Giải thích về mã hóa TLS

TLS là giao thức mã hóa nền tảng giúp bảo mật gần như mọi kết nối trên internet. Nó cho phép bạn gửi biểu mẫu, đăng nhập vào tài khoản, kiểm tra chi tiết ngân hàng và mua hàng trực tuyến mà không bị người khác nhòm ngó. Điều này bao gồm nhà cung cấp dịch vụ internet(cửa sổ mới) (ISP), người vận hành hotspot và tin tặc có thể đang giám sát WiFi công cộng.

TLS thiết lập kết nối được mã hóa giữa thiết bị của bạn và máy chủ, cho phép truyền dữ liệu an toàn. Điều này đảm bảo:

• Tính bảo mật: Dữ liệu của bạn được xáo trộn để chỉ trang web hoặc máy chủ mà bạn kết nối mới có thể đọc được.
• Tính toàn vẹn: Dữ liệu không thể bị thay đổi giữa đường truyền mà không bị phát hiện.
• Xác thực: Bạn thực sự đang kết nối với trang web (hoặc máy chủ) thật, chứ không phải kẻ mạo danh.

Để đảm bảo bạn đang giao tiếp với đúng máy chủ, máy chủ sẽ trình ra một chứng chỉ số xác minh rằng nó đúng là danh tính mà nó khai báo. Các chứng chỉ này được cấp bởi các tổ chức cấp chứng chỉ (CA), những tổ chức đáng tin cậy ký chứng chỉ để gắn tên miền đó với khóa công khai.

Vì vậy, bạn không tin tưởng trang web mà tin tưởng CA đã bảo lãnh cho trang web đó. Sự tin cậy này được phản ánh trong thông tin kết nối HTTPS của trình duyệt, thường được hiển thị bằng biểu tượng ổ khóa trên thanh địa chỉ; nhấp vào đó cho phép bạn xem chi tiết về kết nối và chứng chỉ.

CA gốc được tích hợp sẵn vào trình duyệt. Ví dụ, kho chứng chỉ gốc của Mozilla bao gồm khoảng 140–160 chứng chỉ gốc. Đến lượt mình, những chứng chỉ này xác minh các CA trung gian được dùng để xác minh hầu hết các trang web.

Nhìn chung, hệ thống này hoạt động tốt, nhưng không hoàn hảo. :Có hàng nghìn CA trung gian, tạo ra bề mặt tấn công lớn. Hơn nữa, các CA có thể bị chính phủ gây áp lực(cửa sổ mới) hoặc bị các tổ chức tội phạm tấn công mạng để cấp chứng chỉ bị xâm phạm. Một ví dụ điển hình là DigiNotar(cửa sổ mới), một CA của Hà Lan bị xâm nhập vào năm 2011 bởi những kẻ tấn công đã phát hành hàng trăm chứng chỉ giả mạo, được cho là đã chặn lưu lượng Gmail của khoảng 300.000 người dùng, chủ yếu ở Iran.

Để giải quyết những vấn đề này, các kết nối TLS hiện đại sử dụng tính minh bạch chứng chỉ (CT). Điều này không ngăn được việc một CA bị tấn công hoặc bị ép buộc ngay từ đầu, nhưng giúp phát hiện và kiểm soát hậu quả dễ dàng hơn nhiều.

Mọi chứng chỉ được công khai tin cậy phải được ghi vào nhật ký công khai, chống giả mạo ngay khi được cấp. Ví dụ, Chrome đã từ chối tin cậy mọi chứng chỉ không được ghi trong ít nhất hai nhật ký CT độc lập kể từ năm 2018.

Kết quả là, chủ sở hữu tên miền có thể phát hiện chứng chỉ gian lận cho trang của mình trong vòng vài giờ thay vì phải mất hàng tuần như với DigiNotar. Sau khi bị phát hiện, các chứng chỉ bị ảnh hưởng có thể được thu hồi nhanh chóng; trong những trường hợp nghiêm trọng, trình duyệt có thể xóa sự tin cậy dành cho CA trong lần cập nhật tiếp theo.

TLS kết hợp mã hóa bất đối xứng và đối xứng. Mật mã bất đối xứng (khóa công khai) được dùng để thiết lập kết nối và cho phép trình duyệt và máy chủ thống nhất một bí mật chung mà không bao giờ gửi bí mật đó qua mạng. Đây được gọi là bắt tay TLS.

Khi kết nối an toàn đã được thiết lập, dữ liệu thực tế được truyền bằng mật mã khóa đối xứng (thường là AES). Các thuật toán mã hóa chính xác được sử dụng sẽ được thương lượng giữa máy chủ web và máy khách, chẳng hạn như trình duyệt. Hầu hết trình duyệt cho phép bạn nhấp hoặc chạm vào biểu tượng ổ khóa để tìm hiểu thêm chi tiết bảo mật về các thuật toán mã hóa được dùng cho kết nối HTTPS.

