Nghiên cứu an ninh mạng trên đường truyền vô tuyến trong một mạng IOT dân dụng

Nghiên cứu an ninh mạng trên đường truyền vô tuyến trong một mạng IOT dân dụng Nghiên cứu an ninh mạng trên đường truyền vô tuyến trong một mạng IOT dân dụng Nghiên cứu an ninh mạng trên đường truyền vô tuyến trong một mạng IOT dân dụng luận văn tốt nghiệp,luận văn thạc sĩ, luận văn cao học, luận văn đại học, luận án tiến sĩ, đồ án tốt nghiệp luận văn tốt nghiệp,luận văn thạc sĩ, luận văn cao học, luận văn đại học, luận án tiến sĩ, đồ án tốt nghiệp

TRƯỜNG ĐẠI HỌC BÁCH KHOA HÀ NỘI

LUẬN VĂN THẠC SĨ

Nghiên cứu an ninh mạng trên đường

VŨ VIỆT ĐỨC Ngành Kỹ thuật Viễn Thông

Giảng viên hướng dẫn: PGS TS Trương Thu Hương

HÀ NỘI, 10/2020

Chữ ký của GVHD

CỘNG HÒA XÃ HỘI CHỦ NGHĨA VIỆT NAM

Độc lập – Tự do – Hạnh phúc

BẢN XÁC NHẬN CHỈNH SỬA LUẬN VĂN

THẠC SĨ

Họ và tên tác giả luận văn: Vũ Việt Đức

Đề tài luận văn: Nghiên cứu an ninh mạng trên đường truyền vô tuyến trong một mạng IOT dân dụng

Chuyên ngành: Kỹ Thuật Viễn Thông

Mã số SV: CA190151

Tác giả, Người hướng dẫn khoa học và Hội đồng chấm luận văn xác nhận tác giả đã sửa chữa, bổ sung luận văn theo biên bản họp Hội đồng ngày 30/10/2020 với các nội dung sau:

- Bổ sung và sắp xếp các thuật ngữ viết tắt theo thứ tự A-B-C

- Hiệu chỉnh lỗi soạn thảo và in ấn

- Việt hóa và vẽ lại các hình vẽ mờ

- Bổ sung số liệu về lưu lượng tấn công

- Đưa ra cơ chế phát hiện tấn công

Ngày 16 tháng 11 năm 2020

PGS TS Trương Thu Hương Vũ Việt Đức

CHỦ TỊCH HỘI ĐỒNG

PGS TS Nguyễn Tài Hưng

LỜI CẢM ƠN

Lời đầu tiên, tôi xin được gửi lời cảm ơn tới Viện Điện tử - Viễn thông, Đại học Bách Khoa Hà Nội, nơi đã tạo điều kiện và cơ hội cho tôi được tham gia học tập để hoàn thành chương trình cao học bậc Thạc Sỹ Xin được gửi lời cảm ơn chân thành và sâu sắc nhất tới PGS TS Trương Thu Hương, người đã tận tình định hướng, giúp đỡ và hướng dẫn tôi trong quá trình thực hiện luận văn này Củng cố thêm các kiến thức chuyên ngành cũng như phương pháp làm việc và nghiên cứu Bên cạnh đó cũng xin gửi lời cảm ơn tới nhóm các bạn sinh viên của phòng nghiên cứu Future Internet Lab, Viện Điện tử - Viễn thông đã tạo điều kiệu cho tôi được sử dụng cơ sở vật chất của Lab để phục vụ trong quá trình hoàn thiện luận văn, và những hỗ trợ và giúp đỡ trong quán trình xây dựng mô hình giả lập để lấy các kết quả đánh giá thực tế Nhờ có những sự giúp đỡ này đã giúp tôi hoàn thiện luận văn như ngày hôm nay

Xin chân thành cảm ơn!

Hà Nội, ngày 16 tháng 11 năm 2020

Học viên

Vũ Việt Đức

LỜI CAM ĐOAN

Tôi là Vũ Việt Đức, mã học viên CA190151, học viên lớp cao học CH2019A Đai học Bách Khoa Hà Nội Người hướng dẫn là PGS TS Trương Thu Hương Tôi xin cam đoan toàn bộ nội dung của tôi được trình bày trong luận văn “Nghiên cứu an ninh mạng trên đường truyền vô tuyến trong một mạng IOT dân dụng” là kết quả của quá trình tìm hiểu và nghiên cứu của tôi, dưới sự hướng dẫn của PGS TS Trương Thu Hương, cùng với sự hỗ trợ và giúp đỡ của các thành viên của nhóm nghiên cứu về an ninh mạng và IoT trong phòng nghiên cứu Future Internet Lab , Viện Điện Tử - Viễn Thông, Đại học Bách Khoa Hà Nội Các số liệu và kết quả trong luận văn hoàn toàn là trung thực, phản ánh đúng kết quả thực tế Mọi thông tin trích dẫn đều tuân thủ quy định về sở hữu trí tuệ, các tài liệu tham khảo được liệt kê rõ nguồn gốc

Tôi xin chịu hoàn toàn trách nhiệm với những nội dung được viết trong luận văn này

Hà Nội, ngày 16 tháng 11 năm 2020

Người cam đoan

Vũ Việt Đức

TÓM TẮT LUẬN VĂN

IoT là mạng kết nối hàng tỷ thiết bị, với nền tảng là sự liên kết chặt chẽ, cốt lõi và giá trị của hệ thống là tập dữ liệu khổng lồ Có thể thấy rằng, hệ sinh thái IoT ngày càng da dạng và phát triển không ngừng Trong tương lai, tất cả các sự vật, thiết bị sẽ được kết nối với nhau và trở thành IoE (Internet of Everything) IoT thúc đẩy việc số hóa thông minh của các ngành, các tầng lớp xã hội, trở thành động lực thúc đẩy sự chuyển đổi số trên khắp thế giới, mang lại giá trị kinh

tế rất lớn

Bên cạnh đó, nó vẫn luôn tiềm ẩn những điểm yếu và nguy cơ về vấn đề bảo mật và an ninh mạng Một trong các nguyên nhân lớn nhất của điểm yếu này đến từ những hành vi kém bảo mật của người dùng trong môi trường mạng IoT,

vô hình chung tạo ra cơ hội cho các kẻ tấn công thực hiện ý đồ và có thể biến mình thành một nạn nhân ở trong cuộc tấn công đó Do đó, một hệ thống IoT đòi hỏi phải có cơ chế phát hiện các cuộc tấn công một cách chính xác, nhanh chóng

và kịp thời Bởi vầy để nghiên cứu tiếp cận vấn đề này, luận văn đưa ra hướng tiếp cận xây dựng một mô hình giả lập hệ sinh thái IoT với đầy đủ các thành phần cơ bản nhất, phục vụ cho quá trình đánh giá và khảo sát các vấn đề bảo mật của hệ thống IoT Cùng với đó là việc thực hiện giả lập lại một số kịch bản tấn công cũng như nhận diện tấn công trên mô hình đã xây sựng được đề xuất, phạm

vi luận văn tập trung vào loại tấn công TCP SYN Flood Các kết quả đạt được cho thấy các giải pháp và logic đưa ra hoàn toàn phù hợp với lý thuyết và thử nghiệm tốt trên mô hình xây dựng được

