انتقل إلى المحتوى
مساحة العمل/نموذج تقرير كامل · github.com
الموقع الرسميEnglish
QA

نموذج تقرير كامل

هذا تقرير حقيقي كامل لموقع github.com كما يصل للمشتري بعد الدفع، من فحص أُجري في 2026-11-03. النتيجة تتغير إن غيّر الموقع إعداداته.

افحص موقعك واحصل على تقريرك

B

تقرير الجاهزية لما بعد الكم

github.com

آمن اليوم، لكنه معرّض لهجوم «احفظ الآن، فُكّ لاحقاً»

وقت الفحص: 2026-11-03T08:58:57+00:00 · IP 20.26.156.215

ما وجدناه

تحذير تبادل مفاتيح تقليدي فقط (x25519)

عرضنا على الخادم X25519MLKEM768 كما يفعل Chrome وFirefox، فاختار x25519. هذا آمن اليوم، لكن من يسجّل حركة المرور الآن يستطيع فك تشفيرها لاحقاً عندما يتوفر حاسوب كمّي قادر على تشغيل خوارزمية Shor (هجوم «احفظ الآن، فُكّ لاحقاً»). هذه أهم نقطة يجب إصلاحها للجاهزية الكمومية.

معلومة توقيع الشهادة (ECDSA-256) قابل للكسر بخوارزمية Shor

كل خوارزميات الشهادات المستخدمة اليوم (RSA وECDSA وEdDSA) يكسرها حاسوب كمّي كبير بأي طول مفتاح؛ تكبير المفتاح إلى 4096 بت لا يحمي. الخطر أقل إلحاحاً من تبادل المفاتيح لأن انتحال الهوية يحتاج الحاسوب الكمّي لحظة الاتصال ولا يُطبَّق بأثر رجعي. الحل المستقبلي شهادات ML-DSA (FIPS 204) عندما تدعمها جهات الإصدار والمتصفحات؛ حتى ذلك الحين اجعل تجديد الشهادات آلياً لتسهيل الانتقال.

خطوات الإصلاح

التفعيل يحتاج مكتبة TLS تدعم ML-KEM. أسرع طريق: ترقية OpenSSL إلى 3.5 أو أحدث، أو خادم مبني بـ Go 1.24+، أو تفعيل وكيل مثل Cloudflare أمام موقعك.

nginx (OpenSSL 3.5+)

# check first: nginx -V 2>&1 | grep -o 'OpenSSL [0-9.]*'   (needs 3.5 or newer)
ssl_protocols TLSv1.2 TLSv1.3;
ssl_ecdh_curve X25519MLKEM768:X25519:prime256v1;

Apache httpd (OpenSSL 3.5+)

SSLProtocol -all +TLSv1.2 +TLSv1.3
SSLOpenSSLConfCmd Groups X25519MLKEM768:X25519:prime256v1

Caddy / Go 1.24+

# X25519MLKEM768 is enabled by default in Go 1.24+ crypto/tls.
# Upgrade Caddy (or your Go server) to a build made with Go 1.24 or newer.

Cloudflare / CDN

# Cloudflare negotiates X25519MLKEM768 with browsers by default.
# Proxy the domain through it (orange cloud) and scan again.

بعد التعديل أعد الفحص هنا للتأكد من أن الدرجة صارت A.

تفاصيل تقنية

TLS (probe)TLSv1.3
Key exchange groupx25519
Cipher suite (probe)TLS_AES_128_GCM_SHA256
Post-quantum ClientHello acceptedTrue
TLS (standard handshake)TLSv1.3 · TLS_AES_128_GCM_SHA256
Certificate keyECDSA-256 (secp256r1)
Signature algorithmecdsa-with-SHA256
Subject / Issuergithub.com / Sectigo Limited
Valid until2027-01-27T23:59:59+00:00 (85 days)
Chain verifiedTrue
SANs (2)github.com, www.github.com
Scannerv2.0

السياق الزمني

  • اعتمد NIST في أغسطس 2024 المعايير ML-KEM (FIPS 203) وML-DSA (FIPS 204) وSLH-DSA (FIPS 205).
  • مسودة NIST IR 8547 (2024): إيقاف RSA وECC بمستوى أمان 112 بت بعد 2030 ومنعها بعد 2035.
  • أحدث تقدير منشور لكسر RSA-2048: أقل من مليون كيوبت فيزيائي مشوّش وأقل من أسبوع (Gidney، 2025). الحواسيب الكمومية الحالية بعيدة عن ذلك، لكن البيانات المسجلة اليوم قد تبقى حساسة لسنوات.
  • التشفير المتماثل (AES-128/256 وChaCha20) لا يتأثر عملياً: تسريع Grover لا يشكل تهديداً عملياً حسب NIST.

ما الذي لا يغطيه الفحص

  • الدرجة A لا تعني أن موقعك «آمن كمومياً» بالكامل أو خالٍ من الثغرات. الفحص يقيس اتصال TLS العام على المنفذ 443 فقط.
  • إن كان موقعك خلف CDN أو وكيل (مثل Cloudflare) فنحن نفحص الاتصال بين الزائر والـ CDN، لا الاتصال بين الـ CDN وخادمك الأصلي.
  • لا نفحص تطبيق الويب نفسه، ولا البريد، ولا VPN، ولا الأنظمة الداخلية، ولا كيفية تخزين بياناتك.
  • الشهادات الرقمية ما زالت تقليدية (RSA/ECDSA) في كل المواقع حالياً، لأن المتصفحات لا تدعم شهادات ML-DSA بعد. هذا ليس خطأ في إعدادك.
  • النتيجة صورة لحظة الفحص؛ أي تغيير في الخادم أو الـ CDN قد يغيّرها.