Hiểu chứng chỉ SSL/TLS: ổ khóa trình duyệt thật sự nói gì khi vào Hitclub
Có một lần tôi nhận được một bức thư niêm phong rất cẩn thận: keo dán chắc, dấu giáp lai đều tay. Tôi tưởng thư ấy chắc chắn do người quen gửi. Hóa ra phong bì kín chỉ nói rằng không ai mở trộm giữa đường, còn người viết thư là ai thì phong bì không cam đoan gì cả. Ổ khóa nhỏ trên thanh địa chỉ trình duyệt cũng hành xử y như vậy, và hiểu đúng điều nó nói giúp ta tránh những cú lừa khi vào Hitclub.
Ảnh: Darko Sokoleski / Unsplash
Ổ khóa thật sự chứng minh điều gì
Khi bạn thấy biểu tượng ổ khóa và địa chỉ bắt đầu bằng "https", nghĩa là kết nối giữa trình duyệt và máy chủ đã được mã hóa bằng giao thức TLS, người kế nhiệm của SSL. Dữ liệu bạn gửi, như mật khẩu hay thông tin thanh toán, được xáo thành chuỗi khó đọc trên đường truyền, nên ai nghe lén ở quán cà phê hay mạng chung cũng không đọc được.
Đó là một lợi ích thật và đáng quý. Nhưng nó chỉ là lớp phong bì: bảo đảm nội dung không bị xem trộm hay sửa đổi giữa đường. Nó không trả lời câu hỏi quan trọng hơn: người đứng ở đầu bên kia có đúng là chủ thật của dịch vụ bạn muốn gặp hay không.
Ổ khóa không chứng minh điều gì
Đây là hiểu lầm phổ biến nhất. Nhiều người nghĩ "có ổ khóa là trang an toàn, là trang thật". Sự thật là ai cũng có thể xin chứng chỉ cho tên miền của chính mình, kể cả kẻ lừa đảo. Nhiều tổ chức cấp chứng chỉ miễn phí, tự động, chỉ yêu cầu chứng minh quyền kiểm soát tên miền đó, chứ không xét ý đồ chủ trang.
Hệ quả là một trang giả mạo, với tên miền do kẻ xấu đăng ký, hoàn toàn có thể có ổ khóa hợp lệ. Nó mã hóa trọn vẹn dữ liệu bạn nhập, nhưng dữ liệu ấy được mã hóa để gửi thẳng đến tay kẻ lừa đảo. Ổ khóa ở đây giống như phong bì kín gửi nhầm địa chỉ: kín thật, nhưng đến sai người.
Cách xem chứng chỉ: đọc dòng ký tên
Trên hầu hết trình duyệt, bạn bấm vào biểu tượng ổ khóa hay biểu tượng thanh địa chỉ, chọn mục về kết nối hoặc chứng chỉ để xem chi tiết. Ba thông tin nên nhìn: tên miền mà chứng chỉ được cấp cho, đơn vị đã cấp chứng chỉ, và thời hạn hiệu lực.
Điều quan trọng nhất là so tên miền trong chứng chỉ với địa chỉ bạn định vào. Chúng phải khớp từng ký tự. Chứng chỉ cấp cho một tên miền na ná thì chỉ chứng minh trang kia có chứng chỉ cho tên miền kia, không liên quan gì đến thương hiệu bạn đang tìm. Bạn cũng sẽ thấy cảnh báo của trình duyệt nếu chứng chỉ hết hạn, không khớp tên hay do đơn vị không đáng tin cấp; đừng bỏ qua cảnh báo đó bằng cách bấm "tiếp tục truy cập".
Nhận diện tên miền giả vẫn có HTTPS
Kẻ lừa đảo hiếm khi dùng một địa chỉ hoàn toàn khác; chúng chơi trò chữ. Một vài kiểu hay gặp: thêm hoặc bớt một chữ cái, hoán đổi hai chữ liền nhau, thay chữ "i" bằng chữ "l" hay số "1", thay chữ o bằng số 0, thêm từ như "chinh-thuc" "ho-tro" "khuyen-mai" vào tên, đổi đuôi miền sang loại khác, hoặc dùng ký tự giống nhau từ bảng chữ cái khác.
Mẹo là đọc địa chỉ chậm, từ phải sang trái ở phần tên miền chính, vì phần quyết định thật sự nằm ngay trước đuôi miền, không phải phần chữ đầu. Một địa chỉ có chữ quen thuộc ở đầu nhưng tên miền thật nằm phía sau là chiêu hay gặp. Cũng cần cảnh giác với địa chỉ được tạo từ dịch vụ rút gọn, vì ta không thấy đích đến thật cho đến khi bấm.
Khi nghi ngờ, đừng cố phân tích mãi; hãy rời trang và đi vào bằng con đường bạn đã xác minh, chứ không bằng đường link mới nhận.
Lưu dấu trang đã xác minh: tờ danh bạ riêng của bạn
Cách bảo vệ đơn giản mà hiệu quả nhất là biến việc kiểm tra thành việc làm một lần. Hãy xác minh địa chỉ Hitclub đúng từ nguồn bạn tin cậy, ví dụ thông tin do chính nền tảng công bố ở kênh chính thức mà bạn tự tìm, rồi lưu thành dấu trang trong trình duyệt. Từ đó trở đi, luôn vào qua dấu trang ấy.
Thói quen này loại bỏ gần hết rủi ro từ link lạ gửi qua tin nhắn, quảng cáo, hay kết quả tìm kiếm có tài trợ. Giống như người giữ cuốn danh bạ riêng với số điện thoại đã ghi đúng, bạn không cần mỗi lần phải tra lại từ đầu. Nếu một ngày địa chỉ thay đổi, chỉ cập nhật khi thông báo đến từ kênh chính thức đã kiểm chứng, và cập nhật có chủ ý, không phải sau khi bấm một đường dẫn lạ.
Những thói quen đi kèm ổ khóa
Ổ khóa chỉ là một mắt xích. Hãy kết hợp với mật khẩu riêng cho từng dịch vụ, bật xác thực hai lớp, cập nhật trình duyệt và hệ điều hành, tránh nhập thông tin trên Wi-Fi công cộng không rõ nguồn, và không bao giờ nhập mã xác thực hay mật khẩu vào cửa sổ hiện ra từ một đường dẫn bạn nhận được bất ngờ. Nếu một trang yêu cầu những thứ không hợp lý, như đòi mật khẩu email hay mã khôi phục, hãy rời đi ngay.
Lời nhắc về chơi có trách nhiệm
Giải trí trực tuyến chỉ dành cho người đủ 18 tuổi trở lên, và bạn phải tuân thủ pháp luật nơi mình cư trú. An toàn kỹ thuật là chưa đủ nếu thiếu an toàn trong thói quen: hãy coi Hitclub như một hình thức giải trí có giới hạn, chỉ dùng tiền nhàn rỗi, đặt ngưỡng thời gian và ngân sách, và nghỉ ngơi khi cần. Nếu thấy khó kiểm soát, đừng ngại tâm sự với người thân hoặc tìm sự hỗ trợ chuyên môn. Mỗi người tự chịu trách nhiệm về lựa chọn của mình.