Packet-Analysis on Roduygo | Blog

Giải phẫu TLS Handshake & Cipher Suites trên Wireshark

Thu, 21 May 2026 22:51:00 +0700

Chào mừng các bạn tiếp tục với Series Giải phẫu Mạng & Packet Analysis! Ở bài trước, chúng ta đã hiểu được tầm quan trọng của Tầng 6 (Presentation) và sự sụp đổ của SSL 3.0. Hôm nay, chúng ta sẽ đặt giao thức TLS lên “bàn mổ” Wireshark để soi kỹ từng bước trong quá trình đàm phán bảo mật. Hãy cùng giải phẫu các gói tin Client Hello, Server Hello và bóc tách ý nghĩa của bộ công cụ mật mã hiện đại như ECDHE hay CHACHA20_POLY1305.

1. Bức tranh toàn cảnh TLS Handshake

Trước khi mã hóa bất kỳ dữ liệu thực tế nào (Application Data), máy khách và máy chủ phải thiết lập các quy tắc chung thông qua quá trình bắt tay TLS (TLS Handshake). Quá trình này chỉ được bắt đầu sau khi hai thiết bị đã thiết lập xong kết nối vật lý qua TCP 3-Way Handshake ở Tầng 4.

Các bước cơ bản của quy trình diễn ra như sau:

Client Hello: Máy khách (như trình duyệt của bạn) gửi lời chào, kèm theo danh sách các bộ công cụ mật mã (Cipher Suites) mà máy của bạn có thể hỗ trợ.
Server Hello: Máy chủ nhận lời chào, so sánh và chọn ra một bộ công cụ duy nhất tốt nhất để hai bên cùng sử dụng.
Certificate & Key Exchange: Máy chủ gửi chứng chỉ (Certificate) để chứng minh danh tính, sau đó hai bên tiến hành trao đổi Khóa phiên (Session Key).
Finished: “Đường hầm” mã hóa chính thức hoàn tất. Từ thời điểm này, mọi dữ liệu HTTP mới bắt đầu được truyền đi dưới dạng ẩn danh (Encrypted Application Data).

2. Đọc hiểu Client Hello trên Wireshark

Chúng ta sẽ sử dụng bộ lọc tls.handshake.type == 1 trên Wireshark để xem máy khách mang những gì đến “buổi đàm phán” ban đầu.

# Bộ lọc Wireshark để tìm gói tin Client Hello
# IP máy khách: 192.168.1.14 | IP máy chủ đích: 72.34.249.208

Handshake Protocol: Client Hello
 Handshake Type: Client Hello (1)
 Length: 1910
 Version: TLS 1.2 (0x0303)
 Random: a0c794e5688f06092ca15a0a7c7452952d79b8af66b763645a55c5d0689b60dd
 Session ID Length: 32
 Session ID: 5f9fe71acbee191437c11861cf72ad48870cb6bb38d3fd5e0bbe731b6e52a7c7
 Cipher Suites Length: 32
 Cipher Suites (16 suites)
 Cipher Suite: TLS_ECDHE_ECDSA_WITH_AES_256_GCM_SHA384 (0xc02c)
 Cipher Suite: TLS_ECDHE_RSA_WITH_CHACHA20_POLY1305_SHA256 (0xcca8)
 [...]

Trong gói tin này, trường thông tin mang tính sống còn nhất là Cipher Suites (16 suites). Trình duyệt của bạn đang gửi một danh sách gồm 16 thuật toán mật mã khác nhau và truyền đạt thông điệp: “Đây là tất cả những vũ khí bảo mật mà tôi có, Server hãy chọn ra một cái nhé!”.

3. Giải phẫu Cipher Suite (Thuật toán CHACHA20_POLY1305)

Ngay sau Client Hello, Server sẽ đáp lại bằng gói Server Hello (bộ lọc tls.handshake.type == 2) và chốt lại một “bộ công cụ mật mã” duy nhất. Giả sử Server đã chọn TLS_ECDHE_RSA_WITH_CHACHA20_POLY1305_SHA256.

