Let's Encrypt bổ sung hai điểm kiểm tra từ xa mới cho quy trình xác thực tên miền

Let's Encrypt vừa công bố kế hoạch bổ sung thêm hai điểm kiểm tra từ xa (remote perspective) trong quy trình xác thực tên miền. Động thái này nhằm tăng độ tin cậy cho khâu cấp chứng chỉ số và đáp ứng các yêu cầu bảo mật ngày càng chặt chẽ hơn của ngành.

Vì sao lại cần thêm điểm kiểm tra từ xa?

Theo Let's Encrypt, việc tăng số lượng và phạm vi địa lý của các điểm kiểm tra giúp cải thiện khả năng giám sát, đồng thời bảo vệ tốt hơn trước các cuộc tấn công BGP — kiểu tấn công chiếm đoạt tuyến định tuyến để chuyển hướng lưu lượng mạng.

Yêu cầu này cũng xuất phát từ Baseline Requirements (BR 3.2.2.9), quy định về cơ chế Multi-Perspective Issuance Corroboration (xác nhận cấp chứng chỉ đa điểm nhìn):

Kể từ ngày 15/12/2026, CA MUST triển khai Multi-Perspective Issuance Corroboration với ít nhất năm (5) điểm nhìn mạng từ xa. CA phải đảm bảo các yêu cầu trong Bảng yêu cầu đại biểu quorum được thỏa mãn, và các điểm nhìn từ xa xác nhận điểm nhìn chính phải nằm trong vùng phục vụ của ít nhất hai (2) tổ chức đăng ký internet khu vực (RIR) khác nhau. Nếu không đáp ứng, CA không được phép cấp chứng chỉ.

Quy trình xác thực sẽ thay đổi ra sao?

Trước đây, Let's Encrypt thực hiện năm yêu cầu xác thực: một từ trung tâm dữ liệu chính và bốn từ các điểm nhìn từ xa. Với thay đổi lần này, con số sẽ là bảy yêu cầu tổng cộng — một từ máy chủ chính và sáu từ các điểm nhìn từ xa.

Điều kiện để xác thực thành công là máy chủ chính và một lượng đủ lớn (quorum) các điểm nhìn từ xa đều nhận được phản hồi thử thách chính xác. Cách làm này khiến kẻ tấn công khó "cướp" các yêu cầu xác thực hơn, bởi chúng sẽ phải thao túng đồng thời nhiều điểm nhìn ở các vị trí địa lý và nhà cung cấp mạng khác nhau.

Lộ trình triển khai

Let's Encrypt cho biết người dùng gần như sẽ không cảm nhận được tác động nào. Cụ thể:

• Ngày 27/10/2026: bắt đầu xác thực tên miền với các vùng mới trên môi trường staging.
• Ngày 10/11/2026: triển khai trên môi trường production nếu mọi thứ diễn ra thuận lợi.

Các cập nhật về tiến trình sẽ được đăng tải trong chủ đề thảo luận trên cộng đồng Let's Encrypt.

Ý nghĩa với người dùng và doanh nghiệp Việt Nam

Với các quản trị viên hệ thống và doanh nghiệp Việt Nam đang dùng chứng chỉ miễn phí của Let's Encrypt cho website, API hay hạ tầng cloud, thay đổi này chủ yếu diễn ra ở phía CA và không yêu cầu cấu hình lại. Tuy nhiên, cần lưu ý rằng quá trình xác thực có thể mất thêm vài giây do số lượng truy vấn tăng lên.

Đối với các đội vận hành hạ tầng (DevOps, SRE), đây cũng là lời nhắc nhở về tầm quan trọng của bảo mật định tuyến BGP — một lỗ hổng thường bị bỏ qua nhưng có thể ảnh hưởng trực tiếp đến tính toàn vẹn của chứng chỉ số và lưu lượng mạng của tổ chức.