Tổng quan nghiên cứu

Trong thời đại bùng nổ công nghệ thông tin và truyền thông, vấn đề bảo đảm an toàn dữ liệu số trở thành nhiệm vụ sống còn đối với mọi tổ chức. Theo ước tính từ các báo cáo an toàn thông tin chuyên ngành, các sự cố xâm phạm dữ liệu nội bộ và đánh cắp tài liệu nhạy cảm tăng trưởng hơn 35% mỗi năm, trong đó nguy cơ thất thoát dữ liệu trên đường truyền chiếm tới khoảng 42% tổng số vụ tấn công mạng. Tại các đơn vị đặc thù như Trung tâm kỹ thuật tài liệu nghiệp vụ, khối lượng văn bản, hồ sơ và tài liệu mật cần số hóa, lưu trữ và truyền đưa qua mạng gia tăng với tốc độ hàng nghìn tệp tin mỗi tháng. Thực trạng này đặt ra yêu cầu cấp thiết về một cơ chế mã hóa dữ liệu tốc độ cao, độ an toàn tính toán tuyệt đối và tối ưu hóa chi phí vận hành.

Luận văn thạc sĩ chuyên ngành Khoa học máy tính với đề tài "Hệ mã hóa đối xứng và ứng dụng trong vấn đề bảo mật tài liệu tại Trung tâm kỹ thuật tài liệu nghiệp vụ" do học viên Nguyễn Quang Trung thực hiện dưới sự hướng dẫn khoa học của Tiến sĩ Vũ Vinh Quang tại Trường Đại học Công nghệ Thông tin và Truyền thông – Đại học Thái Nguyên vào năm 2017 đã giải quyết trọn vẹn bài toán thực tiễn này. Mục tiêu nghiên cứu trọng tâm là khảo sát hệ thống lý thuyết đại số hiện đại, phân tích sâu các chuẩn mã hóa đối xứng kinh điển và nâng cao, từ đó thiết kế, thử nghiệm và đánh giá giải pháp phần mềm bảo mật tài liệu chuyên dụng.

Phạm vi nghiên cứu tập trung vào các hệ mật mã khối đối xứng, trọng tâm là thuật toán DES, Triple DES và chuẩn mã hóa cao cấp AES trên tập dữ liệu tài liệu nghiệp vụ đa dạng định dạng. Kết quả nghiên cứu chứng minh hệ thống mã hóa đối xứng đạt không gian khóa lên tới 2^128 (tương đương khoảng 3,4 x 10^38 khả năng kết hợp), triệt tiêu hoàn toàn nguy cơ thám mã vét cạn, đồng thời nâng thông lượng xử lý dữ liệu lên hơn 85 MB/giây, rút ngắn 80% thời gian xử lý so với các thuật toán mã hóa khóa công khai truyền thống.

Cơ sở lý thuyết và phương pháp nghiên cứu

Khung lý thuyết áp dụng

Khung lý thuyết của công trình được xây dựng vững chắc trên nền tảng mật mã học hiện đại và toán học rời rạc. Hệ mật mã được chuẩn hóa dưới dạng bộ 5 đại số gồm tập hợp bản rõ P, tập hợp bản mã C, không gian khóa K, hàm mã hóa E và hàm giải mã D thỏa mãn tính chất ánh xạ một - một DK(EK(x)) = x với mọi phần tử bản rõ x thuộc P.

Nền tảng toán học của đề tài khai thác sâu lý thuyết số và số học modulo trên vành Zn, kết hợp thuật toán Euclide mở rộng để tính ước chung lớn nhất và tìm phần tử nghịch đảo với độ phức tạp tính toán xấp xỉ O(log n)^2. Định lý số dư Trung Hoa (CRT), hàm Phi-Euler và định lý nhỏ Fermat được vận dụng để xác lập các tính chất bất biến của phép lũy thừa modulo, đóng vai trò nền tảng cho việc chứng minh độ an toàn tính toán của thuật toán.

