ما هو التشفير؟
تشفير البيانات هو عملية حسابية تقوم بتشفير نص (بيانات غير مشفرة ، يمكن للبشر قراءتها) في نص مشفر (بيانات مشفرة) لا يمكن الوصول إليها إلا من قبل المستخدمين المصرح لهم باستخدام مفتاح التشفير الصحيح. ببساطة ، يحول التشفير البيانات القابلة للقراءة إلى شكل آخر لا يستطيع فك تشفيره وعرضه سوى الأشخاص الذين لديهم كلمة مرور صحيحة - وهو عنصر حيوي في التحول الرقمي.
التشفير هو استراتيجية أساسية لحماية خصوصية البيانات تحافظ على المعلومات الحساسة بعيدًا عن أيدي المستخدمين غير المصرح لهم.
كيف يعمل التشفير؟
يستخدم التشفير تشفيرًا (خوارزمية تشفير) ومفتاح تشفير لتشفير البيانات في نص مشفر. بمجرد إرسال هذا النص المشفر إلى الطرف المتلقي ، يتم استخدام مفتاح (نفس المفتاح ، للتشفير المتماثل ؛ قيمة مختلفة ذات صلة ، للتشفير غير المتماثل) لفك تشفير النص المشفر إلى القيمة الأصلية. تعمل مفاتيح التشفير تمامًا مثل المفاتيح الفعلية ، مما يعني أن المستخدمين الذين لديهم المفتاح الصحيح فقط يمكنهم "فتح" أو فك تشفير البيانات المشفرة.
ما هو الغرض من التشفير؟
يلعب التشفير دورًا حيويًا في حماية البيانات الحساسة التي يتم إرسالها عبر الإنترنت أو تخزينها في وضع الراحة في أنظمة الكمبيوتر. فهي لا تحافظ على سرية البيانات فحسب ، بل يمكنها أيضًا المصادقة على مصدرها ، والتأكد من أن البيانات لم تتغير بعد إرسالها ، ومنع المرسلين من إنكار قيامهم بإرسال رسالة مشفرة.
بالإضافة إلى الحماية القوية لخصوصية البيانات التي يوفرها ، غالبًا ما يكون التشفير ضروريًا لدعم لوائح الامتثال التي وضعتها العديد من المنظمات أو هيئات المعايير. على سبيل المثال ، معايير معالجة المعلومات الفيدرالية (FIPS) هي مجموعة من معايير أمان البيانات التي يجب على الوكالات الحكومية الأمريكية أو المتعاقدين اتباعها وفقًا لقانون تحديث أمن المعلومات الفيدرالي ضمن هذه المعايير ، يتطلب FIPS 140-2 التصميم والتنفيذ الآمنين لوحدة تشفير.
ما هي أنواع التشفير؟
هناك نوعان رئيسيان من التشفير: متماثل وغير متماثل.
التشفير المتماثل
تستخدم خوارزميات التشفير المتماثل نفس المفتاح لكل من التشفير وفك التشفير. هذا يعني أن المرسل أو نظام الكمبيوتر الذي يقوم بتشفير البيانات يجب أن يشارك المفتاح السري مع جميع الأطراف المصرح لهم حتى يتمكنوا من فك تشفيره. يستخدم التشفير المتماثل عادةً لتشفير البيانات بكميات كبيرة ، لأنه عادةً ما يكون أسرع وأسهل في التنفيذ من التشفير غير المتماثل.
أحد أكثر أصفار التشفير المتماثل استخدامًا هو معيار التشفير المتقدم (AES) ، والذي تم تعريفه كمعيار حكومي أمريكي من قبل المعهد الوطني للمعايير والتكنولوجيا (NIST) في عام 2001. يدعم AES ثلاثة أطوال مفاتيح مختلفة ، والتي تحدد عدد المفاتيح الممكنة: 128 أو 192 أو 256 بت. يتطلب كسر أي طول مفتاح AES مستويات من القوة الحسابية غير الواقعية حاليًا ومن غير المحتمل أن تصبح كذلك على الإطلاق. يتم استخدام AES على نطاق واسع في جميع أنحاء العالم ، بما في ذلك من قبل المنظمات الحكومية مثل وكالة الأمن القومي (NSA).
التشفير غير المتماثل
يستخدم التشفير غير المتماثل ، المعروف أيضًا باسم تشفير المفتاح العام ، مفتاحين متميزين ولكنهما مرتبطان رياضياً - مفتاح عام ومفتاح خاص. عادةً ما تتم مشاركة المفتاح العام بشكل عام ومتاح لأي شخص لاستخدامه ، بينما يتم الاحتفاظ بالمفتاح الخاص آمنًا ، ولا يمكن الوصول إليه إلا لمالك المفتاح. في بعض الأحيان يتم تشفير البيانات مرتين: مرة بالمفتاح الخاص للمرسل ومرة بالمفتاح العام للمستلم ، مما يضمن أن المستلم المقصود فقط هو الذي يمكنه فك تشفيرها وأن المرسل هو من يدعي أنه هو. وبالتالي ، يكون التشفير غير المتماثل أكثر مرونة في بعض حالات الاستخدام ، حيث يمكن مشاركة المفتاح (المفاتيح) العمومي بسهولة ؛ ومع ذلك ، فإنه يتطلب موارد حوسبة أكثر من التشفير المتماثل ، وتزداد هذه الموارد مع طول البيانات المحمية.
يتم إنشاء مفتاح تشفير متماثل واستخدامه لحماية حجم البيانات. يتم بعد ذلك تشفير هذا المفتاح المتماثل باستخدام المفتاح العام للمستلم ، ويتم تعبئته مع الحمولة المشفرة بشكل متماثل. يقوم المستلم بفك تشفير المفتاح القصير نسبيًا باستخدام التشفير غير المتماثل ، ثم يقوم بفك تشفير البيانات الفعلية باستخدام التشفير المتماثل.
نقاط الضعف الحديثة في التشفير
مثل العديد من استراتيجيات الأمن السيبراني الأخرى ، يمكن أن يكون للتشفير الحديث نقاط ضعف. مفاتيح التشفير الحديثة طويلة بما يكفي لأن هجمات القوة الغاشمة - تجربة كل مفتاح ممكن حتى يتم العثور على المفتاح الصحيح - غير عملية. يحتوي مفتاح 128 بت على 2128 قيمة محتملة: 100 مليار جهاز كمبيوتر يختبر كل منها 10 مليارات عملية في الثانية يستغرق أكثر من مليار سنة لتجربة كل هذه المفاتيح.
تظهر نقاط الضعف الحديثة في التشفير عادةً على شكل ضعف طفيف في قوة التشفير. على سبيل المثال ، في ظل ظروف معينة ، يكون لمفتاح 128 بت قوة مفتاح 118 بت فقط. في حين أن البحث الذي يكتشف نقاط الضعف هذه مهم من حيث ضمان قوة التشفير ، إلا أنها ليست مهمة في الاستخدام الواقعي ، وغالبًا ما تتطلب افتراضات غير واقعية مثل الوصول المادي غير المقيد إلى الخادم. وبالتالي ، فإن الهجمات الناجحة على التشفير القوي الحديث تركز على الوصول غير المصرح به إلى المفاتيح.
ما هي الثغرة الأمنية المتعلقة بفشل التشفير؟
يعد فشل التشفير ثغرة أمنية خطيرة في تطبيق الويب تعرض بيانات التطبيق الحساسة على خوارزمية تشفير ضعيفة أو غير موجودة. يمكن أن تكون هذه كلمات المرور أو السجلات الصحية للمرضى أو الأسرار التجارية أو معلومات بطاقة الائتمان أو عناوين البريد الإلكتروني أو معلومات المستخدم الشخصية الأخرى.
تقوم تطبيقات الويب الحديثة بمعالجة البيانات في حالة التخزين والعبور ، والتي تتطلب ضوابط أمنية صارمة للتخفيف الشامل من التهديدات. تستخدم بعض عمليات النشر تقنيات تشفير ضعيفة يمكن اختراقها في إطار زمني معقول. حتى مع التنفيذ المثالي لتقنيات التشفير ، قد يتجنب المستخدمون تبني أفضل ممارسات حماية البيانات ، وبالتالي جعل المعلومات الحساسة عرضة لسرقة البيانات الحساسة.
كانت تُعرف سابقًا باسم عرض البيانات الحساسة (2017: A03) ، فقد انتقلت الثغرة الأمنية لفشل التشفير إلى المرتبة الثانية في قائمة OWASP العشرة الأوائل لعام 2021. بصرف النظر عن الكشف عن المعلومات الحساسة ، حيث يمكن أن تؤدي حالات فشل التشفير أيضًا إلى اختراق الأنظمة ، والآثار المترتبة على ذلك تعتبر الثغرة الأمنية واحدة من أكثر المخاطر الأمنية أهمية لكل من المؤسسات ومستخدمي الأعمال.
تشمل عيوب الأمان التي تؤدي عادةً إلى فشل التشفير ما يلي:
نقل البيانات السرية بنص عادي
استخدام خوارزمية قديمة / أقل أمانًا
استخدام كلمة مرور مشفرة في ملفات التكوين
إدارة مفاتيح التشفير غير الصحيحة
العشوائية غير الكافية لوظائف التشفير
التشفير مفقود
التنفيذ غير الآمن للتحقق من صحة الشهادة
استخدام وظائف التجزئة المهملة
استخدام طرق الحشو التي عفا عليها الزمن
وجود بيانات حساسة في التحكم بالمصادر
استخدام ناقلات التهيئة غير الآمنة
استخدام كلمات المرور كمفاتيح تشفير بدون وظيفة اشتقاق مفتاح تعتمد على كلمة المرور
معلومات القناة الجانبية القابلة للاستغلال أو رسائل خطأ التشفير
المواد الشائعة