Bối cảnh và vấn đề nghiên cứu

Trong bối cảnh các dịch vụ trực tuyến như làm việc từ xa, giám sát y tế, và thương mại điện tử phát triển mạnh mẽ, việc kết nối thông qua môi trường mạng Internet công cộng luôn tiềm ẩn nhiều nguy cơ mất an toàn thông tin. Cơ chế xác thực truyền thống dựa trên một yếu tố duy nhất (Single-Factor Authentication - SFA) chủ yếu là mật khẩu bộc lộ nhiều điểm yếu nghiêm trọng trước các hình thức tấn công phi kỹ thuật (social engineering), tấn công từ điển, hay tấn công vét cạn. Để khắc phục tình trạng này, xác thực đa yếu tố (Multi-Factor Authentication - MFA) kết hợp giữa tri thức (Knowledge factor), quyền sở hữu (Ownership factor) và sinh trắc học (Biometric factor) đã trở thành giải pháp cốt lõi nhằm xây dựng kênh truyền an toàn và thiết lập khóa phiên.

Tuy nhiên, trong mô hình mạng đa máy chủ (Multi-server environments), đặc biệt là Hệ thống Thông tin Y tế Từ xa (Telecare Medical Information System - TMIS), các lược đồ xác thực và thỏa thuận khóa phiên hiện hành vẫn tồn tại nhiều lỗ hổng bảo mật như tấn công từ người nội bộ có đặc quyền (privileged insider attack) hay tấn công mạo danh (impersonation attack). Bên cạnh đó, dữ liệu sinh trắc học (dấu vân tay) nếu lưu trữ ở dạng thô sẽ đối mặt với nguy cơ lộ lọt vĩnh viễn và không thể thu hồi. Đa phần các nghiên cứu trước đây chỉ dừng lại ở mô hình lý thuyết mà chưa được kiểm chứng trong triển khai thực tế.

Khóa luận tốt nghiệp của tác giả Tạ Việt Hoàng tập trung giải quyết các vấn đề trên thông qua các mục tiêu và nhiệm vụ nghiên cứu cụ thể:

  1. Tìm hiểu về xác thực đa yếu tố dựa trên mật khẩu và mật khẩu dùng một lần theo thời gian (Time-based One-Time Password - TOTP).
  2. Tìm hiểu cơ chế xác thực và các giải pháp bảo vệ mẫu sinh trắc học vân tay (Cancelable Biometrics và Fuzzy Extractor).
  3. Nghiên cứu phương pháp xác thực dựa trên đặc trưng nhận dạng thiết bị (Device Fingerprint).
  4. Tìm hiểu cách khai thác các mô-đun phần cứng an toàn (Hardware-Assisted Security) để bảo vệ dữ liệu nhạy cảm dùng trong xác thực.
  5. Triển khai thực nghiệm, cải tiến lược đồ và đánh giá tính hiệu quả của giao thức xác thực đa yếu tố, thỏa thuận khóa phiên trong hệ thống TMIS.

Đối tượng nghiên cứu:

  • Các yếu tố thành phần trong quy trình xác thực (mật khẩu, TOTP, sinh trắc học vân tay, dấu vân tay thiết bị, mô-đun phần cứng).
  • Tính an toàn, bảo mật và khả năng chống chịu tấn công của các cơ chế xác thực và thỏa thuận khóa phiên.
  • Ngữ cảnh ứng dụng thực tế trong hệ thống mạng đa máy chủ y tế TMIS.

Phạm vi nghiên cứu:

  • Nghiên cứu thuật toán bảo vệ mẫu vân tay gồm Minutia Cylinder-Code (MCC), Index-of-Max (IoM) Hashing, mô hình Dyno-key và Fuzzy Extractor (Sample-then-lock).
  • Khảo sát các giải pháp hỗ trợ phần cứng gồm Android KeyStore với StrongBox HAL, Apple Secure Enclave và Trusted Platform Module (TPM 2.0).
  • Xây dựng kịch bản, triển khai thực nghiệm hệ thống TMIS trên môi trường máy ảo sử dụng Python 3.8 và đo lường an toàn trên tập dữ liệu chuẩn FVC-2006 DB2.