MỤC LỤC

LỜI CẢM ƠN i

LỜI CAM ĐOAN ii

TÓM TẮT LUẬN VĂN iii

DANH MỤC BẢNG BIỂU vi

DANH MỤC HÌNH VẼ vii

DANH MỤC KÝ HIỆU VÀ CHỮ VIẾT TẮT viii

PHẦN MỞ ĐẦU ix

CHƯƠNG 1 HÀNH VI NGƯỜI DÙNG VÀ VẤN ĐỀ AN NINH BẢO MẬT TRONG MẠNG IOT 1

1.1 Giới thiệu chung 1

1.2 Vấn đề an ninh bảo mật trong mạng IoT 3

1.2.1 Tổng quan về tấn công từ chối dịch vụ phân tán 6

1.2.2 Cơ chế hình thức tấn công TCP SYN Flood 9

1.3 Kết luận 12

CHƯƠNG 2 XÂY DỰNG GIẢ LẬP MỘT HỆ SINH THÁI IOT 13

2.1 Thành phần cơ bản của một hệ sinh thái IoT 13

2.1.1 Kiến trúc mạng IoT 13

2.1.2 Cơ sở hạ tầng 18

2.1.3 Giao thức truyền thông 20

2.1.4 Cloud và các dịch vụ 26

2.2 Đề xuất xây dựng mô hình giả lập 27

2.2.1 Tổng quan mô hình giả lập hệ thống IoT 27

2.2.2 Các thành vật lý của mô hình 29

2.2.3 Các giao thức kết nối 31

2.3 Kết luận 32

CHƯƠNG 3 GIẢ LẬP HÌNH THỨC TẤN CÔNG TỪ ĐẦU CUỐI NGƯỜI

DÙNG TRONG MẠNG IOT 33

3.1 Giả lập nguồn tấn công trong môi trường mạng IoT 33

3.2 Công cụ sử dụng xây dựng giả lập nguồn phát tấn công 35

3.2.1 TCPrewrite 35

3.2.2 TCPreplay 36

3.2.3 Resmon 37

3.2.4 Wireshark 38

3.3 Kết luận 38

CHƯƠNG 4 GIẢI PHÁP PHÁT HIỆN VÀ GIẢM THIỂU TẤN CÔNG 39

4.1 Phương pháp xây dựng giải pháp 39

4.1.1 Phân tích các tracefile dữ liệu mạng IoT 40

4.1.2 Cơ chế giảm thiểu luồng tấn công 46

4.2 Kết quả triển khai các kịch bản và đánh giá 46

4.2.1 Đánh giá hiệu năng của hệ thống 48

4.2.2 Đánh giá độ chính xác của phương pháp phát hiện và giảm thiểu tấn công 51 4.3 Kết luận 53

KẾT LUẬN 54

Kết luận chung 54

Hướng phát triển 54

TÀI LIỆU THAM KHẢO 56

DANH MỤC BẢNG BIỂU

Bảng 2.1 Luồng kết nối với QoS = 0[9] 24

Bảng 2.2 Luồng kết nối với QoS = 1[9] 24

Bảng 2.3 Luồng kết nối với QoS = 2[9] 25

Bảng 4.1 Thống kê lưu lượng tấn công TCP SYN Flood 42

Bảng 4.2 Số lượng gói tin với các cờ tương ứng 43

Bảng 4.3 Tỉ lệ các cặp quan hệ SYN/FIN, ACK/SYN 44

Bảng 4.4 Bảng thống kê số lượng gói tin với các cờ SYN, FIN 52

Bảng 4.5 Số lượng gói tin thuộc từng loại lưu lượng tại các điểm của hệ thống 52 Bảng 4.6 Tỉ lệ phát hiện chính xác các loại lưu lượng 53

DANH MỤC HÌNH VẼ

Hình 1.1 Các thành phần chính trong kiến trúc IoT[2] 2

Hình 1.2 Kiến trúc của mạng Botnet[3] 4

Hình 1.3 Phân loại tấn công DDoS 8

Hình 1.4 Cấu trúc TCP header 9

Hình 1.5 Quá trình bắt tay 3 bước của TCP 10

Hình 1.6 Kịch bản tấn công TCP SYN Flood 11

Hình 2.1 Kiến trúc tham chiếu WSO2[6] 14

Hình 2.2 Kiến trúc Microsoft Azure[7] 17

Hình 2.3 Raspberry Pi 3 19

Hình 2.4 Mô hình Master/Slave[13] 21

Hình 2.5 Giao thức CoAP[8] 22

Hình 2.6 Mô hình giao thức MQTT[9] 23

Hình 2.7 Mô hình hệ thống 28

Hình 2.8 Raspberry Pi 3 Model B+[11] 30

Hình 2.9 Thiết bị IoT với NodeMCU, cảm biến bụi mịn, nhiệt độ, độ ẩm và áp suất 31

Hình 2.10 Mosquitto trên Server 32

Hình 3.1 Mô hình hệ thống giả lập tấn công 34

Hình 3.2 Giao diện Wireshark 38

Hình 4.1 Phân bố thời gian tồn tại của các luồng (trạng thái bình thường) 40

Hình 4.2 Phân bố thời gian tồn tại của các luồng (trạng thái tấn công) 41

Hình 4.3 Số lượng các luồng trong trạng thái tấn công 42

Hình 4.4 Sơ đồ nhận biết tấn công 45

Hình 4.5 Hệ thống triển khai thực tế 47

Hình 4.6 Số lượng luồng đi qua Gateway trong hai trường hợp 49

Hình 4.7 Tài nguyên chiếm dụng trên Raspberry Pi trường hợp chưa có module 50

Hình 4.8 Tài nguyên chiếm dụng trên Pi 3 trong trường hợp có module 51

DANH MỤC KÝ HIỆU VÀ CHỮ VIẾT TẮT

Kí hiệu và

chữ viết tắt Thuật ngữ tiếng Anh Thuật ngữ tiếng Việt

CoAP Constrained Application

Protocol

Giao thức ứng dụng ràng buộc

DoS Denial of Services Tấn công từ chối dịch vụ

DDoS Distributed Denial of Services Tấn công từ chối dịch vụ

phân tán HTTP HyperText Transfer Protocol

IoT Internet of Things Mạng kết nối vạn vật

MQTT Message Queuing Telemetry

Transport

Truyền bản tin dùng cơ chế hàng đợi

QoS Quality of Service Chất lượng dịch vụ

TCP Transmission Control Protocol

UDP User Datagram Protocol

Publisher (MQTT) Thiết bị với nhiệm vụ gửi bản

tin lên tới server

Subscriber (MQTT) Thiết bị nhận bản tin được

gửi từ server

PHẦN MỞ ĐẦU

Đặt vấn đề và lý do chọn đề tài

Với sự phát triển không ngừng của mình Internet of Things sẽ trở thành xu hướng cho tất cả các ứng dụng trong tương lai Khi số lượng các thiết bị IoT ngày càng tăng, nó cũng làm tăng thêm mối nguy hại tiềm ẩn về những vấn đề bảo mật và an ninh mạng trong mạng IoT Chính vì vậy cần phải có những hệ thống với cơ chế phát hiện tấn công đảm bảo an toàn cho hệ thống trước sự xâm nhập từ các luồng tấn công nguy hại khác nhau Xuất phát từ những vấn đề này, luận văn đã thực hiện đề xuất một mô hình có thể triểnn khai giả lập các cuộc tấn công trong môi trường mạng IoT, giải quyết vấn đề năng lức xử lý khi triển khai trên các thiết bị IoT

Mục tiêu và phạm vi đề tài

Luận văn cung cấp cho người đọc một cái nhìn cụ thể tổng quan về IoT, những lợi ích mà nó mang lại bên cạnh đó là những khó khăn và thách thức đang phải đối mặt đặc biệt là vấn đề an ninh mạng trong mạng IoT xuất phát từ hành vi của người dùng Trong luận văn này, đề xuất xây dựng một mô hình giả lập cho

hệ thống mạng IoT và tiến hành giả lập lại cuộc tấn công TCP SYN Cùng với đó

là phương pháp phát hiện và giảm thiểu tấn công triển khai ngay chính trên mô hình này

Bố cục của luận văn

Bố cục của bài báo cáo sẽ gồm các phần chính như sau:

− Phần Mở đầu: Đặt vấn đề đưa ra mục tiêu và phạm vi của nghiên cứu của

đề tài

− Chương 1: Hành vi người dùng và vấn đề an ninh mạng trong mạng IoT

− Chương 2: Xây dựng giả lập một hệ sinh thái IoT

− Chương 3: Giả lập hình thức tấn công từ đầu cuối người dùng

− Chương 4: Giải pháp phát hiện và giảm thiểu tấn công

− Kết luận: Tổng kết kết quả đạt được của luận văn và định hướng phát

triển trong tương lai

CHƯƠNG 1 HÀNH VI NGƯỜI DÙNG VÀ VẤN ĐỀ AN NINH BẢO MẬT

TRONG MẠNG IOT

Mạng Internet vạn vật đang trở thành xu thế tất yếu trong cuộc sống, cùng với những ưu điểm và tiện ích của nó mang lại trong rất nhiều lĩnh vực, thì bên cạnh đó cũng có những thách thức mà chúng phải đối mặt Với sự phát triển không ngừng cả về số lượng các thiết bị và quy mô của mạng IoT, điều này dẫn tới những khó khăn trong việc quản lý Đặc biệt là vấn đề kiểm soát an ninh và bảo mật cho mạng IoT trước những luồng xâm nhập gây hại cho hệ thống Những mối nguy hại này phần lớn bắt nguồn từ những hành vi, thao tác thiếu bảo mật của người dùng khi đóng vai trò là một thực thể trong mạng IoT Trong chương 1 này sẽ trình bày tổng quan về một số nguy cơ và hậu quả xuất phát từ người dung trong vấn đề an ninh và bảo mật trong các hệ thống mạng IoT, cùng với đó là tính cấp thiết trong việc giải quyết vấn đề nghiên cứu và áp dụng những

cơ chế giám sát và phát hiện tấn công trong mạng IoT

1.1 Giới thiệu chung

Theo dự báo từ International Data Corporation (IDC) [1] ước tính rằng sẽ

có 41,6 tỷ thiết bị IoT được kết nối, và tạo ra 79,4 zettabyte (ZB) dữ liệu vào năm

2025 Điều này cho thấy rằng IoT ngày càng đóng vai trò quan trọng trong tương lai, xuất hiện trên nhiều lĩnh vực và là xu thế tất yếu của thế giới trong tương lai Với việc áp dụng IoT, nhiều lĩnh vực trong cuộc sống được cải thiện đánh kể và đạt nhiều thành tựu, sự tiện lợi về không gian và thời gian, cải thiện được độ chính xác, tăng hiệu quả kinh tế và giảm thiểu sự can thiệp trực tiếp của con người Các ứng dụng của IoT trong thực tế có thể chia thành nhiều nhóm khác nhau như nhà thông minh, thiết bị đeo thông minh, thành phố thông minh, quan trắc môi trường hay doanh nghiệp thông minh…Nổi bật trong đó là một số lĩnh vực về giáo dục, giao thông, nông nghiệp

Một hệ thống IoT cơ bản bao gồm 3 thành phần như được thể hiện như trong Hình 1.1 đó là khối thu thập dữ liệu collect data, khối tập hợp và chuyển tiếp dữ liệu (collate and tranfer data), khối phân tích xử lý và đưa ra quyết định/hành động (analyze data, make decision or take action)

Hình 1.1 Các thành phần chính trong kiến trúc IoT[2]

Internet of Things làm cho các thiết bị ở xung quanh chúng ta thông minh hơn và phản ứng nhanh hơn, cho phép chúng giao tiếp và chia sẻ dữ liệu thu thập được thông qua các cổng kết nối IoT (IoT Gateway) hoặc các thiết bị biên khác, nơi dữ liệu được gửi lên đám mây (cloud) để được phân tích hoặc phân tích cục

bộ từ đó đưa ra các quyết định và hành động dựa trên thông tin mà chúng nhận được từ nhau mà không liên quan đến con người

Ngày nay, khi càng nhiều kết nối được tạo ra bởi con người trong hệ sinh thái IoT, dữ liệu càng được chia sẻ rộng rãi, hơn thế nữa khi số lượng người dùng tăng, hành vi người dùng đa dạng và phức tạp dẫn tới khó quản lý và kiểm soát cho nên IoT trở thành mục tiêu tấn công hàng đầu của tội phạm mạng Ta có thể

kể tới một số điểm yếu bảo mật xuất phát từ hành vi người dùng như:

• Mật khẩu yếu: người dùng không chú trọng tới việc đặt những mật khẩu mạnh để bảo vệ thiết bị của mình, đa số vẫn còn giữ nguyên các mật khẩu mặc định, khiến cho kẻ tấn công dễ dàng đoán được và chiếm quyền kiểm soát thiết bị

• Tùy ý truy cập các kết nối mở rộng không an toàn: điều này vô hình mở ra một kết nối có thể là nguy cơ cho sự xâm nhập từ bên ngoài vào hệ thống IoT

• Sử dụng các thành phần, thư viện phần mềm không an toàn hoặc lỗi thời: các thành phần này chứa nhiều lỗ hổng bảo mật, do đã lỗi thời nên không được nhà phát triển vá lỗi, khi người dùng lạm dụng sử dụng chúng vào hệ thống IoT gây nên sự mất an toàn, có thể bị tấn công bất cứ lúc nào

• Quyền riêng tư không đầy đủ: mối nguy hại này có thể xuất phát từ những điểm truy cập dịch vụ công cộng, khi mà các kết nối được mở ra, người dùng có thể bị đánh cắp thông tin hoặc bị theo dõi bởi một bên thứ ba mà không hề hay biết, do không có cơ chế đảm bảo trong các dịch vụ này Với bất kỳ một hệ thống mạng nào, an ninh và quyền riêng tư luôn là vấn

đề được đặt lên hàng đầu Với mạng IoT nói riêng, vấn đề bảo mật an ninh mạng còn được coi trọng hơn nữa do tính đặc thù về dữ liệu trong mạng, chủ yếu là dữ liệu riêng tư và quan trọng của người dùng Khi số lượng người dùng tăng, hành

vi người dùng đa dạng và phức tạp dẫn tới khó quản lý và kiểm soát cho nên IoT trở thành mục tiêu tấn công hàng đầu của tội phạm mạng

Trên đây là một số những lí do tiêu biểu nhất xuất phát từ hành vi người dùng có thể gây ra những điểm yếu về an toàn mà bảo mật trong IoT, vô hình chung tạo ra một lỗ hổng và cơ hội cho những kẻ tấn công thực hiện các cuộc tấn công với mục đích xấu, nhằm phá hoại các cơ quan tổ chức và doanh nghiệp

1.2 Vấn đề an ninh bảo mật trong mạng IoT

Vấn đề bảo mật an ninh mạng trong IoT được coi như một trong những vấn

đề lớn nhất với IoT Những cảm biến trong mạng IoT đang thực hiện thu thập dữ liệu và trong số đó có những loại thông tin dữ liệu rất nhạy cảm - ví dụ như những gì chúng ta nói và làm trong nhà của mình hoặc trong cơ quan Đảm bảo

an toàn và bảo mật thông tin là điều quan trọng đối với niềm tin của người sử dụng các ứng dụng IoT, nhưng cho đến nay việc giám sát bảo mật của các hệ thống IoT vẫn còn nhiều lỗ hổng và điểm yếu có thể dễ bị tấn công bởi những tin tặc hoặc tổ chức đen với mục đích xấu Các bộ định tuyến và webcam đang trở thành mục tiêu tấn công của các tin tặc vì sự thiếu bảo mật vốn có của chúng

mạng botnet khổng lồ Botnet[3], hay thuật ngữ đầy đủ là “Bots network” dùng

để chỉ một mạng lưới các máy tính hoặc thiết bị chi phối bởi một ai đó và được điều khiển bởi một máy chủ từ xa, chiếm quyền và điều hành hoạt động của máy tính đang bị nhiễm, mà người dùng không thể biết được mình đang là một bot trong mạng botnet này Điều này có thể làm cản trở hoạt động, gián đoạn, gây mất nhiều thời gian xử lý, chiếm dụng và tiêu tốn tài nguyên máy người dùng, làm giảm năng suất làm việc Đặc biệt nếu như các máy tính của các cơ quan, tổ chức, doanh nghiệp được kết nối ra mạng ngoài bị nhiễm mã độc và trở thành botnet, nguy cơ có thể bị đánh cắp dữ liệu và các thông tin quan trọng khác Cấu trúc của một mạng botnet được thể hiện như trong Hình 1.2

