Google nâng cấp tiêu chuẩn bảo mật HTTPS cho các nhà cung cấp chứng chỉ

Google nâng cấp tiêu chuẩn bảo mật trình duyệt Chrome thông qua MPIC và linting

Với thị phần trình duyệt hơn 66%, Google Chrome hiện là trình duyệt phổ biến nhất thế giới, và mọi thay đổi từ Google đều có sức ảnh hưởng lớn đến toàn bộ hệ sinh thái web. Gần đây, Google đã công bố hai sáng kiến quan trọng nhằm tăng cường bảo mật trên môi trường web, tập trung vào mã hóa HTTPS và quản lý chứng chỉ số TLS.

Hai yêu cầu mới – MPIC (Multi-Perspective Issuance Corroboration) và Linting – sẽ bắt buộc áp dụng cho tất cả các nhà cung cấp chứng chỉ (CA) theo Chương trình gốc Chrome (Chrome Root Program). Đây là bước đi thể hiện cam kết của Google trong việc chống lại gian lận chứng chỉ và nâng cao tiêu chuẩn an ninh mạng toàn cầu.

MPIC: xác thực tên miền đa chiều nhằm ngăn chặn chứng chỉ giả mạo

Google cải tiến quy trình xác thực tên miền truyền thống

Hiện nay, việc xác thực quyền sở hữu tên miền (domain control validation – DCV) là bước bắt buộc khi một CA cấp chứng chỉ TLS cho website. Tuy nhiên, DCV truyền thống vẫn có thể bị tin tặc lợi dụng để xin cấp chứng chỉ giả, dẫn đến nguy cơ truy cập trái phép hoặc đánh cắp dữ liệu người dùng.

alt="Google Nâng Cấp Tiêu Chuẩn Bảo Mật Https Cho Các Nhà Cung Cấp Chứng Chỉ" width="2500" height="1406" />

MPIC được thiết kế nhằm khắc phục lỗ hổng này bằng cách áp dụng nhiều góc nhìn xác thực khác nhau từ các nguồn độc lập. Qua đó, xác minh quyền sở hữu tên miền một cách chặt chẽ hơn trước khi cấp chứng chỉ.

Trong phiên họp gần nhất của Diễn đàn CA/Browser, tất cả thành viên đã đồng thuận thông qua MPIC trở thành yêu cầu bắt buộc cho quá trình cấp phát chứng chỉ TLS. Dự án Open MPIC được đánh giá là một trong những triển khai mở hiệu quả nhất hiện nay của công nghệ này.

Linting: kiểm tra định dạng chứng chỉ để đảm bảo tính tương thích và bảo mật

Xác minh định dạng chứng chỉ X.509 và phát hiện công nghệ mã hóa yếu

Linting là quy trình tự động kiểm tra các chứng chỉ TLS theo tiêu chuẩn định dạng X.509 – định dạng nền tảng cho phần lớn chứng chỉ mã hóa hiện nay. Nhờ quá trình này, các CA có thể:

• Phát hiện chứng chỉ không hợp lệ hoặc sai cấu trúc.
• Cảnh báo sử dụng công nghệ mã hóa lạc hậu hoặc không an toàn.
• Cải thiện khả năng tương thích giữa các CA, đảm bảo tính đồng nhất trong toàn ngành.

Google khuyến nghị các nhà cung cấp nên sử dụng các công cụ mã nguồn mở như certlint, pkilint, x509lint và zlint để triển khai linting hiệu quả.

Quan trọng hơn, việc linting hiện đã trở thành yêu cầu bắt buộc đối với các chứng chỉ công khai được cấp mới từ ngày 15/03/2025. Đây là một phần quan trọng trong nỗ lực của Google nhằm tăng cường minh bạch và bảo mật trong việc cấp phát chứng chỉ.

Tác động đến các nhà cung cấp và toàn bộ hệ sinh thái HTTPS

Các tiêu chuẩn mới của Google không chỉ ảnh hưởng đến các nhà cung cấp chứng chỉ số mà còn đặt ra tiêu chuẩn cao hơn cho toàn bộ ngành bảo mật mạng. Một số lợi ích nổi bật có thể kể đến:

• Ngăn chặn chứng chỉ giả mạo nhờ xác thực MPIC chặt chẽ.
• Tăng cường bảo mật website bằng cách loại bỏ các chứng chỉ yếu hoặc lỗi định dạng.
• Nâng cao trải nghiệm người dùng cuối khi truy cập vào các trang web sử dụng HTTPS.
• Thúc đẩy các bên trong hệ sinh thái web phải tuân thủ tiêu chuẩn bảo mật nghiêm ngặt hơn.

Google cho biết các thay đổi này cũng giúp duy trì sự tin cậy đối với chứng chỉ HTTPS – một trong những nền tảng then chốt của giao tiếp an toàn trên Internet.