Thực Hiện Bảo Mật trong Thương Mại Điện Tử

Nội Dung Bảo vệ bản quyền, quyền sở hữu trí tuệ  Kỹ thuật WaterMarking và 1 số công ty cung cấp giải pháp  Thiết lập bảo vệ trong trình duyệt Web  Chứng thực số  Bảo mật khi truyền

THỰC HIỆN BẢO MẬT TRONG

THƯƠNG MẠI ĐIỆN TỬ

ThS Phạm Đình Sắc

dinhsac@dntu.edu.vn

TRƯỜNG ĐẠI HỌC CÔNG NGHỆ ĐỒNG NAI DONG NAI UNIVERSITY OF TECHNOLOGY

Nội Dung

 Bảo vệ bản quyền, quyền sở hữu trí tuệ

 Kỹ thuật WaterMarking và 1 số công ty cung cấp giải pháp

 Thiết lập bảo vệ trong trình duyệt Web

 Chứng thực số

 Bảo mật khi truyền gửi thông tin

 Các giải thuật mã hóa, các nghi thức truyền thông

mã hóa

 Văn bản với chữ ký điện tử

 Proxy, FireWall

2

Bảo vệ tài sản TMĐT

 Cần phải ghi rõ (văn bản) việc phân tích cũng như chính sách bảo mật

• Các tài sản nào cần được bảo vệ

• Cần thực hiện gì để bảo vệ tài sản

• Phân tích các mối đe dọa

• Các qui định về việc bảo vệ

3

Bảo vệ tài sản TMĐT

 Cần quan tâm đến những nguy hại xâm phạm đến tài sản khi kinh doanh TMĐT

• Truy cập bất hợp pháp

• Sửa chữa, cập nhật thông tin

• Phá hoại thông tin

 Liên quan đến thông tin bí mật của doanh nghiệp

• Không tiết lộ với bất kỳ ai bên ngoài doanh nghiệp

4

Bảo vệ quyền sở hữu trí tuệ

 Vấn đề: giao dịch mua bán trên mạng Internet nhưng vẫn có khả năng xác nhận quyền sở hữu khi cần thiết

 Các khuyến nghị bảo vệ quyền sở hữu trong không gian ảo (Cyberspace):

• Ngăn chặn các host name bất hợp pháp

• Lọc gói tin - Packet filtering

• Sử dụng các Proxy servers

5

Một số công ty cung cấp các phần mềm

bảo vệ bản quyền

 ARIS Technologies

• Hệ thống Digital audio watermarking

• Nhúng mã vào các tập tin âm thanh thể hiện bản quyền

 Cho phép nhúng thông tin tác giả (gọi là watermark) vào các tài liệu số hoá  chất lượng của tài liệu không bị ảnh hưởng nhằm xác nhận bản quyền

 Ngoài ra, kỹ thuật watermarking còn đòi hỏi sự mạnh mẽ trong việc chống lại các thao tác tấn công nhằm xóa bỏ thông tin được nhúng

8

 Hai hướng áp dụng chính của kỹ thuật

watermarking là

• Xác nhận (chứng thực) thông tin

• Đánh dấu bảo vệ bản quyền

 Kỹ thuật này đã được ứng dụng phổ biến tại

nhiều nước trên thế giới (Việt Nam? )

9

Một số công ty cung cấp các phần

mềm bảo vệ bản quyền

 SoftLock Services (www.softlock.net)

• Cho phép khóa các tập tin

• Gửi các tập tin lên mạng

• Sử dụng 1 khóa giải mã (sau khi trả

tiền) để có thể sử dụng

10

Bảo vệ các máy khách

 Các thông tin dạng Active content, được tải về

máy từ các trang web động là 1 trong các hiểm

họa với máy tính của NSD

 Mối đe doạ đến từ

• Các trang web

• Các hình ảnh, plug-in, tải về

• Các phần đính kèm trong e-mail

11

Bảo vệ các máy khách

 Hiểm họa từ Cookies

• Chứa các thông tin nhạy cảm, không

mã hóa, bất kỳ ai cũng có thể đọc và hiểu các thông tin trong cookies

 Hiểm họa từ các website mạo danh

(Misplaced trust)

• Các Web site giả mạo nhằm lừa NSD

đăng nhập vào và để lộ các thông tin nhạy cảm

12

Kiểm soát các nội dung dạng Active

 Các trình duyệt Firefox, Google Chrome, Netscape Navigator, Microsoft Internet Explorer cho phép NSD kiểm soát và quyết định tải về các thông tin dạng Active

 Chứng thực số (Digital certificate) bảo đảm cho

cả clients và servers tính xác thực, đúng đắn của 2 phía tham gia

13

Xác nhận số - Digital Certificates

 Còn được gọi là digital ID

 Có thể được đính kèm với e-mail

 Được nhúng trong 1 trang web

 Sử dụng để xác nhận chính xác người sở hữu digital ID

 Được mã hóa để không ai có thể đọc hay nhân bản

14

Trung tâm Chứng thực kỹ thuật số - CA

 Cấp và quản lý chứng thực số cho tất cả các đối tượng tham gia trong môi trường giao dịch điện tử

