Tổng quan luận án

Tính cấp thiết và khoảng trống nghiên cứu

Mạng truyền số liệu đa dịch vụ đóng vai trò hạ tầng kết nối tốc độ cao cho các hoạt động kinh tế, xã hội, quốc phòng và an ninh. Xu hướng phát triển chung của các mạng viễn thông hiện đại là hội tụ nhiều loại hình thông tin (truyền hình hội nghị, mạng riêng ảo truy nhập từ xa IP-VPN, thoại IP, truyền dữ liệu) trên cùng một nền tảng mạng dùng chung công nghệ chuyển mạch nhãn đa giao thức IP/MPLS với đường truyền cáp quang tốc độ 100/1000 Mbps hoạt động liên tục 24/7. Cùng với sự mở rộng quy mô mạng, các nguy cơ mất an toàn thông tin xuất hiện ngày càng phức tạp tại các phân lớp mạng (lớp lõi, lớp biên và lớp truy nhập), đe dọa trực tiếp đến an ninh dữ liệu của các cơ quan Đảng, Nhà nước và Quân đội.

Để bảo vệ luồng dữ liệu, bộ giao thức bảo mật IPSec tại tầng mạng (IP layer) được lựa chọn nhờ khả năng bảo vệ trong suốt với các ứng dụng người dùng, không đòi hỏi sửa đổi cấu trúc phần mềm hiện hữu và giảm thiểu số điểm can thiệp bảo mật tại các cổng kết nối (gateway). Tuy nhiên, khi triển khai trên mạng tốc độ cao phục vụ nhiều kết nối đồng thời trong thời gian thực, IPSec bộc lộ hai điểm nghẽn kỹ thuật làm suy giảm băng thông và gia tăng độ trễ:

  1. Giai đoạn thiết lập liên kết an ninh và thỏa thuận khóa trong giao thức IKE sử dụng lược đồ Diffie-Hellman với các tham số RSA độ dài 1024 bit hoặc 2048 bit, đòi hỏi khối lượng tính toán lớn và tài nguyên xử lý cao.
  2. Giai đoạn mã hóa và giải mã dữ liệu của giao thức ESP sử dụng chuẩn mã khối AES với cấu trúc mạng thay thế - hoán vị (SPN), trong đó tầng phân tán tuyến tính dùng ma trận MDS tiêu tốn nhiều tài nguyên phần cứng và làm tăng trễ xử lý.

Các nghiên cứu trước đây tại Việt Nam và trên thế giới chủ yếu tập trung vào việc thực thi giao thức trên nền tảng phần mềm, dẫn đến hiện tượng nghẽn cổ chai khi lưu lượng mạng tăng cao, hoặc dừng lại ở việc áp dụng nguyên bản các thuật toán mã hóa tiêu chuẩn trên phần cứng mà chưa đi sâu tối ưu hóa cấu trúc toán học của các nguyên thủy mật mã. Do đó, yêu cầu nghiên cứu cải tiến thuật toán mật mã kết hợp công nghệ vi mạch khả trình để nâng cao tốc độ tính toán và tiết kiệm tài nguyên phần cứng là một đòi hỏi cấp bách.

Mục tiêu nghiên cứu

Luận án xác định mục tiêu tổng quát là nghiên cứu đề xuất các giải pháp kỹ thuật cụ thể nhằm nâng cao hiệu quả thực hiện các thuật toán mật mã, bảo đảm tốc độ tính toán, tối ưu tài nguyên phần cứng, đáp ứng yêu cầu an toàn thông tin trên mạng truyền số liệu đa dịch vụ. Các mục tiêu cụ thể gồm:

  1. Nghiên cứu ứng dụng hệ mật mã đường cong elliptic (ECC) vào giao thức trao đổi khóa của IPSec; tối ưu hóa thuật toán nhân điểm trên đường cong elliptic trên trường hữu hạn $GF(2^m)$ nhằm rút ngắn thời gian thiết lập khóa.
  2. Xây dựng mô hình toán học và công thức giải tích xác định số xung nhịp máy trung bình cho phép cộng hai số nguyên lớn trên phần cứng, làm công cụ định lượng đánh giá hiệu năng các giải pháp mật mã.
  3. Đề xuất ma trận MDS mới cho tầng tuyến tính của các mã khối cấu trúc SPN (dạng AES) nhằm giảm thiểu cổng logic, tối ưu hóa tài nguyên phần cứng và tăng thông lượng mã hóa dữ liệu.
  4. Thiết kế, mô phỏng và kiểm chứng các giải pháp mật mã đề xuất bằng phương pháp cứng hóa trên chip khả trình FPGA.

