Bạn có bao giờ để ý thấy một ổ khóa nhỏ nằm ngay trước địa chỉ của trang web bạn đang mở không? Bài này giải thích chậm rãi xem HTTPS là gì, ổ khóa ấy nói lên điều gì, và khi nào bạn nên dừng lại thay vì nhập mật khẩu, mời bạn đọc tiếp nhé.
HTTPS là gì, và một chữ S đổi được điều gì?
HTTPS là viết tắt của HyperText Transfer Protocol Secure, tức là giao thức HTTP quen thuộc nhưng có thêm một lớp bảo mật. Bạn cứ hình dung thế này cho dễ. Gửi dữ liệu bằng HTTP giống như gửi một tấm bưu thiếp không có phong bì: ai cầm qua trên đường cũng đọc được nội dung bên trong. Gửi bằng HTTPS thì giống như bỏ thư vào phong bì niêm phong rồi mới gửi đi: người lạ có cầm được cũng chỉ thấy một mớ ký tự khó hiểu, không đọc được bạn viết gì.
Ví dụ cụ thể sẽ thấy rõ hơn. Khi bạn đăng nhập một tài khoản hay thanh toán một đơn hàng 300.000 đồng, trình duyệt phải gửi mật khẩu hoặc thông tin thanh toán của bạn tới máy chủ của trang web. Nếu đường truyền là HTTP, những thông tin ấy đi dưới dạng chữ thường, ai chặn được đường truyền cũng đọc được. Nếu đường truyền là HTTPS, chúng được mã hóa trước khi gửi, và chỉ máy chủ đích mới có chìa khóa để mở ra đọc. Đó là khác biệt lớn nhất mà một chữ S mang lại.
Bảng dưới đây tóm tắt nhanh hai giao thức để bạn đối chiếu:
| Tiêu chí | HTTP | HTTPS |
|---|---|---|
| Dữ liệu trên đường truyền | Chữ thường, ai chặn được cũng đọc được | Đã mã hóa, người lạ chặn được cũng không đọc được |
| Cổng mặc định | 80 | 443 |
| Chứng chỉ bảo mật | Không cần | Cần chứng chỉ SSL/TLS hợp lệ |
| Dấu hiệu trên trình duyệt | Thường bị gắn chữ "Không an toàn" | Hiện ổ khóa |
Ổ khóa trên trình duyệt nói lên ba điều
Khi bạn thấy ổ khóa hiện lên cùng chữ https ở đầu địa chỉ, trình duyệt đang báo cho bạn ba điều cùng lúc. Thứ nhất, dữ liệu giữa bạn và trang web đã được mã hóa. Thứ hai, danh tính của trang web đã được xác thực: bạn đang kết nối đúng tới trang mang tên miền ấy. Thứ ba, dữ liệu khó bị sửa lén trên đường truyền mà không bị phát hiện.
Cơ chế đằng sau ổ khóa ấy có thể kể gọn bằng một ẩn dụ. Trang web giữ một chiếc chìa khóa riêng, chỉ duy nhất nó nắm giữ. Nó đưa cho mọi người một ổ khóa công khai, ai cũng có thể dùng ổ khóa ấy để khóa thư gửi cho nó. Thư đã khóa rồi thì chỉ chiếc chìa khóa riêng kia mới mở được. Trình duyệt và máy chủ còn “bắt tay” với nhau một lượt rất nhanh trước khi gửi dữ liệu thật, để thống nhất cách mã hóa và kiểm tra chứng chỉ. Toàn bộ việc này diễn ra trong tích tắc, bạn chỉ thấy kết quả là ổ khóa hiện lên.
Một chi tiết tên gọi hay gây nhầm: nhiều nơi vẫn quen miệng gọi là “chứng chỉ SSL”, nhưng công nghệ đang chạy thực tế ngày nay là TLS, thường là TLS 1.2 hoặc TLS 1.3. SSL là thế hệ cũ đã ngừng dùng từ lâu vì có lỗ hổng. Bạn chỉ cần nhớ: SSL/TLS hôm nay là lớp mã hóa đứng sau chữ S.
Chứng chỉ SSL/TLS: ai đứng ra bảo đảm cho ổ khóa?
Ổ khóa không tự dưng mà có. Để một trang web dùng được HTTPS, chủ trang phải có chứng chỉ SSL/TLS do một tổ chức cấp chứng chỉ đáng tin cậy phát hành, thường gọi là CA. Hai cái tên bạn có thể gặp là Let’s Encrypt, cấp chứng chỉ miễn phí cho rất nhiều trang web nhỏ, và DigiCert, một nhà cấp chứng chỉ lâu đời. Chứng chỉ ghi rõ tên miền được bảo vệ và thời hạn sử dụng, giống như một giấy tờ có hạn mà chủ trang phải gia hạn khi hết.
Trước khi hiện ổ khóa, trình duyệt kiểm tra xem chứng chỉ có còn hạn không, có đúng tên miền bạn đang mở không, và có phải do một CA mà trình duyệt tin cậy cấp không. Chỉ cần một trong các điều kiện ấy hỏng, trình duyệt sẽ không hiện ổ khóa yên lành nữa mà chuyển sang cảnh báo. Cách làm này có một ý nghĩa thực tế: bạn không phải tự tin vào lời chủ trang nói “trang tôi an toàn”, mà có một bên thứ ba đứng ra xác nhận tên miền và cấp chứng chỉ cho họ.
Khi trình duyệt báo "Không an toàn", bạn nên hiểu thế nào?
