SSL مقابل TLS. ما الفرق بين شهادات SSL وشهادات TLS؟

SSL و TLS هما اختصاران قابلان للتبديل عند وضعهما بجانب مصطلح “شهادة”، ولكنهما في الأساس بروتوكولات تشفير مختلفة مصممة لأداء نفس المهمة. في دليل SSL مقابل TLS، سنلقي نظرة فاحصة على كل بروتوكول وميزاته المميزة حتى تعرف الفرق بين SSL و TLS.

قبل أن نتعمق في الجوانب الفنية لـ SSL و TLS، دعونا نلقي نظرة شاملة على صناعة SSL بأكملها ونرى لماذا تلعب دورًا حاسمًا في أمان الويب اليوم.

---

جدول المحتويات

1. ما هي شهادات SSL/TLS؟
2. تاريخ موجز لشهادات SSL/TLS
3. ما الفرق بين شهادات SSL وشهادات TLS؟
4. ما الفرق بين تشفير SSL وتشفير TLS؟
5. أيهما أكثر أماناً، SSL أم TLS؟
6. إذا كانت SSL الآن هي TLS، فلماذا لا نسميها شهادات TLS؟

---

ما هي شهادات SSL/TLS؟

شهادة SSL/TLS هي ملف رقمي صغير يؤمن البيانات الحساسة أثناء النقل بين تطبيقي كمبيوتر عبر الشبكة. ونظرًا لأن الإنترنت هو أكبر شبكة كمبيوتر، فإن شهادات SSL هي عنصر أساسي في أي موقع إلكتروني.

بشكل افتراضي، تنتقل جميع المعلومات التي يشاركها المستخدمون مع موقع الويب بنص عادي من المتصفح إلى خادم الويب عبر بروتوكول نقل النص التشعبي (HTTP). هذا البروتوكول القائم بين العميل والخادم عرضة للتهديدات السيبرانية، لا سيما هجمات الوسيط التي يمكن أن تعترض وتسرق تفاصيل حساسة مثل أرقام بطاقات الائتمان. ولمنع ذلك، اخترع علماء الكمبيوتر بروتوكولي SSL و TLS، اللذين تتبعهما الشهادات الرقمية. إليك كيفية عمل كل ذلك عملياً:

لنفترض أن لديك متجر على الإنترنت يبيع البلورات. عندما يصل العملاء إلى صفحة الدفع الخاصة بك، يملأون تفاصيل الدفع وينقرون على زر الشراء. الآن، تنتقل جميع معلوماتهم مباشرةً من متصفحهم إلى خادمك. إذا تم تمكين بروتوكول HTTPS، ستبدو البيانات بالنسبة للمخترق المحتمل سلسلة من الأحرف العشوائية بدلاً من الأسماء والعناوين وأرقام بطاقات الائتمان الفعلية.

كسر تشفير SSL/TLS يتجاوز القدرات البشرية. لهذا السبب أصبحت شهادات SSL الآن إلزامية لكل موقع. فبدون واحدة، ستضع المتصفحات علامة على الاتصالات على أنها غير آمنة. والأسوأ من ذلك أن الموقع لن يظهر في صفحات نتائج محرك البحث.

كيف تحصل على شهادة SSL؟ يمكنك الحصول عليها من هيئة شهادات، وهي كيان خارجي يقوم بالتحقق من صحة ملكية النطاق، وإذا لزم الأمر، من الوضع القانوني للشركة. بعد ذلك، تقوم بتثبيت/رفع ملفات الشهادة على خادم موقعك الإلكتروني وتفعيل بروتوكول HTTPS الآمن. هذا كل شيء! موقعك الإلكتروني آمن، وبيانات المستخدمين آمنة.

---

تاريخ موجز لشهادات SSL/TLS

منحتنا التسعينيات أول مواقع الويب والمتصفحات وأول معاملة تجزئة آمنة عبر الويب. ولكن، كما هو الحال غالبًا في الإصدارات المبكرة، كان الإصدار الأولي من SSL (طبقة مآخذ التوصيل الآمنة) يعج بالثغرات الأمنية. لقد كان ضعيفًا جدًا لدرجة أنه لم يتم بثه على الهواء مباشرة.

في عام 1995، أصدرت نتسكيب بروتوكول SSL 2.0 للاستخدام العام، وبعد عام واحد، أصدرت بروتوكول SSL 3.0 المحسّن. ومع عدم رضاها عن الأداء الأمني، انضمت نتسكيب إلى منافستها مايكروسوفت في عام 1999 وطورت بروتوكول تشفير جديد تمامًا يسمى TLS (أمن طبقة النقل).

كان TLS 1.0 مطابقًا تقريبًا لـ SSL 3.0، ولكن مع كل إصدار جديد، أصبح أكثر أمانًا. يبلغ عمر TLS 1.2 15 عامًا تقريبًا ولكنه لا يزال مستخدمًا على نطاق واسع حتى اليوم. يوفر أحدث إصدار TLS 1.3 أحدث إصدار من TLS 1.3 معظم التحسينات ويتم تطبيقه الآن بشكل مطرد عبر الويب.

