SSL là gì? Tìm hiểu về chứng chỉ Secure Sockets Layer?

1. SSL là gì?

– SSL, hay Lớp cổng bảo mật, là một giao thức bảo mật Internet dựa trên mã hóa. Nó được Netscape phát triển lần đầu tiên vào năm 1995 với mục đích đảm bảo quyền riêng tư, xác thực và tính toàn vẹn của dữ liệu trong truyền thông Internet. SSL là tiền thân của mã hóa TLS hiện đại được sử dụng ngày nay.

– Lớp ổ cắm bảo mật (SSL) là một giao thức mạng được thiết kế để đảm bảo kết nối giữa các máy khách web và máy chủ web qua một mạng không an toàn, chẳng hạn như internet. Netscape chính thức giới thiệu giao thức SSL vào năm 1995, biến nó trở thành giao thức được sử dụng rộng rãi đầu tiên để đảm bảo các giao dịch trực tuyến giữa người tiêu dùng và doanh nghiệp. Cuối cùng nó đã được sử dụng để bảo mật xác thực và mã hóa cho các ứng dụng khác ở lớp truyền tải mạng .

– SSL gặp phải nhiều vấn đề và Lực lượng Đặc nhiệm Kỹ thuật Internet ( IETF ) đã ngừng khuyến nghị sử dụng nó vào năm 2015. Nó được thay thế bằng giao thức Bảo mật tầng truyền tải ( TLS ). Mặc dù SSL vẫn còn được sử dụng ngày nay, chủ yếu là trong các hệ thống cũ, nhưng TLS đã đảm nhận vai trò của nó trong việc đảm bảo kết nối internet.

– SSL sử dụng mã hóa khóa công khai và khóa riêng và các chức năng mật mã khác để bảo mật kết nối giữa các thiết bị giao tiếp qua mạng TCP / IP . SSL có thể xáo trộn văn bản rõ ràng được nhập trên một trang web bằng cách sử dụng mật mã không đối xứng và mã hóa khóa công khai. Đó chỉ là một trong những cách mà cơ sở hạ tầng khóa công khai ( PKI ) được các doanh nghiệp hiện đại sử dụng.

2. Cách hoạt động của SSL:

+ Để cung cấp mức độ bảo mật cao , SSL mã hóa dữ liệu được truyền trên web. Điều này có nghĩa là bất kỳ ai cố gắng chặn dữ liệu này sẽ chỉ thấy một hỗn hợp các ký tự bị cắt xén mà gần như không thể giải mã được.

+ SSL bắt đầu một quá trình xác thực được gọi là bắt tay giữa hai thiết bị giao tiếp để đảm bảo rằng cả hai thiết bị đều thực sự đúng như những gì chúng tuyên bố.

+ SSL cũng ký số vào dữ liệu để cung cấp tính toàn vẹn của dữ liệu , xác minh rằng dữ liệu không bị giả mạo trước khi đến tay người nhận dự định. Đã có một số lần lặp lại SSL, mỗi lần đều an toàn hơn lần trước. Năm 1999 SSL được cập nhật để trở thành TLS.

3. Tìm hiểu về chứng chỉ Secure Sockets Layer: 

– Ban đầu, dữ liệu trên Web được truyền ở dạng văn bản rõ ràng mà bất kỳ ai cũng có thể đọc được nếu họ chặn được thông điệp. Ví dụ: nếu một người tiêu dùng truy cập trang web mua sắm, đặt hàng và nhập số thẻ tín dụng của họ trên trang web, thì số thẻ tín dụng đó sẽ được di chuyển trên Internet không bị che giấu.

– SSL được tạo ra để khắc phục sự cố này và bảo vệ quyền riêng tư của người dùng. Bằng cách mã hóa bất kỳ dữ liệu nào đi giữa người dùng và máy chủ web, SSL đảm bảo rằng bất kỳ ai chặn dữ liệu cũng chỉ có thể nhìn thấy một mớ ký tự lộn xộn. Số thẻ tín dụng của người tiêu dùng hiện an toàn, chỉ hiển thị trên trang web mua sắm nơi họ đã nhập số đó.

