Tổng quan nghiên cứu

Trong kỷ nguyên chuyển đổi số và phát triển chính phủ điện tử, việc lưu chuyển văn bản điện tử qua hệ thống mạng máy tính tại các cơ quan hành chính nhà nước đang gia tăng với tốc độ nhanh chóng. Theo ước tính từ các báo cáo chuyên ngành công nghệ thông tin, hơn 85% giao dịch hành chính nội bộ hiện nay được thực hiện thông qua môi trường thư điện tử và các phần mềm quản lý văn bản điều hành. Tuy nhiên, việc truyền tải thông tin dựa trên nền tảng giao thức TCP/IP truyền thống tiềm ẩn nhiều nguy cơ mất an toàn nghiêm trọng do dữ liệu phải đi qua nhiều nút mạng trung gian trước khi tới đích, tạo điều kiện cho tin tặc nghe lén, chỉnh sửa hoặc đánh cắp dữ liệu mật.

Vấn đề nghiên cứu trọng tâm của luận văn là xây dựng hệ thống giải pháp bảo mật toàn diện cho mạng cục bộ (LAN) tại các cơ quan nhà nước, giải quyết triệt để các lỗ hổng an ninh trên đường truyền số liệu. Mục tiêu cụ thể là nghiên cứu các giải pháp mật mã học hiện đại, bao gồm hệ mật mã đối xứng, hệ mật mã khóa công khai, hàm băm và chữ ký số; từ đó ứng dụng phần mềm mã hóa Pretty Good Privacy (PGP) cùng cơ sở hạ tầng khóa công khai (PKI) để bảo vệ các luồng gửi nhận thư điện tử và truyền tải tài liệu.

Phạm vi nghiên cứu được triển khai thực nghiệm tại Sở Thông tin và Truyền thông tỉnh Thái Bình cùng Trung tâm tích hợp dữ liệu tỉnh trong giai đoạn năm 2011 đến 2012. Ý nghĩa thực tiễn của công trình thể hiện qua việc thiết lập hàng rào bảo mật đa tầng, giúp triệt tiêu 100% nguy cơ mạo danh, bảo đảm tính toàn vẹn và chống chối bỏ trách nhiệm đối với các văn bản điều hành, tạo tiền đề nâng cao hơn 40% hiệu suất xử lý công việc hành chính so với phương thức lưu trữ và luân chuyển văn bản giấy truyền thống.

Cơ sở lý thuyết và phương pháp nghiên cứu

Khung lý thuyết áp dụng

Luận văn xây dựng trên nền tảng lý thuyết mật mã học hiện đại với hai trụ cột chính:

Thứ nhất là lý thuyết mật mã khóa đối xứng, tiêu biểu là chuẩn mã hóa dữ liệu DES (Data Encryption Standard). DES là thuật toán mã hóa khối xử lý từng khối dữ liệu 64-bit bằng khóa 56-bit qua 16 vòng lặp với các phép thế (hộp S-box), hoán vị và hàm lặp Feistel, mang lại tốc độ xử lý nhanh cho các luồng dữ liệu lớn.

Thứ hai là lý thuyết mật mã khóa bất đối xứng (mật mã khóa công khai), trọng tâm là thuật toán RSA do Ron Rivest, Adi Shamir và Len Adleman công bố năm 1977. RSA hoạt động dựa trên độ phức tạp tính toán của bài toán phân tích thừa số nguyên tố lớn với các phép tính lũy thừa modulo và hàm phi Euler $\phi(n) = (p-1)(q-1)$, cho phép phân tách khóa công khai để mã hóa và khóa bí mật để giải mã.

Bên cạnh đó, luận văn áp dụng mô hình hàm băm một chiều (MD5 với bản băm 128-bit và SHA với bản băm 160-bit) nhằm tạo ra các thông điệp đại diện duy nhất, kết hợp với mô hình quản lý chứng chỉ số của Cơ quan chứng thực (Certificate Authority - CA) trong cơ sở hạ tầng PKI.

Các khái niệm cốt lõi được định nghĩa và vận dụng xuyên suốt gồm:

  • Tính bí mật: Che giấu nội dung văn bản rõ trước sự truy cập trái phép.
  • Tính toàn vẹn: Đảm bảo dữ liệu không bị thay đổi hoặc cắt dán trên đường truyền.
  • Tính xác thực: Kiểm tra chính xác danh tính người tạo và gửi thông tin.
  • Tính chống chối bỏ: Ngăn chặn việc người gửi phủ nhận văn bản đã phát hành.

Phương pháp nghiên cứu

Nghiên cứu kết hợp phương pháp phân tích lý thuyết mật mã toán học và phương pháp kiểm thử thực nghiệm trên hệ thống mạng thực tế.

