Cipher Suite là gì? Cách chọn Cipher Suite an toàn cho HTTPS

Cập nhật lần cuối: 08/07/2026

Cipher Suite là tập hợp các thuật toán mật mã được sử dụng trong quá trình thiết lập và bảo vệ kết nối SSL/TLS. Việc lựa chọn Cipher Suite phù hợp giúp website cân bằng giữa bảo mật, hiệu năng và khả năng tương thích, đồng thời giảm nguy cơ bị khai thác các lỗ hổng liên quan đến thuật toán mã hóa.

Cipher Suite là gì?

Cipher Suite là tập hợp các thuật toán mã hóa được sử dụng trong quá trình thiết lập và bảo vệ một kết nối SSL/TLS. Nó quy định cách hai bên xác thực, trao đổi khóa, mã hóa dữ liệu và kiểm tra tính toàn vẹn của thông tin trong suốt phiên kết nối.

Mỗi khi trình duyệt truy cập một website HTTPS, trình duyệt và máy chủ sẽ thương lượng để lựa chọn một Cipher Suite mà cả hai cùng hỗ trợ.

Cipher Suite có thể được xem như "bộ quy tắc mã hóa" mà Client và Server thống nhất sử dụng trong suốt phiên TLS.

Xem thêm: TLS là gì?

Tại sao Cipher Suite quan trọng?

Ngay cả khi website sử dụng SSL/TLS, việc cấu hình Cipher Suite không phù hợp vẫn có thể làm giảm mức độ bảo mật của hệ thống.

Một Cipher Suite mạnh sẽ giúp:

• Bảo vệ dữ liệu khỏi bị nghe lén.
• Đảm bảo dữ liệu không bị sửa đổi trong quá trình truyền.
• Xác thực đúng máy chủ.
• Giảm nguy cơ khai thác các thuật toán lỗi thời.

Ngược lại, nếu vẫn cho phép các Cipher Suite cũ hoặc yếu, website có thể trở thành mục tiêu của nhiều cuộc tấn công đã được biết đến.

Xem thêm: Tại sao nên tắt TLS 1.0 và TLS 1.1?

Cipher Suite gồm những thành phần nào?

Một Cipher Suite thường bao gồm nhiều thuật toán khác nhau, mỗi thuật toán đảm nhận một vai trò riêng.

Các thành phần này phối hợp với nhau để tạo thành một kết nối HTTPS an toàn.

Ví dụ một Cipher Suite

Một Cipher Suite phổ biến trong TLS 1.2:

TLS_ECDHE_RSA_WITH_AES_256_GCM_SHA384

Tên này có thể được tách thành nhiều phần:

Mỗi phần đều góp phần bảo vệ dữ liệu trong quá trình truyền tải.

Quá trình lựa chọn Cipher Suite diễn ra như thế nào?

Trong quá trình TLS Handshake, Client sẽ gửi danh sách các Cipher Suite mà mình hỗ trợ.

Máy chủ sẽ lựa chọn một Cipher Suite phù hợp và thông báo lại cho Client.

Quy trình đơn giản:

Browser
    │
    ├── Supported Cipher Suites
    ▼
Web Server
    │
    ├── Select Cipher Suite
    ▼
Secure TLS Session

Từ thời điểm đó, toàn bộ dữ liệu sẽ được mã hóa bằng Cipher Suite đã được chọn.

Xem thêm: TLS Handshake là gì?

Cipher Suite trong TLS 1.2

TLS 1.2 hỗ trợ khá nhiều Cipher Suite khác nhau.

Một số ví dụ:

TLS_ECDHE_RSA_WITH_AES_128_GCM_SHA256

TLS_ECDHE_RSA_WITH_AES_256_GCM_SHA384

TLS_ECDHE_ECDSA_WITH_AES_256_GCM_SHA384

TLS_ECDHE_RSA_WITH_CHACHA20_POLY1305_SHA256

Việc hỗ trợ nhiều Cipher Suite giúp tăng khả năng tương thích nhưng cũng khiến việc cấu hình trở nên phức tạp hơn.

Cipher Suite trong TLS 1.3

TLS 1.3 đã đơn giản hóa đáng kể danh sách Cipher Suite.

Các thuật toán trao đổi khóa và xác thực không còn được gộp chung trong tên Cipher Suite như trước.

