Chứng chỉ SSL là gì?

SSL là gì? Có lợi ích gì khi áp dụng không?

SSL là viết tắt của cụm từ Secure Sockets Layer, là tiêu chuẩn công nghệ áp dụng để tạo ra một liên kết được mã hóa giữa máy chủ và trình duyệt, nhằm đảm bảo các dữ liệu trao đổi qua lại luôn được bảo mật và an toàn.

Tiêu chuẩn này được cấp cho website, tổ chức, cổng thông tin… dưới dạng chứng chỉ SSL. Xác nhận này tương tự như ví dụ trong thư tín, khi bên thứ 3 đóng dấu niêm phong xác nhận lên thư để khẳng định thư còn nguyên vẹn trong quá trình vận chuyển.

Tổ chức IETF (Internet Engineering Task Force) đã chuẩn hóa SSL và đặt lại tên là TLS (Transport Layer Security). Mặc dù tên gọi khác đi nhưng bản chất TSL chỉ là một phiên bản mới của SSL. Phiên bản TSL 1.0 tương đương với phiên bản SSL 3.1. Tuy nhiên hiện tại thuật ngữ SSL được sử dụng rộng rãi hơn.

Giải thích SSL hoạt động thế nào

Lấy ví dụ như dịch vụ chuyển phát thư tín để minh họa:

Người gửi cho chứng từ vào phong bì dán kín, và chuyển cho nhân viên chuyển phát nhanh. Công ty chuyển phát nhanh sẽ chuyển bì thư này từ người gửi đến người nhận, và lấy ký nhận. Sau đó, bên chuyển phát sẽ thông báo cho người gửi rằng phong bì đã được giao (có thể chỉ đưa thông tin ngày nhận, người nhận lên mạng để người gửi tự check).

Thường thì không có vấn đề gì xảy ra, người nhận có phong bì chứng từ là xong. Các bên hoàn thành nghĩa vụ.

Nhưng giả sử, khi mở phong bì ra, người nhận thấy thiếu một loại chứng từ gốc quan trọng (chẳng hạn hợp đồng mua bán, thư tín dụng, hối phiếu). Trong khi người gửi khẳng định đã gửi rồi. Thông tin vênh nhau sẽ dẫn tới 1 nghi ngờ rằng, có khả năng, bì thư đã bị mở ra trên đường vận chuyển. Nhưng không có cách nào để kiểm tra hay loại bỏ nghi ngờ đó.

Điều này tương tự như với kết nối giữa máy chủ (web server) và trình duyệt (browser). Khi trình duyệt gửi yêu cầu (request) tới máy chủ, để lấy dữ liệu về hiển thị lên cho người đọc xem.

Trình duyệt đóng vai trò như người gửi thư
Router như người chuyển phát nhanh
Server như người nhận thư

Do độ tin cậy của các router trên internet là khác nhau, do đó có khả năng về mặt an toàn, là dữ liệu có thể bị đánh cắp hoặc thất lạc trong quá trình gửi và nhận dữ liệu qua lại giữa trình duyệt và máy chủ (người gửi và người nhận).

Giờ nếu có một bên thứ 3 nào đó đứng ra kiểm tra, niêm phong xác nhận bì thư trước khi gửi đi để khi nhận được thư còn nguyên niêm phong, người nhận chắc chắn rằng bì thư còn nguyên vẹn (không bị mở ra xem trộm thông tin), thì tính an toàn đã được đảm bảo.

Điều này tương tự như trong truyền internet, và bên thứ 3 đó chính là tổ chức cấp chứng chỉ SSL. Chứng chỉ này đảm bảo rằng thông tin truyền dẫn qua lại giữa bên gửi và bên nhận được tách biệt, riêng tư, và an toàn. Cả trình duyệt (người gửi) và máy chủ (người nhận) đều thấy thông tin được mã hóa khi nhận và gửi thông tin.

Đó chính là ý nghĩa của SSL.

Thực chất SSL làm việc như thế nào?

