في أي مؤسسة تستخدم نظام ويندوز، أصبحت الشهادات الرقمية وتوقيعات برامج التشغيل وأجهزة التشفير من الأمور الشائعة. سواء كنت تدير بضعة أجهزة كمبيوتر أو نطاقًا كاملًا، إذا كنت ترغب في الحصول على الأمان والمصادقة القوية والتحكم في البرامج المثبتة، فأنت بحاجة إلى فهم كيفية عمل هذا النظام.
بالإضافة إلى الشهادات المعتادة المطلوبة من قبل سلطات الضرائب أو الضمان الاجتماعي، من الضروري في بيئات العمل معرفة كيفية إدارة شهادات المستخدمين، وشهادات المتحكمين، وهيئات التصديق الداخلية، وأدوات مثل Adobe والمتصفحات والرموز المميزة . قد يبدو الأمر معقدًا، ولكن إذا قمنا بتقسيمه خطوة بخطوة، ستجد أنه سهل الإدارة، شريطة فهم المفاهيم واتباع أفضل الممارسات.
ما هي الشهادة الرقمية ولماذا هي مهمة للغاية في نظام التشغيل ويندوز؟
الشهادة الرقمية هي في الأساس وثيقة إلكترونية تُستخدم كبطاقة هوية على الإنترنت . تُصدرها جهة إصدار شهادات معترف بها. وتُستخدم لتحديد هوية شخص أو شركة أو حتى خادم أو موقع ويب بشكل فريد.
تتضمن هذه الشهادة معلومات تعريفية لحاملها (الاسم، الرقم الضريبي، المؤسسة، إلخ) والتي سبق أن تحققت منها جهة إصدار الشهادات. وبفضل ذلك، يمكننا استخدامها لتوقيع المستندات، والتحقق من هويتنا لدى الجهات الحكومية، أو التأكد من موثوقية موقع إلكتروني أو جهة تحكم.
في بيئة ويندوز، تتيح لك هذه الشهادات التوقيع الإلكتروني على المستندات والبرامج وبرامج التشغيل، وإنشاء اتصالات آمنة . لذا، من المهم جدًا إدارتها بشكل صحيح: تثبيتها في مكانها الصحيح، وتجديدها قبل انتهاء صلاحيتها، وتصدير النسخ الاحتياطية، وإلغاؤها في حال وجود مشاكل، وعدم حذفها بشكل عشوائي.
توجد شهادات لكل شيء تقريبًا: شخصية، وتجارية، ومواقع ويب، ووحدات تحكم، وشهادات الجذر، وشهادات وسيطة، وشهادات عميل، وشهادات خادم ، وغيرها الكثير. يخزن نظام ويندوز هذه الشهادات في "مخازن" مختلفة يمكن الوصول إليها من خلال تطبيقات مثل إيدج، وكروم، وأدوبي ريدر، وأوتو فيرما، وأدوات الإدارة.
أنواع الشهادات الرقمية التي ستصادفها
ستجد في بيئة ويندوز أنواعًا مختلفة من الشهادات بحسب استخدامها ومالكها . وهذه هي:
- الشهادات الشخصيةتُصدر هذه الوثائق باسم فرد. نستخدمها للتحقق من هويتنا في الإجراءات الإلكترونية، وتوقيع المستندات بصيغة PDF، والوصول إلى مصلحة الضرائب الإسبانية (AEAT)، وهيئة المرور الإسبانية (DGT)، وإدارة الضمان الاجتماعي، وما إلى ذلك.
- شهادات الكيانات. هذه وثائق مرتبطة بشركة أو جمعية أو منظمة. تقوم الجهة نفسها بالتوقيع على الوثيقة أو إثبات هويتها، حتى لو استخدمها ممثل مُخوّل. تُستخدم هذه الوثائق لتقديم ضرائب الشركة، وتوقيع الوثائق الرسمية، أو التواصل مع الجهات الحكومية نيابةً عن المنظمة.
