Luận văn an toàn và bảo mật thông tin trong thương mại Điện tử

I thanh toán giữa ngân hàng với khách hàng qua điện thoại, các điểm bản lẽ, các ki- ốt, giao địch cá nhân tại nhà, giao địch tại trụ sở khách hàng, giao dịch qua Internet, chuyển liền

DANG VAN ANH

AN TOAN VA BAO MAT TIIONG TIN TRONG TITUONG

MẠI ĐIỆN TỬ

LUẬN VĂN THẠC SĨ KỸ THUẬT

NGANII CONG NGIIE THONG TIN

Hà Nội - Năm 2013

DANG VAN ANH

AN TOAN VA BAO MAT THONG TIN TRONG THUGNG MAI DIEN

TỬ

CHUYÊN NGÀNH: CÔNG NGIIÿ THÔNG TIN

TUẬN VĂN THẠC SĨ KỸ THUẬT

CÔNG NGHỆ THÔNG TIN

NGƯỜI HƯỚNG DẦN KHOA HỌC: PG8 18 NGUYÊN LIKH GIANG

Ha Nội — Năm 2013

TỜI CẮM ƠN

Trong thời gian thực hiện luận văn này, tôi luôn được sự quan tâm, góp ý

kiến của thầy giáo PGS.TS Nguyễn Linh Giang Nhân địp mày tôi xin bảy tô lời cắm ơn chân thánh tới thầy giảo PGS 18 Nguyễn Linh Giang, người đã trực tiếp hướng dẫn và dành nhiều thời gian để sửa chữa, bỗ sung vào từng trang bản thảo

của luận vắu

Tôi xua chân thành căm ơn các thầy cỗ giáo viện Công nghệ Thông tin -

Trường DĩI Bách khoa 11a Nội, các giảng viên đã truyền đạt những kiến thức, kỹ

xăng, kinh nghiệm nghề nghiệp Tôi xin chân thành cảm ơn Ban giám hiệu, lập

thê giáo viên khoa Công nghệ Thông từ trường Dai hoc Sư phạm Kỹ thuật Lưng Yên, gia đình cũng các bạn trong lớp cao học Công nghệ Thông tin khoá 2011-

2013 đã tạo mọi điểu kiện giúp đỡ, động viên, clủs sẽ để lôi hoàn thành ban luận

van nay

Bản luận văn chắc còn nhiêu thiểu sót, rất mong được các thấy cô giáo trong,

tiội déng chấm luận văn xem xét, góp ý kiế nận văn dược hoàn thiên hơn

'Tôi xin chân thành căm on!

Hà Nội, tháng 3 năm 2013.

LOT CAM DOAN

‘Tai xm cam doan, nhing gi tdi viét trong luận văn nảy là do tìm hiểu và

nghiên cứu œ

bắn thân Mọi kết quả nghiên cửu cũng thư ý tưởng của các tác gia

khác nếu có đều được trích dân nguồn gốc cụ thể

‘Luan van này cho đến nay chua được bảo vệ tại bất kỳ một hội đồng bảo vệ

luận văn hạ sĩ nào trên loản quốc cũng như ở nước ngoài và cho đến nay chưa

được công bồ trên bắt kỳ một phương tiện thông tin nao

Téi xin hoản toàn chịu trách nhiệm về những gi mã tôi đã cam đoan trên đây

Hà Nội, ngày 02 tháng 3 năm 2013

Tác giá

Đặng Vân Anh

MUC LUC

TLỜI CAM ĐOAN 3

2.1.3 Kiểu tân công tử chối dich vg DoS soseesee „16

2.2 Các biện pháp bảo vệ hệ thông thương mại điện tử IÐ

2.2.2 Chimg Lure 86 hoa - - 20

2.2.3 Giao thức thỏa thuận mã khóa 202

2.2.5 An rỉnh mạng và bức tường Tửa 35 2.3 Một số giao thức bảo mật thông dụng trong ứng dụng Web 16 2.3.1 Cơ chế bảo mật SSL (Secure Socket Layer) 27 2.3.2 Cơ chế bảo mật SET - - ne 2.4 Một số kỹ thuật tấn công và bảo mật ứng dụng web 31 2.4.1 Kỳ thuật tân công bằng SQL injection và cách phòng chống ne

2.4.2 Chân mã lệnh thực thi trên trình đuyệt nạn nhân

2.4.3 Thao lắc trên tharn số tr uyễn URI

CHUONG Il MÔ HÌNH THANH TOÁN TRONG THƯƠNG MAI ĐIỆN TU

3.1 Thanh toân qua Planat Payment

3.2 Thanh toán thẻ tin đụng

3.3 Thanh toán thông qua Ngân Lượng

3.3.1 Giới thiêu chưng về ví điện tử

3.3.2 Giới thiệu về Ngân Tượng

3.3.3 Đặc trưng cúa hình thức thanh toàn bằng Ngãn Lượng

3.4 Thanh toán qua Paypal

3.4.1 Giới thigu vé Paypal

3.4.2 Tại sao lại lựa chọn Paypal2

3.4.3 Dặc điểm của PaypaL eoeoee

3.4.3 Đăng kỷ tải khoản trên Paypal

3.4.4, Chỉ tiết các bước thanh toán trên PayPal

4.1.4 Yêu câu phí che năng

4.2 Các rữ ro thường gắp trong giao dịch điện tứ và biện pháp bảo vệ cúa website

4.2.1 Đăng nhập

4.2.2 Thông tim sản phẩm

4.2.3 Quá trình đất hàng và thanh toán

4.3 Ưu điểm, hạn chế và các giải pháp thanh toán bằng Ngân Lượng

DANH MUC CAC KY HIEU, CAC CHT VIET TAT

Viết tắt Viết đây đủ Ý nghĩa

DOS Denail of Service Tấn céng tit chéi dich vu

PHOS [DNmbued Demal of Servioe | Tân công tù chối dich vu phần phối

TMDT Thương mại điện tử Thương mại điện tử

TAN Tacal Area Network Mạng cục bộ

TCPAP — | ‘Transmission Control | lộ giao thức truyền thông

Trretocol/ Internet Protocal

SST Secure Sockets Layer Giao thức bảo mật lớp vận chuyến

TS ‘Transport Layer Scrcurily Giao thức bảo mật lớp vận chuyển

TANA | Tutermct Assigned Nhmber | TỔ chức cấp phát số Hiệu Internet

Authority SET Secure Lilectronic ‘Transaction | Giao địch điện tứ an toàn

RSA RonRivest, AdiSiiamir& Len | Thuat toán mã hóa công khai ( viết

Adleman tắt tên của 2 nhà sáng lập) SHA-T | Sercure Hash Algorithm Giải thuật băm an toàn

SOT: Struckured Query Tanguage | Ngôn ngữ truy vẫn mang tính can

APT Application Programming Gia điện lập trình ứng đụng

Interface

URL Uniform Resource Locator ` | Siêu liên kết

NI Ngân lượng Tuân lượng

SNAD [Significantly Not As | Hàng đếu nhưng khác so với mô là

Deseribed INR Tien Not Received Hang Không nhận được

TTTT Thanh toản trực tuyển Thanh toán trực tuyển:

EDT Flectroric Data Tnlerchange | Trao doi dũ liệu điện tử

css Cross- Site Scripling Kỹ Thuật tân công bằng the ATM hoặc các mã script

DANH MỤC CÁC BẰNG, SƠ ĐÔ

ác bước kiểm Ira thông điệp ký

‘Mé hinh hoạt dòng của chữ ký diện tử

Vị trí cầu các phương tiện bảo mat trong cau trac

cita giao thie TCPAP

Kién tnic cna SSL Các sẽ cổng được gan cho các giao thức ứng đụng

Sơ đỗ quá trình mua hàng trực tuyến

Mã hình hoạt động thanh toán trực tuyển của NỈ,

So đã các bước thanh toán qua NL

So đã tổng quan các bước xứ lý khiển nại

‘Bang phi các giao dịch hiện hành SS

61

61

63

MỞ ĐẦU

1 Lý do chọn đề tài

Với sự phát triển mang tính toàn cầu cửa mạng TnlernetL và TMEĐT cơm người

có thể mua bán hảng hóa và dịch vụ thông qua mạng, mảy tinh mét cach dé dang trong mọi lĩnh vực thương mại rộng lớn Tuy nhiên đối với các giao địch mang tính

thay câu này cần phải có những cơ chế đảm bảo an toàn và bão mật

Ngáy nay chúng ta thấy việc xây dựng các website TMĐT không còn là mới xmẻ với người sử dụng Internet, đặc biệt là những nhả kinh doanh và khách hàng trong Tinh vue TMT Trước thối quen và tâm lý mua hàng của khách hàng Việt

