Luận án nâng cao hiệu năng thuật toán mã hóa bảo mật luồng IP tại Học viện Kỹ thuật Mật mã

Luận án nghiên cứu giải pháp nâng cao hiệu năng thuật toán mã hóa bảo mật luồng IP tại Học viện Kỹ thuật Mật mã, tối ưu AES và Ascon trên FPGA.

• Tác giả: Trần Sỹ Nam
• Người hướng dẫn: PGS. Lương Thế Dũng
• Trường học: Học viện Kỹ thuật Mật mã
• Chuyên ngành: Kỹ thuật mật mã
• Đề tài: Nghiên cứu giải pháp nâng cao hiệu năng của một số thuật toán mã hóa trong bảo mật luồng IP
• Loại tài liệu: Luận án tiến sĩ kỹ thuật
• Năm xuất bản: 2026
• Địa điểm: Hà Nội

Tóm tắt

I. Tổng quan thuật toán mã hóa bảo mật luồng IP

Bảo mật luồng dữ liệu trên không gian mạng hiện đóng vai trò sống còn. Giao thức IPSec cung cấp cơ chế bảo vệ toàn diện cho các gói tin IP. Giao thức ESP trong IPSec thực hiện nhiệm vụ bảo mật dữ liệu then chốt. Cơ chế này kết hợp tính năng mã hóa và xác thực nguồn gốc thông tin. Luận án tiến sĩ tại Học viện Kỹ thuật Mật mã tập trung vào các giải pháp tăng tốc độ xử lý. Hai thuật toán tiêu biểu được nghiên cứu sâu gồm AES và Ascon. Tiêu chuẩn AES là chuẩn mã hóa khối truyền thống có độ an toàn rất cao. Trong khi đó, Ascon đáp ứng nhu cầu mã hóa nhẹ trên thiết bị mạng thông minh. Quá trình truyền thông tốc độ cao đòi hỏi thông lượng mã hóa vượt trội. Các thiết bị xử lý gói tin thường xuyên đối mặt với nguy cơ quá tải tài nguyên. Việc cải tiến kiến trúc vi mạch giúp duy trì tốc độ truyền tải ổn định. Các giải pháp tính toán song song mang lại hiệu quả vượt bậc cho hệ thống mạng. Mô hình mật mã mới bảo vệ thông tin trước các nguy cơ tấn công hiện đại.

1.1. Vai trò của giao thức ESP và IPSec

Giao thức IPSec thiết lập đường hầm bảo mật cho các gói dữ liệu IP. Giao thức ESP đảm nhận chức năng mã hóa tải trọng và tạo mã kiểm tra xác thực. Cơ chế này ngăn chặn việc đánh cắp thông tin hoặc sửa đổi gói tin trên đường truyền. Thiết bị mạng định tuyến gói tin ESP qua các kênh trung gian. Khi gặp bộ định tuyến NAT, gói tin ESP cần được đóng gói qua cổng UDP 4500. Kỹ thuật này duy trì tính liên tục của phiên kết nối mạng an toàn. Quá trình xử lý ESP tiêu tốn đáng kể tài nguyên phần cứng. Thiết kế kiến trúc tối ưu giúp loại bỏ độ trễ xử lý gói tin. Nhờ đó, đường truyền dữ liệu luôn thông suốt và an toàn tuyệt đối.

1.2. Đặc tính thuật toán AES và Ascon

Thuật toán mã hóa AES được chuẩn hóa rộng rãi trên phạm vi toàn cầu. AES xử lý các khối dữ liệu 128 bit thông qua nhiều vòng lặp toán học phức tạp. Cấu trúc của AES bao gồm các phép biến đổi SubBytes, ShiftRows, MixColumns và AddRoundKey. Mặt khác, thuật toán Ascon đại diện cho tiêu chuẩn mã hóa có xác thực nhẹ. NIST đã chính thức lựa chọn Ascon làm chuẩn mật mã bảo vệ thiết bị hạn chế tài nguyên. Ascon sử dụng cấu trúc hoán vị linh hoạt trên các trạng thái 320 bit. Sự kết hợp giữa khả năng mã hóa và tính toàn vẹn giúp Ascon đạt hiệu suất ấn tượng. Cả hai thuật toán đều đóng vai trò trụ cột trong việc bảo vệ đường truyền mạng tốc độ cao.