- شهادات المقر الإلكترونيفهي تحدد موقعًا إلكترونيًا أو بوابة رسمية على أنها تابعة لإدارة أو كيان عام، مما يضمن شرعية الموقع وحماية الاتصالات.
ستجد في مخزن شهادات ويندوز أيضًا فئات مثل جهات إصدار الجذر الموثوقة، وجهات إصدار الوسيط، والمستخدمين الآخرين، ومصادقة العميل ، و"الشهادات غير القابلة للإزالة". هذه مكونات سلسلة الثقة التي تسمح لك بالتحقق من صحة الشهادات النهائية.
شهادات توقيع التعليمات البرمجية وتوقيع برامج التشغيل في نظام التشغيل ويندوز
عند الحديث عن برامج التشغيل والبرامج في نظام ويندوز، تبرز أهمية شهادات توقيع التعليمات البرمجية . وتتمثل وظيفتها في ضمان أن البرنامج أو برنامج التشغيل قد تم إصداره من قبل ناشر محدد ولم يتم تعديله منذ توقيعه.
فيما يخص برامج تشغيل وضع النواة تحديداً، فإن نظام ويندوز صارم للغاية. بدءاً من ويندوز 7 (الذي تم تحديثه لتصحيح SHA-256) وويندوز 8 ، وبشكل أكثر صرامة مع ويندوز 10، يجب توقيع برامج التشغيل باستخدام خوارزميات آمنة (مثل SHA-256)، وفي كثير من الحالات، باستخدام شهادات توقيع الكود ذات التحقق الموسع (EV).
تُستخدم أداة SignTool ، وهي جزء من حزمة تطوير البرامج لنظام التشغيل Windows، بشكل شائع لتوقيع برامج التشغيل . وتتيح لك تحديد خيارات مثل الشهادة، وكلمة مرور PFX، وخوارزمية التجزئة، والشهادات الإضافية (على سبيل المثال، شهادة Microsoft المتبادلة)، وخادم الطابع الزمني.
المعلمات الرئيسية لـ SignTool هي /f لتحديد ملف PFX، و/p لكلمة المرور، و/fd لخوارزمية التجزئة (على سبيل المثال، /fd sha256)، و/ac لإضافة الشهادة المتبادلة، و/tr لتكوين خادم الطابع الزمني RFC 3161، و/n لاختيار شهادة معينة من المخزن باسمها الشائع.
بعد توقيع ملفات تعريف التشغيل (عادةً ملفات .sys و .cat)، يمكنك التحقق من التوقيع باستخدام الأمر `signtool verify -v -kp` ، الذي يتحقق من صحة التوقيع وفقًا لمعايير محددة لبرامج تشغيل وضع النواة. راجع دليل sigcheck للاطلاع على أدوات التحقق الإضافية. إذا كان كل شيء صحيحًا، سيقوم نظام Windows بتثبيت برنامج التشغيل، مع عرض الناشر على أنه "معروف وموثوق".
المتطلبات الأساسية: برنامج تطوير الأجهزة وشهادات المركبات الكهربائية
إذا كنت ستنشر برامج التشغيل من خلال نظام Microsoft البيئي، بصفتك مسؤول مركز الشركاء للأجهزة ، فستحتاج إلى التعامل مع إضافة وتحديث وإزالة شهادات توقيع التعليمات البرمجية المرتبطة بمؤسستك.
الخطوة الأولى هي التسجيل في برنامج مطوري أجهزة مايكروسوفت . إذا لم يكن لديك حساب شركة بالفعل، فستحتاج إلى إكمال عملية التسجيل باتباع الخطوات وربط مؤسستك.
لتحميل برامج التشغيل وتوقيعها، تحتاج إلى شهادة توقيع رمزية، يُفضل أن تكون من نوع EV ، صادرة عن جهة موثوقة. إذا كانت شركتك تمتلك شهادة سارية، يمكنك إعادة استخدامها. وإلا، فستحتاج إلى الحصول على شهادة من خلال هيئة إصدار شهادات معترف بها. ستقوم الهيئة بالتحقق من هوية شركتك (الوثائق، معلومات الاتصال، رقم الهاتف، إلخ)، وبمجرد الموافقة، ستزودك بتعليمات تحميل الشهادة.
