Cyber Security Academy · درس

تدوير المفاتيح واكتشاف التسريبات

تدوير المفاتيح واكتشاف التسريبات.

تدوير المفاتيح واكتشاف التسريبات درس مجاني في Cyber Security Academy على CoddyKit. هذا هو الدرس 4 من أصل 4. يمكنك قراءة الدرس كاملاً أدناه مجاناً — ثم تمرن عليه مباشرة في المتصفح باستخدام محرر أكواد مدمج ومدرس ذكاء اصطناعي متاح 24/7. هذا الدرس جزء من مسار التعلم في Cyber Security Academy، وتقدمك يتزامن عبر الويب وتطبيق CoddyKit. تتضمن دورة Cyber Security Academy 4 دروس في المجموع.

لماذا ندوّر المفاتيح؟

تدوير المفاتيح هو استبدال السر دورياً بسر جديد وإيقاف استخدام السر القديم. وحتى المفتاح المخزن بطريقة مثالية يستفيد من التدوير:

يحد من فترة التعرض: إذا تسرّب مفتاح من دون أن يلاحظه أحد، فإن تدويره يجعله غير صالح.
يقلل الاستهلاك التشفيري: إذ يقل حجم البيانات المشفرة باستخدام أي مفتاح واحد.
يلبي متطلبات الامتثال: فمعايير مثل PCI DSS تفرض التدوير الدوري.
يلغي وصول من غادروا: فبيانات الاعتماد التي اطلع عليها موظف سابق تصبح عديمة الفائدة.

الفكرة الأساسية هي أن قيمة السر بالنسبة إلى المهاجم تتناقص كلما تغير بوتيرة أكبر. ويحوّل التدوير التسريب من مشكلة دائمة إلى مشكلة مؤقتة.

دورة حياة التدوير

يؤدي التدوير الساذج، أي حذف المفتاح القديم وإنشاء مفتاح جديد، إلى انقطاعات؛ لأن المستهلكين الذين ما زالوا يستخدمون المفتاح القديم يتوقفون عن العمل فوراً. أما التدوير الآمن فيستخدم صلاحية متداخلة:

1. إنشاء مفتاح جديد إلى جانب المفتاح الحالي.
2. توزيع المفتاح الجديد على جميع المستهلكين.
3. تفعيل المفتاح الجديد للعمليات الجديدة.
4. فترة سماح: يظل المفتاحان صالحين بينما يواكب المستهلكون التغيير.
5. إيقاف المفتاح القديم بعد التأكد من عدم استخدامه، وذلك بإبطاله.

يُعد هذا التداخل بين مفتاحين أساس التدوير من دون توقف.

التدوير دون توقف عمليًا

لكي يتم التدوير دون تعطيل حركة المرور، يجب أن تقبل الخدمات المفتاحين القديم والجديد معًا خلال فترة السماح. وتطابق أداة التحقق الرمز المميز الوارد مع أي مفتاح صالح حاليًا.

وبالنسبة إلى مفاتيح التوقيع، انشروا عدة مفاتيح عامة، وحددوا المفتاح الذي وقّع الرمز المميز باستخدام معرّف مفتاح (kid) في الترويسة. وتختار الأنظمة المستهلكة المفتاح المطابق تلقائيًا.

ولا تتخلوا عن المفتاح القديم إلا بعد أن تؤكد بيانات المراقبة عدم وجود أي حركة مرور عليه.

# A JWKS endpoint publishes multiple valid public keys.
# Tokens carry a 'kid' so verifiers select the right one,
# allowing old and new keys to coexist during rotation.
{
  "keys": [
    { "kid": "2024-q1", "kty": "RSA", "n": "...", "e": "AQAB" },
    { "kid": "2024-q2", "kty": "RSA", "n": "...", "e": "AQAB" }
  ]
}

أتمتة التدوير

التدوير اليدوي نادر، ومعرّض للأخطاء، وغالبًا ما يُتخطى عند التعرض للضغط. أتمتوا ذلك. يمكن لمنصات السحابة والخزائن تدوير الأسرار وفق جدول زمني دون تدخل بشري:

AWS Secrets Manager ينفّذ دالة Lambda للتدوير، تنشئ بيانات اعتماد جديدة، وتختبرها، ثم تعتمدها.
HashiCorp Vault يدوّر بيانات اعتماد الجذر ويصدر أسرارًا ديناميكية قصيرة العمر، بحيث يكون التدوير مستمرًا.
Cloud KMS يمكنه تدوير مفاتيح التشفير تلقائيًا على فاصل زمني ثابت.

