Backend Security on Thanh HV's Blog

Backend Security on Thanh HV's Bloghttps://thanhhv.github.io/series/backend-security/Recent content in Backend Security on Thanh HV's BlogHugo -- 0.146.7en-usTue, 07 Jul 2026 17:00:00 +0700Backend Security — Tập 10: Kiến trúc Bảo mật Thực tếhttps://thanhhv.github.io/series/backend-security/10-real-world-architectures/Tue, 07 Jul 2026 17:00:00 +0700https://thanhhv.github.io/series/backend-security/10-real-world-architectures/<blockquote> <p><strong>Đối tượng:</strong> Backend Engineer, Senior Backend Engineer, Tech Lead, Solution Architect, Software Architect.</p> <p><strong>Mạch tư duy:</strong> Asset → Threat → Attack → Vulnerability → Defense → Trade-off → Production Best Practice.</p> <p>Chín tập trước xây dựng <em>từ vựng và nguyên lý</em>. Tập cuối này <em>lắp ráp</em> chúng vào các hệ thống thật. Với mỗi loại kiến trúc, ta hỏi: <strong>tài sản quan trọng nhất là gì, attacker nhắm vào đâu, và các nguyên lý (CIA, Least Privilege, Defense in Depth, Zero Trust, AuthN/AuthZ, token, TLS, secret) kết hợp thành luồng cụ thể ra sao.</strong> Trọng tâm là các luồng: Authentication, Authorization, Token Flow, Refresh Flow, API Gateway, Secret Management, Service-to-Service Authentication.</p>Backend Security — Tập 9: API Security Best Practiceshttps://thanhhv.github.io/series/backend-security/09-api-security-best-practices/Tue, 07 Jul 2026 16:00:00 +0700https://thanhhv.github.io/series/backend-security/09-api-security-best-practices/<blockquote> <p><strong>Đối tượng:</strong> Backend Engineer, Senior Backend Engineer, Tech Lead, Solution Architect, Software Architect.</p> <p><strong>Mạch tư duy:</strong> Asset → Threat → Attack → Vulnerability → Defense → Trade-off → Production Best Practice.</p> <p>Tập 6 giải thích <em>cơ chế</em> các phòng thủ API đặc thù. Tập này tổng hợp chúng thành một <strong>bộ nguyên tắc thực hành vận hành</strong> — thứ tự áp dụng, cách chúng khớp vào vòng đời một request, và những nguyên tắc thường bị bỏ sót. Đây là “sổ tay checklist có tư duy” trước khi bước sang các kiến trúc thực tế ở tập cuối.</p>Backend Security — Tập 8: Server Securityhttps://thanhhv.github.io/series/backend-security/08-server-security/Tue, 07 Jul 2026 15:00:00 +0700https://thanhhv.github.io/series/backend-security/08-server-security/<blockquote> <p><strong>Đối tượng:</strong> Backend Engineer, Senior Backend Engineer, Tech Lead, Solution Architect, Software Architect.</p> <p><strong>Mạch tư duy:</strong> Asset → Threat → Attack → Vulnerability → Defense → Trade-off → Production Best Practice.</p> <p>Các tập trước bảo vệ <em>ứng dụng</em>. Tập này bảo vệ <em>nền tảng chạy ứng dụng</em>: máy chủ, mạng, container, secret. Nó đào sâu A05 (Security Misconfiguration) của OWASP. Tư tưởng xuyên suốt: <strong>giảm bề mặt tấn công (attack surface) và giới hạn bán kính vụ nổ (blast radius)</strong> — mỗi cổng mở, mỗi secret hớ hênh, mỗi container quyền cao là một cánh cửa cho attacker.</p>Backend Security — Tập 7: OWASP Top 10https://thanhhv.github.io/series/backend-security/07-owasp-top-10/Tue, 07 Jul 2026 14:00:00 +0700https://thanhhv.github.io/series/backend-security/07-owasp-top-10/<blockquote> <p><strong>Đối tượng:</strong> Backend Engineer, Senior Backend Engineer, Tech Lead, Solution Architect, Software Architect.