Bảo mật dữ liệu trên đám mây: Mã hóa ở trạng thái nghỉ và chuyển động

Bảo mật dữ liệu trên đám mây dựa trên hai trụ cột mã hóa: mã hóa ở trạng thái nghỉ (at rest) bảo vệ dữ liệu khi nằm trên ổ đĩa, bản sao lưu và kho lưu trữ của nhà cung cấp; mã hóa khi chuyển động (in transit) bảo vệ dữ liệu khi di chuyển giữa người dùng, ứng dụng và các dịch vụ. Hai lớp này giải quyết các mối đe dọa khác nhau, và điều quyết định mức độ an toàn thực sự là ai nắm giữ khóa. Bài viết giải thích từng lớp, các mô hình quản lý khóa phổ biến và danh sách việc cần làm cho doanh nghiệp.

Mô hình trách nhiệm chung

Các nhà cung cấp đám mây lớn đều áp dụng mô hình trách nhiệm chung: họ bảo vệ hạ tầng vật lý, mạng lõi và lớp ảo hóa; khách hàng chịu trách nhiệm cấu hình dịch vụ, quản lý danh tính, quyền truy cập và dữ liệu của mình. Nhiều sự cố rò rỉ trên đám mây không đến từ việc mã hóa bị phá mà từ cấu hình sai, chẳng hạn kho lưu trữ để công khai. Mã hóa là lớp phòng thủ quan trọng, nhưng phải đi cùng quản trị truy cập chặt chẽ.

Mã hóa ở trạng thái nghỉ

Bảo vệ trước mối đe dọa nào

• Ổ đĩa vật lý bị đánh cắp hoặc thải bỏ không đúng quy trình tại trung tâm dữ liệu.
• Truy cập trái phép vào lớp lưu trữ bên dưới, vượt qua ứng dụng.
• Bản sao lưu, ảnh chụp ổ đĩa (snapshot) bị chia sẻ nhầm.

Cách hoạt động phổ biến: mã hóa phong bì

Hầu hết dịch vụ đám mây dùng kỹ thuật envelope encryption. Dữ liệu được mã hóa bằng một khóa dữ liệu (data key), thường dùng thuật toán AES-256. Khóa dữ liệu này lại được mã hóa bằng một khóa chính (key encryption key) nằm trong dịch vụ quản lý khóa (KMS) hoặc mô-đun bảo mật phần cứng (HSM). Cách làm này cho phép xoay vòng khóa chính mà không phải mã hóa lại toàn bộ dữ liệu, và khóa chính không bao giờ rời khỏi hệ thống quản lý khóa. Lý do AES được ưu tiên ở đây được phân tích trong bài so sánh AES-256 và ChaCha20.

Các cấp độ kiểm soát khóa

Mã hóa khi chuyển động

Bảo vệ trước mối đe dọa nào

• Nghe lén trên mạng công cộng, Wi-Fi không an toàn.
• Tấn công xen giữa (man-in-the-middle) sửa đổi dữ liệu.
• Rò rỉ dữ liệu khi di chuyển giữa các trung tâm dữ liệu hoặc giữa các dịch vụ nội bộ.

Công nghệ chính

TLS là nền tảng, với khuyến nghị dùng TLS 1.2 trở lên, ưu tiên TLS 1.3 và tắt các bộ mã yếu. Cơ chế của TLS và chứng chỉ được giải thích trong bài chứng chỉ SSL/TLS hoạt động như thế nào. Với kết nối giữa văn phòng và đám mây, doanh nghiệp dùng VPN IPsec hoặc đường truyền riêng có mã hóa. Bên trong cụm dịch vụ, mTLS (TLS hai chiều) giúp từng dịch vụ xác thực lẫn nhau, phù hợp kiến trúc zero trust.

Khoảng trống: dữ liệu khi đang được xử lý

Khi ứng dụng xử lý, dữ liệu phải được giải mã trong bộ nhớ. Đây là lớp thứ ba, "in use", thường bị bỏ qua. Các hướng tiếp cận gồm điện toán bảo mật (confidential computing) dùng vùng bộ nhớ được phần cứng cô lập, và các kỹ thuật mật mã như mã hóa đồng cấu cho phép tính toán trên dữ liệu đã mã hóa, dù còn hạn chế về hiệu năng. Với dữ liệu cá nhân như tài liệu, ảnh, nhiều dịch vụ lưu trữ đã cung cấp tùy chọn mã hóa đầu cuối để chính nhà cung cấp không đọc được.

Danh sách việc cần làm cho doanh nghiệp

1. Phân loại dữ liệu: xác định dữ liệu nào nhạy cảm, chịu quy định nào, để chọn mức kiểm soát khóa phù hợp.
2. Bật mã hóa mặc định: cho mọi kho lưu trữ, cơ sở dữ liệu, ổ đĩa máy ảo và bản sao lưu.
3. Dùng khóa do khách hàng quản lý cho dữ liệu nhạy cảm: đặt chính sách ai được dùng khóa, tách quyền quản trị khóa và quyền đọc dữ liệu.
4. Xoay vòng khóa định kỳ và có quy trình thu hồi khi nghi ngờ lộ khóa.
5. Bắt buộc TLS: từ chối kết nối không mã hóa tới kho lưu trữ và API; kiểm tra phiên bản TLS và bộ mã.
6. Không để khóa trong mã nguồn: dùng trình quản lý bí mật thay vì gán khóa trong tệp cấu hình hay kho mã.
7. Bật nhật ký truy cập khóa và dữ liệu: cảnh báo khi có truy cập bất thường.
8. Kiểm tra sao lưu: bản sao lưu cũng phải được mã hóa và thử khôi phục định kỳ. Hướng dẫn chi tiết có trong bài cấu hình sao lưu dữ liệu đám mây an toàn.

Với người dùng cá nhân

Dịch vụ như Google Drive, OneDrive, iCloud đều mã hóa ở trạng thái nghỉ và khi chuyển động, nhưng nhà cung cấp giữ khóa. Nếu cần bảo vệ tài liệu đặc biệt nhạy cảm, hãy bật các tùy chọn bảo vệ nâng cao nếu có (ví dụ chế độ mã hóa đầu cuối cho bản sao lưu trên một số nền tảng), hoặc tự mã hóa tệp trước khi tải lên. Quan trọng không kém: bật xác thực hai lớp cho tài khoản đám mây, vì kẻ có mật khẩu của bạn sẽ đọc được mọi thứ bất kể dữ liệu được mã hóa thế nào trên máy chủ.