Câu hỏi và giả thuyết nghiên cứu

Luận án giải quyết ba câu hỏi nghiên cứu chính:

  1. Làm thế nào để giảm thời gian thực hiện phép nhân điểm vô hướng trong hệ mật đường cong elliptic phục vụ giao thức trao đổi khóa mà không làm suy giảm mức độ an toàn so với hệ mật RSA truyền thống?
  2. Có thể xây dựng một công thức giải tích thống kê chính xác để định lượng số chu kỳ xung nhịp thực thi phép cộng số nguyên trên mạch số làm cơ sở đánh giá thuật toán nhân số lớn hay không?
  3. Cấu trúc ma trận MDS nào cho tầng phân tán tuyến tính của mã khối SPN có thể tối ưu hóa số phép toán logic XOR trên phần cứng trong khi vẫn bảo đảm đầy đủ các tiêu chuẩn an toàn mật mã?

Giả thuyết nghiên cứu của luận án là: Việc kết hợp thuật toán biểu diễn số nguyên dạng không liền kề (NAF) tính toán trực tiếp với thiết kế phần cứng chuyên dụng trên FPGA sẽ tăng tốc độ trao đổi khóa ECDH; đồng thời, việc thay thế ma trận MDS tuần hoàn trong chuẩn AES bằng ma trận MDS tối ưu phần cứng sẽ giảm số lượng phần tử logic và nâng cao tốc độ xử lý gói tin của giao thức IPSec.

Đối tượng và phạm vi nghiên cứu

  • Đối tượng nghiên cứu: Mạng truyền số liệu đa dịch vụ sử dụng trong các cơ quan Đảng, Chính phủ, Quân đội; các giải pháp bảo mật tại tầng mạng (IPSec); các kỹ thuật mật mã hiện đại gồm mật mã khóa công khai trên đường cong elliptic, hệ mã khối đối xứng cấu trúc SPN và công nghệ phần cứng vi mạch khả trình FPGA.
  • Phạm vi nghiên cứu:
    • Tập trung vào phép nhân vô hướng điểm trên đường cong elliptic thuộc trường hữu hạn $GF(2^m)$ phục vụ giao thức trao đổi khóa IKEv2 của bộ giao thức IPSec.
    • Nghiên cứu cải tiến tầng biến đổi tuyến tính (ma trận MDS kích thước 4x4) trong mã khối cấu trúc SPN dạng AES áp dụng cho giao thức đóng gói dữ liệu an toàn ESP.
    • Thực nghiệm cứng hóa và kiểm chứng trên nền tảng kit FPGA Zynq-7000 của hãng Xilinx tại lớp truy nhập của mô hình mạng.

Tổng quan tài liệu và vị trí của luận án

Các hướng nghiên cứu đã công bố

Luận án tiến hành khảo sát có hệ thống các công trình nghiên cứu trong nước và quốc tế liên quan đến bảo mật mạng truyền số liệu, hệ mật đường cong elliptic và công nghệ cứng hóa mật mã:

Hướng nghiên cứu Tác giả, công trình và thời gian Kết quả và phương pháp thực hiện
Cứng hóa giao thức IPSec trên FPGA A. Wu, Yun Niu, X. Zhang (2013) Triển khai giao thức IPSec trên nền công nghệ FPGA; sử dụng chuẩn AES cho giao thức ESP và giao thức Diffie-Hellman với khóa RSA 1024 bit, 2048 bit cho IKEv2.
Tối ưu hóa chuẩn mã hóa AES trên FPGA Kaur A., Bhardwaj P., Naveen Kumar (2014); Ashwini R. Tonde, Akshay P. Dhande (2014) Cải thiện hiệu năng xử lý của thuật toán AES trên vi mạch FPGA bằng kỹ thuật xử lý đường ống (pipelining).
Khảo sát kỹ thuật tối ưu phần cứng mật mã Shylashree N., Nagarjun Bhat, V. Shridhar (2012) Phân tích các giải pháp phân chia giai đoạn xử lý trên phần cứng nhằm nâng cao thông lượng của thuật toán mã hóa dữ liệu.
Hiệu năng bảo mật phần mềm và phần cứng Mohd Nazri Ismail Thử nghiệm so sánh hiệu năng mạng riêng ảo: phần mềm OpenVPN làm băng thông giảm 1000 lần và độ trễ tăng 10 lần so với thiết bị phần cứng NetScreen.
Lý thuyết nhân điểm đường cong elliptic Darrel Hankerson, Alfred Menezes, Scott Vanstone (2004); Praful Kumar Singh, Mrityunjay Kumar Choudhary (2013) Đánh giá lý thuyết các giải pháp nhân điểm: phương pháp nhị phân và phương pháp triển khai số nguyên dạng NAF.
Cứng hóa phép nhân điểm ECC Moncef Amara, Amar Siad (2011); Sandeeps, Hameen Shanavas I. (2012) Thiết kế mạch chuyên dụng thực thi phép nhân điểm ECC trên phần cứng nhằm rút ngắn thời gian tính toán.
Nghiên cứu ứng dụng mật mã trong nước Ban Cơ yếu Chính phủ; Viện Điện tử thuộc Viện Khoa học và Công nghệ Quân sự Phát triển thiết bị bảo mật chuyên dụng chuẩn IPSec đạt tốc độ 30 Mb/s (lớp truy nhập) và 80 Mb/s (lớp trung tâm); nghiên cứu thiết kế thiết bị mật mã hiệu năng cao.

