المركز الوطني للتصديق الرقمي يعقب على مقال: هل الحكومة الالكترونية لدينا مخترقة؟

سعادة رئيس تحرير جريدة «الرياض» المحترم..
السلام عليكم ورحمة الله وبركاته..
إشارة إلى المقال الذي تم نشره في جريدتكم الغراء في العدد رقم (16018) بتاريخ 11 جمادى الآخرة 1433ه بعنوان «هل الحكومة الالكترونية لدينا مخترقة؟» للكاتب د. عبدالرحمن بن خالد الجبري، فقد تحدث الكاتب عن عدد من الأمور الهامة في مجال أمن المعلومات ونشكره على اهتمامه ونقدر ما تفضل به من نقاط، حيث أشار إلى أهمية طرق توليد الأرقام السرية وحفظ الشهادات الرقمية ووسائلها، وتطرق إلى البنية التحتية للمفاتيح العامة وأشار إلى أن الجهة المكلفة رسمياً بمهمة إنشائها وتشغيلها هي المركز الوطني للتصديق الرقمي التابع لوزارة الاتصالات وتقنية المعلومات، الذي يتمثل دوره في تقديم منظومة متكاملة لإدارة البنية التحتية للمفاتيح العامة في المملكة، تلك البنية التي صممت لتعتمد عليها كافة التعاملات الالكترونية كالتجارة الالكترونية والحكومة الالكترونية والتعليم عن بعد والصحة الالكترونية وغيرها، لما تقدمه من سرية وموثوقية وسلامة تامة للمعلومات.
وبخصوص ما ذكره الكاتب: (من اللافت للانتباه أن النظامين في كل من الجهتين (إضافة إلى أنظمة مشابهة في جهات أمنية حساسة) يقومان بتوليد هذه الشهادات الرقمية الخاصة بالمواطنين أو الشركات من خلال أنظمة مستوردة تتكون من أكثر من جزء ومن شركات (..) لا تعتمد على مصادر الكود المفتوح)، فنود توضيح التالي:
إن الكثير من التقنيات المتقدمة تعتمد على منتجات شركات عالمية ولا سبيل للأسف من الاستغناء عنها في الوقت الراهن، مثلها مثل أنظمة وأجهزة الشبكات ونظم تشغيل الحاسبات وغيرها من التطبيقات، لا سيما في مجال تقني دقيق ومتقدم كالشهادات الرقمية والتوقيع الالكتروني. بل في رأينا أن من الأفضل استخدام تقنيات مطابقة لأعلى المواصفات والمعايير الفنية والأمنية العالمية ومجربة من قبل عدد كبير من الدول بدلاً من استخدام تقنيات محلية تم تطويرها بجهود شخصية لم تخضع لأي اختبارات عالمية للتأكد من مطابقتها للمواصفات والمعايير العالمية وقد يتعذر ربطها بالأنظمة الحاسوبية الأخرى وتصعب إدارتها. كما أن معظم التقنيات المتقدمة تحتاج إلى تطوير وصيانة مستمرة وإلى برامج خاصة لإدارتها ومتابعة ما يستجد من تطورات بشأنها، وهو الشيء الذي لا يتوفر في كثير من التقنيات المحلية بالرغم من حماس ونشاط بعض الباحثين وصدق الحس الوطني لديهم.
كما أن الكاتب تطرق إلى قضية عدم استخدام الجهات الأمنية الحساسة في المملكة لبرامج مفتوحة المصدر في عملية إصدار وإدارة الشهادات الرقمية، وهذه مسألة ينطبق عليها ما ذكر أعلاه من حيث ضرورة الاعتماد في المشاريع الوطنية على تقنيات عالمية مرخصة ومجربة والتي في الغالب ليست مفتوحة المصدر، كما أن هناك جدلاً مستمراً حول ما إذا كانت البرامج مفتوحة المصدر ترفع من المستوى الأمني أم تضعفه، وعن مدى ملاءمتها في ظل عدم وجود جهات قوية راعية لتطويرها ودعمها فيما لو تم الاعتماد عليها في بنية تحتية وطنية.
