Thang máy trước kỷ nguyên hậu lượng tử: Bài toán an ninh của hạ tầng có vòng đời dài

Ngày 13/8/2024, Viện Tiêu chuẩn và Công nghệ Quốc gia Hoa Kỳ (NIST) công bố ba tiêu chuẩn mật mã hậu lượng tử đầu tiên do cơ quan này hoàn thiện, gồm FIPS 203 về thiết lập khóa, FIPS 204 và FIPS 205 về chữ ký số.

Mật mã hậu lượng tử, hay post-quantum cryptography, viết tắt PQC, là các thuật toán được thiết kế để chống lại những phương pháp tấn công đã biết từ cả máy tính thông thường và máy tính lượng tử. Sau khi ban hành các tiêu chuẩn, NIST khuyến nghị các tổ chức bắt đầu lập kế hoạch chuyển đổi càng sớm càng tốt, bởi quá trình kiểm kê, thay thế thuật toán và nâng cấp sản phẩm có thể kéo dài nhiều năm.

Đối với thang máy, tính cấp thiết không nằm ở một cuộc tấn công lượng tử đang hiện hữu, mà ở sự chênh lệch giữa vòng đời dài của thiết bị với tốc độ thay đổi của công nghệ mật mã.

Khi thang máy trở thành một thiết bị kết nối

Thang máy hiện đại không còn là hệ thống cơ khí – điện độc lập. Nhiều nhà sản xuất lớn đã phát triển các nền tảng kết nối dành riêng cho hệ thống giám sát thang máy của mình.

Tùy cấu hình, dữ liệu vận hành có thể được truyền tới nền tảng giám sát để phân tích tình trạng thiết bị và hỗ trợ bảo trì dự báo. Thang máy cũng có thể kết nối với hệ thống quản lý tòa nhà, kiểm soát ra vào, ứng dụng gọi thang trên điện thoại hoặc các dịch vụ số khác. Một số kiến trúc còn cho phép cập nhật mã và cấu hình phần mềm tại chỗ hoặc từ xa.

Mỗi kênh giao tiếp đó đều được bảo vệ bằng một loại khóa số — giống ổ khóa nhưng bằng thuật toán toán học. Hai loại khóa phổ biến nhất hiện nay có tên là RSA và ECC.

Điểm chung của chúng: cả hai đều dựa trên những bài toán mà máy tính thông thường phải mất hàng nghìn năm mới giải được, nhưng một máy tính lượng tử đủ mạnh có thể giải trong vài giờ.

Theo báo cáo Lộ trình Mối đe dọa Lượng tử 2024 của Global Risk Institute (Viện Rủi ro Toàn cầu, Canada), các chuyên gia được khảo sát ước tính xác suất mật mã RSA bị phá trong vòng 15 năm tới là khoảng 33%, và trong 30 năm tới là trên 70%.

Đây là đánh giá xác suất của chuyên gia, không phải một mốc thời gian đã được xác định. Nhưng với thiết bị có vòng đời tính bằng hàng chục năm, sự bất định đó vẫn cần được đưa vào quá trình thiết kế.

Ba bài toán đối với thang máy

Vòng đời thiết bị dài hơn vòng đời mật mã

Một thang máy được lắp đặt năm 2026 có thể vẫn hoạt động trong thập niên 2040 hoặc 2050. Trong khi đó, dự thảo lộ trình chuyển đổi của NIST hướng tới việc loại bỏ hoặc không tiếp tục chấp nhận nhiều thuật toán khóa công khai dễ bị tổn thương trước máy tính lượng tử sau năm 2035.

Đây chính là kịch bản mà giới an ninh mạng gọi là harvest now, decrypt later (thu thập bây giờ, giải mã sau) áp dụng vào hạ tầng vật lý: kẻ tấn công có thể thu thập dữ liệu và mã điều khiển hôm nay, cất giữ, chờ máy tính lượng tử xuất hiện để mở khóa và bơm mã độc vào thiết bị đã lắp đặt từ lâu.

Sự cố mạng có thể ảnh hưởng đến vận hành

Tác động trực tiếp của một cuộc tấn công mạng vào hệ thống thang máy có thể là làm gián đoạn dịch vụ, sai lệch dữ liệu chẩn đoán, chiếm quyền truy cập công cụ bảo trì hoặc làm mất kết nối giám sát.

Khả năng sự cố mạng lan tới chức năng an toàn phụ thuộc vào kiến trúc của từng hệ thống, đặc biệt là mức độ phân tách giữa nền tảng kết nối, bộ điều khiển vận hành và các mạch an toàn.

Do đó, không thể mặc định rằng xâm nhập được dịch vụ đám mây đồng nghĩa với khả năng vô hiệu hóa phanh hoặc cơ cấu an toàn. Tuy nhiên, với một thiết bị trực tiếp vận chuyển con người, mọi đường kết nối tới hệ thống điều khiển đều cần được đánh giá thận trọng và bảo vệ theo nhiều lớp.

Thiết bị cũ không dễ nâng cấp

Hệ thống thang máy có thể gồm nhiều bộ phận với năng lực tính toán khác nhau: bộ điều khiển, bo mạch truyền thông, thiết bị giám sát, cổng kết nối và máy chủ đám mây. Một số thiết bị nhúng cũ có bộ nhớ, khả năng xử lý và băng thông hạn chế.

