Mã hóa End-to-End (E2EE) hoạt động như thế nào trên ứng dụng chat?

Ban biên tập AlphaBay SecOps · 19/05/2026 · Cập nhật 13/10/2026

Trên ứng dụng chat, mã hóa End-to-End (E2EE) nghĩa là tin nhắn được mã hóa ngay trên điện thoại người gửi và chỉ được giải mã trên điện thoại người nhận; máy chủ của ứng dụng chỉ chuyển tiếp các khối dữ liệu mà nó không đọc được. Phần lớn ứng dụng phổ biến như Signal, WhatsApp, và các cuộc trò chuyện cá nhân trên Messenger dựa trên Signal Protocol, với cơ chế đổi khóa liên tục sau mỗi tin nhắn. Tuy nhiên, không phải ứng dụng nào cũng bật E2EE mặc định, và E2EE không bảo vệ bạn nếu điện thoại bị truy cập hay bản sao lưu không được mã hóa.

Hành trình của một tin nhắn được mã hóa đầu cuối

Đăng ký khóa: khi cài ứng dụng, điện thoại tạo các cặp khóa. Khóa riêng nằm lại trên máy; khóa công khai được tải lên máy chủ để người khác dùng khi muốn nhắn cho bạn.
Thiết lập phiên: khi bạn nhắn cho ai lần đầu, ứng dụng lấy gói khóa công khai của người đó từ máy chủ và cùng với khóa của bạn tính ra một bí mật chung. Bước này hoạt động ngay cả khi người nhận đang ngoại tuyến.
Mã hóa tin nhắn: nội dung được mã hóa bằng khóa tin nhắn dẫn xuất từ bí mật chung, rồi gửi lên máy chủ.
Chuyển tiếp: máy chủ giữ khối dữ liệu mã hóa cho tới khi điện thoại người nhận trực tuyến và tải về.
Giải mã: điện thoại người nhận dùng khóa riêng của mình để tính ra cùng khóa và giải mã.

Double Ratchet: vì sao mỗi tin nhắn có khóa riêng

Điểm làm Signal Protocol nổi bật là cơ chế "bánh cóc kép" (Double Ratchet). Sau mỗi tin nhắn, khóa được "vặn" sang khóa mới theo một chiều không thể quay ngược, và mỗi khi hai bên trao đổi qua lại, một lượt trao đổi khóa mới được trộn vào. Kết quả là hai tính chất quan trọng:

Bí mật chuyển tiếp (forward secrecy): nếu kẻ tấn công lấy được khóa hiện tại, họ không giải mã được tin nhắn trong quá khứ.
Tự phục hồi sau xâm nhập (post-compromise security): sau khi khóa bị lộ, chỉ cần vài lượt trao đổi mới, cuộc trò chuyện lại an toàn với tin nhắn tương lai.

Các phiên bản gần đây của Signal và iMessage còn bổ sung thuật toán kháng lượng tử vào bước trao đổi khóa, chuẩn bị cho nguy cơ "thu thập bây giờ, giải mã sau". Bối cảnh của xu hướng này có trong bài mã hóa lượng tử và tương lai bảo mật.

Các ứng dụng chat phổ biến xử lý E2EE ra sao

Ứng dụng	E2EE mặc định	Ghi chú
Signal	Có, mọi cuộc trò chuyện và cuộc gọi	Mã nguồn mở, thu thập rất ít siêu dữ liệu
WhatsApp	Có, tin nhắn và cuộc gọi	Dùng Signal Protocol; siêu dữ liệu vẫn được thu thập; sao lưu mã hóa là tùy chọn
Messenger	Có với trò chuyện cá nhân	Meta đã chuyển sang E2EE mặc định cho tin nhắn cá nhân; một số tính năng khác có thể khác
iMessage	Có, giữa thiết bị Apple	Tin nhắn SMS gửi sang Android không được E2EE theo cách này
Telegram	Không với trò chuyện thường	Chỉ "Secret Chat" là E2EE; nhóm và kênh không E2EE

Chính sách của các ứng dụng có thể thay đổi; hãy kiểm tra thông tin trong phần cài đặt hoặc trang trợ giúp chính thức.

