Chuỗi chứng chỉ SSL là gì? Cách hoạt động

Chuỗi chứng chỉ SSL là gì?

Chuỗi chứng chỉ SSL (còn gọi là chuỗi tin cậy hoặc đường dẫn chứng nhận) là danh sách có thứ tự các chứng chỉ số kết nối chứng chỉ SSL/TLS của trang web với Cơ quan Chứng nhận (CA) gốc đáng tin cậy. Mỗi chứng chỉ trong chuỗi được ký số bởi chứng chỉ phía trên nó, tạo ra đường dẫn tin cậy có thể xác minh từ máy chủ đến CA gốc mà trình duyệt đã tin tưởng.

Hãy nghĩ về nó như một chuỗi bảo lãnh. Chứng chỉ máy chủ nói "Tôi là example.com." CA trung gian nói "Tôi bảo đảm cho chứng chỉ của example.com." CA gốc nói "Tôi bảo đảm cho CA trung gian đó." Trình duyệt đã tin tưởng CA gốc, nên bằng cách theo chuỗi chữ ký, nó cũng tin tưởng máy chủ.

Khi bạn truy cập bất kỳ trang web HTTPS nào, trình duyệt âm thầm theo dõi chuỗi này trong vài mili giây. Nếu mọi liên kết đều hợp lệ, bạn sẽ thấy biểu tượng ổ khóa. Nếu bất kỳ liên kết nào bị thiếu, hết hạn hoặc không hợp lệ, bạn sẽ nhận được cảnh báo bảo mật.

Ba liên kết trong mọi chuỗi chứng chỉ

Hầu hết các chuỗi chứng chỉ SSL có chính xác ba cấp. Hiểu từng cấp là điều cần thiết để khắc phục sự cố HTTPS.

Chứng chỉ Gốc

Chứng chỉ gốc là điểm neo tin cậy ở đầu chuỗi. Nó được tự ký, nghĩa là Cơ quan Chứng nhận đã ký chứng chỉ của chính mình. Chứng chỉ gốc được cài sẵn trong trình duyệt và hệ điều hành — bộ sưu tập này được gọi là kho tin cậy (trust store).

Có khoảng 150 CA gốc mà các trình duyệt chính tin tưởng theo mặc định. Các tổ chức như DigiCert, Let's Encrypt (ISRG), Sectigo và GlobalSign đều vận hành chứng chỉ gốc. Vì khóa gốc rất quan trọng, các CA lưu trữ chúng trong các mô-đun bảo mật phần cứng (HSM) bên trong két an toàn vật lý và cách ly mạng.

Chứng chỉ Trung gian

Chứng chỉ trung gian nằm giữa chứng chỉ gốc và chứng chỉ máy chủ. CA gốc ký chứng chỉ trung gian, và CA trung gian sau đó ký chứng chỉ thực thể cuối (máy chủ). Hầu hết các CA sử dụng một hoặc hai chứng chỉ trung gian.

Máy chủ web phải gửi chứng chỉ trung gian cùng với chứng chỉ leaf trong quá trình bắt tay TLS. Khác với chứng chỉ gốc, chứng chỉ trung gian không được cài sẵn trong trình duyệt — nếu máy chủ không gửi chúng, chuỗi sẽ bị đứt.

Chứng chỉ Leaf (Chứng chỉ Máy chủ)

Chứng chỉ leaf (còn gọi là chứng chỉ thực thể cuối hoặc chứng chỉ máy chủ) là chứng chỉ được cài đặt trên máy chủ web. Nó chứa tên miền, khóa công khai, thời hạn hiệu lực và thông tin về nhà phát hành (CA trung gian đã ký nó).

Đây là chứng chỉ đầu tiên trình duyệt nhận được trong quá trình bắt tay TLS. Trình duyệt sau đó đi lên chuỗi, xác minh từng chữ ký cho đến khi đạt được gốc tin cậy.

Chuỗi tin cậy hoạt động như thế nào

Khi trình duyệt kết nối với trang web qua HTTPS, quá trình bắt tay TLS kích hoạt quy trình xác minh chuỗi diễn ra trong vài mili giây:

• Máy chủ gửi chứng chỉ — Máy chủ web gửi chứng chỉ leaf cùng tất cả chứng chỉ trung gian đến trình duyệt.

