حزم تشفير TLS: سجل آيانا كاملًا

ما حزمة تشفير TLS؟

حزمة التشفير مجموعة مسمّاة من الخيارات المعمّاتية يتفق عليها عميل TLS وخادمه أثناء المصافحة: كيف يُنشئان مفتاحًا مشتركًا، وكيف يتوثّق كل منهما من الآخر، وكيف يُعمّيان البيانات التالية ويوثّقانها. ولكل مجموعة معرِّف من بايتين، وتتولى آيانا سجلّها.

يضم هذا السجل 448 مدخلًا، منها 356 حزمة مسمّاة، والبقية مدَيات غير مخصَّصة وقيم محجوزة. وتُقرأ الأسماء كأنها مواصفة لأنها كذلك بالفعل: فـTLS_ECDHE_RSA_WITH_AES_128_GCM_SHA256 تقول ديفي-هيلمان عابرًا على منحنٍ إهليلجي لتبادل المفاتيح، وRSA للتوثّق، وAES-128 بنمط GCM للبيانات، وSHA-256 للمصافحة. وقد اختصرها TLS 1.3: أزال من الاسم تبادل المفاتيح والتوثّق، فصار TLS_AES_128_GCM_SHA256 يسمّي حماية السجلات وحدها.

ويحمل السجل كذلك عمودًا اسمه Recommended، ومن أجله وُجدت هذه الصفحة. فكل جدول تكاد تجده ينسخ ذلك العمود على هيئة علامة صح أو خطأ. وله أربع قيم، والفرق بين اثنتين منها هو تحديدًا ما يخطئ فيه الناس.

طريقة الاستخدام

1. الصق معرِّفًا. تصلح أي كتابة: 0x13,0x01 كما يكتبه السجل، أو 1301 من التقاط حزم، أو 13 01 أو 13:01 من ملف إعدادات. تحصل على اسم الحزمة ووسمها وهل يجوز لـDTLS استعمالها وروابط المعايير التي تعرّفها.
2. أو ابحث بالاسم. اكتب CHACHA20 أو GCM أو رقم معيار. ويعرض الجدول أدناه الحزم المسمّاة افتراضيًّا، ومربع اختيار واحد يعيد معها المداخل المحجوزة وغير المخصَّصة.
3. واقرأ الوسم بوصفه تصريحًا لا درجة. تشرح كل نتيجة معنى حرفها بالألفاظ التي يستعملها المعيار المعرِّف له، لأن الصيغة المختصرة هي ما يضلّل.

عمود Recommended له أربع قيم

أنشأ المعيار RFC 8447 هذا العمود، ثم عدّله RFC 9847 في كانون الأول 2025 ليحمل أربع قيم. فـY تعني موصى بها، وتغييرها في أي اتجاه يقتضي إجراءً معياريًّا من IETF. وD تعني غير مستحسَنة، ويصفها RFC 9847 بأنها وسمٌ لخوارزمية تعمية ضعيفة، أو لآلية قد تسبب مشكلات في التوافق عند النشر. أما الفراغ فيُستعمل للقيم غير المخصَّصة أو المحجوزة.

وN هي المضلِّلة. فبألفاظ المعيار نفسه تعني أن IETF لم يقيّم البند ولم يصدر عنه رأي في مدى ملاءمته، وينص صراحةً على أن هذا لا يعني بالضرورة أن الآلية معيبة، بل أنه لا يوجد إجماع. فـN غياب رأي، وهي ما يناله افتراضًا كل ما لم يمرّره أحد عبر العملية.

وهذا التمييز هو بعينه سبب إضافة D. فقبل وجودها كانت N تحمل المعنيين معًا: لا شيء يُقال، وهذه فكرة سيئة. وكان الفصل بينهما غرض تعديل 2025، ثم نقل RFC 10015 في تموز 2026 كتلةً كبيرة من طرائق تبادل المفاتيح من N إلى D. فأي جدول نُشر قبل هذين التاريخين يخالف هذا الجدول، والمخالفة ليست خطأ طباعيًّا.

