Tổng quan về luận án

Sự bùng nổ của mạng máy tính toàn cầu và không gian mạng Internet đã chuyển dịch toàn diện phương thức quản trị, vận hành dữ liệu của các cơ quan chính phủ, tổ chức tài chính và doanh nghiệp. Tuy nhiên, môi trường truyền thông mở trên nền tảng bộ giao thức TCP/IP luôn tiềm ẩn nguy cơ thường trực trước các cuộc tấn công đánh chặn (interception), sửa đổi (modification), giả mạo (fabrication) và làm gián đoạn (interruption) luồng dữ liệu. Trong bối cảnh an ninh quốc gia, một khoảng trống nghiên cứu và thực tiễn (research gap) cốt lõi được tác giả chỉ rõ: "chúng ta không thể sử dụng các sản phẩm bảo mật thông tin của nước ngoài để bảo mật thông tin trên mạng thuộc phạm vi bí mật Nhà nước như: lĩnh vực An ninh Quốc phòng. Vấn đề đặt ra là chúng ta phải chủ động tạo ra các sản phẩm bảo mật thông tin trên mạng máy tính, với các module mật mã kiểm soát hoàn toàn và độ an toàn của sản phẩm do các module mật mã quyết định." Bên cạnh đó, việc can thiệp mật mã ở tầng ứng dụng làm phá vỡ tính toàn vẹn cấu trúc phần mềm, trong khi can thiệp ở tầng liên kết dữ liệu đòi hỏi giải mã trung gian tốn kém tại các nút mạng. Luận án tiến sĩ kỹ thuật chuyên ngành Hệ thống thông tin (mã số 62.48.01.04) của nghiên cứu sinh Nguyễn Ngọc Điệp, dưới sự hướng dẫn khoa học của PGS.TS Hoàng Minh tại Học viện Công nghệ Bưu chính Viễn thông (2017), mang tính tiên phong khi giải quyết bài toán tích hợp mật mã toàn diện vào quá trình truyền tin mạng TCP/IP thông qua việc tối ưu hóa đồng thời cấu trúc giao thức SSL/TLS, nâng chuẩn tham số hệ mật khóa công khai RSA và đề xuất thuật toán mã khối mới BC_VPN.

Nghiên cứu tập trung giải quyết hai câu hỏi nghiên cứu chính:

  1. $RQ_1$: Làm thế nào để thiết lập các tiêu chuẩn tham số an toàn cho hệ mật khóa công khai RSA và tối ưu hóa cấu trúc tầng tuyến tính của mã khối dạng AES nhằm đạt hiệu năng thực thi cao và khả năng kháng thám mã tối ưu trên phần mềm?
  2. $RQ_2$: Cơ chế tích hợp nguyên thủy mật mã tùy biến vào giao thức SSL/TLS và kiến trúc mạng riêng ảo OpenVPN như thế nào để khắc phục triệt để các lỗ hổng giao thức cố hữu mà vẫn đảm bảo tính trong suốt, hiệu năng cao đối với mọi loại hình dịch vụ truyền thông đa phương tiện?

Hai giả thuyết nghiên cứu tương ứng được xác lập:

  • Giả thuyết $H_1$: Tồn tại cấu trúc ma trận tựa vòng $4 \times 4$ trên trường Galois $GF(2^8)$ thỏa mãn tính chất phân tách khoảng cách cực đại MDS (Maximum Distance Separable), cho phép triệt tiêu hoàn toàn các điểm bất động, tối ưu hóa cài đặt dạng bit-slice và nâng cao cận dưới số lượng hộp S tích cực (active S-boxes) trước thám mã vi sai và tuyến tính so với cấu trúc ma trận dịch vòng của chuẩn AES.
  • Giả thuyết $H_2$: Việc tích hợp bộ tham số RSA tùy biến và mã khối BC_VPN vào tầng giao thức bản ghi và bắt tay của SSL/TLS trên kiến trúc VPN Daemon - TUN/TAP cho phép thiết lập kênh truyền bảo mật trong suốt, loại bỏ các nguy cơ tấn công quay lui phiên bản, tấn công mất thông điệp ChangeCipherSpec, tấn công Oracle đệm CBC và lỗ hổng rò rỉ bộ nhớ Heartbleed.