Nam là thiểu niềm tin vào các giao dịch trên mạng, lo lắng vì sợ mất mát thông tin

về tài khoản, thông tin cá nhân, thanh toán trực tuyến Việc xảy đựng một website

ban hang phong phú về chủng loại mặt hàng, đa đạng về mẫu mã sân phẩm, an loàn, nhanh chóng trong quá trình mua sắm và thanh toán là vẫn để cáp bách hiện nay

Đó là yếu tế quan trọng đề phát triển TMĐT Việt Nam

Vấn dễ an toàn và bảo mật thông tím trong TMĐT phải dâm bảo bón yêu câu

sau day:

- Đâm bão tin cậy: Cáo nội đụng thông tin không bị theo đối hoặc sao chép

bởi những thực thể không dược ủy thác,

- Đăm bảo toàn vẹn: Cáo nội dung thông tin không bị thay đổi bởi những thục thể không được ủy thác

- Sự chứng mình xác thực: Không ai có thể trá hình như là bèn hợp pháp trong quá trình trao đổi thông tin

- Không thé thoái thác trách nhiệm: Người gửi tin không thế thoái thác vẽ

những nộ: dung thông từ thực tế đã gửi đi

Xât phát từ những khả năng ứng đụng trong thực tẻ và những tp đụng đã

có Lừ các kết quả của nghiên cứu trước đây về lĩnh vực Ấn loàn va Bao mật trơng

'TMDT Dễ tải sẽ di sâu nghiên cứu các kỹ thuật chính của lĩnh vực an toàn và báo mat théng tin trong giao địch thương mại điện tử thống qua mô hình của một

website ban hang,

quá Irình thanh toán trong thương mại điện lử

3 Đối tượng và phạm vỉ nghiên cứu

31 Đi trụng nghiên cửu

-_ Các giao dịch trong thương mại điện tủ

-_ Các kỹ thuật an toàn vả báo mật trong thương rnại điện tủ, đặc biệt cáo kỹ Thuật bão mật ứng đựng web

~ Các mô hình thanh loàn trong thương mại điện lử cụ thể: rô hình của Ngan Luong va PayPal

3.2 Pham vinghién cieu

Ấp dụng mô bình tưanh toán của Ngân Lượng va PayPal vao website bản bang trén mang

4 Nhiệm vụ nghiên cứu

~_ Nghiên cửu các giao dịch trong thương mại điện tử để tìm hiểu quả trình

mua ban trén mang

~ Nghiên cửu các kỹ thuật lần công, biện pháp bão mật Irong thương mại diện tử, đặc biệt eac bién phap bao mat website

-_ Nghiên cứu các kỹ thuật đề thực hiện thanh toán an toàn trong thương mại

điện tử

~_ Nghiên cửu các mỗ hình thanh toản trong thương mại điện tứ, chọn mỗ

tỉnh thanh toán tin cậy đề tích hợp vào website bán hàng giúp quá trình thanh toán

được bão mật

5 Phương pháp nghiên cứu

-_ Vẻ lý thuyết Tìm biểu các giao dich trong TMEĐT của một số Wcbsitc trong và ngoài nước, thu thập các thông tra vẻ báo mật các giao dịch thương mại

diện tử đã có Nghiên cửu cde cach thite tan céng tén website, thanh toan an toan

trên mạng, các khải niệm chưng vẻ mã hóa, chứng thực số hỏa, chữ kỷ sổ

-_ Về thực nghiệm: Ứng dụng xây dụng website TMĐT có tích hợp thanh toán qua công thanh toàn, các kỹ thuật bảo mật dễ triển khai hệ thống an toàn va

‘bdo mat trên website bản hàng

6 Câu trúc hiận văn

Ngoài phần mở đâu, kết luận, kiến nghị và các danh mục tải liệu tham kháo,

cáo phụ lục của luận văn, nội đưng của luận văn bao gồm 4 chương

lại điện tử

-_ Ghương ï: Giao dich trang thương

- Chương 2: An toàn và bảo mật trong thương mại điện tử

~_ Chương 3: Một số mô hình thanh toán trong thương mại điện tử

- Chương 4: Thực nghiệm bảo mật thanh loan trén website.

NOT DUNG

CHUONG I CAC GIAO DICH TRONG THUONG MAT BIE 1.1 Các hình thức hoạt động thương mại điện Lử

1.1.1 Thư tin điện tấc

Cáo đổi tác (người tiêu thụ, đoanh nghiệp, các cơ quan chính phố) sử dụng,

thêm thư điện tử để gửi thư cho nhau một cách “trực tuyển” thông qua mạng, gọi là

thư tín điện tử (electronic mail, gọi tắt là e-mail) Đây là một thứ thêng tin đưới

dang “pli cdu trúc”, nghữa lò thông tin phải tuân thổ một cấu trúc đã thỏa thuận (là

điều khác với “trao đổi dữ liệu điện tử” sẽ nói dưới đây)

1.12 Thanh toán điện tử

‘Thanh toán diện tử là việc thanh toán tiên thông qua thông điệp diễn tử thay

cho việc trao tay tiễn mặt, việc trả lương bằng cách chuyến tiền trực tiếp váo tải khoản, trã tiền mua hàng bằng thể mua hàng, thê tín dụng v.v đã quen thuộc lâu nay thực chất dẻu là các dạng thanh toàn điệu tử

- Trao đối đữ liệu điện tử tài chính (Finacial Electronic Data Interchange, gọi tắt là FEDI) chuyên phục vụ cho việc thanh toán điện tử giữa các công ty giao dịch với nhau bằng, điện tử

- Tién mat Internet là tiến mặt được mua từ một noi phát hành (ngân hàng

hoặc tổ chức lần đựng), sau đó được chuyên đổi tự do sang các đồng tiền khác thông, qua Internet, ap dung trong phạm vị cả một nước cũng như các quốc gia Lất cá đều

được thực hiện bằng kỹ thuật số hóa, vi thể tiên mặt này còn có tên gọi là “tiên mặt

số hóa” Công nghệ đặo thủ chuyên phục vụ nuục đích này có tên gọi là “mã hóa khóa công khai/ bị mật” (Publie/Private Key Cryptoaraply) Tiên mặt Internet dược

người mua hàng mưa bằng nội tệ, rồi đùng Tntemet đề chuyến cho người bản hang

~_ Túi tiển diện tử (clcelromic purse; con gọi tắt là “ví điện Lử”) nói dơn giản

là nơi để tiên mặt Internet mả chủ yếu lá thẻ thông minh Tiển được trá cho bất cứ ai

đọc được thế đó Kỹ thuật của túi tiến vẻ cơ bản là kỹ thuật “mã hóa khóa công,

khai bí mật” tương tự như kỹ thuật áp dụng cho “tiển mặt Internet”

10

- Thé théng minh nhin bé ngoai tuong ty như thể tin dụng, nhưng ở mặt sau

của thế, thay vi cho đái từ; lại lả một chip máy tỉnh điện tứ có một bộ nhớ nhỏ để lưu trữ Hiển số hóa Tiền ấy chỉ được “chỉ trấ” khi người sử dụng và thông điệp (ví

dụ như xác nhận thanh toản hóa đơn) dược xác thực la “dung”

thống thanh loan điện tử của ngân lưàng là một dại hệ thông, gồm nhiều tiểu hệ thống: (1)

-_ Giao dịch ngân hàng số hóa và giao dich chứng khoán sé hoa I

thanh toán giữa ngân hàng với khách hàng (qua điện thoại, các điểm bản lẽ, các ki-

ốt, giao địch cá nhân tại nhà, giao địch tại trụ sở khách hàng, giao dịch qua Internet,

chuyển liền điện lử, thể tín dụng, vấn tín ), (2) thanh toán giữa ngân hàng với các

đại lý thanh toán (nhà háng, siêu thị ), (3) thanh toán trong nội bộ một hệ thông,

ngân hàng, (4) thanh toán giữa hệ thống ngân hàng này với hệ thẳng ngân hàng

khác

1.1.3 Trao dỗi dữ liệu diện tử

Trao đối đữ liêu điện tử (elsctrornc đata interchange, goi tắt là BDI) là việc

trao đổi các dữ liệu dưới dang “có câu trúc” (strueltred form) từ máy lính điện tử nảy sang máy tính điện tứ khác, giữa các công ty hay tổ chức đã thỏa thuận buôn

