Giới thiệu dự án

Trong kỷ nguyên chuyển đổi số, dữ liệu trở thành tài sản chiến lược của các tổ chức tài chính, viễn thông, y tế và chính phủ. Theo các báo cáo an ninh mạng toàn cầu, hơn 80% các vụ rò rỉ thông tin nghiêm trọng bắt nguồn từ việc quản trị cơ sở dữ liệu lỏng lẻo, lưu trữ dữ liệu dưới dạng văn bản rõ (cleartext) hoặc truyền tải không mã hóa trên mạng nội bộ. Hệ quản trị cơ sở dữ liệu quan hệ mã nguồn mở PostgreSQL (RDBMS) được tin dùng rộng rãi nhờ độ tin cậy và khả năng mở rộng (hỗ trợ bảng lên đến 32 TB, cột 1.6 TB, trường 1 GB và không giới hạn dung lượng cơ sở dữ liệu). Tuy nhiên, việc vận hành PostgreSQL trong môi trường phân tán luôn đối mặt với các nguy cơ tấn công đánh cắp dữ liệu lưu trữ vật lý (Data at Rest) và nghe lén trên đường truyền mạng (Data in Transit).

+-----------------------------------------------------------------------------+
|                           MÔ HÌNH THÁCH THỨC AN NINH                        |
|                                                                             |
|  [ Kẻ tấn công nội bộ / Đánh cắp ổ cứng ] ---> [ Dữ liệu rõ trên Disk ]    |
|                                                        | (Rò rỉ dữ liệu)    |
|  [ Nghe lén Man-in-the-Middle (Wireshark) ] -> [ TCP Stream không mã hóa ] |
+-----------------------------------------------------------------------------+

Vấn đề cốt lõi đặt ra là: Làm thế nào để thiết lập một kiến trúc phòng thủ chiều sâu (Defense-in-Depth) trên PostgreSQL mà vẫn bảo toàn hiệu năng xử lý giao dịch, tương thích với kiến trúc Multi-Version Concurrency Control (MVCC) và kiểm soát truy cập đa tầng? Đề tài "Tìm hiểu, triển khai một số cơ chế mã hoá dữ liệu trong HQTCSDL PostgreSQL" được thực hiện nhằm giải quyết trực tiếp bài toán này thông qua việc nghiên cứu chuyên sâu và thực nghiệm các giải pháp mật mã tối ưu.

Mục tiêu dự án

  1. Phân tích toàn diện kiến trúc bảo mật PostgreSQL: Đánh giá các thành phần bộ nhớ dùng chung (Shared Buffer, WAL Buffer, CLOG Buffer, Work Memory) và các tiến trình nền (Postmaster, Background Writer, Checkpointer, Autovacuum).
  2. Triển khai cơ chế mã hóa dữ liệu lưu trữ (Data at Rest): Ứng dụng kỹ thuật Transparent Data Encryption (TDE) và module mật mã hóa mức cột (Column-level Encryption) với các thuật toán mã hóa khối đối xứng tiên tiến như AES-256, 3DES, Blowfish.
  3. Thiết lập bảo mật kênh truyền (Data in Transit): Triển khai giao thức TLS 1.3 (Transport Layer Security) kết hợp hạ tầng khóa công khai PKI (Public Key Infrastructure) với chứng thư số X.509 để mã hóa toàn bộ phiên làm việc Client-Server.
  4. Tích hợp kiểm soát truy cập và kiểm toán an ninh: Xây dựng chính sách bảo mật mức hàng RLS (Row-Level Security) và cấu hình hệ thống ghi nhật ký kiểm toán chuyên sâu thông qua tiện ích mở rộng pgAudit.