Về dữ liệu thực nghiệm, nghiên cứu sử dụng cỡ mẫu gồm 150 tệp tin văn bản hành chính và mẫu thư điện tử đa dạng về dung lượng (từ vài kilobyte đến 50 megabyte), được thu thập qua 10 phòng ban chuyên môn tại Sở Thông tin và Truyền thông tỉnh Thái Bình.

Phương pháp chọn mẫu là chọn mẫu phân tầng có chủ đích, phân chia văn bản thành ba nhóm: văn bản chỉ đạo mật, tài liệu điều hành thông thường và tệp tin đa phương tiện đính kèm.

Lý do lựa chọn phương pháp phân tích này xuất phát từ yêu cầu phải đánh giá chính xác độ trễ tính toán, thời gian sinh khóa, tốc độ mã hóa/giải mã và khả năng tương thích của phần mềm PGP trên hạ tầng mạng LAN hiện hữu. Timeline nghiên cứu được thực hiện từ đầu năm 2011 với các bước tổng hợp lý thuyết, thiết kế mô hình thử nghiệm, cài đặt ứng dụng PGP và hoàn thiện quy trình cấp phát khóa công khai để sẵn sàng nhân rộng từ năm 2012.

Kết quả nghiên cứu và thảo luận

Những phát hiện chính

Quá trình nghiên cứu và cài đặt thử nghiệm ứng dụng bảo mật đã ghi nhận các kết quả cụ thể:

Thứ nhất, việc kết hợp thuật toán mã hóa khóa công khai RSA với hàm băm an toàn SHA (tạo chuỗi băm 160-bit) giúp tối ưu hóa dung lượng truyền tải dữ liệu. Kích thước gói tin truyền đi chỉ bao gồm thông điệp gốc cộng thêm 320-bit chữ ký số của văn bản đại diện, giúp giảm hơn 45% thời gian truyền tải và tải trọng đường truyền so với phương pháp ký trực tiếp trên toàn bộ văn bản lớn.

Thứ hai, việc triển khai phần mềm mã hóa lai ghép PGP (Pretty Good Privacy) mang lại hiệu quả vượt trội: dữ liệu được mã hóa bằng khóa đối xứng phiên tốc độ cao, sau đó khóa phiên được mã hóa an toàn bằng khóa công khai RSA. Thực nghiệm cho thấy tốc độ xử lý nhanh hơn khoảng 3,5 lần so với việc sử dụng mật mã khóa công khai thuần túy, đồng thời ngăn chặn tuyệt đối 100% các cuộc tấn công nghe lén và sửa đổi gói tin trên giao thức TCP/IP.

Thứ ba, cơ chế xác thực máy khách thông qua chứng chỉ số kết hợp giao thức SSL (sử dụng khóa phiên 40-bit hoặc 128-bit) đạt độ tin cậy và chính xác xấp xỉ 99,8% trong việc kiểm tra tính hợp lệ của người dùng, loại bỏ hoàn toàn các nguy cơ tấn công mạo danh (spoofing) thường gặp ở cơ chế xác thực bằng tên đăng nhập và mật khẩu đơn thuần.

Thảo luận kết quả

Các kết quả đạt được chứng minh tính ưu việt của việc ứng dụng toán mật mã trong quản trị hệ thống mạng nhà nước. Nguyên nhân cốt lõi giúp hệ thống đạt độ an toàn cao là do thuật toán RSA quy độ an toàn về bài toán phân tích hợp số có độ phức tạp vượt ngoài lớp P, khiến việc thám mã trong thời gian thực là bất khả thi với công nghệ hiện tại.

So với các nghiên cứu bảo mật truyền thống vốn chỉ phụ thuộc vào tường lửa lọc gói tin tại cổng biên hoặc mật khẩu phân quyền vốn có xác suất bị lộ trên đường truyền lên tới hơn 60% khi không có mã hóa, giải pháp trong luận văn đã tạo ra cơ chế phòng thủ chiều sâu từ đầu cuối đến đầu cuối (End-to-End).

Dữ liệu thực nghiệm có thể được trình bày trực quan thông qua biểu đồ so sánh thời gian mã hóa giữa thuật toán DES, RSA và mô hình lai ghép PGP trên các tập dữ liệu có dung lượng tăng dần. Đồng thời, một bảng ma trận đánh giá hiệu quả bảo vệ có thể đối sánh rõ nét 4 thuộc tính bảo mật (Bí mật, Toàn vẹn, Xác thực, Chống chối bỏ) tương ứng với 5 lớp bảo vệ trên hệ thống mạng (Quyền truy nhập, Tên/Mật khẩu, Mã hóa dữ liệu, Bảo vệ vật lý, Tường lửa), khẳng định mã hóa dữ liệu là lớp bảo vệ then chốt nhất trên đường truyền.

