Trong quá trình lướt web, hẳn bạn đã đôi lần bắt gặp cảnh báo “Kết nối của bạn không phải kết nối riêng tư” (hay “Your connection is not private”) khi truy cập vào một số website. Thông thường, trình duyệt sẽ có tuỳ chọn cho phép bạn tiếp tục truy cập vào website đó. Nhưng có nên không?
Vì sao bạn được chuyển hướng đến trang khác?
Ngày nay, chúng ta tham gia vào các hoạt động trực tuyến nhiều hơn bao giờ hết: thanh toán hoá đơn, mua sắm, tư vấn bác sĩ… Và cũng có ngày càng nhiều website yêu cầu người dùng cung cấp thông tin cá nhân. Chúng ta hầu như phải tin tưởng vào cơ chế bảo mật của từng trang để đảm bảo dữ liệu cá nhân của mình an toàn.
Mỗi khi bạn truy cập vào một trang web, trình duyệt (như Chrome, Safari, Firefox…) sẽ kiểm tra hai chứng chỉ kỹ thuật số của trang web đó gồm: Transport Layer Security (TLS) hoặc Secure Sockets Layer (SSL). Những chứng chỉ này thể hiện hai điều quan trọng. Một là chúng xác nhận danh tính của trang web, khẳng định đây là trang chính chủ. Và thứ hai là chúng xác thực các thông tin trên trang web – và bất kỳ thông tin nào người dùng chia sẻ – sẽ được bảo vệ và mã hoá. Phương thức mã hoá đảm bảo thông tin mà bạn chia sẻ, dù là thẻ tín dụng hay địa chỉ nhà, sẽ không thể lộ lọt nếu đường truyền bị can thiệp.
Bạn có thể kiểm tra trang web có những chứng chỉ này hay không bằng cách bấm vào biểu tượng ổ khoá nằm ở bên trái thanh đường dẫn, hoặc hiển thị “HTTPS” (không phải “HTTP” nhé) phía trước đường dẫn trang web. Cụm “HTTPS” thể hiện trang web sử dụng chứng chỉ bảo mật để truyền thông tin.
Năm 2014, Google thông báo sẽ sử dụng sự những chứng chỉ này như một yếu tố chất lượng trong công cụ tìm kiếm của mình, qua đó, các trang an toàn hơn được xếp ở vị trí cao hơn trong danh sách kết quả. Sau đó, năm 2018, Goole tiếp tục thông báo rằng Chrome sẽ gắn cờ các trang web không có chứng chỉ phù hợp (TLS hoặc SSL) và hiển thị thông báo “Kết nối của bạn không phải kết nối riêng tư” để cảnh báo người dùng. Các trình duyệt khác cũng có những thay đổi tương tự.
Đến nay, mỗi khi duyệt web, tuỳ vào loại trình duyệt sử dụng, có thể bạn sẽ nhận được nhiều biến thể của thông báo này khi truy cập một số trang web.
Có thật là bạn sẽ bị đánh cắp thông tin nếu vẫn truy cập vào những trang web đó?
Có thể. Cửa số cảnh báo hiển thị khi chứng chỉ của trang web không đủ điều kiện, có thể là vừa mới hết hạn hoặc hoàn toàn không có.
Việc truy cập vào những trang web không có cơ chế mã hoá có thể khiến bạn đối mặt với những mối đe doạ an ninh mạng.
Thông tin của bạn có thể bị can thiệp trên đường di chuyển quanh mạng internet, là phương pháp tấn công được các chuyên gia gọi tên là tấn công xen giữa (man-in-the-middle attack). Bill Budington, là nhân sự cấp cao tại Electronic Frontier Foundation (EFF), cho biết dạng tấn công này thường được sử dụng khi ai đó đã chiếm được quyền điều khiển mạng Wi-Fi, đánh lừa thiết bị của người dùng rằng phần mềm tấn công là điểm truy cập mà thiết bị cần kết nối. Quá trình này cho phép tin tặc truy cập vào lưu lượng truy cập internet và bất kỳ dữ liệu nào bạn cung cấp cho trang web.
“Dù là một trang của chính phủ lừa người dân rằng đó là google.com hay một tin tặc đánh lừa người dùng truy cập mạng ở một quán cà phê để lấy lịch sử duyệt web thì kết quả đều giống nhau”, Budington giải thích. “Có nghĩa là có sự xâm phạm dữ liệu nhạy cảm, mà lẽ ra không bao giờ được uỷ thác cho bên không đáng tin cậy, và có khả năng mạo danh mục tiêu hoặc truy xuất lịch sử liên lạc trong các trang người dùng đã truy cập”.
