0Pricing
Security+ Academy · درس

دورة حياة الشهادة وإبطالها

تابع الشهادة منذ إصدارها وتجديدها حتى إبطالها، وتعلّم كيف يبلّغ CRL وOCSP عن حالة الإبطال في الوقت الفعلي.

دورة حياة الشهادة وإبطالها درس مجاني في Security+ Academy على CoddyKit. هذا هو الدرس 3 من أصل 4. يمكنك قراءة الدرس كاملاً أدناه مجاناً — ثم تمرن عليه مباشرة في المتصفح باستخدام محرر أكواد مدمج ومدرس ذكاء اصطناعي متاح 24/7. هذا الدرس جزء من مسار التعلم في Security+ Academy، وتقدمك يتزامن عبر الويب وتطبيق CoddyKit. تتضمن دورة Security+ Academy 4 دروس في المجموع.

دورة حياة الشهادة

تتبع كل شهادة رقمية دورة حياة محددة تبدأ من الإنشاء وتنتهي بالتقاعد. وتشمل المراحل: الطلب والتسجيل (إنشاء زوج المفاتيح وإنشاء CSR)، والإصدار (تتحقق جهة إصدار الشهادات من الطلب وتوقّعه)، والنشر (تثبيت الشهادة على خادم أو جهاز)، والاستخدام (فترة التشغيل الفعلية)، والتجديد (قبل انتهاء الصلاحية)، والإبطال أو انتهاء الصلاحية (نهاية دورة الحياة). وتتطلب إدارة هذه الدورة على نطاق واسع — لا سيما في المؤسسات التي لديها آلاف الشهادات — أتمتةً وأدوات لإدارة دورة حياة الشهادات (CLM)، لأن التتبع اليدوي يؤدي حتمًا إلى انتهاء صلاحية الشهادات والتسبب في انقطاعات.

طلب توقيع الشهادة (CSR)

تبدأ دورة حياة الشهادة بـطلب توقيع الشهادة (CSR). ينشئ الطالب زوج مفاتيح، ثم ينشئ CSR يحتوي على المفتاح العام ومعلومات الموضوع (CN وO وC)، ويوقّعه باستخدام المفتاح الخاص (لإثبات امتلاك المفتاح الخاص دون الكشف عنه). ويُرسل CSR إلى جهة إصدار الشهادات، التي تتحقق من هوية الطالب، ثم توقّع الشهادة إذا وافقت على الطلب. ولا يغادر المفتاح الخاص حيازة الطالب مطلقًا. ويُعد إنشاء CSR الخطوة الحاسمة التي تتحدد فيها قوة المفتاح — باستخدام RSA بحد أدنى 2048 بت أو ECC بحد أدنى 256 بت.

# Complete CSR generation workflow
# Step 1: Generate private key (RSA 2048)
openssl genrsa -out server.key 2048

# Step 2: Create CSR with all required fields
openssl req -new -key server.key -out server.csr \
  -subj '/CN=www.example.com/O=Example Corp/OU=IT/C=US/ST=CA/L=San Jose'

# Step 3: Verify CSR content before submitting
openssl req -in server.csr -noout -text | grep -A5 'Subject'

تجديد الشهادة

يجب تجديد الشهادات قبل انتهاء تاريخ notAfter. ومن أفضل الممارسات بدء عملية التجديد قبل انتهاء الصلاحية بـ30 يومًا على الأقل (وتستهدف مؤسسات كثيرة مدة 60 إلى 90 يومًا). ويتضمن التجديد عادةً إنشاء CSR ومفتاح خاص جديدين، وإرسالهما إلى جهة إصدار الشهادات، ثم استبدال الشهادة والمفتاح القديمين على جميع الخوادم التي نُشرت عليهما الشهادة. وتؤتمت Let's Encrypt هذه العملية باستخدام بروتوكول ACME — إذ تعمل أداة certbot على تجديد الشهادات تلقائيًا عندما يتبقى على انتهائها أقل من 30 يومًا. وتؤدي الشهادات منتهية الصلاحية إلى ظهور أخطاء في المتصفح تمنع المستخدمين من الوصول إلى الخدمات.

