Quy chuẩn kỹ thuật quốc gia về đặc tính kỹ thuật mật mã sử dụng trong nhóm sản phẩm bảo mật luồng IP dân sự

08:00 | 18/11/2021 | CHÍNH SÁCH - CHIẾN LƯỢC

Hệ thống quy chuẩn kỹ thuật quốc gia về mật mã dân sự (MMDS) là hành lang kỹ thuật, đóng vai trò quan trọng định hình sự tồn tại, phát triển của sản phẩm, dịch vụ MMDS. Đồng thời, cũng là những công cụ pháp lý rất quan trọng được sử dụng phổ biến trong hoạt động quản lý nhằm hướng tới các tiêu chí đảm bảo chất lượng sản phẩm mật mã, đảm bảo an toàn thông tin góp phần bảo vệ an ninh quốc gia. Quy chuẩn này quy định mức giới hạn các đặc tính kỹ thuật mật mã của các sản phẩm bảo mật luồng IP sử dụng công nghệ TLS VPN, IPSec VPN áp dụng đối với các tổ chức, cá nhân kinh doanh và sử dụng sản phẩm MMDS phục vụ bảo vệ thông tin không thuộc phạm vi bí mật nhà nước.

Quy chuẩn kỹ thuật quốc gia về đặc tính kỹ thuật mật mã sử dụng trong nhóm sản phẩm bảo mật luồng IP dân sự

NHU CẦU VỀ SẢN PHẨM MẬT MÃ DÂN SỰ THUỘC NHÓM BẢO MẬT LUỒNG IP

Đảm bảo an toàn thông tin (ATTT) là một nhu cầu thiết yếu để thúc đẩy và phát triển công nghệ thông tin nói riêng và nền kinh tế nói chung. Các nguy cơ về mất an toàn, an ninh thông tin cũng luôn xảy ra trên mọi lĩnh vực và thực tế đã xảy ra rất nhiều các cuộc tấn công, đe dọa, lấy cắp thông tin và lộ, lọt thông tin đặc biệt gây hại trong các lĩnh vực quan trọng như tài chính - ngân hàng, bảo hiểm, giao thông, chứng khoán…

Trước tình hình phức tạp về mất ATTT hiện nay, nhu cầu về bảo mật an toàn thông tin trong hệ thống các cơ quan nhà nước, các tổ chức, doanh nghiệp và cá nhân ngày càng gia tăng, hoạt động kinh doanh sản phẩm, dịch vụ MMDS và xuất khẩu, nhập khẩu sản phẩm MMDS tăng lên nhanh chóng với quy mô rộng trên phạm vi cả nước. Sản phẩm MMDS không ngừng cải tiến công nghệ và các tính năng mật mã, ngày càng phong phú về chủng loại thiết bị, đáp ứng yêu cầu đa dạng của thị trường trong nước; yêu cầu triển khai các giải pháp và sản phẩm MMDS trong hệ thống các cơ quan nhà nước, các tổ chức và doanh nghiệp cũng tăng lên nhanh chóng...

Theo khảo sát, thống kê tại Danh mục sản phẩm MMDS được Ban Cơ yếu Chính phủ (CYCP) cấp phép, có trên 75% sản phẩm thuộc nhóm sản phẩm bảo mật luồng IP. Đa số các sản phẩm bảo mật luồng IP đều sử dụng một trong hai công nghệ là IPSec VPN và TLS VPN.

TÍNH CẤP THIẾT CỦA VIỆC BAN HÀNH QUY CHUẨN

Triển khai thực hiện nhiệm vụ được giao tại Luật An toàn thông tin mạng ngày 19/11/2015, trong đó giao cho “Ban Cơ yếu Chính phủ giúp Bộ trưởng Bộ Quốc phòng thực hiện quản lý nhà nước về mật mã dân sự” (khoản 4 Điều 52). “Ban Cơ yếu Chính phủ có trách nhiệm giúp Bộ trưởng Bộ Quốc phòng xây dựng, trình Bộ trưởng Bộ Quốc phòng ban hành quy chuẩn kỹ thuật quốc gia đối với sản phẩm, dịch vụ mật mã dân sự, chỉ định và quản lý hoạt động của tổ chức chứng nhận sự phù hợp đối với sản phẩm, dịch vụ mật mã dân sự; quản lý chất lượng sản phẩm, dịch vụ mật mã dân sự” (khoản 7 Điều 38). Theo quy định tại Điều 39 Luật An toàn thông tin mạng “trước khi tổ chức, cá nhân đưa sản phẩm an toàn thông tin mạng vào lưu thông trên thị trường phải thực hiện chứng nhận hợp quy hoặc công bố hợp quy và sử dụng dấu hợp quy”.

