Kiến trúc & Kỹ thuật bảo mật

1. Lý thuyết cốt lõi / Core theory

1.1. Các mô hình bảo mật học thuật (Security models)

CISSP yêu cầu hiểu sâu 4 mô hình bảo mật nền tảng:

1.2. Khung kiến trúc bảo mật doanh nghiệp (Enterprise security architecture)

Ba khung kiến trúc phổ biến trong CISSP:

• SABSA (Sherwood Applied Business Security Architecture): Khung dựa trên rủi ro kinh doanh. 6 lớp từ Contextual (business) → Conceptual → Logical → Physical → Component → Operational. Tập trung vào business-driven security — phù hợp nhất với tư duy CISSP.
• TOGAF (The Open Group Architecture Framework): Khung kiến trúc doanh nghiệp tổng quát (không chỉ security). ADM (Architecture Development Method) — 9 pha từ Preliminary đến Architecture Change Management. Security là một concern xuyên suốt.
• Zachman Framework: Ma trận 6×6 (What/How/Where/Who/When/Why × Contextual đến Detailed). Mô tả kiến trúc từ nhiều góc nhìn — không prescriptive như TOGAF/SABSA.

1.3. Nguyên lý thiết kế bảo mật (Security design principles — Saltzer & Schroeder)

8 nguyên lý kinh điển từ Saltzer & Schroeder (1975) — vẫn là nền tảng của thiết kế bảo mật hiện đại:

1.4. Phần cứng bảo mật tin cậy (Trusted hardware: TPM, HSM, Secure Enclave)

TCB (Trusted Computing Base) là tập hợp tất cả phần cứng, firmware, và phần mềm chịu trách nhiệm thực thi chính sách bảo mật. TCB càng nhỏ càng tốt (economy of mechanism). Reference Monitor là khái niệm trừu tượng kiểm soát mọi truy cập — phải: always invoked, tamperproof, verifiable.

• TPM (Trusted Platform Module): Chip hardware chuyên dụng (TCG standard) lưu trữ cryptographic keys, đo lường boot integrity (PCR registers). Dùng cho BitLocker, Secure Boot attestation, platform identity. TPM 2.0 là yêu cầu Windows 11.
• HSM (Hardware Security Module): Thiết bị chuyên dụng lưu trữ và thực hiện crypto operations (sign, encrypt, key gen). Tamper-evident/tamper-resistant — key không bao giờ rời HSM dạng plaintext. Dùng trong CA, payment processing (PCI-DSS), PKI.
• Secure Enclave (Intel SGX / ARM TrustZone): Vùng nhớ được cô lập phần cứng ngay trong CPU — ngay OS/hypervisor cũng không đọc được. Dùng cho biometric keys trên iPhone, credential vault trong enterprise.

1.5. Bảo mật vật lý & Triển khai mật mã (Physical security & cryptographic implementation)

Physical security defense-in-depth từ ngoài vào trong:

• Perimeter security: Fencing (tối thiểu 8ft với barbed wire cho high-security), lighting (2 foot-candles minimum), CCTV, security guards, vehicle barriers (bollards).
• Facility entry: Mantrap (airlock — chỉ 1 người vào 1 lần), badge access, visitor management, reception control.
• Work area: Tailgating prevention, clean desk policy, screen privacy filters, document shredders.
• Equipment protection: Cable locks, server rack locks, equipment labeling, RFID asset tracking.

Cryptographic best practices cho CISSP: AES-256 cho symmetric, RSA-2048+ hoặc ECC-256+ cho asymmetric, SHA-256+ cho hash. Perfect Forward Secrecy (PFS) — mỗi session dùng ephemeral key riêng; compromise long-term key không decrypt được session cũ. TLS 1.3 bắt buộc PFS (ECDHE). Cloud shared responsibility: customer quản lý keys (Customer-Managed Keys/BYOK), CSP quản lý infrastructure encryption.

1.6. Mật mã hậu lượng tử (Post-Quantum Cryptography)

Máy tính lượng tử đủ mạnh sẽ phá vỡ RSA và ECC bằng thuật toán Shor — toàn bộ nền tảng PKI hiện tại sẽ lỗi thời. NIST đã hoàn thiện các tiêu chuẩn mật mã hậu lượng tử đầu tiên vào năm 2024:

• FIPS 203 (ML-KEM / Kyber): Thuật toán trao đổi khóa và đóng gói khóa dựa trên Module Learning With Errors. Thay thế RSA/ECDH cho key exchange. Được thiết kế tích hợp vào TLS, SSH, VPN.
• FIPS 204 (ML-DSA / Dilithium): Thuật toán chữ ký số dựa trên lattice. Thay thế RSA/ECDSA cho digital signatures — code signing, certificate chains, document signing.
• FIPS 205 (SLH-DSA / SPHINCS+): Chữ ký số dựa trên hash functions (stateless) — không phụ thuộc vào giả thuyết toán học phức tạp, conservative choice cho high-assurance environments.

Crypto-agility — khả năng thay thế thuật toán mã hóa mà không cần re-architect toàn bộ hệ thống:

• Thiết kế hệ thống với abstraction layer — algorithm là config, không phải hardcode.
• Dùng hybrid approach: kết hợp thuật toán classical (ECDH) + post-quantum (Kyber) — nếu một cái bị phá vỡ, cái kia vẫn bảo vệ.
• Inventory mọi nơi sử dụng mật mã — TLS certs, VPN configs, code signing certs, database encryption — để lập kế hoạch migration.