Khung lý thuyết của luận án được xây dựng dựa trên lý thuyết an toàn thông tin theo chuẩn ISO/IEC 7498-2, mô hình mật mã khóa công khai Diffie-Hellman (1976), hệ mật RSA (Rivest, Shamir, Adleman, 1977), lý thuyết mạng thay thế - hoán vị SPN (Substitution-Permutation Network) của Daemen & Rijmen (2002), và mô hình ước lượng độ phức tạp tính toán bất đối xứng của Arjen Lenstra và Eric Verheul (2001). Phạm vi nghiên cứu bao quát từ phân tích toán học giải tích các nguyên thủy mật mã trên $GF(2^8)$ đến thiết kế, hiện thực hóa và đánh giá thực nghiệm bộ phần mềm bảo mật đường truyền PMBM_VPN trên hệ thống máy chủ - máy trạm chạy hệ điều hành Linux/Windows với thông lượng truyền dẫn đo đạc đơn luồng và đa luồng.

Literature Review và Positioning

Lịch sử phát triển các giải pháp bảo vệ dữ liệu trên đường truyền mạng máy tính ghi nhận các dòng nghiên cứu chủ đạo:

  1. Dòng nghiên cứu kiến trúc tích hợp an ninh trên mô hình OSI và TCP/IP: Khởi nguồn từ tiêu chuẩn bảo mật ISO/IEC 7498-2, các công trình của Stephen Kent và Randall Atkinson (1998) về bộ giao thức IPSec đã xác lập chuẩn bảo mật tại tầng mạng (Internet Layer), trong khi Tim Dierks và Eric Rescorla (RFC 5246, 2008) chuẩn hóa giao thức bảo mật tầng vận tải TLS 1.2. Tuy nhiên, tồn tại sự tranh luận học thuật sâu sắc giữa hai trường phái: bảo mật tầng mạng (IPSec/MPLS) với ưu thế hiệu năng phần cứng tại gateway nhưng thiếu linh hoạt khi đi qua thiết bị chuyển đổi địa chỉ mạng NAT/Firewall, đối lập với bảo mật tầng vận tải (SSL/TLS VPN) có tính mềm dẻo, cấu hình linh hoạt nhưng đối mặt với rào cản suy giảm thông lượng xử lý mã hóa phần mềm.
  2. Dòng nghiên cứu lỗ hổng bảo mật giao thức SSL/TLS: Các nghiên cứu mang tính bước ngoặt của David Wagner và Bruce Schneier (1996) đã vạch trần các điểm yếu nghiêm trọng trong giao thức bắt tay SSL: tấn công quay lui phiên bản (version rollback attack), tấn công làm mất gói tin ChangeCipherSpec khiến trạng thái cập nhật mật mã bị vô hiệu hóa, và tấn công quay lui thuật toán trao đổi khóa. Tiếp đó, nghiên cứu của Bodo Moeller và Bill Frantz đã chứng minh khả năng giải mã bản rõ thông qua tấn công tiên đoán đệm Padding Oracle trên chế độ mã khối CBC (Cipher Block Chaining). Đến năm 2014, sự cố an ninh toàn cầu Heartbleed (CVE-2014-0160) được công bố, xuất phát từ việc thiếu kiểm tra độ dài biên bộ nhớ trong phần mở rộng Heartbeat của OpenSSL.
  3. Dòng nghiên cứu tối ưu hóa tham số và cấu trúc thuật toán mật mã: Trường phái thiết kế mã khối SPN hiện đại gắn liền với Joan Daemen và Vincent Rijmen (AES, 2002) sử dụng phép biến đổi MixColumns dựa trên ma trận vòng MDS. Song song đó, Arjen Lenstra và Eric Verheul (2001) xây dựng mô hình kinh tế - toán học dự báo độ dài modulo an toàn cho RSA dựa trên tốc độ phát triển năng lực tính toán phần cứng và thuật toán sàng trường số tổng quát GNFS.
       [Khung lý thuyết ISO/IEC 7498-2 & TCP/IP]
[Mật mã khóa công khai]            [Mật mã khóa đối xứng]
- Diffie-Hellman (1976)            - Mạng SPN (Daemen & Rijmen, 2002)
- Hệ mật RSA (1977)                - Tầng tuyến tính MDS / MixColumns
       [Phân tích lỗ hổng giao thức SSL/TLS]
       - Tấn công quay lui (Wagner & Schneier, 1996)
       - Padding Oracle CBC (Moeller & Frantz)
       - Lỗ hổng Heartbleed (CVE-2014-0160, 2014)
       [Đóng góp định vị của Luận án]
       - Chuẩn hóa tham số e, n cho RSA (y >= 2016)
       - Ma trận tựa vòng MDS 4x4 cho mã khối BC_VPN
       - Kiến trúc tích hợp bộ phần mềm PMBM_VPN

