Mã hóa > Các loại mã hóa
Giải thích các loại mã hóa
Một dữ liệu có thể được bảo vệ cùng lúc bằng nhiều loại mã hóa, mỗi loại giải quyết một vấn đề khác nhau:
- Ai nắm giữ khóa?
- Thuật toán nào làm xáo trộn dữ liệu?
- Dữ liệu được bảo vệ ở lớp nào?
Hiểu được sự khác biệt sẽ giúp đưa ra lựa chọn sáng suốt hơn về cách chia sẻ dữ liệu, nơi lưu trữ dữ liệu và những dịch vụ đáng tin cậy để xử lý dữ liệu đó.
Mối liên hệ giữa các loại mã hóa
Các loại mã hóa giải quyết các câu hỏi khác nhau. Một số loại mô tả những ai có thể truy cập dữ liệu (mô hình bảo vệ). Các loại khác mô tả cách thức hoạt động của các phép toán (thuật toán). Một kết nối đã mã hóa duy nhất thường liên quan đến nhiều loại cùng một lúc.
Mô hình bảo vệ
Mã hóa đầu cuối, mã hóa không truy cập, mã hóa toàn bộ đĩa
Cấu trúc khóa
Mã hóa đối xứng và bất đối xứng
Tiêu chuẩn mã hóa
AES, ChaCha20, RSA, ECC, đồng cấu, DES, thuật toán hậu lượng tử
Mô hình minh bạch
Mã hóa nguồn mở
Ví dụ: một thư Proton Mail sử dụng mã hóa đầu cuối (mô hình bảo vệ) được triển khai bằng AES (thuật toán đối xứng) cho nội dung thư và mật mã đường cong elliptic (thuật toán bất đối xứng) để trao đổi khóa — tất cả đều nằm trong mã mã nguồn mở và được kiểm định độc lập.
Mã hóa đối xứng và bất đối xứng
Hai phương pháp này mô tả cấu trúc cơ bản về cách thức hoạt động của các khóa mã hóa. Hầu hết các phương pháp mã hóa hiện đại đều sử dụng cả hai: mã hóa bất đối xứng để trao đổi khóa một cách an toàn và mã hóa đối xứng để mã hóa chính dữ liệu đó.
Mã hóa đối xứng
Mã hóa đối xứng sử dụng một khóa duy nhất để vừa mã hóa vừa giải mã dữ liệu. Phương pháp này nhanh và hiệu quả, rất lý tưởng để xử lý lượng thông tin lớn. Tuy nhiên, việc chia sẻ khóa này một cách an toàn giữa các bên có thể là một thách thức và tiềm ẩn rủi ro bảo mật.
Mã hóa bất đối xứng
Mã hóa bất đối xứng dựa trên hai khóa: khóa công khai để mã hóa dữ liệu và khóa riêng tư để giải mã dữ liệu. Vì khóa riêng tư được bảo mật và không bao giờ được chia sẻ, phương pháp này mang lại tính bảo mật mạnh mẽ hơn cho quá trình truyền thông. Điểm đánh đổi là phương pháp này chậm hơn và đòi hỏi nhiều tài nguyên tính toán hơn so với mã hóa đối xứng.
Mã hóa đầu cuối
Mã hóa đầu cuối (E2EE) đảm bảo dữ liệu được mã hóa trên thiết bị người gửi và chỉ được giải mã trên thiết bị người nhận. Không ai ở giữa có thể đọc được dữ liệu, kể cả nhà cung cấp dịch vụ.
Với mã hóa tiêu chuẩn (loại mà hầu hết các dịch vụ email và đám mây sử dụng), dữ liệu được mã hóa trong quá trình truyền tải nhưng được giải mã trên máy chủ của nhà cung cấp trước khi được mã hóa lại để lưu trữ. Nhà cung cấp nắm giữ các khóa, nghĩa là họ có thể truy cập dữ liệu và bất kỳ ai xâm phạm nhà cung cấp cũng có thể làm vậy.
E2EE loại bỏ điều này. Nhà cung cấp không bao giờ nắm giữ các khóa giải mã, vì vậy không có gì để bàn giao, xâm phạm hoặc yêu cầu cung cấp. Đây là mô hình bảo vệ mạnh mẽ nhất hiện có cho truyền thông và dữ liệu được chia sẻ.
Mã hóa không truy cập
Mã hóa không truy cập nghĩa là nhà cung cấp dịch vụ không thể truy cập dữ liệu trong bất kỳ trường hợp nào, kể cả khi dữ liệu được lưu trữ trên máy chủ của họ. Đây là tiêu chuẩn áp dụng cho dữ liệu ở trạng thái tĩnh.
