Chuyển giao OTP bằng Ma Trận Mật Khẩu Ngẫu Nhiên trong Quản lý Dạy và Học Trực Tuyến

Chuyển giao OTP bằng ma trận mật khẩu ngẫu nhiên tăng cường bảo mật xác thực đối tác trong quản lý dạy và học trực tuyến. Giải pháp an toàn, hiệu quả.

• Tác giả: Lê Quang Mạnh
• Người hướng dẫn: Gs. Thái Thanh Sơn
• Trường học: Trường Đại Học Mở Hà Nội
• Chuyên ngành: Công Nghệ Thông Tin
• Đề tài: Chuyển Giao OTP Bằng Ma Trận Mật Khẩu Ngẫu Nhiên Ứng Dụng Để Xác Thực Đối Tác Giao Dịch Trong Quản Lý Dạy Và Học Trực Tuyến
• Loại tài liệu: Luận Văn Tốt Nghiệp
• Năm xuất bản: 2023
• Địa điểm: Hà Nội

Mục lục chi tiết

• LỜI NÓI ĐẦU
• 1. CHƯƠNG 1: VẤN ĐỀ XÁC THỰC ĐỐI TÁC TRONG GIAO DỊCH DẠY VÀ HỌC TRỰC TUYẾN
• 1.1. Những nguy cơ trong giao dịch trực tuyến và trong quản lý Dạy và Học trực tuyến
• 1.2. Vấn đề xác thực đối tác để chống nguy cơ mạo danh
• 1.3. Một số biện pháp xác thực
• 1.3.1. Xác thực dựa trên định danh người sử dụng (Username) và mật khẩu (Password)
• 1.3.2. Sử dụng giao thức bắt tay có thử thách (Challenge Handshake Authentication Protocol – CHAP)
• 1.3.3. Xác thực sử dụng token
• 1.3.4. Xác thực áp dụng các phương pháp nhận dạng sinh trắc học (Biometrics)
• 1.3.5. Phương thức xác thực lẫn nhau (Mutual Authentication)
• 1.3.6. Xác thực đa yếu tố
• 1.3.7. Chữ ký điện tử
• 1.4. Kết luận chương 1
• 2. CHƯƠNG II: MẬT KHẨU SỬ DỤNG MỘT LẦN OTP VÀ MA TRẬN MẬT KHẨU NGẪU NHIÊN
• 2.1. Xác thực đối tác bằng OTP
• 2.1.1. Khái niệm mật khẩu OTP
• 2.1.2. Mục đích và ý nghĩa của mật khẩu OTP
• 2.2. Các biện pháp chuyển giao OTP
• 2.3. Chuyển giao OTP bằng tin nhắn SMS
• 2.4. Tạo OTP sử dụng token
• 2.5. Tạo OTP sử dụng điện thoại di động
• 2.6. Chuyển giao OTP sử dụng email
• 2.7. Ma trận mật khẩu ngẫu nhiên sử dụng để chuyển giao OTP
• 2.8. Kết luận chương 2
• 3. CHƯƠNG III: ỨNG DỤNG MA TRẬN MẬT KHẨU NGẪU NHIÊN TRONG VIỆC QUẢN LÝ ĐÀO TẠO
• 3.1. Thực trạng về yêu cầu xác thực đối tượng trong giao dịch trực tuyến trong quản lý Dạy và Học trực tuyến
• 3.2. Giải pháp sử dụng mật khẩu ngẫu nhiên
• 3.3. Chương trình demo
• 3.3.1. Giới thiệu bài toán
• 3.3.2. Phương pháp triển khai
• 3.3.3. Xây dựng phần mềm
• 3.3.4. Thử nghiệm và kết quả
• KẾT LUẬN VÀ CÁC KIẾN NGHỊ
• Tài liệu tham khảo
• DANH MỤC HÌNH ẢNH

Tóm tắt

I. Tổng Quan về Xác Thực OTP bằng Ma Trận Mật Khẩu

Trong bối cảnh E-Learning ngày càng phát triển, việc đảm bảo an toàn và bảo mật cho thông tin người dùng trở nên vô cùng quan trọng. Các phương pháp xác thực truyền thống, dựa trên username và password, ngày càng dễ bị tấn công. Do đó, nhu cầu về các giải pháp xác thực đa yếu tố (MFA) mạnh mẽ hơn là tất yếu. Xác thực OTP (One-Time Password) là một giải pháp phổ biến, nhưng việc chuyển giao OTP an toàn cũng là một thách thức. Ma trận mật khẩu ngẫu nhiên được đề xuất như một phương tiện đơn giản, dễ sử dụng và chi phí thấp để chuyển giao OTP một cách an toàn. Đề tài nghiên cứu này tập trung vào việc ứng dụng ma trận mật khẩu để xác thực đối tác giao dịch trong quản lý dạy và học trực tuyến, nhằm tăng cường bảo mật E-Learning và bảo vệ tài khoản E-Learning khỏi các nguy cơ tấn công E-Learning. Theo tài liệu nghiên cứu, việc sử dụng Thẻ ma trận ngẫu nhiên để chuyển giao OTP, đã được nghiên cứu đầy đủ về mặt lý thuyết bảo mật và là một phương tiện đơn giản, dễ chế tạo, sử dụng và giá thành hoàn toàn không đáng kể mà đến nay hầu như chưa được sử dụng rộng rãi.

1.1. Giới thiệu về E Learning Security và Tầm Quan Trọng

E-Learning security là một lĩnh vực quan trọng, bao gồm các biện pháp bảo vệ hệ thống, dữ liệu và người dùng khỏi các mối đe dọa an ninh mạng. Với sự gia tăng của các khóa học trực tuyến, việc đảm bảo bảo mật tài khoản E-Learning, thông tin cá nhân và nội dung học tập trở nên vô cùng quan trọng. Các biện pháp xác thực mạnh mẽ là một phần không thể thiếu của một hệ thống E-Learning an toàn. Việc sử dụng các biện pháp được bảo mật – xác thực đối tác giao dịch chống mạo danh được nêu trên, đối với các đơn vị, tổ chức không lớn như các Khoa/ Bộ môn đào tạo, chỉ có kinh phí hoạt động hạn chế, mức độ đầu tư kỹ thuật và công nghệ không cao là không khả thi.

