاسترجاع في 20 أكتوبر 2018. يمكنك تأمين موقعك باستخدام HTTPS (بروتوكول نقل النص التشعبي الآمن) [...]
  12. ^ Grigorik, Ilya; Far, Pierre (26 June 2014). "Google I/O 2014 - HTTPS Everywhere". Google Developers. مؤرشف من الأصل في 20 نوفمبر 2018 . تم الاسترجاع 20 أكتوبر 2018 .
  13. ^ abc "كيفية نشر HTTPS بشكل صحيح". 15 نوفمبر 2010. مؤرشف من الأصل في 10 أكتوبر 2018. تم الاسترجاع 20 أكتوبر 2018 .
  14. ^ "أمان النقل الصارم عبر HTTP". شبكة مطوري موزيلا . مؤرشف من الأصل في 19 أكتوبر 2018. استرجاع 20 أكتوبر 2018 .
  15. ^ "إحصائيات استخدام HTTPS على أفضل مليون موقع". StatOperator.com . مؤرشف من الأصل في 9 فبراير 2019. تم الاسترجاع في 20 أكتوبر 2018 .
  16. ^ "Let's Encrypt Stats". LetsEncrypt.org . مؤرشف من الأصل في 19 أكتوبر 2018 . تم الاسترجاع 20 أكتوبر 2018 .
  17. ^ "Qualys SSL Labs - SSL Pulse". www.ssllabs.com . 4 ديسمبر 2022. مؤرشف من الأصل في 7 ديسمبر 2022 . تم الاسترجاع 7 ديسمبر 2022 ..
  18. ^ "TLS 1.3: التبني البطيء لتشفير الويب الأقوى يمكّن الأشرار". Help Net Security . 6 أبريل 2020. مؤرشف من الأصل في 24 مايو 2022 . تم الاسترجاع في 23 مايو 2022 .
  19. ^ Eckersley, Peter (17 June 2010). "تشفير الويب باستخدام امتداد HTTPS Everywhere Firefox". مدونة EFF . مؤرشف من الأصل في 25 نوفمبر 2018. تم الاسترجاع في 20 أكتوبر 2018 .
  20. ^ "HTTPS Everywhere". مشاريع EFF . 7 أكتوبر 2011. مؤرشف من الأصل في 5 يونيو 2011. استرجاع 20 أكتوبر 2018 .
  21. ^ "وضع HTTPS فقط في Firefox". مؤرشف من الأصل في 12 نوفمبر 2021 . تم الاسترجاع 12 نوفمبر 2021 .
  22. ^ "إدارة سلامة وأمان Chrome - Android - مساعدة Google Chrome". support.google.com . مؤرشف من الأصل في 7 مارس 2022 . تم الاسترجاع 7 مارس 2022 .
  23. ^ "Hands on Chrome's HTTPS-First Mode". Techdows . 19 يوليو 2021. مؤرشف من الأصل في 7 مارس 2022 . تم الاسترجاع 7 مارس 2022 .
  24. ^ سينجل، رايان (24 مارس 2010). "جهاز إنفاذ القانون يفسد بروتوكول SSL". Wired . مؤرشف من الأصل في 17 يناير 2019 . تم الاسترجاع في 20 أكتوبر 2018 .
  25. ^ شون، سيث (24 مارس 2010). "أبحاث جديدة تشير إلى أن الحكومات قد تزور شهادات SSL". EFF . مؤرشف من الأصل في 4 يناير 2016. تم الاسترجاع في 20 أكتوبر 2018 .
  26. ^ ab Duncan, Robert (25 June 2013). "SSL: Intercepted today, decrypted tomorrow". Netcraft . مؤرشف من الأصل في 6 أكتوبر 2018 . تم الاسترجاع في 20 أكتوبر 2018 .
  27. ^ Cimpanu, Catalin (12 أبريل 2016). "Let's Encrypt Launched Today, currently Protects 3.8 Million Domains". Softpedia News. مؤرشف من الأصل في 9 فبراير 2019. تم الاسترجاع في 20 أكتوبر 2018 .
  28. ^ Kerner, Sean Michael (18 November 2014). "Let's Encrypt Effort Aims to Improve Internet Security". eWeek.com . Quinstreet Enterprise. مؤرشف من الأصل في 2 أبريل 2023 . تم الاسترجاع 20 أكتوبر 2018 .
  29. ^ Eckersley, Peter (18 November 2014). "Launching in 2015: A Certificate Authority to Encrypt the Entire Web". Electronic Frontier Foundation . مؤرشف من الأصل في 18 نوفمبر 2018. تم الاسترجاع في 20 أكتوبر 2018 .
  30. ^ Qualys SSL Labs . "SSL Pulse". مؤرشف من الأصل (3 فبراير 2019) في 15 فبراير 2019 . تم الاسترجاع 25 فبراير 2019 .
  31. ^ "Qualys SSL Labs - SSL Pulse". www.ssllabs.com . تم الاسترجاع في 4 سبتمبر 2023 .
  32. ^ "سياسة خصوصية موزيلا فايرفوكس". مؤسسة موزيلا . 27 أبريل 2009. مؤرشف من الأصل في 18 أكتوبر 2018. استرجاع 20 أكتوبر 2018 .
