TIỂU LUẬN AN NINH MẠNG đề tài xác THỰC NGƯỜI DÙNG

- Những gì người sử dụng biết, chẳng hạn như mật khẩu password, mật ngữ pass phrase hoặc mã số định danh cá nhân personal identification number - PIN… Trong thực tế, nhiều khi một tổ hợp

HỌC VIỆN CÔNG NGHỆ BƯU CHÍNH VIỄN THÔNG KHOA QUỐC TẾ VÀ ĐÀO TẠO SAU ĐẠI HỌC

Hà Nội, 06-2013

MỤC LỤC

CHƯƠNG 1: ĐẶT VẤN ĐỀ 3

CHƯƠNG 2: Giải pháp xác thực bằng mật khẩu (Login) 5

CHƯƠNG 3: Giải pháp xác thực hai yếu tố SecurID của RSA (Two – Factors Authentication) 8

3.1 Các thành phần của giải pháp RSA SecurID ® 9

3.2 Hoạt động của giải pháp xác thực RSA SecurID 10

3.3 One-time password 12

3.3.1 Cách tạo password và phân phối OTPs 12

3.3.2 Cách thức tạo ra OTPs 12

3.3.2.1 Dựa trên đồng bộ hóa thời gian (Time-synchronized) 12

3.3.2.2 Sử dụng thuật toán tạo mật khẩu mới dựa trên mật khẩu cũ (Mathematical algorithms) 13

3.4 Ưu điểm của giải pháp RSA SecurID 13

CHƯƠNG 4: GIẢI PHÁP XÁC THỰC BẰNG THẺ THÔNG MINH (SMART CARD) 15

4.1 Cấu tạo của thẻ thông minh 15

4.2 Cấu trúc tệp tin hợp lý và kiểm soát tiếp cận 16

4.3 Ứng dụng của thẻ thông minh 18

4.4 Kỹ thuật tấn công thẻ thông minh 20

CHƯƠNG 5: KỸ THUẬT RADIO FREQUENCY IDENTIFICATION (RFID).21 5.1 Tổng quan về RFID 21

5.2 Nguyên lý làm việc của RFID 21

5.3 Lợi ích của công nghệ RFID 22

5.4 Các ứng dụng RFID hiện hành: 23

5.5 Nhược điểm của hệ thống RFID: 24

CHƯƠNG 6: XÁC THỰC SỬ DỤNG SINH TRẮC HỌC (BIOMETRIC) 26

6.1 Tổng quan về xác thực theo sinh trắc học 26

6.2 Các thành phần trong hệ thống xác thực sinh trắc học 27

6.3 Tóm tắt công nghệ xác thực sử dụng các đặc điểm sinh trắc học 29

CHƯƠNG 7: KẾT LUẬN 30

CHƯƠNG 8: TÀI LIỆU THAM KHẢO 31

CHƯƠNG 1: ĐẶT VẤN ĐỀ

Với sự phát triển của mạng Internet hiện nay, các doanh nghiệp nhanh chóngnhận thấy lợi ích của việc sử dụng mạng Internet để mở rộng thêm mạng doanh nghiệpbao gồm cả các đối tác, nhà cung cấp và nhất là thông qua Internet, các doanh nghiệp

có thể cung cấp các dịch vụ của mình đến với khách hàng thông qua các ứng dụngweb

Tuy nhiên, với việc mở rộng mạng doanh nghiệp đến nhiều đối tượng, doanhnghiệp bắt buộc phải cung cấp dữ liệu thông tin của mình cho các đối tượng đó Dovậy, vấn đề đặt ra ở đây là khả năng đảm bảo an ninh mạng là một trong những yếu tốsống còn cho một doanh nghiệp khi áp dụng mô hình thương mại điện tử An ninhmạng bao gồm rất nhiều các khía cạnh khác nhau

Một trong những khía cạnh được quan tâm nhất khi xem xét một hệ thống an

ninh mạng là giải pháp xác thực (Authentication) người dùng.

1.1 Định nghĩa xác thực

Xác thực (tiếng Anh: Authentication - xuất pháttừ Authentic có nghĩa là

“thật”, “thực”,“đíchthực” hoặc “chính cống”) là một hành động nhằm xác lập hoặcchứng thực một người nào đó (hay một cái gì đó) đáng tin cậy, có nghĩa là những lờikhai báo do người đó đưa ra hoặc về cái đó là sự thật

Xác thực một đối tượng còn có nghĩa là côngnhận nguồn gốc của đối tượng,

trong khi, xác thực một người thường bao gồm việc thẩm tra nhận dạng của họ

Trong thế giới thực, chúng ta hoàn toàn có thể nhận biết một ai đó thông quacác đặc điểm sinh học như khuôn mặt, giọng nói hoặc thậm chí chỉ là hình dáng haynhững dấu hiệu khác Tuy nhiên, xác thực trên mạng lại là một vấn đề hoàn toàn khácbởi vì hai người làm việc với nhau trên mạng qua một khoảng cách lớn về địa lý, dovậy cần có những giải pháp xác thực trên mạng

Trong an toàn thông tin máy tính nói chung và giao dịch ngân hàng điện tử nói

riêng xác thực là một quy trình nhằm xác minh nhận dạng số(digital identity) của bên gửi thông tin (sender)trong liên lạc trao đổi xử lý thông tin chẳng hạn như một yêu cầu

đăng nhập Bên gửi cần phải xác thực có thể là một người sử dụng máy tính,bản thânmột máy tính hoặc một phần mềm