– SSL cũng ngăn chặn một số loại tấn công mạng: Nó xác thực các máy chủ web, điều này rất quan trọng vì những kẻ tấn công thường cố gắng thiết lập các trang web giả để lừa người dùng và đánh cắp dữ liệu. Nó cũng ngăn những kẻ tấn công giả mạo dữ liệu trong quá trình vận chuyển, giống như một con dấu chống giả mạo trên hộp đựng thuốc.

– Một phần ý nghĩa của SSL nằm ở thực tế rằng nó là giao thức mạng được sử dụng rộng rãi và được triển khai rộng rãi đầu tiên để cho phép truyền thông được bảo mật bằng mật mã giữa các hệ thống máy khách và máy chủ.- SSL trở thành một phần quan trọng của bảo mật internet do các vấn đề với Giao thức truyền siêu văn bản ( HTTP ), khuôn khổ được sử dụng để kết nối máy khách web với máy chủ web. HTTP sử dụng mạng công cộng và thiếu mã hóa, khiến nó dễ bị tấn công. Những kẻ độc hại có thể dễ dàng đọc hoặc trích xuất tên, địa chỉ, số thẻ tín dụng và các thông tin nhận dạng cá nhân khác được gửi đến một trang web. Đây là lý do tại sao HTTP qua SSL ( HTTPS ), còn được gọi là HTTP Secure, đã trở thành người kế nhiệm an toàn hơn của HTTP.

– Chứng chỉ SSL: SSL chỉ có thể được triển khai bởi các trang web có chứng chỉ SSL (về mặt kỹ thuật là “chứng chỉ TLS”). Chứng chỉ SSL giống như một thẻ ID hoặc một huy hiệu chứng minh ai đó là chính họ. Chứng chỉ SSL được lưu trữ và hiển thị trên Web bởi máy chủ của trang web hoặc ứng dụng.

– Một trong những phần thông tin quan trọng nhất trong chứng chỉ SSL là khóa công khai của trang web . Khóa công khai giúp cho việc mã hóa có thể thực hiện được. Thiết bị của người dùng xem khóa công khai và sử dụng khóa này để thiết lập khóa mã hóa an toàn với máy chủ web. Trong khi đó máy chủ web cũng có một khóa riêng được giữ bí mật; khóa riêng tư giải mã dữ liệu được mã hóa bằng khóa công khai.

– Cơ quan cấp chứng chỉ (CA) chịu trách nhiệm cấp chứng chỉ SSL.

– Các loại chứng chỉ SSL : Có một số loại chứng chỉ SSL khác nhau . Một chứng chỉ có thể áp dụng cho một trang web hoặc một số trang web, tùy thuộc vào loại:

+ Một miền: Chứng chỉ SSL một miền chỉ áp dụng cho một miền (“miền” là tên của một trang web, như www.cloudflare.com).

+ Ký tự đại diện: Giống như chứng chỉ một miền, chứng chỉ SSL ký tự đại diện chỉ áp dụng cho một miền. Tuy nhiên, nó cũng bao gồm các miền phụ của miền đó. Ví dụ: chứng chỉ ký tự đại diện có thể bao gồm www.cloudflare.com, blog.cloudflare.com và Develop.cloudflare.com, trong khi chứng chỉ một miền chỉ có thể bao gồm chứng chỉ đầu tiên.

+ Đa miền: Như tên đã chỉ ra, chứng chỉ SSL đa miền có thể áp dụng cho nhiều miền không liên quan.

– Ba loại chứng chỉ SSL có thể nhận được là: Xác thực mở rộng ( EV SSL ), Xác thực tổ chức (OV SSL) và Xác thực miền (DV SSL). Các cấp độ mã hóa của chúng giống nhau, nhưng các quy trình được sử dụng để xác minh người đăng ký chứng chỉ khác nhau. Một số khác biệt bao gồm:

+ EV SSL xác minh sự tồn tại và danh tính của tổ chức tạo ứng dụng và quyền sử dụng miền mà tổ chức đó đang áp dụng. Cần có một loạt các tài liệu bổ sung để có được một, cũng như kiểm tra lý lịch. Có thể mất năm ngày làm việc trở lên để nhận được chứng chỉ này.

