أولا يوفر نظام SSL ثلاث خصائص:

1. تشفير البيانات المرسلة عبر الانترنت بحيث لا يستطيع احد فهم محتواها غير المرسل والمستقبل الرسمي Confidentiality.
2. حماية البيانات المرسلة من العبث او التعديل قبل وصولها للمستقبل Integrity.
3. التأكد من هوية المرسل حتى يتسنى للمستقبل تحديد اذا كانت البيانات مرسلة من جهه صحيحه او لا Authentication.

سوف اقوم في حديثي هذا بشرح الخاصية رقم 1 وترك باقي الخصائص لموضوع قادم ان تيسر الوقت.

يستخدم هذا النظام ثلاث انواع من الشفير:

1. تشفير تثائي الاتجاه: يعتبر هذا اقدم سبل التشفير المعروفة وحاليا يعتبر تشفير AES هو التشفير المتفق عليه عالميا ويتميز بسرعته وقوته. وطريقة عمله تعتمد على اختيار مفتاح سري (Secret Key) من عدة احرف يتفق علية المرسل والمستقبل بشرط ان يكون طويل وصعب التخمين فيقوم المرسل باستخدام المفتاح السري لتشفير البيانات (Encryption) قبل ارسالها ثم يقوم المستقبل باستخدام نفس المفتاح لعكس عملية التشفير واستخراج البيانات (Decryption) الاصلية ولهذا يسمى ثنائي الاتجاه ويسمى كذلك بالتشفير التماثلي (Symmetric key cryptography). من الامثلة المشهورة لهذا النوع: DES و AES و RC4
   
   

   النص الاصلي Plain text	← + →	المفتاح السري Secret Key
   	↓
   	النص المشفر Cipher text
   	↓
   المفتاح السري Secret Key	← + ←	النص الاصلي Plain text

    

2. تشفير احادي الاتجاه (Hashing): وهو يعتبر نوع خاص من انواع التشفير حيث انه يقوم بتحويل البيانات الى شفرة غير مفهومة وتكون ذات حجم ثابت غالبا، ولكن من الصعب عكس العملية والتوصل الى البيانات الاصلية، كما يجب (قدر الامكان) ان لا توجد بيانات عند تشفيرها تعطي نتيجة مشابهة لشفرة بيانات اخرى. ومن الامثلة: MD5 و SHA
   مثال على ما تم الحديث عنه:
    

   النص الاصلي		الشفرة (Hash)
   أي نص مشفر او غير مشفر ومهما كان حجمة Any clear text or encrypted text of any size	←	a0dfa73889a0a38a884c483ef4f870b1
   أي نص اخر مغاير سواء في الحجم او المحتوى ولو بفرق بسيط جدا Any different text in size or content even with small changes	←	195903a5b0c33a81c10f1692fd5091ee

    

3. تشفير المفتاح العام والخاص (Public-key cryptography): ويسمى ايضا التشفير الغير متماثل (Asymmetric key cryptography) اذ يعتمد هذا النوع من الشفير على وجود مفتاحين مختلفين تماما يستخدم احدهما للتشفير ويستخدم  الاخر لفك التشفير (او العكس) ولكن لايمكن استخدام نفس المفتاح لكلا العمليتنين. ومن الامثلة: RSA و Diffie-Hellman.
   
   

   النص الاصلي Plain text	← + →	المفتاح الخاص Private Key
   	↓
   	النص المشفر Cipher text
   	↓
   المفتاح العام Public Key	← + ←	النص الاصلي Plain text