Phương pháp tiếp cận và phạm vi nghiên cứu

Dự án áp dụng phương pháp nghiên cứu thực nghiệm: kết hợp phân tích lý thuyết mật mã học ứng dụng với xây dựng mô hình Lab thực tế trên hệ điều hành Linux (CentOS/Ubuntu), sử dụng hệ quản trị PostgreSQL phiên bản 12. Quá trình kiểm thử và đánh giá an toàn được thực hiện thông qua công cụ phân tích gói tin mạng chuyên dụng (Wireshark) và các kịch bản truy vấn tải nặng.

Phạm vi giới hạn của đề tài tập trung vào việc hiện thực hóa cơ chế mã hóa mức cột bằng extension pgcrypto, thiết lập mã hóa kênh truyền với TLS 1.3 và cấu hình phân quyền/kiểm toán, không đi sâu vào việc biên dịch lại mã nguồn nhân (PostgreSQL core engine) để tạo TDE cấp Tablespace mức vật lý.

Phân tích và thiết kế giải pháp

Phân tích hiện trạng

Trước khi triển khai giải pháp, hiện trạng các cơ chế bảo mật cơ sở dữ liệu phổ biến được phân tích và so sánh:

Tiêu chí so sánh PostgreSQL (Triển khai trong đề tài) Oracle Database (Native TDE) MySQL Enterprise Edition
Chi phí bản quyền Mã nguồn mở (Miễn phí 100%) Rất cao (Thương mại đắt đỏ) Bản quyền thương mại hàng năm
Mã hóa lưu trữ Extension pgcrypto (AES-256) TDE mức Cột & Tablespace InnoDB Tablespace Encryption
Bảo mật kênh truyền Native TLS 1.3 / OpenSSL PKI Oracle Net Services SSL/TLS OpenSSL / yaSSL
Kiểm soát chi tiết Row-Level Security (RLS) + pgAudit Virtual Private Database (VPD) View-based / Plugin audit
Mức độ phụ thuộc Vendor Không (Tiêu chuẩn mở quốc tế) Rất cao (Hệ sinh thái Oracle) Trung bình (Thuộc sở hữu Oracle)

Yêu cầu người dùng được phân loại theo mô hình MoSCoW:

  • Must Have: Mã hóa kênh truyền bắt buộc bằng TLS 1.3; Mã hóa dữ liệu nhạy cảm (mật khẩu, căn cước, số dư thẻ) bằng chuẩn AES; Áp dụng chính sách RLS cho người dùng thông thường.
  • Should Have: Tích hợp module kiểm toán pgAudit để ghi log các truy vấn DDL/DML; Cơ chế quản lý vòng đời chứng thư số X.509.
  • Could Have: Tự động hóa quá trình luân chuyển khóa (Key Rotation) định kỳ.
  • Won't Have: Mã hóa toàn bộ phân vùng ổ đĩa cấp hệ điều hành (LUKS) trong phạm vi cơ sở dữ liệu.

Thiết kế hệ thống

Kiến trúc giải pháp bảo mật dữ liệu toàn diện trong PostgreSQL được thiết kế theo sơ đồ sau:

Danh mục công nghệ và phiên bản (Technology Stack)

  • Hệ điều hành máy chủ: Linux CentOS 7 / Ubuntu 20.04 LTS (x86_64).
  • Hệ quản trị CSDL: PostgreSQL Server phiên bản 12.x.
  • Thư viện mật mã: OpenSSL 1.1.1k+ hỗ trợ giao thức TLS 1.3 và thuật toán đường cong Elliptic (ECDHE).
  • Tiện ích mở rộng: pgcrypto (mã hóa đối xứng/bất đối xứng), pgAudit phiên bản 1.4/1.1 (kiểm toán hệ thống).
  • Công cụ giám sát & phân tích: Wireshark 3.x, psql interactive terminal.

