د. فهد عبد الله الحويماني مدير المركز الوطني للتصديق الرقمي

1. دور المفاتيح العامة في مجال الحكومة الإلكترونية الحكومة الإلكترونية – خطوات نحو التطبيق اللقاء السنوي الثاني لمدراء إدارات تقنية المعلومات في القطاع الحكومي 7-9 ديسمبر 2003م Dr. Fahad Al-Hoymany King Abdulaziz City for Science & Technology hoymany@isu.net.sa د. فهد عبد الله الحويماني مدير المركز الوطني للتصديق الرقمي مدينة الملك عبد العزيزللعلوم والتقنية

2. المواضيع • لماذا نحتاج لبنية المفاتيح العامة PKI؟ • الجهات العاملة في مجال البنية الأساسية للتعامل الإلكتروني. • كيفية عمل التوقيع الإلكتروني. • تساؤلات حول البنية التحتية للمفاتيح العامة. • استعراض لمحتويات نظام التعامل الإلكتروني. • قواعد الشهادة الرقمية CP، وإجراءات التصديق الرقمي CPS. • دور مدينة الملك عبدالعزيز للعلوم والتقنية. • الخاتمة. د. فهد عبدالله الحويماني

3. البنية التحتية للمفاتيح العامة لماذا نحتاج إليها؟ في غابة الإنترنت، من الصعب معرفة من على الطرف الآخر!! د. فهد عبدالله الحويماني

4. البنية التحتية للمفاتيح العامة أحد ركائز منظومة التعامل الإلكتروني • لكي نتمكن من مزاولة الأعمال الإلكترونية (حكومة إلكترونية، تجارة إلكترونية، تعليم عن بعد، الطب الاتصالي، وغيرها) فنحن بحاجة إلى توفير أربع بنى تحتية هامة، وهي: • المكان(البنية التحتية للاتصالات)خطوط الاتصال وشبكات المعلومات تقوم بها شركة الاتصالات، ومقدمي خدمة الإنترنت، ومدينة الملك عبد العزيز للعلوم والتقنية، وغيرهم. • البيئة الآمنة(البنية التحتية للمفاتيح العامة)تعتمد على تقنية التشفير، وتقوم بها مدينة الملك عبد العزيز للعلوم والتقنية ومراكز التصديق. • التبادل المالي(نظم المدفوعات الإلكترونية)يتم عن طريق نظم المدفوعات وتقوم به مؤسسة النقد العربي السعودي. • الأنظمة والقوانين(البنية النظامية المتكاملة)لحفظ حقوق المتعاملين وإرساء قواعد التعامل السليم، ويتم عن طريق اللجنة الدائمة للتعامل الإلكتروني بالتعاون مع الجهات التشريعية. د. فهد عبدالله الحويماني

5. البنية التحتية للمفاتيح العامةالجهات ذات العلاقة • وزارة المالية • القيام بمهام الحكومة الإلكترونية ونظم المشتريات الحكومية • وزارة الداخلية • إعداد أنظمة الخصوصية وأمن المعلومات • وزارة الثافة والاعلام • إدراج حقوق الملكية الفكرية في التعامل الإلكتروني • مراكز التصديق الخاصة • شركة أرامكو وشركة الاتصالات، ومؤسسة النقد • الغرف التجارية • تطوير بوابة الأعمال التجارية • مدينة الملك عبد العزيز للعلوم والتقنية • إنشاء وتشغيل المركز الوطني للتصديق الرقمي وبعض الأنظمة اللازمة. • وزارة الاتصالات وتقنية المعلومات • الإشراف على اللجنة الدائمة للتعامل الإلكتروني • هيئة الاتصالات وتقنية المعلومات • تطوير نظام التعامل الإلكتروني • شركة الاتصالات السعودية • تجهيز البنية التحتية للاتصالات • وزارة التجارة والصناعة • العمل على تطوير أنظمة ولوائح التجارة الإلكترونية د. فهد عبدالله الحويماني

