Chứng chỉ SSL ngắn ngày: cấu hình tự gia hạn an toàn

Chứng chỉ SSL từng có hạn 1 hay 2 năm. Giờ phổ biến nhất là 90 ngày. Xu hướng chung của ngành là rút ngắn dần. Lộ khoá chỉ gây hại trong một cửa sổ nhỏ. Gia hạn tay theo chu kỳ đó gần như bất khả thi, việc này phải giao cho hệ thống tự gia hạn SSL tự làm. Nhưng tự động mà không ai theo dõi thì chỉ phát hiện lúc website đã báo lỗi.

Bài này không nói lại các bước gia hạn tay. Bài đó đã có ở gia hạn chứng chỉ SSL. Trọng tâm ở đây là phần ít ai nói tới: tự gia hạn thất bại trong im lặng. Nó không báo lỗi ngay. Nó chỉ lộ ra khi trình duyệt chặn khách vào web.

Vì sao chứng chỉ SSL ngày càng ngắn hạn

Chứng chỉ SSL ngắn hạn giới hạn thời gian một khoá bị lộ có thể gây hại. Đây là hướng đi chung được CA/Browser Forum thúc đẩy nhiều năm qua, không riêng một hãng nào. Chứng chỉ 90 ngày qua tài liệu Let's Encrypt là ví dụ điển hình nhất. Xu hướng ngắn hơn nữa vẫn đang được bàn trong ngành.

Lý do kỹ thuật khá đơn giản. Một chứng chỉ 2 năm bị lộ khoá riêng thì kẻ tấn công có 2 năm để khai thác. Rút còn 90 ngày, cửa sổ đó co lại còn một phần nhỏ. Đổi lại, tần suất gia hạn tăng gấp nhiều lần.

Một quản trị viên từng gia hạn 1 lần mỗi năm. Giờ phải lặp việc đó 4 lần. Làm tay 4 lần một năm cho một website còn xoay được. Doanh nghiệp có 15 hay 20 tên miền thì khác. Con số nhân lên thành hàng chục lượt thao tác. Chỉ cần quên 1 lượt là có 1 website báo lỗi, đúng cảnh khách hay hỏi khi tra bảng giá chứng chỉ SSL vì sao web bỗng dưng không vào được.

Gia hạn tay hỏng ở đâu khi chu kỳ ngắn lại

Gia hạn tay dựa vào một người nhớ đúng ngày, mở đúng hệ thống, làm đúng thao tác. Chu kỳ 90 ngày làm việc lặp lại quá thường xuyên để nhớ bằng trí nhớ thường. Xác suất quên vì vậy tăng lên.

4 điểm rơi thường gặp của quy trình thủ công

• Lịch nhắc chỉ nằm trong đầu một người. Người đó nghỉ phép hoặc đổi việc, lịch nhắc mất theo.
• Nhiều tên miền, một người quản. Bỏ sót 1 trong 20 tên miền là chuyện dễ xảy ra.
• Thao tác gia hạn có nhiều bước tay. Tạo yêu cầu, xác minh quyền sở hữu, tải chứng chỉ mới, cài lại vào máy chủ. Sai 1 bước là hỏng cả chuỗi.
• Không có cảnh báo trước khi hết hạn. Biết chứng chỉ sắp hết chỉ khi trình duyệt hiện cảnh báo cho khách hàng thấy.

Chu kỳ càng ngắn, 4 điểm rơi này càng lộ rõ. Đó là lý do ngành chuyển sang tự động hoá gần hết. Giao thức ACME đứng sau phần lớn công cụ tự gia hạn hiện nay.

Tự gia hạn SSL cần gì để chạy đúng

Tự gia hạn SSL không phải bật một nút là xong mãi mãi. Hệ thống cần 3 điều kiện cùng lúc: quyền ghi vào thư mục xác minh, DNS ổn định, và một tiến trình định kỳ chạy đúng giờ. Tiến trình này thường chạy qua Cronjob để kiểm tra và gia hạn khi gần tới hạn.

4 thành phần này đều lặng lẽ chạy nền. Chạy đúng thì không ai để ý. Chính vì vậy, lúc một mắt xích gãy, không có gì báo động ngay.

3 lý do tự gia hạn SSL âm thầm thất bại

Tự gia hạn SSL không báo lỗi ngay khi hỏng. Nó chỉ dừng chạy. Chứng chỉ cũ vẫn còn hiệu lực vài chục ngày nữa, nên website vẫn chạy bình thường. Sự cố chỉ lộ ra tới ngày chứng chỉ đó hết hạn thật, và cách xử lý lúc đó đã có riêng ở bài website báo lỗi vì SSL hết hạn.

