Threat Modeling: Mô hình hóa mối đe dọa với STRIDE

TL;DR: Threat Modeling (mô hình hóa mối đe dọa) là phương pháp luận kỹ thuật giúp đội ngũ phát triển nhận diện có hệ thống các nguy cơ an ninh trước khi hệ thống được triển khai. Bằng việc phác thảo Data Flow Diagram (DFD), kỹ sư xác định các ranh giới tin cậy (trust boundaries) — nơi dữ liệu di chuyển từ môi trường ít tin cậy hơn (như trình duyệt của người dùng) sang môi trường có quyền hạn cao hơn (như microservice nội bộ hoặc cơ sở dữ liệu). Khung phân loại STRIDE chia các rủi ro thành sáu họ: Giả mạo (Spoofing), Can thiệp (Tampering), Chối bỏ (Repudiation), Tiết lộ thông tin (Information Disclosure), Từ chối dịch vụ (Denial of Service), và Leo thang đặc quyền (Elevation of Privilege).

1. Trust Boundary là gì và tại sao nó quyết định sự sống còn của kiến trúc Web?

Ở module trước, khi nghiên cứu về 01-same-origin-policy-sop và 01-giao-thuc-http-duoi-lang-kinh-bao-mat, chúng ta đã thấy rằng môi trường máy khách (trình duyệt, ứng dụng mobile, công cụ curl) là hoàn toàn nằm ngoài tầm kiểm soát của bạn. Bất kỳ ai cũng có thể mở Burp Suite để chỉnh sửa từng byte của gói tin HTTP.

Trong Threat Modeling, khái niệm quan trọng nhất là Ranh giới Tin cậy (Trust Boundary). Đó là đường ranh giới vô hình ngăn cách hai thực thể có mức độ tin cậy hoặc quyền hạn khác nhau:

• Client (Untrusted): Máy của người dùng, JavaScript chạy trên browser, mạng Internet công cộng.
• Server (Trusted): Ứng dụng backend chạy trong mạng riêng (VPC), cơ sở dữ liệu, dịch vụ lưu trữ bí mật (Key Vault).

Hình 3.1: Dữ liệu di chuyển qua ranh giới tin cậy Trust Boundary bắt buộc phải chịu kiểm định an toàn nghiêm ngặt.

[!IMPORTANT] Quy tắc vàng của an toàn thông tin: Tuyệt đối không bao giờ tin tưởng dữ liệu đến từ phía bên kia của Trust Boundary mà không qua xác thực (Authentication), phân quyền (Authorization) và kiểm tra tính hợp lệ (Validation).

2. 6 họ rủi ro theo khung STRIDE bao gồm những gì?

Được phát triển bởi Microsoft từ những năm 2000, khung STRIDE là một tiêu chuẩn vàng giúp các kỹ sư phần mềm dễ dàng ghi nhớ và phân loại mọi hình thức tấn công vào 6 nhóm:

Hãy thử phân tích một tình huống thực tế để nhận diện đúng mối đe dọa:

3. Làm thế nào để lập sơ đồ luồng dữ liệu (DFD) nhận diện điểm yếu?

Để áp dụng STRIDE hiệu quả, bạn không cần phải đọc từng dòng mã lệnh phức tạp. Thay vào đó, hãy vẽ một sơ đồ DFD cấp 1 (Level 1 DFD) gồm 4 thành phần cơ bản:

1. External Entity (Thực thể bên ngoài): Người dùng, trình duyệt web, hệ thống webhook của bên thứ ba (đại diện bằng hình chữ nhật).
2. Process (Quy trình xử lý mã nguồn): Node.js Express server, Go Chi API handler, worker xử lý thanh toán (đại diện bằng hình tròn hoặc elip).
3. Data Store (Kho lưu trữ dữ liệu): PostgreSQL, Redis cache, AWS S3 bucket (đại diện bằng hai đường thẳng song song).
4. Data Flow (Luồng dữ liệu): Các mũi tên biểu thị hướng di chuyển của dữ liệu qua giao thức HTTP, gRPC, hoặc TCP socket.

Mỗi khi một mũi tên Data Flow cắt ngang qua một đường nét đứt đỏ (Trust Boundary), hãy áp dụng bảng câu hỏi STRIDE:

• Luồng này có thể bị giả mạo nguồn gốc không? (S)
• Payload có thể bị sửa đổi trên đường truyền không? (T)
• Server có ghi nhật ký kiểm toán (audit trail) cho thao tác này không? (R)
• Dữ liệu trả về có làm lộ số căn cước hoặc mật khẩu không? (I)
• Kích thước payload có thể làm tràn bộ nhớ không? (D)
• Quyền hạn của người gọi có được kiểm tra chặt chẽ không? (E)

4. Vì sao thói quen tin tưởng dữ liệu Client lại tạo ra lỗ hổng Mass Assignment?

Hãy xem xét một đoạn mã Node.js backend điển hình mắc phải sai lầm nghiêm trọng về ranh giới tin cậy:

// Express route cap nhat thong tin nguoi dung
app.post('/api/users/profile', async (req, res) => {
  const userId = req.session.userId;
  const updateData = req.body; // Client gui payload tuy y

  // Cap nhat truc tiep toan bo thuoc tinh vao co so du lieu
  await db.user.update({
    where: { id: userId },
    data: updateData
  });

  return res.json({ success: true });
});

Đoạn mã trên mắc lỗi thiết kế Mass Assignment dẫn tới mối đe dọa Elevation of Privilege (E). Dù người dùng đã xác thực (AuthN), việc tin tưởng toàn bộ payload updateData từ client cho phép kẻ tấn công tự ý chèn thêm thuộc tính role: 'admin' để nâng quyền tài khoản mà không bị ngăn chặn.

Phương pháp khắc phục chuẩn mực là chỉ chấp nhận các trường an toàn được định nghĩa trước (Field Whitelisting / Data Transfer Object - DTO validation) thay vì gán trực tiếp dữ liệu từ client vào cơ sở dữ liệu.

5. Tổng kết: Từ mô hình lý thuyết đến phòng thủ thực chiến

Threat Modeling với mô hình STRIDE cung cấp cho bạn một "ống nhòm tầm xa" để phát hiện các lỗ hổng ngay từ bản vẽ kiến trúc. Ở các bài học tiếp theo, chúng ta sẽ đi sâu vào cơ chế kỹ thuật chi tiết của ba mối đe dọa kinh điển nhất trên web:

• XSS (Tampering & Information Disclosure) tại 02-xss-so-cap-reflected-va-stored
• SQL Injection (Tampering & Elevation of Privilege) tại 03-classic-sqli-va-co-che-lexer
• IDOR (Authorization Bypass & Information Disclosure) tại 04-idor-so-cap-va-rbac

Bài tiếp theo: 02-xss-so-cap-reflected-va-stored