Bối cảnh và vấn đề nghiên cứu
Trong xu thế phát triển mạnh mẽ của công nghệ thông tin, việc trao đổi dữ liệu và thực hiện giao dịch trực tuyến đã trở thành phương thức thiết yếu trong nhiều hoạt động như ngân hàng điện tử, thương mại điện tử, thông báo cước phí dịch vụ và quản lý đào tạo tại các trường đại học. Tuy nhiên, bản chất của môi trường mạng là môi trường "mở" – nơi luôn tiềm ẩn các nguy cơ bảo mật nghiêm trọng, đặc biệt là nguy cơ tấn công xen giữa (Man-In-The-Middle Attack), đánh cắp thông tin đăng nhập, mạo danh đối tác hoặc sửa đổi nội dung dữ liệu.
Tại các cơ sở đào tạo đại học và cao đẳng, việc chuyển đổi sang hình thức đào tạo theo hệ thống tín chỉ tạo điều kiện cho sinh viên chủ động đăng ký môn học và lộ trình học tập qua mạng. Tuy nhiên, thực tiễn nảy sinh tình trạng đăng ký môn học ảo hoặc bị kẻ xấu lợi dụng tài khoản mạo danh để đăng ký/hủy học phần, dẫn đến việc nhiều lớp học phần không đủ chỉ tiêu phải bị hủy, ảnh hưởng trực tiếp đến kế hoạch giảng dạy của nhà trường.
Các giải pháp xác thực cao cấp hiện nay như chữ ký điện tử gắn với hạ tầng chứng thực khóa công khai (CA) đòi hỏi chi phí đầu tư cơ sở vật chất và quy trình vận hành rất phức tạp, chưa thể triển khai rộng rãi cho các đơn vị quy mô vừa và nhỏ. Trong khi đó, các phương thức mật khẩu dùng một lần (One Time Password - OTP) qua thiết bị phần cứng (Token) có chi phí đắt đỏ và không thể thay pin, còn OTP qua tin nhắn SMS lại phụ thuộc vào nhà mạng viễn thông, phát sinh chi phí duy trì và tiềm ẩn rủi ro đánh cắp đường truyền SMS. Do đó, việc nghiên cứu giải pháp xác thực đối tác nội bộ an toàn, tiết kiệm chi phí và dễ sử dụng bằng phương pháp ma trận OTP là yêu cầu cấp thiết.
Nhiệm vụ nghiên cứu của đồ án bao gồm:
- Nghiên cứu tổng quan về vai trò của bảo mật thông tin, nhu cầu xác thực và các biện pháp nhận dạng đối tác trong giao dịch trực tuyến (chữ ký điện tử, S/MIME, OTP).
- Phân tích nguyên lý hoạt động của OTP, các kỹ thuật mật mã sinh OTP và so sánh các phương thức truyền mã OTP (Token, SMS, Ma trận OTP).
- Nghiên cứu mô hình toán học và cơ chế xác thực sử dụng ma trận ngẫu nhiên OTP.
- Phân tích, thiết kế hệ thống và xây dựng chương trình mô phỏng xác thực sinh viên đăng ký tín chỉ bằng ma trận OTP trên nền tảng ASP.NET và SQL Server.
Đối tượng và phạm vi nghiên cứu:
- Đối tượng nghiên cứu: Cơ chế xác thực mật khẩu dùng một lần (OTP), giải pháp ma trận mật khẩu ngẫu nhiên và quy trình xác thực người dùng trong giao dịch nội bộ.
- Phạm vi nghiên cứu: Ứng dụng mô phỏng quy trình xác thực sinh viên đăng ký học phần tín chỉ trong hệ thống quản lý đào tạo nội bộ (tương tự phân hệ quản lý người dùng tại Khoa Công nghệ thông tin - Viện Đại học Mở Hà Nội), thời gian thực hiện từ tháng 12/2014 đến tháng 05/2015.