Hình 1.2 Kiến trúc của mạng Botnet[3]

Quy mô của một hệ thống botnet thường có từ một nghìn tới vài chục nghìn máy tính và nhiều hơn thế, chính vì vậy botnet trở thành một công cụ thực hiện tấn công của các hacker, ví dụ như các cuộc tấn công từ chối dịch vụ-DoS, từ chối dịch vụ phân tán-DDoS…Hacker có thể điều khiểu cùng lúc tất cả các máy tính trong mạng botnet này cùng truy cập vào một website chỉ định trong cùng một lúc, tạo ra một luồng lưu lượng lớn quá tải sức phục vụ của website đó và gây ra tình trạng nghẽn mạng, mất kết nối với server thậm chí là dừng hoạt động của dịch vụ

Xét trong bối cảnh mạng IoT, khi các hệ thống IoT ngày càng lớn hơn số lượng thiết bị IoT ngày càng nhiều, mang lại nhiều lưu lượng hơn cùng với đó là bản chất phân tán và không đồng nhất của mình nó dễ dàng trở thành mục tiêu và

bị tấn công từ các hacker Theo báo cáo của HP [5] cho biết 70% các thiết bị IoT phải chịu các cuộc tấn công mạng khác nhau khai thác lỗ hổng khác nhau

Có thể tìm thấy 100.000 webcam có thể bị hack một cách dễ dàng, trong khi đó những thiết bị IoT như đồng hồ thông minh kết nối internet dành cho trẻ em được tìm thấy có chứa các lỗ hổng bảo mật cho phép tin tặc theo dõi vị trí của người đeo nó, nghe lén các cuộc hội thoại hoặc thậm chí giao tiếp với người dùng IoT thu giúp hẹp khoảng cách giữa thế giới số và thế giới thực, điều đó có nghĩa là việc xâm nhập vào các thiết bị này có thể gây ra hậu quả nguy hiểm trong thế giới thực Ví dụ như một vụ xâm nhập và chiếm quyền điều khiển vào các cảm biến kiểm soát nhiệt độ trong nhà máy điện có thể khiến hệ thống máy chủ đưa ra quyết định sai lầm dẫn tới các hậu quả nghiêm trọng cả về kỹ thuật và kinh tế; một chiếc xe không người lái khi bị mất quyền kiểm soát cũng có thể gây ra nhiều hành động không như mong muốn, thậm chí có thể gây tai nạn cho người tham gia giao thông Do đó, các cuộc tấn công mạng xuất hiện như một rào cản chính đối với việc triển khai và áp dụng rộng rãi các dịch vụ IoT trong thực tế Trong mạng IoT ta có thể thu thập mọi thông tin từ những cảm biến, đó có thể là những thông tin riêng tư và yêu cầu tính bảo mật cao và vấn đề kiểm soát người dùng trong mạng là một vấn đề phức tạp, ta không thể lường trước được những nguy hại khi mà mỗi thực thể cụ thể là con người tham gia vào mạng Do

đó, an ninh bảo mật và quyền riêng tư là một vấn đề nan giải trong mạng IoT Các thiết bị IoT thường dễ bị tấn công hoặc dễ bị kiểm soát và trở thành công cụ

để thực hiện tấn công do chúng thường sử dụng các kết nối không dây gửi các dữ liệu thu thập được về bộ xử lý trung tâm bằng các giao thức có tính bảo mật kém Khả năng giao tiếp tự động của các thiết bị IoT làm cho việc đảm bảo sự riêng tư khó khăn hơn rất nhiều Khi một phần tử trong mạng bị tấn công, các thông tin thu thập từ phần tử đó đều bị khai thác và kiểm soát bởi một bên thứ ba với những mục đích không chính đáng nào đó, điều này có thể gây ra những thiệt hại cho hệ thống và tổ chức Chính vì vậy an ninh mạng trong mạng IoT luôn là vấn

đề cấp thiết và cần được đảm bảo cho mỗi hệ thống

1.2.1 Tổng quan về tấn công từ chối dịch vụ phân tán

Tấn công từ chối dịch vụ (Denial of Service – DoS) là dạng tấn công nhằm ngăn chặn người dùng hợp pháp truy nhập tài nguyên mạng DoS có thể làm ngưng hoạt động của một máy tính, một mạng nội bộ thậm chí cả một hệ thống mạng rất lớn Về bản chất thực sự của DoS, kẻ tấn công sẽ chiếm dụng một lượng lớn tài nguyên mạng như băng thông, bộ nhớ và làm mất khả năng xử lý các yêu cầu dịch vụ từ các khách hàng khác Tấn công từ chối dịch vụ phân tán (Distributed Denial of Service – DDoS)[4] là dạng phát triển ở mức độ cao của tấn công DoS với phạm vi tấn công rất lớn, được phát sinh cùng một lúc từ rất nhiều máy tính nằm dải rác trên mạng Internet Các cuộc tấn công DDoS ngày càng tinh vi và rất khó phát hiện với các mục đích chính:

 Tấn công khai thác lỗ hổng an ninh của các giao thức hoặc dịch vụ trên máy nạn nhân

 Gây ngắt quãng kết nối của người dùng đến máy chủ dịch vụ bằng cách làm ngập lụt đường truyền mạng, cạn kiệt băng thông hoặc tài nguyên mạng

 Làm cạn kiệt các tài nguyên của máy chủ dịch vụ, như thời gian xử lý của CPU, bộ nhớ, cơ sở dữ liệu

 Khi xảy ra tấn công DDoS, các kết nối an toàn rất khó truy cập được vào

hệ thống mạng với những biểu hiện như: tắt mạng, hệ thống mạng không hoạt động…

Với DoS, tấn công thường chỉ xuất phát từ một thiết bị duy nhất trên Internet, tức là từ một địa chỉ IP duy nhất Do đó có thể bị phát hiện và truy vết được Hacker có thể sử dụng chính máy tính cá nhân của mình hoặc lợi dụng botnet để thực hiện tấn công nhằm tránh bị truy vết Trong khi đó, DDoS mạnh hơn DoS rất nhiều Điểm mạnh đó thể hiện ở việc kẻ tấn công hoàn toàn sử dụng botnet để tấn công tới nạn nhân, tức là có vô số địa chỉ IP nguồn trong các gói tin tấn công được gửi đến Chính vì thế kẻ tấn công sẽ rất khó bị phát hiện và ngăn chặn Hơn nữa, lưu lượng tấn công trong DDoS nhiều hơn rất nhiều so với DoS

vì nó tới từ hàng trăm tới hàng triệu thiết bị cùng một lúc Với tính chất phân tán của mình mạng IoT với vô số thiết bị sẽ tạo thành một mạng lưới khổng lồ và

nguy cơ cao để kẻ tấn công có thể tiến hành các cuộc tấn công DDoS trên diện rộng

Tấn công DDoS với mục đích ngăn chặn các kết nối an toàn vào hệ thống mạng hay nỗ lực chiếm băng thông mạng và làm cho mục tiêu bị ngập bởi những kết nối nguy hại có những đặc tính dưới đây

• Được phát tấn công đi từ một hệ thống mạng cực lớn với các máy tính trên mạng Internet

• Là dạng tấn công rất khó phát hiện và không thể ngăn chặn hoàn toàn do một mạng Botnet bao gồm rất nhiều các địa chỉ IP, có thể lên tới vài trăm nghìn nên việc ngăn chặn hoàn toàn vô cùng khó khăn

Nhìn chung để tổ chức các đợt tấn công DDoS có nhiều giai đoạn nhưng chủ yếu là ba giai đoạn chính:

• Giai đoạn chuẩn bị

Giai đoạn chuẩn bị là vô cùng quan trọng, cần chuẩn bị công cụ để phát động tấn công Mô hình client-server thường được sử dụng trong các công cụ này Các phần mềm được sử dụng cho mục đích tấn công thường do Hacker tạo

ra hay được downloas một cách miễn phí từ trên mạng Internet

Tiếp theo đó, Hacker sử dụng các kĩ thuật khác nhau để chiếm quyền kiểm soát của một số host, thực hiện cài đặt hay cấu hình một số phần mềm độc hại vào các máy tính để kiểm soát Một mạng lưới tấn công DDoS được tạo ra với nhiều host bị nhiễm độc và khi đó máy của hacker và một số máy khác đóng vai trò phát động cuộc tấn công

• Giai đoạn xác định mục tiêu và thời điểm

Khi đã xác định được mục tiêu tấn công cuối cùng, Hacker thực hiện điều chình hệ thống các host chuyển hướng tấn công về phía mục tiêu Cùng với đó, thời điểm phát động cuộc tấn công sẽ quyết định thiệt hại mà mục tiêu phải gánh chịu

• Phát động tấn công và xóa dấu vết

Khi đã xác định được thời điểm, hacker sẽ phát động cuộc tấn công Lệnh được phát đi trong toàn bộ mạng lưới với các cấp khác nhau Khi đó mục tiêu bị

tấn công sẽ cạn kiệt tài nguyên hệ thống và không còn hoạt động như cấu hình mặc định của nó nữa

Bước tiếp theo sau khi phát động tấn công là xóa dấu vết Sau một khoảng thời gian tấn công, Hacker tìm cách xóa mọi dấu viết tấn công để khó có thể tìm

ra vết

Về cách phân loại, nhìn chung, có nhiều phương pháp phân loại tấn công DDoS, tuy nhiên nếu nhìn vào mục đích tấn công, có thể chia tấn công DDoS thành hai loại: Tấn công vào băng thông kết nối và tấn công vào tài nguyên (RAM, CPU) của hệ thống (Hình 1.3)

Hình 1.3 Phân loại tấn công DDoS

Trong kiểu tấn công tràn băng thông, một lượng lớn các gói tin gửi đến mục tiêu đã được xác định sẵn Khi đó mục tiêu bị hết tài nguyên về băng thông, quá trình phục vụ chậm, hệ thống có thể bị treo hay thậm chí ngừng hoạt động, các host kết nối an toàn không có cơ hội được phục vụ Các loại tấn công thường gặp thuộc kiểu này có thể kể đến như UDP Flood, ICMP Flood, Ping of Death…

Với tấn công nhằm vào tài nguyên, số gói tin gửi đến mục tiêu không quá ồ

ạt như loại trên, nhưng đó là các yêu cầu gửi đến hệ thống mà việc xử lý các yêu cầu này sẽ tiêu tốn rất nhiều tài nguyên hệ thống và sẽ làm hệ thống rơi vào trạng thái từ chối dịch vụ khi số yêu cầu quá lớn Tiêu biểu cho loại tấn công này có thể kể đến TCP SYN Flood, ACK Flood…

1.2.2 Cơ chế hình thức tấn công TCP SYN Flood

Với rất nhiều các loại hình tấn công khác nhau, trong phạm vi luận văn này học viên tập trung vào kiểu tấn công với mục đích nhằm vào tài nguyên và nhằm vào băng thông hệ thống với đại diện là tấn công TCP SYN Flood

TCP SYN Flood là phương thức DDoS rất phổ biến hiện nay nhằm mục tiêu sử dụng hết tài nguyên hệ thống dựa trên giao thức TCP TCP (Transmission Control Protocol) Cấu trúc của một gói tin bao gồm hai phần là TCP header (như được thể hiện trên Hình 1.4) và phần payload

Hình 1.4 Cấu trúc TCP header

Phần header của gói tin sẽ là phần chứa những thông tin nhận biết và định danh cho nó, với các trường cụ thể như:

 Source port (16bits): Số cổng của tiến trình gửi

 Destination port (16bits): Số cổng của tiến trình nhận

 Sequence number (32bits): số thứ tự, giá trị và ý nghĩa của số thứ tự phụ thuộc và giá trị của bit SYN

 Các trường Flags (6 trường, mỗi trường 1bit):

+ bits ACK dùng để xác nhận tính chính xác của giá trị trường acknowledgement

+ bit RST, SYN, FIN dùng để thiết lập và hủy kết nối

+ bit PSH chỉ định máy nhận phải chuyển dữ liệu lên tầng trên ngay lập tức

+ bit URG chỉ định rằng có vùng dữ liệu được đánh dấu là “urgent” (dữ liệu khẩn)

 Checksum (16bits): sử dụng để kiểm tra lỗi

 Window size (16bits): kích thước cửa sổ dùng trong kiểm soát luồng

 Reserved (3bits): luôn chứa giá trị 000 để dành sử dụng trong tương lai

 Data offset (4bits): còn gọi là header length: kích thước của TCP header

 Acknowledgement number (32bits): số báo nhận

 Options

Đây là giao thức hướng kết nối phổ biến nhất, tức là trước khi truyền bất cứ một dữ liệu gì, 2 bên giao tiếp cần thiết lập kênh truyền trước tiên Quá trình này gọi là quá trình bắt tay 3 bước (Hình 1.5)

Host A Host B

In the Network Send SYN seq = x

Receive SYN

Send SYN seq = y, ACK x+1

Receive SYN + ACK

Send ACK y +1

Receive ACK

Time

Hình 1.5 Quá trình bắt tay 3 bước của TCP

• Bước 1: Các Client (máy khách) sẽ gửi gói tin (packet có SYN = 1) tới máy chủ để yêu cầu kết nối với số thứ tự seq = x;

• Bước 2: Server (máy chủ) đáp ứng bằng cách gửi một thông báo nhận (SYN / ACK) với số thứ tự của SYN seq = y, và số nhận ACK seq = x + 1 Server sẽ giành một phần tài nguyên hệ thống như bộ nhớ đệm để nhận và truyền

nhận SYN_RECEIVED đồng thời trên máy chủ cần dành một lượng tài nguyên (RAM, CPU) để phục vụ cho kết nối này Sau đó, máy chủ chờ đợi để nhận gói tin TCP tiếp theo với trường cờ ACK được bật Khi đó, kết nối ở chế độ chờ (half-open) Kết thúc quá trình bắt tay ba bước, trên máy chủ chuyển sang trại thái thiết lập ESTABLISHED Từ nguyên lý khởi tạo kết nối của giao thức TCP

ở trên, cho thấy giao thức TCP có một điểm yếu nghiêm trọng là cứ khi nhận được một gói tin SYN, nếu còn đủ tài nguyên thì máy chủ dành sẵn phần tài nguyên bộ nhớ cần thiết để chuẩn bị phục vụ cho kết nối sau này mà không có cơ chế kiểm tra gói tin SYN đó có là gói tin thực hay không

Hình 1.6 Kịch bản tấn công TCP SYN Flood

Lợi dụng điểm yếu này, với tấn công TCP SYN Flood kẻ tấn công sẽ gửi các yêu cầu SYN vĩnh viễn mà không gửi lại bản tin ACK, dẫn đến phải mất một khoảng thời gian máy chủ mới xóa kết nối này đi được Như vậy, khi có nhiều kết nối giả mạo đến cùng lúc thì máy chủ phải cần rất nhiều tài nguyên để phục

vụ và khi lượng tài nguyên cạn kiệt thì máy chủ không còn khả năng đáp ứng lại

và kết nối không thực hiện được, hình thức này để ăn cắp tài nguyên máy chủ hay chính là tạo ra trạng thái ở chế độ half-open nhiều nhất có thể Địa chỉ IP gửi yêu cầu có thể là địa chỉ IP giả Lúc này, các máy khách kết nối an toàn trước đó

có khả năng bị ngắt kết nối hoặc những người sử dụng hợp pháp yêu cầu kết nối sau không được phục vụ do máy chủ không còn khả năng đáp ứng lại

