Tổng quan nghiên cứu

Kỷ nguyên chuyển đổi số toàn cầu đang chứng kiến sự bùng nổ của hạ tầng kết nối với dự báo đạt khoảng 50 tỷ thiết bị kết nối vào hệ thống mạng viễn thông. Mạng thông tin di động 5G ra đời như một bước tiến tất yếu, mang lại tốc độ truyền tải dữ liệu vượt trội nhanh hơn khoảng 100 lần so với chuẩn 4G LTE hiện hành, đồng thời cung cấp tốc độ tải trung bình đạt xấp xỉ 1 Gbps và độ trễ lý tưởng dưới 1 mili-giây. Tuy nhiên, việc vận hành trên nền tảng kiến trúc mạng chuyển mạch gói hoàn toàn All-IP kết hợp cùng các công nghệ truy nhập vô tuyến phức tạp đã đặt ra vô số thách thức nghiêm trọng về an toàn thông tin.

Theo các báo cáo an ninh mạng quốc tế, Việt Nam từng ghi nhận vị trí thứ 11 trên toàn cầu về các hoạt động đe dọa tấn công mạng. Trong thực tế, các cuộc tấn công mã độc đào tiền ảo qua mạng xã hội đã từng lây nhiễm trên 23.000 thiết bị di động và máy tính tại thị trường trong nước, gây tê liệt tài nguyên và thất thoát dữ liệu người dùng. Vấn đề nghiên cứu trọng tâm của luận văn là nhận diện, phân tích các hiểm họa bảo mật tiềm ẩn trong cấu trúc mạng 5G và đánh giá hiệu quả bảo vệ của các cơ chế an ninh chuyên sâu.

Mục tiêu cụ thể của đề tài là khảo sát toàn diện các tiêu chuẩn bảo mật theo khuyến nghị của tổ chức 3GPP, phân tích các phương thức tấn công điển hình trên từng mặt phẳng mạng, từ đó nghiên cứu và mô phỏng thực nghiệm cơ chế bảo mật gói tin IP Security (IPSec) trên đường truyền backhaul. Phạm vi nghiên cứu tập trung vào bối cảnh thử nghiệm và triển khai mạng 5G thương mại của các nhà mạng lớn tại Việt Nam (Viettel, VinaPhone, MobiFone) trong mốc thời gian hoàn thành công trình vào tháng 10 năm 2021. Đề tài đóng vai trò nền tảng giúp nâng cao độ tin cậy kết nối lên mức 99,999%, đảm bảo tính toàn vẹn dữ liệu và duy trì tính liên tục cho các dịch vụ số trọng yếu.

Cơ sở lý thuyết và phương pháp nghiên cứu

Khung lý thuyết áp dụng

Luận văn xây dựng hệ thống cơ sở lý luận dựa trên hai trục lý thuyết then chốt: Khung kiến trúc an ninh mạng di động theo tiêu chuẩn 3GPP (các bộ tiêu chuẩn TS 33.401, TS 33.501, TS 33.210) và Mô hình bộ giao thức bảo mật tầng mạng IPSec trong kiến trúc TCP/IP.

Hệ thống phân cấp bảo mật 5G được cấu trúc thành 5 miền an ninh riêng biệt:

  • Bảo mật truy cập mạng (Network Access Security) nhằm bảo vệ liên kết vô tuyến giữa người dùng và trạm gốc.
  • Bảo mật miền mạng (Network Domain Security - NDS/IP) bảo vệ việc trao đổi báo hiệu và dữ liệu giữa các nút mạng hữu tuyến.
  • Bảo mật miền người dùng (User Domain Security) bảo vệ truy cập phần cứng thiết bị.
  • Bảo mật miền ứng dụng (Application Domain Security) bảo vệ các bản tin trao đổi giữa ứng dụng người dùng và nhà cung cấp.
  • Khả năng hiển thị và cấu hình an ninh (Visibility and Configurability).