 Chứng thực số cho các cá nhân và tổ chức thực hiện an toàn các giao dịch trong môi trường điện

tử, như gửi nhận e-mail, mua bán hàng hoá, trao đổi thông tin, phát triển phần mềm

15

Trung tâm Chứng thực kỹ thuật số

 Các chức năng chính của Trung tâm chứng thực số

Trung tâm Chứng thực kỹ thuật số

 Công cụ an toàn, bảo mật và xác thực hợp pháp cho các hệ thống hoạt động thương mại điện tử: các web site giao dịch B2B, các web site bán hàng,

hệ thống thanh toán trực tuyến

 Sử dụng chứng thực số giúp cho bảo đảm an toàn các giao dịch điện tử Tránh được các nguy cơ, giả mạo thông tin, lộ các thông tin nhậy cảm, mạo danh, xuyên tạc và thay đổi nội dung thông tin

17

 Cơ quan xác thực chứng chỉ số

(Certification Authority – CA) nổi tiếng trên thế giới và vẫn luôn dẫn đầu trong nền công nghiệp xác thực

 Ngoài ra VeriSign còn có các công ty khác:

GeoTrust, Thawte, Entrust, Comodo,

19

D.Nghiệp cấp chứng thực số Việt Nam

 Công ty Cổ phần Công nghệ thẻ Nacencomm

 Tập đoàn Bưu chính Viễn thông (VNPT)

 Công ty An ninh mạng Bkav

 Tập đoàn Viễn thông Quân đội Viettel

 Công ty cổ phần Hệ thống Thông tin FPT

 C.ty cổ phần công nghệ và Truyền thông CK

Tính đến thời điểm cuối năm 2012

20

Microsoft Internet Explorer

 Cung cấp khả năng bảo vệ máy khách (ngay trong trình duyệt)

 Có khả năng kiểm tra các nội dung dạng ActiveX, Java applet

 Kiểm tra tính xác thực của các nội dung được tải về

 NSD xác nhận lần cuối độ tin cậy vào nội dung

được tải về (quyết định tải về hay không)

21

Security Warning và Certificate Validation

Internet Explorer Zones và Security Levels

23

Internet Explorer Security Zone Default Settings

Phối hợp với Cookies

 Có thể thiết lập hạn ngạch thời gian trong vòng

10, 20, hay 30 ngày

 Chỉ có thể truy cập đến những site tạo ra chính

nó

 Lưu trữ thông tin mà người dùng không muốn

nhập vào thường xuyên khi thăm 1 website (tên tài khỏan, mật khẩu)

25

Phối hợp với Cookies

 Các trình duyệt trước đây thường tự động lưu lại các cookie (không cảnh báo NSD)

 Các trình duyệt hiện nay đều cho phép

• Lưu trữ tự do các cookie

• Xuất hiện cảnh báo khi có tình huống ghi

• Không cho phép ghi lại cookie trên máy

26

Bảo Vệ Khi Truyền Thông

 Bảo vệ thông tin, tài sản trong quá trình chuyển tải giữa các máy khách và máy phục vụ

 Bao gồm các yêu cầu

• Bảo mật kênh truyền

• Bảo đảm toàn vẹn dữ liệu

• Bảo đảm hợp lệ, phù hợp

• Xác nhận - Authentication

27

Phương pháp bảo vệ

 Mã hóa - Encryption

• Chuyển đổi thông tin bằng phương pháp toán học - dựa trên 1 chương trình

+ khóa bí mật để tạo ra các ký tự khó hiểu

• Ẩn giấu thông tin-Steganography

+ Thông tin vô hình trước NSD

• Mã hóa thông tin-Cryptography

+ Chuyển đổi dữ liệu gốc sang dạng không thể đọc, không có ý nghĩa,

28

Mã hóa-Encryption

 Tối thiểu : sử dụng khóa 40-bit, mã hóa với khóa có

độ dài 128 bit an toàn hơn

Mã hóa và giải mã bằng 2 khóa khác nhau

• Mã hóa đối xứng -Symmetric (Private-key) Encryption

Dùng 1 khóa để mã hóa và giải mã

29

Secure Sockets Layer (SSL) Protocol

 Thực hiện bảo mật nối kết giữa 2 máy tính

 Máy khách và máy chủ qui ước cấp độ bảo mật, các qui ước xác nhận và các cơ chế bảo vệ thông tin liên lạc khác

 Nhiều cơ chế, kiểu loại bảo mật cho việc thông tin liên lạc giữa các máy tính

30

Q & A

31

Hoạt động của giao thức SSL?

