يتجه قطاع شهادات HTTPS إلى التخلص التدريجي من 11 طريقة قديمة للتحقق من التحكم بالنطاق، بعد اعتماد متطلبات أمنية جديدة من برنامج الجذر في Chrome ومنتدى CA/Browser. وتعتمد الأساليب التي سيجري إيقافها على إشارات أضعف، مثل البريد العادي والمكالمات الهاتفية والرسائل الإلكترونية، بينما تشجع القواعد الجديدة استخدام بدائل آلية وقابلة للتحقق تشفيرياً.
ووفقاً لفريق برنامج الجذر في Chrome، ستُطبق عملية الإيقاف على مراحل لمنح مشغلي المواقع المتأثرين وقتاً للانتقال. ومن المقرر أن تتحقق القيمة الأمنية الكاملة لهذه الخطوة بحلول مارس 2028. وترتبط المبادرة بخارطة الطريق العامة «المضي قدماً معاً» التي أُطلقت في عام 2022، فيما تحول التحديثات الأخيرة لمتطلبات TLS الأساسية هذا التوجه إلى سياسة للقطاع.
ما المقصود بالتحقق من التحكم بالنطاق؟
يمثل التحقق من التحكم بالنطاق مرحلة أساسية قبل إصدار الشهادة، إذ يتعين على سلطة التصديق (CA) التأكد من أن مقدم الطلب يسيطر فعلاً على النطاق المطلوب حمايته. ويمنع ذلك جهات غير مخولة من الحصول على شهادة صالحة لموقع لا تملكه، بما قد يتيح انتحال الموقع أو اعتراض حركة المرور.
تعتمد الأساليب الحديثة غالباً على آلية «التحدي والاستجابة». فبدلاً من الاكتفاء ببيانات اتصال غير مباشرة، قد تزوّد سلطة التصديق مقدم الطلب بقيمة عشوائية يضعها في موقع محدد، مثل سجل DNS TXT، ثم تتحقق من وجودها. أما الأساليب الأقدم فكانت تستخدم بيانات اتصال مستخرجة من سجلات WHOIS أو ترسل رسائل إلى عناوين مرتبطة بالنطاق، وهي أساليب ثبت تعرضها للثغرات.
الأساليب التي سيجري إيقافها
تشمل الأساليب المعتمدة على البريد الإلكتروني ما يلي:
- البريد الإلكتروني أو الفاكس أو الرسائل النصية أو البريد العادي إلى جهة اتصال النطاق.
- البريد الإلكتروني أو الفاكس أو الرسائل النصية أو البريد العادي إلى جهة اتصال عنوان IP.
- البريد الإلكتروني المُنشأ إلى جهة اتصال النطاق.
- البريد الإلكتروني إلى جهة اتصال DNS CAA.
- البريد الإلكتروني إلى جهة اتصال DNS TXT.
وتشمل الأساليب المعتمدة على الهاتف:
- الاتصال الهاتفي بجهة اتصال النطاق.
- الاتصال الهاتفي بجهة اتصال سجل DNS TXT.
- الاتصال الهاتفي.
- الاتصال الهاتفي بجهة اتصال DNS CAA.
- الاتصال الهاتفي بجهة اتصال عنوان IP.
كما سيجري إيقاف أسلوب واحد يعتمد على البحث العكسي عن العنوان، وهو البحث العكسي عن عنوان IP.
أثر التغيير على المواقع والمستخدمين
لن يلاحظ المستخدمون العاديون هذه التغييرات مباشرة، وهو أمر مقصود بحسب فريق برنامج الجذر في Chrome. لكن التخلص من الإشارات القديمة أو غير المباشرة سيجعل من الأصعب على المهاجمين خداع سلطات التصديق لإصدار شهادات لنطاقات لا يسيطرون عليها.
وتستهدف القواعد الجديدة تقليل مخاطر إساءة استخدام بيانات WHOIS القديمة، وبيئات البريد والهاتف المعقدة، والبنية التحتية الموروثة. كما تدفع ملاك المواقع إلى اعتماد أساليب حديثة وموحدة وقابلة للتدقيق، مثل ACME، بما يتيح إدارة دورة حياة الشهادات بسرعة وكفاءة أكبر عبر الأتمتة. ويرى فريق برنامج الجذر أن هذه الخطوات تزيل روابط ضعيفة من آلية بناء الثقة على الإنترنت، بما يعزز سلامة التصفح لمستخدمي المتصفحات والمنصات والمواقع المختلفة.