AIA – Authority Information Access là gì?

Quyền truy cập thông tin cơ quan – Authority Information Access (AIA) là một phần mở rộng đặc biệt trong chứng chỉ SSL có chứa thông tin về người phát hành chứng chỉ. Phần mở rộng này giúp lấy các chứng chỉ trung gian từ cơ quan chứng nhận phát hành. Trong trường hợp nếu máy chủ không cung cấp chứng chỉ trung gian, chúng có thể được tải xuống từ liên kết có trong trường AIA. Cách tiếp cận này cho phép lưu chuỗi chứng chỉ và thực hiện kiểm tra chứng chỉ SSL, ngay cả khi máy chủ được cấu hình không chính xác. Nếu ứng dụng khách của người dùng hỗ trợ Tìm nạp AIA, thì người dùng thậm chí không nhận ra lỗi cấu hình máy chủ.

Công nghệ tìm nạp trung gian AIA hiện được hỗ trợ bởi các trình duyệt sau: Google Chrome, Internet Explorer và Safari. Tuy nhiên, công nghệ AIA được sử dụng để khôi phục chuỗi chứng chỉ thường bị chỉ trích vì nó khuyến khích cấu hình máy chủ sai. Chuỗi chứng chỉ sẽ hoạt động như mong đợi, ngay cả khi chứng chỉ trung gian không được cài đặt trên máy chủ. Ưu điểm chính của phương pháp này là sự tiện lợi cho người dùng. Ngày nay, không phải tất cả các trình duyệt đều hỗ trợ công nghệ tìm nạp AIA. Ví dụ, nó vẫn chưa được triển khai trong Firefox.

Triển khai tìm nạp trung gian AIA trong Mozilla Firefox

Các nhà phát triển trình duyệt Firefox không vội vàng với việc triển khai AIA Fetching. Theo phân tích gần đây được thực hiện bởi các chuyên gia Mozilla, tỷ lệ phần trăm chung của các lỗi SEC_ERROR_UNKNOWN_ISSUER trong trường hợp công nghệ tìm nạp AIA vẫn còn khá cao.

Nghiên cứu dựa trên Báo cáo Lỗi TLS, bao gồm các phản hồi từ người dùng gặp phải sự cố về Kết nối an toàn không thành công và cung cấp phản hồi của họ cho các nhà phát triển trình duyệt (sử dụng dấu kiểm đặc biệt trên trang lỗi).

Khi AIA Fetching được bật, tổng phần trăm lỗi xác thực chứng chỉ với nhà xuất bản không xác định cảnh báo chứng chỉ có thể giảm khoảng 6%.

Tuy nhiên, nhóm các nhà phát triển Firefox chưa sẵn sàng triển khai AIA Fetching, xem xét rằng cấu hình không chính xác của chứng chỉ SSL trên máy chủ tương đương với việc không có bất kỳ sự bảo vệ nào, gây nguy hiểm cho dữ liệu người dùng có giá trị. 

bình luận

Leave a Comment