Mã hóa đầu cuối bảo vệ dữ liệu trong quá trình truyền tải, khi dữ liệu di chuyển giữa người gửi và người nhận. Mã hóa không truy cập mở rộng khả năng bảo vệ đó sang lưu trữ. Ngay cả dữ liệu không chia sẻ với bất kỳ ai (thư nháp email, ghi chú, tệp đã lưu) cũng được mã hóa bằng khóa duy nhất chỉ người dùng nắm giữ.
Mã hóa không truy cập quan trọng nhất trong các tình huống lưu trữ dữ liệu với nhà cung cấp theo thời gian, chẳng hạn như lưu trữ email, tệp trên đám mây hoặc sự kiện lịch. Nếu không có tính năng này, một sự cố vi phạm từ nhà cung cấp, yêu cầu của chính phủ hoặc một nhân viên gian lận có thể làm lộ mọi dữ liệu được lưu trữ.
Mã hóa toàn bộ ổ đĩa
Mã hóa toàn bộ đĩa thực hiện mã hóa vật lý mọi thứ được lưu trữ trên thiết bị, bao gồm hệ điều hành, ứng dụng và tệp, để dữ liệu không thể đọc được nếu không có thông tin đăng nhập chính xác. Nếu thiết bị bị mất, bị đánh cắp hoặc bị tịch thu, nội dung bên trong sẽ không thể truy cập được nếu không có xác thực.
Đây là lớp bảo vệ tiêu chuẩn cho máy tính xách tay, điện thoại thông minh và ổ đĩa ngoài. Hầu hết các hệ điều hành hiện đại đều kích hoạt tính năng này theo mặc định — FileVault trên macOS, BitLocker trên Windows và mã hóa tích hợp trên iOS và Android.
Mã hóa nguồn mở
Mã hóa nguồn mở nghĩa là mã triển khai việc mã hóa được công khai để bất kỳ ai cũng có thể kiểm tra, kiểm định và xác minh. Đây là cách niềm tin vào mã hóa được thiết lập trên quy mô lớn.
Một dịch vụ có thể tuyên bố sử dụng mã hóa mạnh mẽ, nhưng nếu không có mã nguồn mở, không có cách nào để xác minh tuyên bố đó là đúng, việc triển khai là chính xác hoặc không có cửa sau.
Mã nguồn mở được xem xét bởi các nhà nghiên cứu bảo mật, học giả và các nhà phát triển khác trên toàn thế giới, giúp các lỗ hổng dễ được phát hiện và khắc phục hơn nhiều. Mọi người đều được hưởng lợi từ sự giám sát của cộng đồng bảo mật toàn cầu.
Các thuật toán mã hóa khác nhau là gì?
Thuật toán mã hóa là các phương pháp toán học cụ thể giúp xáo trộn dữ liệu có thể đọc được thành văn bản mã hóa không thể đọc được. Các thuật toán này xác định cách thức hoạt động ẩn sau của quá trình mã hóa.
AES (Tiêu chuẩn mã hóa nâng cao)
Thuật toán mã hóa đối xứng được triển khai rộng rãi nhất trên thế giới, được các chính phủ, ngân hàng và các tổ chức chú trọng bảo mật trên toàn cầu tin cậy.
Tìm hiểu cách hoạt động của AES, ý nghĩa của kích thước khóa và lý do tại sao AES-256 được coi là không thể phá vỡ.
ChaCha20
Một mật mã luồng hiện đại được thiết kế để tăng tốc độ trên các thiết bị di động và thiết bị năng lượng thấp — không yêu cầu phần cứng chuyên dụng.
Tìm hiểu lý do tại sao ChaCha20 cạnh tranh với AES và tại sao các trình duyệt cũng như VPN ngày càng ưa chuộng thuật toán này.
RSA (Rivest–Shamir–Adleman)
Một trong những thuật toán mã hóa bất đối xứng thực tế đầu tiên, được sử dụng rộng rãi để trao đổi khóa và chữ ký số trong email, HTTPS và truyền thông an toàn.
Bảo mật của RSA dựa trên độ khó của việc phân tích các số nguyên tố lớn — nhưng khi máy tính ngày càng nhanh hơn, kích thước khóa yêu cầu cũng tăng theo, khiến RSA chậm hơn so với các giải pháp thế hệ mới như ECC.
ECC (Mật mã đường cong Elliptic)
ECC đạt được mức độ bảo mật tương tự như RSA với các khóa nhỏ hơn nhiều, giúp quá trình mã hóa và giải mã nhanh hơn đáng kể — tiết kiệm năng lượng xử lý, bộ nhớ và thời lượng pin.
Công nghệ này đã nhanh chóng trở thành tiêu chuẩn cho các ứng dụng hiện đại và email được mã hóa. Tìm hiểu lý do tại sao đường cong elliptic đang thay thế RSA và cách Proton Mail trở thành một trong những nhà cung cấp email được mã hóa đầu tiên hỗ trợ công nghệ này.
