Mã hóa khóa riêng tư

Mã hóa khóa riêng tư trong crypto là gì?

Mã hóa khóa riêng tư là thuật ngữ có thể chỉ mã hóa khóa đối xứng, trong đó cùng một khóa bí mật được dùng để mã hóa và giải mã dữ liệu, hoặc quá trình mã hóa khóa riêng tư của ví blockchain để lưu trữ an toàn hơn.

Trong tiền mã hóa, ý nghĩa thứ hai đặc biệt quan trọng vì khóa riêng tư của ví kiểm soát quyền truy cập vào tiền, chữ ký, tài khoản, validator, token và quyền đối với hợp đồng thông minh.

Nếu khóa riêng tư thô được lưu dưới dạng văn bản thuần, bất kỳ ai nhìn thấy hoặc sao chép được khóa đều có thể kiểm soát ví liên quan.

Mã hóa khóa riêng tư giảm rủi ro này bằng cách chuyển khóa riêng tư thành dữ liệu đã mã hóa, không thể đọc nếu không có đúng mật khẩu, passphrase, bí mật phần cứng hoặc khóa giải mã.

Định nghĩa về mật mã đối xứng của NIST giải thích rằng mật mã đối xứng sử dụng cùng một khóa bí mật để thực hiện một thao tác và đảo ngược thao tác đó.

Tài liệu Web3 Secret Storage của Ethereum mô tả cách file keystore JSON đã mã hóa tạo khóa mã hóa từ mật khẩu trước khi khôi phục khóa bí mật được lưu trữ.

Vì cả hai ý nghĩa đều xuất hiện trong các cuộc thảo luận về crypto, người dùng cần chú ý đến ngữ cảnh.

Khi ví cho biết ví mã hóa khóa riêng tư, điều đó thường có nghĩa ví lưu khóa riêng tư blockchain dưới dạng đã mã hóa.

Khi sách giáo khoa mật mã nói về mã hóa khóa riêng tư, thuật ngữ này có thể chỉ mã hóa khóa đối xứng thay vì lưu trữ khóa ví blockchain.

Vì sao mã hóa khóa riêng tư quan trọng?

Mã hóa khóa riêng tư quan trọng vì giao dịch blockchain thường không thể đảo ngược và khóa riêng tư kiểm soát trực tiếp việc di chuyển tài sản.

Nếu khóa riêng tư bị đánh cắp, kẻ tấn công có thể ký giao dịch, chuyển tiền, phê duyệt hợp đồng độc hại, thay đổi cài đặt validator hoặc chiếm quyền kiểm soát tài khoản.

Khác với mật khẩu ngân hàng, khóa riêng tư blockchain bị đánh cắp thường không thể được đội ngũ hỗ trợ khách hàng đặt lại.

Mã hóa giúp bảo vệ khóa riêng tư khi thiết bị bị mất, file bị sao chép, bản sao lưu bị lộ hoặc cơ sở dữ liệu ví bị truy cập trái phép.

Ví dụ, file keystore đã mã hóa an toàn hơn khóa riêng tư thô vì kẻ tấn công vẫn cần mật khẩu hoặc bí mật giải mã.

Tuy nhiên, chỉ mã hóa thôi chưa phải là giải pháp bảo mật hoàn chỉnh.

Nếu mật khẩu yếu, phần mềm độc hại ghi lại mật khẩu, ví giải mã khóa trên thiết bị bị nhiễm mã độc hoặc seed phrase được lưu ở nơi khác dưới dạng văn bản thuần, tài sản vẫn có thể bị đánh cắp.

Vì vậy, mã hóa khóa riêng tư là một lớp trong bảo mật ví.

Nên kết hợp mã hóa với mật khẩu mạnh, thiết bị an toàn, bản sao lưu ngoại tuyến, ví phần cứng, cơ chế kiểm soát đa chữ ký và việc xem xét giao dịch cẩn thận.

Mã hóa khóa riêng tư theo nghĩa mã hóa đối xứng

Trong mật mã học cổ điển, mã hóa khóa riêng tư thường có nghĩa là mã hóa đối xứng.

Mã hóa đối xứng dùng một khóa bí mật để mã hóa dữ liệu và cùng khóa đó để giải mã.

Điều này khác với mật mã khóa công khai, trong đó khóa công khai và khóa riêng tư hoạt động theo cặp.

Mã hóa đối xứng thường nhanh hơn mã hóa bất đối xứng và được sử dụng rộng rãi để lưu trữ dữ liệu, file ví, phiên nhắn tin an toàn, bản sao lưu đã mã hóa và bảo vệ cơ sở dữ liệu.

Trong ví crypto, mã hóa đối xứng thường được dùng để bảo vệ khóa riêng tư blockchain thực tế trên thiết bị lưu trữ.

Ví có thể nhận mật khẩu, xử lý mật khẩu bằng hàm dẫn xuất khóa, tạo khóa mã hóa rồi dùng khóa đó để mã hóa file khóa riêng tư.

Trong hầu hết thiết kế lưu trữ ví, khóa riêng tư blockchain của người dùng không được dùng làm khóa mã hóa đối xứng.

Thay vào đó, khóa riêng tư của ví là dữ liệu nhạy cảm cần được bảo vệ.

Sự phân biệt này giúp tránh nhầm lẫn giữa mã hóa khóa riêng tư trong mật mã học và lưu trữ khóa riêng tư dưới dạng mã hóa.