‘ban với nhau theo cách này một cách tự động 1á không cần có sự can (hiệp của con

người (gọi là đữ liệu có cầu trúc, vì các bên đối tác phải thỏa thuận từ trước khuôn

dang cầu trúc của cáo thông tin)

Thương mại điện tử qua biên giới (Cross- border electronic commerec) vé

bản chất chính là trao dối dữ liệu diện tứ giữa các doanh nghiệp má dược thực hiện giữa các đổi táo ở các quốc gia khác nhau, với các nội dung

Dung liệu (contenÐ là các hàng hóa mà người ta cản dến nội dung của nó (chính nội dung là hàng hỏa) Các ý kiến tư vẫn, vé may bay, vé xem phim, xem

hat, hop đồng bảo hiểm v.v nay cũng được đưa vào danh rực cáo dụng liệu

Trước đây dung liệu cũng dược trao dỗi dưới dạng hiện vật (physical form) bằng cách đưa vào đĩa, vào băng, in thành sách báo, thành văn bản, đồng gói bao bì

chuyển déu lay người sử dụng, hoặc đến điển phân phối (như cửa hàng, quấy báo v.v ) để người sử dụng đến mua và nhận trực tiếp Ngày nay, dung liệu được số

hóa và truyền gửi theo mạng, gọi là “giao gửi số hóa” (digital delivery) Ở Mỹ hiện

nay 90% dan sé ding Web/ Tnleruet để thư nhận tin tite va thang tin, khoang 80.5%

sử dụng Web/Internet làm công cụ phục vụ cho nghiên cứu

Các tờ bảo, các tư liệu công ty, eatalope sản phẩm lân lượt được đưa lên Web

(gọi chúng là “suốt bản điện tủ”) Các chương bình phát thanh, truyền hình, giáo

dục, ca nhạc, kẻ truyện v.v được số hóa, truyền qua Internet để người tiêu thụ sử

dụng thông qua mản hình và thiết bị âm thanh của máy tính điện tử (hoặc của “sách diện lử” chuyên dụng) Cúc chương trình phần mổm dược chuyển qua mang, rồi

được người sử dung tải xuống (download) Đặt chỗ trên máy bay, rạp hát qua

Tnternel (gọi là vẻ điện tử: electromie ticket) ở Mỹ đã chiếm tý trọng lới 70% Người tiêu thụ dùng Internet dễ liên lạc trực tuyến với các cơ quan tin dung ngan hang dé

biết các thông tín vẻ báo hiểm và số liệu phút chót về tài chỉnh của mình (tiên tiết kiệm, tiền gửi, Hiển sắp phải rã v.v )

Trên góc dộ kinh tế thương mại, các loại thông tin kinh tế và kinh doanh trên Tnternet đều có mức phong phú, vả một nhiệm vụ quan trọng của công táo thông tin ngây nay là khai thác Web và phân tích tống hop

1.1.5 Bán lẽ hàng hóa hữu hình

Cho tới năm 1994 - 1995, hình thức bán hàng này còn chưa phát triển, ngay

ở Mỹ cũng chỉ có vải của hàng có rnặt trên IterneL, chủ yếu là các của hàng bán đỗ

chơi, thiết bị ti học, sách, rượu Ngày nay, danh sách các hang hoa bán lẽ qua rạng đã rnở rộng ra, từ hoa tới quân áo, ô tô và xuất hiện hắn ruột loại hoạt động,

gọi là "mua hàng điện tử” (electronie shopping), hay “mua hàng trên mạng” Ô một

số nước Internet dã bắt dầu trở thành công cụ để cạnh tranh bán lễ hàng hỏa hữu

bình (Retail of tangible goods) Tên dụng tính đa phương tiện (multirnedia) của mới trường WÝch và Java, người bán hàng xây đựng trên mạng œ

c “ota hang a0” (virtual

shop) dễ thực hiện việc bản hàng, Người sur dung Internet‘Web tim trang Web của cửa hàng, xem hàng hóa hiển thị trên màn hình, xác nhận mưa hàng, và trả tiên bằng

thành loan

a LE,

Vị là hàng hóa hữu hình, nên tắt yêu sau đó các cửa hàng phái dùng tới các

phương tiện gửi hàng truyền thông đề đưa hàng tới tay khách Diên quan trợng nhất

la: khách hàng có thể mua hàng tại nhà (home shopping), ma khong phai đích thân

đi tới cửa hàng

1⁄2 Giao dịch thương mại điện tử

Giao dich Dương mua

điện tử (eleetronic commerce transaction), voi chữ

“thương mại” được hiểu với diy đủ các nội dung như đã ghỉ trong Dạo luật mẫu về thương mại điện tử của Liên hiệp quốc, bao gồm bến kiéu:

~_ Người với người qua điện thoại, máy Fax, và thư điện tử (cleetrorie sail)

- Nguoi voi nay tink điện tử: trục tiếp hoặc qua các mâu biêu điện tủ (elcctronic form), qua world wide web,

-_ Máy tỉnh điện tứ với người (qua fax, thư điện tứ)

~ My tính điện lử với máy lính điện tử (qua trao đổi đữ liệu có cấu trúc, thể thông mình, mã vạch)

1.3 Các bên tham gia thương mại điện tử

Giao địch thương mại điện tử (electromie commerce transaction) dién ra bên

~ Giữa các doanh nghiệp với nhau: trac déi dữ liệu, mua bán, thanh toán

hàng hỏa và dịch vụ, mục đích cuối củng là đạt được hiệu quá cao trong sản xuất và

-_ Giữa người tiêu thụ với các cơ quan chính phủ: các vận đề về (1) thuế, (2)

dich vu bai quan, phing dich v-v ,(3) théng tin

~_ Giữa các chính phử trao đôi thông tin

Trong bến cấp độ giao dịch nói trên, giao địch giữa cáo doanh nghiệp với

nhau là đạng chủ yếu của giao địch thương mại điện tử, và giao địch giữa các doanh

nghiệp với nhau chủ yêu đùng phương thức trao đổi dit êu điện tử, túc EDI

14

CHUONG TI AN TOAN BAO MAT TRONG THƯƠNG MẠI ĐIỆN

TỬ

2.1 Các cách tấn công trong thương mại điện tử

Cáo cách tấn công có thé dược chia thành 3 kiểu vả 3 giai doạn Có 3 kiểu tấn công là

Thăm đỏ vừa là một giai đoạn, vừa là một kiểu tân công,

Thăm đò là việc thu thập đữ hệu trái phép về tài nguyễn, các lỗ lỗng hoặc địch vụ của hệ thống, Các cách tân cóng truy cập hay DoS thường được tiên hành bởi kiểu tân công thăm đò Hiến nhiên, các hacker phải biết có thế tấn công cai gi trước khi xâm nhập Thăm đò giống như một kế trộm nhà bắng muốn biết có bao

nhiêu bảo vệ đang làm nhiệm vụ, bao nhiều camera, vị trí của chủng và đường thoát

hiém Thăm đỏ là một kiểu lân công, nó cũng là một giai đoạn tắn công,

2.12 Truy cập

Truy cập là một thuật ngữ rộng miều ta bat kỳ kiểu tấn công nào dòi hỏi người xâm nhập lây được quyền truy cập trải phép của một hệ thống báo mật với mục địch thao tứng, đử liệu, nâng cao đặc quyền, hay dơn giản chỉ là truy cập vào hệ thống

Tấn công truy cập hệ thống : truy cập hệ thống là hành động nhằm đạt được quyên truy cập bắt hợp pháp đến một hệ thống mà ở đó hacker không có tải khoản

sử dụng Hackor thường lìm kiểm quyền truy cập đến một thiết bị bằng cách chạy

xmột đoạn ma hay bang nhiing céng eu hack (hacking tool), hay là khai thác một yêu

điềm của ứng dụng hoặc một dịch vụ đang chạy trên máy chủ

Tấn công truy cập thao túng đỡ liêu: thao túng đữ liêu xuất hiện khi kế xâm nhập đọc, viết, xóa, sao chép hay thay đổi đữ liệu Nó có thể đơn giản như việc tim

phân mềm chia sẻ (share) trên máy tính Window 9x hay MT, hay khỏ hơn như việc

cổ gắng xâm nhập một hệ thống tin dụng của cục thông tin (credit bureau’s

information)

