- Chứng chỉ CA là "giấy bảo lãnh" số của tổ chức cấp chứng chỉ. Điện thoại dùng nó để kiểm tra trang web, ứng dụng có đúng là bên thật hay không.
- Máy có sẵn chứng chỉ hệ thống do nhà sản xuất cài. Chứng chỉ người dùng là loại do bạn, công ty hoặc một ứng dụng cài thêm.
- Khi máy có chứng chỉ CA người dùng, Android có thể hiện cảnh báo "Mạng có thể bị giám sát". Ai nắm CA đó có khả năng xem lưu lượng mã hóa đi qua hệ thống của họ.
- Chỉ cài khi bộ phận IT của công ty, trường học yêu cầu, ví dụ Wi-Fi doanh nghiệp hay VPN nội bộ. Gỡ ngay chứng chỉ không rõ nguồn gốc.
- Android xem và gỡ ở mục Mã hóa và thông tin xác thực. iPhone quản lý qua VPN & Quản lý thiết bị và Cài đặt tin cậy chứng nhận.
Chứng chỉ CA trên điện thoại là tệp xác thực giúp máy quyết định nên tin kết nối bảo mật nào. Phần lớn thời gian bạn không cần đụng đến chúng, vì máy đã có sẵn danh sách chứng chỉ đáng tin cậy. Rủi ro chỉ xuất hiện khi có thêm chứng chỉ do người khác cài, nhất là khi bạn không biết nó từ đâu ra.
Bài viết giải thích hai loại chứng chỉ trong mục "Thông tin xác thực đáng tin cậy", ý nghĩa của cảnh báo "mạng có thể bị giám sát", khi nào nên cài, khi nào nên gỡ, và cách kiểm tra trên cả Android lẫn iPhone.
Chứng chỉ CA là gì, nói cho dễ hiểu
CA là viết tắt của Certificate Authority, tức tổ chức cấp chứng chỉ số. Khi bạn mở một trang web có HTTPS hoặc ứng dụng ngân hàng kết nối máy chủ, máy chủ đưa ra chứng chỉ của nó. Điện thoại kiểm tra xem chứng chỉ đó có được một CA mà máy tin tưởng ký hay không. Nếu có, kết nối được coi là an toàn. Nếu không, trình duyệt sẽ cảnh báo.
Trang trợ giúp Pixel của Google so sánh chứng chỉ số với giấy phép lái xe: nó nhận dạng thiết bị, ứng dụng hay máy tính, và xác nhận bên đó được phép truy cập một thứ gì đó. Chứng chỉ CA gốc thì giống cơ quan cấp giấy phép. Ai được cơ quan này bảo lãnh thì máy sẽ tin.
Apple cũng công bố danh sách chứng chỉ gốc có sẵn trên iPhone, iPad và Mac. Theo Apple, từ iOS 12 và macOS 10.14, các hệ điều hành của hãng dùng chung một kho chứng chỉ gốc. Android cũng có kho tương tự, được cập nhật cùng hệ thống.
Chứng chỉ hệ thống và chứng chỉ người dùng khác nhau ra sao
Trên Android, mục "Thông tin xác thực đáng tin cậy" thường có hai thẻ: Hệ thống và Người dùng. Sự khác biệt rất quan trọng:
| Tiêu chí | Chứng chỉ hệ thống | Chứng chỉ người dùng |
|---|---|---|
| Ai cài | Có sẵn trong hệ điều hành | Bạn, quản trị viên IT hoặc một ứng dụng hướng dẫn bạn cài |
| Số lượng | Nhiều, là các CA lớn được công nhận | Thường không có cái nào, trừ khi bạn đã cài |
| Cập nhật | Theo bản cập nhật hệ thống | Không tự cập nhật |
| Có thể xóa | Không xóa được, một số máy cho tắt từng cái | Xóa được từng cái hoặc xóa tất cả |
| Mức cần chú ý | Thấp, nên để nguyên | Cao, cần biết rõ nguồn gốc |
Nếu thẻ Người dùng trống, máy bạn không có chứng chỉ cài thêm. Đó là trạng thái bình thường của đa số điện thoại cá nhân.
Vì sao Android báo "Mạng có thể bị giám sát"
Khi có chứng chỉ CA người dùng, nhiều máy Android hiện thông báo kiểu "Mạng có thể bị giám sát" hoặc "Mạng có thể được theo dõi bởi bên thứ ba". Cảnh báo này không có nghĩa máy đã nhiễm virus. Nó nhắc rằng có một bên khác đang được máy tin tưởng ngang với các CA chính thức.