Thiết kế lược đồ dữ liệu bảo mật (Database Schema Design)

Các trường thông tin nhạy cảm được cấu hình kiểu dữ liệu BYTEA thay vì VARCHAR hoặc TEXT để lưu trữ chuỗi nhị phân sau khi mã hóa:

-- Thiết kế bảng tài khoản khách hàng bảo mật
CREATE TABLE customer_secure_data (
    customer_id SERIAL PRIMARY KEY,
    full_name VARCHAR(100) NOT NULL,
    id_card_plain VARCHAR(20), -- Dùng cho môi trường thử nghiệm đối chiếu
    id_card_encrypted BYTEA NOT NULL, -- Dữ liệu căn cước công dân đã mã hóa AES-256
    credit_card_encrypted BYTEA NOT NULL, -- Dữ liệu thẻ tín dụng đã mã hóa
    created_at TIMESTAMP WITH TIME ZONE DEFAULT CURRENT_TIMESTAMP
);

Phương pháp luận triển khai (Methodology)

Dự án áp dụng quy trình phát triển lặp kết hợp kiểm định an ninh liên tục (Security-Driven Iterative Model) qua 4 giai đoạn:

[ Giai đoạn 1: Chuẩn bị ] ---> [ Giai đoạn 2: Cấu hình ] ---> [ Giai đoạn 3: Mật mã hóa ] ---> [ Giai đoạn 4: Đánh giá ]
(Tuần 1 - 3: Kiến trúc)       (Tuần 4 - 6: TLS 1.3)          (Tuần 7 - 9: pgcrypto/RLS)        (Tuần 10 - 12: Wireshark/Stress)
  1. Giai đoạn 1 (Tuần 1 - Tuần 3): Khảo sát kiến trúc nhân PostgreSQL, cơ chế quản lý bộ nhớ (shared_buffers, wal_buffers) và mô hình đe dọa (Threat Modeling: tấn công SYN Flood, leo thang đặc quyền, rò rỉ dữ liệu lưu trữ).
  2. Giai đoạn 2 (Tuần 4 - Tuần 6): Triển khai hạ tầng khóa PKI nội bộ bằng OpenSSL; cấu hình tham số mạng và kích hoạt TLS 1.3 trên postgresql.conf và pg_hba.conf.
  3. Giai đoạn 3 (Tuần 7 - Tuần 9): Cài đặt tiện ích pgcrypto; xây dựng các hàm bọc (wrapper functions) mã hóa/giải mã; thiết lập chính sách Row-Level Security.
  4. Giai đoạn 4 (Tuần 10 - Tuần 12): Kiểm thử an ninh bằng Wireshark; đo lường độ trễ truy vấn (Query Latency) và hiệu năng đọc/ghi; tổng kết đánh giá.

Implementation và kết quả

Quy trình phát triển và các đoạn mã nguồn cốt lõi

1. Khởi tạo hạ tầng chứng thư số PKI và cấu hình máy chủ

Tạo Certificate Authority (CA) gốc và chứng thư số máy chủ hỗ trợ TLS 1.3:

# 1. Tạo khóa bí mật và chứng thư tự ký cho Root CA (thời hạn 10 năm)
openssl req -new -nodes -text -out root.csr -keyout root.key -subj "/CN=root-ca.internal"
chmod 0600 root.key
openssl x509 -req -in root.csr -text -days 3650 -extfile /etc/ssl/openssl.cnf \
    -extensions v3_ca -signkey root.key -out root.crt

# 2. Tạo yêu cầu ký chứng thư (CSR) cho PostgreSQL Server
openssl req -new -nodes -out server.csr -keyout server.key -subj "/CN=dbhost.internal"
chmod 0600 server.key

# 3. Ký chứng thư số máy chủ bằng Root CA
openssl x509 -req -in server.csr -text -days 365 -CA root.crt -CAkey root.key \
    -CAcreateserial -out server.crt

Cấu hình máy chủ PostgreSQL kích hoạt TLS 1.3 trong tệp postgresql.conf:

# /var/lib/pgsql/12/data/postgresql.conf
ssl = on
ssl_ca_file = 'root.crt'
ssl_cert_file = 'server.crt'
ssl_key_file = 'server.key'
ssl_min_protocol_version = 'TLSv1.3'
ssl_ciphers = 'HIGH:!aNULL:!MD5'

Cấu hình chính sách xác thực truy cập bắt buộc mã hóa trong pg_hba.conf:

# /var/lib/pgsql/12/data/pg_hba.conf
# TYPE  DATABASE        USER            ADDRESS                 METHOD
hostssl all             all             0.0.0.0/0               scram-sha-256

2. Triển khai cơ chế mã hóa dữ liệu mức cột với pgcrypto

Sử dụng thuật toán mã hóa đối xứng chuẩn PGP (AES-256 CBC Mode) để bảo vệ dữ liệu nhạy cảm:

-- Kích hoạt tiện ích mở rộng pgcrypto
CREATE EXTENSION IF NOT EXISTS pgcrypto;

-- Thao tác chèn dữ liệu đã được mã hóa đối xứng bằng khóa bí mật (Secret Key)
INSERT INTO customer_secure_data (full_name, id_card_plain, id_card_encrypted, credit_card_encrypted)
VALUES (
    'Nguyen Van A',
    '031099001234',
    pgp_sym_encrypt('031099001234', 'MasterSecretKey#2023', 'cipher-algo=aes256'),
    pgp_sym_encrypt('9704-1234-5678-9999', 'MasterSecretKey#2023', 'cipher-algo=aes256')
);

-- Thao tác giải mã dữ liệu phục vụ người dùng có thẩm quyền
SELECT 
    customer_id, 
    full_name, 
    pgp_sym_decrypt(id_card_encrypted, 'MasterSecretKey#2023') AS decrypted_id_card,
    pgp_sym_decrypt(credit_card_encrypted, 'MasterSecretKey#2023') AS decrypted_credit_card
FROM customer_secure_data
WHERE customer_id = 1;

3. Thiết lập kiểm soát truy cập mức hàng (Row-Level Security - RLS)

Đảm bảo người dùng chỉ được phép truy xuất các bản ghi thuộc phạm vi quản lý:

-- Kích hoạt tính năng RLS trên bảng dữ liệu
ALTER TABLE customer_secure_data ENABLE ROW LEVEL SECURITY;

-- Tạo chính sách phân quyền cho vai trò nhân viên chi nhánh (Branch Staff)
CREATE POLICY branch_staff_select_policy ON customer_secure_data
    FOR SELECT
    TO branch_staff
    USING (created_at >= CURRENT_DATE - INTERVAL '30 days');

4. Kích hoạt module kiểm toán hệ thống pgAudit

Cấu hình ghi nhận nhật ký chuyên sâu trong postgresql.conf:

shared_preload_libraries = 'pgaudit, pg_stat_statements'
pgaudit.log = 'write, ddl, role'
pgaudit.log_catalog = off
pgaudit.log_parameter = on
pgaudit.log_level = 'log'

Kiểm thử và đánh giá an toàn (Testing & Validation)

1. Kiểm thử bắt gói tin với Wireshark (Đánh giá mã hóa kênh truyền)

  • Kịch bản chưa cấu hình TLS: Tiến hành truy vấn SELECT * FROM customer_secure_data; từ Client. Bắt gói tin TCP trên cổng 5432. Kết quả gói tin hiển thị rõ ràng toàn bộ câu lệnh SQL và dữ liệu trả về ở định dạng ASCII rõ (Plaintext Leakage).
  • Kịch bản đã kích hoạt TLS 1.3: Thực hiện lại kết nối Client với tham số sslmode=require. Wireshark bắt gói tin xác nhận:
    • Bắt tay 1-RTT Handshake với giao thức TLSv1.3 thành công.
    • Bộ mã hóa đàm phán: TLS_AES_256_GCM_SHA384.
    • Toàn bộ nội dung Payload ở tầng ứng dụng (Application Data) chuyển hoàn toàn thành chuỗi dữ liệu nhị phân ngẫu nhiên (Encrypted Application Data), loại bỏ 100% khả năng bị tấn công Man-in-the-Middle (MITM) hay nghe lén (Sniffing).
+-----------------------------------------------------------------------------+
|               KẾT QUẢ PHÂN TÍCH WIRESHARK (TLS 1.3 VS PLAINTEXT)            |
|                                                                             |
| [Trước khi bật TLS] Frame #14: TCP Payload -> "SELECT * FROM customer..."   |
| [Sau khi bật TLS]   Frame #22: TLSv1.3 Record -> "Encrypted Application Data"|
+-----------------------------------------------------------------------------+

