Cho em hỏi mấy anh về cái Certificate: thời hạn hiệu lực tối đa của Certificate là bao lâu? em vào website của ngân hàng Đông Á thấy cái IE báo lỗi Certificate, khi em xem thì thấy certificate của nó hiệu lực tới 10 năm(từ 2005->2015) trong khi của Yahoo có 5 năm, dzậy cái certificate của thằng Đông Á là đồ thật hay đồ dỏm dzậy mấy anh? 

PKI là Cơ sở hạ tầng khóa công khai là dạng khác với CA ( chứng chỉ cấp phép) vậy sao cần phải được các root CA công nhận chứ
 

em cũng biết là inport certificate sẽ hết lỗi, nhưng thấy nó báo lỗi làm em sinh nghi. ko chỉ có thằng Đông Á, kể cả Vietcombank cũng vậy. Mấy thằng này giàu kếch xù mà cũng ko thèm bỏ ít tiền xác nhận nữa(như thằng Pacific Airlines, hôm em mua vé ko hề có SSL nữa là, em gửi mail cho nó bảo nó chỉnh lại, bây giờ đc Verisign chứng nhận rùi đấy). Dù sao cũng dính tới tiền bạc em ko dám xài online banking của nó nữa, có CA chứng nhận mới dám xài. 

"Đồng ý các cty lớn nên dùng x509 cert thứ xịn do CA cung cấp. Tuy nhiên, nên nhớ rằng, Verisign "bụp" cỡ 1400 đô (Úc) cho 1 cert / 1 năm cho một host."  

"Dỏm" thì không dỏm, nhưng không được một cơ quan có thẩm quyền như Verisign, Cybertrust.... xác thực nên nó không có giá trị rộng rãi.  

Ngoài lề tí tẹo. Tranh luận với commale về một vài điểm:

"Đồng ý các cty lớn nên dùng x509 cert thứ xịn do CA cung cấp. Tuy nhiên, nên nhớ rằng, Verisign "bụp" cỡ 1400 đô (Úc) cho 1 cert / 1 năm cho một host."  

Ý thứ 2 đúng, Chính xác là Verisign tính tiền khác nhau cho từng loại cert.
 

Ý đầu không đồng ý ở khuyến nghị "các cty lớn nên dùng X509 cert thứ xịn do CA cung cấp".

a/bắt bẻ chữ nghĩa: CA ở đây chỉ chung là Certificate Authority. (có hãng security CA nhưng chắc bác ko định chỉ thằng này). Cert nào (thứ xịn hay thứ dỏm) đều do CA cấp hết.
 

b/Cert không nhất thiết theo chuẩn X509. Kể cả cert xịn
 

c/(main point) Việc một công ty dùng cert nào tùy thuộc vào luật quy định, không phụ thuộc cảm tính. Ví dụ, anh sẽ không dùng dịch vụ của hãng thứ 3 nếu anh không được luật bảo vệ, ví dụ cho tính chống từ chối của các giao dịch.
 

"Dỏm" thì không dỏm, nhưng không được một cơ quan có thẩm quyền như Verisign, Cybertrust.... xác thực nên nó không có giá trị rộng rãi.  

Các hệ thống PKI có thể xác thực chéo (cross trusted) hoặc bắc cầu (bridge). Thế nên không nhất thiết phải sử dụng cert của hệ thống PKI ngoài.
 

PS Vui vẻ tí. Đã mang tiếng châm thì châm cho chót
 

"cert thứ xịn do CA cung cấp" được diễn giải một cách khác là: SSL digital certificate do các Certificate Authority được công nhận và có thẩm quyền cung cấp  

VN hiện nay có luật cụ thể cho việc dùng digital certificate chưa? nếu chưa, chuyện "luật" hay "cảm tính" ở đây đều irrelevant  

Sorry vì trả lời muộn. Dạo này bận quá, sáng ra sàn, chiều buôn dưa lê, tối kiểm kê, đêm về lên danh sách. Hehe.

Bác mang tiếng châm chứ ai

Đã muốn mở rộng vấn đề ra tí chút chứ chỉ để đóng lại thì ngay từ đầu đã chả reply. Bác ...."quan liêu" lắm (j/k)

Chốt lại là muốn nói hai ý thế này:

(1) Muốn giới thiệu về khái niệm "Web of Trust", một mô hình PKI khá được quan tâm gần đây. SourceCode cũng có: OpenPGP + một vài source tài liệu khá tốt.

(2) Muốn mọi người nghĩ rộng ra về việc sở hữu chứng chỉ. Lúc nào cũng với suy nghĩ cần được cấp, có liên quan và bị phụ thuộc bởi các hãng lớn, có "uy tín" thì không ổn.

Còn lan man mà bắt bẻ thì nhiều lắm. Thôi tranh luận nốt một câu rồi dừng . Vốn dĩ mỗi người có những ngầm định khác nhau nên có những quan niệm khác nhau. Chẳng hạn,

"cert thứ xịn do CA cung cấp" được diễn giải một cách khác là: SSL digital certificate do các Certificate Authority được công nhận và có thẩm quyền cung cấp  

- Bác commale ngầm định cert ở đây là cho web. Cert đâu chỉ mỗi dùng cho web?
- Việc được công nhận và có thẩm quyền là một diễn giải khác về chuyện "tuân thủ theo luật".

VN hiện nay có luật cụ thể cho việc dùng digital certificate chưa? nếu chưa, chuyện "luật" hay "cảm tính" ở đây đều irrelevant  

Chưa có luật chung thì có thể làm luật riêng chứ sao. Ví dụ, Công ty ghi rõ trong hợp đồng abc có cert thế này thế kia, khách hàng đồng ý thì ký vào, thế là chấp nhận, là tin tưởng vì luật việt nam bảo vệ khách hàng theo các hợp đồng và điều khoản trong hợp đồng. Ôi chao nhiều cách lắm.

Ngân hàng nhà nước vừa đấu thầu xong vụ PKI dùng cho hệ thống thanh toán liên ngân hàng (IBPS: Inter-banking payment system). Mô hình của nó vẫn có root CA self-signed đấy thôi.

Về bridge và cross, Bác đọc thêm ví dụ sau, để ý keyword là mesh PKI nhé:

http://csrc.nist.gov/pki/documents/B2B-article.pdf

Khi đã peer thì đâu cần mấy chú ngoại?