Nghiên cứu cải tiến IPSec trên nền tảng FPGA trong luận văn thạc sĩ kỹ thuật điện tử

Luận văn thạc sĩ kỹ thuật phân tích kỹ thuật điện tử nghiên cứu cải tiến ipsec trên nền tảng fpga, đánh giá thực trạng, chỉ ra hạn chế, đề xuất giải pháp khả thi cho thực tiễn.

• Tác giả: Võ Ngọc Hiệu
• Người hướng dẫn: PGS.TS Hoàng Trang
• Trường học: Đại học Bách Khoa - ĐHQG TP. HCM
• Chuyên ngành: Kỹ Thuật Điện Tử
• Đề tài: Nghiên Cứu, Cải Tiến IPSec Trên Nền Tảng FPGA
• Loại tài liệu: luận văn thạc sĩ
• Năm xuất bản: 2020
• Địa điểm: TP. Hồ Chí Minh

Tóm tắt

I. Giới thiệu về IPSec

IPSec (Internet Protocol Security) là một bộ giao thức bảo mật được thiết kế để bảo vệ dữ liệu truyền qua mạng IP. IPSec cung cấp tính năng mã hóa và xác thực cho các gói dữ liệu, giúp đảm bảo an toàn cho thông tin trong môi trường mạng. Trong bối cảnh hiện tại, với sự gia tăng các mối đe dọa từ tấn công mạng, việc áp dụng IPSec trở nên cần thiết hơn bao giờ hết. Luận văn này nghiên cứu về cải tiến IPSec trên nền tảng FPGA, nhằm nâng cao hiệu suất và bảo mật cho các ứng dụng mạng. Việc áp dụng FPGA cho phép thực hiện các thuật toán mã hóa một cách hiệu quả hơn, đồng thời giảm thiểu độ trễ trong quá trình truyền tải dữ liệu. Theo một số nghiên cứu, IPSec được coi là một trong những giải pháp bảo mật mạng hiệu quả, đặc biệt trong các lĩnh vực như thương mại điện tử và tài chính. Những ưu điểm nổi bật của IPSec bao gồm khả năng bảo vệ toàn bộ gói IP và tính linh hoạt trong việc triển khai.

II. Cấu trúc và hoạt động của IPSec

Cấu trúc của IPSec bao gồm hai chế độ hoạt động chính: chế độ truyền tải và chế độ đường hầm. Chế độ truyền tải chỉ mã hóa dữ liệu trong gói IP, trong khi chế độ đường hầm mã hóa toàn bộ gói IP, bao gồm cả tiêu đề. IPSec sử dụng hai giao thức cốt lõi: AH (Authentication Header) và ESP (Encapsulating Security Payload). AH cung cấp tính năng xác thực, trong khi ESP cung cấp cả tính năng mã hóa và xác thực. Việc áp dụng các giao thức này giúp bảo vệ tính toàn vẹn và bảo mật của dữ liệu truyền tải. Hệ thống IPSec có thể được triển khai trên nhiều nền tảng khác nhau, bao gồm cả phần mềm và phần cứng. Sự kết hợp giữa FPGA và IPSec cho phép thực hiện các thuật toán mã hóa như AES (Advanced Encryption Standard) một cách hiệu quả hơn, từ đó cải thiện hiệu suất mạng tổng thể.

III. Ứng dụng của IPSec trong thực tiễn

IPSec được ứng dụng rộng rãi trong các lĩnh vực như mạng riêng ảo (VPN), nơi nó cung cấp một lớp bảo mật cho việc truyền tải dữ liệu giữa các điểm. Các tổ chức tài chính và ngân hàng cũng áp dụng IPSec để bảo vệ thông tin nhạy cảm của khách hàng. Một số nghiên cứu cho thấy rằng việc sử dụng IPSec có thể giảm thiểu rủi ro từ các cuộc tấn công mạng, đồng thời đảm bảo tính bảo mật cho các giao dịch trực tuyến. Hơn nữa, với sự phát triển của công nghệ FPGA, việc tích hợp IPSec vào các thiết bị phần cứng giúp tăng cường khả năng xử lý và giảm thiểu độ trễ, từ đó nâng cao trải nghiệm người dùng. Các ứng dụng thực tiễn của IPSec không chỉ giới hạn trong lĩnh vực tài chính mà còn mở rộng sang các lĩnh vực khác như y tế và giáo dục, nơi mà bảo mật thông tin là ưu tiên hàng đầu.

