'Crypto Anchors' Có Thể Ngăn Chặn Các Vụ Vi Phạm Quy Mô Lớn Kiểu Equifax Tiếp Theo năm 2025

Firewalls, hệ thống phát hiện xâm nhập, và thậm chí cả việc mã hóa đều không ngăn chặn được hacker khỏi hàng tấn dữ liệu như những gì đã bị đánh cắp trong các vụ vi phạm thảm họa của Equifax hoặc Yahoo. Nhưng bây giờ, một số công ty ở Silicon Valley đang thử nghiệm một cách tiếp cận sâu hơn, xây dựng bảo mật vào thiết kế cơ bản của cách dữ liệu di chuyển giữa các máy chủ của một công ty. Phương pháp này không nhằm phong tỏa kẻ xâm nhập khỏi các hệ thống nhạy cảm, mà là để siết chặt nắp hũ bánh quy quanh cổ tay của họ, bắt tay grabby của họ bên trong.

Trong một bài đăng trên blog vào thứ Ba, kỹ sư bảo mật Diogo Mónica đặt tên cho một ý tưởng kiến trúc CNTT đã có thể kỹ thuật được từ nhiều năm trước, nhưng chỉ mới được các công ty thực sự cần bảo vệ dữ liệu người dùng nhạy cảm mới áp dụng gần đây: "Crypto Anchors." Hệ thống này, mà Mónica và đồng nghiệp Nathan McCauley đã triển khai tại công ty thanh toán Square trước khi chuyển sang công ty phần mềm doanh nghiệp Docker vào năm 2015, mã hóa nội dung của cơ sở dữ liệu với một khóa được lưu trữ trên một máy tính riêng, một mục đích, được củng cố được biết đến là một Hardware Security Module, hay HSM. Khi một máy tính khác trong mạng của công ty cố gắng truy cập vào các bản ghi trong cơ sở dữ liệu - cho dù đó là một truy vấn vô tội từ máy tính cá nhân của một nhân viên, hoặc một máy chủ web bị hack để hút một cache các bí mật hàng loạt - HSM đóng vai trò là một người bảo vệ cứng rắn, giải mã từng bản ghi đó một cách nghiêm ngặt.

Mặc dù thiết lập đó chỉ thêm vài phần trăm của một giây cho mỗi yêu cầu, các công ty cũng có thể đặt HSM để kiềm chế việc giải mã của nó, để dữ liệu không thể được giải mã nhanh hơn một tỉ lệ cụ thể. Điều đó có nghĩa là ngay cả khi hacker đã chiếm quyền điều khiển một máy tính trên mạng của một công ty có quyền truy cập vào cơ sở dữ liệu mục tiêu, họ không thể đơn giản là rót dữ liệu ra và rời đi. Họ vẫn "cầm gót" bên trong mạng, chờ đợi HSM giải mã từng phần dữ liệu. Và điều đó có thể biến một cuộc tấn công rút và chạy chỉ kéo dài trong vài giờ hoặc mấy ngày thành một cuộc tấn công có thể mất nhiều tháng hoặc nhiều năm - thời gian trong đó hacker phải duy trì hoạt động trên mạng của nạn nhân, và dễ bị phát hiện và ngăn chặn.

"Khái niệm cốt lõi là để đảm bảo rằng dữ liệu của bạn không chỉ được mã hóa, mà cách duy nhất để nó có thể được giải mã hoặc truy cập hoặc vận hành là vật lý trong trung tâm dữ liệu của bạn," Mónica nói. "Nếu ai đó xâm nhập cơ sở dữ liệu của tôi, nếu nó bị rò rỉ, nó sẽ không có ích trừ khi họ ở trong mạng của tôi, kết nối vào hệ thống của tôi để phân tích dữ liệu."

Chậm lại một chút

Để xem làm thế nào cơ chế bảo vệ đó sẽ hoạt động trong thực tế, hãy nhìn vào vụ việc của Equifax, hãng đã thừa nhận mất mát dữ liệu của 143 triệu - giờ là hơn 145 triệu - người Mỹ vào tháng trước. Vụ việc đó, giống như nhiều vụ khác, có khả năng bắt đầu từ việc chiếm quyền điều khiển của một cổng web trực tuyến. Mónica chỉ ra rằng loại máy chủ web front-end bị chiếm quyền như vậy thường được sử dụng để truy vấn vào cơ sở dữ liệu cơ bản và rút ra dữ liệu không nên truy cập được - dữ liệu như số Bảo hiểm Xã hội của nửa số người Mỹ.

