BỘ GIÁO DỤC VÀ ĐÀO TẠO BỘ QUỐC PHÒNG VIỆN KHOA HỌC VÀ CÔNG NGHỆ QUÂN SỰ HOÀNG VĂN QUÂN NGHIÊN CỨU GIẢI PHÁP NÂNG CAO HIỆU QUẢ BẢO MẬT THÔNG TIN TRÊN MẠNG TRUYỀN SỐ LIỆU ĐA DỊCH VỤ LUẬN ÁN TIẾN SĨ KỸ THUẬT HOÀNG VĂN QUÂN HÀ NỘI 2016 BỘ GIÁO DỤC VÀ ĐÀO TẠO BỘ QUỐC PHÒNG VIỆN KHOA HỌC VÀ CÔNG NGHỆ QUÂN SỰ NGHIÊN CỨU GIẢI PHÁP NÂNG CAO HIỆU QUẢ BẢO MẬT THÔNG TIN TRÊN MẠNG TRUYỀN SỐ LIỆU ĐA DỊCH VỤ Chuyên ngành: Mã số: Kỹ thuật điện tử 62 52 02 03 LUẬN ÁN TIẾN SĨ KỸ THUẬT NGƯỜI HƯỚNG DẪN KHOA HỌC: TS LỀU ĐỨC TÂN TS HOÀNG NGỌC MINH HÀ NỘI 2016 LỜI CAM ĐOAN Tôi xin cam đoan công trình nghiên cứu riêng Các nội dung, số liệu kết trình bày luận án hoàn toàn trung thực chưa có tác giả công bố công trình khác, liệu tham khảo trích dẫn đầy đủ Người cam đoan Hoàng Văn Quân LỜI CÁM ƠN Luận án thực Viện Khoa học Công nghệ Quân - Bộ Quốc phòng Tôi xin bày tỏ lòng biết ơn sâu sắc tới TS Lều Đức Tân TS Hoàng Ngọc Minh, thầy tận tình giúp đỡ, trang bị phương pháp nghiên cứu, kinh nghiệm, kiến thức khoa học kiểm tra, đánh giá kết suốt trình nghiên cứu luận án Xin trân trọng cám ơn Viện Khoa học Công nghệ Quân sự, Phòng Đào tạo, Viện Điện tử sở đào tạo đơn vị quản lý, đồng chí lãnh đạo, huy Cục Cơ yếu - Bộ Tổng Tham mưu - nơi công tác tạo điều kiện thuận lợi, hỗ trợ giúp đỡ suốt trình học tập, nghiên cứu thực luận án Xin chân thành cám ơn thầy, cô Viện Khoa học Công nghệ Quân sự, Viện Điện tử, nhà khoa học, đồng nghiệp thuộc Trung tâm Nghiên cứu Kỹ thuật Mật mã Cục Cơ yếu, Viện Khoa học Công nghệ Mật mã/Ban Cơ yếu Chính phủ giúp đỡ, hỗ trợ suốt thời gian qua Cuối cùng, xin bày tỏ lòng thành kính ghi nhớ công ơn cha mẹ, gia đình, người thân xin dành lời cảm ơn đặc biệt tới vợ con, người đồng hành, động viên chỗ dựa mặt giúp vượt qua khó khăn để có kết nghiên cứu ngày hôm Tác giả MỤC LỤC Trang DANH MỤC CÁC KÝ HIỆU, CÁC CHỮ VIẾT TẮT E Ký hiệu đường cong elliptic O Điểm vô cực G Một điểm E sinh nhóm cyclic cấp N KA Khóa bí mật A đường cong elliptic KB Khóa bí mật B ~^p GF(p) Ký hiệu cho trường hữu hạn chứa p phần tử với p số nguyên tố #{(X,Y) Lực lượng tập X, Y #(a) Lực lượng a #(b) Lực lượng b x1 y1 Tọa độ điểm P đường cong E x2 y2 Tọa độ điểm Q đường cong E x3 y3 Tọa độ điểm R đường cong E Rank(A) Hạng ma trận A ATM1 An toàn mạng ATM2 An toàn mạng AES Chuẩn mã hóa liệu mở rộng (Advanc e d Encryption Standard) AH Giao thức tiêu đề xác thực (Authentication Header) ASIC Mạch tích hợp cho ứng dụng đặc biệt (Application Specific Integrated Circuit) ATM Phương thức truyền tải không đồng (Asynchronous Transfer Mode) DLP Bài toán logarith rời rạc (Discrete Logarithm Problem) DoS Tấn công từ chối dịch vụ (Denial of Service ) DDoS Tấn công từ chối dịch vụ phân tán (Distributed Denial of Service) DTLS Bảo mật gói liệu tầng giao vận (Datagram Transport