Bảo mật truyền thông IoT qua mạng di động hệ thống ngân hàng số Tóm tắt: Internet vạn vật (Internet of Things - IoT) công nghệ đại, đặc trưng cho kỷ nguyên Cách mạng cơng nghiệp lần thứ tư IoT nói chung ngành Ngân hàng nói riêng t ạo lượng liệu lớn, máy móc, người có định danh riêng để truyền tải, trao đổi thông tin mà không c ần đến tương tác trực tiếp người với người, hay người với thiết bị Tuy nhiên, IoT ngành Ngân hàng gặp phải nhiều thách thức, rào cản để phát triển đồng bộ, vấn đề đảm bảo riêng tư truy ền thông liệu Bài viết đưa phương pháp bảo mật đa lớp để đảm bảo truyền nhận thông tin từ thiết bị IoT đến máy chủ qua mạng di động Phương pháp đề xuất sử dụng nhiều yếu tố khóa lồng nhau, đư ợc triển khai thực tế chúng cung cấp giải pháp tổng thể kết nối an toàn cao Giới thiệu Với phát triển bùng nổ IoT, mối quan tâm lớn nhà nghiên cứu, thiết kế, thi công, phát tri ển chuyển giao ứng dụng vấn đề bảo mật liên quan đến nhiều thiết bị kết nối Nhiều giải pháp đề xuất nghiên cứu phân loại bảo mật thông tin riêng tư IoT Các m ức độ ưu tiên phân thành ba c ấp độ bảo mật cấp độ có mục tiêu bảo mật tương ứng Cơng cụ tìm kiếm Baidu lấy làm tảng để thu thập liệu liên quan, đưa thách thức bảo mật, hội, xu hướng áp dụng công nghệ kiến trúc tham chiếu IoT, trình bày bảo mật đáp ứng điện tử nano hay điện tử cấp độ phân tử (nanoelectronics) cho ứng dụng IoT, phân tích nội dung triển vọng phát triển IoT, hệ thống khái quát hóa an tồn thơng tin cơng nghệ này, giải pháp khả thi vấn đề tồn tại, đưa ba an tồn thơng tin (tính b ảo mật, tính tồn vẹn, tính khả dụng), đề xuất phương pháp hiệu để đo lường bảo mật mạng IoT Đối với ngành Ngân hàng, IoT s ẽ mang lại hội cho việc ứng dụng cơng nghệ quản trị thơng minh trí tuệ nhân tạo tự động hóa quy trình nghiệp vụ; đẩy nhanh tiến trình hướng tới mơ hình chuẩn tương lai, bao gồm hoạt động tốn không dùng ti ền mặt Đồng thời, động lực giúp ngân hàng nư ớc phát triển cạnh tranh với ngân hàng tiên tiến khu vực giới, cách định hình lại mơ hình kinh doanh, quản trị, tốn điện tử, hướng tới việc xây dựng ngân hàng kỹ thuật số thông minh Tuy nhiên, tri ển khai IoT, ngân hàng vấp phải số rào cản quyền riêng tư, mật độ liệu, bảo mật nhu cầu bảo vệ thông tin khách hàng Kết nối di động mở nhiều hướng cho vấn đề bảo mật Một giải pháp an toàn cao yêu c ầu cách tiếp cận bảo mật nhiều lớp bao gồm thiết kế kiến trúc tổng thể để kết nối, trải dài từ thiết bị biên máy chủ cuối để xử lý, lưu trữ sử dụng Các giải pháp thay cho kết nối di động bao gồm Cable Ethernet Wifi, chúng có m ột số lỗ hổng bảo mật dễ bị tin tặc công Bản chất tự trị giải pháp IoT - tức thiết bị giao tiếp tự động với máy chủ phụ trợ, không yêu cầu tác động người kiểm soát, nên xâm nhập từ tin tặc xảy mà quản trị viên ngân hàng không bi ết Phương pháp bảo mật đa lớp trình bày viết cung cấp kết nối không dây an toàn sử dụng Internet di động để thiết lập kết nối thiết bị IoT sử dụng ngành tài - ngân hàng máy ch ủ phụ trợ cho truyền thông hai chi ều Giải pháp bao gồm khóa lồng nhau, bao gồm: - Xác thực dựa SIM thỏa thuận mã hóa - Mã hóa mạng truy cập vơ tuyến - Tên điểm truy cập tùy chỉnh APN (Access Point Name) - Định tuyến địa TCP/IP riêng - Lược đồ định tuyến