Chứng chỉ (Certificates) giống như xác nhận rằng tin nhắn gửi đến bạn là nguyên bản và không bị can thiệp. Tất nhiên, có phương pháp làm giả xác nhận như chứng chỉ SuperFish của Lenovo – và chúng ta sẽ nói về nó sau. Bài viết này giải thích Root Certificates (Chứng chỉ gốc) là gì trong Windows và bạn có nên cập nhật chúng không – vì Windows luôn hiển thị chúng là cập nhật không quan trọng (non-critical updates).
Cryptography khóa công khai (Public Key Cryptography) hoạt động như thế nào
Trước khi nói về Root Certificates, cần xem cryptography hoạt động như thế nào trong hội thoại web, giữa website và trình duyệt hoặc giữa hai cá nhân dưới dạng tin nhắn.
Có nhiều loại cryptography, trong đó hai loại thiết yếu và được dùng rộng rãi cho mục đích khác nhau.
- Cryptography đối xứng (Symmetric cryptography) dùng khi bạn có một khóa, và chỉ khóa đó có thể dùng để mã hóa và giải mã tin nhắn (chủ yếu dùng trong giao tiếp email)
- Cryptography bất đối xứng (Asymmetric cryptography), nơi có hai khóa. Một khóa dùng để mã hóa tin nhắn trong khi khóa kia dùng để giải mã tin nhắn
Cryptography khóa công khai có khóa công khai (public key) và khóa riêng (private key). Tin nhắn có thể được giải mã và mã hóa bằng một trong hai khóa. Việc dùng cả hai khóa là thiết yếu để hoàn thành giao tiếp. Khóa công khai nhìn thấy được bởi mọi người và dùng để đảm bảo nguồn gốc tin nhắn chính xác như nó xuất hiện. Khóa công khai mã hóa dữ liệu và gửi đến người nhận có khóa công khai. Người nhận giải mã dữ liệu dùng khóa riêng. Một mối quan hệ tin cậy được thiết lập, và giao tiếp tiếp tục.
Cả khóa công khai và khóa riêng đều chứa thông tin về Cơ quan cấp chứng chỉ (Certificate Issuing Authority) như Equifax, DigiCert, Comodo, v.v. Nếu hệ điều hành của bạn coi cơ quan cấp chứng chỉ là đáng tin cậy, tin nhắn được gửi qua lại giữa trình duyệt và website. Nếu có vấn đề xác định cơ quan cấp chứng chỉ hoặc khóa công khai hết hạn hoặc hỏng, bạn sẽ thấy thông báo There is a problem with the website's certificate (Có vấn đề với chứng chỉ của trang web).
Cryptography khóa công khai giống như két ngân hàng. Nó có hai khóa – một ở quản lý chi nhánh và một ở người dùng két. Két chỉ mở khi cả hai khóa được dùng và khớp. Tương tự, cả khóa công khai và khóa riêng đều được dùng khi thiết lập kết nối với bất kỳ website nào.
Root Certificates (Chứng chỉ gốc) trong Windows 11/10 là gì?
Root Certificates là cấp chứng chỉ chính (primary level) cho trình duyệt biết giao tiếp là thật. Thông tin rằng giao tiếp là thật dựa trên việc xác định cơ quan cấp chứng chỉ. Hệ điều hành Windows của bạn thêm một số root certificates làm trusted (đáng tin cậy) để trình duyệt dùng để giao tiếp với website.
Điều này cũng giúp mã hóa giao tiếp giữa trình duyệt và website và tự động làm cho các chứng chỉ khác dưới nó trở nên hợp lệ. Do đó chứng chỉ có nhiều nhánh. Ví dụ, nếu chứng chỉ từ Comodo được cài đặt, nó sẽ có chứng chỉ cấp cao nhất giúp trình duyệt web giao tiếp với website theo cách mã hóa. Là một nhánh trong chứng chỉ, Comodo cũng bao gồm chứng chỉ email, sẽ tự động được tin cậy bởi trình duyệt và client email vì hệ điều hành đã đánh dấu root certificate là trusted.
