Tổng quan Java Security Architecture

Mục tiêu bài học

Sau bài này, bạn sẽ:

Hiểu được kiến trúc bảo mật tổng thể của Java Platform
Nắm được vai trò của JCA (Java Cryptography Architecture) và JCE (Java Cryptography Extension)
Hiểu mô hình Provider-based architecture
Biết về Security Manager (deprecated) và lý do nó bị loại bỏ
Nhận biết các mối đe doạ phổ biến và cách Java giúp phòng chống

Tại sao Java Security quan trọng?

Bảo mật là yêu cầu không thể thiếu trong mọi ứng dụng production. Từ ứng dụng web, mobile backend đến hệ thống ngân hàng — tất cả đều cần bảo vệ dữ liệu người dùng, xác thực danh tính và mã hoá thông tin nhạy cảm.

Java cung cấp một hệ sinh thái bảo mật toàn diện ngay từ trong platform, giúp developer không phải tự implement các thuật toán mã hoá phức tạp.

💡 Hình dung: JCA giống như ổ cắm điện chuẩn — bạn cắm phích (gọi API getInstance()) mà không cần biết dây điện bên trong nối thế nào (Provider implementation). Muốn đổi nhà cung cấp điện? Chỉ cần đổi "ổ cắm" (thay Provider), thiết bị vẫn chạy bình thường.

Kiến thức cần có trước khi học module này

Hiểu Class, Object, Interface (Module 2-3)
Exception Handling cơ bản (Module 5)
I/O cơ bản (Module 8)

Java Security Architecture — Bức tranh tổng thể

Java Security được thiết kế theo mô hình layered (phân tầng), trong đó mỗi tầng có trách nhiệm riêng:

Tầng	Vai trò	Ví dụ
Application Code	Gọi API bảo mật	`MessageDigest.getInstance("SHA-256")`
Security API	Định nghĩa interface chuẩn	`java.security`, `javax.crypto`
Provider SPI	Cầu nối giữa API và implementation	`java.security.Provider`
Implementation	Thuật toán cụ thể	SUN provider, Bouncy Castle

Provider-based Design

Thiết kế theo Provider giúp bạn thay đổi implementation mà không cần sửa code. Ví dụ: chuyển từ SUN provider sang Bouncy Castle chỉ cần thay đổi configuration.

JCA — Java Cryptography Architecture

JCA là nền tảng của hệ thống bảo mật Java, cung cấp framework cho:

Các thành phần chính

// 1. MessageDigest — Hashing
MessageDigest md = MessageDigest.getInstance("SHA-256");
byte[] hash = md.digest("Hello".getBytes());

// 2. Signature — Chữ ký số
Signature sig = Signature.getInstance("SHA256withRSA");

// 3. KeyPairGenerator — Tạo cặp khoá
KeyPairGenerator kpg = KeyPairGenerator.getInstance("RSA");

// 4. KeyStore — Lưu trữ khoá
KeyStore ks = KeyStore.getInstance("PKCS12");

// 5. SecureRandom — Số ngẫu nhiên an toàn
SecureRandom sr = SecureRandom.getInstanceStrong();

Engine Class	Chức năng	Package
`MessageDigest`	Hash (SHA-256, SHA-512)	`java.security`
`Signature`	Chữ ký số (RSA, ECDSA)	`java.security`
`KeyPairGenerator`	Tạo cặp khoá public/private	`java.security`
`KeyStore`	Lưu trữ khoá và chứng chỉ	`java.security`
`SecureRandom`	Tạo số ngẫu nhiên an toàn	`java.security`
`Cipher`	Mã hoá/giải mã	`javax.crypto`
`Mac`	Message Authentication Code	`javax.crypto`
`KeyGenerator`	Tạo khoá đối xứng	`javax.crypto`

Pattern chung: `getInstance()`

Tất cả engine class trong JCA đều dùng factory pattern thông qua getInstance():

JCAExample.java
import java.security.MessageDigest;
import java.security.NoSuchAlgorithmException;

public class JCAExample {
    public static void main(String[] args) {
        try {
            // Dùng provider mặc định
            MessageDigest md1 = MessageDigest.getInstance("SHA-256");