Trong khi đó, khóa, bản mã và chữ ký của một số thuật toán hậu lượng tử có kích thước lớn hơn đáng kể so với RSA hoặc ECC. Việc chuyển đổi vì thế có thể đòi hỏi thay đổi phần mềm, giao thức truyền thông hoặc cả phần cứng.

Có thể ví như bắt một chiếc xe máy 50 phân khối phải chở đúng khối lượng hàng của xe tải - không phải không làm được, nhưng cần thiết kế lại từ đầu.

Ngành thang máy không hoàn toàn đứng ngoài cuộc

An ninh mạng thang máy đã được đề cập trong hệ thống tiêu chuẩn quốc tế.

ISO 8102-20:2022 quy định các yêu cầu an ninh mạng đối với thang máy, thang cuốn và băng tải chở người mới. Tiêu chuẩn bao quát các giai đoạn phát triển sản phẩm, sản xuất, lắp đặt, vận hành, bảo trì và loại bỏ; đồng thời đặt ra yêu cầu tối thiểu đối với chức năng thiết yếu, chức năng an toàn và chức năng báo động.

Tháng 2/2026, ISO tiếp tục công bố ISO/TS 8102-21:2026, đề cập đến việc cập nhật mã và cấu hình phần mềm tại chỗ hoặc từ xa. Tài liệu này không áp dụng cho thiết bị đã được lắp đặt trước thời điểm công bố – chính là nhóm có thể gặp nhiều khó khăn nhất khi chuyển đổi công nghệ.

Các nhà sản xuất lớn cũng đã triển khai chương trình an ninh mạng, quy trình phát triển sản phẩm an toàn hoặc kênh tiếp nhận thông tin về lỗ hổng. 

Tuy vậy, trong các tài liệu sản phẩm công khai được rà soát, chưa thấy các hãng công bố cụ thể thuật toán hậu lượng tử hoặc thời hạn chuyển đổi cho từng dòng thiết bị. 

Ông Dustin Moody, Trưởng nhóm dự án mật mã hậu lượng tử của NIST, trong bài phát biểu tại một hội nghị an ninh mạng lớn năm 2024, nhấn mạnh: các nhà sản xuất thiết bị hạ tầng dài hạn cần thiết kế tính linh hoạt này ngay từ dòng sản phẩm hiện tại, để tránh phải thay hàng loạt phần cứng vào thập kỷ 2030.

Có thể ví tính linh hoạt mật mã như hệ thống ổ cắm điện đa chuẩn: một tòa nhà thiết kế đúng chuẩn không cần đập tường khi tiêu chuẩn phích cắm thay đổi, chỉ cần thay mặt nạ ổ. Ngược lại, thiết bị đúc cứng khóa mã hóa vào chip giống như hàn thẳng dây điện vào tường — muốn đổi phải phá dỡ.

Việt Nam đứng ở đâu trong bức tranh này?

Việt Nam có hai lớp chính sách cùng lúc chạm vào vấn đề này. Ở lớp chiến lược lượng tử, Quyết định số 1018/QĐ-TTg tháng 9/2024 phê duyệt Chiến lược phát triển công nghiệp bán dẫn Việt Nam đến năm 2030, tầm nhìn 2050, cùng các nỗ lực xây dựng Chiến lược Quốc gia về Công nghệ Lượng tử, đặt nền tảng cho việc phát triển năng lực mật mã hậu lượng tử trong nước.

Ở lớp an ninh mạng hạ tầng, Luật An toàn thông tin mạng năm 2015 và Luật An ninh mạng năm 2018 đã xác lập khái niệm hệ thống thông tin quan trọng về an ninh quốc gia, nhưng danh mục cụ thể theo Nghị định 85/2016/NĐ-CP chủ yếu tập trung vào tài chính, viễn thông, năng lượng — chưa liệt kê hạ tầng vận tải trong tòa nhà.

Cùng với sự phát triển của tòa nhà thông minh, số lượng thang máy tích hợp giám sát từ xa, ứng dụng di động và hệ thống quản lý tòa nhà sẽ tiếp tục tăng. Phần lớn thang máy lắp mới hiện nay đã là loại có kết nối internet - nghĩa là mỗi năm Việt Nam đang bổ sung thêm hàng chục nghìn điểm dễ tổn thương lượng tử vào hạ tầng đô thị của mình.

Bài học rút ra không phải cấm nhập thang máy hay chờ mật mã hậu lượng tử hoàn thiện rồi mới lắp. Bài học là ba việc cần làm song song:

(1) Cập nhật danh mục hạ tầng quan trọng để đưa hệ thống điều khiển tòa nhà thông minh (bao gồm thang máy kết nối) vào diện quản lý an ninh mạng nâng cao;

(2) Đưa yêu cầu về tính linh hoạt mật mã vào tiêu chuẩn quốc gia (TCVN) về thang máy kết nối;

(3) Xây dựng năng lực kiểm định mật mã hậu lượng tử trong nước để tránh phụ thuộc hoàn toàn vào chứng chỉ do phòng thí nghiệm nước ngoài cấp.

Câu hỏi cần đặt ra với một thang máy lắp đặt hôm nay không phải là “thiết bị đã dùng mật mã hậu lượng tử hay chưa”, mà là: 10 hoặc 20 năm nữa, khi tiêu chuẩn mật mã thay đổi, hệ thống có thể được nâng cấp mà không phải thay toàn bộ bộ điều khiển hay không?

Với một hạ tầng có thể tiếp tục vận hành đến năm 2050, câu trả lời cần được xác định ngay từ khi thiết bị còn nằm trên bản vẽ.