Https website hochieu.cahn.vn mang thông tin sai !

[DiepNV88]

Như tiêu đề bài viết hôm nay mình có vào trang web của hochieu.cahn.vn để tham khảo cách làm hộ chiểu nhưng điều đặc biệt ở đây là chứng chỉ SSL của website đang hiển thị nhầm thông tin của Cty khác.

Vấn đề đặt ra ở đây là liệu nhầm lẫn như vậy thì có ảnh hưởng gì đến an ninh của website hay không.
Chúng ta cần tìm hiểu chút về các loại ssl đang hoạt động trên thị trường:

CÁC LOẠI CHỨNG THƯ SỐ SSL (theo vinahost)

1. Domain Validation (DV - SSL)

Chứng thư số DV SSL chứng thực cho Domain Name - Website . Khi 1 Website sử dụng DV SSL thì sẽ được xác thực tên domain , website đã được mã hoá an toàn khi trao đổi dữ liệu. Với chứng thư DomainSSL, Website của bạn kích hoạt "ổ khóa màu xanh" và được bảo mật trong giao dịch thương mại điện tử, thông tin đăng nhập tài khoản web, email trực tuyến, lưu lượng mạng và dịch vụ trực tuyến.


2. Organization Validation (OV -SSL) Chứng thư số OV SSL chứng thực cho Website và xác thực doanh nghiệp đang sở hữu website đó . Kích hoạt "ổ khóa màu vàng" , đảm bảo an toàn cho các giao dịch thương mại điện tử, thông tin đăng nhập tài khoản web, email trực tuyến, lưu lượng mạng và dịch vụ trực tuyến. Chứng thư OrganizationSSL là tổ chức hiệu đính - khách truy cập trang web xem chi tiết công ty của bạn được hiệu đính tại chứng thư, giúp tăng cườngsự tin tưởng với trang web đem lại lợi thế kinh doanh cao hơn .


3. Extended Validation (EV -SSL) Chứng thư số EV SSL cho khách hàng của bạn thấy Website của bạn có độ bảo mật cao nhất và được rà xoát pháp lý kỹ càng. Xuất hiện thanh địa chỉ sang màu xanh với hiển thị đầy đủ thông tin của doanh nghiệp, cho thấy thông tin của doanh nghiệp đã được xác thực và kiểm duyệt tình hình hoạt động, cung cấp một cấp độ cao hơn tin tưởng vào website và doanh nghiệp bạn


4. Wildcard SSL Certificate Với việc tùy chọn thêm Wildcard SSL, một chứng thư số SSL có thể bảo mật cho tất cả các tên miền cấp dưới. Là sản phẩm lý tưởng dành cho các cổng thương mại điện tử. Các website dạng này thường có thể tạo ra các trang e-store dành cho các chủ cửa hàng trực tuyến, mỗi e-store là một sub domains và được chia sẻ trên một địa chỉ IP duy nhất.Khi đó, để triển khai giải pháp bảo bảo mật giao dịch trực tuyến (khi đặt hàng, thanh toán, đăng ký & đăng nhập tài khoản,...) bằng SSL, chúng ta có thể dùng duy nhất một chứng chỉ số Wildcard cho tên miền chính của website và dùng chung một địa chỉ IP duy nhất để chia sẻ cho tất cả mọi sub domains.


5. SANS - Nhiều tên miền hợp nhất trong 1 chứng thư số Một chứng thư số SSL tiêu chuẩn chỉ bảo mật cho duy nhất một tên miền đã được kiểm định. Lựa chọn thêm SANs cho phép bảo mật tới 40 tên miền và máy chủ chỉ với một chứng thư số. SANs mang lại sự linh hoạt cho người sử dụng, dễ dàng hơn trong việc cài đặt, sử dụng và quản lý chứng thư số SSL. Ngoài ra, SANs có tính bảo mật cao hơn Wildcard SSL, đáp ứng chính xác yêu cầu an toàn đối với máy chủ và làm giảm tổng chi phí triển khai SSL tới tất cả các tên miền và máy chủ cần thiết. Chứng thư số SSL SANs có thể tích hợp với tất cả các loại chứng thư số SSL của GlobalSign bao gồm: Chứng thực tên miền (DV SSL), chứng thực tổ chức doanh nghiệp (OV SSL) và Chứng thực mở rộng cao cấp (EV SSL).

