ما هي الـ Root Certificate وكيف يمكن استخدامها للتجسس عليك؟



تابع قناة عالم الكمبيوتر علي التيليجرام


أفادت وسائل الإعلام في عام 2019 أن حكومة كازاخستان اتخذت خطوات متطرفة لمُراقبة المواطنين في بلدها، حيث تستخدم الحكومة على وجه الخصوص أداة تُسمى شهادة الجذر - Root Certificate للتجسس على أنشطة المواطنين عبر الإنترنت، لذا يجب أن يكون مُستخدمو الإنترنت في جميع أنحاء العالم على دراية بكيفية إساءة استخدام أدوات الأمان، وكيف يمكن أن تؤثر هذه الأدوات على الخصوصية وجمع البيانات حول المواقع التي تزورها والرسائل التي ترسلها عبر الإنترنت.


ما هي شهادة الجذر - Root Certificate؟



عندما تتصفح موقع ويب مثل الفيسبوك على سبيل المثال سترى أن عنوان الرابط يبدأ بـ https بدلاً من http (تعرف على الفرق بينهم)، سترى أيضًا رمزًا يشبه القفل بجوار الرابط في شريط العناوين، هذا يعني أن هناك نوعًا من التشفير يحميا موقع الويب وهما الـ Secure Socket Layer والـ Transport Layer Security، باستخدام هذا التشفير تكون البيانات التي يتم تمريرها بينك وبين موقع الويب آمنة.

للحصول على رمز القفل الذي يمكن للمستخدمين الوثوق به يدفع مالكو المواقع مؤسسة تسمى المرجع المصدق - Certificate Authority للتحقق منها، عندما يتحقق المرجع المصدق من أن الموقع أصلي فإنه يصدر شهادة أمان، يحتفظ مطورو متصفحات الويب مثل فايرفوكس وكروم بقائمة من المراجع المُصدقة الموثوقة التي يقبلون شهاداتهم.

شهادة الجذر - Root Certificate هي أعلى مستوى من شهادة الأمان المتاحة، وذلك مهم لأن الشهادة الرئيسية تتحقق من جميع الشهادات التي تحتها، هذا يعني أن أمان شهادة الجذر يحدد أمان النظام بأكمله، يستخدم المطورون شهادات الجذر للعديد من الأسباب، ومع ذلك عندما تُسيء بعض الجهات استخدام هذه الشهادة كالجهات الحكومية أو أي كيان آخر يمكنهم عندها تثبيت برامج التجسس على الاتصالات المشفرة والوصول إلى البيانات الخاصة.

إقرأ أيضاً: هل يمكن لمزودي خدمة الانترنت التجسس عليك؟ وكيف تحمي نفسك؟

كيف تُسيء الحكومات استخدام شهادات الجذر؟



في يوليو 2019 أصدرت حكومة كازاخستان إشعارًا لمقدمي خدمات الإنترنت (ISP) في البلاد، قالت الحكومة فيه: إنه يتعين على مزودي خدمة الإنترنت جعل تثبيت شهادة الجذر الصادرة من الحكومة إلزاميًا للمستخدمين للوصول إلى الإنترنت، الشهادة التي تصدرها الحكومة تسمى Qaznet وتوصف بأنها شهادة الأمن القومي، وبالفعل رضخ مُزودي الخدمة لأوامر الحكومة.

بمجرد تثبيت الشهادة يمكن للحكومة استخدامها لاعتراض كمية هائلة من بيانات التصفح، يمكن للحكومة أن ترى نشاطًا على مواقع شائعة مثل جوجل وفيسبوك وتويتر، يمكنه حتى فك تشفير اتصالات HTTPS و TLS والوصول إلى أسماء المستخدمين وكلمات المرور الخاصة بالحسابات، هذا يعني أنه لا يوجد موقع آمن إذا كانت الشهادة خاصتهم مثبتة.

تقوم الحكومة بشكل أساسي بشن هجوم يُدعى "Man in the middle" على البلد بأكمله وفقًا لمدونة الأمن The Hacker News، نظرًا لأن مزودي خدمة الإنترنت يجعلون الشهادة إلزامية لا توجد طريقة للمستخدمين لتفاديها بسهولة إذا كانوا يريدون مواصلة الوصول إلى الإنترنت، وبالتالي سيُحاول مُستخدمي الشبكة لديهم بتجنب الكثير من المصادر.

لكن هل يُعقل أن جميع الشركات سترضخ لهذا الأمر؟



استجابت شركات التكنولوجيا بما في ذلك جوجل وأبل وموزيلا للوضع في كازاخستان وتعهدوا بحماية المُستخدمين من المراقبة الحكومية، حيث يقوم متصفح كروم الآن بحظر الشهادة التي تستخدمها حكومة كازاخستان وفقًا لمصادرها، اتخذت الشركة هذا الإجراء لحماية المستخدمين من اعتراض أو تعديل اتصالات TLS التي تمت على مواقع الويب، لا يحتاج المستخدمون إلى اتخاذ أي إجراءات للحماية سيقوم المتصفح بحظر هذه الشهادة تلقائيًا.

وبالمثل قامت موزيلا بنشر حل ضمن متصفحها فايرفوكس سيؤدي أيضًا إلى حظر الشهادة التي تستخدمها حكومة كازاخستان، حيث صرحت الشركة: نحن لا نتخذ مثل هذه الإجراءات باستخفاف لأن حماية مُستخدمينا وسلامة الويب هي السبب في وجود فايرفوكس، كما ذكرت موزيلا حالات سابقة من محاولات حكومية فاشلة لاعتراض حركة المرور على الإنترنت.

إليك المزيد: 5 أنواع من التطبيقات متواجدة علي متجر جوجل بلاي يجب عليك الابتعاد عنها

ما الذي يمكن أن تفعله كمُستخدم متواضع؟



أولاً إذا كنت في كازاخستان أو أي بلد آخر لا يحترم حرية التعبير فلا يجب عليك تثبيت الشهادة على جهازك، إن كنت قد قمت بالفعل بتثبيت البرنامج فقم بإلغاء تثبيته على الفور، يجب عليك أيضًا تغيير كلمات المرور إلى جميع حساباتك على الإنترنت هذا سيمنع الحكومة من الوصول إلى بيانات التصفح الخاصة بك، وإن طُلب منك تثبيت شهادة أمان فعليك البحث عما إذا كانت جديرة بالثقة قبل تثبيتها على جهازك.

يجب عليك أيضًا اتخاذ خطوات أخرى لحماية بياناتك مثل استخدام VPN لحمايتك من المراقبة، ضع في اعتبارك أيضًا استخدام متصفح Tor للوصول إلى الإنترنت بشكل مجهول، كن حذرًا مع البريد الإلكتروني أيضًا لأنه من الصعب جدًا حماية رسائل البريد الإلكتروني من المراقبة، فكّر في استخدام تطبيق مراسلة آمن مثل Signal أو Telegram واستخدم مُتصفح فايرفوكس بأحدث إصدار دائماً مع بعض من أفضل إضافاته.

تعليقات

إرسال تعليق