البنية التحتية للمفتاح العام (PKI)

ماذا يعني «البنية التحتية للمفتاح العام»؟

البنية التحتية للمفتاح العام (PKI) هي مزيج من جهات التصديق والشهادات الرقمية وأزواج المفاتيح التشفيرية والسياسات والبرمجيات، يتيح للأشخاص والأنظمة الوثوق بأن مفتاحًا عامًا معيّنًا يعود فعلًا إلى شخص أو مؤسسة أو جهاز بعينه. إنها البنية الخفية وراء القفل في HTTPS، والبريد الإلكتروني الآمن، والتوقيعات الرقمية القائمة على الشهادات.

يمنح تشفير المفتاح العام كل مشارك مفتاحين مرتبطين رياضيًا. المفتاح الخاص يبقى سريًا ويُستخدم للتوقيع، والمفتاح العام يُشارَك ويُستخدم للتحقق. ونقطة الضعف هي الهوية: فأي شخص يستطيع توليد زوج مفاتيح وادّعاء أنه أي شخص آخر. وتحل PKI هذه المشكلة بأن تتحقق جهة تصديق موثوقة (CA) من هوية مقدّم الطلب، ثم تُصدر شهادة رقمية، أي بيانًا موقّعًا يربط المفتاح العام باسم.

تنتقل الثقة عبر سلاسل. يأتي برنامجك مزوّدًا بمجموعة من شهادات الجذر الموثوقة؛ وتوقّع شهادات الجذر شهادات جهات تصديق وسيطة، وهذه بدورها توقّع شهادات المستخدمين النهائيين. وعندما يتحقق قارئ PDF من توقيع رقمي، فإنه يتتبّع هذه السلسلة حتى جذر موثوق، ويتأكد من عدم انتهاء صلاحية أي شهادة، ويراجع قوائم الإبطال أو خدمات الحالة عبر الإنترنت للتأكد من أن الشهادة لم تُسحب.

إليك حالة ملموسة. مجموعة مستشفيات تُصدر لكل رئيس قسم شهادة توقيع من جهة التصديق الداخلية لديها. وعندما يوقّع رئيس قسم على وثيقة سياسة، تعرض برامج قراءة PDF لدى زملائه، المضبوطة على الوثوق بجذر المستشفى، اسم الموقّع وتؤكد أن الملف لم يُعدَّل. أما القرّاء من خارج المجموعة الذين لا يثقون بهذا الجذر الداخلي، فسيعرضون التوقيع على أنه غير متحقَّق منه، رغم أن التشفير سليم.

يشير هذا المثال إلى مفهوم خاطئ شائع: أن PKI تجعل التوقيع موثوقًا في كل مكان. فالثقة تعتمد كليًا على الجذور التي يقبلها من يتحقق. ومن سوء الفهم أيضًا أن PKI تعني التشفير. فهي تدعم التشفير والتوقيع معًا، لكن التوقيع الرقمي يثبت المصدر والسلامة دون إخفاء المحتوى. كما أن دالة التجزئة مثل SHA-256 ليست تشفيرًا كذلك؛ بل هي بصمة أحادية الاتجاه تُبنى عليها التوقيعات.

في الاتحاد الأوروبي، تقوم التوقيعات الإلكترونية المتقدمة والمؤهلة على PKI، حيث يعمل مزوّدو خدمات الثقة المؤهلون كجهات تصديق خاضعة لرقابة مشددة.

رأينا: PKI قوية لكنها تحمل عبئًا تشغيليًا حقيقيًا، من تجديد الشهادات إلى فحوص الإبطال. ولكثير من الشركات الصغيرة، يوفّر سجل تدقيق محفوظ جيدًا وبصمة مستند قابلة للتحقق، وهو ما يقدّمه eSignSimple إلى جانب شهادة إتمام التوقيع وصفحة /verify، طمأنينة عملية دون إدارة شهادات. والتوقيع القائم على الشهادات ضمن خارطة طريقنا.

«البنية التحتية للمفتاح العام»: مثال واقعي

عندما تزور موقع بنك، يتحقق متصفحك من شهادة الموقع مقابل جهة تصديق جذرية يثق بها؛ هذه هي PKI أثناء العمل. والمنظومة نفسها تتيح لقارئ PDF أن يُظهر أن عقدًا وُقّع بشهادة صادرة لشخص مسمّى. لا يُصدر eSignSimple شهادات ولا يدير بنية PKI؛ بل نعتمد على سجلات التدقيق وبصمة SHA-256 يمكن التحقق منها في صفحة /verify.

ما المصطلحات ذات الصلة؟

• التوقيع الرقمي: تقنية تشفيرية تستخدم زوجًا من المفاتيح وشهادة لربط المستند بموقّعه وكشف أي تعديل عليه.
• SHA-256: دالة تجزئة تشفيرية تحوّل أي ملف إلى بصمة من 64 حرفًا ست عشريًا، وتتغير كليًا إذا تغيّر بايت واحد.
• مزوّد خدمات الثقة المؤهل (QTSP): مزوّد خدمات الثقة المؤهل (QTSP) جهة منحتها هيئة إشراف أوروبية صفة «مؤهل» لإصدار الشهادات المؤهلة وتقديم خدمات الثقة المؤهلة الأخرى.
• ختم كشف التلاعب: ختم كشف التلاعب ختم تشفيري على ملف PDF يُظهر ما إذا كان المستند قد تغيّر بأي شكل بعد توقيعه.