Khi thiết kế cơ chế lưu trữ mật khẩu người dùng trong cơ sở dữ liệu, tại sao các thuật toán Hashing thông thường như MD5, SHA-1 hoặc thậm chí SHA-256 lại không còn an toàn và tiêu chuẩn Enterprise yêu cầu sử dụng các thuật toán như Argon2 hoặc bcrypt?

Question

Accepted Answer

Mật khẩu người dùng là mục tiêu tấn công hàng đầu của tin tặc. Việc lựa chọn sai hàm băm có thể dẫn đến việc toàn bộ cơ sở dữ liệu mật khẩu bị giải mã chỉ trong vài giây.
1. Nhược điểm chí mạng của MD5, SHA-1 và SHA-256

Các thuật toán này được thiết kế với mục tiêu tốc độ thực thi cực nhanh (để tối ưu hiệu năng tính toán checksum cho file hoặc dữ liệu lớn).
Khi kẻ tấn công đánh cắp được bảng chứa mã băm mật khẩu (Password Hash) từ cơ sở dữ liệu, tốc độ tính toán nhanh trở thành điểm yếu chết người. Chúng có thể sử dụng card đồ họa mạnh (GPU) kết hợp với các kỹ thuật Brute-force hoặc Rainbow Table để thử hàng tỷ khả năng mỗi giây, dễ dàng dò ra mật khẩu gốc.

2. Cơ chế bảo vệ của bcrypt và Argon2

Cố ý làm chậm (Key Stretching / Work Factor): Các hàm như bcrypt hay Argon2 được thiết kế có chủ đích để chạy rất chậm và tốn nhiều tài nguyên bộ nhớ (Memory-hard function).
Tích hợp Salt tự động: Mỗi mật khẩu khi băm sẽ được trộn ngẫu nhiên với một chuỗi Salt riêng biệt trước khi đưa qua thuật toán, triệt tiêu hoàn toàn hiệu quả của tấn công Rainbow Table.

3. Ví dụ thực tế về hiệu năng

Một card GPU có thể tính toán hàng tỷ hàm SHA-256 trong một giây.
Trong khi đó, với hàm bcrypt (có cost factor phù hợp), việc tính toán một mã băm có thể mất từ 100 đến 300 milliseconds. Khoảng thời gian này không ảnh hưởng đến trải nghiệm đăng nhập của người dùng thực tế (vì chỉ mất dưới 0.5 giây), nhưng làm cho việc tấn công vét cạn (Brute-force) hàng triệu mật khẩu trở nên bất khả thi về mặt thời gian.
Lưu ý thực chiến: Junior tuyệt đối không tự viết hàm băm mật khẩu hay tự thêm salt thủ công dễ dẫn đến lỗi cài đặt. Hãy luôn sử dụng thư viện chuẩn của ngôn ngữ lập trình hỗ trợ sẵn bcrypt hoặc Argon2id.

Làm Chủ Phỏng Vấn & Nâng Cao Trình Độ Chuyên Nghiệp

Tải Tuyển Tập 100+ Câu Hỏi Phỏng Vấn Chuyên Sâu (PDF)

Cần Mentor Phỏng Vấn Thử 1-1 & Tối Ưu CV?

Kiểm Tra CV Chuẩn ATS Miễn Phí

Câu hỏi cryptography liên quan cùng chủ đề