Hiểu chứng chỉ SSL/TLS: ổ khóa trình duyệt thật sự nói gì khi vào Go88
Nhiều người dạy nhau một câu ngắn gọn: thấy ổ khóa xanh là an toàn. Tôi đã nghe câu ấy quá nhiều lần, và mỗi lần nghe tôi lại muốn dừng tay trên bàn phím. Câu đó đúng một nửa, và nửa còn lại chính là chỗ kẻ gian ẩn mình. Ổ khóa trên trình duyệt giống con dấu niêm phong trên một phong bì: nó cho biết phong bì không bị mở dọc đường. Nó không cho biết người viết thư là ai. Bài này gõ chậm về hai điều ấy, để khi bạn vào Go88, bạn hiểu mình đang nhìn thấy gì.
Ảnh: Lee Campbell / Unsplash
SSL/TLS thật ra làm gì
TLS (tên cũ là SSL) là giao thức mã hóa dữ liệu giữa trình duyệt của bạn và máy chủ của trang web. Khi một trang dùng HTTPS, thông tin đi giữa hai đầu được xáo trộn thành thứ không đọc được với người đứng giữa, chẳng hạn người dùng chung mạng Wi-Fi quán cà phê hay nhà mạng. Nhờ vậy, mật khẩu và thông tin bạn gõ không bị nghe lén dọc đường.
Giao thức này còn làm thêm một việc: máy chủ phải trình ra một chứng chỉ số, trong đó khẳng định "tôi là máy chủ của tên miền này". Chứng chỉ do một tổ chức phát hành chứng chỉ (CA) ký xác nhận. Trình duyệt kiểm tra chữ ký ấy; nếu hợp lệ, nó hiển thị ổ khóa.
Điểm then chốt cần gõ rõ: chứng chỉ xác nhận mối liên hệ giữa máy chủ và tên miền, không xác nhận mục đích tốt hay xấu của người chủ tên miền. Ai cũng có thể sở hữu một tên miền, và với loại chứng chỉ phổ biến nhất, chỉ cần chứng minh mình kiểm soát tên miền đó là được cấp, thường miễn phí và tự động trong vài phút.
Ổ khóa chỉ chứng minh mã hóa, không chứng minh đúng chủ
Hãy tưởng tượng một kẻ dựng cửa hàng giả, treo biển nhái, rồi khóa cửa thật chắc. Cánh cửa khóa chắc không có nghĩa cửa hàng là hàng thật. Trang giả mạo hoàn toàn có thể có ổ khóa. Kẻ lừa đảo đăng ký một tên miền na ná tên thật, xin chứng chỉ, và trình duyệt vui vẻ hiện ổ khóa cho trang của chúng. Nội dung bên trong được mã hóa tốt, nhưng thứ được mã hóa chính là mật khẩu bạn gửi thẳng cho kẻ xấu.
Vì vậy, đừng bao giờ dùng sự hiện diện của ổ khóa làm tiêu chí duy nhất để tin. Ổ khóa trả lời câu hỏi "đường truyền có bị nghe lén không", còn câu hỏi quan trọng hơn là "đây có đúng trang mình định vào không" thì nó không trả lời hộ.
Ngược lại, thiếu ổ khóa là dấu hiệu xấu thật sự: trình duyệt sẽ ghi "không bảo mật" và bạn không nên nhập bất kỳ thông tin nhạy cảm nào. Tóm lại: không có ổ khóa là đủ lý do để dừng; có ổ khóa thì mới chỉ là điều kiện tối thiểu.
Cách xem chứng chỉ từng bước
Việc xem chứng chỉ không khó, chỉ mất vài giây. Trên hầu hết các trình duyệt, bạn bấm vào biểu tượng cạnh thanh địa chỉ, chọn mục liên quan đến kết nối hoặc chứng chỉ, rồi mở phần chi tiết. Tên các mục khác nhau giữa trình duyệt, nhưng ý nghĩa thì giống nhau.
Hãy nhìn ba thứ. Thứ nhất, "cấp cho" hoặc tên chung (common name) cùng danh sách tên thay thế: tên miền ghi ở đây phải khớp chính xác với địa chỉ bạn định vào, không thừa không thiếu một ký tự. Thứ hai, "cấp bởi": tên tổ chức phát hành chứng chỉ, nên là một CA quen thuộc, được trình duyệt tin cậy. Thứ ba, thời hạn: ngày bắt đầu và ngày hết hạn. Chứng chỉ mới được cấp vài ngày trước cho một trang tự xưng đã hoạt động lâu năm là dấu hiệu đáng nghi, dù không phải bằng chứng chắc chắn.