Cơ sở lý thuyết và phương pháp

Khóa luận xây dựng nền tảng dựa trên các khung lý thuyết mật mã, xử lý ảnh sinh trắc học và kiến trúc an toàn phần cứng:

Khung lý thuyết và mô hình sử dụng

  • Mã hóa đặc trưng vân tay Minutia Cylinder-Code (MCC): Biểu diễn cấu trúc cục bộ 3D bất biến theo khoảng cách và góc của các điểm đặc trưng (minutiae) theo chuẩn ISO/IEC 19794-2. Thuật toán rời rạc hóa không gian hình trụ thành $N_c = N_s \times N_s \times N_p$ khối, áp dụng hàm phân phối chuẩn Gaussian $G_s$, $G_p$ và hàm kích hoạt Sigmoid để tạo vector đặc trưng nhị phân định hướng bit.
  • Sinh trắc học có thể hủy (Cancelable Biometrics): Đảm bảo 4 tiêu chuẩn bảo vệ mẫu sinh trắc học theo ISO: Tính không thể đảo ngược (Non-invertibility), Tính không liên kết và đa dạng (Unlinkability & Diversity), Khả năng thu hồi (Revocability), và Độ chính xác (Accuracy).
    • Index-of-Max (IoM) Hashing: Dựa trên phép hoán vị ngẫu nhiên đồng nhất (Uniformly Random Permutation - URP) kết hợp tích Hadamard bậc $p$ và hàm băm cục bộ nhạy cảm theo thứ hạng (Ranking-based LSH).
    • Mô hình Dyno-key: Ứng dụng khóa ngẫu nhiên động để chọn lọc và thực hiện các phép logic khối (XOR) trên vector bit MCC, làm giảm chiều dữ liệu và ngăn chặn khả năng tái tạo dấu vân tay ban đầu.
  • Bộ trích xuất mờ (Fuzzy Extractor): Sử dụng thuật toán Sample-then-lock với cặp hàm $(\text{Gen}, \text{Rep})$ dựa trên mã xác thực thông điệp HMAC để tạo khóa bí mật an toàn từ nguồn dữ liệu sinh trắc học có độ hỗn loạn cao (high-entropy samples).
  • Sinh trắc thiết bị (Device Fingerprinting): Trích xuất thông tin định danh phần cứng và môi trường trình duyệt thông qua WebGL API, Canvas API, Timezone, Platform và địa chỉ MAC.
  • Mô-đun phần cứng hỗ trợ (Hardware-Assisted Security):
    • Android KeyStore / StrongBox Keymaster: Hệ thống bảo mật phần cứng riêng biệt với CPU, RAM và bộ nhớ Flash độc lập để lưu trữ và xử lý khóa mật mã (AES, HMAC, RSA).
    • Apple Secure Enclave: Bộ vi xử lý đồng hành độc lập tích hợp TRNG, AES Engine, PKA Engine, bộ nhớ EEPROM/Secure Storage Component thế hệ 1 và 2 cùng cơ chế bảo vệ chống tấn công phân tích năng lượng vi sai (DPA).
    • Trusted Platform Module (TPM 2.0): Chip bảo mật bo mạch chủ hỗ trợ Endorsement Key (EK), thanh ghi cấu hình nền tảng (PCR), cùng các tính năng Binding, Sealing/Unsealing dữ liệu.
  • Mật khẩu dùng một lần TOTP: Lược đồ sinh mã xác thực OTP theo hàm băm thời gian thực, tích hợp với ứng dụng mã nguồn mở Aegis và chuẩn mã phản hồi nhanh (QR Code).

Phương pháp nghiên cứu

  • Phương pháp thực nghiệm định lượng: Đánh giá độ chính xác của các thuật toán sinh trắc học trên tập dữ liệu chuẩn quốc tế FVC-2006 DB2 (150 mẫu vân tay, 12 ảnh/ngón, độ phân giải 569 DPI, kích thước 400x560 pixels) thông qua chỉ số Tỷ lệ lỗi ngang bằng (Equal Error Rate - EER), Tỷ lệ chấp nhận sai (FAR) và Tỷ lệ từ chối sai (FRR).
  • Phương pháp mô phỏng và triển khai hệ thống: Thiết lập môi trường mạng đa máy chủ trên các máy ảo chạy hệ điều hành Kali Linux 2020 (Client) và Ubuntu 20.04 (Server), lập trình giao thức truyền thông bằng Python 3.8, bảo vệ kênh truyền thông qua TLS 1.3 và TPM 2.0.