IV. Nghiên cứu và phát triển giải thuật mã hóa trên FPGA

Luận văn tập trung vào việc nghiên cứu và phát triển giải thuật mã hóa AES-GCM trên nền tảng FPGA. Giải thuật AES (Advanced Encryption Standard) là một trong những phương pháp mã hóa phổ biến nhất hiện nay, và khi kết hợp với chế độ GCM (Galois/Counter Mode), nó cung cấp khả năng mã hóa và xác thực dữ liệu một cách hiệu quả. Việc triển khai AES-GCM dual core trên FPGA không chỉ giúp tăng tốc quá trình mã hóa mà còn cải thiện thông lượng hệ thống. Nghiên cứu cho thấy rằng việc sử dụng hai nhân AES đồng thời có thể nâng cao hiệu suất lên đáng kể so với các giải pháp truyền thống. Điều này mở ra khả năng ứng dụng IPSec trong các thiết bị mạng bảo mật với yêu cầu cao về hiệu suất và độ bảo mật.

V. Kết luận và hướng phát triển

Luận văn đã chỉ ra rằng việc cải tiến IPSec trên nền tảng FPGA không chỉ giúp nâng cao hiệu suất mà còn đảm bảo tính bảo mật cho các ứng dụng mạng. Nghiên cứu này mở ra hướng phát triển mới cho việc thiết kế các thiết bị bảo mật như router hỗ trợ IPSec. Các kết quả thực nghiệm cho thấy rằng thiết kế đã đạt được hiệu suất tốt, đáp ứng được yêu cầu bảo mật trong môi trường mạng hiện đại. Trong tương lai, cần tiếp tục nghiên cứu để tối ưu hóa hơn nữa các giải thuật mã hóa trên FPGA, cũng như mở rộng ứng dụng của IPSec trong các lĩnh vực khác nhau, từ đó góp phần nâng cao an ninh mạng toàn cầu.

Trích đoạn nội dung tài liệu

Mở đầu Chương này trình bày các phần đặt vấn đề, đối tượng và phạm vi nghiên cứu, mục tiêu và nội dung của đề tài và bố cục luận văn Chương 2: Giới thiệu Chương này trình bày sơ lược về chuẩn IPSec, các giao thức cốt lõi của chuẩn IPSec cũng như ưu, nhược điểm và các ứng dụng trong thực tế của IPSec. Chương 3: Tình hình nghiên cứu trong và ngoài nước Chương này đánh giá tình hình bảo mật mạng hiện nay, tóm tắt các đề tài nghiên cứu ngoài nước làm cơ sở cho việc tham khảo và chọn giải thuật của luận văn Chương 4: Cơ sở lý thuyết Chương này trình bày lý thuyết bảo mật, trong đó có 2 nội dung chính là AES và GCM để kết hợp tạo thành giải thuật AES-GCM theo chuẩn. Đồng thời, trình bày giải thuật mới sử dụng 2 nhân AES gọi là AES-GCM dual core. Chương cũng trình bày các kiểu kiến trúc bảo mật và định dạng gói dữ liệu ESP khác nhau.

Chương 5: Thiết kế và thực hiện Chương này trình bày quy trình thiết kế lõi IP. Chi tiết việc thiết kế đường dữ liệu (data-path) và máy trạng thái. Thực hiện kết quả trên phần mềm mô phỏng VCS và tổng hợp trên FPGA. Tiến hành phân tích hiệu năng dựa trên kết quả thu dược từ VCS và FPGA.

Chương 6: Kết luận và hướng phát triển Chương này trình bày những kết quả đạt được của đề tài và hướng phát triển cho đề tài. Chương 7: Tài liệu tham khảo Chương này trình bày các tài liệu tham khảo sử dụng trong luận văn. Chương 8: Phụ lục Các test bench và mẫu test case chuẩn phục vụ cho việc kiểm tra chức năng của thiết kế. 2 Luận văn tốt nghiệp GVHD: PGS.TS Hoàng Trang 2 GIỚI THIỆU 2.1 Sơ lược về IPSec Một trong những điểm yếu của chuẩn IP nguyên bản là thiếu cơ chế đa năng cho phép việc đảm bảo tính xác thực và tính riêng tư của dữ liệu được truyền qua mạng.

Vì dữ liệu IP phải được định tuyến giữa hai thiết bị trên các mạng không xác định, nên bất kì thông tin nào giao tiếp trong đó đều có thể bị chặn và thậm chí là có thể thay đổi. Với việc mạng internet ngày càng đóng vai trò quan trọng thì việc cải tiến bảo mật là cần thiết. Giao thức “IP Security” hay IPSec đã được phát triển, chương này sẽ mô tả ngắn gọn về các khái niệm và giao thức IPSec bao gồm lịch sử phát triển, công nghệ và định nghĩa của các tiêu chuẩn của bộ IPSec.1 Tổng quan về lịch sử của IPSec Vấn đề lớn với phiên bản IP gốc (IPv4) là sự giới hạn không gian địa chỉ. Tình trạng này phát sinh do sự mở rộng và phát triển nhanh chóng của mạng Internet toàn cầu vượt quá mong đợi của con người khi IPv4 được phát minh.