Hệ thống lý thuyết phân tích tập trung vào mô hình mã khối (Block Cipher) cấu trúc mạng thay thế - hoán vị (SPN) của thuật toán AES (chuẩn Rijndael được NIST phê chuẩn). Cấu trúc AES biến đổi mảng trạng thái 4x4 byte trong trường hữu hạn Galois GF(2^8) qua 4 phép biến đổi tuần hoàn: thay thế byte phi tuyến (Byte Substitution qua bảng S-Box 16x16), dịch dòng hoán vị (ShiftRows), khuếch tán trộn cột (MixColumns qua phép nhân ma trận trên trường đa thức tối giản), và cộng khóa phụ (AddRoundKey qua phép toán XOR logic). Luận văn khảo sát đầy đủ 4 chế độ hoạt động chuẩn mực của mã khối theo tiêu chuẩn ISO/IEC 10116:1997 gồm ECB (Electronic Codebook), CBC (Cipher Block Chaining), CFB (Cipher Feedback) và OFB (Output Feedback), làm rõ cơ chế lan truyền lỗi và tính ngẫu nhiên hóa bản mã.

Phương pháp nghiên cứu

Nghiên cứu kết hợp chặt chẽ giữa phương pháp nghiên cứu lý thuyết giải tích và phương pháp thực nghiệm đo lường hiệu năng phần mềm (Benchmarking). Nguồn dữ liệu thực nghiệm được thu thập trực tiếp từ cơ sở dữ liệu tài liệu nghiệp vụ thực tế, bao gồm 100 tệp tin mẫu với các định dạng văn bản (.doc, .pdf, .xls) và tệp nhị phân (.bin, .dat) có kích thước phân tầng rõ rệt: nhóm nhỏ (từ 1 MB đến 10 MB), nhóm trung bình (từ 50 MB đến 100 MB), và nhóm dung lượng lớn (từ 200 MB đến 500 MB).

Phương pháp chọn mẫu là chọn mẫu phân tầng có chủ đích (Purposive Stratified Sampling) nhằm phản ánh đúng tỷ trọng và đặc tính dữ liệu nghiệp vụ lưu hành hàng ngày tại Trung tâm. Lý do lựa chọn phương pháp phân tích thực nghiệm định lượng kết hợp đo lường thời gian thực thi là để đánh giá chính xác độ trễ tính toán, thông lượng dữ liệu (Throughput tính bằng MB/giây) và mức tiêu hao tài nguyên CPU trong môi trường máy chủ tiêu chuẩn. Mỗi kịch bản kiểm thử được lặp lại 30 lần độc lập để lấy giá trị trung bình toán học, loại bỏ các sai số hệ thống do bộ nhớ đệm và tiến trình nền. Toàn bộ quá trình thu thập và phân tích dữ liệu được tiến hành liên tục trong 12 tháng, từ tháng 5 năm 2016 đến tháng 5 năm 2017.

Kết quả nghiên cứu và thảo luận

Những phát hiện chính

Quá trình thực nghiệm và phân tích dữ liệu mang lại 4 phát hiện khoa học cốt lõi:

Thứ nhất, về độ an toàn trước tấn công vét cạn (Brute-force attack), chuẩn mã hóa AES-128 thể hiện ưu thế vượt trội tuyệt đối so với các chuẩn cũ. Trong khi thuật toán DES với độ dài khóa thực tế 56 bit (2^56 xấp xỉ 7,2 x 10^16 khóa) từng bị giải mã hoàn toàn trong khoảng 22 giờ bởi mạng lưới 100.000 máy tính, thì không gian khóa 128 bit của AES (2^128 xấp xỉ 3,4 x 10^38 khóa) đòi hỏi thời gian thám mã lên tới 5,4 x 10^18 năm ở tốc độ thử 10^6 khóa mỗi mili-giây, bảo đảm an toàn vô điều kiện về mặt tính toán.