بعد هذا الشرح المبسط للتقنيات المستخدمة سوف أتحدث عن طريقة عملها مجتمعة في نظام SSL اذ ان كل واحدة منها لا تستطيع اداء المهمة بالشكل المطلوب لوحدها. فعلى سبيل المثال لو تحدثت عن التشفير ثنائي الاتجاة (مثلا AES) فان هذا التشفير هو المستخدم في كثير من ألأنظمة لانه سريع وقوي ولكن تكمن مشكلته في أن المفتاح السري يجب ان يكون معلوماُ لدي الطرفين المعنيين بالإرسال (المرسل والمستقبل) فاذا كنت تود ارسال رسالة مشفرة لزميل عن كريق الانترنت فيجب عليك مسبقا ابلاغة بالمفتاح السري لكي يتمكن من فك التشفير ولكن يجب عمل ذلك بطريق آمن اذ لو تم ارسال المفتاح عن طريق الانترنت فان اي متجسس سوف يحصل عليه وسيتمكن من فك التشفير. ففي السابق كانت طريقة تبادل المفتاح السري هي باستخدام وسيلة اتصال اخرى غير الانترنت واكثر امنا كأن يتم التقابل شخصيا والاتفاق على رقم سري او عن طريق الهاتف….الخ لكن هذا الخيار غير ممكن في جميع الاحوال وصعب التطبيق، ففي الحرب العالمية الثانية كانت المانيا تزود جيشها بقائمة من المفاتيح السرية بحيث يتم استخدام كل مفتاح لمدة زمنية معينه ثم يتم الانتقال للمفتاح الذي يليه، تكمن المشكلة في هذه الطريقة صعوبة تغيير القائمة في حال تم الوصول اليها من العدو وهو ما حصل بالفعل عندما تمكن الحلفاء من اختطاف غواصة والحصول على قائمة المفاتيح السرية منها.
جاء الحل لهذة المشكلة مع اكتشاف تقنية تشفير المفتاح العام والخاص ففي هذه التقنية يقوم الشخص المعني باستقبال الرسالة بانشاء مفتاحين (باستخدام عملية حسابية تعتمد على ايجاد ارقام اولية كبيره جدا) يستخدم احدهما للتشفير ويسمى المفتاح العام والاخر لفك ذلك التشفير ويسمى المفتاح الخاص. فاذا اردت انا استقبال رسالة سرية منك فكل ما علي عملة هو انشاء هذين المفتاحين ثم اقوم بالاحتفاظ بالمفتاح الخاص ووضع المفتاح العام في مكان يسهل عليك الوصول اليه (اما ان ارسلة اليك او اضعه في صفحة في الانترنت) ولا يهم اذا تمكن شخص غيرك من الحصول عليه، ثم بعد ذلك تقوم انت باستخدام ذلك المفتاح (المفتاح العام) لتشفير رسالتك ثم ارسالها الي وفي هذه الحالة لايمكن فك ذلك التشفير إلا باستخدام المفتاح الخاص الموجود لدي وحدي ولا يمكن استخدام المفتاح العام لعمل ذلك. (ارجو ان يكون الشرح واضح ولا اكون لخبطتكم )

المشكلة الموجودة حاليا في تقنية تشفير المفتاح العام هي كون العملية معقدة وتستغرق وقتا طويلا وطاقة حسابية من اجهزة الحاسب والشبكات فيصعب استخدامها في تشفير بيانات كثيرة وعلاوة على ذلك فانها لاتعتبر بالقوة التشفيرية التي تصل اليها تقنية التشفير التماثلي (او ثنائي الاتجاة) فلكي تحصل على تشفير تماثلي قوي تحتاج الى مفتاح سري بحجم 256 بت او اكثر اما في تشفير المفتاح العام فيجب ان يكون حجم المفتاح 1024 بت او اكثر.

ما هو الحل اذن؟؟ هل نستخدم التشفير التماثلي او المفتاح العام؟
الجواب هو باستخدامهما جميعا. كيف؟ … الطريقة ببساطة هي وكما في المثال السابقة ان اقوم بارسال مفتاحي العام لك ثم بدلا من ان تقوم انت باستخدامة لتشفير الرسالة تستخدمة لتشفير المفتاح السري الذي سنقوم باستخدامة في التشفير التماثلي، حيث تقوم انت بانشاء مفتاح (بطول 256 بت مثلا) ويكون صعب التخمين (احرف وارقام عشوائية) ثم تستخدم مفتاحي العام لتشفير ذلك المفتاح السري وارسالة لي ومن ثم اقوم انا باستخدام مفتاحي الخاص لفك التشفير والحصول على ذلك المفتاح العشوائي والذي سنستخدمة جميعا في تشفير بقية الاتصال. فبهذه الطريقة نكون استخدمنا تقنية المفتاح العام (المكلفة حسابيا والبطيء) مرة واحده فقط وبعد ذلك نكمل بقية المراسلات باستخدام التشفير التماثلي (السريع والآمن)

لتبسيط شرح طريقة العمل قمت بعمل هذا المثال المبسط:

1. يقوم المستخدم بالدخول على موقع البنك المشفر (https) او اذا استخدم الموقع العادي (http) فان البنك سيقوم يتحويلة مباشرة الى النمط المشفر.
2. يقوم البنك بارسال شهادته الرقمية المصدقة وفيها مفتاح التشفير العام.
3. يقوم متصفح الانترنت لدى المستخدم (مثلا فايرفوكس او انترنت اكسبلورر) بالتحقق من مصداقية وصلاحية تلك الشهادة واذا كانت تخص البنك او لا.
4. يقوم المتصفح بانشاء رقم سري عشوائي يكون عادته بطول 128 او 256 بت (حسب مواصفات شهادة البنك الرقمية).
5. يقوم المتصفح باستخراج المفتاح العام الموجود في شهادة البنك الرقمية ويستخدمة لتشفير الرقم السري العشوائي الذي قام بانشائه في خطوة رقم 4.
6. يقوم المتصفح بارسال الرقم السري المشفر للبنك.
7. بعد ان يصل الرقم السري المشفر للبنك يقوم البنك باستخدام مفتاحة الخاص لفك التشفير واستخراج الرقم السري.
8. في هذة اللحظة يكون لدى المستخدم والبنك رقم سري معروف لديهما فقط وصعب الكسر يتم استخدامة لتشفير بقية المعاملات البنكية بين الطرفين.

في كل مرة يقوم المستخدم بالاتصال بالبنك تتم العملية السابقة وينشأ رقم سري جديد خاص بذلك الاتصال ولايتم استخدامة مره اخرى.

في ختام هذا الحديث اتمنى ان اكون قد وفقت في شرح الموضوع بشكل مبسط وسهل الفهم، وفي حال كانت هناك ملاحظات او استفسارات ارجو مراسلتي او التعليق على هذا الموضوع.

في وقتنا الحاضر ومع انتشار الانترنت والخطوط الرقمية (DSL) وانخفاض أسعار أجهزة الحاسب المحمولة اتجه كثير من الناس إلى استخدام الشبكات اللاسلكية (WIFI) لأداء أعمالهم وتصفح الانترنت في أي مكان في المنزل. وكل هذا أدى إلى ظهور ما اسمية بـ “الانترنت السبيل” وهي عبارة عن شبكات لاسلكية غير مشفرة قد يتعدى بث إشاراتها حدود المنزل ليصل إلى الشارع ومنازل الجوار مما يسمح لأي شخص في نطاق تلك الإشارة ويحمل حاسب آلي مزود ببطاقة شبكة لاسلكية بالولوج إلى تلك الشبكة.

غالبية مالكي تلك الشبكات لم يضعوها للعامة ولا يودون أن يستخدمها غيرهم، لكنهم قد يجهلون إمكانية وصول غيرهم لها أو لا يعرفون كيفية حمايتها. وكناك آخرون لا يبالون بحمايتها وغيرهم ممن يود تقديمها “كسبيل”. لكن الوضع مع الشبكات السبيل (سواء أراد ملاكها تقديمها للغير أو لا) مختلف عن ماء السبيل، فانه من النادر أن يعود عليك ماء السبيل بضرر (إلا في حال حصل تسرب للماء وتم قطع الماء عن منزلك) أما مع الانترنت السبيل فإن الشخص الغريب الذي سيستخدم تلك الشبكة قد يقوم بعمليات اختراق لمواقع أو سرقة حسابات بنكية أو إرسال فيروسات أو رسائل إرهابية وغيرها من الأعمال التي قد تعود على مالك الشبكة بالمشاكل علاوة على ذلك فان مثل تلك الشبكات الغير مشفرة تسمح للغير بالتقاط جميع البيانات غير المشفرة التي يرسلها ويستقبلها مستخدم تلك الشبكة وقد تشمل تلك البيانات على كلمات سر ورسائل بريدية خاصة.

فعلى ملاك مثل تلك الشبكات أخذ الحيطة والحذر والعمل على تشفير شبكاتهم حيث أن تلك العملية لا تكلفهم أية مبالغ إضافية إذ إن جميع الأجهزة اللاسلكية تأتي مزودة بخاصية التشفير وكل ما عليهم هو تفعيلها والقيام بعمل الإعدادات اللازمة لها. للشبكات المنزلية يوجد نوعان من أنواع التشفير التي تمتاز بسهولة الاستخدام والإعداد، أولهما يسمى (WEB) لكنه قديم وسهل الكسر ولا ينصح باستخدامه، والنوع الثاني والذي يعتبر الأفضل وينصح باستخدامه يسمى (WPA) ويعتبر تشفيرا قويا وصعب الكسر (ذلك فقط في حال اختيار كلمة سر طويلة وصعبة التخمين). وفي الختام أتمنى لكم تصفحا آمنا مشفرا.

