Bài giảng Thương mại điện tử: Chương 6 - ThS. Phạm Đình Sắc

Chương 6 đề cập đến việc thực hiện bảo mật trong thương mại điện tử. Các nội dung chi tiết được thực hiện trong chương này gồm có: Bảo vệ bản quyền, quyền sở hữu trí tuệ; kỹ thuật WaterMarking và 1 số công ty cung cấp giải pháp; thiết lập bảo vệ trong trình duyệt Web; chứng thực số;... Mời các bạn cùng tham khảo.

Company

Thực Hiện Bảo Mật trong

Thương Mại Điện

Nội Dung

Ø Bảo vệ bản quyền, quyền sở hữu trí tuệ

Ø Kỹ thuật WaterMarking và 1 số công ty cung cấp giải pháp

Ø Thiết lập bảo vệ trong trình duyệt Web

Ø Chứng thực số

Ø Bảo mật khi truyền gửi thông tin

Ø Các giải thuật mã hóa, các nghi thức truyền

thông mã hóa

Văn bản với chữ ký điện tử

Bảo vệ tài sản TMĐT

Ø Cần phải ghi rõ (văn bản) việc phân tích cũng như chính sách bảo mật

• Các tài sản nào cần được bảo vệ

• Cần thực hiện gì để bảo vệ tài sản

• Phân tích các mối đe dọa

• Các qui định về việc bảo vệ

Bảo vệ tài sản TMĐT

Ø Cần quan tâm đến những nguy hại xâm phạm đến tài sản khi kinh doanh TMĐT

• Truy cập bất hợp pháp

• Sửa chữa, cập nhật thông tin

• Phá hoại thông tin

Ø Liên quan đến thông tin bí mật của doanh

nghiệp

• Không tiết lộ với bất kỳ ai bên ngoài doanh nghiệp

Bảo vệ quyền sở hữu trí tuệ

Ø Vấn đề: giao dịch mua bán trên mạng Internet nhưng vẫn có khả năng xác nhận quyền sở hữu khi cần thiết

Ø Các khuyến nghị bảo vệ quyền sở hữu trong không gian ảo (Cyberspace):

• Ngăn chặn các host name bất hợp pháp

• Lọc gói tin - Packet filtering

Một số công ty cung cấp các phần mềm bảo vệ bản quyền

Ø ARIS Technologies

• Hệ thống Digital audio watermarking

• Nhúng mã vào các tập tin âm thanh thể hiện bản quyền

Ø Digimarc Corporation

• “Watermarking” với tập tin nhiều dạng thức

Ø Cho phép nhúng thông tin tác giả (gọi là watermark) vào các tài liệu số hoá  chất lượng của tài liệu không bị ảnh hưởng nhằm xác nhận bản quyền

Ø Ngoài ra, kỹ thuật watermarking còn đòi hỏi

sự mạnh mẽ trong việc chống lại các thao tác tấn công nhằm xóa bỏ thông tin được nhúng

Ø Hai hướng áp dụng chính của kỹ thuật watermarking là

• Xác nhận (chứng thực) thông tin

• Đánh dấu bảo vệ bản quyền

Ø Kỹ thuật này đã được ứng dụng phổ biến tại nhiều nước trên thế giới (Việt Nam? )

Một số công ty cung cấp các

phần mềm bảo vệ bản quyền

Ø SoftLock Services (www.softlock.net)

• Cho phép khóa các tập tin

• Gửi các tập tin lên mạng

• Sử dụng 1 khóa giải mã (sau khi trả tiền) để có thể sử dụng

Bảo vệ các máy khách

Ø Các thông tin dạng Active content, được tải về máy từ các trang web động là 1 trong các

hiểm họa với máy tính của NSD

Ø Mối đe doạ đến từ

• Các trang web

• Các hình ảnh, plug-in, tải về

• Các phần đính kèm trong e-mail

Bảo vệ các máy khách

Ø Hiểm họa từ Cookies

• Chứa các thông tin nhạy cảm, không mã hóa, bất kỳ ai cũng có thể đọc và hiểu các thông tin trong cookies

Ø Hiểm họa từ các website mạo danh (Misplaced trust)

• Các Web site giả mạo nhằm lừa NSD đăng nhập vào và để lộ các

Kiểm soát các nội dung dạng Active

Ø Các trình duyệt Firefox, Google Chrome, Netscape Navigator, Microsoft Internet Explorer cho phép NSD kiểm soát và quyết định tải về các thông tin dạng Active

Ø Chứng thực số (Digital certificate) bảo đảm cho cả clients và servers tính xác thực, đúng đắn của 2 phía tham gia

