Osi-Model on Roduygo | Blog

Lớp 6 (Presentation) & Lớp vỏ Mã hóa - Từ SSL đến TLS và Lỗ hổng POODLE

Thu, 21 May 2026 22:50:00 +0700

Chào mừng các bạn tiếp tục với Series Giải phẫu Mạng & Packet Analysis! Ở bài trước, chúng ta đã tìm hiểu cách Tầng 5 duy trì các phiên làm việc, nhưng nếu dữ liệu (như mật khẩu, cookie) cứ thế truyền đi trần trụi thì hacker đứng giữa mạng sẽ dễ dàng tóm gọn. Đó là lúc Tầng 6 (Presentation Layer) xuất hiện như một “lớp vỏ bọc thép” để thông dịch, nén và xáo trộn mọi thông tin trước khi đẩy ra mạng. Hôm nay, chúng ta sẽ cùng mổ xẻ cơ chế hoạt động của Tầng 6, phân tích sự tiến hóa từ SSL lên TLS và bóc trần đòn đánh POODLE khét tiếng đã định hình lại tiêu chuẩn bảo mật toàn cầu.

1. Tầng 6 (Presentation) làm nhiệm vụ gì?

Trong khi các tầng dưới chỉ lo việc “vận chuyển”, Tầng 6 đóng vai trò là một “người phiên dịch và đóng gói” dữ liệu chuẩn mực để đảm bảo hai thiết bị có hệ điều hành khác nhau vẫn có thể hiểu nhau. Ở tầng này, ranh giới giữa giao thức và định dạng tệp (như JPEG, MP4, JSON, XML) trở nên rất mong manh.

Tầng 6 đảm nhiệm 3 trọng trách cốt lõi:

Thông dịch (Translation): Chuyển đổi giữa các bảng mã (như ASCII sang UTF-8). Điều này đảm bảo khi bạn gõ tiếng Việt trên ứng dụng, máy chủ ở Mỹ vẫn hiển thị đúng chữ “Học” chứ không bị lỗi font ô vuông.
Nén dữ liệu (Compression): Giảm dung lượng dữ liệu (như luồng stream video MP4) trước khi truyền đi để tiết kiệm băng thông.
Mã hóa (Encryption): Đây là phần quan trọng nhất đối với Blue Team. Toàn bộ quá trình mã hóa dữ liệu để biến văn bản thuần thành một chuỗi ký tự rác (Encrypted Application Data) được xử lý tại đây. Đại diện tiêu biểu nhất chính là giao thức SSL/TLS.

2. Kỷ nguyên của SSL và Lỗ hổng chí mạng POODLE

Secure Sockets Layer (SSL) là thế hệ giao thức mã hóa đầu tiên bảo vệ Internet. Nó hoạt động dựa trên cơ chế bắt tay bằng Khóa công khai (Public Key) và Khóa bí mật (Private Key). Máy khách sẽ kiểm tra “Chứng chỉ số” của Server, tự tạo ra một Khóa phiên (Session Key) ngẫu nhiên, dùng Khóa công khai của Server bọc lại rồi gửi đi. Chỉ Server cầm Khóa bí mật mới mở được hộp để lấy Khóa phiên dùng cho việc liên lạc sau đó.

Tuy nhiên, SSL 3.0 đã bị khai tử hoàn toàn bởi một lỗ hổng có tên gọi thú vị: POODLE (Padding Oracle On Downgraded Legacy Encryption).

Đòn tấn công này đánh trực diện vào cách SSL 3.0 xử lý các “dữ liệu đệm” (padding). Hacker đứng ở giữa mạng (MitM) sẽ chủ động can thiệp làm nhiễu kết nối để ép Server và Client phải hạ cấp (Downgrade) bảo mật từ TLS xịn xuống dùng SSL 3.0 cũ. Sau đó, chúng liên tục gửi các gói tin chỉnh sửa nhẹ đến Server. Chỉ bằng việc quan sát Server trả lời là “Lỗi rồi” hay “OK”, hacker có thể đoán ngược lại từng byte dữ liệu. Sau vài trăm lần thử, chúng lấy được toàn bộ Cookie phiên đăng nhập của bạn mà không cần phải tốn công bẻ khóa.