Các khái niệm chuyên ngành cốt lõi được luận văn tập trung làm rõ bao gồm:

  • Thủ tục thỏa thuận khóa và xác thực tương hỗ EPS-AKA: Thiết lập khóa gốc KASME từ cặp khóa CK/IK, phân nhánh thành các khóa bảo vệ tầng không truy nhập KNASenc, KNASint và tầng truy nhập KRRCenc, KRRCint, KUPenc.
  • Bộ thuật toán mật mã và toàn vẹn 128-bit: Bao gồm 128-EEA1/EEA2 (mã hóa bảo mật dựa trên chuẩn SNOW 3G và AES) và 128-EIA1/EIA2 (bảo vệ toàn vẹn dữ liệu).
  • Giao thức IPSec: Hoạt động với hai cơ chế chính là Authentication Header (AH) đảm bảo tính toàn vẹn, xác thực nguồn gốc và Encapsulating Security Payload (ESP) cung cấp khả năng mã hóa dữ liệu đầu - cuối.
  • Đột phá vô tuyến thế hệ mới: Kỹ thuật ghép kênh Filtered-OFDM, đa truy nhập mã thưa SCMA và giải thuật mã kênh Mã cực (Polar Codes).

Phương pháp nghiên cứu

Nguồn dữ liệu của luận văn được tổng hợp từ các kho dữ liệu chuẩn hóa của Liên minh Viễn thông Quốc tế (ITU IMT-2020), các thông số kỹ thuật chuẩn của tổ chức 3GPP Release 15, cùng số liệu giám sát nguy cơ an ninh thực tế từ các đơn vị an toàn thông tin tại Việt Nam.

Luận văn thiết lập bộ mẫu thực nghiệm gồm 10 kịch bản tấn công điển hình (bao gồm giả mạo trạm gốc phát mã độc, nghe lén gói tin IP, tấn công từ chối dịch vụ DoS, và tấn công nghe lén trên mặt phẳng điều khiển) được chọn lọc có chủ đích (purposive sampling) dựa trên các lỗ hổng thực tế tại hạ tầng mạng di động.

Về phương pháp phân tích, tác giả kết hợp chặt chẽ giữa phương pháp phân tích lý thuyết hệ thống hóa và phương pháp thực nghiệm mô phỏng trên phần mềm chuyên dụng. Lý do lựa chọn phương pháp này là vì môi trường mô phỏng cho phép bóc tách chi tiết từng trường gói tin (Packet Header), kiểm chứng trực quan cơ chế mã hóa của giao thức IPSec qua các công cụ phân tích lưu lượng, đồng thời đo lường chính xác khả năng ngăn chặn hành vi giả mạo địa chỉ IP mà không làm gián đoạn hạ tầng thực tế. Toàn bộ quá trình tổng thuật tài liệu, thiết lập môi trường giả lập và đo kiểm được thực hiện trong khung thời gian 12 tháng.

Kết quả nghiên cứu và thảo luận

Những phát hiện chính

Quá trình nghiên cứu và thực nghiệm mô phỏng đã đem lại bốn phát hiện trọng tâm:

Thứ nhất, hệ thống phân cấp khóa 5 tầng kết hợp thủ tục xác thực EPS-AKA giúp bảo vệ 100% tính toàn vẹn cho dữ liệu báo hiệu mặt phẳng điều khiển (Control Plane) giữa thiết bị di động (UE), trạm gốc (eNB/gNodeB) và thực thể quản lý di động (MME/AMF). Bộ khóa mật mã 128-bit ngăn ngừa hoàn toàn nguy cơ can thiệp trái phép vào các bản tin chuyển giao mạng.

Thứ hai, việc kích hoạt cơ chế IPSec chế độ Đường hầm (Tunnel Mode) sử dụng giao thức ESP trên liên kết backhaul đã mã hóa toàn bộ dữ liệu gói tin IP gốc. Kết quả đo kiểm cho thấy tỷ lệ bắt gói tin chứa thông tin rõ (Plaintext) của kẻ tấn công giảm triệt để từ 100% xuống 0%, bảo vệ tuyệt đối địa chỉ IP nguồn/đích và toàn bộ nội dung dữ liệu người dùng.