Việc xác thực thường phụ thuộc vào một hoặc nhiều yếu tố xác thực

(authentication factor) để minh chứng cụ thể Xác thực là khâu đặc biệt quan trọng để

bảo đảm an toàncho hoạt động của hệ thống thông tin dạng như hệ thống ngân hàngđiện tử

Hệ thống luôn luôn trước tiên xác thực một thực thể khi nó cố thử thiết lập liênlạc Khi đó nét nhận dạng củathực thể được dùng để xác định sự truy nhập của nó nhưmột đặc quyền hoặc để đạt được sự sẵn sàng phục vụ

Đối với các giao dịch ngân hàng điện tử điển hình như giao dịch qua ATM /POS, giao dịch Online/InternetBanking, giao dịch Mobile Banking thì xác thực làbắt buộc trong quản lý truy cập

Những yếu tố xác thực dành cho con người (người sử dụng) nói chung có thể được phân loại như sau:

- Những cái mà người sử dụng sở hữu bẩm sinh, chẳng hạn như dấu vân tay

hoặc mẫu dạng võng mạc mắt, chuỗi ADN, mẫu dạng giọng nói, chữ ký, tín hiệu sinh

điện đặc thù do cơ thể sống tạo ra, hoặc những định danh sinh trắc học (biometric

identifier)

- Những cái người sử dụng có, chẳng hạn như chứng minh thư, chứng chỉ an

ninh (security token), chứng chỉ phần mềm (software token) hoặc điện thoại di động

- Những gì người sử dụng biết, chẳng hạn như mật khẩu (password), mật ngữ

(pass phrase) hoặc mã số định danh cá nhân (personal identification number - PIN)…

Trong thực tế, nhiều khi một tổ hợp của những yếu tố trên được sử dụng, lúc đó người

ta nói đến xác thực đa yếu tố (Multi-factor authentication)

Chẳng hạn trong giao dịch ATM, thẻ ngân hàng và mã số định danh cá nhân (PIN)

được sử dụng - trong trường hợp này đó là một trong các dạng xác thực 2 yếu tố factor authentication – 2FA).

(two-Cũng trong ví dụ trên nếu sử dụng thêm một yếu tố nữa như dấu vân tay chẳng

hạn thì ta sẽ có xác thực ba yếu tố (three-factor authentication- 3FA).

Tương tự như vậy cho xác thực n yếu tố (n ≥ 2): n-factor authentication- nFA

1.2 Vấn đề xác thực người dùng và tầm quan trọng của nó

Hệ thống xác thực người dùng đóng vai trò hết sức to lớn trong việc bảo mậtthông tin của người dùng trong thời kì hiện đại hoá ngày nay Các bạn đã bao giờ đặt

ra câu hỏi nếu không có hệ thống xác thực người dùng thì làm sao giữ an toàn đượcnhững thông tin bí mật hoặc làm sao quản lý được các bí mật trong kinh doanh,thương mại và tài khoản ở ngân hàng hoặc những nguồn tài nguyên được chia sẻ ở trênmạng từ một máy chủ? Với tên và mật khẩu chính xác bạn có thể truy cập vào các tệptin, thư điện tử, tài khoản của bạn ở ngân hàng hay những thông tin cá nhân của bạn…

Mà bạn không muốn một người dùng nào khác biết được Vì vậy có thể nói lợi ích do

hệ thống này mang lại là rất lớn đối với cuôc sống hiện đại ngày nay Nhưng các hệthống xác thực người dùng hiện nay cũng gặp phải không ít những vấn đề khó khăn:Mật khẩu của bạn có thể bị đánh cắp bởi những người dùng trên mạng internet Nhữnghacker có rất nhiều công cụ để có thể lấy được mật khẩu của bạn Do đó đối với hệthống xác thực người dùng để đảm bảo an toàn thì người dùng phải thay đổi mật khẩuthường xuyên, do đó sẽ làm cho người dùng khó nhớ

Trên thế giới hiện nay phương thức xác thực phổ biến vẫn là sử dụng các ký tựlàm mật khẩu và xu hướng đặt mật khẩu của người dùng có thể là sở thích, tên mộtnhân vật nổi tiếng ưa thích, hoặc ngày sinh nhật… Sẽ làm cho kẻ tấn công sẽ dự đoánđược

Đối với những mật khẩu thông thường thì người dùng có thể mô tả được hoặcghi lại được vì vậy rất dễ bị lộ Để giải quyết những vấn đề trên trong tài liệu nàychúng tôi tập trung trình bày về một số phương pháp xác thực, trong đó có phươngpháp còn khá mới mẻ đối với Việt Nam nhưng yêu cầu đảm bảo thông tin an toàn của

hệ thống này là rất cao

CHƯƠNG 2: GIẢI PHÁP XÁC THỰC BẰNG MẬT KHẨU (LOGIN) 2.1 Mô tả

Nhằm kiểm soát quyền truy cập ở mức hệ thống Mỗi người sử dụng muốnvàođược mạng để sử dụng tài nguyên đều phải đăng ký tên và mật khẩu Người quản trịmạng có trách nhiệm quản lý, kiểm soát mọi hoạt động của mạng và xácđịnh quyền truy nhập của người sử dụng khác tuỳ theo không gian và thời gian

Sự kết hợp của một cặp username và password có thể nói là cách xác thực cơbản nhất (và cũng phổ biến nhất) Với phương thức xác thực này, thông tin cặpusername và password nhập vào được đối chiếu với dữ liệu lưu trữ trên hệ thống, nếutrùng khớp username và password, thì người sử dụng (User) được xác thực còn nếukhông người sử dụng bị từ chối hoặc cấm truy cập