Cơ sở lý thuyết và phương pháp
Đề tài được xây dựng dựa trên nền tảng lý thuyết mật mã học và an toàn thông tin:
- Lý thuyết mật mã OTP: Mật khẩu một lần (One Time Password) là chuỗi ký tự chỉ có giá trị xác thực trong một phiên giao dịch duy nhất và tồn tại trong khoảng thời gian rất ngắn, có khả năng chống lại dạng tấn công phát lại (Replay Attack). Tính an toàn tuyệt đối của OTP đã được chứng minh độc lập bởi nhà toán học Claude Shannon và viện sĩ Vladimir Kotelnikov vào khoảng năm 1940. Đồ án cũng tham khảo kỹ thuật "chia sẻ bí mật" (secret splitting) trong phân quyền bảo vệ tài nguyên.
- Các mô hình mật mã sinh OTP:
- Kỹ thuật hàm một chiều của Leslie Lamport: Sinh chuỗi mật khẩu dựa trên giá trị mầm ban đầu $s$ qua hàm một chiều $f$: $\text{OTP}_1 = f^N(s), \text{OTP}_2 = f^{N-1}(s), \dots$. Việc truy ngược mật khẩu trước đó đòi hỏi phải tính hàm nghịch đảo $f^{-1}$, điều bất khả thi về mặt tính toán khi $f$ là hàm băm mật mã.
- Kỹ thuật đồng bộ thời gian (Time-synchronized OTP): Tạo mã OTP dựa trên sự đồng bộ đồng hồ phần cứng giữa máy chủ xác thực và thiết bị khách (Token/PDA).
- Kỹ thuật cơ chế thử thách (Challenge-Response): Sử dụng tham số ngẫu nhiên từ máy chủ hoặc áp dụng tiêu chuẩn ISO/IEC 9798 xác thực lẫn nhau dùng mật mã khối đối xứng (AES).
- Mô hình toán học ma trận OTP: Sử dụng bảng ma trận kích thước $8 \times 8$ (tổng cộng 64 ô tọa độ từ A1 đến H8). Mỗi ô chứa 1 ký tự ngẫu nhiên lấy từ tập hợp 35 ký tự (bao gồm 26 chữ cái tiếng Anh từ A-Z và 9 chữ số từ 1 đến 9; loại bỏ số 0 để tránh nhầm lẫn với chữ cái O). Không gian tổ hợp tạo ra $35^{64}$ bảng ma trận khác nhau.
Tập ký tự ma trận: {a, b, c, ..., z, 1, 2, ..., 9} (35 ký tự)
Kích thước bảng: 8 hàng (1 -> 8) x 8 cột (A -> H) = 64 ô
Không gian bảng ma trận: 35^64 bảng khác nhau
Không gian thách thức ngẫu nhiên 3 ô: 35^64 x 64^3 khả năng dò tìm
Phương pháp nghiên cứu bao gồm:
- Phương pháp phân tích - tổng hợp lý thuyết: So sánh các giải pháp xác thực điện tử hiện hành (chữ ký điện tử, chuẩn S/MIME do RSA Data Security thiết kế, OTP Token, OTP SMS) để xác định ưu nhược điểm kỹ thuật và chi phí triển khai.
- Phương pháp phân tích và thiết kế hệ thống hướng đối tượng (OOAD): Sử dụng ngôn ngữ mô hình hóa UML để xây dựng sơ đồ tác nhân, sơ đồ trường hợp sử dụng (Use Case), biểu đồ hoạt động (Activity Diagram) cho các luồng nghiệp vụ.