Mã hóa khóa riêng tư để bảo vệ khóa ví

Trong ví blockchain, mã hóa khóa riêng tư thường có nghĩa là mã hóa khóa riêng tư của ví trước khi lưu.

Ví có thể lưu khóa đã mã hóa trong cơ sở dữ liệu cục bộ, file keystore JSON, vùng bảo mật của điện thoại, kho lưu trữ của tiện ích mở rộng trình duyệt, bản sao lưu đám mây đã mã hóa hoặc bộ nhớ ví phần cứng.

Thuật toán mã hóa chuyển khóa riêng tư thô thành ciphertext.

Để giải mã sau đó, người dùng cần cung cấp mật khẩu, passphrase, bí mật được bảo vệ bằng sinh trắc học, xác nhận từ phần cứng hoặc phương thức khôi phục.

Tiêu chuẩn keystore ERC-2335 mô tả keystore là file JSON mã hóa khóa riêng tư và hỗ trợ trao đổi khóa riêng tư giữa các thiết bị.

Bitcoin Core cũng cung cấp tính năng mã hóa ví thông qua tài liệu RPC encryptwallet, giải thích rằng sau khi mã hóa, cần có passphrase để thực hiện các thao tác liên quan đến khóa riêng tư.

Các ví dụ này cho thấy mã hóa khóa riêng tư là một phần thông thường trong bảo mật ví.

Mục tiêu là khiến khóa đã lưu khó sử dụng hơn nếu ai đó lấy được file nhưng không có mật khẩu.

Mã hóa khóa riêng tư hoạt động như thế nào?

Quá trình mã hóa khóa riêng tư bắt đầu từ khóa riêng tư nhạy cảm hoặc bí mật liên quan đến seed cần được bảo vệ.

Sau đó, ví yêu cầu người dùng nhập mật khẩu hoặc sử dụng một nguồn bí mật khác.

Mật khẩu thường không được dùng trực tiếp làm khóa mã hóa vì mật khẩu do con người tạo thường có entropy thấp.

Thay vào đó, mật khẩu được xử lý thông qua hàm dẫn xuất khóa.

Khuyến nghị của NIST về dẫn xuất khóa dựa trên mật khẩu giải thích các kỹ thuật tạo khóa chính từ mật khẩu hoặc passphrase để bảo vệ dữ liệu điện tử được lưu trữ hoặc khóa bảo vệ dữ liệu.

Hàm dẫn xuất khóa khiến việc đoán mật khẩu trở nên tốn kém hơn bằng cách tăng chi phí tính toán, bộ nhớ, salt và số lần xử lý lặp lại.

Khóa mã hóa được dẫn xuất sau đó được dùng cùng thuật toán mã hóa để chuyển khóa riêng tư thành ciphertext.

Ví cũng có thể lưu siêu dữ liệu như salt, tham số dẫn xuất khóa, loại cipher và authentication tag hoặc mã xác thực thông điệp.

Khi người dùng mở khóa ví, cùng mật khẩu và tham số được dùng để tạo khóa giải mã và khôi phục khóa riêng tư vào bộ nhớ.

Khóa riêng tư dạng văn bản thuần và khóa riêng tư đã mã hóa

Khóa riêng tư dạng văn bản thuần được lưu ở định dạng có thể đọc.

Khóa riêng tư đã mã hóa được lưu ở dạng xáo trộn, không thể đọc nếu không có bí mật giải mã phù hợp.

Lưu trữ dưới dạng văn bản thuần rất nguy hiểm vì phần mềm độc hại, ảnh chụp màn hình, lịch sử clipboard, tiện ích mở rộng trình duyệt, công cụ đồng bộ đám mây hoặc bản sao lưu bất cẩn có thể làm lộ khóa.

Lưu trữ đã mã hóa giảm thiệt hại nếu file bị sao chép nhưng kẻ tấn công không biết mật khẩu.

Tuy nhiên, khóa đã mã hóa không an toàn nếu mật khẩu yếu hoặc được dùng lại.

Kẻ tấn công có thể chạy các cuộc tấn công dò mật khẩu trên file ví đã mã hóa bị đánh cắp.

Đó là lý do độ mạnh của mật khẩu và cài đặt dẫn xuất khóa rất quan trọng.

Thuật toán mã hóa mạnh không thể bảo vệ ví nếu người dùng chọn mật khẩu là cụm từ phổ biến, tên, ngày tháng hoặc mật khẩu đăng nhập được dùng lại.

Mã hóa khóa riêng tư bảo vệ dữ liệu lưu trữ, nhưng không thay thế các thói quen bảo mật tốt của người dùng.

Mã hóa khóa riêng tư và mật mã khóa công khai

Không nên nhầm mã hóa khóa riêng tư với mật mã khóa công khai.

Mật mã khóa công khai sử dụng một cặp khóa công khai và khóa riêng tư.

Trong hệ thống blockchain, khóa riêng tư ký giao dịch, còn khóa công khai hoặc địa chỉ giúp người khác xác minh quyền kiểm soát.

Theo nghĩa lưu trữ ví, mã hóa khóa riêng tư bảo vệ chính khóa riêng tư trong khi khóa được lưu.

File ví đã mã hóa không thay thế khóa riêng tư blockchain.