Thứ hai, tốc độ mã hóa và giải mã của AES tăng trưởng tuyến tính lý tưởng theo kích thước dữ liệu. Với tệp tin kích thước 10 MB, thời gian mã hóa trung bình chỉ mất khoảng 0,12 giây; khi dữ liệu tăng lên 100 MB, thời gian xử lý đạt khoảng 1,18 giây; và với tệp tin lớn 500 MB, hệ thống hoàn thành trong khoảng 5,85 giây, duy trì thông lượng ổn định xấp xỉ 85,4 MB/giây.

Thứ ba, sự so sánh giữa các chế độ vận hành mã khối khẳng định chế độ CBC có hiệu năng gần như tương đương nhưng bảo mật hơn hẳn ECB. Chế độ CBC chỉ tốn thêm khoảng 5,3% thời gian xử lý so với ECB (1,18 giây so với 1,12 giây cho tệp 100 MB), nhưng triệt tiêu hoàn toàn hiện tượng lặp lại mẫu hình mật mã, ngăn chặn nguy cơ thám mã phân tích thống kê.

Thứ tư, tác động của độ dài khóa đến độ trễ thực thi: Khi nâng cấp kích thước khóa từ 128 bit (10 vòng) lên 192 bit (12 vòng) và 256 bit (14 vòng), thời gian mã hóa tệp tin 100 MB chỉ tăng lần lượt từ 1,18 giây lên 1,40 giây (tăng 18,6%) và 1,61 giây (tăng 36,4%), chứng minh tính khả thi cao khi ứng dụng cấp độ bảo mật cao nhất AES-256 vào thực tế.

Thảo luận kết quả

Hiệu năng ấn tượng của thuật toán AES bắt nguồn từ cấu trúc đại số không dựa trên mạng Feistel truyền thống. Việc xử lý song song toàn bộ 16 byte của mảng trạng thái cùng lúc và tối ưu hóa các phép nhân trong trường hữu hạn Galois GF(2^8) qua bảng tra cứu bộ nhớ (Look-up Table) giúp phần mềm tận dụng tối đa kiến trúc vi xử lý hiện đại.

Dữ liệu nghiên cứu được biểu diễn trực quan qua các đồ thị hàm tuyến tính thể hiện tương quan giữa độ trễ (giây) và kích thước tệp (MB), cùng bảng ma trận đối chiếu 3 chiều giữa 3 cấp độ khóa (128, 192, 256 bit) và 4 chế độ vận hành mã khối (ECB, CBC, CFB, OFB). Biểu đồ cột so sánh thời gian mã hóa và giải mã minh chứng tính cân bằng đối xứng của thuật toán, khi độ chênh lệch thời gian giữa hai chiều xử lý luôn duy trì ở mức dưới 2%.

So sánh với các nghiên cứu triển khai Triple DES trong cùng điều kiện phần cứng, Triple DES chỉ đạt thông lượng khoảng 18 đến 22 MB/giây do phải lặp lại cấu trúc DES 3 lần và giới hạn kích thước khối 64 bit. Thuật toán AES trong luận văn này đạt thông lượng cao gấp 4 lần, đồng thời loại bỏ hoàn toàn các lỗ hổng tấn công gặp ở giữa (Meet-in-the-Middle) vốn tồn tại trên Triple DES 2 khóa.

Đề xuất và khuyến nghị

Dựa trên kết quả nghiên cứu lý thuyết và kiểm thử thực nghiệm, tác giả đề xuất 4 nhóm giải pháp kỹ thuật cụ thể nhằm nâng cao toàn diện an toàn thông tin tại Trung tâm kỹ thuật tài liệu nghiệp vụ:

  1. Chuẩn hóa áp dụng thuật toán AES-256 ở chế độ CBC: Phòng Kỹ thuật công nghệ thông tin cần thiết lập chuẩn mã hóa AES-256 kết hợp vector khởi tạo ngẫu nhiên (IV) cho toàn bộ 100% tệp tin tài liệu lưu trữ nội bộ và tài liệu truyền nhận qua mạng, hướng tới mục tiêu giảm thiểu 99,9% nguy cơ rò rỉ dữ liệu tĩnh, hoàn thành triển khai trước quý 4 năm 2018.
  2. Xây dựng hệ thống quản lý và phân phối khóa tự động: Bộ phận An toàn thông tin chủ trì thiết lập quy trình quản lý vòng đời khóa mật mã, định kỳ tái sinh khóa tự động sau mỗi 90 ngày hoặc sau 10.000 phiên mã hóa, ứng dụng bộ sinh số ngẫu nhiên chuẩn mật mã để loại bỏ 90% rủi ro lộ khóa do yếu tố con người trước tháng 6 năm 2018.
  3. Tối ưu hóa hiệu năng phần mềm qua tập lệnh phần cứng: Đội ngũ phát triển hệ thống cần tích hợp tập lệnh tăng tốc phần cứng AES-NI trên hệ thống máy chủ xử lý dữ liệu, nâng thông lượng xử lý tệp tin lên trên 150 MB/giây, rút ngắn 40% thời gian xử lý hàng đợi mã hóa, hoàn thành trong vòng 6 tháng kể từ khi nghiệm thu.
  4. Ban hành quy chế kiểm soát truy cập và kiểm toán an ninh: Ban Giám đốc Trung tâm phối hợp cùng Bộ phận Quản trị hệ thống ban hành quy chế vận hành bảo mật theo nguyên tắc đặc quyền tối thiểu (Least Privilege), thực hiện ghi nhật ký kiểm toán tự động 100% các phiên mã hóa và giải mã tài liệu nghiệp vụ trước tháng 12 năm 2018.

Đối tượng nên tham khảo luận văn

Công trình luận văn là tài liệu tham khảo giá trị cho 4 nhóm đối tượng chuyên môn:

  • Kỹ sư an toàn thông tin và chuyên viên mật mã: Cung cấp khung hướng dẫn thực hành chi tiết trong việc thiết kế mô hình bảo mật tài liệu theo tiêu chuẩn ISO/IEC 10116:1997, ứng dụng trực tiếp vào việc xây dựng cổng lưu trữ dữ liệu mật cho các cơ quan, tổ chức.
  • Lập trình viên và kiến trúc sư hệ thống phần mềm: Tiếp cận đầy đủ các thuật toán chuyển đổi mảng trạng thái, phép nhân ma trận trên trường hữu hạn Galois GF(2^8) và thuật toán sinh khóa mở rộng 44 từ, phục vụ xây dựng các mô-đun mã hóa khối hiệu năng cao cho phần mềm quản lý văn bản điều hành.
  • Học viên cao học và nghiên cứu sinh ngành Công nghệ thông tin: Nắm bắt phương pháp luận nghiên cứu học thuật chuẩn mực, từ cách tiếp cận đại số số học modulo, kỹ thuật phân tích thám mã vi sai, đến quy trình thiết kế kịch bản benchmarking thực nghiệm để kế thừa trong các đề tài nghiên cứu chuyên sâu.
  • Lãnh đạo quản lý công nghệ thông tin tại các cơ quan, doanh nghiệp: Cung cấp cơ sở dữ liệu định lượng và các bằng chứng thực nghiệm rõ ràng để ra quyết định đầu tư, lựa chọn cấu hình thuật toán và chế độ mã hóa cân bằng tối ưu giữa tính bảo mật và chi phí tài nguyên phần cứng.

Câu hỏi thường gặp

Tại sao luận văn lựa chọn hệ mã hóa đối xứng AES thay vì hệ mã hóa công khai RSA để bảo mật tài liệu?
Hệ mã hóa công khai RSA có tốc độ xử lý rất chậm do đòi hỏi các phép tính lũy thừa modulo trên số nguyên hàng nghìn bit, chỉ phù hợp cho việc trao đổi khóa hoặc ký số. Ngược lại, hệ mã đối xứng AES xử lý khối 128 bit với cấu trúc hoán vị byte tối ưu, đạt thông lượng trên 85 MB/giây, đáp ứng hoàn hảo nhu cầu mã hóa hàng trăm megabyte tài liệu nghiệp vụ mỗi ngày.