1.3 Kết luận

Trong chương đầu tiên này, các nguy cơ mất an toàn bảo mật xuất phát từ hành vi của người dùng trong mạng IoT đã được trình bày như thói quen đặt mật khẩu yếu, tùy ý truy cập các kết nối mở rộng không an toàn, sử dụng các phần mềm lỗi thời chứa lỗ hổng bảo mật… Điều này tạo cơ hội cho kẻ xấu thâm nhập vào mạng và tạo ra các cuộc tấn công DoS, DDoS thông qua mạng lưới botnet, không chỉ tấn công vào máy chủ của mạng mà có thể còn vào các mạng khác Trong chương tiếp theo, luận văn sẽ đi vào phân tích để có một cái nhìn tổng quát về các thành phần của một hệ sinh thái IoT, từ đó đề xuất một mô hình giả lập để triển khai các thuật toán tính toán tại lớp cạnh

CHƯƠNG 2 XÂY DỰNG GIẢ LẬP MỘT HỆ SINH THÁI IOT

Chương này sẽ đưa ra cái nhìn tổng quát về các thành phần của một hệ sinh thái IoT, các công nghệ phổ biến thường được sử dụng cùng với đó là so sánh các công nghệ này với nhau Đây là tiền đề để đưa ra được mô hình giả lập hệ thống,

sẽ được trình bày ở phần sau

2.1 Thành phần cơ bản của một hệ sinh thái IoT

2.1.1 Kiến trúc mạng IoT

Một trong những khó khăn lớn nhất của IoT là việc chưa có một chuẩn thống nhất về kiến trúc và giao thức cho tới thời điểm hiện tại, chúng chưa được chuẩn hóa gây ra rắc rối cho việc tìm hiểu và phát triển các ứng dụng IoT Chúng

ta cần đưa ra một kiến trúc tham chiếu chuẩn bởi các thiết bị IoT phải luôn được kết nối và tương tác qua hạ tầng mạng với các hệ thống tường lửa đòi hỏi sự nhất quán và đồng bộ Khi số lượng thiết bị ngày một nhiều thì số lượng kết nối cũng tăng một cách chóng mặt, bởi vậy chúng ta cần có một kiến trúc có khả năng mở rộng linh hoạt, dễ dàng, sẵn sàng đáp ứng nhu cầu tương tác mọi thời điểm của các thiết bị với các trung tâm dữ liệu có thể trên phạm vi toàn thế giới và đặc biệt

là tính năng dự phòng khi có xảy ra lỗi

Các thiết bị IoT phần lớn có cấu hình phần cứng thấp và kích thước nhỏ gọn

để phục vụ mục đích tiết kiệm năng lượng Do đó chúng ta cần hỗ trợ cập nhật tự động và quản lý từ xa tất cả các thiết bị này, chúng thường được sử dụng để thu thập hoặc phân tích dữ liệu các nhân từ người dùng, vì thế cần phải có một mô hình quản lý nhận dạng và kiểm soát truy cập giữa các thiết bị IoT và dữ liệu liên quan là một vấn đề quan trọng Trong phạm vi luận văn này, xin trình bày 2 kiến trúc tham chiếu phổ biến nhất hiện tại đó là WSO2 và Microsoft Azure

Kiến trúc tham chiếu WSO2 [6]

2.1.1.1

Hình 2.1 Kiến trúc tham chiếu WSO2[6]

Như được thể hiện trong Hình 2.1 thì kiến trúc này bao gồm hai lớp ngang

và 5 lớp dọc bao gồm:

1 Devices management – Lớp quản lý thiết bị

Trong lớp Quản lý thiết bị, hệ thống phía máy chủ quản lý thiết bị giao tiếp vớicác thiết bị thông qua các giao thức khác nhau và điều khiển một hoặc một nhóm thiết bị (có thể khóa hoặc xóa dữ liệu trên các thiết bị khi cần), quản lý định danh của các thiết bị và ánh xạ từng thiết bị với chủ sở hữu tương ứng Máy chủ quản lý thiết bị phải phối hợp với lớp Quản lý Định danh và Truy nhập để quản lý việc điều khiển truy nhập vào thiết bị (những người có quyền truy nhập vào thiết bị và quyền hạn tương ứng, quyền của người quản trị hệ thống…)

2 Identity and Access management – Lớp định danh và truy cập

Lớp này cần cung cấp các dịch vụ: Phát hành và thẩm định token định danh Oauth2; dịch vụ định danh khác gồm SAML2 SSO và OpenID Connect; XACMLPDP; danh bạ cho người dùng (ví dụ: LDAP); quản lý chính sách điều khiển truy nhập (PCP)

3 Client/External communications - Lớp giao tiếp người dùng đầu cuối

Lớp này tạo ra giao diện giúp quản lý các thiết bị IoT như web/portal, dashboard và hệ thống quản lý API Với web/portal, kiến trúc cần hỗ trợ các công nghệ Web phía máy chủ như Java Servlets/JSP, PHP, Python, Ruby Dashboard là hệ thống tập trung vào việc trình bày đồ thị, mô tả dữ liệu đến từ các thiết bị và lớp Xử lý sự kiện Lớp quản lý API có 3 chức năng: cung cấp portal tập trung vào việc hỗ trợ lập trình viên, đóng vai trò Gateway quản lý truy nhập các API; kiểm tra việc điều khiển truy nhập (đối với yêu cầu từ bên ngoài) dựa trên chính sách, định tuyến và cân bằng tải; thực hiện chức năng Gateway đẩy dữ liệu vào lớp phân tích để lưu trữ và xử lý

4 Event Processing and Analytics - Lớp xử lý và phân tích

Lớp này xử lý các sự kiện sau khi dữ liệu từ lớp Hợp nhất chuyển lên Chức năng chính của lớp là khả năng lưu trữ dữ liệu vào cơ sở dữ liệu Với các mô hình truyền thống, một ứng dụng server-side sẽ thực hiện chức năng trên, tuy nhiên hiện nay có một số cách tiếp cận khác linh hoạt hơn Cách thứ nhất là sử dụng các Platform dành cho phân tích dữ liệu lớn (Big data Platform): nền tảng dựa trên điện toán đám mây có khả mở rộng hỗ trợ các công nghệ phân tích dữ liệu với kích thước lớn Cách tiếp cận thứ hai là sử dụng phương thức Xử lý sự kiện phức tạp (Complex Processing Event) để thực hiện các hoạt động theo thời gian thực và ra quyết định hành động dựa theo kết quả phân tích dữ liệu từ các thiết bị chuyển đến

5 Aggregation/Bus - Lớp hợp nhất

Là một lớp đóng vai trò quan trọng để hợp nhất và chuyển đổi các loại bản tin truyền thông với các chức năng chính như: hỗ trợ máy chủ HTTP và chuyển đổi MQTT/CoAP để giao tiếp với các thiết bị Hợp nhất nội dung truyền từ các thiết bị khác nhau và định tuyến tới một thiết bị cụ thể, chuyển đổi giao thức khác nhau

6 Communications – Lớp truyền thông

Lớp truyền thông thực hiện kết nối các thiết bị thông qua các giao thức phổ biến hay được sử dụng như HTTP, MQTT, CoAP.[10]

• HTTP là giao thức lâu đời và phổ biến nhất với nhiều thư viện hỗ trợ HTTP là giao thức dựa trên hệ ký tự đơn giản nên nhiều thiết bị nhỏ với

bộ điều khiển 8bit có thể hỗ trợ HTTP, các thiết bị mạnh hơn có thể sử dụng các thư viện HTTP đầy đủ Phiên bản HTTP2 được phát triển nhằm giải quyết vấn đề năng lượng và kết nối cho các thiết bị nhỏ

• CoAP (Constrained Application Protocol): Cũng giống như MQTT, CoAP

là một giao thức được tối ưu cho môi trường IoT do IETF phát triển dựa trên HTTP nhưng sử dụng mã nhị phân thay cho ký tự nên có kích thước nhỏ gọn hơn HTTP

