Tổng quan luận án

Xác thực người dùng là thành phần cốt lõi trong kiểm soát truy xuất nhằm bảo vệ tài nguyên của các hệ thống thông tin. Sự phát triển của mạng Internet và các dịch vụ thương mại điện tử đặt ra yêu cầu cấp thiết về việc xác minh danh tính từ xa một cách an toàn và tiện lợi. Phương pháp xác thực truyền thống dựa trên định danh và mật khẩu hoặc số bí mật (PIN) bộc lộ nhiều hạn chế nội tại: mật khẩu có độ phức tạp cao thường khó nhớ đối với con người nhưng lại dễ bị dò đoán bởi máy tính; đồng thời hệ thống không thể phân biệt được người dùng hợp pháp với kẻ mạo danh khi mật khẩu bị lộ.

Xác thực bằng đặc trưng sinh trắc (khuôn mặt, vân tay, mống mắt, giọng nói...) khắc phục nhược điểm của mật khẩu do gắn liền với từng cá nhân cụ thể và không đòi hỏi người dùng phải ghi nhớ hay mang theo thiết bị phụ trợ. Tuy nhiên, việc ứng dụng sinh trắc trong kiến trúc xác thực từ xa đối mặt với các thách thức bảo mật nghiêm trọng:

  • Dữ liệu sinh trắc học có tính chất nhạy cảm, phản ánh đặc điểm sinh lý của người sở hữu và có số lượng hữu hạn trên mỗi cá nhân. Khi mẫu sinh trắc lưu trữ bị đánh cắp, người dùng không thể thu hồi hoặc thay thế dễ dàng như mật khẩu.
  • Dữ liệu sinh trắc thu nhận luôn tồn tại sai số và biến thiên nội lớp (intra-class variation) do tương tác của người dùng, môi trường hoặc thiết bị cảm biến, khiến các phép so khớp mật mã chính xác thông thường không thể áp dụng trực tiếp.
  • Trong môi trường mạng mở, dữ liệu truyền nhận dễ bị tấn công xen giữa (man-in-the-middle) và tấn công lặp lại (replay attack).
  • Nguy cơ tấn công từ bên trong (insider attack) xuất phát từ máy chủ xác thực không đáng tin cậy: người quản trị hệ thống có thể lợi dụng dữ liệu mẫu sinh trắc lưu trữ trong cơ sở dữ liệu để mạo danh người dùng trên hệ thống hiện tại cũng như thực hiện tấn công theo vết (cross-matching) trên các dịch vụ khác.

Khoảng trống nghiên cứu được xác định là: các giao thức xác thực từ xa hiện hữu chưa đưa ra được giải pháp toàn diện vừa bảo vệ mẫu sinh trắc đáp ứng đồng thời các tiêu chí an toàn (tính khả đổi, tính bất khả đảo, bảo toàn hiệu suất nhận dạng), vừa thực hiện tính toán an toàn nhằm loại trừ nguy cơ tấn công từ chính máy chủ lưu trữ mà không gây quá tải tài nguyên tính toán.

Luận án tiến sĩ "Bảo mật trong xác thực từ xa sử dụng đặc trưng sinh trắc" do nghiên cứu sinh Nguyễn Thị Ái Thảo thực hiện tại Trường Đại học Bách Khoa – Đại học Quốc gia Thành phố Hồ Chí Minh (năm 2021), thuộc chuyên ngành Khoa học máy tính (mã số: 62480101), dưới sự hướng dẫn khoa học của PGS. Đặng Trần Khánh, tập trung giải quyết các mục tiêu sau:

  1. Đưa ra giải pháp bảo vệ mẫu sinh trắc cho người dùng bằng cách chuyển đổi mẫu sang vùng an toàn trước khi truyền nhận và lưu trữ, duy trì sự cân bằng giữa tính bảo mật, tính khả đổi và độ chính xác nhận dạng.
  2. Thiết kế giải pháp tính toán an toàn trong ngữ cảnh máy chủ xác thực không đáng tin cậy, ngăn chặn người quản trị hệ thống lợi dụng dữ liệu để mạo danh người dùng.
  3. Đề xuất một giao thức xác thực từ xa hoàn chỉnh sử dụng đặc trưng sinh trắc, đảm bảo xác thực lẫn nhau (hai chiều) giữa người dùng và máy chủ, chống lại các hình thức tấn công phổ biến trên đường truyền mạng.

Các câu hỏi nghiên cứu của luận án bao gồm:

  1. Làm thế nào để chuyển đổi và bảo vệ mẫu đặc trưng sinh trắc dạng vector nhằm ngăn chặn tấn công phục hồi mẫu gốc và tấn công theo vết người dùng giữa nhiều dịch vụ khác nhau?
  2. Cơ chế nào cho phép thực thi quá trình so khớp sinh trắc học tại máy chủ mà không làm lộ dữ liệu nhạy cảm cho người quản trị hệ thống?
  3. Cấu trúc giao thức cần được thiết kế như thế nào để đảm bảo tính xác thực hai chiều, tính tươi mới của thông điệp và đồng thuận khóa phiên an toàn trên kênh truyền không tin cậy?