Khoảng trống luận án lựa chọn giải quyết

Qua phân tích các công bố khoa học, tác giả chỉ ra các khoảng trống nghiên cứu:

  • Các giải pháp phần cứng IPSec của các tác giả quốc tế (như công trình của A. Wu cùng cộng sự) vẫn duy trì tham số RSA 1024/2048 bit trong trao đổi khóa IKEv2, dẫn đến kích thước khóa lớn và chiếm dụng nhiều tài nguyên tính toán.
  • Đa số các công trình cứng hóa AES chỉ tập trung vào tối ưu kiến trúc phần cứng (dùng kỹ thuật đường ống, xử lý song song) trên thuật toán nguyên bản, chưa can thiệp sâu vào cấu trúc toán học của các thành phần mật mã như ma trận phân tán tuyến tính MDS để giảm độ phức tạp tính toán logic.
  • Các công trình trong nước đã chế tạo được thiết bị mã hóa mạng nhưng tốc độ xử lý còn giới hạn (30 - 80 Mb/s), chưa công bố các giải pháp cải tiến thuật toán và tối ưu hóa ở mức vi kiến trúc phần cứng chuyên dụng.
  • Luận án lựa chọn giải quyết khoảng trống: Tối ưu hóa cấu trúc toán học của cả hai khâu trọng yếu trong IPSec (nhân điểm ECC trong trao đổi khóa và ma trận MDS trong mã hóa dữ liệu) đồng thời hiện thực hóa bằng kiến trúc vi mạch trên FPGA.

Cơ sở lý thuyết và phương pháp nghiên cứu

Khung lý thuyết và khái niệm áp dụng

Luận án vận dụng các tiêu chuẩn và lý thuyết nền tảng sau:

  • Tiêu chuẩn an ninh mạng: Mô hình tương tác giữa các hệ thống mở OSI theo chuẩn ISO 7498 và kiến trúc an ninh mạng ISO 7498-2. Hệ thống bao gồm 6 dịch vụ an ninh cơ bản: xác thực, kiểm soát truy nhập, an toàn dữ liệu, toàn vẹn dữ liệu, chống chối bỏ và tính sẵn sàng. Các cơ chế an ninh mật mã gồm: cơ chế mã hóa, chữ ký điện tử, kiểm soát truy nhập, toàn vẹn dữ liệu, trao đổi xác thực, đệm truyền thông, kiểm soát chọn đường và kiểm chứng.
  • Hệ mật mã đường cong elliptic (ECC): Được Neal Koblitz và Victor Miller đề xuất độc lập năm 1985. Độ an toàn của ECC dựa trên độ phức tạp của bài toán logarit rời rạc trên nhóm các điểm của đường cong elliptic (ECDLP). Điểm vượt trội của ECC là khả năng cung cấp mức độ an toàn tương đương RSA nhưng với độ dài khóa ngắn hơn đáng kể, phù hợp cho triển khai trên phần cứng:
Mức độ an toàn / Thời gian tấn công vét cạn (năm) Kích thước khóa RSA/DLP (bit) Kích thước khóa ECC (bit) Tỉ lệ kích thước khóa RSA : ECC
$10^4$ 512 106 5 : 1
$10^8$ 768 132 6 : 1
$10^{11}$ 1024 160 7 : 1
$10^{20}$ 2048 224 10 : 1
$10^{78}$ 21000 600 35 : 1
  • Giao thức trao đổi khóa ECDH: Giao thức Diffie-Hellman trên đường cong elliptic với bộ tham số miền 5 thành phần $(a, b, m, G, n)$. Quá trình tính toán khóa bí mật chung $Q_{AB} = K_A \cdot Q_B = K_B \cdot Q_A = K_A \cdot K_B \cdot G$ đòi hỏi thực hiện lặp lại phép nhân điểm $k \cdot P$ thông qua các phép cộng điểm (ECADD) và nhân đôi điểm (ECDBL).
  • Lý thuyết mã khối cấu trúc SPN: Cấu trúc mạng thay thế - hoán vị gồm các tầng: thế phi tuyến (S-box), phân tán tuyến tính sử dụng ma trận khoảng cách cực đại (MDS - Maximum Distance Separable) và cộng khóa vòng. Chuẩn mã hóa dữ liệu AES làm việc ở chế độ xích khối mã (CBC) với ma trận vòng MDS $Cir(2, 3, 1, 1)$ định nghĩa trên trường mở rộng $GF(2^8)$.

