Máy chủ và thiết bị chỉ dùng trong mạng công ty (phần mềm kế toán đặt tại chỗ, máy chủ tệp, cổng quản trị tường lửa, đầu ghi camera, tổng đài) có hai cách chính để có chứng chỉ hợp lệ: dùng chứng chỉ công cộng cấp cho một tên con của tên miền thật của công ty, hoặc dựng hạ tầng chứng chỉ nội bộ với một gốc tin cậy riêng được cài lên thiết bị của công ty. Đơn vị cấp công cộng không còn cấp chứng chỉ cho tên nội bộ kiểu tên máy hay địa chỉ IP riêng, nên cách "xin chứng chỉ cho tên nội bộ" như trước đây không còn.
Điều doanh nghiệp không nên làm là để mọi người quen bấm qua cảnh báo chứng chỉ mỗi khi mở phần mềm nội bộ. Thói quen đó lan sang cả website bên ngoài, đúng thứ kẻ mạo danh trông đợi. Bài so hai hướng ở góc quyết định và quản trị, ai chịu trách nhiệm gì, chi phí công sức nằm ở đâu. Thao tác kỹ thuật cụ thể bộ phận kỹ thuật làm theo tài liệu của nền tảng mình dùng.
Vì sao hệ thống nội bộ cũng cần chứng chỉ hợp lệ
Nhiều người nghĩ mạng nội bộ đã an toàn nên không cần mã hoá hay chứng chỉ. Thực tế, mạng nội bộ của doanh nghiệp nhỏ thường có mạng không dây cho khách dùng chung hạ tầng, có thiết bị cá nhân của nhân viên, có thiết bị cũ không được cập nhật. Mật khẩu đăng nhập phần mềm kế toán hay cổng quản trị tường lửa đi qua mạng không mã hoá là rủi ro thật, dù chưa ai từng thấy sự cố.
Phần lớn thiết bị và phần mềm hiện nay mặc định bật mã hoá với một chứng chỉ tự sinh khi cài đặt. Chứng chỉ đó mã hoá đường truyền, nhưng trình duyệt không có cách nào kiểm chứng nó, nên hiện cảnh báo. Người dùng được hướng dẫn bấm qua, và từ đó không ai phân biệt được một cảnh báo vô hại với một cảnh báo thật sự có vấn đề, ví dụ khi có thiết bị lạ đứng giữa mạng.
Ngoài ra, một số trình duyệt và hệ điều hành ngày càng hạn chế tính năng với trang có chứng chỉ không hợp lệ: không cho lưu mật khẩu, không cho dùng một số tính năng web hiện đại, chặn tải tệp. Phần mềm nội bộ chạy trên nền web có thể hỏng dần theo các bản cập nhật trình duyệt mà không ai hiểu vì sao.
Mục tiêu vì thế không phải là mã hoá cho có, mà là mọi hệ thống nội bộ đều có chứng chỉ mà thiết bị của công ty kiểm chứng được, để cảnh báo chứng chỉ trở lại đúng ý nghĩa của nó: có gì đó sai, dừng lại.
So sánh hai hướng
Mỗi hướng hợp với một kiểu doanh nghiệp. Nhiều nơi dùng kết hợp: chứng chỉ công cộng cho những gì làm được, hạ tầng nội bộ cho phần còn lại.
| Tiêu chí | Chứng chỉ công cộng cho tên con của tên miền thật | Hạ tầng chứng chỉ nội bộ |
|---|---|---|
| Thiết bị nào tin | Mọi thiết bị, kể cả máy khách, điện thoại cá nhân, không cần cài gì thêm | Chỉ thiết bị đã được cài gốc tin cậy nội bộ |
| Tên hệ thống | Phải là tên con của tên miền công ty, ví dụ tên con dành cho kế toán | Đặt tên tuỳ ý, kể cả tên chỉ dùng trong mạng |
| Xác minh khi cấp | Qua DNS công khai, vì đơn vị cấp không vào được mạng nội bộ | Do công ty tự quyết định |
| Tính công khai | Tên con xuất hiện trong nhật ký minh bạch chứng chỉ | Không công khai |
| Thời hạn và gia hạn | Theo lộ trình rút ngắn của ngành, cần tự động | Công ty tự đặt, vẫn nên ngắn và tự động |
| Công sức vận hành | Thấp nếu đã có tự động hoá qua DNS | Cao: phải bảo vệ khoá gốc, cài gốc lên thiết bị, cấp và thu hồi |
| Rủi ro lớn nhất | Lộ cấu trúc hệ thống qua tên con công khai | Lộ hoặc lạm dụng khoá gốc nội bộ |
Với doanh nghiệp nhỏ không có người chuyên về hạ tầng, hướng thứ nhất thường dễ duy trì hơn. Hướng thứ hai chỉ nên chọn khi có người đủ năng lực vận hành và có quy chế rõ ràng.