Đối tượng và phạm vi nghiên cứu:

  • Đối tượng nghiên cứu: Các kỹ thuật bảo vệ mẫu sinh trắc (biến đổi đặc trưng và hệ thống mã hóa sinh trắc); các cơ chế tính toán an toàn (bộ đồng xử lý bảo mật, mã hóa đồng hình, chia sẻ khóa bí mật); các giao thức xác thực từ xa và phương pháp đánh giá an ninh hệ thống.
  • Phạm vi nghiên cứu: Luận án tập trung vào dữ liệu sinh trắc dạng vector đã được trích xuất (sử dụng kỹ thuật phân tích thành phần chính - PCA). Quá trình tiền xử lý ảnh thô và các kiểu tấn công giả mạo tại thiết bị cảm biến đầu vào không thuộc phạm vi nghiên cứu. Đối với bài toán máy chủ không trung thực, luận án giả định máy chủ là kẻ tấn công bị động (passive attacker): máy chủ thực thi đúng các bước của giao thức nhưng tìm cách khai thác thông tin và tài nguyên lưu trữ để mạo danh người dùng hợp pháp mà không can thiệp phá hoại hay làm sai lệch hệ thống.

Tổng quan tài liệu và vị trí của luận án

Luận án đã hệ thống hóa các hướng nghiên cứu liên quan đến xác thực truyền thống, xác thực sinh trắc học và bảo mật trong xác thực từ xa:

Xác thực truyền thống:

  • Lamport (1981): Đề xuất sử dụng hàm băm một chiều thực hiện lặp nhiều lần để che giấu mật khẩu, tuy nhiên thông tin kiểm tra lưu tại máy chủ vẫn tồn tại nguy cơ rò rỉ.
  • Shamir (1985): Giới thiệu mô hình sử dụng thẻ thông minh do bên thứ ba tin cậy (TTP) phát hành để giảm tải lưu trữ khóa tại máy chủ, phù hợp cho nhóm người dùng quy mô nhỏ.
  • Das và cộng sự (2004): Đề xuất lược đồ dùng mật khẩu kết hợp định danh động; việc loại bỏ định danh khỏi gói tin đăng nhập làm mất vai trò định danh và dễ bị tấn công đoán mật khẩu hoặc tấn công nội bộ.
  • Yoon (2006): Sử dụng thẻ thông minh trả về khóa xác thực và khóa mã hóa mật khẩu, kết hợp nhãn thời gian và cơ chế thử thách - phản hồi; điểm hạn chế là thiếu sự thống nhất về khóa phiên giữa người dùng và máy chủ.
  • Sandeep và cộng sự (2011): Ứng dụng số ngẫu nhiên sử dụng một lần (NONCE) nhúng vào khóa người dùng, nhưng hệ thống vẫn phụ thuộc vào một khóa chung do máy chủ cung cấp, tạo kẽ hở cho tấn công giả mạo.

Xác thực từ xa sử dụng đặc trưng sinh trắc:

  • Lee (2002): Đề xuất giao thức xác thực sử dụng vân tay, nhưng các phân tích sau đó chỉ ra giao thức dễ bị tổn thương trước tấn công mạo danh.
  • Li và Hwang (2010): Sử dụng đặc trưng sinh trắc kết hợp hàm băm một chiều và số ngẫu nhiên trong nhãn thời gian.
  • Xiong và cộng sự (2011): Chỉ ra sai lầm cốt lõi trong nghiên cứu của Li và Hwang là áp dụng hàm băm trực tiếp lên đặc trưng sinh trắc có nhiễu; đồng thời phân tích giao thức của Xiong chưa xử lý triệt để nguy cơ tấn công xen giữa và thời gian so khớp kéo dài.
  • Chen và cộng sự (2012): Xây dựng giao thức vân tay cho thiết bị di động, nhưng không có cơ chế ngăn chặn việc đánh cắp định danh để tái đăng ký và thiếu cơ chế xác thực thông điệp phía nhà cung cấp dịch vụ.
  • BioPKI của nhóm tác giả Đại học Bách Khoa Hà Nội (2008): Ứng dụng hệ thống mã hóa khóa sinh trắc (BEK) để bảo vệ khóa bí mật nhưng chưa bảo vệ mẫu sinh trắc lưu trên cơ sở dữ liệu máy chủ.
  • Maneesh và cộng sự (2010): Đưa ra khái niệm xác thực mù (Blind authentication), thực hiện tính toán trong miền mã hóa thông qua lớp phân biệt đóng vai trò bên thứ ba tin cậy; tuy nhiên lớp phân biệt vẫn có nguy cơ bị tấn công.
  • Xi và cộng sự (2011): Ứng dụng kỹ thuật cụm mờ (fuzzy vault) và mật mã đường cong Elliptic (ECC) cho dấu vân tay, lưu trữ chỉ số thay cho điểm đặc trưng thực; hạn chế là giả định máy chủ an toàn tuyệt đối và phương pháp sinh khóa phiên không khả thi khi máy chủ chỉ lưu chỉ số.
  • Hisham và cộng sự (2013): Kết hợp kỹ thuật giấu tin (steganography) và phép biến đổi không khả nghịch sử dụng ma trận trực giao ngẫu nhiên; công trình chưa giải quyết trường hợp máy chủ nội bộ đánh cắp dữ liệu để giả danh người dùng.
  • Fengling và cộng sự (2014): Đề xuất mô hình xác thực sinh trắc từ xa dùng giao thức Kerberos và chữ ký ảnh; điểm yếu là phụ thuộc vào trung tâm phân phối khóa (KDC) tin cậy, không chống được tấn công từ bên trong.
  • Nghiên cứu năm 2015: Ứng dụng đa thức Chebyshev kết hợp kỹ thuật rút trích mờ (fuzzy extractor) và rút trích thành phần chính an toàn, song vẫn chưa có cơ chế chống lại người quản trị máy chủ mạo danh.
  • Giao thức eSketch (2016): Kết hợp mã hóa đồng hình và cam kết mờ; giao thức đòi hỏi chi phí tính toán rất lớn và người dùng vẫn phải cung cấp dữ liệu đặc trưng gốc trong giai đoạn đăng ký.
  • Nguyen và cộng sự (2016, 2017): Phân chia máy chủ chính thành các máy chủ phụ chuyên biệt; tuy nhiên nguy cơ lộ thông tin vẫn xảy ra nếu các máy chủ thông đồng với nhau.

