Hành trình một lần mở trang: từ HTTP chữ rõ đến HTTPS

Bài 5 cho biết mỗi kết nối có IP và port ở hai đầu. Bài này đi tiếp với một tình huống cụ thể:

Để trả lời, bài đi theo thứ tự "nhìn vấn đề trước, tìm cách chặn sau":

Cần chuẩn bị

• Python 3 (chạy web server thử), trình duyệt, terminal.
• Wireshark đã cài và cấp quyền bắt gói. Nếu chưa có, vẫn làm được phần lớn bài tập bằng cách đọc dữ liệu mẫu.
• curl (có sẵn trên macOS, Linux; Windows dùng curl.exe).

Giao thức HTTP (Hypertext Transfer Protocol) là ngôn ngữ giữa trình duyệt và website. Trình duyệt gửi một Yêu cầu (Request), server trả một Phản hồi (Response). Khi Lan bấm "Đóng phí", trình duyệt gửi khoảng như sau (đã trình bày lại cho dễ đọc):

POST /dong-phi HTTP/1.1
Host: clb.example
Cookie: phien=a1b2c3d4
Content-Type: application/x-www-form-urlencoded
Content-Length: 29

ten=Lan&so_tien=200000&ghi=ok

• Dòng đầu: Phương thức HTTP (HTTP method) (POST = gửi dữ liệu lên; GET = lấy tài nguyên; còn PUT, DELETE), đường dẫn /dong-phi trên server, và phiên bản giao thức.
• Các dòng Tên: giá trị là Thông tin đầu thông điệp (HTTP header). Host là tên đích. Cookie mang mã phiên đăng nhập (bài 3). Content-Length là số byte của body.
• Dòng trống kết thúc header. Phần sau đó là body: dữ liệu Lan nhập.

Server trả lời bằng một response:

HTTP/1.1 200 OK
Content-Type: text/html; charset=utf-8
Content-Length: 14

<h1>Hello</h1>

Dòng đầu có Mã trạng thái HTTP (HTTP status code). Bảng mã thường gặp:

Một response chứa số tài khoản sai vẫn là 200: HTTP chỉ nói giao thức chạy ổn, tính đúng của dữ liệu là chuyện toàn vẹn (bài 1).

Để thấy chữ rõ bằng mắt, ta chạy cả client và server trong cùng một máy. Địa chỉ Kết nối về chính máy (Loopback) 127.0.0.1 luôn trỏ về chính máy, nên gói không ra router. Dùng Bắt lưu lượng (Packet capture) của Wireshark để xem các gói.

Bước 1. Dựng server

1. Tạo thư mục trống network-lab, đừng chọn thư mục chứa dữ liệu cá nhân.
2. Tạo file index.html trong đó:

<h1>Cau lac bo - Lich sinh hoat</h1>

3. Mở terminal đúng trong thư mục đó và chạy (giữ cửa sổ này chạy):

python3 -m http.server 8000 --bind 127.0.0.1

py -m http.server 8000 --bind 127.0.0.1

8000 là port lắng nghe. --bind 127.0.0.1 chỉ cho máy này truy cập, thói quen tốt để không vô tình mở dịch vụ thử nghiệm ra mạng. Mở http://127.0.0.1:8000/ trong trình duyệt: server in dòng log như "GET / HTTP/1.1" 200 -.

Lỗi thường gặp: "command not found" là chưa cài Python hoặc sai tên lệnh; "Address already in use" là port đang dùng, đổi port và sửa URL cho khớp; server phục vụ file ở thư mục hiện hành nên chạy sai thư mục sẽ ra trang khác.

Bước 2. Bắt gói

1. Chọn giao diện loopback và bấm bắt đầu capture trước khi tạo kết nối.
2. Trong terminal khác, gửi một request có kèm cookie giả:

curl -H "Cookie: phien=demo123" http://127.0.0.1:8000/

3. Dừng capture. Nhập Bộ lọc hiển thị (Display filter) tcp.port == 8000. Filter chỉ ẩn bớt dòng, không xóa gói.
4. Chuột phải một dòng HTTP, chọn Follow → TCP Stream.

Nếu không thấy gói: kiểm tra đã chọn loopback, server còn chạy, capture bắt đầu trước thao tác. Bảng dưới là dữ liệu minh họa đã giản lược (không phải capture từ máy bạn); bấm một dòng để xem giải thích.

Phần A dùng địa chỉ số trực tiếp. Trên Internet, Lan gõ tên, nên trước tiên máy phải đổi tên thành IP. Việc này do Hệ thống tên miền (DNS) làm: Bộ phân giải DNS (DNS resolver) nhận câu hỏi, dùng kết quả đã lưu (Bộ nhớ đệm (Cache)) hoặc hỏi tiếp các máy chủ DNS.