TLS truyền thống không ẩn tên các trang web bạn kết nối, vì quá trình bắt tay ban đầu làm rò rỉ tên trang web (SNI) và các chi tiết khác cho bất kỳ ai đang theo dõi. Một tiêu chuẩn mới, được IETF phê chuẩn vào tháng 3 năm 2026, nhằm khắc phục điều này. Khi hoạt động, Client Hello được mã hóa (ECH) mã hóa chính quá trình bắt tay, nên ISP hoặc người vận hành điểm phát sóng của bạn không còn thấy bạn truy cập những trang nào. Tuy nhiên:

• ECH chỉ hoạt động khi nhiều trang web dùng chung địa chỉ IP(cửa sổ mới), như khi chúng nằm sau một mạng phân phối nội dung(cửa sổ mới) (CDN).
• Nếu một trang web có địa chỉ IP riêng, đích đến vẫn hiển thị.
• ECH phụ thuộc vào việc trình duyệt của bạn sử dụng DNS được mã hóa (DoH) để tìm nạp khóa cấu hình ECH. Nếu việc này thất bại, các kết nối sẽ âm thầm quay về SNI văn bản thuần túy.
• ECH vẫn đang được triển khai và được hỗ trợ trong Firefox và Chrome. Tuy nhiên, hiện tại chỉ khoảng 9–10% trong số một triệu trang web hàng đầu hỗ trợ ECH, gần như tất cả đều sử dụng Cloudflare.
• Nhà cung cấp CDN và DoH vẫn có thể quan sát đích đến cuối cùng của các kết nối mạng của bạn.

TLS và mã hóa đầu cuối đều dùng mã hóa để bảo vệ dữ liệu của bạn, nhưng khác nhau ở việc ai có thể giải mã dữ liệu đó:

• TLS mã hóa kết nối giữa thiết bị của bạn và máy chủ. Khi dữ liệu của bạn đến máy chủ đó, dữ liệu sẽ được giải mã tại đó. Bất kỳ ai vận hành máy chủ đều có thể đọc dữ liệu đó.
• Mã hóa đầu cuối (E2EE) mã hóa kết nối giữa thiết bị của bạn và một thiết bị khác. Ngay cả khi dữ liệu của bạn đi qua các máy chủ trên hành trình, chỉ người nhận dự định mới có thể giải mã dữ liệu đó.

Thư gửi qua Gmail được bảo vệ khi truyền bằng TLS, nhưng bị giải mã khi đến máy chủ của Google, khiến Google có thể đọc chúng. Thư gửi bằng E2EE, chẳng hạn như tin nhắn Signal hoặc email trao đổi giữa những người dùng Proton Mail, chỉ người nhận dự định mới có thể đọc.

Cả TLS và VPN đều bảo vệ dữ liệu khi truyền, nhưng có mục đích rất khác nhau:

• VPN ẩn những trang web bạn truy cập. TLS (thường) thì không.
• VPN ẩn các truy vấn DNS(cửa sổ mới) của bạn. TLS (không có DoH) thì không.
• VPN ngăn các trang web bạn truy cập biết địa chỉ IP(cửa sổ mới) thật của bạn. TLS thì không.
• Một VPN đáng tin cậy(cửa sổ mới) không giữ bất kỳ nhật ký nào(cửa sổ mới) về lịch sử duyệt web của bạn. TLS cho phép ISP của bạn (và kéo theo là chính phủ của bạn(cửa sổ mới)) theo dõi và lưu nhật ký hoạt động của bạn.
• TLS bảo vệ từng kết nối riêng lẻ, mỗi lần một ứng dụng hoặc tiến trình. Ngược lại, VPN định tuyến mọi kết nối từ thiết bị của bạn qua đường hầm VPN (trừ khi bạn dùng tách đường hầm(cửa sổ mới)), khiến người quan sát khó suy ra mô hình hành vi qua việc sử dụng trình duyệt và ứng dụng của bạn khi kết nối với VPN.

TLS và VPN bổ trợ lẫn nhau, tạo nên nhiều lớp bảo vệ.

TLS là lý do bạn có thể giao dịch ngân hàng, mua sắm và đăng nhập vào tài khoản trực tuyến mà không bị mọi người lạ trên đường truyền mạng theo dõi những gì bạn làm. Không có TLS, sẽ không có HTTPS, và phần lớn những gì chúng ta hiện coi là hiển nhiên khi sử dụng web cũng sẽ không tồn tại.

Nhưng TLS chưa bao giờ được thiết kế để ẩn mọi thứ. Nó bảo vệ nội dung của một kết nối, chứ không phải việc kết nối đó đã diễn ra. ISP của bạn, người vận hành điểm phát sóng WiFi hoặc bất kỳ ai khác theo dõi mạng vẫn có thể thấy bạn truy cập những trang nào, ngay cả khi họ không thấy bạn làm gì. Không giống E2EE, TLS không ngăn dịch vụ bạn đang kết nối truy cập dữ liệu của bạn.

Do đó, TLS, E2EE và VPN bổ trợ lẫn nhau: TLS cung cấp bảo mật cơ bản, E2EE đảm bảo chỉ người nhận dự định mới có thể truy cập dữ liệu của bạn, còn VPN đáng tin cậy mang lại mức độ riêng tư trực tuyến cao.

TLS là giao thức hoạt động phía sau mỗi khi bạn dùng một ứng dụng Proton (ngoại trừ ứng dụng Proton VPN, hiện chủ yếu dùng WireGuard(cửa sổ mới)). HTTPS dựa vào TLS để bảo vệ kết nối của bạn, và TLS cũng bảo vệ lưu lượng ở những nơi bạn không trực tiếp nhìn thấy, chẳng hạn như việc gửi thư giữa các máy chủ. Nhưng TLS chỉ bảo vệ dữ liệu khi dữ liệu đang di chuyển. Cần có các biện pháp bảo vệ mạnh hơn, chẳng hạn như mã hóa đầu cuối và mã hóa không truy cập, cho nội dung thực sự riêng tư.