SSL đã kết hợp những yếu tố sau để thiết lập được một giao dịch an toàn:

Xác thực: đảm bảo tính xác thực của trang mà khách hàng sẽ làm việc ở đầu kia của kết nối. Cũng như vậy, các trang Web cũng cần phải kiểm tra tính xác thực của người sử dụng.
Mã hoá: đảm bảo thông tin không thể bị truy cập bởi đối tượng thứ ba. Để loại trừ việc nghe trộm những thông tin “nhạy cảm” khi nó được truyền qua Internet, dữ liệu phải được mã hoá để không thể bị đọc được bởi những người khác ngoài người gửi và người nhận.
Toàn vẹn dữ liệu: đảm bảo thông tin không bị sai lệch và nó phải thể hiện chính xác thông tin gốc gửi đến. Với việc sử dụng SSL, các Website có thể cung cấp khả năng bảo mật thông tin, xác thực và toàn vẹn dữ liệu đến người dùng. SSL được tích hợp sẵn vào các browser và Web server, cho phép người sử dụng làm việc với các trang Web ở chế độ an toàn.

Dưới đây là 3 bước mà SSL giúp bảo vệ thông tin giao dịch trực tuyến và giúp nâng cao mức độ tin cậy của website đối với khách hàng:

Cụ thể hóa quá trình trao đổi thông tin:

Trình duyệt làm thế nào để kiểm tra một SSL là có thực hay không?

Khi Website (trên Server) gửi cho trình duyệt một chứng chỉ SSL, trình duyệt sẽ gửi chứng chỉ này đến một máy chủ lưu trữ các chứng chỉ số đã được phê duyệt của nhà cung cấp chứng chỉ SSL.

Về mặt kỹ thuật, SSL sử dụng mã hóa công khai. Kỹ thuật này giúp cho Website và trình duyệt tự thỏa thuận (bước 4 ở hình trên) một bộ khóa sẽ dùng trong suốt quá trình trao đổi thông tin sau đó. Bộ khóa sẽ thay đổi theo mỗi trong lần giao dịch kế tiếp, một người khác sẽ không thể giải mã ngay cả khi có được dữ liệu của máy chủ lưu trữ chứng chỉ số nói trên.

Đến đây chúng ta đã hình dung được SSL là gì và cách thức hoạt động của công nghệ này. Giờ hãy xem những lợi ích mà nó mang lại.

Lợi ích của SSL là gì?

Xuất phát từ chính khả năng bảo đảm an toàn dữ liệu trao đổi qua lại, mà SSL đem lại nhiều lợi ích như sau:

Bảo mật dữ liệu tốt hơn, nhất là dữ liệu cá nhân hay thông tin thẻ tín dụng. Điều này rất quan trọng với các trang web về thương mại điện tử có tích hợp thanh toán trực tuyến
Nâng cao độ tin cậy và thương hiệu với người dùng và khách hàng tiềm năng. Người dùng có thể xác thực tên miền do bạn sở hữu, hay ở cấp độ cao hơn là tên doanh nghiệp bạn đã được đăng ký.
Hiệu quả làm SEO tốt hơn, vì Goolge coi SSL là một trong những tiêu chí để đánh giá xếp hạng website.

Có những loại SSL nào:

Theo mức độ và quy mô của website cần bảo vệ, bạn có thể xem xét một số loại SSL phổ biến:

DV SSL (Domain Validation – Xác thực tên miền): Chứng thư số SSL chứng thực cho tên miền. Khi 1 Website sử dụng DV SSL thì sẽ được xác thực tên miền (domain), website đã được mã hoá an toàn khi trao đổi dữ liệu.
OV SSL (Organization Validation – Xác thực tổ chức): Chứng thư số SSL chứng thực cho Website và xác thực doanh nghiệp đang sở hữu website đó.
EV SSL (Extended Validation – Xác thực mở rộng): Cho khách hàng của bạn thấy Website đang sử dụng chứng thư SSL có độ bảo mật cao nhất và được rà soát pháp lý kỹ càng với thanh địa chỉ sáng màu xanh, hiển thị đầy đủ thông tin của công ty, cung cấp một cấp độ cao hơn tin tưởng vào website của bạn.
Wildcard SSL (Wildcard SSL Certificate): Sản phẩm lý tưởng dành cho các cổng thương mại điện tử. Các website dạng này thường có thể tạo ra các trang e-store dành cho các chủ cửa hàng trực tuyến, mỗi e-store là một tên miền phụ (sub-domain) và được chia sẻ trên một địa chỉ IP duy nhất. Khi đó, để triển khai giải pháp bảo bảo mật giao dịch trực tuyến (khi đặt hàng, thanh toán, đăng ký và đăng nhập tài khoản,…) bằng SSL, chúng ta có thể dùng duy nhất một chứng chỉ số Wildcard cho tên miền chính của website và dùng chung một địa chỉ IP duy nhất để chia sẻ cho tất cả các sub-domain.
SANs: Nhiều tên miền hợp nhất trong 1 chứng thư số Một chứng thư số SSL tiêu chuẩn chỉ bảo mật cho duy nhất một tên miền đã được kiểm định. Lựa chọn thêm SANs cho phép bảo mật tới 40 tên miền và máy chủ chỉ với một chứng thư số. SANs mang lại sự linh hoạt cho người sử dụng, dễ dàng hơn trong việc cài đặt, sử dụng và quản lý chứng thư số SSL. Ngoài ra, SANs có tính bảo mật cao hơn Wildcard SSL, đáp ứng chính xác yêu cầu an toàn đối với máy chủ và làm giảm tổng chi phí triển khai SSL tới tất cả các tên miền và máy chủ cần thiết.