Bên cạnh đó, yêu cầu thực tiễn tổ chức công tác quản lý chất lượng cần phải có công cụ, tiêu chí kỹ thuật để đánh giá, quản lý chất lượng dẫn đến cần phải có hệ thống quy chuẩn kỹ thuật quốc gia đối với sản phẩm MMDS để làm căn cứ tổ chức thực hiện. Do vậy, việc ban hành "Quy chuẩn kỹ thuật quốc gia về đặc tính kỹ thuật mật mã sử dụng trong các sản phẩm mật mã dân sự thuộc nhóm sản phẩm bảo mật luồng IP" sử dụng công nghệ IPSec và TLS để phục vụ quản lý nhà nước về MMDS góp phần nâng cao chất lượng sản phẩm, bảo đảm an toàn thông tin tại Việt Nam là hết sức cần thiết.

Một số sản phẩm bảo mật luồng IP tiêu biểu như: Cisco ASA 5500 series của hãng Cisco, FortiGate 3000 series của hãng Fortinet, VIPNet của hãng InfoTecs, ... Các sản phẩm bảo mật luồng IP đã được cấp phép trong các năm gần đây sử dụng các thuật toán mã hóa phổ biến như Bảng 1 và Bảng 2 sau đây:

Bảng 1. Thuật toán mã hóa đối xứng

Bảng 2. Thuật toán mã hóa phi đối xứng

Trên cơ sở các tiêu chuẩn quốc tế và tiêu chuẩn Việt Nam đã ban hành trong lĩnh vực MMDS, các khuyến cáo của các tổ chức uy tín trên thế giới (Viện Tiêu chuẩn và Kỹ thuật quốc gia Hoa Kỳ - NIST, Cơ quan an toàn thông tin liên bang Đức - BSI), các sản phẩm đã được Ban CYCP cấp phép và tình hình khảo sát thực tiễn khi áp dụng quy chuẩn, cơ quan soạn thảo đề xuất các yêu cầu về đặc tính kỹ thuật mật mã quy định trong quy chuẩn như sau:

Thuật toán mã hóa đối xứng

Trong hầu hết các hàm mật mã, độ dài khóa là một tham số bảo mật quan trọng trong việc chọn kích thước khóa thích hợp để bảo vệ hệ thống của bạn khỏi các cuộc tấn công toán học. Theo khuyến nghị về kích cỡ khóa an toàn tối thiểu của ECRYPT-CSA (Cộng đồng chung Châu Âu tháng 5/2020) thì đối với mật mã khóa đối xứng cần kích cỡ khóa 128 bit trở lên để đảm bảo an toàn cho 5-10 năm tới. Cùng với đó đã có nhiều đánh giá về độ an toàn của các thuật toán mã hóa đối xứng được sử dụng phổ biến trên thế giới (Bảng 3).

Bảng 3. Đánh giá độ an toàn của một số thuật toán mã hoá đối xứng

Trên cơ sở các khuyến nghị về an toàn đối với thuật toán mã hóa đối xứng và thực tế sản phẩm MMDS hiện đang quản lý cùng định hướng quản lý trong thời gian tới, cơ quan soạn thảo đề xuất sử dụng các thuật toán mã hóa đối xứng sau được phép sử dụng (Bảng 4).

Bảng 4. Các thuật toán mã hóa đối xứng được phép sử dụng

Thuật toán chữ ký số

Căn cứ vào độ an toàn được chỉ ra trong các tài liệu của TCVN-12214-3:2018 (ISO/IEC 148883:2016) về Công nghệ thông tin - Các kỹ thuật an toàn - Chữ ký số kèm phụ lục - Phần 3: Các cơ chế dựa trên logarit rời rạc thì độ an toàn được đề xuất cho chữ ký dựa trên logarit rời rạc DSA và ECDSA là 2112 tương đương với các tham số |p| = 2048, |q| = 224 của DSA và |p| = 224 - 255 đối với ECDSA; TCVN-7635:2007 (FIPS 180-2) về Kỹ thuật mật mã - Chữ ký số thì độ an toàn tương đương với 2112 của chữ ký số dựa trên thuật toán RSA sẽ là 2048.