II. Thách thức thuật toán mã hóa bảo mật luồng IP

Lưu lượng mạng hiện đại tăng trưởng theo cấp số nhân mỗi năm. Các cổng giao tiếp mạng đòi hỏi thông lượng xử lý hàng chục gigabit mỗi giây. Những thuật toán mã hóa truyền thống gặp điểm nghẽn nghiêm trọng khi chạy trên phần mềm máy tính. Bộ xử lý thông thường không kịp xử lý lượng lớn dữ liệu mã hóa thời gian thực. Hộp phi tuyến S-box trong AES chiếm phần lớn diện tích và làm chậm chu kỳ đồng hồ. Phép nhân ma trận trong lớp khuếch tán MixColumns cũng tạo ra trễ đường truyền lớn. Thuật toán Triple DES trước đây đã bị loại bỏ vì vấn đề an toàn và hiệu năng kém. Trong giao thức IPSec, việc ghép nối giữa mã hóa khối và hàm băm HMAC gây trễ tích lũy. Khi gói tin ESP đi qua mạng NAT, phần overhead tăng cao khiến hiệu năng suy giảm. Thiết bị phần cứng đòi hỏi mức tiêu thụ năng lượng thấp nhưng phải đạt tốc độ tối đa. Mâu thuẫn giữa độ an toàn mật mã và tài nguyên phần cứng là bài toán nan giải. Việc nghiên cứu giải pháp nâng cao hiệu năng trở thành yêu cầu cấp thiết.

2.1. Nút thắt hiệu năng trong S box và ma trận MDS

Hộp thay thế S-box đảm bảo tính chất phi tuyến vững chắc cho thuật toán mã khối. Tuy nhiên, mạch tính toán S-box trên phần cứng tiêu tốn nhiều phần tử logic. Phép nghịch đảo trong trường hữu hạn Galois GF(2^8) tạo ra đường trễ dài nhất trên vi mạch. Ma trận khuếch tán MDS chịu trách nhiệm lan truyền sai số nhưng lại chiếm dụng lượng lớn cổng XOR. Cấu trúc vi mạch cồng kềnh hạn chế tần số làm việc của hệ thống vi xử lý chuyên dụng. Khi thực hiện liên tục nhiều vòng mã, thời gian trễ của đường dẫn tới hạn tăng vọt. Sự cản trở này khiến thuật toán khó đạt thông lượng mong muốn trên các thiết bị mạng thế hệ mới.

2.2. Hạn chế khi xử lý IPSec và NAT Traversal

Gói tin ESP tiêu chuẩn không chứa thông tin số hiệu cổng dịch vụ TCP hay UDP. Vì lý do đó, thiết bị NAT tại biên mạng thường loại bỏ gói tin ESP trực tiếp. Giải pháp đóng gói UDP-ESP giải quyết được bài toán vượt tường lửa nhưng lại sinh thêm tải phụ. Việc bổ sung phần mào đầu gói tin làm tăng kích thước khung truyền tải IP. Thiết bị bảo mật mạng phải xử lý liên tiếp nhiều lớp đóng gói và giải mã phức tạp. Mỗi bước xử lý bổ sung đều làm giảm tốc độ chuyển tiếp lưu lượng dữ liệu. Các thuật toán kiểm tra toàn vẹn HMAC cũng kéo dài thời gian phản hồi của hệ thống. Tình trạng này gây suy giảm rõ rệt trải nghiệm người dùng trên các luồng mạng thời gian thực.