File này chỉ là một vật chứa được bảo vệ để lưu khóa riêng tư.

Khi ví cần ký giao dịch, ví phải giải mã khóa riêng tư hoặc sử dụng quy trình ký an toàn có quyền truy cập vào khóa.

Điều này có nghĩa mật mã khóa công khai kiểm soát quyền sở hữu trên blockchain, còn mã hóa khóa riêng tư bảo vệ bí mật cho phép thực hiện quyền đó.

Cả hai đều quan trọng nhưng giải quyết các vấn đề khác nhau.

Mã hóa khóa riêng tư và bảo vệ bằng mật khẩu

Bảo vệ bằng mật khẩu và mã hóa khóa riêng tư có liên quan nhưng không phải lúc nào cũng giống nhau.

Mật khẩu ví có thể chỉ khóa giao diện ứng dụng nếu ví không thực sự mã hóa an toàn dữ liệu khóa.

Mã hóa khóa riêng tư mạnh có nghĩa dữ liệu khóa nhạy cảm được bảo vệ bằng mật mã, chứ không chỉ bị ẩn sau màn hình đăng nhập.

Ví tốt nên sử dụng cơ chế dẫn xuất khóa dựa trên mật khẩu, mã hóa, kiểm tra tính toàn vẹn và phương thức lưu trữ an toàn.

Ví không nên lưu khóa riêng tư thô dưới dạng văn bản thuần trong khi chỉ dùng lời nhắc mật khẩu để khóa màn hình.

Người dùng nên ưu tiên ví giải thích rõ mô hình lưu trữ khóa.

Nhà phát triển nên tránh quảng bá tính năng bảo vệ bằng mật khẩu một cách mơ hồ như thể đó là mã hóa toàn diện, nếu dữ liệu khóa bên dưới thực tế không được mã hóa.

Với tài sản có giá trị cao, người dùng cũng nên cân nhắc ví phần cứng hoặc cơ chế đa chữ ký, thay vì chỉ dựa vào mật khẩu ứng dụng.

Mật khẩu có thể là một phần của quy trình mã hóa nhưng không phải toàn bộ thiết kế bảo mật.

Mã hóa khóa riêng tư và bảo vệ seed phrase

Seed phrase là bản sao lưu có thể đọc được bằng mắt thường, có khả năng khôi phục một hoặc nhiều khóa riêng tư.

Mã hóa khóa riêng tư của ví không tự động mã hóa seed phrase được viết trên giấy, lưu trong ảnh, ứng dụng ghi chú hoặc tải lên dịch vụ lưu trữ đám mây.

Đây là lỗi phổ biến của người dùng.

Ví có thể mã hóa file khóa riêng tư cục bộ, nhưng người dùng vẫn có thể làm lộ seed phrase ở nơi khác.

Nếu lấy được seed phrase, kẻ tấn công thường có thể khôi phục ví mà không cần file cục bộ đã mã hóa.

Cần bảo vệ seed phrase theo cách riêng.

Người dùng nên lưu seed phrase ngoại tuyến, tránh chụp ảnh màn hình, tránh lưu trên ghi chú đám mây, tránh gửi qua tin nhắn và cân nhắc dùng bản sao lưu kim loại để lưu trữ lâu dài.

Một số người dùng cũng sử dụng passphrase bổ sung cho ví hoặc hệ thống sao lưu chia sẻ bí mật, nhưng cần thiết lập cẩn thận.

Mã hóa khóa riêng tư rất hữu ích, nhưng bảo mật seed phrase vẫn tối quan trọng.

File keystore

File keystore là file đã mã hóa, lưu khóa riêng tư hoặc khóa validator theo một định dạng có cấu trúc.

File keystore theo chuẩn Ethereum thường sử dụng JSON với các trường mô tả cipher, hàm dẫn xuất khóa, salt, tham số và bí mật đã mã hóa.

Định dạng Web3 Secret Storage của Ethereum là ví dụ nổi tiếng dành cho khóa riêng tư của tài khoản.

ERC-2335 là một định dạng keystore khác dành cho khóa BLS12-381, đặc biệt trong bối cảnh validator Ethereum.

File keystore có tính linh động vì có thể được chuyển giữa các công cụ tương thích.

Tính linh động này hữu ích nhưng cũng tạo ra rủi ro.

Nếu ai đó sao chép file keystore và đoán được mật khẩu, họ có thể khôi phục khóa riêng tư.

Người dùng nên coi file keystore là bản sao lưu nhạy cảm, ngay cả khi file đã được mã hóa.

Nhà phát triển nên sử dụng tham số KDF mạnh cùng mã hóa có xác thực hoặc cơ chế kiểm tra tính toàn vẹn để ngăn việc sửa đổi âm thầm.

File keystore an toàn hơn khóa thô, nhưng vẫn nguy hiểm nếu bị xử lý bất cẩn.

Dẫn xuất khóa dựa trên mật khẩu

Dẫn xuất khóa dựa trên mật khẩu là quá trình chuyển mật khẩu do con người đặt thành khóa mật mã.

Quá trình này rất quan trọng vì hầu hết mật khẩu do con người tạo không đủ ngẫu nhiên để dùng trực tiếp làm khóa mã hóa.

Hàm dẫn xuất khóa có thể sử dụng salt để ngăn kẻ tấn công tái sử dụng bảng mật khẩu tính sẵn.

