ديـفي وهيلمان يُعدّان من الآباء المؤسسين للتشفير الحديث بالمفتاح العام، وأفكارهما تقف اليوم في قلب كثير من الضوابط التقنية التي تعتمد عليها أنظمة إدارة أمن المعلومات وفق ISO/IEC 27001:2022. بروتوكول Diffie–Hellman لتبادل المفاتيح غيّر قواعد اللعبة في تأمين القنوات غير الموثوقة، وهو ما يجعل الحديث عنهما مدخلاً ثرياً لشرح كيف تُترجم مبادئ التشفير إلى ضوابط ومعايير في الملحق A لنظام إدارة أمن المعلومات.

من هما ويتفيلد ديفي ومارتن هيلمان؟

ويتفيلد ديفي ومارتن هيلمان باحثان أمريكيان في مجال التشفير والاتصالات الآمنة، قدّما في سبعينيات القرن الماضي الورقة التي عرّفت للعالم فكرة “التشفير بالمفتاح العام” وبروتوكول Diffie–Hellman لتبادل المفاتيح عبر قناة غير آمنة. قبل عملهما، كان توزيع المفاتيح السرية مشكلة أساسية؛ فالأطراف تحتاج إلى قناة آمنة مسبقاً لمشاركة المفاتيح، مما جعل التشفير محدوداً في سياقات عسكرية أو مغلقة، ومع ظهور بروتوكولهما أصبح بالإمكان إنشاء سر مشترك عبر قناة مراقَبة علناً، مما مهد الطريق لتشفير الإنترنت والبريد الإلكتروني والـ VPN وغيرها من التطبيقات الحديثة.

جوهر الفكرة: تبادل مفاتيح آمن في قناة غير آمنة

بروتوكول Diffie–Hellman يقدم حلاً لمعضلة “كيف ننشئ مفتاحاً مشتركاً دون أن نلتقي مسبقاً في قناة آمنة”، وذلك باستغلال صعوبة مسائل رياضية مثل اللوغاريتمات المنفصلة في مجموعات كبيرة. الفكرة الأساسية هي أن كل طرف يحتفظ بسرّ خاص ويشارك قيمة مشتقة منه علناً، ثم يستخدم هذه القيم المتبادلة للوصول إلى مفتاح مشترك لا يمكن للمستمع الخارجي استخلاصه عملياً ضمن حدود قدرات الحوسبة المعقولة، ما دام يتم اختيار المعلمات بشكل سليم. هذه الآلية لا تمنع فقط التجسس السلبي، بل تشكل حجر أساس لبناء قنوات TLS/SSL والـ IPsec ووسائل حماية أخرى تعتمد عليها الشبكات الحديثة لتأمين البيانات أثناء النقل.

التشفير بالمفتاح العام وضوابط ISO/IEC 27001:2022

فلسفة التشفير بالمفتاح العام عموماً وبروتوكول Diffie–Hellman خصوصاً تنعكس بشكل مباشر في متطلبات ISO/IEC 27001:2022 المتعلقة بحماية سرية وتكامل المعلومات أثناء النقل والتخزين. في البند 6.1.3 حول معالجة مخاطر أمن المعلومات، يشير المعيار إلى ضرورة اختيار ضوابط مناسبة لمعالجة المخاطر المحددة، ثم مقارنتها بضوابط الملحق A لضمان عدم إغفال ضوابط أساسية، ومن بين هذه الضوابط ما يتعلق بالتشفير وإدارة المفاتيح. في الملحق A، تُشير الضوابط مثل A.8.24 (استخدام التشفير) وA.8.25 (إدارة المفاتيح، وفق إصدار 27002:2022 الذي يستند إليه الجدول المرجعي في 27001) إلى ضرورة تصميم واستخدام ضوابط تشفيرية مناسبة وفق مستوى المخاطر، بما يشمل اختيار الخوارزميات، أطوال المفاتيح، وبروتوكولات التبادل الآمن.

من النموذج الرياضي إلى ضوابط عملية في الملحق A

عمل ديفي وهيلمان لا يظهر بالاسم في ISO/IEC 27001، لكنه حاضر في الخلفية التقنية لكل متطلب يتحدث عن تشفير قنوات الاتصال وإدارة المفاتيح السرية. فحين تطبق منظمة ضوابط تتعلق بحماية البيانات المنقولة عبر الشبكات (كما في ضوابط أمن الشبكات في الملحق A والقواعد العامة للتشفير)، فإنها عملياً تستفيد من بروتوكولات مثل TLS التي تستخدم آليات تبادل مفاتيح مبنية على Diffie–Hellman أو مشتقاتها الحديثة مثل ECDHE. كما أن متطلبات إدارة دورة حياة المفاتيح – إنشاؤها، توزيعها، تخزينها، تدويرها، وإلغاؤها – تعكس إدراكاً بأن قوة التشفير لا تعتمد على الخوارزمية فحسب، بل على كيفية إدارة المفاتيح التي تسمح بفك التشفير أو تمنعه، وهي نقطة محورية في أعمالهما وفي المدارس التي تبعتهما.

لماذا يهم دمج فكر ديفي وهيلمان في تطبيق 27001؟

قراءة ISO/IEC 27001 بعين ديفي وهيلمان تساعد مسؤولي أمن المعلومات على رؤية أن الضوابط التقنية في الملحق A ليست “صندوقاً أسود”، بل ترجمة عملية لأفكار رياضية عميقة هدفها حل مشكلة جوهرية: كيف نضمن سرية البيانات في عالم لا يمكن الوثوق بالبنية التحتية فيه بالكامل. هذا الوعي يجعل اختيار الضوابط التشفيرية جزءاً من استراتيجية إدارة المخاطر، لا قراراً تقنياً معزولاً؛ فالمسؤول لا يختار مجرد “استخدام التشفير” بل يختار نمطاً من التشفير وإدارة المفاتيح يناسب طبيعة المخاطر، نوع الأصول، واحتياجات الأطراف المعنية كما يطلب المعيار في البنود 4.1 و4.2 و6.1.2. وبهذا المعنى، يصبح تقديم ديفي وهيلمان كـ “آباء للأمن التشفيري” في سلسلة مقالاتك خطوة طبيعية ومكملة لرسم الصورة الكاملة: من الفكر الرياضي إلى الضوابط المعيارية، ومن المعادلات إلى نظام إدارة أمن معلومات متكامل وفق ISO/IEC 27001:2022.