المصادقة، التحكم في الوصول، والتشفير
تركز هذه الوحدة على الأدوات الأساسية لحماية الأنظمة والبيانات، بما في ذلك أنظمة المصادقة، آليات التحكم في الوصول، وتقنيات التشفير المختلفة. ستتعلم كيفية تطبيق هذه الأدوات بشكل عملي لتعزيز أمن المعلومات في أي بيئة عمل.
عملية التحقق من هوية المستخدم أو الجهاز، للتأكد من أن من يحاول الدخول للنظام هو شخص موثوق ومصرّح له.
قد تُخترق بسهولة إذا لم تكن معقدة بما يكفي أو إذا تم إعادة استخدامها عبر عدة حسابات.
الإدارة المعقدة للمستخدمين والصلاحيات خاصةً في المؤسسات الكبيرة.
كلما زادت إجراءات الأمان، قلت سهولة الاستخدام مما قد يدفع المستخدمين لإيجاد طرق مختصرة.
تطبيق أنظمة مصادقة قوية قد يتطلب استثمارات في الأجهزة والبرمجيات.
على الرغم من أهمية المصادقة، يجب تحقيق توازن بين الحماية وسهولة الاستخدام، مثل الاعتماد على مصادقة متعددة العوامل (MFA) بدون تعقيد المستخدم. الحل الأمثل هو استخدام أنظمة مصادقة قوية ولكن سهلة الاستخدام مثل المصادقة البيومترية أو الرموز اللينة.
| العامل | التعريف | أمثلة | المميزات | العيوب |
|---|---|---|---|---|
| المعرفة | شيء يعرفه المستخدم | كلمة المرور، رقم سري، سؤال أمان | سهل التطبيق، منخفض التكلفة | قابل للنسيان أو الاختراق |
| الخصائص | شيء يمثل المستخدم بيولوجيًا أو سلوكيًا | بصمة، وجه، صوت، قزحية العين | صعب التزوير، لا يحتاج لحفظ | تكاليف عالية، مشاكل خصوصية |
| الممتلكات | شيء يملكه المستخدم | بطاقة ذكية، رمز تحقق، بطاقة هوية، هاتف محمول | صعب التكرار، يمكن تعطيله إذا فقد | يمكن فقدانه أو سرقته |
دمج أكثر من عامل للتحقق من الهوية (مثلاً: كلمة مرور + رمز SMS) يعزز الأمان بشكل كبير. وفقًا لدراسات مايكروسوفت، تمنع المصادقة متعددة العوامل 99.9% من هجمات الاختراق التلقائية.
عملية تحديد من يمكنه الوصول إلى أي مورد في النظام، وما هي الإجراءات المسموح له بتنفيذها على هذا المورد.
صلاحيات ثابتة تحددها الإدارة المركزية بناءً على تصنيفات الأمان.
المالك يحدد من يمكنه الوصول إلى موارده وما هي الصلاحيات.
الصلاحيات تعتمد على الدور الوظيفي وليس المستخدم الفردي.
منح المستخدمين الحد الأدنى من الصلاحيات اللازمة لأداء مهامهم فقط. هذا المبدأ يقلل من خطر الاختراق والضرر الناتج عن الأخطاء أو الاستغلال.
يستخدم مفتاح واحد للتشفير وفك التشفير. أمثلة: AES، DES، 3DES. أسرع في التنفيذ ولكن يتطلب مشاركة آمنة للمفتاح.
يستخدم زوج من المفاتيح (عام وخاص). أمثلة: RSA، ECC. أبطأ ولكن يحل مشكلة توزيع المفاتيح. يُستخدم في تبادل المفاتيح والتوقيعات الرقمية.
ناتج من عملية تحويل البيانات إلى سلسلة قصيرة ثابتة تمثلها بشكل فريد. يستخدم للتحقق من سلامة البيانات.
| الخوارزمية | طول الملخص | حالة الأمان | الاستخدامات الشائعة |
|---|---|---|---|
| MD5 | 128 بت | غير آمن | التحقق من ملفات غير حرجة |
| SHA-1 | 160 بت | ضعيف | بعض شهادات SSL القديمة |
| SHA-256 | 256 بت | آمن | عملات رقمية، توثيق برمجيات |
| SHA-3 | متغير | آمن جدًا | تطبيقات أمنية حرجة |
يثبت أن الرسالة أصلية وأنها لم تُعدّل أثناء النقل. يتم حساب ملخص للرسالة ثم تشفيره باستخدام المفتاح الخاص للمرسل.
وثيقة إلكترونية تربط هوية الكيان بمفتاحه العام. تصدرها جهة موثوقة (CA) وتحتوي على:
نظام يعتمد على توقيع الشهادات بواسطة جهات تصديق أعلى مستوى. المتصفحات والأنظمة تأتي مع شهادات جذر موثوقة مسبقًا.
مواقع الويب المؤمنة (HTTPS) تستخدم الشهادات الرقمية لضمان هوية الموقع. عند زيارة موقع آمن: