Vòng đời chứng chỉ SSL rút ngắn: doanh nghiệp làm gì

Vòng đời chứng chỉ SSL đang ngắn dần. Mười năm trước, 1 chứng chỉ có thể dùng 2 đến 3 năm. Giờ phần lớn chứng chỉ DV chỉ sống vài tháng. Các tổ chức cấp chứng chỉ đã công bố lộ trình rút ngắn thêm. Bài này không nêu mốc ngày cụ thể, vì chính sách còn thay đổi liên tục. Bài nói việc doanh nghiệp cần chuẩn bị, để không bị động lần nữa.

Vì sao vòng đời chứng chỉ SSL ngày càng ngắn

Chứng chỉ ngắn hạn giảm thiệt hại khi khoá bị lộ. Đây là lý do kỹ thuật chính. Chứng chỉ sống 2 năm mà khoá rò rỉ, kẻ xấu có 2 năm để lợi dụng. Chứng chỉ sống vài tuần thì cửa sổ rủi ro đó thu hẹp lại. Không phải một tổ chức nào tuỳ hứng đặt ra chuyện này.

3 lý do kỹ thuật đứng sau xu hướng

• Khoá lộ thì thiệt hại giới hạn trong thời gian ngắn.
• Thông tin xác thực tên miền được làm mới liên tục.
• Toàn ngành bị ép chuyển sang tự động hoá, giảm sai sót do con người.

Theo tài liệu của CA/Browser Forum, xu hướng chung là rút ngắn thời hạn tối đa cho chứng chỉ DV theo nhiều đợt. Mỗi đợt cách nhau khoảng 1 đến 2 năm. Doanh nghiệp đang cân nhắc mua mới hay đổi loại chứng chỉ SSL nên tính luôn khả năng tự động hoá, thay vì chỉ nhìn giá. Muốn biết mốc áp dụng chính xác, cách chắc nhất là tra trang chính thức của tổ chức cấp chứng chỉ đang dùng.

Gia hạn tay không còn theo kịp vòng đời chứng chỉ SSL rút ngắn

Gia hạn tay từng là việc làm 1 lần mỗi năm. Đặt lịch nhắc là đủ. Với chu kỳ rút ngắn, việc này lặp lại nhiều lần mỗi năm trên cùng 1 tên miền. Quên 1 lần là website báo lỗi chứng chỉ ngay trước mặt khách hàng.

Hệ quả khi vẫn làm tay

• Số lần gia hạn trong 1 năm tăng lên, từ 1 lần thành vài lần.
• Người phụ trách phải nhớ nhiều mốc hơn trên nhiều tên miền.
• Bỏ sót 1 tên miền là đủ để trình duyệt cảnh báo không an toàn.
• Nhân sự nghỉ việc mà không bàn giao, chứng chỉ hết hạn không ai hay.

Trình duyệt hiện đại chặn thẳng trang có chứng chỉ hết hạn. Khách không dễ bỏ qua cảnh báo như trước. Website bán hàng gặp lỗi này giữa giờ cao điểm, đơn hàng đứng lại ngay. Không đơn giản là một dòng chữ đỏ.

3 việc doanh nghiệp phải chuẩn bị trước khi vòng đời chứng chỉ ngắn thêm

Ba việc theo thứ tự: chuyển sang tự động, xác định rõ người chịu trách nhiệm, có cách biết ngay khi tự động hỏng. Thiếu 1 trong 3 thì 2 việc còn lại khó phát huy tác dụng. Doanh nghiệp làm đủ cả 3 mới yên tâm được.

Việc 1: chuyển từ gia hạn tay sang tự động

Giao thức ACME, nền tảng của Let's Encrypt và nhiều nhà cung cấp khác, cho máy chủ tự xin cấp và tự thay chứng chỉ mới. Không cần người bấm nút mỗi lần. Việc của con người là cấu hình đúng 1 lần. Sau đó để hệ thống tự chạy.

