Câu hỏi ôn tập cuối kì An toàn thông tin

Chữ ký điện tử là gì? Mục tiêu của chữ ký điện tử? Trình bày hiện trạng áp dụng chữ ký điện tử ở Việt Nam. Tình huống: Để phục vụ cho nhu cầu học tập và tra cứu của cán bộ, giảng viên và sinh viên của trường, nhà trường đã xây dựng một hệ thống thư viện trực tuyến www.thuviendientu.iuh.edu.vn, hệ thống giúp độc giả (cán bộ, giảng viên và sinh viên của trường) có thể tìm kiếm các loại sách, báo, tạp chí,…

TRƯỜNG ĐẠI HỌC CÔNG NGHIỆP TP HCM KHOA CNTT CÂU HỎI ƠN TẬP CUỐI KÌ Câu 1: Chữ ký điện tử gì? Mục tiêu chữ ký điện tử? Trình bày trạng áp dụng chữ ký điện tử Việt Nam (gợi ý: Định nghĩa chữ ký điện tử: ứng dụng mã hóa khóa cơng khai, người dùng có (PUA, PRA); Tạo chữ ký: SAM=E(M,PRA) – giải thích; Thẩm tra chữ ký D(SAM, PUA) - Yes/No – Giải thích; Mục tiêu chữ ký số; Hiện trạng áp dụng chữ ký: lĩnh vực quan Thuế, Bảo hiểm xã hội, Hải quan Chứng khốn) Chữ ký điện tử gì? Chữ ký điện tử đề cập khoản Điều 21 Luật Giao dịch điện tử năm 2005: Chữ ký điện tử dạng thông tin kèm liệu (văn bản, hình ảnh, video…) nhằm mục đích xác định người chủ liệu đó… Chữ ký điện tử thay cho chữ ký viết tay cá nhân hay doanh nghiệp Chữ ký điện tử sử dụng giao dịch điện tử Chữ ký điện tử u cầu phải sử dụng mã hóa khóa cơng cộng (public key) Nếu muốn tạo chữ ký điện tử cần phải có thêm mã hóa khóa cá nhân (private key) Chẳng hạn A muốn tạo chữ ký điện tử, A băm thơng điệp, mã hóa khóa riêng A đính kèm với thông điệp gửi cho B Người sử dụng muốn kiểm tra thơng điệp có tồn vẹn khơng có phải gửi từ A không, băm thông điệp nhận được, đồng thời giải mã băm đính kèm với thơng điệp khóa cơng khai A so sánh hai kết nhận ở bước trước, chúng trùng nhau, thơng điệp khơng bị sửa A gửi Mục tiêu chữ ký điện tử? - Giúp xác minh chủ thể ai: Tăng khả bảo mật, chống giả mạo, cho phép chủ thẻ xác minh danh tính hệ thống khác xe bus, thẻ rút tiền ATM, hộ chiếu điện tử tạicác cửa khẩu, kiểm soát hải quan … Dùng để kê khai, nộp thuế trực tuyến, khai báo hải quan vàthông quan trực tuyến mà thời gian in tờ khai, trình ký đóng dấu đỏ cơng ty đến quan thuế xếp hàng ngồi đợi để nộp tờ khai tḥn tiện - Chống thối thác: Có người giả mạo, có chứng Một số ứng dụng chữ ký số điện tử điển hình:  Cơ quan Thuế Tính đến thời điểm 31/3/2019, doanh nghiệp đơn vị trực thuộc, chi nhánh sử dụng chữ ký số lĩnh vực thuế 703.753 DN (không bao gồm đơn vị chi nhánh, trực thuộc) tổng số 711.748 DN hoạt động, đạt tỷ lệ 98,87%  Chứng khốn Đối với lĩnh vực chứng khốn, tính đến 31/3/2019, Ủy ban Chứng khoán Nhà nước cung cấp 133 dịch vụ công trực tuyến ứng dụng chữ ký số để xác thực, có 13 dịch vụ cơng mức độ Ủy ban Chứng khốn Nhà nước sử dụng chữ ký số hệ thống như: Hệ thống giám sát giao dịch chứng khoán, Phần mềm quản lý báo cáo thống kê nội bộ; hệ thống sở liệu quản lý công ty quản lý quỹ quỹ đầu tư; hệ thống sở liệu quản lý cơng ty chứng khốn; hệ thống sở liệu quản lý nhà đầu tư nước ngồi; Hệ thống cơng bố thơng tin  Bảo hiểm xã hội Sau gần 03 năm kể từ Thủ tướng Chính phủ ban hành Quyết định số 08/2015/QĐ-TTg ngày 09/3/2015 giao dịch điện tử việc thực thủ tục tham gia BHXH, bảo hiểm y tế, bảo hiểm thất nghiệp đề nghị cấp sổ BHXH, thẻ bảo hiểm y tế, DVCTT ứng dụng CKS ngành BHXH có phát triển số lượng chất lượng  Hải quan Cung cấp dịch vụ công trực tuyến công việc quan trọng ngành Hải quan triển khai thực nhiều năm qua Hiện nay, Tổng cục Hải quan cung cấp 181 DVCTT ứng dụng CKS để xác thực 170 DVCTT mức độ ứng dụng CKS để xác thực, có dịch vụ như: Hệ thống VNACCS/VCIS Cổng thông tin cửa quốc gia Cổng toán điện tử thu thuế xuất nhập Cổng thông tin điện tử Hải quan Câu 2: Đưa hệ thống thông tin trang web thực tế Việt Nam mà có sử dụng chữ ký điện tử? Nghiệp vụ hệ thống có sử dụng chữ ký số? Trình bày bước cụ thể để người dùng hệ thống thực nghiệp vụ có sử dụng chữ ký số (gợi ý:Website quan Thuế, Wibsite quan Hải quan, Website quan Bảo hiểm xã hội, ) Đưa hệ thống thông tin trang web thực tế Việt Nam mà có sử dụng chữ ký điện tử? Website quan Hải quan, Website quan Bảo hiểm xã hội, ) Trình bày bước cụ thể để người dùng hệ thống thực nghiệp vụ có sử dụng chữ ký số? Hướng dẫn cá nhân, doanh nghiệp sử dụng chữ ký số để nộp thuế điện tử: Bước1: Đăng nhập vào http://thuedientu.gdt.gov.vn Trang thông tin điện tử Tổng cục Thuế Bước 2: Lập giấy nộp tiền - Sau đăng nhập thành công, doanh nghiệp lập giấy nộp tiền theo bước đây: - Tại mục “Nộp thuế” nhấn chọn “Lập giấy nộp tiền” - Lựa chọn “Ngân hàng nộp thuế” nhấn "Tiếp tục" Bước 3: Khai báo thông tin tờ khai - Trong q trình hồn tất thủ tục nộp thuế điện tử, doanh nghiệp cần khai báo đầy đủ xác nội dung sau tờ khai thuế: + Thông tin loại tiền: Chọn “VND” đơn vị thuộc diện nộp thuế đồng Việt Nam, trường hợp thuộc diện nộp thuế ngoại tệ đơn vị chọn loại ngoại tệ sử dụng + Thơng tin ngân hàng: Chọn ngân hàng số tài khoản để trích tiền + Thơng tin quan quản lý thu: Chính thơng tin quan thuế quản lý đơn vị + Thông tin nơi phát sinh khoản thu: Điền địa nơi phát sinh khoản thu theo quy định Cục Thuế Chi cục thuế địa phương + Thông tin kho bạc nhận tiền + Loại thuế: Chọn tương ứng theo mục đích nộp thuế đơn vị - Tại mục “Nội dung khoản nộp NSNN” bạn tích chọn vào vng chấm để chọn loại thuế muốn nộp - Tại mục Nội dung khoản nộp danh sách: Nhập mã NDKT Lưu ý: + Căn vào vốn điều lệ ghi Giấy Đăng ký kinh doanh Trường hợp khơng có vốn điều lệ vào vốn đầu tư ghi giấy chứng nhận đăng ý đầu tư + Đối với công ty, doanh nghiệp, tổ chức thành lập cần nộp Thuế môn bài: Nếu cấp đăng ký thuế mã số thuế, mã số doanh nghiệp thời gian tháng đầu năm nộp mức lệ phí mơn năm; Nếu thành lập, cấp đăng ký thuế mã số thuế, mã số doanh nghiệp thời gian tháng cuối năm ( từ ngày 1/7 đến 31/12) nộp 50% mức