Một ổ cắm thông minh 12 USD và một máy trợ thở nối mạng đều là “thiết bị IoT”, nhưng hồ sơ rủi ro của chúng cách nhau rất xa. Điều làm nhiều nhóm phát triển lúng túng là kiểm thử bảo mật IoT không phải một phép đo duy nhất: nó là ba lớp công việc tách bạch, dùng ba loại công cụ khác nhau, và chỉ một trong ba lớp đó nằm trên bàn đo RF. Bài này mô tả cách chia lớp, cách đối chiếu với hai bộ tiêu chí đang được dùng nhiều nhất — ETSI EN 303 645 và OWASP IoT Top 10 — và cách quyết định phép đo nào bắt được loại lỗi nào.
Kiểm thử bảo mật IoT chia thành ba lớp, không phải một
Lớp thứ nhất là vô tuyến: thiết bị thực sự phát gì ra ngoài không khí, ở tần số nào, công suất bao nhiêu, và trong trạng thái nào. Lớp thứ hai là giao thức và ứng dụng: ngăn xếp truyền thông phản ứng thế nào khi bị đưa gói tin dị dạng, khi bị lặp lại phiên cũ, khi bị giả mạo danh tính. Lớp thứ ba là vòng đời sản phẩm: chính sách cập nhật, kênh tiếp nhận báo lỗi, thời hạn hỗ trợ — những thứ không đo được bằng máy mà phải chứng minh bằng tài liệu và quy trình.
Cách chia này quyết định ai làm việc gì. Một phòng lab RF không thể tự khẳng định sản phẩm “đạt EN 303 645”, nhưng là nơi duy nhất trả lời được câu hỏi thiết bị có phát dữ liệu chưa mã hoá trước khi ghép đôi hay không. Ngược lại, đội an ninh mạng chạy công cụ quét lỗ hổng sẽ không bao giờ thấy firmware rơi về chế độ dự phòng khi sóng yếu — vì trên mạng LAN của họ, sóng luôn khoẻ.
Lớp vô tuyến: buộc thiết bị vào điều kiện nó không muốn ở
Giá trị của bàn đo vô tuyến nằm ở khả năng tạo điều kiện biên, chứ không phải ở việc bắt gói. Bộ mô phỏng mạng như Keysight E7515B UXM đóng vai một trạm gốc do bạn kiểm soát hoàn toàn: hạ mức tín hiệu tới ngưỡng thiết bị chuyển sang công nghệ cũ hơn, từ chối một thủ tục bảo mật rồi xem thiết bị bỏ cuộc hay chấp nhận hạ cấp, ngắt kết nối giữa chừng để xem trạng thái nào được lưu lại. Đây chính là loại kịch bản mà tấn công hạ cấp (downgrade attack) khai thác, và không thể tạo lại được một cách lặp lại nếu bạn phụ thuộc vào mạng thật.
Song song, một máy phân tích tín hiệu quan sát phổ để trả lời ba câu hỏi thực tế: thiết bị có phát ở băng tần nào ngoài băng đã khai báo không; nó phát trong những trạng thái nào (kể cả trạng thái người dùng tin là “đã tắt”); và mẫu phát xạ của nó có đủ đặc trưng để một bên thứ ba nhận dạng và theo dõi thiết bị từ xa không. Keysight N9042B UXA phủ 2 Hz – 50 GHz với băng phân tích tới 4 GHz, đủ để bắt cả các cụm phát ngắn ở băng rộng; ở phân khúc bench phổ thông hơn, N9010B EXA cho DANL −151 dBm/Hz tại 2 GHz (−167 dBm/Hz điển hình khi bật tiền khuếch đại) — con số đáng chú ý vì các phát xạ rò rỉ đáng ngờ thường nằm rất sâu dưới mức phát chính.