Rủi ro bảo mật của DNS

• DNS thông thường không mã hóa và không tự xác thực: ai ở giữa đường nhìn thấy tên website bạn truy cập, và nếu giả được câu trả lời (DNS spoofing) thì đưa được người dùng tới máy chủ giả.
• Kẻ chiếm được tài khoản nhà đăng ký tên miền (bài 2) sửa được bản ghi A và chuyển cả website sang máy chủ của họ. Cần MFA và quyền tối thiểu cho tài khoản này.
• Tra được IP chưa chứng minh trang tải được, hay đúng là trang mong muốn.

nslookup example.com
dig example.com

Biết IP máy chủ rồi, gói tin rời mạng nhà qua Bộ định tuyến (Router). Router có hai việc đáng chú ý về bảo mật.

Việc 1: dịch địa chỉ (NAT)

IP riêng như 192.168.1.10 không dùng trực tiếp trên Internet. Khi gói đi ra, router thực hiện Dịch địa chỉ mạng (NAT): thay địa chỉ nguồn bằng IP công cộng của router. Nhiều thiết bị chung một IP công cộng nên router còn đổi cả port (Dịch địa chỉ kèm cổng (PAT)) và ghi vào bảng ánh xạ:

Hai máy cùng dùng port 51514 vẫn được tách nhờ hai port ngoài khác nhau. Khi server trả lời về 62001 hoặc 62002, router tra bảng và chuyển về đúng máy.

Việc 2: là điểm mọi gói đều đi qua

Router (và mọi thiết bị trên đường: Wi-Fi công cộng, nhà mạng, thiết bị trung gian) thấy được IP, port và với HTTP cả nội dung. Router bị chiếm thì kẻ tấn công đọc và sửa được lưu lượng chưa mã hóa (tấn công kẻ đứng giữa, Tấn công kẻ đứng giữa (MitM)). Vì vậy: đổi mật khẩu quản trị mặc định của router, cập nhật firmware, và đừng tin Wi-Fi lạ cho dữ liệu nhạy cảm.

Tường lửa

Tường lửa (Firewall) cho phép hoặc chặn lưu lượng theo quy tắc (IP, port, giao thức, trạng thái kết nối). Nguyên tắc: chặn mặc định, chỉ mở thứ cần thiết (default deny). Mỗi port mở ra ngoài là một điểm có thể bị tấn công. Ví dụ quy tắc cho máy chủ của câu lạc bộ:

Kết nối chỉ thành công khi nhiều lớp cùng đúng: có đường đi, firewall không chặn, có chương trình đang lắng nghe đúng IP và port, hai bên nói giao thức tương thích, và ứng dụng cho phép yêu cầu. Vì vậy "mở port", "chạy server" và "cấp quyền sửa dữ liệu" là ba việc khác nhau. Mở port 8000 không tạo ra web server; server chỉ lắng nghe 127.0.0.1 thì máy khác không vào được dù firewall đã mở.

TCP: bắt tay ba bước

Giao thức TCP (Transmission Control Protocol) cho luồng byte đúng thứ tự, truyền lại phần bị mất. Trước khi gửi dữ liệu, hai bên làm Bắt tay thiết lập kết nối (Handshake): SYN (client xin kết nối) → SYN/ACK (server đồng ý) → ACK (client xác nhận). Chỉ sau đó HTTP mới bắt đầu chạy bên trên.

• Bắt tay TCP không mã hóa. Kết nối HTTP vẫn dùng TCP, nội dung vẫn là chữ rõ.
• Server phải giữ trạng thái cho mỗi kết nối đang bắt tay dở. Kẻ tấn công gửi rất nhiều SYN mà không hoàn tất (SYN flood) làm cạn tài nguyên: một dạng Tấn công từ chối dịch vụ (DoS). Phòng bằng giới hạn tốc độ và cơ chế chống SYN flood của hệ điều hành hoặc nhà cung cấp.
• TCP có thể chuyển đúng request mà ứng dụng vẫn trả 403 hay 404. TCP không biết gì về nghiệp vụ.

Ghi chú: Giao thức UDP (User Datagram Protocol) gửi từng gói rời, không bảo đảm đủ và đúng thứ tự. Giao thức QUIC (QUIC) chạy trên UDP nhưng có độ tin cậy và TLS tích hợp, là nền của HTTP/3, nên thấy UDP cổng 443 không tự là dấu hiệu tấn công.