6. البنية التحتية للمفاتيح العامة تجيب عن الأسئلة التالية... • كيف يستطيع من يستقبل رسالة إلكترونية التأكد من شخصية المرسل؟ • كيف يستطيع المصرف الإلكتروني التأكد من هوية الزبون؟ • كيف لإدارة المرور التأكد من هوية طالب تجديد رخصة القيادة؟ • كيف للمدرسة أو الجامعة التأكد من هوية الطالب الراغب في الإطلاع على سجلاته الدراسية؟ • كيف يتأكد الشخص بأن الموقع هو بالفعل لإدارة المرور أو الجامعة أو المصرف؟ • كيف يستطيع وسيط الأسهم أو المصرف منع الزبون إنكار القيام بعملية ما؟ • كيف يمكن لطرفين التوقيع على عقد تجاري فيما بينهما عن طريق الإنترنت؟ • كيف يمكن إثبات إستلام المرسل إليه للرسالة؟ • كيف للمرسَل إليه إثبات قيام المرسل بإرسال الرسالة؟ • ... د. فهد عبدالله الحويماني

7. البنية التحتية للمفاتيح العامة ماهي؟ • هي منظومة أمنية متكاملة لتوفير بيئة مناسبة للتعامل الآمن عبر شبكات الحاسب الآلي. ويمكن اعتبارها نظام لإدارة مفاتيح التشفير بإستخدام الشهادة الرقمية. • عن طريق الشهادة الرقمية تتحقق الأهداف الرئيسية التالية: • التثبت من الهوية تمكين المتعاملين من معرفة هوية بعضهم البعض بشكل قاطع. • سرية المعلومةتبادل المعلومات بحيث لا يمكن للآخرين معرفة طبيعة تلك المعلومات. • سلامة المعلومة كشف أي محاولة لتغيير محتوى المعلومة بعد الإرسال. • التوقيع الإلكترونيالتوقيع على وثيقة مع مقدرة المستلم التحقق من صحة التوقيع. د. فهد عبدالله الحويماني

8. البنية التحتية للمفاتيح العامة التطبيقات الممكنة في مجال الحكومة الإلكترونية • بعض الاستخدامات الممكنة للبنية التحتية للمفاتيح العامة في مجال الحكومة الإلكترونية: • الحد من الخطابات الورقية في المعاملات الحكومية وذلك بتفعيل التوقيع الإلكتروني. • فتح برامج شؤون الموظفين والإدارة المالية للموظفين حسب ما تسمح به السياسة الداخلية للجهة، ومنح الموظفين صلاحيات مختلفة حسب هوية الموظف. • تمكين المقاولين متابعة مستحقاتهم عند الجهة الحكومية بيسر وأمان. • تفعيل الإكسترانت extranet الحكومية بشكل عام. • دعم التعليم عن بعد والطب الاتصالي وغيرها من تطبيقات الحكومة الإلكترونية. د. فهد عبدالله الحويماني

9. البنية التحتية للمفاتيح العامة كيف يتم التعامل فيها؟ • يقوم الشخص بالحصول على مفتاحين رقميين: • المفتاح الخاص، ويحفظ بشكل سري لدى الشخص ويستخدم في: • فك التشفير الوارد إلى الشخص. • إجراء التوقيع الإلكتروني. • المفتاح العام، لا يحفظ بشكل سري، ويستخدم من قبل الغيرفي: • تشفير الرسائل الموجهة لصاحب المفتاح. • التحقق من توقيع صاحب المفتاح. • يقوم الشخص بتعريف نفسه لدى أحد مراكز التصديق (CA) • وذلك لإثبات أن الشخص هو المالك الحقيقي للمفتاح العام. • يقوم مركز التصديق بإصدار شهادة رقمية للشخص، ويوقع عليها • الشهادة هي عبارة عن عملية ربط هوية الشخص بالمفتاح العام له. • يمكن لأي شخص الاطلاع على الشهادة. د. فهد عبدالله الحويماني