Thứ ba, phân tích các nguy cơ cho thấy các cuộc tấn công giả mạo trạm gốc (Fake Base Station) để đánh cắp định danh IMSI/IMEI và tấn công từ chối dịch vụ (DoS) chiếm trên 65% tổng số các dạng đe dọa không gian vô tuyến. Nếu không có cơ chế tường lửa lọc gói tại giao diện kết nối Internet, máy chủ dịch vụ có thể bị cạn kiệt tài nguyên chỉ sau vài phút bị dội lưu lượng từ các mạng máy tính ma (Zombies).

Thứ tư, việc tích hợp kỹ thuật Mã cực (Polar Codes) với giải thuật giải mã SC-list kích thước danh sách 32 giúp giảm tỷ lệ lỗi khối (BLER) xuống dưới ngưỡng 10^-3, nâng cao hiệu quả phổ tần và tăng tốc độ xử lý gói tin hơn 100 lần khi kết hợp cùng dàn ăng-ten Massive MIMO.

Thảo luận kết quả

Bản chất của mạng 5G là cấu trúc All-IP hội tụ, tách biệt rõ ràng giữa mặt phẳng điều khiển và mặt phẳng người dùng. Khi các thiết bị ngoại vi kết nối đa dạng từ điện thoại thông minh, cảm biến IoT đến xe tự hành, bề mặt tấn công mở rộng theo cấp số nhân. Việc triển khai IPSec ở đường liên kết truyền dẫn giữa trạm truy nhập vô tuyến và mạng lõi đóng vai trò như một lá chắn bảo vệ kiên cố.

Dữ liệu mô phỏng bắt gói tin trên máy chủ có thể được trình bày một cách trực quan qua bảng cấu trúc trường thông tin và biểu đồ phân tích lưu lượng. Trước khi thiết lập IPSec, công cụ phân tích hiển thị chi tiết mọi tham số HTTP, số định danh và luồng dữ liệu cá nhân. Ngay sau khi cấu hình bảo mật IPSec phía Client và Server thành công, toàn bộ payload được đóng gói trong tiêu đề ESP Header và khối xác thực ESP Trailer, kẻ tấn công chỉ nhận được các chuỗi ký tự nhị phân đã được mã hóa không thể giải mã.

So sánh với các thế hệ mạng 4G trước đây, kiến trúc an ninh 5G được bổ sung các cơ chế phòng thủ mềm dẻo hơn nhờ công nghệ mạng tự tổ chức (SON) và giao thức đa truy nhập SCMA, giúp hạn chế tới 40% tình trạng nghẽn mạch báo hiệu trong các kịch bản mật độ siêu cao (khoảng 1 triệu thiết bị trên mỗi kilômét vuông). Nghiên cứu khẳng định rằng việc kết hợp tường lửa thế hệ mới, hệ thống phát hiện xâm nhập IDPS và đường truyền bảo mật IPSec là giải pháp toàn diện nhất cho các nhà mạng.

Đề xuất và khuyến nghị

Dựa trên các kết quả nghiên cứu lý thuyết và thực nghiệm mô phỏng, luận văn đề xuất 4 nhóm giải pháp mang tính chiến lược:

  1. Triển khai bắt buộc giao thức bảo mật IPSec ESP trên các tuyến truyền dẫn backhaul: Các nhà mạng viễn thông cần áp dụng cấu hình mã hóa IPSec Tunnel Mode trên 100% các kết nối trung gian giữa trạm gốc vô tuyến và trung tâm mạng lõi. Mục tiêu loại bỏ hoàn toàn nguy cơ nghe lén và làm giả dữ liệu trên đường truyền vật lý, với lộ trình thực hiện trong vòng 6 tháng đầu tiên khi thương mại hóa hạ tầng 5G.
  2. Nâng cấp hệ thống Tường lửa thế hệ mới (Next-Generation Firewall) và Hệ thống ngăn ngừa xâm nhập (IDPS): Đầu tư và tích hợp sâu IDPS tại các cổng kết nối dữ liệu gói (PGW/UPF) và giao diện NDS/IP. Hệ thống phải đảm bảo năng lực xử lý băng thông tối thiểu 10 Gbps thời gian thực, đặt mục tiêu giảm thời gian phát hiện và cách ly các chủng mã độc (Worms, Trojan, Zombies) xuống dưới 30 giây kể từ khi xuất hiện dấu hiệu bất thường.
  3. Ứng dụng cơ chế mã hóa định danh thuê bao trên thẻ eUICC/USIM: Phối hợp cùng các đơn vị cung cấp thiết bị đầu cuối để triển khai cơ chế che giấu định danh vĩnh viễn (chuyển đổi từ IMSI/IMEI sang chuỗi mã hóa SUPI/SUCI), triệt tiêu 99% rủi ro bị theo dõi vị trí từ các trạm BTS giả mạo, hoàn thành chuẩn hóa trên toàn mạng trong thời hạn 12 tháng.
  4. Thiết lập chính sách quản trị an ninh nội bộ và kiểm toán định kỳ: Ban hành quy định phân quyền nghiêm ngặt đối với nhân sự quản trị máy chủ cơ sở dữ liệu thuê bao (HSS/AuC), thực hiện rà soát lỗ hổng bảo mật hệ điều hành và diễn tập phòng chống tấn công phi kỹ thuật (Social Engineering) định kỳ 3 tháng một lần, hướng tới giảm thiểu 90% các sự cố lộ lọt thông tin xuất phát từ nội bộ.

Đối tượng nên tham khảo luận văn

Nội dung nghiên cứu mang giá trị học thuật và ứng dụng thực tiễn cao, đặc biệt hữu ích cho 4 nhóm đối tượng:

  • Kỹ sư mạng và chuyên gia an toàn thông tin viễn thông: Nắm vững phương pháp thiết lập cấu hình IPSec, quy trình quản lý phân cấp khóa và kỹ thuật bắt gói tin phân tích lỗ hổng trên các giao diện mạng di động.
  • Cán bộ quản lý kỹ thuật tại các nhà khai thác mạng di động: Có thêm cơ sở khoa học và số liệu thực nghiệm để hoạch định chính sách đầu tư trang thiết bị an ninh, xây dựng quy chuẩn kỹ thuật phòng chống mã độc và tấn công DoS cho mạng 5G.
  • Học viên cao học, nghiên cứu sinh chuyên ngành Kỹ thuật Viễn thông và Công nghệ Thông tin: Sử dụng công trình như tài liệu tham khảo chuyên sâu về các công nghệ vô tuyến tiên tiến (Filtered-OFDM, SCMA, Polar Codes) và các tiêu chuẩn bảo mật 3GPP.
  • Doanh nghiệp phát triển giải pháp IoT và Đô thị thông minh: Hiểu rõ cơ chế xác thực thiết bị máy - máy (M2M/V2X), từ đó thiết kế các cảm biến và thiết bị đầu cuối đáp ứng tiêu chuẩn an toàn bảo mật, ngăn chặn nguy cơ bị lợi dụng thành mạng botnet tấn công hạ tầng.

Câu hỏi thường gặp

Tốc độ mạng 5G nhanh hơn 4G bao nhiêu lần và điều này ảnh hưởng gì đến an toàn thông tin? Mạng 5G đạt tốc độ truyền dẫn trung bình khoảng 1 Gbps, gấp khoảng 100 lần so với băng thông cao nhất của 4G LTE. Tốc độ siêu cao cùng kiến trúc All-IP giúp xử lý dữ liệu lớn tức thì, nhưng cũng khiến các cuộc tấn công làm tràn băng thông (DDoS) và phát tán mã độc lây lan nhanh hơn gấp nhiều lần nếu thiếu hệ thống kiểm soát lưu lượng chuyên dụng.

Giao thức IPSec bảo vệ gói tin mạng 5G dựa trên những tính năng cốt lõi nào? IPSec cung cấp 4 chức năng an ninh trọng yếu bao gồm: Bảo mật thông qua mã hóa dữ liệu (Confidentiality), Đảm bảo toàn vẹn dữ liệu bằng mã băm kiểm tra checksum (Data Integrity), Xác thực nguồn gốc gói tin (Authentication) và Chống phát lại bản tin (Antireplay). Các tính năng này giúp bảo vệ an toàn dữ liệu đầu - cuối ngay tại lớp mạng mà không cần thay đổi cấu trúc ứng dụng.

