Trong quá trình xây dựng các ứng dụng Web Enterprise có tính năng xác thực và phân quyền, việc so sánh chuỗi (như so sánh mã token, chữ ký số HMAC, hoặc mật khẩu đã băm) bằng toán tử thông thường có thể tạo ra lỗ hổng bảo mật nào, và lập trình viên cần áp dụng kỹ thuật so sánh an toàn gì?

Question

Accepted Answer

Khi xử lý việc so sánh chuỗi bảo mật trong các ứng dụng Enterprise (đặc biệt là so sánh token xác thực, chuỗi chữ ký webhook hoặc hash password), việc sử dụng các toán tử so sánh chuỗi thông thường (như toán tử == hay phương thức equals() thông thường) sẽ thực hiện so sánh từng ký tự từ trái sang phải và dừng lại ngay lập tức (Fail-fast) khi phát hiện ký tự đầu tiên không khớp.
Rủi ro bảo mật: Timing Attack
Kẻ tấn công có thể lợi dụng thời gian phản hồi của máy chủ (đo bằng mili-giây) để suy luận ra chuỗi bí mật. Nếu ký tự đầu tiên đúng, máy chủ mất nhiều thời gian hơn một chút để so sánh ký tự thứ hai. Dựa vào phân tích thống kê thời gian phản hồi qua hàng nghìn yêu cầu, kẻ tấn công có thể dò ra từng ký tự của chuỗi bảo mật.
Giải pháp tối ưu: Constant-Time String Comparison
Để phòng chống tấn công Timing Attack, lập trình viên phải sử dụng thuật toán so sánh chuỗi có thời gian thực thi cố định (Constant-time string comparison), nghĩa là thời gian thực thi hàm so sánh luôn luôn bằng nhau cho dù chuỗi khớp hoàn toàn ngay từ đầu hay sai lệch ở bất kỳ vị trí nào.
Ví dụ minh họa (Node.js):
const crypto = require('crypto');

// Kém an toàn: Dễ bị Timing Attack
function insecureCompare(inputToken, secretToken) {
    return inputToken === secretToken;
}

// An toàn chuẩn Enterprise: Sử dụng hàm timingSafeEqual
function secureCompare(inputToken, secretToken) {
    const buf1 = Buffer.from(inputToken);
    const buf2 = Buffer.from(secretToken);

// Độ dài khác nhau cần được xử lý cẩn thận để tránh rò rỉ độ dài
    if (buf1.length !== buf2.length) {
        return false;
    }

return crypto.timingSafeEqual(buf1, buf2);
}
Lưu ý kinh nghiệm thực chiến (Enterprise Best Practices):

Luôn sử dụng các hàm so sánh an toàn có sẵn trong thư viện bảo mật chuẩn của ngôn ngữ (ví dụ: crypto.timingSafeEqual trong Node.js, MessageDigest.isEqual hoặc crypto trong Java/C#).
Đảm bảo xử lý cả trường hợp độ dài chuỗi khác nhau một cách khéo léo để không làm rò rỉ thông tin về độ dài của chuỗi bí mật.

Làm Chủ Phỏng Vấn & Nâng Cao Trình Độ Chuyên Nghiệp

Tải Tuyển Tập 100+ Câu Hỏi Phỏng Vấn Chuyên Sâu (PDF)

Cần Mentor Phỏng Vấn Thử 1-1 & Tối Ưu CV?

Kiểm Tra CV Chuẩn ATS Miễn Phí

Câu hỏi strings liên quan cùng chủ đề