Thực hành bảo mật hướng tới tương lai, cùng khám phá các giải pháp bảo mật cho Web2 và Web3 trong kỷ nguyên hậu lượng tử

Trong kỷ nguyên của sự tiến hóa công nghệ nhanh chóng, bảo mật là một hành trình liên tục khám phá và tiến bộ. Máy tính lượng tử, như một công nghệ tiên tiến, mang lại nhiều cơ hội to lớn nhưng đồng thời cũng tạo ra một mối đe dọa tiềm tàng trong dài hạn đối với các hệ thống mã hóa khóa công khai hiện tại (chẳng hạn như RSA, ECC), vốn bảo vệ an toàn kỹ thuật số toàn cầu. Nhận thức được xu hướng này, chúng tôi chọn cách khám phá chủ động thay vì chờ đợi thụ động.

Hôm nay, chúng tôi vui mừng chia sẻ một kết quả quan trọng trong hành trình khám phá này: KuCoin, phối hợp với dự án mã nguồn mở pqc-gateway (https://github.com/web3infra-foundation/pqc-gateway) thuộc Web3 Infrastructure Foundation (W3IF) và đối tác kỹ thuậtflomesh.io, đã hoàn thành thành công bằng chứng khái niệm (POC) cho cổng mã hóa kháng lượng tử (PQC) và mở nó để công chúng trải nghiệm. Đây là một bước tiến vững chắc trên hành trình dài của chúng tôi hướng tới bảo mật sau lượng tử.

 

Về Web3 Infrastructure Foundation (W3IF)
Quỹ W3IF (trang web chính thức:https://web3infra.foundation/) là một tổ chức phi lợi nhuận mã nguồn mở có trụ sở tại Hồng Kông, với mục tiêu tập hợp các dự án cơ sở hạ tầng Web3 mã nguồn mở chất lượng cao trên toàn cầu, thúc đẩy xây dựng một hệ sinh thái công nghệ phi tập trung bao gồm các lĩnh vực chủ chốt như thuật toán đồng thuận, bằng chứng không tri thức (zero-knowledge proofs), xác thực danh tính phi tập trung (DID) và tính toán đáng tin cậy. Dự án pqc-gateway, một phần trong sự hợp tác này, là một thành phần quan trọng trong hệ sinh thái của quỹ này.

 

• PQC, viết tắt của post-quantum cryptography (mật mã hậu lượng tử) hoặc quantum-resistant cryptography (mật mã kháng lượng tử). Đây không phải là một thuật toán cụ thể, mà là một lớp các thuật toán mật mã thế hệ mới được thiết kế để chống lại các cuộc tấn công từ máy tính lượng tử trong tương lai.

• Vấn đề cốt lõi mà PQC giải quyết là: sự an toàn của các thuật toán mã hóa bất đối xứng đang được sử dụng rộng rãi (như RSA, ECC) dựa trên độ phức tạp tính toán của một số vấn đề toán học nhất định. Tuy nhiên, máy tính lượng tử có thể sử dụng các qubit độc đáo của chúng (chẳng hạn như thuật toán Shor) để giải quyết những vấn đề này trong thời gian rất ngắn, gây ra mối đe dọa cho các hệ thống bảo mật từ truyền thông mạng đến tài sản blockchain dựa trên các thuật toán đó.
• Giá trị của PQC nằm ở chỗ, ngay cả khi có máy tính lượng tử mạnh mẽ, việc phá vỡ các thuật toán PQC là cực kỳ khó về mặt lý thuyết. Mục tiêu của PQC là xây dựng một cầu nối bảo mật mới có thể vượt qua "kỷ nguyên lượng tử".

Các cơ quan quản lý và thiết lập tiêu chuẩn toàn cầu cũng đã thực hiện các hành động tích cực, cho thấy hướng đi và tính cấp thiết của quá trình chuyển đổi này:

• Viện Tiêu chuẩn và Công nghệ Quốc gia Hoa Kỳ (NIST) đã lãnh đạo và hoàn thành việc tiêu chuẩn hóa lô đầu tiên của các thuật toán PQC (như Kyber, Dilithium, v.v.), đánh dấu một con đường công nghệ rõ ràng ^[1]. Đồng thời, nhiều thuật toán khác đã bước vào giai đoạn dự thảo cuối cùng, và hệ sinh thái đang phát triển nhanh chóng.