Tấn công truy cập nâng cao đặc quyền : nâng cao đặc quyền lá một dang tin công phé biển Bằng cách nâng cao đặc quyền, kẻ xâm nhập có thể truy cập vào các

files hay folder dữ liệu mà tài khoẩn người sử dụng bạn dầu không dược cho phép

truy cập Khi hacker đạt được mức độ quyền truy cập đó cao, họ có thể cài đặt phần

mém nhu 1a backdoors va Trojan horses, ong như chơ phép truy cập sâu hơn và

thăm đà Mục đích chung của hacker 1ä chiếm được quyên truy cập ở tuức độ quản trị Khi đã đạt được mục đích đó, họ có toàn quyền điều khiến hệ thông mạng,

21.3 Kiéu tin cong tir chéi dich va DoS

Kiểu tân công DoS được thực hiện nhằm làm võ hiệu hóa, lảm hư hỏng, hay gây lên hại đến lài nguyêu mạng với mục địch câu trở việc sử dụng những hệ thống này của người ding Dang phạm tội diện tử nảy là dạng tân công tôi tệ nhất mả các

công ty TMĐT phải đổi mặt bởi vi mục đích duy nhất của backer là ngăn chặn người dùng sử dụng các dịch vụ điện tử của cáo công ty Ý định của dạng tấn công

này chỉ đơn giản nhằm gây tổn hại và chồng lại một công ty trona việc buôn ban

Một hacker với một PC ở nhà phai mật một lượng lớn thời gian tạo ra đủ lim

lượng mang dé lam qua tai mét nhóm máy chủ Internet Để tan công Do5 hiểu qua hacker sử dựng nhiều hệ thống mày tính khác nhau nhằm lấn ảt máy chú (địch), Sử

dụng nhiều hệ thông máy tỉnh để tân oẻng máy chủ hay mạng được gọi là tân công

tử chói dịch vụ phân phéi (DDoS) Dang tân công này đã từng thành công khi tấn công web site của Yahool, ebay và CNN.cơm Một hacker liên quan sau đó bị bắt

và bị truy tế,

Cúp giai doạn tấn công

Giai đoạn đầu tiên

TMục tiêu: Là giai đoạn định nghĩa đối tượng Điều đâu tiên cần làm rõ trong,

xmọi hoạt động cũng như việc haclang là xác dịnh dược mục tiêu Kết quả của việc

xác lập mục tiêu của kiểu tấn công dẫn đến việc hình thành, chọn lựa những công cụ

16

và phương pháp phủ hợp Mục tiêu đơn giản là toàn bộ mục đích của người xâm

nhập Nếu kế xâm nhập có động cơ trả thù thi kiểu tân công o5 phủ hợp với nhu cầu đó Nếu kế tắn công là một đối thủ thì xâm nhập hệ thống và thao từng dữ liệu mới là mục tiêu Khi kẻ xâm nhập tiên hành những bước của một kiểu tân công, thì mục tiêu có thể và thường thay đổi Một yếu tố quan trọng khác nữa trong việc xác định mục tiêu là động cơ đẳng sau sự xâm nhập Hầu hết những sơnpi kiddies (hacker mới vào nghề) bị thúc đẩy bởi sự hỏi hộp, gay cần trong khi đó những,

hacker cao cấp bị thúc đây bởi những động cơ như thử thách trí tuệ, trã thù, kiếm

xuơil, tắt cả dêu hữu dụng với người xâm nhập có kinh nghiện

Thăm dò thông tin công cộng

Tên nhân viên, địa chỉ e mail la diém khởi đâu thuận lợi cho các hacker cớ

thể doán nhận user narne của tải khoản nhân viên, Thông thường họ sử đụng tên hay

"họ của nhân viên để làm tải khoản máy tính trong mạng của họ Dịa chí ø_mail cũng,

fa dt dang user name thông thường cho tải khoản máy lính của họ Những công ly

lớn thường ấn định số phone của họ trong công ty diên thoại cục bộ cũng như nhiều tập đoàn có tiếp đầu ngữ quay số cho riêng họ Khững công cụ bẻ khóa mạnh thì

kiên có sẵn trên Internet Khi đá đoán được username, thì vấn để còn lại chỉ là thời

gian để bẻ gấy những password yếu kém

Thăm đà điện tử: kẻ tân công phải tiên hành thầm dò đẻ tìm tải nguyên hay

tiệ thống nào đó có trên mạng Niễu người tấn công không có thững hiểu biết về rạng đổi tượng, họ phải tim nguồn tải nguyên của công ty được đặt ở đâu một cách

logic Khi đã có được dia chi IP của công ty, người tắn công có thể bất đầu đò tim

và quét mạng, để tìm điểm yếu của máy chủ, ứng dung, hay những thiết bị cơ sử hạ

ting

Một cách điển hinh người ta thường sử dụng liện ích quét ping (ping sweep utility), nhờ tiện ich nay người ta cỏ thẻ quét một khoảng lớn các dịa chí IP Mục đích của việc này là tìm xem máy chủ nào đang trên mạng, Tiện ích quét ping xác

định những đổi Lượng dang có mặt trên mạng, Khi dã biết được TP của hoat lồn lại trên mạng, người tắn công sau đó có thể bắt đâu dò tìm những máy chú này để tìm

thêm thàng tín, như là hệ điều hành hay các chương trính ứng dung dang chạy trên hoại Thuật ngít đò tìm (probing) được định ngiữa là những cố gắng nhằm khøi thác

thông tin về rnáy chủ trên mang Probing được hoàn thánh bằng việc tim thấy những,

cổng mở trên những máy tính chủ Công (por}) giống như một con đường ảo tới

xuấy lính Một máy lính muốn được mời bay sử dụng các dịch vụ trên mạng ,rước

tiết nó phải có một cổng mở Những máy chủ web thuờng sử dụng cổng 80, trong khi 46 may cha FTP str dung cổng 21 Ké tan công có thẻ xác đỉnh được dich vụ

xảo đang chạy trên máy bằng cách xác định những cổng nảo được ruáy tỉnh mở

“Những công cụ thăm đề:

Hầu hết những công cụ back thông thường và phố biến rộng rấi là công cụ

thăm dò, Mục dịch chính của những công cụ này là giúp kỹ sư mạng trong xử lý lưu

lượng hay bảo tri mang, nhưng hacker lại sử dụng những công cụ nay dé tim kiém Trhững nguồn tồi nguyên mạng bất hợp pháp Rất nhiều những công cụ này được chế tạo cũng như cải tiền nhằm giúp hacker trong những hành dộng trái phép Nhiễu công cụ được phát triển dưới cái mác của những công cụ hợp pháp của các kỹ sư

xuạng nhưng thực chất nó được xảy dung nhằm làm trợ thủ cho những hacker

Khi mả những công cụ phát hiện xâm nhập và báo mật ngày cảng trở nên

phức tạp thì những công cụ hack cũng như vậy llacker biết việc do tim cũng như

quét sẽ gây nghỉ ngờ, bảo động Chính vì điều này, các hacker bài đầu phát triển những phần mềm mới nhằm giấu đi mục địch chính của hành động, Những công cụ

thăm đò được sử đựng nhiều ngày nay là MAP WHOIS, SATAN Ping, Portscanner Nolookup Strobe Trace

18

Giải đoạn thủ ba: giai đoạn tấn công

Giai đoạn cuối cùng lả giai đoạn tân công Trong giai đoạn tắn cổng kế xâm

xrhập bắt đầu cổ gắng xâm nhập mang và lải nguyên hệ thống trên mạng Bằng cách

sử dụng, các thông tin da thu thập dược, một vải hacker có thể thực hiện việc tan công nhiều lần cho đến khi phát hiện được lỗi bảo mật để có thể khai thác, Một khi haoker có được quyền xâm nhập hệ thống muáy chỗ trên mưng, thì mấy cho

đó được mô tá như dang bi théa higp (compromised), Bat ett hé thong nao có mỗi

liên hệ tin tưởng với máy chủ đã bị hại thì cũng có thể bị xem như đang bị hại

3.2 Các biện pháp bảo vệ hệ thống thương mại điện tử

221 Cơ chế mã hóa

Để đầm bão øn toàn bảo noật cho các giao địch, người ta đùng hệ thông khoá

kỹ thuật mã hoá cho các giao dịch TMĐT Mã hoá là quả trình trộn văn bản

với khoá mã tạo thành văn bản không thể đọc được truyền trên mạng Khi nhận

Thuat toan m3 hod - Encryption algorithm 1

dùng nó dễ giải raã thông thường, Mã hoá là tiên dễ cho sự thiết lập cáo vẫn dễ liên quan đến bảo mật và an ninh trén mạng