Việc 2: biết rõ ai chịu trách nhiệm cho từng website

Công ty có 3, 5 hay nhiều website hơn thì mỗi cái cần 1 người đứng tên. Không có tên cụ thể, việc dồn qua dồn lại lúc có sự cố. Không ai kiểm tra định kỳ. Đây là lỗ hổng âm thầm nhất.

Việc 3: có cách theo dõi khi tự động hoá bị hỏng

Tự động không có nghĩa là quên hẳn. Job tự gia hạn có thể thất bại vì hết dung lượng đĩa, vì tường lửa chặn cổng xác thực, vì DNS đổi mà quên cập nhật. Cần 1 kênh cảnh báo riêng, tách khỏi hệ thống đang được theo dõi. Có vậy mới biết ngay khi trục trặc.

Trường hợp khó tự động hoá hoàn toàn

Không phải tình huống nào cũng tự động được ngay. 3 nhóm khó nhất: chứng chỉ xác thực doanh nghiệp, hệ thống cách ly mạng, thiết bị đời cũ. Nhận diện đúng 3 nhóm này trước. Đừng cố ép tự động vào nơi nó chưa chạy được.

Chứng chỉ thẩm định doanh nghiệp cần xác minh lại

Chứng chỉ OV và EV yêu cầu xác minh pháp nhân. Không chỉ xác minh quyền sở hữu tên miền như DV. Bước này cần con người can thiệp. ACME chưa thay thế hoàn toàn được.

Hệ thống nội bộ không nối ra ngoài Internet

Máy chủ cách ly khỏi Internet vì lý do bảo mật thì không gọi được tới máy chủ xác thực của bên cấp chứng chỉ. Nhóm này buộc giữ quy trình thủ công. Hoặc dùng hạ tầng chứng chỉ nội bộ riêng.

Thiết bị mạng và phần mềm đời cũ

Router, tường lửa, hoặc phần mềm cũ đôi khi không hỗ trợ ACME. Nâng cấp firmware là cách xử lý gốc. Nhưng không phải lúc nào cũng làm ngay được, vì còn ràng buộc hệ thống khác.

Việc làm ngay tuần này trước khi vòng đời chứng chỉ ngắn thêm

Không cần đợi thông báo chính thức mới bắt đầu. 3 việc làm ngay trong tuần. Không tốn nhiều giờ. Không cần chờ ngân sách lớn.

3 việc bắt đầu ngay, không cần đợi

• Liệt kê hết website và hệ thống đang có chứng chỉ SSL, kể cả tên miền phụ ít ai nhớ.
• Đánh dấu cái nào đang tự động, cái nào vẫn làm tay theo bảng ở trên.
• Xếp thứ tự ưu tiên chuyển đổi: website bán hàng và website chính làm trước.

Quản lý tên miền và chứng chỉ SSL thường đi cùng nhau. Cả 2 gắn với cùng 1 hạ tầng DNS. Rà một lượt cả 2 trong 1 buổi nhanh hơn tách riêng.

Doanh nghiệp đang thuê Linux Hosting hoặc VPS thì phần lớn công cụ tự động đã có sẵn trong panel. Cái thiếu thường không phải công cụ. Mà là ai bật nó lên, ai theo dõi khi nó im lặng.

Câu hỏi thường gặp về vòng đời chứng chỉ SSL

Chuyển sang tự động trước khi bị ép

Vòng đời chứng chỉ SSL sẽ không quay lại mức vài năm như trước. 3 việc cần làm: chuyển sang tự động, giao rõ người phụ trách, dựng kênh cảnh báo khi tự động hỏng. Làm đủ 3 việc này, doanh nghiệp không còn bị động mỗi lần tổ chức cấp chứng chỉ công bố rút ngắn thêm.

Cần tư vấn chọn đúng mức bảng giá SSL doanh nghiệp cho từng website, hoặc muốn bên kỹ thuật lo luôn phần theo dõi và gia hạn, gửi ticket qua trang hỗ trợ hoặc nhắn Zalo OA. BizMaC báo phương án cụ thể theo số lượng tên miền đang có.