الفرق بين HTTP وHTTPS

عندما تفتح موقع Web، يتبادل المتصفح والخادم البيانات.

الآلية الأساسية المستخدمة في هذا التبادل على Web هي HTTP. أما الآلية التي تجعل اتصال HTTP يتم بأمان فهي HTTPS.

HTTPS ليس مجرد "آلية لتشفير محتوى الاتصال". المهم أنه يجعل التنصت والعبث وانتحال الجهة من طرف ثالث على مسار الاتصال أصعب.

لذلك تكون النقاط الثلاث الآتية مهمة خصوصًا في HTTPS.

• جعل محتوى الاتصال أصعب قراءة في الطريق
• جعل العبث بمحتوى الاتصال في الطريق أصعب
• تسهيل التأكد من أن الطرف الذي تتصل به هو الطرف المقصود

بعبارة أخرى، HTTPS آلية مهمة جدًا لمواجهة هجمات الرجل في الوسط.

لكن HTTPS ليس تقنية إخفاء هوية. حتى عند استخدام HTTPS، يصل الوصول إلى موقع Web الوجهة. كما تبقى مسائل مثل عنوان IP المصدر وCookie وحالة تسجيل الدخول وسجلات الوصول منفصلة.

ينظم هذا المقال الفرق بين HTTP وHTTPS، وما يحميه HTTPS، وما قد يبقى مرئيًا حتى مع HTTPS.

ما هو HTTP

HTTP بروتوكول اتصال لتبادل البيانات على Web.

عندما تفتح موقع Web في المتصفح، يرسل المتصفح طلبًا إلى الخادم. مثلًا، يطلب أشياء مثل "أرسل HTML لهذه الصفحة" أو "أريد جلب هذه الصورة".

يرجع الخادم بيانات مثل HTML والصور وCSS وJavaScript استجابة لذلك الطلب.

HTTP هو الآلية المستخدمة لهذا النوع من تبادل الطلب والاستجابة بين المتصفح والخادم.

HTTP نفسه أساسي لاتصال Web. لكن HTTP وحده لا يملك آلية لحماية محتوى الاتصال.

في HTTP، لا يكون محتوى الاتصال مشفرًا. لذلك قد يستطيع طرف ثالث على مسار الاتصال قراءة المحتوى أو إعادة كتابته أو التصرف كطرف مقابل مزيف.

مثلًا، إذا أرسلت كلمة مرور عبر نموذج تسجيل دخول يستخدم HTTP، فقد تُرى تلك الكلمة أثناء الاتصال. وتوجد أيضًا خطورة أن يُعاد كتابة محتوى صفحة محملة عبر HTTP في الطريق وأن يُدرج نموذج إدخال مزيف أو سكربت خبيث.

HTTP أساس اتصال Web، لكنه كما هو يملك مشكلات أمنية كبيرة.

ما هو HTTPS

HTTPS آلية لحمل اتصال HTTP داخل قناة اتصال آمنة.

بدقة أكبر، يستخدم HTTPS بروتوكول HTTP فوق طبقة اتصال آمنة تسمى TLS. لا يتناول هذا المقال آلية TLS بالتفصيل، لكن لفهم HTTPS، الأسهل التفكير فيه كـ"حماية محتوى اتصال HTTP باستخدام TLS".

النقاط الثلاث الآتية مهمة في HTTPS.

قوة HTTPS في جمع هذه العناصر الثلاثة.

التشفير وحده لا يكفي. مثلًا، حتى إذا كان محتوى الاتصال مشفرًا، إذا استطاع مهاجم التصرف كخادم مزيف وجعل المستخدم يتصل بذلك الخادم، فلا يمكن اعتبار الاتصال آمنًا.

لذلك يستخدم HTTPS آليات لا تحمي محتوى الاتصال فقط، بل تؤكد أيضًا أن الطرف الذي يجري الاتصال به هو موقع Web المقصود.

الفرق بين HTTP وHTTPS

الفرق بين HTTP وHTTPS ليس فقط الفرق الظاهر في بداية URL، هل هي http[:]// أو https[:]//.

في HTTP، لا يكون الاتصال بين المتصفح والخادم محميًا. في HTTPS، تُنشأ قناة اتصال آمنة بين المتصفح والخادم، ويحدث تبادل HTTP داخلها.