Phương pháp nghiên cứu

Nghiên cứu kết hợp chặt chẽ giữa phân tích định lượng lý thuyết và thực nghiệm phần cứng:

  • Phân tích toán học và thống kê: Thiết lập mô hình xác suất của sự xuất hiện bit nhớ trong mạch cộng hai số nguyên; thiết lập hàm phân phối xác suất và giải tích chu kỳ xung nhịp máy trung bình.
  • Phân tích đại số trừu tượng: Khảo sát các đa thức nguyên thủy bậc 8 trên trường $GF(2)$ và tính chất phân tán của các ma trận tuần hoàn cấp 4x4; xác định số điểm bất động của các ánh xạ tuyến tính.
  • Phương pháp thực nghiệm vi điện tử: Sử dụng ngôn ngữ mô tả phần cứng VHDL để thiết kế các khối chức năng mật mã; thực hiện tổng hợp mạch, tối ưu hóa mức thanh ghi (RTL), mô phỏng chức năng và đo kiểm thời gian thực thi trên chip FPGA.

Nguồn tư liệu và dữ liệu thực nghiệm

  • Tài liệu quy chuẩn kỹ thuật: Các khuyến nghị chuẩn hóa từ ANSI, IEEE, ISO, NIST và các bản đặc tả kỹ thuật RFC của IETF liên quan đến IPSec (RFC 1826, RFC 1827, RFC 2402, RFC 2406, RFC 2828, RFC 5996).
  • Môi trường phần cứng thực nghiệm: Nền tảng kit đánh giá ZC702/ZC706 của hãng Xilinx trang bị chip SoC Zynq-7000 (mã hiệu XC7Z045-2FFG900C), tích hợp bộ xử lý kép lõi ARM Cortex-A9 và phần cứng logic khả trình liên kết qua bus hệ thống tốc độ cao AXI.

Nội dung chính theo từng chương

Chương 1: Tổng quan về an toàn và bảo mật trong mạng truyền số liệu đa dịch vụ

Chương 1 hệ thống hóa cơ sở kỹ thuật của mạng truyền số liệu đa dịch vụ trên nền tảng công nghệ IP/MPLS, phân tích cấu trúc mạng phân cấp gồm 3 lớp: lớp lõi (Core), lớp biên (Edge/PE) và lớp truy nhập (Access). Luận án làm rõ vai trò của việc can thiệp bảo mật tại tầng IP (Layer 3) trong mô hình TCP/IP:

  • Ưu điểm bảo mật tầng IP: Bảo vệ đồng nhất dữ liệu của tất cả các ứng dụng phía trên (Web, FTP, Mail, thoại IP VoIP, truyền hình); trong suốt đối với người dùng cuối; không đòi hỏi cấu hình hay sửa đổi các phần mềm máy trạm; cho phép tạo cổng an toàn tập trung (Security Gateway), hạn chế số điểm cần quản trị và nâng cao năng lực kiểm soát của tường lửa trước các hình thức tấn công giả mạo địa chỉ IP, soi gói hoặc chiếm đoạt phiên kết nối.
  • Phân tích kiến trúc IPSec: Luận án trình bày chi tiết hai giao thức đóng gói chính gồm AH (Authentication Header - RFC 2402) cung cấp dịch vụ toàn vẹn dữ liệu, xác thực nguồn gốc không kèm mã hóa, và ESP (Encapsulating Security Payload - RFC 2406) cung cấp đồng thời bảo mật, toàn vẹn dữ liệu và chống phát lặp lại ở chế độ xích khối mã CBC.
  • Cơ chế trao đổi khóa IKEv2: Phân tích quy trình thiết lập liên kết an ninh (SA) qua hai pha. Luận án chỉ ra điểm hạn chế cốt lõi của IKEv2 hiện hành là việc sử dụng giao thức thỏa thuận khóa Diffie-Hellman với các tham số nhóm RSA 1024 bit và 2048 bit làm tăng thời gian tính toán và tiêu tốn bộ nhớ.
  • Đánh giá giải pháp công nghệ: Đối chiếu giữa giải pháp phần mềm và giải pháp phần cứng. Phân tích số liệu thực nghiệm của Mohd Nazri Ismail khẳng định giải pháp phần mềm gây suy giảm nghiêm trọng thông lượng mạng. Từ đó, tác giả luận chứng tính ưu việt của công nghệ vi mạch khả trình FPGA: tốc độ tính toán cao, khả năng xử lý song song, tính linh hoạt trong việc cấu hình và nâng cấp thuật toán mật mã mà không cần thay đổi phần cứng, bảo đảm khả năng làm chủ công nghệ và an toàn thông tin quân sự.