Cảnh báo SOC: POODLE chứng minh rằng thuật toán mã hóa mạnh đến đâu cũng vô dụng nếu giao thức đàm phán bị lỗi. SOC Analyst cần cấu hình Firewall và Web Server (Nginx, HAProxy) tắt hoàn toàn việc hỗ trợ SSL v2/v3, chỉ chấp nhận TLS 1.2 trở lên để chống lại đòn Downgrade Attack.

3. Sự tiến hóa lên TLS (Transport Layer Security)

Để khắc phục yếu điểm của SSL, TLS ra đời. Thay vì chỉ mã hóa thụ động, TLS đóng vai trò như một hệ thống an ninh chủ động với các nâng cấp vượt bậc:

Xác thực mạnh mẽ: Bỏ hẳn MD5 và SHA-1 để chuyển sang các hàm băm hiện đại như SHA-256.
Chống sửa đổi (Integrity): TLS sử dụng thuật toán HMAC (Hash-based Message Authentication Code). Kẻ tấn công không thể thay đổi dù chỉ 1 bit dữ liệu trên đường đi mà không bị hệ thống phát hiện.
Bảo mật chuyển tiếp (Perfect Forward Secrecy): Nhờ thuật toán trao đổi khóa ECDHE, mỗi phiên làm việc có một khóa riêng. Ngay cả khi hacker đánh cắp được Khóa bí mật tĩnh của máy chủ vào ngày mai, chúng cũng không thể dùng nó để giải mã các gói tin Wireshark mà chúng đã nghe lén từ hôm nay.

4. Giải phẫu Cipher Suite trên Wireshark

Khi bạn truy cập một trang web HTTPS, trong gói tin Server Hello trên Wireshark, máy chủ sẽ chốt lại một “Bộ công cụ mật mã” (Cipher Suite) duy nhất để hai bên sử dụng. Dưới đây là cách SOC Analyst đọc hiểu bộ mã TLS_ECDHE_RSA_WITH_CHACHA20_POLY1305_SHA256:

# Log Wireshark soi gói tin Server Hello chốt thuật toán mã hóa
# Bộ lọc: tls.handshake.type == 2

Handshake Protocol: Server Hello
 Version: TLS 1.2 (0x0303)
 Session ID Length: 32
 Cipher Suite: TLS_ECDHE_RSA_WITH_CHACHA20_POLY1305_SHA256 (0xcca8)

Cách đọc chuỗi Cipher Suite trên từ trái sang phải: ví dụ trong ảnh là TLS_ECDHE_RSA_WITH_CHACHA20_POLY1305_SHA256

ECDHE: Thuật toán trao đổi khóa (đảm bảo Perfect Forward Secrecy).
RSA: Thuật toán xác thực danh tính (chứng minh máy chủ qua Certificate).
CHACHA20_POLY1305: Thuật toán mã hóa đối xứng thực hiện xáo trộn dữ liệu (tốc độ cực nhanh trên thiết bị hiện đại).
SHA256: Thuật toán băm dùng cho HMAC để kiểm tra tính toàn vẹn của gói tin.

Dưới góc độ phân tích sự cố, nếu muốn “giải mã” các gói tin TLS để xem dữ liệu thô (HTTP) trên Wireshark, bạn có thể buộc trình duyệt xuất file lưu trữ Khóa phiên (Session Key) ra ổ cứng:

# Thiết lập biến môi trường để Firefox/Chrome nhả Khóa phiên ra file log
# Chỉ dùng trên máy Lab/máy phân tích, KHÔNG dùng trên máy người dùng thực tế

export SSLKEYLOGFILE=~/tls_keys.log
firefox &

5. Mã hóa TLS có an toàn tuyệt đối?

Dù TLS rất thông minh, nó vẫn có những “gót chân Achilles” mà Blue Team cần dè chừng:

Tấn công vào Chứng chỉ (Certificate Attacks): TLS dựa vào niềm tin của Certificate. Nếu hacker lừa người dùng cài một “Root Certificate” giả vào máy, chúng có thể thực hiện Man-in-the-Middle (MitM) để giải mã mọi thứ trơn tru.
Lỗ hổng thực thi (Implementation Bugs): Lỗi không nằm ở lý thuyết TLS mà nằm ở người code thư viện — điển hình là vụ Heartbleed trên OpenSSL cho phép đọc trộm bộ nhớ RAM của máy chủ.
Tấn công kênh kề (Side-channel): Hacker không thèm bẻ khóa, chúng chỉ ngồi đếm kích thước gói tin và thời gian phản hồi để đoán người dùng đang xem trang web gì.