Bảng tổng hợp so sánh các giao thức xác thực từ xa sử dụng đặc trưng sinh trắc được trình bày như sau:

Giao thức Đóng góp chính Yếu điểm chính Bảo vệ mẫu sinh trắc Tính khả đổi Xác thực lẫn nhau
BioPKI (2008) Sử dụng Biometric Encryption Key (BEK) để bảo vệ khóa bí mật Không bảo vệ mẫu sinh trắc trên máy chủ Không Không Không
Xi và cộng sự (2011) Lưu trữ chỉ số thay vì điểm đặc trưng thực của vân tay; dùng ECC Máy chủ được giả định an toàn; sinh khóa phiên không khả thi Có Không Không
Maneesh và cộng sự (2010) Xác thực mù; thiết kế bộ phân loại trong không gian mẫu sinh trắc gốc Bộ phân loại được xem như bên thứ ba tin cậy, chưa được bảo vệ Không Không Không
eSketch (2016) Sử dụng mã hóa đồng hình để bảo vệ tính riêng tư trước máy chủ Độ phức tạp tính toán lớn; người dùng phải nộp mẫu gốc khi đăng ký Có Không Không
Fengling và cộng sự (2014) Ứng dụng giao thức Kerberos và dùng chữ ký ảnh làm nhiễu dữ liệu Chưa có kỹ thuật bảo vệ tính riêng tư chống tấn công nội bộ tại KDC Có Có Có
Hisham và cộng sự (2013) Kết hợp kỹ thuật giấu tin với xác thực sinh trắc đa thành phần Máy chủ có thể đánh cắp dữ liệu cơ sở dữ liệu để giả mạo người dùng Có Có Có
Nghiên cứu dùng đa thức Chebyshev (2015) Kết hợp đa thức Chebyshev với kỹ thuật Rút trích mờ Máy chủ có thể đánh cắp dữ liệu cơ sở dữ liệu để giả mạo người dùng Có Không Có
Nguyen và cộng sự (2016, 2017) Tách máy chủ chính thành hai máy chủ phụ; kết hợp Cam kết mờ Các máy chủ phụ có thể cấu kết với nhau để tấn công hệ thống từ bên trong Có Có Có

Khoảng trống mà luận án lựa chọn giải quyết là xây dựng một mô hình bảo vệ mẫu sinh trắc theo hướng tiếp cận lai kết hợp phần cứng bảo mật chuyên dụng tại máy chủ, nhằm loại bỏ nguy cơ máy chủ lợi dụng dữ liệu để mạo danh người dùng mà không làm tăng độ phức tạp tính toán quá mức.

Cơ sở lý thuyết và phương pháp nghiên cứu

Khung lý thuyết và khái niệm

Luận án dựa trên các nền tảng lý thuyết về hệ thống sinh trắc học, lý thuyết mật mã và tính toán an toàn:

  1. Các đặc tính của đặc trưng sinh trắc học: Một đặc trưng sinh trắc được sử dụng cho hệ thống xác thực cần thỏa mãn 7 tính chất: tính phổ biến, tính duy nhất, tính ổn định, tính tính toán được, tính hiệu quả, tính chấp nhận được và tính không thể gian lận.

