Chứng chỉ số và Cơ quan cấp chứng chỉ: Niềm tin trên Internet hoạt động như thế nào

Mỗi ngày bạn truy cập ngân hàng, email hoặc các trang web nhạy cảm khác, trình duyệt của bạn thực hiện một hành động mà bạn có thể không bao giờ nhận thấy: nó kiểm tra một tấm thẻ điện tử để xác nhận rằng máy chủ bạn kết nối là thực sự là những gì nó tuyên bố. Tấm thẻ này gọi là chứng chỉ số, và hệ thống quản lý chứng chỉ này là một trong những nền tảng quan trọng nhất của tin tưởng trên Internet. Nhưng nó hoạt động như thế nào, và điều gì xảy ra khi điều này bị phá vỡ?

Chứng chỉ là một bản hợp đồng được ký

Hãy tưởng tượng bạn nhận được một lá thư được ký tay từ một người bạn. Chữ ký chứng minh rằng nó thực sự đến từ họ — không ai khác có thể tạo ra chữ ký đó một cách có thể tin được. Chứng chỉ số hoạt động theo cách tương tự, nhưng thay vì chữ ký mực, nó sử dụng toán học mã hóa.

Mỗi chứng chỉ chứa ba thứ chính: một tên miền (chẳng hạn như example.com), một khóa công khai (một con số toán học dài được sử dụng để mã hóa thông tin), và một chữ ký số. Chữ ký đó được tạo bởi một tổ chức được gọi là Cơ quan cấp chứng chỉ, hay CA. CA về cơ bản nói: "Tôi đã xác minh rằng khóa công khai này thực sự thuộc về example.com, và tôi đang ký tên để chứng minh điều đó."

Khi bạn kết nối với một trang web được bảo mật (bạn sẽ thấy biểu tượng khoá hoặc "https" trong thanh địa chỉ), máy chủ gửi chứng chỉ của nó cho bạn. Trình duyệt của bạn kiểm tra chữ ký và hỏi: "Tôi có tin tưởng CA đã ký cái này không?" Nếu có, bạn tiếp tục. Nếu không, bạn sẽ thấy một cảnh báo.

Chuỗi tin tưởng: từ gốc đến lá

Bây giờ câu hỏi trở nên phức tạp hơn: tại sao bạn lại tin tưởng CA? Trình duyệt của bạn không thể chỉ tin mọi người tuyên bố là CA. Thay vào đó, nó dựa vào một chuỗi tin tưởng — một chuỗi của các chứng chỉ, mỗi cái ký tên cái tiếp theo.

ở đầu chuỗi là một CA gốc. Đây là những tổ chức được tin tưởng sâu sắc mà trình duyệt của bạn (hoặc hệ điều hành của bạn) đã được cấu hình để chấp nhận khi nó được cài đặt lần đầu tiên. Một số CA gốc đáng chú ý bao gồm những tổ chức như Let's Encrypt, DigiCert và GlobalSign. Bạn có thể xem danh sách CA mà trình duyệt của bạn tin tưởng bằng cách đi vào cài đặt bảo mật.

CA gốc không thường ký chứng chỉ trực tiếp cho các trang web. Thay vào đó, chúng ký tên trên chứng chỉ của các CA trung gian. Những CA trung gian này sau đó ký tên trên chứng chỉ của các trang web thực tế mà bạn truy cập. Điều này tạo thành một chuỗi: CA gốc → CA trung gian → chứng chỉ trang web.

Tại sao điều này lại quan trọng? Nó có nghĩa là CA gốc có thể được lưu trữ an toàn ở nơi an toàn và hiếm khi sử dụng. Các CA trung gian làm công việc hàng ngày. Nếu CA trung gian bị xâm phạm, thiệt hại bị giới hạn. Nhưng nếu CA gốc bị xâm phạm — tất cả sẽ ra ngoài.

Khi niềm tin bị phá vỡ: bài học từ DigiNotar

Vào năm 2011, một sự kiện xảy ra cho thấy điều gì có thể sai khi sai. Công ty CA Hà Lan DigiNotar bị xâm phạm bởi những kẻ tấn công. Họ sử dụng quyền truy cập này để cấp chứng chỉ giả cho các trang web phổ biến như Google và Facebook. Những chứng chỉ giả này về mặt kỹ thuật là hợp lệ — chúng được ký bởi CA gốc của DigiNotar mà trình duyệt tin tưởng.

