Bài giảng Thương mại điện tử căn bản: Chương 4 - Trần Thị Huyền Trang

Bài giảng Thương mại điện tử căn bản - Chương 4: An toàn thương mại điện tử cung cấp cho người học các kiến thức: Định nghĩa, những vấn đề đặt ra cho an toàn thương mại điện tử; các nguy cơ và các hình thức tấn công đe dọa an toàn thương mại điện tử; một số giải pháp công nghệ đảm bảo an toàn trong thương mại điện tử. Mời các bạn cùng tham khảo nội dung chi tiết.

4.1 Định nghĩa, những vấn đề đặt ra cho an toàn

thương mại điện tử

4.2 Các nguy cơ và các hình thức tấn công đe dọa

an toàn thương mại điện tử

4.3 Một số giải pháp công nghệ đảm bảo an toàn

trong thương mại điện tử

2

Định nghĩa an toàn thương mại điện tử

Những vấn đề căn bản của an toàn thương mại điện tử 4.1

3

4

1 2 3

• An toàn mang

tính tương đối

• An toàn gắn liền với chi phí

• An toàn là cả một chuỗi liên kết và nó thường đứt ở những điểm yếu nhất

5

Yêu cầu của các bên tham gia

Yêu cầu từ phía người dùng

Yêu cầu từ phía doanh nghiệp

từ cả hai phía

6

người dùng

Website đó có phải do một doanh nghiệp hợp pháp vận

hành và sử dụng hay không?

Website thông tin có chứa đựng những đoạn mã nguy

hiểm hay không?

Website có tiết lộ thông tin cho bên thứ 3 hay không ?

7

Yêu cầu từ phía

doanh nghiệp

Người sử dụng có định xâm nhập và thay đổi nội dung của website hay không?

Người sử dụng có làm gián

đoạn hoạt động của máy chủ

hay không?

8

Thông tin có bị bên thứ 3 nghe trộm không?

( Tính bí mật của thông tin)

Thông tin có bị biến đổi hay không?

( Tính toàn vẹn của thông tin)

9

Internet

Web server Chương trình CGI,… Lưu trữ (CSDL)

Trình duyệt

Web

Xác thực

Tính riêng tư Toàn vẹn

Chống phủ định

Xác thực Cấp phép Kiểm soát

Tính riêng tư Toàn vẹn

Các vấn đề chung về an toàn Website trong thương mại điện tử

12

Bên trong doanh nghiệp

Bên ngoài doanh nghiệp

13

_

Là những nguy cơ đe doạ do các nhân tố bên ngoài

sử dụng phần mềm, tri thức và kinh nghiệm chuyên

môn tấn công vào hệ thống của doanh nghiệp

14

Virus

Worm

Trojan horse

Spyware Adware

Hacker

15

4.2.1.1 Virus

Khái niệm

Virus là một chương trình máy tính, nó có khả năng nhân bản hoặc tự tạo các bản sao của chính mình và lây lan sang các chương trình, các tệp dữ liệu khác trên máy tính

_

16

Tác hại của virus

 Phá huỷ các chương trình, các tệp dữ liệu, xoá sạch các thông tin hoặc định dạng lại ổ đĩa cứng của máy tính

 Tác động và làm lệch lạc khả năng thực hiện của các chương trình, các phần mềm hệ thống

17

Phân loại

_

Virus macro

Virus tệp

Virus script

18

19

Virus macro

 Khi người sử dụng mở các tài liệu bị nhiễm virus trong

các chương trình ứng dụng, virus này sẽ tự tạo ra các bản sao và nhiễm vào các tệp chứa đựng các khuôn mẫu của ứng dụng, để từ đó lây sang các tài liệu khác

