التوقيع الرقمى

في السنوات القليلة الماضية ومع انتشار أجهزة الحاسب الآلي ومع زيادة عدد الأفراد والمؤسسات والشركات وكثير من طوائف المجتمعات الذين يستخدمون أجهزة الحاسب الآلي متصلين معا بشبكة التشبيك المعروفة بالإنترنت Internet (Internetworking Network)1، أصبحنا نسمع البعض يتحدثون حول التوقيع الإلكتروني ويحدث خلط كبير بين التوقيع الإلكتروني Electronic Signature والتوقيع الرقمي Digital Signature .
هذا الخلط واقع ليس فقط عند غير المختصين ولكنه موجود أيضا بين كثير ممن ينتمون لتخصص علم الحاسبات الآلية وهذا الخلط والخطأ موجود ليس فقط في بيئتنا العربية بل موجود أيضا عند الدول المتقدمة في مجال التقنية المعلوماتية Information Technology والمتقدمة في هندسة وعلوم الحاسبات الآلية، ولكن يضاف في منطقتنا العربية خطأ لغوي إضافي ألا وهو أن الكثيرين يشيرون على Digital Signature بأنه التوقيع الإلكتروني.ودعونا نتفق أولا على أن التوقيع الإلكتروني Electronic Signature ليس هو التوقيع الرقمي Digital Signature .إذن من البداهة الآن أن تطرح هذه الأسئلة:
ما هو التوقيع الإلكتروني؟
وما هو التوقيع الرقمي؟
ولما يحدث هذا الخلط بينهما؟ولكي أجيب عن هذه الأسئلة بسهولة، سوف أقوم بإعادة ترتيبهم عند الإجابة،
1- لماذا يحدث الخلط بينهم (بين التوقيعين الإلكتروني والرقمي)؟الإجابة: التوقيع الرقمي نوع من أنواع التوقيع الإلكتروني.
التوقيع الرقمي يعتبر فئة جزئية من مجال التوقيع الإلكتروني .
2- ما هو التوقيع الإلكتروني؟ التوقيع الإلكتروني هو صورة من صور التوقيعات والتعريف بشخص أو بجهة الموقع وهو يحمل كما التوقيع المتعارف عليه (توقيع القلم والورقة) مميزات تظهر لكل من يطلع عليه أن هذا المستند الموقع بهذا التوقيع يرجع لصاحب التوقيع ويوثق أو يضمن محتوى هذا المستند بما يعرف بعملية التوثيق Authentication.
التوقيع الإلكتروني يشمل عدة أنواع منها ما هو بسيط ولا يحمل أي نوع من أنواع الضمانات ولكنه يظل توقيعا إلكترونيا في معناه الظاهري، ومنها ما هو معقد ويحمل كافة الضمانات ليصبح توقيعا معتمدا لمحتوى الوثيقة التي تحمله وله كافة الامتيازات القانونية للتعامل به.ومن هذه الأنواع ما يلي:
أ- صورة من توقيعك اليدوي Scanned handwritten signature نوع بسيط وهو عبارة عن عمل مسح ضوئي بواسطة جهاز الماسح الضوئي Scanner لتوقيعك العادي المكتوب على ورقة ثم يتم حفظة على هيئة صورة تضاف إلى الملف أو المستند المراد التوقيع عليه.
هذا النوع من التوقيعات ليست له أي ضمانات وقد يتعرض للتزوير وقد يسرق من على المستند الموقع عليه بهذا النوع ويضاف على مستندات أخرى وكأنها موقعة من نفس الشخص .يستخدم هذا النوع في العادة كشكل من أشكال إستكمال الهيئة الرسمية للمستند، مثال على ذلك توقيع رئيس مجلس إدارة شركة على كلمة الترحيب لزوار موقع الشركة على الإنترنت.هذا التوقيع ليس له أي صفة قانونية في العالم الرقمي وليس هناك من يؤكد أن هذا التوقيع فعلا هو توقيع هذا الشخص أو ذاك.