Có hai phương pháp mã hóa phổ biến nhất: phương pháp mã đối xứng (khóa

xiông); là mã hóe chỉ sử đụng một khỏa cho cả quá trình mã hỏa (dược thục hiện bởi người gữi thông tin) và quá trình giái mã (được thực hiện bởi người nhận)

Các vẫn đề đầi với phương pháp mã hóa đôi xứng

- Phương pháp mã hóa đối xứng đổi hỏi người mỡ hóa và người giải mã phải củng chung một chia khóa Khi đó khóa phải được giữ bí mật tuyệt đối, do vậy

ta dé dang xác định một khóa nêu biết khóa kia

-_ Hệ mã hóa đổi xứng không an toàn vì khỏa bị lộ với xác suất cao Trong,

hệ này, khóa phái được gửi đi trên kênh an toà

~_ Vấn để quân lý và phân phối khỏa là khó khẩn và phức tạp Người gửi và

nhận phải luôn thông nhất với nhau về khóa Việc thay đổi khóa là khó và để bị 16

19

- Khuynh hung cung cấp khỏa dải vả nỏ phải được thay đổi thường xuyên

cho mọi người trong khi vẫn duy tri cả tính an toản lần hiệu quả chỉ phí sẽ cản trở

rất nhiều tới hệ mật mã nảy

Private Key Private Key

Hình 2.1 : Mã hóa dùng khỏa riêng

.Mã không đỗi xứng (mã công công): sử dụng một cặp khoá lả công công vả

riêng, khoá công công để mã hoá và khoá riêng đề giải mã Khi mã hoá người ta

ding hai khoa ma hoá riêng rẽ được sử dụng Khoá đâu tiên được sử dụng để trộn

các thông điệp sao cho nó không thẻ đọc được gọi là khoả công cộng Khi giải mã

các thông điệp cân một mã khoả thứ hai, mã nảy chỉ cỏ người có quyên giải mã giữ

hoặc nó được sử dụng chỉ bởi người nhận bức thông điệp này, khoá nảy gọi lả khoá

riêng

Để thực hiện các công việc mã hoá vả giải mã, cản một cơ quan trung gian

giữ các khoá riêng, đẻ phỏng trường hợp khoá nảy bị mát hoặc trong trường hợp

can xác định người gửi hoặc người nhận Các công ty đưa ra các khoá mã riêng sẽ

quản lý và bảo về các khoá này và đóng vai trỏ như một cơ quan xác định thẳm

quyền cho các mã khoá bảo mật

32.2 Chứng thực số hóa

Chứng thực số đề xác nhận rằng người giữ các khoá công công vả khoả riêng

là ai đã đăng kỷ Cần cỏ cơ quan trung gian đề làm công việc xác thực Chứng thực

có các cấp độ khác nhau

20

Không phải tất cả các mã khoá riêng hay các chứng chỉ số hoá déu dược xây dựng như nhau Loại đơn gián nhất của giấy chứng chi hoa duge gọi là chứng nhận

Class 1, Jogi nay od thể dễ đồng nhận khi bất kỳ người mua nào truy nhập vào WEB

site của VeriSign (www.versign.com) Tất cả những, cải mả doanh nghiệp phái lam

là cung cấp tên, địa chỉ và địa chỉ email, sau khi địa chỉ e-mail được kiểm tra, sẽ Thận được một giấy chứng nhận số hoá Về mặt nào dó nó clng giống rửnr một thể

doc thu vin

Các chúng nhận Class 2 yêu cầu một sự kiếm chứng vẻ địa chỉ vật lý của

đoanh nghiệp Để thực hiện điều này các công ty cung cấp chứng nhận sẽ tham khảo cơ sở đữ liệu của Lquifax hoặc 1ixperian trong trường hợp đó lá một người

dũng cuối và Dun&Bradstreet trong trường hợp đó là một doanh nghiệp Quá trình

Trấy giống như là một thể tím dụng Mức gao nhất của một giấy chứng nhận số hoá được gọi là chúng nhận Class 3 Có thể xem nó như là một giấy phép lái xe Dễ

nhận được nẻ doanh nghiệp phải chứng minh chính xác mình là ai và phải là người chiu trách nhiệm Các giấy phép lái xe that có ảnh của người sở hữu và dược ìn với

các công nghệ đặc biệt để tránh bị làm giả

ác giấy chứng nhậu Class 3 kiện chưa được chảo hàng, tuy nhiễn các công Ly

loạt động trong lĩnh vực an toàn và bảo mật đã mường tượng ra việc sử dụng nó

trong tương lai gần cho các van dé quan trong như việc đảm phản thuê bắt động sin qua WEB hoặc vay vốn trực tuyển Nó cũng có thể được sử dụng như là các chứng

nhận dịnh danh hợp pháp hỗ trợ việc phân phát các bản phí tin dựng hoặc chuyên

các tài liệu của toả án Hiện tại các biểu mẫu thư nhận thông tỉn thanh toán trên

WEB thường đạt chứng nhận an toàn và bảo mật Class 1, nhưng hiện tại một số cửa hàng trên WEH cũng đã đạt mức an toản và báo mật Class 2 vá khách bàng cũng đã

tắt đâu nhận được chúng thông qua một công nghệ được gọi là SET

21

Hình 2.2 : Ví dụ về chứng thực số hỏa

3.23 Giao thức thỏa thuận mã khỏa

Một trong những hạn chế của mã hóa công công lả không hiệu quả khi gửi số

lượng lớn thông tin, dữ liệu vi nỏ đỏi hỏi máy tinh có tốc độ nhanh, khả năng xử lý

mạnh Do vậy phương pháp mã hóa công công khó có thẻ coi là sự thay thế hoàn

hảo cho mã hóa bí mật Thay vào đỏ, mã hóa công công có thể được sử dụng dé hai bên tham gia giao địch trao đổi mã khóa sử dụng trong mã khóa bí mật Giao thức

thỏa thuận mã khỏa là quả trình các bên tham gia giao dịch trao đổi mã khỏa Giao

thức đặt ra quy tắc cho thông tin: loại thuật toán nào sẽ được sử dụng trong liên lạc

Môt trong những giao thức thỏa thuận mã khóa là phong bì số hóa (digital

envelope) Theo phương pháp này, thông điệp được mã hóa bằng mã khỏa bí mật và

sau đỏ mã khóa bi mật được mã hỏa sử dụng phương pháp mã hóa công công

Người gửi sẽ kèm thông điệp đã được mã hỏa (bằng khỏa bi mật vả khỏa bí mật

được mã hỏa bằng khóa công công) và gửi toàn bộ cho người nhận

224 Chữ ký điện tứ

Chữ kỷ điện tử là một phương pháp mã hỏa công công được sử dụng phỏ

biến trong thương mại điện tử Các tải liệu và các văn bản gửi đi đêu phải gắn liền

với trách nhiệm của người phát hảnh tải liệu đỏ và đỏi hỏi phải được đảm bảo an

ninh (không bị xâm phạm, thay đối ) Giống như trong thương mại truyền thông,

2

sử dụng chữ ký cá nhân, trong thương mại diện tử cĩ chữ ký diện tử (electrorie

signature) hay chữ kỷ số hĩa (digital signature)

Chữ ký điện từ là bắt cứ âm thanh điện tử, ký biện hay quả trình điện tử gắn với hoặc liền quan một cách logic vời một văn bản điện rữ theo một nguyễn tắc nhất

định và Âược người lp (hay cĩ ý định lý) văn bản đĩ thực thí hoặc áp dụng

Chữ ký điện Lử là băng chứng hợp pháp dừng dễ và dũ để khẳng định trách nhiệm của người ký văn bản điện tứ về nội dung của nĩ, tính nguyễn gốc của văn