Thiết kế và triển khai

Khóa luận thiết kế kiến trúc và quy trình xác thực đa yếu tố cho hệ thống thông tin y tế Telecare (TMIS) đa máy chủ:

[Người dùng / Bệnh nhân (Ui)] <--- Kênh truyền ---> [Trung tâm đăng ký (RC)]
             |                                             |
             +------------- Kênh truyền -------------> [Máy chủ y tế (Sj)]

Kiến trúc các thực thể hệ thống

  1. Trung tâm đăng ký (Registration Center - RC): Thực thể tin cậy chịu trách nhiệm cấp phát tham số hệ thống, tiếp nhận đăng ký ban đầu từ máy chủ và người dùng, quản lý cơ sở dữ liệu khóa và giá trị băm định danh.
  2. Các máy chủ dịch vụ y tế (Medical Servers - $S_j$): Cung cấp dịch vụ chăm sóc y tế từ xa, thực hiện xác thực chéo với người dùng và thỏa thuận khóa phiên để bảo vệ dữ liệu khám chữa bệnh.
  3. Người dùng / Bệnh nhân ($U_i$): Sử dụng thiết bị đầu cuối cá nhân (trang bị TPM, ứng dụng TOTP Aegis, cảm biến vân tay) để gửi yêu cầu truy cập và thực hiện xác thực đa yếu tố.

Các giai đoạn hoạt động của giao thức

  • Giai đoạn thiết lập (Setup phase): RC khởi tạo các tham số mật mã công khai và khóa bí mật của hệ thống.
  • Giai đoạn đăng ký của máy chủ (Server Registration phase): Máy chủ y tế $S_j$ gửi định danh lên RC để nhận các tham số bảo mật được lưu trữ trong cơ sở dữ liệu.
  • Giai đoạn đăng ký của người dùng (User Registration phase): Người dùng cung cấp danh tính, mật khẩu, mẫu vân tay (được trích xuất đặc trưng bằng MCC và mã hóa qua Fuzzy Extractor/Cancelable Biometrics) cùng mã TOTP để đăng ký với RC.
  • Giai đoạn cập nhật trực tuyến (On-line update phase): Người dùng đồng bộ và cập nhật thông tin xác thực với RC thông qua kênh truyền bảo mật.
  • Giai đoạn đăng nhập, xác thực và thỏa thuận khóa phiên (Login, Authentication and Key Agreement phase): Người dùng và máy chủ $S_j$ thực hiện xác thực hai chiều (Mutual Authentication), kiểm tra tính hợp lệ của dấu vân tay thiết bị, mã TOTP và tạo khóa phiên chung $SK_{ij}$ để mã hóa toàn bộ dữ liệu trao đổi tiếp theo.
  • Giai đoạn thay đổi mật khẩu và sinh trắc học (Password & Biometric Change phase): Cho phép người dùng trực tiếp cập nhật mật khẩu mới và dấu vân tay mới mà không làm lộ thông tin bí mật gốc.

Môi trường và công nghệ thực nghiệm

  • Phần cứng thực nghiệm: Máy tính Intel Core i7-8750 (2.2 GHz, 6 nhân 12 luồng, 16 GB RAM).
  • Môi trường phần mềm: Python 3.8, máy ảo Kali Linux 2020 (Client, 2 GB RAM, 2 Cores), máy ảo Ubuntu 20.04 (Server, 2 GB RAM, 2 Cores).
  • Công cụ bổ trợ: Giao thức TLS 1.3, thư viện mã hóa TPM 2.0 (mã hóa thiết bị lưu trữ USB), ứng dụng xác thực Aegis Authenticator.