Layer Security) DH Diffie-Hellman (Elliptic Curve) EC ECADD ECC ECDBL Đường cong elliptic Phép cộng hai điểm khác (Elliptic Curve ADD) Hệ mật Elliptic (Elliptic Curve Cryptosystem) ECDH Phép nhân đôi (phép cộng hai điểm giống - EC Double) Bài toán Diffie-Hellman Elliptic (Elliptic Curve Diffie- Hellman) ECDLP Bài toán logarith rời rạc đường cong elliptic (Elliptic Curve Discrete Logarithm Problem) ECDSA Thuật toán chữ ký số Elliptic (Elliptic Curve Digital Signature Algorithm) ESP FPGA GCD IP IDPS Encapsulating Security Payload Mảng cổng lập trình dạng trường (Field Programmable Gate Array) Tìm ước số chung lớn (Gre atest Common Divisor) Giao thức liên mạng (Internet Protocol) Hệ thống phát ngăn chặn truy cập (Intrusion Detection Pevention System) IKE Giao thức bảo mật (IP Security Protocol) Trao đổi khóa (Internet Key Exchange) Tổ chức Tiêu chuẩn quốc tế (International Organization for Standardization) ISO Chuyển mạch nhãn đa giao thức (Multi Protocol Label Switching) IPSec Phân tách có khoảng cách cực đại (Maximum Distance Separable) MPLS MDS Dạng không liền kề (Non Adjacent Form) Mạng cục (Local Area Network) Tế bào logic (Logic Cell) NAF Phần tử logic (Logic Element) LAN Mã hóa điểm tới điểm (Microsoft Point to Point Encryption) LC LE MPPE OSI SPN RSA VPN Mô hình tương tác hệ thống mở (Open Systems Interconnection ) Mạng thay - hoán vị (Substitution Permutation Network) Thuật toán mã khóa công khai Rive st, s hamir Adl eman Mạng riêng ảo (Virtual Private Network) VHDL Ngôn ngữ mô tả phần cứng (Verilog Hardware Description Language) DANH MỤC CÁC BẢNG DANH MỤC CÁC HÌNH VẼ MỞ ĐẦU Tính cấp thiết Mạng truyền số liệu sử dụng rộng rãi hầu hết lĩnh vực đời sống, kinh tế - xã hội, an ninh quốc phòng để đáp ứng nhu cầu trao đổi thông tin Việc xây dựng mạng truyền thông tốc độ cao với khả bảo đảm chất lượng, dịch vụ tiền đề để xây dựng phát triển xã hội thông tin đại Tùy the o tính chất nhiệm vụ yêu cầu ngành mà mạng truyền số liệu xây dựng tổ chức thành mạng riêng, độc lập Tuy nhiên, mạng vi n thông có xu hướng chung hội tụ để truyền nhiều loại hình thông tin mạng IP/MPL s [1], [2], [4], [12] hai công nghệ tảng để xây dựng mạng hội tụ Bên cạnh việc phát triển mạng truyền số liệu vấn đề đảm bảo an ninh, an toàn, bảo mật cho mạng thông tin yếu tố hàng đầu định chất lượng tính khả dụng mạng, tiềm ẩn nhiều nguy gây an toàn thông tin, gây hậu nghiêm trọng kinh tế, trị, quân sự, an ninh quốc gia Đặc biệt mạng thông tin quan Đảng, Nhà nước, Quân đội yêu cầu an toàn bảo mật thông tin, liệu đòi hỏi cần thiết cấp bách Bài toán bảo mật thông tin mạng truyền số liệu nhiều quốc gia giới đặc biệt quan tâm, có nhiều nghiên cứu tạo chuẩn bảo mật, hệ mật giải pháp bảo mật cho mạng truyền số liệu đa dịch vụ Trong giao thức bảo mật IP s ec coi giao