في البيئات الحديثة، من الضروري استخدام الشهادات والطوابع الزمنية المستندة إلى خوارزمية SHA-2 (SHA-256) . ويجري التخلص تدريجياً من دعم خوارزمية SHA-1 في التطبيقات الأحدث، مثل شهادات توقيع التعليمات البرمجية وخوادم الطوابع الزمنية.
كيفية إضافة شهادات توقيع التعليمات البرمجية أو تجديدها أو إلغائها في مركز الشركاء
بعد إصدار شهادة التحقق الموسع أو الشهادة القياسية، تتمثل الخطوة التالية في إضافتها إلى لوحة الأجهزة في مركز الشركاء لكي تتعرف عليها مايكروسوفت عند توقيع برامج التشغيل والتحقق من صحتها. إليك الخطوات:
- قم بتسجيل الدخول إلى البوابة باستخدام بيانات اعتماد مسؤول حساب الأجهزةومن هناك، يمكنك الوصول إلى أيقونة الترس في الزاوية العلوية اليمنى والدخول إلى قسم إعدادات الحساب أو إعدادات المطور.
- انقر فوق الخيار "إدارة الشهادات" (في القائمة الجانبية).
- اختر "أضف شهادة جديدة" ثم تابع مع المعالجستتيح لك البوابة تنزيل ملف ثنائي (عادةً ما يكون Signablefile.bin) ستحتاج إلى توقيعه محليًا باستخدام SignTool مع شهادة توقيع التعليمات البرمجية الخاصة بك و خوارزمية SHA-256، بالإضافة إلى طابع زمني صالح لـ SHA-2.
- أخيرا قم بتحميل الشهادة مرة أخرى إلى مركز الشركاءستقوم مايكروسوفت بالتحقق من أن التوقيع يطابق شهادة صادرة لمنظمتك، وإذا كان كل شيء صحيحًا، فستضيف تلك الشهادة إلى قائمة شهادات توقيع التعليمات البرمجية المقبولة لحسابك.
كيفية عرض وإدارة الشهادات المثبتة على نظام التشغيل ويندوز
تُخزَّن جميع الشهادات التي تقوم بتثبيتها، سواءً كانت شخصية أو خاصة بالنظام، في مدير شهادات ويندوز . ومن هناك، تتحقق التطبيقات من الشهادات المتاحة للمصادقة أو التوقيع أو التشفير.
لمراجعة شهادات الكمبيوتر (على مستوى الجهاز) المستخدمة من قِبل النظام والعديد من الخدمات، يمكنك استخدام الأمر certlm.msc من شريط البحث أو مربع حوار التشغيل (Win + R). سيؤدي هذا إلى فتح وحدة تحكم شهادات الكمبيوتر المحلي مع مجلدات متنوعة مصنفة حسب الغرض.
لعرض شهادات المستخدم الشخصية الخاصة بك، استخدم أداة certmgr.msc . ستجد هنا الشهادات المرتبطة فقط بملف تعريف Windows الخاص بك: تلك التي تستخدمها للمهام الإدارية، وشهادات العمل، وتلك التي تم تثبيتها بواسطة تطبيقات أو متصفحات معينة، وما إلى ذلك.
بالنسبة للمستخدمين الأكثر خبرة، من الممكن أيضًا التحقق من وجود الشهادات في سجل ويندوز . على سبيل المثال، تُخزن شهادات المستخدم الحالي في مسارات مثل HKEY_CURRENT_USER/Software/Microsoft/SystemCertificates/CA/Certificates، بينما توجد الشهادات المرتبطة بكائنات نهج المجموعة (GPOs) في فروع ضمن HKCU/Software/Policies/Microsoft/SystemCertificates.
في كثير من الحالات، ليس من الضروري لمس أي شيء في سجل النظام، ولكن من المفيد معرفة ذلك إذا كان عليك تشخيص مشاكل تحميل الشهادات أو النسخ المكررة أو السياسات المطبقة بواسطة المجال.