Nội dung chính theo từng chương

Chương 1. Mở đầu

Chương này trình bày tổng quan về nhu cầu cấp thiết của việc bảo vệ dữ liệu trong thời đại số, phân tích hạn chế của cơ chế xác thực một yếu tố và tính cần thiết của xác thực đa yếu tố (MFA). Tác giả xác định rõ 5 mục tiêu nghiên cứu, 3 đối tượng nghiên cứu và phạm vi thực hiện của đề tài. Chương mở đầu cũng nhấn mạnh tính mới của khóa luận khi chuyển đổi các lược đồ TMIS từ mô hình lý thuyết sang kiến trúc triển khai thực tế có cải tiến, đồng thời tóm tắt bố cục 6 chương của toàn bộ công trình.

Chương 2. Xử lý dữ liệu sinh trắc học trong quá trình xác thực

Nội dung chương tập trung sâu vào các giải pháp trích xuất và bảo vệ mẫu vân tay:

  • Biểu diễn Minutia Cylinder-Code (MCC): Mô tả chi tiết cấu trúc hình trụ không gian 3 chiều dựa trên tọa độ $(x_m, y_m)$ và góc hướng $\theta_m$ của minutiae. Tác giả trình bày công thức tích hợp hàm Gauss theo khoảng cách $C_s(m_i, p_{ij}^t)$ và theo góc hướng $C_D(m_i, d\phi_k)$, áp dụng hàm Sigmoid và chuyển đổi sang dạng vector nhị phân bit-oriented để tối ưu hóa phép toán bitwise (AND, XOR).
  • Cancelable Biometrics: Trình bày lược đồ Index-of-Max (IoM) Hashing sử dụng hoán vị ngẫu nhiên đồng nhất URP và tích Hadamard, cùng mô hình Dyno-key áp dụng khóa ngẫu nhiên động $k$ để phân chia và đảo vector $c_m$ thành các khối bit không thể đảo ngược.
  • Fuzzy Extractor: Phân tích thuật toán Sample-then-lock với cặp hàm $\text{Gen}(w)$ và $\text{Rep}(w', p)$, khai thác hàm băm HMAC để khôi phục khóa bí mật $R$ từ các nguồn sinh trắc học có độ hỗn loạn cao.
  • Thực nghiệm: Đánh giá trên cơ sở dữ liệu FVC-2006 DB2 với 150 mẫu vân tay.

Chương 3. Các yếu tố khác dùng trong xác thực

Chương 3 mở rộng nghiên cứu sang 3 yếu tố bổ trợ quan trọng:

  • Sinh trắc thiết bị (Device Fingerprint): Khảo sát các kỹ thuật trích xuất thông tin phần cứng qua WebGL Vendor, WebGL Renderer, Platform, Timezone và địa chỉ MAC. Tác giả thực nghiệm mô hình Client-Server (Kali Linux kết nối Ubuntu 20.04 qua TLS 1.3), kiểm tra định danh thiết bị thành công trước khi cấp quyền truy cập.
  • Module phần cứng hỗ trợ lưu trữ và xác thực: Phân tích toàn diện kiến trúc Android KeyStore tích hợp StrongBox HAL (với CPU, RAM, Flash riêng biệt); cấu trúc Apple Secure Enclave qua các thế hệ vi xử lý từ A8 đến dòng chip Apple M1; cơ chế vận hành của TPM 2.0 (tạo khóa chính, đọc giá trị thanh ghi PCR, niêm phong chuỗi Sealing và gỡ niêm phong Unsealing).
  • Mật khẩu dùng một lần theo thời gian (TOTP): Giới thiệu lược đồ sinh mã OTP đồng bộ thời gian thực, tích hợp công cụ mã nguồn mở Aegis thông qua quét mã QR và xác thực dữ liệu người dùng trên Server.

Chương 4. Lược đồ xác thực và trao đổi khóa đa máy chủ trong hệ thống chăm sóc y tế

Chương này phân tích chi tiết mô hình TMIS đa máy chủ và cấu trúc giao thức:

  • Trình bày tuần tự 5 giai đoạn: Giai đoạn thiết lập, Giai đoạn Server đăng ký, Giai đoạn Người dùng đăng ký, Giai đoạn Người dùng cập nhật trực tuyến, Giai đoạn Đăng nhập - Xác thực - Thỏa thuận khóa phiên, và Giai đoạn Đổi mật khẩu/vân tay.
  • Tác giả chỉ ra các điểm yếu và hạn chế trong các lược đồ TMIS hiện hữu (nguy cơ bị tấn công nội bộ, rò rỉ khóa phiên khi thiết bị bị đánh cắp).
  • Đề xuất các cải tiến kỹ thuật trong từng bước tính toán thông điệp ở giai đoạn đăng ký, giai đoạn cập nhật trực tuyến và giai đoạn xác thực thỏa thuận khóa phiên nhằm nâng cao mức độ an toàn mật mã.