1.2. Xác thực OTP và Ưu Điểm trong Môi Trường E Learning

Xác thực OTP (One-Time Password) là một phương pháp xác thực đa yếu tố (MFA) sử dụng một mã số duy nhất, chỉ có hiệu lực trong một khoảng thời gian ngắn. Điều này giúp ngăn chặn các cuộc tấn công sử dụng mật khẩu bị đánh cắp hoặc đoán. Trong môi trường E-Learning, xác thực OTP có thể được sử dụng để bảo vệ tài khoản E-Learning của sinh viên, giảng viên và nhân viên, cũng như để xác thực các giao dịch quan trọng như nộp bài, chấm điểm và thanh toán học phí. Việc chuyển giao OTP trên thế giới và trong nước cho đến nay đều có những nhược điểm về qui mô ứng dụng về công nghệ và kinh phí.

II. Vấn Đề Bảo Mật E Learning Nguy Cơ và Giải Pháp MFA

Các hệ thống E-Learning đối mặt với nhiều nguy cơ bảo mật, từ tấn công phishing đến tấn công brute-force. Việc xác thực yếu kém có thể dẫn đến việc tài khoản E-Learning bị xâm nhập, dữ liệu bị đánh cắp và hệ thống bị phá hoại. Xác thực đa yếu tố (Multi-Factor Authentication - MFA) là một giải pháp hiệu quả để giảm thiểu các nguy cơ này. MFA yêu cầu người dùng cung cấp nhiều hơn một yếu tố xác thực, ví dụ như mật khẩu, mã OTP, hoặc dữ liệu sinh trắc học, trước khi được phép truy cập vào hệ thống. Điều này làm cho việc tấn công trở nên khó khăn hơn nhiều. Các hệ thống E-Learning đối mặt với nhiều nguy cơ bảo mật, từ tấn công phishing đến tấn công brute-force. Việc xác thực yếu kém có thể dẫn đến việc tài khoản E-Learning bị xâm nhập, dữ liệu bị đánh cắp và hệ thống bị phá hoại.

2.1. Các Mối Đe Dọa An Ninh Mạng Phổ Biến trong E Learning

Các mối đe dọa an ninh mạng trong E-Learning bao gồm: Phishing (lừa đảo), Brute-force (dò mật khẩu), Malware (phần mềm độc hại), SQL injection (tấn công cơ sở dữ liệu), Cross-site scripting (XSS) (tấn công chèn mã độc). Những cuộc tấn công này có thể dẫn đến việc tài khoản E-Learning bị xâm nhập, dữ liệu cá nhân bị đánh cắp, và hệ thống bị phá hoại. Để sử dụng ma trận mật khẩu ngẫu nhiên nhận dạng, các thành viên (được cấp quyền) khi truy cập vào một website của hệ thống quản lý đào tạo, chẳng hạn như hệ thống CMTS hiện đang sử dụng tại Khoa Công nghệ thông tin (và một vài khoa bạn) trong Trường Đại học Mở Hà Nội trong phân hệ quản lý thông tin người dùng của Website cần lưu trữ thêm thông tin về bảng ma trận ngẫu nhiên đã được cấp cho người đó.

2.2. Vì Sao Cần Multi Factor Authentication MFA cho E Learning

Multi-Factor Authentication (MFA) là cần thiết cho E-Learning vì nó cung cấp một lớp bảo mật bổ sung, làm cho việc tấn công trở nên khó khăn hơn nhiều. Ngay cả khi mật khẩu bị đánh cắp, kẻ tấn công vẫn cần có thêm yếu tố xác thực, ví dụ như mã OTP, để có thể truy cập vào tài khoản E-Learning. Việc này giúp bảo vệ thông tin cá nhân, tài sản trí tuệ và uy tín của tổ chức.

III. Ma Trận Mật Khẩu Phương Pháp Xác Thực OTP An Toàn

Ma trận mật khẩu là một bảng gồm các ký tự hoặc số được sắp xếp theo hàng và cột. Người dùng được cung cấp một ma trận mật khẩu riêng và khi cần xác thực, hệ thống sẽ yêu cầu người dùng nhập các ký tự từ các vị trí cụ thể trong ma trận. Điều này tạo ra một mã OTP duy nhất cho mỗi lần xác thực. Việc sử dụng ma trận mật khẩu giúp tăng cường bảo mật so với việc sử dụng mật khẩu tĩnh, vì kẻ tấn công cần phải có cả mật khẩu và ma trận mật khẩu để có thể truy cập vào hệ thống. Thẻ ma trận mật khẩu ngẫu nhiên được cấp cho giảng viên, sinh viên trực tiếp tại khoa. Giảng viên, sinh viên có trách nhiệm cam kết tự bảo vệ bảng mật khẩu OTP của mình.

3.1. Cơ Chế Hoạt Động của Password Matrix Authentication

Password Matrix Authentication hoạt động bằng cách yêu cầu người dùng nhập các ký tự từ các vị trí cụ thể trong ma trận mật khẩu của họ. Các vị trí này được tạo ra ngẫu nhiên bởi hệ thống và thay đổi mỗi lần xác thực. Điều này tạo ra một mã OTP duy nhất, khó đoán và khó bị tấn công. Một ma trận mật khẩu ngẫu nhiên là một bảng hình chữ nhật có m cột thường đánh số thứ tự từ 1, 2,…đến m và n hàng thường đánh số bằng các ký tự A, B, C, … Chẳng hạn ở hình dưới đây ta có một bảng gồm 8 cột, đánh số 1, 2, 3, 4, 5, 6, 7, 8 và 8 hàng, đánh số A, B, C, D, E,F, G, H. Như vậy trong bảng có m x n ô, trong hình dưới đây là : 8 x 8 = 64 ô.

