طرف ثالث موثوق به

في علم التشفير ، يُعدّ الطرف الثالث الموثوق به ( TTP ) كيانًا يُسهّل التفاعلات بين طرفين يثقان به؛ حيث يقوم هذا الطرف بمراجعة جميع اتصالات المعاملات الهامة بينهما، استنادًا إلى سهولة إنشاء محتوى رقمي احتيالي. في نماذج الطرف الثالث الموثوق به، تستخدم الأطراف المعتمدة هذه الثقة لتأمين تفاعلاتها. يشيع استخدام الأطراف الثالثة الموثوقة في العديد من المعاملات التجارية، وفي المعاملات الرقمية المشفرة، وكذلك في بروتوكولات التشفير. على سبيل المثال، في المثال التالي، تُصدر هيئة إصدار الشهادات (CA) شهادة رقمية لأحد الطرفين. وبذلك، تُصبح هيئة إصدار الشهادات هي الطرف الثالث الموثوق به لإصدار تلك الشهادة. وبالمثل، تتطلب المعاملات التي تحتاج إلى تسجيل من طرف ثالث خدمة تخزين بيانات من نوع ما.

تعني كلمة "موثوق" أن النظام يحتاج إلى الثقة ليعمل بما يخدم مصالحك، ولكنه يملك الخيار (سواءً برغبته أو رغماً عنه) للعمل ضد مصالحك. كما تعني أيضاً أنه لا توجد طريقة للتحقق مما إذا كان هذا النظام يعمل لصالحك، ومن هنا تأتي الحاجة إلى الثقة به. والنتيجة المنطقية: إذا أمكن التحقق من أن النظام يعمل لصالحك، فلن يحتاج إلى ثقتك. وإذا ثبت أنه يعمل ضد مصالحك، فلن تستخدمه.

لنفترض أن أليس وبوب يرغبان في التواصل بشكل آمن، فقد يختاران استخدام التشفير . ولأن أليس لم تلتقِ بوب من قبل، فقد تحتاج إلى الحصول على مفتاح لتشفير الرسائل الموجهة إليه. في هذه الحالة، يُعدّ طرف ثالث (TTP) شخصًا قد يكون قد رأى بوب سابقًا (شخصيًا)، أو مستعدًا للتأكيد على أن هذا المفتاح (عادةً ما يكون في شهادة مفتاح عام ) يعود للشخص المذكور في تلك الشهادة، وهو بوب في هذه الحالة. لنُسمِّ هذا الشخص الثالث ترينت . يُعطي ترينت مفتاح بوب لأليس، التي تستخدمه بدورها لإرسال رسائل آمنة إلى بوب. يمكن لأليس أن تثق بأن هذا المفتاح يعود لبوب إذا كانت تثق بترينت. في مثل هذه المحادثات، يُفترض ببساطة أن لديها أسبابًا وجيهة للقيام بذلك (بالطبع، هناك مسألة قدرة أليس وبوب على تحديد هوية ترينت بشكل صحيح، وليس شخصًا ينتحل شخصيته).

كيفية ترتيب وجود أطراف ثالثة (موثوقة) من هذا النوع مشكلة لم تُحل بعد. ^{[ 1 ]} طالما وُجدت دوافع الجشع والسياسة والانتقام، وما إلى ذلك، فإن أولئك الذين يؤدون (أو يشرفون على) العمل الذي تقوم به هذه الجهة سيُشكلون ثغرات محتملة قد تتسرب من خلالها الثقة اللازمة. هذه المشكلة، التي ربما تكون مستعصية على الحل، قديمة ومعروفة. إن تقديم الشركات الكبيرة غير الشخصية وعودًا بالدقة في شهاداتها على صحة مراسلات المفتاح العام المزعومة مع المستخدم (على سبيل المثال، من قِبل هيئة إصدار الشهادات كجزء من بنية المفاتيح العامة ) لا يُغير الكثير. كما هو الحال في العديد من البيئات، فإن قوة الثقة تكون ضعيفة بقدر أضعف حلقاتها. عندما يتم اختراق بنية هيئة إصدار شهادات موثوقة ، تنكسر سلسلة الثقة بأكملها . حادثة عام 2011 في هيئة إصدار الشهادات DigiNotar كسرت ثقة الحكومة الهولندية في بنية المفاتيح العامة ، وهي مثال نموذجي على نقاط ضعف النظام وآثارها. ^{[ 2 ]} كما أشار بروس شناير ، بعد الكشف عن عمليات المراقبة الجماعية في عام 2013 ، لا ينبغي في الواقع الوثوق بأي طرف ثالث على الإطلاق.

يتضمن نظام التشفير PGP شكلاً من أشكال TTP يُعرف بشبكة الثقة . يقوم مستخدمو PGP بالتوقيع الرقمي على شهادات بعضهم البعض، ويُطلب منهم القيام بذلك فقط إذا كانوا على ثقة تامة بأن الشخص والمفتاح العام ينتميان إلى نفس الجهة. يُعدّ حفل توقيع المفاتيح أحد طرق الجمع بين لقاء وتوقيع الشهادات. ومع ذلك، يبقى الحذر والشك أمرين ضروريين، إذ لا شيء يمنع بعض المستخدمين من التهاون في توقيع شهادات الآخرين.

قد يكون الوثوق بالبشر، أو مؤسساتهم، أمراً محفوفاً بالمخاطر. فعلى سبيل المثال، في الشؤون المالية، لم تجد شركات التأمين بعدُ طريقةً لتجنب الخسائر في الواقع.

خارج نطاق التشفير، ينص القانون في كثير من البلدان على وجود جهات خارجية موثوقة يمكن الاعتماد على مزاعمها. فعلى سبيل المثال، يعمل كاتب العدل كجهة خارجية موثوقة لتوثيق أو إقرار التوقيعات على المستندات. ودور هذه الجهات في التشفير مشابه إلى حد كبير، من حيث المبدأ على الأقل. إذ تقوم جهة إصدار الشهادات بجزء من وظيفة كاتب العدل، حيث تشهد على هوية مالك المفتاح، ولكنها لا تشهد على ما إذا كان هذا الشخص واعياً بذاته أو ظاهراً أنه لم يتعرض للإكراه (كما أنها لا تشهد على تاريخ التوقيع).

• شهادة مباشرة مجهولة المصدر
• الإنفاق المزدوج
• قاعدة الحوسبة الموثوقة