Chương 5. Triển khai ứng dụng và đánh giá

Chương 5 hiện thực hóa các giải pháp lý thuyết thành hệ thống phần mềm thực tế:

  • Xây dựng kịch bản hoàn chỉnh gồm Trung tâm đăng ký (RC), 2 Server y tế độc lập và các Client người dùng.
  • Triển khai chi tiết từng tiến trình: Đăng ký Server 1 và Server 2 với RC (lưu trữ ID trong cơ sở dữ liệu); Đăng ký người dùng với RC (mã hóa hash tên người dùng, xuất file cấu hình bảo mật); Ứng dụng TPM 2.0 để mã hóa khóa lưu trên USB token; Thực hiện On-line update phase thành công; Tiến hành quy trình đăng nhập, xác thực chéo và thỏa thuận khóa phiên giữa Client và Server; Thực hiện thay đổi mật khẩu và vân tay mới.
  • Bắt và phân tích các gói tin mạng thực tế trao đổi giữa các bên, xác minh tính toàn vẹn và bảo mật của dữ liệu truyền tải.

Chương 6. Kết luận và hướng phát triển

Tóm lược các đóng góp chính của đề tài về mặt lý thuyết và thực nghiệm, đồng thời vạch ra các định hướng mở rộng nghiên cứu trong tương lai.

Kết quả và đóng góp

Dữ liệu thực nghiệm và kết quả định lượng

Khóa luận đã tiến hành thử nghiệm các thuật toán sinh trắc học và trích xuất đặc trưng phần cứng với các số liệu cụ thể được ghi nhận trong văn bản:

Thông số Giá trị thực nghiệm
Cơ sở dữ liệu vân tay FVC-2006 DB2
Số lượng mẫu vân tay 150 mẫu
Số lượng ảnh trên mỗi mẫu 12 ảnh/ngón
Độ phân giải ảnh 569 DPI
Loại cảm biến thu nhận Cảm biến quang học
Kích thước ảnh 400 x 560 pixels
Tỷ lệ lỗi ngang bằng (EER) của Index-of-Max Hashing 1,08% (với ngưỡng Threshold = 0.76)
Độ chính xác (Correctness) của Fuzzy Extractor (Sample-then-lock) 0,89% (với $k=32$, $n=6000$ bit, $l=1$)

Bên cạnh đó, tác giả đã trích xuất thành công tập thuộc tính sinh trắc thiết bị trong kịch bản Client-Server:

  • Timezone: UTC-7:00
  • Platform: Linux x86_64
  • WebGL Vendor: NVIDIA Corporation
  • WebGL Renderer: NVIDIA GeForce GTX 1050
  • MAC Address: fe80::8dde:e857:6ad:f988%7

Thống kê về sự hỗ trợ của các phần cứng bảo mật di động được tổng hợp cụ thể:

  • Android StrongBox: Các thiết bị hỗ trợ bao gồm Samsung Galaxy S21 Ultra (Exynos 2100), Samsung S20 / Note 20 Ultra (Exynos 990), Google Pixel 4a / Pixel 5 (Snapdragon 765G / SDM730).
  • Apple Secure Enclave: Thống kê cơ chế bảo vệ từ SoC Apple A8 (EEPROM, AES Engine) đến dòng chip Apple M1 (bộ nhớ bảo vệ, Secure Storage Component gen 2, chống tấn công DPA, OS-bound keys, Boot Monitor).