Trên cơ sở các khuyến nghị về an toàn đối với thuật toán chữ ký số và thực tế sản phẩm MMDS hiện đang quản lý cùng định hướng quản lý trong thời gian tới, cơ quan soạn thảo đề xuất sử dụng các thuật toán ký số được phép sử dụng như trong Bảng 5.

Bảng 5. Các thuật toán chữ ký số được phép sử dụng

Ngoài ra trong quy chuẩn còn quy định về việc sử dụng hàm băm mật mã, mã xác thực thông báo, thuật toán trao đổi khóa, bộ tạo số ngẫu nhiên,....

KẾT LUẬN

Việc ban hành "Quy chuẩn kỹ thuật quốc gia về đặc tính kỹ thuật mật mã sử dụng trong các sản phẩm mật mã dân sự thuộc nhóm sản phẩm bảo mật luồng IP" sử dụng công nghệ IPSec và TLS để phục vụ quản lý nhà nước về MMDS góp phần nâng cao chất lượng sản phẩm, bảo đảm an toàn thông tin tại Việt Nam là hết sức cần thiết. Quy chuẩn kỹ thuật đã quy định mức giới hạn các đặc tính kỹ thuật mật mã của các sản phẩm bảo mật luồng IP sử dụng công nghệ TLS VPN, IPSec VPN như thuật toán mã hóa đối xứng, thuật toán ký số, thuật toán trao đổi khóa, thuật toán băm, thuật toán mã xác thực thông báo... và quy định thời hạn sử dụng cụ thể đối với từng thuật toán.

Trong thời gian tới, thực hiện nhiệm vụ quản lý nhà nước về MMDS, Cục Quản lý mật mã dân sự và Kiểm định sản phẩm mật mã tiếp tục tham mưu, xây dựng trình các cơ quan chức năng, ban hành tiêu chuẩn quốc gia, quy chuẩn kỹ thuật quốc gia về lĩnh vực MMDS, phục vụ chiến lược phát triển Chính phủ điện tử hướng tới Chính phủ số giai đoạn 2021-2025, định hướng 2030 theo Quyết định 942/QĐ-TTg của Thủ tướng Chính phủ, đóng góp vào mục tiêu đảm bảo an toàn, an ninh thông tin quốc gia, thúc đẩy phát triển kinh tế - xã hội của đất nước trong kỷ nguyên số.

Đại tá, TS. Hồ Văn Hương

‹ › ×

Tin liên quan

Các tổ chức, doanh nghiệp cần tuân thủ nghiêm các quy định về quản lý mật mã dân sự

17:00 | 29/10/2021

Chiều ngày 29/10/2021, tại Hà Nội, Cục Quản lý Mật mã dân sự và Kiểm định sản phẩm mật mã (QLMMDS&KĐSPMM), Ban Cơ yếu Chính phủ tổ chức Hội nghị tập huấn về mật mã dân sự để phổ biến, hướng dẫn thực hiện các quy định của pháp luật về quản lý mật mã dân sự.

Quy chuẩn quốc gia về đặc tính kỹ thuật mật mã sử dụng trong các sản phẩm mật mã dân sự

09:00 | 08/12/2023

Ngày 29/11, Bộ trưởng Bộ Quốc phòng ban hành Thông tư số 96 về Quy chuẩn kỹ thuật quốc gia về đặc tính kỹ thuật mật mã sử dụng trong các sản phẩm mật mã dân sự thuộc nhóm sản phẩm bảo mật dữ liệu lưu giữ phục vụ bảo vệ thông tin không thuộc phạm vi bí mật nhà nước (QCVN 15:2023/BQP). Cục Quản lý Mật mã dân sự và Kiểm định sản phẩm mật mã (Ban Cơ yếu Chính phủ) là cơ quan tiếp nhận công bố hợp quy, kiểm tra nhà nước về chất lượng sản phẩm mật mã dân sự.