Luận án định vị chính xác khoảng trống học thuật: chưa có công trình nào tích hợp đồng bộ việc giải quyết triệt để các lỗ hổng giao thức SSL/TLS với việc tái cấu trúc tầng khuếch tán tuyến tính của thuật toán mã khối và điều chỉnh tham số an toàn RSA phù hợp với điều kiện thực thi phần mềm tại Việt Nam. So với mô hình dự báo của Lenstra - Verheul quốc tế vốn áp đặt các giả thiết tài chính khổng lồ của các tổ chức tình báo toàn cầu, luận án hiệu chỉnh mô hình ngưỡng an toàn phù hợp với bối cảnh kinh tế - xã hội, đồng thời khắc phục triệt để nhược điểm tồn tại điểm bất động trong ma trận dịch vòng của chuẩn AES quốc tế.

Đóng góp lý thuyết và khung phân tích

Đóng góp cho lý thuyết

Luận án tạo ra những bước tiến lý thuyết quan trọng trong lĩnh vực mật mã học ứng dụng và an toàn mạng:

  • Mở rộng lý thuyết ngưỡng an toàn Lenstra - Verheul cho hệ mật RSA: Tác giả tái cấu trúc các công thức tính toán ngưỡng an toàn $a(y)$ và độ dài modulo $n(y)$ cho giai đoạn từ năm $y \ge 2016$. Bằng cách phân tích năng lực tính toán và chi phí thám mã, luận án xác lập bảng tham số modulo an toàn cho bài toán RSA, bảo đảm cân bằng tối ưu giữa khả năng kháng phân tích số nguyên tố lớn bằng thuật toán GNFS và hiệu năng xử lý số học dấu phẩy động đa chính xác trên CPU thông dụng.
  • Thiết lập tiêu chuẩn an toàn cho số mũ công khai $e$: Thông qua việc khảo sát toán học bài toán thám mã mã hóa liên tiếp (iterated encryption) $C = M^e \pmod n$, $C_k = C_{k-1}^e \pmod n$ và phân tích chu kỳ quỹ đạo trạng thái trong vành số nguyên $\mathbb{Z}_n$, luận án đã chứng minh điều kiện cần và đủ để số mũ công khai $e$ kháng lại các thuật toán tìm điểm bất động và phân tích modulo $n$ theo chu kỳ mã hóa, loại bỏ hoàn toàn các cấu hình số mũ công khai suy biến.
  • Xây dựng cơ sở lý thuyết ma trận tựa vòng MDS cho tầng tuyến tính: Phát triển lý thuyết đại số tuyến tính trên trường hữu hạn $GF(2^8)$ với 16 đa thức nguyên thủy bậc 8. Luận án chứng minh định lý về cấu trúc ma trận tựa vòng $4 \times 4$ đạt khoảng cách phân tách cực đại MDS (chỉ số nhánh phân tán $B = 5$), đồng thời chứng minh cấu trúc này triệt tiêu hoàn toàn các điểm bất động bậc 1 và bậc 2, khắc phục nhược điểm lý thuyết của ma trận dịch vòng AES tiêu chuẩn.

Khung phân tích độc đáo

Khung phân tích của luận án là sự giao thoa liên ngành giữa ba trụ cột lý thuyết: Đại số trừu tượng trên trường hữu hạn (Galois Field Theory), Lý thuyết thám mã vi sai/tuyến tính (Biham-Shamir & Matsui Theory) và Lý thuyết trạng thái an ninh giao thức mạng (Security Protocol State Machine).

Khung Phân Tích Độc Đáo Của Luận Án

Các điều kiện biên (boundary conditions) được xác định rõ ràng:

  • Không gian tính toán đại số: Trường Galois $GF(2^8)$ sinh bởi đa thức nguyên thủy $p(x) = x^8 + x^4 + x^3 + x + 1$ và các biến thể tương đương.
  • Môi trường truyền thông: Giao thức mạng TCP/IP hoạt động trên hạ tầng mạng mở, chấp nhận kênh truyền vật lý có độ trễ và tỷ lệ mất gói tin ngẫu nhiên.
  • Mô hình kẻ tấn công Dolev-Yao: Kẻ tấn công có toàn quyền nghe lén, can thiệp, sửa đổi, chèn gói tin giả mạo trên đường truyền công khai giữa Client và Server.

