Tổng quan nghiên cứu

Theo thống kê từ các tổ chức an ninh mạng quốc tế, có tới khoảng 65% các cuộc tấn công dữ liệu doanh nghiệp bắt nguồn từ việc chặn bắt, sửa đổi trái phép và giả mạo tài liệu trong quá trình truyền tải trực tuyến. Trong bối cảnh chuyển đổi số và phát triển các dịch vụ trực tuyến tại Việt Nam, nhu cầu bảo mật thông tin trong các hệ thống quản lý văn bản trở thành vấn đề sống còn đối với mọi cơ quan, tổ chức. Đề tài tập trung giải quyết bài toán cốt lõi: làm thế nào để đảm bảo tuyệt đối bốn mục tiêu an toàn thông tin gồm tính bí mật, tính toàn vẹn, tính xác thực và tính không chối bỏ đối với các tệp dữ liệu lưu trữ và luân chuyển.

Mục tiêu cụ thể của luận văn là nghiên cứu chuyên sâu cơ sở toán học của các hệ mật mã khóa công khai, các giải thuật hàm băm, kiến trúc hạ tầng khóa công khai PKI và ứng dụng trực tiếp vào việc xây dựng mô hình chia sẻ tài liệu bảo mật. Phạm vi nghiên cứu tập trung vào hệ thống PKI nội bộ và tích hợp ký số cho các văn bản điện tử trong giai đoạn 2021–2022 tại Học viện Công nghệ Bưu chính Viễn thông. Công trình mang lại ý nghĩa thực tiễn lớn khi nâng cao tỷ lệ bảo đảm tính toàn vẹn tài liệu lên 100%, đồng thời rút ngắn 90% thời gian xác thực nguồn gốc văn bản so với quy trình kiểm duyệt thủ công.

Cơ sở lý thuyết và phương pháp nghiên cứu

Khung lý thuyết áp dụng

Luận văn xây dựng trên nền tảng lý thuyết mật mã học hiện đại với hai trụ cột chính: mật mã khóa bất đối xứng và cấu trúc hạ tầng quản lý khóa.

Thứ nhất, lý thuyết mật mã khóa công khai khảo sát bốn hệ mật điển hình:

  • Thuật toán RSA do Ronald Rivest, Adi Shamir và Leonard Adleman phát minh năm 1977, dựa trên độ khó của bài toán phân tích thừa số nguyên lớn với kích thước khuyến nghị 2048-bit đến 3072-bit.
  • Thuật toán Rabin công bố năm 1979, ứng dụng định lý số dư Trung Hoa để giải mã ra bốn nghiệm bản rõ khả dĩ.
  • Thuật toán ElGamal xây dựng trên bài toán Logarit rời rạc trong trường hữu hạn.
  • Mật mã đường cong Elliptic (ECC/ECDSA) do Neal Koblitz, Victor Miller và Scott Vanstone đề xuất, mang lại cấp độ bảo mật cao với kích thước khóa tối ưu.

Thứ hai, lý thuyết hàm băm mật mã học một chiều khảo sát hai họ thuật toán tiêu biểu là MD5 (Message Digest) sinh chuỗi đại diện 128-bit qua 4 vòng lặp 16 bước và SHA-1 (Secure Hash Algorithm) tạo chuỗi băm 160-bit qua 80 vòng xử lý lặp.

Thứ ba, khung kiến trúc hạ tầng khóa công khai PKI theo chuẩn quốc tế ITU-T X.509 phiên bản 3. Bốn khái niệm chính được định nghĩa chặt chẽ gồm: Cơ quan chứng thực (CA), Cơ quan đăng ký (RA), Cơ quan xác thực (VA) và Kho chứng thư số tập trung.

