Tiêu chuẩn TCVN 13749:2023 Internet vạn vật - Các khả năng bảo mật hỗ trợ tính an toàn

TIÊU CHUẨN QUỐC GIA

TCVN 13749:2023

INTERNET VẠN VẬT - CÁC KHẢ NĂNG BẢO MẬT TÍNH AN TOÀN HỖ TRỢ

Internet of things - Security capabilities supporting safety

Mục lục

1 Phạm vi áp dụng

2 Tài liệu viện dẫn

3 Thuật ngữ và định nghĩa

4 Ký hiệu và thuật ngữ viết tắt

5 Phân loại các vấn đề bảo mật trong Internet vạn vật theo vector tác động của chúng

6 Các mối đe dọa bảo mật ảnh hưởng đến tính an toàn trong Internet vạn vật

6.1 Các nguồn đe dọa bảo mật ảnh hưởng đến tính an toàn

6.2 Các tình huống đe dọa tính an toàn chức năng

6.3 Yêu cầu để xác định các mối đe dọa bảo mật ảnh hưởng đến tính an toàn

6.4 Các biện pháp an toàn và cách chúng giảm thiểu các mối đe dọa

6.5 Các biện pháp bảo mật

6.6 Danh sách các mối đe dọa bảo mật loT

7 Khả năng bảo mật để hỗ trợ tính an toàn trong Internet vạn vật

7.1 Danh sách ban đầu về khả năng bảo mật

7.2 Thuyết minh về các khả năng bảo mật để giải quyết các mối đe dọa

Phụ lục A (Tham khảo) Phát triển các yêu cầu theo các mối đe dọa đã xác định

Thư mục tài liệu tham khảo

Lời nói đầu

TCVN 13749:2023 tham khảo ITU.T Y.4806:2017 của Liên minh Viễn thông Quốc tế (ITU-T).

TCVN 13749:2023 do Học viện Công nghệ Bưu chính Viễn thông biên soạn, Bộ Thông tin và Truyền thông đề nghị, Tổng cục Tiêu chuẩn Đo lường Chất lượng thẩm định, Bộ Khoa học và Công nghệ công bố.

INTERNET VẠN VẬT - CÁC KHẢ NĂNG BẢO MẬT TÍNH AN TOÀN HỖ TRỢ

Internet of things - Security capabilities supporting safety

1  Phạm vi áp dụng

Tiêu chuẩn này xác định các mối đe dọa bảo mật có thể ảnh hưởng đến tính an toàn. Tiêu chuẩn cũng xác định những khả năng bảo mật có thể được áp dụng để giảm thiểu các mối đe dọa này.

Tiêu chuẩn này xác định các mối đe dọa bảo mật có thể ảnh hưởng đến các khả năng an toàn và bảo mật dựa trên [ITU-T Y.4401].

Internet vạn vật đặt ra những thách thức bảo mật đặc thù, mà những thách thức này có thể không được bao hàm đầy đủ trong các mục tiêu bảo mật hiện có (chẳng hạn như tính bí mật, tính toàn vẹn và tính khả dụng). Việc xây dựng thêm các biện pháp đối phó bảo mật đặc thù dựa trên việc diễn giải các khả năng bảo mật tùy theo các mối đe dọa đã được xác định.

Tiêu chuẩn này chủ yếu áp dụng cho các hệ thống loT đề cao tính an toàn, như các hệ thống tự động hoá công nghiệp, hệ thống ô tô, giao thông vận tải, đô thị thông minh, thiết bị đeo y tế, tuy nhiên nó không có các hạn chế cụ thể và có thể được sử dụng cho bất kì lĩnh vực nào của loT.

2  Tài liệu viện dẫn

Các tài liệu viện dẫn sau rất cần thiết cho việc áp dụng tiêu chuẩn này. Đối với các tài liệu viện dẫn ghi năm công bố thì áp dụng phiên bản được nêu. Đối với các tài liệu viện dẫn không ghi năm công bố thi áp dụng phiên bản mới nhất, bao gồm cả các sửa đổi, bổ sung (nếu có).

TCVN 13115:2020, Internet vạn vật (loT) - Các yêu cầu chung.

ITU-T Y.4000/Y.2060 (2012). (Khuyến nghị ITU-T Y.4000/Y.2060 (2012), Tổng quan về Internet vạn vật.)

ITU-T Y.4401/Y.2068 (2015). (Khuyến nghị ITU-T Y.4401/Y.2068 (2015), Khung chức năng và các khả năng của Internet vạn vật.)

3  Thuật ngữ và định nghĩa

Tiêu chuẩn này sử dụng các thuật ngữ và định nghĩa sau:

3.1

Kẻ địch (adversary)

Cá nhân, nhóm, tổ chức hoặc chính phủ tiến hành hoặc có ý định tiến hành các hành động gây ra các bất lợi cho hệ thống.

3.2

Mối đe dọa (threat)

Nguyên nhân tiềm ẩn của sự cố không mong muốn, có thể gây hại cho hệ thống hoặc tổ chức.

3.3

Vật (thing)

Đối với Internet vạn vật, đây là một đối tượng của thế giới vật lý (vật chất) hoặc thế giới thông tin (vật ảo), có khả năng được xác định hoặc tích hợp vào mạng truyền thông.

3.4

Internet vạn vật (loT)

Một hạ tầng toàn cầu cho cộng đồng thông tin cung cấp các dịch vụ tiên tiến bằng cách kết nối (vật lý và ảo) mọi vật dựa vào khả năng tương thích của các công nghệ thông tin và truyền thông đã có và phát triển trong tương lai.

CHÚ THÍCH 1: Thông qua sự khai phá về khả năng định danh, thu thập dữ liệu, xử lý và truyền thông, loT sử dụng mọi vật để đưa các dịch vụ tới mọi loại hình ứng dụng trong khi vẫn đảm bảo thỏa mãn các yêu cầu về bảo mật và riêng tư.

CHÚ THÍCH 2: Theo một quan điểm rộng hơn, loT có thể được coi là tầm nhìn với ý nghĩa công nghệ và cộng đồng.

3.5

Tác nhân loT (loT actor)

Một thực thể bên ngoài loT và tương tác với loT.

3.6

Vector tác động (impact vector)

Là một tuyến bao gồm các liên kết truyền thông mà qua đó kẻ địch khai thác các điểm yếu của các dịch vụ, nền tảng và thiết bị loT, có thể gây ảnh hưởng tới các sự vật ảo hoặc vật lý.