# Automated renewal with Certbot (Let's Encrypt)
# Install certbot and obtain a certificate
certbot --nginx -d example.com -d www.example.com

# Certbot sets up automatic renewal via cron or systemd timer
# Manual renewal test (dry run)
certbot renew --dry-run

# Check when certificates expire
certbot certificates
# Certificate Name: example.com
# Expiry Date: 2026-09-15 (VALID: 87 days)

لماذا نُبطل الشهادة؟

إبطال الشهادة هو عملية جعل الشهادة غير صالحة قبل تاريخ انتهاء صلاحيتها المقرر. وتشمل أسباب الإبطال: اختراق المفتاح الخاص (وهو الأكثر إلحاحًا — ويتطلب إبطالًا فوريًا)، أو إصدار الشهادة عن طريق الخطأ (نطاق خاطئ أو مؤسسة خاطئة)، أو تغير معلومات الموضوع (إعادة تسمية الشركة أو مغادرة الموظف)، أو اختراق جهة إصدار الشهادات نفسها. ويُعد الإبطال أمرًا بالغ الأهمية، لأن المتصفحات والأنظمة التي لا تعلم بإبطال الشهادة ستواصل الوثوق بها — مما يمنح المهاجم الذي بحوزته المفتاح الخاص المسروق قدرة فعالة على تنفيذ هجوم الوسيط (MITM) إلى أن تنتهي صلاحية الشهادة أو يُعرف أنها أُبطلت.

قوائم إبطال الشهادات (CRL)

قائمة إبطال الشهادات (CRL) هي قائمة موقّعة تنشرها جهة إصدار الشهادات، وتحتوي على الأرقام التسلسلية لجميع الشهادات التي أبطلتها ولم تنتهِ صلاحيتها بعد. ينزّل العملاء قائمة CRL ويخزّنونها مؤقتًا، ثم يتحققون مما إذا كان الرقم التسلسلي للشهادة المقدمة موجودًا في القائمة. وتفرض قوائم CRL قيودًا كبيرة: فقد تكون ضخمة جدًا (إذ تضم جهات إصدار الشهادات الكبيرة ملايين الشهادات المُبطلة)، وغالبًا ما يخزّنها العملاء مؤقتًا لساعات أو أيام، مما يؤدي إلى تأخر المعلومات، كما أن تنزيل قائمة CRL الكاملة لكل اتصال غير فعّال. ولا تزال قوائم CRL مستخدمة، لكن يجري استكمالها أو استبدالها بـ OCSP على نحو متزايد.

# Download and view a CRL
# First get the CRL URL from the certificate
openssl x509 -in cert.pem -noout -text | grep -A4 'CRL Distribution'
# URI:http://crl3.digicert.com/DigiCertGlobalRootCA.crl

# Download and decode the CRL
openssl crl -inform DER -in DigiCertGlobalRootCA.crl -noout -text | head -40
# Shows: Revoked Certificates list with serial numbers and revocation dates

OCSP: بروتوكول حالة الشهادة عبر الإنترنت

يوفّر OCSP (بروتوكول حالة الشهادة عبر الإنترنت) فحصًا آنيًا لإبطال الشهادات دون مطالبة العملاء بتنزيل قوائم CRL كاملة. يرسل العميل استعلامًا إلى مستجيب OCSP التابع لجهة إصدار الشهادات، متضمنًا الرقم التسلسلي للشهادة. ويرد المستجيب باستجابة موقّعة تشير إلى أن الشهادة سليمة أو مُبطلة (مع تاريخ الإبطال وسببه) أو غير معروفة. ويتميز OCSP بسرعة أكبر وحداثة أعلى من CRL، لكن كل اتصال TLS يتطلب دورة إضافية ذهابًا وإيابًا عبر HTTP إلى مستجيب OCSP، مما يضيف زمن تأخير. وتوقّع جهة إصدار الشهادات استجابات OCSP لمنع العبث بها.

