tiểu luận an ninh bảo mật trong thương mại điện tử

Môi Môi trường trường TMĐT 2013: TMĐT 2013:  Hacker nước ngoài thực hiện trên 100 vụ tấn công vào các website thương mại của Mỹ để lấy cắp dữ liệu Mandiant,10/2013  Mỹ bị cựu nhân viên

II Những nguy cơ thường gặp hiện nay

III Một số giải pháp phổ biến đang được sử dụng

1 Môi Môi trường trường TMĐT: TMĐT:

 Trên 1 tỉ người dùng Internet (10-2013)

 315,000 lượt báo cáo về tội phạm trên Internet trong đó 1 nửa là mất mát về tài chính ($500tr)

Trung bình $4,100/lần (2011, Internet Crime Complaint

Center - IC3)

Năm 2011 có trên 405 triệu loại phần mềm độc hại so với

286 triệu của 2010, riêng những cuộc tấn công trên nền Web tăng 80%, nền Mobile tăng 93% (2011, Symantec)

2 Môi Môi trường trường TMĐT 2013: TMĐT 2013:

 Hacker nước ngoài thực hiện trên 100 vụ tấn công vào các website thương mại của Mỹ để lấy cắp dữ liệu

(Mandiant,10/2013)

 Mỹ bị cựu nhân viên CIA Snowden tố cáo xâm nhập và theo dõi các chính phủ và giao dịch toàn cầu.

 Việt Nam: 2.405 website của các cơ quan và DN bị hack

(trung bình 300 website/tháng) trong đó có cả Bộ Công An,

Bộ Quốc phòng, ngân hàng, các cơ quan nghiên cứu…

(Bkav, 10/2013)

3.Những Những yếu yếu tố tố ảnh ảnh hưởng hưởng bảo bảo mật mật TMĐT: TMĐT:

 An toàn: không lộ thông tin khi giao dịch, không bị bị mất mát về tài sản…

Bài học quá khứ: bất kì hệ thống bảo mật nào đều có thể bị tấn công nếu có đủ nguồn lực.

4.Những

4.Những yếu yếu tố tố ảnh ảnh hưởng hưởng bảo bảo mật mật TMĐT: TMĐT:

Quan Điểm

Toàn vẹn Dữ liệu gửi và nhận bị thay đổi?

Nội dung và dữ liệu Web bị thay đổi không xác thực, dữ liệu nhận từ KH có hợp lệ?

Chống chối bỏ Tổ chức có chối bỏ hành động

của họ? KH có từ chối giao hàng?

Xác thực Giao dịch với ai? Thông tin KH này có đúng hay

không?

Riêng tư Có ai khác đọc được tin nhắn

của tôi?

Dữ liệu bí mật có ai không được quyền xem?

Cá nhân Thông tin cá nhân của tôi được

5.Xung

5.Xung đột đột giữa giữa bảo bảo mật mật và và các các giá giá trị trị còn còn lại lại::

 An ninh cao >< Dễ sử dụng, tính tiện lợi

 Càng sử dụng các biện pháp bảo mật thì càng khó để người dung

sử dụng và tốc độ sẽ bị chậm lại

Các điểm yếu dễ bị tấn công trong 1 giao dịch TMĐT

1 Malicious Code (Malware, mã độc):

a) Drive by download (yêu cầu tải file có mã độc)

b) Virus (lây qua file)

c) Worm (lây qua máy tính)

d) Trojan horse

e) Backdoor

f) Bots, botnet

1 Malicious Code (Malware, mã độc):

Ramnit Virus/Worm

Nhiễm nhiều nhất 2011

Nhiều loại file, tự copy vào ổ USB, tự chạy bằng Auto Play khi cắm vào máy tính

Sality.AE Virus/Worm Thứ 2 trong

2011

Tự tắt các phần mềm và dịch vụ bảo mật, kết nối vào botnet, tự tải và cài đặt các loại khác

Conficker

(A,B,C) Worm 2008

Tấn công HĐH Microsoft với công nghệ chuyên dụng, vẫn còn nhiễm đến hiện tại

2 Potentially Unwanted Program:

Adware

Spyware

3 Phishing & Indentity Theft (lừa đảo, trộm thông tin):

Social engineering: dựa vào sự tò mò, hiếu kì để lừa user tải 1 file mã độc về máy hoặc dùng trang web giả để user nhập thông tin

Phishing: lừa, trộm thông tin tài chính cá

nhân,t hường thấy

qua email lừa đảo

4 Hacking, cyber vandalism, hacktivism,

data breached:

Hacker: truy cập trái phép

Cracker: truy cập trái phép có ý định phạm tội

Cyber vandalism: phá hoại mạng

Hacktivism: tin tặc

White/Black/Grey hats

Data breach: phá dữ liệu

5 Credit card fraud/theft (gian lận, lừa thẻ TD):

6 Spoofing (pharming , giả mạo) and spam:

7 Denial of Service (Dos) and Distributed denial

11 Social Network Issues:

Facebook, twitter cung cấp quá nhiều thông tin cá nhân

12 Mobile platform Issues:

Niềm tin vào điện thoại như trước

Nhưng khi phát triển thông minh hơn  dễ bị tấn công qua

bluetooth, wifi, 3g, tin rác…

13 Cloud Issues:

-Tập trung dữ liệu tại các cloud

server nên khi bị tấn công người

dùng không thể truy cập dữ liệu

(Google Drive, Dropbox)

-Lộ thông tin khi có thể vượt qua khai báo tài khoản để truy xuất dữliệu từ các lỗ hổng (Dropbox, 06/2011)

- Dùng cloud để phát tán virus

14 Một số loại khác:

 Rootkit: khó để phát hiện vì nó vốn tích cực cố gắng để tự

ẩn mình, tắt chương trình Antivirus của bạn hoặc cài đặt vào hạt nhân của HĐH.

