Họ đang đo gì
Bạn có hiểu ranh giới của một lớp bảo mật không — chỗ mà rất nhiều hiểu nhầm bắt đầu.
Trả lời ngắn~30 giây
HTTPS cho ba thứ trên đường truyền: bí mật (người ở giữa không đọc được), toàn vẹn (không sửa được mà không bị phát hiện), và xác thực SERVER (bạn đang nói chuyện với đúng domain đó). Nó KHÔNG bảo vệ khỏi: server bị xâm nhập, ứng dụng có lỗ hổng, dữ liệu sai, hay việc chính domain đó là trang lừa đảo — một trang phishing cũng có khoá xanh, vì chứng chỉ chứng minh quyền sở hữu domain chứ không chứng minh ý định.
Giải thích sâu
Điều đáng nói thêm là những gì vẫn RÒ RỈ dù có HTTPS: tên miền bạn truy cập (qua SNI và DNS), kích thước và thời điểm của các gói tin, và địa chỉ IP. Với một số trang, riêng kích thước phản hồi đã đủ để đoán ra bạn đang xem gì. Nghĩa là HTTPS bảo vệ NỘI DUNG, không bảo vệ siêu dữ liệu.
Ở phía cấu hình, hai thứ đáng làm và rẻ: HSTS để trình duyệt không bao giờ thử HTTP với domain của bạn nữa (chặn được đợt tấn công hạ cấp ở lần truy cập thứ hai trở đi), và chuyển hướng HTTP → HTTPS ở tầng ngoài cùng. Còn certificate pinning thì hiếm khi đáng cho web — nó gây sự cố khi xoay chứng chỉ nhiều hơn là nó ngăn được tấn công.
Câu hỏi tiếp theo họ sẽ hỏi
?Cần HTTPS cho giao tiếp nội bộ giữa các dịch vụ không?
Có, nếu bạn theo mô hình zero trust — mạng nội bộ không còn được coi là an toàn theo mặc định. Service mesh làm việc này gần như miễn phí bằng mTLS, và mTLS còn cho bạn xác thực cả hai chiều, thứ mà HTTPS thường chỉ làm một chiều.
Trả lời thế này là mất điểm
- “Có HTTPS rồi nên an toàn.” Nó bảo vệ đúng một chặng của đường đi, và phần lớn lỗ hổng nằm ở hai đầu.