Certification Authority (CA) là gì?
Certificate Authority (CA) / Cơ quan chứng thực** là tổ chức **thứ ba đáng tin cậy (Trusted Third Party)** chịu trách nhiệm **xác thực danh thực** của thực thể (người dùng, thiết bị, server, dịch vụ, code) và **phát hành Chứng chỉ số (Digital Certificate / X.509 Certificate)** gắn liền khóa công khai (Public Key) với danh thực đó.
Vai trò cốt lõi của CA
- Identity Verification (Xác thực danh thực): Kiểm tra chứng minh (giấy tờ pháp lý, kiểm soát miền DNS, email, phone, video call, organization validation).
- Certificate Issuance (Phát hành chứng chỉ): Tạo chứng chỉ X.509 chứa: Subject (CN, O, OU, C...), Public Key, Validity (NotBefore/NotAfter), Key Usage, Extended Key Usage, SANs, CRL/OCSP Distribution Points, Policy OID. Ký bằng **Private Key của CA**.
- Certificate Lifecycle Management: Renewal, Re-key, Revocation (CRL/OCSP), Suspension, Expiration notification, Template/Profile management.
- Trust Anchor Distribution: Root CA certificate phân phối đến Trust Store (OS, Browser, Java, Mobile, IoT) để client tự động tin cậy chứng chỉ do CA cấp.
- Policy & Practice Statement: Certificate Policy (CP) & Certification Practice Statement (CPS) – công khai quy trình, bảo đảm, trách nhiệm.
Phân loại CA
| Loại | Mô tả | Ví dụ |
|---|
| Public CA (Commercial CA) | Được tin cậy mặc định bởi OS/Browser (WebTrust/ETSI audit). Cấp chứng chỉ TLS/SSL công khai, Code Signing, Document Signing, S/MIME. | DigiCert, Sectigo, GlobalSign, Entrust, Let's Encrypt (miễn phí, tự động hóa ACME), ZeroSSL, Buypass, Google Trust Services. |
| Private CA (Enterprise/Internal CA) | Tự tổ chức vận hành (Microsoft AD CS, HashiCorp Vault PKI, Smallstep, EJBCA, Venafi, AWS Private CA, Google Cloud CA). Không được tin cậy tự động bởi client công cộng – phải phân phối Root CA nội bộ. | Internal TLS (mTLS, service mesh), 802.1X (EAP-TLS), VPN client cert, Smart card/PIV, Code signing nội bộ, IoT device identity. |
| Government/Root CA (National PKI) | Cấp chứng chỉ cho cơ quan nhà nước, chữ ký số pháp lý, eID, ePassport, VAT invoice signing. | Vietnam: VNPT CA, Viettel CA, FPT CA (Root CA được Bộ Thông tin Truyền thông công nhận). |
| Subordinate / Intermediate CA | Được cấp bởi Root CA, dùng để ký chứng chỉ end-entity (leaf). Giảm rủi ro compromize Root CA (Root offline). | Public CA: DigiCert SHA2 Secure Server CA. Private: Issuing CA per department/region. |
Quy trình cấp chứng chỉ (Certificate Lifecycle)
- Key Pair Generation: Requester tạo cặp khóa (RSA 2048/3072/4096, ECDSA P-256/P-384, Ed25519). Private key **không bao giờ rời thiết bị/HSM**.
- CSR (Certificate Signing Request): Chứa Public Key + Subject info + Extensions. Gửi cho CA (qua portal, API ACME, EST, SCEP, CMP).
- Validation (Domain Validation / Organization Validation / Extended Validation): CA kiểm tra quyền kiểm soát domain (DNS/HTTP/Email), xác thực tổ chức (dữ liệu đăng ký kinh doanh, Dun & Bradstreet,_LEI), gọi video cho EV.
- Issuance: CA ký CSR → tạo Certificate (X.509 DER/PEM). Trả về cho Requester.
- Deployment: Cài đặt cert + private key + chain (intermediate + root) lên server (Nginx, Apache, IIS, Load Balancer, Kubernetes secret, IoT device).
- Monitoring & Renewal: Theo dõi expiry (cert-manager, Venafi, Keyfactor, custom script). Tự động renew (ACME) trước 30 ngày.
- Revocation (khi cần): Private key compromise, domain change, employee leave. CA cập nhật CRL & OCSP responder. Client kiểm tra revocation status.
Tại sao cần CA cho bảo mật?
- Authentication (Xác thực): Client xác thực Server (HTTPS), Server xác thực Client (mTLS), Device xác thực Network (802.1X), Code xác thực Publisher (Code Signing).
- Encryption (Mã hóa): Public Key trong cert dùng cho Key Exchange (TLS handshake) → thiết lập session key đối xứng (AES-GCM/ChaCha20-Poly1305).
- Integrity & Non-repudiation: Chữ ký số (Digital Signature) dùng Private Key – chứng minh nguồn gốc, không thể chối cãi.
- Trust Model: Xây dựng **Chain of Trust** (Root → Intermediate → Leaf) – client chỉ cần tin Root CA tin cậy.
CA trong Blockchain / Web3
- Identity & Access: CA cấp cert cho node, user, validator – dùng cho TLS giữa node, signing transaction (HSM/KMS).
- Permissioned Blockchain (Hyperledger Fabric, R3 Corda, Quorum): CA (Fabric CA, Corda Doorman) cấp identity cert (X.509) cho peer, orderer, client – nền tảng của MSP (Membership Service Provider).
- Decentralized Identity (DID/VC): CA có thể đóng vai **Issuer** cấp Verifiable Credential (VC) – W3C VC Data Model.
Rủi ro & Quản trị CA
- CA Compromise: DigiNotar (2011), Trustico, Symantec PKI incident → Root CA bị thu hồi tin cậy khỏi Trust Store. → **Root CA offline, HSM FIPS 140-2 Level 3+, M-of-N control, Audit thường xuyên (WebTrust, ETSI EN 319 411).**
- Mis-issuance: Cấp sai domain, wildcard quá rộng, key usage sai. → **CAA Record (DNS), CT Logs (Certificate Transparency) monitoring, Automation (ACME) giảm lỗi thủ công.**
- Short-lived Certificates: Xu hướng giảm validity (90 ngày Let's Encrypt, 398 ngày max public TLS per CA/B Forum) → buộc tự động hóa, giảm tác động compromise.