Giải pháp và đóng góp của đề tài

  1. Hoàn thiện giải pháp bảo vệ dữ liệu sinh trắc học: Kết hợp thành công biểu diễn MCC định hướng bit với các mô hình Cancelable Biometrics (IoM Hashing, Dyno-key) và Fuzzy Extractor, giúp loại bỏ nguy cơ lộ mẫu vân tay gốc và cho phép tái tạo mẫu mới khi bị xâm phạm.
  2. Cải tiến và thực thi hóa giao thức TMIS đa máy chủ: Khắc phục các lỗ hổng bảo mật lý thuyết của các lược đồ trước đó, xây dựng thành công kịch bản xác thực đa yếu tố đa máy chủ hoàn chỉnh trên môi trường máy ảo với sự tham gia của RC, 2 Server dịch vụ và Client.
  3. Tích hợp bảo vệ phần cứng toàn diện: Ứng dụng thành công chip TPM 2.0 để mã hóa thiết bị lưu trữ USB chứa thông tin người dùng, kết hợp ứng dụng TOTP Aegis và kênh truyền TLS 1.3 kiểm tra Device Fingerprint, nâng cao tính bảo mật tổng thể cho hệ thống y tế từ xa.

Hạn chế và hướng nghiên cứu tiếp

Hạn chế của nghiên cứu

  • Phạm vi đánh giá thuật toán sinh trắc học vân tay mới tập trung thực nghiệm trên tập dữ liệu FVC-2006 DB2 (150 mẫu vân tay với cảm biến quang học), chưa mở rộng trên các tập dữ liệu có quy mô lớn hơn hoặc sử dụng các loại cảm biến sinh trắc học khác (cảm biến điện dung, cảm biến siêu âm).
  • Việc hỗ trợ phần cứng bảo mật chuyên dụng như Android StrongBox Keymaster hay Apple Secure Enclave trên thị trường thực tế vẫn còn giới hạn ở các dòng thiết bị phân khúc cao cấp.
  • Môi trường thực nghiệm hệ thống TMIS đa máy chủ được triển khai mô phỏng trên các máy ảo (Kali Linux và Ubuntu 20.04) trong mạng nội bộ, chưa đo lường độ trễ và khả năng chịu tải trên hạ tầng mạng diện rộng thực tế.

Hướng nghiên cứu tiếp

  • Mở rộng thử nghiệm các thuật toán bảo vệ mẫu sinh trắc học trên nhiều bộ cơ sở dữ liệu quốc tế đa dạng và kết hợp thêm các phương thức sinh trắc học khác (nhận diện khuôn mặt, mống mắt).
  • Nghiên cứu tối ưu hóa hiệu năng tính toán của các phép toán băm và biến đổi ma trận để triển khai trực tiếp trên các thiết bị nhúng và thiết bị di động có cấu hình tài nguyên hạn chế.
  • Đánh giá khả năng mở rộng của hệ thống TMIS khi số lượng máy chủ y tế và lượng bệnh nhân đồng thời tăng cao trong môi trường đám mây thực tế.

Giá trị tham khảo

Tài liệu khóa luận tốt nghiệp này có giá trị học thuật và ứng dụng thực tiễn cao cho:

  • Sinh viên, học viên chuyên ngành An toàn thông tin và Mạng máy tính: Cung cấp tài liệu tham khảo chi tiết về quy trình thiết kế, cải tiến và phân tích độ an toàn của các giao thức xác thực và trao đổi khóa mật mã.
  • Các nhà phát triển hệ thống và kỹ sư bảo mật: Nắm bắt được phương pháp kết hợp đa yếu tố xác thực (mật khẩu, TOTP Aegis, sinh trắc học vân tay, Device Fingerprint) và cách thức lập trình tương tác với các mô-đun phần cứng bảo mật như TPM 2.0, Android KeyStore và Secure Enclave.
  • Phần đáng tham khảo nhất:
    • Chương 2: Cung cấp công thức toán học và mã giả chi tiết của các thuật toán MCC, Index-of-Max Hashing, mô hình Dyno-key và thuật toán Sample-then-lock của Fuzzy Extractor.
    • Chương 3: Tổng hợp bảng dữ liệu so sánh chi tiết tính năng phần cứng bảo mật của các dòng chip Apple (A8 đến M1) và các thiết bị Android hỗ trợ StrongBox.
    • Chương 4 & Chương 5: Quy trình từng bước triển khai kịch bản giao thức TMIS từ khâu đăng ký, cập nhật trực tuyến đến xác thực thỏa thuận khóa phiên kèm ảnh chụp gói tin thực nghiệm.