Như vậy, đi qua Tầng 6, dữ liệu của chúng ta đã được đóng gói định dạng và khoác lên mình lớp áo giáp mã hóa bất khả xâm phạm. Giờ đây, “thùng hàng” này đã sẵn sàng để được giao cho Tầng cuối cùng: Tầng 7 (Application). Ở bài viết tiếp theo — Bài 7, chúng ta sẽ khám phá thế giới của Tầng Ứng dụng, nơi diễn ra các cuộc tấn công dữ dội nhất nhắm vào các giao thức DNS ngây thơ, quá trình xin cấp IP của DHCP và sự nguy hiểm của FTP truyền thống. Đừng bỏ lỡ nhé!

Lớp 5 (Session) & Ranh giới của Phiên làm việc

Thu, 21 May 2026 22:30:00 +0700

Chào mừng các bạn tiếp tục với Series Giải phẫu Mạng & Packet Analysis! Sau khi đã thiết lập xong “đường ống” vật lý vững chắc bằng giao thức TCP ở Tầng 4, hệ thống phải đối mặt với một bài toán mới: Làm sao để “nhớ mặt” người dùng mà không bắt họ phải đăng nhập lại sau mỗi cú click chuột? Đó chính là nhiệm vụ của Tầng 5 (Session Layer) — nơi ranh giới của các phiên làm việc được thiết lập và cũng là nơi hacker tung ra những đòn cướp quyền vô cùng hiểm độc.

1. Tầng 5 (Session) và Sự cần thiết của Phiên làm việc

Khi bạn mở trình duyệt web và thực hiện nhiều yêu cầu cùng lúc (như mở nhiều tab, tải nhiều ảnh), dữ liệu có nguy cơ bị lẫn lộn vào nhau. Tầng 5 (Lớp Phiên) sinh ra để giải quyết vấn đề này bằng cách thiết lập, quản lý và kết thúc các phiên kết nối. Nó đóng vai trò tạo ra một ranh giới độc nhất cho từng cuộc liên lạc.

Ở mức độ truyền tải, Tầng 5 quản lý “luồng” nói chuyện thông qua 3 chế độ:

Đơn công (Simplex): Dữ liệu chỉ đi một chiều (như bạn nghe radio).
Bán song công (Half-duplex): Hai bên nói chuyện luân phiên (như bộ đàm — người này nói xong người kia mới được nói).
Song công toàn phần (Full-duplex): Cả hai cùng nói và nghe cùng lúc (như gọi điện thoại di động).

Tuy nhiên, bài toán lớn nhất ở đây là hiệu năng. Việc bắt tay (Handshake) ở Tầng 4 (TCP) và Tầng 6 (TLS) cực kỳ tốn thời gian và làm “mệt” CPU của máy chủ. Để tối ưu hóa, Tầng 5 không bắt hai thiết bị phải chào hỏi lại từ đầu cho mỗi gói tin, mà sử dụng các cơ chế định danh đặc biệt.

2. Giải phẫu Session ID và Session Ticket trên Wireshark

Để duy trì trạng thái kết nối, Tầng 5 sử dụng hai công cụ chính là Session ID và Session Ticket. Bằng cách dùng Wireshark, chúng ta có thể dễ dàng bắt được những “tấm vé” này bay trên không gian mạng.

2.1 Định danh cuộc trò chuyện bằng Session ID

Sau lần bắt tay đầu tiên thành công, máy chủ sẽ cấp cho bạn một “mã số định danh” gọi là Session ID. Khi máy bạn gửi hàng nghìn khung dữ liệu tiếp theo, nó chỉ cần đính kèm ID này. Server nhìn vào ID sẽ biết ngay: “Đây là khách quen, đã kiểm tra an ninh xong rồi, cho dữ liệu đi thẳng lên Tầng 6 để xử lý!”.