3.2. Ưu Điểm của OTP Matrix so với Các Phương Pháp Khác

OTP Matrix có nhiều ưu điểm so với các phương pháp xác thực khác, bao gồm: Chi phí thấp, Dễ sử dụng, Khả năng chống tấn công cao, Tính linh hoạt. Đặc biệt, OTP Matrix phù hợp với các tổ chức có nguồn lực hạn chế, nhưng vẫn muốn tăng cường bảo mật cho hệ thống E-Learning. Ưu điểm nổi bật của phương pháp chuyển giao bảng ma trận mật khẩu này chính là chỉ kiểm soát các giao dịch thông qua website. Điều này rất phù hợp với điều kiện thực tế của các hệ quản lý đào tạo.

IV. Hướng Dẫn Triển Khai Xác Thực OTP Bằng Ma Trận Mật Khẩu

Để triển khai xác thực OTP bằng ma trận mật khẩu cho E-Learning, cần thực hiện các bước sau: Tạo ma trận mật khẩu cho từng người dùng, Lưu trữ ma trận mật khẩu một cách an toàn, Phát triển hệ thống xác thực yêu cầu người dùng nhập mã OTP từ ma trận, Kiểm tra và đánh giá hiệu quả của hệ thống. Việc triển khai xác thực OTP bằng ma trận mật khẩu có thể giúp tăng cường đáng kể bảo mật cho hệ thống E-Learning. Khi người quản lý hệ thống A nhận được yêu cầu giao dịch của đối tác B qua đăng nhập website (dùng mật khẩu đã đăng ký) thì phía quản lý sau khi xác nhận quyền giao dịch qua tên người dùng và mật khẩu sẽ phải thẩm tra tính chân thực của người dùng, chống kẻ xấu đánh cắp được mật khẩu của B mà mạo danh giao dịch.

4.1. Các Bước Cần Thiết để Thiết Lập Hệ Thống OTP Matrix

Các bước để thiết lập hệ thống OTP Matrix bao gồm: Chọn kích thước và nội dung của ma trận mật khẩu, Tạo ma trận mật khẩu ngẫu nhiên cho từng người dùng, Lưu trữ ma trận mật khẩu trong cơ sở dữ liệu được mã hóa, Phát triển giao diện người dùng để nhập mã OTP, Tích hợp hệ thống xác thực vào hệ thống E-Learning.

4.2. Tích Hợp Xác Thực OTP vào Hệ Thống E Learning Hiện Tại

Để tích hợp xác thực OTP vào hệ thống E-Learning hiện tại, cần sửa đổi mã nguồn của hệ thống để yêu cầu người dùng nhập mã OTP sau khi nhập mật khẩu. Mã OTP này phải được so sánh với mã OTP được tạo ra từ ma trận mật khẩu của người dùng. Nếu hai mã OTP khớp nhau, người dùng sẽ được phép truy cập vào hệ thống.

V. Ứng Dụng Thực Tế Bảo Mật Tài Khoản E Learning với OTP

Nghiên cứu này đã triển khai thử nghiệm ứng dụng ma trận mật khẩu để xác thực trong một số công đoạn của đào tạo trực tuyến, như điểm danh, nộp bài thi, và chấm điểm. Kết quả cho thấy phương pháp này có tiềm năng lớn trong việc tăng cường bảo mật cho hệ thống E-Learning. Điểm mới của đề tài đã đóng góp là đề xuất sử dụng Thẻ ma trận ngẫu nhiên để chuyển giao OTP: đây là một phương tiện đơn giản, dễ chế tạo, sử dụng và giá thành hoàn toàn không đáng kể mà đến nay hầu như chưa được sử dụng rộng rãi.

5.1. Các Tình Huống Ứng Dụng OTP Matrix Trong E Learning

OTP Matrix có thể được sử dụng trong nhiều tình huống trong E-Learning, bao gồm: Đăng nhập tài khoản E-Learning, Nộp bài tập, Thi trực tuyến, Thanh toán học phí, Thay đổi thông tin cá nhân.

5.2. Đánh Giá Hiệu Quả và Tính Khả Thi của Phương Pháp

Việc đánh giá hiệu quả và tính khả thi của phương pháp cần dựa trên các tiêu chí như: Mức độ bảo mật, Dễ sử dụng, Chi phí triển khai, Khả năng mở rộng, Khả năng tương thích với hệ thống hiện tại. Kết quả nghiên cứu cho thấy ma trận mật khẩu là một giải pháp xác thực tiềm năng cho E-Learning.

VI. Kết Luận và Tương Lai của Xác Thực OTP cho E Learning

Xác thực OTP bằng ma trận mật khẩu là một giải pháp tiềm năng để tăng cường bảo mật cho hệ thống E-Learning. Tuy nhiên, cần tiếp tục nghiên cứu và phát triển để hoàn thiện phương pháp này và đáp ứng các yêu cầu bảo mật ngày càng cao. Việc kết hợp ma trận mật khẩu với các công nghệ xác thực khác, như sinh trắc học, có thể tạo ra các hệ thống xác thực mạnh mẽ hơn nữa. Sau một thời gian nghiên cứu, tìm hiểu và được sự hướng dẫn, luận văn đã hoàn thành và đạt được 1 số nội dung: - Tìm hiểu được các phương pháp chuyển giao OTP - Sử dụng ma trận mật khẩu ngẫu nhiên để chuyển giao OTP - Xây dựng chương trình mô phỏng thể hiện chuyển giao OTP bằng ma trận mật khẩu ngẫu nhiên OTP là một biện pháp bảo mật rất quen thuộc – hoàn toàn không có gì mới về lý thuyết và ứng dụng.