đường dẫn không phân tách - Giao tiếp điểm tới điểm (P2P - Point to Point) đ ể truyền tải liệu đến máy chủ - Giám sát định tuyến máy chủ - Không kết nối trực tiếp thiết bị tới thiết bị (D2D - Device to Device) - Xác thực IMEI công cụ SIM cảnh báo - Khóa mã PIN SIM Hình Kiến trúc đầu cuối hệ thống IoT ngành Ngân hàng Hình kiến trúc truyền thông IoT sử dụng mạng di động Thiết bị IoT kết nối với trạm thu phát di đ ộng BTS (Base Transceiver Station) thông qua mạng truy cập vơ tuyến mã hóa Trạm thu phát giao tiếp an toàn với trung tâm liệu di động nội Liên kết với máy chủ thông qua lớp bảo mật P2P Lợi ích kiến trúc là: T ận dụng yếu tố dựa tiêu chuẩn an ninh sẵn có bảo mật end-to-end, mà khơng phải tốn chi phí cho việc mã hóa liệu từ thiết bị đến máy chủ ngân hàng Kiến trúc mục tiêu cung cấp khả bảo mật mong muốn mà không làm tăng tải trọng liệu để mã hóa Đối với nhiều lớp ứng dụng IoT, giải pháp cho phép liệu TCP UDP gửi dạng gói cụ thể Một yếu tố riêng tư bảo mật kết hợp lồng thỏa đáng ngăn chặn truy cập trái phép vào kênh liệu ngân hàng Phương pháp nghiên cứu 2.1 Xác thực khóa dựa SIM Yếu tố quan trọng kiến trúc bảo mật module nhận dạng thuê bao Chức SIM bảo vệ khóa xác thực khơng bị xâm phạm SIM gồm vi xử lý tích hợp cơng nghệ bảo vệ phần cứng để ngăn chặn xâm nhập thông qua phân hủy hóa học, tia X tác động để đảo ngược kỹ thuật Ngoài ra, quy trình b ảo vệ áp dụng cho chân vào, c SIM để ngăn chặn yếu tố bất thường cưỡng từ bên ngồi Ví dụ: Tạo điện áp cao thấp chân truyền liệu nối tiếp (TXT) chân nhận liệu (RXT) liên quan đến nguồn cấp điện dương (VCC) chân n ối đất (GND) nhằm làm cho mạch I/O bị kẹt chuyển sang trạng thái không mong muốn theo dõi vô hiệu hóa SIM SIM bảo vệ chống xung nhịp bất thường liệu đầu vào Hình Các thành phần thiết bị IoT điển hình Trong Hình 2, kết nối với SIM thơng qua module vô ến di động (Module SIM) ngăn vi xử lý bo mạch truy cập trực tiếp vào SIM Mọi giao tiếp với SIM thực lớp ngăn xếp tích hợp module RF (qua giao diện lệnh AT nơi thơng tin thăm dị b ộ chíp vơ tuyến trao đổi) Khi thiết bị di động IoT cấp nguồn, radio tự động lập trình để quét băng tần khả dụng lập danh mục mạng di động Quá trình đư ợc thiết lập để ưu tiên trạm cung cấp dịch vụ phù hợp với mã di động nhà mạng Điều thực cách tìm kiếm băng tần vơ tuyến để phát sóng khớp với mã nhận dạng IMSI (International Mobile Subscriber Identity) SIM Nếu không định vị nhà cung cấp dịch vụ phù hợp, trạm quét nhà cung cấp dịch vụ khác so sánh chúng v ới danh sách đối tác chuyển vùng ưu tiên cập nhật Đặc điểm kỹ thuật 3GPP 11.11 mô tả chế xác thực mật mã sử dụng SIM nhà cung c ấp dịch vụ mạng Cơ chế sử dụng khóa SIM nhà mạng để nhận dạng Như vậy, SIM cung cấp phương pháp an toàn đ ể xác thực thiết bị IoT trước liên kết liệu thiết lập Một yếu tố bảo mật bổ sung lớp liên kết vô tuyến module vô ến thiết bị IoT trạm BTS mã hóa 128-bit, sử dụng khóa phần trước (một phần giao thức GSM tiêu chuẩn cho đường truyền 3G trở lên) 2.2 Tên điểm truy cập tùy chỉnh (APN) Sau thiết bị IoT xác thực với nhà cung cấp dịch vụ di động, vi xử lý bắt đầu phiên liệu truyền tải TCP/IP Tập lệnh phần mở rộng modem Hayes a.k.a AT + (m ột cửa sổ lệnh cho phép người dùng can thiệp, tương tác điều