2. Đo lường hiệu năng và độ trễ (Performance Benchmarks)

Thực hiện đánh giá với 100,000 giao dịch chèn và đọc dữ liệu trên môi trường máy chủ 4 vCPU, 8GB RAM, cấu hình shared_buffers = 2GB, work_mem = 16MB:

Thao tác thử nghiệm Chế độ Plaintext (Không mã hóa) Chế độ Mã hóa (AES-256 + TLS 1.3) Độ lệch hiệu năng (%)
Độ trễ Insert (1 bản ghi) 0.42 ms 0.49 ms +16.6% thời gian xử lý
Độ trễ Select + Giải mã 0.18 ms 0.22 ms +22.2% thời gian xử lý
Throughput (TPS - Insert) 2,380 TPS 2,040 TPS Giảm ~14.2% thông lượng
Băng thông mạng tiêu thụ 120 KB/s 128 KB/s Tăng ~6.6% (TLS Overhead)
Mức độ chiếm dụng CPU 12% 19% Tăng 7% năng lực xử lý CPU

Độ trễ gia tăng từ 14% đến 22% nằm hoàn toàn trong ngưỡng chấp nhận được của các hệ thống giao dịch tiêu chuẩn doanh nghiệp, đổi lại mức độ bảo mật dữ liệu đạt mức tối đa.

Đổi mới và đóng góp

  1. Hiện thực hóa mô hình bảo mật dữ liệu 3 lớp (3-Tier Security Architecture): Kết hợp thành công giữa mã hóa kênh truyền (TLS 1.3), mã hóa lưu trữ cấp trường (pgcrypto AES-256) và kiểm soát truy cập mức hàng (RLS) trên nền tảng PostgreSQL nguồn mở, không phát sinh chi phí bản quyền.
  2. Loại bỏ hoàn toàn lỗ hổng mật khẩu mặc định: Xây dựng kịch bản chuẩn hóa bảo mật cho các tài khoản mặc định (Admin, Writer, Reader) và áp dụng thuật toán băm mật khẩu SCRAM-SHA-256 thay thế cho chuẩn MD5 lỗi thời.
  3. Quy trình chuẩn hóa giám sát an toàn thông tin: Tích hợp module pgAudit giúp ghi nhận chi tiết danh tính người dùng, thời gian và nội dung truy vấn DML/DDL, phục vụ công tác điều tra số học (Digital Forensics) và đáp ứng các tiêu chuẩn khắt khe như PCI-DSS và ISO 27001.

Ứng dụng thực tế và triển khai

Kịch bản ứng dụng thực tế

  • Hệ thống ngân hàng số và cổng thanh toán (FinTech): Bảo vệ dữ liệu thẻ tín dụng (PAN), mã xác thực và số dư tài khoản người dùng trước các cuộc tấn công nội bộ từ quản trị viên hệ điều hành.
  • Hệ thống bệnh viện điện tử (E-Health): Mã hóa hồ sơ bệnh án điện tử, thông tin nhận dạng cá nhân (PII) đáp ứng quy định bảo mật quyền riêng tư y tế.
  • Hệ thống thông tin chính phủ điện tử: Bảo vệ cơ sở dữ liệu quốc gia về dân cư với tính toàn vẹn và bảo mật tuyệt đối.