Đây là giải pháp truyền thống hay đuợc sử dụng nhất, là giải pháp sử dụng tàikhoản của hệ thống Mỗi tài khoản bao gồm tên truy nhập (uername) và mật khẩu(password) Tên truy nhập dùng để phân biệt các người dùng khác nhau (thường là duynhất trong hệ thống), còn mật khẩu để xác thực lại người sử dụng tên đó có đúng làngười dùng thật sự không Mật khẩu thường do người sở hữu tên truy nhập tương ứngđặt và được giữ bí mật chỉ có người đó biết

Khi người dùng muốn đăng nhập và sử dụng tài nguyên hệ thống thì phải đăngnhập bằng cách nhập tên và mật khẩu của mình Trước hết, hệ thống sẽ đối chiếu têntruy nhập của người dùng đưa vào với cơ sở dữ liệu tên người dùng, nếu tồn tại tênngười dùng như vậy thì hệ thống tiếp tục đối chiếu mật khẩu được đưa vào tương ứngvới tên truy nhập trong cơ sở dữ liệu Qua 2 lần đối chiếu nếu thỏa mãn thì ngườiđăngnhập là người dùng hợp lệ của hệ thống Vậy đây là phương thức xác thực ngườidùng dựa vào yếu tố cơ bản:

Something you KNOW - Dựa vào một vài cái bạn biết (vd: user/pass)

o Đặt mật khẩu dài tối thiểu là tám kí tự, bao gồm chữ cái, số, biểu tượng

o Thay đổi password: 01 tháng/lần

o Không nên đặt cùng password ở nhiều nơi

o Xem xét việc cung cấp password cho ai

Có lẽ hầu hết trong số chúng ta đều đã từng sử dụng Internet, E-Mail hoặc đăngnhập (Login) và một hệ thống mạng nào đó Khi đăng nhập vào các hệ thống trên, tất

cả những cái mà chúng ta cần là một Tên truy cập (Username) và một Mật khẩu (Password) gắn với tên truy cập đó Để đăng nhập vào hệ thống, chúng ta chỉ cần cung

cấp cho hệ thống tên truy cập và mật khẩu là đủ Tên truy cập là hoàn toàn công khaitrong khi mật khẩu nhất thiết phải được giữ kín Giải pháp xác thực này có những ưunhược điểm của nó

Ưu điểm của nó là:

- Thiết kế và sử dụng đơn giản, tốn ít tài nguyên Hệ thống chỉ gồm một cơ sở dữliệu người dùng với 2 thông tin chủ yếu là tên truy nhập và mật khẩu Tương ứng vớiGiải pháp xác thực người dùng mỗi tên truy nhập là quyền sử dụng của người đó trong

hệ thống Do đó các thông tin này không chiếm nhiều tài nguyên

- Không cần thêm bất cứ một phần mềm hoặc phần cứng nào

Tuy nhiên, giải pháp xác thực này cũng có những nhược điểm như sau:

- Dễ bị giả mạo: chỉ cần biết được mật khẩu của ai đó, hacker hoàn toàn có thể

mạo danh người đó để thực hiện các giao dịch trên mạng hoặc đăng nhập vào hệ thống

để tiến hành phá hoại hay đánh cắp thông tin

- Dễ bị đánh cắp: một mật khẩu thông thường là được dùng nhiều lần, do vậy

chỉ cần những phần mềm đơn giản (có thể tải được một cách dễ dàng từ Internet), mộthacker có thể chặn bắt được các gói tin trên mạng và lấy cắp được mật khẩu người sửdụng Người dùng cũng hay có xu hướng là sử dụng những mật khẩu đơn giản, dễ nhớ

và cũng chỉ có một vài mật khẩu để sử dụng quay vòng và kết quả là rất dễ bị đoánbiết Các phần mềm spyware hiện nay rất phổ biến và được nguỵ trang rất kỹ nên đa sốngười sử dụng khó có thể nhận biết được Những chương trình như Keyboard logging

sẽ ghi lại những gì người dùng gõ từ bàn phím và gửi đến cho chủ nhân của nó

- Quản lý khó khăn: với nhiều hệ thống, người sử dụng phải sử dụng nhiều mật

khẩu, do vậy, vấn đề quản lý mật khẩu trở nên phức tạp Một hệ thống mạng hiện naybao gồm rất nhiều các ứng dụng và dịch vụ chạy trên nó (VD: các phần mềm kế toán,quản lý, , các dịch vụ E-Mail, nhắn tin, ) Với mỗi một ứng dụng hoặc dịch vụ đó,thường là người sử dụng lại cần phải có thêm một mật khẩu để sử dụng Do vậy, với sốlượng mật khẩu nhiều, người sử dụng sẽ hay ghi lại (save password) ngay trong máytính, viết ra giấy hoặc thậm chí không sử dụng mật khẩu Điều này đặc biệt nguy hiểmtrong môi trường sử dụng chung máy tính

- Chi phí cao: trong một mạng doanh nghiệp lớn, sẽ có rất nhiều yêu cầu tới bộ

phận hỗ trợ kỹ thuật về các vấn đề liên quan đến mật khẩu và hầu hết trong số đó sẽ là

do người sử dụng quên mật khẩu, mật khẩu bị hết hạn sử dụng, Trước khi bộ phận hỗ

trợ kỹ thuật giải quyết được vấn đề, người sử dụng sẽ không thể đăng nhập được vào

hệ thống và do vậy sẽ không thể làm việc được dẫn đến giảm năng suất lao động Tất

cả những điều này làm chi phí của giải pháp xác thực bằng mật khẩu trên thực tế là rấtcao