khiển cho modem phát triển Hayes Microcomputer) Bộ vi xử lý gửi lệnh AT đến module vô tuyến truyền theo biến cụ thể bao gồm tên APN mà ứng dụng muốn kết nối Các gói liệu thường định tuyến qua PAT (Port Address Translation), tới tường lửa, đến kết nối Internet Kiến trúc an toàn sử dụng APN tùy chỉnh định cho người dùng triển khai, nh ất cho khách hàng để quản lý thiết bị IoT, cho phép quản trị cấp quyền truy cập để truyền liệu Việc sử dụng APN tùy chỉnh cung cấp chế bảo mật bổ sung sau: Nếu virus phát đốn tên APN tùy ch ỉnh, lệnh AT khơng cấp quyền để sử dụng APN Cơ chế để đảm bảo thiết bị IoT yêu cầu APN tùy chỉnh có quyền sử dụng cho việc truyền liệu xây dựng dựa giao dịch xác thực Trong trình thi ết lập dịch vụ liệu, phần tử phục vụ mạng nhà cung cấp dịch vụ gia đình Nút hỗ trợ cổng GPRS GGSN (Gateway GPRS Support Node) ho ặc Cổng mạng liệu gói PDN-GW (Packet Data Network Gateway) GGS N/PDN-GW đóng vai trị trung gian đ ể thiết lập phiên liệu đặc điểm qua kết nối trải dài từ thiết bị IoT qua mạng vô tuyến đến trung tâm liệu di động vào phần tử GGSN/PDNGW Hướng từ GGSN/PDNGW khỏi trung tâm liệu di động ánh xạ kiểm soát tham số cấu trúc APN tùy chỉnh, theo đó, việc định tuyến gói liệu TCP/IP thay đến Internet công cộng (trải nghiệm người tiêu dùng) từ trung tâm liệu di động ngồi thơng qua kết nối P2P đến máy chủ (đích) trực tiếp 2.3 Địa TCP/IP không định tuyến riêng tư Một phương pháp an toàn đư ợc sử dụng việc lựa chọn thiết lập cấu trúc APN tùy ch ỉnh sử dụng địa IP riêng, thư ờng phạm vi lớp 10.x GGSN/PDNGW định địa IP lớp B trình k ết nối thiết lập module vô ến IoT trung tâm liệu di động Địa IP riêng gán tự động chọn từ dải địa IP có sẵn xác định cấu trúc APN Địa IP không định tuyến 10.x định cho liên kết khơng dây giữ ngun gói tin (Package) d ọc theo đường dẫn module vô tuyến IoT GGSN/PDN -GW để tránh NAT PAT hay loại chuyển đổi khác thành địa IP định tuyến cơng khai Với chất kiến trúc, lược đồ địa IP riêng tư không đ ịnh tuyến đến Internet công cộng Do tính chất khơng thể định tuyến địa IP bảo toàn từ đầu đến cuối, gói liệu độc hại tìm đường vào đường dẫn an tồn gói IP mất, chúng bị rớt khỏi định tuyến Tính bảo mật vốn có kèm với lược đồ địa IP định tuyến APN tùy chỉnh thiết lập mang lại giải pháp bảo mật cao giúp ngăn lưu lượng liệu bị chặn công Việc sử dụng địa IP không định tuyến không ngăn ứng dụng truy cập thông tin cơng khai có s ẵn thơng qua Internet Gói IP đư ợc tạo vi xử lý IoT dạng u cầu gửi có đích URL, cung c ấp nguồn liệu đọc Kiến trúc lược đồ an toàn phân phối gói tin có địa đích cơng khai, thông qua hệ thống tới định tuyến người dùng trung tâm liệu họ Gói địa IP cơng cộng sau ủy quyền chuyển Internet công c ộng sau qua b ộ định tuyến tường lửa 2.4 Lược đồ đường dẫn không phân tách Các giải pháp kiến trúc thư ờng cung cấp APN để phân chia đường dẫn liệu Trong gói riêng 10.x đư ợc gửi trực tiếp đến người dùng, liệu chung đư ợc định tuyến trực tiếp từ trung tâm liệu di động đến Internet công cộng Mặc dù kiến trúc khả thi, kiến trúc phá vỡ phương pháp bảo mật thiết bị IoT có đường dẫn đến Internet công c ộng không nằm kiểm sốt người sử dụng 2.5 Truyền thơng P2P nhà cung cấp dịch vụ di động máy chủ ngân hàng Kết nối P2P