يستخدم بروتوكول نقل البيانات الآمن (TLS) الشهادات X.509 للتحقق بشكل تشفيري من هوية أحد الطرفين المتواصلين أو كليهما. يمكن إقامة اتصال TLS آمن عندما يثق الطرف المتصل بالشهادة المقدمة من الخدمة ويمكنه التحقق من أنها صدرت عن هيئة اعتماد موثوقة (CA).
اختيار هيئة الاعتماد
في كثير من الحالات، ستحتاج خدمة TLS إلى أن تُستخدم وتُعتمد من قبل عملاء مجهولين، على سبيل المثال أعضاء من الجمهور. في هذه الحالة، يجب على الخدمة استخدام شهادة من هيئة اعتماد عامة في بنية المفاتيح العامة على الويب (Web PKI). توفر NCSC إرشادات حول توفير وإدارة الشهادات في بنية المفاتيح العامة على الويب.
تتوفر العديد من هيئات الاعتماد العامة، بمستويات مختلفة من الثقة عبر مستودعات ثقة العملاء، وعروض الدعم التقني، وخيارات إصدار الشهادات وإدارتها. عند اختيار هيئة اعتماد، يجب عليك التأكد من أنها موثوقة من قبل العملاء الذين يحتاجون إلى الوصول إلى خدمتك وأنها تلبي متطلباتك.
إذا كنت تستضيف خدمتك في السحابة، فإن العديد من مزودي الخدمة السحابية يقدمون خدمات هيئة اعتماد ويستضيفون هيئات اعتماد خاصة بهم. يمكن أن تبسط استخدام هذه الخدمات السحابية المدمجة في الخدمة وتؤتمت إدارة الشهادات، بشرط أن تقدم هيئة الاعتماد خصائص أمان كافية لاحتياجاتك. ستساعدك إرشادات أمان السحابة الخاصة بـ NCSC في إجراء هذا التقييم.
إذا كانت منظمتك تدير هيئة اعتماد داخلية خاصة بها، وكانت الخدمة تُستخدم فقط من قبل عملاء مُدارين يثقون بها، فقد يكون من المناسب استخدام الشهادات الصادرة عن هيئة الاعتماد الداخلية. انظر إرشادات NCSC حول تصميم وبناء بنية تحتية للمفاتيح العامة مستضافة داخليًا.
معايير الشهادة الموصى بها
عند طلب شهادة أو تجديدها، ستحتاج إلى اختيار معايير لمفتاحك الخاص وطلب توقيع الشهادة (CSR). سواء كنت تستخدم هيئة اعتماد عامة أو خاصة، يوصي NCSC باستخدام المعايير التالية لإنشاء مفاتيح ECDSA وRSA:
- ECDSA-256 مع SHA256 على منحنى P-256
- RSA بمقدار 2048 بت مع SHA256
التخطيط للتحول إلى التشفير ما بعد الكمي
لا تزال المعايير الدولية لآليات المصادقة والشهادات ما بعد الكمية في بروتوكول TLS قيد التطوير. حتى تكون هذه المعايير متاحة، يجب أن تستمر في استخدام ECDSA وRSA. سيتم تحديث هذه التوصية لتفضل آليات المصادقة ما بعد الكمية حالما يتم توحيدها.
عند إصدار الشهادات لـ ECDSA وRSA، يجب أن تأخذ في اعتبارك جدول زمني لتحول PQC الخاص بمنظمتك. تجنب إصدار شهادات ذات فترات صلاحية تمتد إلى ما بعد النقطة التي تتوقع فيها إكمال انتقالك من التشفير التقليدي. يجب أيضًا تحديد أي شهادات قائمة قد تحتاج إلى الاستبدال كجزء من هذا الانتقال.
Source: UK NCSC (Cyber) (2026-10-15)