ب – التوقيع اليدوي الرقمي Handwritten Digital Signature في الواقع هذا النوع يعتبر من أنواع تطبيقات Biometric Security في مجال أمن البيانات، وهي متعددة الأنواع مثل بصمة الصوت Voice fingerprint وبصمة الإبهام fingerprint thumb stamp وبصمة قرنية العين IRIS systems وكذلك التعرف على خط يد إنسان والتمييز بين خط يد إنسان وخط يد إنسان آخر Handwritten Recognition . وبهذا يمكن أخذ عينة التوقيع المكتوبة بخط اليد وتحويل Digitize خصائصها Features إلى خصائص منفردة لصاحب التوقيع وحفظها بطريقة مؤمنة Secured وليكن على بطاقة ذكيةSmart Card
ومن ثم أصبح هذا التوقيع يعبر عن صاحبه وله الصفة القانونية لتوثيق (توقيع) Authenticate مستند ما.
عادة يستخدم هذا النوع مصحوبا بالبيانات الأساسية لصاحب التوقيع مثل الاسم، تاريخ الميلاد، الجنس، عنوان السكن، ويستخدم في عمل بطاقات تعريف ذكيةSmart Identification Cards وكذلك بطاقات المرور من بوابات المطارات وغيرها.
ج - التوقيع الرقمي Digital Signature وهذا النوع هو رقمي بحت فهو ليس ترقيم Digitize لتوقيع يدوي أو أخذ بصمة وترقيمها وإنما ينشئ رقميا ويظل رقميا وهو سهل الاستخدام إذا ما تعلم الشخص استخدامه ولكنه من النوع المعقد هندسيا والآمن جداً ويضمن هذا النوع موثقية المستند وأن من أرسله هو فعلا صاحب التوقيع بلا شك.هذا النوع يستحيل تزويرة أو تقليده أو كسره (حتى هذه اللحظة يحتاج لأكثر من مليون سنة) وهو أكثر الأنواع أمانا Full Secured .
لتعريف الفارق الظاهري بين التوقيع الإلكتروني والرقمي.يجب علينا أن نقف للنظر أين نحن وما الحاجة لكل هذه الأنواع وما فائدتها لنا كأفراد مختلفي الأنشطة والمجالات ومن مهن مختلفة وأعمار مختلفة ومن دول وأعراق مختلفة ولغات وديانات وثقافات مختلفة ولكن يجمعنا زمن واحد وعالم رقمي واحد وهو عالم ضخم حيث يوجد ملايين بل بلايين البشر يعملون Online أو يعيشون Live معا على شبكة واحدة في نفس اللحظة والوقت، تصل بينهم أطراف من أسلاك بالكاد يلحظها الجالسون أمام الحاسبات الآلية ويمر عبرها كم هائل من البيانات إلى ومن الملايين لبعضهم البعض وهذا الكم الضخم من البيانات تختلف درجات خصوصيته وأهميته لمرسل البيانات أو مستقبلها. ولكن بلا أدنى شك أن المهندسين المتخصصين في مجال تقنية المعلومات يشغلنا ويهمنا تأمين البيانات والحفاظ عليها وعلى سريتها وخصوصيتها والحفاظ على خصوصية صاحب البيانات Privacy كمنطلق طبيعي للحفاظ على الإنجازات في العالم الرقمي، بدون هذه الضمانات سوف يضعُف وينهار ولهذا فإن علم أمن البيانات والشبكات Data and Network Security يسعى لتأمين البيانات أينما كانت ويعمل على تأمين ستة خدمات رئيسية وهي الحفاظ على الخصوصية Confidentiality privacy وتأكيد التوثيق بأن مرسل الرسالة موثوق به Authentication والحفاظ على البيانات سليمه لا تعدل ولا تمس Data Integrity والحفاظ على أن لا ينكر سواء الراسل أو المستقبل إرساله أو إستقباله للرسالة Non-repudiations والحفاظ على الأجهزة والبرامج تعمل خلال خط التوصيل Access Control وأخيرا القدرة على منع فقد أو سقوط أي من عناصر منظومة الاتصال بين المرسل والمستقبل Availability .
ولكن هذا العلم لابد أن يساعده على الجانب الآخر المستخدمين لأجهزة الحاسب والشبكات وقد يتعرض من لا يسعى لمعرفة بعض الأسس لكثير من المشاكل والخاصة بفقد البيانات واختراق الدخلاء Intruders سواء لأجهزتهم الشخصية أو شبكاتهم المحلية (LANs Local Area Networks ).
ما هو التوقيع الرقمي؟
وهذا المقال للإجابة على هذا التساؤل.