Phương pháp nghiên cứu

Nghiên cứu kết hợp chặt chẽ giữa phương pháp suy luận lý thuyết mật mã và phương pháp thực nghiệm công nghệ:

  • Nguồn dữ liệu: Dữ liệu thực nghiệm thu thập từ quá trình mô phỏng trao đổi 1.200 tệp tài liệu kỹ thuật số có dung lượng từ 1MB đến 100MB qua môi trường mạng máy tính nội bộ.
  • Cỡ mẫu và phương pháp chọn mẫu: Cỡ mẫu thực nghiệm bao gồm 500 yêu cầu cấp phát chứng thư số người dùng và 1.200 tệp văn bản. Mẫu được lựa chọn theo phương pháp phân tầng ngẫu nhiên, đại diện cho các định dạng lưu trữ phổ biến như PDF, DOCX, XLSX và các khối dữ liệu nhị phân.
  • Phương pháp phân tích: Sử dụng phương pháp phân tích định lượng đo lường thời gian sinh khóa, tốc độ băm, thời gian ký số và thời gian xác thực. Lý do lựa chọn phương pháp này nhằm chứng minh tính khả thi về mặt hiệu năng tính toán và độ an toàn thuật toán trước các kịch bản tấn công thay đổi nội dung thông điệp.
  • Timeline nghiên cứu: Toàn bộ quá trình nghiên cứu lý thuyết, thiết kế hệ thống, lập trình thử nghiệm và phân tích dữ liệu được thực hiện liên tục từ tháng 03/2021 đến tháng 12/2021.

Kết quả nghiên cứu và thảo luận

Những phát hiện chính

Quá trình phân tích thực nghiệm và đánh giá hệ thống đã chỉ ra bốn phát hiện kỹ thuật quan trọng:

Thứ nhất, về hiệu năng và độ an toàn của các hệ mật: Khóa RSA 2048-bit cung cấp mức độ an toàn cao với thời gian sinh khóa trung bình 0,42 giây, trong khi ECDSA 256-bit đạt mức an toàn tương đương RSA 3072-bit nhưng giúp giảm tới khoảng 75% kích thước lưu trữ khóa trên thiết bị đầu cuối.

Thứ hai, về tốc độ xử lý hàm băm: Thuật toán SHA-1 đạt tốc độ xử lý trung bình 18 mili-giây cho tệp tin dung lượng 10MB, nhanh hơn khoảng 15% so với việc mã hóa toàn bộ nội dung bản rõ, giúp quá trình tạo bản tóm lược (Message Digest) diễn ra tức thì mà không gây nghẽn tài nguyên CPU.

Thứ ba, về khả năng quản lý chứng thư số PKI nội bộ: Việc triển khai hệ thống dựa trên công cụ Easy-RSA cho phép tự động hóa quy trình phát hành, cấp mới và kiểm tra trạng thái chứng thư số X.509 với độ chính xác đạt 99,98%, giảm độ trễ duyệt yêu cầu từ người dùng xuống dưới 1 giây.

Thứ tư, về độ nhạy phát hiện thay đổi dữ liệu: Khi thử nghiệm sửa đổi ngẫu nhiên chỉ 1 bit dữ liệu trên văn bản đã ký số, hệ thống ghi nhận tỷ lệ phát hiện can thiệp đạt 100%, ngay lập tức đưa ra cảnh báo xác thực không thành công và từ chối xử lý tài liệu.

Thảo luận kết quả

Cơ chế kết hợp giữa hàm băm một chiều và mật mã khóa bất đối xứng là nguyên nhân cốt lõi tạo nên tính toàn vẹn và xác thực của chữ ký số. Người gửi sử dụng khóa riêng (Private Key) để mã hóa chuỗi tóm lược dữ liệu, người nhận sử dụng khóa công khai (Public Key) được chứng thực bởi CA để giải mã và so sánh với giá trị băm tính toán lại từ văn bản gốc. Nếu hai giá trị này trùng khớp, tính toàn vẹn và nguồn gốc văn bản được xác nhận tuyệt đối.

So sánh với các nghiên cứu bảo mật dựa trên mật khẩu hoặc tường lửa truyền thống (vốn có tỷ lệ rủi ro bị khai thác trung gian lên tới 35%), giải pháp tích hợp PKI loại bỏ triệt để nguy cơ mạo danh và nghe lén. Kết quả thử nghiệm có thể được tổng hợp trực quan qua biểu đồ cột so sánh thời gian thực thi (mili-giây) giữa các thuật toán RSA, DSA, ECDSA và bảng ma trận đánh giá 4 thuộc tính an toàn thông tin. Mô hình triển khai qua các giao diện phân quyền, biểu mẫu cấp phát và danh sách quản lý chứng thư số chứng minh tính tương thích cao với hạ tầng mạng doanh nghiệp thực tế.

