TLS là gì? Xác thực hai chiều trong Microservices

TLS hay Transport Layer Security là giao thức mật mã được thiết kế để cung cấp khả năng giao tiếp an toàn qua mạng máy tính, đảm bảo tính riêng tư, toàn vẹn dữ liệu và xác thực giữa client và server.

Trong DevOps và SRE, TLS là tiêu chuẩn bắt buộc cho mọi traffic công khai và ngày càng phổ biến cho traffic nội bộ theo mô hình Zero Trust. Việc cấu hình TLS ảnh hưởng trực tiếp đến Performance do chi phí của quá trình Handshake và mã hóa, đồng thời việc quản lý Certificate là một nhiệm vụ vận hành quan trọng để tránh downtime.

Ví dụ: Khi bạn truy cập một website có https, trình duyệt và server đang sử dụng TLS để mã hóa gói tin, ngăn chặn hacker nghe lén hoặc chỉnh sửa nội dung trên đường truyền.

TLS hoạt động dựa trên cặp khóa Public Key và Private Key cùng với Certificate được cấp bởi Certificate Authority tin cậy.

TLS cho biết điều gì?

Từ góc độ vận hành, trạng thái của TLS cho biết:

Mức độ an toàn của kênh truyền thông qua phiên bản Protocol và Cipher Suite đang sử dụng.
Nguồn gốc của độ trễ ban đầu khi thiết lập kết nối thông qua metrics về Handshake time.
Thời hạn còn lại của Certificate để lên kế hoạch gia hạn hay renewal.

Tuy nhiên, TLS cũng là nơi thường xảy ra các lỗi kết nối khó chịu như CERT_HAS_EXPIRED hay ERR_SSL_PROTOCOL_ERROR nếu cấu hình không đồng bộ giữa client và server.

TLS khác SSL ra sao?

Nhiều người vẫn gọi chung là SSL nhưng thực tế có sự khác biệt:

SSL hay Secure Sockets Layer: là tiền thân của TLS, hiện đã bị coi là deprecated do nhiều lỗ hổng nghiêm trọng như POODLE hay HEARTBLEED.
TLS: là phiên bản kế thừa và nâng cấp của SSL với thuật toán mã hóa mạnh hơn và quy trình Handshake tối ưu hơn.

Hiện nay trong production, bạn phải sử dụng TLS (tối thiểu là 1.2 hoặc 1.3) và vô hiệu hóa hoàn toàn SSL để đảm bảo Compliance và Security.

TLS Handshake và Performance

TLS Handshake là quá trình client và server chào hỏi nhau để thỏa thuận phiên bản giao thức, Cipher Suite và trao đổi khóa trước khi truyền dữ liệu.

Quá trình này tạo ra độ trễ hay Latency vì cần nhiều lượt khứ hồi hay Round Trip Time giữa client và server.

TLS 1.2 cần 2-RTT để hoàn tất Handshake.
TLS 1.3 đã tối ưu chỉ còn 1-RTT, giúp giảm đáng kể thời gian thiết lập kết nối.

Trong môi trường High Availability, việc tối ưu Handshake là rất quan trọng, đặc biệt với các kết nối ngắn hạn hay short-lived connections.

TLS Termination vs TLS Passthrough

Khi thiết kế Load Balancer hoặc Ingress, bạn thường gặp hai mô hình:

TLS Termination: Load Balancer giải mã traffic, sau đó gửi HTTP traffic vào backend. Cách này giúp giảm tải CPU cho backend và tập trung quản lý Certificate tại một điểm.
TLS Passthrough: Load Balancer chuyển nguyên traffic mã hóa vào backend để backend tự giải mã. End-to-end encryption tăng bảo mật, đánh đổi bằng CPU cost cho decrypt ở backend.

Những yếu tố làm TLS trở thành rủi ro vận hành

Quản lý TLS không tốt thường dẫn đến các sự cố nghiêm trọng:

Expired Certificate: Đây là nguyên nhân hàng đầu gây downtime. Nếu Certificate hết hạn, trình duyệt sẽ chặn truy cập và API client sẽ từ chối kết nối.
Mismatched Cipher Suite: Nếu server chỉ hỗ trợ Cipher Suite mới mà client (thường là legacy system) chỉ biết Cipher Suite cũ, kết nối sẽ thất bại.
Mixed Content: Trang web HTTPS tải tài nguyên HTTP không an toàn, gây cảnh báo bảo mật trên trình duyệt.

TLS Metrics nên theo dõi

Để đảm bảo sức khỏe của hệ thống TLS, bạn cần giám sát:

Certificate Expiry Days: Số ngày còn lại trước khi chứng chỉ hết hạn. Cần alert khi còn dưới 30 ngày.
Handshake Latency: Thời gian trung bình để hoàn tất bắt tay TLS.
Protocol Version Usage: Tỷ lệ traffic dùng TLS 1.2 so với 1.3 để đánh giá hiệu quả nâng cấp.
TLS Error Rate: Số lượng lỗi bắt tay thất bại.

TLS được dùng để làm gì trong DevOps?

Ngoài việc bảo mật website, TLS còn dùng cho:

mTLS hay Mutual TLS: Xác thực hai chiều giữa các microservices, đảm bảo chỉ các service được cấp phép mới gọi được nhau (thường thấy trong Service Mesh).
VPN và Remote Access: Bảo vệ kết nối của nhân viên vào hệ thống nội bộ.
Database Connection: Mã hóa kết nối từ ứng dụng đến Database để chống nghe lén dữ liệu nhạy cảm.

Checklist TLS cho production

Đã vô hiệu hóa SSL v2, SSL v3, TLS 1.0 và TLS 1.1 chưa?
Đã cấu hình ưu tiên TLS 1.3 và chỉ fallback về TLS 1.2 chưa?
Đã thiết lập tự động gia hạn Certificate (như dùng Cert-Manager hoặc AWS ACM) chưa?
Đã bật HSTS hay HTTP Strict Transport Security để buộc client dùng HTTPS chưa?
Đã kiểm tra rating của cấu hình TLS trên các công cụ như SSL Labs chưa?

Kết luận

TLS là lớp bảo vệ thiết yếu cho truyền thông mạng. Nó đảm bảo dữ liệu không bị đánh cắp hay giả mạo.

Để vận hành tốt, bạn cần chuyển sang TLS 1.3 để tối ưu performance, thiết lập quy trình tự động gia hạn Certificate để tránh sự cố hết hạn, và giám sát chặt chẽ Handshake Latency để phát hiện sớm các vấn đề về mạng hoặc cấu hình.