Khi chọn chứng chỉ công cộng cho hệ thống nội bộ
Đặt tên con có chủ đích. Tên con sẽ công khai trong nhật ký minh bạch chứng chỉ, ai cũng tra được. Tránh đặt tên lộ thông tin như tên phần mềm và phiên bản, tên dự án mật, tên khách hàng. Một số doanh nghiệp dùng chứng chỉ ký tự đại diện cho một nhánh tên con để không phải liệt kê từng tên, nhưng cách này có đánh đổi về an toàn khoá vì một khoá phủ nhiều hệ thống.
Xác minh qua DNS, không qua máy chủ. Đơn vị cấp không truy cập được máy chủ trong mạng, nên chỉ dùng được cách xác minh qua DNS công khai. Phần mềm gia hạn tự động cần quyền ghi bản ghi xác minh, cấp ở mức hẹp nhất có thể.
Phân giải tên trong mạng. Tên con có thể chỉ được phân giải tới địa chỉ nội bộ trên DNS nội bộ của công ty, còn DNS công khai chỉ chứa bản ghi xác minh. Cách bố trí này do bộ phận kỹ thuật thiết kế, cần ghi lại để người sau không xoá nhầm.
Thiết bị không hỗ trợ tự động. Đầu ghi camera, máy in, thiết bị mạng đời cũ thường chỉ cho dán chứng chỉ bằng tay. Với thời hạn chứng chỉ công cộng ngày càng ngắn, những thiết bị này nên được đặt sau một lớp trung gian có tự động, hoặc tính phương án dùng hạ tầng nội bộ cho riêng nhóm này.
Khi chọn hạ tầng chứng chỉ nội bộ
Khoá gốc là tài sản nhạy cảm nhất. Ai giữ khoá gốc nội bộ có thể cấp chứng chỉ mà mọi thiết bị của công ty tin, kể cả cho tên của website bên ngoài. Khoá gốc nên được giữ ngoại tuyến hoặc trong thiết bị bảo mật phần cứng, chỉ dùng để cấp cho một tầng trung gian, có ít nhất hai người được giao và có biên bản mỗi lần dùng.
Giới hạn phạm vi cấp. Nếu nền tảng hỗ trợ, cấu hình để tầng cấp nội bộ chỉ cấp được cho các tên trong miền nội bộ của công ty. Như vậy kể cả khi tầng trung gian bị lộ, rủi ro không lan ra mọi tên miền trên Internet.
Cài gốc lên thiết bị có kiểm soát. Gốc nội bộ được cài lên máy của công ty qua công cụ quản lý thiết bị. Việc cài lên điện thoại, máy tính cá nhân của nhân viên phải có sự đồng ý của họ và quy chế rõ ràng, vì một gốc tin cậy trên thiết bị cá nhân trao cho công ty một quyền lớn hơn nhiều người nghĩ. Khi nhân viên nghỉ, gỡ gốc khỏi thiết bị cá nhân của họ.
Vẫn cần sổ, cần thu hồi. Mọi chứng chỉ cấp nội bộ đều ghi vào sổ danh mục, có ngày hết hạn và người phụ trách. Có cơ chế thu hồi và để thiết bị kiểm tra được trạng thái thu hồi.
Lộ trình gợi ý cho doanh nghiệp đang để cảnh báo tràn lan
Không cần làm một lần. Đi từng nhóm hệ thống theo mức nhạy cảm.
- Kiểm kê mọi hệ thống nội bộ đang mở qua trình duyệt hoặc ứng dụng có cảnh báo chứng chỉ, ghi vào sổ danh mục.
- Xếp hạng theo mức nhạy cảm: cổng quản trị thiết bị mạng, phần mềm kế toán, nhân sự lên trước; trang thông tin nội bộ để sau.
- Chọn hướng cho từng nhóm: chứng chỉ công cộng với tên con, hay hạ tầng nội bộ, hay đặt sau một lớp trung gian.
- Làm thử với một hệ thống, theo dõi qua một chu kỳ gia hạn.
- Mở rộng từng nhóm, đồng thời hướng dẫn nhân viên: từ nay cảnh báo chứng chỉ trên hệ thống nội bộ là bất thường, phải báo bộ phận kỹ thuật, không bấm qua.
- Đưa yêu cầu "hỗ trợ chứng chỉ do công ty cấp và gia hạn tự động" vào tiêu chí mua thiết bị, phần mềm mới.
Bước năm quan trọng ngang các bước kỹ thuật. Mục đích cuối cùng là khôi phục ý nghĩa của cảnh báo.