Đề xuất và khuyến nghị

Nhằm hoàn thiện và nâng cao hiệu quả an toàn thông tin mạng cục bộ trong các cơ quan nhà nước, luận văn đưa ra 4 giải pháp trọng tâm:

  1. Nâng cấp chuẩn mã hóa và hạ tầng khóa: Chuyển đổi và nâng cấp độ dài khóa RSA lên tối thiểu 2048-bit cùng chuẩn băm SHA-256 nhằm nâng cao khả năng kháng thám mã lên mức 100% trước sự gia tăng năng lực tính toán của các hệ thống máy tính hiện đại; mục tiêu hoàn thành trong quý 1 và quý 2 năm 2012; chủ thể thực hiện là Bộ phận Quản trị mạng và Công nghệ thông tin của Sở Thông tin và Truyền thông.

  2. Chuẩn hóa quy trình ứng dụng chữ ký số trong văn phòng điện tử: Ban hành quy chế hành chính bắt buộc tích hợp chữ ký số và mã hóa PGP vào 100% văn bản chỉ đạo, điều hành và thư điện tử trao đổi liên cơ quan, hướng tới mục tiêu giảm 80% chi phí in ấn và luân chuyển tài liệu giấy; thời gian áp dụng xuyên suốt năm 2012; chủ thể thực hiện là Ủy ban nhân dân các cấp và thủ trưởng các sở, ban, ngành.

  3. Thiết lập hệ thống chứng thực điện tử nội bộ: Đăng ký với Ban Cơ yếu Chính phủ để thẩm định và cấp chứng chỉ số chuyên dùng cho các đơn vị, đồng thời xây dựng dây chuyền chứng thực CA nội bộ để quản lý việc cấp phát, gia hạn và thu hồi chứng chỉ số cho hơn 500 cán bộ, lãnh đạo trên địa bàn tỉnh; thời hạn hoàn thành trong giai đoạn 2012 đến 2013; chủ thể là Trung tâm Tích hợp dữ liệu tỉnh phối hợp cùng Ban Cơ yếu Chính phủ.

  4. Xây dựng chiến lược bảo vệ đa tầng đồng bộ: Thiết lập quy chế kiểm soát định kỳ 90 ngày/lần đối với việc đổi mật khẩu hệ thống, siết chặt bảo vệ vật lý tại phòng đặt máy chủ, cấu hình tường lửa ngăn chặn xâm nhập và phân quyền truy cập tệp tin chi tiết đến từng tài khoản máy khách, giảm tỷ lệ xảy ra sự cố an ninh xuống dưới mức 0,5%; thực hiện thường xuyên từ năm 2012; chủ thể là Đội ngũ cán bộ an toàn thông tin chuyên trách.

Đối tượng nên tham khảo luận văn

Công trình nghiên cứu mang giá trị học thuật và ứng dụng thực tiễn cao, đặc biệt hữu ích cho 4 nhóm đối tượng:

  • Cán bộ quản trị mạng và chuyên viên an toàn thông tin tại các cơ quan nhà nước: Nắm vững phương pháp thiết lập tường lửa, phân quyền thư mục và triển khai công cụ PGP/PKI để bảo vệ mạng LAN cơ quan; Use case cụ thể là cấu hình hệ thống máy chủ thư điện tử nội bộ và máy chủ văn bản tác nghiệp an toàn.

  • Lãnh đạo, cán bộ quản lý điều hành tại các sở, ban, ngành và Ủy ban nhân dân: Có cơ sở khoa học và chính sách rõ ràng để chỉ đạo triển khai chính quyền điện tử không giấy tờ; Use case là thẩm định, phê duyệt và ban hành đề án ứng dụng chữ ký số chuyên dùng cho toàn bộ hệ thống hành chính công tại địa phương.

  • Giảng viên, học viên cao học và sinh viên chuyên ngành Khoa học máy tính, An toàn thông tin: Tiếp cận tài liệu tổng hợp bài bản về lý thuyết mật mã, thuật toán DES, RSA, hàm băm và các lược đồ chữ ký số khả thi; Use case là sử dụng làm tài liệu tham khảo cho các học phần mật mã học ứng dụng và phát triển đề tài nghiên cứu tốt nghiệp.

  • Kỹ sư phát triển phần mềm và tích hợp hệ thống chính phủ điện tử: Hiểu sâu về cơ chế tích hợp hàm băm, mã hóa khóa công khai và chứng chỉ số SSL/TLS; Use case là thiết kế, xây dựng các module ký số tự động và truyền nhận tệp tin bảo mật cho các cổng dịch vụ công trực tuyến.

Câu hỏi thường gặp

Tại sao mạng cục bộ của cơ quan nhà nước vẫn có nguy cơ mất an toàn dù đã có tường lửa?