3 nguyên nhân khiến quá trình gia hạn dừng mà không ai biết

• Thay đổi cấu hình máy chủ. Một lần nâng cấp phần mềm máy chủ web, đổi bản ghi cấu hình, hoặc dọn thư mục có thể vô tình xoá đường dẫn mà tiến trình gia hạn cần dùng. Tiến trình chạy nhưng không tìm thấy đích. Nó âm thầm ghi lỗi vào log, và không ai đọc log đó.
• Bản ghi tên miền đổi. Chuyển nhà cung cấp DNS, sửa bản ghi A hoặc CNAME mà quên cập nhật cho phần xác minh SSL. CA tra ngược không khớp, từ chối cấp lại. Không có cảnh báo nào gửi về ngoài dòng log kỹ thuật.
• Thư mục xác minh bị chặn. Cấu hình bảo mật mới, tường lửa mới, hoặc một plugin chặn truy cập ẩn vô tình chặn luôn đường dẫn CA cần đọc. Bảo mật tăng lên nhưng lại chặn đúng thứ cần mở.

Điểm chung của cả 3 nguyên nhân: chúng đến từ một thay đổi khác. Thay đổi đó không liên quan trực tiếp tới SSL. Không ai nghĩ tới việc kiểm tra chứng chỉ sau khi đổi DNS hay vá máy chủ. Hai việc đó trông chẳng liên quan gì tới nhau.

Phải theo dõi cái gì để biết tự gia hạn còn chạy

Biết chứng chỉ còn sống hay không cần theo dõi chủ động, không phải chờ trình duyệt báo. Có 3 cách kiểm. Mức độ đầy đủ tăng dần từ thủ công tới tự động.

Cách thứ nhất gần như vô dụng ở chu kỳ 90 ngày. Lúc phát hiện thường đã muộn. Cách thứ hai và thứ ba mới thật sự bắt được sự cố sớm. Một hệ thống giám sát tốt gửi cảnh báo ngay lần đầu gia hạn thất bại, không đợi tới lần thử cuối.

Ai lo phần này khi dùng dịch vụ có quản trị

Câu trả lời khác hẳn nhau tuỳ loại dịch vụ đang dùng. Đây là điểm nhiều người nhầm lẫn nhất. Nhất là lúc chuyển từ hosting sang VPS hoặc máy chủ riêng.

2 trường hợp, 2 người chịu trách nhiệm khác nhau

• Hosting có quản trị. BizMaC cấu hình, theo dõi và gia hạn chứng chỉ SSL thay khách hàng. Khách không cần mở panel kiểm tra định kỳ. Cũng không cần biết Cronjob nằm ở đâu. Việc của khách chỉ là chọn đúng gói SSL phù hợp số tên miền cần bảo vệ.
• Tự quản trị VPS hoặc máy chủ riêng. Khách toàn quyền cấu hình máy chủ. Phần tự gia hạn cũng do khách tự dựng và tự canh. Gặp sự cố như 3 lý do nêu ở trên thì mở Ticket để được hỗ trợ kỹ thuật. Hệ thống không tự động thay khách theo dõi log hàng ngày.

Ranh giới này quan trọng. Nó quyết định ai phát hiện sự cố đầu tiên. Trên hosting có quản trị, việc phát hiện thuộc về đội kỹ thuật. Trên máy chủ tự quản trị, người vận hành phải tự phát hiện trước, sớm hơn cả khách hàng của họ.

Câu hỏi thường gặp về tự gia hạn SSL

Tự động rồi vẫn phải có người trông

Tự gia hạn SSL giải quyết đúng vấn đề của chu kỳ ngắn. Không ai đủ sức nhớ và làm tay 4 lần một năm cho từng tên miền. Nhưng tự động không đồng nghĩa với vô trách nhiệm. Máy chỉ chạy đúng khi cả 4 thành phần đều nguyên vẹn: Cronjob, thư mục xác minh, bản ghi DNS và quyền cài lại.

3 nguyên nhân âm thầm phá hỏng chuỗi đó đều đến từ những thay đổi khác. Không phải từ chính hệ thống SSL. Cách phòng vẫn là theo dõi chủ động, không chờ trình duyệt cảnh báo. Trên hosting có quản trị, việc này BizMaC lo trọn. Trên VPS hay máy chủ riêng tự quản trị, mở Ticket ngay khi log gia hạn báo lỗi. Đừng đợi tới ngày chứng chỉ hết hạn thật.