---
title: "Mã hóa dữ liệu khi lưu trữ"
description: "Cách Fystack bảo vệ khóa riêng tư, seed và secret bằng cách mã hóa mọi tài sản khi lưu trữ với AES-256-GCM và cơ chế quản lý khóa nhiều lớp."
url: https://docs.fystack.io/vi/security/encryption-at-rest
last_updated: 2026-11-13
---

> ## Documentation index
> Fetch the complete documentation index at: https://docs.fystack.io/llms.txt
> Use it to discover all available pages before exploring further.

# Mã hóa dữ liệu khi lưu trữ

Fystack triển khai mã hóa toàn diện cho dữ liệu khi lưu trữ bằng kiến trúc KEK/DEK (Key Encryption Key / Data Encryption Key).
Mọi dữ liệu nhạy cảm đều được mã hóa trước khi được ghi xuống ổ đĩa. Khóa mã hóa dữ liệu (DEK) được dùng để mã hóa từng bản ghi hoặc blob, trong khi Khóa mã hóa khóa (KEK), được lưu trữ an toàn trong một vault như AWS Secrets Manager, được dùng để bọc và bảo vệ các DEK.
Điều này đảm bảo rằng ngay cả khi toàn bộ cơ sở dữ liệu hoặc bản sao lưu bị đánh cắp, chỉ có bản mã bị lộ, giữ được tính bảo mật từ đầu đến cuối.

Luồng xử lý tuân theo các tiêu chuẩn bảo mật của ngành, đáp ứng yêu cầu FIPS 197 và NIST SP 800-38D cho AES-GCM, đồng thời thỏa mãn các quy định của PCI DSS và Điều 32 GDPR về bảo vệ dữ liệu nhạy cảm khi lưu trữ.

_Diagram: Luồng KEK/DEK_

> Mới tìm hiểu về cơ chế phân lớp KEK/DEK? Đọc bài viết giới thiệu trên blog của chúng tôi: [DEK/KEK: The industry standard to protect highly sensitive data (Part 1)](https://fystack.io/blog/dek-kek-the-industry-standard-to-protect-highly-sensitive-data-part-1).

## 1. Tổng quan

Mọi giá trị nhạy cảm đều được mã hóa bằng AES-256-GCM và lưu trong một phong bì (envelope) có phiên bản, ghi lại lựa chọn thuật toán và phiên bản khóa. Cơ chế cô lập workspace, dẫn xuất theo từng chuỗi và khóa chủ được lưu trong vault kết hợp với nhau để giữ dữ liệu được niêm phong ngay cả khi hạ tầng bị xâm phạm.

### Vì sao chọn AES-256-GCM?

1. **Được NIST phê duyệt**: Tiêu chuẩn mã hóa liên bang (FIPS 197).
2. **Mã hóa có xác thực**: Đồng thời đảm bảo tính bảo mật và tính toàn vẹn.
3. **Hiệu năng**: Tăng tốc phần cứng qua AES-NI trên các CPU hiện đại.
4. **Tiêu chuẩn ngành**: Được AWS, Google Cloud, Azure sử dụng cho dữ liệu khi lưu trữ.

## 2. Những dữ liệu nào được mã hóa

- **Khóa riêng tư và seed:** Toàn bộ dữ liệu khóa ví của [Hyper wallet](https://docs.fystack.io/vi/wallets.md#wallet-types) đều được mã hóa trước khi lưu trữ bằng DEK riêng của từng workspace.

| Thành phần | Mô tả |
| --- | --- |
| Khóa mã hóa toàn cục | Khóa AES 32 byte được tải động từ AWS Secrets Manager, với phương án dự phòng là biến môi trường hoặc các trình quản lý secret như HashiCorp Vault hay Doppler. |
| Seed của workspace | Seed ngẫu nhiên 32 byte được tạo riêng cho từng workspace. |
| Thuật toán mã hóa | AES-GCM (mã hóa có xác thực) bảo vệ mọi bản mã. |
| Dẫn xuất khóa | Mỗi khóa workspace được dẫn xuất bằng HKDF(global_encryption_key, salt). |
| Dẫn xuất ví | BIP44 cho các chuỗi EVM và Tron; SLIP-10 cho các chuỗi hiện đại như Solana và Aptos. |

_Diagram: Phân cấp khóa: khóa toàn cục, khóa workspace, seed đã mã hóa, dẫn xuất ví_

- **Thông tin xác thực người dùng:** Secret TOTP và các dữ liệu xác thực khác cũng sử dụng cùng kiến trúc DEK/KEK để luôn được niêm phong khi lưu trữ.

_Image: image-2025-11-07T15-51-02-776Z_

### Định dạng phong bì

Mỗi bản mã bao gồm mã định danh thuật toán, siêu dữ liệu phiên bản, ngữ cảnh dẫn xuất và payload. Điều này cho phép linh hoạt thay đổi thuật toán, tương thích ngược và truy xuất nguồn gốc đầy đủ cho mọi bản ghi được mã hóa.