Với tất cả những nhược điểm trên, chúng ta có thể thấy rằng xác thực bằng mật khẩu không thể đảm bảo được an toàn và độ tin cậy nhất là trong những lĩnh vực nhậy

cảm như ngành ngân hàng, tài chính, bưu điện, dịch vụ y tế, nơi mà những thông tincần phải được giữ bí mật tuyệt đối Người sử dụng thậm chí có thể khởi kiện những tổchức cung cấp dịch vụ do những thông tin cá nhân của họ bị tiết lộ Trong một hộithảo về an ninh mạng do hãng RSA tổ chức vào tháng 2 năm 2004, ngay cả chủ tịchMicrosoft, Bill Gate cũng đã phát biểu là xác thực người dùng bằng mật khẩu hiện nay

là không an toàn

CHƯƠNG 3: GIẢI PHÁP XÁC THỰC HAI YẾU TỐ SECURID CỦA RSA

Trong các hệ thống bảo mật thông thường, khách hàng sẽ được cấp mộtUsername và một Password duy nhất để truy cập Việc nắm giữ duy nhất một "Chìakhoá" đăng nhập sẽ mang lại cho khách hàng độ rủi ro cao Với cơ chế hoạt động của

hệ thống bảo mật RSA, khách hàng sẽ được cung cấp hai hệ thống mã là mã PIN và

mã Token Mã PIN là mã cố định khách hàng cần phải ghi nhớ, mã Token là mã do một thiết bị gọi là Token key sinh ra ngẫu nhiên và thay đổi liên tục theo từng phút.

Một giải pháp xác thực chỉ được gọi là tốt khi mà nó đáp ứng được những yêucầu chủ yếu sau:

- Chi phí thấp

- Dễ dàng, thuận tiện cho người sử dụng và sử dụng được trong nhiều hệ thống

- Khả năng mở rộng và tương thích với các hệ thống khác tốt

Để đáp ứng được những yêu cầu mới về an ninh mạng hiện nay, RSA đã đưa ra một giải pháp xác thực người dùng được gọi là giải pháp xác thực dựa trên hai yếu tố SecurID.

Chúng ta hãy cùng xem xét một ví dụ sau (Hình 1): một ai đó muốn rút tiền từmột máy ATM, anh/chị ta cần phải có đủ hai yếu tố sau:

(a) một thẻ ATM (ATM card) và (b) là một mã số cá nhân hay còn được gọi là PIN (Personal Identification Number).

Ở đây, nếu một ai đó muốn rút được tiền của người khác thì bắt buộc phải có đủ

cả hai yếu tố này là thẻ ATM và số PIN Nếu chủ sở hữu có bị mất thẻ thì người cầm thẻ cũng không thể rút được tiền ra hay nếu có đánh cắp được số PIN thì cũng phải có thẻ ATM mới có thể tiến hành rút tiền được Đây cũng là một giải pháp xác thực người dùng hai yếu tố Hai yếu tố ở đây là: thẻ ATM (cái mà bạn có) và số PIN (cái

mà chỉ có bạn biết)

Giải pháp xác thực hai yếu tố SecurID của RSA cũng hoạt động theo nguyên

tắc trên: để đăng nhập vào hệ thống, bạn phải có đủ hai yếu tố: cái mà bạn biết và cái

mà bạn có

3.1 Các thành phần của giải pháp RSA SecurID ®

- RSA SecurID ® Authenticators: Là thiết bị được gắn với người sử dụng Chúng có thể là phần cứng hoặc phần mềm và được gọi là các Token Nếu là phần

mềm, chúng có thể được cài đặt lên máy tính xách tay hoặc các thiết bị cầm thay khácnhư PDA, Wireless Phone, Các thiết bị này tạo ra các con số khác nhau trong mộtkhoảng thời gian nhất định Khách hàng có thể lựa chọn thiết bị phù hợp với nhu cầucủa mình

- RSA ACE/Agent Software: là phần mềm được cài lên trên các điểm truy cập

vào mạng (Ví dụ: gateway, VPN, Remote Access Server, ), các máy chủ (server) vàcác tài nguyên thông tin cần được bảo vệ của doanh nghiệp Nó hoạt động giống như

là một người gác cửa Khi có yêu cầu đăng nhập của người sử dụng gửi đến, nó sẽ tiếpnhận và chuyển những thông tin đăng nhập tới máy chủ có thành phần RSAACE/Server để thực hiện xác thực Hầu hết các sản phẩm router, remote access server,firewall, VPN, wireless access, của các hãng sản xuất hàng đầu trên thế giới đều đã

tích hợp sẵn thành phần này trong các sản phẩm của mình Đây là một lợi ích vô cùngquan trọng cho giải pháp RSA SecurID.

- RSA ACE/Server: là thành phần quản trị của giải pháp RSA SecurID được sử

dụng để kiểm tra các yêu cầu xác thực và quản trị tập trung chính sách xác thực củatrên toàn mạng doanh nghiệp.RSA ACE/Server có thể được mở rộng theo bất cứ nhucầu nào của doanh nghiệp RSA ACE/Server có khả năng xác thực được hàng triệungười sử dụng, xác thực người dùng trong mạng cục bộ, người dùng truy cập từ xa,người dùng qua VPN, RSA ACE/Server tương thích hoàn toàn với các thiết bị mạng,RAS, VPN, Access Point, của tất cả các hãng sản xuất lớn trên thế giới Do vậy, vớigiải pháp SecurID của RSA, người dùng hoàn toàn không phải lo lắng tới vấn đềtương thích

3.2 Hoạt động của giải pháp xác thực RSA SecurID.

Như đã đề cập ở trên, SecurID bao gồm ba thành phần Thành phần RSA SecurID Authenticator hay còn được gọi là Token sẽ được trao cho người sử dụng.