Mónica lập luận rằng việc mã hóa truyền thống ít có khả năng phòng ngừa trước loại tấn công đó. Để cơ sở dữ liệu có thể được sử dụng trong thời gian thực, máy chủ web phải có khóa bí mật để giải mã dữ liệu, do đó, hacker nào chiếm quyền điều khiển máy chủ web cũng sẽ có nó. Hashing mật mã, mà chuyển đổi dữ liệu thành chuỗi ký tự bị xáo trộn không thể quay lại, cũng không giúp ích nhiều; những bí mật đã được hash thường có thể bị đánh cắp và sau đó dần dần được giải mã, đặc biệt là nếu các công ty sử dụng các phương pháp hashing yếu. Và vì có ít hơn một tỷ số Bảo hiểm Xã hội có thể, những hacker có thể đơn giản là lấy tất cả các hashes, sau đó sau này tạo ra các hashes của tất cả chúng và so khớp kết quả với các hashes họ đã lấy để giải mã các số đã được mã hóa.

Nhưng một hệ thống sử dụng cài đặt crypto anchor có thể thêm một cơ chế bảo vệ khác vào những kế hoạch hashing hoặc mã hóa đó: Thay vào đó, nó sẽ mã hóa mỗi số Bảo hiểm Xã hội với một khóa bí mật chỉ được lưu trữ trong HSM. Ngay cả nếu nó được thiết lập để cho phép một triệu truy vấn mỗi ngày từ khách hàng Equifax, ví dụ, bất kỳ hacker nào chiếm quyền điều khiển máy chủ web đó cũng sẽ bị giới hạn ở mức đó, yêu cầu họ phải lưu trú trong mạng lưới hơn sáu tháng để thu thập toàn bộ bộ sưu tập dữ liệu của Equifax. Nó sẽ mất nhiều thời gian hơn nếu hạn chế tốc độ của HSM được thiết lập gần với tốc độ sử dụng hợp lệ của khách hàng thông qua cổng web.

Loại thay đổi cấu trúc như vậy để ủng hộ cho bên phòng thủ - không chỉ đơn giản là thêm các rào cản bảo mật, mà là phát triển sâu trong kiến trúc hệ thống - khiến các ý tưởng như crypto anchoring trở nên hấp dẫn hơn so với việc thêm một dịch vụ bảo mật thương mại nữa, Haroon Meer, người sáng lập của công ty bảo mật Thinkst cho biết. "Tôi không nói rằng điều này sẽ khiến bạn trở nên không thể sai lầm mãi mãi, nhưng bạn khiến họ chơi trên sân nhà của bạn, để bạn nhìn thấy họ đang đến," ông nói. "Đó là loại lợi thế mà những người bảo vệ cần."

Ứng Dụng Thực Tế

Mặc dù thiết lập crypto anchor chưa phổ biến, nhưng nó đã được sử dụng dưới một dạng nào đó ít nhất là bởi một số đội an ninh hàng đầu tại các công ty công nghệ. Ngoài việc triển khai mà anh đã giúp tạo ra tại Square, Mónica nói rằng trong các cuộc trò chuyện riêng tư với các kỹ sư của Facebook và Uber, anh biết họ đã triển khai một cái gì đó tương tự. "Mọi đội kỹ thuật an ninh thực sự tốt đều đang sử dụng một dạng nào đó của điều này," anh nói.

Các nhà cung cấp HSM như Gemalto và Thales đã làm cho việc triển khai kỹ thuật có thể thực hiện từ nhiều năm trước, và phiên bản đám mây của HSM cũng đã tồn tại, như Amazon's CloudHSM và Azure Key Vault của Microsoft. Matthew Green, nhà mật mã học tại Đại học Johns Hopkins, nói rằng anh đã tư vấn cho nhiều công ty công nghệ lớn đang làm việc trên một phiên bản của cài đặt này. "Điều này không còn mới lạ với những người thiết kế hệ thống bảo mật biết bạn có thể làm những điều này," Green nói. "Nó mới mẻ trong việc rất ít người thực sự thực hiện... Thấy chúng trỗi dậy lên đỉnh giờ thật tuyệt vời."

Tất nhiên, crypto anchors một mình không phải là phương thuốc diệu kỳ. Sau cùng, chúng không ngăn chặn hacker đánh cắp dữ liệu, chỉ làm chậm lại họ và tạo cơ hội cho người bảo vệ phát hiện và giảm thiểu thiệt hại. Điều đó có nghĩa là tất cả các công cụ khác, từ hệ thống phát hiện xâm nhập đến phần mềm diệt virus đến phản ứng sự cố, không hề biến mất. Nhưng một kiến trúc mạng mà cơ bản hạn chế tốc độ giải mã và loại bỏ dữ liệu khỏi mạng có thể cho phép các công cụ đó làm việc hiệu quả hơn rất nhiều, Mónica lập luận.

Liệu crypto anchors có đã ngăn chặn cuộc tấn công vào Equifax không? Mónica nói rằng anh không thể chắc chắn - các chi tiết cụ thể về cách tấn công xảy ra vẫn mơ hồ - nhưng anh tin rằng chúng chắc chắn đã làm chậm lại nó. "Nó chắc chắn đã giúp ích trong việc phát hiện và hiểu rõ chính xác những gì đã được truy cập và bị đánh cắp," anh nói. "Nó đã làm chậm lại kẻ tấn công. Có thể không phải là 145 triệu bản ghi. Có thể sẽ ít hơn. Hoặc có thể không có gì cả."