Mã hóa dữ liệu là gì?
Mã hóa dữ liệu là quá trình biến đổi thông tin dạng văn bản thường (plaintext) thành dạng không thể đọc được (ciphertext) bằng thuật toán và khóa (key). Chỉ ai sở hữu khóa giải mã mới có thể đọc lại dữ liệu gốc. Đây là công nghệ nền tảng bảo vệ dữ liệu cá nhân, giao dịch ngân hàng và thông tin nhạy cảm trên Internet.
Theo Cloudflare, mã hóa hoạt động trên hai trạng thái dữ liệu: at rest (dữ liệu lưu trữ trên ổ cứng, điện thoại, cloud) và in transit (dữ liệu đang truyền qua mạng). Mã hóa đúng cách mang lại 4 lợi ích chính: bảo mật (privacy), toàn vẹn dữ liệu (integrity), chống tấn công on-path và tuân thủ quy định (GDPR, HIPAA, PCI-DSS).
Mã hóa đối xứng và bất đối xứng
Mã hóa đối xứng (Symmetric)
Sử dụng một khóa duy nhất cho cả mã hóa lẫn giải mã. AES (Advanced Encryption Standard) là thuật toán phổ biến nhất, với AES-256 được dùng rộng rãi trong 7-Zip, BitLocker, VeraCrypt và các ứng dụng bảo mật. Ưu điểm: tốc độ nhanh, phù hợp mã hóa dữ liệu lớn. Nhược điểm: khóa phải được chia sẻ an toàn giữa hai bên.
Mã hóa bất đối xứng (Asymmetric)
Sử dụng cặp khóa public/private — khóa công khai để mã hóa, khóa riêng tư để giải mã. RSA và Elliptic Curve (ECC) là hai họ thuật toán phổ biến nhất. Mã hóa bất đối xứng là nền tảng của TLS/HTTPS: website cung cấp khóa công khai cho trình duyệt, trình duyệt mã hóa dữ liệu gửi lên, chỉ server có khóa riêng mới giải mã được.
Ví dụ minh họa đơn giản (mã hóa Caesar): từ “Hello” với khóa = 2 sẽ biến thành “Jgnnq”. Nguyên tắc hoạt động tương tự như vậy nhưng với thuật toán hiện đại phức tạp hơn hàng tỷ lần.
Bảo vệ dữ liệu đang truyền: HTTPS, VPN và mã hóa đầu cuối
HTTPS/TLS
HTTPS = HTTP + TLS (giao thức kế thừa SSL). Khi truy cập trang web có ổ khóa trên thanh địa chỉ, mọi dữ liệu trao đổi giữa trình duyệt và server đều được mã hóa. Tấn công on-path (như kẻ đứng giữa WiFi công cộng) không thể đọc được nội dung.
VPN
VPN mã hóa toàn bộ lưu lượng mạng của thiết bị bằng các giao thức như IPSec, OpenVPN (2001) hoặc WireGuard (2015) — bảo vệ dữ liệu khi dùng WiFi công cộng và che giấu hoạt động khỏi ISP.
Mã hóa đầu cuối (E2E Encryption)
Chỉ người gửi và người nhận có thể đọc tin nhắn — ngay cả nền tảng trung gian cũng không truy cập được. WhatsApp sử dụng Signal Protocol với hơn 3 tỷ người dùng, là ứng dụng E2E messaging phổ biến nhất thế giới. Signal, ứng dụng gốc của giao thức này, cũng là nguồn cảm hứng cho các giao thức khác như OMEMO (XMPP) và Matrix.
Bảo vệ dữ liệu lưu trữ: Full-disk encryption
FileVault trên macOS
Theo Apple Support, Mac sử dụng chip Apple silicon hoặc T2 được mã hóa tự động bằng FileVault. Người dùng Mac cũ cần bật thủ công. Lưu ý quan trọng: nếu quên mật khẩu đăng nhập VÀ quên recovery key, dữ liệu sẽ mất vĩnh viễn — không có cách nào khôi phục.
BitLocker và Device Encryption trên Windows
Windows Device Encryption mặc định dùng chuẩn XTS-AES 128-bit. BitLocker (phiên bản đầy đủ) tận dụng TPM (Trusted Platform Module) để chống can thiệp offline. Nếu máy không có TPM, BitLocker yêu cầu startup key USB hoặc password — lưu ý password dễ bị tấn công brute force.
Trên Linux, LUKS/dm-crypt là subsystem mã hóa block device tích hợp trong kernel, hỗ trợ các chế độ XTS/LRW/ESSIV, dùng cho toàn đĩa, phân vùng hoặc RAID.
Mã hóa file và thư mục
- VeraCrypt (miễn phí, mã nguồn mở, kế thừa TrueCrypt): tạo ổ đĩa ảo mã hóa, mã hóa phân vùng và USB, on-the-fly. Sử dụng PBKDF2 200.000 vòng (hệ thống) / 500.000 vòng (container) — chống brute force mạnh hơn TrueCrypt gốc hàng trăm lần. Phiên bản mới nhất 1.26.29 (06/2026) bổ sung Argon2id
- 7-Zip: nén và mã hóa file bằng AES-256 trong định dạng 7z và ZIP
- Password manager: vault mã hóa mật khẩu bằng master password — đề cập ngắn gọn vì bài riêng về chủ đề này đã có trên blog
Sai lầm phổ biến và cách tránh
- Nhầm lẫn giữa khóa màn hình và mã hóa: Theo EFF, khóa màn hình KHÔNG đồng nghĩa với mã hóa — kẻ tấn công có thể tháo ổ cứng và đọc dữ liệu trực tiếp nếu ổ không được mã hóa
- Mật khẩu yếu: Tạo điều kiện cho tấn công brute force — dùng mật khẩu dài và duy nhất
- Mất recovery key: Với FileVault/BitLocker, mất recovery key đồng nghĩa mất dữ liệu vĩnh viễn
- Quên RAM chứa plaintext: Cold boot attack có thể trích xuất khóa mã hóa từ RAM — tắt máy hoàn toàn khi không dùng thiết bị nhạy cảm
Kết luận
Mã hóa dữ liệu là lớp bảo vệ quan trọng nhất cho thông tin số của bạn — từ tin nhắn, email, đến toàn bộ ổ cứng. EFF nhấn mạnh: “Encryption is the best technology we have to protect information from bad actors, governments, and service providers. When used correctly it is virtually impossible to break.” Hãy bật mã hóa toàn ổ đĩa trên mọi thiết bị, dùng HTTPS mặc định và chọn các ứng dụng hỗ trợ E2E encryption.
Cloudflare: What is encryption?