'bản điện tử sau khi được chuyển khỏi người ký nĩ

- Cách thức hoại động của chữ ký điện tứ

‘Cac vin ban được “ký” bằng mã khỏa bị mật của người tạo ra vẫn bản đĩ, Dễ

tăng nhanh quả trình, mã khĩa bi mật được sử đụng cho một đạng ngắn hơn của văn

ban (dé iw), gọi là “hash” hay “mmessage dhgòt” chứ khơng sử dựng cho tồn bộ dang nguyên thủy của dữ liệu Từ đĩ tạo ra được chữ ký điện tử Chữ ký điện tử cĩ thể được lưu trữ hay chuyến đi cùng với đữ liệu Chữ ký điện từ được các bên tham gia giao dịch kiểm tra khi sử đụng mã khĩa cơng cộng của người ký Đặo điểm này

rất quan trọng, v¡ dụ, truyền một tệp dữ liệu khơng mang virus, bất lỳ người nhận nao cĩ thể kiểm tra liệu lệp đĩ van 4 dang ban đâu, chưa bị thay đổi để ấn chứa

virus bằng cách kiểm ta chữ ký diện tứ di kèm, Nếu chữ kỷ điện tử khơng bị thay

đổi, người nhận cĩ thể chắc chắn rằng dữ liệu khơng bị thay đổi sau khi được ký và

truười cĩ mã khĩa cơng oộng chính là nguời đã ký

- Chit ky sé (digital sianature), là một dạng, của chữ ký diện tứ được tạo ra

‘bang cách 4p dụng thuật tốn băm một chiều trên văn bản gốc đẻ tạo ra bản phân

tích van ban /văn bản tĩm lược (messape địgest) hay cịn gọi là finperprint, sau đỏ

„mã hịa bằng private key tạo ra chữ ký số đính kẻm với văn bán gốc để gửi đi Khi

nhận, văn bản được tách làm 2 phân, phân văn bản gốc được tính lại fingerprint đề

so sánh với fingerprint cif cũng được phục hồi Lừ việc giải mã chữ kỷ số

23

~_ Các bước mã hóa:

Thông điệp chẽ liệu

tom oc} "CMa hea 7 —- Chữ ký số

đi Kết quả ta được một message digest Dùng giai thuat md5 (message digest 5) ta

được đigest có chiều dài 128-bit, dùng giải thuật sha (secure hash algorithm) ta cỏ

chiéu dai 160-bit Sử dụng khóa private key của người gửi để mã hỏa message

digest thu duge ở bước 1 Thông thường ở bước nảy ta dùng giải thuật RSA Kết

quả thu được gọi lả digital signature của message ban đầu Gộp digital signature vảo

message ban đâu Công việc nảy gọi là “kỷ nhận” vào message Sau khi đã kỷ nhân vào message, mọi sự thay đôi trên message sẽ bị phát hiện trong giai đoạn kiểm tra

Ngoài ra, việc ký nhân đảm bão người nhận tin tưởng message này của người gửi

-_ Các bước kiểm tra:

thông đúng người gửi

Nôi dung thông điệp

tòan ven

Nỗi dung thông điệp bị thay đổi

Hình 2.4: Các bước kiểm tra thông điệp ký

24

- Thâm định chữ ký số: Dung public key của người gửi (khỏa nảy được thông báo đến mọi người) đẻ giải mã chữ kỷ số của message Dùng giải thuật (mdS hoặc sha) băm message đính kèm So sánh kết quả thu được ở bước 1 và 2 Nêu trùng nhau, ta kết luận message nảy không bị thay đổi trong quá trình truyền vả

message này là của người gửi

Hinh 2.5: Mô hình hoạt động của chữ kỷ điện tử

225 An ninh mạng và bức tường lửa

Mục tiêu của an ninh mạng là chỉ cho phép người sử dụng được cấp phép truy

cập thông tin và dịch vụ, đồng thời ngăn cân những người sử dụng không được cap phép có thẻ truy cập vào hệ thông

Bức tường lửa: Đây là một phương pháp khá căn bản áp dụng trong an ninh

hệ thống Mục tiêu của bức tường lửa là bảo vệ mạng LAN (Local area network)

khỏi những người xâm nhập từ bên ngoài Ví dụ hau hết các công ty có hệ thông,

mạng nội bộ cho phép nhân viên chia sẻ các tép thong tin vả truy nhập các thông tin

của công ty Mỗi mạng LAN cỏ thể kết nổi với imternet qua một công và thông,

thường phải có tường lửa

25

Đức tường lửa là một phân mém hoặc một phan cứng cho phép người sử dung rạng máy tỉnh của một tổ chức có thể truy cập tải nguyên của các mạng khác (nhu Trang internet) nhưng động thời ngăn cắm những người sử dụng khác (không được

phép) từ bên ngoài truy cập vào mạng máy tính của tổ chức, Một bức tường lửa có

những đặc điểm sau:

~_ TẤL gỗ cáo giao thông li bén trong mang may tinh của lỏ chức và ngược lại đến phải đi qua đó

-_ Chỉ các gian thông được phép, theo quy định về an ninh mạng của tổ

chức, mới được phép đi qua

-_ Không được phép thâm nhập vảo chỉnh hệ thống này

Cân lưu ý là tường lửa không có tác đựng bão về trong, các trường hợp sau:

~_ Hãnh động phá hoại hoặc truy nhập trái phép xuất phát lừ mạng bên trong

(ving mang tin cay)

- Bao vé mang khối những truy nhập được phép nhưng là những truy nhập

Trang mục địch xấu Bởi vì những truy nhập này sau khi được xác thực thâm quyén thì được phép làm mọi thử trong thẩm quyển của nó

- Pao vé mang khdi lal ca cae cuộc tân công có hại Tin lặc có thể lợi dung

lỗ hỗng của các công dịch vụ mà truy nhập dến các cổng này dược sự cho phép của

tưởng lúa

2.3 Một số giao thức bảo mật thông dung trong ứng dụng Web

Word Wide Web có cơ sở ứng dụng lá client/server chạy trên Internet và các

mạng Intranet với giao thức TCP/IP Những thách thức mới đổi với bảo mật Web đã

trở thành cần thiết hơn bao giờ hết nhất là trong cách mạng bối cảnh các mạng máy tinh va cdc dich vụ sử dựng Web ngày cảng phát triển

Intemet như con đao hai lưỡi Không giống những mỏi trường truyền thông

như những hệ thông điện tin, đảm tho:

Mx, các Web server luôn có ngy cơ phải

“hứng chịu cáo cuộc tấn công trên toàn bộ mạng Internet

Có nhiều giải pháp cho vẫn để bảo mật ứng đựng Web, các nhà nghiên cứu

chỗ yếu tập Izung vào việc nghiên cửu và xem xét nhằm cải tiễn các dịch vụ đã cưng,

26

cấp và các kĩ thuật đã dược sử dụng, nhưng với một cách tiếp cận mới trong giới ban của giao thức 'TCP41P Sự khảe biệt chính là việc cung cấp cơ chế báo mật cho

TP Tiên bộ này của IP8ec

thể hiện ở chỗ nó tạo một kênh thông suốt, kênh sạch,

giữa người sử dụng cuối với ứng dụng như là một giải pháp thống nhất Hơn nữa, TPSec côn chúa một bộ lọc đặc biệt để lựa chọn tuyển giao vẫn tránh hiện tượng,

trân bộ nhớ rong quả trình xử lý của TPSc

Một giải pháp nữa là cái tiến cơ chế báo mật trên giao thức TCP, một trong

những y tưởng dẫn dắt đến sự ra đời của giao thức Secure Sockets layer (SSL) và

‘Transport layer Sercurity (ILS) 6 tang này, có hai sự lựa chọn là SSL hoặc là TL, 8SL được cung cấp như là một giao thức hỗ trợ nên hoàn toàn có thể bảo mật bất kì giao thức ứng đụng nào được xếp trên lớp TCP một cách trong suốt Ngoài ra, SSL còn có thể được gắn vào các ứng dụng như một gói đặc biệt, ví dụ như các trính đuyệt T5 và Netscape déu được trang bị 5SL, các Web server cũng déu đã được ba

sung giao thức này

2.3.1 Cơ chế bảo mật SSL (Secure Socket Layer)

Như đã để cập ở trên, hai giao thức bảo mật quan trọng tại lớp vận chuyến

- SSL 2.0: Duge xat nhap vao Netscape Communications 1.0 đến 2.x Nó cỏ

một số điểm yếu lên quan đến các cuộc tấn công của đối tượng trung gian

Miorosofl cũng đã giới thiệu giáo thac PCT (Privale Communivation Technology)

cạnh tranh trong lần tung ra Internet Explorer dâu tiên của nỏ vào năm 1996,

- SSL 3.0: Netscape Communications di phan ủng lại sự thách thức PCT

cia Microsoft bing cách giới thiệu SSL 3.0 Vốn giải quyết các vấn dễ trong SST 2.0 và thêm một số tỉnh năng, mới

Tình 2.7: Kiến trúc của SSE,

“Tóm lại, giao thức 88L cung cấp sự bảo mật ưruyên thống vốn có 3 đặc tính cơ

bản:

1 Các bên giao tiếp (nghĩa là Client vả server) có thể xác thực nhau bằng,

cách số dựng mật mã khóa chúng,

2 Sự bị mật của lưu lượng đề liệu được bảo vệ vì kết nói được mã hỏa trong,

suốt san khi một sự thiết lập quan hệ ban đâu và có sự thương lượng khỏa session

28

3, Tính xác thực và tỉnh toàn vẹn của lzu lượng dữ liệu cũng được bảo về vì

các thông bảo được xác thực vả được kiểm tra tinh toan vẹn mét cách trong suối

h sit dung dia chi MAC

bang «i

Tuy nhiên diễu quan trọng can lwu y 1a SSL khéng ngăn các cuộc tấn công, phân tích lưu lượng, ví đụ: bằng cách xem xét các địa chỉ IP nguồn và đích không,

được mã hỏa và các cổng TCP, hoặc xơ xét lượng đữ liệu dược truyền, mội người

vẫn phân tích lưu lượng vẫn có thé xac định các bên nao đang tương tác, các loại

dich vu nào đang được sử đụng, và đôi khi danh được thông tin về các mỗi quan hệ

doanh nghiệp, cá nhân Hơn nữa SSL, không ngăn các cuộc tắn công làm tran ngap

TCP Dé sit dung sy báo vệ của SSL cả client và server phái biết rằng phía bén kia

dang str dung SSL Ndi chung có ba khả năng giải quyết vẫn đẻ này:

1 Sử dụng các cổng chuyên dụng đành riêng bổi inlerncL ssigried sumber Authority (LANA)

2 Sử đụng số cống chuẩn cho mọi giao thức ứng dụng và để thương lượng

cáo tùy chọn bão rnật như lá một phẩn của giao thức ting dung,

3 Sử dụng một tủy chọn ICP để thương lượng việc sứ dụng một giao thức

‘bao mal, nhu SSL trong suốt giai đoạn thiết lập kết nội TCP thông thường

Fip-data 089 FTP (đữ liệu) trên TLS/SSL

Fips 990 FTP (diéu khién) tren TLSYSSL

2.3.2 Cư chế bân mật SET

"Liêu chuẩn bảo mật mới nhất trong thương mại điện tử là ST viết tất của

Secure Eleclrorie Transaction- Giao địch điện tử øn loàn, được phái triển bởi một tap doan cdc céng ty thé tin dung lon nhw Visa, MasterCard va American Express, cũng như các nhà băng, các công ty bán hàng trên mạng và các công ty thương mại khác SET có liên quan với SSI do nó cũng sử dụng các khoả công cộng và khoả

riêng với khoá riêng được giữ bởi một cơ quan chứng nhận thâm quyển Khỏng,

giống như SSL, ST đặt các khoá riêng trong tay của cả người mua và người bán

trong một giáo địch Điều đó có nghữa là một người sử đụng thông thường cân các khoá riêng của họ va cin phải đăng ký các khoả nay cũng giỏng như các máy chủ

phải làm Dưới đây là cách má hệ thắng nảy làm việc Khi một giao địch SET được

xác nhận quyền sử dụng, suấ khoá riêng của người sử dụng sẽ thực hiện chức răng,

giống như một chữ ký số, để chứng minh cho người bán về tính xác thực của yêu

câu giao địch từ phía người mua và các mạng thanh toán công cộng Trong thực tế

nó giống như lả việc ký vào tò giấy thanh toán trong nhà hàng, Chữ ký số chứng, mình là ta đã ăn thịt trong, món chính và chấp nhận hoá đơn Do người mua không, thể thoát ra khỏi một giao dich SET, để khiếu mại vẻ việc họ không mua hàng nên

cáo giao dịch SET theo lý thuyết sẽ chay qua các hệ thống thanh toán giống như ta

snua hảng ớ thiết bị đầu cuối tại các cửa hang bách hóa thực

Các đặc trưng cơ bản của SET:

-_ Thông tin tin cậy: Thông tin tái khoản và các thông tín cho việc chi trả được

bảo vệ khi nó được truyền đi trong mạng Một điều thú vị và quan trọng nhất ở đặc trưng nảy của SET là nó ngắn không cho nhà kinh doanh biết được số thể tín dụng, của người sử dụng, mả điều này chỉ được cung cấp cho các ngân hàng, phát bảnh

Quy tước mã hóa này được SBT ding để cưng cấp các tin cậy

¢ Tha kinh doanh

~_ Toàn vẹn dữ liệu: Thông tin chỉ trễ từ người sử đụng tới

bao gém cáo thông tin thanh toán, dữ liệu cả nhân và các đử liệu cho việc chỉ trả

SET đảm bảo việc các nội đụng của thông điệp không bị biển đổi trang khi gửi đi

30

Chit ky 36 RSA, str dung bam bam SHA-1, sẽ dim bảo tính toàn vẹn của các thông điệp này

- Chứng thực các nhả kih doanh: SẾT cho phép người sử dựng thể xác

nhận một nha kinh doanh cỏ quan hệ với một tổ chức tải chỉnh có khã nãng chấp nhận các thé chỉ trả Trong trường hợp nảy SET có sử đụng chúng rhận số X.509v3 va chit ky 34 RSA

Chú ý rằng SET không giống như [PSec va SSL/TLS, nd chí cũng cấp một

chọn lựa ứng với mỗi thuật toán mã hóa Dây là một sự khôn ngoan bởi SBT là một ứng dụng đơn độc lập với một tập hợp các yên cầu riêng, mà ở đó IPÑec và

SSL/TLS dong vai trò hỗ trợ ở một phạm vi nào đỏ của các ứng, dụng

2.4 Một số kỹ thuật tẫn công và bảo mật ứng dụng web

241 Kỹ thuật tấn cing bang SQL Injection va cach phéng chéng

2.4.1.1 Khái niệm SQL Injection

SQL injection 14 mét kỹ thuật cho phép những kẻ tắn công lợi đụng lễ hồng của việc kiểm lra đữ liệu đầu vào trong các ứng dụng web và các thông báo lỗi của

"hệ quản trị cơ sớ dữ liệu tra vé dé inject (tiém vào) và thị hành các câu lệnh: 8QL bất hep phap, Sgi injection c6 thé cho phép những kế tắn công thực hiện các thao tác,

doletc, msert, updatc, trên cơ sỡ dữ liệu của ứng dụng, thậm chí là server mà uc,

dung dé dang chạy, lỗi này thường xây ra trên các ứng dụng web có dữ liêu được

quân lý bằng các hệ quân trị cơ sở đữ liệu như SỌI, Server, MySQLL, Oracls, DB2

4.1.2 Một số dạng tân công thường pặp với các ứng dụng meb

Có bến dạng tân công thường gặp bao gồm: vượt qua kiểm tra lúc đăng nhập,

sử đụng câu lệnh SELECT, sử đụng câu lénh INSERT, sit dung các stored- procedures

ø/ Dạng tấn công vượt qua kiếm tra lúc đăng nhập

Voi dang tan công này, tít tặc có thể để đàng vượt qua các trang đăng nhập

nhờ váo lỗi khi đúng các câu lệnh SQL thao tác trên cơ sở đữ liệu của ủng dụng web Thỏng thường để cho phép người dùng truy cập vào các trang web được bảo

xnật, hệ thống thường xây dựng trang đăng nhập dé yêu cầu người dùng nhập thông,

31

tin vé tén đăng nhập và xuật khâu Sau khi người dùng nhập théng tin vào hệ thông,

sẽ kiểm tra tên đăng nhập và mật khẩu có hợp lệ hay không để quyết định cho phép trấy từ chối thực hiện tiếp Ví dụ, trong trường hợp sử dựng ASP, người tø có thể ding 2 trang : 1 trang HTML dễ hiển thị Form nhập liệu và } trang ASP dé xi ly thông tin nhập vào từ phía người dùng như sau:

Vsername:<input type='1ex/ name="fUBRNAME"

Password:<input type="password" name="{PASSWORD"> <br >

- Trang xử lý nhập liệu: execlogin.asp

Tim vUarNgme, vPassword, chjRS, sirSQ,

vUsrName = Request Form("fUSRNAME")

Password = Request Form("fPASSWORD")

strSQI —"SEILECT † FROM T_USERS "& _

“WERE USR_NAML=' "& vUsrName & _

*t and USR PASSWORD=' "& vPassword &"!"