            // Chỉ định provider cụ thể
            MessageDigest md2 = MessageDigest.getInstance("SHA-256", "SUN");

            System.out.println("Provider: " + md1.getProvider().getName());
            // Output: Provider: SUN
        } catch (Exception e) {
            e.printStackTrace();
        }
    }
}

Engine-SPI Deep Dive

Tất cả engine class trong JCA (MessageDigest, Cipher, Signature...) đều hoạt động theo mô hình Engine-SPI (Service Provider Interface):

Cách `getInstance()` tìm Provider

Khi bạn gọi getInstance("SHA-256"), JCA thực hiện quy trình sau:

Duyệt danh sách providers theo thứ tự ưu tiên (index 1 = cao nhất)
Tìm provider đầu tiên hỗ trợ thuật toán được yêu cầu
Trả về instance từ provider đó

getInstance() Variants
// Variant 1: Provider mặc định (tìm theo thứ tự ưu tiên)
MessageDigest md = MessageDigest.getInstance("SHA-256");

// Variant 2: Chỉ định provider bằng tên (String)
MessageDigest md = MessageDigest.getInstance("SHA-256", "SUN");

// Variant 3: Chỉ định provider bằng object (Provider)
Provider bc = Security.getProvider("BC");
MessageDigest md = MessageDigest.getInstance("SHA-256", bc);

Thứ tự ưu tiên Provider

ProviderPriority.java
import java.security.Security;
import org.bouncycastle.jce.provider.BouncyCastleProvider;

// insertProviderAt() — position 1 = ưu tiên CAO NHẤT
Security.insertProviderAt(new BouncyCastleProvider(), 1);
// Giờ BC là provider đầu tiên được kiểm tra

// addProvider() — thêm vào cuối danh sách (ưu tiên thấp nhất)
Security.addProvider(new BouncyCastleProvider());

// removeProvider() — gỡ provider
Security.removeProvider("BC");

File $JAVA_HOME/conf/security/java.security cấu hình danh sách provider mặc định:

java.security (trích)
security.provider.1=SUN
security.provider.2=SunRsaSign
security.provider.3=SunEC
security.provider.4=SunJSSE
security.provider.5=SunJCE

OCP Trap — NoSuchAlgorithmException là checked exception

getInstance() throw NoSuchAlgorithmException — đây là checked exception (extends GeneralSecurityException). Bạn phải catch hoặc declare nó. Đề thi OCP thường cho code không có try-catch và hỏi "compile hay không?"

// ❌ Compile error — checked exception không được handle
MessageDigest md = MessageDigest.getInstance("SHA-256");

// ✅ Phải catch hoặc throws
try {
    MessageDigest md = MessageDigest.getInstance("SHA-256");
} catch (NoSuchAlgorithmException e) {
    throw new RuntimeException("SHA-256 not available", e);
}

OCP Trap — Provider Priority

insertProviderAt(provider, 1) = ưu tiên cao nhất (index 1, không phải 0). Nhiều thí sinh nhầm vì Java thường đánh index từ 0. Nếu addProvider() — provider được thêm vào cuối danh sách = ưu tiên thấp nhất.

📖 Theo Oracle JCA Reference Guide

JCA được thiết kế theo nguyên tắc "algorithm independence" và "implementation independence". Application code chỉ tương tác với API layer (engine classes), không phụ thuộc vào bất kỳ provider cụ thể nào. Điều này cho phép thay đổi provider mà không cần sửa application code.

Tham khảo: Oracle JCA Reference Guide

JCE — Java Cryptography Extension

JCE mở rộng JCA với các tính năng mã hoá mạnh hơn:

JCA (java.security)	JCE (javax.crypto)
Hashing, Signature	Encryption/Decryption
Key generation (asymmetric)	Key generation (symmetric)
KeyStore	SecretKey, Cipher
Certificate management	MAC (Message Authentication Code)

JCEExample.java
import javax.crypto.Cipher;
import javax.crypto.KeyGenerator;
import javax.crypto.SecretKey;

public class JCEExample {
    public static void main(String[] args) throws Exception {
        // Tạo khoá AES 256-bit
        KeyGenerator keyGen = KeyGenerator.getInstance("AES");
        keyGen.init(256);
        SecretKey secretKey = keyGen.generateKey();

        // Tạo Cipher để mã hoá
        Cipher cipher = Cipher.getInstance("AES/GCM/NoPadding");
        System.out.println("Algorithm: " + cipher.getAlgorithm());
        System.out.println("Provider: " + cipher.getProvider().getName());
    }
}

Provider Architecture

Provider là gì?