Thành phần này có nhiều loại khác nhau (là hardware token hoặc software token)nhưng đều có một chức năng là tạo ra những chuỗi số khác nhau sau một khoảng thờigian nhất định (Thông thường là một phút)

Giả sử một người sử dụng trong hệ thống được cấp phát một Token, khi đăng

nhập vào hệ thống, người sử dụng này sẽ được yêu cầu nhập tên đăng nhập (VD:

JSMITH) và một dẫy số được gọi là Passcode Dẫy số này gồm có hai thành phần là

số PIN và dẫy số xuất hiện trên token (Token code) của người đó vào thời điểm đăng nhập Tất cả các thông tin (Tên đăng nhập và Passcode) này được thành phần RSA ACE/Agent tiếp nhận và thành phần này sẽ lại gửi những thông tin này đến RSA ACE/Server Server này sẽ có số PIN của người sử dụng trong cơ sở dữ liệu của nó.

Ngoài ra, nó cũng có một cơ chế cho phép nó tính toán ra một dẫy số của nó

ACE/Server sẽ ghép số PIN trong cơ sở dữ liệu và dẫy số của nó với nhau sau đó

so sánh với Passcode của người sử dụng cung cấp Nếu hai dẫy số này giống nhau,

người dùng được xác thực là hợp lệ và được quyền đăng nhập vào mạng Trong trườnghợp ngược lại, quyền truy cập sẽ bị từ chối Hoặc được chấp nhận truy cập hoặc

không, những thông tin này sẽ được RSA ACE/Server gửi đến người sử dụng thông qua thành phần RSA ACE/Agent.

Cơ chế để RSA ACE/Server tính toán được một dẫy số của nó để so khớp với

dẫy số trên token của người sử dụng là tương đối đơn giản Như được minh hoạ trên

hình 4, để tạo ra được dẫy số thay đổi sau mỗi khoảng thời gian, một token sẽ có

những thành phần sau:

- Một đồng hồ bên trong (Tính theo giờ UTC).

- Một số Seed có độ dài 64 hoặc 128 bits.

- Thuật toán tạo số giả ngẫu nhiên

Với hai yếu tố là thời gian và số seed, sau khi áp dụng thuật toán tạo số giả

ngẫu nhiên, token sẽ có một con số xuất hiện trên màn hình của nó (token code) và

sau một khoảng thời gian xác định, thuật toán này lại tạo ra được một con số khác ứngvới thời gian đó Thuật toán này luôn tạo được những con số thay đổi theo thời gian vàkhông lặp lại Do vậy, việc dự đoán trước con số sẽ xuất hiện tiếp theo hoặc con số sẽxuất hiện tại một thời điểm nào đó trong tương lai là không thể (chỉ có thể thực hiệnđược khi có số seed và thuật toán)

Khi gán một token cho một người sử dụng, quản trị mạng cũng sẽ phải cập nhật

số seed của token đó vào cơ sở dữ liệu của RSA ACE/Server tương ứng với người dùng Trên RSA ACE/Server cũng có một chương trình chạy thuật toán tạo số giả

ngẫu nhiên giống với trên token Khi có yêu cầu đăng nhập của người sử dụng, căn cứvào tên đăng nhập, căn cứ vào đồng hồ hệ thống, căn cứ vào số seed được lưu trong cơ

sở dữ liệu, khi chạy thuật toán tạo số giả ngẫu nhiên, RSA ACE/Server cũng sẽ có

được một dẫy số giống với dẫy số trên token của người sử dụng tại cùng một thời

điểm Dãy số này được ghép với số PIN của người sử dụng trong cơ sở dữ liệu, RSA ACE/Server có thể kiểm tra được người sử dụng này có hợp lệ hay không.

Điều gì sẽ xảy ra khi đồng hồ trên token và đồng hồ trên RSA ACE/Server không giống nhau? Trong thực tế thì điều này luôn luôn xảy ra Tuy vậy, RSA ACE/Server luôn ghi nhận lại một sự sai lệch về thời gian giữa nó và từng token khi đăng nhập và RSA ACE/Server sẽ chấp nhận bất cứ passcode nào của người sử dụng nằm trong khoảng thời gian sai lệch đó Ví dụ, nếu RSA ACE/Server ghi nhận sự sai

lệch của một token với nó là một phút thì nó sẽ chấp nhận bất cứ passcode nào củangười sử dụng mà rơi vào khoảng thời gian trước thời điểm đăng nhập một phút, tạiđúng thời điểm và sau thời điểm đó một phút Khoảng thời gian sai lệch tối đa cho

phép có thể thay đổi được trên RSA ACE/Server.