lệ phí môn cho năm - Sau nhập xong giá trị vào ô Mã “NDKT”, hệ thống tự sinh thông tin tương ứng theo quy định pháp luật - Người dùng khai báo thông tin đầy đủ xác, nhấn “Hồn thành” để tạo lập xong tờ khai Bước 4: Ký số - Bước cuối để hoàn thành thủ tục nộp thuế điện tử ký số Doanh nghiệp cần kiểm tra lại thông tin vừa khai báo Giấy nộp tiền vào ngân sách nhà nước Nếu thơng tin xác,người dùng cắm chữ ký số doanh nghiệp tiếp tục nhấn “Ký nộp” - Sau đó, nhập mã PIN nhấn “OK” Như vậy, doanh nghiệp hoàn thành xong việc nộp tiền mục thuế, trường hợp cần nộp nhiều mục đơn vị thực lặp lại từ bước Lập giấy nộp tin Câu 3: Chứng thư số gì? Mục tiêu chứng thư số? Hiện Việt Nam có đơn vị cung cập dịch vụ chứng thư số? Chứng thư số gì? - Là văn cung cấp khóa cơng khai Được cung cấp bởi tổ chức gọi tổ chức cung cấp dịch vụ chứng thư số (certificate authority, hay viết tắt CA) Chứng thư số hoạt động nhờ vào nguyên lý bên thứ ba tin cậy (trusted third party – TTP), ở bên thứ ba CA Thơng thường, bên giao tiếp với không tin nhau, nhiên, họ tin vào bên thứ ba (TTP), bên thứ ba xác thực bên này, bên tin tưởng lẫn "Chứng thư số" dạng chứng thư điện tử tổ chức cung cấp dịch vụ chứng thực chữ ký số cấp nhằm cung cấp thơng tin định danh cho khóa công khai quan, tổ chức, cá nhân, từ xác nhận quan, tổ chức, cá nhân người ký chữ ký số việc sử dụng khóa bí mật tương ứng (theo Khoản 7, Điều 3, Nghị định 130/2018/NĐ-CP) Mục tiêu chứng thư số: - Xác minh danh tính người sử dụng chữ ký số đăng nhập vào hệ thống Hỗ trợ ký số loại văn bản, tài liệu, hợp đồng, hóa đơn,… file doc, pdf tệp tài liệu Mã hóa thơng tin để đảm bảo bí mật người gửi người nhận thông qua mạng internet Thực kênh liên lạc trao đổi thông tin bí mật với thực thể khác mạng, ví dụ thực kênh liên lạc bí mật người dùng với webserver Hiện Việt Nam có đơn vị cung cấp dịch vụ chứng thư số? Hiện thị trường có gần 20 đơn vị cung cấp chữ ký số điện tử, khiến doanh nghiệp có nhiều lựa chọn đa dạng lại gặp khó khăn việc đưa định mua đơn vị Có thể kể đến vài loại chữ ký số doanh nghiệp tin dùng như: Công ty Cổ phần Đầu tư Công nghệ Thương mại Softdreams (EASYCA) 2.Tập đồn Bưu Viễn thơng Việt Nam (VNPT-CA) Công ty cổ phần Công nghệ thẻ Nacencomm (CA2) Công ty cổ phần BKAV (BKAV-CA) Tập đồn Viễn thơng qn đội Viettel (VIETTEL-CA) 6.Cơng ty cổ phần Hệ thống Thông tin FPT (FPT-CA) 7.Công ty Cổ phần Viễn thông New-Telecom (NEWTEL-CA) Công ty Cổ phần Chứng số an tồn (SAFE-CA) Cơng ty Cổ phần Chữ ký số ViNa (Smartsign) 10 Công ty Cổ phần Công nghệ Tin học EFY Việt Nam (EFY-CA) 11 Công ty Cổ phần Công nghệ SAVIS (TrustCA) 12 Công ty Cổ phần MISA (MISA-CA) 13 Công ty Cổ phần Tập đồn Cơng nghệ CMC (CMC-CA) 14 Cơng ty Cổ phần hỗ trợ doanh nghiệp đầu tư Hà Nội(NC-CA) 15 Công ty TNHH L.C.S(LCS-CA) 16.Công ty Cổ phần chữ ký số FastCA(FASTCA) Câu 4: Chứng thư số gì? Nội dung có chứng thư số gồm nội dung gì? Chứng thư số gì? (câu trên) Chứng thư số chứa nội dung gì? Tên thuê bao…… giải thích Số hiệu chứng thư số (số seri) Thời hạn có hiệu lực chứng thư số: Chứng thư số tổ chức cung cấp dịch vụ chứng thực chữ ký số chuyên dùng Chính phủ thời hạn có hiệu lực 20 năm; Chứng thư số thuê bao cấp thời hạn có hiệu lực tối đa 05 năm; Đối với chứng thư số gia hạn, thời hạn có hiệu lực gia hạn tối đa 03 năm Tên tổ chức chứng thực chữ ký số (Ví dụ: VIETTEL CA) Chữ ký số tổ chức chứng thực chữ ký số Khóa cơng khai th bao: khóa cặp khóa thuộc hệ thống mật mã không đối xứng, sử dụng để kiểm tra chữa ký số tạo bởi khóa bí mật tương ứng cặp khóa Các hạn chế mục đích, phạm vi sử dụng chứng số Các hạn chế trách nhiệm tổ chức cung cấp dịch vụ chứng thực chữ ký số Thuật toán mật mã 10 Các nội dung cần thiết khác theo quy định Bộ Thông Tin Truyền Thông Theo quy định, chứng thư số đáp ứng đầy đủ nội dung yêu cầu có đủ tính pháp lý Câu 5: Chứng thực thực thể gì? Trình phương pháp mà bạn biết mà cài đặt để chứng thực thực thể? Chứng thực thực thể: Là kỹ thuật thiết kế cho phép bên (party) chứng minh nhận dạng (identity) bên khác Là kỹ thuật thiết kế cho phép bên (party) chứng minh nhận dạng (identity) bên khác Các phương pháp Chứng thực thực thể : Chứng thực Passwords Chứng thực mật (Password-based Authentication) phương pháp xác thực đơn giản sử dụng phổ biến nhất, password thứ mà claimant nắm giữ Một password dùng người dùng cần truy xuất hệ thống để sử dụng nguồn tài nguyên hệ thống Mỗi người dùng có định danh password bí mật Có thể chia mật thành hai loại: mật cố định (Fixed password) mật lần (one-time password) Fixed password: Là password dùng lặp lặp lại lần truy xuất Có chế xây dựng theo hướng User ID Password File; Hashing the password; Salting the password  User ID Password file: - Đây loại chứng thực thô sơ, User ID Password lưu file ở dạng rõ Để truy xuất tài nguyên, người dùng gửi rõ User ID Password đến hệ thống Hệ thống dùng User ID để tìm password tập tin Nếu Password trùng khớp với Password hệ thống, quyền truy xuất gán ngược lại từ chối - Để công loại chứng thực trên, người ta sử dụng nhiều phương pháp khác nhau, kể đến: Tấn cơng nghe trộm: Kẻ công theo dõi đường truyền bắt lấy thơng tin username, password (khơng mã hóa) người dùng truyền qua mạng Truy xuất tập tin password: Kẻ công cố gắng truy xuất vào tập tin chứa ID/password hệ thống đánh cắp tập tin chứa thông tin tài khoản người dùng - Nhằm tăng cường độ an toàn mật khẩu, người ta sử dụng kỹ thuật băm việc lưu trữ  Hashing the password (băm mật khẩu): - Password băm trước lưu trữ (thay cho việc lưu trữ rõ password) vào tập tin password Trong trường hợp thơng tin chứa mật bị đánh cắp có người khơng hợp pháp tiếp cận khó đốn mật ban đầu, việc khơi phục lại mật gốc từ bảng băm khó khăn tốn nhiều chi phí - Khi password