III. Tối ưu hóa thuật toán mã hóa bảo mật luồng IP

Nghiên cứu của Học viện Kỹ thuật Mật mã đề xuất các giải pháp kỹ thuật có giá trị thực tiễn cao. Tác giả tiến hành tối ưu hóa cấu trúc S-box 8-bit Sp thông qua các phép biến đổi hoán vị tối ưu. Hộp S-box mới giữ nguyên độ an toàn toán học nhưng giảm thiểu số cổng logic tiêu hao. Kiến trúc phần cứng FPGA được ứng dụng để tăng tốc các vòng lặp xử lý mật mã. Kỹ thuật đường ống hóa sâu giúp xử lý đồng thời nhiều khối dữ liệu liên tiếp. Thiết kế vi mạch Ascon tận dụng hoán vị thanh ghi nhằm giảm điện năng tiêu thụ và kích thước silicon. Hệ thống xử lý gói tin IPSec được tái cấu trúc theo mô hình song song hóa phần cứng. Bộ tiền xử lý UDP-ESP tách rời các trường thông tin điều khiển một cách tự động. Nhờ đó, thông lượng tổng thể của luồng dữ liệu IP tăng lên rõ rệt. Giải pháp này đáp ứng xuất sắc các tiêu chuẩn mã hóa thời gian thực trong mạng hiện đại. Hiệu năng của toàn bộ hệ sinh thái bảo mật được nâng tầm đáng kể.

3.1. Thiết kế S box Sp và cấu trúc tối ưu cho AES

Nghiên cứu lựa chọn cấu trúc S-box 8-bit Sp từ 64 hoán vị thành phần đạt tiêu chuẩn cao nhất. Các tham số mật mã của S-box Sp đảm bảo khả năng chống lại tấn công vi sai và tuyến tính. Cấu trúc mới hỗ trợ triển khai bằng tháp trường hữu hạn trên nền vi mạch logic. Phương pháp này giảm thiểu số lượng cổng logic cần thiết trong mỗi vòng biến đổi AES. Đường dẫn tín hiệu ngắn hơn cho phép bộ xử lý tăng tần số xung nhịp làm việc. Hiệu suất xử lý mã hóa của khối mạch tăng lên rõ rệt so với thiết kế tiêu chuẩn. Đây là tiền đề kỹ thuật vững chắc để xây dựng các bộ tăng tốc mật mã chuyên dụng trên FPGA.

3.2. Cải tiến kiến trúc phần cứng FPGA cho IPSec

Nền tảng FPGA cung cấp khả năng cấu hình phần cứng linh hoạt cho các thuật toán mã hóa luồng IP. Kiến trúc đề xuất phân chia luồng xử lý ESP thành các mô-đun chức năng độc lập. Bộ điều khiển luồng dữ liệu tự động quản lý việc đóng gói và giải nén gói tin UDP-ESP. Cơ chế đệm hàng đợi thông minh hạn chế tối đa nguy cơ nghẽn cổ chai tại giao diện mạng. Các khối mã hóa AES và Ascon được kết nối qua giao tiếp bus dữ liệu tốc độ cao. Kết quả đo lường cho thấy thông lượng toàn hệ thống vượt trội so với các giải pháp trước đây. Kiến trúc mới hoàn toàn tương thích với các thiết bị mạng viễn thông hiện hành.