# Lọc gói tin Server Hello để tìm Session ID do máy chủ cấp phát
# Cú pháp bộ lọc trên Wireshark: tls.handshake.type == 2

Handshake Protocol: Server Hello
 Handshake Type: Server Hello (2)
 Length: 118
 Version: TLS 1.2 (0x0303)
 Random: dc3aa089a0c8825e54cc0106c17a0cb90305776b2d49f405fe30dc0f2bfad484
 Session ID Length: 32
 Session ID: d451a3116057f79488abdba0e27371ef79b25a156fcd8afaf011b9aa5bdb900b
 Cipher Suite: TLS_AES_128_GCM_SHA256 (0x1301)

Cái dãy số Hex dài đó (d451a311…) dùng để: Định danh cuộc trò chuyện: Khi máy Lenovo của bạn gửi hàng nghìn Frame dữ liệu tiếp theo (như các gói DATA của HTTP/2), nó không cần phải gửi lại toàn bộ thông tin chào hỏi. Nó chỉ cần gắn cái ID này vào (hoặc dùng trạng thái đã thiết lập từ ID này). Nhận diện người quen: Server nhìn vào ID này sẽ biết: “À, đây là gói tin tiếp theo của ông bạn ở IP 192.168.1.156, đã kiểm tra xong xuôi rồi, cho dữ liệu đi thẳng lên Tầng 6 để dịch luôn!”.

2.2 Vé phục hồi nhanh (Session Ticket)

Để đẩy nhanh tốc độ kết nối lại (0-RTT), máy chủ cung cấp một Session Ticket. Đây thực chất là một cái “vé” lưu trữ trạng thái bảo mật của phiên trước đó. Thay vì phải tính toán lại các thuật toán mã hóa nặng nề, máy khách chỉ cần trình chiếc vé này ra để nối lại phiên làm việc ngay lập tức.

# Lọc gói tin New Session Ticket để xem vé bảo mật được mã hóa
# Cú pháp bộ lọc trên Wireshark: tls.handshake.type == 4

TLSv1.3 Record Layer: Handshake Protocol: New Session Ticket
 Content Type: Application Data (23)
 Version: TLS 1.2 (0x0303)
 Handshake Protocol: New Session Ticket
 Handshake Type: New Session Ticket (4)
 Length: 53
 TLS Session Ticket
 Session Ticket Lifetime Hint: 600 seconds (10 minutes)
 Session Ticket Age Add: 3185912667
 Session Ticket Nonce Length: 8
 Session Ticket: af23cc7378d7440f6a6447726da2062b7d2198d9b8c7aaad6a71213fba0cbb97

3. Các đòn tấn công tử huyệt nhắm vào Phiên làm việc

Hacker hiểu rất rõ giá trị của những mã Session ID này. Vì Server hoàn toàn tin tưởng vào cái vé, nên kẻ nào cầm vé, kẻ đó có quyền. Dưới đây là 3 đòn tấn công kinh điển ở Tầng 5.

3.1 Cướp Phiên (Session Hijacking)

Đây là đòn đánh trực diện nhất. Kẻ địch hoàn toàn không cần biết mật khẩu của bạn.

Chúng chỉ cần “đánh cắp” được Session ID đang nằm trong Cookie hoặc bộ nhớ đệm trình duyệt thông qua các kỹ thuật như Sniffing (nghe lén mạng Wi-Fi không an toàn) hoặc tấn công Cross-Site Scripting (XSS). Khi có được ID này, chúng dùng nó để gửi gói tin lên Server. Server sẽ lầm tưởng hacker chính là bạn và cho phép truy cập thẳng vào tài khoản.

Cảnh báo SOC: Để chống lại Session Hijacking, hệ thống mạng bắt buộc phải mã hóa toàn bộ dữ liệu truyền tải bằng HTTPS/TLS và các Cookie phải được gắn cờ Secure cùng HttpOnly để ngăn mã độc JavaScript trích xuất Session ID.

3.2 Tấn công Phản hồi (Replay Attack)

Lỗ hổng này đánh thẳng vào cơ chế “vé phục hồi nhanh” (New Session Ticket / 0-RTT) mà chúng ta vừa soi trên Wireshark.