Dạng tấn công này đặc biệt nguy hiểm đối với các trang thương mại điện tử, là những trang khách hàng thường xuyên cung cấp các thông tin nhạy cảm, như địa chỉ và thẻ tín dụng. Sau khi có được thông tin, tin tặc có thể dùng chúng để đánh cắp danh tính, là nguy cơ đạt mức cao kỷ lục trong năm 2021. Một tin tặc mũ trắng đã tiến hành thử nghiệm cho thấy việc đánh cắp thông tin trực tuyến không được mã hoá dễ dàng như thế nào. Mặc dù phần mềm của anh ta không thật sự thu thập dữ liệu người dùng, nhưng nó có thể kết nối đến 49 thiết bị chỉ trong một buổi chiều tại trung tâm thương mại.
Việc truy cập các trang không được mã hoá cũng khiến bạn có nguy cơ bị tấn công bởi mã độc tống tiền (ransomware). Dạng tấn công này xảy ra khi người dùng truy cập một trang web nhiễm mã độc và phần mềm độc hại sẽ được bí mật tải xuống thiết bị cá nhân. Mã độc này sẽ mã hoá toàn bộ dữ liệu trên thiết bị và yêu cầu người dùng phải trả tiền chuộc để giải mã.
Cuối cùng, nếu bỏ qua cảnh báo và tiếp tục truy cập, bạn có thể đối mặt với một cuộc tấn công giả mạo (phishing attack). Theo đó, tin tặc sẽ giả dạng thành một trang web đáng tin cậy để khiến người dùng nhầm lẫn và chia sẻ thông tin tài chính hoặc các thông tin nhạy cảm khác. Trong trường hợp này, thông báo “Kết nối của bạn không phải kết nối riêng tư” bị kích hoạt do chứng chỉ của trang web không đáng tin cậy. Nếu người dùng gõ đường dẫn của ngân hàng và nhận được thông báo này, có thể đã xảy ra sự cố gì đó vì chắc chắn trang của ngân hàng phải có chứng chỉ còn hoạt động.
Bạn nên làm gì khi nhận được thông báo này?
Bruce Schneier, chuyên gia bảo mật và giảng viên liên kết tại Harvard, khuyến cáo người dùng đầu tiên cần đảm bảo rằng đường dẫn trang web bạn đang truy cập là chính xác. Sau đó, Schneier cho rằng người dùng cần tự quyết định dựa trên bối cảnh.
Ví dụ, nếu bạn nhấp vào một đường dẫn trong email từ một người lạ và bạn nhận được cảnh báo, bạn không nên tiếp tục truy cập. Nhưng nếu bạn đã nhập chính xác một đường dẫn quen thuộc, bạn vẫn có thể tiếp tục truy cập vì có thể đó “chỉ là lỗi”. Theo Schneier, có nhiều nguyên nhân vô hại khiến cảnh báo bị kích hoạt, ví dụ như chứng chỉ vừa hết hạn hoặc đường dẫn đã nhập không khớp với tên trong chứng chỉ.
Có một vài cách để xác định điều gì khiến cảnh bảo bị kích hoạt. Cảnh báo thường đi kèm với mã lỗi bên dưới và bạn có thể dễ dàng tìm thấy nó. Ví dụ, lỗi NET::ERR_CERT_COMMON_NAME_INVALID thường là do tên trong chứng chỉ không khớp với đường dẫn đã nhập.
Một lý do thường gặp khác là vì bạn truy cập từ mạng internet công cộng tại sân bay hoặc thư viện. Mạng Wi-Fi công cộng có nguy cơ cao bị tấn công xen giữa từ những người cùng truy cập. Chính vì vậy, việc sử dụng HTTPS càng quan trọng khi truy cập vào các mạng Wi-Fi công cộng, nó sẽ giúp bạn phòng ngừa trước cuộc tấn công.
Nếu bạn muốn chắc chắn không phải do lỗi ngẫu nhiên, bạn có thể thử khởi động lại máy tính, xoá bộ nhớ cache hoặc đổi sang mạng Wi-Fi cá nhân để kiểm tra xem cảnh báo có còn xuất hiện hay không.
Có thể vẫn còn xuất hiện cảnh báo, nhưng bạn vẫn quyết định truy cập vào trang web. Nếu sử dụng trình duyệt Chrome hoặc Firefox, bạn có thể chọn mục Nâng cao (Advance) trên bảng cảnh báo và nhấp vào đường dẫn để tiếp tục kết nối. Tuy nhiên, bạn vẫn cần phải cảnh giác về việc nhập thông tin cá nhân, như mật khẩu, địa chỉ… - vì những thông tin này sẽ không được bảo vệ.
Ngoài ra, Schneier cũng cảnh báo rằng mặc dù sự xuất hiện của chứng chỉ xác nhận rằng trang web được mã hoá, nhưng nó vẫn có thể chứa mã độc dưới nhiều hình thức khác nhau nếu quản trị viên của trang đó có ý đồ xấu.