Giải pháp Smarthome1. Đặt vấn đề
Các hệ thống Internet of Things (IoT) hiện đang được ứng dụng rộng rãi trên thế giới. Có nhiều lĩnh vực cho các ứng dụng IoT như thiết bị dân dụng thông minh trong gia đình, văn phòng, hay các ứng dụng IoT theo dõi và đo lường các chỉ số trong dân dụng, điều khiển thiết bị hay quản lý tự động hóa máy móc trong công nghiệp với chức năng điều khiển giám sát và thu thập dữ liệu qua Internet. Theo số liệu của Tổ chức Nghiên cứu thống kê toàn cầu Statista.com, tổng số lượng thiết bị IoT đã kết nối trên toàn thế giới vào năm 2017 là 20,35 tỷ thiết bị và được dự báo cho đến năm 2020 sẽ tăng lên con số là 30,73 tỷ thiết bị [7].
Với đặc điểm đa dạng ứng dụng nêu trên, các sản phẩm thiết bị và hệ thống thông tin IoT được những kỹ sư thiết kế và lập trình với độ tích hợp khác nhau: từ những mức độ đơn giản cho đến mức độ phức hợp cao; lưu trữ và xử lý những thông tin quan trọng mang tính riêng biệt cho các thiết bị của mỗi hệ thống.
Về tổng thể cơ bản, một hệ thống IoT có kiến trúc 3 lớp như Hình 1, với lớp thiết bị, lớp giao tiếp mạng truyền thông và lớp ứng dụng. Tuy nhiên trên thực tế có sự đa dạng, khác biệt rất lớn giữa các hệ thống IoT với nhau. Sự đa dạng đến từ kiến trúc hệ thống, thiết kế phần cứng, tốc độ xử lý, giao diện kết nối,… tạo ra rất nhiều thách thức trong việc định hình một cấu trúc chung đến thời điểm hiện nay cho IoT [3]. Mặc dù đã có nhiều phương án được đề xuất từ tập đoàn công nghệ lớn trên thế giới, nhưng cho đến nay, các chuyên gia vẫn chưa đưa ra được một kiến trúc chung thống nhất cho IoT, cũng như việc đảm bảo an toàn bảo mật theo cấu trúc chung đó. Vì vậy, vấn đề đảm bảo an toàn bảo mật dữ liệu trong việc xây dựng các hệ thống thông tin IoT luôn là những thách thức không dễ dàng đối với những kỹ sư phát triển thiết kế hệ thống.
Với sự phát triển gia tăng về số lượng các thiết bị kết nối trong các hệ thống IoT, ngày càng nhiều dữ liệu được thu thập. Theo đó, các lỗ hổng bảo mật trong các sản phẩm thông minh IoT hiện nay xuất hiện rất nhiều so với hệ thống IT thông thường. Theo báo cáo ISTR (Internet Security Threat Report) – 2018 của Hãng bảo mật Symantec, năm 2017, các thiết bị IoT tiếp tục trở thành mục tiêu chính cho tội phạm mạng khai thác. Số lượng các cuộc tấn công IoT tăng từ khoảng 6.000 cuộc trong năm 2016 lên 50.000 cuộc vào năm 2017 – tăng 600% chỉ trong 1 năm [6].
Trong năm 2017 vừa qua, các thiết bị kết nối IoT thông dụng như camera IP, máy in IP, router wifi,… đã trở thành đích nhắm của các tin tặc, điển hình là sự bùng nổ các biến thể mới của mã độc Mirai, là dòng mã độc tấn công thông qua việc dò mật khẩu mặc định từ nhà sản xuất để lây nhiễm [8]. Bên cạnh đó, trong năm 2018 cũng xuất hiện xu hướng mới với các cuộc tấn công phát tán mã độc đào tiền ảo trên thiết bị IoT. Sau khi lây nhiễm, mã độc sẽ âm thầm sử dụng tài nguyên của các thiết bị IoT để chạy các chương trình đào tiền ảo.
Số lượng ngày càng tăng các thiết bị IoT sẽ dễ làm tin tặc tăng tần số và mức độ nghiêm trọng của các cuộc tấn công, tạo cơ hội cho tin tặc và tội phạm mạng khai thác lỗ hổng trong các thiết bị IoT để ăn cắp dữ liệu quan trọng, nhạy cảm và xâm nhập sự riêng tư của người dùng. Vì thế, các hệ thống IoT hiện nay luôn là môi trường rất hấp dẫn và phổ biến cho tin tặc xâm nhập so với các hệ thống IT. Tin tặc sẽ nhanh chóng kiểm soát toàn bộ mạng hệ thống và làm tê liệt nhiều thiết bị IoT cùng một lúc, làm cầu nối chuyển qua tấn công dữ liệu doanh nghiệp trong hệ thống IT.