3.7

Môi trường ảo (virtual environment)

Cơ sở hạ tầng bao gồm các vật ảo và các tác nhân, có khả năng truyền thông với các đối tượng trong Internet vạn vật bằng cách sử dụng các dịch vụ và dữ liệu thích hợp.

3.8

Môi trường vật lý (physical environment)

Cơ sở hạ tầng bao gồm các vật chất và tác nhân, có khả năng tương tác với các sự vật trong Internet vạn vật thông qua cơ chế cảm nhận và hành động của chúng.

CHÚ THÍCH 1 - Điều này phụ thuộc vào bối cảnh khi sự vật được xem xét là một phần của Internet vạn vật và khi nó là một phần của môi trường ảo hay vật lý của nó. Khi sự vật được nhìn nhận đến, tất cả các sự vật khác có thể bao gồm cả môi trường.

CHÚ THÍCH 2 - Sự tách biệt đối với môi trường ảo và vật lý được thực hiện trên cơ sở phân biệt trường hợp sử dụng. Một số sự vật có thể được quan niệm là một phần của môi trường ảo hoặc vật lý tùy theo bản chất của sự tương tác của nó với sự vật được nhắc đến. Ví dụ, hệ thống sưởi ấm, thông gió và điều hòa không khí(HVAC) thường được coi là một phần của môi trường vật lý vì tác động của chúng là vật lý. Đồng thời, có những trường hợp khi hệ thống HVAC do nhà thầu bảo trì từ xa đã được sử dụng đề xâm nhập vào mạng nội bộ. Trong trường hợp này, hệ thống HVAC được coi là một phần của môi trường ảo vì các giao diện ảo của nó đang được xét đến.

4  Ký hiệu và thuật ngữ viết tắt

5  Phân loại các vấn đề bảo mật trong Internet vạn vật theo vector tác động của chúng

Theo truyền thống, các mối đe dọa bảo mật được coi là các vấn đề phát sinh trong môi trường ảo và nhằm vào quá trình xử lý dữ liệu. Điều này dẫn đến việc diễn giải bảo mật công nghệ thông tin (CNTT) là tập hợp các khía cạnh của tính bí mật, tính toàn vẹn, tính khả dụng (CIA). Hành vi hệ thống CNTT không phù hợp (ví dụ: lỗi phần mềm, cửa sau, chương trình Trojan) cũng được coi là nguồn gốc của các vấn đề ảnh hưởng đến các khía cạnh này và do đó chỉ gây ra các mối lo ngại về xử lý dữ liệu.

Nỗ lực phân loại các mối đe dọa an toàn đối với loT giống như cách chúng được phân loại cho các hệ thống CNTT thuần túy dẫn đến khó khăn trong việc mô tả tác động vật lý tiềm ẩn do một cuộc tấn công mạng gây ra. Một ví dụ của cách tiếp cận này là sắp xếp lại bộ ba CIA thành tính khả dụng, tính toàn vẹn, tính bí mật (AIC) bằng cách đầu tiên đảm bảo khía cạnh tính khả dụng trong hệ thống vật lý và ít coi trọng tính bí mật hơn [b-NIST CPS]. Khía cạnh khả dụng là quan trọng, nhưng nếu chỉ một mình, nó không thể xác định tất cả các đặc điểm vật lý quan trọng.

Internet vạn vật kết nối với nhau ít nhất qua hai loại môi trường: môi trường ảo và môi trường vật lý. Do đó, các vấn đề có thể nảy sinh từ cả hai loại môi trường và ảnh hưởng đến khía cạnh vật lý (P), khía cạnh ảo (V) và bản thân sự vật (T). Hình 1 cho thấy các vector tác động có thể có trong Internet vạn vật.

Hình 1 - Các vector tác động có thể có trong Internet vạn vật

Tác động tiềm ẩn và các phương pháp ngăn chặn có thể khác nhau đáng kể đối với những vấn đề này

Các phân loại của các mối đe dọa bảo mật trong miền loT được liệt kê trong Bảng 1, phù hợp với các vector tác động được thể hiện trong Hình 1.

Mục đích của việc phân loại này là để xác định các mối đe dọa bảo mật nào có liên quan đến từng vector tác động theo các tiêu chí sau:

- Chúng chỉ diễn ra đối với những sự vật vật lý, có thể được kích hoạt bằng các giao diện ảo (tức là những vật nằm trong cả hai môi trường), do đó hỗ trợ giả định về Internet vạn vật như một yếu tố chính thúc đẩy vấn đề.

- Chúng có thể được kích hoạt từ xa mà không cần truy cập vật lý hoặc cục bộ vào sự vật, do đó cung cấp xác suất bổ sung của các cuộc tấn công như vậy trong thế giới được kết nối.

- Tác động của chúng có thể vượt ra ngoài tính bí mật, tính toàn vẹn và tính khả dụng của thông tin, do đó chứng tỏ nhiều phương pháp bảo mật máy tính không thể đối phó với chúng.

Chúng có thể gây ra các vấn đề an toàn chức năng và do đó cung cấp động lực để tìm ra cách chống lại chúng. Tiêu chuẩn này sẽ xem xét thêm những mối đe dọa phù hợp với tiêu chí được liệt kê ở trên.

Bảng 1 - Phân loại các mối đe dọa bảo mật máy tính trong Internet vạn vật dựa theo vector tác động

Các vector phát sinh từ môi trường ảo là các cuộc tấn công mạng có thể được thực hiện từ xa mà không cần truy cập vật lý. Các vector V-T và V-T-V thường được nghiên cứu kĩ lưỡng trong lĩnh vực bảo mật mạng và máy tính truyền thống. Các vector này không được đề cập chi tiết trong Tiêu chuẩn này.

Tuy nhiên, vector V-T-P nhắm vào môi trường vật lý vẫn chưa được nghiên cứu kĩ.

Tất cả các vấn đề có nguồn gốc từ hành vi của sự vật do triển khai không đúng cách hoặc do bị xâm phạm có thể được hiểu là các vấn đề an toàn thuần túy ở khía cạnh thông tin và chức năng (vector T-V và T-P tương ứng). Các vector này được đề cập chi tiết trong Tiêu chuẩn này.