• Trình duyệt xây dựng chuỗi — Trình duyệt sắp xếp chứng chỉ theo thứ tự: leaf → trung gian → gốc. Nó xác định gốc bằng cách kiểm tra kho tin cậy.

• Xác minh chữ ký — Bắt đầu từ leaf, trình duyệt xác minh rằng chữ ký số của mỗi chứng chỉ được tạo bởi khóa riêng của chứng chỉ tiếp theo trong chuỗi.

• Tra cứu gốc — Trình duyệt xác nhận chứng chỉ gốc ở đầu chuỗi tồn tại trong kho tin cậy tích hợp. Nếu gốc không được nhận dạng, xác minh thất bại.

• Kiểm tra hiệu lực — Với mỗi chứng chỉ trong chuỗi, trình duyệt kiểm tra: chưa hết hạn, chưa bị thu hồi (qua CRL hoặc OCSP), và tên miền của chứng chỉ leaf khớp với URL.

Điều gì xảy ra sau khi xác minh

Nếu tất cả kiểm tra đều đạt, trình duyệt thiết lập kết nối mã hóa và hiển thị biểu tượng ổ khóa. Nếu bất kỳ kiểm tra nào thất bại — ngay cả trên chứng chỉ trung gian — trình duyệt hiển thị cảnh báo như "Kết nối của bạn không riêng tư" hoặc "NET::ERR_CERT_AUTHORITY_INVALID."

Đây là lý do tại sao toàn bộ chuỗi quan trọng, không chỉ chứng chỉ leaf. Chứng chỉ trung gian hết hạn sẽ phá vỡ HTTPS hoàn toàn như chứng chỉ máy chủ hết hạn.

Tại sao chứng chỉ trung gian tồn tại

Về lý thuyết, CA gốc có thể ký trực tiếp mọi chứng chỉ máy chủ, bỏ qua hoàn toàn chứng chỉ trung gian. Nhưng có ba lý do quan trọng tại sao họ không làm vậy:

• Cách ly bảo mật — Khóa riêng của CA gốc được giữ ngoại tuyến trong HSM bên trong két an toàn vật lý. Chúng chỉ được sử dụng để ký chứng chỉ trung gian, không phải hàng triệu chứng chỉ máy chủ riêng lẻ. Điều này giảm đáng kể rủi ro khóa gốc bị xâm phạm.

• Kiểm soát thiệt hại — Nếu CA trung gian bị xâm phạm, chỉ các chứng chỉ của trung gian đó bị ảnh hưởng. CA gốc có thể thu hồi trung gian bị xâm phạm và cấp mới — mà không vô hiệu hóa mọi chứng chỉ đã từng cấp.

• Linh hoạt vận hành — Các CA sử dụng các chứng chỉ trung gian khác nhau cho các mục đích khác nhau: một cho chứng chỉ DV, một cho EV, riêng biệt cho các khu vực hoặc thuật toán khóa khác nhau (RSA vs ECDSA).

Cách kiểm tra chuỗi chứng chỉ SSL

Có ba cách để kiểm tra chuỗi chứng chỉ của trang web, từ công cụ dòng lệnh đến kiểm tra trên trình duyệt.

Phương pháp 1: OpenSSL (Dòng lệnh)

Lệnh openssl là cách chi tiết nhất để kiểm tra chuỗi chứng chỉ. Chạy lệnh này trong terminal:

openssl s_client -connect example.com:443 -showcerts 2>/dev/null | grep -E 's:|i:'

Phương pháp 2: Trình xem chứng chỉ của trình duyệt

Mọi trình duyệt chính đều cho phép bạn kiểm tra chuỗi chứng chỉ mà không cần công cụ đặc biệt:

• Nhấp vào biểu tượng ổ khóa trong thanh địa chỉ trình duyệt

• Chọn "Kết nối an toàn" → "Chứng chỉ hợp lệ"

• Mở tab "Đường dẫn chứng nhận" (Chrome/Edge) hoặc tab "Chi tiết" (Firefox)

• Bạn sẽ thấy chuỗi đầy đủ từ gốc (trên cùng) đến leaf (dưới cùng)

Phương pháp 3: Công cụ kiểm tra SSL DNS Robot

Cách nhanh nhất để kiểm tra chuỗi chứng chỉ của bất kỳ trang web nào là sử dụng công cụ trực tuyến. Công cụ kiểm tra SSL của chúng tôi hiển thị chuỗi đầy đủ, chi tiết nhà phát hành, ngày hiệu lực và trạng thái xác minh — tất cả chỉ với một cú nhấp. Nhập bất kỳ tên miền nào và xem chuỗi đầy đủ ngay lập tức.