# Query OCSP status manually
# Get OCSP URL from certificate
OCSP_URL=$(openssl x509 -in cert.pem -noout -ocsp_uri)
echo $OCSP_URL  # http://ocsp.digicert.com

# Check certificate revocation status via OCSP
openssl ocsp -issuer intermediate_ca.pem \
              -cert cert.pem \
              -url $OCSP_URL \
              -text -noverify
# Response: cert.pem: good

تدبيس OCSP: حل مشكلة الأداء

يحل تدبيس OCSP مشكلة زمن الاستجابة المرتبط بالتحقق الفوري من OCSP. فبدلاً من أن يستعلم العميل من مستجيب OCSP التابع لـ CA أثناء كل عملية مصافحة TLS، يجلب الخادم استجابة OCSP الخاصة به مسبقًا من CA، ثم «يدبسها» (يرفقها) بمصافحة TLS. ويتلقى العميل استجابة OCSP حديثة وموقعة من CA مباشرةً من الخادم، من دون الحاجة إلى رحلة إضافية ذهابًا وإيابًا. ويجدد الخادم استجابة OCSP المدبسة دوريًا (عادةً كل ساعة). يعمل تدبيس OCSP على تحسين سرعة الاتصال وتقليل الحمل على مستجيبي OCSP التابعين لـ CA، مع الحفاظ على التحقق من إبطال الشهادة.

# Enable OCSP Stapling in nginx
# In your server block:
# ssl_stapling on;
# ssl_stapling_verify on;
# ssl_trusted_certificate /path/to/chain.pem;
# resolver 8.8.8.8 8.8.4.4 valid=300s;

# Verify OCSP Stapling is working
openssl s_client -connect example.com:443 -status 2>/dev/null | \
  grep -A 20 'OCSP Response Status'
# OCSP Response Status: successful (0x0)
# Cert Status: Good

امتداد OCSP Must-Staple

إن OCSP Must-Staple هو امتداد X.509 يخبر المتصفحات بأنه يجب على الخادم توفير استجابة OCSP مدبسة. ومن دونه، تُجري المتصفحات «فشلًا مرنًا» إذا تعذر التحقق من OCSP، فتسمح بالاتصال على أي حال (لمنع أعطال مستجيب OCSP من حظر جميع اتصالات TLS). ويمكن لمهاجم استغلال سلوك الفشل المرن بحظر طلب OCSP الصادر من العميل، مما يوهم بأن الشهادة لا تزال صالحة حتى بعد إبطالها. ويمنع OCSP Must-Staple ذلك من خلال اشتراط استجابة مدبسة صالحة؛ ومن دونها، يرفض المتصفح الاتصال. ولا يزال اعتماد هذا الامتداد محدودًا بسبب تعقيد النشر.

تثبيت الشهادة مقابل إبطالها

يعالج إبطال الشهادة وتثبيت الشهادة المشكلة نفسها، وهي الوثوق بالشهادات الاحتيالية، لكن كلًا منهما ينطلق من زاوية مختلفة. يُعد إبطال الشهادة (CRL/OCSP) آلية تفاعلية؛ إذ تلغي CA صلاحية الشهادة بعد اكتشاف مشكلة. أما تثبيت الشهادة فهو آلية استباقية؛ إذ يرفض التطبيق أي شهادة باستثناء شهادة معتمدة مسبقًا. ويوفر التثبيت ضمانات أقوى من الإبطال لأنه يعمل حتى إذا تأخرت CA في إبطال الشهادة، لكنه يفرض قدرًا من الجمود على النشر. وبالنسبة إلى اختبار Security+، احرصوا على معرفة كلتا الآليتين وفهم أن الإبطال هو الآلية القياسية في PKI، بينما يُعد التثبيت إجراءً اختياريًا للدفاع متعدد الطبقات.

مراجعة تثبيت الشهادة مقابل إبطالها

عند إبطال شهادة، تعيّن CA رمز سبب الإبطال الذي يساعد العملاء والمسؤولين على فهم السبب. وتتضمن رموز الأسباب الشائعة المعرّفة في RFC 5280 ما يلي: keyCompromise (اختراق المفتاح الخاص)، وcACompromise (اختراق CA المُصدرة)، وaffiliationChanged (تغير مؤسسة صاحب الشهادة)، وsuperseded (إصدار شهادة جديدة كبديل)، وcessationOfOperation (لم يعد النطاق نشطًا)، وprivilegeWithdrawn (إلغاء الصلاحية). ويظهر رمز السبب في كل من إدخالات CRL واستجابات OCSP، مما يوفر سياقًا لفرق الاستجابة للحوادث التي تحقق في أحداث الإبطال.