Các vector P-T-P và P-T phát sinh trong môi trường vật lý nằm trong số những vector thường có khả năng gây hại cho sự vật và cơ sở hạ tầng xung quanh. Những mối nguy này thường được giảm thiểu bằng một loạt các biện pháp vật lý, tổ chức và răn đe. Các vector này không được đề cập chi tiết trong Tiêu chuẩn này.

Vector P-T-V đề cập các tác động đến an toàn thông tin bằng các giao diện vật lý thuần túy. Mặc dù các cuộc tấn công như vậy có thể quan trọng, nhưng chúng chỉ dành riêng cho miền hoặc môi trường loT của sự vật. Vector này không được đề cập chi tiết trong Tiêu chuẩn này.

Tất cả các mối đe dọa nhắm vào môi trường ảo có thể được ánh xạ vào bộ ba CIA để xác định các mục tiêu bảo mật và các biện pháp bảo mật thích hợp cần được thực hiện để chống lại các cuộc tấn công. Đồng thời, các yếu tố có thể gây nguy hiểm cho quá trình vật lý, hoặc gây hại cho môi trường, hoặc thậm chí sức khỏe và tính mạng con người có thể khó được diễn giải theo ngữ cảnh của tính bí mật, tính toàn vẹn hoặc tính khả dụng của thông tin.

Dựa trên các loại vấn đề có thể xảy ra này trong loT, cần đặc biệt chú ý đến vector tác động V-T-P, phát hiện các điều kiện mà các phương pháp hiện có đang đảm bảo hành vi đúng đắn có thể không hiệu quả đối với tác động này và cần đề xuất một cách tiếp cận thích hợp để mô hình hóa mối đe dọa nhằm loại bỏ các rủi ro tính an toàn liên quan.

Điều đáng nói là vector tác động có thể được hiểu là V-T-P ngay cả khi kết quả của cuộc tấn công chỉ là thay đổi dữ liệu, nhưng ở đó các đối tượng vật lý cuối cùng bị hư hại do các quyết định hoặc hành động sai theo những dữ liệu này. Một ví dụ có thể là một vụ tai nạn máy bay do dữ liệu sai về độ cao trong điều kiện tầm nhìn kém và thời tiết khắc nghiệt.

Tiêu chuẩn này sẽ tập trung vào việc phân tích các mối đe dọa và các biện pháp liên quan đến vector tác động V-T-P.

Mặc dù các phương pháp đảm bảo hành vi sự vật an toàn trong một số lĩnh vực loT đã được biết và đã được áp dụng trong nhiều thập kỷ, nhưng các phương pháp này có thể không phải lúc nào cũng đưa ra những đảm bảo giống nhau trong trường hợp cố tình gây ra hành vi không đúng. loT có tiềm năng rộng rãi để thực hiện các thử nghiệm như vậy do khả năng truyền thông được cung cấp của hệ thống.

6  Các mối đe dọa bảo mật ảnh hưởng đến tính an toàn trong Internet vạn vật

Các mối đe dọa bảo mật ảnh hưởng đến tính an toàn nói chung sử dụng Vector tác động V-T-P gây ảnh hưởng đến môi trường vật lý (cụ thể là gây ra vi phạm an toàn) bằng cách khai thác các tính năng hoặc lỗ hổng bảo mật.

6.1  Các nguồn đe dọa bảo mật ảnh hưởng đến tính an toàn

Các nguồn đe dọa bảo mật ảnh hưởng đến tính an toàn nằm trong môi trường ảo. Các nguồn này có thể gây ra rủi ro cho cả những sai lầm không cố ý và sự lạm dụng có chủ ý đối với chức năng của sự vật.

Tập hợp các tác nhân độc hại tiềm ẩn bao gồm bắt kỳ tác nhân nào có thể truy cập vào nội dung bằng bất kỳ giao diện ảo nào. Kẻ tấn công bên ngoài truy cập từ xa vào hệ thống thường được coi là một ví dụ nổi bật cho mục đích này. Trên thực tế, bất kỳ tác nhân loT nào trong môi trường ảo và vật lý đều có thể được coi là nguồn có thể gây ra vấn đề, hoặc là kẻ địch.

Các hạn chế hơn nữa đối với danh sách các tác nhân độc hại được đặt ra tùy theo các giả định về mức độ đáng tin cậy của chúng, Vai trò của các giả định được giải thích chi tiết hơn trong Mục 6.3.

Do đó, không thể phân biệt được các nguồn tấn công từ bên trong môi trường ảo trong loT với các nguồn tấn công vào bảo mật của các hệ thống CNTT thuần túy. Những nguồn có thể ảnh hưởng đến môi trường vật lý là mối quan tâm đặc biệt đối với Tiêu chuẩn này.

6.2  Các tình huống đe dọa tính an toàn chức năng

Đối với các miền loT khác nhau, cách thức mà các khía cạnh vật lý của sự vật bị ảnh hưởng rõ ràng sẽ khác nhau. Điều đáng nói là nếu quá trình vật lý được điều khiển trực tiếp bằng các lệnh do một vật ảo phát ra; những lệnh này thường được kiểm tra để tránh tác hại trực tiếp. Do đó, các kịch bản, theo đó tính an toàn bị ảnh hưởng bởi các giao diện ảo, phải phức tạp hơn. Ví dụ: kẻ địch có thể sử dụng hai kênh độc lập để gây ra tác động không mong muốn (như một kênh để vô hiệu hóa các cơ chế bảo vệ và một kênh khác để đặt vật thể vào trạng thái không hợp lệ).

6.3  Yêu cầu để xác định các mối đe dọa bảo mật ảnh hưởng đến tính an toàn

Một kỹ thuật mô hình hóa mối đe dọa hiệu quả sẽ tính đến cả các lỗi hệ thống có thể xảy ra và các mối đe dọa mà kẻ địch có thể quan tâm. Việc xác định và lập mô hình mối đe dọa được sử dụng để tìm ra lỗ hổng nào của sự vật là nguy hiểm nhất và cách kẻ địch có thể lợi dụng chúng để vi phạm các khía cạnh bảo mật và gây hại (đặc biệt là đối với tính an toàn).

