هل نظام الحكومة الإلكترونية لدينا مخترق؟

توارد هذا السؤال إلى خاطري أثناء الاستماع إلى حلقة نقاش أثناء مؤتمر RSA-2012 حيث أثير موضوع مرتبط بهذا السؤال، وهذا المؤتمر يعتبر من أهم المؤتمرات المتخصصة في تطبيقات علم التشفير وأمن المعلومات ومنها بطبيعة الحال البنية التحتية للحكومة الإلكترونية، تنبع أهميه هذا المؤتمر من أهمية العلماء المميزين في مجال أمن المعلومات المشاركين فيه، حيث درج هذا المؤتمر وبصورة سنوية بعقد حلقة نقاش عن المستجدات في علم التشفير وتطبيقاته يشارك فيها كبار العلماء في هذا المجال ومن ضمنهم مبتكري نظام التشفير RSA المعروف («رفست» و«شامير» و«أدلمان») والذي يستخدم في أغلب أنظمة الحكومة الإلكترونية حول العالم، إضافة إلى مبتكري نظام التشفير DH («ديفي» و«هيلمان») وهو نظام آخر مهم في هذا المجال وعلماء آخرون ينتمون إلى مؤسسات مختلفة بينها وكالة الأمن القومي الأمريكية (NSA).
تطرقت حلقة النقاش لهذا العام لإحدى الدراسات الحديثة التي أثارت كثيرا من علامات الاستفهام حول طرق توليد الشهادات الرقمية المستخدمة في تطبيقات الحكومة الإلكترونية حول العالم، خصوصاً مفاتيح التشفير المرتبطة بهذه الشهادات، ومكامن ضعفها واعتبارها مدخلاً خطراً للتجسس والجريمة المعلوماتية سواء كان هذا الضعف متعمداً أو عفوياً.
لا شك أن هذا العصر هو عصر المعلومة ومن يملكها يملك أحد أهم مفاتيح القوة والحفاظ عليها هو جزء مهم من منظومة الأمن الوطني.
لعل من أهم التقنيات الحديثة المهمة للحفاظ على سرية ومصداقية المعلومة هي تقنية البنية التحتية للمفاتيح العامة (PKL) فهي المسؤولة عن توليد الهويات الرقمية للأفراد والمؤسسات ، وتعتبر لذلك المنطق الأساس الآمن ومصداقية التعاملات الإلكترونية والتعريف بهوية أصحاب هذه التعاملات عبر الانترنت، والعمل على إنجاز معاملاتهم إلكترونياً من خلالها، فدورها في ذلك مشابه لدور بطاقة الأحوال المألوفة التي يعتمد عليها مجتمعنا في جل معاملاته الورقية، عبر التعرف على هوية حاملها وبالتالي حصوله على الاستحقاقات المرتبطة بذلك.
على الطرف الآخر، تم مؤخراً إطلاق الإصدار الجديد من بطاقة الهوية الوطنية حيث يحتوي هذا الإصدار على معلومات البطاقة القديمة، إضافة إلى قطعة إلكترونية صغيرة في الواجهة الخلفية منها، وهي عبارة عن معالج رقمي (حاسوب) صغير يكون حاضناً لملف إلكتروني يسمى الهوية الرقمية (شهادة رقمية إضافة إلى مفاتيح سرية) يقوم هذا المعالج ومن خلال هذه الشهادة بعمليات التوقيع الالكتروني بإذن من حامل البطاقة بطبيعة الحال (مثال إدخال كلمة سر خاصة بحامل البطاقة أو بصمته أو غير ذلك) إضافة إلى بعض الخدمات الأخرى.
وقد يتساءل القارئ هنا إذا كانت الأجوال المدنية هي المسؤولة عن إصدار بطاقة الأحوال فمن هو المسؤول عن إصدار الهوية الرقمية؟
هناك في الوقت الحاضر جهتان في المملكة تقومان بتوليد الشهادات الرقمية وإصدارها هما: المركز الوطني للتصديق الرقمي (التابع لوزارة الاتصالات وتقنية المعلومات وهي الجهة المكلفة رسمياً بذلك)، إضافة إلى مركز المعلومات الوطني بوزارة الداخلية.
من اللافت للانتباه أن النظامين في كل من الجهتين (إضافة إلى أنظمة مشابهة في جهات أمنية حساسة) يقومان بتوليد هذه الشهادات الرقمية الخاصة بالمواطنين أو الشركات من خلال أنظمة مستوردة تتكون من أكثر من جزء ومن شركات (إنترست الكندية وسيف نت الأمريكية) لا تعتمد على مصادر الكود المفتوح، مما يثير كثيرا من علامات الاستفهام والقلق والتعجب حول اتخاذ قرارات بهذا الحجم لاعتماد مثل هذه الأنظمة كبنية تحتية للحكومة الإلكترونية لدينا، هذا مع العلم أن لدينا في المملكة من القدرات ما يسمح ببناء هذه الأنظمة كاملة أو على الأقل الأجزاء الحساسة منها. قد يكون الجانب التشغيلي والخدمي مهماً، لكن هذا لا يبرر الاعتماد على مثل هذه المنتجات، فالجانب الأمني لا شك أكثر أهمية إن لم يكن الأهم، ومن الغريب والمؤسف حقاً في هذا المقام أن تجد أن بعض جهاتنا الأمنية الحساسة تستخدم مثل هذه الأنظمة.
فهل مثل هذه الأنظمة آمنة؟
لا شك أن طريقة ومصادر توليد المفاتيح المستخدمة في الشهادات الرقمية هي مصدر القلق الرئيس في هذا الجانب كما أشار العالم «رفست» أثناء هذا المؤتمر، فمن السهل على شركة أو جهة معينة توليد شهادة رقمية يصعب على غير مصممها كسرها، والذي - أي المصمم - يستطيع كسرها بوقت وجيز من خلال معرفته بأسرار عملية التوليد. تجدر الإشارة هنا إلى أن كسر مثل هذه الشهادة يعني إمكان توليد نسخة أخرى تمكن حاملها من التنصت على مراسلات الطرف الأصلي أو تقمص شخصيته ولا داعي لتفصيل ما ينتج عن ذلك من أضرار.
الإجابة على هذا السؤال وبكل تأكيد، هي أنه لا يوجد ضمان بذلك. وفي الحقيقة هناك هاجس أمني، ولعل الإيجابي في هذا الشأن أن الوقت قد يكون غير متأخر لتدارك المشكلة وحلها، ولكن من خلال إحالة الأمر للمختصين والقدرات الوطنية في هذا المجال لإيجاد الحلول الفنية المناسبة بدلاً من تركه للاجتهادات وما ينتج عن ذلك من أخطاء قد تكون قاتلة، وما قد يترتب عليه لاحقاً من الدخول في حلول ترقيعية غير مناسبة، وتوابع ذلك من هدر للوقت والجهد والمال.
*أستاذ التشفير - جامعة الملك سعود