أخطاء SSL ليست أبداً مشهداً جميلاً. قد تصادف أحدها في أكثر الأماكن غير المتوقعة، حيث لا يوجد أحد “محصن” منها، حتى الشركات القوية مثل Microsoft. هذا الأسبوع، لم يتمكن مستخدمو متصفح الويب Mozilla Firefox من الوصول إلى موقع Microsoft.com ونطاقاته الفرعية. أشارت التقارير في جميع أنحاء العالم إلى أن الخطأ نابع من فايرفوكس نفسه، حيث يمكن الوصول إلى جميع مواقع مايكروسوفت على الويب من خلال متصفح كروم والمتصفحات الأخرى.
كشفت نظرة سريعة على سجل الأخطاء والرسالة المصاحبة لها عن الجاني:
“MOZILLA_PKIX_ERRROR_OCSP_RESPONSE_FOR_CERT_MISSING” والرسالة “لا تتضمن استجابة OCSP حالة الشهادة التي يتم التحقق منها”، مما يساعد في تعقب سبب المشكلة.
يرمز OCSP إلى بروتوكول حالة الشهادة عبر الإنترنت، وهي طريقة للمتصفحات لتحديد صلاحية شهادة SSL بدلاً من الاعتماد على إشارات الإبطال التقليدية. ومع ذلك، فإن OCSP الأصلي به بعض أوجه القصور، والتي تم تحسينها من خلال ميزة تسمى تدبيس OCSP .
باستخدام تدبيس OCSP، يقوم خادم الويب بالاستعلام من المرجع المصدق (CA) عن حالة شهادة SSL، ويقوم المرجع المصدق (CA) بتقديم استجابة آمنة للغاية مختومة رقمياً وموقوتة. والآن، عندما يتصل خادم الويب بمتصفح، فإنه يربط الطابع الزمني الموقّع بشهادة SSL، مما يجعل عملية التحقق أسرع. فبدلاً من الوصول إلى المرجع المصدق (CA)، يتحقق المتصفح من الطابع الزمني للخادم، وبما أنه من مرجع مصدق موثوق به، فإنه يثق بالشهادة.
يتم تمكين تدبيس OCSP افتراضيًا في Firefox منذ عام 2013. إليك أفكار دانا كيلر من موزيلا حول كيفية تحسين تدبيس OCSP لبروتوكول OCSP:
يعمل تدبيس OCSP على حل هذه المشاكل من خلال جعل الموقع نفسه يطلب بشكل دوري من المرجع المصدق المرجعي المصدق (CA) تأكيدًا موقّعًا للحالة وإرسال هذا البيان في المصافحة في بداية اتصالات HTTPS الجديدة. يأخذ المتصفح تلك الاستجابة الموقعة والمدبسة ويتحقق منها ويستخدمها لتحديد ما إذا كانت شهادة الموقع لا تزال جديرة بالثقة. إذا لم يكن الأمر كذلك، فإنه يعلم أن هناك خطأ ما ويجب عليه إنهاء الاتصال. بخلاف ذلك، فإن الشهادة جيدة ويمكن للمستخدم الاتصال بالموقع.
لقد كان تدبيس OCSP يعمل على النحو المنشود طوال هذه السنوات، ولكن يبدو أن هناك خطأً خطأ أظهر وجوده بعد 8 سنوات من طرحه. ما الذي تسبب في ذلك؟
ما سبب خطأ التدبيس في برنامج OSCP؟
في عام 2013، لم يتعرف Firefox بعد على عائلة تجزئات SHA-2، مثل SHA-256، في حقول CertID الموجودة في استجابات OCSP التي يتلقاها. على هذا النحو، فإن أي شهادة تحتوي على تجزئة SHA-256، على عكس SHA-1 الأقدم، تُعتبر غير صالحة وتتسبب في قيام فايرفوكس بإنهاء الاتصال بالموقع الإلكتروني.
كيفية إصلاح خطأ Firefox SSL؟
وإلى أن تحل موزيلا هذه المشكلة، يجب عليك تعطيل تدبيس OCSP في فايرفوكس للوصول إلى مواقع مايكروسوفت على الويب. إليك كيفية القيام بذلك:
- اكتب حول:تكوين في شريط العناوين واضغط على Enter.
- انقر على قبول المخاطر والمتابعة بعد زر المتابعة بحذر رسالة التحذير.
- في اسم تفضيل البحث اكتب “stapl”.
- سيظهر الإعدادان التاليان:
security.ssl.ssl.enable_ocsp_must_must_staple true
security.ssl.ssl.enable_ocsp_stapling true - انقر نقرًا مزدوجًا على كل من هذه الإعدادات لتبديلها إلى خطأ.
- تدخل التغييرات حيز التنفيذ الفوري. يجب عليك الآن الوصول إلى موقع Microsoft على الويب بدون مشكلة.
تحديث فايرفوكس
كما هو متوقع، أصلح فايرفوكس الخطأ بسرعة في الإصدار 95.01 . إليك ما تقوله ملاحظات الإصدار:
تم إصلاح رسائل الخطأ MOZILLA_PKIX_ERROR_OCSP_RESP_RESPONSE_FOR_CERT_MISSING المتكررة عند محاولة الاتصال بنطاقات microsoft.com المختلفة.
إذا واجهت أخطاء أخرى في اتصال SSL أثناء التصفح، وكنت تبحث عن حل سريع، فراجع صفحتنا المخصصة لأخطاء SSL. تقدم دروسنا التعليمية حلولاً سهلة لمشاكل كروم وفايرفوكس الشائعة.
وفِّر 10% على شهادات SSL عند الطلب اليوم!
إصدار سريع، وتشفير قوي، وثقة في المتصفح بنسبة 99.99%، ودعم مخصص، وضمان استرداد المال خلال 25 يومًا. رمز القسيمة: SAVE10
