Tổng quan nghiên cứu

Trong bối cảnh bùng nổ của mạng Internet và chuyển đổi số, an toàn thông tin trở thành yếu tố sống còn đối với các cơ quan an ninh nhà nước. Đối với Công an tỉnh Hậu Giang – đơn vị được thành lập từ tháng 01 năm 2004 với quy mô gồm 01 Trung tâm chỉ huy, trên 30 phòng ban chuyên môn, 07 công an huyện, thị xã, thành phố và 74 công an xã, phường, thị trấn – nhu cầu bảo mật thông tin liên lạc là vô cùng cấp bách. Thực tế trước đây, việc trao đổi dữ liệu nghiệp vụ giữa Công an tỉnh và các đơn vị cơ sở chủ yếu thông qua đường giao liên hoặc máy Fax, chiếm tới hơn 80% lưu lượng văn bản hành chính, gây lãng phí lớn về thời gian và tiềm ẩn rủi ro lộ lọt bí mật nhà nước.

Nghiên cứu tập trung giải quyết bài toán cốt lõi: loại bỏ sự phụ thuộc vào các giải pháp phần cứng độc quyền đắt đỏ từ các nhà cung cấp nước ngoài như Cisco hay Juniper vốn đòi hỏi kinh phí đầu tư lên tới hàng tỷ đồng, đồng thời khắc phục nguy cơ mất an toàn từ các phương thức xác thực một yếu tố truyền thống. Mục tiêu trọng tâm của đề tài là xây dựng và hoàn thiện giải pháp mạng riêng ảo nguồn mở dựa trên nền tảng OpenVPN kết hợp công nghệ xác thực hai yếu tố Smart Token SafeNet iKey 1032.

Nghiên cứu được triển khai thực nghiệm trên toàn bộ hạ tầng mạng của Công an tỉnh Hậu Giang trong giai đoạn 2011 - 2015, bám sát các chỉ đạo tại Quyết định số 1605/QĐ-TTg và Chỉ thị số 28-CT/TW của Ban Bí thư về bảo đảm an toàn thông tin mạng. Kết quả ứng dụng giúp giảm hơn 60% chi phí đầu tư thiết bị ban đầu, đảm bảo tính bí mật và toàn vẹn tuyệt đối cho 100% luồng dữ liệu truyền tải trên môi trường mạng diện rộng.

Cơ sở lý thuyết và phương pháp nghiên cứu

Khung lý thuyết áp dụng

Nghiên cứu xây dựng trên nền tảng lý thuyết bảo mật mạng đa tầng, kết hợp giữa mật mã học hiện đại và kiến trúc mạng riêng ảo. Hai mô hình lý thuyết cốt lõi được ứng dụng bao gồm mô hình bảo vệ kênh truyền IPsec và giao thức bảo mật tầng truyền tải SSL/TLS. Trong khi IPsec can thiệp sâu vào tầng mạng của mô hình TCP/IP thông qua các giao thức ESP (giao thức số 50) và AH (giao thức số 51), giải pháp SSL/TLS nguồn mở trên OpenVPN vận hành linh hoạt tại tầng ứng dụng, giao tiếp với hệ điều hành thông qua cơ chế driver ảo hóa TUN/TAP ở tầng 2 và tầng 3.

Khung bảo mật tích hợp 4 khái niệm nền tảng:

  1. Mật mã hóa đối xứng: Sử dụng thuật toán chuẩn AES với độ dài khóa 128-bit đến 256-bit và Triple-DES nhằm bảo đảm tính bí mật tuyệt đối của luồng dữ liệu nghiệp vụ với tốc độ xử lý nhanh.
  2. Mật mã hóa bất đối xứng: Ứng dụng thuật toán RSA (khóa 1024-bit đến 2048-bit) và giao thức trao đổi khóa Diffie-Hellman phục vụ quá trình bắt tay, phân phối khóa phiên và xác thực thực thể mà không làm lộ khóa bí mật trên đường truyền công cộng.
  3. Hàm băm một chiều và mã xác thực thông điệp: Áp dụng thuật toán MD5 (128-bit) và SHA-1 (160-bit) kết hợp HMAC nhằm tạo chữ ký số và bảo đảm tính toàn vẹn dữ liệu, chống lại các hành vi sửa đổi thông điệp.
  4. Hạ tầng khóa công khai PKI và chứng chỉ số X.509 v3: Thiết lập hệ thống cơ quan cấp phát chứng chỉ số CA nội bộ, quản lý định danh và chứng thực khóa công khai cho máy chủ và toàn bộ máy trạm.
  5. Xác thực hai yếu tố phần cứng: Kết hợp yếu tố sở hữu (USB Token SafeNet iKey 1032 giao tiếp qua chuẩn PKCS#11, PKCS#12) và yếu tố nhận biết (mã PIN cá nhân), ngăn chặn hoàn toàn nguy cơ đánh cắp chứng thư số.

Phương pháp nghiên cứu

Nghiên cứu sử dụng phương pháp thực nghiệm kết hợp mô hình hóa hệ thống và phân tích gói tin chuyên sâu:

  • Cỡ mẫu và đối tượng thử nghiệm: Thiết lập hệ thống kiểm thử gồm 01 máy chủ trung tâm OpenVPN Server đặt tại Trung tâm chỉ huy và 38 nút mạng đầu cuối đại diện cho các phòng ban nghiệp vụ và công an cấp huyện, thị xã.
  • Phương pháp chọn mẫu: Lựa chọn mẫu phân tầng có chủ đích, bao gồm đầy đủ các đơn vị có kết nối mạng LAN nội bộ ổn định và các điểm vùng sâu, vùng xa có hạ tầng viễn thông hạn chế nhằm đánh giá toàn diện tính tương thích của đường hầm VPN.
  • Lý do chọn phương pháp phân tích: Sử dụng phương pháp đo kiểm thực nghiệm qua phần mềm giám sát mạng Tcpdump và Wireshark nhằm phân tích cấu trúc chi tiết từng gói tin IP, so sánh độ trễ truyền thông và đo lường tải CPU của máy chủ khi xử lý mã hóa đồng thời.
  • Quy trình tiến hành: Quá trình nghiên cứu và thử nghiệm được chia làm 3 mốc thời gian: xây dựng hạ tầng CA nội bộ và cấu hình OpenVPN trên hệ điều hành Ubuntu Linux; cài đặt module mã hóa Smart Token trên các máy trạm Windows/Linux; và tiến hành kiểm thử bắt gói tin trong cả hai trạng thái chưa kích hoạt và đã kích hoạt đường hầm VPN.

Kết quả nghiên cứu và thảo luận

Những phát hiện chính

Quá trình đo kiểm thực tế trên hệ thống thực và hệ thống ảo hóa VMware mang lại 4 phát hiện quan trọng:

Thứ nhất, trên kênh truyền chưa thiết lập bảo vệ, 100% các gói tin chứa dữ liệu văn bản, mật khẩu và thông tin chỉ đạo nghiệp vụ dạng bản rõ (plain text) đều bị các công cụ lắng nghe mạng như Wireshark thu giữ trọn vẹn, để lộ toàn bộ cấu trúc giao thức TCP/UDP và nội dung trao đổi.

Thứ hai, khi kích hoạt đường hầm OpenVPN sử dụng giải thuật mã hóa AES và thuật toán trao đổi khóa Diffie-Hellman, 100% tải trọng dữ liệu (payload) đều được đóng gói và mã hóa hoàn toàn. Tỷ lệ bảo vệ thành công trước các cuộc tấn công nghe trộm thụ động và tấn công giả mạo đạt mức tối đa 100%.