Không phải mọi cảnh báo đều giống nhau, và hiểu đúng từng dạng sẽ giúp bạn phản ứng đúng. Bảng dưới đây liệt kê các dạng bạn hay gặp nhất:
| Dấu hiệu bạn thấy | Thường có nghĩa là |
|---|---|
| Chữ "Không an toàn" màu xám, hoặc biểu tượng thông tin thay cho ổ khóa | Trang đang dùng HTTP, không có mã hóa |
| Trang chặn hẳn với dòng "Kết nối của bạn không phải là kết nối riêng tư" | Chứng chỉ có vấn đề: hết hạn, sai tên miền, hoặc do bên phát hành không đáng tin |
| Ổ khóa có dấu cảnh báo, hoặc ổ khóa biến mất dù địa chỉ vẫn là https | Trang tải kèm một số nội dung qua HTTP, gọi là nội dung hỗn hợp |
Thấy cảnh báo thì dừng lại đã. Gặp các dấu hiệu này, việc an toàn nhất là khoan nhập mật khẩu, mã OTP hay số thẻ vào trang đó. Bạn có thể kiểm tra lại xem bạn có gõ sai tên miền không, vì chỉ sai một chữ cái cũng có thể đưa bạn tới một trang hoàn toàn khác. Bạn cũng nên kiểm tra ngày giờ trên máy, vì đồng hồ hệ thống sai lệch nhiều có thể khiến trình duyệt đánh giá sai hạn chứng chỉ. Nếu đó là trang bạn vẫn hay dùng mà bỗng dưng báo lỗi, hãy thử lại sau hoặc liên hệ đúng kênh chính thức của trang đó thay vì bấm “vẫn tiếp tục” theo thói quen.
Một lưu ý riêng cho wifi công cộng ở quán cà phê hay sân bay: mạng ở đó có nhiều người lạ cùng dùng, nên đường truyền không mã hóa càng dễ bị nhòm ngó. Dùng HTTPS ở những nơi này không phải là thừa thãi, mà là lúc nó phát huy tác dụng rõ nhất.
Ổ khóa không phải là giấy bảo đảm mọi thứ
Đây là điểm cần nói rõ, vì nhiều bạn hay hiểu lầm. Một trang lừa đảo hoàn toàn có thể xin chứng chỉ miễn phí và hiện ổ khóa đàng hoàng, bởi vì ổ khóa chỉ chứng minh rằng đường truyền tới đúng tên miền ấy được mã hóa. Nó không chứng minh rằng chủ trang là người tử tế, hàng hóa là hàng thật, hay nội dung trên trang là đúng sự thật. Kẻ lừa đảo chỉ cần đăng ký một tên miền na ná tên thật, xin chứng chỉ, rồi dựng một trang đăng nhập giả là đã có ổ khóa.
Vì vậy, ổ khóa là điều kiện cần, không phải điều kiện đủ. Bạn nên xem nó cùng với tên miền: địa chỉ có đúng chính tả không, có thêm chữ lạ không, bạn vào trang bằng đường link từ đâu. Một mật khẩu mạnh cũng vẫn cần thiết song song với HTTPS, vì HTTPS chỉ bảo vệ mật khẩu trên đường truyền, chứ không cứu được một mật khẩu quá dễ đoán. Bạn có thể thử độ mạnh mật khẩu của bạn bằng công cụ kiểm tra độ mạnh mật khẩu do Công Cụ Việt làm, nhưng nói thẳng là công cụ ấy chỉ ước lượng độ khó đoán, không kiểm tra xem mật khẩu của bạn đã từng bị lộ trong vụ rò rỉ nào hay chưa.
Kết luận: nhìn ổ khóa trước khi gõ mật khẩu
Nếu chỉ giữ lại một thói quen sau bài này, hãy giữ thói quen này: trước khi đăng nhập hay thanh toán ở bất kỳ trang nào, liếc lên thanh địa chỉ một cái, xem có https và ổ khóa không. Có thì cứ yên tâm hơn một phần, vì đường truyền đã được mã hóa và đúng tên miền. Không có, hoặc trình duyệt đang cảnh báo, thì dừng nhập thông tin nhạy cảm lại và kiểm tra kỹ trước đã. Một cái liếc mắt tốn chưa tới một giây, nhưng nó chặn được đúng loại rủi ro âm thầm nhất trên mạng: dữ liệu của bạn bị đọc trộm ngay trên đường đi.
Hỏi đáp nhanh
Trang hiện ổ khóa nhưng tên miền hơi khác trang quen dùng thì sao?
Vẫn nên dừng lại. Kẻ lừa đảo có thể đăng ký một tên miền na ná tên thật rồi xin chứng chỉ miễn phí để trang giả cũng hiện ổ khóa, nên hãy kiểm tra kỹ chính tả tên miền và nguồn của đường link dẫn bạn tới trang trước khi nhập bất kỳ thông tin nào.
Thấy ổ khóa có nghĩa là trang web đó uy tín không?
Không hẳn. Ổ khóa chỉ nói rằng kết nối tới đúng tên miền ấy được mã hóa, chứ không bảo đảm chủ trang trung thực hay hàng hóa là thật. Bạn vẫn cần kiểm tra kỹ tên miền và nguồn link dẫn tới trang.
Trang quen dùng bỗng báo không an toàn thì làm gì?
Khoan nhập mật khẩu hay số thẻ. Kiểm tra lại tên miền xem có gõ sai không, kiểm tra ngày giờ trên máy, rồi thử lại sau hoặc liên hệ kênh chính thức của trang đó. Đừng bấm tiếp tục theo thói quen khi chưa rõ nguyên nhân.
Bạn có thể đọc thêm các bài khác trong chuyên mục Công nghệ & Lập trình của Công Cụ Việt.