tạo, hệ thống băm password lưu giá trị băm (bảng băm) vào tập tin mật - Khi người dùng nhập ID password, hệ thống tính tốn giá trị băm mật nhập so sánh với giá trị băm lưu tập tin Nếu trùng khớp, người dùng gán quyền truy xuất, ngược lại, quyền truy xuất bị từ chối  Salting the password: - Việc băm mật lưu trữ giúp tăng cường độ an toàn việc bảo vệ thông tin tài khoản, nhiên để tiếp tục cải tiện độ an toàn mật trước phương pháp công, chuỗi password tạo, chuỗi ngẫu nhiên (gọi salt) ghép thêm vào password Sau đó, password hình thành băm (bằng giải thuật băm), việc lưu trữ thông tin chứa tài khoản vào tập tin bao gồm: ID, salt, giá trị băm Khi người dùng yêu cầu truy Giáo Trình Nhập Mơn An Tồn Thơng Tin Khoa Công Nghệ Thông Tin Trang 92 xuất, hệ thống trích chuỗi salt, ghép với password nhận được, thực băm, so sánh kết với giá trị lưu trữ Nếu trùng khớp quyền truy xuất gán, ngược lại bị từ chối - Việc dùng salt làm cho kỹ thuật công mật trở nên khó khăn (trong hạn chế nhiều việc cơng từ điển (dictionary attack)) Ví dụ: mật gốc có ký số salt có ký số, việc băm thực giá trị có 10 ký số Điều làm cho kẻ cơng phải xử lý, dị tìm liệu gồm 10 số, dẫn đến tốn thời gian chi phí Việc thực salt hiệu chuỗi salt số ngẫu nhiên dài  Ưu điểm: sử dụng mật mạnh tạo lớp bảo mật chắn  Nhược điểm: người dùng sử dụng mật phổ biến, mật chứa thông tin cá nhân,… điều tạo lỗ hỏng bảo mật One-time Password: Là password mà sử dụng lần Loại password làm cho công nghe salting vô tác dụng Một số phương thức thực password lần:  User System thỏa thuận danh sách Password ˗ Mỗi Password danh sách dùng lần ˗ System User phải giữ gìn danh sách Password ˗ Nếu User khơng dùng password cách System phải thực tìm kiếm so khớp ˗ Password hợp lệ lần không sử dụng lại  User System thỏa thuận cập nhật cách Password ˗ User System thỏa thuận Password gốc, P1 mà Password hợp lệ cho lần truy suất ˗ Trong trình truy xuất lần này, user phát sinh password P2, mã hóa password với khóa P1, P2 password cho lần truy xuất tiếp tục phát sinh Pi+1 từ Pi cho lần truy xuất thứ Pi+1 ˗ Nếu đối phương đốn P1 tìm tất Password khác  User System tạo Password cập nhật cách sử dụng hàm băm ˗ Hướng đề xuất bởi Leslie Lamport (Lamport one-time password) - User System thỏa thuận Password gốc P0 số đếm n System tính hn (P0) với hn hàm băm lần thứ n theo công thức sau: hn(x)=h(h n-1 (x)), h1(x)=h(x) ˗ System lưu nhận dạng user thông qua giá trị n giá trị hn(P0)  Ưu điểm: khó bị cơng, có tính bảo mật cao, nhận mật nhanh chóng, tiện lợi,được yêu cầu lấy mật nhiều lần, chi phí thấp Thẻ thơng minh hay thiết bị tạo mật cầmtay (token) nhờ vào kết nối internet với máy chủ dịch vụ cung cấp OTP thơngqua thẻ OTP in sẵn thay điện thoại di động mà không cần đến kết nối internet  Nhược điểm: hạn chế thời gian hiệu lực, khơng thể sử dụng nơi khơng có sóng di động đốivới OTP SMS Chứng thực sinh trắc học Biometrics Sinh trắc học (Biometric) phép đo lường đặc tính sinh lý học hành vi học mà nhận dạng người Sinh trắc học đo lường đặc tính mà khơng thể đốn, đánh cắp chia sẻ ví dụ vân tay, vân lịng bàn tay, võng mạc, móng mắt, khn mặt, giọng nói… - Hiện phương pháp chứng thực Passwords sử dụng chủ yếu, nhiên, công nghệ ngày phát triển, việc chứng thực sinh trắc học dần sử dụng nhiều mang lại hiệu cao Vì: Nhận dạng sinh trắc học (vân tay, móng mắt/võng mạc, DNA…) điểm đặc trưng nhận dạng người, nói khơng thể trùng nên việc chứng thực có độ xác cao,tin cậy, thời gian chứng thực nhanh (dưới 1s) trường hợp đụng độ khả thấp khơng đáng kể cần phải sử dụng thiết bị công nghệ cao nên giá thànhđắt nhược điểm lớn làm cho phương pháp thực chưa phổ biến phương phápchứng thực truyền thống * Mô tả: Phương pháp chứng thực vân tay, võng mac/móng mắt + Sử dụng thiết bị thu nhận ( quét) lưu trữ đặc tính sinh trắc học + Quét đặc tính sinh trắc chủ thể ( đặc điểm vân tay, móng mắt, ) đưa dạng liệu biểudiễn dạng bit lưu trữ sở liệu + Chứng thực: Chủ thể muốn giao dịch cần phải chứng thực danh tính/định danh cần tiến hành qt lại thơng tin bảo mật lưu trước qua thiết bị quét vân tay, móng mắt, sau quét, tiếnhành đưa chuỗi bit so sánh sở liệu: Nếu (trùng với liệu lưu)→Xác thực thành công Nếu không trùng với liệu trước đó, hệ thống từ chối giao dịch đến chủ thể chứng thực thành công - Ưu điểm: + Có độ xác cao + Thời gian chứng thực nhanh (nhỏ 1s) + Sự tác động người dùng thấp + Có kết hợp nhiều yếu tố: vân tay, võng mạc, giọng nói - Nhược điểm: + Giá thành: triển khai hệ thống sinh trắc học địi hỏi chi phí cao cho phần cứng ( thiết bịthu/quét, nhận dạng) với phần mềm đại + nhận diện sai: hư hỏng phần cứng, lỗi phần mềm làm cho hệ thống từ chối người dùngmặc dù người - Hiện nay: công nghệ chứng thực sinh trắc học áp dụng rộng rãi ở ngân hang, công ty ( dùng chấm công, điểm danh) hay thực bảo mật liệu cá nhân thiết bị di động cao cấp Câu 6: Điều khiển truy cập gì? Trình bày phương pháp mà bạn biết mà cài đặt điều khiển truy cập hệ thống thông tin? Điều khiển truy cập gì? Thuật ngữ điểu khiển truy cập (access control) ám đến thi hành nhằm hạn chế thâm nhập vào sở, tòa nhà, phòng làm việc, cho phép người ủy quyềntiếp cận mà An ninh trường thực sức người - chẳng hạn dùng người canh gác, người gác cổng thuê (bouncer), người tiếp tân - sức máy -khóa chìa khóa - hay việc áp dụng khoa học kỹ thuật việc sử dụng hệ thống truy cập dùng thẻ Phương pháp cài đặt điều khiển truy cập hệ thống thông tin: Điều khiển truy cập bắt buộc MAC - Điều khiển truy cập bắt buộc (Mandatory Access Control - MAC) Định trước nguyên tắc để chủ thể (thuộc lớp) truy cập trực tiếp gián tiếp đến lớp liệu Là mơ hình điều khiển truy cập nghiêm ngặt Thường bắt gặp thiết lập quân đội Hai thành phần: Nhãn Cấp độ - Mơ hình MAC cấp quyền