Phương pháp nghiên cứu tiên tiến

Thiết kế nghiên cứu

Nghiên cứu tuân thủ chặt chẽ thế giới quan thực chứng (positivism) kết hợp phương pháp diễn dịch toán học tiên nghiệm (axiomatic-deductive) với kiểm chứng thực nghiệm hệ thống (empirical systems engineering). Thiết kế nghiên cứu đa tầng bao gồm:

  1. Tầng vi mô (Micro-level): Phân tích giải tích cấu trúc đại số của các nguyên thủy mật mã (RSA, ma trận MDS, bảng thế S-box).
  2. Tầng trung mô (Meso-level): Thiết kế kiến trúc module phần mềm mật mã BC_VPN, cơ chế quản lý giao diện mạng ảo TUN/TAP và máy trạng thái giao thức bắt tay SSL/TLS.
  3. Tầng vĩ mô (Macro-level): Thử nghiệm đo kiểm hiệu năng truyền thông luồng dữ liệu mạng IP thực tế trên mô hình mạng máy tính Client-Server phân tán.
       [PHƯƠNG PHÁP DIỄN DỊCH TOÁN HỌC]
       - Khảo sát trường hữu hạn GF(2^8)
       - Đại số ma trận tựa vòng MDS 4x4
       - Giải tích số học Modulo RSA
       [THIẾT KẾ & TỐI ƯU HÓA THUẬT TOÁN]
       - Thuật toán mã khối BC_VPN
       - Tối ưu hóa xử lý kiểu Bit-slice
       - Chuẩn hóa bộ tham số e, n
       [TÍCH HỢP HỆ THỐNG & GIAO THỨC]
       - Tái cấu trúc SSL/TLS Handshake & Record Engine
       - Module hóa VPN Daemon & Virtual Interface TUN/TAP
       - Đóng gói dữ liệu bảo mật PMBM_VPN
       [ĐO KIỂM THỰC NGHIỆM ĐA CHIỀU]
       - Thông lượng truyền dẫn (1 luồng vs 4 luồng)
       - Độ phức tạp kháng thám mã vi sai / tuyến tính
       - Kiểm thử an ninh chống MITM, Rollback, Heartbleed

Quy trình nghiên cứu rigorous

Quy trình nghiên cứu trải qua bốn giai đoạn thực nghiệm nghiêm ngặt:

  • Giai đoạn 1 - Khảo sát đại số và sinh cấu trúc tuyến tính: Sử dụng các công cụ tính toán ký hiệu để quét toàn bộ không gian 16 đa thức nguyên thủy bậc 8 trên $GF(2)$. Thiết lập thuật toán tìm kiếm ma trận tựa vòng $4 \times 4$ thỏa mãn điều kiện định thức con khác không (tính chất MDS).
  • Giai đoạn 2 - Hiện thực hóa kỹ thuật Bit-slice: Chuyển đổi các phép nhân ma trận trên trường hữu hạn thành các chuỗi lệnh logic cơ bản (AND, XOR, NOT, SHIFT) trên thanh ghi CPU, loại bỏ hoàn toàn các bảng tra cứu tĩnh (Look-up tables) nhằm triệt tiêu nguy cơ tấn công kênh kề qua bộ nhớ đệm (cache timing attacks).
  • Giai đoạn 3 - Tái cấu trúc và vá lỗi giao thức OpenSSL: Can thiệp trực tiếp vào mã nguồn OpenSSL:
    • Loại bỏ hoàn toàn khả năng đàm phán lùi về SSL 2.0.
    • Sửa đổi hàm xử lý ChangeCipherSpec bằng việc bắt buộc kiểm tra cờ nhớ s->s3->change_cipher_spec trước khi xử lý gói tin Finished.
    • Tích hợp chữ ký số bao hàm cả định danh thuật toán trong thông điệp ServerKeyExchange.
    • Triệt tiêu lỗi Heartbleed trong mã nguồn: "Lỗ hổng này xuất phát từ một lỗi lập trình trong hàm tls1_process_heartbeat() của file ssl/t1_lib.c (tương tự trong hàm dtls1_process_heartbeat() của file ssl/d1_lic.c nếu sử dụng DTLS) của thư viện OpenSSL" bằng cách loại bỏ tùy chọn biên dịch -DOPENSSL_NO_HEARTBEATS và bổ sung đoạn mã kiểm tra chiều dài thực tế của gói tin s->s3->rrec.length tương ứng với giá trị trường payload.
  • Giai đoạn 4 - Tích hợp và đóng gói phần mềm: Xây dựng bộ phần mềm PMBM_VPN hoàn chỉnh với hai module hạt nhân: Module VPN Daemon vận hành dưới dạng dịch vụ nền hệ thống và Module TUN/TAP quản trị giao diện mạng ảo mức phân kỳ gói tin IP.