Yêu cầu phần cứng và hướng dẫn triển khai nhanh

[ Cài đặt PostgreSQL 12 ] ---> [ Cấu hình OpenSSL & TLS 1.3 ] ---> [ Enable Extension pgcrypto & pgAudit ]
  • Yêu cầu hệ thống tối thiểu: 2 Core CPU (hỗ trợ tập lệnh AES-NI), 4GB RAM, 50GB SSD.
  • Khuyến nghị cho môi trường Production: 8 Core CPU, 32GB RAM, NVMe Storage, cấu hình shared_buffers = 8GB, maintenance_work_mem = 2GB.

Hướng dẫn xử lý sự cố thường gặp (Troubleshooting Guide)

  • Lỗi FATAL: no pg_hba.conf entry for host: Kiểm tra lại dải mạng IP trong tệp pg_hba.conf, chuyển phương thức từ host sang hostssl và thực thi lệnh SELECT pg_reload_conf();.
  • Lỗi SSL error: decryption failed or bad record mac: Kiểm tra tính tương thích của phiên bản giao thức TLS giữa thư viện kết nối phía Client (JDBC/libpq) và Server; đảm bảo chứng thư số chưa hết hạn.

Hạn chế và hướng phát triển

Hạn chế kỹ thuật

  • Đánh chỉ mục trên cột mã hóa (Index Limitations): Dữ liệu mã hóa đối xứng ngẫu nhiên (có sử dụng muối - Salt) không thể đánh chỉ mục B-tree thông thường để tìm kiếm phạm vi (<, >), mà chỉ hỗ trợ tìm kiếm chính xác (=) nếu sử dụng thuật toán mã hóa tất định (Deterministic Encryption).
  • Quản lý khóa tập trung (Key Management): Khóa giải mã trong mô hình thực nghiệm vẫn được truyền thông qua tham số câu lệnh SQL, tiềm ẩn nguy cơ xuất hiện trong log truy vấn nếu chưa cấu hình pgAudit lọc bỏ chuỗi nhạy cảm.

Hướng phát triển tương lai

  1. Nghiên cứu tích hợp hệ thống quản lý khóa bên ngoài chuyên nghiệp (External KMS) như HashiCorp Vault hoặc phần cứng bảo mật HSM (Hardware Security Module) theo chuẩn PKCS#11.
  2. Ứng dụng giải pháp mã hóa hoàn toàn có thể tính toán (Homomorphic Encryption) và mã hóa giữ nguyên định dạng (Format-Preserving Encryption - FPE) trên PostgreSQL.
  3. Tích hợp bản vá TDE cấp cụm cơ sở dữ liệu (Database Cluster-level TDE) ở tầng nhân lưu trữ vật lý khi PostgreSQL ra mắt các bản cập nhật mới.

Đối tượng hưởng lợi

  • Sinh viên & Giảng viên ngành CNTT/An toàn thông tin: Tài liệu tham khảo có cấu trúc rõ ràng về cơ chế vận hành nội tại của RDBMS, phương pháp tích hợp mật mã học vào kiến trúc phần mềm thực tế.
  • Kỹ sư phát triển phần mềm (Software Engineers): Nắm vững các mẫu thiết kế (Design Patterns) để bảo mật dữ liệu nhạy cảm mức ứng dụng, cách thao tác với các kiểu dữ liệu BYTEA và hàm mã hóa.
  • Quản trị viên hệ thống & CSDL (DBAs / SysAdmins): Sở hữu bộ cẩm nang cấu hình bảo mật máy chủ PostgreSQL thực tế, quy trình tạo lập chứng thư PKI và cấu hình ghi log kiểm toán.
  • Doanh nghiệp vừa và nhỏ (SMEs): Tiết kiệm hàng chục nghìn USD chi phí bản quyền giải pháp bảo mật thương mại bằng cách ứng dụng hiệu quả giải pháp mã nguồn mở an toàn cao.

