HTTPS là gì và giúp bảo vệ an toàn như thế nào?
HTTPS bảo vệ kết nối đến các trang web bằng cách mã hóa dữ liệu, xác minh trang đang truy cập và giúp giữ an toàn cho các hoạt động nhạy cảm trực tuyến. Tuy nhiên, chỉ riêng HTTPS thì không thể bảo vệ hoàn toàn quyền riêng tư.
Dưới đây là những điều cần biết về cách thức hoạt động của HTTPS, điểm khác biệt giữa HTTPS và HTTP, cũng như các hạn chế của giao thức này.
HTTPS là gì?
HTTPS (Hypertext Transfer Protocol Secure) là phiên bản an toàn của HTTP (Hypertext Transfer Protocol), giao thức vận hành World Wide Web (WWW). World Wide Web, HTTP, HTML và hệ thống URL được phát minh bởi Sir Tim Berners-Lee, hiện là thành viên trong ban cố vấn của Proton Foundation.
Giao thức này bảo vệ kết nối giữa ứng dụng (như trình duyệt) và trang web (máy chủ web) đang cố gắng truy cập bằng cách mã hóa dữ liệu trong quá trình truyền tải. Thông tin nhạy cảm như mật khẩu, chi tiết thanh toán và dữ liệu cá nhân sẽ được bảo vệ an toàn khỏi bị chặn theo cách này.
Ngày nay, HTTPS đóng vai trò thiết yếu đối với bảo mật internet hiện đại và không chỉ được sử dụng cho các trang web trên trình duyệt, mà còn được các ứng dụng di động và dịch vụ trực tuyến sử dụng để bảo mật thông tin liên lạc ngầm.
HTTP so với HTTPS: Sự khác biệt là gì?
Sự khác biệt giữa HTTP và HTTPS nằm ở tính bảo mật:
Với HTTP, thông tin được gửi giữa thiết bị và trang web không được mã hóa. Nhà cung cấp dịch vụ internet (ISP)(cửa sổ mới) có thể thấy hoạt động trực tuyến, bao gồm các trang riêng lẻ được truy cập và bất kỳ dữ liệu nào được nhập, chẳng hạn như chi tiết thẻ tín dụng khi thanh toán. Dữ liệu đó cũng có thể bị chặn bởi tin tặc tội phạm, cơ quan chính phủ hoặc bất kỳ ai muốn dòm ngó.
Với HTTPS, kết nối đó được mã hóa, giúp bảo vệ hoạt động khỏi bị bên thứ ba chặn và giảm nguy cơ bị can thiệp. HTTPS also giúp xác nhận kết nối tới đúng trang web hợp pháp muốn truy cập. Tuy nhiên, dù HTTPS bảo mật chính kết nối đó, nhưng không giúp quá trình duyệt web hoàn toàn riêng tư. Chủ sở hữu trang web vẫn có thể thấy hoạt động trên trang của họ và ISP vẫn có thể biết những trang web được truy cập.
HTTPS hoạt động như thế nào?
HTTPS bảo mật kết nối giữa trình duyệt hoặc ứng dụng và trang web bằng cách sử dụng TLS. Khi kết nối với một trang web an toàn, trình duyệt và máy chủ web trước tiên sẽ thương lượng cách thiết lập một phiên được bảo vệ. Là một phần của quy trình này, trang web sẽ xuất trình chứng chỉ TLS, một tệp dữ liệu nhỏ liên kết khóa mật mã công khai của trang web với danh tính của trang web đó.
Các chứng chỉ TLS này do các Cơ quan chứng thực (CA) cấp, đây là những tổ chức tin cậy chịu trách nhiệm xác thực danh tính của chủ sở hữu trang web. Sử dụng Cơ sở hạ tầng khóa công khai (PKI) X.509, trình duyệt sẽ kiểm tra xem chứng chỉ có hợp lệ không và kết nối có đến đúng trang web thực tế hay không chứ không phải trang web giả mạo.
Sau khi danh tính được xác minh, trình duyệt và máy chủ sẽ thiết lập một phiên đã mã hóa, cho phép thông tin truyền đi an toàn và không bị thay đổi trong quá trình truyền tải.
Cách nhận biết trang web có sử dụng HTTPS hay không
Tất cả các trình duyệt sẽ cảnh báo nếu trang web đang truy cập không được bảo vệ bằng HTTPS.
Để kiểm tra thủ công xem kết nối có được bảo vệ bằng HTTPS hay không, hãy nhấp hoặc chạm vào bên trong thanh địa chỉ (một lần trên Firefox, hai lần trên Chrome) để xem địa chỉ web đầy đủ — địa chỉ này phải bắt đầu bằng https://, chứ không phải http://.
HTTPS có an toàn không?
Có. HTTPS bảo mật hàng triệu giao dịch tài chính, lượt đăng nhập và các hoạt động tương tác nhạy cảm khác diễn ra trực tuyến mỗi ngày. Mặc dù không có hệ thống bảo mật nào là hoàn hảo, HTTPS vẫn là một phần cốt lõi giúp internet hiện đại luôn an toàn. Tuy nhiên, vẫn có một số hạn chế:
Rủi ro về chứng chỉ
Các Cơ quan chứng thực có thể bị chính phủ gây áp lực(cửa sổ mới) để cấp chứng chỉ cho các trang web đáng ngờ hoặc bị kẻ tấn công xâm phạm để cấp chứng chỉ giả mạo.