وتكمن صعوبة حجب تلك الرسائل في كونها تصدر من جهات مجهولة وبعناوين متغيرة، حيث أن مرسلي تلك الرسائل يسعون إلى تغيير عناوين خوادم البريد الخاصة بهم بشكل دوري كما يقومون باستخدام عناوين إرسال وهمية مفبركة وكذلك عناوين حقيقة لبعض الأشخاص والشركات التي لا علاقة لهم بالموضوع. فقامت كثير من الشركات بإنتاج برامج لمكافحة تلك الرسائل وهي ما تسمى(Anti-spam) حيث تعتمد تلك البرامج على العمليات الإحصائية في محاولة تحديد ما إذا كانت الرسالة تطفلية أو حقيقية (مثل مراقبة عدد الأشخاص المرسلة إليهم وكذلك نوعية الكلمات الموجودة في الرسالة و عنوان الرسالة…الخ) ولكن نتائج تلك البرامج ليست دقيقة بالكامل حيث تقوم أحيانا بتحديد رسالة بأنها تطفلية وبينما هي حقيقة والعكس كذلك، كما أن مرسلي الرسائل التطفلية يقومون بمتابعة أساليب تلك البرامج وطرق عملها فيقومون بابتكار أساليب جديدة يصعب اكتشافها.

وفي محاولة لإيجاد طريقة لاستئصال العلة من جذورها قامت إحدى الشركات المتخصصة في مجال أمن المعلومات وتسمى “بلو سيكيوريتي” (Blue Security) وهي شركة إسرائيلية بابتكار طريقة جديدة في محاربة تلك الرسائل التطفلية حيث تقوم هذه الطريقة على مبدأ العين بالعين والسن بالسن إذ تقوم بإرسال رسائل بكميات كبيرة رداً لا على المرسل بل على الشركة صاحبة الإعلان في حال تم إرسال رسالة تطفلية إلى أحد عملاء شركة “بلو سيكيوريتي”. ولكي لا يكون عمل هذه الشركة غير شرعي فإنها قامت بإتباع قانون مكافحة الرسائل التطفلية الأمريكي (U.S. CAN-SPAM Act) حيث يسمح لمن تصل إليه إحدى تلك الرسائل بالرد على المرسل برسالة واحدة يطلب فيها عدم الإرسال لعنوانه البريدي. لكن هل رسالة واحدة تكفي لردعهم؟ نعم حيث أن شركة “بلو سيكيوريتي” تقوم بإرسال تلك الرسائل بواسطة عملائها الذي يقرب عددهم من 522،000.

والسؤال هو هل أثبتت تلك الطريقة نجاحها؟

نعم، وحسب ما ذكرت الشركة فإن 6 من أصل 10 من أكبر مرسلي الرسائل قد اجبروا على حذف عناوين عملاء الشركة من قوائمهم البريدية. لكن الأمر لم يدم طويلا حيث أن طريقة الهجوم الذي تتبعها الشركة قد أثارت غضب أحد اكبر مرسلي رسائل الإعلانات وهو من روسيا ويعرف باسم “PharmaMaster” حيث قام بشن هجوم معاكس ضد الشركة وجميع عملائها، حيث قام باستخدام عشرات الآلاف من أجهزة الكمبيوتر المخترقة حول العالم لمهاجمة شبكة الشركة وكذلك الشبكات الخاصة بعملاء الشركة مما أدى إلى تعطل تلك الشبكات وعدم إمكانية الوصول إليها (Distributed Denial-Of-Service attack) وبقي موقع شركة “بلو سيكيوريتي” معطلا لمدة أسبوع. وبعد الفشل الذريع قامت الشركة بإيقاف أعمالها إلى أن تجد مجالاً آخر. لكن ما هو سبب هذا الفشل؟ الجواب في نظري يتمحور حول نقطتين الأولى هي طريقة عمل بروتوكولات الانترنت، حيث يصعب التحكم فيها. أما النقطة الثانية فهي عدم وجود قوانين دولية متفق عليها لمنع وجود مثل تلك الانتهاكات والهجمات. فلابد أن تسعى جميع الدول (العربية خاصة) إلى إيجاد قوانين على مستوى الدولة والمنطقة بحيث يتم دعمها من قبل منظمات دولية مثل الاتحاد الدولي للاتصالات (ITU).