Data và phân tích

Dữ liệu đánh giá của luận án được thu thập từ hai nguồn chính:

  1. Dữ liệu thám mã lý thuyết: Định lượng số lượng hộp S tích cực tối thiểu và tính toán xác suất vi sai cực đại (Differential Probability - DP), độ lệch tuyến tính cực đại (Linear Approximation Probability - LP).
  2. Dữ liệu đo kiểm hiệu năng thực nghiệm: Đo đạc thông lượng dữ liệu mạng (Mbps), thời gian thực thi một vòng mã hóa (clock cycles), và mức chiếm dụng tài nguyên CPU trên mô hình thử nghiệm Client - Server kết nối qua mạng cục bộ LAN và mạng diện rộng WAN.
Chỉ tiêu kỹ thuật / Tham số Chuẩn AES (Rijndael) Thuật toán đề xuất BC_VPN
Dạng ma trận tầng tuyến tính Ma trận dịch vòng (Circulant) Ma trận tựa vòng (Quasi-cyclic)
Tính chất khoảng cách cực đại MDS (Chỉ số nhánh = 5) MDS (Chỉ số nhánh = 5)
Điểm bất động của tầng tuyến tính Tồn tại điểm bất động Triệt tiêu hoàn toàn (0 điểm)
Tối ưu hóa cài đặt phần mềm Bảng tra (T-Tables) / Bit-slice Bit-slice thuần túy tối ưu
Số hộp S tích cực vi sai (16 vòng) $\ge 75$ $\ge 80$
Độ phức tạp kháng thám mã vi sai $2^{128}$ $\mathbf{\gg 2^{128}}$
Số hộp S tích cực tuyến tính (16 vòng) $\ge 75$ $\ge 80$
Độ phức tạp kháng thám mã tuyến tính $2^{128}$ $\mathbf{\gg 2^{128}}$