Xác nhận số - Digital Certificates

Ø Còn được gọi là digital ID

Ø Có thể được đính kèm với e-mail

Ø Được nhúng trong 1 trang web

Ø Sử dụng để xác nhận chính xác người sở hữu digital ID

Ø Được mã hóa để không ai có thể đọc hay nhân bản

Trung tâm Chứng thực kỹ thuật

số - CAØ Cấp và quản lý chứng thực số cho tất cả các

đối tượng tham gia trong môi trường giao dịch điện tử

Ø Chứng thực số cho các cá nhân và tổ chức thực hiện an toàn các giao dịch trong môi trường điện tử, như gửi nhận e-mail, mua bán hàng hoá, trao đổi thông tin, phát triển phần mềm

Trung tâm Chứng thực kỹ thuật số

Ø Các chức năng chính của Trung tâm chứng thực số

Trung tâm Chứng thực kỹ thuật

sốØ Công cụ an toàn, bảo mật và xác thực hợp pháp cho các hệ thống hoạt động thương mại điện tử: các web site giao dịch B2B, các web site bán hàng, hệ thống thanh toán trực tuyến

Ø Sử dụng chứng thực số giúp cho bảo đảm an toàn các giao dịch điện tử Tránh được các nguy cơ, giả mạo thông tin, lộ các thông tin nhậy cảm, mạo danh, xuyên tạc và thay đổi nội dung thông tin

Ø Cơ quan xác thực chứng chỉ số (Certification Authority – CA) nổi tiếng trên thế giới và vẫn luôn dẫn đầu trong nền công nghiệp xác thực

Ø Ngoài ra VeriSign còn có các công ty khác: GeoTrust, Thawte, Entrust, Comodo,

D.Nghiệp cấp chứng thực số

Việt Nam

Ø Công ty Cổ phần Công nghệ thẻ Nacencomm

Ø Tập đoàn Bưu chính Viễn thông (VNPT)

Ø Công ty An ninh mạng Bkav

Ø Tập đoàn Viễn thông Quân đội Viettel

Ø Công ty cổ phần Hệ thống Thông tin FPT

Ø C.ty cổ phần công nghệ và Truyền thông CK

Tính đến thời điểm cuối năm 2012

Microsoft Internet Explorer

Ø Cung cấp khả năng bảo vệ máy khách (ngay trong trình duyệt)

Ø Có khả năng kiểm tra các nội dung dạng

ActiveX, Java applet

Ø Kiểm tra tính xác thực của các nội dung

được tải về

Ø NSD xác nhận lần cuối độ tin cậy vào nội

dung được tải về (quyết định tải về hay

không)

Security Warning và Certificate Validation

Internet Explorer Zones và Security Levels

Internet Explorer Security Zone Default Settings

Phối hợp với Cookies

Ø Có thể thiết lập hạn ngạch thời gian trong vòng 10, 20, hay 30 ngày

Ø Chỉ có thể truy cập đến những site tạo ra chính nó

Ø Lưu trữ thông tin mà người dùng không muốn nhập vào thường xuyên khi thăm 1 website (tên tài khỏan, mật khẩu)

Phối hợp với Cookies

Ø Các trình duyệt trước đây thường tự động

lưu lại các cookie (không cảnh báo NSD)

Ø Các trình duyệt hiện nay đều cho phép

Bảo Vệ Khi Truyền Thông

Ø Bảo vệ thông tin, tài sản trong quá trình chuyển tải giữa các máy khách và máy phục vụ

Ø Bao gồm các yêu cầu

• Bảo mật kênh truyền

• Bảo đảm toàn vẹn dữ liệu

• Bảo đảm hợp lệ, phù hợp

• Xác nhận - Authentication

Phương pháp bảo vệ

Ø Mã hóa - Encryption

• Chuyển đổi thông tin bằng phương pháp toán học - dựa trên 1 chương trình

+ khóa bí mật để tạo ra các ký tự khó hiểu

• Ẩn giấu thông tin-Steganography

+ Thông tin vô hình trước NSD

• Mã hóa thông tin-Cryptography

Mã hóa và giải mã bằng 2 khóa khác nhau

• Mã hóa đối xứng -Symmetric (Private-key)

Secure Sockets Layer (SSL)

Protocol

Ø Thực hiện bảo mật nối kết giữa 2 máy tính

Ø Máy khách và máy chủ qui ước cấp độ bảo mật, các qui ước xác nhận và các cơ chế bảo vệ thông tin liên lạc khác

Ø Nhiều cơ chế, kiểu loại bảo mật cho việc thông tin liên lạc giữa các máy tính

Company Logo

Q & A

Ø Hoạt động của giao thức SSL?

