Khái niệm Certificate Authority (CA)
Certificate Authority (CA) – Tổ chức cấp chứng chỉ số là bên thứ ba uy tín, được tin cậy để xác thực danh tính của thực thể (người dùng, thiết bị, server, tổ chức) và cấp phát Chứng chỉ số (Digital Certificate) gắn liền khóa công khai (Public Key) với danh tính đó.
Vai trò cốt lõi của CA
- Xác thực danh tính (Identity Verification): Kiểm tra quyền sở hữu tên miền (DV), danh tính tổ chức (OV), hoặc kiểm tra pháp lý kỹ càng (EV).
- Cấp phát chứng chỉ (Issuance): Ký số vào CSR (Certificate Signing Request) bằng khóa riêng (Private Key) của CA → tạo Certificate.
- Quản trị vòng đời chứng chỉ: Gia hạn, thu hồi (Revocation – CRL/OCSP), danh sách thu hồi.
- Thiết lập niềm tin (Trust Anchor): Root CA được nạp sẵn vào Trust Store của OS/Trình duyệt (Microsoft, Apple, Mozilla, Google, Java...).
Kiến trúc PKI (Public Key Infrastructure) & Hệ thống CA
1. Root CA (Offline, High Security)
CA gốc, tự ký (Self-signed). Khóa riêng được bảo vệ trong HSM (Hardware Security Module), thường offline. Chỉ ký cho Subordinate CA.
2. Subordinate / Issuing CA (Online)
Cấp phát chứng chỉ cho thực thể cuối (End-entity: SSL/TLS, Code Signing, Email, User, Device). Có thể có nhiều cấp trung gian (Intermediate CA).
3. Registration Authority (RA)
Đơn vị tiếp nhận yêu cầu, xác thực danh tính trước khi chuyển cho CA ký phát. Có thể tách biệt hoặc tích hợp trong CA.
Loại chứng chỉ phổ biến
| Loại | Mục đích | Mức độ xác thực |
|---|---|---|
| SSL/TLS (Web Server) | Mã hóa HTTPS, xác thực server | DV / OV / EV |
| Code Signing | Ký số phần mềm, driver, script | OV / EV |
| Client Authentication | Xác thực user/thiết bị (VPN, Wi-Fi 802.1X, Mutual TLS) | OV |
| S/MIME | Ký mã hóa email | OV |
| Document Signing | Ký văn bản điện tử pháp lý | OV / EV (quy định eIDAS, Việt Nam) |
CA uy tín toàn cầu (Public CA) – Top thị phần (2024)
- DigiCert (kể cả Symantec, GeoTrust, Thawte, RapidSSL)
- Sectigo (trước đây Comodo)
- GlobalSign
- Entrust
- GoDaddy
- Let's Encrypt (Miễn phí, DV only, tự động hóa ACME)
- ZeroSSL, Buypass, SSL.com...
Private CA (CA nội bộ/Doanh nghiệp)
Tự xây dựng CA nội bộ (Microsoft AD CS, OpenSSL, Smallstep, HashiCorp Vault, Venafi) để cấp chứng chỉ cho:
- Mạng nội bộ (Intranet, VPN, Wi-Fi 802.1X, mTLS Microservices).
- IoT/OT device identity.
- Code signing nội bộ, tài liệu nội bộ.
Yêu cầu: Root CA phải được đẩy vào Trust Store của mọi client (GPO, MDM, CocoaPods, Docker certs...).
Quy trình xin chứng chỉ SSL/TLS (Public CA)
- Tạo cặp khóa (Private Key) + CSR (chứa Public Key + thông tin Subject).
- Gửi CSR cho CA (qua portal, API ACME).
- CA xác thực (DV: email/DNS/HTTP challenge; OV/EV: kiểm tra giấy phép, điện thoại, địa chỉ).
- CA cấp chứng chỉ (Certificate + Intermediate CA bundle).
- Cài đặt trên Server (Nginx, Apache, IIS, Load Balancer...).
- Cấu hình tự động gia hạn (ACME client: Certbot, acme.sh, Caddy, Traefik).
Tiêu chuẩn & Tuân thủ
- CA/Browser Forum Baseline Requirements: Quy tắc bắt buộc cho Public CA.
- WebTrust / ETSI EN 319 411: Kiểm toán độc lập hàng năm.
- RFC 5280: Profile X.509 v3.
- eIDAS (EU), Luật Chữ ký số (Việt Nam) cho chữ ký điện tử hợp pháp.