trung tâm liệu di động máy chủ (đích) ngân hàng dạng đường dẫn IPsec VPN, MPLS, khung chuy ển tiếp, số điện thoại Các giải pháp kết nối P2P an tồn có th ể cung cấp bên thứ Phổ biến IPsec VPN thường sử dụng thiết bị VPN tường lửa Cisco nhà cung cấp dịch vụ trang web máy chủ liệu Bằng cách kết hợp hai yếu tố chức cung cấp APN IPsec VPN tùy ch ỉnh, thiết lập đường dẫn an tồn khép kín module vơ tuyến thiết bị IoT xuyên suốt trạm BTS trung tâm d ữ liệu di động nhà cung cấp dịch vụ chuyển tiếp qua GGSN/PDN-GW, định tuyến qua đường dẫn bảo mật Internet tùy chỉnh đến máy chủ lưu trữ người dùng kết thúc định tuyến IPsec VPN 2.6 Không kết nối trực tiếp thiết bị tới thiết bị - D2D Một thuật ngữ thường sử dụng cho IoT máy t ới máy (Machine to Machine - M2M), tạo quan niệm sai lầm thiết bị IoT truyền thông trực tiếp với Phương án đư ợc mô tả viết cấm giao tiếp trực tiếp thiết bị với thiết bị thông qua nhà cung cấp dịch vụ định tuyến máy chủ Thực tế, thông tin liên lạc thiết bị IoT chuyển đến lớp ứng dụng quản lý giải pháp IoT máy ch ủ phụ trợ Nếu giải pháp yêu cầu trao đổi liệu thiết bị IoT A thiết bị IoT B, mục tiêu đạt thông qua lớp ứng dụng máy chủ lưu trữ phụ trợ, trái ngược với trao đổi gói liệu trực tiếp hai thiết bị Mặc dù mặt kỹ thuật, định cấu hình APN để định tuyến thiết bị với thiết bị thông qua trung tâm liệu nhà cung cấp dịch vụ, phương pháp phá vỡ quy trình bảo mật Nếu thiết bị IoT phép giao tiếp trực tiếp với thông qua trung tâm d ữ liệu nhà cung cấp dịch vụ, quy trình khơng để lại ghi dấu vết định tuyến hay hệ thống máy chủ phụ trợ người dùng Do đó, khơng th ể thăm dị lưu lượng để phát công gây nguy hại 2.7 Giám sát định tuyến tới máy chủ Một lợi ích lược đồ bảo mật tất gói liệu đến từ thiết bị IoT qua định tuyến quản trị viên ngân hàng Việc kiểm tra gói tin định tuyến người dùng phát thời gian thực hành vi liệu bất thường xảy từ thiết bị, điều phát hành vi xâm nhập trái phép chứa mã độc Điều thực gói liệu định tuyến công khai chuyển xuống đường dẫn trang web nhà cung cấp dịch vụ gói có 10.x m ới qua định tuyến người dùng Bằng cách phân phối gói thông qua định tuyến, trung tâm liệu người dùng có giám sát tổng thể tất lưu lượng truy cập đến đi, từ phát trước hành vi gián điệp 2.8 Bộ công cụ SIM xác thực cảnh báo Sau thiết bị IoT thiết lập kết nối an tồn module vơ tuyến với máy chủ ngân hàng, bảo mật bổ sung triển khai dạng bảo vệ phần cứng Phương pháp g ồm: Các thành phần vật lý SIM để bảo vệ khóa mã hóa đư ợc giữ bên số serial có chipset vơ tuyến, gọi IMEI mã định danh thiết bị di động quốc tế Mỗi nhà sản xuất thiết bị không dây sau hoàn thành ki ểm tra phê duyệt PTCRB bắt buộc phải định phạm vi IMEI cho riêng sản phẩm họ Số serial IMEI dài 15 chữ số (16 phiên phần mềm IMEI), với sáu chữ số chứa số serial tám chữ số đứng trước xác định nhà sản xuất/mã sản phẩm gọi TAC (Type Allocation Code) Do đó, IMEI có khả xác định thiết bị Các số IMEI đư ợc đăng ký sở liệu tìm kiếm trung tâm ki ểm định PTCRB Các nhà cung cấp dịch vụ di động dễ dàng xác định thiết bị IoT từ mã IMEI lưu trữ chipset vô tuyến Một phần ghi trao đổi module vô tuyến thiết bị IoT nhà cung cấp dịch vụ trình xác thực ghép nối IMEI, nhận dạng thuê bao di động quốc tế (IMSI), số