Khi nghi khoá bí mật của chứng chỉ website đã lọt ra ngoài, thứ tự đúng là: sinh khoá mới trên hạ tầng an toàn, xin chứng chỉ mới cho khoá đó, cài lên mọi nơi đang dùng, rồi yêu cầu thu hồi chứng chỉ cũ với lý do khoá bị lộ. Thu hồi trước khi có chứng chỉ mới sẽ làm website báo lỗi; chờ quá lâu thì người đang giữ khoá cũ có thêm thời gian lợi dụng. Với tên miền doanh nghiệp còn kiểm soát đầy đủ, cả quy trình thường làm xong trong ngày.
Bài dành cho người phụ trách kỹ thuật và người quản lý phải ra quyết định khi có tin báo khoá bị lộ: khoá nằm trong một tệp đẩy nhầm lên kho mã nguồn công khai, máy chủ bị xâm nhập, bản sao lưu bị lộ, nhân viên hoặc bên gia công cũ vẫn giữ khoá. Phần ứng phó xâm nhập rộng hơn như điều tra, khôi phục hệ thống không nằm trong bài.
Những tình huống nên coi là khoá đã lộ
Trong lúc chưa chắc chắn, nguyên tắc an toàn là coi như đã lộ. Thay khoá tốn ít công hơn nhiều so với hậu quả nếu đúng là lộ thật.
- Tệp khoá bí mật xuất hiện trong kho mã nguồn, kể cả kho riêng tư mà nhiều người truy cập được, hoặc trong lịch sử thay đổi dù đã xoá ở bản mới nhất.
- Máy chủ đang giữ khoá có dấu hiệu bị xâm nhập, kể cả khi chưa xác định kẻ xâm nhập đã đọc những gì.
- Bản sao lưu cấu hình máy chủ có chứa khoá bị để ở nơi công khai hoặc bị mất.
- Nhân viên đã nghỉ hoặc đơn vị gia công đã chấm dứt hợp đồng từng có bản sao khoá và không xác nhận đã xoá.
- Khoá được gửi qua email, tin nhắn hoặc nhóm chat để "cài cho nhanh".
- Đơn vị cấp hoặc một bên thứ ba báo rằng khoá của bạn đã bị công bố hoặc bị dùng để chứng minh lộ khoá.
Nếu chứng chỉ dùng chung một khoá cho nhiều tên miền hoặc là chứng chỉ ký tự đại diện, phạm vi ảnh hưởng rộng hơn: mọi hệ thống dùng khoá đó đều phải thay.
Vì sao khoá lộ lại nguy hiểm, và nguy hiểm đến đâu
Ai có khoá bí mật của một chứng chỉ còn hiệu lực có thể dựng một máy chủ trình ra đúng chứng chỉ đó, và trình duyệt sẽ tin máy chủ ấy là website của bạn. Để lợi dụng được, kẻ gian còn cần kéo được lưu lượng của khách về máy chủ của mình, ví dụ qua một mạng không dây giả, một thiết bị bị chiếm quyền ở giữa, hoặc tấn công vào hệ thống phân giải tên miền. Không dễ, nhưng hoàn toàn có thể với một website có giá trị cao như cổng thanh toán hay trang đăng nhập.
Thu hồi chứng chỉ cũ là cách báo cho thế giới biết đừng tin chứng chỉ đó nữa. Tuy nhiên, cơ chế kiểm tra thu hồi trên trình duyệt và thiết bị không phải lúc nào cũng chặt chẽ, nên chứng chỉ bị thu hồi vẫn có thể được một số thiết bị chấp nhận trong một thời gian. Đây cũng là một trong những lý do ngành rút ngắn thời hạn chứng chỉ: chứng chỉ ngắn hạn tự hết hiệu lực sớm, giới hạn khoảng thời gian rủi ro.
Vì vậy, thay khoá và thu hồi là việc bắt buộc, nhưng đồng thời phải tìm và bịt nguyên nhân lộ. Thay khoá mà khoá mới lại nằm ở đúng chỗ khoá cũ đã lộ thì chỉ là chờ lần lộ tiếp theo.
Thứ tự xử lý trong ngày
Giao một người điều phối, ghi lại thời điểm từng bước. Ghi chép này cần cho báo cáo sự cố và cho đơn vị cấp nếu họ hỏi.
- Xác định chứng chỉ bị ảnh hưởng: số hiệu, tên miền, nơi đang cài, có dùng chung khoá cho hệ thống khác không.
- Chặn nguồn lộ trước mắt: gỡ tệp khỏi kho mã nguồn và đổi quyền truy cập kho, cô lập máy chủ nghi bị xâm nhập theo quy trình ứng phó sự cố của công ty.