تصدير الشهادات ونسخها احتياطيًا وحذفها في نظام التشغيل ويندوز
إذا كنت تتعامل مع الشهادات بشكل متكرر، فمن الضروري وجود استراتيجية احتياطية . فقدان الشهادة بدون نسخة احتياطية قد يعني الاضطرار إلى إعادة تقديم الطلب بالكامل وإجراءات الاعتماد الشخصية.
يُتيح لك نظام ويندوز تصدير الشهادات من مدير الشهادات . ما عليك سوى تحديد موقع الشهادة في مجلدها، والنقر بزر الماوس الأيمن عليها، ثم الانتقال إلى "جميع المهام"، واختيار "تصدير". سيظهر معالج يسألك عما إذا كنت ترغب في تضمين المفتاح الخاص وما هو تنسيق التصدير الذي تفضله.
لنقل شهادة شخصية إلى جهاز كمبيوتر آخر أو حفظها على محرك أقراص USB، تتمثل الطريقة المعتادة في إنشاء ملف PFX/P12 محمي بكلمة مرور . بهذه الطريقة، بالنقر المزدوج عليه على جهاز كمبيوتر آخر وإدخال كلمة المرور، يمكنك تثبيت الشهادة مع مفتاحها الخاص.
فيما يتعلق بالحذف، يجب توخي الحذر الشديد. في مدير الشهادات نفسه، يؤدي تحديد شهادة واختيار خيار الحذف إلى إزالتها من مخزن الشهادات، مما يجعلها غير متاحة لنظام التشغيل Windows وأي تطبيقات أخرى . في حال ارتكاب خطأ، قد يؤدي ذلك إلى تعطيل المصادقة، أو منع استخدام البرامج، أو حتى التأثير على استقرار النظام.
لذا، يُنصح بعدم حذف شهادات النظام عشوائيًا، والحرص دائمًا على إنشاء نسخة احتياطية مسبقًا ، خاصةً إذا لم تكن متأكدًا من الغرض من كل شهادة. وينطبق الأمر نفسه على شهادات المستخدمين التي لا تزال سارية والتي قد تحتاجها لاحقًا.
البطاقات الذكية، والرموز المشفرة، ومدير البنية التحتية للمفاتيح العامة Bit4id
في العديد من الشركات والمؤسسات العامة، لا تُخزَّن الشهادات على القرص الصلب للحاسوب، بل على بطاقات ذكية أو وحدات تشفير USB . وهذا يُضيف طبقة أمان إضافية، حيث لا يغادر المفتاح الخاص الجهاز المادي أبدًا.
من الأدوات الشائعة لإدارة هذه الأجهزة برنامج Bit4id PKI Manager ، الذي يتواصل مع الرموز والبطاقات لفتحها، وتغيير رمز PIN/PUK، واستيراد الشهادات، وتصدير المفاتيح العامة، وغير ذلك الكثير. يعمل البرنامج افتراضيًا في وضع المستخدم، ولكن يمكنك تفعيل الخيارات المتقدمة باستخدام اختصار لوحة المفاتيح Ctrl + A.
من لوحة الجهاز، يمكنك الاطلاع على معلومات حول القارئ والبطاقة وحالة رمز PIN ورمز PUK، بالإضافة إلى قائمة شهادات المستخدم وشهادات المرجع المصدق المحفوظة . إذا كان رمز PIN مقفلاً أو نسيته، يمكنك استخدام وظيفة فتح رمز PUK، بشرط ألا تكون قد استنفدت الحد الأقصى لعدد المحاولات.
بالإضافة إلى ذلك، يسمح لك مدير البنية التحتية للمفاتيح العامة بتغيير رقم التعريف الشخصي إذا كنت تشك في أن شخصًا آخر يعرفه ، وتغيير رمز PUK، وتسجيل الدخول والخروج من الجهاز، وتحديث المحتوى لعرض الشهادات الجديدة، وإعادة تسمية الجهاز لتحسين التعرف عليه.
