🔐 Lợi ích của Cryptography trong An ninh Thông tin

[dangquangminh]

Tại sao phải sử dụng Cryptography?


Trong môi trường doanh nghiệp hiện đại, cryptography (mật mã học) không chỉ là một kỹ thuật bảo mật, mà còn là một cơ chế phòng thủ cốt lõi (core security control).

Việc mã hóa dữ liệu (encryption) giúp che giấu thông tin, khiến các threat actors không thể đọc được nội dung, từ đó trở thành một biện pháp giảm thiểu rủi ro (mitigation technique). Đồng thời, nó cũng là một kỹ thuật hardening, giúp hệ thống trở nên resilient hơn trước các cuộc tấn công.

---

Quy trình mã hóa (Cryptographic Process)


Quy trình hoạt động của cryptography dựa trên 3 thành phần chính:

• Plaintext: dữ liệu gốc (chưa mã hóa)
• Cryptographic Algorithm (Cipher): thuật toán mã hóa dựa trên công thức toán học
• Key: giá trị toán học được đưa vào thuật toán

Quá trình diễn ra như sau:

1. Plaintext được đưa vào thuật toán mã hóa (cipher)
2. Một key được sử dụng để biến đổi plaintext thành ciphertext
3. Ciphertext là dữ liệu đã bị “khóa”, không thể đọc nếu không có key
4. Khi cần đọc lại dữ liệu, sử dụng decryption algorithm + key để “mở khóa”

👉 Có thể hình dung đơn giản:

• Key trong cryptography giống như chìa khóa ổ khóa
• Encryption = khóa dữ liệu
• Decryption = mở khóa dữ liệu

---

Cryptography bảo vệ dữ liệu ở mọi trạng thái


Một điểm cực kỳ quan trọng:

Cryptography có thể bảo vệ dữ liệu trong cả 3 trạng thái:

• Data at Rest: dữ liệu lưu trữ (disk, database, backup)
• Data in Transit: dữ liệu đang truyền (TLS, VPN)
• Data in Use: dữ liệu đang được xử lý (memory protection, confidential computing)

👉 Đây là nền tảng trong các kiến trúc bảo mật hiện đại như:

• Zero Trust
• Cloud Security (AWS, Azure, GCP)
• Data Protection & Privacy (GDPR, HIPAA)

---

5 Giá trị bảo mật cốt lõi của Cryptography

1. Confidentiality (Tính bảo mật)


Đảm bảo chỉ những người được phép mới đọc được dữ liệu.

Ví dụ:

• File nhạy cảm (danh sách nhân sự, tài chính) được mã hóa
• Chỉ người có key mới giải mã được

---

2. Integrity (Tính toàn vẹn)


Đảm bảo dữ liệu không bị thay đổi trái phép.

• Ciphertext không thể bị chỉnh sửa hợp lệ nếu không có key
• Nếu bị thay đổi → sẽ bị phát hiện

Ví dụ:

• Không ai có thể thêm/xóa tên trong danh sách nếu không có quyền

---

3. Authentication (Xác thực)


Xác minh danh tính của người gửi hoặc hệ thống.

• Đảm bảo dữ liệu đến từ đúng nguồn
• Ngăn chặn giả mạo (impersonation)

Ví dụ:

• Email hoặc tài liệu “có vẻ” từ manager nhưng thực chất là attacker → cryptography giúp phát hiện

---

4. Nonrepudiation (Chống chối bỏ)


Đảm bảo một thực thể không thể phủ nhận hành động của mình.

• Rất quan trọng trong:
  • Digital signature
  • Email
  • Giao dịch tài chính

Ví dụ:

• Manager không thể chối rằng “tôi không gửi file đó” nếu đã ký số

---

5. Obfuscation (Làm mờ/che giấu)


Làm cho dữ liệu trở nên khó hiểu đối với người không có quyền.

• Encryption tự bản chất đã là một dạng obfuscation

Tuy nhiên cần hiểu rõ:

👉 Obfuscation ≠ Security thực sự

---

⚠️ Sai lầm phổ biến: Security through Obscurity


Một lỗi thiết kế bảo mật rất phổ biến:

“Nếu hacker không biết hệ thống của mình, thì nó an toàn”

Đây gọi là: ❌ Security through Obscurity


Vấn đề:

• Không có gì có thể giấu mãi mãi
• Khi bị lộ → toàn bộ hệ thống mất bảo vệ

👉 Vì vậy:

• Obfuscation chỉ là lớp phụ trợ
• Không bao giờ được dùng như cơ chế bảo mật chính

---

Kết luận dành cho Network & Security Engineer


Cryptography không chỉ là “mã hóa dữ liệu”, mà là:

• Một control nền tảng trong mọi kiến trúc bảo mật
• Một yếu tố bắt buộc trong:
  • VPN (IPSec, SSL VPN)
  • TLS/HTTPS
  • Cloud Security
  • Identity & Access Management
  • Zero Trust

👉 Nếu thiết kế hệ thống mà thiếu cryptography, thì gần như:

Không có bảo mật thực sự