Phát hiện đột phá và implications

Những phát hiện then chốt

  1. Phát hiện 1 - Triệt tiêu điểm bất động trong tầng khuếch tán SPN: Việc sử dụng ma trận tựa vòng $4 \times 4$ thay thế cho ma trận dịch vòng truyền thống của AES vẫn bảo toàn trọn vẹn chỉ số nhánh MDS ($B = 5$) nhưng loại bỏ hoàn toàn các điểm bất động bậc thấp, ngăn chặn triệt để các kỹ thuật tấn công trượt (slide attacks) và tấn công bất biến quay (rotational cryptanalysis).
  2. Phát hiện 2 - Tăng cường vượt bậc khả năng kháng thám mã thống kê: Trong cấu trúc 16 vòng của BC_VPN, số lượng S-hộp tích cực vi sai và tuyến tính đều đạt giá trị vượt trội ($\ge 80$ hộp S tích cực), đẩy độ phức tạp của các cuộc tấn công vi sai và tuyến tính vượt xa ngưỡng lý thuyết $2^{128}$, vô hiệu hóa hoàn toàn năng lực thám mã của các siêu máy tính hiện đại.
  3. Phát hiện 3 - Cải thiện tốc độ mã hóa thông qua tối ưu hóa Bit-slice: Kết quả cài đặt thực nghiệm cho thấy thời gian xử lý một vòng mã hóa của BC_VPN trên kiến trúc CPU đa nhân giảm thiểu đáng kể số chu kỳ lệnh nhờ loại bỏ thao tác truy xuất bộ nhớ ngoài của các bảng T-Table, giúp tốc độ xử lý luồng dữ liệu đạt mức tương đương và vượt trội so với các thư viện mã hóa đối xứng thương mại không dùng tập lệnh phần cứng chuyên dụng AES-NI.
  4. Phát hiện 4 - Tính toàn vẹn và trong suốt tuyệt đối của giải pháp VPN: Luận án chứng minh hệ thống PMBM_VPN bảo vệ an toàn toàn bộ các luồng giao thông mạng TCP/IP ở mức gói tin IP. Đặc tính đột phá được khẳng định: "bảo mật được cơ bản các ứng dụng, dịch vụ truyền tin trên mạng dùng giao thức TCP/IP bao gồm cả hình ảnh động, âm thanh mà không can thiệp vào cấu trúc của ứng dụng. Điều này đã giải quyết được yêu cầu thực tế ở Việt Nam, có rất nhiều ứng dụng cần được bảo vệ thông tin nhưng chúng ta không được can thiệp mật mã vào cấu trúc của nó."
  5. Phát hiện 5 - Khả năng mở rộng thông lượng theo kiến trúc đa luồng: Kết quả thử nghiệm tốc độ truyền thông từ Client đến Server của phần mềm PMBM_VPN chứng minh khả năng tăng tốc tuyến tính khi mở rộng cấu hình từ 1 luồng xử lý lên 4 luồng xử lý song song, đáp ứng hoàn hảo các yêu cầu truyền tải dữ liệu thời gian thực có độ trễ thấp như thoại IP và hội nghị truyền hình độ nét cao.
Thông lượng truyền dẫn thực nghiệm PMBM_VPN (Client -> Server)
========================================================================
Cấu hình 1 luồng :  [████████████████░░░░░░░░░░░░░░░░░░░░]  ~ 45-55 Mbps
Cấu hình 4 luồng :  [████████████████████████████████████]  ~ 180-210 Mbps
========================================================================
Khả năng đáp ứng :  Video HD / Âm thanh thời gian thực / Mạng diện rộng WAN
Đặc tính cốt lõi :  Trong suốt tuyệt đối với ứng dụng - Không sửa mã nguồn

Implications đa chiều

  • Đóng góp cho sự phát triển lý thuyết: Làm phong phú lý thuyết thiết kế mã khối SPN hiện đại bằng việc bổ sung lớp ma trận tựa vòng MDS tối ưu trên $GF(2^8)$; hoàn thiện khung lý thuyết xác định tham số an toàn RSA dựa trên tiếp cận chu kỳ mã hóa liên tiếp.
  • Đổi mới phương pháp luận kỹ thuật: Thiết lập mô hình mẫu về quy trình tích hợp an toàn: từ chứng minh toán học, thiết kế thuật toán, tối ưu hóa phần mềm dạng bit-slice, đến cấu trúc hóa giao thức truyền thông mạng mà không phụ thuộc vào các thư viện đóng gói sẵn của nước ngoài.
  • Ứng dụng thực tiễn trong an ninh bảo mật: Cung cấp giải pháp phần mềm mạng riêng ảo PMBM_VPN hoàn chỉnh, có thể triển khai ngay lập tức trên các hạ tầng mạng của các cơ quan Đảng, Nhà nước, lực lượng vũ trang và các tập đoàn kinh tế trọng yếu mà không yêu cầu thay đổi phần cứng mạng hiện hữu.
  • Định hướng chính sách an toàn thông tin: Cung cấp luận cứ khoa học vững chắc cho Ban Cơ yếu Chính phủ và Bộ Thông tin và Truyền thông trong việc xây dựng các tiêu chuẩn quốc gia về mật mã chuyên dùng và lộ trình thay thế các giải pháp an ninh mạng ngoại nhập bằng các giải pháp nội địa làm chủ 100% mã nguồn và thuật toán.

Limitations và Future Research

Mặc dù đạt được những kết quả đột phá, nghiên cứu vẫn tồn tại một số giới hạn học thuật cần được mở rộng:

  • Giới hạn nền tảng thực thi: Các tối ưu hóa của BC_VPN mới được hiện thực hóa và đánh giá trên môi trường phần mềm máy tính (CPU x86/x64). Chưa thực hiện thiết kế và đo kiểm trên các vi mạch chuyên dụng ASIC hoặc mảng cổng lập trình dạng trường FPGA để so sánh hiệu năng phần cứng thuần túy.
  • Biên an toàn trước điện toán lượng tử: Các tham số an toàn RSA và thuật toán mã khối được tối ưu hóa cho mô hình điện toán kinh điển. Trước sự phát triển của thuật toán lượng tử Shor (phân tích số nguyên tố lớn) và thuật toán Grover (tìm kiếm không gian khóa), hệ mật RSA cần có lộ trình chuyển dịch sang mật mã hậu lượng tử (Post-Quantum Cryptography - PQC).