Như được mô tả trên hình 2, token của người sử dụng có rất nhiều loại khác nhau Căn cứ vào nhu cầu thực tế, một tổ chức khi triển khai giải pháp xác thực RSA SecurID có thể lựa chon thiết bị phù hợp nhất với yêu cầu của mình Thành phần RSA ACE/Agent có thể được cài lên rất nhiều điểm khác nhau trong hệ thống Nó có thể

được cài lên các điểm truy cập vào mạng như gateway, RAS, VPN, cũng như cài lêncác server Windows, Novell, và được tích hợp sẵn trong tất cả các sản phẩm của các

hãng sản xuất lớn như Microsoft, Nokia, CheckPoint, Cisco, Nortel Thành phần RSA ACE/Server thực sự là thành phần quan trọng nhất của giải pháp Để có thể hoạt động được liên tục và thuận lợi cho quá trình xác thực người sử dụng, RSA ACE/Server có

thể được cài lên trên nhiều server trong đó có một máy đóng vai trò chính

(ACE/Server Primary ) và các máy còn lại đóng vai trò bản sao (ACE/Server Replica) Các máy bản sao có thể được đặt phân tán và luôn được đồng bộ với máy

chính Khi máy chính không thể hoạt động, một máy bản sao nào đó có thể được nângcấp lên thành máy chính Quá trình hoạt động không hề bị dán đoạn

3.3 One-time password

Một mật khẩu một lần (OTP) là một mật khẩu hợp lệ chỉ có một phiên đăngnhập hoặc giao dịch OTPs tránh một số thiếu sót có liên quan đến việc đăng nhậpbằng một mật khẩu duy nhất Điều này có nghĩa rằng một kẻ xâm nhập có ghi lại đượcmột OTP đã được sử dụng để đăng nhập vào một dịch vụ hoặc thực hiện giao dịchkhác sẽ không thể làm được, vì nó sẽ không còn giá trị Mặt khác, OTPs là một chuỗibit dài nên khó cho con người nhớ được

3.3.1 Cách tạo password và phân phối OTPs

Thế hệ thuật toán OTP thường sử dụng sinh ra chuỗi ngẫu nhiên Điều này làcần thiết vì nếu không nó sẽ được dễ dàng dự đoán OTPs trong tương lai bằng cáchphân tích những OTPs trước đây Phương pháp tiếp cận khác nhau cho các thế hệ củaOTPs được liệt kê dưới đây:

- Dựa trên đồng bộ hóa thời gian giữa các máy chủ xác thực và khách hàng

cung cấp mật khẩu (OTPs chỉ có giá trị cho một khoảng thời gian ngắn)

- Sử dụng một thuật toán toán để tạo ra một mật khẩu mới dựa trên mật khẩu trước đó (OTPs có ảnh hưởng đến một chuỗi các mật khẩu và phải được sử

dụng theo một thứ tự được xác định trước)

- Sử dụng một thuật toán tạo mật khẩu mới được dựa trên một thách thức

(ví dụ, một số ngẫu nhiên được lựa chọn bởi các máy chủ xác thực hoặc các chi tiếtgiao dịch)

3.3.2 Cách thức tạo ra OTPs

3.3.2.1 Dựa trên đồng bộ hóa thời gian (Time-synchronized)

Một đồng bộ thời gian OTP thường liên quan đến một phần cứng được gọi là

Token key Bên trong các mã thông báo là một đồng hồ chính xác mà đã được đồng

bộ với đồng hồ trên máy chủ và đã xác thực quyền sở hữu Trên các hệ thống OTP,thời gian là một phần quan trọng của thuật toán mật khẩu, mật khẩu mới sinh ra sẽđược dựa trên thời gian hiện tại chứ không phải là mật khẩu trước hoặc một chìa khóa

bí mật

Token này có thể là một thiết bị độc quyền, hoặc một điện thoại hoặc thiết bị

tương tự như điện thoại di động điện thoại di động chạy phần mềm độc quyền, phầnmềm miễn phí, mã nguồn mở

3.3.2.2 Sử dụng thuật toán tạo mật khẩu mới dựa trên mật khẩu cũ (Mathematical algorithms)

Mỗi OTP mới có thể được tạo ra từ các OTPs đã sử dụng Một ví dụ của loạihình này của thuật toán của Leslie Lamport , sử dụng một chức năng một chiều (gọi nó

là f)

Một mật khẩu hệ thống hoạt động bằng cách bắt đầu với một hạt giống ban đầu

s, sau đó tạo ra mật khẩu f (s), f (f (s)), f (f (f (s))), nhiều lần khi cần thiết Mật khẩumỗi sau đó được phân phối theo chiều ngược lại, với f (f (f (s)) ) đầu tiên, f (s) Nếukhông xác định một loạt các mật khẩu theo ý muốn, một giá trị giống mới có thể đượclựa chọn sau khi các thiết lập cho s cạn kiệt Hệ thống mật khẩu một lần S / KEY vàOTP dẫn xuất của nó được dựa trên sơ đồ Lamport

Để có được mật khẩu tiếp theo trong chuỗi từ các mật khẩu trước đó, người tacần phải tìm một cách tính chức năng nghịch đảo f-1 Điều này là vô cùng khó khăn đểlàm Nếu f là một hàm băm mật mã, mà nói chung là các trường hợp, đó là (cho đếnnay được biết đến) một nhiệm vụ tính toán khả thi

Việc sử dụng mật khẩu một lần đòi hỏi người sử dụng phải chịu trách nhiệm.Ví

dụ, điều này có thể được thực hiện bằng cách nhập vào giá trị mà các mã thông báo đã

được tạo ra vào Tokencủa mình Để tránh trùng lặp, phải thêm một bộ đếm, do đó, nếu

xảy ra kết quả vẫn là một mật khẩu một lần khác Tuy nhiên, tính toán này thườngkhông liên quan đến mật khẩu một thời gian trước đó, có nghĩa là, thông thường thuậttoán này hoặc thuật toán khác được sử dụng, thay vì sử dụng cả hai thuật toán