Phân tích lưu lượng
Nghiên cứu cho thấy, trong các cuộc tấn công có mục tiêu cao, việc phân tích lưu lượng(cửa sổ mới) có thể tiết lộ những trang mà một người truy cập trên trang web được bảo vệ bằng HTTPS.
Cập nhật phần mềm
Vì tính bảo mật của HTTPS phụ thuộc vào phần mềm được sử dụng bởi cả máy khách và máy chủ, việc cập nhật trình duyệt, ứng dụng và hệ thống là rất quan trọng.
Cách giữ an toàn trực tuyến ngoài HTTPS
HTTPS bảo vệ dữ liệu trong quá trình truyền tải, nhưng không giúp bảo vệ an toàn hoàn toàn trên internet. Dưới đây là những biện pháp khác có thể thực hiện để bảo vệ quyền riêng tư và bảo mật:
Sử dụng trình quản lý mật khẩu
Tạo một mật khẩu duy nhất cho mỗi tài khoản. Việc sử dụng lại mật khẩu là một trong những rủi ro lớn nhất trong thực tế vì một vụ vi phạm có thể mở khóa nhiều tài khoản.
Bật 2FA ở mọi nơi
Kích hoạt xác thực hai yếu tố (2FA) trên tất cả tài khoản và ưu tiên sử dụng ứng dụng xác thực hoặc khóa bảo mật phần cứng thay vì SMS nếu có thể.
Bảo mật email trước tiên
Email thường là chìa khóa đặt lại cho mọi thứ khác. Sử dụng một mật khẩu duy nhất và 2FA mạnh mẽ cho email đó.
Cảnh giác với các liên kết và yêu cầu khẩn cấp
Hầu hết các cuộc tấn công đều thành công bằng cách lừa người dùng nhấp vào các liên kết lừa đảo. Hãy cẩn thận với các thư thúc ép hành động nhanh, đăng nhập, tải xuống thứ gì đó hoặc mở các tập tin đính kèm.
Kiểm tra toàn bộ trang web
Một trang web lừa đảo vẫn có thể sử dụng HTTPS. Hãy xem xét kỹ tên miền, quy trình đăng nhập, chính tả và xem yêu cầu đó có hợp lý hay không.
Luôn cập nhật phần mềm
Trình duyệt, điện thoại, hệ điều hành, ứng dụng và bộ định tuyến đều cần cập nhật, vì nhiều cuộc tấn công dựa vào các lỗ hổng cũ đã biết.
Hạn chế những gì cài đặt
Chỉ cài đặt các ứng dụng, phần mở rộng trình duyệt và phần mềm thực sự cần thiết. Các phần mở rộng bổ sung và các lượt tải xuống ngẫu nhiên làm tăng rủi ro lên rất nhiều.
Sử dụng tính năng bảo mật thiết bị
Duy trì khóa màn hình, kích hoạt mã hóa toàn bộ đĩa và bật tính năng "tìm thiết bị của tôi" để luôn an toàn trong trường hợp máy tính xách tay hoặc điện thoại di động bị đánh cắp.
Chú ý đến các cài đặt quyền riêng tư
Giảm lượng thông tin cá nhân công khai. Kẻ tấn công sử dụng các chi tiết công khai cho các hành vi lừa đảo, giả mạo và các gợi ý đặt lại mật khẩu.
Sử dụng các mạng an toàn hơn một cách khôn ngoan
WiFi công cộng sẽ an toàn hơn(cửa sổ mới) khi các trang web sử dụng HTTPS, nhưng nên tránh thực hiện hoạt động nhạy cảm trên các mạng đáng ngờ, vô hiệu hóa tính năng tự động tham gia và tắt các tính năng chia sẻ.
Sao lưu dữ liệu quan trọng
Vẫn có thể vượt qua mối đe dọa từ mã độc tống tiền, mất cắp và khóa tài khoản nếu có các bản sao lưu tốt.
Sử dụng VPN để tăng cường quyền riêng tư
Một VPN (mạng riêng ảo)(cửa sổ mới) sẽ ẩn địa chỉ IP(cửa sổ mới) và mã hóa lưu lượng truy cập, giúp bảo vệ hoạt động internet khỏi các ISP, nhà quảng cáo, hoạt động giám sát và tin tặc.
Proton và HTTPS
Mỗi khi đăng nhập vào ứng dụng Proton, tải hộp thư đến, đồng bộ hóa lịch, truy cập tệp, sử dụng cài đặt tài khoản hoặc kết nối internet an toàn qua VPN, HTTPS sẽ mã hóa kết nối giữa thiết bị và máy chủ.
Nhưng HTTPS chỉ bảo vệ dữ liệu khi đang di chuyển. Cần có các biện pháp bảo vệ mạnh mẽ hơn, chẳng hạn như mã hóa đầu cuối và mã hóa không truy cập để có nội dung thực sự riêng tư.
Câu hỏi thường gặp
- HTTPS có nghĩa là gì?
- HTTPS có bảo vệ danh tính hoặc vị trí không?
- Tại sao vẫn cần VPN nếu một trang web đã sử dụng HTTPS?
- HTTPS có đủ cho hoạt động mua sắm hoặc ngân hàng trực tuyến không?
- DNS qua HTTPS là gì?