Secure Sockets Layer (SSL)

Protocol

Ø Cung cấp mã hóa 40 bit hay 128 bit

Ø Sử dụng Session key để mã hóa dữ liệu trong phiên làm việc

Ø Độ dài khóa càng lớn thì khả năng bảo mật càng cao

Secure HTTP (S-HTTP) Protocol

Ø Mở rộng từ HTTP nhằm cung cấp nhiều tính năng bảo mật

• Xác nhận cả phía máy khách và máy phục vụ

• Cơ chế mã hóa tự động

• Thực hiện tốt cơ chế

Request/response

Văn bản với chữ ký điện tử

Bảo đảm hoàn thành các giao dịch

Ø Các gói thông tin được bảo vệ bởi mã hóa hay chữ ký số không bị đánh cắp

Ø Tốc độ truyền gửi đảm bảo

Ø Giao thức thức TCP (Transmission Control

Protocol) chịu trách nhiệm theo dõi và kiểm

soát các gói tin

Ø Giao thức TCP yêu cầu máy khách gửi lại gói

dữ liệu khi chúng thất lạc

Bảo vệ máy chủ Commerce Server

Bảo vệ máy chủ Commerce Server

Ø Tên tài khoản sử dụng cùng với mật khẩu

và phương pháp thông dụng

Ø Tên tài khoản sử dụng: dạng văn bản, Mật khẩu: được mã hóa

Ø Mật khẩu khi nhập vào được mã hóa và

so khớp với thông tin cá nhân của NSD được lưu trữ

Bảo vệ với chức năng của HĐH

Ø Phần lớn các hệ điều hành sử dụng cơ chế

chứng thực: tài khoản/mật khẩu

Ø Phương án thường sử dụng: firewall

• Mọi thông tin vào/ra khỏi mạng đều

phải đi qua tường lửa

• Chỉ cho phép các gói thông tin xác định

• Firewall phải cấu hình tốt nhằm chống lại các cuộc xâm nhập

Tường Lửa-Firewalls

Ø Chức năng chính của Firewall là kiểm soát luồng thông tin từ giữa Intranet và Internet

• Cho phép hoặc cấm những dịch vụ truy cập

• Kiểm soát địa chỉ truy nhập, cấm địa chỉ truy nhập.

• Kiểm soát người sử dụng và việc truy nhập của người sử dụng.

• Kiểm soát nội dung thông tin thông tin

gateway hay proxy server)

• Cổng mạch (circuit - level gateway)

Tường Lửa-Firewalls

Ø Các chức năng của phần mềm firewall

• Lọc các gói tin (Packet filters)

• Hoạt động như 1 Gateway

Nguyên Lý Bộ Lọc Packet(tt)

Ø Nếu luật lệ lọc packet được thoả mãn thì packet được chuyển qua firewall Nếu không packet sẽ bị bỏ đi

Ø Nhờ vậy mà Firewall có thể ngăn cản được các kết nối vào các máy chủ hoặc mạng nào

đó được xác định, hoặc khoá việc truy cập vào hệ thống mạng nội bộ từ những địa chỉ không cho phép

Packet Filter

• Bộ lọc packet là trong suốt đối với người sử dụng và các ứng dụng, vì vậy nó không yêu cầu sự huấn luyện đặc biệt nào cả.

Ưu/Khuyết điểm

Ø Hạn chế

• Việc định nghĩa các chế độ lọc package là một việc khá phức tạp

• Khi đòi hỏi vể sự lọc càng lớn, các luật lệ vể lọc càng trở nên dài và phức tạp, rất khó để quản lý và điều khiển.

• Bộ lọc packet không kiểm soát được nội dung thông tin của packet

cập vào hệ thống mạng Cơ chế hoạt

động của nó dựa trên cách thức gọi là

C ng  ng d ng ổ ứ ụ

• Luật lệ lọc filltering cho cổng ứng dụng là dễ dàng cấu hình và kiểm tra hơn so với bộ lọc packet

C ng  ng d ng ổ ứ ụ

Ø Hạn chế

• Yêu cầu các users thay đổi thao tác, hoặc thay đổi phần mềm đã cài đặt trên máy client cho truy nhập vào các dịch vụ proxy

C ng  ng d ng ổ ứ ụ

Ø Không thể ngăn chặn một cuộc tấn công nếu cuộc tấn công này không "đi qua" nó

Nh ng h n ch  c a firewall ữ ạ ế ủ

• Không thể chống lại các cuộc tấn công bằng dữ liệu (data-drivent attack).

• Firewall không thể làm nhiệm vụ rà quét virus trên các dữ liệu được chuyển qua nó.

• Tuy nhiên, Firewall vẫn là giải pháp hữu hiệu được áp dụng rộng rãi.

Company Logo

Q & A

Bài cho kỳ tới:

Các Hình Thức Thanh Toán Trong Thương

Mại Điện Tử

Thanks