cách đổi chiều nhân đối tượng với nhân chủ thể Nhãn cho biết cấp độ quyền hạn - Để xác định có mở file hay khơng: So sánh nhân đối tượng với nhân chủ thể Chủ thể phải có cấp độ tương đương cao hơn: đối tượng cấp phép truy cập - Hai mơ hình thực thi MAC Mơ hình mạng lưới (Lattice model) Mơ hình Bell-LaPadula - Mơ hình mạng lưới Các chủ thể đối tượng gán "cấp bậc” mạng lưới Nhiều mạng lưới đặt cạnh - Mơ hình Bell-LaPadula Tương tự mơ hình mạng lưới Các chủ thể khơng thể tạo đối tượng hay thực số chức định đối tượng có cấp thấp - Ví dụ việc thực thi mơ hình MAC: Windows 7/Vista có bốn cấp bảo mật Các thao tác cụ thể chủ thể phân hạng thấp phải phê duyệt quản trị viên - Hộp thoại User Account Control (UAC) Windows Ưu điểm: Là chế điều khiển truy xuất có tính bảo mật cao việc ngăn chặn dịng thơng tin bất hợp pháp Thích hợp cho ứng dụng môi trường quân đội Nhược điểm: Không dễ áp dụng: đòi hỏi người dùng liệu phải phân loại rõ ràng Chỉ ứng dụng số mơi trường Phức tạp Làm giảm tính linh hoạt hệ thống (ảnh hưởng đến hiệu năng) Điều khiển truy cập tùy ý (DAC) Cho biết chủ thể truy cập kiểu đến đối tượng CSDL Có nguyên tắc chủ thể tùy ý cấp quyền hay lấy lại quyền truy cập gián tiếp đến lớp liệu Ưu điểm Mơ hình hạn chế Mọi đối tượng có chủ sở hữu Chủ sở hữu có tồn quyền điều khiển đối tượng họ Chủ sở hữu cấp quyền đối tượng cho chủ thể khác Được sử dụng hệ điều hành Microsoft Windows hầu hết hệ điều hành UNIX Nhược điểm DAC Phụ thuộc vào định người dùng để thiết lập cấp độ bảo mật phù hợp Việc cấp quyền khơng xác Quyền chủ thể "thừa kế” bởi chương trình mà chủ thể thực thi Trojan vấn đề đặc biệt DAC Điều khiển truy cập dựa vai trò (RBAC) Vai trò tập quyền Không thực cấp quyền cho chủ thể mà gán cho chủ thể vai trị, chủ thể có tất quyền thuộc vai trị - RBAC gán quyền cho vai trò cụ thể tổ chức Các vai trò sau gắn cho người dùng: đăng nhập Smart OTP cho ai, bao gồm người "tự xưng" nhân viên ngân hàng hay quan chức Nhược điểm:  Để sử dụng Smart OTP người dùng cần phải đăng ký với ngân hang nhà đăng ký dịch vụ Ngồi , khơng thể có nhiều thiết bị sử dụng chung ứng dụng tạo mã OTP Câu Đưa hệ thống mà bạn biết có sử dụng mật cố định (fixed password) mô tả bước thực để bạn chứng thực người dùng hệ thống Nêu mục tiêu việc chứng thực Hệ thống có sử dụng mật cố định(fixed password): Teamviewer *Các bước thực hiện: Bước 1: Tại giao diện Teamviewer,người dùng nhấn chọn vào mục Extras bên chọn tiếp Options Bước 2: - Chuyển sang giao diện nhấn vào mục quản lý Security ở góc bên trái hình Nhìn sang bên phải phần Personal password (For unattended access), nhập mật muốn đặt cho Teamviewer vào Nhấn OK để lưu lại mật xong Ngoài phần Random password người dùng điều chỉnh độ dài mật từ ký tự sang 6, 8, 10 ký tự Disabled để vơ hiệu hóa mật cần kết nối máy tính - Bây giờ, bạn sử dụng mật vừa tạo để tạo kết nối cho người khác Cách tiện bạn thường xuyên nhờ người, họ ghi nhớ ID mật cho lần trợ giúp mà không cần hỏi lại mật đăng nhập Tuy nhiên, để kẻ gian phát lợi dụng, mối nguy hiểm lớn cho tài khoản người dùng Vì vậy, cân nhắc thật kỹ trước tiến hành sử dụng, bởi mật có ưu nhược điểm riêng * Mục tiêu chứng thực - Tăng cường an toàn cho hệ xác thực dựa mật - Xây dựng giao thức an toàn - Đảm bảo nội dung thông tin trao đổi thực thể xác khơng bị thêm, sửa, xóa hay phát lại (đảm bảo tính tồn vẹn nội dung) - Đảm bảo đối tượng tạo thông tin (nguồn gốc thông tin) đối tượng hợp lệ khai báo (đảm bảo tính tồn vẹn nguồn gốc thơng tin) - Đảm bảo an tồn thông tin xác thực (tên đăng nhập mật không truyền trực tiếp mạng) - Xác thực giao dịch - Đảm bảo bảo mật thông tin (không thẩm quyền =>không đọc được) - Đảm bảo tính tồn vẹn - Chống thối - Sử dụng thay cho giấy tờ - Chứng minh người yêu cầu chứng thực ký chữ ký để xác định trách nhiệm người ký giấy tờ, văn - Chứng minh thời gian, địa điểm bên ký kết hợp đồng, giao dịch; lực hành vi dân sự, ý chí tự nguyện, chữ ký dấu điểm bên tham gia hợp đồng, giao dịch Câu 10 Đưa hệ thống mà bạn biết có sử dụng mật dùng lần (one time password) mơ tả tình mà bạn có sử dụng mật để chứng thực người dùng/giao dịch Nêu mục tiêu việc chứng thực Hệ thống sử dụng mật dùng lần (one time password): Internet Banking để chuyển tiền sang tài khoản người thân *Các bước thực Bước 1: Bạn đăng nhập tên mật tài khoản đăng ký với ngân hàng Bước 2: Hồn thành thơng tin giao dịch: tên người nhận, số tiền cần chuyển, hình thức chuyển, phí chuyển khoản, mã khuyến mại có Sau hoàn thành bước trên, hệ thống ngân hàng tự động gửi cho bạn mã số gồm 4-6 ký tự (tùy ngân hàng) – mã OTP – qua tin nhắn SMS điện thoại di động Bước 3: Vào mục SMS chép mã OTP Bước 4: Nhập mã OTP vừa chép lên ứng dụng Tiếp xác nhận giao dịch lần cuối bạn chuyển khoản cách thành cơng an toàn cho người thân *Mục tiêu chứng thực: - Khả chống lại công: Xác thực OTP cung cấp lợi khác biệt so với việc sử dụng mật tĩnh Không giống mật truyền thống, OTP không dễ bị cơng — tin tặc chặn việc truyền liệu (như người dùng gửi mật họ), ghi lại sử dụng để truy cập vào hệ thống tài khoản họ Khi người dùng có quyền truy cập vào tài khoản họ OTP, mã trở nên không hợp lệ kẻ cơng khơng thể sử dụng lại - Khó đốn: OTP thường tạo tḥt tốn sử dụng ngẫu nhiên Điều khiến kẻ cơng khó đốn sử dụng chúng thành cơng OTP có hiệu lực thời gian ngắn, yêu cầu người dùng có kiến thức OTP trước cung cấp cho người dùng thử thách (ví dụ: “vui lịng nhập số thứ hai thứ năm”) Tất biện pháp làm giảm thêm bề mặt công môi trường so sánh với xác thực mật - Giảm rủi ro mật bị xâm phạm: Người dùng không áp dụng biện pháp bảo mật mạnh mẽ có xu hướng tái chế thơng tin đăng nhập giống tài khoản khác Nếu thơng tin đăng nhập bị rị rỉ rơi vào tay kẻ xấu, liệu bị đánh cắp gian lận mối đe dọa