إن علم أمن البيانات Data Security يحتوي على علم كبير يسمى علم التشفير Cryptography . التشفير ليس حديثا وإنما سجل أول طرق التشفير في التاريخ عند يوليوس قيصر وسميت بطريقة القيصر، وسواء علم أمن البيانات أو التشفير فكلٌّ منهما مرتبط ارتباطا وثيقا بعضهما البعض وبهم الكثير الذي يمكن الكتابة عنه مقالات عدة ولن يتسنى هنا إلا أن أذكر، أن الجذور الأساسية للتوقيع الرقمي هي علم التشفير.

وقد تقدم علم التشفير تقدما كبيراً في عصر الحاسبات الآلية أو العالم الرقمي ويوجد مثال له يكاد يعلمه كل الناس وهو تشفير القنوات التليفزيونية.
كل أنظمة التشفير تخضع لأسلوب أساسي واحد مُكون للنظام الخارجي أما التفاصيل فتختلف. والأسلوب العام هو أننا لدينا رسالة Message (الرسالة هنا هي المراد تشفيرها، ربما تكون نص أو صوت أو قناة تليفزيونية أو صورة..) وهي قبل التشفير تسمى Plaintext ولتشفيرها يجب وجود "مشفر" الذي به طريقة التشفير Encryption Algorithm ويحتاج إلى مفتاح الشفرة أو المفتاح السري Secret Key . باستخدام هذا المفتاح تتم تشفير الرسالة لتنتج عنها رسالة مشفرة Cipher .

مفتاح التشفير
الرسالة مشفرة
وعملية فك تشفير الرسالة عند الجهة المستقبلة هي العملية العكسية للتشفير ولذلك يجب أن يملك مستقبل الرسالة المفتاح السري الصالح لفك شفرة الرسالة واسترجاع الأصل.

مفتاح التشفير
الرسالة مشفرة الرسالة الأصلية

هذه الطريقة التقليدية Conventional لفكرة التشفير ومن أقوى وأشهر الطرق في عصرنا الحديث هو (DES Data Encryption Standard ) و (AES Advanced Encryption Standard ).
طرق التشفير Encryption Algorithms ليست سرية وقوة التشفير تكمن في مدى طول وسرية المفتاح السري فكلما كبر طول المفتاح، صعب تحليله وكسره Cryptanalysis وسريته تكمن في الحفاظ عليه بين الطرفين ولهذا ظهرت مشكلة، ألا وهي كيف يمكن إرسال المفتاح السري بطريقه سرية وآمنة أو بما تسمى Key Management .
الطريقة التقليدية تستخدم مفتاح سري واحد مشترك بين الجانبين وعند تغييره من طرف لا بد أن يعلم الطرف الآخر بنفس المفتاح الجديد مما يعرضه للفضح إذا لم تكن الطريقة آمنة.

قام العالمان ديفي وهيلمان بإيجاد حل لمشكلة تبادل المفاتيح وذلك عن طريق وجود علاقة رياضية خاصة في الأعداد الأولية – على أي حال تم حل المشكلة بإيجاد طريقة وذلك بإنشاء مفتاحين لهم علاقة مرتبطة بأن ما يشفره الأول يفك تشفيره الثاني ولا يصلح أن يفك تشفير ما شفر بمفتاح بنفس المفتاح كما لا يوجد علاقة تمكن استخراج أي من المفتاحين بدلالة الآخر. أي أنه لابد من هذا الزوج Pair of Keys من المفاتيح وسمي المفتاح الأول بالمفتاح الخاص Private Key والآخر بالمفتاح العام Public Key وبهذا الحل نشأت منظومة جديدة وأساسات سميت بالبنية التحتيه للمفتاح العام (PKI Public Key Infrastructure) .

