Certificate Authority (CA) và quy trình xác thực danh tính
Certificate Authority (CA) là tổ chức thứ ba tin cậy cấp chứng chỉ số (digital certificate) liên kết khóa công khai với thực thể (cá nhân, tổ chức, thiết bị). CA xác minh danh tính trước khi cấp chứng chỉ.
CA tin cậy (Trusted CA) là gì?
CA được các trình duyệt, hệ điều hành, thiết bị tin cậy mặc định (có root certificate trong Trust Store). Ví dụ: DigiCert, GlobalSign, Sectigo, Let's Encrypt, Google Trust Services, Apple, Microsoft.
Quy trình CA xác minh danh tính
Mức độ xác minh phụ thuộc vào loại chứng chỉ:
| Loại chứng chỉ | Mức độ xác minh | Thông tin yêu cầu |
|---|---|---|
| DV (Domain Validation) | Chỉ xác minh kiểm soát tên miền | Email admin domain, DNS record, HTTP file |
| OV (Organization Validation) | Xác minh tổ chức tồn tại hợp pháp | Tên pháp lý, địa chỉ, điện thoại, giấy phép kinh doanh, xác minh qua cơ quan nhà nước/third-party |
| EV (Extended Validation) | Xác minh nghiêm ngặt nhất | Tất cả OV + pháp lý hoạt động, địa chỉ vật lý, số điện thoại xác minh, letter of authorization, người ký quyền hạn |
Thông tin bắt buộc trong Digital Certificate (X.509)
- Version (v3)
- Serial Number (duy nhất do CA cấp)
- Signature Algorithm (vd: sha256WithRSAEncryption)
- Issuer (DN của CA)
- Validity Period (Not Before, Not After)
- Subject (DN của chủ sở hữu: CN, O, OU, C, ST, L...)
- Subject Public Key Info (Algorithm + Public Key)
- Extensions: Key Usage, Extended Key Usage, Subject Alternative Name (SAN), Basic Constraints, CRL Distribution Points, Authority Information Access
- Signature Value (chữ ký số của CA)
Cách lấy chứng chỉ CA
- Tạo CSR (Certificate Signing Request) trên server:
openssl req -new -key private.key -out request.csr - Gửi CSR cho CA (qua cPanel, portal CA, ACME client)
- Hoàn tất xác minh (DV: email/DNS; OV/EV: tài liệu pháp lý)
- Nhận chứng chỉ (crt/pem) + CA bundle (intermediate + root)
- Cài đặt trên server (Apache, Nginx, IIS, Tomcat...)
Vai trò của CA trong bảo mật
- Cấp, quản lý, thu hồi (revoke) chứng chỉ
- Vận hành CRL (Certificate Revocation List) và OCSP
- Tuân thủ chuẩn WebTrust, ETSI, CA/Browser Forum Baseline Requirements
- Đảm bảo tính toàn vẹn, bảo mật khóa riêng (HSM, air-gapped root)
Xác minh chứng chỉ (Certificate Verification)
Trình duyệt xây dựng Chain of Trust: Leaf (Server Cert) → Intermediate CA → Root CA (trong Trust Store). Kiểm tra: chữ ký, thời hạn, thu hồi (CRL/OCSP), tên miền khớp (SAN), Key Usage, EKU.