Root Certificates quyết định xem phiên giao tiếp với website có nên mở hay không. Khi trình duyệt web tiếp cận website, trang web đưa cho nó khóa công khai. Trình duyệt phân tích khóa để xem ai là cơ quan cấp chứng chỉ, cơ quan đó có được tin cậy theo Windows không, ngày hết hạn của chứng chỉ (nếu chứng chỉ vẫn hợp lệ) và các thứ tương tự trước khi tiến hành giao tiếp với website. Nếu có gì không ổn, bạn sẽ nhận cảnh báo, và trình duyệt có thể chặn mọi giao tiếp với website.
Ngược lại, nếu mọi thứ ổn, tin nhắn được gửi và nhận bởi trình duyệt khi giao tiếp diễn ra. Với mỗi tin nhắn đến, trình duyệt cũng kiểm tra tin nhắn với khóa riêng của nó để xem nó không phải tin nhắn giả mạo. Nó chỉ phản hồi nếu nó có thể giải mã tin nhắn dùng khóa riêng của nó. Vì vậy, cả hai khóa đều cần để tiếp tục giao tiếp. Hơn nữa, tất cả giao tiếp được thực hiện ở chế độ mã hóa.
Fake Root Certificates (Chứng chỉ gốc giả)
Có trường hợp công ty, hacker, v.v. đã cố gian lận người dùng. Trường hợp gần đây của chứng chỉ không hợp lệ được tin cậy làm root vẫn đang được bàn tán. Đó là chứng chỉ 'SuperFish' trong máy tính Lenovo. Phần mềm quảng cáo Superfish cài đặt một root certificate trông có vẻ hợp pháp và cho phép trình duyệt tiếp tục giao tiếp với website. Tuy nhiên, hệ thống mã hóa yếu đến mức dễ bị xâm nhập.
Lenovo nói họ muốn nâng cao trải nghiệm mua sắm của người dùng nhưng lại làm lộ dữ liệu riêng tư cho hacker trên Internet. Dữ liệu riêng tư này có thể là bất cứ thứ gì, bao gồm thông tin thẻ tín dụng, số an sinh xã hội, v.v. Nếu bạn có máy Lenovo, hãy chắc chắn bạn không có adware cài đặt bằng cách kiểm tra chứng chỉ tin cậy trong trình duyệt. Nếu có, cập nhật và chạy Windows Defender để loại bỏ chứng chỉ. Cũng có công cụ loại bỏ tự động do Lenovo phát hành.
Bạn có thể kiểm tra Windows Root Certificates không ký hoặc không tin cậy bằng Root Certificates Scanner hoặc SigCheck.
Kết luận
Root Certificates quan trọng để trình duyệt của bạn giao tiếp với website. Nếu bạn xóa tất cả chứng chỉ tin cậy, vì tò mò hoặc để an toàn, bạn sẽ luôn nhận thông báo rằng bạn đang trên kết nối không tin cậy. Bạn có thể tải xuống trusted root certificates qua Chương trình Microsoft Windows Root Certificates Program, nếu bạn nghĩ bạn không có tất cả root certificates phù hợp.
Bạn nên luôn kiểm tra non-critical updates (cập nhật không quan trọng) thỉnh thoảng xem có cập nhật cho root certificates không. Nếu có, hãy tải xuống bằng Windows Update và không từ trang web thứ ba.
Có chứng chỉ giả nhưng cơ hội bạn nhận chứng chỉ giả là hạn chế – chỉ khi nhà sản xuất máy tính thêm một vào danh sách trusted root certificates như Lenovo làm hoặc khi bạn tải root certificates từ trang web thứ ba. Tốt hơn là cứ dùng Microsoft và để nó lo việc root certificates thay vì tự mình cài từ bất kỳ đâu trên Internet. Bạn cũng có thể xem một root certificate có được tin cậy không bằng cách mở nó và tìm kiếm tên cơ quan cấp chứng chỉ. Nếu cơ quan đó có uy tín, bạn có thể cài hoặc giữ nó. Nếu bạn không xác định được cơ quan cấp chứng chỉ, tốt hơn là xóa nó.
Trong một hoặc hai tuần, chúng ta sẽ xem cách quản lý Trusted Root certificates.
