Tweet
Hôm nay trong lúc đang setup lab và ngâm cứu về kiến trúc SDN/SD-WAN , mình chợt nhớ tới một câu hỏi mang tính "sát thương" cực cao mà dân mạng tụi mình thỉnh thoảng vẫn hay bị test: "Cấu hình thông mạng thì tốt rồi đó, nhưng lỡ sếp cắm Wireshark bắt gói tin xuống thì sao? Làm sao để bảo vệ?"
Câu hỏi làm mình tỉnh hẳn! Thực tế, khi triển khai các dự án thực tế, việc thông tuyến (Ping success) mới chỉ là điều kiện cần.
Điều kiện đủ là dữ liệu phải được an toàn tuyệt đối. Hôm nay, mình xin phép mở một topic ôn lại sương sương về Mã hóa (Encryption), thuật toán trao đổi Key, và cách chúng ta "qua mặt" những ánh mắt tò mò trên không gian mạng nhé!
1. Hacker "Bắt" Gói Tin Của Chúng Ta Như Thế Nào?
Hãy tưởng tượng luồng dữ liệu của bạn là một bức thư gửi qua bưu điện. Nếu ứng dụng giao tiếp bằng các giao thức như HTTP hay Telnet (Cleartext), bức thư đó giống như một tấm bưu thiếp – ai đi ngang qua cũng đọc được.
Bằng các kỹ thuật tấn công Man-in-the-Middle (MITM) như ARP Spoofing hay đơn giản là cắm một thiết bị vào cổng SPAN/Mirror trên Switch và bật Wireshark, hacker có thể "hứng" trọn vẹn mọi thứ: từ nội dung tin nhắn, thông tin cấu hình, cho đến các API Key nhạy cảm. Thấy hết, đọc hết!
2. "Đường Hầm" Bí Mật & Quyền Năng Của Mã Hóa (Encryption)
Để chống lại việc này, chúng ta không thể ngăn người khác bắt gói tin (vì môi trường truyền dẫn là chia sẻ), nhưng chúng ta làm cho gói tin đó trở nên vô nghĩa với họ. Đó là lúc các giải pháp Mã hóa (Encryption) và Tunneling lên ngôi.
Đến đây, dân mạng tụi mình sẽ gặp một bài toán hóc búa: Để mã hóa dữ liệu tốc độ cao, hai đầu thiết bị (ví dụ: Router A ở Hà Nội và Router B ở HCM) phải có chung một cái chìa khóa (Session Key). Nhưng làm sao để gửi cái chìa khóa đó qua môi trường Internet đầy rẫy hacker mà không bị bắt mất?
Nếu gửi chìa khóa trực tiếp dạng rõ (cleartext), hacker "hứng" được là xong phim! Đây là lúc thuật toán Diffie-Hellman (DH) nhảy vào xử lý, lợi dụng bản chất của Hàm toán học một chiều (One-way function). Hãy xem thực tế 2 con Router làm việc này như thế nào:
Kết luận: Chuỗi bit đó chính là Khóa phiên chung (Session Key)! Hai con Router vừa tự tính ra được một chìa khóa chung để chạy mã hóa (như IPsec/VPN) mà chưa từng gửi chính cái chìa khóa đó qua môi trường Internet. Cực kỳ an toàn và đẳng cấp! 4. "Trùm Cuối" Xác Thực: Cặp Khóa Bất Đối Xứng (Asymmetric Key)
Một lỗ hổng nhận ra là: Làm sao Router A biết chắc chắn nó đang trao đổi với Router B, mà không phải là một gã hacker đang đóng giả Router B ngay từ đầu?
Lúc này, hệ thống cần đến một bước Xác thực (Authentication) cực kỳ chặt chẽ trước khi bắt đầu tạo đường hầm. Đó là sân khấu của Cơ chế Khóa Bất Đối Xứng (Public Key / Private Key):
Khi Router A muốn nói chuyện với Router B, nó sẽ xin cái "Ổ khóa công khai" của B để khóa dữ liệu lại. Gói tin này đi qua mạng, dù hacker có cắm Wireshark tóm được cái rương cũng đành khóc thét vì không có "Chìa khóa riêng tư" của B để mở. Nhờ cơ chế này, A biết chắc chắn mình đang bắt tay với "hàng real", sau đó mới yên tâm chạy tiếp thuật toán sinh Khóa phiên. 5. Góc Nhìn Thực Chiến: Chọn Giáp Nào? IPsec hay SSL/TLS?