Tường lửa chỉ đóng vai trò kiểm soát luồng dữ liệu vào và ra tại các cổng kết nối dựa trên địa chỉ IP và số hiệu cổng, nhưng không thể bảo vệ dữ liệu khi tin tặc tấn công từ bên trong mạng nội bộ hoặc nghe lén trên các nút trung gian của giao thức TCP/IP. Theo phân tích trong luận văn, nếu không có lớp mã hóa dữ liệu phụ trợ, các tài liệu mật gửi qua mạng LAN vẫn có thể bị trích xuất và đọc trộm dễ dàng.

Hệ mật mã khóa đối xứng DES và khóa công khai RSA khác nhau như thế nào?

DES sử dụng chung một khóa bí mật 56-bit cho cả quá trình mã hóa và giải mã trên từng khối 64-bit, đòi hỏi hai bên phải có kênh an toàn tuyệt đối để chia sẻ khóa trước khi liên lạc. Ngược lại, RSA sử dụng cặp khóa bất đối xứng riêng biệt: khóa công khai dùng để mã hóa và khóa bí mật dùng để giải mã dựa trên phép toán đồng dư và thừa số nguyên tố, giải quyết triệt để bài toán phân phối khóa trên diện rộng.

Tại sao cần sử dụng hàm băm (MD5, SHA) trong quy trình tạo chữ ký số?

Các thuật toán mã hóa khóa công khai như RSA xử lý các phép toán số học phức tạp nên tốc độ ký trực tiếp trên tài liệu lớn rất chậm và tạo ra chữ ký có dung lượng lớn. Hàm băm biến đổi văn bản có độ dài tùy ý thành bản tóm lược cố định (128-bit với MD5 hoặc 160-bit với SHA), cho phép chữ ký số chỉ cần ký trên bản tóm lược này, giúp rút ngắn thời gian xử lý và đảm bảo văn bản không bị sửa đổi.

Phần mềm PGP bảo mật thư điện tử và truyền tải tệp tin dựa trên cơ chế nào?

PGP sử dụng mô hình mã hóa lai ghép tối ưu: phần mềm tạo một khóa phiên ngẫu nhiên để mã hóa nhanh nội dung thư điện tử bằng thuật toán đối xứng, sau đó mã hóa khóa phiên này bằng khóa công khai RSA của người nhận. Đồng thời, PGP cho phép đính kèm chữ ký số để người nhận xác minh chính xác danh tính người gửi thông qua việc kiểm tra cặp khóa công khai đã được công bố.

Cơ quan chứng thực chữ ký số (CA) đóng vai trò gì trong việc ngăn chặn giả mạo?

CA là tổ chức độc lập có thẩm quyền phát hành chứng chỉ số để liên kết định danh của một cơ quan, cá nhân với khóa công khai tương ứng thông qua chữ ký số của chính CA. Điều này giúp ngăn chặn kẻ xấu phát tán khóa công khai giả mạo để mạo danh lãnh đạo cơ quan, đồng thời thiết lập dây chuyền chứng thực tin cậy cho phép các máy khách xác minh tính hợp lệ của máy chủ khi giao tiếp qua mạng.

Kết luận

  • Hệ thống hóa toàn diện cơ sở lý thuyết toán học của mật mã đối xứng DES, mật mã khóa công khai RSA, các hàm băm an toàn và cấu trúc hạ tầng khóa công khai PKI.
  • Phân tích chi tiết 5 mức độ an ninh trên hệ thống mạng máy tính và khẳng định mã hóa dữ liệu là giải pháp cốt lõi để bảo vệ luồng thông tin trên đường truyền.
  • Nghiên cứu và phân loại các lược đồ chữ ký số, đề xuất mô hình chữ ký số kèm thông điệp ứng dụng hàm băm tối ưu dung lượng truyền tải.
  • Triển khai cài đặt thử nghiệm thành công giải pháp mã hóa PGP và chữ ký số trong quy trình gửi nhận thư điện tử và truyền tải văn bản tại Sở Thông tin và Truyền thông tỉnh Thái Bình.
  • Đề xuất lộ trình mở rộng toàn diện hệ thống chứng thực số cho 100% các sở, ban, ngành và Ủy ban nhân dân cấp huyện, thành phố trong năm 2012 và các giai đoạn tiếp theo.

Đóng góp chính của luận văn là đã cung cấp một giải pháp bảo mật toàn diện, kết hợp chặt chẽ giữa lý thuyết toán mật mã và ứng dụng thực tiễn trong quản lý hành chính nhà nước. Để bảo vệ an toàn thông tin và đẩy mạnh chuyển đổi số bền vững, các cơ quan ban ngành cần nhanh chóng phối hợp cùng Ban Cơ yếu Chính phủ để triển khai cấp phát chứng chỉ số và áp dụng chữ ký điện tử đồng bộ ngay hôm nay.