Các lỗi chuỗi chứng chỉ phổ biến và cách sửa

Vấn đề chuỗi chứng chỉ là một trong những nguyên nhân phổ biến nhất gây lỗi HTTPS. Dưới đây là các lỗi bạn có thể gặp và cách giải quyết từng lỗi.

Thiếu chứng chỉ trung gian

Thông báo lỗi: "unable to verify the first certificate" hoặc "incomplete certificate chain"

Nguyên nhân: Máy chủ chỉ gửi chứng chỉ leaf mà không có chứng chỉ trung gian. Trình duyệt desktop đôi khi khắc phục bằng cách dùng chứng chỉ trung gian đã cache từ lần truy cập trước, nhưng trình duyệt di động và API client hầu như luôn thất bại.

Cách sửa: Tải chứng chỉ trung gian từ tài liệu CA và thêm vào file chứng chỉ của máy chủ. Trong Nginx, nối chúng thành một file:

cat your-domain.crt intermediate.crt > fullchain.crt

Chứng chỉ tự ký trong chuỗi

Thông báo lỗi: "self-signed certificate in certificate chain"

Nguyên nhân: Chứng chỉ gốc được thêm không cần thiết vào chuỗi máy chủ gửi, hoặc chứng chỉ thực sự là tự ký và không từ CA đáng tin cậy.

Cách sửa: Xóa chứng chỉ gốc khỏi file chuỗi máy chủ. Máy chủ chỉ nên gửi leaf + trung gian. Trình duyệt đã có gốc trong kho tin cậy — gửi nó là không cần thiết và có thể gây lỗi này.

Sai thứ tự chứng chỉ

Thông báo lỗi: Xác minh chuỗi có thể thất bại âm thầm hoặc tạo cảnh báo "chứng chỉ không tin cậy".

Nguyên nhân: Chứng chỉ trong file chuỗi sai thứ tự.

Cách sửa: Thứ tự đúng luôn là: chứng chỉ leaf trước, sau đó trung gian từ gần leaf nhất đến gần gốc nhất. Không bao giờ bao gồm chứng chỉ gốc.

Chứng chỉ hết hạn trong chuỗi

Thông báo lỗi: "certificate has expired" — nhưng ngày hết hạn chứng chỉ leaf có vẻ bình thường.

Nguyên nhân: Chứng chỉ trung gian trong chuỗi đã hết hạn. Điều này ít phổ biến hơn nhưng có thể xảy ra khi CA thay đổi chứng chỉ trung gian.

Cách sửa: Tải chứng chỉ trung gian hiện tại từ CA và thay thế cái cũ. Sau đó sử dụng Công cụ kiểm tra SSL của chúng tôi để xác minh chuỗi đã cập nhật.

Thực tiễn tốt nhất cho chuỗi chứng chỉ

• Luôn cài đặt chứng chỉ trung gian — Đừng bao giờ cho rằng trình duyệt sẽ tự tìm ra. Luôn cấu hình máy chủ gửi chuỗi đầy đủ (leaf + trung gian).

• Không gửi gốc — Trình duyệt đã có chứng chỉ gốc. Bao gồm gốc lãng phí băng thông và có thể gây lỗi ở một số client.

• Giữ đúng thứ tự — Leaf trước, trung gian tiếp theo, không có gốc. Một số máy chủ nghiêm ngặt về thứ tự; số khác chấp nhận nhưng có thể chậm hơn khi xác minh.

• Giám sát hết hạn — Chứng chỉ trung gian cũng hết hạn. Thiết lập cảnh báo hoặc sử dụng quản lý chứng chỉ tự động (như certbot với Let's Encrypt).

• Xác minh sau thay đổi — Sau khi gia hạn chứng chỉ hoặc thay đổi hosting, luôn kiểm tra chuỗi bằng công cụ như Công cụ kiểm tra SSL của chúng tôi. Cái hoạt động trước gia hạn có thể không hoạt động sau nếu CA đã thay đổi chứng chỉ trung gian.

• Sử dụng OCSP Stapling — Bật OCSP stapling trên máy chủ để trình duyệt có thể xác minh trạng thái thu hồi chứng chỉ nhanh hơn mà không cần liên hệ CA trực tiếp.