Tổng quan nghiên cứu

Theo thống kê từ các doanh nghiệp viễn thông lớn, việc phân tán các điểm cung cấp dịch vụ khách hàng đòi hỏi khoảng 100% dữ liệu thuê bao phải được tập trung quản trị tại máy chủ trung tâm để đảm bảo tính đồng bộ và kiểm soát nghiệp vụ. Đối với Công ty Vinaphone thuộc Tập đoàn Bưu chính Viễn thông Việt Nam (VNPT), bên cạnh trụ sở chính tại Hà Nội, doanh nghiệp đã thiết lập 3 trung tâm khu vực lớn cùng 64 điểm chăm sóc khách hàng trên khắp các tỉnh thành toàn quốc vào năm 2009. Vấn đề nghiên cứu trọng tâm là giải quyết bài toán truyền tải thông tin nội bộ an toàn tuyệt đối từ các điểm giao dịch từ xa về cơ sở dữ liệu thuê bao trung tâm đặt tại Hà Nội.

Mục tiêu cụ thể của nghiên cứu là thiết kế, cài đặt và đánh giá hệ thống bảo mật đường truyền dữ liệu phục vụ các thao tác nghiệp vụ như cắt mở dịch vụ, khiếu nại cước và xử lý nợ đọng. Phạm vi nghiên cứu tập trung vào mô hình mạng riêng ảo VPN (Virtual Private Network) kết hợp công nghệ xác thực 2 yếu tố RSA SecurID cho 64 chi nhánh trong mạng lưới Vinaphone. Nghiên cứu mang ý nghĩa chiến lược khi cải thiện chỉ số toàn vẹn dữ liệu đạt mức tối đa, triệt tiêu 100% nguy cơ rò rỉ thông tin cá nhân của hàng triệu thuê bao và tối ưu hóa chi phí đầu tư hạ tầng mạng WAN chuyên dụng bằng cách khai thác trực tiếp đường truyền Internet công cộng sẵn có.

Cơ sở lý thuyết và phương pháp nghiên cứu

Khung lý thuyết áp dụng

Nghiên cứu ứng dụng 2 nền tảng lý thuyết và mô hình công nghệ bảo mật cốt lõi:

Thứ nhất là mô hình mạng riêng ảo truy cập từ xa thông qua bộ giao thức an ninh mạng IPSec (Internet Protocol Security) hoạt động tại tầng 3 (Network Layer) của mô hình OSI. IPSec thiết lập đường hầm bảo mật (VPN tunnel) nhờ sự kết hợp của giao thức trao đổi khóa IKE (Internet Key Exchange) và giao thức đóng gói dữ liệu an toàn ESP (Encapsulating Security Payload). Cơ chế này hỗ trợ hai chế độ đàm phán: chế độ chính (Main Mode) với 6 thông điệp trao đổi bảo đảm tính ẩn danh và chế độ linh hoạt (Aggressive Mode) rút gọn còn 3 thông điệp để tăng tốc độ thiết lập phiên. Hệ thống triển khai các chuẩn mã hóa đối xứng mạnh như DES 56-bit, 3DES 168-bit và AES với chiều dài khóa 128-bit hoặc 256-bit, kết hợp cơ chế kiểm tra toàn vẹn HMAC-MD5 và HMAC-SHA1.

Thứ hai là lý thuyết xác thực hai yếu tố (2-Factor Authentication - 2FA) bằng công nghệ RSA SecurID. Khung xác thực này vận hành dựa trên sự phối hợp giữa yếu tố người dùng biết (mã PIN cá nhân) và yếu tố người dùng sở hữu (mã Token Code thay đổi tự động). Mỗi thẻ bảo mật chứa một khóa hạt nhân đối xứng (seed) 128-bit cố định và bộ đồng hồ thời gian nội vi, thực hiện đồng bộ với máy chủ quản trị RSA Authentication Manager (ACE/Server) để sinh mã xác thực mới sau mỗi 60 giây.