 Virus macro cũng có thể dễ lây lan khi gửi thư điện tử

có đính kèm tệp văn bản

_

20

Virus macro

Melissa virus

Virus macro này phát tán khi người dùng mở tài liệu Microsoft Word bị nhiễm Tiêu đề của e-mail có file hiểm độc đó mang tên: "Đây là tài liệu mà bạn cần… đừng cho bất kỳ ai xem" Một khi người dùng mở file đính kèm, Melissa sẽ lợi dụng Microsoft Outlook để gửi mình tới 50 nhân vật đầu tiên trong hộp thư địa chỉ của nạn nhân

21

Virus tệp (file-infecting virus)

 Là những virus thường lây nhiễm vào các tệp tin có thể thực thi, như các tệp tin có đuôi là *.exe, *.com, *.drv

Virus tệp (file-infecting virus)

 Virus này sẽ hoạt động khi chúng ta thực thi các tệp tin

bị lây nhiễm bằng cách tự tạo các bản sao của chính mình ở trong các tệp tin khác đang được thực thi tại thời điểm đó trên hệ thống

 Loại virus tệp này cũng dễ dàng lây nhiễm qua con đường thư điện tử và các hệ thống truyền tệp khác

23

Virus tệp (file-infecting virus)

Virus Chernobyl

 Chernobyl là một loại virus hẹn giờ, cứ ngày 26 tháng 4 hàng năm nó sẽ phá hủy dữ liệu của máy tính mà nó đang lây nhiễm

 Virus "Chernobyl" sau khi xâm nhập vào máy vi tính sẽ xóa tất cả mọi dữ liệu và cố gắng viết lại thông tin được lưu trữ trong con chip BIOS của máy vi tính theo ý nó

24

4.2.1.2 Worm

Khái niệm

Worm là một loại virus có khả năng lây nhiễm từ máy tính này sang máy tính khác Một worm có khả năng tự nhân bản mà không cần người sử dụng hay các chương

trình phải kích hoạt nó

27

Tác hại của worm

 Là một loại virus chuyên tìm kiếm mọi dữ liệu trong bộ nhớ hoặc trong đĩa làm thay đổi nội dung bất kỳ dữ liệu nào mà nó gặp, nhưng thường dữ liệu đã bị hỏng (sai lệch) không phục hồi được

 Nhiệm vụ chính của worm là phá các mạng (network) thông tin, làm giảm khả năng hoạt động hay ngay cả hủy hoại các mạng này

_

28

Cơ chế lây nhiễm của worm

Worm được dùng để chỉ những virus phát tán bằng cách tìm các địa chỉ trong sổ địa chỉ (Address book) của máy mà nó đang lây nhiễm - thường là địa chỉ của bạn

bè, người thân, khách hàng và tự gửi chính nó qua email tới những địa chỉ tìm được

29 Sâu Morris

4.2.1.3 Trojan horse

Khái niệm

Là một chương trình phần mềm được ngụy trang bởi vẻ

bề ngoài vô hại, nhưng ẩn sâu bên trong là các đoạn mã nguy hiểm có khả năng đánh cắp thông tin cá nhân của người sử dụng

_

30

Cơ chế lây nhiễm

 Trojan có thể nhiễm vào máy của bạn qua tệp tin gắn kèm thư điện tử mà bạn đã vô tình tải về và chạy thử, hoặc có lẫn trong những chương trình trò chơi, nhưng chương trình mà bạn không rõ nguồn gốc

 Mở những cổng hậu để hacker xâm nhập, biến máy tính của người sử dụng trở thành công cụ để phát tán thư rác hoặc trở thành công cụ để tấn công website nào đó

31

Tác hại của trojan horse

 Cho phép hacker điều khiển máy tính của người khác từ

xa

 Xoá hay viết lại các dữ liệu trên máy tính, làm hỏng chức năng của các tệp, lây nhiễm các phần mềm ác tính khác như là virus

 Ăn cắp thông tin như là mật khẩu và số thẻ tín dụng, đọc các chi tiết tài khoản ngân hàng và dùng vào các mục tiêu phạm tội

