Khoảng cách giữa tuyên bố và kiến trúc
Cập nhật cho năm 2026
Mọi nhà cung cấp đám mây đều nói cùng một điều: «Chúng tôi mã hóa dữ liệu của bạn». Tuyên bố đó gần như luôn luôn đúng. Và gần như luôn luôn chưa đủ.
Vi phạm LastPass năm 2022 là ví dụ hùng hồn nhất. LastPass mã hóa các vault mật khẩu của người dùng bằng mã hóa thực sự: tuyên bố là chính xác. Tuy nhiên, 25 triệu người dùng đã có các vault của họ bị đánh cắp. Đến năm 2025, 438 triệu đô la đã bị đánh cắp từ người dùng LastPass trong các vụ trộm tiền mã hóa, theo dõi của Coinbase Institutional.
Văn phòng Ủy viên Thông tin Vương quốc Anh đã phạt thực thể Anh của LastPass 1,2 triệu bảng Anh vào tháng 12 năm 2025. Lý do: «không thực hiện các biện pháp bảo mật kỹ thuật và tổ chức phù hợp». Mã hóa là có thật — nhưng nó không đáp ứng tiêu chuẩn được yêu cầu.
Vụ LastPass biến câu hỏi quan trọng cho bất kỳ công cụ bảo mật đám mây nào thành: không phải «họ có mã hóa dữ liệu của chúng ta không?» mà là: «họ có thể giải mã dữ liệu của chúng ta không?»
Bốn câu hỏi thực sự quan trọng
Bốn câu hỏi tiết lộ liệu các tuyên bố zero-knowledge của nhà cung cấp có vững chắc không.
1. Việc dẫn xuất khóa xảy ra ở đâu?
Trong một thiết kế zero-knowledge xác thực, việc dẫn xuất khóa xảy ra trên client — trong trình duyệt hoặc ứng dụng máy tính — trước khi bất kỳ dữ liệu nào được gửi. Khóa mã hóa dữ liệu cục bộ; chỉ có văn bản được mã hóa mới đến máy chủ của nhà cung cấp.
Nếu nhà cung cấp dẫn xuất khóa trên máy chủ của họ, các khóa trong tay họ — và nếu họ giữ chúng, họ có thể giải mã. Tuyên bố có thể chính xác, nhưng nó gây hiểu nhầm.
2. Nhà cung cấp có bao giờ thấy văn bản thuần túy không?
Một số công cụ mã hóa dữ liệu khi nghỉ, nhưng giải mã chúng để xử lý: để chạy các mô hình AI, tạo chỉ mục tìm kiếm hoặc tạo nhật ký kiểm toán. Trong cửa sổ đó, văn bản thuần túy nằm trên hệ thống của nhà cung cấp — và một cuộc tấn công vào thời điểm đó lộ dữ liệu không được mã hóa.
3. Điều gì xảy ra trong trường hợp tố tụng pháp lý?
Một nhà cung cấp có khóa phía máy chủ có thể bị buộc phải giao nộp nội dung được giải mã. Một nhà cung cấp với kiến trúc zero-knowledge thực sự chỉ có thể sản xuất văn bản được mã hóa: họ không có gì hữu ích để giao nộp, ngay cả theo lệnh.
4. Một sự xâm phạm máy chủ hoàn toàn lộ ra gì?
Trong một hệ thống zero-knowledge thực sự, một sự xâm phạm hoàn toàn chỉ tạo ra các blob được mã hóa: kẻ tấn công nhận được văn bản được mã hóa mà không có khóa. Trong một hệ thống có khóa phía nhà cung cấp, một vụ xâm nhập đồng thời lộ cả khóa và dữ liệu.
Lỗ hổng triển khai của LastPass
Sự cố LastPass tiết lộ một khiếm khuyết cụ thể: các tài khoản cũ hơn sử dụng PBKDF2 với chỉ 1 lần lặp để dẫn xuất khóa. Con số an toàn là 600.000 lần lặp. Cấu hình yếu đó làm cho các cuộc tấn công brute-force trên các vault bị đánh cắp có thể thực hiện được.
Điều này chứng minh tại sao chỉ kiểm tra thiết kế là không đủ. Một nhà cung cấp có thể áp dụng thiết kế zero-knowledge và triển khai nó kém. Cần phải xác minh cả hai: nơi khóa được dẫn xuất và thuật toán mạnh đến mức nào.
Một chế độ thất bại khác: Okta
Vào tháng 10 năm 2023, Okta đã tiết lộ vụ rò rỉ 600.000+ hồ sơ hệ thống hỗ trợ khách hàng. Okta là nền tảng bảo mật danh tính — đây không phải là lỗi thiết kế zero-knowledge, mà là một vụ xâm nhập hệ thống hỗ trợ chứa dữ liệu khách hàng.
Mức tăng 300% các cuộc tấn công nền tảng SaaS vào năm 2024 (AppOmni/CSA) phản ánh cả hai loại thất bại. Thiết kế zero-knowledge giải quyết loại đầu tiên, nhưng không loại bỏ tất cả rủi ro. Tuy nhiên, nó đảm bảo rằng một sự xâm phạm hệ thống hoàn toàn không lộ dữ liệu khách hàng có thể giải mã được.
Cách tiến hành đánh giá thực tế
Đây là danh sách kiểm tra thực tế cho các đội mua hàng và bảo mật.
Xem xét kiến trúc:
- Hỏi nơi việc dẫn xuất khóa xảy ra — trên client hay máy chủ của nhà cung cấp
- Yêu cầu thuật toán mã hóa, độ dài khóa và số lần lặp
- Xác nhận rằng văn bản thuần túy không bao giờ được gửi đến máy chủ của nhà cung cấp
Kiểm tra tình huống xâm phạm:
- Hỏi một sự xâm phạm máy chủ hoàn toàn sẽ lộ ra gì
- Câu trả lời duy nhất đúng: «văn bản được mã hóa mà chúng tôi không thể giải mã»
- Bất kỳ câu trả lời nào khác có nghĩa là tuyên bố zero-knowledge không có thật
Xem xét tố tụng pháp lý:
- Hỏi liệu nhà cung cấp có thể tuân thủ lệnh về văn bản thuần túy của khách hàng không
- Một nhà cung cấp zero-knowledge xác thực không thể sản xuất những gì họ không sở hữu
Xác minh tuân thủ:
- Yêu cầu tài liệu Điều 32 GDPR của nhà cung cấp
- ISO 27001 — đặc biệt là các biện pháp kiểm soát mã hóa Phụ lục A — cung cấp xác minh bên ngoài
Khoản phạt 1,2 triệu bảng Anh của ICO đối với LastPass chứng minh rằng các cơ quan quản lý ngày nay xác minh liệu các tuyên bố mã hóa có đáp ứng tiêu chuẩn được yêu cầu không. Các đội mua hàng có thể áp dụng cùng một bài kiểm tra trước khi xảy ra sự cố.
Xem tổng quan bảo mật và tuân thủ của chúng tôi để biết cách anonym.legal xử lý cấu trúc zero-knowledge. Tài liệu tuân thủ bao gồm Điều 32 GDPR chi tiết. Đối với các câu hỏi thường gặp, hãy xem Câu hỏi thường gặp về zero-knowledge.