Hàm này cũng có thể sử dụng nhiều vòng lặp hoặc phép tính tiêu tốn nhiều bộ nhớ để làm chậm nỗ lực dò mật khẩu.

Các KDF phổ biến trong bối cảnh ví gồm PBKDF2 và scrypt, tùy theo tiêu chuẩn và cách triển khai.

Định dạng Web3 Secret Storage của Ethereum yêu cầu các triển khai tuân thủ tối thiểu hỗ trợ PBKDF2, đồng thời hỗ trợ tham số xác định cách thực hiện quá trình dẫn xuất.

Cài đặt KDF mạnh hơn khiến việc bẻ khóa mật khẩu khó hơn, nhưng cũng có thể làm quá trình mở khóa ví chậm hơn trên thiết bị công suất thấp.

Nhà thiết kế ví phải cân bằng giữa bảo mật và tính tiện dụng.

Người dùng nên chọn mật khẩu dài và độc nhất vì KDF không thể bảo vệ hoàn toàn mật khẩu yếu.

Mật khẩu vẫn là thành phần chính của hệ thống mã hóa do con người kiểm soát.

Thuật toán mã hóa dùng cho khóa ví

Ví có thể sử dụng các thuật toán mã hóa đối xứng phổ biến để bảo vệ khóa riêng tư.

Một thiết kế phổ biến là sử dụng chế độ AES với khóa được tạo từ mật khẩu của người dùng.

Thuật toán chính xác phụ thuộc vào ví, tiêu chuẩn và hệ sinh thái.

Người dùng thường không cần tự chọn cipher.

Nhà phát triển và nhà cung cấp ví phải chọn thuật toán cùng tham số an toàn.

Họ nên tránh cipher lỗi thời, thiết kế mã hóa tùy chỉnh, tạo số ngẫu nhiên yếu và mã hóa không xác thực, không thể phát hiện hành vi giả mạo.

Mã hóa khóa riêng tư hiện đại cần bảo vệ tính bí mật và tính toàn vẹn.

Tính bí mật có nghĩa kẻ tấn công không thể đọc khóa riêng tư.

Tính toàn vẹn có nghĩa ví có thể phát hiện file đã mã hóa bị sửa đổi.

Ví mã hóa dữ liệu nhưng không thể phát hiện việc giả mạo vẫn có thể khiến người dùng gặp các tình huống lỗi nguy hiểm.

Ví phần cứng và mã hóa khóa riêng tư

Ví phần cứng bảo vệ khóa riêng tư bằng cách lưu khóa trong một thiết bị chuyên dụng, được thiết kế để cách ly bí mật khỏi máy tính đa dụng.

Mã hóa khóa riêng tư vẫn có thể được dùng bên trong hoặc xung quanh hệ thống ví phần cứng, nhưng biện pháp bảo vệ chính là giữ khóa ký tách biệt khỏi thiết bị kết nối Internet.

Khi người dùng ký giao dịch bằng ví phần cứng, khóa riêng tư phải nằm bên trong thiết bị.

Máy tính hoặc điện thoại gửi dữ liệu giao dịch đến ví phần cứng.

Ví phần cứng hiển thị chi tiết để người dùng phê duyệt rồi ký giao dịch ngay bên trong thiết bị.

Điều này giảm nguy cơ bị phần mềm độc hại trên máy tính kết nối xâm nhập.

Tuy nhiên, ví phần cứng không phải giải pháp vạn năng.

Người dùng vẫn cần bảo vệ seed phrase, xác minh chi tiết giao dịch, mua thiết bị từ nguồn đáng tin cậy, cập nhật firmware cẩn thận và tránh phishing.

Nếu bản sao lưu seed phrase bị lộ, việc bảo vệ khóa bên trong ví phần cứng có thể không còn ý nghĩa.

Ví phần cứng phát huy hiệu quả nhất khi kết hợp với bảo mật bản sao lưu mạnh và thói quen ký giao dịch cẩn thận.

Mã hóa khóa riêng tư trong ví di động

Ví di động thường sử dụng các tính năng bảo mật cấp thiết bị để bảo vệ khóa riêng tư đã mã hóa.

Các tính năng này có thể gồm secure enclave, mở khóa bằng sinh trắc học, sandbox ứng dụng, keystore được bảo vệ bằng phần cứng và mã hóa của hệ điều hành.

Sinh trắc học thường mở khóa quyền truy cập vào một bí mật chứ không tự thay thế khóa mật mã.

Vân tay hoặc nhận diện khuôn mặt thuận tiện, nhưng ví vẫn cần sử dụng cơ chế mã hóa và lưu trữ khóa phù hợp ở bên dưới.

Ví di động đối mặt với các rủi ro như ứng dụng độc hại, lớp phủ màn hình, đánh cắp clipboard, sao lưu đám mây, tấn công hoán đổi SIM, liên kết phishing và thiết bị bị xâm nhập.

Người dùng nên cập nhật điện thoại, tránh cài ứng dụng đáng ngờ, đặt mật mã thiết bị mạnh và không lưu seed phrase trong ảnh hoặc ghi chú.

Mã hóa khóa riêng tư có thể hữu ích nếu điện thoại bị mất hoặc sao chép, nhưng có thể không giúp ích nếu phần mềm độc hại ghi lại mật khẩu khi ví đang mở khóa.