10. البنية التحتية للمفاتيح العامة كيف يتم التعامل فيها؟ • لإرسال رسالة مشفرة للشخص يتم إتباع الخطوات التالية: • جلب شهادته الرقمية للحصول على مفتاحه العام. • التأكد من صحة الشهادة بالتحقق من وجود توقيع مركز التصديق عليها. • القيام بتشفير الرسالة بواسطة المفتاح العام للشخص. • يمكن للشخص فتح الرسالة بواسطة مفتاحه الخص • وهو الوحيد الذي يستطيع فتح الرسالة. • لإرسال رسالة موقعة لشخص ما، يقوم المرسل بإستخدام مفتاحه الخاص • يمكن لمستقبل الرسالة التأكد من صحة التوقيع بواسطة المفتاح العام للشخص. د. فهد عبدالله الحويماني

11. البنية التحتية للمفاتيح العامةالهيكل المقترح المركز الوطني للتصديق الرقمي مركز التصديق للقطاع المالي مركز التصديق لقطاع التعليم مركز التصديق لشركة خاصة مركز التصديق الحكومي مركز تصديق تجاري … - - - مراكز تصديق فرعية د. فهد عبدالله الحويماني

12. البنية التحتية للمفاتيح العامة تساؤلات 1 • هل بالفعل نحتاج إلى شهادات رقمية؟ • أكثرنا يقوم بعمليات تجارية إلكترونية بدون شهادة رقمية! • هل يمكن الوثوق بالشهادة الرقمية؟ • كيف نثق بأن الشهادة بالفعل لشركة فلان أو للمصرف الفلاني؟ • يعتمد ذلك على متطلبات التسجيل ومدى التقيد بها... • جودة الشهادة من جودة الجهة التي أصدرتها. • هل يمكن الوثوق بالمتصفح، أو البرنامج المستخدم للتوقيع وفك التشفير؟ • هل يتم التحقق من صحة الشهادة بشكل صحيح؟ • ماذا لو قام أحد بتزييف شهادة مركز التصديق وأدرجها في المتصفح؟ • هل الشخص مسؤول عن مفتاحه الخاص؟ • إذا لم يكن مسؤولاً، فكيف يمكن إلزامه بعدم الإنكار؟ د. فهد عبدالله الحويماني

13. البنية التحتية للمفاتيح العامة تساؤلات 2 • هل يمكن لأحد أن يحصل على نسخة من المفتاح الخاص لشخص آخر؟ • يجب على الشخص المحافظة على مفتاحه الخاص ولا يسمح لمركز التصديق تسريب المفتاح الخاص أو الاحتفاظ به على الاطلاق. • استخدام البطاقة الذكية... • هل يمكن استخدام الشهادة الرقمية في تطبيقات مختلفة؟ • تصدر الشهادة حسب الضوابط المذكورة في الـCP والـCPS. • أي استخدام آخر يقع تحت مسؤولية المستخدم والجهة المستفيدة من الشهادة. • هل تحتاج كل جهة لمركز تصديق خاص بها؟ • ليس بالضرورة...قد تحتاج بعض الجهات إلى إصدار شهادات خاصة بها، ولكن ليس بالضرورة أن تقوم بإصدارها بنفسها. د. فهد عبدالله الحويماني

14. البنية التحتية للمفاتيح العامةلماذا نحتاج إلى Root CA؟ • يقوم المركز الوطني للتصديق الرقمي بدور المركز الأم (Root CA) وذلك من أجل: • تحسين الاطار القانوني ووضع الضوابط التشغيلية والادارية لمراكز التصديق. • اتباع سياسة موحدة مبنية على مواصفات ومقاييس عامة تلتزم بها جميع الأطراف المعنية • التوافق والتطابق الفني والإداري للأعمال • تجنب عمليات التصديق المتبادل (Cross certification) بالغة التعقيد، والتي من الواجب القيام بها بين مراكز التصديق في غياب المركز الأم. • توحيد عملية المصادقة بحيث تتم عن طريق جهة واحدة فقط. • لذلك فائدة كبيرة في التعامل مع شهادات الدول الأخرى. د. فهد عبدالله الحويماني