Thẩm định các kết quả xác định mối đe dọa phụ thuộc vào tính đúng đắn của các giả định đã đặt ra. Điều này đúng cho cả bảo mật thông tin và an toàn chức năng. Đặc biệt, nếu các cơ chế an toàn dựa trên hành vi của tác nhân được giả định là hợp lý (thậm chí có tính đến các lỗi không cố ý), thì vi phạm tính an toàn có thể do tác nhân cố ý gây ra. Các sự cố bảo mật cũng thường xảy ra theo một kịch bản sử dụng hệ thống không lường trước được. Kẻ địch phá vỡ các giả định được đưa ra trong quá trình tạo mô hình mối đe dọa và triển khai cơ chế bảo mật để vượt qua cơ chế này.

Việc xác định các mối đe dọa bảo mật ảnh hưởng đến tính an toàn yêu cầu:

- Việc sửa đổi các giả định do các kỹ sư an toàn đưa ra theo quan điểm bảo mật.

- Xem xét các điểm yếu có thể có trong các thành phần bảo vệ.

- Sử dụng cách tiếp cận cho phép thống nhất các mối đe dọa bảo mật và mối nguy an toàn trong một mô tả có cấu trúc (có thể chuẩn tắc).

6.4  Các biện pháp an toàn và cách chúng giảm thiểu các mối đe dọa

Mặc dù các yêu cầu tính an toàn được đặt ra bởi các sự vật trên các lĩnh vực loT có thể khác nhau đáng kể, nhưng nhìn chung các điều khoản tính an toàn cho các ứng dụng đa dạng bao gồm cơ chế giám sát và thực thi. Phân loại đơn giản này cũng bao gồm các trường hợp cực đoan. Nếu cơ chế an toàn được định hướng nhiều hơn vào việc đặt sự vật ở trạng thái an toàn, thì việc giám sát chỉ đảm bảo rằng điều kiện để thực thi bảo vệ được đáp ứng. Nếu sự can thiệp vào quá trình là không mong muốn hoặc không hợp lý, thì việc giám sát có thể là cơ chế duy nhất theo dõi các thông số an toàn.

Trong một số trường hợp, Vector tác động V-T-P có thể được loại bỏ một cách hiệu quả bằng các biện pháp thực thi an toàn được thiết kế ban đầu cho Vector T-P; nhưng trong những trường hợp khác, điều này sẽ không thể thực hiện được. Việc phân tích các trường hợp khác như vậy cho thấy những lý do sau dẫn đến sự kém hiệu quả này:

- Khả năng giả mạo hoặc bỏ qua các giới hạn an toàn. Các biện pháp an toàn thường không tìm cách che đậy khả năng vi phạm có chủ ý. Các vi phạm mà họ giải quyết được coi là tai nạn hoặc tập hợp các sự trùng hợp.

Việc khai thác các điểm yếu của các cơ chế an toàn giúp làm cho các hành động của kẻ địch có vẻ an toàn trong khi chúng thực ra là không. Vì mục đích này, kẻ địch đưa dữ liệu được hình thành cụ thể làm đầu vào của hệ thống để đánh lừa các thuật toán xác thực.

- Tấn công vào các cơ chế an toàn được triển khai riêng biệt. Việc thực hiện các cơ chế an toàn bởi một bên độc lập và lắp đặt tách biệt khỏi hệ thống được kiểm soát sẽ giảm nguy cơ xảy ra các lỗi do nguyên nhân chung này. Đồng thời, kẻ địch có thể xâm phạm các cơ chế giám sát và thực thi an toàn độc lập nếu chúng không được bảo vệ đúng cách.

6.5  Các biện pháp bảo mật

Khi hiểu rằng một cuộc tấn công tạo ra một dữ liệu đầu vào đặc biệt (để khai thác lỗ hổng) nhằm đặt hệ thống vào trạng thái bất thường (không bảo mật) trong các điều kiện cụ thể, hai phương pháp chung để giữ hệ thống ở trạng thái bảo mật có thể được mô tả như sau:

- Xác thực dữ liệu đầu vào. Kết quả của việc xác thực này, dữ liệu đầu vào hoặc dữ liệu được xử lý bởi hệ thống được kết nối có thể được sửa đổi để phù hợp với các quy tắc đã thiết lập hoặc nỗ lực tương tác thích hợp với hệ thống có thể bị từ chối.

- Kiểm soát bảo mật của hệ thống hoặc môi trường của nó (kiểm soát trạng thái bảo mật). Kết quả của việc kiểm soát này, hệ thống, các thành phần hoặc dữ liệu của nó có thể bị buộc phải trở lại trạng thái đáp ứng các yêu cầu bảo mật cần thiết.

Các phương pháp này được áp dụng phổ biến cho tất cả các loại hệ thống và phần mềm. Một số giải pháp bảo vệ có thể thực hiện các phương pháp này cùng nhau. Ví dụ, các giải pháp chống phần mềm độc hại có thể sử dụng phát hiện chữ ký như một phương pháp xác thực đầu vào và thực hiện các hạn chế, đây là một loại kiểm soát trạng thái hệ thống. Bất kỳ phương pháp bảo vệ kỹ thuật nào cũng có thể được hiểu là một loại xác thực đầu vào hoặc kiểm soát trạng thái bảo mật.

Trong bối cảnh loT, các giải pháp và phương pháp bảo vệ thông thường có thể không hiệu quả do những lý do sau:

- Không có xác thực dữ liệu đầu vào hoặc khả năng bỏ qua nó. Kẻ địch có thể sử dụng các kỹ thuật đặc biệt và khai thác các tính năng của hệ thống theo cách không thích hợp để ảnh hưởng đến các khía cạnh vật lý của hoạt động hệ thống. Hoạt động này có thể không nằm trong cơ chế giám sát đầu vào hoặc không được phát hiện bằng các phương pháp xác thực do thiếu kiến thức về bản chất vật lý của sự vật. Ngoại trừ những thứ dựa trên nền tảng có mục đích đặc biệt, phần mềm bảo vệ có thể không tồn tại.

- Xung đột về bảo mật và an toàn, hoặc về bảo mật và chức năng. Các biện pháp tích cực được thực hiện để ngăn chặn vi phạm bảo mật có thể dẫn đến việc can thiệp có hại vào các quy trình đang chạy. Sự can thiệp như vậy có thể không được chấp nhận đối với một số quá trình vật lý yêu cầu thực hiện liên tục. Hầu hết các kỹ sư an toàn thích cắt bỏ các biện pháp bảo mật để xác nhận bảo mật thụ động.