Số tiền lưu trữ nên phù hợp với mức độ tiện lợi của ví di động.

Tài sản nắm giữ dài hạn có giá trị cao thường được bảo vệ tốt hơn bằng hình thức lưu trữ lạnh hoặc thiết lập đa chữ ký.

Mã hóa khóa riêng tư trong ví trình duyệt

Ví trình duyệt thường mã hóa khóa riêng tư hoặc dữ liệu seed trong một kho cục bộ được kiểm soát bằng mật khẩu người dùng.

Điều này giúp ví trình duyệt thuận tiện khi sử dụng DeFi, NFT, game và tương tác với hợp đồng thông minh.

Điều này cũng tạo ra bề mặt tấn công lớn vì ví trình duyệt liên tục tương tác với các trang web.

Trang web độc hại thường không thể đọc trực tiếp kho đã mã hóa, nhưng có thể lừa người dùng ký giao dịch gây hại sau khi ví được mở khóa.

Tiện ích mở rộng trình duyệt độc hại cũng có thể gây rủi ro nghiêm trọng nếu truy cập được dữ liệu ví hoặc nội dung trang.

Người dùng chỉ nên cài tiện ích đáng tin cậy, xem xét quyền truy cập, tránh tải ví giả mạo và kiểm tra kỹ yêu cầu giao dịch.

Mã hóa khóa riêng tư bảo vệ bí mật đã lưu nhưng không bảo vệ người dùng khỏi việc phê duyệt hành động độc hại.

Đối với ví trình duyệt, an toàn khi ký giao dịch cũng quan trọng như mã hóa dữ liệu lưu trữ.

Người dùng nên tách ví nhỏ dùng thường xuyên khỏi ví lưu trữ dài hạn.

Điều này giảm thiệt hại nếu môi trường trình duyệt bị xâm nhập.

Mã hóa khóa riêng tư trong hệ thống lưu ký

Hệ thống lưu ký crypto quản lý khóa riêng tư thay mặt người dùng.

Trong các hệ thống này, người dùng có thể không trực tiếp kiểm soát khóa riêng tư.

Đơn vị lưu ký nên mã hóa khóa, sử dụng mô-đun bảo mật phần cứng, áp dụng kiểm soát truy cập, giám sát hoạt động ký và phân tách nhiệm vụ giữa các nhân sự vận hành.

Hướng dẫn quản lý khóa của OWASP khuyến nghị không lưu khóa mật mã dưới dạng văn bản thuần và cần bảo vệ khóa bằng các phương thức quản lý an toàn.

Mã hóa khóa trong hệ thống lưu ký khác với mã hóa ví tự lưu ký vì người dùng phải tin tưởng vào các biện pháp kiểm soát của đơn vị lưu ký.

Đơn vị lưu ký vững mạnh có thể sử dụng chữ ký ngưỡng, ví đa chữ ký, lưu trữ lạnh, phê duyệt rút tiền, kiểm toán và thỏa thuận bảo hiểm.

Đơn vị lưu ký yếu có thể mã hóa khóa nhưng lại kiểm soát truy cập nội bộ kém.

Mã hóa hữu ích, nhưng bảo mật lưu ký còn phụ thuộc vào quản trị, vận hành, tuân thủ, giám sát và ứng phó sự cố.

Người dùng nên tìm hiểu mình tự kiểm soát khóa riêng tư hay phụ thuộc vào bên thứ ba.

Mã hóa khóa riêng tư và ví đa chữ ký

Ví đa chữ ký cần nhiều hơn một khóa để phê duyệt giao dịch.

Mã hóa khóa riêng tư vẫn quan trọng trong hệ thống đa chữ ký vì khóa của từng người ký cần được bảo vệ.

Ví đa chữ ký có thể giảm rủi ro một khóa bị đánh cắp dẫn đến thất thoát tài sản.

Tuy nhiên, nếu nhiều khóa ký được lưu trữ không an toàn hoặc mọi bản sao lưu đều được giữ ở cùng một nơi, mức bảo vệ sẽ suy yếu.

Mỗi người ký nên sử dụng phương thức lưu khóa an toàn, mã hóa mạnh và thực tiễn sao lưu an toàn.

Tổ chức nên phân chia vai trò người ký giữa các cá nhân, địa điểm và thiết bị.

Tổ chức cũng nên ghi lại quy trình khôi phục, thay thế người ký và ứng phó khẩn cấp.

Mã hóa khóa riêng tư bảo vệ khóa của từng người ký, còn đa chữ ký giúp ví không phụ thuộc vào một khóa duy nhất.

Hai phương pháp này bổ trợ cho nhau.

Kho bạc có giá trị cao thường sử dụng cả lưu trữ khóa đã mã hóa lẫn biện pháp kiểm soát chính sách đa chữ ký.

Mã hóa khóa riêng tư và ví MPC

MPC là viết tắt của multi-party computation (tính toán đa bên).

Trong ví MPC, dữ liệu khóa có thể được chia thành các phần để không thiết bị hoặc bên nào nắm toàn bộ khóa riêng tư ở một nơi.

Mã hóa khóa riêng tư vẫn có thể được sử dụng để bảo vệ từng phần khóa khi lưu trữ.

MPC có thể giảm nguy cơ một thiết bị bị đánh cắp làm lộ toàn bộ khóa ký.