Với thực trạng và nguy cơ mất an ninh trong các hệ thống IoT như trên, các tổ chức nghiên cứu khoa học, công ty công nghệ lớn trên thế giới đang rất quan tâm và tập trung nguồn lực vào những nghiên cứu về bảo mật IoT để đưa ra những giải pháp hiệu quả, an toàn và khả thi.
2. Các nguyên nhân thách thức
IoT đang giúp con người kết nối với nhau dù không cùng vị trí địa lý. Các chính phủ và doanh nghiệp có thể giám sát, kiểm soát các hoạt động liên quan đến cơ sở hạ tầng, điều khiển giao thông vận tải, kết nối ứng dụng y tế theo dõi chăm sóc sức khỏe từ xa,… Công nghệ IoT đang ngày càng cung cấp mức độ tiện nghi cho cuộc sống, nhưng ngược lại cũng đòi hỏi chúng ta phải chia sẻ nhiều thông tin cá nhân hơn. Và trong một guồng máy lớn với các hệ thống IoT đang cùng nhau vận hành, việc tương tác thông tin dữ liệu sẽ là rất tốt và hoàn hảo, cho đến khi tin tặc xâm nhập vào hệ thống và chiếm quyền điều khiển một thiết bị cho mục đích xấu [1].
Sẽ chỉ là một vấn đề rắc rối riêng tư khi một camera trong ngôi nhà nào đó bị chiếm quyền theo dõi, nhưng nếu là để xảy ra sự mất kiểm soát quyền điều khiển trực tuyến các cột đèn giao thông của toàn bộ một thành phố thì đó sẽ là một thảm họa.
Tuy nhiên, ngược với tầm quan trọng của bảo mật thông tin dữ liệu hệ thống IoT, thực tế các thiết bị IoT trên thị trường hiện nay lại xuất hiện những lỗ hổng an ninh, với tần suất hơn nhiều so với các lỗ hổng an ninh ở các máy tính trong hệ thống IT. Việc các thiết bị IoT dễ bị lỗ hổng so với các máy tính trong hệ thống IT là có nhiều yếu tố nguyên nhân khác nhau, trong đó có 3 nguyên nhân chính:
2.1. Bài toán hiệu quả kinh tế
Nguyên nhân mang tính thách thức chính yếu là liên quan đến hiệu quả kinh tế trong việc thiết kế sản phẩm IoT có bảo mật tốt và thương mại hóa các sản phẩm này. Các sản phẩm thiết bị kết nối IoT phần lớn có kích thước nhỏ gọn, trang bị bên trong các bộ vi xử lý nhúng đơn giản, có năng lực hạn chế hơn nhiều so với các bộ vi xử lý trên máy tính, nên khiến việc triển khai mã hóa, cũng như những phương thức bảo mật khác trở nên khó khăn. Bộ nhớ chương trình cũng có dung lượng giới hạn không cho phép thực hiện các cơ chế bảo mật đầy đủ. Nếu nhà sản xuất thiết bị IoT sử dụng những bộ vi xử lý mạnh và bộ nhớ nhiều hơn sẽ gặp thách thức về giá thành sản xuất và thương mại sản phẩm không hiệu quả, đặc biệt cho những thiết bị có giá rẻ và có thể dùng chỉ 1 lần.
Thực tế có nhiều nhà sản xuất thiết bị IoT có thể xây dựng an ninh cho các sản phẩm nhưng họ đã không làm như vậy. Phần lớn các bộ điều khiển thiết bị hoạt động trong các môi trường dân dụng hay công nghiệp đều thiếu cơ chế bảo vệ cơ bản như xác thực và mã hóa. Ngay cả trong trường hợp một lỗ hổng trên những thiết bị IoT giá rẻ dạng này bị phát hiện, sẽ rất khó về mặt kinh tế để các hãng có thể thực hiện cập nhật phần mềm và vá lỗi dễ dàng như trên máy tính.
2.2. Quy trình bảo mật của thiết bị và người dùng
Nguyên nhân phổ biến kế tiếp là có những công ty thiết kế và sản xuất thiết bị IoT còn thiếu kinh nghiệm trong việc thiết kế bảo mật sản phẩm hay xây dựng quy trình bảo mật sản phẩm thuận tiện. Kèm theo đó, những người dùng không có đủ kiến thức chuyên môn để quan tâm, phân tích, xử lý các mối đe dọa do các thiết bị IoT gây ra.