Người ta đã không tính đến sự bùng nổ của Internet như hiện nay. Và hiện tại nó đã dẫn đến một vấn đề khác lớn hơn: thiếu phương tiện để đảm bảo an ninh trên mạng nội bộ IP [1]. Một số phương pháp đã phát triển qua nhiều năm để giải quyết nhu cầu về bảo mật. Hầu hết trong số này đều tập trung ở những lớp cao trong sơ đồ OSI 7 lớp để bù đắp cho sự thiếu bảo mật của IP.

Những giải pháp này chỉ có giá trị tình huống nhất định, nhưng chúng không dễ dàng để tổng quát hóa cho toàn bộ thiết bị và ứng dụng bởi vì chúng đặc biệt khác nhau cho các ứng dụng. Ví dụ: chúng ta có thể sử dụng lớp cổng bảo mật – Secure Sockets Layer (SSL) cho một số ứng dụng nhất định như truy cập “World Wide Web” hoặc giao thức truyền tệp – File Transfer Protocol (FTP), nhưng có rất nhiều các ứng dụng khác mà loại bảo mật này không thể làm việc được [1]. Do đó, điều thật sự cần thiết là một giải pháp cho phép bảo mật ở cấp độ IP, các giao thức lớp cao hơn trong TCP/IP có thể tận dụng được lợi thế của nó. Khi quyết định tạo ra chuẩn IP mới (IPv6), sự thiếu bảo mật như IPv4 vẫn chưa được khắc phục triệt để và đây là cơ hội vàng để IPSec giải quyết vấn đề bảo mật.

Công nghệ bảo mật mới được phát triển với IPv6, nhưng do mất nhiều năm để phát triển và triển khai, và nhu cầu bảo mật hiện nay, thì giải pháp được thiết kế để có thể sử dụng cho cả IPv4 và IPv6 [1]. Công nghệ mang lại sự an toàn, bảo mật trong giao tiếp mạng IP được gọi là “IP Security”, viết tắt là IPSec hay IPSEC.2 Tổng quan về chức năng của IPSec IPSec không phải là một giao thức đơn lẻ mà là một tập hợp các dịch vụ và giao thức cung cấp một giải pháp bảo mật hoàn chỉnh cho mạng IP. Những dịch vụ và giao thức kết hợp để cung cấp tính bảo mật cho hệ thống. Vì IPSec hoạt động ở lớp IP (hay lớp Network), nên nó có thể cung cấp các biện pháp bảo vệ này cho mọi ứng dụng hoặc giao thức TCP/IP lớp cao hơn mà không cần các phương pháp bảo mật bổ sung, đó là một lợi thế chính của phương pháp này so với các phương pháp khác [1].

Một số loại bảo mật cung cấp bởi IPSec bao gồm: - Mã hóa dữ liệu người dùng để bảo mật. 3 Luận văn tốt nghiệp GVHD: PGS.TS Hoàng Trang - Xác thực tính toàn vẹn của tin nhắn để đảm bảo rằng nó không bị thay đổi trên đường truyền. - Bảo vệ trước sự tấn công mạng, chẳng hạn như tấn công lặp lại (replay attack). - Thiết bị bảo mật có khả năng trao đổi các thuật toán bảo mật và khóa cần thiết để đáp ứng nhu cầu bảo mật của chúng.

- Hai chế độ bảo mật, chế độ đường hầm (tunnel mode) và chế độ vận chuyển (transport mode), để đáp ứng các nhu cầu bảo mật khác nhau trên các mạng khác nhau.2 Chuẩn IPSec Vì IPSec thực sự là một tập hợp các kỹ thuật và giao thức nên nó không được định nghĩa như một tiêu chuẩn Internet duy nhất. Thay vào đó, sẽ có một bộ RFC định nghĩa kiến trúc, dịch vụ và giao thức cụ thể được sử dụng trong IPSec. Các thông số này được thống kê ở bảng dưới, tất cả đều được công bố vào tháng 11 năm 1998 [1]: Bảng 2.1 Các chuẩn IPSec Số RFC Tên Mô tả 2401 Kiến trúc bảo mật Tài liệu chính IPSec, mô tả kiến trúc và hoạt động cho giao thức chung của công nghệ, cho thấy các thành phần khác Internet nhau khớp với nhau như thế nào 2402 Tiêu đề xác thực - Xác định giao thức AH (Authentication Header), IP Authentication được sử dụng cho việc đảm bảo tính toàn vẹn dữ Header liệu và xác minh nguồn gốc dữ liệu 2403 Sử dụng HMAC- Mô tả một thuật toán mã hóa cụ thể để sử dụng qua MD5-96 với ESP AH và giao thức ESP (Encapsulation Security và AH Payload) được gọi là MD5 (Message Digest 5), biến thể HMAC 2404 Sử dụng HMAC- Mô tả một thuật toán mã hóa cụ thể để sử dụng qua SHA1-96 với ESP AH và giao thức ESP gọi là SHA-1 (Security Hash và AH Algorithm 1), biến thể HMAC 2406 IP Encapsulating Mô tả giao thức IPSec ESP, cung cấp bảo mật dữ Security Payload liệu bằng việc mã hóa (ESP) 2408 Internet Security Xác định các phương thức trao đổi khóa và đàm Association and phán bảo mật Key Management Protocol (ISAKMP) 2409 Mô tả giao thức IKE được sử dụng để đàm phán bảo The Internet Key Exchange (IKE) mật và trao đổi khóa giữa các thiết bị để giao tiếp an toàn. Dựa trên ISAKMP và Oakley.