Vì cái vé này được thiết kế để kết nối nhanh mà không cần bắt tay lại, hacker có thể can thiệp ở giữa mạng (MitM), bắt lấy bản sao gói tin chứa Ticket của bạn và gửi lại cho Server nhiều lần. Nếu hệ thống ứng dụng không có cơ chế chống trùng lặp (ví dụ: dùng timestamp hoặc nonce), hacker có thể ép Server thực hiện lại một giao dịch nhạy cảm (như chuyển tiền) nhiều lần chỉ bằng cách “phát lại” cái vé cũ đó.

3.3 Cố định Phiên (Session Fixation)

Ngược lại với việc đi ăn cắp, trong kỹ thuật này hacker lại chủ động “tặng” cho bạn một cái ID.

Kẻ tấn công sẽ tạo ra một Session ID hợp lệ từ trước, sau đó lừa bạn click vào một đường link chứa sẵn ID đó để đăng nhập. Sau khi bạn đăng nhập thành công, hệ thống vô tình “đóng dấu xác thực” cho cái ID do hacker cung cấp. Lúc này, hacker chỉ cần ung dung nhập cái ID mà chúng đã biết trước đó vào trình duyệt — phiên làm việc lúc này trở thành “dùng chung” giữa bạn và hacker.

Việc thấu hiểu Tầng 5 giúp SOC Analyst nhận ra rằng: Không phải cứ đăng nhập xong là an toàn tuyệt đối, bởi nếu kẻ gian cướp được “tấm vé” Session, chúng nghiễm nhiên trở thành người chủ hợp pháp. Tuy nhiên, cái vé đó và toàn bộ dữ liệu ứng dụng thực chất được xáo trộn như thế nào để không ai đọc lén được trên mạng? Trong Bài 6 tiếp theo, chúng ta sẽ bước lên Tầng 6 (Presentation) để bóc tách lớp vỏ mã hóa SSL/TLS, giải phẫu thuật toán CHACHA20 và tìm hiểu lỗ hổng POODLE khét tiếng. Hãy cùng chờ đón nhé!

Một gói tin được cấu tạo thế nào

Wed, 20 May 2026 08:00:00 +0700

Chào mừng các bạn đến với Series Giải phẫu Mạng (Network Anatomy) & Packet Analysis! Nếu trong series trước, chúng ta đã trở thành những “bác sĩ pháp y” mổ xẻ nội tạng của hệ điều hành Windows, thì ở series này, chúng ta sẽ bước ra không gian bên ngoài: Hệ thống Mạng. Đối với một SOC Analyst, nếu bạn không biết cách đọc một gói tin (Packet), bạn sẽ bị mù hoàn toàn trước các cuộc tấn công nhắm vào máy chủ. Hãy cùng khởi động bằng việc tìm hiểu bộ khung xương sống của vạn vật trên Internet: Mô hình OSI và công cụ Wireshark.

1. Bức tranh toàn cảnh: Mô hình OSI và TCP/IP

Để các thiết bị từ các nhà sản xuất khác nhau (Apple, Lenovo, Cisco…) có thể nói chuyện được với nhau, Tổ chức Tiêu chuẩn hóa Quốc tế đã tạo ra một bộ quy tắc chung gọi là Mô hình OSI (Open Systems Interconnection). Nó chia quá trình mạng phức tạp thành 7 tầng riêng biệt.

Từ trên xuống dưới, 7 tầng này bao gồm:

Tầng 7 - Application (Ứng dụng): Nơi dữ liệu có ý nghĩa với con người (như giao thức HTTP, DNS, SSH, FTP). Hầu hết các cuộc tấn công hiện đại như SQL Injection đều nhắm vào tầng này.
Tầng 6 - Presentation (Trình bày): Làm nhiệm vụ thông dịch, nén và đặc biệt là Mã hóa (như SSL/TLS) để bảo mật dữ liệu.
Tầng 5 - Session (Phiên): Thiết lập, duy trì và quản lý phiên kết nối (Session ID) giữa 2 thiết bị.
Tầng 4 - Transport (Giao vận): Kiểm soát truyền tải bằng TCP (tin cậy) hoặc UDP (tốc độ). Nó chia dữ liệu thành các đoạn nhỏ và dùng số Cổng (Port) để định tuyến đến đúng ứng dụng.
Tầng 3 - Network (Mạng): Quản lý địa chỉ logic (IP) và tìm đường đi (Routing) tốt nhất trên môi trường Internet.
Tầng 2 - Data Link (Liên kết dữ liệu): Quản lý địa chỉ vật lý (MAC) để các thiết bị nói chuyện trực tiếp với nhau trong cùng một mạng LAN.
Tầng 1 - Physical (Vật lý): Chuyển đổi dữ liệu nhị phân (0 và 1) thành các xung điện, ánh sáng hoặc sóng vô tuyến (Wi-Fi) truyền trên dây cáp vật lý.

Trong thực tế triển khai, người ta thường gộp mô hình này lại cho gọn nhẹ thành Mô hình TCP/IP (4 Lớp): Lớp Ứng dụng (gộp tầng 5,6,7), Lớp Giao vận (tầng 4), Lớp Internet (tầng 3), và Lớp Giao diện mạng (gộp tầng 1,2).

2. Hành trình của một dữ liệu: Đóng gói (Encapsulation)

Khi bạn bấm nút “Gửi” một tin nhắn, dữ liệu không bay thẳng vèo sang máy bên kia. Nó phải trải qua quá trình Đóng gói (Encapsulation) - nghĩa là đi qua mỗi tầng sẽ bị bọc thêm một lớp vỏ (Header) mới.

Dữ liệu thô (Data): Được sinh ra ở tầng Ứng dụng.
Segment / Datagram: Xuống Tầng 4, nó được dán thêm Header của TCP hoặc UDP chứa thông tin Cổng (Port).
Packet (Gói tin): Xuống Tầng 3, nó được bọc thêm IP Header chứa IP Nguồn và IP Đích.
Frame (Khung): Xuống Tầng 2, nó tiếp tục được dán thêm địa chỉ MAC Nguồn và MAC Đích.
Bits: Cuối cùng, chiếc card mạng (NIC) biến toàn bộ Frame đó thành các tia điện hoặc sóng Wi-Fi đẩy ra ngoài (Lớp 1).

Khi đến máy nhận, quá trình ngược lại gọi là Mở gói (Decapsulation) sẽ diễn ra: Lột dần từng lớp vỏ từ dưới lên trên để lấy dữ liệu thực.

3. Đặt gói tin lên “bàn mổ” Wireshark

Wireshark chính là kính hiển vi của SOC Analyst. Nó bắt được chính xác cấu trúc đóng gói mà ta vừa học. Khi bạn click vào một gói tin bất kỳ trên Wireshark, giao diện chi tiết ở khung bên dưới sẽ phản ánh đúng thứ tự của mô hình OSI.

Hãy cùng giải phẫu các thành phần cốt lõi của một gói tin:

3.1 Lớp 1 (Physical) - Mục Frame

Đây là các siêu dữ liệu vật lý mà card mạng ghi nhận được:

Frame Length: Kích thước thực sự của gói tin khi chạy trên dây cáp (ví dụ: 96 bytes (768 bits)).
Arrival Time: Thời gian chính xác đến từng micro giây mà gói tin chạm vào card mạng.
Interface id: Tên card mạng đang bắt gói tin (ví dụ: wlp8s0 trên Linux).
Protocols in frame: Wireshark tóm tắt luôn các lớp vỏ bên trong: eth:ethertype:ip:tcp:dns (Gói DNS chạy trên TCP, bọc bởi IP và Ethernet).

3.2 Lớp 2 (Data Link) - Mục Ethernet II

Đây là nơi địa chỉ vật lý (MAC Address) làm chủ cuộc chơi:

Source (Src) & Destination (Dst): Địa chỉ MAC (gồm 48 bit) của máy gửi và máy nhận (thường là Router để đi ra Internet).
Type: Một ID cực kỳ quan trọng báo hiệu cho card mạng biết lớp vỏ tiếp theo là gì. Nếu là IPv4 (0x0800), nó sẽ chuyển lên cho giao thức IPv4 xử lý. Nếu là 0x86dd, đó là IPv6.