Các Cipher Suite tiêu chuẩn gồm:

TLS_AES_128_GCM_SHA256

TLS_AES_256_GCM_SHA384

TLS_CHACHA20_POLY1305_SHA256

Việc tinh giản này giúp giảm nguy cơ cấu hình sai và loại bỏ các thuật toán không còn an toàn.

Xem thêm: TLS 1.3 là gì?

Cipher Suite yếu là gì?

Một Cipher Suite được xem là yếu khi sử dụng các thuật toán mã hóa hoặc cơ chế trao đổi khóa không còn đáp ứng yêu cầu bảo mật hiện nay.

Ví dụ:

• RC4.
• 3DES.
• DES.
• NULL Cipher.
• Anonymous Key Exchange.

Các Cipher Suite này có thể làm tăng nguy cơ bị tấn công và không nên tiếp tục sử dụng trên hệ thống production.

Cipher Suite mạnh nên sử dụng

Đối với TLS 1.2, nên ưu tiên các Cipher Suite sử dụng:

• ECDHE.
• AES-GCM.
• ChaCha20-Poly1305.
• SHA256 hoặc SHA384.

Đối với TLS 1.3, chỉ cần sử dụng các Cipher Suite mặc định do giao thức quy định.

Điều này giúp giảm đáng kể nguy cơ lựa chọn thuật toán yếu.

Forward Secrecy và Cipher Suite

Một Cipher Suite hiện đại thường sử dụng ECDHE để hỗ trợ Forward Secrecy.

Điều này có nghĩa là:

Session 1
     │
     ▼
Unique Session Key

Session 2
     │
     ▼
Unique Session Key

Mỗi phiên kết nối sẽ sử dụng một khóa riêng biệt.

Ngay cả khi Private Key của máy chủ bị lộ sau này, dữ liệu của các phiên trước đó vẫn được bảo vệ.

Xem thêm: Private Key là gì?

Cách kiểm tra Cipher Suite của website

Có nhiều cách để xác định Cipher Suite mà website đang sử dụng.

Kiểm tra bằng OpenSSL

openssl s_client -connect example.com:443

Kết quả sẽ hiển thị Cipher Suite được sử dụng trong phiên kết nối.

Kiểm tra bằng SSL Labs

SSL Labs sẽ liệt kê:

• Các Cipher Suite được hỗ trợ.
• Thứ tự ưu tiên.
• Đánh giá mức độ an toàn.

Đây là cách đơn giản và trực quan để kiểm tra cấu hình SSL/TLS của website.

Xem thêm: SSL Labs là gì?

Cấu hình Cipher Suite trên Nginx

Ví dụ:

ssl_protocols TLSv1.2 TLSv1.3;

ssl_ciphers
ECDHE-ECDSA-AES256-GCM-SHA384:
ECDHE-RSA-AES256-GCM-SHA384:
ECDHE-ECDSA-CHACHA20-POLY1305:
ECDHE-RSA-CHACHA20-POLY1305:
ECDHE-ECDSA-AES128-GCM-SHA256:
ECDHE-RSA-AES128-GCM-SHA256;

Sau khi thay đổi cấu hình:

nginx -t
systemctl reload nginx

Cấu hình Cipher Suite trên Apache

Ví dụ:

SSLProtocol TLSv1.2 TLSv1.3

SSLCipherSuite
ECDHE-ECDSA-AES256-GCM-SHA384:
ECDHE-RSA-AES256-GCM-SHA384:
ECDHE-ECDSA-CHACHA20-POLY1305:
ECDHE-RSA-CHACHA20-POLY1305:
ECDHE-ECDSA-AES128-GCM-SHA256:
ECDHE-RSA-AES128-GCM-SHA256

Sau khi hoàn tất, hãy reload Apache để áp dụng cấu hình mới.

Xem thêm: Cấu hình TLS 1.3 cho Nginx và Apache

Kết luận

Cipher Suite là tập hợp các thuật toán chịu trách nhiệm xác thực, trao đổi khóa, mã hóa dữ liệu và kiểm tra tính toàn vẹn trong kết nối SSL/TLS. Việc lựa chọn Cipher Suite phù hợp có ảnh hưởng trực tiếp đến mức độ bảo mật và hiệu suất của website. Đối với các hệ thống hiện đại, nên ưu tiên sử dụng TLS 1.2 hoặc TLS 1.3 cùng với các Cipher Suite mạnh như AES-GCM hoặc ChaCha20-Poly1305, đồng thời loại bỏ hoàn toàn các thuật toán mã hóa lỗi thời để đảm bảo an toàn cho dữ liệu truyền tải.