2412 The Oakley Key Mô tả một giao thức chung để trao đổi khóa Determination Protocol 4 Luận văn tốt nghiệp GVHD: PGS.TS Hoàng Trang 2.3 Hoạt động chung, các thành phần và giao thức của IPSec IPSec cung cấp dịch vụ bảo mật ở lớp IP cho các ứng dụng và giao thức TCP/IP khác để sử dụng. Điều này có nghĩa là IPSec cung cấp các công cụ mà các thiết bị trên mạng TCP/IP cần để giao tiếp an toàn. Khi hai thiết bị (một trong hai là máy chủ và người dùng cuối hoặc thiết bị trung gian như bộ định tuyến – routers hoặc tường lửa) muốn tham gia vào giao tiếp bảo mật, chúng phải thiết lập một đường dẫn bảo mật giữa các thiết bị có thể đi qua nhiều hệ thống trung gian không bảo mật. Để thực hiện điều này, họ phải thực hiện (ít nhất) các tác vụ sau [1]: - Phải đồng ý về một bộ giao thức bảo mật sẽ sử dụng để mỗi người gửi dữ liệu trong một định dạng khác có thể hiểu.

- Phải quyết định một thuật toán mã hóa cụ thể để sử dụng trong dữ liệu mã hóa. - Phải trao đổi các khóa được sử dụng để mở khóa dữ liệu của dữ liệu đã được mã hóa. - Sau khi hoàn thành các công việc nền tảng này, mỗi thiết bị phải sử dụng các giao thức, phương thức và khóa trước đó đã thảo luận để mã hóa dữ liệu và gửi dữ liệu đã má hóa đó qua mạng.1 Giao thức cốt lõi IPSec AH và ESP là hai giao thức chính được sử dụng bởi IPSec, chúng hoạt động ở wire-level, như trong hình dưới, hai thành phần được gọi là giao thức cốt lõi - “core protocol” của IPSec [1]: Hình 2.1 Giao thức cốt lõi IPSec IPSec Authentication Header (AH) [1]: được sử dụng để xác thực – nhưng không mã hóa – lưu lượng IP. Nó xác thực bằng cách tính toán một mã xác thực tin nhắn dựa trên mã hóa băm trên hầu hết các trường của gói IP (không bao gồm những trường có thể được sửa đổi trong quá trình chẳng hạn như header checksum), và lưu trữ như một tiêu đề (AH header) mới được thêm vào và gửi đến đầu kia.

Tiêu đề này được chèn vào giữa bản gốc IP header và payload. Encapsulating Security Payload (ESP) [1]: cung cấp mã hóa và xác thực tùy chọn. Nó bao gồm các trường tiêu đề và trailer để hỗ trợ mã hóa và xác thực lại tùy chọn. Mã hóa cho gói IP được hỗ trợ trong chế độ transport và cho toàn bộ gói trong chế độ tunnel.

Xác thực áp dụng cho tiêu đề ESP và mã hóa dữ liệu. 5 Luận văn tốt nghiệp GVHD: PGS.TS Hoàng Trang 2.2 Chế độ hoạt động của IPSec IPSec có hai chế độ hoạt động: - IPSec Transport mode: chế độ transport cung cấp một kết nối an toàn giữa hai điểm cuối vì nó đóng gói IP payload. Transport layer Transport layer payload IPsec layer IPsec-H Transport layer payload IPsec-T Network layer IP-H IP payload Hình 2.2 IPSec Transport mode + Mã hóa và tùy chọn xác thực dữ liệu IP. + Có thể phân tích lưu lượng.

+ Tốt cho lưu lượng máy chủ ESP host to host.