Đôi khi ổ khóa nhỏ trên thanh địa chỉ trình duyệt đổi màu, có ký hiệu thêm lớp trên, hoặc biến thành chữ. Chức năng cơ bản khá rõ: ổ khóa bình thường = trang an toàn, ký hiệu cảnh báo/thông báo = không an toàn, đúng không? Thực tế phức tạp hơn, vì ổ khóa chỉ cho thấy kết nối đến trang được mã hóa HTTPS và không cung cấp nhiều insight về việc trang đó có hợp pháp/hoàn toàn an toàn hay không.
Ổ khóa "an toàn" cho bạn biết gì
Chrome/Chromium, Firefox, Edge, Safari đều có phiên bản ổ khóa "an toàn" hơi khác, nhưng nói cơ bản cùng điều: trang này có chứng chỉ SSL và mã hóa dữ liệu gửi bạn và dữ liệu bạn gửi lại dùng HTTPS. Nghĩa là bất kỳ ai chặn traffic không thấy bạn làm gì trên trang, quan trọng khi nhập số thẻ tín dụng hoặc info cá nhân nhận diện.
Khá đơn giản: ổ khóa bình thường cho bạn biết bạn kết nối an toàn đến trang đúng.
Ổ khóa "an toàn" KHÔNG cho bạn biết gì
Đối với những ai chưa nắm SSL certificate, chúng là bằng chứng số trang bạn truy cập được đăng ký với certificate authority bởi người/công ty sở hữu trang. Các thực thể có thể trả tiền cho chứng chỉ đắt hơn ("Extended Validation" hoặc "EV") kiểm tra chắc chắn họ đúng là người họ nói (ví dụ: Amazon.com thuộc tập đoàn Amazon.com), nhưng hầu như ai cũng lấy được SSL certificate thường miễn phí không chứng minh gì ngoài sở hữu trang.
Vì vậy, dù kết nối đến trang an toàn khỏi ánh mắt tò mò, trang dễ dàng do kẻ đáng ngờ vận hành, lấy toàn bộ dữ liệu truyền an toàn đó làm gì họ muốn. Dù trang vận hành trung thực, kết nối mã hóa vô nghĩa nếu một bên nhận dữ liệu bị xâm phạm. HTTPS chỉ bao phủ dữ liệu khi truyền, nên nếu đến đầu kia lưu trên server bảo mật kém hoặc lỗi hiểm khác, nó dễ bị tổn thương.
Tóm lại: ổ khóa nghĩa là kết nối an toàn, KHÔNG phải trang web an toàn.
Những ký hiệu ổ khóa khác
Mặc dù hầu như mọi trình duyệt dùng dạng ổ khóa xám khép để chỉ kết nối mã hóa, trình duyệt khác nhau hiển thị biểu tượng khác tùy vấn đề phát hiện trên trang. Dưới đây là vài cái cần biết:
Chrome
Thông báo "Not Secure" (Không an toàn) thay thế ổ khóa khi bạn ở trang HTTP hoặc có vấn đề khác. Nhấn vào thông báo để xem chi tiết. Nếu bắt đầu gõ trên trang HTTP, nó chuyển đỏ nhấn mạnh dữ liệu nhập có thể không truyền an toàn.
Firefox
Thông báo "Not Secure" của Firefox là hai ký hiệu khác nhau: biểu tượng cảnh báo tam giác vàng trên ổ khóa, và thanh đỏ cắt ngang ổ khóa. Cả hai nghĩa là trang không an toàn, nhưng cách hơi khác:
- Tam giác vàng: hoặc trang mã hóa một phần (dùng HTTPS nhưng nội dung từ HTTP có thể bị thao túng), hoặc certificate authority không tin cậy (trang dùng mã hóa nhưng chứng chỉ đáng ngờ).
- Thanh đỏ: trang truyền qua kết nối không an toàn (như HTTP), không nên gửi info nhạy cảm.
Muốn đào sâu cảnh báo cụ thể, Firefox cung cấp phân tích chi tiết nhấn vào ổ khóa.
Edge
Hệ thống Edge hiện tại: hiển thị viền ổ khóa khi kết nối an toàn, ổ khóa xanh lá đầy khi trang dùng chứng chỉ extended validation, và chữ "i" khi kết nối có vấn đề, như HTTP hoặc nội dung HTTP/HTTPS lẫn lộn.
Safari
Ổ khóa Safari giống Edge, chuyển xanh lá nếu có extended validation certificate. Nếu kết nối không mã hóa, thấy thông báo "Not Secure".
Bộ mặt thay đổi của ổ khóa
Lâu nay, hầu hết trình duyệt làm ổ khóa màu xanh lá dễ chịu chỉ trang bạn truy cập tuân thủ thực hành bảo mật tốt. Giờ thì HTTPS gần như tiêu chuẩn, trên 50% top 1 triệu trang dùng, ổ khóa chuyển xám chỉ trang dùng nó không đặc biệt – chỉ tuân thủ tiêu chuẩn.
Tương lai, Chrome có thể bỏ ổ khóa hoàn toàn, chỉ thông báo khi trang không an toàn, vì trang tốt nên dùng HTTPS. Dù trang không xử lý info nhạy cảm, thuật toán tìm kiếm Google thưởng trang dùng mã hóa, nên mọi chủ trang đều lợi ích setup SSL certificate. Có thể không phải bản năng user kiểm tra ổ khóa, nhưng nếu thấy gì lạ hoặc cảnh báo trên thanh địa chỉ, họ sẽ suy nghĩ lần hai trước khi nhập thông tin.