Tổng quan nghiên cứu

Theo các báo cáo đánh giá hiệu năng hạ tầng công nghệ thông tin, hệ thống máy tính để bàn tại các cơ quan và trường đại học chỉ sử dụng khoảng 5% công suất xử lý trong thời gian làm việc hàng ngày, để lãng phí tới 95% tài nguyên tính toán nhàn rỗi. Sự xuất hiện của các bài toán khoa học quy mô lớn trong xử lý dữ liệu và mô phỏng đòi hỏi năng lực tính toán vượt xa giới hạn của một máy chủ riêng lẻ. Mô hình tính toán lưới ra đời như một giải pháp kết nối, chia sẻ tài nguyên phân tán không đồng nhất trên phạm vi diện rộng. Tuy nhiên, tính chất phức tạp của môi trường đa miền quản trị đặt ra thách thức an ninh nghiêm trọng về xác thực, phân quyền và kiểm soát truy cập.

Nghiên cứu tập trung giải quyết bài toán thiết lập cơ chế bảo mật toàn diện cho hệ thống tính toán lưới thông qua việc ứng dụng Hạ tầng an toàn thông tin lưới (Grid Security Infrastructure - GSI) kết hợp với Bộ công cụ Globus Toolkit 4 (GT4). Mục tiêu cụ thể là xây dựng mô hình quản lý người dùng, phân quyền động và quản lý giấy ủy nhiệm cho các Tổ chức ảo (Virtual Organization - VO). Phạm vi nghiên cứu và triển khai thử nghiệm được thực hiện trên Hệ thống phân tích và so khớp tài liệu điện tử liên trường GOODAS tại Trung tâm Tính toán hiệu năng cao (HPCC) thuộc Trường Đại học Bách Khoa Hà Nội trong giai đoạn năm 2010 đến năm 2011. Kết quả nghiên cứu mang ý nghĩa thực tiễn to lớn khi giúp nâng cao hiệu suất khai thác tài nguyên tính toán nhàn rỗi lên hơn 80%, đồng thời đảm bảo an toàn tuyệt đối với độ trễ xác thực giảm thiểu 100% các thao tác đăng nhập lặp lại của người dùng.

Cơ sở lý thuyết và phương pháp nghiên cứu

Khung lý thuyết áp dụng

Nghiên cứu được xây dựng trên nền tảng của 2 khung lý thuyết trụ cột: Kiến trúc bảo mật lưới GSI dựa trên Cơ sở hạ tầng khóa công khai (PKI) chuẩn X.509 và Kiến trúc dịch vụ lưới mở (OGSA) tích hợp mô hình khung tài nguyên dịch vụ web WSRF trong bộ công cụ Globus Toolkit 4.

Hệ thống lý thuyết tập trung vào 5 khái niệm chuyên ngành then chốt:

  1. Chứng chỉ số và Hạ tầng khóa công khai (PKI): Cơ chế định danh thực thể duy nhất thông qua cặp khóa bí mật và khóa công khai được chứng thực bởi nhà cung cấp thẩm quyền CA.
  2. Đăng nhập một lần (Single Sign-On - SSO) và Giấy ủy nhiệm tạm thời (Proxy Credential): Giải pháp ủy quyền ngắn hạn cho phép người dùng chỉ xác thực 1 lần duy nhất để thực thi chuỗi tác vụ phân tán đa tiến trình.
  3. Cơ chế ủy quyền (Delegation): Kỹ thuật cho phép các tiến trình trung gian đại diện cho người dùng tương tác an toàn với các tài nguyên từ xa.
  4. Tổ chức ảo (Virtual Organization - VO): Mô hình tập hợp các cá nhân và tài nguyên từ nhiều tổ chức truyền thống khác nhau hoạt động theo các chính sách chia sẻ tài nguyên động và bình đẳng.
  5. Hệ thống quản lý thành viên tổ chức ảo (VOMS) và công cụ ánh xạ EDG-MKGRIDMAP: Cơ chế quản lý quyền hạn tập trung và tự động ánh xạ định danh người dùng toàn cục sang tài khoản cục bộ trên hệ điều hành.

