AN TOÀN DỮ LIỆU TRONG THƯƠNG MẠI ĐIỆN TỬ

Trang 1

Bài giảng môn:

Nội dung chương III Các phương pháp phòng tránh và

khắc phục hậu quả

z3.1 Phân quyền người sử dụng

z3.1.1 Khái niệm

z3.1.2 Cơ chế phân quyền người dùng

z3 2 Bảo mật kênh truyền dữ liệu

z3.3.2 Phân loại tường lửa

! Đối với thông tin, dữ liệu có giá trị thì nguy cơ

bị tấn công và bị tấn công xảy ra hàng giờ?

Trang 2

Vấn đề mất an toàn có thể xảy ra vào bất kỳ thời

gian, địa điểm, hình thức, giai đoạn nào …

4/15/2008 Bộ môn CNTT - TMĐT 4

Ngoài các nguy cơ từ mạng internet không nên loại trừ

nguy cơ từ chính cá nhân trong công ty bạn

zVới nguy cơ từ các cá nhân trong chính DN thì

phải phân quyền người sử dụng

zVới nguy cơ mất mát hoặc dữ liệu bị thay đổi, giả

mạo trong quá trình truyền nên bảo mật kênh

ề

Vậy làm thế nào ???

truyền dữ liệu

zTránh “rò rỉ thông tin” hoặc hạn chế “thông thương

dữ liệu” của DN và các cá nhân trong DN hãy đặt

tường lửa

zSử dụng các hệ thống Backup, sao lưu dự phòng,

…

Trang 3

I Phân quyền người sử dụng

1 Khái niệm

zNgười dùng:

zNhững người được quyền đăng nhập và sử dụng tài

nguyên của hệ thống dữ liệu trong phạm vi quyền hạn của mình

zPhân quyền người dùng:

zNhững biện pháp giúp phân chia rõ ràng quyền hạn,

cách thức thao tác đối với hệ thống dữ liệu theo những yêu cầu khác nhau

Vì sao cần phân quyền?

zVì sao cần phân quyền người sử dụng?

zĐảm bảo tính riêng tư của người dùng

zĐảm bảo an toàn dữ liệu của hệ thống

zNâng cao tính bảo mật cho hệ thống dữ liệu

2 Người dùng cục bộ (local user)

zNhững người dùng của bản thân máy tính này, được tạo một tài khoản tại máy cục bộ, những người dùng này sử dụng máy tính như là một máy tính riêng rẽ

Trang 4

3 Người dùng toàn cục (global account)

zNhững người dùng được tạo ra trên một máy

chủ và thông tin về tài khoản này do server quản lý

zĐặc điểm:

Có thể đăng nhập vào bất kỳ máy nào trong mạng

zCó thể đăng nhập vào bất kỳ máy nào trong mạng LAN

zĐược sử dụng tài nguyên của các máy tính trong phạm vi quyền hạn mà người quản trị cho phép

4 Tài khoản người dùng tạo sẵn

(Built-in User account):

zNhững người dùng được tạo ra sau khi chúng ta

tiến hành cài đặt hệ điều hành, => người dùng

chúng ta không thể xóa

zCó hai loại ngươi dùng được tạo sẵn là:ạ g g ợ ạ

zAdministrator

zGuest

Trang 5

zCó toàn quyền với hệ thống

zCó thể tiến hành các thao tác với hệ thống

cũng như thay đổi các tham số về quyền sử dụng của mình cũng như của người dùng khác

zỨng với người dùng local và người dùng mạng

chúng ta cũng có những nhóm administrator của máy cục bộ và toàn cục

việc sao lưu và phục hồi đối với hệ thống file dữ liệu trong máy tính

zĐược phép

zLogin vào máy tính

zĐược quyền tắt máy

zKhông được

zThay đổi các tham số về bảo mật của máy

Trang 6

c) Power Users:

zĐược phép:

zTạo, thêm một người dùng cho hệ thống, tạo nhóm

người dùng cục bộ

zThêm, bớt người dùng thuộc các nhóm do mình tạo ra

zThay đổi các thông tin liên quan đến những người dùng

thuộc các nhóm Power User, User và Guest

zKhông được phép

zThay đổi thông tin cũng như thêm bớt người dùng của

nhóm administrator và backup operator

zThực hiện các thao tác sao lưu phục hồi hay các thao

tác thêm bớt các thiết bị cũng như các tham số về bảo mật

d) Users

zThực hiện các thao tác thông thường:

zChạy các ứng dụng, sử dụng máy in, đăng nhập,

thoát hay tắt các máy trạm

zTạo nhóm người dùng trên máy cục bộ và thêm,

bớt người dùng trong các nhóm do mình tạo ra

zKhông yêu cầu mật khẩu khi đăng nhập

zChỉ có những quyền rất hạn chế như xem thư

mục, tắt các máy trạm

z Thông thường người dùng này được để mặc

định là

zRất hạn chế các quyền chỉ có quyền thực hiện

các thao tác nhân bản các thư mục

Trang 7

6 Bảo mật đối với các cơ chế phân

quyền người dùng

mỗi cá nhân trong hệ thống dữ liệu khi

phân quyền

Administrator hay Backup Operator.

nhập và đang sử dụng hệ thống dữ liệu

7 Yêu cầu đối với quản lý người dùng tốt

những gì đã được cấp trong quyền hạn

zLuôn gán có mật khẩu cho tất cả các tài khoản

zHướng dẫn đặt mật khẩu khó đoán, dài hơn 6 ký

tự,…

zChọn mật khẩu là sự tổng hợp của chữ hoa, chữ

th ờ á ký t ố à á ký t điề khiể

thường, các ký tự số và các ký tự điều khiển

zThường xuyên thay đổi mật khẩu

zTheo dõi thời gian đăng nhập của mỗi người

dùng và những công việc mà họ thường làm

Trang 8

II Bảo mật kênh truyền dữ liệu

1 Khái niệm

zVấn đề:

zDữ liệu trong khi truyền giữa người gửi và người nhận

là lúc dễ bị tấn công nhất

z Hầu hết các phương pháp tấn công nhằm vào dữ liệu

đều thực hiện trong quá trình giao dịch điện tử ự ệ g q g ị ệ

zDo đó:

zBảo mật kênh truyền dữ liệu trong việc thực hiện các

giao dịch thương mại điện tử là rất quan trọng

zHiện nay, bảo mật kênh truyền chủ yếu tập trung vào

Transaction

Protocol

Trang 9

3 Giao thức SSL – Secure Socket Layer

zRa đời năm 1994 bởi nhóm nghiên cứu

Netscape, đứng đầu là Elgammal

zHiện nay, SSL đã trở thành chuẩn bảo mật

thực hành trên mạng Internet4/15/2008 Bộ môn CNTT - TMĐT 25

b) Hoạt động của giao thức SSL

Ứng dụng 1 Client

HTTP, FPT

Ứng dụng 1 Client

HTTP, FPT

Tầng ứng dụng

c) Đặc trưng

TCP/IP

dụng mô hình TCP/IP đều có thể thay đổi

cấu hình để có thể sử dụng giao thức SSL

Trang 10

d) Các tầng của SSL

d) Các tầng của SSL (T)

z Tầng Aler

z Đưa ra những thông báo lỗi, các thông báo mang tính ràng buộc

trong quá trình giao tiếp giữa web browser và web server.

z Change Cipher Spec:

z Dùng để thay đổi các thuật toàn mã hõa dữ liệu trong khi trao đổi

thông tin giữa web browser và web server g g

z Tầng Record:

z Xác định khuôn dạng cho tiến hành mã hoá và truyền tin hai chiều

giữa hai đối tượng

trao đổi khóa

dùng để mã hóa Server giải mã

ủ client

quá trình trao đổi

thông tin và báo lại

cho server

Trang 11

f) Tham số phụ thuộc cấp độ bảo mật

thông tin/dữ liệu phụ thuộc vào:

zSố nhận dạng theo phiên làm việc ngẫu nhiên;

zCấp độ bảo mật của các thuật toán bảo mật áp

dụng cho SSL;

