Khi bạn lướt web bình thường, bạn có thể không thực sự quan tâm trang web bạn đang truy cập có thực sự là gì nó tuyên bố. Tuy nhiên, nếu bạn phải tương tác với trang web và cung cấp thông tin mật, C-I-A trở nên then chốt.
Để làm cho giao dịch mật an toàn, mã hóa ra đời. Chúng ta dùng SSL/TLS kết nối đến trang web "an toàn" và làm việc, dù là mua sách trên Amazon, quản lý danh mục chứng khoán (tiền cười) trên trang ngân hàng hay kiểm tra test DNA cuối cùng nên đưa bạn ra ngoài, để không phải trả nuôi con...
Nhưng điều này không trả lời phần Integrity. Làm sao chúng ta thực sự chắc chắn trang web chúng ta truy cập thực sự là gì chúng tuyên bố? Làm sao có thể 100% chắc không đang submit dữ liệu cá nhân cho server giả mạo (phishing)?
Đây là việc của Certificate Authorities (CA). Chúng là cơ quan trung lập, bên thứ ba, cung cấp định danh cho trang web an toàn (HTTPS) toàn cầu. Sự đồng thuận cho rằng nếu trang web được授权 bởi một CA và cung cấp chứng chỉ đúng, nó là gì nó tuyên bố.
Vậy chúng ta ổn rồi, phải không?
Vẫn, điều này có thể không đủ cho một số bạn. Gần đây, có nói về tấn công va chạm MD5 thành công.
Dành cho non-geek, đây là tóm tắt: Hash là hàm đơn hướng, đơn ánh, ánh xạ duy nhất cleartext sang ciphertext. Nghĩa là không hai giá trị khác nhau bao giờ có cùng hash. Thuật toán hash phổ biến là MD5 và SHA-1.
Do đó, nếu trang web được cung cấp chứng chỉ, chứng chỉ này có hash nhất định. Về lý thuyết, không trang web nào khác có thể có hash giống, bất kể nội dung.
Va chạm MD5 chính là đó - trường hợp hai giá trị khác nhau được dịch thành cùng hash. Nghĩa là hai chứng chỉ khác nhau có thể có cùng chữ ký. Vậy, về lý thuyết, trang web giả có thể trình bày chứng chỉ giả với MD5 khớp trang web hợp pháp nó muốn mạo danh và trình duyệt toàn cầu sẽ vui vẻ chấp nhận, vì kiểm tra hash pass.
Điều này nghĩa là chúng ta không thể tin cậy bất kỳ nguồn xác minh đơn lẻ nào cho trang web. Chúng ta cần cách tiếp cận mạnh mẽ hơn. Vào Perspectives.
Perspectives
Perspectives là extension bảo mật Firefox liên hệ một số network notaries bất cứ khi nào trình duyệt kết nối đến trang web HTTPS. Notaries là một loại hội thẩm phán kiểm tra xem chứng chỉ có thay đổi không và có khớp database của họ không. Chứng chỉ hợp lệ phải显示相同的信息对于所有公证人。伪造的证书很可能会显示为突然或最近与某些公证人相比发生了变化。
这应该帮助您决定是否要连接到潜在不安全的站点并避免数据完整性泄露。
Perspectives làm hơn thế. Nếu bạn gặp cảnh báo bảo mật từ trình duyệt, cảnh báo trang dùng chứng chỉ hết hạn, self-signed hoặc domain mismatch, Perspectives sẽ chạy kiểm tra nhanh xem thông tin do notaries giữ có nhất quán không.
Lại一次，试图冒充合法网站的流氓网站经常会抛出此类错误，但不幸的是，许多真实网站也会这样。Perspectives作为解决个人疑虑的方便方案出现。
Sử dụng Perspectives
Sử dụng Perspectives cực kỳ đơn giản. Bạn cần cài extension trước. Nếu không biết cách, đọc bài này.
Khi bạn khởi động Firefox lần đầu sau cài đặt, bạn không thấy gì đặc biệt. Biểu tượng trạng thái Perspectives ở góc dưới bên phải cửa sổ trình duyệt.
Click vào biểu tượng sẽ mở cửa sổ Preferences.
Bạn có thể quyết định có liên hệ notaries cho tất cả trang hay chỉ những trang gây lỗi bảo mật. Hơn nữa, bạn có thể đặt Perspectives tin cậy vĩnh viễn trang đã xác thực. Và bạn cũng có thể để nó hỏi xác nhận mỗi lần trước khi liên hệ notaries.
Nếu bạn chọn để Perspective hỏi, bạn sẽ nhận popup cảnh báo vàng trong cửa sổ trình duyệt cho trang HTTPS liên quan (tất cả hoặc chỉ những trang lỗi).
Bây giờ xem Perspective hoạt động. Chúng ta kết nối trang an toàn. Nó đã được xác thực và kiểm tra ổn. Tuy vậy, hãy kiểm tra lại.
Perspectives sẽ chạy vài giây và hiển thị kết quả trong thanh trạng thái:
Đây nghĩa là trang hợp lệ. Bạn có thể click biểu tượng để xem thêm kết quả:
Trong trường hợp này, cả bốn notaries có cùng key cho trang web cụ thể. Điều này cho chỉ báo khá tốt chứng chỉ trang không bị can thiệp. Nếu bạn sắp thực hiện giao dịch riêng tư, mật với trang cụ thể, bạn ổn. Chính điều chúng ta muốn biết.
Hạn chế
Perspectives vẫn là dự án trẻ. Hiện tại, chỉ một số nhỏ notaries được dùng. Tương lai, số lượng sẽ tăng. Một số extension Firefox khác không tương thích với Perspectives. Cuối cùng, vấn đề proxy có thể khiến xác minh trang thất bại - cho tất cả trang.
Kết luận
Perspectives là dự án thú vị và quan trọng. Nó tạo ra một cái gì đó như web of trust, nơi bạn dùng kinh nghiệm cộng đồng tích lũy, nói theo cách nào đó, để kiểm tra lại bảo mật trang web và chứng chỉ của chúng. Đối với người quan tâm bảo mật, đây là bổ sung tốt.
Để biết thêm về bảo mật Web, bạn có thể đọc bài Safe Web practices của tôi. Bạn cũng có thể quan tâm đọc bài về Firefox và chứng chỉ bảo mật trên h-online. Tôi muốn cảm ơn tlu đã khuyến nghị bài này.
Perspectives có sẵn trên mọi hệ điều hành.
Chào.