3.4 Ưu điểm của giải pháp RSA SecurID

- Độ an toàn cao: được xác thực dựa trên hai yếu tố (PIN + Token code) và luôn

thay đổi, khi một ai đó có chặn bắt được passcode của người sử dụng thì cũng thể sửdụng nó để đăng nhập vào hệ thống Do vậy, nó khắc phục được một nhược điểm rấtlớn của xác thực bằng password là chỉ cần chặn bắt được password là có thể sử dụng

để đăng nhập

- Quản lý password: đây là một nhược điểm cố hữu của password Nhưng đối

với SercurID, do được xác thực tập trung trên RSA ACE/Server và ACE/Agent có thểđược cài đặt tại rất nhiều điểm, chí cần sử dụng một token là người sử dụng có thể xácthực được tại bất cứ đâu trong mạng, tránh được việc phải sử dụng nhiều password

- Thuận tiện: với nhiều lựa chọn cho thành phần RSA SecurID Authenticator,

người sử dụng có thể lựa chọn được thành phần thích hợp nhất cho mình

- Khả năng mở rộng: với việc được cài đặt RSA ACE/Server lên nhiều máy

chủ, một tổ chức có nhiều chi nhánh có thể cung cấp khả năng xác thực thông qua mộtmáy chủ bản sao được đặt ngay tại chi nhánh thay vì phải sử dụng những kết nối đắttiền về trung tâm để xác thực Người dùng SecurID của tổ chức này cũng có thể đăngnhập thông qua một tổ chức khác miễn là RSA ACE/Server của hai tổ chức này tin cậy(Trusted) lẫn nhau

- Tích hợp với hệ điều hành MS Windows: không chỉ bảo vệ người dùng khi

truy cập vào trong mạng, khi truy cập vào ngay trong máy tính cá nhân (Windows

logon), RSA SecurID cũng được kích hoạt để bảo vệ máy tính người dùng Giờ đây,password để truy cập vào máy tính cá nhân sẽ được thay bằng passcode Đây là mộttrong những tính năng mới nhất của giải pháp này và điều này đảm bảo mọi tài nguyênthông tin trong doanh nghiệp đều được bảo vệ.

- Hoạt động liên tục: khi một máy chủ chính không thể hoạt động được, một

máy chủ bản sao sẽ được nâng cấp lên thành máy chủ chính Điều này đảm bảo hệthống hoạt động được liên tục và ổn định

- Chi phí thấp: với việc không phải sử dụng và quản lý quá nhiều password,

người sử dụng sẽ không phải yêu cầu hỗ trợ từ bộ phận kỹ thuật, do vậy, chi phí cho

hỗ trợ kỹ thuật giảm và năng suất lao động tăng lên

Với các ưu điểm trên, chúng ta thấy rằng giải pháp xác thực người sử dụngRSA SecurID thực sự là một giải pháp rất tối ưu Trong một hệ thống, với những cánhân có quyền truy cập vào các thông tin quan trọng và nhậy cảm như lãnh đạo tổchức, phòng kế toán, các quản trị hệ thống, thì sử dụng giải pháp xác thực này sẽgiảm thiểu đến mức thấp nhất các nguy cơ như bị đánh cắp thông tin hay phá hoạixuống đến mức thấp nhất

CHƯƠNG 4: GIẢI PHÁP XÁC THỰC BẰNG THẺ THÔNG MINH

(SMART CARD) Thẻ thông minh, thẻ gắn chip, or thẻ mạch tích hợp ( integrated circuit card - ICC) là loại thẻ có kích thước đút được trong ví, thường có kích thước của thẻ tín

dụng, được gắn một bộ mạch tích hợp có khả năng lưu trữ và xử lý thông tin Nghĩa là

nó có thể nhận dữ liệu, xử lý dữ liệu bằng các ứng dụng thẻ mạch tích hợp, và đưa rakết quả Hầu hết các loại thẻ thông minh đều có thể làm việc với văn bản nhị phân và

dữ liệu số Thẻ thông minh có thể lưu trữ một giá trị tiền nào đó và người dùng có thểmua hàng hóa ở những cửa hàng hay tiệm bán lẻ chịu thanh toán bằng thẻ Loại thẻnày cũng có thể lưu trữ những đặc điểm y học hay đưa vào bộ đọc thẻ trên PC để muahàng qua Internet; ngoài ra còn có thể dùng để trả tiền đi xe lửa và xe bus, chứng thực

từ xa, chứng thực Windows, truy cập vật lý

Về cơ bản chứng thực bằng thẻ thông minh và dùng Token cũng cùng một công nghệchứng thực dựa trên chip – phương pháp thường được cho là chứng thực dựa trên hai

hệ số

Có hai loại thẻ thông minh chính:

- Các thẻ nhớ (Memory card) chỉ chứa các thành phần bộ nhớ non-volatile, và có

thể có một số chức năng bảo mật cụ thể

- Thẻ vi xử lý chứa bộ nhớ volatile và các thành phần vi xử lý Thẻ làm bằng

nhựa, thường là PVC, đôi khiABS Thẻ có thể chứa một ảnh 3 chiều (hologram) để

tránh các vụ lừa đảo

4.1 Cấu tạo của thẻ thông minh

Về cơ bản, thẻ thông minh bao gồm 3 bộ phận Thẻ nhựa là bộ phận quan trọng

nhất có kích thước 85,6x53,98x0,8mm Một mạch in và một con chip vi mạch được

gắn vào trên thẻ Tính năng của thẻ thông minh phụ thuộc vào loại con chip vi mạchgắn trên thẻ Con chip vi mạch này thường bao gồm một bộ vi xử lý, một bộ nhớROM, một bộ nhớ RAM và một bộ nhớ EEPROM Con chip vi mạch hiện nay đượcchế tạo từ chất silic, một loại chất không dẻo và đặc biệt rất dễ vỡ, vì vậy để tránh bị