thức tốt cho việc thực mã hóa liệu tầng IP [4], [9] tảng công nghệ mạng truyền số liệu đa dịch vụ IPSec tập hợp tiêu chuẩn mở, cung cấp dịch vụ bảo mật điều khiển truy nhập tầng IP Tuy nhiên, hệ thống mạng truyền số liệu mạng truyền dẫn tốc độ cao ngày phát triển nhanh chóng, truyền tải nhiều loại hình dịch vụ thông tin, đặt số vấn đề IP s e c để PHỤ LỤC: MỘT SỐ MODULE THỰC HIỆN PH P NHÂN ĐI M A.1 Giới thiệu cấu trú c kít phát triển FPGA Zynq ZC706 Với phân tích việc lựa chọn công nghệ phần cứng FPGA để thực thuật toán mật mã, luận án lựa chọn phần cứng có khả phù hợp họ Zynq Xilinx, cụ thể bảng mạch phát triển ZC70 ó với chíp xử lý Znq7Z045FFG900- s Xilinx tích hợp xử lý nhúng ARM cortex A9 [60], [61] họ linh kiện cung cấp xử lý số học chuyên dụng tốc độ cao tài nguyên nhớ lớn, phù hợp cho nhiều ứng dụng như: xử lý tín hiệu số, phát triển hệ thống nhúng, ứng dụng mạng, thực thi toán tính toán phức tạp ZC70 ó Evaluation Kit cung cấp nhiều tính trội như: Chip FPGA xử lý trung tâm XC7Z045: XC7Z045 chip FPGA hệ thứ Xilinx dựa công nghệ 28 nm có mật độ tích hợp cao, cung cấp tới s50.000 khối logic C ells, 900 khối D SP, 80 Kb block AM Ngoài ra, XC7Z0 có tính mạnh họ Zynq 7000 như: tích hợp core vi xử lý cứng ARM cort ex A9 (2 core ), hỗ trợ chuẩn truyền dẫn tốc độ cao PCI e, U S B 2.0 Hỗ trợ giao ti p với thi t bị lưu giữ nhớ với dung lượng lớn: Ngoài nhớ (Block Ram) tích hợp chip, ZC70 ó Evaluation Kit có hỗ trợ nhớ mở rộng với chuẩn DD gồm 02 khối, GB cho khối PL GB cho khối P Ngoài ra, board tích hợp điều khiển D card, cho phép truy xuất liệu card SD lưu giữ cấu hình khác cho FPGA Hỗ trợ nhiều chuẩn ngoại vi: ZC70 Evaluation Kit hỗ trợ nhiều chuẩn giao tiếp với máy tính như: cổng Eth rn t với tốc độ truyền 0/1 00/1 000 Mb, PCIe, cổng USB 2.0 OTG JTag, cổng US B UART, Board có khe cắm mở rộng, khe hỗ trợ ngoại vi tốc độ cao khe hỗ trợ ngoại vi tốc độ thấp Hình A.1 Kitphát triến ZC706 Evaluation Kit Xilinx ZC 706 bảng mạch phát triển xử lý nhúng Zynq-7000 XC7Z0452FFG900C AP SoC cung cấp môi trường phần cứng cho việc phát triển nhúng XC7Z045 AP s oC tích hợp khuôn gồm: Hệ thống xử lý (PS- processing system), lôgics lập trình (PL-programmable logic) Hệ thống xử lý tích hợp 02 xử lý ứng dụng ARM® Cortex™-A9 MPCore™, AMBA® đường kết nối nhớ bên trong, giao diện nhớ thiết bị ngoại vi gồm: us B, Ethernet, SPI, SD/ SDIO, I2C, CAN, UART, and GPIO Hình A.2 Sơ đồ khối kiến trúc kít Zynq-7000 XC7Z045-2FFG900C Chip XC7Z045-2FFG900C AP SoC [61] thuộc dòng Kint ex-7 FPGA Xilinx có cấu trúc tích hợp mật độ cao với 900 chân vào ra, 350.000 Logic Cells, 218.600 Look-Up Tables (LUTs), 437.200 Flip-Flops, 2.180KB RAM, cung cấp: - Hoạt động với tần số xung nhịp clock lên đến GHz - Giao diện PCI Express - 08 mạch vòng khóa pha PLL nhúng Thành