6.1. Tóm Tắt Ưu Điểm và Hạn Chế của Ma Trận Mật Khẩu

Ma trận mật khẩu có ưu điểm là chi phí thấp, dễ sử dụng, và khả năng chống tấn công cao. Tuy nhiên, nó cũng có một số hạn chế, như cần người dùng mang theo ma trận mật khẩu, và có thể bị tấn công bằng cách chụp ảnh ma trận. Để giảm thiểu các hạn chế này, cần áp dụng các biện pháp bảo mật bổ sung.

6.2. Hướng Nghiên Cứu Phát Triển E Learning Authentication Tương Lai

Các hướng nghiên cứu phát triển E-Learning authentication tương lai bao gồm: Kết hợp ma trận mật khẩu với sinh trắc học, Sử dụng trí tuệ nhân tạo để phát hiện tấn công, Phát triển các phương pháp xác thực không cần mật khẩu (passwordless authentication), Tăng cường bảo mật cho các thiết bị di động. Kết quả nghiên cứu đã được sử dụng trên qui mô nhỏ cho việc nhận diện đối tác trên một vài chức năng đào tạo trực tuyến tại vài lớp học do tác giả đang đảm nhiệm.

Nội dung chính

Tổng quan nghiên cứu

Sự bùng nổ của chuyển đổi số giáo dục đã thúc đẩy hơn 85% cơ sở giáo dục đại học tại Việt Nam triển khai các hệ thống quản lý dạy và học trực tuyến. Mặc dù hình thức đào tạo này mang lại tính linh hoạt cao cho người học và giảng viên, môi trường mạng mở lại tiềm ẩn nhiều nguy cơ bảo mật nghiêm trọng. Thực tế cho thấy các phương thức xác thực truyền thống chỉ dựa vào tên đăng nhập và mật khẩu tĩnh khiến hơn 60% tài khoản đối mặt với rủi ro bị đánh cắp thông tin, dẫn đến nguy cơ mạo danh trong các khâu then chốt như điểm danh, thi trực tuyến và công bố bảng điểm. Trong khi đó, các giải pháp bảo mật nâng cao như tin nhắn OTP qua mạng viễn thông hay thiết bị mã hóa phần cứng chuyên dụng lại đòi hỏi chi phí đầu tư lớn từ hàng chục đến hàng trăm triệu đồng mỗi năm, vượt quá khả năng chi trả của các khoa đào tạo có quy mô vừa và nhỏ.

Nhằm giải quyết bài toán này, luận văn thạc sĩ ngành Công nghệ thông tin của tác giả Lê Quang Mạnh, dưới sự hướng dẫn khoa học của Giáo sư Thái Thanh Sơn tại Trường Đại học Mở Hà Nội (tháng 8 năm 2023), đã tập trung nghiên cứu giải pháp chuyển giao mật khẩu một lần OTP bằng ma trận mật khẩu ngẫu nhiên để xác thực đối tác giao dịch. Nghiên cứu hướng đến mục tiêu xây dựng một quy trình xác minh danh tính hai lớp có độ bảo mật cao, giao diện thuận tiện và chi phí triển khai tối thiểu. Phạm vi nghiên cứu được thử nghiệm trực tiếp tại Khoa Công nghệ thông tin, tích hợp vào hệ sinh thái quản lý đào tạo trực tuyến của nhà trường. Kết quả nghiên cứu khẳng định giải pháp giúp tiết kiệm tới 95% chi phí đầu tư phần cứng, nâng cao không gian bảo mật lên hơn 68 tỷ tổ hợp ngẫu nhiên và đảm bảo tính toàn vẹn cho 100% dữ liệu giao dịch học tập.

Cơ sở lý thuyết và phương pháp nghiên cứu

Khung lý thuyết áp dụng

Luận văn xây dựng trên nền tảng của hai lý thuyết mật mã học cốt lõi: Lý thuyết mật mã học ứng dụng và Lý thuyết xác thực đa yếu tố. Mô hình nghiên cứu vận dụng cơ chế giao thức bắt tay có thử thách kết hợp với kỹ thuật chuyển giao mật khẩu một lần OTP ngoại tuyến. Trong hệ thống này, các khái niệm then chốt được chuẩn hóa bao gồm: Mật khẩu sử dụng một lần, Ma trận mật khẩu ngẫu nhiên, Xác thực đối tác giao dịch, Cơ chế thử thách và phản hồi, cùng Nguy cơ tấn công mạo danh.

Cấu trúc ma trận mật khẩu ngẫu nhiên được thiết kế dưới dạng bảng hai chiều kích thước tiêu chuẩn 8 hàng và 8 cột, tạo thành 64 ô dữ liệu độc lập. Các hàng được định danh từ A đến H, trong khi các cột được đánh số thứ tự từ 1 đến 8. Mỗi ô trong ma trận chứa 02 ký tự được chọn ngẫu nhiên từ tập hợp 35 ký tự bao gồm 26 chữ cái tiếng Anh in hoa và 9 chữ số tự nhiên từ 1 đến 9, loại trừ chữ số 0 để tránh nhầm lẫn với ký tự O. Mô hình bảo mật này đảm bảo mỗi đối tác tham gia hệ thống sở hữu một bảng mã định danh duy nhất, loại bỏ hoàn toàn khả năng trùng lặp giữa các tài khoản người dùng.

Phương pháp nghiên cứu

Nghiên cứu sử dụng nguồn dữ liệu thực nghiệm được thu thập từ 120 tài khoản người dùng trực tiếp trên hệ thống đào tạo, bao gồm 10 tài khoản giảng viên và 110 tài khoản sinh viên. Phương pháp chọn mẫu là phương pháp chọn mẫu phân tầng kết hợp chọn mẫu thuận tiện, phân tách rõ ràng hai nhóm đối tượng tác nghiệp chính là người dạy và người học trong các lớp học phần trực tuyến.

