Cryptology Academy · درس

إبطال الشهادات: CRL وOCSP

افهم كيف تُبطل الشهادات المخترقة عمليًا

الدرس 3 من 413 خطوة

إبطال الشهادات: CRL وOCSP درس مجاني في Cryptology Academy على CoddyKit. هذا هو الدرس 3 من أصل 4. يمكنك قراءة الدرس كاملاً أدناه مجاناً — ثم تمرن عليه مباشرة في المتصفح باستخدام محرر أكواد مدمج ومدرس ذكاء اصطناعي متاح 24/7. هذا الدرس جزء من مسار التعلم في Cryptology Academy، وتقدمك يتزامن عبر الويب وتطبيق CoddyKit. تتضمن دورة Cryptology Academy 4 دروس في المجموع.

مرحبًا

تنتهي صلاحية الشهادات، لكن قد يتعرّض المفتاح الخاص للاختراق قبل انتهاء صلاحيتها. تتيح آليات الإلغاء لجهات إصدار الشهادات الإعلان عن أن الشهادة لم تعد موثوقة.

أهمية الإلغاء

إذا سرق مهاجم مفتاح TLS الخاص بكم، فيمكنه انتحال هوية خادمكم حتى تنتهي صلاحية الشهادة. ويتيح الإلغاء لـ CA إبطال الشهادة فورًا.

قائمة إلغاء الشهادات (CRL)

إن CRL قائمة موقّعة بأرقام الشهادات التسلسلية المُلغاة، تنشرها CA. ينزّل العملاء قائمة CRL ويتحققون مما إذا كان الرقم التسلسلي للشهادة المستهدفة موجودًا فيها.

مشكلات CRL

قد تكون قوائم CRL كبيرة، إذ قد تضم ملايين الشهادات المُلغاة لدى جهات إصدار الشهادات الكبرى. وتُنزل هذه القوائم دوريًا، ولذلك قد لا تظهر الشهادة التي أُلغيت حديثًا في قائمة CRL إلا بعد ساعات. وتُعد نافذة التأخير فجوة أمنية.

OCSP: بروتوكول حالة الشهادة عبر الإنترنت

يرسل OCSP استعلامًا فوريًا إلى مستجيب تديره CA: الطلب: 'هل ما زال الرقم التسلسلي 1234 صالحًا؟' الاستجابة: 'Good' / 'Revoked' / 'Unknown' توقّعها CA باستخدام مفتاح توقيع OCSP الخاص بها.

مشكلة الخصوصية في OCSP

في كل مرة تزورون فيها موقعًا إلكترونيًا، يخبر متصفحكم مستجيب OCSP التابع لـ CA بالموقع الذي تزورونه. وهذا يكشف سجل التصفح لجهات إصدار الشهادات. يعطّل Firefox بروتوكول OCSP لمعظم الاتصالات.

إرفاق OCSP

يحل إرفاق OCSP مشكلة الخصوصية: يجلب الخادم استجابة OCSP الخاصة به دوريًا ويرفقها بعملية مصافحة TLS. ويحصل العميل على الاستجابة دون الاتصال بـ CA.

امتداد OCSP Must-Staple

يطلب امتداد OCSP Must-Staple في X.509 من المتصفحات رفض الشهادة إذا لم تُقدَّم استجابة OCSP مرفقة. ويمنع هجمات الفشل المرن التي يتم فيها تجاوز فحص OCSP.

الفشل المرن مقابل الفشل الصارم

الفشل المرن: إذا تعذر الوصول إلى OCSP أو CRL، يستمر الاتصال على أي حال (مخاطرة أمنية). الفشل الصارم: إذا تعذر تأكيد حالة الإلغاء، يُرفض الاتصال. يستخدم Chrome الفشل المرن افتراضيًا.

CRLite وOneCRL

يستخدم Firefox ‏CRLite، وهو هيكل بيانات احتمالي مدمج يحتوي على جميع الشهادات المُلغاة ويُحدّث يوميًا. أما OneCRL فهي قائمة أصغر بالشهادات الوسيطة المُلغاة. ويتجنب كلاهما استعلامات OCSP.

كيفية إلغاء شهادتكم الخاصة

Let's Encrypt ACME: certbot revoke --cert-path /etc/letsencrypt/live/domain/cert.pem تحتاجون إما إلى المفتاح الخاص وإما إلى بيانات اعتماد حساب ACME الخاص بكم. يسري الإلغاء فورًا في استجابات OCSP.

اختبار سريع

ما المشكلة التي يحلها إرفاق OCSP مقارنةً باستعلامات OCSP المباشرة؟

أجب عليها في الدرس التفاعلي

مراجعة

إلغاء الشهادات موضوع معقد لكنه حيوي. سننشئ بعد ذلك CA خاصة بنا باستخدام OpenSSL.

البدء مجانًا

تعلم Cryptology Academy مع معلم ذكاء اصطناعي — مجانًا

اكتب وقم بتشغيل أكوادك الفعلية في المتصفح، واحصل على مساعدة فورية من معلم ذكاء اصطناعي متاح 24/7، واستمر من حيث توقفت على الويب أو في التطبيق.

الدورات: 67
الدروس: 261

ابدأ التعلم مجانًا عرض الدورة الكاملة

الأسئلة الشائعة

هل درس «إبطال الشهادات: CRL وOCSP» مجاني؟

نعم — نص درس «إبطال الشهادات: CRL وOCSP» كامل متاح مجاناً هنا على الويب. لتمرينه بشكل تفاعلي (محرر أكواد مدمج ومدرس ذكاء اصطناعي متاح 24/7) وفتح باقي دورة Cryptology Academy، انتقل إلى CoddyKit PRO. تتضمن دورة Cryptology Academy 4 دروس في المجموع.

ماذا ستتعلم في «إبطال الشهادات: CRL وOCSP»؟

افهم كيف تُبطل الشهادات المخترقة عمليًا تتمرن على Cryptology Academy مع أكواد عملية تشغلها مباشرة في المتصفح، ومدرس ذكاء اصطناعي متاح 24/7 يجيب على أسئلتك أثناء عملك.

هل أحتاج إلى خبرة سابقة لأبدأ Cryptology Academy؟

لا تُشترط خبرة سابقة. Cryptology Academy على CoddyKit منظم للمبتدئين حتى المتقدمين، لذا يمكنك البدء من هنا أو من البداية والتقدم بسرعتك الخاصة. هذا هو الدرس 3 من أصل 4.

كم من الوقت يستغرق درس «إبطال الشهادات: CRL وOCSP»؟

معظم دروس CoddyKit تستغرق حوالي 5–10 دقائق. كل منها موجز وتفاعلي، لذا تحرز تقدماً مستمراً وتستأنف من حيث توقفت عبر الويب والتطبيق.

هل يمكنني كتابة وتشغيل أكواد في درس Cryptology Academy هذا؟

نعم. كل درس في Cryptology Academy يتضمن محرر أكواد مدمج، لذا تكتب وتشغل أكواداً حقيقية مباشرة في متصفحك وتحصل على تعليقات فورية من الذكاء الاصطناعي — بدون إعداد محلي.

جميع الدروس في هذه الدورة

ما الشهادة؟ بنية X.509
الجهات المصدّقة وسلاسل الثقة
إبطال الشهادات: CRL وOCSP
إنشاء شهادات موقّعة ذاتيًا باستخدام OpenSSL

← العودة إلى Cryptology Academy