Luận án: Xây dựng giải pháp bảo mật dữ liệu thời gian thực trên mạng IP bằng phần cứng

TỔNG QUAN VỀ GIẢI PHÁP BẢO MẬT DỮ LIỆU THỜI GIAN THỰC TRÊN MẠNG IP Đây là chương trình bày tổng quan về giải pháp bảo mật dữ liệu thời gian thực trên mạng IP với những nội dung chính sau: nghiên cứu tổng quan dữ liệu thời gian thực, tổng quan về một số giao thức bảo mật dữ liệu thời gian thực, tổng quan về thuật toán mật mã khối và một số cơ sở thiết kế thuật toán mật mã khối phù hợp cho bảo mật dữ liệu thời gian thực. Thông qua đó xác định rõ vấn đề đặt ra cần nghiên cứu, vị trí vấn đề nghiên cứu, xu hướng và giải pháp giải quyết vấn đề đặt ra. Giới thiệu Dữ liệu thời gian thực là dữ liệu không được lưu trữ hoặc lưu trữ nhưng nó được chuyển đến người dùng cuối nhanh nhất khi nó được thu thập. Xử lý dữ liệu thời gian thực không chỉ yêu cầu đảm bảo tính đúng đắn của dữ liệu mà còn yêu cầu thời gian xử lý dữ liệu nhanh, kịp thời.

Có rất nhiều ứng dụng yêu cầu dữ liệu đáp ứng thời gian thực như trong ngành công nghiệp sản xuất, kiểm soát tiến trình (trong nhà máy, hay trong viện hạt nhân, trong hệ thống hàng không, thông qua các hệ thống dẫn đường tích hợp trên máy bay và vệ tinh), y tế, và các hệ thống xử lý cơ sở dữ liệu thời gian thực như các hệ thống truyền thông đa phương tiện, hệ thống dự phòng thảm họa, và hệ thống phân tích dữ liệu khoa học. Các ứng dụng thời gian thực cần đảm bảo chất lượng dịch vụ của mạng để thoả mãn nhu cầu sử dụng. Chất lượng dịch vụ được mong đợi có ở mạng được gọi là tham số chất lượng dịch vụ (QoS). Các ứng dụng thời gian thực thường có các yêu cầu nghiêm ngặt về các tham số QoS như sau: băng tần, độ trễ, jitter, độ mất mát.

Độ Trễ: Việc phân phát thành công một gói dữ liệu bởi mạng giao tiếp trong ứng dụng thời gian thực không chỉ tuỳ thuộc vào việc nhận gói dữ liệu mà còn phụ thuộc vào thời gian mà gói dữ liệu nhận được. Nếu như thời gian mà mạng cần để phân phát gói dữ liệu vượt quá giới hạn trễ nhất định thì ứng dụng sẽ vượt quá thời gian và kết quả là làm suy giảm chất lượng dịch vụ thời gian thực. 2 Jitter: Jitter được định nghĩa là biến đổi lớn nhất trong việc trễ bởi các gói tin trong một phiên đơn. Nói một cách khác, điều này khác với độ trễ lớn nhất và nhỏ nhất mà gói truyền trong mạng chuyển gói.

Ví dụ, nếu độ trễ tối thiểu bởi một gói trong một lớp là 1 ms và độ trễ tối đa là 10 ms, thì độ trễ jitter là 9 ms. Khi các gói dữ liệu được truyền trong mạng, chúng có thể có các độ trễ khác nhau tại các nốt khác nhau. Các gói có thể truyền đi theo các đường khác nhau tạo nên jitter. Băng tần: Tham số này là tốc độ kết nối dịch vụ trong mạng.

Đủ băng tần là điều thiết yếu để có được thông lượng yêu cầu cho mỗi ứng dụng. Độ mất mát: Độ mất mát là phần trăm của các gói truyền có thể bị mất trong quá trình truyền tải. Các gói trong kết nối có thể bị mất do các lý do khác nhau như vi phạm tối đa trễ, tối đa trễ jitter, vượt quá bộ đệm, và mất mát dữ liệu. Mất mát dữ liệu là không quan trọng trong mạng truyền quang và có thể không cần chú ý, nhưng mất mát dữ liệu trong mạng không dây là quan trọng.