Dưới góc độ một SOC Analyst, bạn bắt buộc phải biết cách “dịch” chuỗi mã này từ trái sang phải:

TLS: Tên giao thức nền tảng đang sử dụng.
ECDHE (Elliptic Curve Diffie-Hellman Ephemeral): Thuật toán dùng để trao đổi khóa. Chữ “E” (Ephemeral) đảm bảo tính Perfect Forward Secrecy — mỗi phiên làm việc có một khóa riêng. Ngay cả khi hacker đánh cắp được Khóa bí mật tĩnh của máy chủ vào ngày mai, chúng cũng không thể dùng nó để giải mã các gói tin Wireshark bắt được từ hôm nay.
RSA: Thuật toán xác thực danh tính. Dùng để chứng minh với máy khách rằng Server thực sự là đúng địa chỉ (thông qua Certificate).
CHACHA20_POLY1305: Thuật toán mã hóa đối xứng — phần lõi dùng để xáo trộn dữ liệu. Cực kỳ hiện đại, chạy mượt mà và tiết kiệm pin trên thiết bị di động so với thuật toán AES cũ.
SHA256: Thuật toán băm dùng cho HMAC, đảm bảo không một ai có thể thay đổi dù chỉ 1 bit dữ liệu trên đường truyền mà không bị phát hiện.

4. Giải mã dữ liệu TLS trong thực chiến (Decryption)

Bình thường, khi bạn soi các gói tin sau quá trình Handshake, bạn sẽ chỉ thấy một vùng xám xịt mang tên Encrypted Application Data chứa toàn ký tự rác. Để phục vụ công tác điều tra phân tích mạng (Network Forensics), chúng ta có thể ép trình duyệt nhả “Khóa phiên” (Session Key) ra một file log, sau đó nạp file này vào Wireshark để giải mã toàn bộ luồng dữ liệu.

Cảnh báo bảo mật: Cú pháp dưới đây thiết lập biến môi trường để trích xuất khóa mã hóa riêng tư. Chỉ được phép thực hiện trên môi trường Lab hoặc máy phân tích cách ly. Tuyệt đối không chạy lệnh này trên máy tính của người dùng thực tế vì nó sẽ làm lộ toàn bộ dữ liệu duyệt web (tài khoản, mật khẩu) của họ!

# Chỉ định đường dẫn file log để lưu Session Key của trình duyệt
export SSLKEYLOGFILE=~/tls_keys.log

# Mở trình duyệt Firefox từ terminal hiện tại để bắt đầu ghi nhận khóa
firefox &

Sau khi cấu hình Wireshark trỏ đến file tls_keys.log này (trong mục Preferences > Protocols > TLS), phép màu sẽ xảy ra. Các gói tin vốn bị mã hóa đen đặc giờ đây sẽ hiển thị thêm một tab Decrypted TLS. Bạn sẽ thấy rõ nguyên hình dữ liệu HTTP/2 trần trụi, bao gồm các phương thức GET/POST hay các chuỗi Header rõ ràng.

Việc đọc hiểu tường tận các bộ Cipher Suites và quy trình TLS Handshake giúp Blue Team đánh giá chính xác chất lượng bảo mật của các kết nối đang diễn ra trên hệ thống. Dù Tầng 6 đã tạo ra một đường hầm mã hóa kiên cố, nhưng chính những ứng dụng ở Tầng trên cùng mới là mục tiêu bị tin tặc khai thác nhiềutích “góc khuất ngây thơ” của hệ thống phân giải tên miền (DNS) và quá trình xin cấp phát IP của DHCP. Các bạn đừ nhất. Trong Bài 8 tiếp theo, chúng ta sẽ chính thức bước vào Lớp Ứng dụng (Application Layer - OSI 7) để phân ng bỏ lỡ nhé!

Một gói tin được cấu tạo thế nào

Wed, 20 May 2026 08:00:00 +0700

Chào mừng các bạn đến với Series Giải phẫu Mạng (Network Anatomy) & Packet Analysis! Nếu trong series trước, chúng ta đã trở thành những “bác sĩ pháp y” mổ xẻ nội tạng của hệ điều hành Windows, thì ở series này, chúng ta sẽ bước ra không gian bên ngoài: Hệ thống Mạng. Đối với một SOC Analyst, nếu bạn không biết cách đọc một gói tin (Packet), bạn sẽ bị mù hoàn toàn trước các cuộc tấn công nhắm vào máy chủ. Hãy cùng khởi động bằng việc tìm hiểu bộ khung xương sống của vạn vật trên Internet: Mô hình OSI và công cụ Wireshark.

1. Bức tranh toàn cảnh: Mô hình OSI và TCP/IP

Để các thiết bị từ các nhà sản xuất khác nhau (Apple, Lenovo, Cisco…) có thể nói chuyện được với nhau, Tổ chức Tiêu chuẩn hóa Quốc tế đã tạo ra một bộ quy tắc chung gọi là Mô hình OSI (Open Systems Interconnection). Nó chia quá trình mạng phức tạp thành 7 tầng riêng biệt.