Thứ ba, việc tích hợp phần cứng bảo mật SafeNet iKey 1032 qua giao tiếp PKCS#11 loại bỏ hoàn toàn nguy cơ trích xuất khóa riêng tư (private key) từ máy tính cá nhân. Kẻ tấn công dù chiếm được quyền điều khiển máy trạm vẫn không thể giải mã dữ liệu nếu không có thiết bị phần cứng và mã PIN hợp lệ, giảm thiểu 100% nguy cơ tấn công qua keylogger hoặc phần mềm gián điệp.

Thứ tư, về mặt hiệu năng mạng, độ trễ truyền gói tin trung bình sau khi thiết lập đường hầm mã hóa chỉ tăng nhẹ khoảng 3% đến 5% so với mạng không mã hóa. Băng thông truyền tải duy trì ổn định ở mức trên 95% công suất đường truyền thực tế, máy chủ OpenVPN hỗ trợ an toàn lên tới 128 phiên kết nối đồng thời mà không xảy ra hiện tượng nghẽn cổ chai hay rớt gói.

Thảo luận kết quả

Các kết quả đo kiểm có thể được trực quan hóa thông qua bảng so sánh 7 tham số kỹ thuật an ninh (gồm cổng dịch vụ, giao thức tầng mạng, loại mã hóa, độ dài khóa, thời gian bắt tay, mức chiếm dụng bộ nhớ và tỷ lệ suy hao gói tin) và biểu đồ phân tích lưu lượng trước - sau khi mã hóa. Khi quan sát biểu đồ lưu lượng, toàn bộ cấu trúc dữ liệu ứng dụng chuyển đổi thành các khối dữ liệu mã hóa ngẫu nhiên được gắn nhãn OpenVPN packet, chứng minh tính vô hiệu hóa trước các giải thuật phân tích luồng của hacker.

So sánh với các giải pháp IPsec truyền thống được nghiên cứu bởi các tác giả trước đây sử dụng FreeS/WAN hay thiết bị phần cứng độc quyền của Cisco, giải pháp OpenVPN kết hợp Smart Token thể hiện tính ưu việt vượt trội. IPsec thường gặp lỗi tương thích nghiêm trọng khi đi qua các thiết bị định tuyến NAT (Network Address Translation) và tường lửa, đòi hỏi phải cấu hình phức tạp trên cổng UDP 500 và UDP 4500. Ngược lại, OpenVPN tận dụng cơ chế giao tiếp linh hoạt trên một cổng UDP/TCP duy nhất và sử dụng driver TUN/TAP, cho phép xuyên qua mọi hệ thống tường lửa mà không cần thay đổi kiến trúc định tuyến của nhà mạng.

Hơn nữa, giải pháp đề xuất khắc phục triệt để điểm yếu của việc xác thực bằng khóa chia sẻ trước (Pre-shared Key) vốn có tính bảo mật thấp. Nhờ việc tự chủ hoàn toàn mã nguồn trên hệ điều hành Linux, đơn vị có thể chủ động tùy biến các module an ninh, độc lập hoàn toàn với chu kỳ nâng cấp và hỗ trợ kỹ thuật tốn kém từ các tập đoàn công nghệ nước ngoài.

Đề xuất và khuyến nghị

Dựa trên kết quả nghiên cứu và thử nghiệm thực tế, đề tài đề xuất 4 nhóm giải pháp mang tính chiến lược và khả thi cao:

  1. Triển khai diện rộng mô hình thiết bị bảo mật tích hợp FVS (MultiSafe VPN Firewall) chạy trên nền tảng nhúng Linux cho 100% các đơn vị công an huyện, thị xã và các phòng ban trực thuộc. Chủ thể thực hiện là Đội Viễn thông và Tin học thuộc Công an tỉnh, với mục tiêu hoàn thành kết nối an toàn trong vòng 12 tháng.
  2. Thiết lập và ban hành quy chế vận hành trung tâm chứng thực khóa công khai CA nội bộ chuẩn X.509 v3. Ban Giám đốc Công an tỉnh cùng phòng Tham mưu chủ trì xây dựng chính sách cấp phát, thu hồi và quản lý vòng đời chứng chỉ số cho khoảng 150 máy trạm trọng yếu trong thời gian 6 tháng.
  3. Trang bị bắt buộc thiết bị phần cứng Smart Token SafeNet iKey 1032 cho tất cả cán bộ thực hiện nhiệm vụ truyền nhận thông tin nghiệp vụ tối mật. Phấn đấu đạt chỉ tiêu 100% điểm nút truyền tin nhạy cảm sử dụng xác thực hai yếu tố trong lộ trình 9 tháng.
  4. Tổ chức định kỳ các khóa huấn luyện chuyên sâu về an toàn thông tin và kỹ năng quản trị hệ thống mạng nguồn mở. Đơn vị phụ trách an ninh mạng chủ trì đào tạo tối thiểu 200 lượt cán bộ, chiến sĩ trong khung thời gian 18 tháng nhằm nâng cao nhận thức bảo mật và năng lực phòng chống tội phạm công nghệ cao.

Đối tượng nên tham khảo luận văn

Luận văn cung cấp nguồn tư liệu học thuật và hướng dẫn thực hành chuyên sâu cho 4 nhóm đối tượng cụ thể:

  1. Cán bộ kỹ thuật và chuyên viên công nghệ thông tin trong ngành công an và lực lượng vũ trang: Cung cấp bản thiết kế hệ thống hoàn chỉnh để xây dựng mạng truyền số liệu nội bộ an toàn tuyệt đối, đáp ứng các tiêu chuẩn khắt khe về bảo vệ bí mật nhà nước.
  2. Đội ngũ quản trị mạng tại các cơ quan hành chính nhà nước và doanh nghiệp vừa và nhỏ: Giúp nắm bắt quy trình triển khai giải pháp VPN và tường lửa nguồn mở chất lượng cao với chi phí đầu tư phần cứng tối ưu, tiết kiệm từ 50% đến 70% ngân sách so với mua sắm thiết bị chuyên dụng.
  3. Học viên cao học và sinh viên chuyên ngành An toàn thông tin, Mạng máy tính và Truyền thông: Nguồn tài liệu tham khảo giá trị về mật mã học ứng dụng, cơ chế hoạt động của driver TUN/TAP, giao thức bắt tay SSL/TLS và phương pháp phân tích gói tin qua Wireshark.
  4. Các kỹ sư phát triển giải pháp phần mềm bảo mật: Cung cấp mô hình kiến trúc tích hợp giữa phần mềm nguồn mở OpenVPN với phần cứng mật mã Smart Token thông qua các giao tiếp tiêu chuẩn PKCS#11 và MS-CAPI.

Câu hỏi thường gặp

Hệ thống OpenVPN có ưu điểm gì vượt trội so với IPsec VPN truyền thống?
OpenVPN vận hành linh hoạt tại tầng ứng dụng qua driver ảo TUN/TAP, dễ dàng vượt qua các cơ chế NAT và tường lửa mà chỉ cần mở 01 cổng giao tiếp duy nhất. Trong khi đó, IPsec can thiệp sâu vào nhân hệ điều hành, đòi hỏi mở nhiều giao thức phức tạp như ESP, AH, UDP 500 và UDP 4500, dẫn đến việc khó cấu hình và dễ phát sinh lỗ hổng bảo mật.

Khóa phần cứng SafeNet iKey 1032 nâng cao độ bảo mật cho hệ thống như thế nào?
SafeNet iKey 1032 triển khai cơ chế xác thực hai yếu tố dựa trên phần cứng chip thông minh. Thiết bị lưu trữ an toàn chứng chỉ số X.509 và khóa riêng tư RSA trong môi trường bảo vệ phần cứng, yêu cầu người dùng phải có cả thiết bị vật lý lẫn mã PIN cá nhân, triệt tiêu 100% nguy cơ rò rỉ khóa riêng qua mã độc máy tính.