• MQTT (Message Queuing Telemetry Transport) ra đời năm 1999 nhằm giải quyết các vấn đề trong hệ thống nhúng và được chuẩn hóa bởi OASIS MQTT hoạt động theo mô hình hệ phân tán với hai lệnh cơ bản là

"publish" và "sub-scribe" Các client sẽ kết nối tới máy chủ MQTT (MQTT Broker), mỗi client sẽ đăng ký theo dõi (subscribe) các kênh (topic) và tất cả các node đăng ký kênh sẽ nhận được dữ liệu trên kênh khi

có bất kì node nào gửi dữ liệu (publish) lên kênh Được tối ưu hóa việc gửi nhận các bản tin có kích thước nhỏ cho môi trường IoT,có thể đánh giá MQTT cao hơn so với HTTPS cho mục đích kết nối các thiết bịIoT Trong môi trường không ổn định, băng thông thấp, trễ lớn nhưng MQTT vẫn cho kết quả có độ tin cậy cao và tiết kiệm năng lượng

7 Devices – Lớp thiết bị

Lớp thiết bị nằm dưới cùng trong kiến trúc tham chiếu này Các thiết bị IoT rất phong phú và đa dạng nhưng thường được chia làm 3 loại dựa theo phần cứng bao gồm cấu hình thấp nhất dùng chip 8bit nhúng và không có hệ điều hành, ở mức cao hơn với chip 32 bit rút gọn là các loại thiết bị như Arduino có thể chạy

hệ điều hành Linux rút gọn hoặc hệ điều hành nhúng Loại thứ ba là các thiết bị

sử dụng nền tảng 32bit đầy đủ hoặc 64bit như Rasberry Pi, Beagle, Intel Galileo… và cả điện thoại di động Các loại thiết bị này cần phải có kết nối với Internet để có thể trở thành là một thực thể trong mạng IoT Có hai kiểu kết nối là trực tiếp và gián tiếp, trong đó kiết nối trực tiếp mà khi các thiết bị này thường đóng vai trò là Gateway như Arduino, raspberry pi… kết nối trực tiếp với

Internet qua Wifi hoặc Ethernet., bên cạnh đó là kết nối gián tiếp như qua Zigbee hoặc Bluetooth

Ngoài ra mỗi thiết bị này còn được định danh, và định danh này là duy nhất

để quản lý tài nguyên và truy cập dễ dàng Một số loại định danh được sử dụng như UUID (định danh duy nhất) được lưu trong phần cứng của thiết bị hoặc module kết nối như địa chỉ MAC trong Bluetooth, Zigbee, Wi-Fi… Định danh lưu trong bộ nhớ EEPROM

Kiến trúc tham chiếu Microsoft Azure[7]

2.1.1.2

Kiến trúc này được Microsoft đưa ra vào năm 2016 với mục đích phục vụ cho việc xây dựng các hệ thống IoT cho môi trường doanh nghiệp, các giải pháp thiết bị với khả năng mở rộng và tích hợp với các thiết bị hệ thống back-end

Hình 2.2 Kiến trúc Microsoft Azure[7]

Như được thể hiện trên Hình 2.2 ta có thể thấy trong kiến trúc này bao gồm

3 khối chính: Device connectivity, Data processing – Analytics - Management, Presentation and business connectivity Trong đó khối Device connectivity giúp các thiết bị có thể được kết nối trực tiếp hoặc gián tiếp thông qua Gateway với Internet Cloud Gateway là thiết bị đầu cuối kết nối với các SmartDevice và cung cấp kết nối hai chiều với hệ thống back-end gồm thành phần cung cấp các chức năng quản lý thiếtbị; lưu trữ, phân tích và xử lý dữ liệu; ảo hóa…thực hiện việc

xử lý, phân tích và quản lý dữ liệu ở khối Data processing – Analytics – Management Lớp còn lại thực hiện tích hợp các chức năng IoT vào các hoạt động kinh doanh của doanh nghiệp Người dùng đầu cuối sẽ tương tác với các giải pháp và các thiết bị IoT thông qua lớp này

Các tính chất tiêu biểu của kiến trúc:

• Tính không đồng nhất: Mô hình của hệ thống phải đáp ứng được yêu cầu của nhiều loại kịch bản, môi trường, thiết bị và các chuẩn khác nhau

• Tính bảo mật (Security): cho phép triển khai các dịch vụ bảo mật cho tất

cả các vùng, bao gồm quản lý định danh, xác thực và quyền hạn, bảo mật

dữ liệu

• Khả năng mở rộng (Hyper-scale deployments): hệ thống IoT phải đảm bảo khả năng hỗ trợ đến quy mô hàng triệu thiết bị kếtnối Kiến trúc của hệ thống phải cho phép hệ thống bắt đầu triển khai với mộtquy mô nhỏ nhưng sẵn sàng mở rộng

• Tính linh hoạt (Flexibility): do nhu cầu rất đa đạng của thị trường IoT đòi hỏi hệ thống phải có khả năng mở rộng thêm chức năng và cho phép sử dụng nhiều công nghệ của bên thứ 3 cho mỗi thành phần

Có thể thấy rằng với mỗi loại kiến trúc tham chiếu khác nhau đều có những tính chất riêng của nó và không đồng nhất, chính vì vậy khi triển khai các hệ thống trên thực tế cần phải lựa chọn một kiến trúc phù hợp với loại hình dịch vụ, công nghệ và nhiều yếu tố khác nhau, đây là một khó khan lớn vẫn còn tồn tại của hệ thống IoT cho tới bây giờ

• Máy chủ dữ liệu (Server)

Thiết bị IoT có cấu trúc cơ bản gồm: vi điều khiển, nguồn (thường là pin),

bộ truyền nhận tín hiệu qua sóng vô tuyến, các cảm biến thu thập dữ liệu Gateway thường là một board mạch sử dụng vi xử lý đủ mạnh, có đủ bộ nhớ và năng lực xử lý cũng như có khả năng kết nối đến Internet, là trung gian kết nối các node tới Server Gateway có thể được triển khai thêm các module phục vụ mục đích đảm bảo an toàn thông tin Gateway trong mạng IoT thường sử dụng

các loại board phổ biến, cấu hình cao đi kèm với khả năng lập trình và tùy biến cao, có thể kể đến như Raspberry Pi, Intel Galileo… Bo mạch thường được dùng cho Gateway là Raspberry Pi như thể hiện trong Hình 2.3

Hình 2.3 Raspberry Pi 3

Raspberry Pi là lựa chọn hợp lý cho nhiệm vụ làm Gateway Hiện nay, Raspberry Pi có nhiều phiên bản nhưng hai phiên bản nổi tiếng nhất là Raspberry

Pi 3 và Raspberry Pi Zero Raspberry Pi 3 vừa được đưa ra thị trường vào tháng

2 năm 2016 với vi xử lý mạnh mẽ lên đến 1.2 GHz kiến trúc 64-bit ARM Ngoài

ra Pi 3 còn có một số nâng cấp quan trọng so với phiên bản tiền nhiệm: được tích hợp module WiFi, Bluetooth 4.1 cũng như Bluetooth Low Energy Pi Zero có cấu hình không cao nhưng giá lại rẻ hơn Pi 3 rất nhiều (giá 5$) cũng là một lựa chọn tốt cho các nhà phát triển

Thành phần máy chủ dữ liệu thường là những trung tâm xử lý và lưu trữ tập trung có năng lực tính toán lớn để nhận và xử lý dữ liệu từ nhiều vùng khác nhau gửi về

Các thiết bị phần cứng này hoàn toàn có thể triển khai bằng cách tự nghiên cứu chế tạo hoặc sử dụng các sản phẩm thương mại có khả năng tùy biến theo mục đích sử dụng

Phần mềm

2.1.2.2

Phần mềm trong mạng IoT là nói tới chương trình (cho thiết bị IoT), hệ điều hành (cho Gateway) và dịch vụ (cho Server)