• Cơ quan An ninh Quốc gia Hoa Kỳ (NSA) đã ban hành một chiến lược quốc gia ràng buộc yêu cầu hoàn thành quá trình chuyển đổi từ các thuật toán khóa công khai truyền thống (RSA, ECC) vào khoảng năm 2030. Từ năm 2035, tất cả các thiết bị và phần mềm mới được sử dụng cho các hệ thống an ninh quốc gia phải chỉ sử dụng các thuật toán PQC ^[2].

• . Ủy ban Chứng khoán và Giao dịch Hoa Kỳ (SEC) cũng đã bắt đầu chuẩn bị cho tương lai bằng cách soạn thảo một đề xuất dành cho các tổ chức tài chính toàn cầu có tiêu đề "Sự sẵn sàng với Mật mã Hậu Lượng tử cho Ngành Tài chính (PQFIF)", chỉ ra rằng bảo mật kháng lượng tử sắp trở thành một yêu cầu bắt buộc để tuân thủ tài chính ^[3].

. Tất cả điều này cho thấy rằng việc chuyển đổi sang PQC không còn là câu hỏi "nếu", mà là "khi nào" và "như thế nào".

 

Trong bối cảnh này, KuCoin đã hợp tác với dự án mã nguồn mở pqc-gateway và đối tác kỹ thuật. flomesh.io dưới sự bảo trợ của W3IF Foundation nhằm đưa các khám phá lý thuyết thành thực tiễn. Cùng nhau, chúng tôi đã xây dựng một môi trường bằng chứng khái niệm (PoC) cho một cổng kết nối chống lượng tử.

Nguyên tắc cốt lõi của nó là: trong quá trình thiết lập kết nối HTTPS giữa trình duyệt của người dùng và máy chủ của KuCoin, các thuật toán trao đổi khóa và xác thực được thay đổi từ RSA/ECC truyền thống sang các thuật toán chống lượng tử (PQC) thuộc tiêu chuẩn dự thảo của NIST.

Chúng tôi chân thành mời bạn trải nghiệm kết quả ban đầu này: truy cập https://pqctest.kucoin.biz , kết nối của bạn hiện đã được bảo vệ bởi mật mã hậu lượng tử (post-quantum cryptography - PQC).

Để có trải nghiệm tốt nhất, khuyến nghị sử dụng các phiên bản trình duyệt sau:

• Chrome: Phiên bản 142.0.7444.135 trở lên

• Safari: Phiên bản 26.0.1 trở lên

• Firefox: Phiên bản 144.0.2 trở lên

Ví dụ: trong trình duyệt Chrome, nhấn F12 để vào bảng điều khiển (console), chọn mục Security (Bảo mật). Nếu trình duyệt của bạn hỗ trợ PQC, bạn sẽ thấy dưới mục Connection (Kết nối) trong phần Key exchange (Trao đổi khóa) rằng thuật toán trao đổi khóa của bạn đã sử dụng thuật toán PQC X25519MLKEM768 , điều này cho thấy giao tiếp của bạn đã được bảo vệ bởi PQC.

Việc chuyển đổi PQC từ tiêu chuẩn lý thuyết thành các giải pháp có thể sử dụng trong môi trường sản xuất chứa đựng đầy thách thức. Trong thực tiễn PoC này, chúng tôi đã đào sâu vào một số vấn đề cốt lõi cùng nhóm dự án pqc-gateway của W3IF Foundation và flomesh.io , đây cũng là những "vùng nước sâu" mà toàn ngành phải đối mặt:

1. Hiệu suất và Chi phí: Nghệ thuật cân bằng giữa bảo mật và hiệu quả, cũng như các hướng tối ưu hóa trong tương lai

Đây là thách thức trực tiếp nhất đối với việc triển khai PQC, chủ yếu thể hiện ở hai khía cạnh tính toán và giao tiếp.