- Phương pháp thực nghiệm phần mềm: Thiết kế cơ sở dữ liệu quan hệ trên SQL Server và lập trình giao diện, thuật toán sinh mã ngẫu nhiên trên nền tảng .NET Framework.
| Phương pháp xác thực |
Cơ chế truyền nhận |
Ưu điểm chính |
Hạn chế chính |
Mức độ phù hợp nội bộ |
| Chữ ký điện tử |
Cặp khóa công khai/bí mật, chứng thư CA |
Đảm bảo tính pháp lý, chống giả mạo |
Lệ thuộc phần mềm, chi phí CA cao |
Thấp (quy mô vừa/nhỏ khó đáp ứng) |
| S/MIME |
Chuẩn mã hóa thư điện tử |
Bảo mật đầu cuối (End-to-End) |
Khó cấu hình qua webmail client |
Thấp |
| OTP Token |
Thiết bị phần cứng bấm nút |
Độc lập, hiển thị trực tiếp 6 số |
Chi phí cao, hết pin phải thay mới |
Trung bình |
| OTP SMS |
Mạng viễn thông di động |
Tiện lợi, độc lập đường truyền web |
Giới hạn thuê bao nội địa, rủi ro lộ mạng SMS |
Trung bình |
| Ma trận OTP |
Thẻ vật lý $8 \times 8$ cấp trực tiếp |
Nhỏ gọn, không tốn pin/cước viễn thông, chi phí rất thấp |
Phải phát thẻ trực tiếp tận tay |
Cao (phù hợp quản lý nội bộ trường học) |
Thiết kế và triển khai
Hệ thống mô phỏng xác thực đăng ký tín chỉ bằng ma trận OTP được thiết kế và xây dựng theo mô hình ứng dụng web phía máy chủ (Server-side):
1. Công nghệ triển khai
- Ngôn ngữ và nền tảng: ASP.NET kết hợp ngôn ngữ lập trình C# (C-Sharp) trên .NET Framework, ứng dụng mô hình tách biệt mã xử lý và giao diện (Code-behind) và cơ chế biên dịch trước thành tệp tin DLL giúp tăng tốc độ thực thi, tăng tính an toàn cho mã nguồn.
- Hệ quản trị cơ sở dữ liệu: Microsoft SQL Server, hỗ trợ xử lý nhất quán dữ liệu, phân quyền truy cập và lưu trữ bảng thông tin người dùng cùng chuỗi cấu trúc ma trận OTP.
- Công cụ mô hình hóa: Ngôn ngữ UML để chuẩn hóa tài liệu thiết kế hệ thống.
2. Thiết kế cơ sở dữ liệu
Hệ thống sử dụng các bảng dữ liệu quan hệ chính để quản lý tài khoản, ma trận bảo mật và giao dịch:
Bảng đặc tả dữ liệu tblSinhvien:
| STT |
Tên thuộc tính |
Ký hiệu |
Kiểu dữ liệu |
Loại khóa |
Diễn giải |
| 1 |
Mã sinh viên |
PK_idSinhvien |
Nvarchar(10) |
PK |
Khóa chính xác định sinh viên |
| 2 |
Email |
Email |
Nvarchar(50) |
|
Địa chỉ thư điện tử sinh viên |
| 3 |
Mật khẩu |
Matkhau |
Nvarchar(20) |
|
Mật khẩu đăng nhập hệ thống |
| 4 |
Mã bảng OTP |
FK_idbangOTP |
Nvarchar(50) |
FK |
Khóa ngoại liên kết bảng OTP |
Bảng đặc tả dữ liệu tblBangOTP:
| STT |
Tên thuộc tính |
Ký hiệu |
Kiểu dữ liệu |
Loại khóa |
Diễn giải |
| 1 |
Mã bảng ma trận |
PK_idBangOTP |
Nvarchar(10) |
PK |
Khóa chính quản lý thẻ ma trận |
| 2 |
Nội dung ma trận |
sOTP |
Varchar(10) |
|
Chuỗi lưu trữ dữ liệu các ô ma trận |
| 3 |
Mã sinh viên |
FK_idSinhvien |
Nvarchar(10) |
FK |
Khóa ngoại định danh chủ thẻ |
| 4 |
Thời gian tạo |
tThoigiantao |
Datetime |
|
Thời điểm hệ thống cấp phát thẻ |
Bảng đặc tả dữ liệu tblGiaodich:
| STT |
Tên thuộc tính |
Ký hiệu |
Kiểu dữ liệu |
Loại khóa |
Diễn giải |
| 1 |
Mã giao dịch |
PK_idGiaodich |
Nvarchar(10) |
PK |
Khóa chính phiên giao dịch |
| 2 |
Thời gian giao dịch |
thoigianGD |
Datetime |
|
Thời điểm sinh viên thực hiện giao dịch |
Ngoài ra, hệ thống còn thiết kế các bảng phụ trợ gồm: tblChitietigiaodich (lưu vết chi tiết học phần đăng ký), tblQuantri (phân quyền cán bộ quản trị hệ thống) và tblWebsite (lưu trữ thông tin cấu hình cổng thông tin).