SetobjRS Server CreateObject("ADODB Recordset")

Chỗ sơ hở trong đoạn mã xử lý nhập liệu trên nằm ở chỗ đữ liệu nhập vào từ

người dùng được dùng dé xây dung trực tiếp câu lệnh SQL Chính điều nay cho phép (in te co thé điều khiển câu truy vấn sẽ được thực hiện Vĩ dụ, tiễn người

dùng nhập chuỗi trong ngoặc sau vào trong cá 2 ö nhập liệu username/password của

trang login.htm là:(OR.=) Lúc này, câu truy vẫn sẽ được gọi thực hiện là:

SELECT*FROM T USERS WHERE USR NAME "OR" "AND USR_PASSWORD="0R"="

Câu truy vấn nay là hợp lệ và sẽ trả về tất cả cáo bản ghi cia T USERS va

đoạn tuã tiếp theo xử lí người đùng đăng nhập bật hợp pháp này như là người ding

đăng nhập hợp lệ

b/ Dạng tain céng sir dung cau lénh SELECT

Đăng tấn công nảy phúc tạp hơn Đề thực hiện được kiểu lấn công này, kế tấn công phải có khả năng hiểu và lợi dụng các sơ hỏ trong các thông bảo lỗi từ hệ thông dé do tim các điểm yêu khởi đâu cho việc tân công Ví dụ, trong các trang tìm kiểm Các trang này cho phép người dùng nhập vào các thông tín tìm kiếm như Họ,

'Tên Đoạn mã thưởng gặp là:

%

Tim vAuthorWame, objRS, srSQL

vAuthorName Request(“(AUTHOR_NAMB")

st'SQL = "SELECT * FROM T_AUTHORS WHERE AUTHOR _NAME

& vAuthorName & "'"

SclobjRS Server CreateObject" ADODB Recordset")

‘DROP TABLE T_AUTHORS

Câu truy vẫn sẽ thực hiện việc xóa bang

of Dang tdn công sứ dụng câu lệnh INSHIUT

Thông thường các ứng dụng web cho phép người dùng đăng kỉ một tải khoản

đẻ tham gia Chức năng không thể thiểu là sau khi đăng kí thành công, người đúng,

có thể xem và hiệu chỉnh théng tin cia minh SQL injection có thể được dùng khi

hệ thông không kiếm tra tính hợp lệ của thông tin nhập vảo Ví dụ một câu lệnh TNSERT có thể

p dang:

INSERT INTO TableName VALUESCValue One, 'Value Twơ, ‘Value

strSQL = "INSERT INTO TableName VALUESC " & strValueOne & "1," _

& strValueTwo & "|,!" & strValueThree & "')"

Set objRS — Server CreateObjecl(" ADODB Recordset")

objRS.Open strSQL, "DSN= "

| (SELECT TOP 1 FieldName FROM TableName) | '

INSERT INTO TableName VALUES( ' + (SELECT TOP 1 FieldName

FROM TableName) +, 'abơt, !đef)

P

Việc lần công bing slored-provedures sẽ gây tác hại rất lớn nếu ứng thụng

được thực thi với quyên quản trị hệ thông 'sa' Ví dụ, nếu ta thay đoạn mã tiềm vào

dạng: '; LXHC xp_cmdshell 'emdd.exe dự C: ' Lúc này hệ thống sẽ thực biện lệnh

liệt kê thư mục trên ð đĩa C\ cài đặt server Việc phá hoại kiểu não tuỳ thuộc vào

câu lệnh dang sau cmd.exe

3.4.1.3 Cách phòng chồng

-_ Trong hầu hết trình đuyệt những kỉ tự nên được mã hóa trên dia chi URL

trước khi được sứ dụng

- Việc tấn công theo SQL Injection dựa vào những câu thông báo lỗi đo đỏ việc

phông chẳng hay nhất vẫn là không cho hiển thị thững thông điệp lỗi cho người dùng

bằng cách thay thế những lỗi thông báo bằng một trang do người phát triển thiết kế

znỗi khi lỗi xảy ra trên ứng đụng,

- Kiém Ira kĩ giá trị nhập vào của người đứng, Hay thế những kí tự như “v.v.”

lãy loại bỏ các ki tự meta như “;"4(;” và các kí tự extend như NULL, CR,

e_ Dữ liệu nhập do người dùng đệ trilt

c Các tham sé tty URL

Cie gia tri tir cookie

- Pai voi cac gia tri numeric, hãy chuyên né sang imeger (rude Khi thue hiérr

câu truy vẫn SQL, hoặc ding ISNUMLRIC dé chic chin né JA mét sé integer

- Dime thuat toan đế mã hoá dữ liệu

— Kiểm tra lính đúng đắn của dữ liệu là 1 vấn để phúc tạp và thường chưa được quan tâm đúng mức trong các ứng dụng Khuynh hưởng của việc kiểm tra tinh đúng đắn của đữ liệu không phải là chỉ cần thẻm một số chức năng vào ứng đụng, mà phải kiểm ta mat cach ng quan nhanh chóng để dạt được muc dich

chỉnh sửa đề làm cho đữ hệu hợp lệ

Cross-Site Scripting hay con được gọi tắt là XS8 (thay vì gọi tắt lá CS8 dễ

tranh nhằm lẫn với CSS-Cascading Style Sheet của IITML) là một kĩ thuật tấn công bằng cách chèn vào các website động (ASP, PHD, CGI, ISP ) những thẻ HTML

"hay những đoạn mã seript nguy hiểm có thể gầy nguy hại cho những người sử dụng, khảo Trong đó những đoạn mã nguy hiểm được chèn vào hâu hết được viết bằng

Client-Site Script nhu javascript, Jseript, DHTML và cũng có thể là các thẻ HTMI,

XSS là một lỗi phổ biến, có rất nhiễu trang wcb bị mắc phẩt lỗi này, chính vì thế

ngay cang có nhiền người quan tâm đên lễi này

Và nội dung xuất hiện trên trình đưyệt là một cải popup cé théng tin !4 ‘1°

TRUY TÌM 1.6 HONG X88 CUA UNG DUNG WEB

36

Cách 1: Sử dụng nhiều chương trình dỏ quét lỗi của ứng dụng web, vi du như

chương trình Web Vulnerability Scanner đề đỏ quét lỗi XSS

Cách 2: Thực hiện 5 bước:

© Bude 1: Mé website can kiém tra

© Bước 2: Xác định các chỗ (phản) cần kiểm tra XSS 1 Site bat ky bao giờ cũng có các phần: Search, error message, web form Chủ yêu lỗi X8S§ nằm ở phan

nảy, nói chung X8S có thể xảy ra ở chỗ nảo mà người dùng có thể nhập dữ liệu vào

và sau đỏ nhận được một cái gi đó Ví dụ chủng ta nhập vào chuỗi ‘XSS"

ø_ Bước 3: Xác minh khả năng site có bị lỗi XSS hay không bằng cách xem các

thông tin trả vẻ Ví dụ chúng ta thấy thế này: “Không tìm thay XSS `, hay là “Tải

khoản XSS không chính xac’, ‘Dang nhap với XSS không thành công" thì khi đó

khả năng chỗ đỏ bị dinh X88 1a rat cao

ø_ Bước 4: Khi đã xác định chỗ có khả năng bị dinh lỗi XSS thi ching ta sẽ chèn những đoạn code của chúng ta vảo đề thử tiếp, ví dụ như sau

Chèn đoạn eode này: < seript>alert(XS8)< /script> vào ô bị lỗi vả nhân nút Login, nêu chúng ta nhận được một popup có chữ 'X88' thì 100% bị dính XS§

Nhưng xin chú ÿ, thỉnh thoảng vẫn cỏ trường hợp website đỏ bị dính XS§ nhưng vân không xuất hiện cái popup thì buộc lòng bạn phải VIEW SOURCE§ (mô bụng)

nó ra để xem Khi view sources nhớ kiếm dòng nay < script>alert("XSS)< /script> , nêu có thì hết chạy, gọi http:/Avebsitebiloi.com/ là site bị dinh lỗi X8§ vả ta tìm

được nơi bị lỗi như thể này : http:/websitebiloi.com/index.php?page=<seript </

seript>, nghĩa là ta có thể chèn code ngay trén thanh ADDRESS

© Bude §: Lên kế hoạch kịch bản tân công

2.4.2.2 Cách phòng chỗng

Như đã đẻ cập ở trên, một tấn céng XSS chỉ thực hiện được khi gửi một trang web cho trình duyệt web của nạn nhân có kèm theo ma script độc của kẻ tân công Vì vậy những người phát triển web có thẻ bảo vệ website của minh khỏi bị lợi

dụng thông qua những tan công XSS nảy, đảm bảo những trang phát sinh động

không chứa các tag của script bằng cách lọc và xác nhận hợp lý các dữ liệu đâu vào

37