Thực tế, hầu hết các nhà sản xuất thiết bị USB mã hóa đều chưa thực sự quan tâm đến đối tượng (hệ thống thông tin nói chung hay các máy tính nói riêng) truy cập vào thông tin cần được bảo vệ trên các thiết bị lưu trữ chuẩn USB. Các thiết bị USB mã hóa đơn giản là sự tích hợp của USB thông thường và môi trường mã hóa, có lẽ nên được gọi là USB mã hóa thay vì USB an toàn. Trong bài báo này, nhóm tác giả sẽ đưa ra giải pháp đề xuất dựa trên nền tảng sử dụng công nghệ xác thực đa nhân tố giữa phần mềm thực thi độc lập được cài đặt trên máy tính và module phần cứng, phần mềm của thiết bị lưu trữ có mã hóa chuẩn USB nhằm giải quyết các vấn đề liên quan đến bài toán đảm bảo bảo mật và an toàn cho các thiết bị lưu trữ chuẩn USB.
Như đã biết ở Phần I, mã hóa là một trong những phương tiện hiệu quả để bảo vệ các phương tiện lưu trữ chuẩn USB làm cho các thiết bị lưu trữ USB trở lên an toàn hơn, nhưng vẫn không hạn chế được các nguy cơ mất an toàn khi sử dụng phương tiện lưu trữ bên ngoài khu vực được cho phép trên các hệ thống thông tin có khả năng lây nhiễm virus, mã độc.
Tất nhiên, không có các giải pháp cụ thể nào có thể giải quyết triệt để vấn đề đảm bảo an toàn, bảo mật cho các thiết bị lưu trữ chuẩn USB đặc biệt trên khía cạnh sử dụng. Tuy nhiên, việc sử dụng kết hợp các thiết bị USB mã hóa với các phương tiện bảo vệ khác, chẳng hạn như hệ thống bảo vệ thông tin chống truy cập trái phép PUAA và hệ thống DLP, có thể mang lại kết quả tích cực.
Như vậy, một giải pháp an toàn, bảo mật tổng thể cho các thiết bị lưu trữ chuẩn USB phải là một hệ thống tổ hợp bao gồm cả phần cứng và phần mềm được thực thi cả trên bản thân các thiết bị lưu trữ và các hệ thống thông tin sử dụng nó (Tổ hợp giải pháp PAMEMS). Người sử dụng chỉ có thể truy cập vào bộ nhớ bên trong của thiết bị lưu trữ an toàn chuẩn USB khi 03 tham số bí mật của giao thức xác thực (PAMS) được đảm bảo gồm:
- Mật khẩu của người sử dụng;
- Thành phần khóa xác thực của các hệ thống thông tin/các máy tính kết nối;
- Thành phần khóa xác thực của bản thân các thiết bị lưu trữ chuẩn USB;
Như vậy, người sử dụng sẽ không thể sử dụng các thiết bị USB mã hóa để sao chép các thông tin không được phép tiết lộ của tổ chức vào các máy tính cá nhân hay các hệ thống thông tin không được phép. Các thiết bị lưu trữ USB an toàn sẽ chỉ hoạt động được trên các máy tính xác định có quyền và các máy tính an toàn cũng sẽ chỉ hoạt động với các thiết bị lưu trữ USB mà nó được chỉ định là an toàn.
Xét về mặt kiến trúc một giải pháp USB an toàn được đề xuất, đề xuất sẽ gồm 03 thành phần: phần mềm bên ngoài chạy trên máy tính (SWPC), module phần cứng lưu trữ an toàn (HWMS) và phần mềm chạy bên trong nó (FWMS).