3. Quy trình vận hành và kịch bản xác thực
Quy trình xác thực ma trận OTP trong mô phỏng diễn ra qua các bước:
- Cấp phát thẻ: Đơn vị quản trị (Phòng Đào tạo / Khoa Giáo vụ) cấp trực tiếp bản in thẻ ma trận OTP $8 \times 8$ vật lý cho sinh viên, đồng thời hệ thống lưu trữ bảng mã đồng dạng tương ứng với mã sinh viên.
- Đăng nhập: Sinh viên truy cập hệ thống bằng tài khoản (ID) và mật khẩu cá nhân.
- Thách thức ngẫu nhiên: Khi chọn chức năng "Đăng ký tín chỉ", hệ thống tự động sinh ngẫu nhiên 3 tọa độ ô (ví dụ: B3, D2, A4) từ 64 ô của ma trận và hiển thị lên màn hình giao dịch.
- Nhập phản hồi: Sinh viên tra cứu thẻ vật lý cá nhân và nhập giá trị tương ứng của 3 ô được yêu cầu trong khoảng thời gian hiệu lực từ 15 đến 30 giây.
- Kiểm tra và xử lý:
- Nếu sinh viên nhập chính xác cả 3 giá trị, hệ thống xác nhận danh tính thành công và chuyển hướng đến giao diện đăng ký tín chỉ chính thức.
- Nếu sinh viên nhập sai hoặc quá thời gian 30 giây, mã xác thực mất hiệu lực và hệ thống yêu cầu nhập lại.
- Nếu nhập sai liên tiếp quá 3 lần, phiên giao dịch lập tức bị hủy, hệ thống tự động khóa giao dịch và chuyển người dùng về trang đăng nhập ban đầu.
Nội dung chính theo từng chương
Chương 1: Tổng quan
Chương 1 trình bày bối cảnh chung về an toàn thông tin trong môi trường mạng mở và sự cần thiết của việc xác thực danh tính đối tác giao dịch. Tác giả phân tích chi tiết các nguy cơ bị đánh cắp thông tin, tấn công xen giữa (Man-in-the-middle) trong các nghiệp vụ trực tuyến của ngân hàng, thương mại điện tử và quản lý giáo dục. Chương này đi sâu đánh giá các công nghệ nhận dạng đối tác truyền thống: chữ ký điện tử (phân tích ưu điểm về tính pháp lý, tính toàn vẹn nhưng chỉ ra rào cản lệ thuộc phần mềm, khái niệm bản gốc bản sao và sự phức tạp của cơ quan chứng thực CA); giao thức mã hóa thư S/MIME. Tiếp đó, tác giả phân tích bản chất của OTP, lịch sử phát minh, ưu điểm chống tấn công phát lại, 3 kỹ thuật mật mã sinh OTP (hàm một chiều Lamport, đồng bộ thời gian token, cơ chế thử thách challenge) và so sánh 3 phương thức truyền mã: OTP Token, OTP SMS và Ma trận OTP, từ đó xác lập phạm vi nghiên cứu của đề tài.