</p> <p><strong>Mạch tư duy:</strong> Asset → Threat → Attack → Vulnerability → Defense → Trade-off → Production Best Practice.</p> <p>OWASP Top 10 (phiên bản 2021) là danh sách các <em>hạng mục rủi ro</em> web phổ biến và nghiêm trọng nhất, do cộng đồng bảo mật ứng dụng tổng hợp từ dữ liệu thực tế. Đây <strong>không</strong> phải một checklist “làm xong là an toàn” — nó là bản đồ các <em>lớp lỗ hổng</em> mà mọi backend engineer phải nhận diện được. Với mỗi mục, ta đi theo bốn câu hỏi bạn yêu cầu: <strong>Cơ chế → Attack → Demo → Phòng tránh</strong>, kèm trade-off và case study.</p>Backend Security — Tập 6: API Securityhttps://thanhhv.github.io/series/backend-security/06-api-security/Tue, 07 Jul 2026 13:00:00 +0700https://thanhhv.github.io/series/backend-security/06-api-security/<blockquote> <p><strong>Đối tượng:</strong> Backend Engineer, Senior Backend Engineer, Tech Lead, Solution Architect, Software Architect.</p> <p><strong>Mạch tư duy:</strong> Asset → Threat → Attack → Vulnerability → Defense → Trade-off → Production Best Practice.</p> <p>Tập này trả lời: API khác web app ở điểm nào về mô hình mối đe dọa, khi nào dùng API Key vs Token, vì sao Rate Limiting là <em>bảo mật</em> chứ không chỉ là <em>quản lý tài nguyên</em>, Replay Attack là gì và vì sao Idempotency vừa là tính đúng đắn vừa là phòng thủ, và khi nào cần Request Signing/HMAC thay vì token thường.</p>Backend Security — Tập 5: Browser Securityhttps://thanhhv.github.io/series/backend-security/05-browser-security/Tue, 07 Jul 2026 12:00:00 +0700https://thanhhv.github.io/series/backend-security/05-browser-security/<blockquote> <p><strong>Đối tượng:</strong> Backend Engineer, Senior Backend Engineer, Tech Lead, Solution Architect, Software Architect.</p> <p><strong>Mạch tư duy:</strong> Asset → Threat → Attack → Vulnerability → Defense → Trade-off → Production Best Practice.</p> <p>TLS (Tập 4) bảo vệ dữ liệu <em>trên đường truyền</em>. Nhưng khi dữ liệu đã tới trình duyệt, một mặt trận hoàn toàn khác mở ra. Tập này trả lời: vì sao trình duyệt cần Same-Origin Policy, CORS <em>nới lỏng</em> (chứ không <em>siết chặt</em>) bảo mật ra sao, XSS và CSRF khác nhau ở bản chất nào, và vì sao ba cờ cookie nhỏ bé (Secure, HttpOnly, SameSite) lại là tuyến phòng thủ quan trọng bậc nhất.</p>Backend Security — Tập 4: Transport Securityhttps://thanhhv.github.io/series/backend-security/04-transport-security/Tue, 07 Jul 2026 11:00:00 +0700https://thanhhv.github.io/series/backend-security/04-transport-security/<blockquote> <p><strong>Đối tượng:</strong> Backend Engineer, Senior Backend Engineer, Tech Lead, Solution Architect, Software Architect.</p> <p><strong>Mạch tư duy:</strong> Asset → Threat → Attack → Vulnerability → Defense → Trade-off → Production Best Practice.</p> <p>Tập này trả lời: TLS <em>thực sự</em> bảo vệ điều gì (và điều gì nó <em>không</em> bảo vệ), vì sao “có ổ khóa xanh” không đồng nghĩa với “an toàn”, certificate và CA giải bài toán tin cậy ra sao, TLS handshake diễn ra thế nào bên trong, và khi nào cần Mutual TLS.