- Sinh khoá mới trên một máy chủ hoặc thiết bị sạch, không dùng lại khoá cũ, không tạo khoá trên máy nghi bị xâm nhập.
- Xin chứng chỉ mới cho khoá mới; với chứng chỉ trả phí, dùng tính năng cấp lại trong tài khoản, thường không mất thêm phí trong thời gian gói còn hiệu lực.
- Cài chứng chỉ mới lên mọi nơi đã liệt kê, kiểm tra từ mạng ngoài, xác nhận khách đang nhận chứng chỉ mới.
- Yêu cầu thu hồi chứng chỉ cũ qua tài khoản quản lý, chọn lý do khoá bị lộ; nếu không có quyền vào tài khoản, dùng kênh báo cáo khoá bị lộ của đơn vị cấp.
- Ghi vào sổ danh mục chứng chỉ: chứng chỉ cũ đã thu hồi, chứng chỉ mới, khoá mới cất ở đâu, ai có quyền.
Theo quy tắc chung của ngành, khi nhận báo cáo khoá bị lộ và xác nhận được, đơn vị cấp phải thu hồi trong thời hạn rất ngắn. Vì vậy chỉ yêu cầu thu hồi sau khi đã cài xong chứng chỉ mới, trừ khi bạn chấp nhận website báo lỗi một thời gian.
Ai có quyền yêu cầu thu hồi
Chủ tài khoản tại đơn vị cấp. Cách nhanh nhất: đăng nhập tài khoản đã dùng để xin chứng chỉ, chọn thu hồi và lý do. Đây là lý do tài khoản này phải đứng tên doanh nghiệp, có ít nhất hai người quản trị.
Người chứng minh được đang giữ khoá. Hầu hết đơn vị cấp có kênh để bất kỳ ai chứng minh được mình đang giữ khoá bí mật báo cáo khoá bị lộ. Điều này giúp doanh nghiệp xử lý được cả khi tài khoản nằm trong tay bên gia công cũ, miễn là còn bản sao khoá.
Người chứng minh kiểm soát tên miền. Một số đơn vị cấp cho phép người chứng minh được quyền kiểm soát tên miền yêu cầu thu hồi chứng chỉ cấp cho tên miền đó. Quy trình cụ thể khác nhau, xem chính sách công bố của đơn vị cấp.
Bên thứ ba phát hiện lộ khoá. Nếu người ngoài phát hiện và báo khoá của bạn bị lộ, đơn vị cấp có thể tự thu hồi sau khi xác minh, kể cả khi bạn chưa kịp thay. Đây là lý do nên có sẵn khả năng xin và cài chứng chỉ mới nhanh.
Tìm và bịt nguyên nhân
Lộ khoá qua kho mã nguồn là nguyên nhân hay gặp nhất ở đội nhỏ. Lập trình viên đưa cả thư mục cấu hình vào kho cho tiện, trong đó có tệp khoá. Cách bịt là quy định khoá và mật khẩu không bao giờ nằm trong mã nguồn, dùng kho bí mật hoặc biến môi trường do hệ thống triển khai cấp, bật công cụ quét bí mật trên kho mã để chặn trước khi đẩy lên. Xoá tệp ở bản mới nhất không đủ; khoá vẫn nằm trong lịch sử thay đổi, nên mới phải coi là đã lộ.
Lộ qua bản sao lưu xảy ra khi sao lưu toàn bộ máy chủ ra một nơi lưu trữ không được bảo vệ đúng mức. Rà lại nơi lưu, quyền truy cập và mã hoá bản sao lưu. Lộ qua người, như nhân viên cũ hoặc bên gia công, bịt bằng quy trình bàn giao và việc thay khoá định kỳ, nhất là sau mỗi lần đổi người.
Nếu nguyên nhân là máy chủ bị xâm nhập, chứng chỉ chỉ là một phần nhỏ của sự cố. Cần rà soát những dữ liệu khác trên máy chủ, đặc biệt dữ liệu cá nhân của khách hàng, và kiểm tra nghĩa vụ thông báo theo quy định về bảo vệ dữ liệu cá nhân hiện hành. Với sự cố có khả năng ảnh hưởng tới khách hàng hoặc đối tác, nên hỏi luật sư trên AI Cố Vấn (aicovan.com) hoặc người làm nghề về nghĩa vụ thông báo và trách nhiệm trước khi phát đi thông báo chính thức.
Phân vai khi xử lý sự cố
Người điều phối. Một người duy nhất nắm toàn cảnh, quyết định thứ tự, ghi thời điểm từng bước. Ở doanh nghiệp nhỏ thường là người phụ trách kỹ thuật cao nhất; nếu họ đang trực tiếp thay chứng chỉ, giao việc ghi chép cho người khác.