• Chi phí tính toán: Khối lượng tính toán của hầu hết các thuật toán PQC vượt xa so với ECC hiện tại. Ví dụ, tốc độ tạo chữ ký và xác minh của thuật toán chữ ký Dilithium chậm hơn từ vài lần đến hàng chục lần so với ECDSA truyền thống. Đối với các cổng nền tảng giao dịch hiệu suất cao như KuCoin, điều này đồng nghĩa với việc tăng đáng kể tải CPU, có thể ảnh hưởng trực tiếp đến tốc độ truy vấn hệ thống và độ trễ dịch vụ.

• Chi phí giao tiếp (băng thông): Đây hiện là một trong những điểm đau lớn nhất của PQC.

• • Trao đổi khóa: Kích thước ciphertext và khóa công khai của thuật toán Kyber khoảng 1-2KB, trong khi ECDH truyền thống chỉ từ 32-64 byte.
  • Chữ ký: Kích thước chữ ký của Dilithium khoảng 2-4KB, trong khi chữ ký ECDSA thường chỉ từ 64-128 byte.
• Thách thức về chứng chỉ và Cơ sở hạ tầng khóa công khai (PKI):
  • Mở rộng chuỗi chứng chỉ: Chuỗi chứng chỉ TLS thường bao gồm chứng chỉ thực thể cuối, chứng chỉ CA trung gian và chứng chỉ CA gốc. Nếu tất cả sử dụng chữ ký PQC, kích thước toàn bộ chuỗi chứng chỉ có thể lên tới hàng chục KB. Trình duyệt có thể cần tải về hàng trăm KB dữ liệu chứng chỉ trong quá trình bắt tay, điều này có thể ảnh hưởng nghiêm trọng đến tốc độ tải trang đầu tiên và trải nghiệm người dùng.
• Tác động tổng thể và các giải pháp tương lai: Một quá trình bắt tay TLS 1.3 hoàn chỉnh, nếu hoàn toàn sử dụng các thuật toán PQC để thay thế các thuật toán hiện có, có thể khiến lượng dữ liệu truyền tải tăng vọt từ 10-20 lần. Đây là một thách thức lớn đối với các môi trường nhạy cảm với độ trễ mạng và hạn chế băng thông (chẳng hạn như mạng di động).

Nhìn về tương lai, chúng tôi dự định hợp tác chặt chẽ với W3IF Foundation và các đối tác kỹ thuật của mình để cùng khám phá các giải pháp hệ thống:  

• • Giảm tải phần cứng: Nghiên cứu sử dụng phần cứng chuyên dụng (chẳng hạn như thẻ mạng thông minh, thẻ tăng tốc mật mã) để đảm nhận các tác vụ tính toán PQC cường độ cao, giải phóng CPU để xử lý các nghiệp vụ cốt lõi.
  • Công nghệ nén chứng chỉ: Khám phá các thuật toán nén hiệu quả để giải quyết kích thước lớn của chứng chỉ PQC, giảm đáng kể lượng dữ liệu truyền tải mà không ảnh hưởng đến bảo mật.
  • Tối ưu hóa tập lệnh CPU: Thúc đẩy và áp dụng các tập lệnh CPU được tối ưu hóa cho các thuật toán PQC phổ biến nhằm tăng cường hiệu quả tính toán từ gốc.

Mục tiêu của chúng tôi là cuối cùng đạt được sự đồng tồn tại giữa bảo mật và hiệu suất thông qua những đổi mới công nghệ này.

 

2. Giao thức và Khả năng liên hoạt: Sự phức tạp trong hợp tác hệ sinh thái

TLS là một hệ sinh thái giao thức phức tạp, và việc giới thiệu PQC đòi hỏi sự hợp tác từ tất cả các bên, bao gồm mở rộng giao thức và hệ thống chứng chỉ.