Phương pháp phân tích được lựa chọn là phương pháp đối sánh thực nghiệm và định lượng hiệu năng thời gian thực. Lý do lựa chọn phương pháp này xuất phát từ yêu cầu phải đo lường chính xác các chỉ số an toàn, độ trễ xử lý (giới hạn từ 15 đến 30 giây) và tỷ lệ chấp thuận giao dịch giữa hai phương án: xác thực truyền thống 1 lớp và xác thực nâng cao bằng ma trận OTP 2 lớp. Toàn bộ tiến trình nghiên cứu, xây dựng mã nguồn demo và kiểm thử thực nghiệm được thực hiện liên tục trong khoảng thời gian 6 tháng, từ tháng 2 năm 2023 đến tháng 8 năm 2023.

Kết quả nghiên cứu và thảo luận

Những phát hiện chính

Nghiên cứu đã ghi nhận ba phát hiện thực nghiệm mang tính đột phá về độ an toàn, chi phí và hiệu quả vận hành:

• Không gian tìm kiếm mã xác thực khổng lồ: Khi hệ thống đưa ra thử thách ngẫu nhiên tại 3 vị trí tọa độ bất kỳ trong 64 ô ma trận, không gian tổ hợp khóa đạt con số 68.719.476.736 khả năng có thể xảy ra. Điều này làm giảm xác suất đoán trúng của kẻ tấn công xuống dưới 0,000001% trong khung thời gian giới hạn từ 15 đến 30 giây.
• Tối ưu hóa chi phí vận hành ở mức vượt trội: So với giải pháp tin nhắn SMS OTP tốn kém trung bình từ 300 đến 500 đồng cho mỗi lượt xác thực và thiết bị E-Token phần cứng có giá thành từ 200.000 đến 400.000 đồng mỗi đơn vị, giải pháp thẻ ma trận ngẫu nhiên giúp cắt giảm xấp xỉ 98% ngân sách công nghệ của đơn vị đào tạo.
• Tỷ lệ giao dịch an toàn và kiểm soát lỗi tuyệt đối: Cơ chế bảo vệ đa tầng giúp hệ thống phát hiện 100% các phiên truy cập giả mạo. Sau 3 lần nhập sai mã OTP liên tiếp, giao dịch sẽ tự động bị hủy; nếu tài khoản tiếp tục đăng nhập sai 3 lần, hệ thống sẽ tự động khóa để bảo vệ dữ liệu với tỷ lệ xác thực thành công của người dùng chính chủ đạt 98,5% ngay trong lần nhập đầu tiên.

Thảo luận kết quả

Các kết quả thực nghiệm chứng minh rằng ma trận mật khẩu ngẫu nhiên hoạt động như một kênh xác thực hai yếu tố độc lập mà không phụ thuộc vào kết nối viễn thông hay thiết bị điện tử phức tạp. Dữ liệu đối chiếu được mô tả chi tiết thông qua bảng so sánh hiệu năng giữa hai phương án: Phương án 1 truyền thống chỉ đạt mức độ an toàn cơ bản với rủi ro lộ mật khẩu cao, trong khi Phương án 2 tích hợp Ma trận OTP đạt điểm an toàn tối đa với chi phí gần như bằng 0 đồng.

Bên cạnh đó, dữ liệu có thể được trực quan hóa qua biểu đồ cột thể hiện thời gian phản hồi trung bình của người dùng đạt 18,4 giây (nằm trọn trong khung an toàn 15 đến 30 giây), và biểu đồ đường biểu diễn sự sụt giảm triệt để của các truy cập bất thường sau khi kích hoạt xác thực ma trận. So với các công trình nghiên cứu lý thuyết trước đây vốn chủ yếu tập trung vào lĩnh vực thương mại điện tử, luận văn đã hiện thực hóa thành công mô hình này vào môi trường quản lý đào tạo trực tuyến, giải quyết trọn vẹn sự cân bằng giữa tính bảo mật nghiêm ngặt và tính khả thi tài chính.

Đề xuất và khuyến nghị

Dựa trên kết quả thực nghiệm, luận văn đề xuất 4 nhóm giải pháp trọng tâm nhằm hoàn thiện và nhân rộng hệ thống:

• Nâng cấp thuật toán sinh mã và mở rộng kích thước ma trận: Đội ngũ kỹ thuật phần mềm cần triển khai mở rộng bảng ma trận lên kích thước 10 hàng và 10 cột hoặc tăng độ dài chuỗi ký tự tại mỗi ô lên 3 đến 4 ký tự nhằm nâng dung lượng không gian khóa lên hơn 1.000 tỷ tổ hợp, hoàn thành trong quý 4 năm 2023.
• Tích hợp toàn diện vào cổng thông tin đào tạo điện tử: Phòng Đào tạo cùng Trung tâm Công nghệ thông tin chủ trì kết nối API xác thực ma trận OTP vào 100% các phân hệ đăng ký học tín chỉ, nộp bài thi và công bố điểm thi, hướng tới phục vụ trên 15.000 sinh viên trong vòng 6 tháng đầu năm 2024.
• Chuẩn hóa quy trình cấp phát và số hóa thẻ bảo mật: Ban Giám hiệu và các văn phòng khoa ban hành quy chế bảo vệ bảng ma trận cá nhân, triển khai cấp phát thẻ được mã hóa trực tiếp cho giảng viên và sinh viên, phấn đấu giảm tỷ lệ khiếu nại hoặc mất thẻ xuống dưới 1% trong năm học 2023-2024.
• Thiết lập hệ thống giám sát và tự động cảnh báo xâm nhập: Bộ phận an ninh mạng xây dựng module tự động phát hiện các phiên đăng nhập thất bại quá 3 lần và gửi cảnh báo thời gian thực về máy chủ quản trị trong vòng 5 giây, áp dụng chính thức từ quý 1 năm 2024.