Chương 2: Công nghệ sử dụng
Chương 2 thuyết minh cơ sở kỹ thuật và công nghệ được lựa chọn để xây dựng ứng dụng mô phỏng. Tác giả đối chiếu những hạn chế của công nghệ ASP truyền thống (mã lệnh xen lẫn HTML, không biên dịch trước, không hỗ trợ bộ nhớ đệm cache, xử lý Postback phức tạp) với những cải tiến của ASP.NET (hướng đối tượng, xử lý Server-side, mô hình Code-behind tách biệt mã nguồn, biên dịch DLL cho hiệu năng cao và bảo mật source code). Đồng thời, chương giới thiệu ngôn ngữ lập trình C#, ngôn ngữ mô hình hóa hướng đối tượng UML và hệ quản trị cơ sở dữ liệu quan hệ Microsoft SQL Server cùng các phiên bản, đặc tính bảo toàn dữ liệu phù hợp với hệ thống.
Chương 3: Ứng dụng xác nhận đối tác sử dụng ma trận OTP
Chương 3 tập trung phân tích mô hình hoạt động của phương pháp ma trận mật khẩu ngẫu nhiên dành cho các tổ chức quy mô vừa và nhỏ có ngân sách hạn chế. Tác giả chi tiết hóa cấu trúc bảng ma trận 64 ô ($8 \times 8$), quy tắc điền 35 ký tự (bảng chữ cái tiếng Anh kết hợp chữ số 1-9, loại trừ số 0), tạo nên không gian $35^{64}$ bảng khác nhau. Chương trình bày chi tiết quy trình giao tiếp giữa bên quản lý A (Phòng Đào tạo) và đối tác giao dịch B (sinh viên/giáo viên) thông qua cơ chế chọn ngẫu nhiên 3 ô kiểm tra trong khoảng thời gian quy định từ 15 đến 30 giây, chứng minh rằng xác suất kẻ giả mạo dò tìm được đúng mã trong thời gian này là cực kỳ nhỏ ($1 / (35^{64} \times 64^3)$). Tác giả cũng đề xuất các phương án nâng cao độ phức tạp như tăng số ô mỗi bảng, tăng ký tự trong mỗi ô (2-3 ký tự như bv6, 3y7) hoặc tăng số ô thách thức lên 4-5 ô.
Chương 4: Chương trình mô phỏng xác nhận sinh viên đăng kí tín chỉ bằng OTP
Chương 4 là phần hiện thực hóa giải pháp vào bài toán đào tạo tín chỉ nhằm giải quyết tình trạng sinh viên đăng ký môn học ảo hoặc bị mạo danh tài khoản làm hủy lớp học phần. Nội dung chương bao gồm:
- Mô tả quy trình nghiệp vụ cấp phát thẻ ma trận trực tiếp tại khoa giáo vụ và cơ chế xác thực khi sinh viên đăng ký học phần.
- Xác định 2 tác nhân chính của hệ thống: Người dùng (Sinh viên) và Người quản trị.
- Xây dựng sơ đồ Use Case tổng thể và Use Case chi tiết: Quản lý giao dịch, Đặc tả Use Case Xác thực người dùng (UC01), Đặc tả Use Case Giao dịch (UC02).
- Thiết kế biểu đồ hoạt động (Activity Diagram) cho 3 luồng: Đăng nhập tài khoản, Sinh mã ngẫu nhiên (3 ô) và Xác thực sinh viên bằng ma trận OTP.
- Thiết kế chi tiết cơ sở dữ liệu gồm 6 bảng dữ liệu (
tblSinhvien, tblBangOTP, tblGiaodich, tblChitietigiaodich, tblQuantri, tblWebsite).
- Xây dựng các giao diện chức năng của chương trình: màn hình đăng nhập, màn hình chọn đăng ký tín chỉ, màn hình hiển thị yêu cầu nhập tọa độ 3 ô ngẫu nhiên, màn hình thông báo xác nhận thành công và màn hình cảnh báo khi nhập sai mã OTP.
