Tổ chức cấp chứng chỉ (CA) là gì?
Certificate Authority (CA) hay Tổ chức cấp chứng chỉ là bên thứ ba đáng tin cậy chịu trách nhiệm cấp, quản lý và thu hồi các chứng chỉ số. CA đóng vai trò then chốt trong cơ sở hạ tầng khóa công khai (PKI) bằng cách xác thực danh tính của các thực thể (cá nhân, tổ chức, thiết bị) và liên kết khóa công khai của họ với thông tin định danh thông qua chứng chỉ số.
Tại sao cần sử dụng CA cho bảo mật?
CA tạo ra môi trường an toàn trên web cho cả tổ chức và người dùng. Nhờ chứng chỉ do CA cấp, bạn được đảm bảo đang giao tiếp với một công ty hoặc tổ chức đáng tin cậy qua Internet. Chứng chỉ SSL/TLS do CA phát hành mã hóa dữ liệu truyền tải, ngăn chặn nghe lén và tấn công man-in-the-middle.
CA trong mật mã học (CA Cryptography)
Trong mật mã học, CA là bên thứ ba đáng tin cậy cấp các chứng chỉ số. Khác với ngân hay tổ chức tài chính, CA không tham gia trực tiếp vào giao dịch mà cung cấp cơ chế tin cậy: cả bên cấp chứng chỉ và bên dựa vào chứng chỉ đều tin tưởng vào CA.
Chứng chỉ CA cho Wi-Fi
Trong mạng Wi-Fi doanh nghiệp (như eduroam), máy chủ CA cấp chứng chỉ cho máy chủ AAA và OSU. Mỗi CA được xác định bằng tên và khóa công khai của mình. Thiết bị người dùng cần cài chứng chỉ gốc (root CA) để xác thực máy chủ RADIUS khi kết nối Wi-Fi WPA2-Enterprise.
Root CA và cấu trúc phân cấp
Có hai loại Root CA: công khai (public) và riêng tư (private). Các Root CA công khai có chứng chỉ gốc được tích hợp sẵn trong kho tin cậy (trust store) của trình duyệt và hệ điều hành. Các Intermediate CA (CA trung gian) cấp chứng chỉ dựa trên root trung gian, tạo thành chuỗi tin cậy (chain of trust).
CA Server là gì?
CA Server là giải pháp phần mềm/phần cứng để tạo, lưu trữ và quản lý cặp khóa bất đối xứng, cũng như cấp, gia hạn và thu hồi chứng chỉ trong hệ thống PKI. Nó hỗ trợ các thao tác mã hóa, giải mã, ký số và xác thực chữ ký số.
Tệp CA CRT (.crt) là gì?
Tệp .crt chứa chứng chỉ công khai của CA. Mọi người dùng, máy chủ và client tin tưởng CA này đều cần bản sao của tệp này để xác thực các chứng chỉ do CA ký phát. Đây là cơ sở của mô hình tin cậy.
Vai trò của CA trong PKI
CA chịu trách nhiệm duy nhất cho: lưu trữ và phân phối chứng chỉ khóa công khai, cung cấp thông tin trạng thái chứng chỉ (CRL - Certificate Revocation List, OCSP), và các thông tin PKI liên quan khác.
CA nội bộ (In-house CA) so với CA công khai (Public CA)
- Public CA: Hiệu quả chi phí cho số lượng chứng chỉ nhỏ, được tin cậy tự động bởi trình duyệt/hệ điều hành, bắt buộc cho dịch vụ công khai (web, email).
- Private CA: Kiểm soát hoàn toàn, phù hợp cho môi trường nội bộ lớn (Wi-Fi 802.1X, VPN, mã hóa email nội bộ), chi phí ban đầu cao hơn nhưng không phí trên mỗi chứng chỉ.
Cách lấy chứng chỉ Root CA
Truy cập trang Web Enrollment của Root CA → Chọn "Download a CA certificate, certificate chain, or CRL" → Nhấn "Download CA certificate" → Lưu tệp certnew.cer (hoặc .crt, .pem).
Số lượng Root CA được tin cậy (tham khảo 2020)
- Mozilla Firefox: 147 root certificates từ 52 tổ chức
- macOS: 168 root certificates từ 60 tổ chức
- Microsoft Windows: 255 root certificates từ 101 thực thể
Cài đặt chứng chỉ CA cho Wi-Fi (Android/Windows)
Android: Settings → Security → Encryption & credentials → Install a certificate → CA certificate → Chọn tệp .crt/.pem → Đặt tên → OK.
Windows 10: Mở file .crt → Install Certificate → Local Machine → Trusted Root Certification Authorities → Finish.
Chứng chỉ Wi-Fi (Wi-Fi CERTIFIED™) khác với chứng chỉ CA
Lưu ý phân biệt: Wi-Fi CERTIFIED™ là chương trình chứng nhận tương thích/độ an toàn của thiết bị phần cứng (do Wi-Fi Alliance quản lý), không phải là chứng chỉ số (digital certificate) do CA cấp cho xác thực mạng.