Phương pháp nghiên cứu

Nguồn dữ liệu thực nghiệm được thu thập trực tiếp từ hệ thống mạng lưới tính toán gồm 10 nút máy chủ phân tán thuộc 3 miền quản trị mạng cục bộ khác nhau tại phòng thí nghiệm HPCC. Cỡ mẫu đánh giá bao gồm 150 kịch bản truy cập liên miền và hơn 500 yêu cầu phân bổ công việc thông qua dịch vụ định vị tài nguyên GRAM.

Phương pháp chọn mẫu áp dụng kỹ thuật lấy mẫu phân tầng ngẫu nhiên theo từng cấp độ quyền hạn của người dùng trong tổ chức ảo và các kích thước tệp dữ liệu truyền tải khác nhau từ 10 Megabytes đến 5 Gigabytes. Lý do lựa chọn phương pháp phân tích thực nghiệm và đo kiểm hiệu năng trực tiếp là nhằm đánh giá chính xác độ trễ xác thực đa phương, tính toàn vẹn của thông điệp SOAP và khả năng tương thích của dịch vụ quản lý giấy ủy nhiệm trong điều kiện vận hành thực tế của hệ thống GOODAS. Toàn bộ lộ trình nghiên cứu được triển khai trong 9 tháng, bao gồm 5 tháng xây dựng cơ sở lý thuyết và 4 tháng cấu hình, kiểm thử hệ thống.

Kết quả nghiên cứu và thảo luận

Những phát hiện chính

Quá trình đo kiểm thực nghiệm mô hình bảo mật trên hệ thống lưới GOODAS đã mang lại 3 phát hiện khoa học quan trọng:

Thứ nhất, việc triển khai hạ tầng GSI kết hợp giấy ủy nhiệm tạm thời giúp thiết lập thành công cơ chế Đăng nhập một lần và chuỗi ủy quyền tiến trình an toàn. Thời gian khởi tạo phiên làm việc và xác thực giữa các nút lưới giảm từ 45 giây xuống còn dưới 3 giây, đạt mức cải thiện tốc độ hơn 93% so với việc xác thực thủ công lặp lại ở từng miền tài nguyên.

Thứ hai, cơ chế kiểm soát truy cập thông qua dịch vụ định vị tài nguyên GRAM và chương trình ánh xạ thực thể GRIM đảm bảo độ chính xác 100% trong việc chuyển đổi quyền hạn người dùng toàn cục thành tài khoản hệ điều hành cục bộ (Setuid). Mọi tiến trình chạy trên máy chủ đích đều tuân thủ nghiêm ngặt chính sách bảo mật nội bộ mà không làm phát sinh lỗ hổng leo thang đặc quyền.

Thứ ba, sự kết hợp giữa dịch vụ VOMS và công cụ sinh danh sách ánh xạ tự động EDG-MKGRIDMAP giúp tự động hóa 98% quy trình đồng bộ danh sách điều khiển truy cập (ACL). Thời gian cập nhật và phân phối chính sách phân quyền cho toàn bộ 10 nút tính toán giảm mạnh từ 60 phút xuống dưới 1.5 phút so với phương thức quản trị bằng tay.

Thảo luận kết quả

Nguyên nhân chính giúp hệ thống đạt được hiệu năng vượt trội là nhờ cơ chế tách biệt giữa chứng chỉ định danh dài hạn và giấy ủy nhiệm ngắn hạn, cùng việc sử dụng chứng chỉ thuộc tính (Attribute Certificate - AC) trong VOMS để xác định vai trò người dùng trong tổ chức ảo.

So với các giải pháp bảo mật truyền thống như SSH hoặc Kerberos vốn chỉ giới hạn trong mô hình khách - chủ 2 bên, kiến trúc GSI thể hiện tính ưu việt rõ rệt khi hỗ trợ xác thực đa phương giữa hàng trăm tiến trình tính toán song song phân tán.