3.3 Lớp 3 (Network) - Mục IPv4

Bóc lớp Ethernet ra, chúng ta thấy bộ định tuyến Internet:

Source Address & Destination Address: Địa chỉ IP logic của máy gửi và máy đích.
Time to Live (TTL): “Tuổi thọ” của gói tin. Mỗi khi đi qua một con Router, số này bị trừ đi 1 để tránh gói tin chạy vòng vòng mãi mãi. Nếu thấy TTL = 64, hệ thống nguồn có khả năng cao là chạy nhân Linux.
Flags: Các lá cờ điều khiển. Ví dụ cờ 0x2, Don't fragment dặn các thiết bị mạng rằng: “Tuyệt đối không xé nhỏ gói tin này ra”.
Protocol: Giống như Type ở Lớp 2, trường này (ví dụ: TCP (6) hoặc UDP (17)) sẽ ra lệnh cho hệ điều hành biết giao thức Tầng 4 nào sẽ phải xử lý tiếp theo.
Header Checksum: Dãy mã (như 0xe861) dùng để đảm bảo các thông tin (IP, TTL) không bị hỏng hóc hay thay đổi bit trong quá trình truyền.

3.4 Lớp 4 (Transport) - Transmission Control Protocol (TCP)

Bên trong cùng, chúng ta sẽ thấy cổng giao tiếp và luật chơi:

Source Port & Destination Port: Ví dụ máy bạn dùng cổng ngẫu nhiên 58610 để gõ cửa cổng HTTPS (443) của Facebook.
Sequence & Acknowledgment: Các con số giúp TCP sắp xếp lại thứ tự dữ liệu cho đúng và đảm bảo không gói tin nào bị rơi rớt.

3.5 Tầng 5, 6, 7: Nơi “Gói tin” biến mất và nhường chỗ cho “Dữ liệu” (Application Data)

Nếu bạn tinh mắt quan sát trên Wireshark, bạn sẽ thấy sau khi đi qua lớp TCP/UDP (Tầng 4), các lớp phía trên (Tầng 5 - Session, Tầng 6 - Presentation, Tầng 7 - Application) thường không được chia thành các mục riêng biệt rõ ràng như lớp MAC hay lớp IP, mà chúng hòa quyện lại thành một mục gọi là Application Data (như DNS, HTTP, TLS) Quá trình Wireshark “Giải mã” và hiển thị: Khi Wireshark bắt được luồng điện từ card mạng, nó thực hiện quá trình Decapsulation (Mở gói) đi ngược từ dưới lên trên. Nó bóc lớp vỏ Ethernet (Tầng 2) để lấy địa chỉ MAC, bóc tiếp lớp IP (Tầng 3) để lấy địa chỉ IP, và bóc lớp TCP (Tầng 4) để lấy số Port. Khi bóc đến Tầng 4 xong, phần lõi còn lại được đẩy thẳng lên Tầng Ứng dụng (Layer 7). Lúc này:

Nếu là giao thức không mã hóa (như HTTP, DNS, FTP): Wireshark sẽ “đọc hiểu” và phơi bày trần trụi toàn bộ văn bản, tài khoản, mật khẩu (Clear-text) cho bạn xem.
Nếu dữ liệu đã đi qua Tầng 6 (Presentation) và bị mã hóa bởi SSL/TLS: Wireshark sẽ gom lại và hiển thị dưới dạng một khối Encrypted Application Data chứa toàn các ký tự rác mà con người (và cả hacker) không thể đọc được

Như vậy, chúng ta đã nắm được “bản đồ kho báu” của mạng máy tính và biết cách sử dụng Wireshark để đọc những lớp vỏ cơ bản nhất. Bất kỳ một công cụ bảo mật nào (Firewall, IDS/IPS) cũng đều dựa trên nguyên lý đọc các lớp Header này để chặn/mở. Ở Bài 2 tiếp theo, chúng ta sẽ lặn sâu hơn vào Tầng 2 & 3, phân tích các giao thức kết nối nền tảng (ARP, ICMP) và trực tiếp đóng vai Hacker để thực hiện đòn tấn công mạo danh MAC (MAC Spoofing). Hẹn gặp lại các bạn!