Lớp giao thức: mô phỏng tấn công mạng và fuzzing có hệ thống
Ở lớp này, công việc chuyển từ đo sang mô phỏng tấn công mạng có kịch bản. Keysight định vị bộ IoT Security Assessment quanh bốn nhóm việc: dò quét lỗ hổng đã biết, fuzzing giao thức bằng bộ sinh lỗi có bằng sáng chế, kiểm tra tuân thủ, và lập đường nền hành vi (behavioral baselining) để phát hiện thiết bị “lệch chuẩn” khi bị gây áp lực. Phạm vi kết nối được nêu gồm TCP/IP, Bluetooth Classic, BLE, CAN và mạng di động O-RAN qua IP; giao diện có cả dạng bấm-chọn lẫn API tự động hoá, với chu kỳ cập nhật hằng tháng cho các bài kiểm tra mới.
Fuzzing khác hẳn quét lỗ hổng. Quét lỗ hổng đối chiếu phiên bản thành phần với cơ sở dữ liệu CVE — chỉ tìm được cái đã có người khác tìm ra. Fuzzing bơm dữ liệu dị dạng vào luồng giao thức hai chiều để làm lộ lỗi hiện thực trong chính ngăn xếp truyền thông, kể cả lỗi nằm trong chipset nhúng mà nhà sản xuất thiết bị không viết ra. Với sản phẩm dùng module Wi-Fi/BLE mua ngoài, đây thường là nơi lỗ hổng thiết bị IoT nghiêm trọng nhất ẩn nấp.
Cần nói thẳng một điều để tránh nhầm khi lập dự toán: các gói phần mềm an ninh mạng nói trên không nằm trong danh mục thiết bị đo mà Techmaster phân phối. Bài viết nêu tên để bạn hình dung đúng bức tranh công cụ; phần Techmaster hỗ trợ trực tiếp là lớp vô tuyến — máy phân tích tín hiệu, bộ mô phỏng mạng và hiệu chuẩn cho chúng.
Đối chiếu OWASP IoT Top 10 với ETSI EN 303 645
ETSI EN 303 645 V2.1.1 (06/2020) đặt ra 13 điều khoản kỹ thuật ở mục 5, theo thứ tự: không dùng mật khẩu mặc định dùng chung (5.1); có cơ chế tiếp nhận báo cáo lỗ hổng (5.2); giữ phần mềm được cập nhật (5.3); lưu trữ an toàn tham số bảo mật nhạy cảm (5.4); truyền thông an toàn (5.5); giảm thiểu bề mặt tấn công phơi ra (5.6); bảo đảm toàn vẹn phần mềm (5.7); bảo đảm an toàn dữ liệu cá nhân (5.8); làm hệ thống chịu được gián đoạn (5.9); kiểm tra dữ liệu telemetry (5.10); giúp người dùng xoá dữ liệu dễ dàng (5.11); làm cho việc lắp đặt và bảo trì dễ dàng (5.12); và kiểm tra tính hợp lệ của dữ liệu đầu vào (5.13). Mục 6 bổ sung các điều khoản bảo vệ dữ liệu. Phần kiểm định tương ứng nằm ở ETSI TS 103 701 — tài liệu đặc tả cách đánh giá sự phù hợp, công bố năm 2021.
OWASP IoT Top 10 (2018) tiếp cận từ phía kẻ tấn công: I1 mật khẩu yếu, đoán được hoặc mã cứng; I2 dịch vụ mạng không an toàn; I3 giao diện hệ sinh thái không an toàn; I4 thiếu cơ chế cập nhật an toàn; I5 dùng thành phần lỗi thời hoặc không an toàn; I6 bảo vệ quyền riêng tư không đủ; I7 truyền và lưu trữ dữ liệu không an toàn; I8 thiếu quản lý thiết bị; I9 cấu hình mặc định không an toàn; I10 thiếu gia cố vật lý.
Hai danh sách phủ lên nhau nhưng không trùng khít, và chỗ lệch mới đáng quan tâm. I1/I9 ánh xạ gọn sang 5.1; I4/I5 sang 5.3; I7 sang 5.5 và 5.4; I2 sang 5.6. Nhưng I10 (gia cố vật lý) và I3 (giao diện đám mây, API backend, ứng dụng di động) gần như không đo được trên bàn đo RF, còn 5.2 và 5.12 là điều khoản quy trình. Nếu kế hoạch kiểm thử chỉ có phần đo, bạn sẽ bỏ trống đúng những mục mà cơ quan đánh giá hay hỏi nhất.
