Bài viết đọc cho vui, kiểu vừa nhâm nhi cà phê vừa tháo tung mọi thứ ra xem bên trong có gì, xuống tận con ốc sâu nhất. Đọc xong, hiểu sâu hơn, đánh giá tỉnh hơn, quyết định chắc tay hơn.
Mô hình mối đe dọa cho viet.sarl, đi qua từng lớp (Cloudflare, TLS, Caddy, cookie, token, Argon2id, OAuth, quyền admin, SQLite, SSH, secret), các lỗ hổng web phổ biến và cách trang này chặn chúng, những việc còn thiếu, và một danh sách kiểm tra.
Một kết nối SSH ghép trao đổi khóa, khóa máy chủ và chữ ký người dùng. Xem kết nối thật tới GitHub dùng mlkem768x25519, known_hosts và mô hình tin ngay lần đầu, khóa ed25519 so với RSA, ssh-agent, và danh sách gia cố một máy chủ.
OAuth để ủy quyền, OpenID Connect để xác thực. Đi từng bước luồng authorization code với PKCE theo code thật của viet.sarl, vai trò của state, các loại token, vì sao implicit flow bị bỏ, và mô phỏng một máy chủ ủy quyền nhỏ để thấy PKCE bảo vệ gì.
Mỗi lớp mã hóa (ổ đĩa, database, từng cột) chống được ai và không chống được ai. Envelope encryption với KMS, đổi khóa, blind index để vẫn tra cứu được, thí nghiệm mã hóa cột email trong SQLite, và vì sao SQL injection vẫn đọc được dữ liệu đã mã hóa.
TLS 1.3 ghép hàm băm, mã hóa đối xứng, thỏa thuận khóa và chữ ký thành một lần bắt tay. Đọc chuỗi chứng chỉ thật của viet.sarl, Let's Encrypt và ACME, Certificate Transparency, forward secrecy, HSTS, và hai đoạn TLS phía sau Cloudflare.
Làm sao có chung bí mật với một máy chủ chưa gặp bao giờ. Tự tính RSA và Diffie-Hellman bằng số nhỏ, đo RSA so với Ed25519 khi ký và kiểm chữ ký, độ dài khóa tương đương, và ML-KEM mà viet.sarl đang dùng để chống máy tính lượng tử.
Database bị lộ thì mật khẩu còn an toàn không? Bảng cầu vồng và salt, đo SHA-256 4,3 triệu lần/giây so với Argon2id 44 lần/giây, ước lượng thời gian dò mật khẩu, đăng nhập không lộ email có tồn tại hay không, và chính sách mật khẩu ngày nay.
Ba tính chất của hàm băm, vì sao MD5 và SHA-1 bị loại, va chạm đến sớm theo nghịch lý ngày sinh, đo tốc độ các hàm băm, giả chữ ký sha256(khóa + dữ liệu) bằng tấn công nối dài, và so sánh an toàn trước tấn công đo thời gian.
Bảo mật bảo vệ cái gì, ba công cụ của mật mã học dùng cho việc gì, vì sao không giấu thuật toán, và thí nghiệm đoán trước mọi số của random sau khi nhìn 624 số. Bài mở đầu seri bảo mật.