  33. ^ "إطلاق أوبرا 8 على بروتوكول نقل الملفات". Softpedia . 19 أبريل 2005. مؤرشف من الأصل في 9 فبراير 2019. تم الاسترجاع 20 أكتوبر 2018 .
  34. ^ لورانس، إيريك (31 يناير 2006). "تحسينات أمان HTTPS في Internet Explorer 7". Microsoft Docs . مؤرشف من الأصل في 24 أكتوبر 2021 . تم الاسترجاع في 24 أكتوبر 2021 .
  35. ^ مايرز، مايكل؛ أنكني، ريتش؛ مالباني، أمباريش؛ جالبرين، سلافا؛ آدامز، كارلايل (20 يونيو 1999). "بروتوكول حالة الشهادة عبر الإنترنت - OCSP". فريق عمل هندسة الإنترنت . doi :10.17487/RFC2560. مؤرشف من الأصل في 25 أغسطس 2011. تم الاسترجاع في 20 أكتوبر 2018 .
  36. ^ "المتطلبات الأساسية". منتدى CAB. 4 سبتمبر 2013. مؤرشف من الأصل في 20 أكتوبر 2014. تم الاسترجاع 1 نوفمبر 2021 .
  37. ^ Korzhitskii, N.; Carlsson, N. (30 March 2021). "Revocation Statuses on the Internet". Passive and Active Measurement . Lecture Notes in Computer Science. المجلد 12671. ص 175-191. arXiv : 2102.04288 . doi :10.1007/978-3-030-72582-2_11. ISBN 978-3-030-72581-5.
  38. ^ "إدارة شهادات العميل على أجهزة Chrome – تعليمات Chrome for business and education". support.google.com . مؤرشف من الأصل في 9 فبراير 2019 . تم الاسترجاع في 20 أكتوبر 2018 .
  39. ^ Pusep, Stanislaw (31 July 2008). "The Pirate Bay un-SSL" (PDF) . مؤرشف من الأصل (PDF) في 20 يونيو 2018 . تم الاسترجاع في 20 أكتوبر 2018 .
  40. ^ "SSL/TLS Strong Encryption: FAQ". apache.org . مؤرشف من الأصل في 19 أكتوبر 2018 . تم الاسترجاع في 20 أكتوبر 2018 .
  41. ^ لورانس، إريك (22 أكتوبر 2005). "تحسينات HTTPS القادمة في Internet Explorer 7 Beta 2". Microsoft . مؤرشف من الأصل في 20 سبتمبر 2018 . تم الاسترجاع 20 أكتوبر 2018 .
  42. ^ "إشارة اسم الخادم (SNI)". داخل رأس إبراهيم . 21 فبراير 2006. مؤرشف من الأصل في 10 أغسطس 2018. تم الاسترجاع 20 أكتوبر 2018 .
  43. ^ Pierre, Julien (19 December 2001). "Browser support for TLS server name indicator". Bugzilla . Mozilla Foundation. مؤرشف من الأصل في 8 أكتوبر 2018 . تم الاسترجاع في 20 أكتوبر 2018 .
  44. ^ "sslstrip 0.9". مؤرشف من الأصل في 20 يونيو 2018 . استرجاع 20 أكتوبر 2018 .
  45. ^ Shuo Chen; Rui Wang; XiaoFeng Wang; Kehuan Zhang (20 مايو 2010). "تسربات القنوات الجانبية في تطبيقات الويب: حقيقة اليوم، وتحدي الغد". Microsoft Research . ندوة معهد مهندسي الكهرباء والإلكترونيات حول الأمن والخصوصية 2010. مؤرشف من الأصل في 22 يوليو 2018 . تم الاسترجاع في 20 أكتوبر 2018 .
  46. ^ Guaay, Matthew (21 September 2017). "كيفية إجبار صفحة تسجيل الدخول إلى شبكة Wi-Fi عامة على الفتح". مؤرشف من الأصل في 10 أغسطس 2018 . تم الاسترجاع 20 أكتوبر 2018 .
  47. ^ "NeverSSL".
  48. ^ "NeverSSL". مؤرشف من الأصل في 1 سبتمبر 2018 . تم الاسترجاع 20 أكتوبر 2018 .
  49. ^ Walls, Colin (2005). Embedded Software: The Works. Newnes. p. 344. ISBN 0-7506-7954-9. مؤرشف من الأصل في 9 فبراير 2019 . اطلع عليه بتاريخ 20 أكتوبر 2018 .
  50. ^ "الويب الآمن هنا ليبقى". مدونة كروميوم . مؤرشف من الأصل في 24 أبريل 2019. تم الاسترجاع في 22 أبريل 2019 .
تحتوي ويكيميديا ​​كومنز على وسائط متعلقة بـ HTTPS .
  • RFC 8446: بروتوكول أمان طبقة النقل (TLS) الإصدار 1.3
تم الاسترجاع من "https://en.wikipedia.org/w/index.php?title=HTTPS&oldid=1254237079"
Original text
Rate this translation
Your feedback will be used to help improve Google Translate