Đề xuất và khuyến nghị

Nhằm tối ưu hóa hiệu quả bảo mật cho các hệ thống quản lý văn bản trong thực tế, luận văn đưa ra bốn đề xuất hành động cụ thể:

  1. Nâng cấp tiêu chuẩn khóa mã hóa: Chuyển đổi toàn bộ cặp khóa RSA từ chuẩn 1024-bit lên tối thiểu 2048-bit hoặc 3072-bit, đồng thời tích hợp thuật toán ECDSA 256-bit nhằm tăng hiệu năng xử lý lên 40% trong lộ trình 12 tháng do đội ngũ kỹ sư an toàn thông tin chủ trì.
  2. Chuẩn hóa kiến trúc PKI phân tầng: Thiết lập hệ thống cơ quan chứng thực đầy đủ với CA gốc độc lập (Root CA), CA trung gian (Intermediate CA) và cơ quan đăng ký (RA), hướng tới năng lực xử lý trên 5.000 giao dịch cấp phát mỗi ngày trong vòng 6 tháng do bộ phận hạ tầng công nghệ thông tin phụ trách.
  3. Tích hợp giao thức kiểm tra trực tuyến: Xây dựng máy chủ thẩm quyền xác thực (VA) hỗ trợ kiểm tra danh sách thu hồi chứng thư (CRL) và giao thức OCSP trong thời gian thực, giảm độ trễ xác minh xuống dưới 200 mili-giây trong quý 2 do nhóm phát triển phần mềm thực hiện.
  4. Đào tạo nhận thức và quản lý khóa cá nhân: Ban hành quy chế bảo vệ khóa bí mật (Private Key) trên thiết bị phần cứng an toàn, tổ chức tập huấn cho 100% người dùng nội bộ nhằm triệt tiêu 95% nguy cơ mất an toàn do lỗi con người trong vòng 3 tháng do Ban lãnh đạo cơ quan chỉ đạo.

Đối tượng nên tham khảo luận văn

Nội dung nghiên cứu mang tính ứng dụng thực tiễn cao, đặc biệt phù hợp với các nhóm đối tượng sau:

  1. Kỹ sư an toàn thông tin và an ninh mạng: Tham khảo để nắm vững quy trình triển khai hạ tầng PKI nội bộ qua Easy-RSA, cấu hình chứng thư số X.509 v3 và tích hợp ký số vào các cổng chia sẻ dữ liệu trực tuyến.
  2. Cán bộ quản lý CNTT và chuyển đổi số tại doanh nghiệp: Tiếp cận giải pháp kỹ thuật chuẩn mực để xây dựng hệ thống văn phòng điện tử, bảo vệ tính pháp lý của hợp đồng và công văn nội bộ trước các nguy cơ giả mạo.
  3. Học viên cao học và nghiên cứu sinh chuyên ngành Hệ thống thông tin: Sử dụng làm tài liệu tham khảo chuyên sâu về các mô hình toán học trong mật mã bất đối xứng (RSA, Rabin, ElGamal, ECC) và kỹ thuật phân tích hàm băm.
  4. Lập trình viên và nhà phát triển ứng dụng Web: Ứng dụng các biểu mẫu, quy trình xác thực chứng thư số SSL/TLS và chữ ký số mã nguồn (Code Signing) để gia tăng mức độ bảo mật cho các sản phẩm phần mềm thương mại.

Câu hỏi thường gặp

Chữ ký số khác với chữ ký điện tử thông thường như thế nào?
Chữ ký điện tử là khái niệm rộng bao gồm từ ngữ, ký hiệu hoặc hình ảnh scan chữ ký. Trong khi đó, chữ ký số là một tập con sử dụng mật mã khóa công khai và hàm băm. Theo các quy định pháp lý, chữ ký số gắn liền với cặp khóa toán học giúp xác minh chính xác danh tính người ký và đảm bảo tính toàn vẹn tuyệt đối của văn bản.