كما أن التدوير الآلي هو الاستجابة الأكثر موثوقية لتسرب مشتبه به، إذ يمكن تطبيقه في كل مكان عبر أمر واحد أو وفق جدول زمني.

# Enable automatic rotation every 30 days in AWS Secrets Manager
aws secretsmanager rotate-secret \
  --secret-id prod/billing/db \
  --rotation-lambda-arn arn:aws:lambda:...:func:rotate-pg \
  --rotation-rules AutomaticallyAfterDays=30

تدوير مفاتيح التشفير مقابل بيانات الاعتماد

إن تدوير كلمة مرور straightforward: إنشاء كلمة مرور جديدة وتحديث الجهات المستهلكة. أما تدوير مفتاح تشفير فأصعب، لأن البيانات القديمة شُفّرت باستخدام المفتاح القديم.

الحل القياسي هو التشفير المغلف: تُشفّر البيانات باستخدام مفتاح بيانات خاص بكل كائن، ثم يُشفّر مفتاح البيانات هذا باستخدام مفتاح تشفير المفاتيح (KEK) رئيسي. وللتدوير، أعيدوا تشفير مفاتيح البيانات الصغيرة فقط باستخدام KEK الجديد، لا مجموعة البيانات بأكملها.

يتولى محرك Transit في Vault ذلك باستخدام مفاتيح ذات إصدارات: فهو يتتبع الإصدار الذي شفّر كل نص مشفّر، ويتيح إعادة تغليفه باستخدام أحدث إصدار.

# Rotate a Transit key to a new version
vault write -f transit/keys/orders-key/rotate

# Rewrap old ciphertext under the newest key version
# (cheap - re-encrypts the data key, not the whole payload)
vault write transit/rewrap/orders-key ciphertext='vault:v1:abc...'

التدوير الطارئ

التدوير المجدول مخصص للممارسات الأمنية الوقائية، أما التدوير الطارئ فمخصص للاختراقات. عندما يُعرف أن مفتاحًا ما قد اختُرق أو يُشتبه في اختراقه، تتجاوزون فترة السماح البطيئة وتجرون التدوير فورًا، مع قبول انقطاع قصير إذا لزم الأمر.

الاستعداد يجعل التعامل مع ذلك ممكنًا:

احتفظوا بـ دليل إجراءات مُختبر لتدوير كل نوع من الأسرار.
اعرفوا كل جهة تستخدم كل سر مسبقًا.
جهّزوا الأتمتة بحيث يكون التدوير الطارئ أمرًا واحدًا، لا مشروعًا للبحث والاستكشاف.

تحدد سرعة التدوير الطارئ لديكم مباشرة حجم الاختراق.

اكتشاف التسريبات: فحص الأسرار

يعالج التدوير التسريبات المعروفة؛ أما الاكتشاف فيعثر على غير المعروفة. تبحث أدوات فحص الأسرار في الشيفرة، وسجل التغييرات، والسجلات، والملفات الناتجة عن أنماط بيانات الاعتماد.

افحصوا على طبقات متعددة لتحقيق دفاع متعدد الطبقات:

الفحص قبل الالتزام يحظر الأسرار قبل دخولها إلى المستودع.
مسار CI يلتقط ما تجاوز الخطافات المحلية.
على مستوى المستودع فحوصات عميقة دورية لسجل التغييرات الكامل.
على مستوى المنصة فحص الأسرار في GitHub/GitLab عند الدفع.

تستخدم أدوات مثل gitleaks وtrufflehog التعبيرات النمطية إلى جانب تحليل الإنتروبيا لاكتشاف السلاسل عالية العشوائية التي تبدو كمفاتيح.

