Bao mat Sunwin: Lop phong thu toan dien cho du lieu va tai san nguoi choi

Bao mat Sunwin khong chi la mot tinh nang ky thuat ma la he thong phong thu da tang duoc xay dung tu nam 2019 khi nen tang nay bat dau van hanh chinh thuc. Thoi diem do, hon 12.000 nguoi dung da dang ky trong thang dau tien va moi phien giao dich deu phai xu ly khoi luong thong tin nhay cam nhu so tai khoan ngan hang, ma OTP va lich su thanh toan. Ngay tu buoc dang nhap, he thong ap dung giao thuc HTTPS voi chung chi SSL 256-bit, mot tieu chuan tuong tu cac ngan hang truc tuyen tai Viet Nam nhu TPBank hay MB Bank. Dieu nay dong nghia voi viec moi ky tu go tu ban phim deu duoc ma hoa ngay lap tuc truoc khi truyen qua internet.

Trong ba nam dau, doi ngu ky thuat da phat hien va va 47 lo hong tiem an thong qua cac chuong trinh san loi (bug bounty). Moi lo hong duoc phan loai theo thang CVSS (Common Vulnerability Scoring System) tu 0 den 10. Nhung loi dat diem tren 7 duoc uu tien xu ly trong vong 4 gio lam viec. Mot truong hop dien hinh vao thang 6 nam 2021, mot lo hong o module nap tien co diem CVSS 8.2 da duoc bao cao boi mot chuyen gia bao mat doc lap. Sau 3 gio 20 phut, ban va duoc trien khai va toan bo nguoi dung duoc yeu cau doi mat khau. Khong co tai khoan nao bi xam pham trong su co do.

Cong nghe ma hoa du lieu dong vai tro trung tam. Bao mat Sunwin su dung AES-256 (Advanced Encryption Standard) cho tat ca du lieu luu tru tren may chu. Day la cung thuat toan duoc Co quan An ninh Quoc gia Hoa Ky (NSA) xep hang an toan cho thong tin mat. Rieng thong tin giao dich tai chinh, he thong con them mot lop ma hoa RSA 2048-bit. Quy trinh nay khien cho ngay ca khi hacker chiem duoc quyen truy cap vat ly vao server, du lieu van o dang khong the doc duoc neu khong co khoa giai ma.

Xac thuc hai lop (2FA) duoc bat buoc kich hoat cho moi tai khoan ke tu thang 3 nam 2022. Khac voi cac ung dung chi yeu cau 2FA cho tinh nang rut tien, Sunwin yeu cau xac thuc bo sung ngay ca khi nguoi dung thay doi thong tin ca nhan, lien ket tai khoan ngan hang moi hoac thuc hien giao dich duoi 500.000 dong. Mot cuoc khao sat noi bo nam 2023 ghi nhan rang ty le tai khoan bi chiem doat giam 92% so voi truoc khi ap dung 2FA toan dien.

Quy trinh kiem tra bao mat dinh ky dien ra 90 ngay mot lan. Moi dot kiem tra keo dai 72 gio voi su tham gia cua it nhat 5 chuyen gia tu cac cong ty an ninh mang ben thu ba nhu VNCS va CyRadar. Bao cao sau kiem tra duoc cong khai trong noi bo nhom ky thuat va cac loi tim thay phai duoc khac phuc trong vong 48 gio neu o muc nghiem trong. So lieu tu nam 2022 cho thay trung binh moi lan kiem tra phat hien 3 den 5 loi nho va 0 den 1 loi nghiem trong. Khong co loi nghiem trong nao duoc ghi nhan tu thang 8 nam 2023 den nay.

Chinh sach xoa du lieu tu dong cung la mot diem dang chu y. Khi nguoi dung yeu cau xoa tai khoan, toan bo thong tin ca nhan va lich su giao dich se duoc xoa vinh vien khoi co so du lieu san xuat trong vong 30 ngay. Sau 30 ngay do, du lieu duoc ghi de ngau nhien 7 lan tren o cung vat ly theo tieu chuan DoD 5220.22-M, mot tieu chuan xoa du lieu quan su My. Dieu nay dam bao rang ngay ca cac cong cu phuc hoi du lieu chuyen nghiep cung khong the khoi phuc lai du chi mot byte.

Doi ngu van hanh bao mat hoat dong 24/7 voi 12 nhan su chia lam 3 ca. Moi ca co it nhat mot chuyen gia ve phap ly va mot chuyen gia ve ky thuat. He thong giam sat tu dong canh bao khi co bat ky hanh vi dang nhap bat thuong nao nhu dang nhap tu dia chi IP moi, tu thiet bi la hoac trong khung gio trai voi thoi quen cua nguoi dung. Vi du, neu mot tai khoan thuong dang nhap luc 20 gio tu TP.HCM bong nhien dang nhap luc 2 gio sang tu mot IP tai Nga, he thong se tu dong khoa tai khoan va gui thong bao qua email va SMS trong vong 30 giay.

Trong thuc te, Bao mat Sunwin da ngan chan it nhat 4 vu tan cong quy mo lon trong nam 2023 theo bao cao noi bo. Vu dau tien vao thang 2 la tan cong tu choi dich vu (DDoS) voi luu luong len den 120 Gbps. He thong phong thu su dung dich vu Cloudflare cho phep chuyen huong luu luong va chiu tai trong suot 45 phut ma khong gay gian doan cho nguoi dung. Vu thu hai vao thang 6 la tan cong brute force nham vao cong API danh cho mobile. He thong gioi han request tu dong khoa IP sau 10 lan thu sai lien tiep, ngan chan thanh cong hon 200.000 yeu cau dang nhap trai phep trong vong 8 gio.

Yeu to con nguoi cung duoc chu trong thong qua chuong trinh dao tao nang cao nhan thuc. Moi nhan vien co quyen truy cap vao he thong phai tham gia khoa hoc bao mat keo dai 16 gio moi nam. Khoa hoc bao gom cac tinh huong thuc te nhu email phishing, ky thuat social engineering va cach nhan dien thiet bi la. Ket qua kiem tra cuoi khoa yeu cau dat toi thieu 85 diem moi duoc tiep tuc giu quyen truy cap. Nam 2023, co 2 nhan vien khong dat yeu cau va bi tam thu hoi quyen truy cap trong 2 thang cho den khi hoan thanh lai khoa hoc.

Cuoi cung, co so ha tang vat ly cua may chu duoc dat tai 3 trung tam du lieu khac nhau, hai o TP.HCM va mot o Ha Noi. Moi trung tam deu co he thong lam mat du phong, may phat dien diesel va doi ngu bao ve 24 gio. Viec sao luu du lieu dien ra moi 6 gio mot lan, voi ban sao luu duoc ma hoa va luu tru o hai dia diem cach xa nhau it nhat 50 km. Neu mot trung tam gap su co, he thong tu dong chuyen doi sang trung tam khac trong thoi gian duoi 5 phut. Tat ca cac yeu to nay ket hop tao nen mot he sinh thai bao mat ma khong co diem yeu don le nao co the gay ra thiet hai lan rong.