كل ما سبق لأصل بكم لهذه الكلمات البسيطة، أنه يوجد طرق تشفير حديثة تعتمد على PKI وهو نظام ذو مفتاحي تشفير أحدهم خاص وسري ولا داعي لإرساله أي مكان والآخر عام وعلني ويمكن نشره في أي مكان دون الاحتياج لقنوات اتصال آمنة.
التوقيع الرقمي Digital Signature هو أهم تطبيق عملي على استخدام هذه الطريقة PKI .

يوجد خدمات أساسية لنظم أمن البيانات (ذكرتها في الجزء الأول من الموضوع) ولكي يصبح التوقيع الإلكتروني متوافق مع تلكم الخدمات وفعال في الحفاظ على أمن البيانات. قام العالم "فيل زيمرمان" بعمل تجميع لأهم ما يحتاجه فرد أو جهة ما، لإنشاء نظام توقيع رقمي ناجح وكان هذا (PGP Pretty Good Privacy) وهو من أنجح الأنظمة للتوقيع الرقمي الخاص بالبريد الإلكتروني وهذا النظام كامل به ما يحتاجه المرء في تأمين مرسلاته، مثل التوثيق (التوقيع) Authentication، التشفير Encryption ، مع الحفاظ على خاتم التوقيت Timestamp وكذلك الحفاظ على صحة البيانات المرسلة Data Integrity وكذلك ضغط البيانات Compression وتوافقها مع كل أنظمة البريد الإلكتروني في الإرسال أو الاستقبال.

الهدف الأساسي من PGP هو استخدام التوقيع الرقمي لتأمين وتوثيق المراسلات باستخدام البريد الإلكتروني Emails وهو حتى يتسنى لنا فهم واستخدام النظام PGP علينا أن نتصور الآتي:
- لدينا كل من "أحمد" و "هبة " و "محمود "
- أحمد صديق هبة.
- محمود صديق هبة.
- أحمد لا يعرف محمود بصفة مباشرة وإنما لديهم صديق مشترك "هبة"
- كل فرد منهم لديه زوج من المفاتيح الخاصة به (أحدهم الخاص والآخر العام) (تذكر جيدا أن المفتاح الخاص، هو مفتاح سري لا يرسل لأحد البتة وإنما هو خاص بصاحبه ومحفوظ على نظامه في جهاز الحاسب الآلي)
- تبادلت "هبة" المفاتيح العامة مع أصدقائها وبالتالي أصبح لديها مفتاحي كل من "أحمد" و "محمود"، ولدى "أحمد" مفتاح "هبة" ولدى "محمود" مفتاح "هبة".
- إذا أرادت "هبة" إرسال رسالة موقعة منها لأي من أصدقائها، كل ما عليها هو استخدام مفتاحها "الخاص" للتوقيع Sign على الرسالة وهذا يعني أن الرسالة سوف تكون مقرؤة ولكن مضاف إليها جزئ يسمى التوقيع Signature ، قد يكون منفصل في ملف إضافي عادة يأخد امتداد .asc وهو ملف نصي به التوقيع.
- كل من أراد أن يتأكد أن هذه الرسالة مكتوبة بواسطة "هبة"، ما عليه إلا عمل Verify باستخدام مفتاح هبة "العام" الذي لديه. وسيخبره النظام بأن الرسالة مرسلة من فلان وموقعة بتاريخ وساعة كذا، وإذا تغير حرف واحد في الرسالة الأصلية، أصبحت لا تمت لكاتبها بصلة وبالتالي سوف يخبره النظام بأنها غير صالحة للتوافق مع التوقيع المصاحب لها.
- وبالتالي نرى أنه أمكن التأكد من الراسل Authentic وكذلك التاريخ والوقت Non-Repudiations ، وكذلك صحة البيانات والرسالة الواردة Data Integrity .
- ماذا لو أرادت "هبة" إرسال رسالة خاصة لا تريد لأحد الاطلاع عليها سوى "محمود"؟.
- في هذه الحالة عليها استخدام مفتاح "محمود" العام في تشفير Encrypt الرسالة وفي هذه الحالة لن يستطيع أحد الاطلاع عليها كونها مشفرة ولن يستطيع فك تشفيرها إلا من معه المفتاح الخاص المقابل للمفتاح العام التي شفرت به ألا وهو مفتاح "محمود" وفي هذه الحالة خدم PGP الخصوصية Confidentiality .
- باختصار شديد إلا إذا أراد شخص عمل توقيع على رسالة أو ملف عليه استخدام مفتاحه الخاص وسوف يستطيع جميع من لديهم مفتاحه العام أن يتوثقو من أنه هو كاتب الرسالة. وإذا أراد شخص عمل تشفير للرسالة لإرسالها بسرية عليه استخدام مفتاح المرسل إليه العام ولن يستطيع فك أو قراءة محتوى الرسالة سوى صاحب هذا المفتاح بعد فكها بمفتاحه الخاص.