- Tấn công vào các cơ chế bảo mật. Các cơ chế bảo mật, cả riêng biệt và tích hợp, cũng có thể là mục tiêu tấn công. Các kiểm soát bảo mật riêng biệt có nhiều khả năng bị tấn công hơn. Đồng thời, đối với nhiều ứng dụng, bảo mật được coi là yếu tổ phụ được phép tắt trong bất kỳ tình huống nghi ngờ nào. Kẻ địch có thể khai thác yếu tố này để xâm phạm bảo mật.

6.6  Danh sách các mối đe dọa bảo mật loT

Đối với Internet vạn vật, các trường hợp sử dụng để duy trì hoạt động an toàn và bảo mật của sự vật có thể được tóm tắt như trong Hình 2. Hình này mở rộng mô hình trường hợp sử dụng chung được mô tả trong [TCVN 13115:2020].

Hình 2 - Mô hình trường hợp sử dụng chung của loT được mở rộng với các cơ chế bảo mật và an toàn

Những lỗ hổng liên quan đến việc sử dụng các biện pháp an toàn và bảo mật thông thường trong miền loT có thể dẫn đến các mối đe dọa bảo mật được liệt kê trong Bảng 2.

Bảng 2 - Danh sách các mối đe dọa bảo mật trong loT có khả năng ảnh hưởng đến tính an toàn

7  Khả năng bảo mật để hỗ trợ tính an toàn trong Internet vạn vật

7.1  Danh sách ban đầu về khả năng bảo mật

Các khả năng bảo mật và bảo vệ quyền riêng tư sau đây được liệt kê trong mục 8.7 của [ITU-T Y.4401]:

- Khả năng bảo mật truyền thông [C-7-1]

- Khả năng bảo mật quản lý dữ liệu [C-7-2]

- Khả năng bảo mật cung cấp dịch vụ [C-7-3]

- Khả năng bảo mật tích hợp bảo mật [C-7-4]

- Khả năng bảo mật xác thực và ủy quyền lẫn nhau [C-7-5]

- Khả năng bảo mật kiểm toán bảo mật [C-7-6]

Trong Tiêu chuẩn này, những khả năng bảo mật cụ thể được liệt kê ở trên có thể hỗ trợ tính an toàn trong Internet vạn vật sẽ được nghiên cứu thêm. Sự xem xét này có giá trị đối với việc triển khai Internet vạn vật an toàn hơn, bảo mật hơn và là một ví dụ về các khả năng loT cơ bản để phân tích và thiết kế các yêu cầu kỹ thuật cho những sự vật khác nhau trên các lĩnh vực loT.

7.2  Thuyết minh về các khả năng bảo mật để giải quyết các mối đe dọa

7.2.1  Khả năng bảo mật truyền thông [C-7-1]

Cung cấp khả năng xác thực đầu vào ở lớp kênh giao tiếp, bao gồm kiểm tra các nguồn, giao thức và luồng thông tin giữa những vật được kết nối, để giảm thiểu các mối đe dọa [T-3].

Cung cấp khả năng truyền thông tin cậy, bao gồm khả năng chống tràn kênh và tấn công từ chối dịch vụ, để giảm thiểu các mối đe dọa [T-1], [T-2], [T-5].

Duy trì tính toàn vẹn và tính xác thực của các lệnh và dữ liệu ở lớp kênh truyền thông, bao gồm mã ha dữ liệu giao thức, để giảm thiểu các mối đe dọa [T-2], [T-3], [T-5].

7.2.2  Khả năng bảo mật quản lý dữ liệu [C-7-2]

Cung cấp khả năng xác thực đầu vào ở lớp diễn giải dữ liệu, bao gồm kiểm tra các lệnh cho các ứng dụng loT, các tham số và ngữ nghĩa của chúng (để xác định hiệu ứng vật lý có thể xảy ra), để giảm thiểu các mối đe dọa [T-3].

Duy trì tính toàn vẹn và không từ chối của các lệnh và dữ liệu ở lớp ứng dụng loT, bao gồm mã hóa dữ liệu ứng dụng, tính toán tổng kiểm tra và ký để giảm thiểu các mối đe dọa [T-3], [T-4], [T-5].

7.2.3  Khả năng bảo mật cung cấp dịch vụ [C-7-3]

Cung cấp cơ chế giám sát như (các) dịch vụ chuyên dụng dựa trên hợp đồng, bao gồm việc tách biệt dữ liệu thu được và phân tích các thành phần được giám sát, cách ly việc thực thi chính sách khẩn cấp và cơ chế báo động, cách ly và thực hiện độc lập toàn bộ cơ chế giám sát, tạo điều kiện cho giảm thiểu các mối đe dọa [T-3], [T-4], [T-5].

7.2.4  Khả năng bảo mật tích hợp bảo mật [C-7-4]

Cung cấp khả năng tích hợp các quy tắc và chính sách khác nhau để xác thực đầu vào ở các lớp khác nhau nếu các công nghệ đa dạng được sử dụng bởi các lớp này, tạo điều kiện giảm thiểu các mối đe dọa [T-1], [T-2], [T-3], [T-5].

Cung cấp khả năng tích hợp các quy tắc và chính sách khác nhau để kiểm soát bảo mật ở các lớp khác nhau nếu các công nghệ đa dạng được sử dụng bởi các lớp này, tạo điều kiện giảm thiểu các mối đe dọa [T-1], [T-2], [T-4], [T-5].

7.2.5  Khả năng bảo mật xác thực và ủy quyền lẫn nhau [C-7-5]

Cung cấp khả năng xác thực và ủy quyền cho các chủ thể trước khi họ cố gắng quản lý và kiểm soát các cơ chế bảo vệ, tạo điều kiện giảm thiểu các mối đe dọa [T-2], [T-5].

8.2.6  Khả năng bảo mật kiểm toán bảo mật [C-7-6]

Cung cấp khả năng giám sát các nỗ lực quản lý và kiểm soát các cơ chế bảo vệ, giảm thiểu các mối đe dọa [T-2], [T-5].

Cung cấp khả năng phát hiện tấn công, bao gồm phát hiện thăm dò, tấn công cơ sở hạ tầng, tấn công từ xa, tấn công nội gián và lạm dụng hệ thống, để giảm thiểu các mối đe dọa [T-1], [T-3].

Cung cấp khả năng giám sát tải trên thiết bị và các kênh liên lạc, bao gồm phát hiện cả quá tải không chủ ý và tấn công từ chối dịch vụ, để giảm thiểu các mối đe dọa [T-1], [T-2], [T-5].