والآن بعد أن تناولنا بإيجاز تاريخ SSL و TLS، دعونا نرى أوجه التشابه والاختلاف بينهما.

---

ما الفرق بين شهادات SSL وشهادات TLS؟

بالنسبة للمستخدم العادي، لا يعني SSL أو TLS الكثير بالنسبة للمستخدم العادي. طالما أن رمز القفل بجوار عنوان URL الخاص بالموقع الإلكتروني، فإن استخدامه آمن. ولا يجب أن تقلق بشأن شهادات SSL مقابل شهادات TLS عند شراء واحدة. من المهم التمييز بين الشهادات والبروتوكولات.

الشهادات هي الملفات الرقمية التي تصادق على هوية الخادم الخاص بك حتى تتمكن المتصفحات من إنشاء اتصال آمن من خلال بروتوكولات التشفير. تمكّن بروتوكولات الاتصال هذه طرفين من تبادل البيانات بخصوصية وسلامة.

واليوم، تدعم معظم المواقع بروتوكولي TLS 1.2 و TLS 1.3، بينما لم تعد إصدارات SSL مستخدمة. من الناحية الفنية، يستخدم الجميع شهادات TLS، بغض النظر عما نسميها. لذلك عندما نشير بدقة إلى الشهادات، لا يوجد فرق بين SSL و TLS في عام 2023. أما بالنسبة للبروتوكولات، فمع كل إصدار جديد لـ TLS، يصبح الإصدار السابق لـ SSL قديمًا.

---

ما الفرق بين تشفير SSL وتشفير TLS؟

عندما نقارن بين SSL و TLS، يكون التشفير مجرد جزء من المصافحة بين العميل والخادم. يستخدم الإصدار SSL 2.0 تبادل مفاتيح RSA (RSA) (Rivest Shamir Adleman) فقط، بينما يدعم إصداري SSL 3.0 و TLS أيضًا مفتاح Diffie-Hellman (DH). قدم TLS 1.2 دعمًا لتشفير المنحنيات الإهليلجية، بينما في TLS 1.3، تمت إزالة RSA.

تستخدم جميع تقنيات التشفير هذه خوارزميات معقدة تسمى مجموعات التشفير لتحويل رسالة النص العادي الأصلية إلى نص مشفر مشفر، ولكن هناك شيء واحد مشترك بينها: تشفير المفتاح العام.

يستخدم تشفير المفتاح العام أو التشفير غير المتماثل مفاتيح مختلفة لتشفير البيانات وفك تشفيرها. إليك كيفية عمل ذلك:

لنفترض أن جون يريد إرسال رسالة سرية إلى جين. لدى جين مفتاح عام ومفتاح خاص، لذا فهي تحتفظ بمفتاحها الخاص في مكان آمن وترسل مفتاحها العام إلى جون. يقوم جون بتشفير الرسالة السرية باستخدام مفتاح جين العام. يمكن لـ Jane فك تشفيرها لاحقًا باستخدام مفتاحها الخاص. ولكن ماذا لو تنكر توم في زي جين؟ كيف سيثق جون في جين؟ أدخل التوقيعات الرقمية وسلطات الشهادات (CAs).

يتم توقيع شهادات SSL/TLS رقميًا من قبل مرجع مصدق (CA) يقوم بإنشاء التوقيع باستخدام مفتاحه الخاص ويوفر تعريفًا لحامل الشهادة، وهي في حالتنا هذه، جين.

كما ترى، يحاول كل من بروتوكولي SSL و TLS تحقيق نفس الشيء، ولكن مع كل إصدار جديد لـ TLS، يختلف النهج والتطورات الأمنية كثيرًا عن الإصدارات الأولى من بروتوكول SSL.

على سبيل المثال، تستخدم TLS مجموعات تشفير أقل ولكن أكثر كفاءة لا تترك مجالاً للاختراق. توفر مجموعات التشفير السرية التامة إلى الأمام (PFS) وتقبل أي طول للمفتاح. من ناحية أخرى، تدعم SSL مجموعة تشفير واحدة فقط مع PFS، والتي تستخدم مفتاح RSA 1024 بت.

يمكن القول إن الفرق الأكبر بين SSL و TLS هو مصادقة الرسائل. تستخدم SSL رموز مصادقة الرسائل (MACs) لضمان سلامة الرسائل أثناء الإرسال. لا يستخدم TLS MACs ولكنه يعتمد بدلاً من ذلك على التشفير لمنع التلاعب.

---

أيهما أكثر أماناً، SSL أم TLS؟

مع تطور الإنترنت وانتشار التهديدات السيبرانية، كانت بروتوكولات SSL القديمة أضعف من أن تواجه هجمة الهجمات. لم يتم نشر الإصدار الأول من SSL، ولم يكن الإصدار التالي منتجاً نهائياً أيضاً. جاء الإصدار SSL 3.0 لإصلاح عيوب الإصدار السابق له، في حين أن أول إصدارين من TLS لم يجلبا سوى تغييرات طفيفة.