đáng kể người dùng phương diện Bảo mật OTP giúp ngăn chặn vi phạm truy cập, kẻ cơng có thơng tin đăng nhập hợp lệ - Dễ dàng áp dụng: Mật mã dùng lần dễ dàng cho tổ chức tích hợp vào chiến lược xác thực họ Mặc dù chất khó hiểu mã khiến người khó ghi nhớ, điện thoại, mã thơng báo cơng nghệ khác truy cập rộng rãi để nhóm bảo mật sử dụng phân phối cho nhân viên họ Câu 11 Sinh trắc học (biometric) gì? Nêu lĩnh vực mà áp dụng sinh trắc học? Sinh trắc học (Biometric) phép đo lường đặc tính sinh lý học hành vi học mà nhận dạng người Sinh trắc học đo lường đặc tính mà khơng thể đốn, đánh cắp chia sẻ ví dụ vân tay, vân lòng bàn tay, võng mạc, móng mắt, khn mặt, giọng nói… Các lĩnh vực mà áp dụng sinh trắc học: +Ứng dụng sản phẩm cơng nghệ: Có thể nói ứng dụng rộng rãi công nghệ sinh trắc học sống sản phẩm công nghệ smart phone, khóa điện tử, máy chấm cơng vân tay, máy chấm công khuôn mặt… điểm chung thiết bị việc thay mật truyền thống với độ bảo mật cao nhiều khẳng định vị trí +Ứng dụng việc chứng thực đối tượng khác khách hàng,sinh viên,… Ví dụ phịng tập gym thay đeo thẻ đưa cho nhân viên lễ tân kiểm tra cần đưa ngón tay vào đầu đọc nhận nụ cười thật tươi từ cô lễ tân xinh đẹp… rõ ràng việc áp dụng công nghê sinh trắc học vào sống cơng việc có nhiều lợi ích, tạo đơn giản tiện lợi +Ứng dụng lĩnh vực hình sự: Sử dụng việc xác nhận đối tượng +Ứng dụng lĩnh vực ngân hàng: Thanh tốn thẻ ATM có sử dụng máy đọc vân tay +Ứng dụng y học: Dấu vân tay giúp phát bệnh bị sai lệch gen như: hội chứng ba nhiễm sắc thể 18, ba nhiễm sắc thể 13, hội chứng Down, sai lệch nhiễm sắc thể giới tính XXX, XXY… +Ứng dụng lĩnh vực giáo dục: Sinh trắc vân tay hỗ trợ cho việc phân tích trí thơng minh cá nhân, điểm mạnh, điểm hạn chế để từ giúp người định hướng cho nghiệp - Ngoài “Sự kết nối mạng lưới thần kinh tế bào não” tạo nên trí thơng minh người xem sinh trắc vân tay, bạn biết nào, sở hữu tiềm Biết biết nỗ lực phấn đấu, tin bạn thành công công việc sống Câu 12 Nêu ưu điểm nhược điểm việc áp dụng chứng thực sinh trắc học *Ưu điểm: - Có khả cải thiện tính bảo mật, kiểm sốt truy cập an tồn, thoải mái, tránh để lộ thơng tin người dùng cho tội phạm mạng - Là giải pháp bảo mật đại phức tạp nhất, có độ xác gần tuyệt đối q trình xác thực - So với phương pháp xác thực truyền thống, bảo mật sinh trắc học có thao tác thực nhanh hơn, người dùng hạn chế tình trạng quên chuỗi mật dài phức tạp trước - Khắc phục tượng tải thông tin đăng nhập ứng dụng thiết bị khác - Xác thực sinh trắc học có tính linh hoạt, dễ đăng ký triển khai sử dụng *Nhược điểm - Các thiết bị xác thực sinh trắc học thường có chi phí đắt so với thiết bị nhập mật truyền thống - Nhận dạng sinh trắc học khơng xác 100% Ví dụ: Máy xác thực sinh trắc học khơng nhận diện giọng nói người dùng bị cảm cúm không nhận diện khuôn mặt người dùng tăng/giảm cân - Gây ảnh hưởng đến quyền riêng tư người sử dụng Câu 13 Hệ thống quản lí an tồn thơng tin ? Mục tiêu hệ thơng an tồn thơng tin? Khái niệm - ISMS từ viết tắt information security management system Đây hệ thống quản lí an ninh thông tin, khái niệm sử dụng nhiều Doang Nghiệp công nghệ thông tin đơn vị có ứng dụng hệ thống CNTT vào quản lí sản xuất - Hệ thống quản lí an tồn thơng tin phần hệ thống quản lí tồn diện, dựa rủi ro xuất doang nghiệp để xây dựng, điều hành, triển khai, sốt xét, trì cải tiến thơng tin Mục tiêu Gồm mục tiêu chính: - Confidentiality: Đảm bảo tính bí mật thơng tin, tức thông tin phép truy cập (đọc) bởi đối tượng (người, chương trình máy tính…) cấp phép Tính bí mật thơng tin đạt cách giới hạn truy cập mặt vật lý, ví dụ tiếp cận trực tiếp tới thiết bị lưu trữ thơng tin logic, ví dụ truy cập thơng tin từ xa qua mơi trường mạng Sau số cách thức vậy: + Khóa kín niêm phong thiết bị + Yêu cầu đối tượng cung cấp credential, ví dụ, cặp username + Password hay đặc điểm sinh trắc để xác thực + Sử dụng firewall ACL router để ngăn chặn truy cập trái phép + Mã hóa thơng tin sử dụng giao thức tḥt tốn mạnh SSL/TLS, AES, v.v - Integrity: Đảm bảo tính tồn vẹn thơng tin, tức thơng tin phép xóa sửa bởi đối tượng phép phải đảm bảo thơng tin cịn xác lưu trữ hay truyền Về điểm này, nhiều người thường hay nghĩ tính “integrity” đơn giản đảm bảo thông tin không bị thay đổi (modify) chưa đẩy đủ Ngoài ra, giải pháp “data integrity” bao gồm thêm việc xác thực nguồn gốc thông tin (thuộc sở hữu đối tượng nào) để đảm bảo thông tin đến từ nguồn đáng tin cậy ta gọi tính “authenticity” thơng tin Sau số trường hợp tính “integrity” thơng tin bị phá vỡ: +Thay đổi giao diện trang chủ website +Chặn đứng thay đổi gói tin gửi qua mạng +Chỉnh sửa trái phép file lưu trữ máy tính +Do có cố đường truyền mà tín hiệu bị nhiễu suy hao dẫn đến thông tin bị sai lệch - Availability: Đảm bảo độ sẵn sàng thơng tin, tức thơng tin truy xuất bởi người phép vào họ muốn Ví dụ, server bị ngưng hoạt động hay ngừng cung cấp dịch vụ vịng phút năm độ sẵn sàng 99,999% Ví dụ sau cho thấy hacker cản trở tính sẵn sàng hệ thống nào: Máy hacker gửi hàng loạt gói tin có MAC nguồn giả tạo đến switch làm nhớ lưu trữ MAC address table switch nhanh chóng bị đầy khiến switch khơng thể hoạt động bình thường Đây thuộc hình thức cơng từ chối dịch vụ (DoS) Để tăng khả chống trọi với cơng trì độ sẵn sàng hệ thống ta áp dụng số kỹ thuật như: Load Balancing, Clustering, Redudancy, Failover… Như vậy, vấn đề bảo mật thông tin không đơn việc chống lại công từ hacker, ngăn chặn malware để đảm bảo thông tin không bị phá hủy bị tiết lộ ngoài… Hiểu rõ mục tiêu bảo mật ở bước trình xây dựng hệ thống thơng tin an tồn Ba mục tiêu gọi tam giác bảo mật C-I-A TÌNH HUỐNG: Tình 1: Để phục vụ cho nhu cầu học tập tra cứu cán bộ, giảng viên sinh viên trường, nhà trường xây dựng hệ thống thư