Bảo mật HTTP (HTTPS)

Khi chúng ta duyệt web, ai có thể nhìn thấy những gì chúng ta đang đọc? Ai có thể nhìn thấy những văn bản chúng ta gõ vào các biểu mẫu?

Với giao thức HTTP, nhiều bên có thể chặn các gói dữ liệu, giám sát lưu lượng truy cập hoặc tác động vào hệ thống cáp quang - hạ tầng cốt lõi của Internet, từ đó ảnh hưởng tới người dùng Internet. Bằng cách sử dụng các thủ thuật phổ biến, nhiều bên có thể đọc được nội dung của từng trang web hoặc thậm chí đưa nội dung của chính họ vào.

Đó là lí do tại sao nhiều trang web lại sử dụng HTTPS (Hypertext Transfer Protocol Secure - Giao thức truyền tải siêu văn bản an toàn) nhằm bảo vệ sự riêng tư của người dùng và ngăn chặn việc giả mạo. HTTPS còn được gọi là HTTP thông qua giao thức TLS, bởi HTTPS được triển khai bằng cách mã hóa các yêu cầu và phản hồi HTTP thông qua giao thức TLS.

Ta có thể nhận biết kết nối HTTPS bắt đầu từ URL trong thanh địa chỉ. Kết nối HTTP tiêu chuẩn có URL bắt đầu bằng "http://", trong khi kết nối HTTP bảo mật có URL bắt đầu bằng "https://".

⬆ Hãy nhìn vào thanh địa chỉ bên trên ngay lúc này. Các bạn sẽ thấy URL bắt đầu bằng "https://www.khanacademy.org/". Nếu thanh địa chỉ chỉ hiển thị "khanacademy.org/", hãy thử nhấp đúp vào thanh địa chỉ để nhìn toàn bộ URL.

Trong thực tế, hầu hết người dùng chỉ gõ tên miền, ví dụ như "khanacademy.org" để truy cập trang web. Người dùng thông thạo hơn có thể sẽ gõ "http://khanacademy.org". Khi một trang web sử dụng HTTPS và muốn chắc chắn rằng tất cả người dùng đều được cung cấp kết nối an toàn, thì khi người dùng nhập URL theo những cách khác nhau như trên, trang web đó sẽ chuyển hướng tất cả các yêu cầu truy cập của người dùng đến phiên bản HTTPS của trang web.

🔍 Bạn hãy thử gõ một vài URL của các trang web bạn yêu thích vào một tab mới và kiểm tra URL cuối cùng trong thanh địa chỉ sau khi trang web tải xong. Có địa chỉ nào chuyển hướng đến HTTPS không? Có địa chỉ nào sử dụng HTTP trong khi bạn muốn chúng sử dụng HTTPS không?

Khi trình duyệt tải một URL bắt đầu bằng "https", trình duyệt sẽ bắt đầu quá trình thiết lập một kết nối bảo mật thông qua giao thức TLS. (Bạn muốn tìm hiểu lại về chủ đề này? Hãy xem lại bài đọc về TLS.)

Đầu tiên, trong quá trình này, trình duyệt phải xác minh chứng thư số của miền. Có rất nhiều trường hợp chứng thư không hợp lệ và trình duyệt sẽ hiển thị lỗi chứng thư.

Đây là giao diện khi Chrome phát hiện chứng thư được cấp bởi cơ quan không nằm trong danh sách đáng tin cậy của Chrome:

Khi chứng thư được xác minh là hợp lệ và quá trình thiết lập giao thức TLS diễn ra thuận lợi, hầu hết trình duyệt sẽ hiển thị hình một cái khóa trên thanh địa chỉ. Cái khóa đó thể hiện rằng trang web đang sử dụng kết nối HTTPS an toàn.

Đây là biểu tượng khóa trên Firefox:

Nhấn vào biểu tượng khóa đó, bạn sẽ thấy thêm thông tin về tính bảo mật của trang web:

Kết nối HTTPS bảo đảm rằng chỉ trình duyệt và miền bảo mật có thể nhìn thấy dữ liệu trong các yêu cầu và phản hồi HTTP. Những bên khác có thể vẫn nhìn thấy một địa chỉ IP cụ thể đang kết nối với một miền/IP khác và họ có thể thấy thời gian của kết nối đó. Tuy nhiên, những người đó không thể nhìn thấy nội dung của kết nối mà có cả đầy đủ đường dẫn URL, HTML của trang web và bất kỳ văn bản nào được gửi trong biểu mẫu. Ngay bây giờ, người xem có thể biết bạn đang truy cập vào khanacademy.org, nhưng họ sẽ không biết bạn đang đọc một bài viết về HTTPS.

HTTPS cũng giúp ngăn chặn việc giả mạo nội dung của trang web. Khi một trang web được bảo mật bằng kết nối HTTP tiêu chuẩn, các gói tin có thể bị đánh chặn và nội dung có thể bị thay đổi. Nếu một kẻ tấn công chặn lượt truy cập vào một trang tin tức, chúng có thể dễ dàng cung cấp tin giả. Giao thức TLS có cơ chế phát hiện sự thay đổi trong gói dữ liệu, nên các kết nối HTTPS có thể ngăn chặn hành vi giả mạo.

Nhiều tổ chức tin rằng mọi trang web đều nên sử dụng HTTPS trong mọi kết nối, vì HTTPS có rất nhiều lợi ích. Kể từ tháng 2 năm 2019, khoảng một nửa trong số một triệu trang web hàng đầu đã mặc định sử dụng HTTPS. Liệu tỷ lệ đó có đạt tới 100% không? Bạn có thể góp phần biến điều đó thành hiện thực bằng cách yêu cầu các trang web bạn yêu thích sử dụng HTTPS hoặc trở thành nhà phát triển web chuyên về bảo mật trong tương lai.

🙋🏽🙋🏻‍♀️🙋🏿‍♂️Bạn có câu hỏi nào về chủ đề này không? Chúng tôi rất sẵn sàng hỗ trợ bạn — hãy để lại câu hỏi ở mục câu hỏi phía dưới nhé!