vỡ khi thẻ bị bẻ cong, con chip này có kích thước rất nhỏ chỉ vài milimét

Bên trong mỗi thẻ thông minh có một hệ điều hành Ngoài những thông số về

nhà sản xuất, số seri, hệ điều hành còn chứa nhiều chìa khoá bảo mật như chìa khoácủa nhà sản xuất, chìa khoá của nhà chế tạo, và chìa khoá cá nhân Tất cả các thông tinnày cần được giữ kín và không để lộ cho người khác biết Do vậy, quá trình sản xuấtmột thẻ thông minh được chia thành các giai đoạn khác nhau và các yêu cầu đặt ra đểhạn chế việc truy cập dữ liệu tăng lên qua từng giai đoạn

Có 5 giai đoạn chính trong chu kỳ sống của một thể thông minh

1 Giai đoạn chế tạo: Đây là giai đoạn chế tạo con chip Các con chip vi mạch có

chất silic được tạo ra và kiểm tra ở giai đoạn này Nhà sản xuất sẽ cài đặt chìa khoáchế tạo để bảo vệ con chip khỏi bị gian lận cho đến khi nó được gắn vào tấm thẻ nhựa.Mỗi con chip có một chìa khoá chế tạo riêng Các dữ liệu liên quan đến việc chế tạocũng được viết vào con chip vi mạch ở cuối giai đoạn này Sau đó con chip được giaocho nhà sản xuất thẻ với chìa khoà bảo vệ là chìa khoá chế tạo

2 Giai đoạn tiền cá nhân hoá: Trong giai đoạn này, con chip sẽ được gắn vào

tấm thẻ nhựa mà có in lôgô của nhà cung cấp ứng dụng Việc kết nối giữa con chip vàmạnh in cũng được thực hiện vở giai đoạn này Để đảm bảo an toàn, trước khi giao thẻcho tổ chức phát hành thẻ, chìa khoá chế tạo được thay thế bằng chìa khoá cá nhânhoá

3 Giai đoạn cá nhân hoá: ở giai đoạn này, tổ chức phát hành thẻ hoàn tất việc tạo

ra cấu trúc dữ liệu hợp lý Nội dung các tập tin dữ liệu và dữ liệu ứng dụng được nhậpvào trong thẻ Các thông tin để xác định chủ thẻ như PIN và giải mã PIN cũng sẽ đượclưu giữ Cuối cùng một khoá sử dụng sẽ được gắn vào thẻ để nhận biết thẻ này đang ởgiai đoạn sử dụng

4 Giai đoạn sử dụng: Đây là giai đoạn chủ thẻ sử dụng thẻ Hệ thống ứng dụng,

các biện pháp kiểm tra việc truy cập các tập tin và các công việc khác được thực hiện ởgiai đoạn này Việc truy cập thông tin trên thẻ sẽ bị hạn chế bởi các chính sách bảomật được cài đặt trong các chương trình ứng dụng

5.Giai đoạn cuối cùng: Giai đoạn thẻ hết giá trị sử dụng

Có 2 cách để dẫn thẻ đến giai đoạn này Cách thứ nhất là sử dụng chương trình vô hiệuhoá để khoá từng tập tin riêng lẻ hoặc khoá tập tin chủ Khi đó hệ điều hành sẽ vô hiệuhoá tất cả các hoạt động bao gồm cả việc nhập và cập nhập dữ liệu Những chỉ dẫn chỉđọc có thể vẫn có tác dụng cho mục đích phân tích Cách khác để làm cho thẻ mất hiệulực là khi hệ thống kiểm soát chặn đứng quá trình tiếp cận do PIN và giải mã PIN đều

bị khoá, thì tất cả các hoạt động đều bị chặn lại kể cả chức năng chỉ đọc

4.2 Cấu trúc tệp tin hợp lý và kiểm soát tiếp cận

Sau khi nhà cung cấp ứng dụng phát hành thẻ thông minh cho người tiêu dùng,việc bảo vệ thẻ sẽ được kiểm soát bởi hệ điều hành của chương trình ứng dụng Việctiếp cận dữ liệu phải được thực hiện thông qua cấu trúc các tập tin hợp lý trên thẻ

4.2.1 Cấu trúc tệp tin hợp lý

Nhìn chung về mặt lưu trữ dữ liệu, mỗi thẻ thông minh có thể được xem như làmột ổ đĩa nơi mà tập tin được sắp xếp một cách trật tự thông qua các thư mục Tương

tự như MS-DOS, có một tập tin chủ giống như thư mục gốc Trong thư mục gốc chúng

ta có thể có nhiều tập tin khác nhau gọi là các tập tin cơ bản (Efs) Chúng ta có thể cónhiều tiểu thư mục gọi là các tập tin chuyên sâu (DFs) Trong mỗi tiểu thư mục lại sẽ

có những tập tin cơ bản Khác nhau chủ yếu giữa cấu trúc tập tin trong thẻ thông minh

và trong MS-DOS là các tập tin chuyên sâu cũng có thể chứa dữ liệu

Đối với tập tin chủ, bên cạnh việc phần tiêu đề chứa tên của tập tin đó, phần nộidung chứa tiêu đề của tất cả các tập tin chuyên sâu và tập tin cơ bản Tập tin chuyênsâu là những tập tin nhóm chức bao gồm bản thân tập tin đó và tất cả các tập tin là tập