IV. Ứng dụng các thuật toán mã hóa bảo mật luồng IP

Kết quả nghiên cứu mở ra hướng đi chiến lược cho ngành an ninh mạng quốc gia. Các giải pháp tăng tốc phần cứng có thể áp dụng ngay vào thiết bị định tuyến bảo mật. Học viện Kỹ thuật Mật mã đã chứng minh tính khả thi của các thuật toán tối ưu. Cấu trúc mã hóa mới sẵn sàng tích hợp vào các thiết bị cổng bảo mật VPN chuyên dụng. Hạ tầng mạng của các cơ quan chính phủ và doanh nghiệp lớn được tăng cường bảo vệ. Thuật toán mã hóa nhẹ Ascon phát huy hiệu quả cao trong mạng lưới thiết bị Internet vạn vật. Thiết bị biên thông minh có thể mã hóa dữ liệu tức thời mà không bị giới hạn năng lượng. Việc tự chủ giải pháp phần cứng bảo mật giúp loại trừ nguy cơ từ các cửa sau gián điệp. Công trình đóng góp nền tảng học thuật và thực tiễn vững chắc cho lĩnh vực an toàn thông tin. Tương lai công nghệ mật mã sẽ tiếp tục phát triển dựa trên các nghiên cứu chuyên sâu này.

4.1. Triển khai trong hệ thống tường lửa và VPN

Hệ thống định tuyến mạng và tường lửa thế hệ mới đòi hỏi thông lượng mã hóa liên tục. Thiết kế vi mạch dựa trên nghiên cứu mới giúp loại bỏ hoàn toàn độ trễ truyền dữ liệu. Các liên kết mạng riêng ảo VPN giữa các trung tâm dữ liệu được bảo vệ an toàn tuyệt đối. Giao thức ESP tối ưu hóa đảm bảo tính bí mật của mọi thông điệp nội bộ. Đồng thời, cơ chế xác thực toàn vẹn ngăn chặn các nỗ lực chèn mã độc vào gói tin IP. Khả năng tương thích phần cứng cao giúp doanh nghiệp nâng cấp hệ thống dễ dàng. Nhờ đó, chi phí bảo trì và vận hành an ninh mạng giảm đi đáng kể.

4.2. Bảo vệ mạng IoT và thiết bị biên thông minh

Thiết bị IoT và cảm biến thông minh thường có nguồn pin và năng lực tính toán hạn chế. Thuật toán mã hóa nhẹ Ascon cung cấp giải pháp bảo vệ tối ưu cho môi trường này. Thiết kế phần cứng tiết kiệm năng lượng cho phép mã hóa gói tin ngay tại nguồn thu thập. Luồng dữ liệu cảm biến truyền qua mạng công cộng luôn giữ được tính toàn vẹn và bảo mật. Cơ chế mã hóa có xác thực giúp phát hiện ngay các sự can thiệp trái phép từ bên ngoài. Các giải pháp tối ưu từ Học viện Kỹ thuật Mật mã tạo tiền đề cho sự phát triển đô thị thông minh. Mạng lưới thiết bị kết nối vận hành bền bỉ và an toàn trong mọi điều kiện.

Trích đoạn nội dung tài liệu

Chương 1 của luận án được xây dựng nhằm cung cấp một cái nhìn tổng quan về các thành phần mật mã cốt lõi, bao gồm S-box, ma trận MDS, và các đại lượng mật mã liên quan, cùng với việc phân tích các đặc tính kỹ thuật của AES, Ascon, và IPSec trên nền tảng phần cứng. Thông qua việc đánh giá các công trình nghiên cứu đã công bố, chương này xác định những thách thức còn tồn tại trong việc thiết kế các thành phần mật mã và kiến trúc phần cứng tốc độ cao, từ đó làm cơ sở cho việc đề xuất các hướng nghiên cứu mới. Thuật toán mã hóa AES Advanced Encryption Standard (AES) [11] là mã khối cấu trúc lặp với kích thước khối 128 bit, hỗ trợ các kích thước khóa 128 bits, 192 bits, và 256 bits tương ứng với 10, 12 và 14 vòng. AES được chuẩn hóa năm 2001 trong FIPS-197 bởi Viện Tiêu chuẩn và Công nghệ Quốc gia Hoa Kỳ (NIST).