إدارة الشهادات آليًا: ACME

يعمل بروتوكول ACME (Automatic Certificate Management Environment)، الذي تستخدمه Let's Encrypt، على أتمتة دورة حياة الشهادة بالكامل. إذ تطلب عملاء ACME (مثل certbot) الشهادات ويجددونها وينشرونها تلقائيًا من دون تدخل بشري. وتستخدم CA تحديات التحقق من النطاق لتأكيد ملكية النطاق: إذ يتطلب تحدي HTTP-01 وضع ملف محدد في عنوان URL معروف، بينما يتطلب تحدي DNS-01 إنشاء سجل DNS من نوع TXT. وقد أحدث ACME تحولًا في إدارة الشهادات؛ فالشهادات التي تمتد صلاحيتها 90 يومًا من Let's Encrypt تشغّل الآن نسبة كبيرة من حركة HTTPS على الإنترنت، وتُجدد جميعها تلقائيًا.

# ACME/certbot lifecycle
# Initial certificate issuance (HTTP challenge)
certbot certonly --webroot -w /var/www/html \
  -d example.com -d www.example.com

# Or DNS challenge (for wildcard certs)
certbot certonly --dns-route53 \
  -d '*.example.com' -d example.com

# Automatic renewal via cron (certbot installs this)
# 0 12 * * * root certbot renew --quiet

تحقق سريع

اختبروا مدى فهمكم لمفاهيم CompTIA Security+ (SY0-701) الواردة في هذا الدرس.

مراجعة الدرس

تعلمتم في هذا الدرس أن دورة حياة الشهادة تبدأ من إنشاء CSR وتمر بالإصدار والنشر، ثم التجديد أو الإبطال؛ وأن CRL يوفر قوائم إبطال مجمعة، بينما يوفر OCSP حالة فورية لكل شهادة؛ وأن تدبيس OCSP يلغي زمن الاستجابة المرتبط بـ OCSP الفوري؛ وأن ACME (Let's Encrypt) يؤتمت دورة التجديد بالكامل. بعد ذلك سنستكشف حالات استخدام PKI.

الأسئلة الشائعة

هل درس «دورة حياة الشهادة وإبطالها» مجاني؟

نعم — نص درس «دورة حياة الشهادة وإبطالها» كامل متاح مجاناً هنا على الويب. لتمرينه بشكل تفاعلي (محرر أكواد مدمج ومدرس ذكاء اصطناعي متاح 24/7) وفتح باقي دورة Security+ Academy، انتقل إلى CoddyKit PRO. تتضمن دورة Security+ Academy 4 دروس في المجموع.

ماذا ستتعلم في «دورة حياة الشهادة وإبطالها»؟

تابع الشهادة منذ إصدارها وتجديدها حتى إبطالها، وتعلّم كيف يبلّغ CRL وOCSP عن حالة الإبطال في الوقت الفعلي. تتمرن على Security+ Academy مع أكواد عملية تشغلها مباشرة في المتصفح، ومدرس ذكاء اصطناعي متاح 24/7 يجيب على أسئلتك أثناء عملك.

هل أحتاج إلى خبرة سابقة لأبدأ Security+ Academy؟

لا تُشترط خبرة سابقة. Security+ Academy على CoddyKit منظم للمبتدئين حتى المتقدمين، لذا يمكنك البدء من هنا أو من البداية والتقدم بسرعتك الخاصة. هذا هو الدرس 3 من أصل 4.

كم من الوقت يستغرق درس «دورة حياة الشهادة وإبطالها»؟

معظم دروس CoddyKit تستغرق حوالي 5–10 دقائق. كل منها موجز وتفاعلي، لذا تحرز تقدماً مستمراً وتستأنف من حيث توقفت عبر الويب والتطبيق.

هل يمكنني كتابة وتشغيل أكواد في درس Security+ Academy هذا؟

نعم. كل درس في Security+ Academy يتضمن محرر أكواد مدمج، لذا تكتب وتشغل أكواداً حقيقية مباشرة في متصفحك وتحصل على تعليقات فورية من الذكاء الاصطناعي — بدون إعداد محلي.

جميع الدروس في هذه الدورة

  1. الجهات المصدّقة وسلاسل الثقة
  2. بنية شهادة X.509
  3. دورة حياة الشهادة وإبطالها
  4. حالات استخدام PKI: HTTPS وS/MIME وتوقيع التعليمات البرمجية
← العودة إلى Security+ Academy