15. البنية التحتية للمفاتيح العامة تساؤلات 3 • هل يصدر المركز الوطني للتصديق الرقمي شهادات الأفراد والشركات والجهات الحكومية؟ • هذا ليس من اختصاص المركز، بل تقوم به مراكز التصديق الأخرى. • هل تتم مراقبة الاتصالات المشفرة عن طريق المركز الوطني للتصديق الرقمي؟ • يقتصر دور المركز الوطني للتصديق الرقمي على المصادقة على شهادات مراكز التصديق، وليس له علاقة بالمراسلات ولا طبيعة التطبيقات المستخدمة. • هل تقضي بنية المفاتيح العامة على ظواهر الهاكرز والسبام والفيروسات؟ • لا، ولكن يمكن أن تستخدم في الحد من بعض جوانب هذه الظواهر – استخدام البرامج المعتمدة حسب توقيع الشركة المنتجة، وعدم استلام بريد إلكتروني غير مشفر... د. فهد عبدالله الحويماني

16. البنية التحتية للمفاتيح العامة تساؤلات 4 • هل التوقيع الإلكتروني مطابق للتوقيع اليدوي؟ • التوقيع اليدوي (على الورق) له الخصائص التالية: • يشير إلى الموافقة والقبول. • يربط هوية الموقع بالوثيقة الموقع عليها. • يفترض عدم حدوث تغيير للوثيقة بعد التوقيع. • يكون صعب على الآخرين تقليده لأغراض التزوير. • يتم بطريقة عملية وسريعة. • التوقيع الإلكتروني يؤدي الوظائف ذاتها، وبشكل أفضل، متى ما تمت العملية بشكل فني سليم وفي إطار قانوني صارم. • يبقى هناك اختلافات... د. فهد عبدالله الحويماني

17. إجراء المختصر الحسابي 4A 5B 23 46 6D 4A 33 45 إلى جميع الموظفين: يوم الاثنين إجازة للجميع تشفير المختصر الحسابي المفتاح الخاص لمدير شؤون الموظفين 4A 5B 23 46 6D 4A 33 45 التوقيع الإلكتروني التوقيع على خطاب إلى جميع الموظفين: يوم الاثنين إجازة للجميع إرسال الخطاب بعد التوقيع لجميع الموظفين د. فهد عبدالله الحويماني

18. إلى جميع الموظفين: يوم الاثنين إجازة للجميع إجراء المختصر الحسابي 4A 5B 23 46 6D 4A 33 45 فك التشفير المفتاح العام لمدير شؤون الموظفين 4A 5B 23 46 6D 4A 33 45 4A 5B 23 46 6D 4A 33 45 • تطابق المختصران يثبت أن: • الرسالة جاءت بالفعل من المدير. • لم يحدث أي تغيير لمحتوى الرسالة. التوقيع الإلكتروني التحقق من التوقيع د. فهد عبدالله الحويماني

19. البنية التحتية للمفاتيح العامةما تم انجازه... • تم نشر وثيقة طلب العروض في محرم 1424هـ، وتم اختيار الشركة وتوريد الأجهزة والبرامج. • بدأت المدينة بتجريب البرامج في شهر شعبان 1424هـ، والمركز حالياً جاهز للتشغيل خلال فترة قصيرة. • تم تحضير قواعد الشهادة الرقمية، و مسودة نظام التوقيع الإلكتروني وتسليمها لهيئة الاتصالات وتقنية المعلومات. • تم إختيار مراقب لإصدار الشهادات الرقمية Key Ceremony Auditor. • تم التنسيق مع مراكز التصديق في بعض الأمور التشغيلية والنظامية. د. فهد عبدالله الحويماني

