DATS Architecture

Kiến Trúc Truy Cập Xác Định Cho Hệ Thống Dữ Liệu Tin Cậy

Trong thế giới hiện đại, dữ liệu nhạy cảm không thể dựa vào những giải pháp truyền thống: NAS phổ thông, cloud chưa tối ưu, hay Zero Trust “nửa vời”. DATS – Deterministic Access to Trusted Storage ra đời để cung cấp một khung kiến trúc toàn diện, bảo vệ dữ liệu từ mạng đến storage, và đảm bảo data sovereignty ngay cả khi môi trường bị xâm nhập.

Bài viết này trình bày tổng quan về DATS Architecture, các lớp bảo mật, nguyên lý vận hành, và triết lý thiết kế.

1. Triết lý cốt lõi

DATS được thiết kế theo bốn nguyên tắc chủ đạo:

✅ Data-Centric Security Dữ liệu là trung tâm; mọi quyền truy cập được kiểm soát từ chính dữ liệu, không phụ thuộc vào người dùng hay session.
✅ Capability-Based Access Quyền truy cập được cấp thông qua capability tạm thời, hạn chế phạm vi, thời gian và hành động.
✅ Stealth-by-Design Hạ tầng gần như vô hình trên mạng, giảm bề mặt tấn công.
✅ Stateless Verification Mỗi yêu cầu được xác thực độc lập, không cần lưu session hay state dài hạn, giảm nguy cơ tấn công từ session hijack.

2. 7 Lớp Bảo Mật Trong DATS

Kiến trúc DATS được tổ chức theo 7 lớp từ ngoài vào trong, mỗi lớp có vai trò rõ ràng:

Lớp 0 – Hạ tầng & OS

✅ Hệ điều hành minimal, chỉ chạy dịch vụ cần thiết
✅ Firewall mặc định DROP mọi kết nối không xác định
✅ Không expose SSH hay service công khai Mục tiêu: Giảm bề mặt tấn công cơ bản, tạo nền tảng stealth.

Lớp 1 – Network Stealth

✅ VPN / WireGuard bắt buộc cho mọi kết nối
✅ Có thể sử dụng private link hoặc PPPoE nội bộ
✅ Silent drop: không phản hồi scan, không tiết lộ existence Mục tiêu: Ẩn hệ thống trước attacker, ngay cả trước reconnaissance.

Lớp 2 – Capability Protocol (Core)

✅ Không login, không session
✅ Mỗi request phải mang capability hợp lệ
✅ Stateless verification → server không lưu state
✅ AEAD-based proof đảm bảo integrity & authenticity Mục tiêu: Quyền truy cập tập trung vào dữ liệu, không tin người dùng.

Lớp 3 – Data Execution Layer

✅ Thực thi các hành động: READ / WRITE / LIST / QUERY
✅ Dữ liệu được decrypt trong memory khi xử lý, không mount filesystem trực tiếp
✅ Không cache plaintext → hạn chế rò rỉ nếu memory bị dump Mục tiêu: Giữ dữ liệu luôn trong trạng thái an toàn, không để lộ thông tin ngoài phạm vi yêu cầu.

Lớp 4 – Encrypted Storage

✅ Mỗi object lưu trữ được mã hóa riêng
✅ Key dẫn xuất theo object, không rely hoàn toàn vào full-disk encryption Mục tiêu: Nếu ổ đĩa bị đánh cắp, dữ liệu vẫn vô nghĩa.

Lớp 5 – Control Plane (Admin)

✅ Admin API & dashboard quản lý client, capability, chính sách, revoke
✅ Admin không thể truy cập dữ liệu, chỉ quản lý quyền và audit
✅ Login + password + MFA chỉ áp dụng cho admin plane Mục tiêu: Tách bạch giữa vận hành và dữ liệu.

Lớp 6 – Audit & Forensics

✅ Log append-only, ghi lại hành vi sử dụng capability, không log nội dung dữ liệu
✅ Phục vụ điều tra, audit, và chứng minh compliance Mục tiêu: Giám sát mà không xâm phạm dữ liệu.

3. Nguyên lý hoạt động

Quy trình cơ bản:

✅ Client yêu cầu capability → được issue theo policy
✅ Client dùng capability → Data Execution Layer xác minh stateless
✅ Nếu hợp lệ → hành động được thực hiện trên Encrypted Storage
✅ Tất cả hành vi đều được ghi lại ở lớp Audit

Mọi lớp từ Network đến Storage đều không tin tưởng user, session hay network – chỉ tin capability.

4. Các đặc tính nổi bật

Đặc tính	Mô tả
Stealth	✅ Hệ thống không xuất hiện trên mạng công khai, chống reconnaissance
Stateless	✅ Không lưu session, mọi xác thực độc lập
Data-Centric	✅ Quyền truy cập gắn trực tiếp với dữ liệu, không phụ thuộc người dùng
Tamper-Resistant	✅ Dữ liệu bị mất hoặc exploit → vô nghĩa, giảm thiểu rủi ro
Scalable	✅ Kiến trúc module, có thể mở rộng thành backend cho ứng dụng nội bộ

5. Vì sao DATS khác biệt với NAS / Cloud truyền thống

NAS truyền thống:
- ❌ Session, login/password, quyền rộng → dễ bị đánh cắp
Cloud phổ thông:
- ❌ Có Zero Trust nhưng tập trung vào identity & network, dữ liệu vẫn tin người dùng
DATS:
- ✅ Zero Trust data-first
- ✅ Mỗi hành động được xác minh trên dữ liệu
- ✅ Capability ngắn hạn
- ✅ Audit đầy đủ
- ✅ Stealth-by-design

6. Kết luận

DATS Architecture không chỉ là sơ đồ hay layer, mà là triết lý vận hành dữ liệu nhạy cảm:

✅ Mỗi lớp bảo vệ, từ hạ tầng đến storage, đều hướng tới minimize risk
✅ Capability Protocol và Encrypted Storage là trái tim của kiến trúc, đảm bảo dữ liệu tự bảo vệ
✅ Audit & Control Plane giữ vai trò vận hành nhưng không can thiệp vào data plane

Nền tảng này cho phép hệ thống OBELISK / DATS trở thành giải pháp dữ liệu nhạy cảm an toàn, stealth, dễ vận hành, phù hợp với môi trường quân đội, nhà nước, hoặc doanh nghiệp VIP.