Ý nghĩa thực tế: bên nắm CA đó có thể tạo chứng chỉ cho bất kỳ tên miền nào. Nếu lưu lượng của bạn đi qua thiết bị kiểm tra của họ, ví dụ tường lửa ở công ty, họ có khả năng giải mã và xem nội dung kết nối mà ứng dụng chấp nhận CA đó. Trong doanh nghiệp, đây là cách làm có chủ đích để lọc mã độc và chống rò rỉ dữ liệu. Trong tay kẻ xấu, đây là cách nghe lén.
Tin tốt là Android đã hạn chế phạm vi ảnh hưởng. Theo tài liệu Network Security Configuration dành cho lập trình viên, mặc định các ứng dụng nhắm tới Android 7.0 trở lên chỉ tin CA hệ thống. Chỉ ứng dụng nhắm tới Android 6.0 trở xuống, hoặc ứng dụng tự cấu hình tin CA người dùng, mới chấp nhận chứng chỉ bạn cài thêm. Dù vậy, bạn không nên dựa vào điều này để giữ một chứng chỉ lạ trên máy.
Khi nào cài chứng chỉ là hợp lý
Có những trường hợp chính đáng cần cài chứng chỉ:
- Wi-Fi doanh nghiệp, trường học: mạng dùng chuẩn WPA2 hoặc WPA3-Enterprise thường yêu cầu chứng chỉ để máy kiểm tra đúng máy chủ xác thực. Google cho biết tùy chọn "Không xác thực" trong cấu hình EAP-PEAP, EAP-TLS và EAP-TTLS đã bị gỡ từ bản cập nhật Android 11 vì lý do bảo mật. Vì vậy, nhiều mạng nội bộ hướng dẫn nhân viên cài chứng chỉ của họ.
- VPN doanh nghiệp: một số giải pháp VPN cần chứng chỉ để xác thực thiết bị.
- Máy được công ty quản lý: phần mềm quản lý thiết bị (MDM) có thể tự cài chứng chỉ cho ứng dụng nội bộ.
- Lập trình viên kiểm thử: người phát triển ứng dụng đôi khi cài CA riêng để kiểm tra kết nối trên máy thử nghiệm, không phải máy dùng hằng ngày.
Nguyên tắc chung: chỉ cài khi yêu cầu đến từ bộ phận IT bạn biết rõ, qua kênh chính thức, và bạn hiểu chứng chỉ đó dùng cho việc gì.
Dấu hiệu chứng chỉ đáng ngờ và khi nào nên gỡ
Hãy xem xét gỡ chứng chỉ người dùng khi:
- Bạn không nhớ đã cài, và tên chứng chỉ không gắn với tổ chức nào bạn biết.
- Chứng chỉ được cài theo hướng dẫn của một trang web, tin nhắn, cuộc gọi lạ hoặc một ứng dụng "VPN miễn phí", "tăng tốc mạng".
- Bạn đã nghỉ việc hoặc không còn dùng Wi-Fi, VPN của tổ chức đã cấp chứng chỉ.
- Máy liên tục báo "Mạng có thể bị giám sát" dù bạn chỉ dùng điện thoại cá nhân.
Kẻ lừa đảo đôi khi dụ nạn nhân cài chứng chỉ hoặc hồ sơ cấu hình, rồi kèm theo ứng dụng điều khiển từ xa. Nếu nghi ngờ, ngoài việc gỡ chứng chỉ, hãy kiểm tra ứng dụng lạ theo hướng dẫn trong bài ứng dụng Android độc hại và cách gỡ, và đọc thêm về các lớp bảo vệ chống lừa đảo trên Android. Nếu đã nhập mật khẩu ngân hàng hay tài khoản quan trọng trong thời gian có chứng chỉ lạ, hãy đổi mật khẩu từ một thiết bị khác.
Cách xem và gỡ chứng chỉ trên Android
Theo hướng dẫn của Google cho máy Pixel, một số bước chỉ có trên Android 14 trở lên. Đường dẫn trên Pixel:
- Mở Cài đặt.
- Chọn Bảo mật và quyền riêng tư > Chế độ cài đặt bảo mật khác > Mã hoá và thông tin xác thực.
- Chọn Thông tin xác thực đáng tin cậy để xem thẻ Hệ thống và Người dùng.
- Để xóa một chứng chỉ cụ thể, vào Thông tin xác thực người dùng, chọn chứng chỉ cần gỡ.
- Để xóa toàn bộ chứng chỉ người dùng, chọn Xóa thông tin xác thực rồi OK.
Trên Samsung Galaxy, mục tương tự thường nằm ở Cài đặt > Bảo mật và quyền riêng tư > Cài đặt bảo mật khác, với các mục như Xem chứng chỉ bảo mật và Chứng chỉ người dùng. Tên mục có thể khác theo phiên bản One UI và hãng máy. Nếu không thấy, gõ "chứng chỉ" vào ô tìm kiếm của Cài đặt.