Tại sao hàm băm MD5 không còn được khuyến nghị cho các hệ thống bảo mật cao?
Hàm băm MD5 sinh chuỗi đại diện 128-bit nhưng đã bộc lộ nhiều lỗ hổng toán học nghiêm trọng, đặc biệt là khả năng xảy ra đụng độ (Collision) khi hai thông điệp khác nhau cho cùng một giá trị băm. Trong thực tế, mã độc Flame năm 2012 đã khai thác điểm yếu này, do đó các hệ thống hiện đại chuyển sang dùng SHA-1, SHA-2 hoặc SHA-3.

Khác biệt căn bản giữa mã hóa RSA và ký số RSA là gì?
Trong mã hóa RSA, người gửi dùng khóa công khai của người nhận để mã hóa dữ liệu nhằm bảo mật thông tin. Ngược lại, trong chữ ký số RSA, người gửi dùng khóa riêng của chính mình để mã hóa chuỗi băm tóm lược văn bản, cho phép mọi người nhận dùng khóa công khai của người gửi để xác minh nguồn gốc.

Vai trò của cơ quan chứng thực CA trong hạ tầng PKI là gì?
CA đóng vai trò là bên thứ ba đáng tin cậy chịu trách nhiệm xác minh danh tính của thực thể và ký số lên chứng thư số để gắn kết khóa công khai với danh tính đó. Ví dụ trong thực tế, các CA công cộng được cơ quan quản lý nhà nước cấp phép giúp ngăn chặn hoàn toàn nguy cơ kẻ tấn công phát tán khóa công khai giả mạo.

Ưu điểm vượt trội của mật mã đường cong Elliptic (ECDSA) so với RSA là gì?
ECDSA vận hành trên bài toán Logarit rời rạc đường cong Elliptic vốn chưa có giải thuật phá mã dưới cấp lũy thừa. Nhờ đó, ECDSA với kích thước khóa chỉ 256-bit đạt độ an toàn tương đương RSA 3072-bit, giúp tiết kiệm khoảng 70% bộ nhớ lưu trữ và tối ưu hóa băng thông truyền tải trên các thiết bị di động.

Kết luận

  • Hệ thống hóa toàn diện cơ sở toán học của các hệ mật mã khóa bất đối xứng (RSA, Rabin, ElGamal, ECC) và các thuật toán hàm băm thông dụng (MD5, SHA-1).
  • Phân tích chi tiết kiến trúc hạ tầng khóa công khai PKI gồm các thành phần CA, RA, VA và tiêu chuẩn chứng thư số ITU-T X.509 phiên bản 3.
  • Xây dựng thành công mô hình PKI nội bộ dựa trên Easy-RSA và tích hợp tính năng ký số, xác thực vào hệ thống quản lý, chia sẻ tài liệu.
  • Kiểm nghiệm thực tế chứng minh hệ thống đạt độ chính xác 100% trong việc phát hiện văn bản bị sửa đổi và ngăn chặn giả mạo người gửi.
  • Đề xuất lộ trình nâng cấp độ dài khóa lên 2048-bit/3072-bit và mở rộng áp dụng chuẩn ECDSA cho các hệ thống thông tin quy mô lớn.

Luận văn đã đóng góp một giải pháp công nghệ hoàn chỉnh, giải quyết trọn vẹn yêu cầu bảo vệ tính toàn vẹn và xác thực tài liệu trong các cơ quan, tổ chức. Bước phát triển tiếp theo cần tập trung tích hợp chuẩn kiểm tra trực tuyến OCSP và module lưu trữ khóa phần cứng chuyên dụng (HSM) trong vòng 6 đến 12 tháng tới. Hãy áp dụng ngay các giải pháp chữ ký số và hạ tầng PKI từ công trình nghiên cứu này để xây dựng môi trường quản lý tài liệu số an toàn, tin cậy và bền vững!