Cung cấp khả năng phát hiện các cuộc tấn công vào khả năng phục hồi và phản ứng để giảm thiểu các mối đe dọa [T-1], [T-2], [1-5],

Các chi tiết khác để lập bản đồ các mối đe dọa bảo mật với các khả năng bảo mật có thể được cung cấp trong Phụ lục A.

Phụ lục A

(Tham khảo)

Phát triển các yêu cầu theo các mối đe dọa đã xác định

A.1  Đèn giao thông thông minh

Ban đầu hệ thống này được thiết kế như một phần cứng độc lập, giờ đây các tín hiệu giao thông hiện đang trở thành một phần của sự phức hợp của các hệ thống kết nối mạng. Bộ điều khiển giao thông không chỉ sử dụng lịch trình cụ thể về thời gian mà còn phân tích dữ liệu được cung cấp bởi các cảm biến, giao tiếp với những bộ điều khiển khác được đặt trên các nút giao thông gần đó và hỗ trợ điều khiển từ xa để điều tiết giao thông tốt hơn.

Do đó, hệ thống đèn giao thông thông minh nên sử dụng các khả năng bảo mật để đảm bảo tính an toàn tối đa cho giao thông đường bộ do hệ thống này điều phối.

Một hệ thống đèn giao thông thông minh điển hình, như trong Hình A.1 của [5], bao gồm một hoặc đôi khi nhiều hơn, bộ điều khiển giao thông cho mọi giao lộ, số lượng tín hiệu giao thông bắt buộc, cảm biến để phát hiện xe và kiểm tra các giao lộ (vòng cảm ứng, vi sóng, siêu âm, cảm biến radar và camera giám sát), các đơn vị truyền thông có dây hoặc không dây và các đơn vị kiểm soát an toàn tách rời hoặc tích hợp trên bộ điều khiển giao thông.

Bộ điều khiển giao thông về loT là một ‘vật’ chính tham gia vào việc điều tiết giao thông. Bộ điều khiển giao thông xác định trạng thái của đèn giao thông do đó có khả năng ảnh hưởng đến sự an toàn của đường giao thông.

Hình A.1 Hệ thống đèn giao thông thông minh

An toàn cho cả đèn giao thông được kết nối và độc lập thường được cung cấp bằng cách lắp đặt một đơn vị quản lý sự cố đặc biệt là cơ chế an toàn phần cứng. Bộ phận này có nhiệm vụ buộc bộ điều khiển và các tín hiệu giao thông thích hợp vào trạng thái an toàn trong trường hợp phát hiện ra cấu hình nguy hiểm tiềm ẩn. Do đó, cơ chế hoạt động như một bộ lọc chỉ cho phép các trạng thái được xác định trước và thay đổi tất cả các trạng thái khác thành trạng thái đã biết. Trong hầu hết các trường hợp, thiết bị chỉ ghi đè bộ điều khiển và đặt nó ở trạng thái mặc định (tức là đèn đỏ nhấp nháy), đảm bảo rằng mức độ an toàn giảm xuống không quá mức tối thiểu có thể chấp nhận được. Việc đưa bộ điều khiển trở lại hoạt động bình thường có thể yêu cầu can thiệp bằng tay. Đây là trường hợp thực hiện quản lý và điều khiển từ xa cơ chế an toàn, cơ chế này có thể trở thành mục tiêu tấn công.

Tập hợp các mối đe dọa bảo mật ảnh hưởng đến tính an toàn được đưa ra đối với bộ điều khiển giao thông trong Bảng A.1, xem xét rằng mức tác động tối thiểu có thể chấp nhận được thể hiện việc đưa đèn vào trạng thái mặc định (tức là đèn đỏ nhấp nháy).

Các mức tác động sau được đặt cho các mối đe dọa:

- Cao: giảm mức độ an toàn xuống mức không thể chấp nhận được, tức là có thể đặt đèn giao thông ở giao lộ xuống mức nguy hiểm;

- Trung bình: hạ cấp độ an toàn xuống mức tối thiểu có thể chấp nhận được, tức là có thể đặt đèn giao thông ở ngã tư về cấu hình mặc định;

Bảng A.1 - Các mối đe dọa bảo mật ảnh hưởng đến tính an toàn của bộ điều khiển giao thông

Mặc dù mức độ ảnh hưởng của các mối đe dọa liên quan đến việc vô hiệu hóa các cơ chế an toàn là cao, nhưng các mối đe dọa này có xác suất thấp. Các mối đe dọa khác với mức độ tác động trung bình có thể dẫn đến việc đặt bộ điều khiển vào trạng thái an toàn đã biết. Mặt khác, bất kỳ sự hạ cấp nào của mức an toàn cần được coi là sự kiện không mong muốn có thể xảy ra và do đó cần được ngăn chặn. Vì những lý do này, tất cả các mối đe dọa được mô tả phải được giải quyết bằng các yêu cầu bảo mật thích hợp.

Bảng A.2 tóm tắt các chi tiết cần thiết để thiết lập các yêu cầu về khả năng chống lại phần mềm điều khiển giao thông đối với các mối đe dọa bảo mật có thể ảnh hưởng đến tính an toàn. Nó chứa các tham chiếu đến mối đe dọa, thành phần hệ thống hoặc kênh có thể bị tấn công, các giả định có thể không hợp lệ và do đó tạo điều kiện cho một cuộc tấn công, khiếm khuyết hoặc lỗ hổng có khả năng bị khai thác, các biện pháp đối phó trước đó và các yêu cầu để chống lại một cuộc tấn công.

Dựa trên kiến thức về các chi tiết cụ thể từ một hệ thống đèn giao thông thông minh nhất định, có thể tiến hành phân tích sâu hơn để có được các yêu cầu cụ thể cho hệ thống này. Một số giả định có thể được loại bỏ, các chi tiết khác được làm rõ và sau đó các yêu cầu có thể được tinh chỉnh cho đến khi có được đặc điểm kỹ thuật chi tiết về các biện pháp bảo vệ cho hệ thống đã cho.