Chương 2: Nâng cao hiệu quả thực hiện phép nhân điểm của ECC cho giao thức trao đổi khóa

Nội dung chương 2 tập trung giải quyết bài toán nâng cao tốc độ tính toán phép nhân điểm vô hướng $k \cdot P$ trong hệ mật đường cong elliptic trên trường đặc trưng hai $GF(2^m)$, thành phần cốt lõi của giao thức trao đổi khóa ECDH:

  • Phân tích các thuật toán nhân điểm: Thuật toán nhân đôi và cộng nhị phân truyền thống đòi hỏi $l-1$ phép nhân đôi điểm (ECDBL) và $w-1$ phép cộng điểm (ECADD), với $l$ là chiều dài chuỗi bit và $w$ là trọng số Hamming (số bit 1) của số nguyên $k$. Thuật toán khai triển số nguyên theo dạng không liền kề thông thường (NAF) giúp giảm số lượng phép cộng điểm xuống còn $2(w-1)/3$. Tuy nhiên, phương pháp NAF thông thường đòi hỏi lưu trữ các kết quả trung gian, gây lãng phí tài nguyên bộ nhớ trên phần cứng.
  • Đề xuất thuật toán NAF tính toán trực tiếp: Tác giả đề xuất và thiết kế thuật toán NAF tính toán trực tiếp (Direct NAF), cho phép tính toán các hệ số có dấu $(-1, 0, 1)$ trực tiếp trong quá trình nhân điểm mà không cần lưu trữ mảng biểu diễn NAF trong bộ nhớ tạm, giúp giảm chu kỳ máy và diện tích vi mạch.
  • Xây dựng công thức tính chu kỳ xung nhịp trung bình: Bằng phương pháp thống kê toán học, tác giả nghiên cứu quá trình truyền bit nhớ trong mạch cộng hai số nguyên $k$ bit trên phần cứng. Thiết lập hàm phân phối xác suất của biến ngẫu nhiên $F(k)$ đại diện cho chiều dài chuỗi truyền bit nhớ cực đại. Từ đó xây dựng thành công công thức giải tích tính số xung nhịp máy trung bình $AAF(k)$ và $AAF(k, M)$ khi cộng hai số nguyên trên phần cứng. Kết quả tính toán giải tích đồ thị các hàm $AAF(k, 10^7)$, $AAF(k, 10^7)^+$, $\log_2(k)$ và $\log_2(k)+1$ trên khoảng giá trị $[1, 10^9]$ cung cấp công cụ toán học chính xác để đánh giá hiệu năng các bộ nhân số lớn trong mật mã học.
  • Thiết kế phần cứng và kết quả cứng hóa trên FPGA: Tác giả thiết kế hoàn chỉnh kiến trúc vi mạch phép nhân điểm ECC trên trường $GF(2^m)$ gồm các phân hệ chuyên dụng: khối nhân đan xen (Interleaved Multiplier), khối tính nghịch đảo/chia, khối bình phương và các khối logic ECADD, ECDBL. Mạch được tích hợp thành lõi IP (ECC Core) kết nối trực tiếp với bộ xử lý ARM Cortex-A9 trên chip Xilinx Zynq-7000 XC7Z045. Kết quả thực nghiệm đo kiểm cho thấy thuật toán NAF tính toán trực tiếp mang lại ưu thế rõ rệt về thời gian thực thi và tài nguyên phần cứng so với phương pháp nhị phân và NAF thông thường.

Chương 3: Nâng cao hiệu quả thực hiện thuật toán mã hóa dữ liệu trong bảo mật mạng truyền số liệu

Chương 3 giải quyết bài toán nâng cao hiệu năng của thuật toán mã hóa khối trong giao thức ESP khi thực hiện trên vi mạch phần cứng:

  • Tiêu chí đánh giá tầng phân tán tuyến tính: Phân tích cấu trúc mã khối SPN chuẩn AES. Tầng biến đổi phân tán tuyến tính đóng vai trò tạo hiệu ứng lan tỏa (diffusion), được xác định bởi ma trận phân tách có khoảng cách cực đại MDS cấp 4x4. Ma trận MDS đạt số nhánh tối đa (Branch Number bằng 5), bảo đảm khả năng chống lại các phương pháp thám mã vi sai và thám mã tuyến tính.
  • Hạn chế của ma trận AES chuẩn: Ma trận vòng chuẩn $Cir(2, 3, 1, 1)$ trong AES sử dụng các hệ số nhân 2 và 3 trên trường $GF(2^8)$ với đa thức tối thiểu $f(x) = x^8 + x^4 + x^3 + x + 1$. Khi triển khai trên phần cứng, phép nhân với 2 và 3 đòi hỏi các cổng dịch bit và nhiều tầng cổng logic XOR, làm tăng diện tích mạch và độ trễ lan truyền tín hiệu.
  • Đề xuất ma trận MDS mới: Tác giả khảo sát danh mục các đa thức nguyên thủy bậc 8 trên $GF(2)$ (như $x^8 + x^7 + x^6 + x + 1$, $x^8 + x^5 + x^3 + x + 1$) và đề xuất sử dụng ma trận MDS dạng vòng mới ký hiệu $Cir(1, 9, 4, 2)$ cho tầng tuyến tính.
  • Đánh giá đặc tính mật mã và phân tích cài đặt: Phân tích toán học khẳng định ma trận đề xuất $Cir(1, 9, 4, 2)$ duy trì khoảng cách nhánh cực đại bằng 5, bảo đảm độ an toàn mật mã tương đương ma trận chuẩn của AES. Tác giả thực hiện phân tích số lượng điểm bất động của tầng tuyến tính để chứng minh ma trận mới không tạo ra các điểm yếu đại số. Về mặt phần cứng, cấu trúc các hệ số $(1, 9, 4, 2)$ tối ưu hóa số phép cộng modulo 2, giảm thiểu đáng kể số lượng cổng XOR cần dùng.
  • Kết quả thực nghiệm trên FPGA: Tác giả tiến hành cài đặt đối chứng trên cùng chip FPGA Xilinx giữa thuật toán AES chuẩn và thuật toán AES tích hợp ma trận MDS đề xuất. Kết quả tổng hợp mạch và mô phỏng thực tế chứng minh ma trận $Cir(1, 9, 4, 2)$ giảm tiêu thụ tài nguyên phần tử logic (Logic Cell / Slices / LUTs) và nâng cao thông lượng mã hóa tổng thể.