+ OV SSL xác nhận quyền của người đăng ký sử dụng miền và thực hiện một số kiểm tra của tổ chức. Có thể mất từ ​​hai đến năm ngày để có được.

+ DM SSL xác minh người gửi yêu cầu: Thông tin công ty không được kiểm tra. Nó chỉ yêu cầu xác nhận yêu cầu qua email hoặc internet. Nó có thể được lấy trong một vài giờ.

– Chứng chỉ SSL cũng đi kèm với các cấp độ xác thực khác nhau. Mức xác nhận giống như kiểm tra lý lịch và mức độ thay đổi tùy thuộc vào mức độ kỹ lưỡng của việc kiểm tra.

+ Xác thực tên miền: Đây là cấp độ xác thực ít nghiêm ngặt nhất và rẻ nhất. Tất cả những gì doanh nghiệp phải làm là chứng minh họ kiểm soát miền.

+ Xác thực tổ chức: Đây là một quá trình thực hành hơn: CA liên hệ trực tiếp với cá nhân hoặc doanh nghiệp yêu cầu chứng chỉ. Những chứng chỉ này đáng tin cậy hơn đối với người dùng.

+ Xác thực mở rộng: Điều này yêu cầu kiểm tra lý lịch đầy đủ của một tổ chức trước khi chứng chỉ SSL có thể được cấp.

– Cách lấy chứng chỉ SSL:  Quy trình giao thức SSL bắt đầu với việc một công ty có được chứng chỉ SSL hợp lệ từ tổ chức phát hành chứng chỉ đáng tin cậy ( CA ). Mục đích của chứng chỉ SSL là xác nhận với người dùng và trình duyệt web mà họ đang sử dụng rằng họ đang tương tác với máy chủ web mong muốn chứ không phải là kẻ mạo danh.

– SSL là tiền thân trực tiếp của một giao thức khác được gọi là TLS (Bảo mật lớp truyền tải). Năm 1999, Lực lượng Đặc nhiệm Kỹ thuật Internet (IETF) đã đề xuất một bản cập nhật cho SSL. Vì bản cập nhật này đang được phát triển bởi IETF và Netscape không còn tham gia nữa nên tên này đã được đổi thành TLS. Sự khác biệt giữa phiên bản cuối cùng của SSL (3.0) và phiên bản đầu tiên của TLS là không lớn; việc thay đổi tên đã được áp dụng để biểu thị sự thay đổi về quyền sở hữu.

– Vì chúng có liên quan chặt chẽ với nhau nên hai thuật ngữ này thường được sử dụng thay thế cho nhau và gây nhầm lẫn. Một số người vẫn sử dụng SSL để chỉ TLS, những người khác sử dụng thuật ngữ “mã hóa SSL / TLS” bởi vì SSL vẫn còn quá nhiều nhận dạng tên.

– SSL đã không được cập nhật kể từ SSL 3.0 vào năm 1996 và hiện được coi là không được dùng nữa. Có một số lỗ hổng đã biết trong giao thức SSL và các chuyên gia bảo mật khuyên bạn nên ngừng sử dụng giao thức này. Trên thực tế, hầu hết các trình duyệt web hiện đại không còn hỗ trợ SSL nữa.

– TLS là giao thức mã hóa cập nhật vẫn đang được triển khai trực tuyến, thậm chí nhiều người vẫn gọi nó là “mã hóa SSL”. Đây có thể là một nguồn gây nhầm lẫn cho ai đó đang mua sắm các giải pháp bảo mật. Sự thật là bất kỳ nhà cung cấp nào cung cấp “SSL” ngày nay gần như chắc chắn đang cung cấp tính năng bảo vệ TLS, vốn là tiêu chuẩn ngành trong hơn 20 năm. Nhưng vì nhiều người vẫn đang tìm kiếm “bảo vệ SSL”, thuật ngữ này vẫn xuất hiện nổi bật trên nhiều trang sản phẩm.