Bảng A.2 - Các yêu cầu bảo mật cho bộ điều khiển giao thông

A.2  Hệ thống điều khiển công nghiệp

Giám sát tính an toàn của hệ thống điều khiển công nghiệp thường được thực hiện trong môi trường vật lý. Do sự đa dạng của các hệ thống điều khiển công nghiệp, việc triển khai các cơ chế giám sát tính an toàn như vậy có thể thay đổi từ việc hoàn toàn không có đến việc triển khai các hệ thống thiết bị an toàn có độ an toàn cao (SIS). Các hệ thống như vậy được thực hiện chủ yếu để đảm bảo an toàn chức năng trong quá trình thực hiện. Hệ thống thiết bị an toàn phải được triển khai độc lập với tất cả các hệ thống điều khiển khác điều khiển cùng một thiết bị để đảm bảo chức năng SIS không bị tổn hại. Hầu hết các kỹ sư an toàn không muốn có sự tích hợp nào giữa hệ thống an toàn và điều khiển, như được thể hiện ở khối 'Giám sát môi trường' và 'Thực thi an toàn' trong Hình A.2. Thực thi an toàn nhận dữ liệu từ các cơ chế giám sát được triển khai độc lập hoặc từ hệ thống điều khiển công nghiệp và thực hiện các hành động cần thiết đề giữ cho hệ thống hoạt động trong các điều kiện cần thiết.

Đồng thời, ngay cả đối với những khu vực có độ nguy hiểm cao, không phải cơ sở nào cũng tuân thủ việc phân tách an toàn và điều khiển chặt chẽ đề bảo vệ an toàn. Cách tiếp cận đối với một công ty cụ thể phụ thuộc vào chiến lược kinh doanh và khả năng chấp nhận rủi ro. Nếu an toàn là ưu tiên hàng đầu bằng mọi giá thì các hệ thống điều khiển và an toàn riêng biệt vẫn là lựa chọn tốt nhất, trong khi việc áp dụng nền tảng tích hợp các hệ thống kiểm soát và an toàn có thể được ưu tiên hơn để tiết kiệm tối đa chi phí.

Vector tác động của môi trường vật lý từ bên trong môi trường thông tin ảo được mô tả trong Hình A.2. Các cơ chế bảo vệ chung (xác thực đầu vào, giám sát môi trường và hệ thống) cũng được đặt trong Hình A.2.

Hình A.2 - Vector tác động V-T-P với các cơ chế bảo vệ có thể có

Các mối đe dọa được đề cập có thể được giải thích cho lĩnh vực công nghiệp của loT như được mô tả trong Bảng A.3.

Bảng A.3 - Các mối đe dọa bảo mật ảnh hưởng đến tính an toàn của hệ thống điều khiển công nghiệp

Các mối đe dọa có liên quan đến sự thỏa hiệp của các cơ chế an toàn, có khả năng ảnh hưởng đến mức độ an toàn cao, trong khi các mối đe dọa khác có thể có mức rủi ro trung bình vì chúng được giảm thiểu một phần bởi các cơ chế an toàn.

Bảng A.4 tóm tắt các dữ liệu cần thiết để thiết lập các yêu cầu đối với hệ thống điều khiển công nghiệp nhằm chống lại các mối đe dọa bảo mật có thể ảnh hưởng đến tính an toàn. Nó chứa các tham chiếu đến mối đe dọa, thành phần hệ thống hoặc kênh có thể bị tấn công, các giả định có thể không hợp lệ và do đó tạo điều kiện cho một cuộc tấn công, khiếm khuyết hoặc lỗ hổng có khả năng bị khai thác, các biện pháp đối phó trước đó và các yêu cầu để chống lại một cuộc tấn công.

Dựa trên kiến thức về các chi tiết cụ thể từ một hệ thống nhất định, có thể tiến hành phân tích sâu hơn để có được các yêu cầu cụ thể cho hệ thống này. Một số giả định có thể được loại bỏ, các chi tiết khác được làm rõ và sau đó các yêu cầu có thể được tinh chỉnh cho đến khi có được đặc tả chi tiết về các biện pháp bảo vệ cho hệ thống đã cho.

Bảng A.4 - Yêu cầu bảo mật đối với hệ thống điều khiển công nghiệp

A.3  Thiết bị đeo thông minh cho an toàn công nghiệp và quản lý năng suất

Các thiết bị đeo thông minh được kết nối là một trong những công nghệ mó’i nổi trong các ứng dụng công nghiệp của loT, Có hai mục tiêu chính cho việc sử dụng các thiết bị này: thứ nhất để giám sát tại chỗ và hỗ trợ thông tin của kỹ sư vận hành được trang bị (các) thiết bị và thứ hai là để giám sát trung tâm của thiết bị, quy trình và điều kiện an toàn bao gồm trạng thái của công nhân sử dụng dữ liệu được cung cấp bởi (các) thiết bị.

Đối với mục đích giám sát và kiểm soát tại chỗ, các thiết bị đeo thông minh được kết nối, chẳng hạn như kính hoặc mũ bảo hiểm được kết hợp tùy chọn với các cảm biến có thể đeo được, tận dụng lợi thế của công nghệ thực tế tăng cường. Công nghệ này cho phép các kỹ sư vận hành chồng các bản đồ, giản đồ và hình ảnh nhiệt để "nhìn xuyên qua” các bức tường, đường ống và các vật thể rắn khác. Đối với mục đích giám sát trung tâm, các thiết bị đeo thông minh được kết nối truyền phát video, giao tiếp bằng giọng nói, vị trí của công nhân và thông tin từ các cảm biến tùy chọn đến nền tảng điều khiển. Các thiết bị này có khả năng cung cấp trong thời gian thực trạng thái của công nhân/công trường, các điểm chính xác trên bản đồ, chức năng giao tiếp bằng giọng nói và thông tin tùy chọn như nhịp tim của công nhân hoặc điều kiện môi trường.

Các lợi thế khác cũng tạo điều kiện cho sự phổ biến ngày càng tăng của các thiết bị đeo thông minh tại các cơ sở công nghiệp. Không cần bộ đàm hoặc điện thoại di động trong trường hợp sử dụng mũ bảo hiểm thông minh, do đó, nó cho phép bạn rảnh tay và tăng tính an toàn cho cá nhân. Khả năng hợp tác qua video với các chuyên gia ở các địa điểm xa giúp sửa chữa nhanh hơn và tiết kiệm chi phí đưa chuyên gia đến địa điểm để trợ giúp. Nhân viên tại các địa điểm từ xa có thể giao tiếp và chia sẻ video về những gì họ nhìn thấy với các nhân viên có kinh nghiệm để nhận được lời khuyên về cách chẩn đoán và khắc phục sự cố. Bằng cách này, các doanh nghiệp có thể cải thiện hiệu quả chi phí của dịch vụ thực địa và hoạt động từ xa của họ bằng cách sử dụng tỷ lệ lao động ít kinh nghiệm hơn so với những người hoặc chuyên gia có kinh nghiệm, do đó tiết kiệm chi phí lao động.