_

32

4.2.1.4 Adware (Phần mềm quảng cáo ngụy trang) Khái niệm

Adware là những chương trình phần mềm được cài đặt một cách lén lút trên máy tính của người sử dụng hoặc

người sử dụng không biết nên tự động cài đặt

33

Cơ chế lây nhiễm

 Đi theo các phần mềm miễn phí, dùng thử, các phần mềm

bẻ khóa (crack, keygen): khi bạn cài đặt hoặc chạy các phần mềm này, Adware sẽ cài đặt lên máy tính của bạn

 Do sự vô tình và hiếu kỳ của người sử dụng

 Do trình duyệt máy tính có lỗi, người sử dụng tự động lạc vào những website lạ

_

34

 Thường được phân phát miễn phí hay là phiên bản dùng thử và chỉ khi người dùng trả tiền cho những phiên bản dùng thử đó các quảng cáo sẽ teo nhỏ hoặc biến mất theo chính sách của hãng phần mềm đó

35

Tác hại của adware

 Tạo cho người dùng sự bực mình

 Là hiện lên những quảng cáo bất hợp pháp mà chưa được người dùng cho phép, thường xuyên hiện lên máy bắt bạn phải mua mới thôi

 Nhanh chóng kết hợp với các sâu máy tính hoặc virus để tăng hiệu quả tấn công phá hủy hệ thống máy tính hoặc

cơ sở dữ liệu

_

36

4.2.1.5 Spyware (Phần mềm gián điệp)

Khái niệm

Spyware là một chương trình phần mềm được cài đặt một cách lén lút và theo dõi mọi hoạt động của người sử dụng trên máy tính Spyware có khả năng xâm nhập trực tiếp vào hệ điều hành, không để lại dấu vết gì

37

Cơ chế lây nhiễm

 Được cài đặt một cách bí mật như là một bộ phận kèm theo của các phần mềm miễn phí (freeware) và phần mềm chia sẻ (shareware) mà người ta có thể tải

về từ Internet

 Một khi đã cài đặt, spyware điều phối các hoạt động của máy chủ trên Internet và lặng lẽ chuyển các dữ liệu thông tin đến một máy khác

_

38

Tác hại của spyware

 Spyware còn sử dụng (đánh cắp) từ máy chủ các tài nguyên của bộ nhớ, ăn chặn băng thông khi nó gửi thông tin trở về chủ của các spyware qua các liên kết Internet

và có thể dẫn tới hư máy hay máy không ổn định

 Ăn cắp mật khẩu truy nhập cũng như ăn cắp các các tin tức riêng tư của người chủ máy (như là số tài khoản ở ngân hàng, ngày sinh và các con số quan trọng khác ) nhằm vào các mưu đồ xấu

39

4.2.1.5 Tin tặc và một số hình thức tấn công phổ biến Tin tặc

Khái niệm

Hacker là người có thể viết hay chỉnh sửa phần mềm, phần cứng máy tính bao gồm lập trình quản trị và bảo mật Những người này hiểu rõ hoạt động của hệ thống máy tính, mạng máy tính và dùng kiến thức bản thân để làm thay đổi, chỉnh sửa nó với nhiều mục đích tốt xấu khác nhau

_

40

Các hình thức tấn công phổ biến

_

Tấn công thay đổi giao diện (Deface)

Tấn công từ chối dịch vụ phân tán

(DDoS)

Tấn công từ chối dịch vụ (DoS)

42

Tấn công thay đổi giao diện (Deface)

Khái niệm

Đây là hình thức tấn công chiếm quyền kiểm soát ở mức

cao nhất và cũng là hình thức tấn công mà mọi tin tặc đều mong muốn thực hiện vì chứng tỏ đẳng cấp và trình

độ của tin tặc

43

Cách thức tấn công

 Những website có đuôi: gov, vn là những website dễ tấn

công nhất

 Khai thác lỗ hổng bảo mật của hệ thống hoặc phần mềm

và hacker xâm nhập được vào sâu trong máy chủ của một website và chiếm quyền kiểm soát máy chủ, sau đó sử dụng quyền này để tạo ra những thay đổi về mặt nội dung, cũng như giao diện của website đó, vì thế khi người

sử dụng truy cập vào website này chỉ có thể nhìn thấy được các hình ảnh nội dung mà hacker tải đầy đủ