فهم HTTPS على أنه "HTTP مع إضافة التشفير" غير كاف قليلًا. الأدق أنه آلية تلف اتصال HTTP داخل قناة اتصال آمنة وتجعل التنصت والعبث وانتحال الجهة أصعب.

ما هي هجمة الرجل في الوسط

هجمة الرجل في الوسط هي هجمة يدخل فيها طرف ثالث بين المتصفح والخادم، ثم يتنصت على الاتصال أو يعيد كتابته أو يتصرف كطرف مقابل مزيف.

حتى إذا كان المستخدم يظن أنه يصل إلى موقع Web الحقيقي، فقد يكون مهاجم في وسط الاتصال يرى المحتوى. وقد يعيد المهاجم أيضًا كتابة محتوى الاتصال ويدرج نموذج تسجيل دخول مزيفًا أو كودًا خبيثًا.

HTTP ضعيف أمام هذا النوع من الهجمات.

مع HTTPS، يُشفر محتوى الاتصال، ويُكشف العبث، ويُتحقق من طرف الاتصال. هذا يجعل نجاح هجمة الرجل في الوسط أصعب.

هذا هو جوهر HTTPS.

المهم ليس فقط أن "محتوى الاتصال مشفر"، بل أيضًا أنه يمكن التأكد من "هل تغير المحتوى في الطريق" و "هل الطرف الذي يجري الاتصال به هو الطرف المقصود".

ما الذي يحميه HTTPS

ما يحميه HTTPS أساسًا هو محتوى اتصال HTTP المتدفق بين المتصفح والخادم.

مثلًا، يجعل HTTPS أنواع المعلومات الآتية أصعب قراءة أثناء الاتصال.

كلمات المرور وCookie مهمتان خصوصًا.

قد تُستخدم Cookie للحفاظ على حالة تسجيل الدخول أو التعرف إلى المستخدمين. إذا سُرقت Cookie أثناء الاتصال، فقد توجد في بعض الحالات خطورة أن يصل شخص إلى الموقع منتحلًا المستخدم.

مع HTTPS، تُرسل Cookie أيضًا داخل قناة الاتصال المشفرة، لذلك تصبح أصعب تنصتًا عليها أثناء الاتصال.

لكن استخدام HTTPS لا يحل كل مشكلة مرتبطة بـ Cookie. تبقى طريقة تخزين Cookie، وإعدادات جهة الموقع، وبيئة المتصفح، وأمان الجهاز، ومسائل مشابهة مشكلات منفصلة.

حتى مع HTTPS، يصل المحتوى إلى خادم الوجهة

يحمي HTTPS المحتوى من أطراف ثالثة في الطريق. ليس آلية لإخفاء المحتوى عن موقع Web الوجهة.

مثلًا، إذا أدخلت كلمة مرور في نموذج تسجيل دخول عبر HTTPS، تصبح كلمة المرور أصعب قراءة في الطريق. لكن تلك المعلومة تصل إلى خادم موقع Web الذي يعالج تسجيل الدخول.

هذا طبيعي. فلكي ينفذ الخادم معالجة تسجيل الدخول، يجب أن يستلم المعلومات المرسلة.

نطاق حماية HTTPS هو مسار الاتصال أساسًا.

بعبارة أخرى، HTTPS هو "آلية لمنع التنصت والعبث في الوسط". وليس "آلية لإخفاء معلوماتك عن الوجهة".

ما الذي قد يبقى مرئيًا حتى مع HTTPS

حتى عند استخدام HTTPS، لا تختفي كل المعلومات.

يُحمى محتوى الاتصال. لكن معلومات مصدر الوصول، ومعلومات الوجهة، والمعلومات التي تتلقاها جهة موقع Web مسائل منفصلة.

النقطة المهمة هنا فصل "محتوى الاتصال" عن "حقيقة الاتصال".

يحمي HTTPS محتوى الاتصال. لكنه لا يخفي تلقائيًا معلومات مثل أي عنوان IP جاء منه الوصول، ومتى حدث الوصول، وأي حساب مسجل الدخول.