Video được phát trực tuyến có thể được lưu trữ làm bằng chứng cho thấy công việc được thực hiện chính xác hoặc mọi thứ đều ồn trong quá trình kiểm tra. Các bản ghi video như vậy có thể có giá trị nếu khách hàng đưa ra cáo buộc chống lại công ty dịch vụ hiện trường. Bản ghi video cũng rất quan trọng đối với các ngành khác, đặc biệt là người điều chỉnh bảo hiểm, người thẩm định bất động sản, thanh tra xây dựng và người giao hàng để chứng minh việc giao hàng trọn gói.

Các mối quan tâm liên quan đến an toàn sau đây cùng tồn tại với các thiết bị đeo thông minh được kết nối tại các cơ sở công nghiệp.

1. Cả giám sát tại chỗ và giám sát trung tâm đều yêu cầu cung cấp dữ liệu liên tục để phân tích và phản ứng ngay lập tức đối với các trường hợp khẩn cấp có thể xảy ra. Một trong những ưu điểm của thiết bị đeo thông minh tại các cơ sở công nghiệp là giảm thời gian phản ứng của người lao động có kinh nghiệm. Ví dụ, tầm nhìn nhiệt cung cấp cho người lao động các đặc tính nhiệt của các vật thể hoặc hạng mục tại nơi làm việc cần được bảo dưỡng hoặc giám sát bổ sung và người lao động được trang bị khả năng kiểm soát thích hợp có thể khắc phục sự cố ngay lập tức.

Trong trường hợp các thiết bị đeo được kết nối, dữ liệu giám sát được phân phối qua các kênh không dây sẽ bị tấn công. Nếu tính toàn vẹn và tính xác thực của dữ liệu không được cung cấp, dữ liệu giả mạo được đưa vào bởi kẻ địch độc hại và phản ứng thích hợp của nhân viên đối với những dữ liệu này có thể đe dọa thiết bị, quy trình và thậm chí gây ra các nguy cơ về an toàn. Sự hiện diện thực tế của kẻ địch tại cơ sở là không bắt buộc; cuộc tấn công có thể được thực hiện nếu anh ta có thể đi qua đường dẫn trong môi trường ảo để truy cập thiết bị. Điều này có thể xảy ra, chẳng hạn, nếu thiết bị có giao diện để bảo trì từ xa.

2. Thông thường, các thiết bị đeo thông minh được coi là thiết bị bảo vệ cá nhân (PPE) nhằm giảm mức độ tiếp xúc của người lao động đối với các mối nguy khi các biện pháp kiểm soát kỹ thuật và kiểm soát hành chính không khả thi hoặc không hiệu quả đề giảm những rủi ro này xuống mức có thể chấp nhận được. Ví dụ, tầm nhìn nhiệt trang bị cho người dùng khả năng xem dữ liệu nhiệt độ trong môi trường thế giới thực của họ. Điều này ngăn chúng tương tác với thứ gì đó ở nhiệt độ không an toàn. Đồng thời, bất kỳ PPE nào cũng có hạn chế nghiêm trọng là nó không loại bỏ được mối nguy hiểm tại nguồn và có thể khiến nhân viên tiếp xúc với mối nguy hiểm nếu thiết bị bị lỗi. Đặc biệt, lỗi này có thể xảy ra trong trường hợp bị tấn công thông qua các giao diện truyền thông của thiết bị này.

Đây là trường hợp để phân tích bảo mật và mô hình hóa mối đe dọa.

Ví dụ này không cải tiến loại thiết bị đeo cũng như không mô tả các giao diện cụ thể và các loại công nghệ truyền thông. Trong khi bao gồm toàn bộ phạm vi thiết bị, ví dụ này không đề cập chi tiết các mối đe dọa và chỉ cung cấp ước tính sơ bộ về tác động có thể xảy ra.

Các mức độ ảnh hưởng đến an toàn sau đây được xem xét:

- Tác động cao: dữ liệu được cung cấp bởi thiết bị đeo thông minh cho nhân viên trên công trường hoặc cho hệ thống giám sát trung tâm, bị thay đổi, giả mạo hoặc chứa thông tin sai lệch do một số lý do khác có hại.

- Tác động trung bình: thiết bị đeo thông minh không có khả năng cung cấp dữ liệu cho nhân viên tại chỗ hoặc cho hệ thống giám sát trung tâm, hoặc không thể làm như vậy trong khung thời gian được yêu cầu, do sự can thiệp vào hoạt động của nó hoặc trong liên lạc và cơ sở hạ tầng xung quanh.

- Tác động thấp: dữ liệu được cung cấp bởi thiết bị đeo thông minh, chẳng hạn như thông số quy trình, luồng video, trạng thái của công nhân trên công trường bị tiết lộ cho bên thứ ba trái phép.

Do đó, các mức tác động được thiết lập tùy theo tính toàn vẹn, tính sẵn có và tính bí mật của dữ liệu do thiết bị cung cấp. Đối với một số trường hợp, mức độ tác động có thể được xác định theo một số cách khác. Đối với ví dụ chung này, người ta tin rằng việc cung cấp dữ liệu giả mạo nguy hiểm cho sự an toàn hom là ngăn những dữ liệu này bị truy cập và do đó, việc ngăn chặn việc tiết lộ dữ liệu có thể có ít ưu tiên hơn (vì sự an toàn) so với việc giữ nguyên tính toàn vẹn và tính sẵn sàng của nó.

Bảng A.5 liệt kê các mối đe dọa bảo mật ảnh hưởng đến sự an toàn đối với thiết bị đeo thông minh, trong khi Bảng A.6 liệt kê các yêu cầu bảo mật đối với các thiết bị đeo thông minh được kết nối để an toàn công nghiệp và quản lý năng suất.

Bảng A.5 - Các mối đe dọa bảo mật ảnh hưởng đến sự an toàn của thiết bị đeo thông minh

Bảng A.6 - Yêu cầu bảo mật đối với thiết bị đeo thông minh được kết nối cho an toàn công nghiệp và quản lý năng suất