# CI step: fail the build if a secret is found in the diff
gitleaks detect --source . --redact --exit-code 1

# Verify candidates by testing them live (trufflehog)
trufflehog git file://. --only-verified --json

الإنتروبيا واكتشاف الأنماط

تستخدم أدوات الفحص تقنيتين متكاملتين:

مطابقة الأنماط المعروفة وبنياتها؛ فمثلًا تبدأ مفاتيح AWS بـ AKIA، ومفاتيح Stripe الحية بـ sk_live_، ورموز GitHub بـ ghp_.
تحليل الإنتروبيا لقياس العشوائية. الأسرار الحقيقية سلاسل ذات إنتروبيا مرتفعة؛ والقيمة الطويلة التي تبدو عشوائية تثير الشبهات حتى من دون بادئة معروفة.

تمنح الأنماط دقةً (إيجابيات كاذبة قليلة)، وتمنح الإنتروبيا استرجاعًا (تلتقط الصيغ غير المعروفة). تجمع الأدوات الجيدة بين التقنيتين، وتتيح لكم ضبط الحدود وقوائم السماح لإدارة الضجيج.

# Shannon entropy heuristic: high-randomness strings flag as candidate secrets
# AKIAIOSFODNN7EXAMPLE   -> matches AWS prefix pattern
# 4f8b2c9e1a7d6f3b...    -> flagged by entropy threshold
# 'hello world'          -> low entropy, ignored

الرموز الطُعمية: اكتشاف الاستخدام لا مجرد الوجود

يكشف الفحص الأسرار الموجودة في أماكن لا ينبغي أن تكون فيها. أما الرمز الطُعمي (أو الرمز الكناري) فيكتشف استخدام المهاجم للسر، لا مجرد وجوده.

تضعون بيانات اعتماد واقعية المظهر لكنها زائفة — مثل مفتاح AWS أو رمز API أو اتصال بقاعدة بيانات — في مواقع مغرية مثل ملف إعدادات أو مستودع عام. لا تفيد بيانات الاعتماد هذه في شيء، لكن أي محاولة لاستخدامها تطلق تنبيهًا.

لأن الأنظمة المشروعة لا تلمس الرمز الطُعمي مطلقًا، فإن كل استخدام له يمثل إشارة عالية الثقة إلى حدوث اختراق، وإنذارًا مبكرًا على امتلاك المهاجم مخزن أسراركم أو قاعدة شيفرتكم.

# A canary AWS key: looks real, grants nothing, alerts on any API call.
# Plant it in a config file or a fake .env.
# When an attacker tries: aws s3 ls --profile leaked
# the canary service logs the source IP and pages your team.

مراقبة الاستخدام الشاذ

إضافةً إلى الرموز الطُعمية، راقبوا كيفية استخدام الأسرار الحقيقية أيضًا. تكشف سجلات التدقيق من خزانتكم ومن موفر السحابة أنماط إساءة الاستخدام:

موقع جغرافي جديد استخدام مفتاح فجأة من بلد غير متوقع.
وصول خارج ساعات العمل استخدام بيانات الاعتماد في الثالثة صباحًا، حين لا تكون هناك مهام قيد التشغيل.
استكشاف الصلاحيات محاولة مفتاح للقراءة فقط تنفيذ عمليات كتابة أو استدعاءات إدارية.
ارتفاعات مفاجئة في الحجم زيادة مفاجئة في استدعاءات API.

أدخلوا هذه السجلات إلى نظام SIEM مع إعداد التنبيهات. ويشكّل الاكتشاف مع التدوير السريع استجابة عملية للتسريبات التي تتجاوز تدابير الوقاية.

جمع العناصر: استراتيجية للتدوير

يجمع البرنامج الناضج بين التدوير الاستباقي والاكتشاف المستمر:

فضّلوا الأسرار الديناميكية قصيرة العمر بحيث يكون التدوير تلقائيًا ومستمرًا.
أتمتوا التدوير المجدول لأي أسرار ثابتة لا يمكن تجنبها.
استخدموا تداخل المفتاحين لتدوير مفاتيح التوقيع دون توقف.
افحصوا كل مكان قبل الالتزام، وCI، والسجل، والمنصة.
انشروا الرموز الطُعمية وراقبوا سجلات التدقيق بحثًا عن الاستخدام الشاذ.
احتفظوا بأدلة إجراءات للطوارئ بحيث يُدوّر السر المتسرب المؤكد خلال دقائق.