zĐộ dài của khoá chính (key length) sử dụng

cho lược đồ mã hoá thông tin

g) Ưu điểm của SSL

zSSL được ứng dụng rộng rãi trong các giao dịch

yêu cầu thành toán qua mạng

zĐược hỗ trợ bởi hầu hết các trình duyệt và các

phần mềm phía server

zĐược thiết kế độc lập với tầng ứng dụng nên có

thể sử dụng cho nhiều ứng dụng khác nhau

zMọi hoạt động đều trong suốt với người sử dụng

zVẫn có khả năng bị các hacker dò tìm ra khóa bí

mật dùng để mã hõa thông tin

zNhiều người dùng vẫn đang dùng SSL V2.0 thay

vì SSL V3.0 và không có cơ chế xác nhận lẫn

nhau trong quá trình thiết lập giao thức bắt tay

Trang 12

4 Giao thức SET – Secure Electronic Transaction

zĐể khắc phục những hạn chế của SSL thì Visa

và Master card đã phát triển giao thức SET

zMục đích là hỗ trợ bảo mật trong thanh toán

trực tuyến qua mạng dựa trên kỹ thuật sử dụng đồng tiền số

zGiao thức này được hỗ trợ bởi các công ty lớn

như IBM, Microsolf, HP, Netscape…

Mô hình sử dụng SET

b) Mục đích của SET

zĐảm bảo về độ chính xác của thông tin nhận

được ở cả hai phía là khách hàng và người bán

hàng thông qua internet

zĐảm bảo tính toàn vẹn của thông tin khi được

truyền trên mạng thông tin không bị thay đổi bởi

truyền trên mạng, thông tin không bị thay đổi bởi

những người khác ở trên mạng

zTạo ra cơ chế chứng thực cả người mua hàng và

những nhà cung cấp sản phẩm (người bán)

Trang 13

c) Cơ chế hoạt động của SET

NGƯỜI MUA HÀNG NHÀ CUNG CẤP DỊCH

hóa đơn

7.yêu cầu

NGÂN HÀNG CỦA NHÀ CUNG CẤP DỊCH VỤ VÀ HÀNG HÓA (Merchant Bank)

NGÂN HÀNG CỦA KHÁCH HÀNG (Issuer)

g

về tài khoản của khách hàng

3.Yêu cầu xác nhận thông tin

5.Xác nhận

hóa đơn thành toán

cầu thanh toán

4.Chứng thực thông tin về tài khoản của khách hàng

d) Ưu điểm của SET

zĐảm bảo tính chính xác của thông tin cho bên gửi

và bên nhận

zĐảm bảo tính toàn vẹn của thông tin

zRất an toàn do khó bẻ khóa

zNgười dùng không sợ lộ các thông tin về tài

khoản của mình khi tiến hành các giao dịch trên

mạng do tiến hành xác nhận qua ngân hàng trung

gian

zHạn chế tình trạng từ chối dịch vụ và lừa đảo qua

mạng do có cơ chế xác thực cả hai phía

e) Hạn chế của SET

zCó độ trễ khi giao dịch

zDo tính phức tạp của các thuật toạn mã hóa công khai

zDo thường xuyên tiến hành giao dịch với các ngân

hàng trung gian

zHệ thống công kềnh và quá trình giao dịch chậm

zThường xuyên backup các dữ liệu

zChi phí cao cho thiết bị phần cứng

zSET yêu cầu các thiết bị phần cứng chuyên dụng

zYêu cầu cài đặt phần mềm chuyên dụng

zVí tiền điện tử cài đặt ở máy trạm

Trang 14

5 Giao thức WEP – Wireless Encryption Protocol

zWEP được thiết kế để đảm bảo tính bảo mật

cho mạng không dây

zWEP sử dụng phương thức mã hóa sử dụng ụ g p g ụ g

thuật toán đối xứng RC4, được Ron Rivest thuộc hãng RSA Security Inc xây dựng

-zVới phương thức mã hóa RC4, WEP được

xem như một phương thức kiểm soát truy cập

zDễ dàng phát hiện IV và bẻ khóa WEPg p

zTấn công thụ động phát triển càng gây khó

khăn cho người bảo mật dữ liệu

Trang 15

d) Giải pháp WEP tối ưu

zKết hợp WEP và các giải pháp khác

zGia tăng mức độ bảo mật cho WEP

zSử dụng khóa WEP có độ dài 128 bit

z Thực thi chính sách thay đổi khóa WEP định

kỳ

zSử dụng các công cụ theo dõi số liệu thống kê

dữ liệu trên đường truyền không dây

III Tường lửa (Fire wall)

zTư tưởng cơ bản của Firewall là đặt cấu hình

mạng sao cho tất cả các thông tin vào ra mạng đều phải đi qua một máy được chỉ định, và đó chính là Firewall