_

44

Một số vụ tấn công deface điển hình

 Chodientu.vn bị tấn công

45

Một số vụ tấn công deface điển hình

Một số vụ tấn công deface điển hình

Chodientu.vn

Giao diện chodientu.vn 11h ngày 29/09/2006

47

Một số vụ tấn công deface điển hình

 Vietnamnet.vn bị tấn công

_

48

Một số vụ tấn công deface điển hình

Vietnamnet.vn

Giao diện Vietnamnet.vn 3h sáng này 22/11/2010

49

Tấn công khước từ dịch vụ

Khái niệm

Tấn công khước từ dịch vụ là hành động mà các tin tặc lợi dụng đặc điểm hoặc lỗi an toàn thông tin của một hệ thống dịch vụ nhằm làm ngưng trệ hoặc ngăn cản người dùng truy nhập dịch vụ đó

_

50

Phân loại

_

Tấn công từ chối dịch vụ (DoS - Denial of Service)

Tấn công từ chối dịch vụ phân tán (DDoS - Distributed Denial of Service)

Phân

loại

52

 Tấn công từ chối dịch vụ (DoS)

Là hình thức dùng 1 máy chủ gửi hàng loạt yêu cầu (request) sang 1 máy chủ khác nhằm làm tê liệt đường

truyền và chiếm tài nguyên băng thông

53

_

54

 Tấn công từ chối dịch vụ phân tán (DDoS)

Là hình thức dùng nhiều máy chủ hay client gửi yêu cầu (request) đến máy chủ chứa ứng dụng và cũng làm tê liệt đường truyền và chiếm tài nguyên máy chủ

55

_

56

Đặc điểm – Tác hại

 Liên tục gửi các gói tin yêu cầu kết nối đến server làm cho server bị quá tải dẫn đến không thể phục vụ các kết nối khác

 Không lấy mất thông tin của hệ thống, nó thường chỉ gây cho hệ thống tê liệt, không hoạt động được, và đôi khi gây hỏng hóc hoặc phá hoại thông tin có trên hệ thống

 Gây thiệt hại về tiền bạc, uy tín cho nhà cung cấp dịch vụ,

và thiệt hại gián tiếp của khách hàng sử dụng dịch vụ

57

_

Các nguy cơ tấn công bên trong doanh nghiệp là

hình thức tấn công từ chính những nhân viên ở

bên trong của doanh nghiệp

58

Giải pháp công nghệ

Kiểm soát truy cập và

xác thực Cơ sở hạ tầng khóa công khai

59

4.3.1.1 Khái niệm

 Kiểm soát truy cập xác định ai (người hoặc máy)

được sử dụng hợp pháp các tài nguyên mạng và những tài nguyên nào họ được sử dụng

 Xác thực là quá trình kiểm tra xem người dùng có

đúng là người xưng danh hay không

60

Mật khẩu (Password)

Thẻ (Token)

Hệ thống sinh trắc

61

Mật khẩu

62

Token bị động

Phần lớn thẻ bị động là thẻ nhựa có gắn dải từ Người dùng cà thẻ bị động vào một đầu đặt gắn kết với máy tính hoặc trạm công tác, sau đó nhập mật khẩu và nhận được quyền truy cập vào mạng

63

Token chủ động

 Token tự tạo các dãy mã số một cách ngẫu nhiên (gồm 06 chữ số hiện ra trên màn hình phía trên Token) và thay đổi liên tục trong một khoảng thời gian nhất định (30 giây hoặc 60 giây)

 Cơ chế bảo mật của mỗi Token chính là mã số được tạo ra liên tục, duy nhất, đồng bộ hoá và xác thực bởi máy chủ

