Hiểu chứng chỉ SSL/TLS: ổ khóa trình duyệt thật sự nói gì khi vào Hitclub
Khi gửi một bức thư quan trọng, tôi dán kín phong bì và đóng dấu sáp. Dấu sáp cho biết phong bì chưa bị bóc giữa đường. Nhưng nó không cho biết người viết thư là ai, càng không cho biết nội dung trong thư là đúng sự thật. Ổ khóa nhỏ ở thanh địa chỉ trình duyệt hoạt động y như con dấu sáp ấy. Rất nhiều người nhìn thấy nó rồi yên tâm vô điều kiện khi vào Hitclub hay bất kỳ trang nào khác, và đó là một hiểu lầm đáng để gỡ.
Ảnh: Hikarinoshita Hikari / Unsplash
SSL và TLS là gì, nói cho gọn
SSL là tên cũ, TLS là tên của giao thức hiện đại hơn, nhưng người ta vẫn quen gọi chung là SSL/TLS. Đây là cơ chế mã hóa dữ liệu truyền giữa trình duyệt của bạn và máy chủ của trang web. Nhờ nó, nếu ai đó nghe lén trên đường truyền, ví dụ trong một mạng Wi-Fi công cộng, họ chỉ thấy một dãy ký tự vô nghĩa thay vì mật khẩu hay thông tin bạn nhập.
Khi bạn thấy địa chỉ bắt đầu bằng "https" và có biểu tượng ổ khóa, nghĩa là kết nối giữa bạn và máy chủ đang được mã hóa. Đây là điều tốt, và ta nên tránh nhập thông tin vào trang không có nó. Nhưng hãy giữ chính xác trong đầu: nó đảm bảo đường truyền kín, còn câu hỏi "đầu bên kia là ai" thì ổ khóa chưa trả lời trọn vẹn.
Ổ khóa chứng minh mã hóa, không chứng minh đúng chủ
Đây là điểm cốt lõi của bài. Một chứng chỉ được cấp cho một tên miền khi chủ tên miền đó chứng minh họ kiểm soát nó. Việc này ngày nay rất dễ và thường miễn phí, có thể hoàn tất tự động trong vài phút. Hệ quả là kẻ lừa đảo cũng có thể xin chứng chỉ hợp lệ cho tên miền giả mạo của mình. Trang giả ấy vẫn hiện ổ khóa, vẫn là "https", nhưng chủ của nó là kẻ xấu.
Nói cách khác, ổ khóa trả lời câu "dữ liệu của tôi có bị nghe lén trên đường không" chứ không trả lời "tôi có đang ở đúng trang tôi muốn đến không". Nếu bạn gõ mật khẩu vào một trang giả có ổ khóa, kết nối mã hóa tuyệt đối an toàn, chỉ có điều nó mã hóa việc đưa mật khẩu của bạn thẳng vào tay kẻ gian. Vì vậy, nhận định "có ổ khóa là an toàn" cần được thay bằng "có ổ khóa là điều kiện cần, chưa phải điều kiện đủ".
Cách xem chứng chỉ trên trình duyệt
Bạn không cần kỹ năng đặc biệt để xem. Trên hầu hết trình duyệt, bấm vào biểu tượng ổ khóa cạnh địa chỉ, chọn mục liên quan đến kết nối an toàn rồi xem chi tiết chứng chỉ. Bạn sẽ thấy vài thông tin chính: tên miền mà chứng chỉ được cấp cho, đơn vị cấp phát hành, và ngày hiệu lực bắt đầu cũng như kết thúc.
Hãy đối chiếu ba điều. Tên miền trong chứng chỉ có khớp chính xác với tên miền bạn định vào không. Chứng chỉ có còn hạn không, vì chứng chỉ hết hạn sẽ khiến trình duyệt hiện cảnh báo. Và đơn vị cấp có phải tổ chức quen thuộc, được trình duyệt tin cậy không. Một cảnh báo đỏ toàn trang của trình duyệt là điều tuyệt đối không nên bỏ qua; đừng bấm "tiếp tục" chỉ vì muốn nhanh. Cũng nên biết rằng có loại chứng chỉ xác minh thêm thông tin tổ chức, nhưng nhiều trình duyệt hiện không còn hiển thị khác biệt rõ rệt, nên không thể chỉ dựa vào màu sắc hay biểu tượng.