Câu hỏi nên đặt cho bên bán thiết bị, phần mềm trước khi mua
Phần lớn rắc rối về chứng chỉ nội bộ bắt nguồn từ lúc mua: thiết bị không cho thay chứng chỉ, phần mềm chỉ chạy với chứng chỉ tự sinh, không ai hỏi trước. Đưa các câu dưới đây vào danh sách yêu cầu khi chọn nhà cung cấp, nhận câu trả lời bằng văn bản.
- Thiết bị hoặc phần mềm có cho thay chứng chỉ tự sinh bằng chứng chỉ do doanh nghiệp cung cấp không, thay qua giao diện quản trị hay phải nhờ kỹ thuật của hãng?
- Có hỗ trợ xin và gia hạn chứng chỉ tự động theo giao thức chuẩn mở không, hay chỉ dán tay?
- Khoá bí mật được sinh ở đâu, có xuất ra được không, ai trong phía nhà cung cấp có quyền tiếp cận?
- Ứng dụng đi kèm, nếu có, có ghim chứng chỉ của hãng không; đổi chứng chỉ thì ứng dụng còn kết nối được không?
- Khi hết hợp đồng bảo trì, doanh nghiệp có tự thay chứng chỉ được không, hay phụ thuộc hoàn toàn vào nhà cung cấp?
- Tài liệu hướng dẫn thay chứng chỉ có sẵn bằng tiếng Việt hoặc ngôn ngữ đội kỹ thuật đọc được không?
Một thiết bị rẻ hơn mà không thay được chứng chỉ sẽ tốn công hơn rất nhiều trong suốt vòng đời của nó, nhất là khi thời hạn chứng chỉ công cộng ngày càng ngắn.
Những điều không nên làm
Không hướng dẫn nhân viên cài một chứng chỉ tự sinh của từng thiết bị lên máy mình như một gốc tin cậy. Mỗi lần làm vậy là thêm một gốc tin cậy không ai quản lý trên máy nhân viên, và chẳng ai nhớ để gỡ khi thiết bị đó bị thay hay bị bán lại.
Không dùng hạ tầng chứng chỉ nội bộ để cấp chứng chỉ mang tên website của bên khác, kể cả với lý do kiểm tra hay giám sát. Việc theo dõi lưu lượng mã hoá của nhân viên, nếu có, là một quyết định pháp lý và nhân sự riêng, phải có cơ sở, có thông báo và tuân thủ quy định về bảo vệ dữ liệu cá nhân hiện hành; nó không phải một tính năng tiện tay của bộ phận kỹ thuật.
Không tắt kiểm tra chứng chỉ trong phần mềm tự viết để "cho chạy được". Đó là cách nhanh nhất để biến một hệ thống nội bộ thành điểm yếu khi mạng có thiết bị lạ.
Câu hỏi thường gặp
Đơn vị cấp công cộng có cấp chứng chỉ cho địa chỉ IP nội bộ không?
Không. Theo quy tắc chung của ngành, đơn vị cấp công cộng không cấp chứng chỉ cho địa chỉ IP thuộc dải riêng và cho tên không thuộc tên miền công khai đã đăng ký. Hệ thống nội bộ muốn có chứng chỉ công cộng phải dùng tên con của tên miền thật.
Công ty mười người có cần hạ tầng chứng chỉ nội bộ không?
Thường là không. Với quy mô này, chứng chỉ công cộng cho vài tên con của tên miền công ty, gia hạn tự động qua DNS, là đủ cho phần lớn hệ thống. Thiết bị không hỗ trợ có thể đặt sau một lớp trung gian.
Phần mềm kế toán đặt tại chỗ do bên bán cài đặt thì ai lo chứng chỉ?
Hỏi rõ bên bán phần mềm hỗ trợ cài chứng chỉ của doanh nghiệp thế nào và ai gia hạn. Ghi vào hợp đồng hoặc biên bản nghiệm thu, và ghi hệ thống đó vào sổ danh mục chứng chỉ với người phụ trách cụ thể.
Đầu ghi camera xem từ xa qua điện thoại có cần chứng chỉ không?
Nếu xem từ xa qua Internet thì rất nên có kết nối được mã hoá với chứng chỉ hợp lệ, hoặc dùng dịch vụ kết nối từ xa của hãng có mã hoá. Mở thẳng cổng quản trị đầu ghi ra Internet với chứng chỉ tự sinh là rủi ro lớn.
Có nên dùng một chứng chỉ ký tự đại diện cho tất cả hệ thống nội bộ không?
Tiện nhưng rủi ro: cùng một khoá bí mật nằm trên mọi hệ thống, một thiết bị bị xâm nhập là lộ khoá dùng cho tất cả. Nếu dùng, hạn chế số nơi cài và có kế hoạch thay nhanh khi một nơi gặp sự cố.