64

65

Kỹ thuật mã hóa thông tin

Mã hóa khóa bí

mật

Mã hóa khóa công khai Chữ ký điện tử

Chứng thực

điện tử

66

Khái niệm

Mã hoá thông tin là quá trình chuyển các văn bản hay các tài liệu gốc thành các văn bản dưới dạng mật mã để bất cứ ai, ngoài người gửi và người nhận, đều không thể đọc được

67

 Khái niệm

Bản rõ Mã hóa

69

Mục đích của mã hóa thông tin

 Đảm bảo tính toàn vẹn của thông điệp

 Khả năng chống phủ định

 Đảm bảo tính xác thực

 Đảm bảo tính bí mật của thông tin

70

Quá trình mã hóa

72

Internet

Thông

điệp gốc

Thông điệp gốc

Ưu điểm

Đơn giản, dễ sử dụng

Quá trình mã hóa và giải mã nhanh chóng

Sử dụng để mã hoá những dữ liệu lớn (hàng loạt)

74

Nhược điểm

Chi phí tốn kém

Khó khăn trong vấn đề tạo lập, phân phối, lưu trữ và quản lý khóa

Không dùng cho mục đích xác thực, hay chống phủ nhận được

Nhược

điểm

75

4.3.2.3 Mã hóa khóa công khai

76

77

Khóa riêng của Alice

Khóa công khai của Alice

78

Ưu điểm

Ưu

điểm

Độ an toàn và tin cậy cao

Không cần phải phân phối khóa giải mã như trong mã hóa

đối xứng

Gửi thông tin mật trên đường truyền không an toàn mà

không cần thỏa thuận khóa từ trước

Tạo và cho phép nhận dạng chữ ký số và do đó được

dùng để xác thực hay chống phủ nhận

80

Tốc độ mã hóa và giải mã chậm

Sử dụng đối với những ứng dụng có nhu cầu mã hoá nhỏ hơn như mã hoá các tài liệu nhỏ hoặc để ký các thông điệp

81

4.3.3.1 Khái niệm

Chữ ký điện tử được tạo lập dưới dạng từ, chữ, số, ký hiệu, âm thanh hoặc các hình thức khác bằng phương tiện điện tử, gắn liền hoặc kết hợp một cách logic với thông điệp dữ liệu, có khả năng xác nhận người ký thông điệp

dữ liệu và xác nhận sự chấp thuận của người đó đối với nội dung thông điệp dữ liệu được ký

82

Hàm băm

Mã hóa khóa công khai

Cơ sở hạ tầng CKĐT

83

Fox

The red fox runs

across the ice

The red fox walks

across the ice

Thuộc tính của hàm băm

Dữ liệu đầu vào với độ dài bất kỳ thì luôn sinh ra giá

trị băm với độ dài cố định

Giá trị trả lại của hàm băm là duy nhất đối với mỗi giá

trị đầu vào

Từ giá trị của hàm băm không thể suy ra được dữ liệu đầu vào ban đầu ( tính một chiều của hàm băm)

86

Hợp

đồng

gốc

Hợp đồng rút gọn

Chữ ký số

Hàm băm

87

4.3.3.3 Quy trình gửi thông điệp sử dụng CKĐT

B4: Người gửi mã hóa cả hợp đồng gốc và chữ ký số sử dụng khóa công khai của người nhận Hợp đồng gốc và chữ ký số sau khi được mã hóa gọi là phong bì số

B5: Người gửi gửi phong bì số hóa cho người nhận 88

khóa riêng của mình để giải mã phong bì số và nhận được hợp đồng gốc và chữ ký số của người gửi

B7: Người nhận sử dụng khóa công khai của người gửi để nhận dạng chữ ký số của người gửi (là thông điệp đã được

mã hóa bằng hàm Hash)

B8: Người nhận sử dụng thuật toán băm để chuyển hợp đồng gốc thành hợp đồng rút gọn số như ở bước 2 mà người gửi đã làm

B9: Người nhận so sánh thông điệp số vừa tạo ra ở bước 8 với thông điệp số nhận được ở bước 6 (nhận được sau khi giải mã phong bì số)

89