Các khái niệm chính được làm rõ trong nghiên cứu bao gồm: cơ chế đóng gói trong suốt (NAT Traversal - NAT-T) giải quyết xung đột cổng mạng qua UDP cổng 500 hoặc TCP, kỹ thuật tách lưu lượng (Split Tunneling) và thuật toán nén dữ liệu Lempel-Ziv (LZS) nhằm nâng cao hiệu năng đường truyền.

Phương pháp nghiên cứu

Nghiên cứu sử dụng phương pháp thực nghiệm kết hợp phân tích định lượng hệ thống. Cỡ mẫu nghiên cứu bao gồm toàn bộ 64 điểm giao dịch vệ tinh và 3 trung tâm vùng của Vinaphone kết nối về máy chủ trung tâm. Phương pháp chọn mẫu là chọn mẫu toàn bộ hệ thống thực nghiệm viễn thông nhằm phản ánh chính xác cấu trúc hạ tầng thực tế của doanh nghiệp.

Lý do lựa chọn phương pháp phân tích thực nghiệm mô phỏng là nhằm đánh giá trực quan tính tương thích, độ trễ và độ an toàn của phần mềm Cisco VPN Client phiên bản 5.0 khi kết hợp với thẻ xác thực phần cứng RSA SecurID SID700 và tường lửa chuyên dụng Cisco PIX Firewall. Timeline nghiên cứu được thực hiện xuyên suốt trong năm 2009, chia làm 3 giai đoạn: khảo sát hạ tầng viễn thông, triển khai cấu hình thử nghiệm và đánh giá độ an toàn thông tin đường truyền.

Kết quả nghiên cứu và thảo luận

Những phát hiện chính

Quá trình nghiên cứu và thực nghiệm đã ghi nhận 4 phát hiện công nghệ nổi bật:

Thứ nhất, giải pháp VPN IPSec kết hợp tường lửa Cisco PIX nâng cao tính toàn vẹn dữ liệu lên 100%, bảo vệ lưu lượng truy cập từ tầng mạng (Network Layer) và loại bỏ hoàn toàn các nguy cơ nghe lén trên đường truyền so với hình thức truyền dữ liệu không mã hóa dạng văn bản rõ (clear-text).

Thứ hai, việc áp dụng chuẩn mã hóa AES 256-bit và 3DES 168-bit giúp nâng cao năng lực chống giải mã trái phép theo hàm số mũ so với chuẩn DES 56-bit cũ, đồng thời thuật toán nén LZS với cửa sổ trượt 2,048 byte giúp giảm dung lượng gói tin, tối ưu hóa tốc độ truyền tải trên các kênh kết nối băng thông hạn chế như Dial-up hoặc ADSL với thông lượng lên đến 52 Mbit/s.

Thứ ba, công nghệ xác thực hai yếu tố RSA SecurID chứng minh ưu thế tuyệt đối khi chiếm hơn 70% thị phần bảo mật toàn cầu với hơn 25 tỷ thiết bị tích hợp. Cơ chế sinh mã tự động sau mỗi 60 giây vô hiệu hóa hoàn toàn các cuộc tấn công tái tạo phiên (Replay Attack) và các cuộc tấn công bắt gói tin mật khẩu tĩnh.

Thứ tư, tính năng NAT-T và cơ chế phát tín hiệu duy trì kết nối (IKE Keepalives) định kỳ 10 giây/lần cho phép các máy khách từ xa vượt qua các bức tường lửa kiểm soát trạng thái (Stateful Firewall) mà không làm gián đoạn đường truyền cơ sở dữ liệu thuê bao.

Thảo luận kết quả

Khi xem xét dữ liệu qua biểu đồ so sánh hiệu năng thông lượng (Throughput) giữa kết nối mạng thông thường và kết nối mã hóa IPSec qua tường lửa PIX, hệ thống cho thấy mức độ suy hao băng thông chỉ dao động trong khoảng 5% đến 8%, một tỷ lệ hoàn toàn chấp nhận được so với lợi ích bảo mật mang lại. Bảng phân tích nguy cơ an ninh mạng cũng chỉ ra rằng việc triển khai thẻ bảo mật RSA SecurID giúp triệt tiêu 99% khả năng đánh cắp tài khoản nội bộ so với cơ chế dùng tên đăng nhập và mật khẩu đơn thông thường.