Trang 16

2 Các đặc điểm chính của Firewall

zLà kỹ thuật được tích hợp vào mạng để chống

lại sự truy cập trái phép, nhằm bảo vệ nguồn

thông tin nội bộ, hạn chế xâm nhập

zInternet Firewall là thiết bị nằm giữa mạng nội

bộ I t t à I t t hằ bả ật thô ti

bộ Intranet và Internet nhằm bảo mật thông tin

cho mạng nội bộ khỏi thế giới bên ngoài

zThường được xây dựng trên hệ thống mạnh,

chịu lỗi cao

xây dựng tường lửa khác nhau, tùy theo

quy mô và yêu cầu của tổ chức

Trang 17

Tường lửa trong WIN XP

•Lưu giữ các thông tin quan trọng và nhạy Thông tin ra

Tường lửa

External Network

q ọ g ạy cảm của đơn vị tránh khỏi sự xâm nhập trái phép từ bên ngoài Giao dịch từ bên ngoài

Trang 18

4 Phân loại tường lửa a) Tường lửa mức mạng

zSử dụng thiết bị phần cứng là bộ định tuyến

(Router) để xây dựng tường lửa

zKiểm soát tất cả các gói tin đi qua bộ định tuyến

và lọc các gói tin này theo một tiêu chuẩn nào đó

Kiể át á ói ti à l á ói ti th đị

zKiểm soát các gói tin và lọc các gói tin theo địa

chỉ IP của người gửi

(application-proxy) Cửa khẩu ứng dụng

(application gateway) dựa trên cơ sở phần

mềm

ế ố

zKhi một người dùng không xác định kết nối từ

xa vào mạng chạy cửa khẩu ứng dụng, cửa khẩu sẽ ngăn chặn kết nối từ xa này

zCửa khẩu sẽ kiểm tra các thành phần của kết

nối theo những quy tắc định trước

zNếu thoả mãn các quy tắc, cửa khẩu sẽ tạo

Trang 19

Tường lửa ứng dụng người dùng

Server Client

5 Ưu điểm của tường lửa

zBảo vệ hệ thống khỏi các dịch vụ không cần thiết

trên mạng internet

zGiảm bớt nguy cơ xâm nhập trái phép từ bên

ngoài vào hệ thống g ệ g

zHạn chế sự truy nhập của những người bên trong

hệ thống vào các trang web ở bên ngoài

zĐiều khiển việc truy nhập vào các tài nguyên

trong hệ thống

zTạo ra cơ chế bảo vệ tập trung

5 Ưu điểm của tường lửa (T)

zThống kê lại lưu lượng các giao dịch ra bên ngoài

và kiểm soát được các giao dịch này thông qua

các log file của hệ thống

zTạo ra các chính sách bảo mật đối với toàn bộ hệ

thống mạng và yêu cầu mọi người đều phải tuân

theo

zBảo vệ mạng nội bộ khỏi bị xâm nhập tử bên

ngoài bằng cách mang lại cho mạng hai định

danh: một cho nội bộ, một cho bên ngoài

Trang 20

6 Nhược điểm

vào mạng internet

bên trong mạng, như một người nào đó sử

dụng các thiết bị lưu trữ kết nối trực tiếp

vào các máy tính và ăn cắp các thông tin

Trang 21

Câu hỏi

zTại sao cần phân quyền người sử dung?

zHãy nêu các kiểu người sử dụng, vai trò, các

quyền được phép và không được phép đối với

mỗi kiểu người sử dụng

T i ói bả ật kê h t ề ất t

zTại sao nói bảo mật kênh truyền rất quan trọng

trong giao dịch thương mại điện tử?

zHãy thiết lập một bảng thống kê 3 giao thức bảo

mật kênh truyên đã học theo các cột sau: STT,

Lịch sử, Mục đích, Chuẩn tương ứng, Hoạt động,

Ưu điểm, Nhược điểm

Câu hỏi (T)

3 giao thức bảo mật kênh truyền?

tường lửa?

biết hoặc đang sử dụng

Tiêu đề	An toàn dữ liệu trong Thương mại điện tử
Tác giả	Nguyễn Thị Hội
Chuyên ngành	An toàn dữ liệu
Thể loại	Bài giảng
Năm xuất bản	2008

Định dạng
Số trang	21
Dung lượng	604,77 KB