Chương 5: Kết quả đạt được
Chương 5 tổng kết toàn bộ kết quả nghiên cứu lý thuyết và sản phẩm mô phỏng đã hoàn thành. Tác giả khẳng định chương trình đã thực hiện thành công cơ chế xác thực hai lớp kết hợp giữa tài khoản đăng nhập và ma trận OTP ngẫu nhiên, đáp ứng tốt yêu cầu an toàn, ngăn chặn việc đăng ký hộ/đăng ký ảo trong giao dịch nội bộ trường học với chi phí triển khai tối thiểu.
Kết quả và đóng góp
Đồ án đã đạt được các kết quả kỹ thuật và đóng góp học thuật cụ thể:
- Hoàn thiện mô hình toán học và lý thuyết ma trận xác thực OTP: Xây dựng thành công mô hình ma trận ngẫu nhiên $8 \times 8$ gồm 64 ô với tập 35 ký tự chuẩn, thiết lập không gian quản lý lên tới $35^{64}$ biến thể bảng khác nhau, loại trừ khả năng trùng lặp giữa các đối tác trong hệ thống nội bộ.
- Xây dựng phần mềm mô phỏng hoàn chỉnh: Triển khai thành công ứng dụng web mô phỏng cơ chế xác thực sinh viên đăng ký tín chỉ bằng ASP.NET và SQL Server. Phần mềm tích hợp thuật toán sinh ngẫu nhiên 3 ô tọa độ, cơ chế đếm lùi thời gian hiệu lực 30 giây và thuật toán kiểm soát khóa phiên khi nhập sai quá 3 lần.
- Đề xuất giải pháp an toàn thông tin kinh tế: Đưa ra giải pháp xác thực hai yếu tố (Two-Factor Authentication) tối ưu cho các hệ thống nội bộ như hệ thống CMTS của Khoa Công nghệ thông tin - Viện Đại học Mở Hà Nội, giúp loại bỏ hoàn toàn chi phí mua sắm thiết bị phần cứng OTP Token đắt tiền hoặc chi phí duy trì đầu số SMS Gateway của các nhà mạng viễn thông.
Hạn chế và hướng nghiên cứu tiếp
Hạn chế của đề tài:
- Phụ thuộc vào phương thức phân phát vật lý: Thẻ ma trận OTP phải được in ấn và bàn giao trực tiếp tận tay người dùng tại văn phòng khoa/giáo vụ, gây khó khăn về mặt địa lý nếu áp dụng cho người dùng ở xa.
- Yêu cầu kỹ năng thao tác: Phương thức yêu cầu người dùng phải nhanh mắt tra cứu và nhập chính xác 3 ô tọa độ trong giới hạn thời gian ngắn (15-30 giây), dễ dẫn đến nhập sai đối với người thao tác chậm.
Hướng mở rộng nghiên cứu được tác giả đề xuất:
- Mở rộng kích thước bảng ma trận hoặc tăng số ký tự trong mỗi ô lên 2 hoặc 3 ký tự (ví dụ:
bv6, 3y7,...).
- Tăng số lượng ô thách thức ngẫu nhiên trong mỗi phiên giao dịch từ 3 ô lên 4 hoặc 5 ô để gia tăng cấp số nhân độ phức tạp chống tấn công dò mã.
- Nghiên cứu tích hợp mở rộng cơ chế ma trận OTP cho các hệ thống quản trị nội bộ khác trong doanh nghiệp và trường học như ERP, CRM, HRM, Webmail và hệ thống phân phối điểm thi của giảng viên.
Giá trị tham khảo
Tài liệu đồ án mang lại giá trị tham khảo thiết thực cho:
- Sinh viên và học viên ngành Công nghệ thông tin, An toàn thông tin: Nắm vững nguyên lý mật mã học của OTP, thuật toán sinh mã một chiều của Lamport và phương pháp thiết kế hệ thống xác thực phân tán.