Khi đi làm dự án, chúng ta không thể cứ nhắm mắt "ốp bừa" một loại mã hóa cho mọi bài toán. Mỗi giao thức sinh ra đều có "địa bàn" riêng:
Nhìn rộng ra, việc hiểu sâu về mã hóa giúp anh em giải quyết các bài toán lớn hơn rất nhiều:
Câu hỏi làm mình tỉnh hẳn! Thực tế, khi triển khai các dự án thực tế, việc thông tuyến (Ping success) mới chỉ là điều kiện cần.
Điều kiện đủ là dữ liệu phải được an toàn tuyệt đối. Hôm nay, mình xin phép mở một topic ôn lại sương sương về Mã hóa (Encryption), thuật toán trao đổi Key, và cách chúng ta "qua mặt" những ánh mắt tò mò trên không gian mạng nhé!
1. Hacker "Bắt" Gói Tin Của Chúng Ta Như Thế Nào?
Hãy tưởng tượng luồng dữ liệu của bạn là một bức thư gửi qua bưu điện. Nếu ứng dụng giao tiếp bằng các giao thức như HTTP hay Telnet (Cleartext), bức thư đó giống như một tấm bưu thiếp – ai đi ngang qua cũng đọc được.
Bằng các kỹ thuật tấn công Man-in-the-Middle (MITM) như ARP Spoofing hay đơn giản là cắm một thiết bị vào cổng SPAN/Mirror trên Switch và bật Wireshark, hacker có thể "hứng" trọn vẹn mọi thứ: từ nội dung tin nhắn, thông tin cấu hình, cho đến các API Key nhạy cảm. Thấy hết, đọc hết!
2. "Đường Hầm" Bí Mật & Quyền Năng Của Mã Hóa (Encryption)
Để chống lại việc này, chúng ta không thể ngăn người khác bắt gói tin (vì môi trường truyền dẫn là chia sẻ), nhưng chúng ta làm cho gói tin đó trở nên vô nghĩa với họ. Đó là lúc các giải pháp Mã hóa (Encryption) và Tunneling lên ngôi.
- Tạo "Tunnel" riêng tư: Tưởng tượng bạn xây một đường hầm thép kiên cố (VPN) xuyên qua môi trường Internet công cộng. Mọi giao tiếp đi qua đường hầm này đều được đóng gói lại.
- Các bộ giáp bảo vệ: Tùy vào phân lớp mà chúng ta có các "bộ giáp" khác nhau:
- Ở lớp Network: IPsec (gắn liền với các kết nối VPN Site-to-Site hoặc SD-WAN).
- Ở lớp Application/Transport: SSL/TLS/DTLS (chuyển đổi HTTP mỏng manh thành HTTPS vững chắc, bảo vệ các lệnh gọi REST API).
- Khóa AES-256: Cho đến hiện tại, các thuật toán mã hóa đối xứng như AES-256 vẫn là tiêu chuẩn vàng. Dù hacker có bắt được gói tin, với sức mạnh máy tính hiện nay, chúng ta có thể yên tâm là họ sẽ mất...rất lâu để dò ra bản rõ.
Đến đây, dân mạng tụi mình sẽ gặp một bài toán hóc búa: Để mã hóa dữ liệu tốc độ cao, hai đầu thiết bị (ví dụ: Router A ở Hà Nội và Router B ở HCM) phải có chung một cái chìa khóa (Session Key). Nhưng làm sao để gửi cái chìa khóa đó qua môi trường Internet đầy rẫy hacker mà không bị bắt mất?
Nếu gửi chìa khóa trực tiếp dạng rõ (cleartext), hacker "hứng" được là xong phim! Đây là lúc thuật toán Diffie-Hellman (DH) nhảy vào xử lý, lợi dụng bản chất của Hàm toán học một chiều (One-way function). Hãy xem thực tế 2 con Router làm việc này như thế nào:
- Bước 1: Thống nhất tham số công khai: Router A và Router B "hét" lên cho nhau nghe trên mạng về 2 con số nguyên tố khổng lồ làm nền tảng. Bước này ai cũng thấy, hacker cắm Wireshark bắt được sạch 2 con số này.
- Bước 2: Tạo Bí mật cục bộ (Private Values): Router A tự "quay" ra một số ngẫu nhiên khổng lồ làm Bí mật A. Router B cũng tự quay ra Bí mật B. Hai con số bí mật này chỉ nằm trong RAM của thiết bị, tuyệt đối không bao giờ được đẩy ra cổng WAN.
- Bước 3: Trao đổi "Bản trung gian": * Router A dùng hàm số mũ đưa Bí mật A kết hợp với tham số công khai để tạo ra một "Bản trung gian A", rồi gửi qua mạng cho B.
- Router B làm tương tự tạo ra "Bản trung gian B" gửi lại cho A.