Phần mềm bên ngoài SWPC hoạt động trên nền tảng vi điều khiển của máy tính, khi phát hiện được các HWMS được kết nối trên cổng USB, sẽ yêu cầu cung cấp mật khẩu người dùng và thực hiện giao thức xác thực PAMS với FWMS bên trong của module phần cứng HWMS. Phần mềm nội bộ SWMS hoạt động trên nền tảng vi điều khiển bên trong các HWMS sẽ đảm bảo việc thực thi giao thức xác thực PAMS từ phía nó. Khi 03 tham số bí mật của giao thức xác thực PAMS là chính xác (mật khẩu người dùng và khóa xác thực của HWMS và máy tính), quyền truy cập vào bộ nhớ bên trong của các HWMS sẽ được thực thi. Việc xác định thực thi hay không thực thi quyền truy cập vào trong bộ nhớ của module phần cứng HWMS là do vi điều khiển bên trong của module HWMS quyết định, không phải do máy tính. Do đó các nỗ lực truy cập trái phép từ phía máy tính không được quản trị viên đăng ký sử dụng HWMS là không thể thực thi.
Trên cơ sở giải pháp đề xuất, dưới đây sẽ là một số yêu cầu cơ sở đối với các thiết bị lưu trữ chuẩn giao tiếp USB an toàn. Cơ sở khoa học để đưa ra các yêu cầu này dựa trên kết quả tổng hợp các đặc tính kỹ thuật của các thiết bị phần cứng và môi trường phần mềm đảm bảo tính an toàn bảo mật cho các thiết bị lưu trữ chuẩn USB đã được thực thi (đảm bảo tính khả thi khi triển khai trong thực tế).
Các yêu cầu đối với việc thực thi mã hóa:
- Sử dụng cơ chế xác thực đa nhân tố:
+ Người sử dụng, bản thân thiết bị lưu trữ;
+ Người sử dụng, bản thân thiết bị lưu trữ và hệ thống thông tin kết nối;
- Thực thi mã hóa phân vùng bộ nhớ flash trên nền tảng phần cứng;
- Đảm bảo cơ chế bảo vệ an toàn các tham số quan trọng trong phần cứng thiết bị;
Mỗi quốc gia, tổ chức thường có những quy chuẩn kỹ thuật riêng quy định các yêu cầu cần phải đáp ứng đối với các thiết bị lưu trữ về các thuật toán mã hóa, xác thực, đảm bảo chất lượng nguồn ngẫu nhiên riêng… tương ứng với các cấp độ mật khác nhau của thiết bị lưu trữ, có thể tham khảo một số thông tin dưới đây:
- Nguồn ngẫu nhiên tạo mầm khóa sử dụng các bộ sinh số ngẫu nhiên phần cứng HRNG chuẩn ANSI X9.31 hoặc tương đương đối với cấp độ mật, NDRNG HW chuẩn SP 800-90A hoặc tương đương đối với cấp độ tối mật.
- Thuật toán đảm bảo toàn vẹn dữ liệu: tối thiểu CRC16 Checksum đối với cấp độ mật, CRC32 Checksum đối với cấp độ tối mật hoặc tương đương;
- Thuật toán bảo mật dữ liệu: AES khóa 192 bít đối với cấp độ mật và khóa 256 bít đối với cấp độ tối mật hoặc tương đương;
- Thuật toán xác thực dữ liệu: MAC sử dụng TDES cho cấp độ mật và CMAC sử dụng AES cho cấp độ tối mật hoặc tương đương;
Các yêu cầu về nghiệp vụ mật mã:
- Đảm bảo khả năng xác thực, đảm bảo an toàn linh kiện phần cứng và sản phẩm phần cứng chống các tấn công thay thế phần cứng trong quá trình sản xuất (4);
- Đảm bảo an toàn các thành phần phần mềm, phần sụn của giải pháp lưu trữ trong quá trình nạp, thực thi chống sao chép, chỉnh sửa mã nguồn (5);
- Đảm bảo an toàn vật lý chống các tấn công xâm nhập ở trạng thái tĩnh (tấn công nhân bản thiết bị), tấn công không xâm nhập ở trạng thái hoạt động (các kiểu tấn công kênh kề) (6): + Đảm bảo cơ chế tự hủy, chống mở vỏ (6.1);
+ Đảm bảo các tiêu chuẩn an toàn bức xạ điện từ trường (6.2).
- Đảm bảo khả năng phát hiện và cảnh báo virus, mã độc trước lưu trữ theo cấp độ mật (7);
Một số tổ chức khuyến nghị sử dụng chuẩn FIPS 140-2 level 2 cho cấp độ mật, FIPS 140-2 level 3 cho cấp độ tối mật hoặc tương đương.
