المقال
نشر مكتب الإدارة والميزانية في البيت الأبيض معيارًا جديدًا يوصي بتطبيق HTTPS تطبيقًا كاملًا في جميع المواقع والخدمات الحكومية الفدرالية. ويستقبل تعليقات الجمهور عبر https@cio.gov حتى 14 أبريل؛ فإن كنت تهتم بالخصوصية والأمن، فأدلِ برأيك.
هذه التدوينة هي تعليقنا العام: نؤيد بكل قوة تبني الحكومة الفدرالية هذا المعيار الأساسي للأمن السيبراني. ونحث الحكومات المحلية والإقليمية والوطنية في جميع أنحاء العالم على الاقتداء به في أقرب وقت ممكن.
HTTPS، النسخة الآمنة من HTTP، يحمي التصفح بتشفير كل ما يرسل بين الفرد وخادم الويب والتحقق من أصالته. وهو يحل سريعًا محل HTTP غير الآمن، ويخطط خبراء الأمن لإظهار تحذيرات عند زيارة صفحات HTTP.
من دون HTTPS، يستطيع أي شخص يتحكم في الشبكة، أو يستخدم شبكة Wi-Fi نفسها فحسب بتقنية تسميم ARP، مراقبة نشاط التصفح. وقد يكون من المتطفلين المحتملين صاحب العمل أو المدرسة أو مزود الإنترنت أو أجهزة التجسس الوطنية أو الوالدين أو الزوج أو غيرهم من رواد المكتبة. وليس HTTPS علاجًا سحريًا لكل مشكلات الأمن والخصوصية [1]، لكن لا موقع يستطيع أن يكون آمنًا أو يحفظ الخصوصية من دونه.
للأسف، تخلفت المواقع الفدرالية كثيرًا عن القطاع الخاص في تطبيقه. فالمواقع التجارية الأشهر، مثل Google وFacebook وTwitter، تعتمد HTTPS وحده منذ سنوات، بينما لا تدعمه مواقع فدرالية كثيرة أصلًا، فيستحيل الوصول إليها بأمان. وبعضها يدعمه ولا يجعله افتراضيًا، وبعضها يقدمه ببرمجيات وإعدادات قديمة غير آمنة.
تستقبل المواقع الحكومية طيفًا واسعًا من المعلومات السرية التي يجب حمايتها من التنصت. لكن HTTPS لا يحمي فقط المعلومات المرفوعة، مثل أرقام الضمان الاجتماعي، بل سرية ما يقرأه الناس أيضًا. ومن أمثلة المخاطر الناجمة عن عدم تطبيقه:
قد يتجسس صاحب العمل على عاملة تنزّل معلومات عن حقها في التنظيم النقابي، ثم ينتقم منها. وقد يتعرض موظف في شؤون المحاربين القدامى يريد الإبلاغ عن احتيال دون كشف هويته لتجسس غير قانوني من جهة حكومية أخرى، فتُكشف هويته للانتقام.
وقد يُكشف أمر مواطن أمريكي في الخارج يبحث في موقع وزارة الخارجية عن معلومات عن تغيير الجنس بواسطة متطفلين على الشبكة المحلية، فيُسجن أو يُقتل. وقد يتجسس مسؤولون محليون على أمريكي من أصل إفريقي حُرم حق التصويت ويريد تقديم شكوى إلى وزارة العدل، فيهددونه.
هذه عينة فقط من الفئات المحمية الكثيرة التي تحتاج إلى وصول سري حقيقي إلى الخدمات الحكومية وتستحقه.
لحسن الحظ، أصبح تطبيق HTTPS أسهل وأرخص من أي وقت. وندعو الحكومة الفدرالية إلى تنفيذ معيار HTTPS وحده بأسرع ما يمكن، وعلى الحكومات الأخرى في العالم أن تفعل الشيء نفسه.
إذا وافقت، فشارك الحكومة رأيك بتقديم تعليق عام إلى مكتب الإدارة والميزانية، عبر البريد https@cio.gov أو GitHub. ونشجعك أيضًا على مطالبة حاكم ولايتك ومدير معلوماتها بتطبيق المعيار.
وبالمناسبة، لك أن تستخدم أي جزء من هذه الوثيقة أو كلها في تعليقك العام. فهي، مثل محتوى موقع EFF، متاحة بترخيص المشاع الإبداعي؛ وهذه الصفحة تحديدًا تحت CC0.
هامش الأصل
[1] لا يضمن HTTPS مثلًا خلو الموقع من ثغرات CSRF أو XSS. ومن دون حماية إضافية مثل Tor، قد تبقى هوية المستخدم عرضة للخطر، لأن عنوان IP لحاسوبه والخوادم التي يتصل بها يظلان مكشوفين لمراقبي الشبكة. ومن دون أدوات مثل Privacy Badger قد يبقى المستخدم عرضة لتتبع الأطراف الثالثة بأشكاله. والأقل وضوحًا أن المراقب قد يستنتج أحيانًا المحتوى الذي ينزله المستخدم أو خصائص الموقع التي يستعملها، بتحليل حركة المرور وأحجام الحزم المرسلة والمتلقاة.
روابط الأصل
new standard: https://https.cio.gov/
making plans: https://www.chromium.org/Home/chromium-security/marking-http-as-non-secure
ARP poisoning: https://en.wikipedia.org/wiki/ARP_spoofing
information about her right to organize: http://www.dol.gov/olms/regs/compliance/employeerightsposter11x17_final.pdf
report fraud anonymously: http://www.washingtonpost.com/politics/at-va-health-facilities-whistleblowers-still-fear-retaliation/2015/03/05/a6774bda-b944-11e4-9423-f3d0a1ec335c_story.html
seeking gender reassignment information: http://travel.state.gov/content/passports/english/passports/information/gender.html
denied the right to vote: http://thinkprogress.org/election/2012/07/18/542501/study-photo-id-laws-place-substantial-burdens-on-low-income-and-minority-voters/
make a complaint: http://www.justice.gov/crt/complaint/#nine
HTTPS-Only Standard: https://https.cio.gov/
through GitHub: https://github.com/WhiteHouse/https#we-want-your-feedback
Creative Commons-licensed: https://www.eff.org/copyright
CC0: https://creativecommons.org/publicdomain/zero/1.0/
CSRF: https://en.wikipedia.org/wiki/Cross-site_request_forgery
XSS: https://en.wikipedia.org/wiki/Cross-site_scripting
still be at risk: https://www.eff.org/pages/tor-and-https
Privacy Badger: https://www.eff.org/pb
third party tracking: https://www.eff.org/issues/online-behavioral-tracking
traffic analysis: https://en.wikipedia.org/wiki/Traffic_analysis
size of packets they are sending and receiving: http://lasr.cs.ucla.edu/classes/239_1.fall10/papers/WebAppSideChannel-final.pdf