Tổng quan nghiên cứu

Sự bùng nổ của công nghệ nhận dạng qua tần số vô tuyến RFID và nhu cầu thắt chặt an ninh biên giới toàn cầu đã thúc đẩy sự chuyển dịch mạnh mẽ từ hộ chiếu giấy truyền thống sang hộ chiếu điện tử hay hộ chiếu sinh trắc học. Tính đến thời điểm năm 2010, hơn 30.000 hộ chiếu sinh trắc đã được lưu hành tại nhiều quốc gia tiên tiến, phục vụ công tác quản lý định danh công dân theo chu kỳ hiệu lực khoảng 10 năm. Tại Việt Nam, Thủ tướng Chính phủ đã phê duyệt Đề án quốc gia về sản xuất và phát hành hộ chiếu điện tử với mục tiêu bắt đầu triển khai từ năm 2011 và đạt tỷ lệ 100% công dân sử dụng hộ chiếu điện tử vào năm 2015.

Tuy nhiên, các thế hệ hộ chiếu điện tử ban đầu vẫn bộc lộ nhiều lỗ hổng an ninh nghiêm trọng. Cơ chế kiểm soát truy cập cơ sở chỉ sở hữu độ dài khóa truy cập tối đa 56 bit entropy, khiến hệ thống dễ bị tấn công nghe lén không dây, quét trộm dữ liệu và làm nhái thẻ chip. Trước thực trạng đó, đề tài tập trung nghiên cứu quy trình xác thực hộ chiếu sinh trắc thế hệ thứ ba theo tiêu chuẩn của Tổ chức Hàng không Dân dụng Quốc tế ICAO và Văn phòng An toàn Thông tin Liên bang Đức. Mục tiêu trọng tâm là làm chủ và tích hợp hai cơ chế bảo mật tiên tiến gồm thiết lập kết nối có xác thực mật khẩu PACE cùng kiểm soát truy cập mở rộng EAC.

Nghiên cứu được thực hiện trong phạm vi hệ thống thông tin tại Việt Nam giai đoạn 2008 - 2010, mang lại ý nghĩa then chốt trong việc tạo lập cơ sở khoa học cho hệ thống kiểm soát xuất nhập cảnh tự động. Giải pháp ứng dụng mật mã đường cong Elliptic giúp tăng tốc độ xử lý xác thực lên gấp 10 lần so với các hệ mật truyền thống, loại bỏ triệt để nguy cơ tấn công từ chối dịch vụ và đảm bảo tính toàn vẹn tuyệt đối cho dữ liệu định danh công dân.

Cơ sở lý thuyết và phương pháp nghiên cứu

Khung lý thuyết áp dụng

Nghiên cứu được xây dựng dựa trên ba trụ cột lý thuyết cốt lõi trong an toàn thông tin và định danh điện tử:

Thứ nhất là mô hình Cấu trúc Dữ liệu Logic LDS theo chuẩn ICAO Doc 9303. Cấu trúc này phân chia dữ liệu hộ chiếu thành 16 nhóm logic từ DG1 đến DG16 lưu trữ trên vi mạch RFIC tuân thủ chuẩn ISO/IEC 14443. Trong đó, DG1 chứa vùng đọc máy MRZ gồm 2 dòng ký tự với 44 ký tự mỗi dòng; DG2 chứa ảnh khuôn mặt mã hóa chuẩn JPEG2000 có kích thước từ 12 đến 20 KB; DG3 và DG4 lần lượt lưu trữ vân tay và mống mắt với xác suất trùng lặp tự nhiên chỉ 1 trên 64 tỉ người.

Thứ hai là Hạ tầng Khóa công khai PKI quốc gia phục vụ hộ chiếu điện tử. Mô hình phân cấp chứng chỉ số gồm cơ quan cấp chứng chỉ quốc gia CSCA, cơ quan chứng thực thẩm tra CVCA, cơ quan thẩm tra tài liệu DV và hệ thống kiểm tra IS kết hợp cùng thư mục khóa công khai PKD của ICAO.

Thứ ba là hệ mật mã đường cong Elliptic ECC và các giao thức bảo mật thế hệ mới:

  • Cơ chế PACE: Sử dụng mật khẩu ngắn kết hợp thuật toán thỏa thuận khóa Diffie-Hellman để thiết lập kênh truyền bảo mật và sinh khóa phiên mạnh.
  • Cơ chế EAC phiên bản 2: Kết hợp quy trình xác thực đầu đọc Terminal Authentication và xác thực chip Chip Authentication nhằm kiểm soát nghiêm ngặt quyền truy cập vào dữ liệu sinh trắc học nhạy cảm.
  • Cơ chế xác thực thụ động: Kiểm tra chữ ký số trên tệp bảo mật SOD nhằm đảm bảo tính toàn vẹn dữ liệu logic.