كذلك، مع HTTPS، لا يكون URL كاملًا مرئيًا دائمًا لأطراف ثالثة. مسارات الصفحات ومحتوى النماذج وبيانات مشابهة تُحمى كمحتوى اتصال. في المقابل، قد تظهر معلومات مرتبطة باسم نطاق الوجهة بحسب بيئة الاتصال.

لذلك لا يعني استخدام HTTPS اختفاء آثار الوصول ومعلومات التعرف.

HTTPS ليس تقنية إخفاء هوية

HTTPS ليس تقنية إخفاء هوية.

الأغراض الرئيسية لـ HTTPS هي النقاط الثلاث الآتية.

• جعل محتوى الاتصال أصعب قراءة في الطريق
• جعل محتوى الاتصال أصعب عبثًا في الطريق
• تسهيل التأكد من أن طرف الاتصال هو الطرف المقصود

هذا منفصل عن إخفاء الهوية.

عند التفكير في المجهولية، يجب فصل "هل محتوى الاتصال محمي؟" عن "هل الشخص الذي وصل مخفي؟".

يرتبط HTTPS بقوة بالأول. لكنه لا يحل الثاني مباشرة.

الفكرة القائلة إن "HTTPS يعني المجهولية" خاطئة.

HTTPS تقنية لجعل الاتصال أكثر أمانًا. ليست تقنية لإنشاء المجهولية.

منظورات لفهم HTTPS بدقة

لفهم HTTPS بدقة، يجب فصل من يحميه، وما الذي يحميه، وممن يحميه.

الهدف الرئيسي الذي يحمي HTTPS ضده هو الأطراف الثالثة على مسار الاتصال.

مثلًا، يساعد على منع طرف ثالث على Wi-Fi نفسها، أو أجهزة على مسار الاتصال، أو وسيط خبيث من التنصت على محتوى الاتصال أو العبث به أو التصرف كطرف مقابل مزيف.

في المقابل، موقع Web الوجهة هو الطرف النهائي للاتصال. لذلك يصل المحتوى الذي ترسله إلى جهة الموقع.

HTTPS آلية قوية جدًا، لكنها ليست شاملة.

مثلًا، إذا عرض المتصفح تحذير شهادة وتجاهله المستخدم وتابع، تنخفض السلامة التي يقدمها HTTPS كثيرًا. كذلك، إذا كان الجهاز نفسه مصابًا ببرمجية خبيثة، فقد يُسرق محتوى الإدخال في جهة الجهاز حتى أثناء استخدام HTTPS للاتصال.

يوفر HTTPS دفاعًا قويًا ضد التنصت والعبث وانتحال الجهة على الشبكة. لكن أمان الجهاز، وإدارة جهة الموقع، والتعامل مع الحسابات، وCookie، والسجلات، ومسائل مشابهة يجب التفكير فيها منفصلة.

خلاصة

HTTP هو الآلية الأساسية لتبادل البيانات على Web. لكن مع HTTP وحده، لا يكون محتوى الاتصال مشفرًا، وتوجد خطورة التنصت أو العبث أثناء الاتصال.

HTTPS آلية لتنفيذ اتصال HTTP داخل قناة اتصال آمنة.

الأدوار المهمة لـ HTTPS هي النقاط الثلاث الآتية.

• جعل محتوى الاتصال أصعب قراءة في الطريق
• جعل محتوى الاتصال أصعب عبثًا في الطريق
• تسهيل التأكد من أن الطرف الذي تتصل به هو الطرف المقصود

لذلك، HTTPS مهم جدًا لمواجهة هجمات الرجل في الوسط.

لكن HTTPS ليس تقنية إخفاء هوية. حتى عند استخدام HTTPS، تصل الطلبات إلى موقع Web الوجهة. كما تبقى عنوان IP المصدر وCookie وحالة تسجيل الدخول وسجلات الوصول ومعلومات مشابهة مسائل منفصلة.

HTTPS تقنية لجعل الاتصال أكثر أمانًا. وهو مهم خصوصًا لمنع التنصت والعبث وانتحال الجهة على مسار الاتصال.

لكنه ليس تقنية لإخفاء من وصل.

عند التفكير في المجهولية، يجب فصل النطاق الذي يحميه HTTPS عن النطاق الذي لا يحميه. HTTPS افتراض مهم، لكنه وحده لا ينشئ المجهولية.

مقالات ذات صلة