Chương trình nghiên cứu tương lai (Future Research Agenda) mở ra 4 hướng chiến lược:

  1. Nghiên cứu hiện thực hóa thuật toán BC_VPN trên phần cứng cấu hình lại FPGA nhằm đạt thông lượng mã hóa đa gigabit trên các đường trục viễn thông.
  2. Tích hợp các thuật toán chữ ký số và trao đổi khóa hậu lượng tử dựa trên mạng tinh thể (Lattice-based cryptography như Dilithium, Kyber) vào giao thức bắt tay của PMBM_VPN.
  3. Tối ưu hóa giao thức bảo mật tầng vận tải không liên kết DTLS qua UDP để giảm thiểu độ trễ bắt tay xuống 0-RTT cho các hệ thống mạng IoT và điều khiển công nghiệp SCADA.
  4. Mở rộng cơ chế tự động hóa quản lý và phân phối khóa động sử dụng kiến trúc hạ tầng khóa công khai PKI phi tập trung.

Tác động và ảnh hưởng

Công trình nghiên cứu của NCS. Nguyễn Ngọc Điệp tạo ra tác động sâu rộng trên nhiều bình diện:

  • Tác động học thuật: Mở ra hướng tiếp cận mới trong thiết kế tầng tuyến tính của mã khối SPN; dự kiến thu hút trích dẫn khoa học cao trong các nghiên cứu chuyên sâu về tối ưu hóa mật mã học và bảo mật giao thức truyền thông.
  • Tự chủ công nghệ an ninh quốc gia: Giải quyết bài toán cấp bách về bảo vệ bí mật nhà nước, bảo đảm an toàn dữ liệu trên đường truyền công cộng mà không chịu rủi ro từ các "cửa sau" (backdoors) tiềm ẩn trong các thiết bị mạng thương mại nước ngoài.
  • Hiệu quả kinh tế - xã hội: Tiết kiệm hàng triệu USD chi phí bản quyền phần mềm và mua sắm trang thiết bị bảo mật chuyên dụng ngoại nhập; cho phép triển khai mạng diện rộng bảo mật cao trên hạ tầng cáp quang Internet thông thường với chi phí vận hành tối thiểu.

Đối tượng hưởng lợi

  • Nghiên cứu sinh và học giả chuyên ngành Mật mã học / An toàn thông tin: Tiếp cận phương pháp luận toán học chặt chẽ trong việc chứng minh tính chất MDS của ma trận tựa vòng và kỹ thuật phân tích chu kỳ quỹ đạo RSA.
  • Kỹ sư phát triển hệ thống mạng và an ninh thông tin: Sở hữu thiết kế kiến trúc chuẩn mực về việc xây dựng mạng riêng ảo VPN tích hợp module mật mã tùy biến thông qua giao diện TUN/TAP.
  • Các cơ quan chuyên trách an toàn thông tin quốc gia: Có được giải pháp bảo mật dữ liệu đường truyền có khả năng kiểm soát toàn diện từ thuật toán đến mã nguồn cài đặt.
  • Các tổ chức tài chính, ngân hàng và doanh nghiệp: Ứng dụng giải pháp bảo mật trong suốt cho các dịch vụ cốt lõi (Core Banking, Database Sync, Video Conference) mà không làm gián đoạn hệ thống hiện hữu.

Câu hỏi chuyên sâu

1. Đóng góp lý thuyết độc đáo nhất của luận án là gì và đã mở rộng lý thuyết nền tảng nào? Đóng góp độc đáo nhất là việc xây dựng cấu trúc ma trận tựa vòng $4 \times 4$ trên $GF(2^8)$ đạt tính chất phân tách khoảng cách cực đại MDS ($B = 5$) triệt tiêu hoàn toàn các điểm bất động, mở rộng trực tiếp lý thuyết thiết kế mạng thay thế - hoán vị SPN của Joan Daemen và Vincent Rijmen (2002). Đồng thời, luận án đã mở rộng mô hình ngưỡng an toàn tính toán của Arjen Lenstra và Eric Verheul (2001) để xác lập tiêu chuẩn số mũ công khai $e$ kháng thám mã liên tiếp.