الهدف: جعل كل سر قصير العمر، وكل تسرب قابلًا للاكتشاف، وكل عملية تدوير سريعة وروتينية.

اختبار سريع

اختبروا فهمكم لتقنيات الاكتشاف.

مراجعة: تدوير المفاتيح والاكتشاف

لقد تعلمتم كيفية إبقاء الأسرار محدثة واكتشاف التسريبات التي تفلت من الرصد.

يحدّ التدوير من فترة التعرض ويفي بمتطلبات الامتثال؛ ويستخدم التدوير الآمن تداخل المفتاحين لتحقيق التشغيل دون توقف.
أتمتوا التدوير باستخدام مديري الخدمات السحابية وVault وKMS، وفضّلوا الأسرار الديناميكية قصيرة العمر ليظل التدوير مستمرًا.
يستخدم تدوير مفاتيح التشفير التشفير المغلف، بحيث تعيدون تغليف مفاتيح البيانات الصغيرة لا مجموعات البيانات بأكملها.
تعتمد عملية التدوير الطارئ على أدلة الإجراءات ومعرفة كل جهة تستخدم السر مسبقًا.
يجمع الاكتشاف بين فحص الأسرار (الأنماط والإنتروبيا)، والرموز الطُعمية التي تكشف الاستخدام، ومراقبة الحالات الشاذة عبر سجلات التدقيق ونظام SIEM.
تجمع الاستراتيجية الناضجة بين التدوير الاستباقي والاكتشاف المستمر، بحيث تكون التسريبات قصيرة الأمد ومرئية وسريعة الاحتواء.

بهذا تكتمل دورة إدارة الأسرار وتدوير المفاتيح.

الأسئلة الشائعة

هل درس «تدوير المفاتيح واكتشاف التسريبات» مجاني؟

نعم — نص درس «تدوير المفاتيح واكتشاف التسريبات» كامل متاح مجاناً هنا على الويب. لتمرينه بشكل تفاعلي (محرر أكواد مدمج ومدرس ذكاء اصطناعي متاح 24/7) وفتح باقي دورة Cyber Security Academy، انتقل إلى CoddyKit PRO. تتضمن دورة Cyber Security Academy 4 دروس في المجموع.

ماذا ستتعلم في «تدوير المفاتيح واكتشاف التسريبات»؟

تدوير المفاتيح واكتشاف التسريبات. تتمرن على Cyber Security Academy مع أكواد عملية تشغلها مباشرة في المتصفح، ومدرس ذكاء اصطناعي متاح 24/7 يجيب على أسئلتك أثناء عملك.

هل أحتاج إلى خبرة سابقة لأبدأ Cyber Security Academy؟

لا تُشترط خبرة سابقة. Cyber Security Academy على CoddyKit منظم للمبتدئين حتى المتقدمين، لذا يمكنك البدء من هنا أو من البداية والتقدم بسرعتك الخاصة. هذا هو الدرس 4 من أصل 4.

كم من الوقت يستغرق درس «تدوير المفاتيح واكتشاف التسريبات»؟

معظم دروس CoddyKit تستغرق حوالي 5–10 دقائق. كل منها موجز وتفاعلي، لذا تحرز تقدماً مستمراً وتستأنف من حيث توقفت عبر الويب والتطبيق.

هل يمكنني كتابة وتشغيل أكواد في درس Cyber Security Academy هذا؟

نعم. كل درس في Cyber Security Academy يتضمن محرر أكواد مدمج، لذا تكتب وتشغل أكواداً حقيقية مباشرة في متصفحك وتحصل على تعليقات فورية من الذكاء الاصطناعي — بدون إعداد محلي.

جميع الدروس في هذه الدورة

← العودة إلى Cyber Security Academy