28 câu hỏi từ primitive đến production

Không, chỉ encoding và decode công khai. Follow-up: Base64 thường xuất hiện ở đâu trong key/token format?

Không nên gọi vậy: hash không có key/decrypt và dùng cho digest. Follow-up: preimage khác collision?

Không; quá nhanh trước offline guessing. Dùng Argon2id/scrypt/bcrypt/PBKDF2 với salt và cost. Follow-up: chọn cost thế nào?

Không; cần random/unique mỗi password để phá rainbow table và duplicate hash. Follow-up: pepper khác gì?

HMAC có secret key nên xác thực integrity và nguồn sở hữu key; hash thường không. Follow-up: vì sao không dùng hash(key||message)?

Có thể làm non-security checksum trong context rõ, không dùng cho chữ ký/collision-sensitive security. Follow-up: attacker lợi dụng collision thế nào?

Cùng secret key encrypt/decrypt; nhanh nhưng phân phối và bảo vệ key khó. Follow-up: multi-tenant key hierarchy?

AES là block cipher; GCM/CBC/CTR là mode/construction. Follow-up: vì sao ECB lộ pattern?

Confidentiality và integrity/authenticity của ciphertext, cộng AAD. Follow-up: AAD nên chứa gì?

Thường không, nhưng phải đáp ứng uniqueness/randomness theo algorithm. Follow-up: GCM nonce reuse gây gì?

Reject toàn bộ, không dùng plaintext và không trả oracle chi tiết. Follow-up: log thế nào an toàn?

Authenticated symmetric token recipe của Python cryptography, AES-CBC + HMAC, timestamp/versioned. Follow-up: metadata nào bị lộ?

Không; Fernet decrypt được bằng key, password verification cần password KDF. Follow-up: nếu muốn derive Fernet key từ password?

Encrypt key đầu, decrypt thử danh sách; rotate re-encrypt token bằng primary mới. Follow-up: khi nào bỏ old key?

Không; giới hạn message và chậm. Dùng hybrid: AEAD cho data, RSA-OAEP wrap DEK. Follow-up: envelope chứa field nào?

Padding randomized an toàn hơn cho RSA encryption; textbook RSA deterministic/insecure. Follow-up: hash/MGF parameters phải tương thích thế nào?

Không, nhưng cần xác thực đúng owner để tránh key substitution. Follow-up: certificate giải quyết phần nào?

Không; cung cấp integrity/authenticity, content vẫn đọc được. Follow-up: encrypt-then-sign hay sign-then-encrypt?

PSS cho signature, OAEP cho encryption. Follow-up: PKCS#1 v1.5 legacy risks?

Không; JWS payload thường chỉ Base64URL. Confidentiality cần JWE hoặc channel/storage control. Follow-up: nên đặt PII trong token?

Chain/trust anchor, hostname, validity, constraints/EKU và revocation policy. Follow-up: pinning rotation caveat?

KMS quản cryptographic keys/operations; secret manager quản secret values/lifecycle, thường dùng KMS bên dưới. Follow-up: envelope encryption giảm KMS calls sao?

DEK mã hóa data; KEK wrap/protect DEK. Follow-up: rotate KEK có cần re-encrypt data?

Thường không; là routing/version metadata, nhưng vẫn tránh lộ topology không cần thiết. Follow-up: thiếu key ID gây rotation issue gì?

New-write bằng primary mới, dual-read old/new, migrate/rewrap có metrics rồi retire old. Follow-up: rollback?

MAC/tag/password verifier/signature-adjacent secrets để giảm timing leakage. Follow-up: network noise có loại bỏ risk?

Hầu như không; dùng vetted library/construction/protocol và test vectors. Follow-up: review checklist cho library choice?

Xác định algorithm/version/key ID/provider, encoding, nonce/AAD, clock, rotation state và exact error class; không log key/plaintext. Follow-up: evidence nào tái lập an toàn?