Các yêu cầu về khả năng thích ứng với môi trường sử dụng và độ bền thiết bị:
- Đảm bảo dải nhiệt hoạt động theo môi trường làm việc (8); - Đảm bảo chống nước, chống bụi và các tác động vật lý cơ bản trong quá trình sử dụng (9); Các yêu cầu về khả năng cấu hình, quản lý, giám sát:
- Đảm bảo khả năng giám sát thông tin lưu trữ (10);
- Đảm bảo khả năng điều chỉnh cấu hình (11);
- Đảm bảo khả năng sao lưu tự động, khôi phục hồi dữ liệu (12); - Đảm bảo chế độ chỉ đọc chống chỉnh sửa (13);
Các yêu cầu về đặc tính lưu trữ, sử dụng:
- Đảm bảo dung lượng lưu trữ; tốc độ đọc/ghi; chuẩn giao tiếp…theo các yêu cầu và ngữ cảnh sử dụng (14);
- Đảm bảo các hướng dẫn chi tiết về quy trình, yêu cầu triển khai, sử dụng hệ thống lưu trữ (bao gồm cả phần cứng và các phần mềm kèm theo) (15).
Đánh giá khả năng đáp ứng nhóm yêu cầu cơ sở đối với một số thiết bị lưu trữ chuẩn giao tiếp USB mã hóa và giải pháp được thể hiện trong bảng dưới đây. Trong đó: X: Đáp ứng; -: Không đáp ứng; *: Không xác định; VL: dung lượng lưu trữ; RS: Tốc độ đọc; WS: tốc độ ghi; IT: chuẩn giao thức giao tiếp;
PAMEMS là bộ giải pháp kết hợp phần mềm ngăn chặn USB thương mại, giám sát và thiết bị lưu trữ có mã hóa chuyên dụng được phát triển riêng.
Trong bài báo này, trên cơ sở đánh giá các ưu, nhược điểm của các giải pháp đảm bảo an toàn cho các thiết bị lưu trữ chuẩn USB nhóm tác giả đã đề xuất giải pháp tăng cường tính an toàn, bảo mật trong việc sử dụng các thiết bị USB dựa trên nền tảng sử dụng công nghệ xác thực đa nhân tố giữa phần mềm thực thi độc lập được cài đặt trên máy tính và module phần cứng, phần mềm của thiết bị lưu trữ USB. Giải pháp đã được áp dụng và đánh giá tính năng thực tế trong bộ sản phẩm PAMEMS bao gồm phần mềm ngăn chặn USB thương mại, giám sát USB và thiết bị lưu trữ chuẩn USB có mã hóa được phát triển riêng.
|
TÀI LIỆU THAM KHẢO 1. S. Kamkar, (2014) “USBdriveby”. [Online]: http://samy.pl/usbdriveby/ 2. Nir Nissim, Ran Yahalom, Yuval Elovici, (2017) “USB-based attacks”. Available: http://dx.doi.org/doi:10.1016/j.cose.2017.08.002 3. Patterson, David A; Hennessy, John L, (2005) “Computer Organization and Design: The Hardware/Software Interface”. Amsterdam: Morgan Kaufmann Publishers. ISBN 1-55860-604-1. OCLC 56213091. 4. TCVN 11295:2016, (2016) “CNTT-Các kỹ thuật an toàn Yêu cầu an toàn cho Mô-đun mật mã”. |
Trần Văn Khánh, Nguyễn Thành Vinh, Đào Thành Long
15:00 | 09/05/2022
10:00 | 08/07/2020
14:00 | 04/03/2024
Ngày nay, tất cả các lĩnh vực trong đời sống xã hội đều có xu hướng tích hợp và tự động hóa, trong đó các giao dịch số là yêu cầu bắt buộc. Do vậy, các tấn công lên thiết bị phần cứng, đặc biệt là các thiết bị bảo mật có thể kéo theo những tổn thất to lớn như: lộ thông tin cá nhân, bị truy cập trái phép hoặc đánh cắp tài khoản ngân hàng,… So với các loại tấn công khác, tấn công kênh kề hiện đang có nhiều khả năng vượt trội. Trong bài báo này, nhóm tác giả sẽ trình bày sơ lược về kết quả thực hành tấn công kênh kề lên mã khối Kalyna trên hệ thống Analyzr của Viện Khoa học - Công nghệ mật mã. Nhóm tác giả đã tấn công thành công và khôi phục đúng 15 byte khóa trên tổng số 16 byte khóa của thuật toán Kalyna cài đặt trên bo mạch Nucleo 64.
