Trong lập trình ứng dụng web, thế nào là hiện tượng Timing Attack liên quan đến việc so sánh chuỗi (như token hoặc mật khẩu mã hóa) và cách lập trình viên Junior cần khắc phục?

Question

Accepted Answer

Timing Attack là một loại tấn công kênh kề (Side-channel Attack) trong đó kẻ tấn công đo lường thời gian mà hệ thống phản hồi để suy luận ra các thông tin mật như chữ ký số, token hoặc mật khẩu.
1. Bản chất cơ chế

Khi một hàm so sánh chuỗi thông thường (như toán tử == trong nhiều ngôn ngữ) thực hiện so sánh hai chuỗi ký tự, nó sẽ duyệt qua từng ký tự một từ trái sang phải.
Ngay khi phát hiện ra một ký tự không khớp, hàm sẽ dừng lại ngay lập tức và trả về kết quả sai. Do đó, chuỗi nào khớp nhiều ký tự ở phần đầu hơn sẽ mất nhiều thời gian xử lý hơn một chút.
Kẻ tấn công có thể gửi hàng nghìn request với các token ngẫu nhiên và phân tích thời gian phản hồi (tính bằng microsecond) để đoán từng ký tự của token hợp lệ.

2. Giải pháp khắc phục chuẩn Enterprise

Phải luôn sử dụng hàm so sánh thời gian cố định (Constant-time String Comparison). Các hàm này luôn duyệt qua toàn bộ chiều dài của chuỗi bất kể có tìm thấy sự khác biệt ở ký tự đầu tiên hay không, đảm bảo thời gian thực thi là như nhau.

3. Ví dụ minh họa trong Node.js
const crypto = require('crypto');

// Sai: Sử dụng so sánh thông thường dễ bị Timing Attack
function insecureCompare(userToken, validToken) {
  return userToken === validToken;
}

// Đúng: Sử dụng crypto.timingSafeEqual
function secureCompare(userToken, validToken) {
  const buf1 = Buffer.from(userToken);
  const buf2 = Buffer.from(validToken);

if (buf1.length !== buf2.length) {
    return false;
  }

return crypto.timingSafeEqual(buf1, buf2);
}

Lưu ý thực chiến: Khi so sánh chữ ký webhook hoặc token bảo mật nhạy cảm ở tầng API Gateway hoặc Backend, Junior cần kiểm tra kỹ xem ngôn ngữ lập trình hoặc framework có cung cấp sẵn hàm secure_compare hay không để tránh lỗ hổng bảo mật tiềm ẩn này.

Trong lập trình ứng dụng web, thế nào là hiện tượng Timing Attack liên quan đến việc so sánh chuỗi (như token hoặc mật khẩu mã hóa) và cách lập trình viên Junior cần khắc phục?

Làm Chủ Phỏng Vấn & Nâng Cao Trình Độ Chuyên Nghiệp

Tải Tuyển Tập 100+ Câu Hỏi Phỏng Vấn Chuyên Sâu (PDF)

Cần Mentor Phỏng Vấn Thử 1-1 & Tối Ưu CV?

Kiểm Tra CV Chuẩn ATS Miễn Phí

Câu hỏi cryptography liên quan cùng chủ đề