 Scareware: thường được biết đến là crimeware, thường xuất

hiện như 1 cảnh báo chống virus giả mạo trên 1 trang web Nếu bạn tin vào điều đó và tải về chương trình chống virus giả mạo, nó sẽ thông báo là có virus trong hệ thống của bạn Các chương trình diệt virus này sẽ đòi hỏi thẻ tín dụng thanh toán trước khi sửa chữa cho hệ thống của bạn

 Can thiệp vào tham số trên URL

◦ Mất số lượng lớn link index: sử dụng google để check với cú

pháp: site: tenmiencuaban.com và lượng index chỉ còn bằng 1/3

so với tổng lượng links bạn có thì 70% là website của bạn bị

nhiểm malware rồi

15 Dấu hiệu nhận dạng (tt):

◦ Mất nhiều traffic: Một khi Google và các search engine phát hiện ra rằng website của bạn có

chưa mã độc, chúng sẽ lập tức loạt website của bạn ra khỏi trang kết quả tìm kiếm Hoặc cảnh báo cho người dùng khi họ tìm kiếm với kết quả dẫn đên trang web của bạn Điều này thật sự sẽ lấy đi của bạn rất nhiều traffic.

◦ GOOGLE WEBMASTER TOOLS: công cụ được yêu thích nhất trong giới webmaster dễ

dàng nhận được thông báo mỗi khi website của bạn bị nhiểm malware, thông báo chính xác đến nỗi liệt kê hết thẩy những trang bị nhiễm ra cho bạn Nhưng có 1 vấn đề là các webmaster Vietnam rất it khi quan tâm và kiếm tra Google Webmaster Tool, đa phần chỉ cấu hình 1 lần rồi để đó.

◦ Website xếp hàng top với từ khoá không liên quan: malware cài những backlink ẩn, hoặc lợi

dụng domain của website để spam Hacker sử dụng phần mềm tự động dò các website có lỗ hổng để gắn các link trỏ đến các nguồn chứa mã độc Điều này sẽ khiến cho website của bạn

“được” xếp hàng top với rất nhiều từ khóa không liên quan đến lĩnh vực của mình hoặc các

từ vớ vẩn nào đó….

15 Dấu hiệu nhận dạng (tt):

- Chèn mã độc

15 Dấu hiệu nhận dạng (tt):

- Virus facebook

Mã hóa (Encryption) SSL, VPN

Tường lửa (Firewalls) Bảo vệ máy tính

 Là quá trình chuyển văn bản hay các tài liệu gốc thành văn bản dưới dạng mật mã để bất

cứ ai ngoài người gửi và người nhận đều

không thể đọc được

 Bảo đảm an ninh thông tin khi truyền phát

 Hai phương pháp mã hóa

◦ Mã hóa đối xứng (Symmetric Key Encryption)

◦ Mã hóa khóa công khai (Public Key

Encryption)

 Mã hóa đối xứng

◦ Dùng 1 khóa cho mã hóa và giải mã

 Mã hóa khóa công khai

◦ Dùng 2 mã khóa trong quá trinh mã hóa 1

khóa dùng để mã hóa, 1 khóa dùng để giải mã

◦ Khóa công khai

 Được thông báo rộng rãi cho những người sử dụngkhác trong hệ thống

 Dùng để mã hóa thông điệp hoặc kiểm tra chữ ký

◦ Khóa bí mật

 Chỉ nơi giữ được biết

 Để giãi mã thông điệp hoặc tạo chữ ký

 Mã hóa khóa công khai

◦ Ứng dụng

 Mã hóa/ Giải mã

 Đảm bảo bí mật của thông tin

 Chữ ký số

 Hỗ trợ xác thực văn bản( Digital signatures)

 Trao đổi khóa

 Cho phép chia sẽ khóa phiên trong mã hóa đối xứng(Digital Envelopes)

 Chữ ký điện tử là bằng chứng hợp pháp dùng để và đủkhẳng định trách nhiêm của người ký văn bản điện tử vềnội dung của nó, tính nguyên gốc của văn bản điện tửsau khi chuyển khỏi người ký nó.

 Các cơ quan chứng nhận (Certificate Authority - CA) sẽđứng ra xác thực chữ ký điện tử(hay khóa công khai) làcủa cá nhân hay tổ chức cụ thể và duy nhất

 Chứng thực điện tử bao gồm:

◦ Tên của cá nhân hoặc tổ chức

◦ Khóa công khai

◦ Số định danh của chứng thực điện tử

◦ Thời hạn hiệu lực

◦ Chữ ký của cơ quan chứng nhận

 Phần cứng hoặc phần mềm

 Sử dụng các chính sách bảo mật để lọc gói

 Hệ điều hành an toàn

◦ Upgrades, patches.

 Phần mềm diệt virus