Google lưu ý hai điều. Thứ nhất, xóa chứng chỉ bạn đã cài không xóa chứng chỉ hệ thống mà máy cần để hoạt động. Thứ hai, nếu xóa chứng chỉ mà một mạng Wi-Fi cần, máy có thể không kết nối được mạng đó nữa. Vì vậy, với máy dùng cho công việc, hãy hỏi IT trước khi xóa hết.
Trên iPhone: hồ sơ cấu hình và Cài đặt tin cậy chứng nhận
iPhone thường nhận chứng chỉ qua hồ sơ cấu hình. Theo hướng dẫn sử dụng iPhone, hồ sơ cấu hình định nghĩa cài đặt để dùng máy với mạng hoặc tài khoản của công ty, trường học. Bạn có thể được yêu cầu cài hồ sơ gửi qua email hoặc tải từ trang web, và máy luôn hỏi quyền trước khi cài.
- Xem hồ sơ đã cài: Cài đặt > Cài đặt chung > VPN & Quản lý thiết bị. Xóa một hồ sơ sẽ xóa luôn các cài đặt, ứng dụng và dữ liệu gắn với hồ sơ đó.
- Xem chứng chỉ được tin cho SSL: Cài đặt > Cài đặt chung > Giới thiệu > Cài đặt tin cậy chứng nhận.
Điểm đáng chú ý từ tài liệu hỗ trợ của Apple: khi bạn tự cài hồ sơ có chứng chỉ, chứng chỉ đó không tự động được tin cho kết nối SSL/TLS. Bạn phải tự bật trong mục Cài đặt tin cậy chứng nhận. Nếu không thấy mục bật tin cậy đầy đủ cho chứng chỉ gốc, nghĩa là máy chưa có chứng chỉ cài thêm nào. Ngược lại, chứng chỉ cài qua MDM hoặc Apple Configurator được tin tự động, vì đó là kênh quản lý của tổ chức.
Vì vậy, nếu ai đó qua điện thoại hướng dẫn bạn bật công tắc trong Cài đặt tin cậy chứng nhận, hãy dừng lại và xác minh danh tính người đó.
Thói quen giữ kho chứng chỉ sạch sẽ
- Mỗi vài tháng, mở thẻ Người dùng (Android) hoặc VPN & Quản lý thiết bị (iPhone) để xem có gì lạ.
- Không bao giờ cài chứng chỉ chỉ để "vào được một trang web" hay "xem phim miễn phí".
- Không tắt chứng chỉ hệ thống nếu bạn không biết rõ mình đang làm gì. Tắt nhầm có thể khiến nhiều trang web, ứng dụng báo lỗi.
- Cập nhật hệ điều hành đều đặn để kho chứng chỉ hệ thống luôn mới.
- Khi chia tay công ty hoặc trường học, xóa hồ sơ, chứng chỉ mà họ đã cấp.
Kết nối an toàn còn phụ thuộc cả phía máy chủ. Bài bảo mật tên miền và tấn công DNS giải thích vì sao chứng chỉ và tên miền đi cùng nhau. Nếu bạn đang dọn dẹp các mục khó hiểu trong Cài đặt, xem thêm Private Compute Services là gì và các bài khác ở chuyên mục Giải đáp.
Câu hỏi thường gặp
Bấm Xóa thông tin xác thực có làm mất ảnh, danh bạ hay dữ liệu không?
Không. Thao tác này chỉ xóa chứng chỉ do người dùng cài, không đụng tới ảnh, tin nhắn hay danh bạ, cũng không xóa chứng chỉ hệ thống. Tuy nhiên, Wi-Fi công ty hoặc VPN cần chứng chỉ đó có thể ngừng kết nối cho tới khi bạn cài lại.
Chứng chỉ CA có phải là virus không?
Bản thân chứng chỉ không phải chương trình và không tự chạy. Rủi ro nằm ở chỗ nó cho phép bên phát hành được máy tin tưởng khi kiểm tra kết nối bảo mật. Chứng chỉ lạ thường đi kèm ứng dụng hoặc hồ sơ đáng ngờ, nên cần kiểm tra cả hai.
Cài chứng chỉ của công ty thì công ty có đọc được tin nhắn của tôi không?
Về nguyên tắc, nếu lưu lượng đi qua hệ thống kiểm tra của công ty, họ có thể xem nội dung các kết nối mà ứng dụng chấp nhận chứng chỉ đó. Nhiều ứng dụng hiện đại chỉ tin chứng chỉ hệ thống nên không bị ảnh hưởng. Tốt nhất, hỏi rõ chính sách của công ty và tách việc cá nhân sang thiết bị hoặc mạng riêng.
Có nên tắt bớt chứng chỉ trong thẻ Hệ thống cho an toàn hơn không?
Không nên với người dùng phổ thông. Các chứng chỉ này được hãng chọn lọc và cập nhật theo hệ thống. Tắt nhầm một CA lớn có thể khiến nhiều trang web và ứng dụng không kết nối được.