• Tương thích với hệ sinh thái hiện tại và lộ trình triển khai dần dần: Những đổi mới công nghệ toàn diện và triệt để là không thực tế ở cấp độ cơ sở hạ tầng internet. Do đó, triển khai dần dần là con đường khả thi duy nhất.
  • Giải quyết các thách thức về khả năng tương thích: Trong thử nghiệm POC này, chúng tôi đã thành công trong việc giải quyết các vấn đề về tương thích với hệ sinh thái hiện tại thông qua thiết kế cổng thông minh và các chiến lược đàm phán giao thức. Cổng của chúng tôi có khả năng nhận diện thông minh các khả năng hỗ trợ PQC của phía khách hàng (trình duyệt). Đối với các trình duyệt chưa hỗ trợ PQC, cổng có thể tự động chuyển về các thuật toán mã hóa truyền thống, đảm bảo rằng tất cả người dùng đều có thể truy cập trang web một cách mượt mà, từ đó đảm bảo dịch vụ được phổ biến rộng rãi. Đây là một bước tiến quan trọng mà chúng tôi đã đạt được trong thực tiễn này.
  • Trạng thái hiện tại và các hạn chế của việc hỗ trợ trình duyệt: Tại sao hiện nay bạn chỉ thấy PQC ở cấp độ trao đổi khóa.
    Hiện tại, các trình duyệt chính thống (Chrome, Safari, Firefox) đang ở giai đoạn đầu trong việc hỗ trợ PQC. Chiến lược hỗ trợ của họ là theo từng bước và từng giai đoạn:

1. 1. Ưu tiên hỗ trợ trao đổi khóa: Các phiên bản trình duyệt hiện tại chủ yếu tích hợp hỗ trợ cho các thuật toán PQC (chẳng hạn như Kyber) ở giai đoạn trao đổi khóa. Điều này là do trao đổi khóa ảnh hưởng trực tiếp đến việc bảo mật khóa phiên cho các giao tiếp tiếp theo, điều này rất quan trọng để bảo vệ chống lại các cuộc tấn công "lưu trữ ngay, giải mã sau". Do đó, khi bạn truy cập vào miền thử nghiệm của chúng tôi, trình duyệt của bạn đã có khả năng đàm phán một khóa phiên chống lại lượng tử với cổng của chúng tôi bằng các thuật toán PQC.
   2. Sự chậm trễ trong hỗ trợ chữ ký số:Hỗ trợ cho chữ ký điện tử (chủ yếu được sử dụng để xác thực danh tính máy chủ, tức là xác minh chuỗi chứng chỉ) vẫn đang được cải thiện trong các trình duyệt. Đây là lý do tại sao, trong trải nghiệm hiện tại, việc áp dụng PQC chủ yếu được thể hiện ở cấp độ trao đổi khóa. Toàn bộ ngành công nghiệp vẫn cần chờ các trình duyệt và cơ quan cấp chứng chỉ (CA) hoàn toàn cập nhật ở cấp độ chữ ký.

 

3. Quản lý bảo mật các tài liệu khóa nhạy cảm

Các nâng cấp về mật mã không chỉ là thay đổi thuật toán; chúng còn đặt ra những yêu cầu mới đối với việc quản lý toàn bộ vòng đời bảo mật. Làm thế nào để tạo, lưu trữ, thay đổi và hủy bỏ các khóa riêng tương ứng với thuật toán PQC một cách an toàn, đảm bảo rằng những thông tin nhạy cảm mới này - có thể phức tạp hơn - không bị rò rỉ, là một thách thức phức tạp và mang tính quan trọng hơn cả việc thay thế thuật toán. Chúng tôi đang thích ứng và xác thực hệ thống quản lý khóa trưởng thành hiện có với các tính năng mới của PQC.