phần nhỏ chip FPGA Zynq (họ Kintex-7 XILINX cấu trúc) gọi logic element (LE) Về LE bảng tra (lookup table-LUT) với đầu vào sở cấu trúc s RAM ghi trạng thái, kết hợp với hàm logic đầu vào lưu giữ ghi lại LE Mỗi LE hoạt động chế độ: chế độ thông thường chế độ số học động Với cấu trúc đặc trưng vậy, chip Zynq XILINX có khả thực logic cộng, trừ với tốc độ cao, phù hợp với mục đích thiết kế cứng hóa thuật toán mật mã r Bảng A.1 Các thông so kỹ thuật kít Zynq-7000 Programmable Logic Zynq-7000 All Programmable SoC Device Name Z-7010 Z-7015 Z-7020 Z-7030 Z-7045 Z-7100 Part Number XC7Z010 XC7Z015 XC7Z020 XC7Z030 XC7Z045 XC7Z100 Xilinx Series Programmable Logic Equivalent Artix®-7 FPGA Artix-7 FPGA Artix-7 FPGA Kintex-7 FPGA Kintex-7 FPGA 28K Logic Cells {— 430K} 74K Logic Cells (-1.1M) 85K Logic Cells (-13M) 125K Logic Cells (-1.9M) 350K Logic Cells (~5.2M) 444K Logic Cells (-6.6M) Look-Up Tables (LUTs) 17,600 46,200 53,200 78,600 218,600 277,400 Flip-Flops 35,200 92,400 106,400 157,200 437,200 554,800 1,060 KB (265) 2,180 KB (545) 3,020 KB (755) 2,020 Programmable Logic Cells (Approximate ASIC Gatesp) Kintex®-7 FPGA Extensible Block RAM (# 36 Kb Blocks) 240 KB (60) 380 KB (95) 560 KB (146) Programmable DSP Slices {18x25 MACCs) 80 160 220 400 900 Peak DSP Performance (Symmetric FIR) 100 G MACS 200 GMACs 276 GMACs 593 GMACs 1,334 GM ACs PCI Express® (Root Complex or Endpoint) - Gen2 x4 - Gen2 x4 Gen2 x8 2,622 GMACs Gen2 x8 Analog Mixed Signal (AMS) / XADC 2x 12 bit, MSPS ADCs with up to 17 Differential Inputs Security!2) AES and SHA 256b for Boot Code and Programmable Logic Configuration, Decryption, and Authentication Bộ xử lý ARM cortex A9: Bộ xử lý ARM Cortex A9 xử lý nhúng hãng Xilinx chế tạo dựa công nghệ FPGA giống vi điều khiển máy tính chíp bao gồm CPU, thiết bị ngoại vi nhớ chíp đơn Bộ xử lý ARM Cortex A9 cung cấp: - Thiết lập thị bít, đường dẫn liệu không gian địa - ghi mục đích chung - nguồn ngắt - Bộ nhân đơn 32x32 chia kết bit - Truy cập tới ngoại vi khác chíp, giao diện với nhớ ngoại vi chíp Môi trường phát triển phần mềm dựa công cụ GNU C/C++ r Hình A.3 Mô tả khôi chức xử lý A RM Design Verification System specification Design Entry Behavioural Simulation RTL(VHDL, Verilog, Schematic) Synthesis Functional Simulation > Netlist (edit, propietary) Implementation constraints (pads and Timming) Netlist (propietary) In-circuit Testing Program Tool Generate Prpgram File Bitstream Synthesis constraints Hình A.4 Mô tả bước thiết kế FPGA r A.2 Mã nguồn VHDL thực phép nh ân điểm — — Company: CCYBTTM Engineer: HOANG VAN QUAN Create Date: Design Name: Module Name: Project Name: Target Devices: Tool versions: Description: 14:13:19 03/06/2015 nhan diem - Structureal Dependencies: Revision: Revision 0.01 - File Created -Additional