Nguyên nhân chính dẫn đến sự thành công của mô hình là nhờ sự kết hợp chặt chẽ giữa thiết bị tập trung VPN Concentrator 3000 Series và máy chủ ACE/Server. Khi so sánh với các nghiên cứu bảo mật mạng cục bộ truyền thống, việc thiết lập kênh truyền ảo trên nền Internet công cộng giúp doanh nghiệp tiết kiệm khoảng 60% chi phí đầu tư đường truyền thuê riêng (Leased Line) mà vẫn duy trì tính bí mật tương đương. Dữ liệu thực nghiệm chứng minh rằng hệ thống đáp ứng tốt các phiên làm việc đồng thời từ 64 tỉnh thành về máy chủ Hà Nội mà không xảy ra nghẽn cổ chai dữ liệu.

Đề xuất và khuyến nghị

Dựa trên các kết quả phân tích, nghiên cứu đưa ra 4 giải pháp cụ thể nhằm tối ưu hóa an toàn truyền tin:

Thứ nhất, triển khai đồng bộ phần mềm Cisco VPN Client phiên bản 5.0 và tường lửa Cisco ASA/PIX tại 100% các điểm chăm sóc khách hàng, đặt mục tiêu hoàn thành trong thời gian 6 tháng do Phòng Kỹ thuật Mạng chủ trì thực hiện nhằm mã hóa toàn bộ dữ liệu nghiệp vụ thuê bao.

Thứ hai, trang bị thẻ xác thực phần cứng RSA SecurID SID700 cho hơn 200 nhân viên giao dịch có quyền truy cập cơ sở dữ liệu, thiết lập quy trình thay thế định kỳ 3 năm một lần theo vòng đời thiết bị do Phòng Quản trị Nhân sự và Đội An toàn Thông tin phối hợp quản lý.

Thứ ba, cấu hình chuẩn hóa thuật toán mã hóa AES 256-bit kết hợp hàm băm SHA-1 trên toàn bộ hệ thống IKE, loại bỏ các giao thức cũ như DES 56-bit nhằm nâng cao chỉ số bảo mật dữ liệu lên mức tối đa trong vòng 3 tháng tới.

Thứ tư, ứng dụng phần mềm quản trị tập trung CiscoWorks 2000 kết hợp hệ thống phát hiện xâm nhập Cisco Secure IDS để theo dõi lưu lượng mạng 24/7, duy trì chỉ số sẵn sàng của hệ thống đạt 99,9% trong suốt 365 ngày vận hành.

Đối tượng nên tham khảo luận văn

Nghiên cứu mang giá trị thực tiễn và học thuật cao, phù hợp cho 4 nhóm đối tượng:

Nhóm thứ nhất là các kỹ sư an toàn thông tin và kỹ sư mạng viễn thông. Họ có thể ứng dụng trực tiếp tài liệu để cấu hình hạ tầng VPN IPSec, giải quyết triệt để vấn đề xung đột địa chỉ IP qua NAT/PAT và thiết lập chính sách bảo mật cho doanh nghiệp lớn.

Nhóm thứ hai là quản trị viên hệ thống tại các tổ chức có nhiều chi nhánh phân tán như hệ thống ngân hàng thương mại, bảo hiểm hoặc các chuỗi bán lẻ quy mô trên 50 chi nhánh, giúp họ tối ưu hóa giải pháp xác thực người dùng tập trung bằng máy chủ RADIUS hoặc RSA ACE/Server.

Nhóm thứ ba là học viên cao học và sinh viên chuyên ngành Công nghệ thông tin, Hệ thống thông tin (mã số 60 48 05), dùng làm tài liệu tham khảo chuyên sâu về các giải pháp mã hóa tầng mạng, cơ chế trao đổi khóa đối xứng và bất đối xứng.

Nhóm thứ tư là các nhà quản lý công nghệ (CTO/CIO) tại các doanh nghiệp viễn thông, cung cấp cơ sở dữ liệu tin cậy để lập kế hoạch đầu tư thiết bị bảo mật, vừa tối ưu chi phí hạ tầng vừa nâng cao năng lực an toàn thông tin theo tiêu chuẩn ngành.