Xác minh mã an toàn: bước hay bị bỏ qua

E2EE chỉ hiệu quả nếu bạn đang mã hóa cho đúng người. Nếu máy chủ bị kiểm soát và đưa cho bạn khóa công khai giả, kẻ ở giữa có thể đọc tin nhắn. Để chống lại, các ứng dụng cung cấp "mã an toàn" (safety number) hoặc mã QR. Khi gặp trực tiếp hoặc gọi video, hai người so sánh mã này. Khi ứng dụng báo "mã an toàn đã thay đổi", có thể do người kia đổi điện thoại, nhưng cũng có thể là dấu hiệu bất thường; hãy hỏi lại qua kênh khác trước khi gửi thông tin nhạy cảm.

Nhóm chat được mã hóa thế nào

Với nhóm, mỗi thành viên cần nhận được khóa giải mã. Signal và WhatsApp dùng cơ chế "sender keys": mỗi người gửi tạo một khóa nhóm và phân phát an toàn cho từng thành viên qua kênh E2EE hai người. Khi có người rời nhóm, khóa được thay để người đó không đọc được tin nhắn mới. Nhóm càng đông, càng khó đảm bảo mọi thiết bị trong nhóm đều an toàn.

E2EE không bảo vệ được những gì

Điện thoại bị mở khóa hoặc nhiễm phần mềm gián điệp: tin nhắn đã giải mã hiển thị trên màn hình, ai có quyền truy cập máy đều đọc được.
Sao lưu đám mây không mã hóa: nếu lịch sử chat được sao lưu lên đám mây mà không bật mã hóa đầu cuối cho bản sao lưu, nội dung có thể đọc được từ bản sao lưu.
Siêu dữ liệu: ai nhắn với ai, khi nào, bao lâu một lần có thể vẫn được máy chủ ghi nhận, tùy ứng dụng.
Người nhận: có thể chụp màn hình hoặc chuyển tiếp tin nhắn.
Lừa đảo: kẻ mạo danh vẫn nhắn tin qua kênh E2EE như bình thường.

Cài đặt nên bật ngay

Bật khóa ứng dụng bằng vân tay hoặc mã PIN riêng.
Bật sao lưu mã hóa đầu cuối (WhatsApp, iCloud với chế độ bảo vệ dữ liệu nâng cao) hoặc tắt sao lưu nếu không cần.
Đặt tin nhắn tự hủy cho các cuộc trò chuyện nhạy cảm.
Bật mã PIN đăng ký (registration lock) để chống bị chiếm tài khoản qua SIM.
Xem lại danh sách thiết bị liên kết, gỡ máy tính hoặc trình duyệt không còn dùng.

Để hiểu E2EE được áp dụng ngoài ứng dụng chat như lưu trữ đám mây, email và cuộc gọi video, bạn có thể đọc bài cơ chế và ứng dụng thực tế của E2EE. Nếu cần chọn ứng dụng nhắn tin, bài viết về các ứng dụng nhắn tin mã hóa đầu cuối an toàn có thêm góc nhìn so sánh.

Câu hỏi thường gặp

Ứng dụng chat có E2EE thì công ty có đọc được tin nhắn không?

Nếu E2EE được triển khai đúng, công ty không có khóa để đọc nội dung tin nhắn. Họ vẫn có thể biết một số siêu dữ liệu như thời điểm và người bạn liên lạc, tùy chính sách của từng ứng dụng.

Telegram có an toàn không?

Trò chuyện thường trên Telegram được mã hóa giữa bạn và máy chủ, nhưng không phải đầu cuối. Nếu cần E2EE, hãy dùng tính năng Secret Chat, lưu ý tính năng này chỉ có cho trò chuyện hai người.

Tại sao WhatsApp báo mã bảo mật đã thay đổi?

Thường do người kia cài lại ứng dụng, đổi điện thoại hoặc thêm thiết bị. Nếu đang trao đổi thông tin nhạy cảm, hãy xác nhận với họ qua kênh khác trước khi tiếp tục.

Tin nhắn tự hủy có thực sự biến mất không?

Tin nhắn bị xóa khỏi ứng dụng trên các thiết bị sau thời gian đặt sẵn, nhưng người nhận vẫn có thể chụp màn hình hoặc chụp ảnh bằng thiết bị khác trước khi tin nhắn biến mất.