سأبدأ أولا باستعراض بعض السبل التي تودي إلى انتشار عنوانك البريدي أو تسهيل وصول تلك الشركات إليه:

1. عن طريق البحث في الإنترنت وهي الأسهل فعلى سبيل المثال باستخدام محرك البحث قوقل ابحث عن التالي:
   “yahoo.com@” أو “email *@*.gov.sa” وستجد نتائج مذهلة.
2. عن طريق مواقع الانترنت، فكثير من المواقع تطلب منك إدخال عنوانك البريدي عندما تحاول التسجيل في الموقع أو تحميل ملف معين ثم بعد ذلك تقوم الشركة باستخدام هذا العنوان لإرسال الإعلانات الخاصة بها بل وربما قامت ببيعه أو إعطائه لشركات أخرى.
3. عن طريق برامج التجسس (Spy ware) مثل “Gator GAIN, HotBar”، وفي الغالب فإن برامج التجسس تلك لا تأتي بشكل مستقل إنما تكون مرفقة مع بعض البرامج المجانية والتي تسمى (Adware) إذ تكون أرباح الشركات في تلك الحالة ليس ببيع البرنامج لكن ببيع المعلومات الخاصة بك والتي يجمعها البرنامج ويقوم بإرسالها للشركة مثل بريدك الالكتروني والمواقع التي تزورها …الخ.
4. عند قيامك بمراسلة شخص ما ويكون جهاز ذلك الشخص يحتوي على برامج تجسس أو مصاب بفيروس. إذ أن بعض فيروسات الكمبيوتر تقوم بالبحث في الجهاز المصاب عن عناوين بريد لتقوم باستخدامها في الإرسال.
5. في بعض الحالات تقوم بعض الشركات باختلاق عناوين بشكل آلي لبعض شركات البريد المشهورة مثل Yahoo وHotmail فتجد أن البريد مرسل لعدة عناوين ويكون عنوانك من ضمنها مثال (abc1@hotmail.com, abc11@hotmail.com, acc1@hotmail.com)

الآن سأقوم بذكر بعض السبل التي قد تساعد في حماية بريدك وتقليل استقبال هذا النوع من الرسائل:

1. عندما تطلب بعض مواقع الانترنت منك عنوان بريد (عند التسجيل أو تحميل ملف…الخ) قم بإعطائهم أي عنوان وهمي مثلا (fad@fad.com) وفي حال كان الموقع يريد أن يرسل معلومات معينة ككلمة سر أو رقم تسجيل فقم بإنشاء بريد جديد واجعله خصيصا لهذا النوع من الرسائل مثلا (junk_mail@yahoo.com).
2. كثير من البرامج المجانية تأتي ومعها برامج تجسس فحاول التعرف عليها والتقليل من تحميل هذه البرامج قدر المستطاع.
3. قم بتحميل برامج حماية متخصصة في اكتشاف برامج التجسس ومن أشهرها برنامج Adaware (توجد إصدارة مجانية) وكذلك برنامج Windows Defender من شركة ميكروسوفت (مجاني) حيث تقوم هذا البرامج باكتشاف برامج التجسس قبل أن يتم تحميلها وكذلك تكتشف البرامج المحملة مسبقا، كما أن بعض الإصدارات الجديدة من برامج الحماية من الفيروسات مثل (McAfee VirusScan 8.0i) تحتوي على خاصية اكتشاف برامج الإعلانات والتجسس.
4. لا تحاول الرد على هذه الرسائل و من الأفضل أن لا تفتحها إذ انك بالرد عليهم سوف تؤكد لهم بان عنوانك البريدي صحيح وانك تقرا الرسائل التي تصل إليه، أما في حالة فتحك للرسالة فان أكثر رسائل الإعلانات تحتوي على صور وتكون تلك الصور مرفقة في الرسالة كرابط للانترنت ويكون جزء من ذلك الرابط هو عنوانك البريدي مثال (http://www.ads.com/img.php?e=fad@fad.com)، فبمجرد أن تنفتح الصورة يكون عنوانك قد أدرج عندهم كعنوان صحيح وفعال، بعض برامج البريد كالاوتلوك توفر خاصية حجب الصور المرتبطة بالانترنت في حال كان المرسل غير موثوق فيه.
5. قم بتحديث نظام الوندوز وكذلك برامج الحماية من الفيروسات وبرامج الحماية من التجسس فذلك يساعد بشكل كبير على الحماية.

في الختام، ليست هذه هي كل طرق الإصابة والحماية لكن أشهرها، مع العلم أن شركات الإعلانات مستمرة في البحث عن وسائل جديدة فعليك متابعة أساليبهم واتقائها.