MPC cũng có thể hỗ trợ khôi phục và kiểm soát chính sách cho đội ngũ hoặc tổ chức.

Tuy nhiên, MPC không loại bỏ mọi rủi ro.

Người dùng vẫn cần bảo vệ thiết bị, yếu tố xác thực, bản sao lưu đám mây, quy trình khôi phục và chính sách ký.

Nếu đủ số phần khóa bị xâm phạm, kẻ tấn công vẫn có thể kiểm soát ví.

Nếu quy tắc khôi phục quá yếu, kẻ tấn công có thể dùng kỹ thuật thao túng tâm lý để giành quyền truy cập.

MPC cải thiện kiến trúc khóa, nhưng mã hóa và bảo mật vận hành vẫn cần thiết.

Mã hóa khóa riêng tư và bản sao lưu đám mây

Một số ví cung cấp bản sao lưu đám mây đã mã hóa để khôi phục.

Tính năng này có thể giúp người dùng tránh mất tài sản khi điện thoại bị mất hoặc hỏng.

Tuy nhiên, bản sao lưu đám mây tạo ra rủi ro mới vì dữ liệu khóa đã mã hóa có thể được lưu tại nhà cung cấp dịch vụ đám mây bên thứ ba.

Nếu mật khẩu sao lưu yếu, kẻ tấn công có thể tìm cách bẻ khóa bản sao lưu sau khi đánh cắp hoặc truy cập được dữ liệu.

Nếu quy trình khôi phục tài khoản yếu, kẻ tấn công có thể xâm nhập tài khoản đám mây của người dùng.

Nếu nhà cung cấp ví kiểm soát một phần quy trình khôi phục, mô hình niềm tin có thể khác với tự lưu ký hoàn toàn.

Người dùng nên hiểu chính xác nội dung nào được sao lưu, ai có thể truy cập, mật khẩu nào bảo vệ dữ liệu và quy trình khôi phục hoạt động ra sao.

Bản sao lưu đám mây đã mã hóa an toàn hơn bản sao lưu đám mây ở dạng văn bản thuần, nhưng không tự động an toàn ngang với lưu trữ ngoại tuyến.

Cần cân nhắc kỹ giữa tính tiện lợi và bảo mật.

Người dùng không bao giờ nên cho rằng mã hóa đám mây loại bỏ mọi rủi ro sao lưu.

Các cuộc tấn công phổ biến nhắm vào khóa riêng tư đã mã hóa

Cuộc tấn công phổ biến đầu tiên là dò mật khẩu.

Nếu đánh cắp được file ví đã mã hóa, kẻ tấn công có thể thử nhiều mật khẩu cho đến khi tìm được mật khẩu chính xác.

Cuộc tấn công thứ hai là phishing.

Ví hoặc trang web giả mạo có thể yêu cầu người dùng nhập mật khẩu, seed phrase hoặc khóa riêng tư.

Cuộc tấn công thứ ba là phần mềm độc hại.

Phần mềm độc hại có thể chờ đến khi ví được mở khóa rồi đánh cắp khóa đã giải mã hoặc ký giao dịch.

Cuộc tấn công thứ tư là chiếm quyền clipboard.

Phần mềm độc hại có thể thay thế địa chỉ ví hoặc thu thập bí mật được sao chép.

Cuộc tấn công thứ năm là xâm nhập đám mây.

Kẻ tấn công có thể lấy bản sao lưu đã mã hóa rồi thử bẻ khóa ngoại tuyến.

Cuộc tấn công thứ sáu là thao túng tâm lý.

Kẻ tấn công có thể lừa người dùng hoặc đội ngũ hỗ trợ đặt lại quyền truy cập hoặc tiết lộ thông tin khôi phục.

Cuộc tấn công thứ bảy là tạo số ngẫu nhiên yếu.

Nếu khóa riêng tư ban đầu được tạo không an toàn, mã hóa không thể khắc phục khóa yếu đó.

Hạn chế của mã hóa khóa riêng tư

Mã hóa khóa riêng tư bảo vệ khóa khi lưu trữ, nhưng không bảo vệ khóa trong mọi thời điểm sử dụng.

Khi ví ký giao dịch, khóa hoặc khả năng ký phải khả dụng cho quy trình ký.

Nếu thiết bị bị xâm nhập vào thời điểm đó, mã hóa có thể không ngăn được việc đánh cắp hoặc ký giao dịch độc hại.

Mã hóa cũng không thể khôi phục mật khẩu đã mất nếu không có hệ thống khôi phục.

Người dùng mã hóa ví rồi quên mật khẩu có thể mất quyền truy cập vĩnh viễn.

Mã hóa không thể cho người dùng biết giao dịch có an toàn hay không.

Người dùng vẫn có thể mở khóa ví và phê duyệt hợp đồng độc hại.

Mã hóa không bảo vệ được seed phrase đã được lưu riêng dưới dạng văn bản thuần.

Mã hóa không thể khiến ứng dụng ví giả mạo trở nên đáng tin cậy.

Mã hóa khóa riêng tư là yếu tố thiết yếu nhưng chỉ là một phần của bảo mật crypto toàn diện.

Thực tiễn tốt nhất dành cho người dùng

Người dùng nên chọn mật khẩu dài, độc nhất cho ví đã mã hóa và file keystore.

