HTTPS thường chỉ có client xác minh server. mTLS lật thêm một nửa: server cũng bắt client trình chứng chỉ hợp lệ. Bài này tự dựng một CA nội bộ bằng openssl, ký cert cho server và client, rồi đo output thật ba tình huống: client hợp lệ bắt tay thành công, client không cert bị từ chối, và client giả cùng tên nhưng CA khác cũng bị chặn — vì danh tính đến từ chữ ký CA, không phải cái tên.
Đổi khoá mã hoá thì phải giải mã rồi mã hoá lại hàng triệu bản ghi? Không. Bài này dựng demo thật bằng python: mô hình bao khoá KEK bọc DEK, mỗi bản ghi lưu kèm kek_id. Xoay khoá chỉ cần re-wrap DEK vài chục byte, dữ liệu giữ nguyên; dữ liệu cũ vẫn giải được; và chỉ thu hồi khoá cũ sau khi mọi bản ghi đã chuyển.
So sánh chuỗi bí mật bằng == trông vô hại, nhưng nó thoát sớm ở byte sai đầu tiên — và thời gian chạy rò rỉ số byte đúng. Bài này đo THẬT bằng Go: hàm so thoát sớm tăng đều từ 1,2 ns (0 byte đúng) tới 8,6 ns (31 byte đúng), một timing oracle rõ rệt; còn ConstantTimeCompare phẳng lì ~9,2 ns bất kể khớp bao nhiêu.
Dùng SHA-256 để băm mật khẩu là một sai lầm bảo mật kinh điển — vì nó quá nhanh. Bài này đo THẬT bằng Go: SHA-256 chạy 31 triệu lần/giây mỗi lõi, trong khi Argon2id chậm hơn ~559.000 lần có chủ đích. Đo cách tăng bộ nhớ (8→128 MiB) kéo thời gian băm từ 3,7 ms lên 324 ms, và vì sao tính bộ-nhớ-cứng của Argon2 vô hiệu hoá GPU dò mật khẩu.
Ai cũng dùng grep, nhưng ít người biết grep có tới ba phương ngữ regex — và dùng nhầm là nguyên nhân của cái bẫy kinh điển: grep "ERROR|WARN" không tìm "ERROR hoặc WARN". Bài này chạy grep thật trên log mẫu: đếm và đảo, BRE vs ERE, trích IP bằng -o, lấy giá trị sau user= bằng PCRE \K, và tìm từ lặp bằng backreference.
sed là con dao đa năng để biến đổi văn bản theo dòng, nhưng cú pháp cô đọng khiến nhiều người chỉ dùng mỗi s/a/b/. Bài này chạy sed thật: cờ g/N/I, chọn dòng theo địa chỉ và mẫu, xoá dòng, nhóm bắt \1 \2, in chọn lọc thay grep — và cái bẫy sed -i khác nhau giữa Linux (GNU) và macOS (BSD) khiến script hỏng khi chuyển máy.