Khóa 128 bit của AES có thực sự bảo đảm an toàn trước năng lực tính toán hiện nay không?
Hoàn toàn an toàn. Không gian khóa AES-128 chứa khoảng 3,4 x 10^38 giá trị khả dĩ. Ngay cả khi sử dụng hệ thống siêu máy tính có khả năng kiểm tra 10^6 khóa trong mỗi mili-giây, việc thám mã vét cạn vẫn đòi hỏi khoảng 5,4 x 10^18 năm, vượt xa giới hạn thời gian tồn tại của mọi hệ thống thông tin.

Vì sao chế độ mã hóa khối CBC lại vượt trội hơn chế độ ECB trong thực tế?
Chế độ ECB mã hóa độc lập từng khối dữ liệu, khiến các khối bản rõ giống nhau sinh ra các khối bản mã giống hệt nhau, làm lộ cấu trúc tài liệu. Chế độ CBC sử dụng vector khởi tạo IV và thực hiện phép XOR kết hợp khối mã trước với khối rõ hiện tại, loại bỏ hoàn toàn tính chu kỳ của bản mã trong khi thời gian thực thi chỉ tăng thêm khoảng 5,3%.

Bốn thao tác biến đổi trạng thái trong mỗi vòng lặp của thuật toán AES có vai trò gì?
Bốn thao tác gồm Byte Substitution (tạo tính phi tuyến và hỗn loạn qua bảng S-Box), ShiftRows (hoán vị khuếch tán dữ liệu theo chiều ngang), MixColumns (khuếch tán thông tin giữa các byte theo chiều dọc trên trường Galois), và AddRoundKey (trộn khóa phụ qua phép XOR logic), bảo đảm tính xáo trộn và khuếch tán triệt để theo tiêu chuẩn Shannon.

Luận văn giải quyết thách thức phân phối khóa bí mật trong môi trường mạng bằng cách nào?
Luận văn đề xuất kết hợp các kênh phân phối an toàn vật lý tại chỗ với việc sử dụng máy chủ chứng thực bên thứ ba tin cậy (TTP), kết hợp cơ chế đổi khóa phiên tự động theo chu kỳ thời gian và định mức dữ liệu, giúp triệt tiêu hoàn toàn rủi ro bị nghe lén hoặc đánh cắp khóa trên đường truyền mạng.

Kết luận

  • Luận văn hệ thống hóa toàn diện cơ sở toán học mật mã học hiện đại từ lý thuyết đồng dư, định lý Euler, định lý Fermat đến trường hữu hạn Galois GF(2^8).
  • Làm sáng tỏ cấu trúc thuật toán AES, phân tích chi tiết ưu thế vượt trội của kiến trúc SPN so với mạng Feistel của chuẩn DES và Triple DES.
  • Xây dựng thành công bộ công cụ thực nghiệm, đo lường chính xác tốc độ mã hóa và giải mã trên 100 tệp tin mẫu với các cấp độ khóa 128, 192, 256 bit.
  • Khẳng định tính ưu việt của chế độ mã khối CBC kết hợp khóa AES-256 trong việc bảo vệ dữ liệu nhạy cảm với thông lượng xử lý đạt trên 85 MB/giây.
  • Đề xuất giải pháp ứng dụng thực tế và lộ trình nâng cấp hạ tầng bảo mật dữ liệu hoàn chỉnh cho Trung tâm kỹ thuật tài liệu nghiệp vụ.

Công trình là đóng góp khoa học và thực tiễn quan trọng, giải quyết triệt để bài toán bảo mật dữ liệu lưu trữ và truyền thông nội bộ. Hướng phát triển tiếp theo của đề tài là tích hợp chữ ký số và cơ chế xác thực toàn vẹn thông điệp trong giai đoạn 2018-2020. Hãy nghiên cứu toàn văn luận văn thạc sĩ để làm chủ giải pháp mã hóa dữ liệu đối xứng chuẩn mực cho hệ thống thông tin của bạn!