Bảo mật secrets trong Git và ngăn ngừa rò rỉ credential trên production

Trong các dự án phát triển phần mềm tốc độ cao hoặc ứng dụng có sự tham gia của công cụ sinh mã tự động, việc vô tình đưa khóa truy cập (API keys, chuỗi kết nối cơ sở dữ liệu, khóa ký JWT, token dịch vụ đám mây) vào mã nguồn xảy ra rất thường xuyên. Chỉ cần một lần đẩy mã lên kho lưu trữ hoặc đóng gói nhầm vào tài nguyên tĩnh phía trình duyệt, hệ thống có thể đối mặt với nguy cơ bị truy cập trái phép hoặc phát sinh chi phí hạ tầng đột biến.

Bảo mật secrets trong Git và quản lý vòng đời thông tin xác thực (credential) là một trong những hàng rào bắt buộc trước khi đưa bất kỳ sản phẩm nào vào môi trường vận hành.

Bốn vị trí thường xảy ra rò rỉ credential nhất

Khi thực hiện rà soát bảo mật cho các ứng dụng, thông tin bí mật thường bị lộ qua bốn con đường chính mà đội phát triển ít để ý:

• Lịch sử commit trong kho mã Git: Một tệp cấu hình .env hoặc khóa riêng tư từng được commit trong quá khứ rồi xóa đi ở commit sau đó. Dù tệp không còn xuất hiện ở nhánh hiện tại, bất kỳ ai hoặc công cụ nào có quyền đọc kho mã đều có thể khôi phục toàn bộ chuỗi bí mật từ lịch sử đối tượng Git.
• Gói mã JavaScript gửi xuống trình duyệt (Client-side bundle): Các khung phát triển giao diện hiện đại tự động nhúng biến môi trường có tiền tố công khai (như PUBLIC_, VITE_, NEXT_PUBLIC_) vào tệp tĩnh. Nếu đặt nhầm khóa bí mật của máy chủ hoặc khóa quản trị cơ sở dữ liệu vào các biến này, người dùng bất kỳ đều có thể đọc trực tiếp qua công cụ kiểm tra mạng của trình duyệt.
• Nhật ký ứng dụng và thông báo lỗi (Logs và Stack traces): Khi kết nối cơ sở dữ liệu hoặc lời gọi API bên thứ ba thất bại, ứng dụng in nguyên chuỗi cấu hình, tiêu đề Authorization hoặc toàn bộ dữ liệu yêu cầu ra hệ thống ghi nhật ký tập trung.
• Tệp cấu hình CI/CD và ảnh container (Container images): Khóa truy cập được truyền trực tiếp qua câu lệnh ARG hoặc ENV trong lúc đóng gói image khiến khóa nằm lại vĩnh viễn trong siêu dữ liệu các tầng (layers) của image.

Nguyên tắc quản lý khóa bí mật và token theo vòng đời

Thay vì chỉ dựa vào sự cẩn thận của từng lập trình viên, hệ thống cần áp dụng các chốt chặn kỹ thuật xuyên suốt từ máy cá nhân tới môi trường vận hành:

• Tách biệt hoàn toàn mã nguồn và cấu hình nhạy cảm: Kho mã chỉ lưu trữ tệp mẫu (như .env.example) mô tả tên biến và định dạng mong đợi, không chứa giá trị thật. Khóa thật chỉ được tiêm vào ứng dụng tại thời điểm khởi chạy thông qua dịch vụ quản lý bí mật của nền tảng hạ tầng hoặc biến môi trường được mã hóa.
• Quét tự động trước khi commit và trên đường ống CI: Thiết lập công cụ quét chuỗi bí mật ở cả tầng máy trạm (pre-commit hook) và tầng kiểm tra tự động khi mở yêu cầu gộp mã để chặn đứng các chuỗi khớp mẫu khóa đám mây, token hoặc khóa riêng tư trước khi chúng đi vào nhánh chính.
• Áp dụng nguyên tắc đặc quyền tối thiểu (Least Privilege): Mỗi dịch vụ hoặc môi trường (development, staging, production) phải sử dụng bộ thông tin xác thực hoàn toàn tách biệt. Tài khoản kết nối cơ sở dữ liệu của ứng dụng web chỉ được cấp quyền đọc/ghi trên đúng các bảng nghiệp vụ cần thiết, không dùng chung tài khoản quản trị tối cao.
• Ưu tiên cơ chế xác thực ngắn hạn thay cho khóa tĩnh: Khi kết nối giữa đường ống CI/CD hoặc máy chủ ứng dụng với hạ tầng đám mây, ưu tiên dùng cơ chế cấp phát token tạm thời (như OIDC hoặc IAM Role) thay vì lưu trữ khóa truy cập tĩnh dài hạn.

Quy trình ứng phó khi phát hiện lộ thông tin xác thực

Một sai lầm phổ biến là chỉ xóa dòng chứa khóa trong mã nguồn rồi đẩy commit mới lên và coi như sự cố đã được khắc phục. Khi một credential đã lọt vào lịch sử Git, bản ghi log hoặc gói tài nguyên công khai, quy trình xử lý chuẩn bắt buộc phải coi khóa đó đã bị lộ hoàn toàn:

• Thu hồi và xoay vòng khóa ngay lập tức (Revoke và Rotate): Tạo khóa mới với phạm vi quyền hạn chặt chẽ, cập nhật lên môi trường vận hành, xác nhận hệ thống hoạt động bình thường rồi vô hiệu hóa vĩnh viễn khóa cũ trên nhà cung cấp dịch vụ.
• Đối soát nhật ký truy cập (Audit log review): Kiểm tra lịch sử sử dụng của khóa bị lộ trong khoảng thời gian từ lúc xuất hiện cho tới lúc bị thu hồi để xác định có truy vấn bất thường, hành vi tải dữ liệu hàng loạt hoặc tạo tài nguyên lạ hay không.
• Làm sạch lịch sử và bổ sung phép kiểm hồi quy: Loại bỏ tệp nhạy cảm khỏi lịch sử kho mã nếu cần thiết, đồng thời bổ sung quy tắc quét tự động để cùng một loại khóa không thể lọt qua lần thứ hai.

Bạn có thể kết hợp nội dung này với checklist sẵn sàng production cho ứng dụng AI và hướng dẫn chiến lược rollback không gián đoạn trong CI/CD để hoàn thiện quy trình phát hành an toàn, hoặc xem bài thực hành trên Wiki về xác thực OIDC/JWT và phân quyền PostgreSQL RLS cùng kiểm soát quyền hạn công cụ tự động hóa.

Rà soát bảo mật hạ tầng và quản lý secrets cùng ShiftLeft

Nếu đội ngũ của bạn muốn kiểm tra toàn diện xem mã nguồn, đường ống triển khai và môi trường production có đang tiềm ẩn rủi ro rò rỉ thông tin xác thực hay cấp quyền quá rộng hay không, hãy tham khảo dịch vụ DevOps và hạ tầng production hoặc dịch vụ audit hệ thống phần mềm của ShiftLeft.