Loại đang được dùng cho site hochieu là:

Loại ssl này an toàn và sử dụng được nhiều domain và giá cũng rất cao.
Chúng ta thử seach info trên khóa chứng thư số site hộ chiếu ra rất nhiều domain khác nhau và không thể xác nhận của bên nào.
Vậy nguyên nhân là gì ?
- Lỗi này do config nhầm info trên khóa ssl, cũng có thể do sử dụng ssl có trước của 1 đơn vị khác dùng tiếp cho site hochieu.
-Điều này không hề ảnh hưởng đến an ninh website nếu chứng thư số được đảm bảo an ninh không bị lấy chộm mất.
Các bạn có thể cho thêm ý kiến về sự cố kỳ quặc này nhé !!!

 

Ở cuối trang, mình thấy họ ghi "Phát triển bởi Nhật Cường Software" nên có lẽ CAHN giao phó cho bác NC này luôn rồi

 

Ở cuối trang, mình thấy họ ghi "Phát triển bởi Nhật Cường Software" nên có lẽ CAHN giao phó cho bác NC này luôn rồi

Có thể là tiết kiệm chi phí mua ssl nữa.

 

Có thể là tiết kiệm chi phí mua ssl nữa.

Mình ko rõ chi phí lắm, nhưng theo hình bên dưới thì RootCA là VeriSign chứ ko phải GlobalSign bạn ạ.

 

Có thể do chủ trương của nhà nước là có thể thuê ngoài dịch vụ CNTT, nên bên công an cấp hộ chiếu thuê dịch vụ của Nhật Cường thì đi đúng chủ trương. Còn Nhật Cường chịu trách nhiệm vận hành đảm bảo tính sẵn sàng, an toàn bí mật cho thông tin của người dân khi sử dụng dịch vụ trên website.
Tuy nhiên theo mình thì dịch vụ công của công an thành phố Hà Nội thì nên sử dụng chứng thư của công an thành phố, như vậy người dân sẽ có cảm giác "tin tưởng" vì họ đang được kết nối tới đúng địa chỉ. Có nhiều bạn bè mình nói là nhìn vào chứng thư họ tưởng kết nối nhầm về công ty Nhật Cường, nên lại thoát ra, vì tưởng vào nhầm.

 

Ủa mà hình như Certificate như này đã được verified rồi mà nhỉ ?. Chỉ là cấu hình nhầm thôi mà phải ko anh @nktung nhỉ ?

 

Mình ko rõ chi phí lắm, nhưng theo hình bên dưới thì RootCA là VeriSign chứ ko phải GlobalSign bạn ạ.

View attachment 1569

Có nhiều tổ chức cung cấp ssl hình trên mình minh họa về loại ssl Extended Validation (EV -SSL) website hochieu đang dùng chứ không nhắc tổ chức cung cấp cụ thể.

 

Có thể do chủ trương của nhà nước là có thể thuê ngoài dịch vụ CNTT, nên bên công an cấp hộ chiếu thuê dịch vụ của Nhật Cường thì đi đúng chủ trương. Còn Nhật Cường chịu trách nhiệm vận hành đảm bảo tính sẵn sàng, an toàn bí mật cho thông tin của người dân khi sử dụng dịch vụ trên website.
Tuy nhiên theo mình thì dịch vụ công của công an thành phố Hà Nội thì nên sử dụng chứng thư của công an thành phố, như vậy người dân sẽ có cảm giác "tin tưởng" vì họ đang được kết nối tới đúng địa chỉ. Có nhiều bạn bè mình nói là nhìn vào chứng thư họ tưởng kết nối nhầm về công ty Nhật Cường, nên lại thoát ra, vì tưởng vào nhầm.

Khả năng như anh nói rất cao.

 

chắc để tiết kiệm cho dân cho nước nên dùng luôn ssl của nhà phát triển

 

Update!
https://vnexpress.net/phap-luat/nhieu-cua-hang-nhat-cuong-mobile-bi-kham-xet-3920986.html