Câu hỏi thường gặp

Công nghệ RSA SecurID vượt trội hơn mật khẩu truyền thống ở điểm nào? Cơ chế này kết hợp hai yếu tố gồm mã PIN cá nhân và chuỗi mã số ngẫu nhiên biến đổi sau mỗi 60 giây từ thẻ Token. Nhờ tính chất sử dụng một lần, ngay cả khi kẻ tấn công đánh cắp được chuỗi số vừa nhập, họ cũng không thể tái sử dụng để truy cập trái phép vào cơ sở dữ liệu.

Giao thức IPSec xử lý vấn đề truyền gói tin qua các thiết bị NAT như thế nào? IPSec sử dụng kỹ thuật đóng gói trong suốt NAT-T bằng cách lồng ghép gói tin bảo mật ESP vào bên trong các gói tin UDP cổng 500 hoặc TCP. Cơ chế này giúp các gói tin mã hóa vượt qua tường lửa và thiết bị chia sẻ địa chỉ IP mà không bị phá vỡ cấu trúc toàn vẹn ban đầu.

Chế độ Main Mode và Aggressive Mode trong giao thức IKE khác nhau ra sao? Chế độ Main Mode sử dụng 6 thông điệp trao đổi tuần tự để đảm bảo độ bảo mật cao nhất và che giấu danh tính các bên tham gia kết nối. Ngược lại, chế độ Aggressive Mode rút ngắn còn 3 thông điệp để đẩy nhanh thời gian thiết lập phiên, rất thích hợp cho các thiết bị truy cập từ xa có băng thông hạn chế.

Thuật toán nén LZS có vai trò gì trong giải pháp bảo mật của Vinaphone? Thuật toán Lempel-Ziv (LZS) sử dụng kỹ thuật điều khiển luồng trong cửa sổ trượt 2,048 byte để nén dữ liệu tầng 3 mà không làm suy hao thông tin. Điều này giúp giảm kích thước gói tin trước khi mã hóa, nâng cao tốc độ truyền tin trên các đường truyền tốc độ chậm từ 64 tỉnh thành.

Hệ thống xử lý thế nào khi đồng hồ trên thẻ Token bị lệch so với máy chủ? Máy chủ RSA Authentication Manager được trang bị thuật toán thông minh tự động nhận diện và bù trừ độ sai lệch thời gian của bộ đếm bên trong thẻ bảo mật. Quá trình tái đồng bộ hóa diễn ra hoàn toàn tự động trên nền hệ thống, không gây gián đoạn hay ảnh hưởng đến trải nghiệm của người dùng.

Kết luận

  • Nghiên cứu đã xây dựng thành công giải pháp bảo mật toàn diện cho mạng Vinaphone kết hợp giữa Cisco VPN Client và xác thực 2 yếu tố RSA SecurID.
  • Hệ thống giải quyết triệt để bài toán kết nối an toàn cho 64 điểm giao dịch tỉnh thành và 3 trung tâm vùng về cơ sở dữ liệu trung tâm tại Hà Nội.
  • Việc áp dụng các chuẩn mã hóa tiên tiến như AES 256-bit và 3DES giúp ngăn chặn hoàn toàn các nguy cơ tấn công đánh cắp dữ liệu trên mạng công cộng.
  • Thuật toán nén dữ liệu LZS trên cửa sổ trượt 2,048 byte mang lại hiệu quả tối ưu hóa băng thông vượt trội cho các điểm truy cập từ xa.
  • Đóng góp chính của luận văn là chuyển hóa thành công lý thuyết an toàn thông tin phức tạp thành một mô hình ứng dụng thực tế có tính khả thi và độ ổn định cao trong ngành viễn thông.

Kế hoạch phát triển tiếp theo là mở rộng tích hợp phần mềm xác thực mềm trên các thiết bị di động thông minh và nâng cấp hạ tầng kết nối lên chuẩn IPv6 trong vòng 12 đến 24 tháng tới. Hãy tham khảo và áp dụng mô hình bảo mật này ngay hôm nay để nâng cao năng lực phòng thủ và tối ưu hóa hạ tầng an ninh thông tin cho doanh nghiệp của bạn.