  2. Cấu trúc hệ thống xác thực sinh trắc cơ bản: Gồm 6 thành phần:

    • Bộ cảm biến (sensor module): Thu thập dữ liệu sinh trắc thô.
    • Bộ tiền xử lý (preprocessing module): Nâng cao chất lượng dữ liệu, loại bỏ nhiễu và cân chỉnh.
    • Bộ rút trích đặc trưng (feature extractor module): Trích xuất vector đặc trưng đại diện.
    • Cơ sở dữ liệu mẫu đăng ký (template database): Lưu trữ thông tin mẫu đã đăng ký của người dùng.
    • Bộ so sánh (matcher module): Tính toán điểm tương đồng (ví dụ khoảng cách Euclide giữa 2 vector).
    • Bộ ra quyết định (decision module): So sánh điểm tương đồng với ngưỡng xác định để đưa ra kết quả.

  3. Chỉ số đánh giá hiệu suất hệ thống sinh trắc:

    • FAR (False Acceptance Rate): Tỉ lệ chấp nhận sai, đại diện cho xác suất kẻ mạo danh được chấp nhận.
    • FRR (False Reject Rate): Tỉ lệ từ chối sai, đại diện cho xác suất người dùng hợp lệ bị từ chối.
    • EER (Equal Error Rate): Tỉ lệ lỗi cân bằng, là điểm giao nhau khi FAR bằng FRR.

  4. Phân loại các kỹ thuật bảo vệ mẫu sinh trắc:

    • Hướng biến đổi đặc trưng (Cancelable biometrics): Thực hiện biến đổi mẫu sinh trắc trước khi lưu trữ; gồm phép biến đổi khả nghịch (dùng khóa bí mật) và phép biến đổi bất khả nghịch (dùng hàm một chiều/toàn ánh).
    • Hướng mã hóa sinh trắc (Biometric cryptosystem): Gồm khóa gán kèm (Key binding như Cam kết mờ - Fuzzy commitment, Cụm mờ - Fuzzy vault, Hàm che đỡ - Shielding function) và khóa sinh ra từ dữ liệu sinh trắc (Key generation như Rút trích mờ - Fuzzy extractor, Secure sketch).

Bảng so sánh hai hướng tiếp cận bảo vệ mẫu sinh trắc:

Tiêu chí Biến đổi mẫu sinh trắc (Cancelable biometrics) Hệ thống mã hóa sinh trắc (Biometric cryptosystem)
Ý tưởng cốt lõi Biến đổi mẫu sinh trắc đăng ký trước khi lưu vào cơ sở dữ liệu Gắn kết mẫu sinh trắc với một khóa ngẫu nhiên hoặc sinh khóa từ mẫu
Dữ liệu lưu trữ Mẫu sinh trắc đã biến đổi; khóa bí mật (đối với biến đổi khả nghịch) Dữ liệu trợ giúp công khai (Helper data)
Phép so trùng So sánh tương tự giữa mẫu đăng ký biến đổi và mẫu kiểm tra biến đổi So sánh chính xác giữa các khóa sinh ra hoặc các khóa được gán kết
Yêu cầu kỹ thuật Khó hoặc không thể suy ngược về mẫu gốc; bảo toàn khoảng cách nội lớp Dữ liệu trợ giúp không làm lộ thông tin mẫu sinh trắc gốc và khóa bí mật
Ưu điểm Dễ tích hợp vào hệ thống sinh trắc học hiện hữu; giữ nguyên bản chất so sánh tương tự Mức độ bảo mật cao do không lưu trữ trực tiếp dữ liệu sinh trắc
Nhược điểm Phụ thuộc vào độ bí mật của khóa (với phép khả nghịch); mức bảo mật thấp hơn mã hóa Triển khai phức tạp; cần xây dựng các thành phần sửa lỗi và tái tạo khóa
  1. Lý thuyết tính toán an toàn và phần cứng bảo mật:
    • Bộ mã sửa lỗi (Error Correcting Code - ECC / Linear Error Correcting Code): Sử dụng từ mã (codeword) để khắc phục sai lệch dữ liệu do nhiễu sinh trắc.
    • Bộ đồng xử lý bảo mật (Secure Coprocessor - SC): Thiết bị phần cứng chống can thiệp vật lý (tamper-responding), tích hợp bộ xử lý mật mã chuyên dụng, có bộ nhớ bảo mật và giao diện lập trình ứng dụng (API) độc lập, điển hình là dòng thiết bị IBM 4765.

Phương pháp nghiên cứu thực tế và nguồn dữ liệu

  • Phương pháp rút trích đặc trưng: Ứng dụng kỹ thuật phân tích thành phần chính (PCA) để trích xuất dữ liệu ảnh khuôn mặt thành vector đặc trưng số thực $X = {x_1, x_2, \dots, x_n}$.
  • Phương pháp bảo vệ mẫu lai: Kết hợp phép chiếu trực giao ngẫu nhiên (Random Projection - RP) với kỹ thuật cam kết mờ (Fuzzy Commitment).
  • Phương pháp phân tích an ninh: Phân tích toán học và mật mã học về tính bất khả đảo của hàm biến đổi, khả năng chống tấn công xen giữa bằng xác thực hai chiều, chống tấn công lặp lại bằng số ngẫu nhiên sử dụng một lần (NONCE) và nhãn thời gian (timestamp), và chống tấn công nội bộ thông qua phân lập tính toán trên bộ đồng xử lý bảo mật.
  • Nguồn dữ liệu: Dữ liệu đặc trưng sinh trắc khuôn mặt dạng vector và môi trường phát triển ứng dụng mật mã trên bộ đồng xử lý IBM 4765.