14:00 | 23/02/2024
SSH (Secure Socket Shell) là giao thức mạng để đăng nhập vào một máy tính từ xa trên một kênh truyền an toàn. Trong đó, OpenSSH là một chuẩn SSH được sử dụng ở hầu hết các bản phân phối của Linux/BSD như Ubuntu, Debian, Centos, FreeBSD, mã hóa tất cả các thông tin trên đường truyền để chống lại các mối đe dọa như nghe lén, dò mật khẩu và các hình thức tấn công mạng khác. Trong bài viết này sẽ hướng dẫn độc giả cách thức tăng cường bảo mật cho OpenSSH với một số thiết lập bảo mật và cấu hình tùy chọn cần thiết nhằm đảm bảo truy cập từ xa vào máy chủ Linux được an toàn.
09:00 | 13/02/2024
Trong bối cảnh an ninh mạng ngày càng phát triển, các tổ chức liên tục phải đấu tranh với một loạt mối đe dọa trên môi trường mạng ngày càng phức tạp. Các phương pháp an toàn, an ninh mạng truyền thống thường sử dụng các biện pháp bảo vệ thống nhất trên các hệ thống đang tỏ ra kém hiệu quả trước các hình thái tấn công ngày càng đa dạng. Điều này đặt ra một bài toán cần có sự thay đổi mô hình bảo vệ theo hướng chiến lược, phù hợp và hiệu quả hơn thông qua việc Quản lý rủi ro bề mặt tấn công (Attack Surface Risk Management - ASRM).
09:00 | 27/03/2023
Trong bối cảnh ngày càng xuất hiện nhiều hơn các cuộc tấn công mã độc tống tiền nhắm đến người dùng cuối, với các thủ đoạn vô cùng tinh vi, các tin tặc đang tích cực phát triển nhiều biến thể mã độc tống tiền nâng cao nhằm đạt được những mục đích nhất định như mã hóa dữ liệu, đòi tiền chuộc,… Bài viết này gửi đến độc giả hướng dẫn một số phương thức bảo vệ dữ liệu máy tính trên Windows 10, bao gồm cả cách sử dụng công cụ phòng chống mã độc tống tiền được tích hợp trên hệ thống.
08:00 | 11/01/2024 | Chính sách - Chiến lược
09:00 | 10/01/2024 | Giải pháp khác
09:00 | 05/01/2024|Chính sách - Chiến lược
09:00 | 05/01/2024|An ninh – Quốc Phòng
Lược đồ chữ ký số dựa trên hàm băm là một trong những lược đồ chữ ký số kháng lượng tử đã được Viện Tiêu chuẩn và Công nghệ Quốc gia Mỹ (NIST) chuẩn hóa trong tiêu chuẩn đề cử FIPS 205 (Stateless Hash Based Digital Signature Standard) vào tháng 8/2023. Bài báo này sẽ trình bày tổng quan về sự phát triển của của lược đồ chữ ký số dựa trên hàm băm thông qua việc phân tích đặc trưng của các phiên bản điển hình của dòng lược đồ chữ ký số này.
09:00 | 01/04/2024
Mới đây, Cơ quan An ninh mạng và Cơ sở hạ tầng Hoa Kỳ (CISA) đã phát hành phiên bản mới của hệ thống Malware Next-Gen có khả năng tự động phân tích các tệp độc hại tiềm ẩn, địa chỉ URL đáng ngờ và truy tìm mối đe dọa an ninh mạng. Phiên bản mới này cho phép người dùng gửi các mẫu phần mềm độc hại để CISA phân tích.
13:00 | 17/04/2024