Người thực hiện kỹ thuật. Sinh khoá, xin chứng chỉ, cài đặt, kiểm tra. Nếu website do bên gia công vận hành, người thực hiện là kỹ thuật của họ, nhưng mọi quyết định về thời điểm thu hồi vẫn do doanh nghiệp đưa ra.
Người quản lý. Duyệt các quyết định có ảnh hưởng ra ngoài: chấp nhận gián đoạn ngắn, thông báo cho khách hay đối tác, mời bên ngoài hỗ trợ điều tra. Người quản lý không cần hiểu chi tiết kỹ thuật, nhưng cần được báo đủ để quyết định.
Người phụ trách truyền thông và khách hàng. Chuẩn bị câu trả lời nếu khách hỏi về cảnh báo trên website, thống nhất nội dung với người quản lý. Không đưa ra nhận định về nguyên nhân khi chưa có kết luận.
Ghi nhận sau sự cố. Trong vòng vài ngày, cả nhóm ngồi lại: khoá lộ vì đâu, mất bao lâu để xử lý, bước nào chậm, cần chuẩn bị gì thêm. Kết quả cập nhật vào quy trình ứng phó và sổ danh mục chứng chỉ.
Chuẩn bị trước để lần sau xử lý trong một giờ
Doanh nghiệp xử lý lộ khoá nhanh thường không giỏi hơn về kỹ thuật, mà đã chuẩn bị sẵn những thứ dưới đây.
| Chuẩn bị | Tác dụng khi có sự cố |
|---|---|
| Tài khoản đơn vị cấp đứng tên doanh nghiệp, hai người quản trị | Xin cấp lại và thu hồi ngay, không chờ ai |
| Xác minh tên miền qua DNS chạy được tự động | Có chứng chỉ mới trong vài phút |
| Sổ danh mục chứng chỉ ghi nơi cài và nơi giữ khoá | Biết ngay phải thay ở đâu, không sót |
| Khoá không dùng chung giữa nhiều hệ thống | Một nơi lộ không kéo theo tất cả |
| Công cụ quét bí mật trên kho mã nguồn | Chặn phần lớn ca lộ trước khi xảy ra |
| Quy trình ứng phó sự cố viết sẵn một trang | Người trực biết bước đầu tiên là gì |
Phần lớn các mục trong bảng không tốn tiền, chỉ tốn một lần ngồi thiết lập. Chúng cũng chính là những thứ giúp gia hạn chứng chỉ hằng kỳ trơn tru hơn.
Câu hỏi thường gặp
Thu hồi chứng chỉ có mất tiền mua chứng chỉ không?
Với chứng chỉ trả phí, đơn vị cấp thường cho cấp lại chứng chỉ mới trong thời gian gói còn hiệu lực, nên thu hồi cái cũ không làm mất phần đã trả. Đọc điều khoản cấp lại của gói và hỏi đơn vị cấp nếu chưa rõ.
Chỉ nghi ngờ chứ chưa chắc khoá đã lộ thì có nên thu hồi không?
Nên thay khoá và thu hồi chứng chỉ cũ. Chi phí thay khoá chỉ là vài giờ công nếu đã chuẩn bị, trong khi để một khoá có thể đã lộ tiếp tục được tin là rủi ro không đo được. Ghi lại lý do quyết định trong báo cáo sự cố.
Đã xoá tệp khoá khỏi kho mã nguồn ngay thì có cần thay khoá không?
Có. Tệp vẫn nằm trong lịch sử thay đổi của kho, và bất kỳ ai đã sao chép kho trước khi xoá đều có bản sao. Xoá khỏi kho chỉ là bước chặn nguồn, không thay được việc thay khoá và thu hồi chứng chỉ.
Khoá lộ có làm lộ dữ liệu khách từng truy cập website trước đó không?
Với cấu hình mã hoá hiện đại có tính chất bảo mật chuyển tiếp, khoá lộ không giúp giải mã các phiên đã ghi lại trước đó. Với cấu hình cũ, rủi ro này có tồn tại. Bộ phận kỹ thuật nên kiểm tra cấu hình máy chủ và loại bỏ các bộ mã hoá lỗi thời.
Có phải báo cho khách hàng khi lộ khoá chứng chỉ không?
Nếu chỉ lộ khoá mà không có dấu hiệu bị lợi dụng hay lộ dữ liệu, thường chỉ cần xử lý nội bộ. Nếu kèm xâm nhập máy chủ hoặc có khả năng lộ dữ liệu cá nhân, kiểm tra nghĩa vụ thông báo theo quy định hiện hành và hỏi người làm nghề luật.