Nội dung chính theo từng chương

Chương 1: Giới thiệu

Chương 1 trình bày tổng quan về bối cảnh phát triển của Internet, sự gia tăng của các dịch vụ thương mại điện tử và các nguy cơ mất an toàn thông tin trong môi trường mạng. Tác giả phân tích các hạn chế cố hữu của phương pháp xác thực truyền thống bằng mật khẩu và nêu bật vai trò của xác thực bằng đặc trưng sinh trắc. Tiếp đó, chương xác định mục tiêu nghiên cứu (bảo vệ mẫu sinh trắc và tính toán an toàn trên máy chủ không tin cậy), phạm vi nghiên cứu (xử lý trên vector đặc trưng đã rút trích bằng PCA, mô hình máy chủ tấn công bị động), chỉ ra 3 đóng góp chính của công trình và trình bày cấu trúc 7 chương của luận án.

Chương 2: Các nghiên cứu liên quan

Chương 2 cung cấp nền tảng kiến thức về kiểm soát truy xuất, phân biệt giữa xác thực (kiểm tra danh định) và ủy quyền (giới hạn quyền hạn). Quá trình xác thực được phân loại thành so trùng chính xác (hệ thống nhị phân) và so trùng có xác suất (hệ thống dựa trên ngưỡng). Tác giả phân tích 7 đặc tính bắt buộc của sinh trắc học và so sánh chi tiết các loại đặc trưng sinh trắc (vân tay, khuôn mặt, mống mắt, võng mạc, chữ ký, dáng đi...).

Chương phân tích 6 thành phần cấu tạo của hệ thống sinh trắc và cấu trúc các điểm tấn công tiềm ẩn (tấn công mức đầu vào, tấn công giữa các khối chức năng, tấn công tại khối chức năng/Trojan-horse, và tấn công cơ sở dữ liệu mẫu). Các khái niệm FAR, FRR, EER được giải thích chi tiết cùng mô hình phân loại lỗ hổng dạng xương cá. Phần cuối chương điểm lại các công trình xác thực truyền thống và xác thực từ xa dùng sinh trắc học giai đoạn 2002–2017, chỉ ra khoảng trống về nguy cơ tấn công từ bên trong máy chủ.

Chương 3: Bảo vệ dữ liệu sinh trắc

Chương 3 đi sâu vào các tiêu chí đánh giá kỹ thuật bảo vệ mẫu sinh trắc:

  • Tính khả đổi (Cancelability): Gồm tính đa dạng (diversity - các mẫu biến đổi ở các ứng dụng khác nhau của cùng một người không được giống nhau) và tính linh hoạt (revocability - khả năng hủy và tái tạo mẫu mới nhanh chóng).
  • Tính bảo mật (Non-invertibility): Khó hoặc không thể tính toán ngược để phục hồi mẫu sinh trắc gốc từ mẫu đã biến đổi.
  • Hiệu suất nhận dạng (Discriminability): Giữ vững khả năng phân hóa, không làm suy giảm độ chính xác nhận dạng của hệ thống sau khi áp dụng biến đổi.

Chương phân tích hai hướng tiếp cận đơn lẻ: biến đổi đặc trưng và hệ thống mã hóa sinh trắc; chỉ ra rằng không có kỹ thuật đơn lẻ nào thỏa mãn đồng thời cả ba tiêu chí. Tác giả phân tích các giải pháp kết hợp, bao gồm:

  1. Lược đồ lai giữa hàm tuần hoàn sine và kỹ thuật cụm mờ (Fuzzy Vault): sử dụng vector ngẫu nhiên $c = {c_1, c_2, \dots, c_n}$ với $c_i \in [-1, 1]$ và tập số nguyên chu kỳ $p = {p_1, p_2, \dots, p_n}$ để biến đổi vector đặc trưng $X$ qua hàm sine chu kỳ $2\pi$.
  2. Lược đồ lai giữa phép chiếu trực giao ngẫu nhiên và kỹ thuật cam kết mờ: sử dụng ma trận trực giao ngẫu nhiên để biến đổi không gian vector, sau đó nhị phân hóa và gắn kết với từ mã sửa lỗi để tạo dữ liệu trợ giúp (helper data).

Chương 4: Tính toán an toàn

Chương 4 khảo sát các giải pháp tính toán an toàn cho dữ liệu nhạy cảm:

  • Lý thuyết mã hóa đồng hình (Homomorphic Encryption) và giao thức bảo mật không thông tin (Zero-knowledge proof).
  • Các mô hình chia sẻ khóa bí mật (Secret Sharing) của Shamir và Blakley.
  • Các kiến trúc xác thực phân tán: Giao thức Kerberos và giao thức xác thực chia tách hai máy chủ.
  • Bộ đồng xử lý bảo mật (Secure Coprocessor - SC): Phân tích cấu trúc phần cứng an toàn, kiến trúc máy chủ nhúng vi xử lý bảo mật và quy trình phát triển ứng dụng trong SC. Luận án nghiên cứu điển hình (case study) bộ đồng xử lý IBM 4765, làm rõ các API mật mã và cơ chế bảo vệ phân tách giữa bộ xử lý chính và bộ nhớ an toàn của SC.

