Hiểu chứng chỉ SSL/TLS: ổ khóa trình duyệt thật sự nói gì khi vào B52club
Hãy hình dung một bức thư được dán kín bằng sáp, đóng dấu rõ ràng. Dấu sáp cho bạn biết một điều: từ lúc dán đến lúc mở, chưa ai bóc ra đọc. Nhưng nó không nói người gửi là ai, càng không nói người gửi có đáng tin hay không. Chiếc ổ khóa nhỏ nằm cạnh thanh địa chỉ của trình duyệt hoạt động y như con dấu sáp ấy. Hiểu đúng nó nói gì, và quan trọng hơn, nó không nói gì, là bước nền để vào B52club một cách tỉnh táo.
Ảnh: Bernd 📷 Dittrich / Unsplash
SSL/TLS làm được điều gì
SSL và người kế nhiệm TLS là các giao thức mã hóa kết nối giữa trình duyệt của bạn và máy chủ. Khi ổ khóa xuất hiện, dữ liệu đi qua đường truyền được mã hóa, nên người ngồi cùng mạng Wi-Fi công cộng hay nhà mạng ở giữa không thể đọc được nội dung, cũng không dễ dàng sửa đổi nó trên đường đi. Đó là giá trị thật và đáng kể: nó bảo vệ mật khẩu và thông tin bạn gõ khỏi bị nhìn lén khi truyền đi.
Chứng chỉ là tấm giấy chứng nhận do một tổ chức cấp chứng chỉ phát hành, gắn một tên miền với một khoá mã hóa. Trình duyệt kiểm tra chứng chỉ có hợp lệ, còn hạn và do bên đáng tin phát hành hay không, rồi mới hiện ổ khóa.
Điều ổ khóa không chứng minh
Chỗ nhiều người hiểu lầm nằm ở đây. Ổ khóa chứng minh kết nối được mã hóa tới tên miền mà bạn đang xem, không chứng minh tên miền đó đúng là nơi bạn muốn đến. Một tên miền giả mạo hoàn toàn có thể xin được chứng chỉ, vì nhiều tổ chức cấp chứng chỉ chỉ yêu cầu người xin chứng minh họ kiểm soát tên miền ấy, không đánh giá ý định hay uy tín. Kết quả là trang lừa đảo cũng có thể treo ổ khóa xanh trông rất yên tâm.
Nói cách khác, mã hóa trả lời câu hỏi "có ai nghe lén giữa đường không", còn câu hỏi "tôi đang nói chuyện với ai" thì phải do bạn tự trả lời bằng cách đọc kỹ tên miền. Coi ổ khóa là dấu hiệu thừa nhận về độ tin cậy là sai lầm phổ biến nhất mà kẻ lừa đảo dựa vào.
Cách xem chứng chỉ
Bạn không cần là chuyên gia mới xem được chứng chỉ. Trên hầu hết trình duyệt, nhấn vào biểu tượng cạnh thanh địa chỉ rồi chọn mục xem thông tin kết nối hoặc chi tiết chứng chỉ. Ở đó hãy chú ý ba thông tin:
- Cấp cho ai: tên miền được ghi trong chứng chỉ có khớp chính xác với tên miền bạn định vào không.
- Do ai cấp: tên tổ chức cấp chứng chỉ, giúp bạn biết nguồn phát hành chứ chưa phải mức uy tín của trang.
- Hiệu lực: ngày bắt đầu và ngày hết hạn. Một chứng chỉ vừa mới cấp cho tên miền lạ không nói lên điều gì xấu, nhưng cũng chẳng chứng minh điều gì tốt.
Nếu trình duyệt cảnh báo chứng chỉ không hợp lệ, hết hạn hoặc không khớp tên, đừng bấm tiếp tục. Hãy coi đó là con dấu bị rạn nứt và dừng lại.
Nhận diện tên miền giả vẫn có HTTPS
Vì ổ khóa không đủ, mắt bạn phải đọc tên miền. Một số mẹo cụ thể:
- Đọc từ phải sang trái phần tên chính, tức phần đứng ngay trước đuôi cuối cùng; những gì viết thêm phía trước chỉ là phụ.
- Cẩn thận ký tự gần giống: chữ "l" thay cho "i", số "0" thay cho chữ "o", hoặc hai chữ ghép trông như một chữ khác.
- Cẩn thận từ thêm vào như "chinh-thuc", "login", "support" gắn cùng tên thương hiệu; thương hiệu thật hiếm khi cần những mảnh ghép như thế.
- Cẩn thận đuôi lạ hoặc nhiều dấu gạch nối, và địa chỉ rút gọn che mất tên miền thật.
- Cẩn thận trang tự đổi sang địa chỉ khác sau khi bạn vừa gõ.
Với B52club, khi nghi ngờ hãy đối chiếu bằng cách mở lại từ địa chỉ bạn đã xác minh và lưu trước đó, thay vì dựa vào bất cứ thứ gì đang hiện ra trước mắt.
Lưu dấu trang đã xác minh
Cách bền nhất để không phải soát tên mỗi lần là tạo một bản gốc sạch. Ở lần đầu, khi bạn chắc chắn nhất về nguồn, ví dụ qua kênh chính thức bạn đã kiểm chứng, hãy lưu địa chỉ vào dấu trang, đặt một cái tên dễ nhận. Từ đó về sau, luôn mở từ dấu trang, không mở từ kết quả tìm kiếm, tin nhắn hay quảng cáo.
Nên kèm thêm vài thói quen: bật trình quản lý mật khẩu vì nó chỉ tự điền khi tên miền khớp, nên là một "người soát" miễn phí; không nhập mật khẩu, mã OTP hay mã khôi phục trên trang mở từ liên kết lạ; và định kỳ kiểm tra lại dấu trang còn trỏ đúng nơi.
Gói lại những điều cần nhớ
Ổ khóa là con dấu sáp: hữu ích, đáng có, nhưng chỉ nói về chuyện phong bì chưa bị bóc. Còn người gửi là ai thì bạn phải tự nhìn, bằng cách đọc tên miền, xem chứng chỉ khi cần, và mở từ dấu trang đã xác minh. Làm quen với ba bước ấy, việc vào B52club sẽ vừa nhanh vừa có chỗ dựa, vì bạn không còn tin vào một biểu tượng mà tin vào chính sự kiểm tra của mình.
Bài viết chỉ mang tính hướng dẫn chơi có trách nhiệm cho người từ đủ 18 tuổi; mỗi người cần tuân thủ pháp luật tại nơi cư trú, đặt giới hạn giải trí rõ ràng và tự chịu trách nhiệm với quyết định của mình.