Kết quả và những đóng góp mới

Đóng góp mới về mặt lý luận khoa học

  1. Mô hình toán học xác định số chu kỳ xung nhịp trung bình: Xây dựng thành công công thức giải tích tính toán số xung nhịp máy trung bình $AAF(k)$ và $AAF(k, M)$ để thực hiện phép cộng hai số nguyên lớn dựa trên phân phối xác suất của đại lượng chiều dài chuỗi truyền bit nhớ $F(k)$. Đây là đóng góp lý thuyết có giá trị định lượng, giải quyết bài toán đánh giá hiệu năng các thuật toán số học lớn trong mật mã học mà trước đó chưa có công thức giải tích hoàn chỉnh.
  2. Phương pháp nhân điểm NAF tính toán trực tiếp: Hoàn thiện giải pháp nhân điểm vô hướng trên đường cong elliptic $GF(2^m)$ bằng thuật toán NAF trực tiếp, loại bỏ hoàn toàn nhu cầu lưu trữ bảng dữ liệu trung gian, tối ưu hóa biểu diễn số nguyên có dấu phục vụ cài đặt phần cứng.
  3. Thiết kế ma trận MDS tối ưu phần cứng: Đề xuất ma trận phân tán tuyến tính mới $Cir(1, 9, 4, 2)$ cho các hệ mã khối cấu trúc SPN; chứng minh toán học về tính chất khoảng cách cực đại (số nhánh bằng 5) và chứng minh sự suy giảm số lượng điểm bất động, xác lập cơ sở đại số cho các thuật toán mã hóa đối xứng hiệu năng cao.

Đóng góp mới về mặt thực tiễn và ứng dụng

  1. Thiết kế thành công lõi phần cứng mật mã ECC trên FPGA: Cứng hóa hoàn chỉnh bộ nhân điểm vô hướng ECC trên trường $GF(2^m)$ tích hợp trên chip Xilinx Zynq-7000 XC7Z045. Lõi IP giao tiếp hiệu quả với bộ xử lý ARM Cortex-A9 qua bus hệ thống, giúp giảm thời gian tính toán trao đổi khóa trong giao thức IKEv2 của IPSec.
  2. Nâng cao hiệu năng bộ mã hóa khối AES: Thực nghiệm cài đặt thành công thuật toán mã hóa dữ liệu với ma trận MDS đề xuất trên chip FPGA, chứng minh tính vượt trội về tiết kiệm tài nguyên logic và tăng tần số làm việc của mạch so với thuật toán AES nguyên bản.
  3. Cung cấp giải pháp kỹ thuật cho thiết bị bảo mật chuyên dụng: Kết quả nghiên cứu tạo tiền đề kỹ thuật trực tiếp để làm chủ công nghệ thiết kế, chế tạo các thiết bị bảo mật mạng tốc độ cao tại lớp truy nhập của mạng truyền số liệu quân sự và cơ yếu, khắc phục sự phụ thuộc vào các thiết bị mạng thương mại nước ngoài.

Kiến nghị và giải pháp đề xuất

  • Đề xuất tích hợp đồng bộ lõi cứng hóa ECC (cho giao thức trao đổi khóa IKEv2) và lõi mã khối SPN cải tiến (cho giao thức mã hóa dữ liệu ESP) vào cùng một hệ thống vi mạch trên chip (SoC) để chế tạo thiết bị Security Gateway chuyên dụng.
  • Khuyến nghị ứng dụng kết quả nghiên cứu vào việc hiện đại hóa các thiết bị mã hóa tại lớp truy nhập của mạng thông tin cơ quan Đảng, Chính phủ và Bộ Quốc phòng nhằm đáp ứng yêu cầu truyền tải đa dịch vụ thời gian thực.