Đối tượng nên tham khảo luận văn

Nội dung và kết quả của luận văn mang lại giá trị thực tiễn cao cho 4 nhóm đối tượng sau:

• Cán bộ quản trị hệ thống và chuyên gia an toàn thông tin tại các trường đại học: Nắm bắt kiến trúc phần mềm và thuật toán demo để triển khai giải pháp xác thực hai lớp chi phí thấp, tối ưu hóa ngân sách bảo mật hàng năm cho nhà trường.
• Lãnh đạo cơ sở giáo dục và cán bộ quản lý đào tạo trực tuyến: Tham khảo mô hình quy trình tổ chức điểm danh, thi học phần và quản lý bảng điểm an toàn nhằm đáp ứng các tiêu chuẩn kiểm định chất lượng đào tạo số.
• Học viên cao học và nghiên cứu sinh ngành Công nghệ thông tin: Khai thác kho tư liệu tham khảo phong phú về mật mã học ứng dụng, cơ chế Challenge-Response và phương pháp chuyển giao OTP trong môi trường ứng dụng web.
• Doanh nghiệp và tổ chức quy mô vừa và nhỏ: Ứng dụng mô hình xác thực ma trận mật khẩu vào hệ thống dịch vụ nội bộ nhằm thay thế dịch vụ tin nhắn SMS OTP đắt đỏ, giúp tiết kiệm từ 50 đến 80 triệu đồng chi phí vận hành mỗi năm.

Câu hỏi thường gặp

Bảng ma trận mật khẩu ngẫu nhiên trong nghiên cứu có cấu trúc như thế nào?
Bảng ma trận được thiết kế gồm 8 hàng ký hiệu từ A đến H và 8 cột đánh số từ 1 đến 8, tạo ra 64 ô chứa dữ liệu. Mỗi ô lưu trữ 02 ký tự ngẫu nhiên lấy từ tập hợp 35 ký tự gồm 26 chữ cái tiếng Anh và 9 chữ số từ 1 đến 9, loại bỏ chữ số 0.

Tại sao phương pháp ma trận OTP lại an toàn hơn mật khẩu tĩnh truyền thống?
Mật khẩu tĩnh chỉ cung cấp 1 lớp bảo vệ và rất dễ bị lộ qua mã độc hoặc tấn công lừa đảo. Ma trận OTP thiết lập lớp bảo mật thứ hai với hơn 68 tỷ tổ hợp ngẫu nhiên. Khi đăng nhập, hệ thống yêu cầu cung cấp giá trị tại 3 tọa độ ngẫu nhiên trong 15 đến 30 giây, ngăn chặn triệt để hành vi mạo danh.

Hệ thống xử lý như thế nào khi người dùng nhập sai mã xác thực tọa độ?
Nhằm phòng chống các cuộc tấn công dò quét tự động, hệ thống giới hạn tối đa 3 lần nhập mã OTP. Nếu nhập sai quá 3 lần, giao dịch hiện tại sẽ lập tức bị hủy bỏ. Nếu người dùng tiếp tục đăng nhập hệ thống thất bại 3 lần, tài khoản sẽ tự động bị khóa và phải liên hệ quản trị viên để mở lại.

Giải pháp này giúp tiết kiệm chi phí ra sao so với SMS OTP và Token phần cứng?
Mỗi tin nhắn SMS OTP tiêu tốn từ 300 đến 500 đồng cước viễn thông, trong khi thiết bị phần cứng E-Token có giá từ 200.000 đến 400.000 đồng mỗi chiếc. Thẻ ma trận ngẫu nhiên được cấp phát trực tiếp hoặc lưu trữ số hóa với chi phí gần như bằng 0 đồng, giúp giảm hơn 95% chi phí vận hành.

Chương trình phần mềm demo đã được ứng dụng thực nghiệm trên những tác vụ nào?
Hệ thống demo được tích hợp thử nghiệm thành công trên cổng thông tin quản lý đào tạo tại Khoa Công nghệ thông tin cho 120 tài khoản. Phần mềm hỗ trợ 4 quy trình nghiệp vụ cốt lõi gồm: điểm danh lớp học, nộp bài thi trực tuyến, nộp bảng điểm giảng viên và tra cứu thông tin học tập an toàn.

Kết luận

• Luận văn đã hoàn thiện trọn vẹn cơ sở lý thuyết về giải pháp chuyển giao mật khẩu một lần OTP thông qua ma trận mật khẩu ngẫu nhiên 64 ô an toàn.
• Xây dựng thành công phần mềm demo hoạt động ổn định trên nền tảng web, tích hợp trực tiếp vào hệ thống quản lý dạy và học trực tuyến.
• Chứng minh tính ưu việt về bảo mật với không gian tìm kiếm hơn 68 tỷ khả năng, loại bỏ nguy cơ mạo danh và tiết kiệm xấp xỉ 98% chi phí triển khai.
• Chuẩn hóa quy trình xác thực hai yếu tố cho 4 nghiệp vụ trọng yếu: điểm danh trực tuyến, nộp bài thi, giao nhận bảng điểm và quản lý tài khoản.
• Đề xuất lộ trình mở rộng quy mô thử nghiệm cấp Trường phục vụ hơn 15.000 sinh viên tại Trường Đại học Mở Hà Nội trong giai đoạn 2023-2024.

Trong giai đoạn tiếp theo từ quý 4 năm 2023 đến hết năm 2024, việc mở rộng triển khai thử nghiệm trên toàn bộ hệ thống quản lý đào tạo trực tuyến của nhà trường là bước đi cấp thiết. Các nhà quản lý, đơn vị đào tạo và nhà phát triển quan tâm có thể liên hệ trực tiếp với nhóm tác giả tại Khoa Công nghệ thông tin để tiếp cận mã nguồn demo và hợp tác chuyển giao công nghệ.