serial SIM Nhà cung c ấp dịch vụ sử dụng hai mã để xác thực, cho phép từ chối dịch vụ kết nối có mã độc phát xác định xem có phải thiết bị đáng tin cậy trải qua chứng nhận nghiêm ngặt để đạt IMEI hay khơng Có tính bảo mật độc đáo khác đư ợc cung cấp SIM Bản thân vi xử lý, có khơng gian mã, SIM th ực thi loạt chương trình với chế bảo mật mà nhà mạng biết Phương pháp viết mơ tả trình tự lập trình SIM mà bật nguồn yêu cầu IMEI module vô ến kết nối trực tiếp Nếu SIM phát IMEI khác, hệ thống cho hành vi công xảy ra, SIM thông báo cho trung tâm liệu di động máy chủ nhà cung cấp dịch vụ vơ hiệu hóa SIM ngăn luồng liệu vấn đề giải Thông báo đư ợc mở rộng để hiển thị việc SIM chuyển từ thiết bị IoT sang thiết bị IoT khác 2.9 Khóa PIN SIM Chức khóa mã PIN tiêu chu ẩn SIM thiết bị IoT sử dụng phương thức bảo mật Nhà sản xuất thiết bị tạo thuật toán băm an toàn phần mềm xử lý khóa từ số serial phần cứng, chẳng hạn IMEI, hiển thị số có chữ số Tại thời điểm lắp ráp, SIM liên kết với thiết bị lập trình trạng thái khóa với mã chữ số PIN làm mật Khi bật nguồn đặt lại, SIM yêu cầu mã mở khóa qua giao diện vơ tuyến với xử lý thiết bị Phần mềm chạy thuật toán băm để tạo mã mở khóa gồm chữ số chuyển đến SIM Nếu mã khớp với SIM SIM đư ợc bật để hoạt động Nếu mã pin không kh ớp sau lần thử, SIM sử dụng bị chặn Giải pháp ngăn việc tháo SIM khỏi thiết bị IoT lắp vào điện thoại khác Giao di ện người dùng điện thoại yêu cầu mã PIN mà kẻ xâm nhập không biết, sau lần thử thất bại, SIM khơng cịn hoạt động Có trình tự mở khóa cách sử dụng mã chữ số mà nhà cung cấp thiết bị biết mở khóa SIM quản lý sai 10 lần, SIM vĩnh viễn không hoạt động Kết luận Ứng dụng IoT đa dạng, với nhiều đề tài nghiên cứu, cơng trình khoa học công nghệ chuyển giao triển khai áp dụng, để hướng tới chuyển đổi số phát triển kỹ thuật đại cho ngành Ngân hàng Tuy nhiên, việc phát triển chưa đồng bộ, rộng khắp rào cản, thách thức vấn đề bảo mật truyền nhận thông tin từ thiết bị IoT đến máy chủ ngân hàng ngư ợc lại Bài viết đưa m ột giải pháp bảo mật đa tầng để thiết lập truyền nhận liệu riêng tư hệ thống IoT ngành Ngân hàng nói riêng ngành, lĩnh v ực khác nói chung, dựa TCP/IP qua mạng Internet di động Phương pháp bao g ồm nhiều lớp khóa lồng dựa tiêu chuẩn triển khai mạng di động cấu trúc bảo mật, cung cấp kênh truyền thông đầu - cuối an toàn cho thiết bị ứng dụng IoT TÀI LIỆU THAM KHẢO: X Lu, Q Li, Z Qu and P Hui, “Privacy Information Security Classification Study in Internet of Things,” 2014 International Conference on Identification, Information and Knowledge in the Internet of Things, 2014, pp 162-165 ... trúc đầu cuối hệ thống IoT ngành Ngân hàng Hình kiến trúc truyền thông IoT sử dụng mạng di động Thiết bị IoT kết nối với trạm thu phát di đ ộng BTS (Base Transceiver Station) thông qua mạng truy... thuật số thông minh Tuy nhiên, tri ển khai IoT, ngân hàng vấp phải số rào cản quyền riêng tư, mật độ liệu, bảo mật nhu cầu bảo vệ thông tin khách hàng Kết nối di động mở nhiều hướng cho vấn đề bảo. .. pháp bảo mật thiết bị IoT có đường dẫn đến Internet cơng c ộng khơng nằm kiểm sốt người sử dụng 2.5 Truyền thông P2P nhà cung cấp dịch vụ di động máy chủ ngân hàng Kết nối P2P trung tâm liệu di động