Provider là một package cung cấp implementation cụ thể cho các thuật toán bảo mật. Java cho phép cài đặt nhiều provider cùng lúc.

ListProviders.java
import java.security.Provider;
import java.security.Security;

public class ListProviders {
    public static void main(String[] args) {
        // Liệt kê tất cả provider đã cài đặt
        for (Provider provider : Security.getProviders()) {
            System.out.printf("%-20s version: %.1f%n",
                provider.getName(), provider.getVersion());
        }
    }
}

Output (Java 21)
SUN                  version: 21.0
SunRsaSign           version: 21.0
SunEC                version: 21.0
SunJSSE              version: 21.0
SunJCE               version: 21.0
SunJGSS              version: 21.0
SunSASL              version: 21.0
XMLDSig              version: 21.0
SunPCSC              version: 21.0
JdkLDAP              version: 21.0
JdkSASL              version: 21.0

Provider phổ biến

Provider	Mô tả	Khi nào dùng
SUN	Provider mặc định, cung cấp DSA, SHA	Đủ cho hầu hết trường hợp
SunJCE	AES, DES, Blowfish, HMAC	Mã hoá đối xứng
SunRsaSign	RSA signatures	Chữ ký số RSA
SunEC	Elliptic Curve Cryptography	ECDSA, ECDH
Bouncy Castle	Provider bên thứ ba, hỗ trợ nhiều thuật toán	Cần thuật toán không có sẵn

Thêm Provider bên thứ ba

AddBouncyCastleProvider.java
import java.security.Security;
import org.bouncycastle.jce.provider.BouncyCastleProvider;

public class AddBouncyCastleProvider {
    public static void main(String[] args) {
        // Thêm Bouncy Castle provider
        Security.addProvider(new BouncyCastleProvider());

        // Hoặc chèn vào vị trí ưu tiên cao nhất
        Security.insertProviderAt(new BouncyCastleProvider(), 1);

        // Sử dụng thuật toán từ Bouncy Castle
        // MessageDigest md = MessageDigest.getInstance("SHA3-256", "BC");
    }
}

Security Manager (Deprecated)

Deprecated từ Java 17, removed trong Java 24

Security Manager đã bị deprecated for removal từ Java 17 (JEP 411). Nội dung này chỉ mang tính tham khảo.

Security Manager là gì?

Security Manager kiểm soát quyền truy cập của code vào các tài nguyên hệ thống:

// Trước Java 17: Kiểm tra quyền truy cập file
SecurityManager sm = System.getSecurityManager();
if (sm != null) {
    sm.checkRead("/etc/passwd"); // Throws SecurityException nếu không có quyền
}

Quy trình xác thực quyền

Tại sao bị loại bỏ?

Lý do	Chi tiết
Hiệu suất	Mỗi thao tác đều phải kiểm tra permission → chậm
Phức tạp	Policy files khó viết, khó maintain
Ít được dùng	Hầu hết ứng dụng production không bật Security Manager
Alternatives tốt hơn	Container isolation, OS-level security, module system

Thay thế bằng gì?