Phương pháp nghiên cứu

Luận văn kết hợp phương pháp nghiên cứu lý thuyết chuẩn hóa quốc tế với phương pháp thực nghiệm phát triển phần mềm:

Về nguồn dữ liệu, tác giả thu thập và phân tích các bộ đặc tả kỹ thuật quốc tế từ tài liệu ICAO Doc 9303 và hướng dẫn kỹ thuật BSI TR-03110 phiên bản 2.0. Bộ mẫu thử nghiệm bao gồm 100 kịch bản xác thực giả lập tương ứng với các trường hợp cấp phát, kiểm tra thông thường và tình huống bị tấn công can thiệp dữ liệu. Phương pháp chọn mẫu có chủ đích được áp dụng nhằm bao phủ toàn diện 3 đặc trưng sinh trắc học khuôn mặt, vân tay, mống mắt cùng 5 bộ chứng chỉ số PKI phân cấp.

Lý do lựa chọn phương pháp mô phỏng là nhằm đánh giá chính xác độ phức tạp tính toán và tính khả thi của các thuật toán mật mã trên môi trường máy tính trước khi tích hợp vào vi mạch phần cứng. Kiến trúc thực nghiệm được lập trình bằng ngôn ngữ C# theo mô hình 2 tầng gồm giao diện người dùng và thư viện xử lý lõi ePassport. Tiến trình nghiên cứu được triển khai xuyên suốt trong 18 tháng từ năm 2009 đến năm 2010.

Kết quả nghiên cứu và thảo luận

Những phát hiện chính

Quá trình phân tích lý thuyết và thực nghiệm trên hệ thống phần mềm đã mang lại 4 phát hiện quan trọng:

Thứ nhất, cơ chế PACE khắc phục hoàn toàn điểm yếu entropy của cơ chế kiểm soát truy cập cơ sở BAC. Khóa BAC trước đây chỉ đạt độ dài 56 bit vốn rất dễ bị dò quét khi kẻ tấn công thu thập được thông tin trên vùng quang học MRZ. Ngược lại, cơ chế PACE chỉ cần một mật khẩu chia sẻ ngắn khoảng 6 ký tự nhưng thông qua ánh xạ tham số Diffie-Hellman đã sinh ra được khóa phiên đối xứng có độ an toàn thực tế tương đương 128 bit.

Thứ hai, việc tái cấu trúc thứ tự xác thực trong mô hình EAC thế hệ mới loại bỏ 100% nguy cơ tấn công từ chối dịch vụ DoS. Trong mô hình cũ, việc xác thực chip thực hiện trước xác thực đầu đọc khiến chip dễ bị tràn bộ nhớ bởi các chứng chỉ rác. Mô hình mới yêu cầu thực hiện xác thực đầu đọc trước, giúp chip RFID kiểm tra hợp lệ quyền hạn của hệ thống kiểm tra trước khi thực hiện các phép tính toán phức tạp.

Thứ ba, hệ mật mã đường cong Elliptic ECC thể hiện ưu thế vượt trội về hiệu năng tính toán. Tốc độ thực thi của thuật toán ký số ECDSA và thỏa thuận khóa trên đường cong Elliptic nhanh gấp khoảng 10 lần so với hệ mật RSA có cùng cấp độ an toàn, đồng thời tiết kiệm hơn 70% không gian lưu trữ tham số khóa trong chip thẻ nhớ phi tiếp xúc.

Thứ tư, mô hình tích hợp đồng thời 3 nhân tố sinh trắc học khuôn mặt, vân tay và mống mắt giúp nâng cao độ chính xác nhận dạng chủ thể lên mức tiệm cận 100%, khắc phục hoàn toàn tình trạng sai lệch nhận diện khi chỉ sử dụng một ảnh chân dung duy nhất.

Thảo luận kết quả

Các kết quả nghiên cứu giải quyết triệt để 5 nguy cơ an ninh nghiêm trọng của công nghệ RFID trong hộ chiếu gồm: theo dõi lén, đọc trộm, nghe lén kênh truyền, rò rỉ dữ liệu sinh trắc và tấn công điểm yếu mật mã. Việc ngăn chặn ngữ nghĩa thách đố trong giao thức Chip Authentication giúp bảo vệ hoàn toàn khóa bí mật của chip, chống lại các hành vi sao chép hay nhân bản chip trái phép.