إلا أننا نتفق مع الكاتب في أهمية الضبط والسيطرة على ما يقدم من منتجات رقمية حساسة تخص أمن المعلومات، مثل الشهادة الرقمية المستخدمة في التحقق من الهوية وفي التوقيع الالكتروني، وهو ما تم بالفعل من خلال اتفاقية فنية - أمنية أبرمت بين المركز الوطني للتصديق الرقمي ومدينة الملك عبدالعزيز للعلوم والتقنية، تم من خلالها تطوير جهاز وطني أمني يقوم بتوليد ما يعرف بالأرقام العشوائية الحقيقية التي يعتمد عليها في إصدار مفاتيح الشهادات الرقمية، ويخفر المركز بقيامه مؤخراً بتوظيف هذا الجهاز الوطني في عملية توليد الأرقام العشوائية على أيد طاقم فني سعودي من خبراء أمن المعلومات والتشفير، وبهذه الطريقة استطعنا بفضل الله الحصول على أفضل التقنيات العالمية وفي الوقت نفسه استطعنا أن نسيطر على العملية الأساسية لإصدار الشهادات الرقمية بحيث تضخع العملية العشوائية التامة المطلوبة، ودون الاعتماد على العشوائية المتوفرة في الجهاز المصنع خارجياً.
وبهذا الصدد فقد أتم المركز القيام بعدد من المهام الضرورية لزيادة الثقة في خدمات المركز ومنها ما يلي:
1 - تحديث الشهادات الجذرية لكافة مراكز التصديق (الجذرية والفرعية) بما يتناسب مع المقاييس العالمية في مجال التشفير وأمن المعلومات، حيث انتهى المركز مؤخراً في شهر أبريل من عام 2012م من تحديث الشهادات الجذرية للتوافق مع التوصيات العالمية في هذا المجال، باستخدام خوارزميات الاخترال (SHA-256) ونظام التشفير (RSA-2048)، والجدير بالذكر أن قليلاً من مراكز التصديق في العالم لديه مثل هذه التقنية حالياً.
2 - جميع وحدات تخزين وتوليد الشهادات الأمنية التي يتم استخدامها في المركز حاصلة على شهادات قياسية عالمية معروفة تثبت توافقها مع المتطلبات والمعايير الأمنية العالمية، وهذه الشهادات القياسية العالمية يتم الحصول عليها من عدد محدود للغاية من المعامل المرخصة حول العالم وليست مرتبطة بدولة معينة، وجميع تفاصيل الحصول عليها موضحة ومفصلة بجميع الاختبارات الواجب فحصها، ولا تقتصر الاختبارات على العتاد، بل يتم اختبار خوارزميات التشفير والتأكد من صحتها ومطابقتها لأعلى المعايير والمستويات العالمية والتي ينصح ويوصي بها خبراء التشفير والمراكز البحثية حول العالم. إضافة إلى ذلك أجرى المركز اختبارات داخلية متعددة لفحص وحدات الحفظ الأمنية المستخدمة والتأكد من سلامتها بطاقم عمل وطني متكامل.
3 - يقوم المركز الوطني للتصديق الرقمي بتنفيذ برنامج «جاهز» لاختبار وتأهيل حلول أنظمة التشفير والتخزين للشهادات الرقمية ولا تسمح أنظمة المركز باستخدام أي منتجات حفظ أمنية لم يتم اختبارها وتأهيلها من قبل برنامج «جاهز».
أخيراً إن المركز الوطني للتصديق الرقمي لديه اتفاقية أخرى مع مدينة الملك عبدالعزيز للعلوم والتقنية لمشروع تطوير نظام أمني وطني متكامل لإدارة وحفظ وحماية مفاتيح التشفير، سيكون معتمداً بإذن الله من قبل معامل الاختبارات العالمية ومتوافقاً مع أعلى المواصفات والمعايير المعمول بها لاستخدامه مستقبلاً في البنية التحتية للمفاتيح العامة، مما يخدم أحد الأهداف التي يسعى المركز إلى الوصول إليها ألا وهو نقل المعرفة والتقنية في مجال إدارة وتوليد الشهادات الرقمية وتقديم خدمات الكترونية أمنية متكاملة وعالية الموثوقية.
د. عادل السعيد
مدير إدارة الأبحاث والتطوير
المركز الوطني للتصديق الرقمي
وزارة الاتصالات وتقنية المعلومات