AES xử lý theo khối 128-bit được chia thành 16 bytes dưới dạng ma trận 4 × 4, gọi là ma trận trạng thái. Tất cả các phép tính của AES đều hoạt động trên ma trận này. Có bốn bước cơ bản trong một vòng mã của AES là: AddRoundKey, SubBytes, ShiftRows, và MixColumns. Biến đổi AddRoundKey Trong biến đổi AddRoundKey, ma trận trạng thái được kết hợp với khóa vòng sử dụng phép XOR.

Biến đổi SubBytes SubBytes sử dụng S-box và là thành phần phi tuyến tính duy nhất trong AES. Tuy nhiên tính chất này cũng làm cho nó bị hạn chế về tốc độ và tài nguyên. 7 S-box được tính toán thông qua phép nghịch đảo trên trường 𝐺𝐹(28 ) và phép biến đổi affine trên trường 𝐺𝐹(2) : 𝑆(𝑥) = 𝐴𝑓𝑓𝑖𝑛𝑒(𝑥 −1 ) (1.1) Biến đổi ShiftRows ShiftRows được cài đặt bằng cách dịch mỗi hàng của ma trận theo số bytes nhất định như hình dưới đây: Hình 1. Biến đổi ShiftRows trong AES Biến đổi MixColumns Trong biến đổi MixColumns, một ma trận dịch vòng MDS (Maximum Distance Separable) được sử dụng để thực hiện phép biến đổi tuyến tính trên các cột của ma trận trạng thái.

Ma trận này đảm bảo tính khuếch tán (diffusion) cao, giúp tăng cường độ an toàn của thuật toán bằng cách trộn dữ liệu trong mỗi cột. 8 Mỗi vòng đều cần một khóa vòng được tạo ra bởi lược đồ mở rộng khóa. Lược đồ mở rộng khóa bao gồm ba bước chính: RotWords, SubWords, và XORs. SubWords tương tự như SubBytes được thực hiện trên S-box, trong khi RotWord tương tự như ShiftRow.

S-box và các đại lượng liên quan S-box là thành phần phi tuyến duy nhất trong các thuật toán mã hóa khối, đóng vai trò thực hiện nguyên lý xáo trộn (confusion) của Shannon. Một S-box kích thước 𝑛 × 𝑚 được định nghĩa là một ánh xạ 𝐹: 𝔽2𝑛 → 𝔽2𝑚. Để đánh giá sức mạnh mật mã, 𝐹 thường được biểu diễn dưới dạng hệ hàm logic 𝐹(𝑥) = (𝑓1 (𝑥), 𝑓2 (𝑥), … , 𝑓𝑚 (𝑥)) với 𝑓𝑖 : 𝔽2𝑛 → 𝔽2 với mọi 1 ≤ 𝑖 ≤ 𝑚. Độ phi tuyến của S-box đặc trưng cho khả năng kháng lại thám mã tuyến tính.

Độ phi tuyến của một hàm logic 𝑓, ký hiệu là Nl (𝑓) là khoảng cách Hamming ngắn nhất từ 𝑓 đến tập các hàm affine 𝐴𝑛 : Nl (𝑓) = min 𝑑(𝑓, 𝜙) (1.2) 𝜙∈𝐴𝑛 Thông qua biến đổi Walsh-Hadamard 𝑊𝑓 (𝑢) = ∑𝑥∈𝐹2𝑛(−1)𝑓(𝑥)⊕𝑢∙𝑥 , độ phi tuyến được tính bằng công thức: 1 Nl (𝑓) = 2𝑛−1 − max𝑛 |𝑊𝑓 (𝑢)| (1.3) 2 𝑢∈𝐹2 Độ phi tuyến của S-box 𝐹 được xác định bởi giá trị nhỏ nhất trong số các độ phi tuyến của tất cả các tổ hợp tuyến tính khác không của các hàm logic thành phần.4) 𝑐∈𝐹2 𝑐∈𝐹2 S-box có độ phi tuyến càng cao thì càng khó bị xấp xỉ bởi các hàm tuyến tính, giúp tăng khả năng kháng thám mã tuyến tính.