Comments: r library IEEE; use IEEE.STD_LOGIC_1164.ALL; use ieee.std logic arith.all; use ieee.std logic unsigned.all; use work.ecc pkg.all; —Library UNISIM; use UNISIM.vcomponents.all; entity nhan diem is port ( xP, yP, k: in STD_LOGIC_VECTOR (282 downto 0); clk, reset, start: in std logic; xQ, yQ: out STD_LOGIC_VECTOR (282 downto 0); done: out std logic); end nhan diem; architecture Structure of nhan diem is signal p Yp, p Yp0 : std logic vector (282 downto 0); signal a, next a, a add carry, a add carry div2: std logic vector(282 downto 0); signal xP0, yP0, next xQ, next yQ, New XP0,New YP0,New XQ,New YQ,yp0 tp: std logic vector(282 downto 0);_ signal P en, Q en, ab en, load, sel 1, start addition, addition done, start double, double done, Q infinity, aEquall, ce carry: std logic; signal sel 2: std logic vector(1 downto 0); signal carry : integer range -1 to 1; subtype states is natural range to 18; signal TT: states; signal xQ tmp, yQ tmp : std logic vector(282 downto 0); begin when others; when ”01”, with sel select yp0 xQ tmp, y2 => yQ tmp, clk => clk, reset => reset, start => start addition, x3 => New XQ, y3 => New YQ, done => addition done); nhan doi: point double port map( x1 => xP0, y1 => yP0, clk => clk, reset => reset, start => start double, x3 => New XP0, y3 => New YP0, done => double done); register P: process(clk) begin if clk' event and clk = '1' then if reset = '1' then xP0 '0'); yP0 '0'); elsif load = '1' then xP0 [...]... ưu cài đặt các giải pháp mật mã trên phần cứng nhằm đạt hiệu quả về tốc độ, tài nguyên sử dụng ít được đề cập Xuất phát từ những lý do trên, nghiên cứu sinh chọn đề tài nghiên cứu Nghiên cứu giải pháp nâng cao hiệu quả bảo mật thông tin trên mạng truyền số liệu đa dịch vụ Nhằm nghiên cứu cải tiến, tối ưu giải pháp mật mã, ứng dụng công nghệ để cứng hóa, tối ưu cài đặt để nâng cao hiệu năng, tốc độ... dụng, an toàn và bảo mật nhằm nâng cao hiệu quả bảo mật thông tin trên mạng truyền số liệu đa dịch vụ 1 3 3 Đối tượng nghiên cứu Mạng truyền số liệu đang được sử dụng trong các cơ quan đảng, chính phủ, quân đội và giải pháp bảo mật mạng Tập trung vào nghiên cứu các kỹ thuật mật mã hiện đại như mật mã khóa công khai trên đường cong elhptic, các hệ mã khối khóa bí mật để mã hóa dữ liệu và khả năng thực... toán mật mã trên phần cứng FPGA 5 Phương pháp nghiên cứu - Trên cơ sở kiến trúc an ninh chung của mô hình O s I, giao thức bảo mật cho mạng truyền số liệu đa dịch vụ, thông qua khảo sát, phân tích, đánh giá các kết quả đã nghiên cứu từ đó đề xuất các vấn đề nghiên cứu nâng cao hiệu quả bảo mật mạng - Dựa trên phương pháp phân tích lý thuyết (sử dụng lý thuyết và kỹ thuật mật mã hiện đại), tính toán giải. .. độ trao đổi khóa, mã hóa /giải mã dữ liệu, giải quyết các yêu cầu ngày càng phát