- Lập trình viên và nhà phát triển ứng dụng .NET: Tham khảo tài liệu phân tích thiết kế hệ thống theo chuẩn UML, thiết kế CSDL quan hệ trên SQL Server và kỹ thuật lập trình web phía Server-side với ASP.NET/C#.
- Các đơn vị quản lý giáo dục, doanh nghiệp vừa và nhỏ: Cung cấp mô hình tham chiếu thực tế để áp dụng cơ chế bảo mật hai lớp chi phí thấp cho các cổng thông tin nội bộ, khắc phục tình trạng chia sẻ tài khoản hoặc mạo danh người dùng mà không cần đầu tư hạ tầng tốn kém.
Câu hỏi thường gặp
1. Tại sao bảng ma trận OTP trong đề tài chỉ sử dụng 35 ký tự mà không phải 36 ký tự?
Bảng ma trận OTP $8 \times 8$ trong đề tài sử dụng tập hợp gồm 26 chữ cái tiếng Anh (từ A đến Z) và 9 chữ số (từ 1 đến 9). Số 0 bị loại bỏ khỏi tập ký tự nhằm tránh sự nhầm lẫn trực quan cho người dùng giữa chữ số 0 và chữ cái O khi đọc và nhập mã từ thẻ vật lý trong khoảng thời gian giới hạn.
2. Không gian mã hóa và xác suất dò tìm ma trận OTP của kẻ tấn công là bao nhiêu?
Với bảng $8 \times 8 = 64$ ô và 35 ký tự có thể chọn cho mỗi ô, hệ thống có thể tạo ra $35^{64}$ bảng ma trận khác nhau. Khi hệ thống yêu cầu ngẫu nhiên 3 ô tọa độ, trong khoảng thời gian từ 15 đến 30 giây, kẻ tấn công mạo danh phải đối mặt với không gian dò tìm lên tới $35^{64} \times 64^3$ khả năng, khiến việc tấn công brute-force trong thời gian ngắn là bất khả thi.
3. Hệ thống xử lý như thế nào khi sinh viên nhập sai mã OTP hoặc quá thời gian quy định?
Mỗi mã OTP ngẫu nhiên chỉ tồn tại trong vòng 30 giây. Nếu sinh viên nhập sai mã hoặc quá thời gian, hệ thống sẽ thông báo lỗi và yêu cầu xác thực lại. Nếu sinh viên thực hiện nhập sai liên tiếp quá 3 lần, hệ thống sẽ tự động hủy phiên giao dịch hiện tại, ngắt kết nối và chuyển hướng về màn hình đăng nhập ban đầu để yêu cầu xác thực lại từ đầu.
4. So với OTP Token và OTP SMS, ma trận OTP có ưu điểm nổi bật gì trong ứng dụng nội bộ?
Ma trận OTP có chi phí sản xuất cực kỳ rẻ (chỉ là thẻ in vật lý nhỏ gọn để trong ví), không lo hết pin như thiết bị phần cứng OTP Token, và hoàn toàn không phụ thuộc vào hạ tầng mạng viễn thông hay cước phí duy trì tin nhắn như OTP SMS, đồng thời có thể sử dụng bình thường khi người dùng ở nước ngoài.
Kết luận
Đồ án tốt nghiệp "Sử dụng OTP trong việc xác nhận đối tác giao dịch nội bộ" của tác giả Nguyễn Thị Tươi đã giải quyết hiệu quả bài toán an toàn thông tin trong các giao dịch trực tuyến quy mô nội bộ. Bằng việc kết hợp nền tảng lý thuyết mật mã học vững chắc với công nghệ ASP.NET, C# và SQL Server, tác giả đã xây dựng thành công chương trình mô phỏng xác thực hai lớp bằng ma trận OTP $8 \times 8$ ứng dụng trong quy trình đăng ký tín chỉ sinh viên. Đề tài là tài liệu tham khảo có giá trị cao về mặt kỹ thuật phân tích thiết kế hệ thống cũng như tính ứng dụng thực tiễn trong bảo mật thông tin chi phí thấp.