Không bao giờ nên dùng lại mật khẩu email, mạng xã hội, sàn giao dịch hoặc trang web khác.

Nên lưu seed phrase ngoại tuyến và không bao giờ tải lên ghi chú đám mây, ứng dụng trò chuyện, ảnh chụp màn hình hoặc email.

Nên cập nhật phần mềm ví và chỉ tải xuống từ nguồn chính thức.

Khi có thể, nên sử dụng ví phần cứng để lưu trữ tài sản có giá trị cao.

Nên tách ví chi tiêu hằng ngày khỏi ví lưu trữ dài hạn.

Nên thử khôi phục ví trước khi lưu trữ số tiền lớn, sử dụng quy trình an toàn và số tiền nhỏ.

Khi phù hợp, nên sao lưu file keystore đã mã hóa và seed phrase ở các địa điểm an toàn riêng biệt.

Nên xem file ví đã mã hóa là dữ liệu nhạy cảm, không phải dữ liệu vô hại.

Nên nhớ rằng bất kỳ ai biết mật khẩu và có file đã mã hóa đều có thể khôi phục khóa.

Thực tiễn tốt nhất dành cho nhà phát triển

Nhà phát triển không bao giờ được lưu khóa riêng tư dưới dạng văn bản thuần.

Nên dùng thư viện mật mã đã được đánh giá kỹ thay vì tự viết mã hóa.

Nên áp dụng cơ chế dẫn xuất khóa dựa trên mật khẩu mạnh, cùng salt và tham số chi phí phù hợp.

Nên dùng mã hóa có xác thực hoặc kiểm tra tính toàn vẹn để phát hiện hành vi giả mạo.

Nên bảo vệ khóa đã giải mã trong bộ nhớ và xóa các vùng đệm nhạy cảm khi có thể.

Không nên ghi khóa riêng tư, seed phrase, mật khẩu hoặc dữ liệu ví đã giải mã vào nhật ký.

Nên thiết kế quy trình khôi phục không âm thầm làm suy yếu tính tự lưu ký.

Nên hiển thị lời nhắc rõ ràng khi người dùng xuất, giải mã, sao lưu hoặc tiết lộ dữ liệu nhạy cảm.

Nên mô tả định dạng mã hóa, tham số KDF và các giả định về bản sao lưu bằng ngôn ngữ dễ hiểu.

Nên xem quản lý khóa là tính năng bảo mật cốt lõi, không phải phần bổ sung về sau.

Mã hóa khóa riêng tư và trải nghiệm người dùng

Mã hóa khóa riêng tư có thể gây bất tiện vì người dùng phải nhớ mật khẩu, quản lý bản sao lưu và hiểu các rủi ro khôi phục.

Quy trình quá bất tiện có thể khiến người dùng ghi mật khẩu ở nơi không an toàn hoặc lưu seed phrase trên mạng.

Quy trình quá đơn giản có thể khiến ví dễ bị xâm nhập.

Thiết kế ví tốt nên giúp hành vi an toàn trở nên dễ dàng hơn hành vi không an toàn.

Các biện pháp có thể gồm hướng dẫn tạo mật khẩu mạnh, cảnh báo về bản sao lưu đã mã hóa, hỗ trợ ví phần cứng, kiểm tra khôi phục, cảnh báo rõ ràng khi xuất dữ liệu và giải thích giao dịch đơn giản.

Ví nên tránh hiển thị khóa riêng tư thô, trừ khi người dùng hiểu rõ nguy hiểm.

Ví cũng nên cảnh báo người dùng rằng file đã mã hóa vẫn cần mật khẩu an toàn.

Mã hóa mạnh nhưng đi kèm trải nghiệm người dùng khó hiểu vẫn có thể thất bại trên thực tế.

Bảo mật crypto phụ thuộc cả vào toán học lẫn hành vi con người.

Mã hóa khóa riêng tư hoạt động hiệu quả nhất khi người dùng hiểu nó bảo vệ điều gì và không bảo vệ điều gì.

Những hiểu lầm thường gặp về mã hóa khóa riêng tư

Một hiểu lầm là ví đã mã hóa không thể bị đánh cắp.

File ví đã mã hóa vẫn có thể bị đánh cắp, sao chép và tấn công ngoại tuyến.

Một hiểu lầm khác là mã hóa bảo vệ tài sản sau khi ví được mở khóa.

Nếu phần mềm độc hại kiểm soát thiết bị trong lúc ký giao dịch, mã hóa dữ liệu khi lưu trữ có thể không ngăn được tổn thất.

Một hiểu lầm khác là mật khẩu ví giống seed phrase.

Mật khẩu ví thường mở khóa dữ liệu cục bộ đã mã hóa, còn seed phrase có thể khôi phục ví.

Một hiểu lầm khác là mã hóa khóa riêng tư giống mật mã khóa riêng tư.

Trong bảo mật ví, thuật ngữ này có nghĩa là mã hóa khóa riêng tư của ví; còn trong mật mã học nói chung, nó có thể chỉ mã hóa đối xứng.

Một hiểu lầm khác là mã hóa mạnh có thể bù đắp cho mật khẩu yếu.

Mật khẩu yếu thường có thể bị đoán ra nếu kẻ tấn công lấy được file ví đã mã hóa.

Câu hỏi thường gặp

Mã hóa khóa riêng tư nghĩa là gì?

