HSTS Là Gì? Bảo Vệ Toàn Diện Website Khỏi SSL Stripping

Hãy tưởng tượng bạn bước vào một ngân hàng có hai lối đi: Một cổng thường không có bảo vệ (HTTP) và một cổng an ninh nghiêm ngặt có khóa bảo mật (HTTPS).

Theo thói quen, bạn luôn bước qua cổng thường trước, nhân viên ngân hàng nhận ra và bảo: “Hãy quay sang cổng có khóa an ninh đi!” (HTTP 301/302 Redirect).

Nhưng nếu có một kẻ gian đứng sẵn ở cổng thường và chặn bạn lại trước khi bạn kịp bước sang cổng an ninh? Đó chính là lỗ hổng chết người của cơ chế chuyển hướng web thông thường — và HSTS ra đời để đóng vĩnh viễn cánh cổng nguy hiểm này.

Vấn đề: Tại sao chỉ Redirect HTTPS là chưa đủ?#

Hầu hết mọi người khi truy cập website thường chỉ gõ tên miền như facebook.com hoặc bank.com thay vì gõ đầy đủ https://bank.com.

Theo mặc định:

1. Trình duyệt sẽ gửi request đầu tiên qua giao thức HTTP không mã hóa (cổng 80).
2. Web server nhận request và phản hồi mã 301 Moved Permanently chuyển hướng sang https://... (cổng 443).
3. Trình duyệt mới thiết lập kết nối an toàn HTTPS.

Khoảng cách mong manh ở bước 1 tạo điều kiện cho kẻ tấn công thực hiện kỹ thuật SSL Stripping (hoặc SSL Downgrade Attack).

sequenceDiagram
    autonumber
    actor User as 👤 Người dùng
    participant Attacker as 🦹 Kẻ tấn công (MitM / WiFi công cộng)
    participant Server as 🏢 Web Server

    User->>Attacker: 1. Truy cập http://example.com (HTTP không mã hóa)
    Note over Attacker: Chặn request HTTP đầu tiên
    Attacker->>Server: 2. Thiết lập kết nối HTTPS an toàn
    Server-->>Attacker: 3. Phản hồi nội dung trang web (Mã hóa SSL)
    Attacker-->>User: 4. Gửi trang web giả mạo/đổi link về HTTP
    Note over User,Attacker: Dữ liệu mật khẩu, cookie bị đánh cắp toàn bộ!

[!WARNING] Nếu bạn kết nối vào một mạng WiFi công cộng (quán cà phê, sân bay), hacker có thể chặn gói tin HTTP ban đầu, tạo kết nối HTTPS giả lập với máy chủ và trả về HTTP cho bạn. Trình duyệt của bạn sẽ không hề hiện cảnh báo ổ khóa bị lỗi vì nó vẫn đang chạy HTTP!

Giải pháp: HTTP Strict Transport Security (HSTS) là gì?#

HSTS (HTTP Strict Transport Security) là một HTTP Response Header do máy chủ gửi về, thông báo với trình duyệt rằng:

“Kể từ bây giờ, bất kể người dùng gõ http:// hay nhấp vào link nào, BẮT BUỘC phải chuyển sang https:// ngay trên máy (Internal Redirect 307) TRƯỚC KHI gửi request đi ra ngoài mạng!”

Khi đã bật HSTS:

• Trình duyệt tự động nâng cấp mọi request sang HTTPS ngay tại client.
• Không có bất kỳ gói tin HTTP nào được phát ra ngoài mạng internet.
• Nếu chứng chỉ SSL/TLS của trang web bị lỗi hoặc hết hạn, trình duyệt sẽ chặn hoàn toàn và không cho phép người dùng bấm “Tiếp tục truy cập (Không an toàn)” — triệt tiêu nguy cơ Man-in-the-Middle.

sequenceDiagram
    autonumber
    actor User as 👤 Người dùng
    participant Browser as 🌐 Trình duyệt (Có HSTS)
    participant Attacker as 🦹 Kẻ tấn công (MitM)
    participant Server as 🏢 Web Server

    User->>Browser: Gõ "http://example.com"
    Note over Browser: Kiểm tra HSTS Cache: Khóa cưỡng chế HTTPS!
    Browser->>Browser: Tự động chuyển đổi thành "https://example.com" (Internal 307)
    Browser->>Server: Gửi kết nối HTTPS bảo mật (Mã hóa End-to-End)
    Note over Attacker: Bị mù hoàn toàn! Không thể can thiệp hoặc giải mã gói tin.
    Server-->>Browser: Phản hồi dữ liệu an toàn

Cấu trúc của Header HSTS#

Header HSTS có cú pháp rất đơn giản:

Strict-Transport-Security: max-age=31536000; includeSubDomains; preload

Chi tiết các chỉ thị (directives):

HSTS Preload: Giải quyết lỗ hổng “Lần truy cập đầu tiên” (Trust on First Use)#

Mặc dù HSTS rất mạnh mẽ, nó vẫn có một điểm yếu gọi là Trust on First Use (TOFU):

• Nếu bạn ghé thăm website lần đầu tiên trong đời trên một chiếc máy tính mới, trình duyệt chưa hề lưu HSTS header.
• Request đầu tiên vẫn là HTTP và có nguy cơ bị tấn công.

