Luận án tiến sĩ: Một số hệ mã hóa quảng bá linh động và dựa trên thuộc tính - Trịnh Văn Anh, Học viện Công nghệ Bưu chính Viễn thông

Mã hóa quảng bá linh động (dynamic broadcast encryption) là bước phát triển quan trọng từ các hệ mã hóa truyền thống. Trung tâm dữ liệu có thể thêm hoặc bớt người nhận mà không cần cập nhật lại toàn bộ hệ thống khóa. Kích thước bản mã và kích thước khóa giải mã duy trì ở mức tối ưu. Mô hình an toàn chống lại tấn công chọn bản rõ CPA và tấn công chọn bản mã CCA. Các lược đồ tiêu biểu như BGW, NNL hay Delerablee cung cấp cơ chế bảo vệ kênh truyền hiệu quả. Người dùng không nằm trong danh sách cấp quyền không thể khôi phục bản rõ. Tính linh hoạt thể hiện qua việc phân phối khóa công khai cố định cho toàn bộ người tham gia. Hệ thống hỗ trợ hàng triệu người dùng mà không làm suy giảm tốc độ xử lý dữ liệu. Các thuật toán thiết lập khóa, mã hóa và giải mã đạt độ phức tạp đa thức thấp.

Ghép nối song tuyến tính là công cụ toán học nền tảng trong thiết kế các hệ mật mã hiện đại. Hàm ánh xạ chuyển đổi hai phần tử thuộc các nhóm cyclic sang nhóm đích một cách hiệu quả. Tính chất song tuyến cho phép kiểm tra quan hệ đại số phức tạp giữa các khóa và bản mã. Các bài toán khó như BDHE, DBDHE và CDH đóng vai trò làm điểm tựa an toàn. Độ an toàn của hệ thống dựa trên sự bất khả thi khi giải các bài toán logarit rời rạc trong thời gian đa thức. Việc áp dụng ghép nối đối xứng hoặc bất đối xứng tạo nên sự cân bằng giữa tốc độ và độ dài khóa. Kỹ thuật này giúp rút ngắn đáng kể kích thước tiêu đề bản mã trong các phiên phát sóng dữ liệu số. Mọi thao tác tính toán trên đường cong elip được chuẩn hóa để tăng tốc độ thực thi phần cứng.

Hệ thống mã hóa dựa trên thuộc tính (attribute-based encryption) chuyển đổi phương thức định danh truyền thống sang mô hình tập thuộc tính. Người dùng sở hữu khóa bí mật gắn liền với các đặc điểm như vai trò, vị trí công tác hoặc mức bảo mật. Dữ liệu được mã hóa kèm theo chính sách kiểm soát truy cập xác định. Bản mã chỉ được giải mã thành công khi thuộc tính người dùng thỏa mãn điều kiện logic của cấu trúc truy cập. Kiến trúc này mang lại khả năng quản lý quyền truy cập linh hoạt trên diện rộng. Hệ thống loại bỏ nhu cầu phát hành nhiều bản mã cho từng cá nhân riêng biệt. Cấu trúc cây truy cập hoặc ma trận chia sẻ bí mật tuyến tính LSSS được tích hợp để biểu diễn các mệnh đề logic phức tạp. Tính bảo mật của dữ liệu được đảm bảo an toàn ngay cả khi máy chủ lưu trữ bị tấn công.

Mã hóa dựa trên thuộc tính được phân chia thành hai mô hình chính: key-policy ABE và ciphertext-policy ABE. Trong mô hình key-policy ABE, khóa giải mã của người dùng chứa chính sách kiểm soát truy cập, còn bản mã chỉ gắn liền với tập thuộc tính mô tả. Mô hình này rất phù hợp cho các hệ thống giám sát và tìm kiếm dữ liệu có cấu trúc. Ngược lại, ciphertext-policy ABE gắn chính sách truy cập trực tiếp vào bản mã, trong khi khóa người nhận lưu trữ các thuộc tính định danh. Ciphertext-policy ABE mô phỏng chính xác mô hình kiểm soát truy cập theo vai trò trong các tổ chức doanh nghiệp. Người mã hóa nắm toàn quyền quyết định ai có thể đọc nội dung tài liệu. Cả hai mô hình đều vận dụng các kỹ thuật phân chia bí mật tuyến tính để kiểm tra tính hợp lệ của thuộc tính giải mã.