Dữ liệu kiểm thử hiệu năng có thể được biểu diễn trực quan qua bảng so sánh độ trễ xác thực giữa các mức bảo mật và biểu đồ cột thể hiện mức tiêu hao tài nguyên CPU. Cụ thể, bảo mật ở mức giao vận (TLS/SSL) cho tốc độ xử lý nhanh hơn khoảng 25% so với bảo mật mức thông điệp (WS-Security), nhưng bảo mật mức thông điệp lại cung cấp khả năng bảo vệ dữ liệu toàn vẹn xuyên suốt qua nhiều máy chủ trung gian. Nghiên cứu khẳng định sự kết hợp linh hoạt giữa 2 mức bảo vệ này là tối ưu cho các cổng điện tử lưới.

Đề xuất và khuyến nghị

  1. Nâng cấp hệ thống đăng ký người dùng tự động: Đội ngũ kỹ thuật trung tâm tính toán cần triển khai tích hợp dịch vụ đăng ký thành viên VOMRS song song với VOMS trong thời hạn 6 tháng tới, nhằm nâng tỷ lệ tự động hóa quy trình phê duyệt thành viên mới của tổ chức ảo lên 100%.
  2. Chuyển đổi cơ chế ánh xạ phân quyền động: Quản trị viên hệ thống mạng lưới cần thay thế công cụ ánh xạ tĩnh EDG-MKGRIDMAP bằng các giải pháp phân quyền động GUMS và PRIMA trong lộ trình 9 tháng, hướng tới mục tiêu giảm 90% thời gian xử lý và loại bỏ hoàn toàn sự phụ thuộc vào tệp cấu hình tĩnh grid-mapfile trên các nút máy chủ.
  3. Tối ưu hóa truyền tải dữ liệu lớn: Các nhà phát triển ứng dụng cần thiết lập chính sách bảo mật phân tầng trên giao thức GridFTP và dịch vụ truyền tệp tin cậy RFT, duy trì thông lượng truyền tải dữ liệu ổn định trên 100 Megabytes trên giây mà vẫn đảm bảo tính bí mật và toàn vẹn của tài liệu.
  4. Mở rộng liên kết cơ quan chứng thực: Ban điều hành hạ tầng tính toán cần ban hành quy chế chuẩn hóa chứng chỉ số theo chuẩn X.509 v3 và thiết lập mối quan hệ tin cậy giữa các máy chủ CA nội bộ trong thời gian 12 tháng, tạo tiền đề mở rộng quy mô hệ thống GOODAS kết nối thêm 15 trường đại học và viện nghiên cứu trên toàn quốc.

Đối tượng nên tham khảo luận văn

  1. Học viên cao học và nghiên cứu sinh ngành Khoa học Máy tính, Hệ thống Thông tin: Tiếp cận khung lý thuyết chuẩn mực về tính toán lưới, hạ tầng khóa công khai PKI và mô hình tổ chức ảo để phát triển các đề tài nghiên cứu chuyên sâu về điện toán đám mây và hệ thống phân tán.
  2. Kỹ sư an toàn thông tin và quản trị mạng máy chủ hiệu năng cao: Nắm bắt quy trình chi tiết về cài đặt, cấu hình và tối ưu hóa bộ công cụ Globus Toolkit 4, dịch vụ VOMS và GSI nhằm thiết lập hệ thống bảo mật liên miền vững chắc cho tổ chức.
  3. Lập trình viên phát triển ứng dụng phân tán và xử lý dữ liệu lớn: Ứng dụng các giao thức WS-GRAM, GridFTP và mô hình ủy quyền tiến trình để thiết kế các cổng dịch vụ web và hệ thống tính toán khoa học có khả năng mở rộng cao.
  4. Lãnh đạo trung tâm dữ liệu và đơn vị công nghệ thông tin tại các trường đại học: Tham khảo mô hình thực tế của hệ thống GOODAS để xây dựng chiến lược kết nối, tận dụng hơn 90% công suất nhàn rỗi của hệ thống máy tính nội bộ phục vụ nghiên cứu và giảng dạy.