So sánh với các nghiên cứu trước đây tại Việt Nam như nghiên cứu của tác giả Phạm Tâm Long năm 2008 và tác giả Bùi Thị Quỳnh Phương năm 2010 vốn chỉ dừng lại ở thế hệ thứ hai sử dụng cơ chế BAC kết hợp EAC phiên bản 1, luận văn này đã tiên phong tiếp cận chuẩn thế hệ thứ ba với cơ chế PACE. Dữ liệu đối sánh hiệu năng có thể được biểu diễn trực quan qua bảng so sánh 3 thế hệ hộ chiếu điện tử và biểu đồ phân tích thời gian tính toán giữa hệ mật ECC 160 bit và RSA 1024 bit, chứng minh giải pháp đề xuất hoàn toàn đáp ứng yêu cầu xử lý thời gian thực tại các cửa khẩu.

Đề xuất và khuyến nghị

Dựa trên kết quả nghiên cứu và thực nghiệm, luận văn đưa ra 4 khuyến nghị hành động cụ thể nhằm hiện thực hóa hệ thống hộ chiếu điện tử tại Việt Nam:

Thứ nhất, xây dựng và ban hành khung kiến trúc hạ tầng khóa công khai quốc gia cho hộ chiếu điện tử. Đơn vị chủ trì là Bộ Công an và Ban Cơ yếu Chính phủ cần nhanh chóng thiết lập hệ thống gốc CSCA và CVCA, hoàn thành thử nghiệm phân cấp 100% chứng chỉ số điện tử phục vụ kiểm duyệt vào năm 2012.

Thứ hai, trang bị và nâng cấp hệ thống cổng kiểm soát tự động e-Gate tại 100% các sân bay quốc tế như Nội Bài, Tân Sơn Nhất và Đà Nẵng. Hệ thống đầu đọc quang học và vô tuyến cần tích hợp sẵn mô-đun phần mềm xử lý PACE và EAC V2, mục tiêu rút ngắn thời gian làm thủ tục xuất nhập cảnh xuống dưới 15 giây cho mỗi hành khách trong giai đoạn 2013 - 2014.

Thứ ba, chuẩn hóa quy trình thu thập dữ liệu sinh trắc học đa phương thức ngay từ khâu cấp phát ban đầu. Cục Quản lý Xuất nhập cảnh cần đầu tư thiết bị thu nhận ảnh khuôn mặt chuẩn ICAO, máy quét vân tay quang học và thiết bị quét mống mắt đồng bộ tại các địa phương, bảo đảm độ chính xác nhận dạng đạt trên 99,8% trong suốt lộ trình cấp phát đại trà từ năm 2011 đến năm 2015.

Thứ tư, thiết lập cơ chế tự động kết nối và đồng bộ dữ liệu với Thư mục Khóa công khai PKD của ICAO. Trung tâm dữ liệu quốc gia cần triển khai quy trình cập nhật danh sách thu hồi chứng chỉ CRL định kỳ 24 giờ một lần nhằm loại bỏ nguy cơ các đầu đọc hết hạn vẫn có thể truy cập dữ liệu nhạy cảm.

Đối tượng nên tham khảo luận văn

Nội dung và kết quả nghiên cứu của luận văn mang lại giá trị học thuật và ứng dụng thực tiễn cao cho 4 nhóm đối tượng chính:

Thứ nhất là các kỹ sư phát triển phần mềm an toàn thông tin và hệ thống nhúng. Nhóm này có thể khai thác mã nguồn và giải thuật thư viện ePassport để lập trình giao thức mã hóa, giải mã, thiết lập kênh truyền bảo mật trên thẻ thông minh không tiếp xúc theo chuẩn ISO/IEC 14443.

Thứ hai là các cơ quan quản lý nhà nước về an ninh cửa khẩu và xuất nhập cảnh. Tài liệu cung cấp luận cứ khoa học vững chắc giúp các nhà hoạch định chính sách xây dựng quy trình kiểm soát nghiệp vụ, lựa chọn công nghệ chip và thiết lập cấu trúc dữ liệu thẻ căn cước, hộ chiếu điện tử quốc gia.

Thứ ba là các nhà nghiên cứu, giảng viên và học viên cao học chuyên ngành Hệ thống thông tin và Mạng máy tính. Luận văn là tài liệu tham khảo giá trị về cấu trúc logic 16 nhóm dữ liệu LDS, mô hình phân cấp chứng chỉ số PKI và việc ứng dụng thực tế của mật mã đường cong Elliptic.

Thứ tư là các doanh nghiệp công nghệ phát triển giải pháp định danh số eKYC và xác thực sinh trắc học. Doanh nghiệp có thể kế thừa mô hình xác thực 3 nhân tố sinh trắc kết hợp cơ chế kiểm soát truy cập phân tầng để triển khai vào các hệ thống chấm công bảo mật, kiểm soát ra vào tòa nhà và xác thực giao dịch tài chính ngân hàng.