Nhận diện tên miền giả vẫn có HTTPS
Vì ổ khóa không đủ, phần việc chính chuyển sang đọc tên miền thật kỹ. Kẻ giả mạo hay dùng những mánh sau. Thay đổi một ký tự khó thấy, như đổi chữ "l" thành số "1", hoặc chữ "o" thành số "0". Thêm hoặc bớt một chữ cái, hoán vị hai chữ. Thêm các từ gây tin tưởng như "chinh-thuc", "an-toan", "ho-tro" vào tên miền. Dùng tên miền phụ dài để đẩy phần thật ra khỏi tầm mắt, chẳng hạn tên thương hiệu đặt ở đầu nhưng tên miền chính lại nằm phía sau. Hoặc dùng đuôi miền khác lạ nhưng trông tương tự.
Một thói quen tốt là đọc tên miền từ phải sang trái, tính từ phần cuối ngay trước dấu gạch chéo đầu tiên, vì phần đó mới quyết định chủ thật của trang. Ngoài ra, hãy cảnh giác khi đến một trang thông qua tin nhắn, mạng xã hội hay quảng cáo thay vì tự mình gõ hoặc mở từ nguồn đã lưu. Con đường dẫn đến trang cũng là một dữ kiện về độ đáng tin.
Lưu dấu trang đã xác minh
Giải pháp bền nhất là dựng sẵn một điểm tựa đáng tin. Một lần, bằng sự cẩn thận cao nhất, bạn tìm và xác minh địa chỉ chính thức của Hitclub qua các kênh thông tin chính thống mà bạn tin tưởng, kiểm tra tên miền, xem chứng chỉ khớp. Sau đó hãy lưu nó vào dấu trang của trình duyệt, và từ đó chỉ mở qua dấu trang ấy.
Cách này gạt bỏ gần như mọi mánh gõ sai hay bấm nhầm đường dẫn lạ. Thêm vào đó, hãy đặt tên dấu trang rõ ràng, tránh có nhiều bản gần giống nhau. Nếu dùng trình quản lý mật khẩu, nó thường chỉ điền thông tin đăng nhập trên đúng tên miền đã lưu; khi nó từ chối điền, đó là một tín hiệu hữu ích rằng bạn có thể đang ở trang lạ. Đừng ép điền thủ công trong trường hợp ấy.
Những sai lầm thường gặp
Tin rằng có ổ khóa là trang chính thống. Bỏ qua cảnh báo chứng chỉ của trình duyệt. Chỉ liếc đầu tên miền mà không đọc hết. Vào trang từ đường dẫn trong tin nhắn lạ. Nhập thông tin nhạy cảm khi đang dùng Wi-Fi công cộng không rõ nguồn. Và quên cập nhật trình duyệt, khiến các lớp bảo vệ mới nhất không được áp dụng.
Đọc con dấu, rồi đọc cả người gửi
Quay lại hình ảnh phong bì: dấu sáp rất hữu ích, nhưng người cẩn thận vẫn xem tên người gửi và nét chữ. Hãy dùng ổ khóa để biết đường truyền kín, rồi dùng tên miền, chứng chỉ và dấu trang đã xác minh để biết người gửi là thật.
Lưu ý: dịch vụ giải trí trực tuyến chỉ dành cho người từ đủ 18 tuổi trở lên. Hãy tuân thủ pháp luật nơi bạn cư trú, chỉ dùng Hitclub như một hình thức giải trí trong giới hạn thời gian và ngân sách do bạn tự đặt, và tự chịu trách nhiệm với quyết định của mình.
Tham khảo thông tin tại nhà cái Hitclub.