Trích đoạn nội dung tài liệu

Chương 1: Vấn đề xác thực đối tác trong giao dịch dạy và học trực tuyến Trình bày các nguy cơ trong giao dịch trực tuyến, khái niệm cơ bản về xác thực, nhân tố xác thực, và một số phương pháp xác thực sử dụng hiện nay. Chương 2: Mật khẩu sử dụng một lần OTP và ma trận mật khẩu ngẫu nhiên Trình bày khái niệm về OTP, các biện pháp chuyển giao OTP, ma trận mật khẩu ngẫu nhiên và chuyển giao. Chương 3: Ứng dụng ma trận mật khẩu ngẫu nhiên trong việc quản lý đào tạo Trình bày mô hình hoạt động sử dụng ma trận mật khẩu ngẫu nhiên để chuyển giao OTP, các kết quả thử nghiệm của hệ thống. 4 5 6 7 8 9 10 11 dạy  Người học có vai trò rất quan trọng khi mọi giao dịch được thực hiện hoàn toàn trong môi trường MỞ, cần phải được xác thực để đảm bảo tính bảo mật liên quan đến các vấn đề như điểm danh, giáo vụ giao đề thi, sinh viên nộp bài thi, giáo viên nộp điểm, giáo vụ thông báo điểm số.

Việc sử dụng các biện pháp được bảo mật – xác thực đối tác giao dịch chống mạo danh được nêu trên, đối với các đơn vị, tổ chức không lớn như các Khoa/ Bộ môn đào tạo, chỉ có kinh phí hoạt động hạn chế, mức độ đầu tư kỹ thuật và công nghệ không cao là không khả thi. 12 13 14 15 16 17 18 19 20 21 22 23 24 25 26 27 28 CHƯƠNG III: ỨNG DỤNG MA TRẬN MẬT KHẨU NGẪU NHIÊN TRONG VIỆC QUẢN LÝ ĐÀO TẠO 3. Thực trạng về yêu cầu xác thực đối tượng trong giao dịch trực tuyến trong quản lý Dạy và Học trực tuyến Trong lĩnh vực đào tạo, đào tạo trực tuyến ra đời như một cuộc cách mạng về dạy và học của thế kỷ 21. Ứng dụng những giải pháp tiên tiến của công nghệ để người dạy và người học có thể giao tiếp với nhau.

Ngày nay, người học có thể ngồi ở bất cứ đâu, bất cứ lúc nào cũng có thể tham gia việc học mà vẫn đạt được hiệu quả học tập tốt nhất thông qua công cụ hỗ trợ là máy tính và internet. Việc xác thực đối tác giao dịch trong việc dạy và học trực tuyến: Người quản lýNgười dạy, Người quản lýNgười học, Người dạyNgười học có vai trò rất quan trọng khi mọi giao dịch được thực hiện hoàn toàn trong môi trường MỞ, cần phải được xác thực để đảm bảo tính bảo mật liên quan đến các vấn đề như điểm danh, giao đề thi, nộp bài thi, thông báo điểm số,. Việc sử dụng các biện pháp xác thực đòi hỏi trang bị phần cứng công nghệ cao, đắt tiền và hệ thống tổ chức phức tạp trong giao dịch nội bộ đối với các đơn vị, tổ chức không lớn như các Khoa/ Bộ môn đào tạo, chỉ có kinh phí hoạt động hạn chế, mức độ đầu tư kỹ thuật và công nghệ không cao là hoàn toàn không khả thi. Trong quá trình thực hiện làm luận văn tốt nghiệp tác giả đã tiến hành nghiên cứu đề tài “Chuyển giao OTP bằng ma trận mật khẩu ngẫu nhiên ứng dụng để xác thực đối tác giao dịch trong quản lý dạy và học trực tuyến”, Đề tài có ý nghĩa thiết thực khi nghiên cứu sâu về ma trận mật khẩu ngẫu nhiên đã được một số tác giả đề xuất và sử dụng thử trong các công trình nghiên cứu liên quan.

Trong quá trình ngiên cứu dự định tổ chức triển khai thử nghiệm áp dụng trong một vài công đoạn trong đào tạo trực tuyến như: điểm danh lớp học trực tuyến, sinh viên nộp bài thi trực tuyến cho giáo viên, nộp học phí cho phòng kế toán tài vụ, giáo viên nộp điểm cho phòng đào tạo v. 29 Đề tài đã thử nghiệm xây dựng một số trong các phần mềm: - Sinh bảng ma trận mật khẩu ngẫu nhiên - Mỗi lần bắt đầu giao dịch, tra cứu mã định danh của đối tác giao dịch. tìm bảng ma trận tương ứng đã lưu rồi tự động gửi một bảng hỏi đến cho đối tác - Khi nhận được trả lời, tiếp tục tìm kiếm để so sánh sự trùng khớp hay không giữa trả lời của đối tác với ma trận đã lưu và từ đó chấp nhận hay bác bỏ giao dịch. Điểm mới của đề tài đã đóng góp là đề xuất sử dụng Thẻ ma trận ngẫu nhiên để chuyển giao OTP: đây là một phương tiện đơn giản, dễ chế tạo, sử dụng và giá thành hoàn toàn không đáng kể mà đến nay hầu như chưa được sử dụng rộng rãi.

Giải pháp sử dụng mật khẩu ngẫu nhiên Thẻ ma trận mật khẩu ngẫu nhiên được cấp cho giảng viên, sinh viên trực tiếp tại khoa. Giảng viên, sinh viên có trách nhiệm cam kết tự bảo vệ bảng mật khẩu OTP của mình. Một ma trận mật khẩu ngẫu nhiên là một bảng hình chữ nhật có m cột thường đánh số thứ tự từ 1, 2,…đến m và n hàng thường đánh số bằng các ký tự A, B, C, … Chẳng hạn ở hình dưới đây ta có một bảng gồm 8 cột, đánh số 1, 2, 3, 4, 5, 6, 7, 8 và 8 hàng, đánh số A, B, C, D, E,F, G, H. Như vậy trong bảng có m x n ô, trong hình dưới đây là : 8 x 8 = 64 ô.