triển cao của mạng truyền số liệu tốc độ cao, đa dịch vụ, thời gian thực Đây là nội dung khoa học trọng yếu của công trình nghiên cứu được trình bày chi tiết trong luận án 2 Mục tiêu nghiên cứu Nghiên cứu đề xuất giải pháp cụ thể để nâng cao hiệu quả thực hiện các thuật toán mật mã đảm bảo hiệu quả về tốc độ tính toán,... các thuật toán mật mã trên phần cứng FPGA 4 Phạm vi nghiên cứu - Luận án tập trung nghiên cứu nâng cao hiệu quả thực hiện phép nhân điểm trên đường cong elliptic phục vụ cho bài toán trao đổi khóa trong giao thức trao đổi khóa IKE của giao thức bảo mật IP s e c - Nghiên cứu, đề xuất giải pháp cải tiến nhằm nâng cao hiệu quả thực hiện thuật toán mã hóa dữ liệu cho bài toán bảo mật - Nghiên cứu cứng hóa... tính năng, tham số kỹ thuật của thiết bị cũng rất khó khăn - Khả năng kiểm soát thiết bị không cao, không thể loại trừ khả năng cài chíp ‘‘rệp ’’ hoặc các thành phần gián điệp theo dõi toàn bộ hệ thống thông qua các phương tiện truyền thông từ xa 1.2.6 Giao thức b ảo mật cho mạng truyền số liệu đa dịch vụ Yêu cầu bảo mật mạng truyền số liệu đa dịch vụ đòi hỏi bảo vệ tất cả các dịch vụ trên mạng, không... vệ thông tin trên một mạng truyền số liệu đa dịch vụ về các tiêu chí bảo mật và giá thành Thêm nữa, việc triển khai IP c trên các thiết bị mạng hầu như không yêu cầu việc cài đặt, cấu hình tại phía các máy trạm truy nhập hoặc máy chủ cung cấp dịch vụ Trong phạm vi luận án, tác giả sẽ nghiên cứu về giải pháp mật mã sử dụng cho IPSec cài đặt trên thiết bị bảo mật mạng tại lớp truy nhập và đề xuất các giải. .. theo tiêu chuẩn I s O 7498-2, nghiên cứu về giao thức bảo mật IP s ec và các nội dung cần nghiên cứu đề xuất nhằm nâng cao hiệu quả bảo mật cho mạng đa dịch vụ; đề xuất ứng dụng hệ mật đường cong elliptic cho giao thức trao đổi khóa (Nội dung này 1 5 được đăng trên bài báo số 1); trong đó nghiên cứu về thuật toán nhân điểm của mật mã đường cong elliptic nhằm nâng cao hiệu quả trao đổi khóa cho các ứng... cứu về bảo mật đối với mạng truyền số liệu đa dịch vụ chủ yếu được giải quyết tại lớp biên hoặc lớp truy cập, thiết bị bảo mật được đặt giữa vị trí mạng nội bộ bên trong với mạng truyền số liệu diện rộng, hoặc là bảo mật đầu cuối đầu cuối, nền tảng công nghệ chính tại các lớp này đó là IP, vì vậy giải pháp bảo mật chính là xử lý bảo mật tại tầng IP [1], [2], [7], [32] Tại vị trí này, các thiết bị truyền. .. suốt 24/7 [1], [2] Trên cơ sở hạ tầng tiên tiến và đồng bộ, mạng truyền số liệu đa dịch vụ đáp ứng cho rất nhiều dịch vụ như: Truyền hình hội nghị ; kết nối mạng riêng ảo ; truy nhập từ xa (Remote Access IP VPN); trao đổi dữ liệu và các dịch vụ dữ liệu, thoại IP Mạng truyền số liệu đa dịch vụ sử dụng giao thức TCP/IP the o mô hình OSI, tùy the o tính chất, nhiệm vụ của từng ngành mà mạng có thể được