- يعتمد PGP على الثقة المتبادلة في الأصل بين عدد من الأشخاص والذين يعرفون بعضهم ويريدون استخدام البريد الإلكتروني وسيلة اتصال بينهم وأيضا نشر هذه الثقة من خلال البعض لأطراف أخرى (صديق صديقي يصبح صديق) بالطبع مع وجود نظام تدريج لدرجات الثقة.

- "هبة" و"أحمد" أصدقاء (أي أن كل منهم يعلم أن البريد الإلكتروني لصديقه حقيقي وبريده فعلاً).

- "هبة" و"محمود" أصدقاء.

- ماذا لو هناك مصلحة ما اقتضت أن يتراسل "أحمد" و "محمود"، كيف لكل منهم أن يثق في أن المرسل من طرف فعلا مرسل منه شخصيا ولا يوجد من يتلاعب بهما وإن بريده الإلكتروني صحيح وهو بريدهما فعلا؟

- هنا يأتي دور "هبة" مع نظام PGP حيث أنها تستطيع التوقيع على التوقيع العام لكل منهم وإعطائه درجة من الموثوقية Trust وبالتالي يعلم النظام لدى كل من الطرفين "أحمد" و"محمود" أنه موثوق به من قبل "هبة" بدرجة كذا والتي هي نفسها موثوق بها بدرجة كذا لدى هذا الطرف. وهذه الفكرة هي التي بني عليها نظام شهادات الأمان Security Certificates والمستخدم بشكل رئيسي على الصفحات والمواقع التجارية على الإنترنت حيث توجد مؤسسة متخصصة بضمان أن هذه الشركة مصرحة ومعلومة لديهم وهذه الهيئة تسمى علميا (Certificate Authority CA).

- تحفظ المفاتيح في النظام الخاص بك فيما يسمى بحلقة المفاتيح Keys ring وبه يقوم النظام تلقائيا بالتعرف على صاحب المفتاح المرسل منه رسالة موقعة أو إخبارك بالمفاتيح الموجودة لديك لتختار منها من تريد إرسال رسالة مشفرة له.

- المفتاح العام يكون على سبيل المثال على هذا الشكل:

-----BEGIN PGP PUBLIC KEY BLOCK-----
Version: GnuPG v1.4.7 (MingW32)

mQGhBEXr8/sRBAD37JY8P6zpQVXbXPyf+LzSY+ZECucsdr37zNaaSmbY7zyLU1SY
rdNWaSQqrUblQy5SpPPOxCKGxwM5gdg4k9pVg7DREzRQJqQFyem0mTw44t8Y/eJg
vjp+h1xhY86esQVc2cK4CUBq8s3zAAMFA/9r9ffubsTQnXap+2bYaa0f5fG4+U8F
E38gG6iUv0P4cWg3O8hxgWFTg3XahZPQiAU0R/RYUHUkyWPzTq08sw67H2PX8hOJ
TXW5f34FNZRuOrS5yuYQzsoGm04emvgD6S003Qn8NdTTeCl1pGCpAOQ3YTHVUO5p
X0DUDYzhOtT8YIhGBBgRAgAGBQJF6/QBAAoJEHMQD5X36+/bFbcAn3pA+SmuXtCX
DOW/wL2tEEKbev7tAJ9zUTIDNwKi4kMW+8/77fGcmWtMqw==
=hPR7
-----END PGP PUBLIC KEY BLOCK-----