Câu hỏi thường gặp

  1. Điểm khác biệt cốt lõi giữa an toàn thông tin trong tính toán lưới và mạng phân tán truyền thống là gì? Tính toán lưới đòi hỏi cơ chế bảo mật liên miền động, hỗ trợ xác thực đa phương giữa hàng trăm tiến trình phân tán độc lập và quản lý quyền hạn linh hoạt theo mô hình tổ chức ảo, thay vì chỉ xác thực 2 bên cố định theo mô hình khách - chủ truyền thống.

  2. Cơ chế Giấy ủy nhiệm tạm thời (Proxy Credential) bảo vệ khóa bí mật của người dùng như thế nào? Giấy ủy nhiệm tạm thời được ký bởi chứng chỉ số gốc của người dùng nhưng chỉ có thời gian sống ngắn hạn từ 12 đến 24 giờ. Cơ chế này cho phép các tiến trình tính toán từ xa hành động thay mặt người dùng mà không cần lưu trữ hay làm lộ khóa bí mật dài hạn trên các máy chủ trung gian.

  3. Dịch vụ VOMS giải quyết vấn đề gì trong quản lý tổ chức ảo? VOMS đóng vai trò trung tâm trong việc cấp phát chứng chỉ thuộc tính chứa thông tin về vai trò, nhóm và quyền hạn của thành viên trong tổ chức ảo. Dịch vụ này giúp loại bỏ việc cấu hình thủ công quyền hạn tại từng nút tài nguyên riêng lẻ, chuẩn hóa 100% dữ liệu phân quyền.

  4. Tại sao hệ thống GOODAS lại lựa chọn nền tảng Globus Toolkit 4? Bộ công cụ Globus Toolkit 4 cung cấp kiến trúc chuẩn mở OGSA tương thích hoàn toàn với các chuẩn dịch vụ web hiện đại như SOAP và WSRF. Nền tảng này tích hợp sẵn các thành phần bảo mật GSI, truyền dữ liệu GridFTP và điều phối công việc GRAM giúp rút ngắn hơn 50% thời gian phát triển hệ thống.

  5. Việc thay thế công cụ EDG-MKGRIDMAP bằng GUMS và PRIMA mang lại lợi ích gì? Công cụ EDG-MKGRIDMAP chỉ tạo ra các tệp ánh xạ tài khoản tĩnh định kỳ, dễ gây độ trễ cập nhật. Việc chuyển sang GUMS và PRIMA cho phép hệ thống truy vấn và cấp quyền truy cập động theo thời gian thực dựa trên ngôn ngữ SAML 2.0, giúp loại bỏ hoàn toàn việc lưu trữ tệp cục bộ trên máy chủ.

Kết luận

  1. Nghiên cứu đã hệ thống hóa toàn diện cơ sở lý thuyết về an toàn thông tin trong tính toán lưới, tập trung vào hạ tầng GSI, cơ chế PKI và mô hình tổ chức ảo.
  2. Thiết kế và triển khai thành công mô hình xác thực một lần, phân quyền thuộc tính và quản lý ủy quyền tiến trình dựa trên Globus Toolkit 4 và VOMS.
  3. Ứng dụng và đo kiểm thực tế giải pháp trên hệ thống lưới tìm kiếm tài liệu GOODAS tại Trung tâm HPCC, chứng minh tính khả thi và hiệu năng vượt trội với độ chính xác kiểm soát truy cập đạt 100%.
  4. Đề xuất phương án tối ưu hóa kiến trúc an ninh thông qua lộ trình 12 tháng nâng cấp sang các dịch vụ phân quyền động GUMS, PRIMA và VOMRS.
  5. Mở ra hướng phát triển mở rộng hệ thống tính toán lưới liên trường quy mô lớn, thúc đẩy việc chia sẻ tài nguyên khoa học công nghệ an toàn và hiệu quả giữa các cơ sở đào tạo tại Việt Nam.