- Tại sao hacker khóc thét? Hacker cắm cáp bắt được cả 2 "Bản trung gian". Nhưng do đặc tính của bài toán Logarit rời rạc (Discrete Logarithm), hacker có bản trung gian nhưng không thể nào tính ngược lại được Bí mật A hay Bí mật B. Dù huy động siêu máy tính mạnh nhất hiện nay thì cũng phải mất... hàng tỷ năm để giải ngược.
- Bước 4: Sinh Khóa Phiên (Session Key): * Router A lấy "Bản trung gian B" nhận được từ mạng, đưa vào hàm toán kết hợp với Bí mật A đang giấu trong RAM của nó.
- Router B lấy "Bản trung gian A" kết hợp với Bí mật B của nó.
- Phép màu toán học xảy ra ở đây: Bằng cách chéo ngoe này, cả Router A và Router B đều tính ra được một chuỗi bit giống y hệt nhau.
Kết luận: Chuỗi bit đó chính là Khóa phiên chung (Session Key)! Hai con Router vừa tự tính ra được một chìa khóa chung để chạy mã hóa (như IPsec/VPN) mà chưa từng gửi chính cái chìa khóa đó qua môi trường Internet. Cực kỳ an toàn và đẳng cấp! 4. "Trùm Cuối" Xác Thực: Cặp Khóa Bất Đối Xứng (Asymmetric Key)
Một lỗ hổng nhận ra là: Làm sao Router A biết chắc chắn nó đang trao đổi với Router B, mà không phải là một gã hacker đang đóng giả Router B ngay từ đầu?
Lúc này, hệ thống cần đến một bước Xác thực (Authentication) cực kỳ chặt chẽ trước khi bắt đầu tạo đường hầm. Đó là sân khấu của Cơ chế Khóa Bất Đối Xứng (Public Key / Private Key):
- Ổ khóa công khai (Public Key): Giống như một cái ổ khóa bấm (ai trên mạng cũng có thể lấy và bấm vào rương đồ dữ liệu).
- Chìa khóa riêng tư (Private Key): Giống như chiếc chìa khóa duy nhất mở được cái ổ đó (chỉ thiết bị chính chủ mới được quyền giữ cẩn thận).
Khi Router A muốn nói chuyện với Router B, nó sẽ xin cái "Ổ khóa công khai" của B để khóa dữ liệu lại. Gói tin này đi qua mạng, dù hacker có cắm Wireshark tóm được cái rương cũng đành khóc thét vì không có "Chìa khóa riêng tư" của B để mở. Nhờ cơ chế này, A biết chắc chắn mình đang bắt tay với "hàng real", sau đó mới yên tâm chạy tiếp thuật toán sinh Khóa phiên. 5. Góc Nhìn Thực Chiến: Chọn Giáp Nào? IPsec hay SSL/TLS?
Khi đi làm dự án, chúng ta không thể cứ nhắm mắt "ốp bừa" một loại mã hóa cho mọi bài toán. Mỗi giao thức sinh ra đều có "địa bàn" riêng:
- IPsec (Hoạt động ở Layer 3): Giống như một đoàn tàu bọc thép.
- Đặc điểm: Mã hóa toàn bộ gói tin IP. Tốc độ xử lý cực kỳ cao vì các hãng (như Cisco) tích hợp thẳng chip xử lý bằng phần cứng vào Router, SD-WAN Edge hay Firewall.
- Ứng dụng: "Chân ái" để đào hầm nối mạng nội bộ giữa các trụ sở công ty (Site-to-Site VPN).
- SSL/TLS/DTLS (Hoạt động ở Layer 4 đến 7): Linh hoạt như một đội xe máy giao hàng nhanh.
- Đặc điểm: Không cần phần cứng chuyên dụng hầm hố. Một đầu là Gateway/Server, đầu còn lại chỉ việc mở trình duyệt web hoặc App là chạy.
- Ứng dụng: Trợ thủ đắc lực cho xu hướng làm việc từ xa (Remote Access VPN), hoặc bảo vệ các đường truyền REST API (HTTP sang HTTPS).
Nhìn rộng ra, việc hiểu sâu về mã hóa giúp anh em giải quyết các bài toán lớn hơn rất nhiều:
- Mạng SDN / SD-WAN: Không chỉ dữ liệu người dùng (Data Plane), mà ngay cả các gói tin Control Plane (như thông tin Routing trao đổi giữa các Edge) cũng bắt buộc phải được mã hóa để tránh bị can thiệp định tuyến.
- Bảo vệ Data trước Ransomware: Bằng cách mã hóa ngay từ lớp lưu trữ và truyền tải, dù mã độc có rình mò chui được vào nội bộ, chúng cũng không thể đọc hiểu hay thay đổi được cấu trúc dữ liệu cốt lõi của doanh nghiệp.