Câu hỏi thường gặp

Cơ chế PACE mang lại điểm vượt trội nào so với cơ chế BAC truyền thống? Cơ chế PACE loại bỏ hoàn toàn nguy cơ rò rỉ dữ liệu do độ dài entropy thấp của cơ chế BAC vốn chỉ đạt tối đa 56 bit. Bằng cách sử dụng mật khẩu ngắn kết hợp thuật toán Diffie-Hellman trên đường cong Elliptic, PACE thiết lập kênh truyền bảo mật độc lập với độ mạnh tương đương khóa đối xứng 128 bit, ngăn chặn triệt để hành vi nghe lén và theo dõi thẻ chip.

Vì sao mật mã đường cong Elliptic ECC được lựa chọn thay thế cho RSA trong hộ chiếu sinh trắc? Hệ mật ECC sở hữu kích thước khóa nhỏ hơn nhiều so với RSA trong khi vẫn đảm bảo cùng cấp độ bảo mật an toàn. Ví dụ, khóa ECC 160 bit có độ an toàn tương đương RSA 1024 bit nhưng tốc độ tính toán nhanh hơn gấp 10 lần và chiếm ít dung lượng bộ nhớ hơn 70%, cực kỳ tối ưu cho các vi mạch xử lý hạn chế tài nguyên trên chip RFID.

Tại sao trong mô hình EAC thế hệ mới, xác thực đầu đọc phải diễn ra trước xác thực chip? Việc đảo thứ tự xác thực nhằm ngăn chặn nguy cơ tấn công từ chối dịch vụ DoS. Chip RFID là thiết bị thụ động có bộ nhớ rất hạn chế, do đó việc xác thực chứng chỉ của đầu đọc trước sẽ giúp chip loại bỏ ngay các thiết bị đọc giả mạo hoặc gửi chứng chỉ rác, tránh tình trạng chip bị quá tải và tê liệt xử lý.

Dữ liệu sinh trắc học nhạy cảm như vân tay và mống mắt được bảo vệ như thế nào? Dữ liệu vân tay tại vùng DG3 và mống mắt tại vùng DG4 được bảo vệ bởi cơ chế kiểm soát truy cập mở rộng EAC. Chỉ những đầu đọc được cơ quan quản lý cấp chứng chỉ thẩm tra hợp lệ và vượt qua quy trình xác thực Terminal Authentication mới được chip cấp quyền giải mã và truy xuất các vùng dữ liệu này.

Hệ thống thực nghiệm trong luận văn được xây dựng với cấu trúc như thế nào? Hệ thống thực nghiệm được lập trình trên nền tảng C# với cấu trúc phân tầng rõ ràng gồm giao diện người dùng và thư viện lõi ePassport. Phần mềm mô phỏng thành công quá trình đọc vùng quang học MRZ, trích xuất dữ liệu vùng DG1 và thực thi trọn vẹn 3 mô-đun xác thực trọng yếu gồm PACE, Terminal Authentication và Chip Authentication.

Kết luận

Luận văn đã hoàn thành xuất sắc các mục tiêu nghiên cứu và đóng góp nhiều giá trị khoa học thiết thực:

  • Hệ thống hóa toàn diện cơ sở lý thuyết về hộ chiếu sinh trắc học qua 3 thế hệ phát triển theo tiêu chuẩn quốc tế ICAO Doc 9303.
  • Phân tích chi tiết và làm chủ 2 cơ chế bảo mật then chốt gồm thiết lập kết nối có xác thực mật khẩu PACE và kiểm soát truy cập mở rộng EAC phiên bản mới.
  • Đề xuất quy trình xác thực tối ưu kết hợp mật mã đường cong Elliptic ECC, giúp tăng tốc độ tính toán lên gấp 10 lần và khắc phục hoàn toàn các lỗ hổng của cơ chế BAC.
  • Xây dựng thành công hệ thống phần mềm thực nghiệm mô phỏng chính xác 3 mô-đun xác thực bảo mật cốt lõi trên môi trường C#.
  • Cung cấp cơ sở lý luận và khuyến nghị thực tiễn giá trị phục vụ trực tiếp Đề án sản xuất và phát hành hộ chiếu điện tử Việt Nam giai đoạn 2011 - 2015.

Hướng phát triển tiếp theo của đề tài là tích hợp quy trình nhận dạng sinh trắc học tự động thời gian thực và thử nghiệm trên phần cứng vi mạch chip chuyên dụng. Các cơ quan quản lý và doanh nghiệp công nghệ cần tiếp tục nghiên cứu, ứng dụng mô hình xác thực này để đẩy nhanh tiến trình chuyển đổi số trong công tác quản lý xuất nhập cảnh quốc gia.