viện trực tuyến www.thuviendientu.iuh.edu.vn, hệ thống giúp độc giả (cán bộ, giảng viên sinh viên trường) tìm kiếm loại sách, báo, tạp chí,… Đối với tài liệu điện tử độc giả đọc trực tuyến tải về, sách thư viện độc giả đăng ký mượn Độc giả yêu cầu mua loại tài liệu điện tử tốn phí mua trực tuyến Hệ thống giúp cho thủ thư quản lý thơng tin mượn trả sách độc giả, hệ thống cịn có tính thơng báo nhắc nhở đến hạn trả sách email, tạo báo cáo, thống kê Yêu cầu: Với tình cho, bạn Chỉ loại thông tin/dữ liệu/chức cần thiết lập, nâng cao tính an tồn nêu lý Đưa giải pháp (chữ ký số, xác thực điều khiểu truy cập mật (fixed password, OTP), thẻ từ, camera, sinh trắc học (vân tay khuôn mặt, võng mạc,…)) để cài đặt nâng cao tính an tồn cho loại thơng tin/dữ liệu/chức ở nêu lý phương pháp pháp hữu hiệu để thiết lập nâng cao tính an tồn thơng tin Đưa giải pháp: nêu tên giải pháp, mô tả sơ lược giải pháp, mơ tả cách cài đặt cấu hình TL: Chỉ loại thơng tin/dữ liệu/chức cần thiết lập, nâng cao tính an toàn nêu lý sao? - Chức tốn trực tuyến + Tính bí mật: làm lộ thông tin mật tài khoản, khách hàng bị hết tiền tài khoản, làm lòng tin khách hàng, doanh nghiệp phải đền tiền cho khách hàng, doanh nghiệp bị thất thu, lợi nhuận => cần phải đàm bào thông tin khách hàng + Tính tồn vẹn: q trình chuyển tiền, phải khoản trừ thay chuyển vào tk a,b,c lại chuyển vào tk khác, dẫn đến hệ thơng khơng tồn vẹn + Tính sẵn sàng: kh muốn đặt hàng trực tuyến, hệ thống bị treo, kh hoang mang tiền, không thánh tốn bị giảm doanh thu + Tính chống thoái thác: Nếu đặt hàng toán nhà, ko có hình thức xác thực có ngưới hay khơng, dẫn đến người từ chối ko mua nữa, dẫn đến bị thiệt hại, phí chuyển đổi , thời gian - Quản lý thông tin mượn trả sách độc giả: + Tính bí mật: làm lộ thơng tin độc giả, tạo hội cho người khác mạo dạnh mượn sách, lòng tin khách hàng + Tính tồn vẹn: q trình mượn sách, phải họ tên mã số khách hàng, có sai sót q trình mượn người mượn trả sách được, dẫn đến hệ thông khơng tồn vẹn + Tính sẵn sàng : đọc giả muốn mượn sách sách hệ thống cần phải sẵn sàng 24/24 để tránh trường hợp bị treo máy, dẫn đến đọc giả ko mượn được, gây uy tín doanh nghiệp + Tính chống thối thác: người đăng kí mượn sách phủ nhận việc này, cần có hệ thống xác thực để xác thực việc này, chống việc phủ nhận làm Đưa giải pháp nào? Chức toán trực tuyến - Giải pháp: bảo mật lớp: lớp 1: user name + PW; Lớp 2: xác thực OTP + Định nghĩa : phương pháp xác nhận danh tính xác nhận người dùng cách sử dụng kết hợp hai yếu tố khác + Mô tả sơ lược: sau đăng nhập thành công lớp thứ : Username Password, có thêm bước xác thực, yêu cầu người dùng phải nhập thêm mã xác thực để xác minh danh tính + Cách cài đặt:  Lớp 1: user name + PW:  Định nghĩa: Mật khẩu: chuỗi ký tự nhóm từ sử dụng để xác thực thực thể Ussername: Tên Tài Khoản, sử dụng chúng bạn để đăng nhập  Mơ tả sơ lược: Đây loại chứng thực thô sơ Để truy xuất tài nguyên, người dùng gửi rõ User ID Password đến hệ thống Hệ thống dùng User ID để tìm password tập tin Nếu Password trùng khớp với Password hệ thống, quyền truy xuất gán ngược lại từ chối  Ưu điểm: Mỗi người dùng có định danh người dùng (user identification) cơng khai password bí mật  Nhược điểm: - Lưu trữ mật CSDL khơng an tồn - Truyền mật kênh khơng an tồn + Người dùng khơng cẩn trọng + Sử dụng mật yếu + Ghi chép mật vào văn + Chia sẻ mật cho người khác (vơ tình hay cố ý)  Lý hữu hiệu nhất: Mỗi người dùng có định danh người dùng (user identification) công khai password bí mật  Lớp 2: xác thực OTP:  Định nghĩa: Là password mà sử dụng lần Loại password làm cho công nghe salting vô tác dụng Chúng ta sử dụng SMS OTP  Mơ tả sơ lược: Đây hình thức cung cấp mã OTP phổ biến Mã OTP gửi tin nhắn SMS số điện thoại đăng ký Để thực giao dịch bạn cần phải nhập mã OTP gửi số điện thoại đăng ký Và lớp bảo vệ xuất phát hoạt động không rõ ràng từ tài khoản bạn  Ưu điểm : + Dịch vụ gửi SMS OTP rẻ hợp túi tiền + Cần có phần cứng bổ sung để gửi SMS OTP + Một tỷ lệ cao dân số giới có điện thoại di động nhận + SMS Có thể nhận ứng dụng SMS không thiết phải liên kết đến thiết bị di động  Nhược điểm : + Người dùng sử dụng ở nơi khơng có sóng di động, di chuyển nước ngồi Khi đó, hình thức OTP + Nhiều số điện thoại để chế độ khơng làm phiền (DND) khơng nhận SMS + Đôi tin nhắn SMS OTP bị gửi trễ lưu lượng truy cập máy chủ nhà khai thác, hết thời gian chờ cổng ngừng dịch vụ +  Đã có trường hợp SMS OTP bị chặn bởi tội phạm cá nhân lừa đảo Lý hữu hiệu nhất: Vì mật sử dụng lần thay đổi theo lần đăng nhập, nguy tài khoản bị xâm nhập giảm đáng kể Mật dùng lần chuỗi ký tự tạo ngẫu nhiên khơng thể đốn Quản lý thơng tin mượn trả sách độc giả:  Giải pháp: Chữ ký số  Định nghĩa: thông tin kèm theo tài liệu điện tử Word, Excel, PDF,…; hình ảnh; video… nhằm mục đích xác nhận chủ sở hữu liệu Nó mã hóa tài liệu nhúng vĩnh viễn thơng tin vào Nếu người dùng cố gắng thực thay đổi tài liệu bị vơ hiệu  Mơ tả sơ lược: dựa tḥt tốn mã hóa Có nghĩa là, người dùng cần phải có cặp khóa bao gồm khóa cơng khai khóa bí mật + Khóa cơng khai khóa sử dụng mật mã bất đối xứng, đặc trưng khóa dùng để kiểm tra chữ ký số tạo bởi khóa bí mật tương ứng + Khóa bí mật sử dụng tḥt tốn mật mã bất đối xứng, dùng để tạo chữ ký số đặc biệt người dùng cung cấp khoá giữ bí mật Mỗi tổ chức, cá nhân sau nhận thông điệp chữ ký số từ bên người ký sử dụng chứng thư số người ký để kiểm tra chữ ký thông điệp liệu nhận tiến hành giao dịch khác - Cách hoạt động:  Ưu điểm: So với chữ ký thông thường, chữ ký số có ưu vượt trội chữ ký tay - Chính xác tuyệt đối - Kiểm định dễ dàng xác - Tiết kiệm thời gian chi phí q trình hoạt động giao dịch điện tử - Linh hoạt cách thức ký kết văn hợp đồng, bn bán,… diễn ở nơi đâu, ở thời gian - Đơn giản hóa quy trình chuyển, gửi tài liệu, hồ sơ cho đối tác khách hàng, quan tổ chức - Bảo mật danh tính cá nhân, doanh nghiệp an toàn - Thuận lợi việc nộp hồ sơ thuế, kê khai thuế cho doanh nghiệp cần sử dụng chữ ký điện tử thực giao dịch điện tử hồn thành xong q trình - Bảo mật danh tính cá nhân, doanh nghiệp cách an toàn  Nhược điểm: - Mơ hình CKS ở đạt người sở hữu cặp chìa khóa - Có thể xẩy tượng “mạo danh” người gởi Do đó, ta cần có chế để xác định “ai ai” toàn hệ thống - Lý hữu hiệu nhất: Tiết kiệm thời gian chi phí trình hoạt động giao dịch điện tử, bảo mật danh tính cá nhân, doanh nghiệp an tồn Tình 2: Để phục vụ nhu cầu học tập nghiên cứu cán bộ, giảng viên sinh viên trường (gọi chung độc giả), nhà trường trang bị phòng đọc sách cho độc giả Phịng có trang bị máy lạnh, bàn ghế, wifi, 100 máy tính để bàn Sinh viên tự vào phòng đọc sách khoảng thời gian thư viện mở cửa để ngồi đọc sách, học tập nghiên cứu dùng máy tính Các máy tính dùng để học tập/nghiên cứu khơng cho phép chơi game Yêu cầu: Theo bạn để kiểm soát, chứng thực theo dõi vào phòng đọc sách độc giả cách tự động dùng phương pháp (chữ ký số, xác thực điều khiểu truy cập mật (fixed password, OTP), thẻ từ, camera, sinh trắc học (vân tay khuôn mặt, võng mạc…)) để kiểm soát nêu lý phương pháp hữu hiệu để thiết lập nâng cao tính an tồn thơng tin Theo bạn để chứng thức, kiểm sốt theo dõi việc sử dụng wifi thiết bị máy móc ở phịng đọc sách dùng phương pháp (chữ ký số, xác thực điều khiểu truy cập mật (fixed password, OTP), thẻ từ, camera, sinh trắc học (vân tay khuôn mặt, ngơi,…)) nêu lý phương pháp hữu hiệu để thiết lập nâng cao tính an tồn thơng tin TL: Theo bạn để kiểm sốt, chứng thực theo dõi vào phịng đọc sách độc giả cách tự động dùng phương pháp 1.1 Camera: Định nghĩa: Thiết bị sử dụng chíp điện tử điều khiển có cảm biến hình ảnh thơng qua đống kính đèn hồng ngoại Nhờ đó, xác định yếu tố hình dạng, chuyển động, màu sắc vật thể góc quay để đưa đầu thu hình kỹ thuật số Nguyên lý hoạt động: - Hình ảnh qua ống kính camera hình thành mặt CCD – ma trận CFA – màng lọc màu cung cấp cho chuyển đổi analog sang số, tín hiệu số hình thành truyền đến chip Khi qua chip khuếch đại tín hiệu video tạo - RS485 kiểm soát điều khiển vi xử lý như: điều khiển chiếu sáng IR, thay cho phím điều khiển OSD - Bộ nhớ Flash chứa phần mềm điều khiển chip, người sử dụng dễ dàng truy cập qua phím điều khiển để thay mọt số thiết lấp khác - Chip I/O gio tiếp vào với bàn điều khiển led tín hiệu báo động chuyển động Hiển thị hình ảnh ghi hình - Hình ảnh qua ống kính camera hình thành mặt CCD – ma trận CFA – màng lọc màu cung cấp cho chuyển đổi analog sang số, tín hiệu số hình thành truyền đến chip Khi qua chip khuếch đại tín hiệu video tạo Xem lại hình ảnh ghi - Các camera gắn với đầu ghi thông tin lưu trữ ổ cứng dạng file M/JPEG, MPEG-4, H.264 dễ dàng xem lại thơng tin hình ảnh ghi qua điện thoại, tivi, máy tính, laptop, ipad có kết nối internet lúc, nơi Khi thông tin hình ảnh lưu trữ ổ cứng đầy đầu ghi hình tự xóa ghi đè thông tin lên Backup liệu ghi - Với tính giúp bạn lưu hình ảnh thành đọan video ngắn làm tư liệu lưu dài phục vụ cho mục đích khác Người dùng lựa chọn xác thời gian camera quan sát để Backup liệu qua ổ DVD-RW ổ USB Khi Backup xong liệu ghi có dạng AVI số định dạng khác phát lại máy tính, đầu đĩa… Chức Triplex - Khi phát lại liệu ghi hình ổ cứng đầu ghi hình tiếp tục ghi hình truyền hình ảnh qua mạng Bạn cần lựa chọn hình vừa hiển thị hình ảnh vừa phát lại hình ảnh ghi Ưu điểm: Phát nhanh chóng - Đây chức quan trọng ưu điểm lớn camera an ninh Chúng giúp giám sát, phát nhanh chóng hành vi sai trái gây hại hiệu Camera giúp nhận diện đối tượng lập tức thơng qua hình quan sát - Lắp đặt camera vị trí kín đáo biện pháp bảo vệ lý tưởng cho văn phòng, tòa nhà, hay nhà ở Dưới giám sát xuyên suốt đảm bảo an toàn, mang đến cảm giác yên tâm Quan sát tình hình chung khu vực - Với camera giám sát đại ngày giúp bạn quan sát toàn cảnh khu vực cần bảo vệ Được thiết kế nhỏ gọn, lắp đặt ẩn giấu ở vị trí mong muốn lại dễ dàng quan sát góc nhìn Nơi lưu trữ hồ sơ chứng cho hành vi sai phạm - Bằng cách ghi nhận lại tất hoạt động đối tượng chế độ âm chất lượng chứng hiệu cung cấp đến quan quyền xảy tình mang tính chất nguy hiểm thiệt hại lớn Xem xét lại hình ảnh giúp quản lí doanh nghiệp nhận định xác đưa định kĩ luật viên vi phạm thời gian làm việc Nhược điểm – Nếu lạm dụng mức sử dụng chúng để kiểm sốt hành động nhân viên trở thành xâm phạm quyền riêng tư người Cần lắp đặt camera vị trí cần thiết mang tính chất cơng việc Khơng nên nghi ngờ nhân viên mà gây nên hậu không mong muốn Nhân viên cảm thấy khơng thoải mái bị kiểm sốt q mức – Do mang lại nhiều lợi ích cho doanh nghiệp, cá nhân phí cho camera giám sát an ninh chất lượng cao – Thường xuyên hư hỏng đối tượng tội phạm ngày có hành vi tinh vi đột nhập, vô hiệu hóa hệ thống camera Được thiết lập nhiều vị trí ngồi trời theo thời gian chịu ảnh hưởng từ yếu tố thời tiết cần phải sửa chữa – Camera thiết bị quan sát ghi nhận hình ảnh khơng khống chế tội phạm Chúng có tác dụng cảnh báo tội phạm Cần kết hợp bảo vệ tuần tra khu vực để xử lý tội phạm thơng qua hệ thống an ninh Lý lựa chọn Camera: Phát nhanh chóng sai phạm sinh viên sử dụng máy tính Bảo vệ máy tính phòng tránh trường hợp hỏng, cắp Quan sát, kiểm soát khu vựt lớn cần bảo vệ phịng Dễ dàng quan sát góc nhìn Có thể lưu lại chứng có việc xấu sảy 1.2 Thẻ từ Định nghĩa: Thẻ từ loại mà gắn dải băng từ kim loại bề mặt Thẻ từ có khả ghi lưu thông tin lên dải từ Nên thẻ từ ứng dụng cho hệ thống nhân dạng Ứng dụng quản lý tự động, toán điện tử, kiểm soát vào, chấm công nhân viên Nguyên lý hoạt động: – Các đầu đọc cửa ra/vào kết nối với Và liệu