Cơ chế HSTS Preload#

Để khắc phục điều này, các trình duyệt lớn (Google Chrome, Firefox, Safari, Edge) cùng duy trì một danh sách gọi là HSTS Preload List:

1. Bạn cấu hình header HSTS với đầy đủ tham số yêu cầu.
2. Bạn gửi tên miền của mình lên website hstspreload.org ↗.
3. Sau khi được duyệt, tên miền của bạn sẽ được nhúng cứng (hardcoded) vào mã nguồn của trình duyệt trong các bản cập nhật tiếp theo.
4. Ngay cả khi người dùng truy cập website lần đầu tiên, trình duyệt đã biết trước phải dùng HTTPS 100%!

graph TD
    A[Người dùng gõ: example.com] --> B{Có trong HSTS Preload List?}
    B -->|Có - Hardcoded trong Browser| C[Tự động gọi HTTPS ngay từ giây đầu tiên]
    B -->|Không| D{Có trong HSTS Cache bộ nhớ?}
    D -->|Có - Đã từng truy cập trước đó| C
    D -->|Không - Lần đầu truy cập| E[Gửi HTTP Request qua mạng]
    E --> F[Server trả về HTTPS + HSTS Header]
    F --> G[Lưu vào Cache cho các lần sau]

[!TIP] Các tên miền đuôi cấp cao nhất như .dev, .app, .page của Google đã được kích hoạt HSTS Preload mặc định ở mức toàn bộ TLD (Top-Level Domain).

Hướng dẫn cấu hình HSTS trên các Web Server#

1. Nginx#

Thêm cấu hình vào block server phục vụ HTTPS (cổng 443):

server {
    listen 443 ssl http2;
    server_name example.com www.example.com;

    # SSL Certs ...

    # Bật HSTS (1 năm, áp dụng cho subdomain và preload)
    add_header Strict-Transport-Security "max-age=31536000; includeSubDomains; preload" always;
}

2. Apache#

Đảm bảo module mod_headers đã được kích hoạt:

<VirtualHost *:443>
    ServerName example.com
    Header always set Strict-Transport-Security "max-age=31536000; includeSubDomains; preload"
</VirtualHost>

3. Caddy Server#

Caddy tự động bật HTTPS và bạn có thể thêm header tùy chỉnh:

example.com {
    header Strict-Transport-Security "max-age=31536000; includeSubDomains; preload"
    reverse_proxy localhost:3000
}

4. Cloudflare / Edge Proxy#

Nếu bạn dùng Cloudflare CDN:

1. Vào Dashboard Cloudflare -> Chọn domain của bạn.
2. Chọn mục SSL/TLS -> Edge Certificates.
3. Cuộn xuống phần HTTP Strict Transport Security (HSTS) -> Bấm Enable HSTS.
4. Cấu hình Max-Age, Include Subdomains và Preload.

Lưu ý quan trọng trước khi bật HSTS#

[!CAUTION] Không thể hoàn tác ngay lập tức! Nếu bạn bật HSTS kèm includeSubDomains với max-age=1 năm, nhưng sau đó một subdomain nội bộ (như legacy.domain.com) không có chứng chỉ SSL, toàn bộ người dùng sẽ bị chặn truy cập subdomain đó trong vòng 1 năm.

Các bước triển khai an toàn theo lộ trình khuyến nghị:

1. Giai đoạn 1 - Thử nghiệm ngắn hạn:

   Strict-Transport-Security: max-age=300

   http

   (Thử trong 5 phút để kiểm tra xem có lỗi kết nối nào không).

2. Giai đoạn 2 - Mở rộng thời gian:

   Strict-Transport-Security: max-age=86400; includeSubDomains

   http

   (Theo dõi trong 1 ngày, đảm bảo tất cả subdomain đều có SSL hợp lệ).

3. Giai đoạn 3 - Chuẩn hóa và Preload:

   Strict-Transport-Security: max-age=31536000; includeSubDomains; preload

   http

   (Áp dụng 1 năm và gửi lên hstspreload.org ↗).

Tổng kết#

HSTS là một trong những chuẩn bảo mật đơn giản nhất nhưng mang lại hiệu quả bảo vệ cao nhất cho hệ thống web. Hãy kiểm tra và kích hoạt ngay hôm nay!

Tài liệu tham khảo#

• RFC 6797 — HTTP Strict Transport Security (HSTS) ↗
• MDN Web Docs — Strict-Transport-Security ↗
• HSTS Preload Submission Portal ↗
• OWASP — HTTP Strict Transport Security Cheat Sheet ↗