// Thay vì Security Manager, dùng:
// 1. Module System (Java 9+) — kiểm soát truy cập packages
module com.example.app {
    exports com.example.app.api; // Chỉ export API public
}

// 2. OS-level isolation — Docker, SELinux, AppArmor
// 3. Principle of Least Privilege — chạy app với quyền tối thiểu

Threat Model — Các mối đe doạ phổ biến

Hiểu các mối đe doạ giúp bạn biết cần bảo vệ gì và bằng cách nào:

Mối đe doạ	Mô tả	Giải pháp Java
Eavesdropping	Nghe lén dữ liệu truyền đi	SSL/TLS, Encryption
Tampering	Sửa đổi dữ liệu	Digital Signatures, HMAC
Identity Spoofing	Giả mạo danh tính	Certificate, Authentication
Information Disclosure	Lộ thông tin nhạy cảm	Encryption, Access Control
Denial of Service	Làm hệ thống ngừng hoạt động	Input Validation, Rate Limiting
Injection	Chèn mã độc	PreparedStatement, Input Sanitization

CIA Triad

Ba trụ cột bảo mật thông tin:

Confidentiality (Bảo mật): Chỉ người được phép mới đọc được dữ liệu → Encryption
Integrity (Toàn vẹn): Dữ liệu không bị thay đổi trái phép → Hashing, Signatures
Availability (Sẵn sàng): Hệ thống luôn hoạt động → DoS protection

Ví dụ thực tế: Kiểm tra môi trường bảo mật

SecurityEnvironmentCheck.java
import java.security.Provider;
import java.security.Security;

public class SecurityEnvironmentCheck {
    public static void main(String[] args) {
        // 1. Kiểm tra Java version
        System.out.println("Java Version: " + System.getProperty("java.version"));
        System.out.println("Java Vendor: " + System.getProperty("java.vendor"));

        // 2. Kiểm tra số lượng provider
        Provider[] providers = Security.getProviders();
        System.out.println("\nSố lượng Security Providers: " + providers.length);

        // 3. Kiểm tra các thuật toán có sẵn cho MessageDigest
        System.out.println("\n--- MessageDigest Algorithms ---");
        for (Provider provider : providers) {
            provider.getServices().stream()
                .filter(s -> s.getType().equals("MessageDigest"))
                .forEach(s -> System.out.printf("  %-20s (Provider: %s)%n",
                    s.getAlgorithm(), provider.getName()));
        }

        // 4. Kiểm tra thuật toán Cipher có sẵn
        System.out.println("\n--- Cipher Algorithms ---");
        for (Provider provider : providers) {
            provider.getServices().stream()
                .filter(s -> s.getType().equals("Cipher"))
                .forEach(s -> System.out.printf("  %-30s (Provider: %s)%n",
                    s.getAlgorithm(), provider.getName()));
        }

        // 5. Kiểm tra Security Manager (deprecated)
        SecurityManager sm = System.getSecurityManager();
        System.out.println("\nSecurity Manager: " +
            (sm != null ? sm.getClass().getName() : "Not set"));
    }
}

Lỗi thường gặp

1. Hardcode thuật toán không kiểm tra:

// ❌ Sai — không xử lý NoSuchAlgorithmException
MessageDigest md = MessageDigest.getInstance("SHA-256");

// ✅ Đúng — luôn xử lý exception
try {
    MessageDigest md = MessageDigest.getInstance("SHA-256");
} catch (NoSuchAlgorithmException e) {
    throw new RuntimeException("SHA-256 not available", e);
}

2. Dùng thuật toán yếu/deprecated:

// ❌ Sai — MD5 và SHA-1 đã bị phá
MessageDigest md = MessageDigest.getInstance("MD5");
MessageDigest md2 = MessageDigest.getInstance("SHA-1");

// ✅ Đúng — dùng SHA-256 trở lên
MessageDigest md = MessageDigest.getInstance("SHA-256");

3. Tự implement thuật toán mã hoá:

// ❌ KHÔNG BAO GIỜ tự viết thuật toán mã hoá
public static String myEncrypt(String data) { ... }

// ✅ Luôn dùng JCA/JCE API
Cipher cipher = Cipher.getInstance("AES/GCM/NoPadding");

Bài tập

Bài 1: Liệt kê Security Providers `[Cơ bản]`

Viết chương trình liệt kê tất cả Security Provider đã cài đặt, kèm theo số lượng service mà mỗi provider cung cấp.

Gợi ý

Dùng Security.getProviders() và provider.getServices().size().