Từ trên xuống dưới, 7 tầng này bao gồm:

Tầng 7 - Application (Ứng dụng): Nơi dữ liệu có ý nghĩa với con người (như giao thức HTTP, DNS, SSH, FTP). Hầu hết các cuộc tấn công hiện đại như SQL Injection đều nhắm vào tầng này.
Tầng 6 - Presentation (Trình bày): Làm nhiệm vụ thông dịch, nén và đặc biệt là Mã hóa (như SSL/TLS) để bảo mật dữ liệu.
Tầng 5 - Session (Phiên): Thiết lập, duy trì và quản lý phiên kết nối (Session ID) giữa 2 thiết bị.
Tầng 4 - Transport (Giao vận): Kiểm soát truyền tải bằng TCP (tin cậy) hoặc UDP (tốc độ). Nó chia dữ liệu thành các đoạn nhỏ và dùng số Cổng (Port) để định tuyến đến đúng ứng dụng.
Tầng 3 - Network (Mạng): Quản lý địa chỉ logic (IP) và tìm đường đi (Routing) tốt nhất trên môi trường Internet.
Tầng 2 - Data Link (Liên kết dữ liệu): Quản lý địa chỉ vật lý (MAC) để các thiết bị nói chuyện trực tiếp với nhau trong cùng một mạng LAN.
Tầng 1 - Physical (Vật lý): Chuyển đổi dữ liệu nhị phân (0 và 1) thành các xung điện, ánh sáng hoặc sóng vô tuyến (Wi-Fi) truyền trên dây cáp vật lý.

Trong thực tế triển khai, người ta thường gộp mô hình này lại cho gọn nhẹ thành Mô hình TCP/IP (4 Lớp): Lớp Ứng dụng (gộp tầng 5,6,7), Lớp Giao vận (tầng 4), Lớp Internet (tầng 3), và Lớp Giao diện mạng (gộp tầng 1,2).

2. Hành trình của một dữ liệu: Đóng gói (Encapsulation)

Khi bạn bấm nút “Gửi” một tin nhắn, dữ liệu không bay thẳng vèo sang máy bên kia. Nó phải trải qua quá trình Đóng gói (Encapsulation) - nghĩa là đi qua mỗi tầng sẽ bị bọc thêm một lớp vỏ (Header) mới.

Dữ liệu thô (Data): Được sinh ra ở tầng Ứng dụng.
Segment / Datagram: Xuống Tầng 4, nó được dán thêm Header của TCP hoặc UDP chứa thông tin Cổng (Port).
Packet (Gói tin): Xuống Tầng 3, nó được bọc thêm IP Header chứa IP Nguồn và IP Đích.
Frame (Khung): Xuống Tầng 2, nó tiếp tục được dán thêm địa chỉ MAC Nguồn và MAC Đích.
Bits: Cuối cùng, chiếc card mạng (NIC) biến toàn bộ Frame đó thành các tia điện hoặc sóng Wi-Fi đẩy ra ngoài (Lớp 1).

Khi đến máy nhận, quá trình ngược lại gọi là Mở gói (Decapsulation) sẽ diễn ra: Lột dần từng lớp vỏ từ dưới lên trên để lấy dữ liệu thực.

3. Đặt gói tin lên “bàn mổ” Wireshark

Wireshark chính là kính hiển vi của SOC Analyst. Nó bắt được chính xác cấu trúc đóng gói mà ta vừa học. Khi bạn click vào một gói tin bất kỳ trên Wireshark, giao diện chi tiết ở khung bên dưới sẽ phản ánh đúng thứ tự của mô hình OSI.

Hãy cùng giải phẫu các thành phần cốt lõi của một gói tin:

3.1 Lớp 1 (Physical) - Mục Frame

Đây là các siêu dữ liệu vật lý mà card mạng ghi nhận được:

Frame Length: Kích thước thực sự của gói tin khi chạy trên dây cáp (ví dụ: 96 bytes (768 bits)).
Arrival Time: Thời gian chính xác đến từng micro giây mà gói tin chạm vào card mạng.
Interface id: Tên card mạng đang bắt gói tin (ví dụ: wlp8s0 trên Linux).
Protocols in frame: Wireshark tóm tắt luôn các lớp vỏ bên trong: eth:ethertype:ip:tcp:dns (Gói DNS chạy trên TCP, bọc bởi IP và Ethernet).