từ đầu đọc truyền phần mềm kiểm sốt máy tính người quản lý – Mỗi người sở hữu thẻ ID cảm ứng (proximity) Có in tên tuổi, hình ảnh, lơ-gơ, có mã số tương ứng với người – Để vào Người phải quét thẻ từ trước đầu đọc thẻ (khoảng cách từ 5-15cm) Đầu đọc nhận dạng mã số hợp lệ thẻ lệnh cho cửa mở tự động Cửa tự động đóng lại sau người vào/ra – Dữ liệu gồm số thẻ, thời gian ra/vào lưu lại đầu đọc thẻ Hoặc truyền trực tiếp phần mềm kiểm soát máy tính bảo vệ nhà quản lý Ưu điểm: - Thông thường thời gian đọc thẻ diễn chưa đến 1s/ lượt quẹt thẻ Tốc độ nhanh nhiều so với việc dùng vân tay hay khn mặt Nhờ số người tập chung vào lớn thời điểm xếp hàng chờ đợi lâu - Chỉ cần dùng thẻ để quẹt đến nơi làm việc vào Những thẻ sử dụng hồn tồn khơng bị ảnh hưởng môi trường hay thời tiết Đây điểm hạn chế công nghệ nhận diện vân tay - Mỗi thẻ có ID riêng khơng trùng lặp Khi thẻ thẻ bị vô hiệu lập tức nên không cần lo lắng kẻ xấu nhặt – Việc sử dụng hệ thống tương đối dễ dàng không gây nhiều khó khăn cho người dùng – Hệ thống có khả hoạt động độc lập mà không cần đến thiết bị phức tạp – Việc sử dụng giúp doanh nghiệp tiết kiệm tối đa chi phí bỏ so với việc sử dụng hình thức kiểm sốt thủ cơng mà hiệu đem lại tương đối cao – Phù hợp với nhiều đơn vị với loại hình lĩnh vực hoạt động khác – Quá trình sử dụng không tốn nhiều thời gian việc lấy liệu với việc sử dụng kiểm soát cửa vân tay hay khn mặt – Ngồi đề cập ngồi khả kiểm sốt cịn thiết bị chấm cơng tuyệt vời Nhược điểm: – Mức độ bảo mật khơng cao so với hình thức kiểm sốt vào sử dụng vân tay hay khuôn mặt bởi cần có thẻ từ người khác mượn để vào – Sử dụng thẻ dễ gây trường hợp làm hay quên thẻ – Các đơn vị phải thêm khoản phí việc làm lại thẻ bị Lý chọn thẻ từ: Dễ dàng sử dụng khơng gây khó khăn cho người dùng Không sử dụng hệ thống phức tạp Phù hợp với lượng sinh viên vào đông thư viện Kiểm sốt an tồn Khơng tốn nhiều thời gian trình xác nhận khoản 1s/ lược quét thẻ Tiết kiệm chi phí q trình thủ cơng Theo bạn để chứng thức, kiểm soát theo dõi việc sử dụng wifi thiết bị máy móc phịng đọc sách dùng phương pháp nào? Sử dụng user name + PW (tình 1) Tình 3: Giả sử khoa Kế toán trường IUH trang bị ‘Phịng mơ thực hành quy trình nghiệp vụ Kế tốn – Tài – Tín dụng’ (gồm 30 máy tính) dùng để phục vụ cho việc học tập nghiên cứu thành viên câu lạc Kế_Tài_Ngân_Club Phòng máy gồm máy chủ (server), nhiều máy trạm (work station) máy in (printer) cài đặt phần mềm kế toán, tài & ngân hàng thành viên câu lạc vào sử dụng để nghiên cứu học tập Khoa mong muốn phòng máy cài đặt cấu hình mà thành viên vào sử dụng tài nguyên cách thuận tiện có chế theo dõi cách tự động Theo bạn, phòng máy nên dùng phương pháp (chữ ký số, xác thực điều khiểu truy cập mật (fixed password, OTP), thẻ từ, camera, sinh trắc học (vân tay khn mặt, võng mạc,…)) mà thành viên vào cách thuận tiện kiểm soát cần thiết Bạn mô tả giải pháp cách chi tiết nêu lý giải pháp hợp lý để thiết lập nâng cao tính an tồn thơng tin Theo bạn, để kiểm sốt việc sử dụng thiết bị, ứng dụng cài đặt phịng mơ thể dùng phương pháp (chữ ký số, xác thực điều khiểu truy cập mật (fixed password, OTP), thẻ từ, camera, sinh trắc học (vân tay khuôn mặt, võng mạc,…)) nêu lý giải pháp hợp lý để thiết lập nâng cao tính an tồn thơng tin TL: Theo bạn, phòng máy nên dùng phương pháp nào? Trong tình cần áp dụng phương pháp sinh trắc học cụ thể sinh trắc học vân tay để thành viên vào cách thuận tiện kiểm soát cần thiết  Định nghĩa: Sinh trắc học (Biometric) phép đo lường đặc tính sinh lý học hành vi học mà nhận dạng người Sinh trắc học đo lường đặc tính mà khơng thể đốn, đánh cắp chia sẻ  Nguyên lý hoạt động sinh trắc học vân tay: Khi đặt ngón tay lên thiết bị nhận dạng dấu vân tay, lập tức ánh sáng hồng ngoại từ thiết bị chiếu xuyên qua ngón tay, hồng huyết cầu hấp thụ ánh sáng Đồng thời camera chụp lại cấu trúc mạng tĩnh mạch số hóa nó, lưu lại Tiếp đối chiếu đặc điểm vân tay với liệu lưu trữ hệ thống nhận diện trước Với nguyên lý trên, cơng nghệ có tính bảo mật độ xác cao bảo mật xác thực danh tính Một so sánh cụ thể, phương pháp xác thực định danh qua tĩnh mạch có số FAR, False Acceptance Rate: tỷ lệ nhận diện sai cỡ < 0,0001%, FR, False Rejection Rate: tỷ lệ từ chối sai cỡ 0.01% đó, phương pháp phổ biến nay, nhận diện qua vân tay có số FAR cỡ 3~4%  Ưu điểm: Độ xác cao Nhanh: thời gian chứng thực 1s Người dùng không cần trải qua nhiều thủ tục để xác thực Khó đánh cắp dấu vân tay người khác Có thể kết hợp nhiều yếu tố khác: khuôn mặt, võng mạc, giọng nói,… Tỷ lệ trùng lặp khơng có người có dấu vân tay không thay đổi  Nhược điểm: Giá thành: triển khai hệ thống sinh trắc học địi hỏi chi phí cho phần cứng phần mềm Có thể nhận diện sai: người hệ thống khơng chấp nhận Rất khó xử lý bị đánh cắp Hệ thống định danh điện tử Việt Nam phát triển chưa đồng hoàn toàn Lý chọn PP sinh trắc học: So với phương pháp điều khiển truy cập mật phương pháp sinh trắc học đảm bảo tính an tồn thơng tin Phù hợp với khơng gian dành cho nhiều đối tượng sử dụng Theo bạn, để kiểm sốt việc sử dụng thiết bị, ứng dụng cài đặt phịng mơ thể dùng phương pháp nào? (Giống câu tình ) ... 6.Công ty cổ phần Hệ thống Thông tin FPT (FPT-CA) 7.Công ty Cổ phần Viễn thông New-Telecom (NEWTEL-CA) Công ty Cổ phần Chứng số an tồn (SAFE-CA) Cơng ty Cổ phần Chữ ký số ViNa (Smartsign) 10 Công... Clustering, Redudancy, Failover… Như vậy, vấn đề bảo mật thông tin không đơn việc chống lại công từ hacker, ngăn chặn malware để đảm bảo thông tin không bị phá hủy bị tiết lộ ngoài… Hiểu rõ mục tiêu bảo... thơng tin) - Đảm bảo an tồn thông tin xác thực (tên đăng nhập mật không truyền trực tiếp mạng) - Xác thực giao dịch - Đảm bảo bảo mật thông tin (không thẩm quyền =>không đọc được) - Đảm bảo tính