Bài 2: Kiểm tra thuật toán `[Trung bình]`

Viết method isAlgorithmAvailable(String type, String algorithm) kiểm tra xem một thuật toán cụ thể có sẵn trong hệ thống không. Test với các thuật toán: SHA-256, AES, RSA, SHA3-512.

Gợi ý

Thử getInstance() trong try-catch. Nếu NoSuchAlgorithmException → không có sẵn.

Bài 3: So sánh Provider `[Thách thức]`

Viết chương trình tìm tất cả thuật toán mà nhiều hơn 1 provider cung cấp. Hiển thị kết quả dạng bảng: Algorithm | Provider 1 | Provider 2 | ...

Gợi ý

Dùng Map<String, List<String>> để nhóm thuật toán theo tên, value là danh sách provider names.

Java Security Modules — Cấu trúc tổng quan

Sơ đồ tư duy dưới đây tóm tắt các module chính trong Java Security và các API quan trọng trong từng module:

Tóm tắt

Khái niệm	Mô tả
JCA	Framework cung cấp API bảo mật chuẩn (hashing, signature, key management)
JCE	Extension cho mã hoá đối xứng/bất đối xứng (Cipher, KeyGenerator)
Provider	Implementation cụ thể của thuật toán, có thể thay thế
Security Manager	Deprecated — dùng Module System và OS-level security thay thế
CIA Triad	Confidentiality, Integrity, Availability — ba trụ cột bảo mật

Key takeaways:

Java Security dựa trên Provider architecture — tách biệt API và implementation
Luôn dùng getInstance() factory method, không bao giờ tự implement thuật toán mã hoá
Chọn thuật toán mạnh: SHA-256+, AES-256, RSA-2048+
Security Manager đã deprecated — dùng giải pháp hiện đại thay thế

Ở bài tiếp theo, chúng ta sẽ đi sâu vào Mã hoá cơ bản với JCA — học cách hash dữ liệu, tạo số ngẫu nhiên an toàn và bảo vệ mật khẩu người dùng.

Bài 2: Mã hoá cơ bản với JCA →

Tại sao Java Security quan trọng?​

Java Security Architecture — Bức tranh tổng thể​

JCA — Java Cryptography Architecture​

Các thành phần chính​

Pattern chung: getInstance()​

Engine-SPI Deep Dive​

Cách getInstance() tìm Provider​

Thứ tự ưu tiên Provider​

JCE — Java Cryptography Extension​

Provider Architecture​

Provider là gì?​

Provider phổ biến​

Thêm Provider bên thứ ba​

Security Manager (Deprecated)​

Security Manager là gì?​

Quy trình xác thực quyền​

Tại sao bị loại bỏ?​

Thay thế bằng gì?​

Threat Model — Các mối đe doạ phổ biến​

Ví dụ thực tế: Kiểm tra môi trường bảo mật​

Lỗi thường gặp​

Bài tập​

Bài 1: Liệt kê Security Providers [Cơ bản]​

Bài 2: Kiểm tra thuật toán [Trung bình]​

Bài 3: So sánh Provider [Thách thức]​

Java Security Modules — Cấu trúc tổng quan​

Tóm tắt​

Tiếp theo​

Tại sao Java Security quan trọng?

Java Security Architecture — Bức tranh tổng thể

JCA — Java Cryptography Architecture

Các thành phần chính

Pattern chung: `getInstance()`

Engine-SPI Deep Dive

Cách `getInstance()` tìm Provider

Thứ tự ưu tiên Provider

JCE — Java Cryptography Extension

Provider Architecture

Provider là gì?

Provider phổ biến

Thêm Provider bên thứ ba

Security Manager (Deprecated)

Security Manager là gì?

Quy trình xác thực quyền

Tại sao bị loại bỏ?

Thay thế bằng gì?

Threat Model — Các mối đe doạ phổ biến

Ví dụ thực tế: Kiểm tra môi trường bảo mật

Lỗi thường gặp

Bài tập

Bài 1: Liệt kê Security Providers `[Cơ bản]`

Bài 2: Kiểm tra thuật toán `[Trung bình]`

Bài 3: So sánh Provider `[Thách thức]`

Java Security Modules — Cấu trúc tổng quan

Tóm tắt

Tiếp theo