Cây quyết định: chọn phép kiểm theo loại lỗi cần bắt
Trình tự thực dụng cho một dự án mới:
- Lỗi nằm ở “thiết bị phát cái gì và khi nào” — dữ liệu chưa mã hoá lúc ghép đôi, phát xạ ở trạng thái ngủ, có thể nhận dạng thiết bị qua đặc trưng phát xạ: dùng máy phân tích tín hiệu, đo cả ở trạng thái người dùng tin là đã tắt.
- Lỗi nằm ở “thiết bị phản ứng thế nào khi mạng xấu đi” — hạ cấp công nghệ, chấp nhận thủ tục bảo mật bị từ chối, lưu trạng thái sai khi mất kết nối: dùng bộ mô phỏng mạng, lặp lại kịch bản với các mức tín hiệu và mốc thời gian cố định.
- Lỗi nằm trong ngăn xếp giao thức — tràn bộ đệm khi nhận gói dị dạng, treo khi bị dồn tải: fuzzing giao thức, có ghi lại đường nền hành vi để so sánh trước/sau.
- Lỗi nằm ở thành phần bên thứ ba — thư viện cũ, chipset có CVE chưa vá: quét lỗ hổng theo danh mục thành phần (SBOM), lặp lại theo lịch chứ không chỉ một lần trước khi phát hành.
- Lỗi nằm ở quy trình — không có kênh nhận báo lỗi, không công bố thời hạn hỗ trợ: rà theo điều khoản 5.2, 5.3, 5.12; đây là việc của tài liệu, không phải của máy đo.
Một lưu ý hay bị bỏ qua: kiểm thử thâm nhập thủ công vẫn cần thiết sau khi các bước tự động chạy sạch. Công cụ tự động giỏi lặp lại một tập tấn công đã biết trên hàng nghìn biến thể; con người giỏi hơn ở việc nối hai lỗi vô hại thành một chuỗi khai thác thật. Lịch hợp lý: tự động hoá chạy mỗi vòng tích hợp, kiểm thử thủ công chạy ở các mốc phát hành lớn.
Chọn thiết bị Keysight cho phòng lab kiểm thử bảo mật IoT
Nếu sản phẩm là thiết bị di động hoặc module có SIM, bộ mô phỏng mạng là hạng mục đầu tiên: nó biến các kịch bản mạng xấu thành bài kiểm tra lặp lại được, và dùng tiếp được cho đo hiệu năng vô tuyến thông thường. Nếu sản phẩm dùng Wi-Fi/BLE và bài toán chính là quan sát phát xạ, hãy bắt đầu bằng máy phân tích tín hiệu và chọn trần tần số theo hài bậc ba của băng cao nhất — với thiết bị 5 GHz, trần 26,5 GHz là đủ.
Nguyên tắc chọn băng phân tích: phải rộng hơn băng chiếm dụng của tín hiệu cần bắt, nếu không bạn chỉ thấy một lát cắt. Việc dựng điều kiện mạng lặp lại được cho các bài kiểm tra dạng này đã được bàn kỹ trong bài mô phỏng mạng trước triển khai cùng tuyến nội dung.
Cuối cùng, một điểm dễ quên: kết quả kiểm thử bảo mật chỉ có sức nặng khi thiết bị đo còn trong hạn hiệu chuẩn. Một phép đo mức phát xạ dùng để chứng minh thiết bị không rò dữ liệu sẽ bị chất vấn ngay nếu chứng chỉ hiệu chuẩn đã hết hạn. Techmaster Electronics là đại lý uỷ quyền của Keysight tại Việt Nam và vận hành phòng hiệu chuẩn theo ISO/IEC 17025 — gọi 0908 173 345 để được tư vấn cấu hình bàn đo và lịch hiệu chuẩn phù hợp với chu kỳ phát hành sản phẩm của bạn.