جاءت التحسينات الكبيرة مع وصول TLS 1.2، في حين أن TLS 1.3 ارتقى بها إلى مستوى جديد، حيث أعاد تعريف بعض المفاهيم الأساسية. اليوم بروتوكولات SSL مهملة ولم تعد مدعومة من قبل معظم الخوادم والعملاء. قد لا تزال تجد SSL ممكّنًا على بعض الأنظمة الأساسية القديمة، لكن الإنترنت انتقل إلى TLS 1.2 و1.3.

ثغرات SSL و POODLE

في عام 2014، اكتشف فريق من المتخصصين الأمنيين الذين وظفتهم جوجل مشكلة خطيرة في SSL وأطلقوا عليها اسم POODLE (التشفير القديم المتدرج). أدى هذا الاكتشاف إلى انتقال هائل من SSL إلى TLS.

وباختصار، يستفيد POODLE من احتياطات SSL 3.0 الاحتياطية. يسيء المهاجمون استخدام بروتوكول SSL ويستخدمونه لفك تشفير أجزاء من المحتوى. من خلال القيام بعدد كبير من الهجمات، تمكن المخترقون من كشف بعض أجزاء الاتصال بين العميل والخادم والوصول إلى المعلومات. يمكن اختراق أي نظام يدعم SSL 3.0 باستخدام طريقة POODLE.

في عام 2002، أي قبل ظهور ثغرة POODLE بوقت طويل، ظهرت ثغرات أخرى في بروتوكول SSL مثل BREAST أو BREACH. لم تثبت هذه الهجمات أنها مشكلة حقيقية إلا في عام 2011. عملت مايكروسوفت وأبل وشركات المتصفحات الأخرى معًا للقضاء عليها. في النهاية، كانت كل هذه الخروقات الأمنية هي السبب في استبدال SSL بـ TLS.

في ذلك الوقت، كان الحل الأسرع لأي ثغرات في بروتوكول SSL هو تعطيل البروتوكول من جانب الخادم واستخدام إصدار TLS 1.2 الآمن فقط. واليوم، لا يزال العديد من المستخدمين يتساءلون أيهما أفضل، SSL أم TLS؟ الإجابة واضحة، وهي نفسها منذ أكثر من عقد من الزمان. بروتوكول TLS هو البروتوكول الأكثر استقراراً، مع ميزات أمان متقدمة قادرة على التعامل مع التهديدات الإلكترونية الحديثة. SSL هو الماضي، بينما TLS هو الحاضر والمستقبل.

---

إذا كانت SSL هي الآن TLS، فلماذا لا نطلق عليها شهادات TLS؟

يصبح الفرق بين SSL و TLS أكثر أهمية مع مرور السنوات واعتماد إصدارات TLS الجديدة تقنيات تشفير متطورة. عندما ظهرت TLS لأول مرة كبديل لـ SSL، أحدثت تغييرات طفيفة، ولم تدعمها بعض الخوادم. لتجنب الالتباس الفني، استمر الجميع في استخدام اختصار SSL القديم للاتصالات عبر بروتوكول SSL 3.0.

خلال ذروة ثغرات SSL، استمتع المخترقون بتخفيض مستوى بروتوكول TLS إلى SSL 3.0 عبر هجوم POODLE المذكور سابقًا. بعد أن سئمت الجهات المنظمة للصناعة من عيوبه المستمرة، قامت بإهمال بروتوكول SSL ولكنها احتفظت بالاسم لأغراض تسويقية.

نظرًا لأن الجمهور العام على دراية بمصطلح SSL، فإن السلطات المصدقة الرائدة، مثل DigiCert و GeoTrust و RapidSSL و Thawte و Sectigo، تستخدمه في جميع منتجاتها.

هل سنتخلص يوماً ما من اختصار SSL ونستخدم TLS حصرياً؟ وبالنظر إلى أنه قد مر الآن ثماني سنوات منذ أن أصبح SSL 3.0 من التاريخ، ولا توجد أي دلائل على أن المراجع المصدقة (CA) ستزيل اسم SSL، فإن الاختصار القديم المكون من ثلاثة أحرف سيظل موجودًا في المستقبل المنظور.

---

الأفكار النهائية

سيكون سؤال SSL مقابل TLS في ذهن كل مستخدم عندما يتعرف لأول مرة على شهادات SSL وتشفير البيانات الحساسة. كلا بروتوكولي التشفير يحلان نفس المشكلة، ولكن كما هو الحال في كثير من الأحيان مع التكنولوجيا، تحتوي الإصدارات الأولية على أوجه قصور لا يمكن التغلب عليها إلا بالبدائل المستقبلية.

لقد مهد بروتوكول SSL الطريق لخيار TLS أفضل وأسرع وأكثر موثوقية. وهذا هو الفرق الرئيسي بين SSL و TLS. مع كل إصدار جديد لـ TLS، تتضاءل أوجه التشابه وتتباعد. لتلخيص المقال بأكمله في جملة واحدة: جميع شهادات SSL هي الآن شهادات TLS مع إرفاق الاختصار القديم للوضوح وسهولة الاستخدام.

الأسئلة المتداولة