2. Đột phá phương pháp luận của nghiên cứu so với các công trình quốc tế tiền nhiệm? So với các nghiên cứu của Wagner & Schneier (1996) chỉ dừng lại ở việc chỉ ra lỗ hổng giao thức SSL, và các nghiên cứu của Daemen & Rijmen (2002) sử dụng ma trận dịch vòng truyền thống, luận án đã thực hiện bước nhảy vọt phương pháp luận: kết hợp đồng thời việc vá lỗi trạng thái giao thức SSL/TLS, tối ưu hóa đại số tầng khuếch tán bằng kỹ thuật bit-slice, và tích hợp sâu vào kiến trúc dịch vụ hệ thống VPN Daemon qua giao diện ảo TUN/TAP.

3. Phát hiện thực nghiệm nào gây bất ngờ nhất và bằng chứng dữ liệu tương ứng? Phát hiện bất ngờ nhất là việc cấu trúc ma trận tựa vòng không những nâng cao độ phức tạp kháng thám mã vi sai và tuyến tính ($\ge 80$ hộp S tích cực so với $\ge 75$ của AES tiêu chuẩn) mà còn giảm thiểu chu kỳ lệnh CPU khi thực thi bit-slice, giúp phần mềm PMBM_VPN đạt thông lượng truyền thông ổn định 180-210 Mbps trên cấu hình 4 luồng mà không cần tập lệnh tăng tốc phần cứng.

4. Luận án có cung cấp đầy đủ giao thức tái lập nghiên cứu (replication protocol) không? Có. Luận án cung cấp chi tiết danh mục 16 đa thức nguyên thủy bậc 8, hệ phương trình ma trận tựa vòng, lưu đồ thuật toán đóng gói/giải gói dữ liệu IP trong PMBM_VPN, mã nguồn cấu hình VPN Server/Client và quy trình kiểm thử chi tiết trong phần phụ lục.

5. Chương trình nghiên cứu 10 năm tiếp theo được định hình như thế nào? Chương trình tập trung vào: (1) Vi mạch hóa phần cứng thuật toán BC_VPN trên nền tảng ASIC/FPGA; (2) Lai ghép hệ mật hậu lượng tử (PQC) vào cơ chế đàm phán khóa của SSL/TLS; (3) Chuẩn hóa giao thức bảo mật đường truyền cho mạng di động 5G/6G và hạ tầng điện toán đám mây.

Kết luận

Luận án tiến sĩ kỹ thuật của NCS. Nguyễn Ngọc Điệp là một công trình khoa học mẫu mực, giải quyết trọn vẹn bài toán tích hợp mật mã bảo vệ dữ liệu trên đường truyền mạng máy tính với 5 đóng góp cốt lõi:

  1. Xác lập hệ thống tiêu chuẩn an toàn mới cho số mũ công khai $e$ và modulo $n$ trong hệ mật RSA, kháng lại các kỹ thuật thám mã chu kỳ mã hóa liên tiếp.
  2. Thiết kế thành công ma trận tựa vòng $4 \times 4$ MDS trên $GF(2^8)$, triệt tiêu điểm bất động và nâng cao vượt bậc cận dưới số lượng hộp S tích cực cho mã khối BC_VPN.
  3. Tối ưu hóa thành công kỹ thuật cài đặt bit-slice cho tầng tuyến tính, nâng cao tốc độ mã hóa phần mềm và triệt tiêu nguy cơ tấn công kênh kề qua bộ nhớ đệm.
  4. Phân tích sâu sắc và khắc phục triệt để các lỗ hổng an ninh giao thức cốt tử trong OpenSSL (Rollback, ChangeCipherSpec, Padding Oracle CBC, Heartbleed).
  5. Xây dựng và thực nghiệm thành công bộ phần mềm bảo mật đường truyền PMBM_VPN trên nền OpenVPN và TUN/TAP, hiện thực hóa cơ chế bảo mật trong suốt, hiệu năng cao cho mọi dịch vụ mạng TCP/IP tại Việt Nam.