يتم استيراد الشهادات إلى البطاقة عادةً باستخدام ملفات بامتداد .p12 أو .pfx تتضمن المفتاح الخاص. يجب عليك تحديد رقم التعريف الشخصي للجهاز، وكلمة مرور ملف PFX، ومعرّف CKA_ID (اختياري) الذي يُفيد بعض تطبيقات PKCS#11.
للتصدير، يتم استخراج المفتاح العام فقط بصيغة .cer ، وليس المفتاح الخاص . يُفيد هذا في مشاركة الشهادة مع جهات خارجية أو تثبيت المفتاح العام عند الحاجة للتحقق من التوقيعات أو عمليات المصادقة. ( راجع مخاطر توصيل محركات أقراص USB غير معروفة ).
عمليات التحقق المتقدمة من الإعدادات وتحميل الشهادات
ستجد أيضًا في شريط أدوات Bit4id PKI Manager اختصارًا لمخزن شهادات Windows ، حيث يمكنك رؤية كيفية نسخ شهادات البطاقة إلى مجلد "الشخصي" الخاص بالمستخدم، إذا تم تمكين هذا التكامل.
تتيح لك لوحة إعدادات البرمجيات الوسيطة ضبط معايير مثل الاستيراد التلقائي لشهادات المرجع المصدق من P12/PFX، وإنشاء السجلات، ومسح ذاكرة التخزين المؤقت للبرمجيات الوسيطة، والتكامل مع واجهة برمجة تطبيقات التشفير/موفر خدمات التشفير من مايكروسوفت . يُعد هذا الخيار الأخير أساسيًا إذا كنت ترغب في أن تتمكن تطبيقات ويندوز (بما في ذلك إيدج أو كروم) من رؤية شهادات الرموز المميزة مباشرةً.
إذا كنت تواجه مشاكل، فمن المستحسن إجراء عدة فحوصات :
- تحقق من ظهور الشهادات في certmgr.msc (المستخدم).
- تأكد من تحميلها في متصفح فايرفوكس (في مخزنه الداخلي)، أو أن متصفحي إيدج أو كروم يمكنهما رؤيتها من قسم الشهادات الخاص بهما.
- تأكد من أن برنامج Adobe Reader يتعرف على المعرفات الرقمية لنظام Windows.
في برنامج Adobe، على سبيل المثال، يمكنك عرض قائمة "معرفات Windows الرقمية" للتأكد من عرض شهادة البطاقة بشكل صحيح. إذا لم تظهر، فقد تكون المشكلة في البرنامج الوسيط، أو قارئ البطاقات، أو رمز PIN، أو إعدادات تكامل النظام.
البرامج المساعدة ومديرو الشهادات المهنية
لا تكفي الشهادات وحدها لتحقيق المعجزات. للاستفادة القصوى منها، تحتاج إلى تطبيقات تستخدمها للتحقق من الهوية، وتوقيع المستندات، والتشفير، أو الاتصال بالخدمات العامة . في إسبانيا، توجد عدة برامج تُعد إلزامية عمليًا.
من جهة، يوجد برنامج FNMT-RCM Configurator الذي يُسهّل عملية إنشاء المفاتيح والحصول على شهادات FNMT. ومن جهة أخرى، هناك برنامج AutoFirma المعروف ، الذي طورته وزارة المالية، والذي يتكامل مع متصفحات ومواقع الحكومة الإلكترونية لتوقيع النماذج والوثائق إلكترونياً.
تعتمد العديد من هذه التطبيقات على بيئة تشغيل جافا (JRE) . ولا يكفي أي إصدار، ففي بعض الأحيان يُنصح باستخدام نطاقات محددة (على سبيل المثال، من الإصدار 8 التحديث 45 إلى إصدارات لاحقة معينة). لذا، يُنصح دائمًا بالتحقق من متطلبات كل بوابة.
توجد أيضًا أدوات مساعدة مثل إدارة شهادات CERES، ووحدات التشفير PKCS#11 ، وبرامج تشغيل خاصة للعمل مع بطاقات التشفير، والتي تضيف التوافق مع Firefox والبيئات الأخرى، أو تسهل تغييرات رقم التعريف الشخصي (PIN) وفتح الشهادات وعرضها.
