Mức độ sẵn sàng trước rủi ro hậu lượng tử cần được sớm triển khai và kiểm định độc lập

HO CHI MINH , VIETNAM, October 23, 2026 /EINPresswire.com/ -- Doanh nghiệp không nên đợi đến khi máy tính lượng tử phá được các chuẩn mã hóa hiện nay rồi mới hành động, TS. Peter Huỳnh, Chủ tịch APAC của SpecterAI Quantum Security, khẳng định tại diễn đàn HPT D-DAY 2026 ngày 15/10 tại GEM Center.

Tại phiên chuyên đề Real Security – An toàn Thông tin và An ninh Hậu lượng tử với nội dung chia sẻ về “Mức độ sẵn sàng an toàn hậu lượng tử: Từ phát hiện đến kiểm định độc lập”, ông đã phác thảo lộ trình các bước chuẩn bị và phương pháp kiểm chứng mức độ sẵn sàng cho các ngân hàng. Sự kiện do Công ty Cổ phần Dịch vụ Công nghệ Tin học HPT tổ chức với chủ đề R³: Real Technology, Real Operation, Real Result, trong đó SpecterAI là đối tác đồng hành.

Cuộc tấn công đã và đang diễn ra
Mở đầu bài trình bày, TS. Huỳnh nhấn mạnh rủi ro đến từ nguy cơ “Thu thập trước, giải mã sau” (harvest now, decrypt later): tin tặc sao chép dữ liệu mã hóa ngay từ bây giờ, lưu trữ với chi phí rẻ và kiên nhẫn chờ cho đến khi máy tính lượng tử đủ sức bẻ khóa lớp mật mã đang bảo vệ chúng.

“Dữ liệu bị đánh cắp đang diễn ra ngay lúc này, chỉ có khâu giải mã là ở giai đoạn sau,” ông chia sẻ. “ Câu hỏi thực sự là: những dữ liệu mật nào cần được bảo vệ trong 10 đến 20 năm tới và hiện chúng có đang đi qua những hệ thống mạng được bảo vệ bằng mã hóa RSA hay ECC không”

Điểm yếu cốt tử nằm ở mật mã khóa công khai. RSA và ECC bảo vệ giao thức TLS cùng chữ ký số sẽ bị thuật toán Shor bẻ gãy hoàn toàn; còn AES-256 bị suy giảm an toàn nhưng chưa bị phá vỡ. NIST đã chuẩn hóa các thuật toán thay thế: ML-KEM (FIPS 203) cho thiết lập khóa, ML-DSA (FIPS 204) và SLH-DSA (FIPS 205) cho chữ ký.

Thay vì đưa ra dự đoán về mốc thời gian máy tính lượng tử hoàn thành, ông đã sử dụng bất đẳng thức của giáo sư Michele Mosca ông phân tích: nếu thời gian dữ liệu cần bảo mật (X) cộng thời gian chuyển đổi hệ thống (Y) lớn hơn thời gian xuất hiện máy tính lượng tử đủ mạnh (Z), thì dữ liệu đang được bảo vệ hiện tại thực chất đã nằm trong vùng rủi ro. “Đòn bẩy duy nhất lãnh đạo kiểm soát là biến số Y, và cách duy nhất để rút ngắn Y là triển khai ngay một lộ trình chuyển đổi PQC chặt chẽ.”

Lộ trình 5 giai đoạn hướng tới sẵn sàng an toàn lượng tử bao gồm:
1. Phát hiện (Discover): Lập danh mục tài sản mật mã đầy đủ, bao gồm mã nguồn cố định (hard-coded) trong ứng dụng mobile banking, khóa trong thiết bị ATM/POS và hệ thống lõi (core banking).
2. Phân loại (Classify): Xếp hạng dữ liệu theo thời gina cần được giữa bí mật. Mã OTP hết hạn sau vài phút, nhưng dữ liệu KYC, hợp đồng vay 30 năm hay chứng thư số gốc thì không. Đặc biệt là dữ liệu sinh trắc học: “Mật khẩu có thể đổi sau 30 giây, nhưng không ai đổi được khuôn mặt hay vân tay.”
3. Đánh giá (Assess): Ưu tiên theo rủi ro thực tế thay vì mức độ hiển thị. Cần ưu tiên nâng cấp mô-đun bảo mật phần cứng (HSM); nếu HSM không hỗ trợ thuật toán hậu lượng tử, toàn bộ lộ trình chuyển đổi sẽ tê liệt.
4. Chuyển đổi (Migrate): Triển khai mật mã lai (như X25519 kết hợp ML-KEM-768 trong TLS 1.3); thiết kế tính linh hoạt mật mã (crypto-agility) để thuật toán có thể cấu hình động; đưa yêu cầu an toàn lượng tử vào hợp đồng mua sắm.
5. Kiểm định (Validate): Xác nhận bằng chứng thực tế rằng thuật toán hậu lượng tử đang chạy ổn định trên môi trường vận hành thực (production).

Ở khâu kiểm định, ông cảnh báo rủi ro hiện tượng “ hạ cấp thầm lặng” (silent fallback): tương tự điện thoại 5G tự rớt về 4G, kết nối lai có thể âm thầm hạ cấp về mật mã cũ nếu đối tác chưa hỗ trợ thuật toán mới. Giao dịch vẫn chạy, đèn hệ thống vẫn xanh, nhưng lớp bảo vệ lượng tử đã mất.

Thông điệp cốt lõi: Độc lập khách quan
“Không tổ chức nào lại tự mình kiểm định độc lập một công việc do chính mình thực hiện,” TS. Huỳnh khẳng định. “Đây không phải là đánh giá về năng lực của bất kỳ ai. Đội ngũ đã thiết kế và cấu hình hệ thống thường khó nhận ra những lỗi mà họ không lường trước bởi vì họ xây dựng hệ thống dựa trên giả định của chính họ.”
Ngành ngân hàng vốn đã áp dụng nguyên tắc trên trong kiểm toán nội bộ hay kiểm thử xâm nhập. Theo ông, đội ngũ nội bộ nên phụ trách khảo sát, phân loại, đánh giá và chuyển đổi, còn khâu kiểm định cần được thực hiện bởi bên thứ ba độc lập.

Khép lại phần trình bày, ông đúc kết 3 nguyên tắc:
- Tách bạch xây dựng và kiểm tra: Đội triển khai không nên đồng thời tự kiểm định.
- Xác định tiêu chí chứng minh trước khi chuyển đổi: Quy định rõ thế nào là “sẵn sàng” và cách kiểm chứng.
- Kiểm định liên tục: Do hệ thống, đối tác và các bản vá luôn biến động .
“Quá trình chuyển đổi cần người hiểu rõ hệ thống nhất, nhưng sự bảo đảm hệ thống được triển khai đã an toàn chỉ có thể đến từ góc nhìn độc lập,” ông kết luận.

Duc Mai - General Counsel
Specter AI Quantum Security
+84 93 421 14 84
Visit us on social media:
LinkedIn
Facebook
YouTube