Các ứng dụng khác nhau có sự yêu cầu khác nhau về độ mất mát. Các yêu cầu của các ứng dụng thời gian thực khác nhau với chất lượng dịch vụ vượt quá tham số QoS có thể khác nhau. Ngày nay, cùng với sự phát triển của công nghệ thông tin và mạng internet thì các dịch vụ dữ liệu thời gian thực ngày càng đa dạng và thâm nhập vào mọi hệ thống dữ liệu khác nhau. Tuy nhiên, cùng với sự phát triển đó là vấn đề an ninh thông tin, đặc biệt là với các hệ thống sử dụng mạng IP ( là mạng sử dụng bộ giao thức TCP/IP để truyền dữ liệu như LAN, WAN, Internet, .) thì nguy cơ bị tấn công lấy trộm hoặc phá hủy thông tin ngày càng lớn.

Do đó, việc áp dụng các thuật toán mật mã để mã hóa các thông tin truyền đi ngày càng phổ biến và cần thiết. Nhưng do đặc thù của loại dữ liệu thời gian thực nên các thuật toán mật mã sử dụng để mã hóa/ giải mã dữ liệu thời gian thực phải có tốc độ nhanh để đảm bảo độ trễ do thuật toán mật mã là nhỏ nhất. Chính vì vậy, việc lựa chọn thuật toán mật mã và phương pháp thực hiện thuật toán phù hợp để đảm bảo chất lượng yêu cầu của dịch vụ thời gian thực là rất cần thiết. Tổng quan về một số giao thức bảo mật dữ liệu thời gian thực 1.

Giao thức bảo mật truyền thời gian thực SRTP Giao thức bảo mật truyền thời gian thực SRTP (Secure Realtime Transport Protocol)[58] cung cấp sự toàn vẹn, tính xác thực, và sự bảo mật với giao thức truyền thời gian thực RTP (Realtime Transport Protocol), và giao thức điều khiển vận chuyển thời gian thực RTCP (Realtime Transport Control Protocol). Giao thức SRTP là một chuẩn giao thức IETF được sử dụng để đảm bảo tính bảo mật trong quá trình truyền tải âm thanh, video và chia sẻ nội dung với các phương tiện truyền thông khác. Giao thức SRTP được phát triển bởi nhóm nghiên cứu giao thức IP và mật mã hóa của Cisco và Ericsson với tiêu chuẩn RFC 3711 được công bố bởi IETF vào tháng 3 năm 2004. Giao thức SRTP không chỉ rõ các khóa được trao đổi giữa người gửi và người nhận như thế nào.

Những hệ thống quản lý khóa ở bên ngoài phạm vi của SRTP. Với VoIP, giao thức báo hiệu có thể tiến hành trao đổi khóa trước khi giao thức bảo mật truyền thời gian thực SRTP thực hiện. Để sử dụng giao thức báo hiệu cho sự trao đổi khóa, cần bảo mật giao thức này bằng cách sử dụng giao thức TLS, IPSec hay giao thức tương tự. Nếu không thực hiện như vậy, khóa mà giao thức SRTP sử dụng có thể bị lộ và bị tấn công.

Với giải thuật mật mã hóa và giải mật mã luồng dữ liệu, giao thức SRTP sử dụng thuật toán mã hóa AES là thuật toán mã hóa mặc định. SRTP sử dụng HMAC- SHA1 để chứng thực bản tin và đảm bảo sự toàn vẹn dữ liệu (trong tiêu chuẩn RFC 2104). Giao thức bảo mật IPSec Giao thức bảo mật IPSec là giao thức bảo mật lớp mạng. Giao thức này có thể gửi và nhận những gói (TCP, UDP, ICMP, …) được bảo vệ bởi các biện pháp mật mã hóa mà không sửa nội dung của gói.