Mã hóa khóa riêng tư có thể chỉ mã hóa khóa đối xứng trong mật mã học nói chung hoặc quá trình mã hóa khóa riêng tư của ví blockchain để lưu trữ an toàn hơn.

Vì sao mã hóa khóa riêng tư quan trọng với ví crypto?

Mã hóa khóa riêng tư quan trọng vì khóa riêng tư kiểm soát tài sản blockchain, còn mã hóa giúp bảo vệ khóa nếu file ví hoặc thiết bị bị lộ.

Mã hóa khóa riêng tư có khiến ví hoàn toàn an toàn không?

Không. Mã hóa bảo vệ khóa được lưu trữ, nhưng người dùng vẫn đối mặt với rủi ro từ mật khẩu yếu, phần mềm độc hại, phishing, seed phrase bị lộ và giao dịch độc hại.

File keystore đã mã hóa là gì?

File keystore đã mã hóa là file có cấu trúc, lưu khóa riêng tư dưới dạng mã hóa cùng các tham số cần thiết để giải mã bằng đúng mật khẩu.

Kẻ tấn công có thể bẻ khóa riêng tư đã mã hóa không?

Kẻ tấn công có thể thử bẻ khóa bằng cách đoán mật khẩu. Vì vậy, mật khẩu mạnh và cài đặt dẫn xuất khóa vững chắc rất quan trọng.

Mật khẩu ví có giống khóa riêng tư không?

Không. Mật khẩu ví thường giải mã dữ liệu ví cục bộ, còn khóa riêng tư là bí mật mật mã kiểm soát việc ký trên blockchain.

Seed phrase có được mã hóa mặc định không?

Không nhất thiết. Seed phrase được viết ra, chụp ảnh hoặc lưu trong ghi chú không được bảo vệ bởi cơ chế mã hóa cục bộ của ví.

Ví phần cứng có mã hóa khóa riêng tư không?

Ví phần cứng có thể bảo vệ khóa bên trong thiết bị, nhưng lợi ích bảo mật chính là giữ khóa riêng tư cách ly khỏi các thiết bị đa dụng có kết nối Internet.

Điều gì xảy ra nếu tôi quên mật khẩu của ví đã mã hóa?

Nếu không có phương thức khôi phục hợp lệ, quên mật khẩu có thể khiến khóa riêng tư đã mã hóa không thể sử dụng và tài sản có thể bị mất.

Tôi có nên lưu khóa riêng tư đã mã hóa trên đám mây không?

Lưu trữ đám mây an toàn hơn khi dữ liệu được mã hóa mạnh, nhưng người dùng vẫn cần cân nhắc độ mạnh của mật khẩu, bảo mật tài khoản đám mây, nguy cơ lộ bản sao lưu và rủi ro khôi phục.

Cách an toàn nhất để bảo vệ khóa riêng tư là gì?

Phương pháp an toàn nhất thường kết hợp mã hóa mạnh, bản sao lưu seed phrase ngoại tuyến, ví phần cứng, thiết bị an toàn, thao tác ký cẩn thận và cơ chế đa chữ ký cho tài sản có giá trị cao.

Mã hóa khóa riêng tư có thể ngăn phishing không?

Không. Mã hóa không thể ngăn người dùng nhập seed phrase vào trang web giả mạo hoặc phê duyệt giao dịch độc hại sau khi mở khóa ví.

Kết luận

Mã hóa khóa riêng tư là khái niệm bảo mật crypto quan trọng với hai ý nghĩa phổ biến: mã hóa khóa đối xứng trong mật mã học nói chung và lưu trữ khóa riêng tư blockchain dưới dạng mã hóa trong hệ thống ví.

Với hầu hết người dùng crypto, ý nghĩa thực tế là bảo vệ khóa riêng tư, file keystore, khóa validator hoặc bản sao lưu của ví để chúng không được lưu ở định dạng có thể đọc.

Mã hóa khóa riêng tư mạnh sử dụng thuật toán đã được chứng minh, cơ chế dẫn xuất khóa dựa trên mật khẩu, salt, kiểm tra tính toàn vẹn, phương thức lưu trữ an toàn và cách xử lý cẩn thận dữ liệu khóa đã giải mã.

Mã hóa giúp bảo vệ người dùng khi thiết bị, file hoặc bản sao lưu bị lộ, nhưng không thay thế việc bảo vệ seed phrase, ví phần cứng, xem xét giao dịch, chống phần mềm độc hại hoặc thói quen sao lưu tốt.

Người dùng nên hiểu rằng mã hóa bảo vệ khóa khi lưu trữ, còn an toàn khi ký giao dịch bảo vệ khóa và tài sản trong quá trình sử dụng ví.

Nhà phát triển nên coi mã hóa khóa riêng tư là phần cốt lõi trong thiết kế ví và tránh mật khẩu yếu, lưu trữ dạng văn bản thuần, mật mã tự tạo, quy trình khôi phục thiếu rõ ràng và các giả định ngầm về xử lý khóa.

Cách hiểu đơn giản nhất là mã hóa khóa riêng tư khóa bí mật kiểm soát ví crypto bên trong dữ liệu đã mã hóa, nhưng mức độ bảo vệ chỉ mạnh bằng mật khẩu, cách triển khai, bảo mật thiết bị và quy trình khôi phục đi kèm.