Cơ chế thu hồi người dùng là thành phần bắt buộc trong các hệ mật mã quảng bá linh động và mã hóa thuộc tính. Khi quyền truy cập của thành viên bị hủy bỏ, hệ thống phải ngăn chặn việc giải mã các bản mã mới phát hành. Đồng thời, chi phí cập nhật khóa cho các người dùng hợp lệ còn lại phải duy trì ở mức tối thiểu. Các phương pháp thu hồi gián tiếp dựa trên trung tâm phân phối khóa theo chu kỳ thời gian. Phương pháp thu hồi trực tiếp tích hợp danh sách thu hồi vào trực tiếp tiêu đề bản mã mà không làm ảnh hưởng đến khóa cá nhân. Việc xây dựng cơ chế thu hồi tức thì giúp tăng cường tính bảo mật cho tài nguyên số. Các lược đồ hiện đại duy trì kích thước khóa bí mật và bản mã không đổi sau mỗi thao tác thu hồi hoặc thêm mới thành viên.

Cấu trúc an toàn của mô hình dynamic broadcast encryption bảo vệ dữ liệu trước mọi đối thủ tấn công thích nghi. Đối thủ có quyền yêu cầu tạo khóa bí mật cho các thuộc tính hoặc định danh tùy ý. Hệ thống chứng minh tính bảo mật thông qua trò chơi tương tác chuẩn mật mã giữa đối thủ và máy mô phỏng. Bằng việc giảm quy về bài toán ghép nối song tuyến tính khó, lược đồ đảm bảo đối thủ không thể suy ra thông tin bản rõ. Khả năng chống thông đồng ngăn các nhóm người dùng bất hợp pháp ghép nối các mảnh khóa để giải mã trái phép. Trạng thái an toàn CPA và CCA2 được kiểm định chặt chẽ trong mô hình chuẩn không cần oracle ngẫu nhiên. Tính toàn vẹn và bí mật của kênh truyền luôn được bảo toàn độc lập với quy mô mạng lưới.

Lược đồ mã hóa quảng bá đa kênh MCBE1 và MCBE2 đại diện cho các giải pháp nền tảng trong lĩnh vực truyền thông bảo mật. MCBE1 sử dụng cấu trúc ánh xạ song tuyến để quản lý quyền truy cập cho từng kênh dữ liệu riêng biệt. Tuy nhiên, kích thước khóa bí mật và độ dài bản mã trong MCBE1 tăng tuyến tính theo số lượng kênh đăng ký. Lược đồ MCBE2 cải tiến cấu trúc nhằm giảm kích thước tiêu đề bản mã nhưng vẫn chịu chi phí tính toán lớn tại phía người nhận. Cả hai lược đồ đều gặp hạn chế khi số lượng người dùng và số lượng kênh truyền thông mở rộng mạnh. Sự phụ thuộc vào kích thước nhóm khiến hệ thống khó thích ứng với các ứng dụng đám mây quy mô lớn. Việc phân tích hạn chế của MCBE1 và MCBE2 tạo tiền đề phát triển các lược đồ cải tiến hiệu năng cao hơn.

Lược đồ mã hóa đa kênh đề xuất giải quyết triệt để bài toán tối ưu kích thước tiêu đề bản mã. Kích thước bản mã của khóa phiên được cố định và hoàn toàn độc lập với số lượng kênh phát sóng. Khóa bí mật của người dùng giữ nguyên kích thước ngắn gọn dù đăng ký nhiều gói dịch vụ cùng lúc. Quá trình giải mã chỉ yêu cầu thực hiện số lượng phép ghép nối song tuyến tính không đổi. Thuật toán mã hóa tận dụng vector hóa các tham số đại số để tăng tốc độ xử lý dữ liệu hàng loạt. Kết quả thử nghiệm thực tế chứng minh thời gian tính toán giảm hơn 40% so với các lược đồ truyền thống. Kiến trúc đề xuất mang lại hiệu quả vượt trội cho hạ tầng viễn thông và dịch vụ lưu trữ dữ liệu đa phương tiện.

Tính an toàn của lược đồ đa kênh cải tiến được chứng minh đạt chuẩn an toàn trước tấn công bản rõ chọn trước CPA. Mô hình toán học quy đổi độ an toàn của hệ mã về độ khó của bài toán liên quan đến nhóm phân phối song tuyến tính. Trong kịch bản kiểm thử, đối thủ có khả năng thu thập khóa riêng của nhiều người dùng bị thỏa hiệp. Máy mô phỏng an toàn chứng minh rằng đối thủ không thể phân biệt bản mã của bản rõ mục tiêu với chuỗi ngẫu nhiên. Lược đồ duy trì khả năng chống lại sự cấu kết giữa các người dùng thuộc nhiều kênh truyền thông khác nhau. Mọi thông tin nhạy cảm lưu truyền qua các kênh công cộng đều được bảo vệ toàn vẹn tuyệt đối. Hệ thống đạt độ tin cậy cao và sẵn sàng triển khai trong các ứng dụng thực tế.