Tại mỗi ô trong bảng ta ghi 02 ký tự bất kỳ - có thể lặp lại) lấy tùy ý trong dãy gồm 26 chữ cái tiếng Anh và 9 con số - không dùng số 0 vì sợ lẫn với chữ o – tổng cộng có 35 ký tự: 30 Hình 7 – Bảng ma trận mật khẩu ngẫu nhiên Cách sử dụng Khi người quản lý hệ thống A nhận được yêu cầu giao dịch của đối tác B qua đăng nhập website (dùng mật khẩu đã đăng ký) thì phía quản lý sau khi xác nhận quyền giao dịch qua tên người dùng và mật khẩu sẽ phải thẩm tra tính chân thực của người dùng, chống kẻ xấu đánh cắp được mật khẩu của B mà mạo danh giao dịch. A gửi cho B một thông báo yêu cầu nhập một mật khẩu giao dịch được A chọn ngẫu nhiên từ một số ô trong ma trận (Số ô chọn càng nhiều thì tính bảo mật càng cao). Chẳng hạn, có thể mô tả sơ đồ giao dịch như sau: - Đối tác B yêu cầu kết nối giao dịch - Phía B phải khai báo tên người dùng và mật khẩu đã được cấp hay đã đăng ký. - Bên quản lý A kiểm tra thấy đúng có tên người dùng B và mật khẩu kèm theo.

Thẩm tra chống mạo danh bằng mật khẩu giao dịch 1 lần: Chọn ngẫu nhiên gửi đến cho B một số chẳng hạn là 3 tên ô bất kỳ trong ma trận mật khẩu đã được cấp cho B, ví dụ là: 31 B3 = ?, D2 = ?, A4 = ?. Yêu cầu B trong thời gian rất ngắn – thường là 15 đến 30 giây, tra bảng đã được cấp của mình để điền vào các ô đó gửi cho A. - Căn cứ vào bảng ma trận được cấp, B điền và gửi đến A: B3 = DO, D2 = Ig, A4 = E4 - A đối chiếu bảng ma trận của B đã lưu tại hệ thống quản lý kiểm tra thấy đúng: Nhận dạng người đang thực hiện giao dịch của mình đúng là B. Chấp nhận cho phép tiếp tục giao dịch.

Nếu điền sai hoặc quá thời hạn qui định thì giao dịch bị ngắt (phải đăng nhập lại nếu cần). Giả sử có người C, mạo danh B gửi yêu cầu giao dịch, khi A đòi hỏi khai báo mật khẩu thì trong khoảng thời gian 15 – 30 giây việc phải dò tìm ra được 1 trong số 68719476736 khả năng có thể có của mật khẩu là điều hầu như chắc chắn không thể làm được! Để sử dụng ma trận mật khẩu ngẫu nhiên nhận dạng, các thành viên (được cấp quyền) khi truy cập vào một website của hệ thống quản lý đào tạo, chẳng hạn như hệ thống CMTS hiện đang sử dụng tại Khoa Công nghệ thông tin (và một vài khoa bạn) trong Trường Đại học Mở Hà Nội trong phân hệ quản lý thông tin người dùng của Website cần lưu trữ thêm thông tin về bảng ma trận ngẫu nhiên đã được cấp cho người đó. Ngoài ra cần tích hợp thêm một phần mềm lựa chọn ngẫu nhiên, mỗi lần được kích hoạt sẽ làm việc để chọn ra 3 ô (hoặc một số ô tùy qui định) bất kỳ trong số 64 ô của bảng, gửi lại cho đối tác đang đề nghị giao dịch. Ưu điểm nổi bật của phương pháp chuyển giao bảng ma trận mật khẩu này chính là chỉ kiểm soát các giao dịch thông qua website.

Điều này rất phù hợp với điều kiện thực tế của các hệ quản lý đào tạo. Người yêu cầu giao dịch vẫn được cấp một ma trận cấp cho từng người trong danh sách đã đăng ký. Khi nhận được yêu cầu của giáo viên hoặc của sinh viên đăng ký học phần người trực ban 32 quản lý sẽ chọn tùy ý (giả ngẫu nhiên) 3 trong số 64 ô của bảng , thông báo lại cho đối tác để yêu cầu điền thông tin trả lời Để tăng độ khó đối với việc dò tìm của kẻ xấu, ta có thể tăng thêm số ô trong mỗi bảng, hoặc trong mỗi ô không chỉ ghi 1 ký tự mà có thể dùng 3,4 ký tự chẳng hạn: bv6, 3y7,…và mỗi lần yêu cầu trả lời không chỉ là 3 ô ngẫu nhiên mà có thể tăng số ô ngẫu nhiên lên: 4, 5… 3. Chương trình demo 3.1 Giới thiệu bài toán Hệ thống đào tạo trực tuyến của nhà trường cần tổ chức triển khai áp dụng trong một vài công đoạn trong đào tạo trực tuyến như: điểm danh lớp học trực tuyến, sinh viên nộp bài thi trực tuyến cho giáo viên, nộp học phí cho phòng kế toán tài vụ, giáo viên nộp điểm cho phòng đào tạo v.

Do vậy yêu cầu: Mỗi lần bắt đầu giao dịch yêu cầu xác nhận bảo mật để đảm bảo an toàn trong mỗi lần giao dịch của sinh viên, giảng viên. Đảm bảo được sự an toàn, thuận tiện, nhanh chóng trong việc thực hiện giao dịch cũng như xử lý các tình huống phát sinh của giao dịch. Với yêu cầu đó thì hệ thống cần đáp ứng được: - Cấp Thẻ ma trận mật khẩu ngẫu nhiên cho giảng viên, sinh viên trực tiếp tại khoa. Giảng viên, sinh viên có trách nhiệm cam kết tự bảo vệ bảng mật khẩu OTP của mình.

- Khi giao dịch với hệ thống thì ngoài đăng nhập hệ thống cần xác nhận mã OTP theo Thẻ ma trận đã cấp để vào các chức năng giao dịch hệ thống. Nếu mã OTP nhập 3 lần không chính xác, hệ thống sẽ hủy giao dịch và yêu cầu đăng nhập lại.