Mặc dù còn nhiều thách thức, việc xác thực POC của cổng này đã mở ra cánh cửa cho những ứng dụng PQC rộng lớn hơn đối với chúng tôi. Bảo mật của nền tảng giao dịch chỉ là điểm khởi đầu; bảo mật của chính blockchain, đặc biệt là bảo mật của ví tiền và hợp đồng thông minh, cũng đối mặt với những thách thức từ máy tính lượng tử. Trong tương lai, chúng tôi sẽ mở rộng tầm nhìn khám phá của mình sang lĩnh vực on-chain, cam kết bảo vệ toàn diện tài sản kỹ thuật số của người dùng:

• Ví kháng lượng tử: Khám phá việc sử dụng các thuật toán PQC để tạo và lưu trữ các khóa riêng, hoặc xây dựng các cơ chế chữ ký kháng lượng tử để bảo vệ cơ bản tài sản ví khỏi các mối đe dọa từ máy tính lượng tử trong tương lai.

• Ứng dụng DApp an toàn: Hỗ trợ và thúc đẩy các nhà phát triển DApp sử dụng các thuật toán PQC để xác thực danh tính người dùng và ký giao dịch, xây dựng nền tảng bảo mật hậu lượng tử cho toàn bộ hệ sinh thái ứng dụng phi tập trung.

• Giao dịch on-chain và hợp đồng thông minh: Nghiên cứu các định dạng chữ ký giao dịch thế hệ mới và cơ chế xác minh hợp đồng thông minh tương thích với PQC, đảm bảo các hoạt động on-chain vẫn an toàn và đáng tin cậy trong kỷ nguyên lượng tử.

Tầm nhìn của chúng tôi là xây dựng một hệ thống bảo vệ an ninh ba chiều chống lại các mối đe dọa từ điện toán lượng tử, từ nền tảng giao dịch đến mạng lưới blockchain, từ các dịch vụ tập trung đến các ứng dụng phi tập trung, thực sự bảo vệ an toàn trên chuỗi (on-chain) cho tất cả mọi người.

Sự hợp tác POC này với W3IF Foundation, flomesh.io và dự án mã nguồn mở pqc-gateway của họ, cùng với việc phân tích chuyên sâu về các thách thức và kế hoạch trong tương lai của chúng tôi, chỉ là một bước khởi đầu cho KuCoin trên con đường dài chuyển đổi hậu điện toán lượng tử. Chúng tôi không dám khẳng định rằng đã giải quyết tất cả các vấn đề, nhưng chúng tôi tin tưởng rằng sự khám phá sớm, thực tiễn tích cực và hợp tác cởi mở là những cách tốt nhất để đối mặt với những bất định trong tương lai.

KuCoin luôn coi trọng bảo mật tài sản và dữ liệu của người dùng là trách nhiệm hàng đầu. Thông qua việc khám phá toàn diện từ nền tảng giao dịch đến hệ sinh thái blockchain, chúng tôi không chỉ đặt mục tiêu nâng cao rào cản công nghệ bảo mật của chính mình mà còn tích lũy các phương pháp tốt nhất cho ngành trong việc triển khai PQC. Chúng tôi mong muốn hợp tác với nhiều đối tác và người dùng hơn để cùng xây dựng một hệ sinh thái tài sản số an toàn hơn, sẵn sàng đối mặt với kỷ nguyên tính toán tiếp theo.

Bởi vì an ninh thực sự xuất phát từ sự tôn trọng tương lai và hành động bắt đầu từ chính hiện tại.

Tham khảo:

[1] NIST PQC Standardization: https://csrc.nist.gov/projects/post-quantum-cryptography/selected-algorithms-2022
[2] NSA Cybersecurity Advisory - PQC Migration: https://www.nsa.gov/Press-Room/Press-Releases-Statements/Press-Release-View/Article/3498776/post-quantum-cryptography-cisa-nist-and-nsa-recommend-how-to-prepare-now/
[3] SEC - PQFIF Draft Recommendations: https://www.sec.gov/files/cft-written-input-daniel-bruno-corvelo-costa-090325.pdf

 

Tuyên bố từ chối trách nhiệm: Trang này được dịch bằng công nghệ AI (do GPT cung cấp) để thuận tiện cho bạn. Để biết thông tin chính xác nhất, hãy tham khảo bản gốc tiếng Anh.