Chương 5: Giao thức đề xuất

Chương 5 mô tả chi tiết kiến trúc và hoạt động của giao thức xác thực từ xa đề xuất:

  • Kiến trúc tổng quát: Tách biệt vai trò giữa máy chủ điều khiển chính (Control server) và bộ đồng xử lý bảo mật (Secure coprocessor - SC) tích hợp bên trong máy chủ.
  • Giai đoạn đăng ký (Registration phase):
    1. Người dùng rút trích vector đặc trưng sinh trắc $X$, áp dụng phép chiếu trực giao ngẫu nhiên bằng ma trận chiếu được tạo từ khóa định danh để tạo mẫu biến đổi.
    2. Mẫu biến đổi được lượng tử hóa/nhị phân hóa, sau đó kết hợp với từ mã $C$ (sinh từ mã sửa lỗi tuyến tính ECC) thông qua phép XOR để tạo dữ liệu trợ giúp $HD = C \oplus b(X')$.
    3. Giá trị băm của từ mã $h(C)$ và dữ liệu trợ giúp $HD$ được gửi đến máy chủ và lưu trữ trong môi trường an toàn.
  • Giai đoạn xác thực (Authentication phase):
    1. Thiết lập cơ chế thử thách - phản hồi bằng số ngẫu nhiên sử dụng một lần (NONCE) và nhãn thời gian giữa người dùng và máy chủ để tạo tính tươi mới.
    2. Người dùng gửi dữ liệu xác thực đã được biến đổi và mã hóa.
    3. Máy chủ chính chuyển tiếp dữ liệu nhạy cảm vào bộ đồng xử lý bảo mật SC.
    4. Bên trong SC: Tiến hành giải mã từ mã $C' = \text{Decode}(HD \oplus b(Y'))$, tính $h(C')$ và so sánh chính xác với $h(C)$ đã lưu trữ.
    5. Nếu trùng khớp, SC xác nhận danh tính hợp lệ và hỗ trợ thiết lập khóa phiên (session key) trao đổi giữa hai bên; toàn bộ quá trình tính toán nhạy cảm không rời khỏi SC.

Chương 6: Đánh giá

Chương 6 trình bày các kết quả thực nghiệm và đánh giá toàn diện hệ thống:

  • Đánh giá thực nghiệm hiệu suất nhận dạng: So sánh kết quả xác thực trên 3 trường hợp: (1) Vector đặc trưng sinh trắc gốc; (2) Vector đặc trưng sau phép chiếu trực giao ngẫu nhiên; (3) Vector đặc trưng bảo vệ bằng lược đồ lai giữa cam kết mờ và phép chiếu trực giao ngẫu nhiên. Kết quả cho thấy tỷ lệ nhận dạng của lược đồ lai tương đương với hệ thống sử dụng dữ liệu gốc, chứng minh khả năng bảo toàn hiệu suất phân hóa.
  • Đánh giá độ bảo mật:
    • Chống tấn công mẫu sinh trắc: Phép chiếu ngẫu nhiên kết hợp cam kết mờ đảm bảo tính bất khả đảo; kẻ tấn công không thể khôi phục mẫu gốc $X$ từ dữ liệu trợ giúp $HD$ và giá trị băm $h(C)$.
    • Chống tấn công lặp lại: Nhờ việc tích hợp số ngẫu nhiên NONCE và nhãn thời gian trong từng phiên làm việc.
    • Chống tấn công xen giữa: Cơ chế xác thực hai chiều và mã hóa bảo vệ tính toàn vẹn của các gói tin truyền thông.
    • Chống tấn công từ bên trong hệ thống: Toàn bộ quá trình giải mã cam kết mờ và so khớp diễn ra bên trong bộ đồng xử lý bảo mật SC; người quản trị máy chủ chính không thể đọc được khóa $C$ hoặc vector sinh trắc của người dùng.
  • Đánh giá độ phức tạp: Phân tích chi phí tính toán của phép chiếu trực giao ngẫu nhiên và kỹ thuật cam kết mờ, chứng minh tính khả thi khi triển khai thực tế so với các giải pháp dùng mã hóa đồng hình hoàn toàn.

Chương 7: Kết luận và hướng phát triển

Chương 7 tổng kết toàn bộ các kết quả đạt được của luận án, chỉ ra các nội dung chưa hoàn thiện và vạch ra các hướng phát triển tiếp theo của đề tài.