3.2 Lớp 2 (Data Link) - Mục Ethernet II

Đây là nơi địa chỉ vật lý (MAC Address) làm chủ cuộc chơi:

Source (Src) & Destination (Dst): Địa chỉ MAC (gồm 48 bit) của máy gửi và máy nhận (thường là Router để đi ra Internet).
Type: Một ID cực kỳ quan trọng báo hiệu cho card mạng biết lớp vỏ tiếp theo là gì. Nếu là IPv4 (0x0800), nó sẽ chuyển lên cho giao thức IPv4 xử lý. Nếu là 0x86dd, đó là IPv6.

3.3 Lớp 3 (Network) - Mục IPv4

Bóc lớp Ethernet ra, chúng ta thấy bộ định tuyến Internet:

Source Address & Destination Address: Địa chỉ IP logic của máy gửi và máy đích.
Time to Live (TTL): “Tuổi thọ” của gói tin. Mỗi khi đi qua một con Router, số này bị trừ đi 1 để tránh gói tin chạy vòng vòng mãi mãi. Nếu thấy TTL = 64, hệ thống nguồn có khả năng cao là chạy nhân Linux.
Flags: Các lá cờ điều khiển. Ví dụ cờ 0x2, Don't fragment dặn các thiết bị mạng rằng: “Tuyệt đối không xé nhỏ gói tin này ra”.
Protocol: Giống như Type ở Lớp 2, trường này (ví dụ: TCP (6) hoặc UDP (17)) sẽ ra lệnh cho hệ điều hành biết giao thức Tầng 4 nào sẽ phải xử lý tiếp theo.
Header Checksum: Dãy mã (như 0xe861) dùng để đảm bảo các thông tin (IP, TTL) không bị hỏng hóc hay thay đổi bit trong quá trình truyền.

3.4 Lớp 4 (Transport) - Transmission Control Protocol (TCP)

Bên trong cùng, chúng ta sẽ thấy cổng giao tiếp và luật chơi:

Source Port & Destination Port: Ví dụ máy bạn dùng cổng ngẫu nhiên 58610 để gõ cửa cổng HTTPS (443) của Facebook.
Sequence & Acknowledgment: Các con số giúp TCP sắp xếp lại thứ tự dữ liệu cho đúng và đảm bảo không gói tin nào bị rơi rớt.

3.5 Tầng 5, 6, 7: Nơi “Gói tin” biến mất và nhường chỗ cho “Dữ liệu” (Application Data)

Nếu bạn tinh mắt quan sát trên Wireshark, bạn sẽ thấy sau khi đi qua lớp TCP/UDP (Tầng 4), các lớp phía trên (Tầng 5 - Session, Tầng 6 - Presentation, Tầng 7 - Application) thường không được chia thành các mục riêng biệt rõ ràng như lớp MAC hay lớp IP, mà chúng hòa quyện lại thành một mục gọi là Application Data (như DNS, HTTP, TLS) Quá trình Wireshark “Giải mã” và hiển thị: Khi Wireshark bắt được luồng điện từ card mạng, nó thực hiện quá trình Decapsulation (Mở gói) đi ngược từ dưới lên trên. Nó bóc lớp vỏ Ethernet (Tầng 2) để lấy địa chỉ MAC, bóc tiếp lớp IP (Tầng 3) để lấy địa chỉ IP, và bóc lớp TCP (Tầng 4) để lấy số Port. Khi bóc đến Tầng 4 xong, phần lõi còn lại được đẩy thẳng lên Tầng Ứng dụng (Layer 7). Lúc này:

Nếu là giao thức không mã hóa (như HTTP, DNS, FTP): Wireshark sẽ “đọc hiểu” và phơi bày trần trụi toàn bộ văn bản, tài khoản, mật khẩu (Clear-text) cho bạn xem.
Nếu dữ liệu đã đi qua Tầng 6 (Presentation) và bị mã hóa bởi SSL/TLS: Wireshark sẽ gom lại và hiển thị dưới dạng một khối Encrypted Application Data chứa toàn các ký tự rác mà con người (và cả hacker) không thể đọc được

Như vậy, chúng ta đã nắm được “bản đồ kho báu” của mạng máy tính và biết cách sử dụng Wireshark để đọc những lớp vỏ cơ bản nhất. Bất kỳ một công cụ bảo mật nào (Firewall, IDS/IPS) cũng đều dựa trên nguyên lý đọc các lớp Header này để chặn/mở. Ở Bài 2 tiếp theo, chúng ta sẽ lặn sâu hơn vào Tầng 2 & 3, phân tích các giao thức kết nối nền tảng (ARP, ICMP) và trực tiếp đóng vai Hacker để thực hiện đòn tấn công mạo danh MAC (MAC Spoofing). Hẹn gặp lại các bạn!