1  192.0.2.10:40001 -> server:443  SYN
2  server:443 -> 192.0.2.10:40001  SYN/ACK
3  192.0.2.10:40001 -> server:443  ACK
4  192.0.2.21:50110 -> server:443  SYN
5  192.0.2.22:50111 -> server:443  SYN
6  192.0.2.23:50112 -> server:443  SYN
7  192.0.2.24:50113 -> server:443  SYN
(... hàng nghìn dòng SYN từ nhiều IP, không có ACK ...)

Phần A cho thấy vấn đề (chữ rõ), phần B cho thấy ai nằm trên đường đi. Giải pháp: Bảo mật tầng truyền tải (TLS), cơ chế mã hóa kênh truyền. HTTP qua kênh bảo vệ (HTTPS) là HTTP chạy bên trong kênh TLS, thường ở port 443. Sau khi TCP bắt tay xong, hai bên làm bắt tay TLS:

1. Thống nhất phiên bản và thuật toán.
2. Server gửi Chứng chỉ số của máy chủ (Server certificate): gắn tên miền với khóa công khai, được ký bởi một tổ chức cấp chứng chỉ (CA) mà trình duyệt tin tưởng.
3. Client kiểm tra: tên miền khớp, chưa hết hạn, chuỗi chứng chỉ dẫn tới CA tin cậy.
4. Hai bên tạo khóa phiên chung và dùng khóa đó mã hóa mọi dữ liệu còn lại.

Kênh thiết lập xong cho ba bảo vệ, khớp với bài 1: bí mật (người ngoài không đọc được), toàn vẹn (sửa giữa đường bị phát hiện), xác thực máy chủ (đúng chủ của tên miền). Nhờ đó, request của Lan ở phần A1 đi qua router và nhà mạng dưới dạng dữ liệu mã hóa: người trung gian không đọc được cookie và không sửa được trang trả về mà không bị phát hiện.

HTTPS chưa giải quyết hết

Cấu hình HTTPS đúng cho website của bạn

• Chuyển hướng (301) mọi truy cập HTTP sang HTTPS, và bật header Strict-Transport-Security (HSTS) để trình duyệt tự dùng HTTPS từ lần sau.
• Đặt cờ Secure cho cookie phiên (chỉ gửi qua HTTPS) và HttpOnly (script trong trang không đọc được cookie).
• Theo dõi hạn chứng chỉ: hết hạn thì trình duyệt cảnh báo và người dùng không vào được.
• Khi trình duyệt cảnh báo chứng chỉ, đừng bấm bỏ qua với trang có đăng nhập hay thanh toán.

Lab này chứng minh phần C: cùng một kiểu yêu cầu, HTTP lộ nội dung còn HTTPS thì không. Lần này server ở ngoài máy, nên chọn giao diện Wi-Fi hoặc Ethernet thật thay vì loopback. Đóng ứng dụng không cần thiết và không đăng nhập thứ nhạy cảm trong lúc bắt gói. Dùng example.com làm website mẫu công khai.

1. Bắt đầu capture trên đúng giao diện.
2. Tạo truy vấn DNS:

nslookup example.com

3. Tạo yêu cầu HTTPS:

curl --http1.1 -I https://example.com

--http1.1 ép HTTP/1.1 cho dễ quan sát TCP và TLS; -I chỉ lấy header (phương thức HEAD). Trên Windows PowerShell dùng curl.exe.

4. Dừng capture. Lọc lần lượt dns, tcp, tls. Đối chiếu thời gian, IP và port với thao tác vừa làm.

Bạn sẽ thấy truy vấn DNS, bắt tay TCP, bắt tay TLS (trong gói Client Hello có tên miền ở phần Server Name), sau đó chỉ còn dữ liệu mã hóa ("Application Data"). Bạn không đọc được dòng GET hay header như ở Lab 1.

HTTP/1.1 200 OK
Content-Type: text/html
Content-Length: 1256
...

curl đọc được header vì nó là một đầu của kết nối và tự giải mã TLS. Người chỉ bắt gói từ bên ngoài không có khóa. Truy vấn DNS và kết nối HTTPS có thể ra IP khác nhau (cache, IPv4/IPv6, cân bằng tải), nên đừng ghép hai dòng chỉ vì chúng gần nhau.

Hành trình đi qua nhiều lớp, và mỗi lớp lỗi cho một dấu hiệu khác. Biết thứ tự này, thay vì sửa ngẫu nhiên, bạn đọc dấu hiệu để chọn đúng lớp kiểm tra:

Khi gắn thêm tên miền mới vào cùng máy chủ, phải đúng cả bốn lớp: DNS trỏ đúng máy; web server biết tên mới thuộc website nào; chứng chỉ TLS có tên mới; ứng dụng chỉnh URL chuẩn và cookie. "Đã trỏ A record đúng" chỉ là một quan sát ở lớp DNS, chưa phải kết luận mọi thứ xong.