شرح الإخفاقات التشفيرية (OWASP A02) — 2026

الإخفاقات التشفيرية (المرتبة الثانية في OWASP Top 10) تحدث حين لا تُحمى البيانات الحساسة بشكل صحيح — لأن التشفير كان غائبًا أو ضعيفًا أو مُستخدَمًا بشكل خاطئ. والنتيجة كشف كلمات المرور أو بيانات الدفع أو المعلومات الشخصية، وغالبًا ما يؤدي ذلك إلى اختراق للبيانات.

الفكرة الجوهرية

يجب حماية البيانات الحساسة أثناء النقل (عند انتقالها عبر الشبكات) وفي حالة السكون (عند تخزينها) معًا. والإخفاق التشفيري هو أي ثغرة في هذه الحماية — والتشفير لا يرحم: فالأخطاء الصغيرة تسبّب إخفاقات تامة.

الإخفاقات الشائعة

• غياب التشفير أثناء النقل — إرسال البيانات الحساسة عبر HTTP عادي بدلًا من HTTPS.
• خوارزميات ضعيفة أو قديمة — استخدام تجزئات مكسورة (MD5، SHA-1) أو إصدارات TLS قديمة.
• تخزين سيئ لكلمات المرور — تخزينها كنص صريح، أو تجزئتها دون ملح ودون خوارزمية بطيئة.
• أسرار مضمّنة أو مكشوفة — مفاتيح وبيانات اعتماد داخل الكود المصدري أو المستودعات.
• إدارة سيئة للمفاتيح — مفاتيح ضعيفة أو مُعاد استخدامها أو مخزّنة بشكل رديء.
• تطوير تشفيرك الخاص — خطأ في الغالب الأعم.

كيف تفعل ذلك بشكل صحيح

1. شفّر أثناء النقل — TLS في كل مكان، وبالإصدارات الحديثة فقط.
2. شفّر البيانات الحساسة في حالة السكون — وأدِر المفاتيح بشكل سليم (استخدم KMS أو مدير أسرار).
3. جزّئ كلمات المرور بشكل صحيح — استخدم خوارزمية قوية وبطيئة ومملّحة (bcrypt أو scrypt أو Argon2). لا تجزئات بسيطة أبدًا.
4. استخدم مكتبات مُدقَّقة — لا تبتكر خوارزميات أو بروتوكولات خاصة بك.
5. لا تخزّن ما لا تحتاجه — أكثر البيانات أمانًا هي التي لم تجمعها أصلًا.
6. أبقِ الأسرار خارج الكود — استخدم متغيّرات البيئة أو مديري الأسرار، ولا تودِع المفاتيح أبدًا في المستودع.

لماذا يهمّ هذا

حين يفشل هذا، يكون الضرر مباشرًا: يمضي المهاجمون ببيانات اعتماد ومعلومات شخصية قابلة للقراءة. التشفير القوي هو ما يحوّل قاعدة بيانات مسروقة إلى ضجيج بلا فائدة.

كيف يُكتشف

يفحص المختبِرون النقل غير المشفَّر، والشيفرات الضعيفة، والأسرار المكشوفة، وسوء التعامل مع كلمات المرور — ضمن أي اختبار اختراق. وأدوات مثل Wireshark تكشف حركة المرور غير المشفّرة على الفور.

ذات صلة: إخفاقات المصادقة، وأخطاء الإعداد الأمني. تعلّم كل ذلك مجانًا في أكاديمية Pentevo.