</p>Backend Security — Tập 3: Password Securityhttps://thanhhv.github.io/series/backend-security/03-password-security/Tue, 07 Jul 2026 10:00:00 +0700https://thanhhv.github.io/series/backend-security/03-password-security/<blockquote> <p><strong>Đối tượng:</strong> Backend Engineer, Senior Backend Engineer, Tech Lead, Solution Architect, Software Architect.</p> <p><strong>Mạch tư duy:</strong> Asset → Threat → Attack → Vulnerability → Defense → Trade-off → Production Best Practice.</p> <p>Tập này trả lời những câu hỏi cốt lõi mà mọi backend engineer <em>phải</em> nắm: vì sao MD5 không còn an toàn, vì sao SHA — dù là hàm băm mật mã mạnh — lại <em>không phù hợp</em> để lưu password, vì sao bcrypt/scrypt/Argon2 được thiết kế <em>khác hẳn</em> SHA, và vì sao ta phải cố tình làm cho quá trình hash <em>chậm lại</em>.</p>Backend Security — Tập 2: Authenticationhttps://thanhhv.github.io/series/backend-security/02-authentication/Tue, 07 Jul 2026 09:00:00 +0700https://thanhhv.github.io/series/backend-security/02-authentication/<blockquote> <p><strong>Đối tượng:</strong> Backend Engineer, Senior Backend Engineer, Tech Lead, Solution Architect, Software Architect.</p> <p><strong>Mạch tư duy:</strong> Asset → Threat → Attack → Vulnerability → Defense → Trade-off → Production Best Practice.</p> <p>Tập này đi từ First Principles. Chúng ta sẽ <strong>không</strong> bắt đầu bằng “JWT là một chuẩn token”. Thay vào đó, chúng ta bắt đầu từ câu hỏi gốc: <em>nếu HTTP không nhớ bạn là ai, thì làm sao một hệ thống biết bạn đã đăng nhập?</em> Từ đó, mỗi cơ chế xác thực sẽ hiện ra như một câu trả lời cho một điểm đau cụ thể của cơ chế trước nó.</p>Backend Security — Tập 1: Security Foundationshttps://thanhhv.github.io/series/backend-security/01-security-foundations/Tue, 07 Jul 2026 08:00:00 +0700https://thanhhv.github.io/series/backend-security/01-security-foundations/<blockquote> <p><strong>Đối tượng:</strong> Backend Engineer, Senior Backend Engineer, Tech Lead, Solution Architect, Software Architect.</p> <p><strong>Cách đọc tài liệu này:</strong> Đây không phải là một bảng tra cứu kỹ thuật. Mỗi chủ đề được trình bày theo một mạch tư duy cố định:</p> <p><strong>Asset → Threat → Attack → Vulnerability → Defense → Trade-off → Production Best Practice.</strong></p> <p>Bạn sẽ không thấy tài liệu bắt đầu bằng “X là…”. Thay vào đó, mỗi phần bắt đầu bằng câu hỏi: <em>“Nếu không có cơ chế này thì chuyện gì xảy ra?”</em> — vì đó chính là cách một attacker và một architect cùng nhìn vào hệ thống.</p>Backend Security — Bộ tài liệu chuyên sâu (Tiếng Việt)https://thanhhv.github.io/series/backend-security/00-introduction/Tue, 07 Jul 2026 07:00:00 +0700https://thanhhv.github.io/series/backend-security/00-introduction/<blockquote> <p>Bộ tài liệu 10 tập về <strong>Backend Security</strong>, viết cho Backend Engineer, Senior Backend Engineer, Tech Lead, Solution Architect và Software Architect.</p> <p><strong>Triết lý:</strong> không giải thích “cách dùng”, mà giúp người đọc <strong>hiểu bản chất</strong> — attacker suy nghĩ thế nào, vì sao cơ chế bảo mật tồn tại, nó bảo vệ điều gì, bị khai thác ra sao, và khi nào <em>không</em> nên dùng.</p></blockquote> <h2 id="cách-bộ-tài-liệu-được-xây-dựng">Cách bộ tài liệu được xây dựng</h2> <p>Mỗi chủ đề bám một mạch tư duy cố định, <strong>không bắt đầu bằng định nghĩa</strong>:</p>