Kết quả và những đóng góp mới

Luận án tự xác định các đóng góp mới về mặt khoa học và kỹ thuật ứng dụng như sau:

  1. Về lý thuyết bảo vệ mẫu sinh trắc: Đề xuất lược đồ bảo vệ mẫu sinh trắc theo hướng tiếp cận lai, kết hợp kỹ thuật cam kết mờ (Fuzzy Commitment) và phép chiếu trực giao ngẫu nhiên (Random Projection). Lược đồ này tận dụng ưu điểm của phép chiếu trực giao ngẫu nhiên trong việc tạo tính khả đổi và tính đa dạng, kết hợp khả năng sửa lỗi và bảo vệ khóa của cam kết mờ, giúp mẫu sinh trắc biến đổi đạt tính bất khả đảo cao mà không làm suy giảm hiệu suất nhận dạng so với mẫu gốc.
  2. Về kiến trúc tính toán an toàn chống tấn công nội bộ: Đưa ra giải pháp nhúng bộ đồng xử lý bảo mật (Secure Coprocessor - SC) vào máy chủ xác thực để xử lý các phép tính nhạy cảm. Luận án thiết kế giao thức phân tách chức năng giữa bộ xử lý chính và SC, giúp tối thiểu hóa khối lượng tính toán phải thực hiện trong SC và triệt tiêu hoàn toàn khả năng tiếp cận dữ liệu sinh trắc nhạy cảm của người quản trị máy chủ.
  3. Về giao thức xác thực từ xa: Xây dựng giao thức xác thực từ xa tổng quát áp dụng cho các đặc trưng sinh trắc có dạng vector. Giao thức hỗ trợ xác thực lẫn nhau giữa người dùng và máy chủ, đảm bảo khả năng chống lại các cuộc tấn công xen giữa, tấn công lặp lại và tấn công theo vết người dùng (cross-matching).

Kiến nghị và giải pháp đề xuất:

  • Ứng dụng mô hình giao thức lai và phần cứng bảo mật SC vào các hệ thống xác thực trực tuyến quy mô lớn như dịch vụ ngân hàng điện tử, cổng dịch vụ công trực tuyến và hệ thống thương mại điện tử.
  • Chuẩn hóa việc sử dụng các dòng phần cứng mật mã chuyên dụng (như IBM 4765 hoặc tương đương) tại máy chủ xác thực nhằm bảo vệ quyền riêng tư sinh trắc của khách hàng.

Hạn chế và hướng nghiên cứu tiếp

Hạn chế của luận án:

  • Luận án mới chỉ tập trung xử lý dữ liệu sinh trắc đã qua bước tiền xử lý và rút trích thành vector đặc trưng bằng thuật toán PCA; chưa khảo sát các định dạng đặc trưng phi vector (như tập điểm minutiae thô của vân tay).
  • Nghiên cứu chưa đề cập đến các kỹ thuật bảo vệ chống tấn công đánh lừa cảm biến ở mức đầu vào (tấn công giả mạo khuôn mặt, vân tay giả) và chưa nghiên cứu sâu khâu tiền xử lý hình ảnh thô.
  • Giả định an ninh đối với máy chủ xác thực dừng lại ở mô hình kẻ tấn công bị động (passive attacker), chưa mở rộng cho các kịch bản máy chủ chủ động can thiệp sửa đổi kết quả hoặc không thực hiện đúng quy trình giao thức.

Hướng phát triển tiếp theo:

  • Mở rộng giao thức đề xuất để hỗ trợ nhiều dạng biểu diễn đặc trưng sinh trắc học khác nhau (dạng tập hợp điểm, đồ thị, chuỗi tín hiệu âm thanh).
  • Nghiên cứu cơ chế phát hiện và ngăn chặn máy chủ không trung thực ở mức độ tấn công chủ động (active attacker).
  • Tối ưu hóa hiệu năng giao tiếp và giảm thiểu độ trễ trao đổi dữ liệu giữa bộ xử lý chính và bộ đồng xử lý bảo mật trong môi trường xử lý đồng thời lượng lớn người dùng.

Giá trị tham khảo

Luận án là tài liệu tham khảo có giá trị chuyên môn đối với:

  • Nghiên cứu sinh, học viên cao học và giảng viên chuyên ngành Khoa học máy tính, An toàn thông tin và Kỹ thuật mạng: Có thể tham khảo tổng quan phân loại các kỹ thuật bảo vệ mẫu sinh trắc (Chương 2, Chương 3), các mô hình tính toán an toàn (Chương 4) và phương pháp luận thiết kế lược đồ lai kết hợp mật mã học với sinh trắc học.
  • Kỹ sư phát triển hệ thống và chuyên gia an ninh mạng: Tham khảo chi tiết thiết kế giao thức xác thực từ xa (Chương 5), quy trình tích hợp và lập trình giao tiếp với bộ đồng xử lý bảo mật phần cứng IBM 4765 (Chương 4) để ứng dụng vào các kiến trúc xác thực phân tán thực tế.

