Encryption

يحوّل التشفير معلومات مقروءة، تُسمّى النص الصريح، إلى صورة غير مقروءة تُسمّى النص المشفّر، باستخدام خوارزمية وقيمة سرية هي المفتاح. الخوارزمية معلنة ومختبرة جيدًا، والمفتاح هو السر الوحيد. ومن يملك المفتاح الصحيح يعكس العملية، أما الآخرون فلا يرون سوى ضجيج.

وهو الوسيلة التقنية الرئيسة للحفاظ على السرية حين لا يمكن الوثوق بالوسط الناقل: حاسوب محمول مسروق، أو نسخة احتياطية جرى نسخها، أو كابل في مبنى لا تملكه. ولذلك يقع في صميم برامج حماية البيانات، وكثيرًا ما تشير إليه الأنظمة المتعلقة بالبيانات الشخصية وبيانات الدفع، من GDPR إلى PCI DSS، بوصفه إجراءً وقائيًا.

أيًّا كان المنتج، تتكرر الدورة نفسها: مفتاح وخوارزمية يقفلان البيانات، وتُفتح البيانات بالدورة نفسها في الاتجاه المعاكس.

1. 1

   اختيار الخوارزمية والمفتاح

   استخدم خوارزمية قياسية جيدة المراجعة مثل AES، ومفتاحًا مولَّدًا من مصدر عشوائي قوي.

2. 2

   التشفير

   تدمج الخوارزمية النص الصريح بالمفتاح، وتضيف عادةً قيمة عشوائية جديدة لكل رسالة، وتنتج النص المشفّر.

3. 3

   التخزين أو الإرسال

   يمكن أن يبقى النص المشفّر على قرص أو يعبر الإنترنت. وبلا المفتاح لا يكشف شيئًا عن المحتوى.

4. 4

   فك التشفير

   من يملك المفتاح الصحيح يعكس العملية ويستعيد البيانات، أما المفتاح الخاطئ فلا ينتج إلا رموزًا غير مفهومة.

لأن الخوارزميات القوية معلنة، فإن التشفير يفشل في الغالب بسبب المفاتيح لا بسبب الرياضيات. فهو لا يزيل الخطر بل ينقله من البيانات إلى المفتاح، ولذلك يحتاج المفتاح إلى دورة حياة خاصة به:

• أنشئ المفاتيح بمصدر عشوائي موثوق وأداة قياسية.
• احفظ المفاتيح بعيدًا عن البيانات التي تحميها، في مدير مفاتيح أو وحدة عتادية.
• قيّد من يستطيع استخدام كل مفتاح وما يستطيع ذلك، وسجّل كل استخدام.
• بدّل المفاتيح وفق جدول زمني وبعد أي اشتباه في انكشافها.
• انسخ المفاتيح احتياطيًا وضع إجراءً للاسترداد، فالمفتاح المفقود يجعل البيانات غير مقروءة إلى الأبد.
• أتلف المفاتيح حين يجب أن تختفي البيانات: فحذف المفتاح قد يجعل البيانات غير قابلة للاسترداد، وهي طريقة تُعرف باسم المحو التشفيري.

يُطبَّق التشفير على طبقات عدة، وتجيب كل طبقة عن تهديد مختلف. فتشفير الأقراص والملفات يحمي البيانات الساكنة، أما تشفير النقل فيغطي البيانات أثناء حركتها.

يحمي التشفير البيانات ممن لا يملك المفتاح، ولا يفعل شيئًا حيال من يملكه: فالموظف الذي يفتح ملفًا مشفّرًا يراه واضحًا، وفي الجلسة نفسها يستطيع إرساله إلى بريد شخصي. ولذلك يكمّل التشفير منع فقدان البيانات (DLP) ولا يحل محله، ولذلك كثيرًا ما يخرج تهريب البيانات عبر قنوات مشفّرة تمامًا.

والتشفير سلاح ذو حدين. فبرمجيات الفدية تستخدم التقنيات نفسها لقفل ملفات الضحية، ويمكن لخوارزميات المفتاح العام المستخدمة على نطاق واسع، مثل RSA وتشفير منحنيات الإهليلج، أن تُكسر بحاسوب كمّي كبير بما يكفي، ولهذا نشرت جهات التقييس بالفعل خوارزميات لما بعد الحوسبة الكمّية.

معظم حركة الويب مشفّرة، ولذلك فإن وكيلًا يتجاهلها سيفوّت أغلب عمليات النقل. ففي وحدة تحكم Anexet تتيح إعدادات اعتراض حركة الشبكة للوكيل استبدال شهادات الخوادم بشهادات صادرة عن جذر موثوق، ليمكن تحليل حركة الويب المشفّرة ضمن مراقبة حركة الويب. ويمكن إنشاء الشهادة تلقائيًا أو استخدام شهادة الشركة نفسها، كما يستبعد مرشّح المضيفين مواقع يحددها المسؤول.

يُخلط التشفير بتقنيات أخرى تغيّر شكل البيانات أيضًا لكنها تعمل بطريقة مختلفة. فالتجزئة (hashing) في اتجاه واحد، والترميز مثل Base64 مجرد تغيير في الصيغة، وإخفاء البيانات يستبدل القيم لأغراض الاختبار أو العرض. والتشفير وحده يجمع بين إمكانية العكس والمفتاح السري.

ابدأ من البيانات لا من الأداة: حدّد ما هو حساس وأين يوجد، ثم شفّر المخازن والقنوات التي تحمله بخوارزميات قياسية ومدير مفاتيح. دوّن من المسؤول عن كل مفتاح وكيف يُبدَّل ويُستردّ. وأخيرًا افحص ما يحدث بعد فك التشفير، فالمستخدمون المصرّح لهم ما زالوا بحاجة إلى مراقبة.