Hạn chế và hướng nghiên cứu tiếp

Hạn chế của luận án

Căn cứ vào nội dung và phạm vi nghiên cứu được công bố trong văn bản, luận án còn một số điểm giới hạn:

  • Nghiên cứu tập trung giải quyết bài toán ở mức giải thuật mật mã và vi kiến trúc phần cứng cho hai nguyên thủy cốt lõi (phép nhân điểm trong trao đổi khóa và tầng tuyến tính của mã khối), chưa đi vào xây dựng trọn vẹn toàn bộ ngăn xếp giao thức IPSec đầy đủ trên phần cứng.
  • Nền tảng thực nghiệm phần cứng được giới hạn thực hiện trên dòng chip FPGA Xilinx Zynq-7000 (XC7Z045-2FFG900C) và kit ZC702/ZC706; chưa mở rộng đánh giá thực nghiệm trên các công nghệ vi mạch chuyên dụng ASIC.
  • Các khảo sát đại số đối với ma trận MDS mới được triển khai tập trung trên trường hữu hạn $GF(2^8)$ phục vụ các mã pháp khối độ dài 128 bit; chưa mở rộng phân tích trên các trường kích thước lớn hơn.

Hướng nghiên cứu tiếp theo

Văn bản luận án định hướng các nội dung cần tiếp tục phát triển:

  • Hoàn thiện mô hình cứng hóa toàn diện toàn bộ bộ giao thức IPSec trên phần cứng FPGA, tích hợp đồng bộ các cơ chế xác thực, quản lý liên kết an ninh SA và xử lý gói tin tốc độ dây.
  • Đẩy mạnh nghiên cứu và thử nghiệm chuyên dụng hóa thiết bị bảo mật mật mã cho mạng truyền số liệu chuyên dùng, phục vụ các nhiệm vụ trọng yếu trong an ninh quốc phòng.
  • Mở rộng các phương pháp phân tích, kiểm thử tính an toàn của các nguyên thủy mật mã đề xuất trước các dạng tấn công kênh kề (Side-Channel Attacks) khi thực thi trên phần cứng vật lý.

Giá trị tham khảo

Đối tượng thụ hưởng

Kết quả của luận án mang lại giá trị tham khảo chuyên môn cho các nhóm đối tượng:

  • Nghiên cứu sinh, học viên cao học và giảng viên: Chuyên ngành Kỹ thuật điện tử, Kỹ thuật mật mã, Khoa học máy tính và An toàn thông tin; đặc biệt là các hướng nghiên cứu về mật mã phần cứng, kiến trúc vi mạch số và an ninh mạng viễn thông.
  • Kỹ sư thiết kế hệ thống nhúng và vi mạch: Các kỹ sư làm việc với công nghệ FPGA/ASIC trong việc thiết kế các bộ đồng xử lý mật mã (Crypto Co-processors) hiệu năng cao.
  • Cán bộ quản trị mạng và hoạch định chính sách an toàn thông tin: Các chuyên gia thuộc Cục Cơ yếu, Ban Cơ yếu Chính phủ và các cơ quan an ninh mạng quân sự cần tài liệu tham chiếu để nâng cấp hạ tầng mạng bảo mật IP/MPLS.

Các nội dung trọng tâm đáng tham khảo

  • Phương pháp xây dựng công thức giải tích $AAF(k)$ (Chương 2): Cung cấp cách tiếp cận giải tích toán học kết hợp kỹ thuật điện tử để lượng hóa số chu kỳ máy của các phép toán số học lớn trên phần cứng.
  • Kiến trúc phần cứng của lõi nhân điểm ECC trên $GF(2^m)$ (Chương 2): Sơ đồ khối chi tiết và nguyên lý hoạt động của các phân hệ nhân đan xen, chia/nghịch đảo và bình phương liên kết với bộ xử lý ARM.
  • Quy trình thiết kế và đánh giá ma trận MDS tối ưu (Chương 3): Phương pháp toán học trong việc khảo sát các đa thức nguyên thủy và kỹ thuật tối ưu hóa số lượng cổng logic XOR cho các mã khối cấu trúc SPN.

Câu hỏi thường gặp

1. Tại sao luận án lại chọn bảo mật tại tầng IP (IP layer) thay vì tầng ứng dụng hay tầng truy nhập mạng?

Theo phân tích kiến trúc an ninh trong Chương 1, bảo mật tại tầng IP (giao thức IPSec) cho phép bảo vệ đồng thời và trong suốt tất cả các dịch vụ mạng (Web, Mail, FTP, VoIP, hội nghị truyền hình) mà không cần chỉnh sửa ứng dụng hiện có. So với tầng truy nhập mạng đòi hỏi mã hóa theo từng chặng và phải giải mã tại các nút trung gian gây trễ lớn, bảo mật tại tầng IP thực hiện mã hóa mút - tới - mút, giữ nguyên phần đầu định tuyến và giảm thiểu tối đa số đầu mối can thiệp an ninh trong mạng nội bộ thông qua các cổng Gateway tập trung.