Mua chứng chỉ SSL ở đâu?

Trên thị trường hiện nay có nhiều nhà cung cấp dịch vụ này, cả trong và ngoài nước. Dưới đây là một số nhà cung cấp có tên tuổi mà bạn có thể tham khảo lựa chọn:

Quốc tế: Comodo, Digicert, GoDaddy, Symantec…
Trong nước (nhà phân phối): PAVietnam, Nhân Hòa…

Một số trang web có hướng dẫn cách tìm mua chứng chỉ SSL giá rẻ, thậm chí miễn phí (như CLOUDFLARE). Tôi chưa kịp kiểm chứng, nên chưa tiện giới thiệu ở đây.

Khi đặt mua, bạn cần chuẩn bị sẵn 2 thông số dưới đây để khai báo với nhà cung cấp:

Web Server Type (Loại máy chủ web): check lại với bên cung cấp hosting, nếu bạn không rõ thông tin này.
CSR (Certificate Signing Request) là 1 đoạn text (chứa thông tin của chủ sở hữu tên miền) được mã hóa từ server (máy chủ) chuẩn bị cài đặt SSL. Bạn có thể tự tạo CSR trong CPanel của server, hoặc dùng công cụ miễn phí online như csrgenerator.com. Chỉ cần vào đó, nhập thông tin theo yêu cầu, rồi nhấn Enter là được chuỗi ký tự. Nhập xong mà thấy chưa chắc về chuỗi CSR có đúng thông tin về web của mình không, bạn có thể giải mã (decoding) chuỗi này bằng công cụ CSR Decoder, và kiểm tra lại. Nếu kết quả giải mã mà đúng là yên tâm gửi cho nhà cung cấp chứng chỉ SSL.

Quan hệ giữa SSL với HTTPS

HTTPS (Hypertext Transfer Protocol Secure) là một sự kết hợp giữa giao thức truyền tải dữ liệu HTTP (Hypertext Transfer Protocol) và tiêu chuẩn bảo mật SSL (hoặc TLS) cho phép trao đổi thông tin một cách bảo mật trên internet.

Thông tin truyền qua giao thức HTTP chỉ là dạng văn bản thuần túy (plain text), nên có thể bị hacker đọc được nếu xâm nhập vào đường truyền giữa trình duyệt và website (kiểu như bóc phong bì là xem được nội dung thư).

Nhưng với kết nối HTTPS, tất cả thông tin được mã hóa an toàn. Do đó ngay cả khi ai đó đột nhập được vào đường truyền thì cũng không thể giải mã dữ liệu để xâm phạm lợi ích (bóc được phong bì, nhưng thư đã mã hóa, nên đọc cũng chẳng hiểu gì). Chính vì vậy, kết nối HTTPS được an toàn hơn.

Cài đặt SSL thế nào?

Việc này liên quan nhiều đến yếu tố kỹ thuật, và thường là do người thiết kế website đảm nhiệm. Các bước cài đặt có thể khác nhau tùy theo những yếu tố cụ thể như: Nhà cung cấp hosting, hệ điều hành sử dụng…

Bạn có thể tham khảo một số hướng dẫn như sau:

Kết luận

Trong bài viết này tôi đã tổng hợp tương đối đầy đủ và chi tiết về chủ đề chứng chỉ SSL. Trong đó có giải thích hoạt động, minh họa, lợi ích… của công nghệ SSL cũng như giao thức HTTPS liên quan.

Nguyễn Tấn Tài Founder/ CEO Giaotrinhhay.com - Giáo Trình Hay Chia Sẻ: Tài liệu SEO website, DIGITAL MARKETING, Ebook CNTT, Mẹo vặt, Phần mềm, Thủ thuật PC và kho tài liệu học tập hữu ích miễn phí.