Câu hỏi thường gặp

1. Tại sao việc áp dụng trực tiếp hàm băm một chiều lên đặc trưng sinh trắc gốc để so khớp (như trong nghiên cứu của Li và Hwang) lại không khả thi?
Trả lời: Dữ liệu đặc trưng sinh trắc luôn chứa đựng nhiễu và biến thiên nội lớp, mỗi lần thu thập từ một người dùng đều có sự sai khác nhất định. Hàm băm mật mã một chiều có tính chất khuếch tán (avalanche effect): chỉ cần một thay đổi nhỏ ở đầu vào sẽ tạo ra giá trị băm hoàn toàn khác biệt. Do đó, hai mẫu sinh trắc của cùng một cá nhân khi băm trực tiếp sẽ cho ra hai chuỗi băm khác nhau, khiến phép so khớp chính xác bị thất bại.

2. Ba tiêu chí cốt lõi để đánh giá một kỹ thuật bảo vệ mẫu sinh trắc theo luận án là gì?
Trả lời: Ba tiêu chí gồm:

  • Tính khả đổi (Cancelability): Mẫu sinh trắc bị lộ có thể bị hủy và thay thế bằng mẫu mới từ cùng một đặc trưng gốc mà không cần thay đổi đặc tính sinh học của người dùng; đảm bảo tính đa dạng (không trùng lặp giữa các dịch vụ) và tính linh hoạt.
  • Tính bảo mật (Non-invertibility): Không thể khôi phục lại mẫu sinh trắc gốc từ mẫu đã biến đổi hoặc dữ liệu trợ giúp lưu trữ trong cơ sở dữ liệu.
  • Hiệu suất (Performance/Discriminability): Việc áp dụng kỹ thuật bảo vệ không làm suy giảm khả năng phân biệt và độ chính xác nhận dạng (FAR, FRR, EER) so với khi sử dụng mẫu sinh trắc gốc.

3. Lược đồ bảo vệ mẫu sinh trắc lai của luận án kết hợp những kỹ thuật nào và giải quyết nhược điểm gì của các kỹ thuật đơn lẻ?
Trả lời: Luận án kết hợp phép chiếu trực giao ngẫu nhiên (thuộc hướng biến đổi đặc trưng) và kỹ thuật cam kết mờ (thuộc hướng mã hóa sinh trắc). Phép chiếu trực giao ngẫu nhiên tạo ra tính khả đổi và tính đa dạng cao nhưng đơn lẻ thì mức độ bảo mật chưa tối ưu; trong khi cam kết mờ cung cấp khả năng sửa lỗi và bảo vệ khóa nhưng bản thân nó thiếu tính khả đổi. Sự kết hợp này dung hòa ưu điểm của cả hai, vừa bảo vệ mẫu sinh trắc bất khả đảo, vừa cho phép hủy/cấp lại mẫu và bảo toàn độ chính xác nhận dạng.

4. Bộ đồng xử lý bảo mật (Secure Coprocessor - SC) đóng vai trò gì trong việc ngăn chặn tấn công từ bên trong máy chủ?
Trả lời: Bộ đồng xử lý bảo mật là một môi trường phần cứng an toàn, chống can thiệp vật lý và có vùng nhớ độc lập tích hợp trong máy chủ. Khi xác thực, các dữ liệu nhạy cảm (như giải mã cam kết mờ, so khớp từ mã và kiểm tra nhận dạng) được chuyển vào thực thi hoàn toàn bên trong SC. Người quản trị máy chủ chính chỉ điều khiển luồng dữ liệu bên ngoài mà không thể đọc được dữ liệu trong bộ nhớ SC, do đó bị tước bỏ khả năng đánh cắp thông tin sinh trắc để mạo danh người dùng.

5. Mô hình máy chủ không tin cậy trong phạm vi nghiên cứu của luận án được giả định như thế nào?
Trả lời: Luận án giả định máy chủ xác thực hoạt động ở mức độ tấn công bị động (passive attacker): máy chủ tuân thủ đúng các bước và thuật toán của giao thức nhưng có thể cố gắng khai thác các dữ liệu nhận được và tài nguyên lưu trữ trong cơ sở dữ liệu để mạo danh người dùng nhằm thực hiện các hành vi trái phép, chứ không chủ động sửa đổi luồng thực thi hay phá hoại hệ thống.

Kết luận

Luận án của tác giả Nguyễn Thị Ái Thảo đã giải quyết vấn đề bảo mật trong xác thực từ xa bằng đặc trưng sinh trắc thông qua sự kết hợp giữa lược đồ bảo vệ mẫu lai (phép chiếu trực giao ngẫu nhiên và cam kết mờ) với kiến trúc tính toán an toàn sử dụng bộ đồng xử lý bảo mật phần cứng tại máy chủ. Kết quả nghiên cứu chứng minh hệ thống đạt được sự cân bằng giữa tính bảo mật, tính khả đổi của dữ liệu sinh trắc và hiệu suất nhận dạng thực tế, đồng thời loại trừ nguy cơ tấn công mạo danh từ người quản trị máy chủ nội bộ. Công trình đóng góp giải pháp kỹ thuật có giá trị tham khảo cho việc phát triển các hệ thống xác thực sinh trắc học từ xa an toàn trong môi trường mạng mở.