2. Ưu thế chính của việc thay thế RSA bằng mật mã đường cong elliptic (ECC) trong giao thức IKE là gì?

Văn bản chỉ ra rằng để đạt cùng mức độ an toàn mật mã, khóa của hệ mật ECC ngắn hơn rất nhiều so với RSA. Cụ thể, mức an toàn tương đương thời gian tấn công vét cạn $10^{20}$ năm đòi hỏi khóa RSA có độ dài lên tới 2048 bit, trong khi ECC chỉ cần kích thước khóa 224 bit (tỉ lệ thu gọn 10:1). Kích thước khóa nhỏ giúp giảm tài nguyên bộ nhớ lưu trữ, giảm độ phức tạp tính toán và tăng tốc độ xử lý khi thiết bị phải duy trì nhiều đường hầm bảo mật đồng thời.

3. Thuật toán nhân điểm NAF tính toán trực tiếp có điểm gì khác biệt so với NAF thông thường?

Thuật toán NAF thông thường tuy giảm được số phép cộng điểm từ $w-1$ xuống $2(w-1)/3$ nhưng đòi hỏi phải tính toán và lưu trữ trước toàn bộ chuỗi biểu diễn nhị phân có dấu của số nguyên $k$ vào bộ nhớ tạm. Thuật toán NAF tính toán trực tiếp do luận án nghiên cứu cho phép tính toán các hệ số NAF trực tiếp trong quá trình nhân đôi và cộng điểm, giúp tiết kiệm triệt để tài nguyên bộ nhớ phần cứng và rút ngắn số chu kỳ xung nhịp thực thi trên vi mạch FPGA.

4. Ma trận MDS mới $Cir(1, 9, 4, 2)$ đề xuất trong Chương 3 mang lại lợi ích cụ thể nào so với ma trận chuẩn AES?

Ma trận đề xuất $Cir(1, 9, 4, 2)$ hoạt động trên trường $GF(2^8)$ vẫn duy trì khoảng cách nhánh bằng 5 (đảm bảo độ an toàn mật mã tương đương chuẩn AES) và có số lượng điểm bất động thấp. Về mặt phần cứng, cấu trúc các hệ số $(1, 9, 4, 2)$ giúp đơn giản hóa mạch logic, giảm số lượng phép cộng XOR cần thực hiện khi nhân ma trận với vectơ trạng thái, từ đó giảm diện tích chiếm dụng tài nguyên (Logic Cells / LUTs) và nâng cao tốc độ tính toán của tầng tuyến tính.

5. Luận án sử dụng nền tảng phần cứng cụ thể nào để kiểm chứng thực nghiệm các đóng góp nghiên cứu?

Toàn bộ các mô-đun cải tiến về thuật toán nhân điểm ECC và mã hóa dữ liệu AES đều được thiết kế bằng ngôn ngữ VHDL và cài đặt thực nghiệm trên kit đánh giá ZC702/ZC706 trang bị chip SoC Xilinx Zynq-7000 (mã hiệu XC7Z045-2FFG900C). Hệ thống kết nối lõi mật mã phần cứng với bộ xử lý ARM Cortex-A9 thông qua bus hệ thống tốc độ cao để đo kiểm thông lượng và tài nguyên tiêu thụ thực tế.

Kết luận

Luận án của nghiên cứu sinh Hoàng Văn Quân đã giải quyết một cách khoa học và có hệ thống vấn đề nâng cao hiệu năng bảo mật thông tin trên mạng truyền số liệu đa dịch vụ thông qua việc tối ưu hóa cấu trúc toán học của các thuật toán mật mã kết hợp công nghệ phần cứng FPGA. Các đóng góp nổi bật gồm việc hoàn thiện giải thuật nhân điểm NAF trực tiếp trên đường cong elliptic, xây dựng công thức giải tích chu kỳ xung nhịp trung bình $AAF(k)$ cho phép cộng số nguyên, và đề xuất ma trận MDS $Cir(1, 9, 4, 2)$ tối ưu tài nguyên cho mã khối SPN. Kết quả thực nghiệm trên dòng chip Xilinx Zynq-7000 đã chứng minh tính đúng đắn và hiệu quả vượt trội của các giải pháp đề xuất về mặt tốc độ xử lý và khả năng tiết kiệm phần tử logic. Công trình có giá trị khoa học và ý nghĩa thực tiễn cao, đóng góp nền tảng công nghệ trực tiếp cho việc làm chủ kỹ thuật thiết kế, chế tạo thiết bị bảo mật chuyên dụng trong các mạng truyền số liệu trọng yếu của quốc gia và Quân đội.