Hiểu chứng chỉ SSL/TLS: ổ khóa trình duyệt thật sự nói gì khi vào Tipclub

Hãy tưởng tượng một phong bì đánh máy được dán kín bằng sáp, in dấu niêm phong rõ ràng. Dấu sáp nguyên vẹn cho bạn biết một điều: không ai bóc thư giữa đường. Nhưng nó không nói người viết thư là ai. Kẻ lừa đảo hoàn toàn có thể gửi cho bạn một bức thư niêm phong đẹp đẽ. Chiếc ổ khóa nhỏ trên thanh địa chỉ trình duyệt cũng như vậy. Khi bạn vào Tipclub hay bất kỳ trang nào, hiểu chính xác ổ khóa ấy nói gì, và không nói gì, là kỹ năng nhỏ nhưng cứu được nhiều người.

Ảnh: Compagnons / Unsplash

Ổ khóa thực sự chứng minh điều gì

Ổ khóa xuất hiện khi trang dùng HTTPS, tức là kết nối được mã hóa bằng giao thức TLS, tiền thân là SSL. Nó đảm bảo hai việc:

1. Mã hóa: dữ liệu đi giữa trình duyệt và máy chủ bị xáo trộn, người nghe lén trên mạng wifi công cộng không đọc được nội dung.
2. Toàn vẹn: nội dung không bị sửa trên đường đi.

Ngoài ra, chứng chỉ có xác nhận rằng máy chủ đang trả lời bạn thực sự sở hữu tên miền bạn thấy trên thanh địa chỉ. Nhưng "sở hữu tên miền" chỉ có nghĩa là họ làm chủ chính cái tên đó, chứ không có nghĩa tên miền ấy thuộc về thương hiệu bạn nghĩ tới.

Ổ khóa không chứng minh điều gì

Đây là phần nhiều người hiểu nhầm. Ổ khóa không cho biết:

• Trang có phải của thương hiệu bạn định vào không.
• Chủ trang có ý định tốt không.
• Nội dung trang có trung thực không.
• Trang có an toàn khỏi mã độc không.

Chứng chỉ cơ bản (loại xác thực tên miền) được cấp tự động, thường miễn phí, cho bất kỳ ai chứng minh được họ điều khiển một tên miền. Kẻ lừa đảo đăng ký một tên miền na ná thương hiệu, xin chứng chỉ trong vài phút, và trang giả của chúng cũng hiện ổ khóa xanh y như trang thật. Vì thế, câu "có ổ khóa là an toàn" đã lỗi thời từ lâu.

Cách xem chứng chỉ trong vài cú bấm

Mỗi trình duyệt đặt giao diện khác nhau, nhưng nhìn chung bạn làm như sau:

1. Bấm vào biểu tượng ổ khóa (hoặc biểu tượng cài đặt) cạnh thanh địa chỉ.
2. Chọn mục kết nối an toàn rồi chọn xem thông tin chứng chỉ.
3. Đọc vài trường quan trọng.

Những thông tin đáng nhìn:

• Được cấp cho: tên miền chính xác mà chứng chỉ bảo vệ. So từng chữ với tên miền bạn định vào.
• Được cấp bởi: tổ chức phát hành chứng chỉ. Tổ chức uy tín thường là tên bạn có thể tra cứu.
• Thời hạn hiệu lực: ngày bắt đầu và kết thúc. Chứng chỉ mới được cấp vài ngày trước cho một trang tự xưng lâu năm là điểm cần nghi ngờ thêm.
• Tên thay thế chủ thể: danh sách các tên miền khác dùng chung chứng chỉ, có thể tiết lộ trang liên quan.

Một số chứng chỉ loại cao hơn còn hiển thị tên tổ chức đã được xác minh. Nếu thấy có tên pháp nhân rõ ràng và khớp với thông tin chính thức, đó là một tín hiệu cộng thêm, dù vẫn chưa phải bằng chứng tuyệt đối.

Nhận diện tên miền giả vẫn có HTTPS

Vì ổ khóa không giúp được, mắt bạn phải trông cậy vào chính tên miền. Chú ý các mánh sau:

• Thay chữ giống nhau: số 0 thay chữ o, chữ l thường thay chữ i hoa, "rn" thay "m".
• Thêm từ phụ: ghép thêm chữ như "chinh-thuc", "ho-tro", "uu-dai" vào tên thương hiệu.
• Đổi phần đuôi: cùng một tên nhưng dùng đuôi lạ, mong bạn không để ý.
• Tên thương hiệu nằm ở tên miền con: kiểu "tenthuonghieu.mot-trang-khac.xyz", phần chủ nhân thật nằm ở cuối chứ không phải đầu.
• Ký tự quốc tế dễ nhầm: một số chữ cái nước ngoài trông giống hệt chữ Latin.

Quy tắc đọc: luôn đọc tên miền từ phải sang trái, dừng ở phần ngay trước dấu chấm cuối. Đó mới là chủ nhân thực sự. Hãy làm quen với việc nhìn kỹ thanh địa chỉ mỗi lần trước khi nhập thông tin, nhất là khi bạn vừa bấm một liên kết từ nơi khác.

Lưu dấu trang đã xác minh

Giải pháp bền vững nhất không phải là mỗi lần đều soi chứng chỉ, mà là chỉ xác minh một lần rồi lưu lại. Cách làm:

1. Lấy địa chỉ chính thức của Tipclub từ nguồn bạn tin cậy, ví dụ thông tin công bố ở các kênh chính thức của chính nền tảng.
2. Tự gõ vào thanh địa chỉ, kiểm tra tên miền và xem chứng chỉ đúng như hướng dẫn ở trên.
3. Lưu thành dấu trang, đặt vào thư mục riêng, đặt tên dễ nhận.
4. Từ nay chỉ vào qua dấu trang đó. Không bấm liên kết trong tin nhắn, email, bài quảng cáo, kể cả khi trông rất giống thật.

Nếu cần, bạn có thể chép địa chỉ vào một ghi chú an toàn để đối chiếu khi nghi ngờ. Trình duyệt hiện đại cũng thường cảnh báo khi một tên miền nằm trong danh sách lừa đảo, hãy giữ tính năng duyệt web an toàn luôn bật và cập nhật trình duyệt thường xuyên.

Khi trình duyệt cảnh báo chứng chỉ

Nếu thấy màn hình đỏ hoặc thông báo "kết nối không riêng tư", đừng bấm tiếp tục cho nhanh. Nguyên nhân có thể là đồng hồ máy sai giờ, mạng wifi công cộng can thiệp, hoặc tệ hơn là có kẻ chặn giữa đường. Việc nên làm là đóng trang, đổi sang mạng tin cậy rồi thử lại. Đừng nhập mật khẩu hay thông tin thanh toán khi chứng chỉ có vấn đề.

Tóm lại, ổ khóa là dấu niêm phong tốt, nhưng chữ ký người gửi mới là thứ cần đọc. Hãy nhìn tên miền, lưu dấu trang đã xác minh và dùng cả hai. Nội dung về Tipclub dành cho người từ đủ 18 tuổi, mang tính tham khảo. Mỗi người cần tuân thủ pháp luật tại nơi cư trú, đặt giới hạn giải trí hợp lý và tự chịu trách nhiệm với quyết định của mình.