Mô hình thiết bị an ninh tích hợp FVS giúp tối ưu hóa chi phí ra sao?
Thay vì đầu tư hàng tỷ đồng mua sắm thiết bị chuyên dụng của các hãng nước ngoài cùng chi phí duy trì bản quyền hàng năm, thiết bị FVS được xây dựng hoàn toàn trên hệ điều hành Linux nguồn mở. Giải pháp tận dụng tối đa phần cứng sẵn có, giảm thiểu trên 60% chi phí đầu tư ban đầu mà vẫn đảm bảo đầy đủ tính năng VPN, Firewall và quản lý truy cập.

Quá trình bắt tay 4 giai đoạn của OpenVPN bảo vệ dữ liệu trước tấn công Man-in-the-Middle như thế nào?
Tiến trình bắt tay sử dụng chứng chỉ số X.509 do CA nội bộ cấp phát để xác thực danh tính hai đầu cuối. Thuật toán Diffie-Hellman kết hợp chữ ký số RSA cho phép hai bên tự tính toán khóa phiên mã hóa chung mà không cần truyền khóa trực tiếp qua mạng, vô hiệu hóa hoàn toàn nguy cơ đánh cắp khóa từ kẻ tấn công đứng giữa.

Hệ thống VPN nguồn mở này có khả năng mở rộng trong tương lai không?
Kiến trúc mã nguồn mở cho phép hệ thống mở rộng linh hoạt theo cả chiều ngang và chiều dọc. Đơn vị có thể dễ dàng nhúng thêm các module phát hiện và ngăn chặn xâm nhập trái phép như IDS/IPS Snort, nâng cấp thuật toán mã hóa lên chuẩn lượng tử hoặc tăng dung lượng hỗ trợ hàng nghìn client kết nối mà không bị giới hạn bởi giấy phép phần mềm độc quyền.

Kết luận

  • Đề tài đã xây dựng thành công giải pháp mạng riêng ảo nguồn mở OpenVPN tích hợp công nghệ xác thực hai yếu tố SafeNet iKey 1032, bảo đảm tính bí mật, xác thực và toàn vẹn cho 100% dữ liệu truyền tải tại Công an tỉnh Hậu Giang.
  • Ứng dụng xuất sắc hạ tầng khóa công khai PKI và chuẩn chứng chỉ số X.509 v3, giải quyết triệt để bài toán định danh máy trạm và phòng chống hiệu quả các cuộc tấn công nghe lén, giả mạo và tấn công từ giữa.
  • Đề xuất kiến trúc thiết bị an ninh tích hợp FVS chạy trên hệ điều hành Linux nhúng, giúp đơn vị làm chủ hoàn toàn công nghệ, tự do tùy biến tính năng bảo mật và tiết kiệm hơn 60% kinh phí so với việc nhập khẩu thiết bị nước ngoài.
  • Thử nghiệm thực tế chứng minh hệ thống hoạt động ổn định với độ trễ tối thiểu, hỗ trợ kết nối an toàn thông suốt giữa Trung tâm chỉ huy với trên 30 phòng ban và 7 công an huyện, thị xã.
  • Tạo tiền đề kỹ thuật vững chắc để tiếp tục mở rộng tích hợp hệ thống tường lửa thế hệ mới và mô hình IDS/IPS trong lộ trình 18 tháng tiếp theo.

Các tổ chức, đơn vị lực lượng vũ trang và doanh nghiệp cần nhanh chóng nghiên cứu, tiếp cận và ứng dụng các giải pháp bảo mật nguồn mở tự chủ nhằm bảo vệ vững chắc chủ quyền không gian mạng quốc gia trong kỷ nguyên số.