Câu hỏi thường gặp

1. Yêu cầu kỹ thuật tối thiểu để triển khai giải pháp này là gì?

Cần máy chủ chạy Linux (Ubuntu 18.04+ hoặc CentOS 7+) cài đặt PostgreSQL phiên bản 12 trở lên, thư viện OpenSSL phiên bản 1.1.1 trở lên để hỗ trợ chuẩn TLS 1.3 và CPU hỗ trợ tập lệnh tăng tốc phần cứng AES-NI.

2. Mã hóa dữ liệu bằng pgcrypto có làm giảm tốc độ truy vấn nhiều không?

Theo kết quả thử nghiệm thực tế với 100,000 bản ghi, độ trễ truy vấn tăng trung bình từ 16.6% đến 22.2% và thông lượng TPS giảm khoảng 14.2%. Đây là mức suy giảm hoàn toàn chấp nhận được so với lợi ích bảo vệ an toàn thông tin mang lại.

3. Làm thế nào để giải quyết vấn đề tìm kiếm trên các cột đã bị mã hóa?

Với các trường cần tìm kiếm chính xác (Exact Match), có thể lưu trữ thêm một cột băm một chiều (HMAC-SHA-256) làm giá trị định danh tìm kiếm (Blind Index). Đối với tìm kiếm phạm vi hoặc toàn văn (Full-text search), dữ liệu cần được giải mã tạm thời trong bộ nhớ đệm ứng dụng.

4. Chi phí triển khai và thời gian hoàn vốn (ROI) được ước tính như thế nào?

Giải pháp sử dụng 100% công nghệ mã nguồn mở (PostgreSQL, OpenSSL, pgAudit), giúp doanh nghiệp tiết kiệm 100% chi phí mua bản quyền thương mại (thường dao động từ 10,000 USD đến 40,000 USD/core cho các giải pháp như Oracle TDE). Thời gian hoàn vốn đầu tư kỹ thuật là tức thì (ngay sau khi triển khai thành công).

5. Giao thức TLS 1.3 có ưu điểm gì vượt trội so với TLS 1.2 trong kết nối PostgreSQL?

TLS 1.3 giảm thiểu thời gian bắt tay xuống chỉ còn 1-RTT (Round Trip Time) so với 2-RTT của TLS 1.2, giúp tăng tốc độ thiết lập kết nối Client-Server lên gần 50%, đồng thời loại bỏ hoàn toàn các thuật toán mật mã cũ kỹ, không an toàn (như RC4, DES, 3DES, MD5, SHA-1).

Kết luận

Đồ án tốt nghiệp "Tìm hiểu, triển khai một số cơ chế mã hoá dữ liệu trong HQTCSDL PostgreSQL" đã giải quyết thành công bài toán bảo vệ an toàn thông tin toàn diện cho hệ quản trị cơ sở dữ liệu quan hệ nguồn mở. Bằng việc kết hợp chặt chẽ giữa lý thuyết mật mã và thực nghiệm cấu hình, đồ án đã chứng minh tính khả thi, hiệu năng vượt trội và độ tin cậy của việc tích hợp TLS 1.3 cho kênh truyền cùng chuẩn mã hóa AES-256 cho dữ liệu lưu trữ.

Giải pháp không chỉ mang lại giá trị học thuật sâu sắc về mặt kiến trúc hệ thống mà còn mở ra hướng ứng dụng thực tế rộng rãi cho các doanh nghiệp đang tìm kiếm một phương án bảo mật dữ liệu cấp cao với chi phí tối ưu. Việc tiếp tục hoàn thiện cơ chế quản lý khóa tập trung và mã hóa cấp tablespace sẽ là nền tảng vững chắc cho các công trình nghiên cứu chuyên sâu tiếp theo.