Lược đồ CP-ABE-01 được thiết kế nhằm tối ưu hóa chi phí tính toán của các thiết bị đầu cuối có tài nguyên giới hạn. Bản mã và khóa bí mật được cấu trúc theo không gian thuộc tính lớn, không bị giới hạn bởi tham số hệ thống ban đầu. Thuật toán giải mã giảm bớt các phép ghép nối song tuyến tính đắt đỏ bằng cách ủy quyền tính toán từng phần cho máy chủ. Kích thước bản mã duy trì ở mức tối thiểu, tiết kiệm dung lượng truyền thông qua mạng di động. Tính an toàn của lược đồ được chứng minh trong mô hình chuẩn dựa trên bài toán khó DBDHE. Các thử nghiệm trên môi trường máy tính thực tế cho thấy thời gian mã hóa và giải mã nhanh hơn đáng kể so với lược đồ Rouselakis-Waters. CP-ABE-01 đáp ứng tốt nhu cầu chia sẻ dữ liệu y tế và hồ sơ điện tử an toàn.

Lược đồ CP-ABE-02 mở rộng tính năng bảo mật bằng cách tích hợp cơ chế tìm kiếm từ khóa có thể phân quyền. Dữ liệu văn bản và các chỉ mục từ khóa đều được mã hóa đồng thời theo chính sách kiểm soát truy cập cụ thể. Người dùng muốn truy xuất tài liệu sẽ tạo một bẫy thông tin đại diện cho từ khóa cần tìm kiếm. Máy chủ đám mây chỉ so khớp thành công khi bẫy từ khóa trùng khớp và thuộc tính người dùng thỏa mãn chính sách bản mã. Kỹ thuật này ngăn ngừa hoàn toàn nguy cơ máy chủ phân tích tần suất từ khóa hoặc đánh cắp dữ liệu nhạy cảm. Độ an toàn của từ khóa và độ an toàn của dữ liệu đều được chứng minh nghiêm ngặt. Hệ thống ngăn chặn hiệu quả các cuộc tấn công đoán từ khóa nội bộ và bên ngoài.

Hiệu năng của hai lược đồ đề xuất được kiểm chứng qua cài đặt thực nghiệm trên môi trường phần cứng máy tính chuẩn. Thư viện ghép nối song tuyến tính PBC (Pairing-Based Cryptography) được sử dụng để đo lường chi phí tính toán chi tiết. Kết quả cho thấy thời gian sinh khóa, tạo bản mã và tìm kiếm từ khóa đều tăng tuyến tính với số lượng thuộc tính. Tuy nhiên, hệ số góc tăng trưởng thấp hơn rõ rệt so với các lược đồ cùng loại trong các công trình quốc tế. Băng thông truyền tải cho các bẫy tìm kiếm và tiêu đề bản mã được tối ưu hóa tối đa. Khả năng mở rộng của hệ thống đáp ứng tốt khi số lượng thuộc tính trong chính sách lên tới hàng trăm phần tử. Các kết quả thực nghiệm khẳng định tính khả thi cao trong triển khai thực tế.

Điện toán đám mây là môi trường lưu trữ lý tưởng cho việc triển khai các hệ mã hóa dựa trên thuộc tính tiên tiến. Doanh nghiệp tải dữ liệu đã mã hóa lên máy chủ đám mây của bên thứ ba mà không lo ngại rò rỉ thông tin riêng tư. Chính sách kiểm soát truy cập quy định chi tiết quyền hạn của từng phòng ban, vị trí công việc hoặc thời gian truy cập. Khi cần thay đổi nhân sự, cơ chế thu hồi người dùng cho phép vô hiệu hóa quyền hạn mà không cần mã hóa lại dữ liệu gốc. Máy chủ đám mây hỗ trợ xử lý tìm kiếm và tính toán sơ bộ mà không vi phạm tính bí mật của bản mã. Mô hình này giúp doanh nghiệp giảm thiểu chi phí đầu tư phần cứng bảo mật chuyên dụng. Tính tin cậy và khả năng sẵn sàng của dịch vụ lưu trữ luôn được đảm bảo cao nhất.

Mạng lưới truyền thông đa người dùng như mạng phát thanh số, mạng xã hội và hệ thống IoT đòi hỏi cơ chế phân phối tin an toàn. Ứng dụng mô hình dynamic broadcast encryption giúp máy chủ phát gửi đồng thời nội dung mã hóa đến các nhóm thuê bao hợp lệ. Người nhận chỉ cần sử dụng khóa cá nhân đơn lẻ để giải mã tức thì các luồng thông tin được phép truy cập. Mọi nỗ lực truy cập trái phép từ các thiết bị ngoài danh sách cấp phép đều bị ngăn chặn hoàn toàn. Kỹ thuật ghép nối song tuyến tính hỗ trợ tạo ra các liên kết bảo mật mạnh mẽ giữa người gửi và cộng đồng người nhận. Tốc độ truyền dẫn dữ liệu được tối ưu hóa nhờ loại bỏ các bản mã trùng lặp trên kênh truyền. Giải pháp đáp ứng trọn vẹn yêu cầu bảo mật trong hệ sinh thái vạn vật kết nối thông minh.