Giao thức này cung cấp khả năng mật mã hóa giao thức lớp cao hơn và chứng thực mỗi gói IP. Giao thức IPSec bao gồm quá trình trao đổi khóa, xử lý chính sách bảo mật, liên kết tính bảo mật và hai giao thức 4 AH (mào đầu chứng thực) và giao thức ESP (giao thức bảo vệ tải trọng) của gói IP. Giao thức AH cung cấp khả năng chứng thực và toàn vẹn dữ liệu. AH thiết lập kết nối IPSec yêu cầu hai pha: pha 1 (ISAKMP SA) và pha 2 (IPSec SA).

Chúng ta có thể nhìn thấy sự phức tạp của giao thức IPSec như hình sau đây: IPSec Peer A (Initiator role) Domain- wide Policy Policy Manager Policy TCP/IP TCP/IP Applicat Applicat ions ISAKMP ions IKE IKE 6 1 TCP/UDP TCP/UDP S S S S 1 5 3 4 S 1 2 AA AA 1 IP A S IP IPSec IPSec S IP 7 E E 1 IP S @ Network 8 9Network @ Interface Interface Hình 1.1: Kiến trúc giao thức IPSec Khi IPSec bắt đầu được thiết lập giữa A và B, những đầu cuối này thu nhận chính sách dữ liệu từ bộ quản lý miền. Sau đó mỗi đầu cuối phân phối thiết lập bảo mật cho bộ trao đổi khóa IKE. 5 Giao thức IPSec là giao thức phổ biến hiện nay để bảo mật dữ liệu truyền trên mạng IP ( trong đó bao gồm cả dữ liệu thời gian thực), tuy nhiên quá trình xử lý thuật toán phức tạp làm cho các thiết bị mã hóa sử dụng giao thức IPSec tiêu tốn nhiều tài nguyên, hiệu năng không cao. Trên thế giới đã có nhiều công trình nghiên cứu cải tiến nhằm cải thiện tốc độ, nâng cao hiệu năng xử lý của IPSec, điển hình như công trình của các tác giả A.Wu, Yun Niu,X.

Zhang [32] (năm 2013) đã nghiên cứu cứng hóa giao thức IPSec trên nền công nghệ FPGA và đạt được những thành công lớn về mặt tốc độ và hiệu năng xử lý, trong đó về giải pháp mật mã các tác giả trên sử dụng thuật toán mã hóa chuẩn AES cho ESP và giao thức thỏa thuận khóa Diffie-Hellman với tham số RSA 1024, 2048 bít cho IKEv2. Về cứng hóa chuẩn mã hóa dữ liệu AES trên FPGA nhằm nâng cao hiệu năng xử lý mật mã, điển hình có các nghiên cứu gần đây như công trình của các tác giả Kaur A, Bhardwaj P and Naveen Kumar [31] (năm 2013), Ashwini R. Tonde and Akshay P. Dhande [3] (năm 2014), hay kết quả khảo sát các công trình nghiên cứu theo hướng này của các tác giả Shylashree.N, Nagarjun Bhat and V.

Shridhar [46] (năm 2012) cho thấy các kết quả đạt được là rất đáng kể nhờ việc tối ưu và sử dụng các kỹ thuật tiên tiến (pipeline) khi thực hiện trên phần cứng. Tuy nhiên, các công trình nghiên cứu đề cập đến việc cài đặt trên phần cứng có liên quan đến tối ưu hoặc cải tiến các thành phần mật mã còn rất hạn chế. Tổng quan về tình hình nghiên cứu thuật toán mật mã khối 1. Tổng quan tình hình nghiên cứu ngoài nước Thuật toán mật mã khối là một phần quan trọng trong sản phẩm mật mã, việc tích hợp thuật toán mật mã khối vào các sản phẩm mật mã mang lại nhiều lợi ích, đa số các quốc gia và tổ chức quốc tế rất quan tâm đến việc nghiên cứu phát triển thuật toán mật mã khối.

Tại Mỹ, Chính phủ đã mở hai chiến dịch tuyển chọn chuẩn thuật toán mật mã khối trong hai giai đoạn kế tiếp nhau, giai đoạn đầu kết thúc vào năm 1976 với 6 chuẩn mã hóa dữ liệu DES và giai đoạn sau kết thúc vào năm 2000 với chuẩn mã hóa nâng cao AES, giai đoạn sau có quy mô và chất lượng cao hơn giai đoạn trước.