Câu hỏi thường gặp

1. Thuật toán Minutia Cylinder-Code (MCC) có ưu điểm gì nổi bật so với các phương pháp trích xuất đặc trưng vân tay truyền thống?

MCC sử dụng phương pháp tiếp cận theo bán kính cố định 3D, giúp chịu đựng tốt các điểm đặc trưng bị thiếu hoặc sai lệch so với phương pháp láng giềng gần nhất. MCC mã hóa độ dài cố định định hướng bit, giúp việc so khớp tương đồng cục bộ được quy về các phép toán logic cơ bản (AND, XOR) thực thi nhanh chóng trên CPU bị giới hạn tài nguyên, đồng thời xử lý tốt các vùng vân tay có nhiều nhiễu nhờ hàm bão hòa.

2. Thuật toán Index-of-Max (IoM) Hashing đạt kết quả thực nghiệm như thế nào trên tập dữ liệu FVC-2006 DB2?

Trên tập dữ liệu FVC-2006 DB2 (150 mẫu vân tay, 12 ảnh/mẫu), thuật toán Index-of-Max Hashing chạy trên môi trường Python 3.8 (CPU Intel Core i7-8750) đạt tỷ lệ lỗi ngang bằng (EER) là 1,08% tại ngưỡng cắt (Threshold) là 0.76.

3. Những thông tin nào được thu thập để tạo dấu vân tay thiết bị (Device Fingerprint) trong khóa luận?

Hệ thống trích xuất 5 thông tin đặc trưng chính từ phía máy khách gồm: Múi giờ (Timezone - UTC-7:00), Nền tảng hệ điều hành (Platform - Linux x86_64), Nhà cung cấp WebGL (WebGL Vendor - NVIDIA Corporation), Trình kết xuất đồ họa WebGL (WebGL Renderer - NVIDIA GeForce GTX 1050) và Địa chỉ MAC mạng (fe80::8dde:e857:6ad:f988%7).

4. Khóa luận sử dụng module phần cứng TPM 2.0 nhằm mục đích gì trong quá trình thực nghiệm?

Chip TPM 2.0 được sử dụng để cung cấp các chức năng mật mã phần cứng an toàn: quản lý cặp khóa xác nhận bí mật (EK), đo lường tính toàn vẹn trạng thái hệ thống thông qua các thanh ghi PCR, thực hiện niêm phong (Sealing) và gỡ niêm phong (Unsealing) dữ liệu cấu hình của người dùng, đồng thời trực tiếp mã hóa thiết bị lưu trữ USB token dùng trong quá trình đăng nhập hệ thống.

5. Lược đồ xác thực và thỏa thuận khóa phiên được tác giả cải tiến cho ngữ cảnh hệ thống nào?

Lược đồ được thiết kế và cải tiến chuyên biệt cho Hệ thống Thông tin Y tế Từ xa (Telecare Medical Information System - TMIS) hoạt động trong mô hình mạng đa máy chủ, phục vụ quá trình xác thực hai chiều và thiết lập kênh truyền an toàn giữa bệnh nhân (User) và các máy chủ cung cấp dịch vụ y tế (Server) thông qua sự quản lý của Trung tâm đăng ký (RC).

Kết luận

Khóa luận tốt nghiệp của tác giả Tạ Việt Hoàng đã nghiên cứu toàn diện các giải pháp xác thực đa yếu tố tiên tiến, kết hợp giữa mật khẩu, mã TOTP, đặc trưng thiết bị, công nghệ phần cứng an toàn (TPM 2.0, StrongBox, Secure Enclave) và các thuật toán bảo vệ mẫu sinh trắc học vân tay như MCC, Index-of-Max Hashing, Dyno-key và Fuzzy Extractor. Đề tài không chỉ dừng lại ở phân tích lý thuyết mà đã tiến hành đo lường định lượng trên tập dữ liệu chuẩn FVC-2006 DB2 với tỷ lệ lỗi EER đạt 1,08%, đồng thời triển khai thành công kịch bản thực tế trong mô hình mạng y tế từ xa TMIS đa máy chủ. Đây là công trình kỹ thuật hoàn chỉnh, cung cấp tài liệu tham khảo giá trị cho việc phát triển các hệ thống xác thực an toàn và bảo vệ quyền riêng tư trong môi trường mạng phân tán.