Tăng cường quản lý nhà nước về mật mã dân sự trong tình hình mới

13:00 | 16/12/2020

Quản lý nhà nước về mật mã dân sự là một trong bốn nhiệm vụ cơ bản và trọng tâm của Ban Cơ yếu Chính phủ. Luật An toàn thông tin mạng năm 2015 quy định “Ban Cơ yếu Chính phủ giúp Bộ trưởng Bộ Quốc phòng thực hiện quản lý nhà nước về mật mã dân sự” (khoản 4, Điều 52), trong đó đã xác định nhiệm vụ quản lý mật mã dân sự (MMDS) do Ban Cơ yếu Chính phủ thực hiện bao gồm: xây dựng và trình cấp có thẩm quyền ban hành văn bản quy phạm pháp luật về quản lý MMDS; xây dựng tiêu chuẩn quốc gia, quy chuẩn kỹ thuật quốc gia đối với sản phẩm, dịch vụ MMDS; quản lý hoạt động kinh doanh, sử dụng MMDS; quản lý chất lượng sản phẩm, dịch vụ MMDS, quản lý công tác đánh giá, công bố hợp chuẩn, hợp quy đối với sản phẩm, dịch vụ MMDS và cácnhiệm vụ khác.

Triển khai đồng bộ Quy chuẩn quốc gia về đặc tính kỹ thuật mật mã sử dụng trong các sản phẩm mật mã dân sự

09:00 | 05/02/2024

Ngày 24/01, Ban Cơ yếu Chính phủ ban hành kế hoạch triển khai thực hiện Thông tư 96/2023/TT-BQP ngày 29/11/2023 của Bộ trưởng Bộ Quốc phòng về “Quy chuẩn kỹ thuật quốc gia về đặc tính kỹ thuật mật mã sử dụng trong các sản phẩm mật mã dân sự thuộc nhóm sản phẩm bảo mật dữ liệu lưu giữ”.

Quý I/2021: Tăng 15% hoạt động cấp phép mật mã dân sự

10:00 | 25/05/2021

Theo thông tin từ Cục Quản lý mật mã dân sự và Kiểm định sản phẩm mật mã (Ban Cơ yếu Chính phủ), hoạt động cấp phép mật mã dân sự (MMDS) trong quý I/2021 tăng 15% so với cùng kỳ năm 2020.

Tin cùng chuyên mục

Ireland công bố Bộ quy tắc an toàn trực tuyến

10:00 | 27/10/2024

Cơ quan giám sát truyền thông và Internet của Ireland, Coimisiún na Meán đã thông qua và công bố Bộ quy tắc an toàn trực tuyến, áp dụng cho các nền tảng chia sẻ video phục vụ người dùng Ireland hoặc đặt trụ sở tại nước này, bao gồm TikTok của ByteDance, YouTube của Google và Instagram, Facebook Reels của Meta.

EU thông qua Luật phục hồi mạng cho các thiết bị được kết nối

13:00 | 22/10/2024

Hội đồng Liên minh Châu Âu đã chính thức thông qua Luật về khả năng phục hồi mạng (Cyber Resilience Act - CRA) vào ngày 10/10/2024, trong đó sẽ đưa ra các yêu cầu về an ninh mạng trên toàn EU đối với các sản phẩm có thành phần kỹ thuật số.

Lá chắn mới cho trẻ em Mỹ: Dự luật an toàn trực tuyến được thông qua

13:00 | 13/08/2024

Với sự thông qua của Thượng viện Mỹ, dự luật bảo vệ trẻ em khỏi nội dung trực tuyến nguy hiểm đã chính thức trở thành hiện thực, đánh dấu một bước tiến quan trọng trong việc giải quyết vấn nạn nhức nhối về an toàn trực tuyến cho trẻ em. Dự luật này không chỉ đặt ra những quy định chặt chẽ hơn cho các nền tảng trực tuyến mà còn thể hiện cam kết mạnh mẽ của chính phủ Mỹ trong việc bảo vệ thế hệ tương lai.

Quyết định 2345/QĐ-NHNN: Giải pháp bảo mật thanh toán trực tuyến và thẻ ngân hàng

09:00 | 02/08/2024

Ngày 18/12/2023, Ngân hàng Nhà nước Việt Nam đã ban hành Quyết định 2345/QĐ-NHΝΝ về triển khai các giải pháp an toàn, bảo mật trong thanh toán trực tuyến và thanh toán thẻ ngân hàng. Quyết định sẽ có hiệu lực thi hành kể từ ngày 01/7/2024. Quyết định này là đòn bẩy, thúc đẩy các ngân hàng nhanh chóng triển khai những giải pháp ứng dụng công nghệ AI liên quan đến nhận diện sinh trắc học, nhằm tuân thủ và đơn giản hoá quy trình định danh khách hàng.