Secure Sockets Layer (SSL) Protocol

 Cung cấp mã hóa 40 bit hay 128 bit

 Sử dụng Session key để mã hóa dữ liệu trong

phiên làm việc

 Độ dài khóa càng lớn thì khả năng bảo mật

càng cao

32

Q & A

34

Các vấn đề nảy sinh khi gửi 1 tài liệu quan

trọng, 1 đơn hàng, 1 hợp đồng,

Chữ ký điện tử được thực hiện với 1 văn

bản, tài liệu như thế nào?

Văn bản với chữ ký điện tử

35

Bảo đảm hoàn thành các giao dịch

 Các gói thông tin được bảo vệ bởi mã hóa hay chữ

ký số không bị đánh cắp

 Tốc độ truyền gửi đảm bảo

 Giao thức thức TCP (Transmission Control Protocol) chịu trách nhiệm theo dõi và kiểm soát các gói tin

 Giao thức TCP yêu cầu máy khách gửi lại gói dữ liệu khi chúng thất lạc

36

Bảo vệ máy chủ Commerce Server

 Quyền truy cập và sự xác nhận

• Những ai có thể đăng nhập và quyền sử dụng trên máy phục vụ

• Yêu cầu máy khách gửi 1 “xác nhận” (certificate) để định danh

• Có thể sử dụng 1 hệ thống callback nhằm kiểm tra địa chỉ và tên máy khách với 1 danh sách

37

Bảo vệ máy chủ Commerce Server

 Tên tài khoản sử dụng cùng với mật khẩu và phương pháp thông dụng

 Tên tài khoản sử dụng: dạng văn bản, Mật khẩu: được mã hóa

 Mật khẩu khi nhập vào được mã hóa và so khớp với thông tin cá nhân của NSD được lưu trữ

38

Bảo vệ với chức năng của HĐH

 Phần lớn các hệ điều hành sử dụng cơ chế chứng thực: tài khoản/mật khẩu

 Phương án thường sử dụng: firewall

• Mọi thông tin vào/ra khỏi mạng đều phải

đi qua tường lửa

• Chỉ cho phép các gói thông tin xác định

• Firewall phải cấu hình tốt nhằm chống lại các cuộc xâm nhập

39

gateway hay proxy server)

• Cổng mạch (circuit - level gateway)

41

Tường Lửa-Firewalls

 Các chức năng của phần mềm firewall

• Lọc các gói tin (Packet filters)

• Hoạt động như 1 Gateway

Nguyên Lý Bộ Lọc Packet

 Bộ lọc packet cho phép hay từ chối mỗi

packet mà nó nhận được

 Các luật lệ lọc packet này là dựa trên các

thông tin ở đầu gói tin (packet header), dùng

để cho phép truyền các packet đó ở trên

mạng

43

44

Packet Filter

45

• Bộ lọc packet là trong suốt đối với người sử dụng và các ứng dụng, vì vậy

nó không yêu cầu sự huấn luyện đặc biệt nào cả.

46

rất khó để quản lý và điều khiển.

• Bộ lọc packet không kiểm soát được nội

dung thông tin của packet

47

Cổng ứng dụng (Application-Level Gateway)

Nguyên lý

Đây là một loại Firewall được thiết kế để tăng cường chức năng kiểm soát các loại dịch vụ, giao thức được cho phép truy cập vào hệ thống mạng Cơ chế hoạt động của nó dựa trên cách thức gọi là Proxy service.

Proxy service là các bộ code đặc biệt cài đặt trên gateway cho từng ứng dụng Nếu người quản trị mạng không cài đặt proxy code cho một ứng dụng nào đó, dịch vụ tương ứng sẽ không được cung cấp và do đó không thể chuyển thông tin qua firewall.

48

Cổng ứng dụng

49

Cổng ứng dụng

Ưu điểm

• Cho phép người quản trị mạng hoàn toàn điều khiển được những dịch vụ nào cho phép, bởi vì sự vắng mặt của các proxy cho các dịch vụ tương ứng có nghĩa là các dịch vụ ấy bị khoá.

• Cổng ứng dụng cho phép kiểm tra độ xác thực rất tốt,

và nó có nhật ký ghi chép lại thông tin về truy nhập hệ thống.

• Luật lệ lọc filltering cho cổng ứng dụng là dễ dàng cấu hình và kiểm tra hơn so với bộ lọc packet

50

Cổng ứng dụng

 Hạn chế

• Yêu cầu các users thay đổi thao tác, hoặc thay đổi phần mềm đã cài đặt trên máy client cho truy nhập vào các dịch vụ proxy

51

Cổng ứng dụng

52

 Không thể ngăn chặn một cuộc tấn công nếu cuộc tấn công này không "đi qua" nó

53

• Tuy nhiên, Firewall vẫn là giải pháp

hữu hiệu được áp dụng rộng rãi.

54

Q & A

55

Bài cho kỳ tới:

Các Hình Thức Thanh Toán Trong Thương Mại

Điện Tử

56

57