- لو افترضت أنني كتبت رسالة تحتوي على كلمة "مرحبا" وقمت بتوقيع هذه الرسالة سيكون شكل التوقيع كما الآتي (على سبيل المثال):

-----BEGIN PGP SIGNATURE-----
Version: GnuPG v1.4.7 (MingW32)

iD8DBQBHAApAcxAPlffr79sRAjShAJ9YV6dyB7GITtQsszfLc3aKwBrVmQCdHiwj
I13ybYs9krw0j+2U45ec+W4=
=i5ty
-----END PGP SIGNATURE-----

التوقيع الرقمي لا يعتمد على طول الرسالة الأصلية فمهما كانت طويلة أو قصيرة سوف يأخذ نفس الطول الخاص به هو وطبعا مع اختلاف مكوناته الرقمية (ما ترى هو المقابل الحرفي للأرقام باستخدام نظام تكويد الآسكيASCII).

عند تشفير الرسالة سوف يكون طول الناتج متناسب مع طول الرسالة أي أنه يساويها في معظم الحالات.
عند عمل اختبار لتوقيع سوف يخبرك النظام بأن التوقيع "جيد" من "فلان" وفي يوم "كذا" وقت "كذا".
مثل الآتي:

Good SHA1-hashed signature made by Mohamed Ali Hashish (DSA/0xF7EBEFDB) on 9/30/2007 10:42:40 AM.

في ختام هذا الموضوع أقترح أن يقوم القارئ بزيارة أحد المواقع التي تتيح له الحصول على نظام PGP مجاني وتجربته بنفسه ومع أصدقائه وأقترح أحد الموقعين:
[ندعوك للتسجيل في المنتدى أو التعريف بنفسك لمعاينة هذا الرابط]

تذكر جيدا أن المفتاح العام يمكن نشره في أي مكان أما الخاص فلا يعطي لأحد ويستخدم للتوقيع على رسائلك وملفاتك.
هل مبدأ عمل بطاقة الصراف الآلي الصادرة من البنك يمكن أن نطلق عليه توقيع إلكتروني؟
- الإجابة : طبعاً لا ،لا يمكن أن نطلق على أي شي اسم توقيع إلكتروني لا يعتمد على مبدأ التشفير بالمفاتيح غير المتماثلة، وهو المقصود أن هذا التوقيع يثبت هوية صاحبه أثناء تعاملاته الإلكترونية خلال الشبكة ،ويوثِّق هذه التعاملات.
تكثر الاجتهادات وتكثر التراجم "التوقيع الإلكتروني، التوقيع الرقمي، التوقيع الإلكتروني الرقمي أو حتى التوقيع الرقمي الإلكتروني"،التوقيع الإلكتروني يقصد به التوقيع الذي يصدر من مركز التصديق الرقمي بحيث تصِّدر له شهادة توثقه وتعرف بهوية حامله . السؤال الآن هل يوجد توقيع إلكتروني Digital Signature بدون المفاتيح غير المتماثلة public key @ private key"؟ - طبعاً لا، لأنه بذلك أسقط قيمته أو الهدف منه وبالتالي أسقط مفهومه. هل يوجد توقيع إلكتروني بدون "Hash Function"؟ - نعم، ولكن يفضل أخصائيين وخبراء أمن المعلومات وجودة لزيادة درجة التوثقهل يوجد توقيع إلكتروني بدون زCertificateس ممنوحة للمفاتيح غير المتماثلة فيه زpublic key & private keyس؟
- نعم يوجد، ولا نستطيع أن نلغي مفهوم التوقيع الإلكتروني للتوقيع الذي لا تحمل مفاتيحه التشفيرية شهادة Certificate صادرة من جهة رسمية تثبت مدى صحتها وتوثقها ولا يشمل هذا النوع من التواقيع الإلكترونية التوقيع الإلكتروني المعني في النصوص القانونية التي تصدر عادة من قبل الحكومات بشأن اعتماد مفهوم التوقيع الإلكتروني واستخدامه في المعاملات الإلكترونية.