وبالعدّ اليوم: من الحزم المسمّاة الـ356، أربع عشرة موصى بها، و248 غير مستحسَنة، و94 بلا رأي من IETF. أي أن ما دون أربعة بالمئة يحمل Y، وتلك المجموعة هي أساسًا حزم TLS 1.3 مع حزم ECDHE ذات التعمية المُوثَّقة.

الحروف لا ترتّب القوة

وهذا هو الزوج الذي يحسم الأمر: TLS_RSA_WITH_3DES_EDE_CBC_SHA — بلا سرّية تامة للأمام، وبمعمّاة كتلية من 64 بتًّا، وبخوارزمية تقاعدت منذ زمن — موسومة بـD. وTLS_ECDHE_RSA_WITH_AES_128_CBC_SHA — بتبادل مفاتيح عابر وبـAES — موسومة بـN.

فإن قرأت العمود ترتيبًا قال لك إن حزمة 3DES أحسن سمعةً من الأخرى، وهذا سخف. وإن قرأته على وجهه قال شيئًا آخر تمامًا: أن IETF استنكر الأولى صراحةً، ولم يصدر عنه في الثانية رأي قط. فهذه تصريحات عن مسار المعايير لا قياسات لقوة التعمية، ولا يحوّل أي قدر من غضّ الطرف إحداهما إلى الأخرى.

ولهذا تفصّل الأداة المعنى في كل نتيجة بدل عرض شارة، فالشارة ترتيبٌ شئت أم أبيت.

المداخل التي ليست حزمًا

تسعة وستون مدخلًا مدَياتٌ غير مخصَّصة، وسبعة محجوزة، لكن ستة عشر منها تستحق أن تُعرف واحدًا واحدًا: هي قيم GREASE التي حجزها RFC 8701، ووُجدت كي لا تعني شيئًا. ومعرِّفاتها كلها على هيئة 0x0A,0x0A و0x1A,0x1A وهكذا صعودًا، ويرسلها العملاء عمدًا متوقّعين أن تتجاهلها الخوادم.

والغاية منع البروتوكول من التحجّر. فلو لم تر التنفيذات إلا القيم الموجودة اليوم، لبدأ بعضها في صمت يرفض ما عداها، ولصار الامتداد الحقيقي التالي غير قابل للنشر. وإرسال قيم لا تعني شيئًا يُبقي كل تنفيذ أمينًا في تجاهل ما لا يعرفه. والبحث عن واحدة منها هنا يعيدها بوصفها GREASE لا مجهولة، لأن من يجد 0x1A,0x1A في التقاط حزم يستحق جوابًا.

ما لن تفعله هذه الصفحة

لن تخبرك بأي الحزم تفعّل. فذلك يتوقف على ما يدعمه عملاؤك، وعلى نظام الامتثال الذي تخضع له، وعلى ما تنفّذه مكتبة TLS لديك فعلًا، والسجل لا يجيب عن أي من هذه الأسئلة. إنما يسجّل ما قاله IETF في كل مدخل، وتنقل هذه الصفحة ذلك بأمانة بدل تحويله إلى إعداد تلصقه في مكان ما.

وهي كذلك لقطة زمنية. فالسجل يكتسب مداخل والوسوم تتغيّر، واثنان من المعايير الثلاثة التي تعرّف هذا العمود عمرهما أقل من سنة، وفي ذلك دلالة على حيويته. فما تقرؤه هنا عن حزمة بعينها يستحق التأكد منه لدى آيانا قبل أن يدخل في سياسة.

وأخيرًا، تسجيل الحزمة لا يقول شيئًا عن دعم برمجيتك لها، وكونها موصى بها لا يقول شيئًا عن سلامة بقية إعداداتك. فمعظم مشكلات TLS الحقيقية شهاداتٌ وإصداراتُ بروتوكول وأحجامُ مفاتيح، لا قائمة حزم التشفير.

لماذا هي مجانية؟

السجل كله بضعة كيلوبايتات تُشحن مع الصفحة ويجري البحث فيها داخل متصفحك. لا يُرفع شيء مما تكتبه، ولا يُسجَّل شيء، ولا حساب عليك إنشاؤه.

بلا تسجيل، وبلا حدود، وبلا علامة مائية على أي شيء تنسخه.