Các thiết bị IoT thông thường sẽ có một chức năng chính và chức năng kết nối Internet kèm theo. Thông thường, chức năng kết nối Internet được người sử dụng xem là tính năng phụ bên cạnh chức năng chính của loại thiết bị IoT đó. Và theo quan điểm của người dùng thông thường thì bảo mật kết nối Internet của sản phẩm mua về tốt hay kém cũng không quan trọng lắm, khi đặt bên cạnh sự quan tâm chủ yếu đến chất lượng và tính năng chính của thiết bị. Họ chỉ đơn giản là mua một sản phẩm về, cắm điện vào rồi sử dụng, mà không biết được những rủi ro tiềm ẩn đằng sau sản phẩm của mình [2].
Đối với người dùng bình thường, rất khó để khiến họ cập nhật những bản vá mới nhất trên máy tính, điện thoại thông minh. Còn đối với quy trình cập nhật firmware thiết bị với bản vá bảo mật trên thiết bị IoT thường thì sẽ rắc rối hơn so với máy tính, do đó rất khó thuyết phục người dùng thực hiện đúng yêu cầu cập nhật cần thiết [4]. Với quy trình bảo mật hiện tại, hầu hết cho các thiết bị IoT chưa có được sự quan tâm cần thiết của người dùng, và nó tạo ra lỗ hổng bảo mật xác thực dễ bị khai thác, như mật khẩu mặc định mà không bao giờ được người dùng thay đổi. Một nghiên cứu của công ty bảo mật Bkav cho thấy có tới 76% camera IP tại Việt Nam hiện vẫn dùng tài khoản và mật khẩu được nhà sản xuất cài đặt sẵn [8]. Thậm chí trong một số thiết bị sẽ có các cổng sau (backdoor) của nhà sản xuất cài đặt, dễ dàng bị truy cập từ xa nếu các kỹ sư của nhà sản xuất muốn truy cập trái phép.
2.3. Chưa có sẵn giải pháp bảo mật hoàn chỉnh
Ngay cả khi công ty thiết kế thiết bị IoT muốn tìm kiếm những giải pháp bảo mật hoàn chỉnh để có thể hỗ trợ cho sản phẩm của mình từ các hãng bảo mật bên ngoài cũng là vấn đề nan giải.
Trong khi các máy tính của các hệ thống IT được xây dựng và phân chia kiến trúc với nhiều phân tầng từ thấp đến cao, được kết hợp bởi rất nhiều các nhà sản xuất, các công ty lớn và chuyên nghiệp trên thế giới. Từ phần cứng máy tính, hệ điều hành, phần mềm tường lửa, phần mềm quét virus, phần mềm mã hóa bảo mật, phần mềm ứng dụng,… trong đó mỗi một phần đảm nhận những chức năng riêng biệt, và được nhiều kỹ sư, chuyên gia giỏi tại các công ty lớn trên thế giới, có kinh nghiệm trong lĩnh vực đó xây dựng nên. Khi ghép lại, sẽ thành 1 sản phẩm thiết bị máy tính hoạt động với những tính năng ứng dụng cần thiết, đảm bảo được yếu tố an toàn bảo mật cho người dùng.
Việc thiết kế và lập trình các thiết bị IoT có đặc điểm đa dạng, riêng biệt về sản phẩm, không có được tính phổ biến tổng quát về kiến trúc hệ thống, do đó rất khó để nhiều sản phẩm phần mềm/hệ điều hành của các công ty khác nhau phối hợp lắp ghép vào trong cùng một hệ thống thiết bị như trên máy tính. Vì vậy, phần mềm firmware của một sản phẩm thiết bị IoT của một công ty, thường là được lập trình chính bởi các kỹ sư của công ty đó, và rất khó để có được sự phối hợp lắp ghép tốt từ những sản phẩm phần mềm bảo mật khác nhau như trên máy tính, để đạt được yếu tố an toàn bảo mật [4]. Để bảo vệ các thiết bị IoT thì không thể chạy phần mềm bảo mật như khi bảo vệ máy tính cá nhân và máy tính bảng. Cho đến thời điểm năm 2018, không có nhà cung cấp bảo mật IoT nào có thể cung cấp giải pháp bảo mật End-to-End hoàn chỉnh cho các công ty sản xuất thiết bị IoT.
3. Những nguy cơ tấn công và các phương pháp hỗ trợ bảo mật
Cấu trúc liên kết thành phần của một giải pháp IoT đầy đủ hiện tại có thể chia ra 3 khối, trong đó bao gồm nhiều thành phần. Các thành phần trong một giải pháp IoT được liên kết với nhau như Hình 2 [5].