في البيئات المهنية، حيث تُدار عشرات أو مئات الشهادات (مثل شركات الاستشارات، وشركات الإدارة، ومكاتب المحاماة، وغيرها)، تُستخدم برامج متخصصة مثل DigiCert Certificate Utility لنظام التشغيل Windows أو ADMCert . تتيح هذه البرامج جرد الشهادات، وتطبيق سياسات الاستخدام، والتحكم في من يستخدمها، ومن أين، ولأي غرض، بالإضافة إلى اكتشاف مشاكل التكوين أو تواريخ انتهاء الصلاحية الوشيكة.
باستخدام أدوات كهذه، يمكنك ضبط القواعد بناءً على المستخدمين أو مجموعات Active Directory، أو الجداول الزمنية، أو عناوين IP المصدر، أو التطبيقات التي تستخدم الشهادة. وهذا أمرٌ ضروري للحفاظ على النظام والأمان عندما لا تقتصر الشهادات على مستخدمين محددين فقط.
خدمات شهادات Active Directory وسلطة إصدار الشهادات الداخلية
في بيئات ويندوز المؤسسية، من الشائع جدًا نشر هيئة إصدار شهادات داخلية باستخدام خدمات شهادات Active Directory (AD CS) . يتيح لك هذا إصدار شهادات للمستخدمين، وأجهزة الكمبيوتر، والخوادم، وشبكات VPN، وشبكات Wi-Fi المؤسسية، وتوقيع التعليمات البرمجية الداخلية، وما إلى ذلك، دون الاعتماد دائمًا على هيئة إصدار شهادات خارجية.
يتم التثبيت من خلال إدارة الخادم بإضافة دور خدمات شهادات Active Directory . سيطلب منك المعالج تحديد الخادم، وتحديد دور مرجع التصديق، ودور تسجيل الويب لمرجع التصديق (اختياري)، والذي سيتطلب أيضًا إضافة ميزات مثل IIS.
بعد تثبيت الدور، يجب تشغيل معالج تكوين خدمات شهادات Active Directory. هناك، يمكنك اختيار الأدوار المراد تكوينها (CA وCA Web Enrollment)، ونوع المرجع المصدق (عادةً ما يكون مرجعًا مصدقًا مؤسسيًا)، ونوع الكيان (غالبًا ما يكون المرجع المصدق الجذر إذا كان الأول) . ستحتاج إلى تحديد ما إذا كنت تريد إنشاء مفتاح خاص جديد، وخوارزمية التشفير (يوصى باستخدام SHA-256)، وحجم المفتاح، بالإضافة إلى اسم المرجع المصدق وفترة صلاحية الشهادة الجذرية.
يتضمن التكوين أيضًا مسارات تخزين قاعدة بيانات الشهادات والسجلات . يُنصح بتوثيق هذه المسارات جيدًا، حيث ستحتاج إليها في عمليات النسخ الاحتياطي والاستعادة والترحيل المستقبلية.
بمجرد تكوين CA، يمكنك إصدار قوالب الشهادات، وأتمتة التسجيل عبر GPO ، ونشر شهادات الكمبيوتر والمستخدم في Active Directory، وإنشاء نظام بيئي كامل من الشهادات الداخلية المتكاملة مع نطاقاتك.
بناءً على هذه النظرة العامة، تتطلب إدارة الشهادات وتوقيعات برامج التشغيل في نظام ويندوز فهمًا واضحًا للأساسيات. من الضروري دائمًا تطبيق أفضل الممارسات: عدم مشاركة المفاتيح، وإنشاء نسخ احتياطية، ومراقبة تواريخ انتهاء الصلاحية، وإلغاء الشهادات إذا ساورك الشك في وجود خلل ما، وتجنب حذف أي شيء دون معرفة ماهيته . مع هذه الأسس، يصبح التعامل مع هذا المجال أمرًا بسيطًا وسهلًا، وجزءًا لا يتجزأ من إدارة النظام اليومية.