Các thiết bị IoT hoạt động theo một chương trình được cài đặt sẵn, thông thường rất nhẹ do hạn chế về tài nguyên Chương trình mô tả cách thức gửi/nhận

dữ liệu giữa vi xử lý và các cảm biến, gửi/nhận dữ liệu giữa thiết bị với Gateway

và với Server

Các thiết bị Gateway, Smart Gateway thường được cài đặt hệ điều hành để phục vụ cho việc triển khai các module mở rộng trên đó Các hệ điều hành này thường hoạt động theo hướng đa luồng (multi-threading), sử dụng các luồng song song giải quyết các tiến trình khác nhau và lưu lại các trạng thái xử lý

Các dịch vụ trên Server là các phần mềm ứng dụng, hỗ trợ xử lý dữ liệu tập trung hoặc cung cấp các tính năng cho người sử dụng (xem 2.1.4)

2.1.3 Giao thức truyền thông

Giao thức vô tuyến

2.1.3.1

Các giao thức vô tuyến được sử dụng để truyền dẫn dữ liệu từ các thiết bị IoT với thiết bị Gateway tập trung của từng cụm và ngược lại Hiện nay một số công nghệ chính được sử dụng có thể kể đến như Bluetooth, WiFi, ZigBee… a) WiFi – IEEE 802.11[12]

WiFi là một giao thức truyền tin không dây trong mạng nội bộ, được chuẩn hóa với tên IEEE 802.11 Hiện nay WiFi tiếp tục được phát triển bởi Hiệp hội WiFi WiFi sử dụng cơ chế đa truy nhập cảm nhận sóng mnag và tránh xung đột (CSMA/CA) ở lớp MAC để đảm đảm bảo mỗi thiết bị sử dụng WiFi sẽ phải lắng nghe kênh truyền trước khi gửi dữ liệu, chỉ khi nào được kênh truyền rảnh thì thiết bị mới gửi dữ liệu đi Chuẩn WiFi sử dụng trên băng tần 2.4 GHz chia làm

14 băng tần, mỗi băng tần có độ rộng là 22 MHz Chuẩn này sử dụng phương pháp trải phổ trực tiếp (DSSS) hoặc trải phổ nhảy tần (FHSS), ngoài ra còn dùng

đa truy nhập phân chia theo tần số trực giao (OFDM) Đây được coi là chuẩn truyền dẫn vô tuyến phổ biến nhất hiện nay

b) Bluetooth và Bluetooth Low Energy[13]

Bluetooth là một giao thức truyền thông tin tầm gần rất phổ biến trên thế giới được phát triển bởi Ericsson sau đó được chuẩn hoá bởi tổ chức SIG (Bluetooth Special Interest Group) và được gọi với tên mã IEEE 802.15.1 Bluetooth ban đầu sử dụng tần số 2402-2480 MHz được chia làm 79 kênh, mỗi

kênh có độ rộng là 1 MHz Khả năng truyền xa của Bluetooth cũng phụ thuộc vào công suất phát và được chia thành các lớp: lớp 1 sử dụng công suất phát là

100 mW có thể truyền xa tối đa là 100 mét, tương ứng với lớp 2 là 2.5 mW và 10 mét Phiên bản mới nhất hiện nay là Bluetooth 4.2 Từ phiên bản 2.0, Bluetooth

sử dụng mã hoá p=4-DQPSK và QPSK nên tốc độ truyền tối đa được cải thiện lên 2-3 Mbps

Hình 2.4 Mô hình Master/Slave[13]

Bluetooth xây dựng trên mô hình master/slave (Hình 2.4) Thiết bị master

có thể truyền/nhận tín hiệu với tối đa 7 thiết bị slave cùng lúc, trong khi đó thiết

bị slave chỉ có khả năng truyền/nhận với duy nhất một thiết bị master

Bluetooth Low Energy (BLE) là một phiên bản khác của Bluetooth sử dụng băng tần truyền thống 2.4 GHz được chia thành 40 kênh, mỗi kênh có độ rộng 2 MHz và sử dụng cơ chế phân chia theo tần số (FDMA) Trong số 40 kênh, 3 kênh được sử dụng với mục đích điều khiển và 37 kênh còn lại để truyền dữ liệu Khoảng các truyền tối đa của BLE được giới thiệu là hơn 100 mét và tiêu thụ công suất thấp khoảng từ 10 mW, tốc độ dữ liệu truyền có thể đạt được tối đa 24 Mbps

c) Zigbee – IEEE 802.15.4

ZigBee, hay với tên gọi chuẩn là IEEE 802.15.4, là một giao thức truyền dẫn không dây tiêu thụ năng lượng thấp ZigBee được phát triển theo phương châm tối ưu hoá về năng lượng và trở thành chuẩn kết nối cho hệ thống mạng không dây tầm gần trên toàn thế giới ZigBee thực hiện các chức năng ở lớp vật

tần 2.4 GHz nhưng khác với WiFi thì ZigBee chỉ chia thành 16 kênh, mỗi kênh rộng 2 MHz Mô hình mạng của ZigBee theo kiểu dạng lưới và có thể hỗ trợ đến hơn 65000 node Ở lớp MAC, ZigBee sử dụng thuật toán CSMA/CA Ở tần số 2.4 GHz, ZigBee chỉ sử dụng phương pháp trải phổ trực tiếp (DSSS), ở các dải tần khác có sử dụng một số phương pháp trải phổ khác ZigBee yêu cầu công suất phát thấp khoảng 30 mW và có thể truyền được trong khoảng cách tối đa từ

10 đến 100 mét tuỳ thuộc vào địa hình Tốc độ truyền của 802.15.4 phụ thuộc vào tần số: 250Kbps ở tần số 2.4 GHz (16 kênh), 40 Kbps ở 915 MHz (10 kênh)

CoAP tự xây dựng cho mình cơ chế đảm bảo tin cậy và chống tắc nghẽn do UDP không hỗ trợ cơ chế này Các bản tin của CoAP được đánh nhãn theo

những loại khác nhau Nếu một bản tin được đánh nhãn Confirmable (CON), nó

sẽ được truyền lại một số lần nhất định bằng cơ chế tính thời gian timeout và cơ chế đặt lịch truyền lại, chỉ khi nhận lại được bản tin xác nhận Acknowledgement (ACK) hoặc Non Confirmable (NON) thì mới kết thúc quá trình này

Hoạt động của CoAP có sự tương đồng với HTTP theo cơ chế request/response nhưng CoAP cũng có khả năng hoạt động theo mô hình publish/subscribe Khi có sự thay đổi ở phía máy chủ CoAP, các máy khách đã theo dõi các máy chủ sẽ nhận được bản tin thông báo về sự thay đổi này Một chức năng đặc biệt của giao thức này là khả năng cung cấp cơ chế kỹ thuật để phát hiện cũng như quảng bá tài nguyên của hệ thống cho toàn mạng

b) Giao thức MQTT[9]

MQTT là một giao thức hoạt động theo mô hình publish/subscribe (Hình 2.6) Các máy khách tạo kết nối đến máy chủ MQTT Broker, theo dõi (subscribe) một hay nhiều kênh (topic) Mỗi khi có một máy khách gửi bản tin (publish) lên kênh đó thì tất cả các máy khách đang theo dõi kênh đều sẽ nhận được dữ liệu này Đây là giao thức thường được sử dụng cho các mạng IoT vì tính tin cậy cao dựa trên TCP và rất ít tiêu tốn tài nguyên cũng như năng lượng, vốn là vấn đề rất cần quan tâm trên các thiết bị IoT

Hình 2.6 Mô hình giao thức MQTT[9]

MQTT được xây dựng trên nền tảng giao thức truyền thông TCP, điều này đem tới cả mặt lợi và hại Với tính chất tin cậy của TCP, MQTT cung cấp khả năng quản lý chất lượng dịch vụ với 3 mức độ chất lượng dịch vụ là QoS 0, 1 và

2 Với bản tin gửi đi có QoS 0, các subscriber sẽ nhận được bản tin nhiều nhất