2. Bài thực hành / Hands-on labs

Lab 1 — TPM & Secure Boot Audit (PowerShell)

OS: Windows 11 Pro/Enterprise · Tool: PowerShell 7 (Run as Administrator)

# === TRUSTED HARDWARE & SECURE BOOT AUDIT ===

Write-Host "=== TPM Status ===" -ForegroundColor Cyan
$tpm = Get-Tpm
$tpm | Select-Object TpmPresent, TpmReady, TpmEnabled, TpmActivated,
    TpmOwned, RestartPending, ManufacturerId | Format-List

Write-Host "`n=== Secure Boot State ===" -ForegroundColor Cyan
try {
    $secureBoot = Confirm-SecureBootUEFI
    Write-Host "Secure Boot: $(if($secureBoot){'ENABLED [OK]'}else{'DISABLED [RISK]'})" `
        -ForegroundColor $(if($secureBoot){"Green"}else{"Red"})
} catch {
    Write-Host "Secure Boot check not supported on this hardware" -ForegroundColor Yellow
}

Write-Host "`n=== BitLocker Volume Encryption Status ===" -ForegroundColor Cyan
Get-BitLockerVolume | Select-Object MountPoint, VolumeType,
    EncryptionMethod, VolumeStatus, ProtectionStatus,
    @{N='KeyProtectors';E={$_.KeyProtector.KeyProtectorType -join ', '}} |
    Format-Table -AutoSize

Write-Host "`n=== BitLocker Protector Types ===" -ForegroundColor Cyan
Get-BitLockerVolume | ForEach-Object {
    Write-Host "  Drive $($_.MountPoint):" -ForegroundColor Yellow
    $_.KeyProtector | ForEach-Object {
        Write-Host "    - $($_.KeyProtectorType): $($_.KeyProtectorId)" -ForegroundColor White
    }
}

Write-Host "`n=== UEFI Secure Boot Policy ===" -ForegroundColor Cyan
Get-ItemProperty -Path "HKLM:\SYSTEM\CurrentControlSet\Control\SecureBoot\State" `
    -ErrorAction SilentlyContinue | Select-Object UEFISecureBootEnabled

Write-Host "`n=== Virtualization-Based Security (VBS/HVCI) ===" -ForegroundColor Cyan
$vbs = Get-ItemProperty -Path "HKLM:\SYSTEM\CurrentControlSet\Control\DeviceGuard" `
    -ErrorAction SilentlyContinue
$vbs | Select-Object EnableVirtualizationBasedSecurity,
    RequirePlatformSecurityFeatures, HypervisorEnforcedCodeIntegrity | Format-List

Lab 2 — Security Architecture Review: Cipher Suites & Security Headers (Bash)

OS: Ubuntu 22.04 · Tool: Bash + openssl + curl

#!/bin/bash
# === SECURITY ARCHITECTURE REVIEW ===

echo "=== 1. System Hardware Security Info ==="
sudo dmidecode -t 1 2>/dev/null | grep -E "Manufacturer|Product|Version"

echo -e "\n=== 2. Secure Boot Status (Linux) ==="
if command -v mokutil &>/dev/null; then
    mokutil --sb-state 2>/dev/null
else
    [ -d /sys/firmware/efi ] && echo "UEFI boot detected" || echo "Legacy BIOS"
    cat /sys/class/tpm/tpm0/device/description 2>/dev/null || echo "TPM: check /sys/class/tpm"
fi

echo -e "\n=== 3. Disk Encryption Status ==="
lsblk -o NAME,TYPE,FSTYPE,MOUNTPOINT,SIZE | grep -v loop
sudo dmsetup status 2>/dev/null | grep -i crypt

echo -e "\n=== 4. Strong Cipher Suites (HIGH, no weak) ==="
openssl ciphers -v 'TLSv1.3' 2>/dev/null | head -10
echo "---"
openssl ciphers -v 'HIGH:!aNULL:!MD5:!RC4:!DES:!3DES' 2>/dev/null | head -10

echo -e "\n=== 5. TLS Security Check against target ==="
TARGET="google.com"
echo | openssl s_client -connect ${TARGET}:443 -tls1_3 2>/dev/null | \
    grep -E "Protocol|Cipher|Verify return"

echo -e "\n=== 6. HTTP Security Headers Check ==="
curl -sI https://${TARGET} | grep -E \
    "Strict-Transport|X-Frame-Options|Content-Security|X-Content-Type|Referrer-Policy"

echo -e "\n=== 7. Certificate Chain Validation ==="
echo | openssl s_client -connect ${TARGET}:443 2>/dev/null | \
    openssl x509 -noout -subject -issuer -dates -fingerprint 2>/dev/null

3. Tình huống doanh nghiệp / Enterprise scenario

4. Tự kiểm tra / CISSP-style knowledge check

1. Hệ thống quân sự phân loại tài liệu theo Top Secret/Secret/Confidential. Áp dụng mô hình Bell-LaPadula: một người dùng có clearance "Secret" muốn đọc file "Top Secret" — cho phép hay từ chối, theo quy tắc nào?
2. Kế toán của công ty cần nhập hóa đơn từ vendor email (nguồn không tin cậy) vào hệ thống ERP (integrity cao). Mô hình Biba hay Clark-Wilson phù hợp hơn để kiểm soát? Tại sao?
3. Nguyên lý "Fail-Safe Defaults" được vi phạm như thế nào trong ví dụ: firewall rule cuối cùng là "allow all" thay vì "deny all"? Hậu quả là gì?
4. TPM vs HSM: khi nào nên dùng TPM và khi nào phải dùng HSM? Cho ví dụ cụ thể từ thực tế doanh nghiệp.
5. Cold boot attack khai thác điểm yếu gì của kiến trúc máy tính? BitLocker với TPM có ngăn được không? Tại sao cần thêm PIN?
6. Nguyên lý "Open Design" (Kerckhoffs) có mâu thuẫn với việc giữ bí mật source code của thuật toán mã hóa không? Giải thích bằng ví dụ thực tế (DES vs AES).