Một số chứng chỉ còn ghi cả tên tổ chức sở hữu (loại xác thực tổ chức). Nếu có, đó là thêm một lớp thông tin hữu ích, nhưng không phải trang chính thống nào cũng dùng loại này, nên đừng coi việc thiếu nó là bằng chứng giả mạo.
Nhận diện tên miền giả vẫn có HTTPS
Vì ổ khóa không giúp phân biệt thật giả, việc soát tên miền mới là mấu chốt. Kẻ gian thường dùng vài mánh quen thuộc. Mánh thứ nhất là đổi chữ gần giống: thay chữ "l" bằng số "1", chữ "o" bằng số "0", hoặc thêm bớt một chữ cái. Mánh thứ hai là chèn thêm từ vào tên: thêm chữ như "ho-tro", "uu-dai", "dang-nhap" để trông như trang con chính thống. Mánh thứ ba là dùng đuôi lạ, giữ nguyên phần tên nhưng đổi đuôi tên miền. Mánh thứ tư là đặt tên thật vào phần phụ phía trước, còn tên miền chính thực sự nằm ở phần cuối.
Quy tắc đọc: nhìn phần đứng ngay trước đuôi cuối cùng, đó mới là tên miền thật. Mọi thứ phía trước chỉ là phần phụ do chủ tên miền tự đặt. Hãy đọc chậm, từ phải sang trái từ phần đuôi, rồi lùi dần. Khi gặp đường dẫn quá dài, nhiều ký tự rối rắm, hay có dấu "@" kỳ lạ, đừng bấm.
Ngoài ra, tên miền còn có thể dùng ký tự quốc tế trông giống chữ Latinh, nên việc nhìn bằng mắt không phải lúc nào cũng đủ. Càng có lý do để dùng lối vào bạn đã xác minh sẵn thay vì dựa vào mắt mỗi lần.
Lưu dấu trang đã xác minh
Giải pháp bền nhất là biến việc xác minh thành việc làm một lần. Khi bạn chắc chắn mình đang ở đúng nơi, thông qua kênh thông báo chính thống của thương hiệu và việc đối chiếu cẩn thận tên miền cùng chứng chỉ, hãy lưu dấu trang ngay lúc đó. Sau này, chỉ vào qua dấu trang ấy, không đi theo kết quả tìm kiếm, quảng cáo hay đường dẫn trong tin nhắn.
Hãy đặt dấu trang trong một thư mục riêng, đặt tên rõ ràng, và đừng để người dùng chung máy tự ý chỉnh sửa. Nếu một ngày dấu trang dẫn tới trang có cảnh báo chứng chỉ, đừng bấm "vẫn tiếp tục". Cảnh báo ấy đang nói chứng chỉ có vấn đề: hết hạn, không khớp tên miền, hoặc do tổ chức không được tin cậy cấp. Hãy dừng, đóng tab, và kiểm tra lại qua kênh chính thức.
Bạn cũng nên cập nhật trình duyệt thường xuyên, vì cơ chế cảnh báo chứng chỉ và danh sách CA tin cậy luôn được cải thiện qua các bản mới. Với tài khoản quan trọng, bật xác thực hai lớp để nếu lỡ nhập nhầm mật khẩu vào trang giả, kẻ gian vẫn chưa thể vào ngay.
Dòng cuối của bản thảo
Ổ khóa trình duyệt là con dấu niêm phong, hữu ích nhưng không thay được việc đọc tên người gửi. Hãy nhớ thứ tự soát: ổ khóa có hay không, tên miền khớp hay không, chứng chỉ do ai cấp, và cuối cùng là lối vào của bạn có phải dấu trang đã xác minh hay không. Làm đủ bốn bước ấy, mỗi lần vào Go88 của bạn sẽ bắt đầu bằng một dòng sạch.
Xin gõ nhắc một dòng cần thiết: các hình thức giải trí có yếu tố may rủi chỉ dành cho người từ đủ 18 tuổi, và bạn cần tuân thủ pháp luật nơi mình cư trú. Hãy giữ giải trí trong giới hạn thời gian và ngân sách do chính bạn đặt ra, chỉ dùng tiền dư, và tự chịu trách nhiệm với từng quyết định của mình.