Mã hóa đồng cấu
Một dạng mã hóa cho phép thực hiện các tính toán trực tiếp trên dữ liệu đã mã hóa mà không cần giải mã trước. Kết quả sau khi giải mã trùng khớp với kết quả nếu thực hiện cùng một thao tác trên dữ liệu gốc.
Điều này có thể cho phép xử lý dữ liệu nhạy cảm trong môi trường không đáng tin cậy, chẳng hạn như máy chủ đám mây, mà không làm lộ dữ liệu dưới dạng có thể đọc được. Mã hóa đồng cấu đòi hỏi tài nguyên tính toán chuyên sâu và hầu như chỉ được sử dụng trong nghiên cứu hoặc các tình huống triển khai thử nghiệm ban đầu.
DES (Tiêu chuẩn mã hóa dữ liệu)
Thuật toán từng định hình mã hóa đối xứng hiện đại, cho đến khi các nhà nghiên cứu bẻ khóa được nó. Khóa 56-bit tỏ ra quá ngắn so với sức mạnh tính toán sau đó, và DES đã chính thức bị ngừng sử dụng vào năm 2005. Những hạn chế của DES đã trực tiếp định hình thiết kế của các thuật toán kế nhiệm, bao gồm cả AES.
Mật mã học hậu lượng tử
Mật mã hậu lượng tử là một thế hệ thuật toán mới được thiết kế để chống lại các cuộc tấn công từ máy tính lượng tử — những cỗ máy có thể phá vỡ mật mã khóa công khai đang bảo vệ hầu hết Internet ngày nay.
Giải pháp này giải quyết cả các mối đe dọa trong tương lai lẫn hiện tại: các đối thủ hiện đã thu thập dữ liệu đã mã hóa, chờ đợi máy tính lượng tử đủ mạnh để giải mã.
Cách Proton sử dụng các loại mã hóa khác nhau
Tất cả các ứng dụng Proton đều mã nguồn mở và bảo vệ dữ liệu bằng các chế độ mã hóa khác nhau:
Ứng dụng thư mã hóa đầu cuối các email được gửi từ người dùng Proton Mail này sang người dùng Proton Mail khác.
E2EE có thể được kích hoạt cho email từ Proton Mail gửi đến người không dùng bằng tính năng Email bảo vệ bằng mật khẩu.
Tất cả thư trong Proton Mail đều được lưu trữ bằng mã hóa không quyền truy cập.
Proton Calendar sử dụng tiêu chuẩn OpenPGP và ECC để bảo vệ các sự kiện và danh bạ bằng mã hóa đầu cuối, ngay cả khi lên lịch hẹn.
Khi mời ai đó tham gia sự kiện hoặc khi có người đặt lịch hẹn, thông tin của họ sẽ được mã hóa để không ai có thể nhận dạng.
Với Proton VPN, toàn bộ lưu lượng internet được mã hóa bằng ChaCha20 hoặc AES-256, hai thuật toán bảo mật.
Ngoài ra, Proton VPN chỉ sử dụng mật mã và giao thức hỗ trợ bí mật chuyển tiếp hoàn hảo; ngay cả khi các phiên VPN trong tương lai bị xâm phạm, các phiên trong quá khứ vẫn được bảo mật.
Nhờ có E2EE sử dụng tiêu chuẩn OpenPGP và ECC, không ai khác có thể truy cập các tệp trên Proton Drive nếu không có sự cho phép.
Tính năng này cũng áp dụng cho việc chia sẻ tệp, giúp dễ dàng chia sẻ ảnh, thư mục và các tài sản khác trên Proton Drive một cách riêng tư và an tâm.
Tất cả tên người dùng và mật khẩu đều được mã hóa bằng E2EE trong trình quản lý mật khẩu an toàn.
Thông qua mã hóa 256-bit AES-GCM, mọi mục được lưu trữ đều được giữ trong các kho đã mã hóa bằng khóa 32 byte được tạo ngẫu nhiên và không thể bị tấn công bạo lực, giúp bảo mật mọi thông tin đăng nhập.
Proton Meet sử dụng E2EE luôn bật để bảo mật cuộc gọi, đảm bảo chỉ người tham gia mới có thể truy cập âm thanh, video, trò chuyện và chia sẻ màn hình.
Bằng cách sử dụng giao thức Messaging Layer Security (MLS), mọi dữ liệu đều được mã hóa trên thiết bị trước khi gửi và các khóa mã hóa được cập nhật khi có người tham gia hoặc rời đi, mang lại tính năng bảo mật chuyển tiếp và khả năng bảo vệ mạnh mẽ cho các cuộc gọi nhóm.
Chủ động kiểm soát dữ liệu
Proton được xây dựng để bảo vệ dữ liệu ngay từ đầu. Với mã hóa mạnh mẽ, ứng dụng mã nguồn mở và kiểm định độc lập, thông tin sẽ luôn thuộc về người dùng.