20. نظام التعامل الإلكترونيما هو وماهي أهدافه؟ • هو نظام تحت الاعداد، بديل لمشروع نظام التجارة الإلكترونية، ويغطي جوانب عديدة، وتشرف عليه وزارة الاتصالات والمعلومات. • يهدف إلى تسهيل استخدام الأعمال الإلكترونية والاعتماد عليها وإزالة العوائق التي تعتريها. • يشتمل على مواد تهدف إلى جعل السجلات الإلكترونية والتوقيع الإلكتروني ملزمة لجميع الأطراف التي تتعامل بها: • إذا اشترط نظام احضار وثيقة أو حفظها على الورق فيمكن القيام بذلك إلكترونياً... • يقبل التوقيع الإلكتروني مكان التوقيع اليدوي... • يمكن أن تبرم العقود التجارية بشكل إلكتروني... • ويشتمل كذلك على ما يلي: • ضوابط تقديم خدمات التصديق الرقمي. • ضوابط استخدام التعامل الإلكتروني من قبل الجهات الحكومية، في تقديم المستندات واصدار التراخيص والإذن والسماح، وتحصيل الرسوم، وتقديم خدمات الحكومة الإلكترونية، إلخ. • المخالفات والعقوبات المقرة. د. فهد عبدالله الحويماني

21. قواعد الشهادة الرقمية CPما هي؟ • هي قواعد منظمة لاستخدام الشهادات الرقمية، تقوم بإعدادها كل من مدينة الملك عبد العزيز للعلوم والتقنية ومراكز التصديق الرقمي. • تحتوي على ارشادات هامة لمستخدمي البنية التحتية للمفاتيح العامة، توضح ما للمستخدم وما عليه، وتتطرق لإلتزامات مراكز التصديق ومراكز التسجيل. • أمثلة لبعض القواعد: • الضوابط الأمنية لأماكن تشغيل مراكز التصديق... • منع استخدام معلومات الزبائن خارج النطاق المسموح به. • استخدام بطاقة الأحوال المدنية لإثبات هوية الأفراد... • عدم حفظ المفاتيح الخاصة للزبائن لدى مركز التصديق... • تحديد حجم مفاتيح التشفير المستخدمة... • ضرورة وجود شخصين أو أكثر عند إصدار الشهادات... د. فهد عبدالله الحويماني

22. إجراءات التصديق الرقميCPS ما هي؟ • هي الاجراءات المتبعة من قبل مركز التصديق لإصدار الشهادات الرقمية • توضح الطرق الفنية والأمنية والإجرائية المتبعة لإصدار الشهادة من قبل مركز التصديق. • يستفيد منها المستخدم في تحديد مدى الوثوق بمركز التصديق. • تبين كذلك حقوق مستخدم الشهادة ومسؤولية المركز تجاهه. د. فهد عبدالله الحويماني

23. دور المفاتيح العامة في مجال الحكومة الإلكترونيةخاتمة • بنية المفاتيح العامة هي إحدى ركائز التعامل الإلكتروني وعلى أساسها تقوم الحكومة الإلكترونية. • هي منظومة أمنية متكاملة لتوفير بيئة مناسبة للتعامل الآمن عبر شبكات الحاسب الآلي. ويمكن اعتبارها نظام لإدارة مفاتيح التشفير بوساطة الشهادة الرقمية. • تتولى مدينة الملك عبد العزيز للعلوم والتقنية مهام إنشاء وتشغيل المركز الوطني للتصديق الرقمي والعمل على تطوير نظام التعامل الإلكتروني. • تعتبر عملية تشغيل مراكز التصديق الرقمي مكلفة وبالغة الصعوبة، لذا لا يحبذ أن تقوم كل جهة بإنشاء مركز خاص بها. • هناك أنظمة هامة منها نظام التعامل الإلكتروني، و قواعد الشهادة الرقمية، وإجراءات التصديق الرقمي، يحتاج المتعامل إلكترونياً الاطلاع عليها. د. فهد عبدالله الحويماني

24. دور المفاتيح العامة في مجال الحكومة الإلكترونية النهاية للمزيد من المعلومات: http://www.pki.gov.sa د. فهد عبدالله الحويماني