Vì sao số định danh IMSI và IMEI của người dùng lại dễ bị đánh cắp trên giao diện vô tuyến? Khi thiết bị di động thực hiện thủ tục gia nhập mạng ban đầu, kẻ tấn công có thể sử dụng các trạm thu phát sóng giả mạo phát tín hiệu cực mạnh để ép thiết bị kết nối. Trong quá trình này, nếu bản tin chưa được thiết lập bảo vệ toàn vẹn và mã hóa, mã số IMSI và IMEI sẽ bị truyền dưới dạng văn bản rõ, tạo điều kiện cho kẻ xấu nghe lén và theo dõi vị trí nạn nhân.

Các thuật toán 128-EEA và 128-EIA đóng vai trò gì trong hệ thống phân cấp khóa an ninh? Chuẩn 3GPP quy định bộ thuật toán mật mã 128-EEA (dùng cho mã hóa) và 128-EIA (dùng cho kiểm tra toàn vẹn) với các phiên bản dựa trên SNOW 3G và AES. Sau khi thủ tục xác thực EPS-AKA hoàn tất, các thuật toán này sử dụng các khóa dẫn xuất (KNASenc, KRRCenc, KUPenc, KNASint, KRRCint) để bảo vệ toàn diện các luồng báo hiệu và dữ liệu người dùng.

Nguy cơ mất an toàn mạng di động xuất phát từ nội bộ nguy hiểm như thế nào? Nguy cơ nội bộ xảy ra khi quản trị viên hệ thống có quyền tiếp cận vật lý hoặc điều khiển từ xa vào các máy chủ chứa dữ liệu quan trọng như HSS/AuC. Kẻ xâm nhập có thể lợi dụng phương thức tấn công Social Engineering hoặc lỗ hổng hệ điều hành máy chủ để chiếm quyền điều khiển, sửa đổi bảng cước dịch vụ lên tới hàng trăm triệu đồng hoặc đánh cắp khóa bảo mật gốc.

Kết luận

  • Luận văn đã hệ thống hóa toàn diện cơ sở lý thuyết về kiến trúc mạng All-IP và các tiêu chuẩn an ninh 5G theo chuẩn hóa quốc tế 3GPP Release 15.
  • Làm rõ cấu trúc phân cấp khóa mật mã 5 tầng, quy trình xác thực tương hỗ EPS-AKA cùng bộ thuật toán mã hóa và toàn vẹn 128-bit.
  • Nhận diện, phân loại chi tiết các mối hiểm họa từ mã độc di động, tấn công DoS, trạm BTS giả mạo đến các lỗ hổng quản trị từ bên trong hệ thống.
  • Xây dựng mô hình thực nghiệm mô phỏng thành công cơ chế bảo vệ gói tin bằng giao thức IPSec, chứng minh khả năng triệt tiêu 100% nguy cơ nghe lén trên đường truyền backhaul.
  • Đề xuất hệ thống giải pháp phòng thủ đồng bộ kết hợp tường lửa thế hệ mới, hệ thống IDPS và chính sách quản lý vận hành nghiêm ngặt cho các nhà mạng viễn thông.

Đóng góp chính của công trình là cung cấp một tài liệu nghiên cứu chuyên sâu, kết hợp nhuần nhuyễn giữa phân tích lý thuyết chuẩn hóa và kiểm chứng thực nghiệm mô phỏng, tạo tiền đề khoa học vững chắc cho việc bảo vệ an toàn thông tin hạ tầng di động 5G tại Việt Nam.

Trong giai đoạn tiếp theo từ năm 2022 đến 2025, hướng phát triển của đề tài là mở rộng nghiên cứu cơ chế bảo mật trên kiến trúc mạng 5G độc lập (5G Standalone), tích hợp bảo mật phân lát mạng (Network Slicing) và đo kiểm hiệu năng thực tế trên các thiết bị phần cứng chuyên dụng. Quý độc giả và các nhà nghiên cứu quan tâm có thể khai thác toàn văn luận văn để áp dụng trực tiếp các mô hình cấu hình vào thực tiễn triển khai mạng di động thế hệ mới.