واجهة برمجة تطبيقات التشفير على الويب

يُعدّ التحقق متعدد العوامل اليوم من أكثر الطرق موثوقيةً للتحقق من هوية مستخدمي تطبيقات الويب، مثل الخدمات المصرفية الإلكترونية . وتعتمد العديد من تطبيقات الويب حاليًا على هذه الطريقة لحماية كلٍّ من المستخدم وبرنامجه . مع واجهة برمجة تطبيقات تشفير الويب (Web Cryptography API)، سيتمكن تطبيق الويب من توفير التحقق داخليًا بدلًا من الاعتماد على طبقة النقل لتشفير بيانات المفاتيح اللازمة للتحقق من وصول المستخدم. ستوفر هذه العملية تجربةً أكثر ثراءً للمستخدم.

تتيح واجهة برمجة تطبيقات التشفير على الويب للتطبيق تحديد موقع مفاتيح العميل المناسبة التي أنشأها وكيل المستخدم مسبقًا أو التي وفرها تطبيق الويب مسبقًا. كما يتيح التطبيق لوكيل المستخدم إمكانية إنشاء مفتاح جديد أو إعادة استخدام مفتاح موجود في حال عدم وجود مفتاح مرتبط بحساب المستخدم. ومن خلال ربط هذه العملية بأمان طبقة النقل (TLS) الذي يستخدمه المستخدم للمصادقة، يمكن تعزيز عملية المصادقة متعددة العوامل بشكل إضافي عن طريق اشتقاق مفتاح يعتمد على طبقة النقل الأساسية. ^{[ 1 ] [ 2 ]}

يمكن استخدام واجهة برمجة التطبيقات (API) لحماية المستندات الحساسة أو السرية من الاطلاع غير المصرح به من داخل تطبيق الويب، حتى لو تم استلامها مسبقًا بشكل آمن. يستخدم تطبيق الويب واجهة برمجة تطبيقات تشفير الويب لتشفير المستند باستخدام مفتاح سري، ثم يغلّفه بمفاتيح عامة مرتبطة بالمستخدمين المصرح لهم بالاطلاع على المستند. عند دخول المستخدم المصرح له إلى تطبيق الويب، يتلقى المستند المشفر، ويُطلب منه استخدام مفتاحه الخاص لبدء عملية فك التشفير التي تتيح له فك تشفير المستند والاطلاع عليه. ^{[ 2 ]}

تعتمد العديد من الشركات والأفراد على التخزين السحابي . ولحماية بياناتهم، قد يرغب مزودو الخدمات عن بُعد في أن يتيح تطبيق الويب الخاص بهم للمستخدمين إمكانية حماية مستنداتهم السرية قبل تحميلها أو تحميل أي بيانات أخرى. ستتيح واجهة برمجة تطبيقات التشفير على الويب للمستخدمين ما يلي:

• اختر تحديد مفتاح خاص أو سري
• استخرج مفتاح التشفير من مفتاحهم إذا رغبوا في ذلك
• قم بتشفير مستنداتهم/بياناتهم
• قم بتحميل مستنداتهم/بياناتهم المشفرة باستخدام واجهات برمجة التطبيقات الحالية لمزود الخدمة ^{[ 2 ]}

تُوفّر إمكانية التوقيع الإلكتروني على المستندات الوقت، وتُعزّز أمان المستندات المهمة، وتُعدّ دليلاً قانونياً على قبول المستخدم للمستند. وتختار العديد من تطبيقات الويب قبول التوقيعات الإلكترونية بدلاً من اشتراط التوقيعات الخطية. وباستخدام واجهة برمجة تطبيقات التشفير على الويب (Web Cryptography API)، يُطلب من المستخدم اختيار مفتاح يُمكن إنشاؤه أو توفيره مسبقاً خصيصاً لتطبيق الويب. ويُمكن استخدام هذا المفتاح أثناء عملية التوقيع.

غالباً ما تقوم تطبيقات الويب بتخزين البيانات مؤقتاً محلياً، مما يعرضها لخطر الاختراق في حال وقوع هجوم غير متصل بالإنترنت. تسمح واجهة برمجة تطبيقات تشفير الويب لتطبيق الويب باستخدام مفتاح عام يتم نشره من داخله للتحقق من سلامة ذاكرة التخزين المؤقت للبيانات. ^{[ 2 ]}

يمكن لواجهة برمجة تطبيقات التشفير على الويب تعزيز أمان المراسلة لاستخدامها في أنظمة توقيع الرسائل غير المسجلة (OTR) وغيرها من أنواع أنظمة توقيع الرسائل، وذلك من خلال استخدام اتفاقية المفاتيح. يتفاوض مُرسِل الرسالة والمُستقبِل المقصود على مفاتيح تشفير مشتركة ومفاتيح رمز مصادقة الرسائل (MAC) لتشفير الرسائل وفك تشفيرها، وذلك لمنع الوصول غير المصرح به. ^{[ 2 ]}

يمكن لتطبيقات الويب استخدام واجهة برمجة تطبيقات التشفير على الويب للتفاعل مع تنسيقات وهياكل الرسائل المحددة ضمن مجموعة عمل JOSE. ^{[ 4 ]} يستطيع التطبيق قراءة واستيراد مفاتيح توقيع الويب JSON (JWK)، والتحقق من صحة الرسائل المحمية عبر التوقيع الإلكتروني أو مفاتيح MAC، وفك تشفير رسائل JWE.