Đây là một vấn đề lớn. Một kẻ tấn công có thể sử dụng chứng chỉ giả để chặn và đánh cắp lưu lượng truy cập. Điều này không phải là lý thuyết — nó đã được sử dụng để theo dõi người dùng Iran.

Cách phản ứng là gì? Các nhà sản xuất trình duyệt đã loại bỏ DigiNotar khỏi danh sách CA được tin tưởng của họ. Nhưng điều này chỉ có thể phát hiện được sau khi sự cố đã xảy ra.

Nhật ký Minh bạch Chứng chỉ: Một lớp phòng vệ mới

Sau sự kiện DigiNotar, một cộng đồng Internet nhận ra rằng chúng ta cần một cách tốt hơn để phát hiện chứng chỉ giả. Câu trả lời được gọi là Minh bạch Chứng chỉ, hoặc CT.

CT là một hệ thống công khai, những nhật ký bất biến được duy trì bởi các tổ chức độc lập. Mỗi lần CA cấp chứng chỉ (hợp lệ hoặc giả), chứng chỉ đó phải được ghi vào các nhật ký CT. Bất kỳ ai cũng có thể kiểm tra các nhật ký này. Nếu bạn thấy chứng chỉ được cấp cho your-bank.com nhưng ngân hàng của bạn không bao giờ yêu cầu nó, bạn biết có điều gì đó không đúng.

CT không ngăn CA cấp chứng chỉ giả, nhưng nó làm cho việc làm điều đó mà không bị phát hiện trở nên hầu như bất khả thi. Các nhà sản xuất trình duyệt ngày nay yêu cầu hầu hết các chứng chỉ phải xuất hiện trong các nhật ký CT trước khi trình duyệt chấp nhận chúng.

Chính phủ và quyền lực của CA

Đây là nơi một câu hỏi chính trị phát sinh: chính phủ có thể buộc CA cấp chứng chỉ giả không?

Câu trả lời là: có thể, nhưng nó trở nên ngày càng khó. Một chính phủ có thể áp dụng sức ép trên một CA để cấp chứng chỉ giả cho một trang web. Trước CT, điều này có thể xảy ra mà không bị phát hiện rộng rãi. Ngay bây giờ, nó phải được ghi vào các nhật ký công khai.

Đây không phải là bảo vệ hoàn hảo — một chính phủ mạnh mẽ có thể yêu cầu các nhật ký CT được kiểm duyệt hoặc có thể tạo ra CA gốc riêng của mình cho công dân trong lãnh thổ của nó. Nhưng nó làm cho sự phục vụ phổ biến trở nên rất khó khăn.

Nó vẫn là hệ thống "tin tưởng".

Trên hết, điều quan trọng cần nhớ là chứng chỉ dựa trên tin tưởng. Bạn tin tưởng vào các CA gốc được cài đặt sẵn trên thiết bị của bạn. Các tổ chức này tuân thủ quy tắc nghiêm ngặt và kiểm toán, nhưng chúng vẫn là các tổ chức được quản lý bởi con người, có thể bị xâm phạm, bị lõi hoặc bị áp lực. Không có hệ thống bảo mật hoàn hảo.

Tầm quan trọng của chứng chỉ và chuỗi tin tưởng là bạn không phải mù quáng tin tưởng mọi máy chủ trên Internet. Thay vào đó, bạn tin tưởng một bộ CA được xác định rõ, và chuỗi ký số cung cấp một cách để xác minh rằng chứng chỉ thực sự đến từ nó.

Bây giờ bạn biết tại sao trình duyệt của bạn hiển thị biểu tượng khoá, tại sao chứng chỉ lỗi lạ, và tại sao CT logs quan trọng như một lớp phòng vệ thứ hai. Bước tiếp theo của bạn là khám phá cách các chứng chỉ thực sự mã hóa dữ liệu giữa bạn và máy chủ — lĩnh vực của mã hóa khóa công khai.