Hà N iộ , ngà 20/11/2008y Trang 3 LUẬN VĂN TỐT NGHIỆPNguyễn Sinh Thành Trang 2 LUẬN VĂN ĐƯ C THỰC HIỆN TẠI ỢB ỘMễN CÁC HỆ THỐNG THễNG TIN KHOA CễNG NGHỆ THễNG TIN ĐẠI HỌC BÁCH KHOA HÀ
Nguyụn SINH THàNH giáo dục đào tạo trờng đại học bách khoa hà nội - Luận văn thạc sĩ khoa học NGàNH : CÔNG NGHệ THÔNG TIN ngành công nghệ thông tin ĐảM BảO AN TOàN CHO CáC Hệ ThốNG THANH TOáN ĐIệN Tử TrựC TUYếN NGUYễN SINH THàNH khoá 2006-2008 Hà NộI 2008 Tai ngay!!! Ban co the xoa dong chu nay!!! 17061131450881000000 LUẬN VĂN TỐT NGHIỆP LỜI CẢM ƠN Đầu tiên xin gửi lời cảm ơn chân thành tới TS Vũ Tuyết Trinh, người giúp đỡ hướng dẫn tơi tận tình suốt thời gian thực luận văn Tôi xin trân trọng cảm ơn thầy, cô khoa Công nghệ Thông tin trường Đại học Bách Khoa Hà Nội truyền thụ cho kiến thức mà học suốt năm qua Tôi xin chân thành cảm ơn đến người bạn học lớp Cao học CNTT khóa 2006 – 2008, Viện Đào tạo Sau đại học, Trường Đại học Bách Khoa Hà Nội, người nghiên cứu, học tập, trao đổi giúp cho tơi có nhiều ý tưởng để nghiên cứu hoàn thiện luận văn Cuối xin gửi lời cảm ơn chân thành đến cộng đồng jpos.org, người thảo luận giải pháp kỹ thuật công nghệ, chia sẻ kinh nghiệm để tơi hồn thành luận văn Trong phạm vi Luận văn tốt nghiệp cao học khó diễn đạt mặt lý thuyết kĩ thuật, bên cạnh trình độ thân cịn hạn chế nên khơng thể tránh khỏi thiếu xót Tơi mong nhận nhiều ý kiến đóng góp để tiếp tục hồn thiện kiến thức giải pháp Hà Nội, ngày 20/11/2008 Nguyễn Sinh Thành Nguyễn Sinh Thành Trang LUẬN VĂN TỐT NGHIỆP LUẬN VĂN ĐƯỢC THỰC HIỆN TẠI BỘ MÔN CÁC HỆ THỐNG THÔNG TIN KHOA CÔNG NGHỆ THÔNG TIN - ĐẠI HỌC BÁCH KHOA HÀ NỘI VÀ PHỊNG GIẢI PHÁP PHẦN MỀM SỐ CƠNG TY ĐIỆN TOÁN VÀ TRUYỀN SỐ LIỆU (VDC) Nguyễn Sinh Thành Trang LUẬN VĂN TỐT NGHIỆP Mục lục LỜI CẢM ƠN T 13 T 13 Mục lục T 13 T 13 Danh mục từ viết tắt T 13 T 13 Danh mục hình vẽ T 13 T 13 Mở đầu T 13 T 13 Chương Đặt vấn đề 10 T 13 T 13 1.1 Thương mại điện tử 10 T 13 T 13 T 13 T 13 1.1.1 T 13 T 13 1.1.2 T 13 T 13 1.1.3 T 13 T 13 1.1.4 T 13 T 13 Cơ sở hạ tầng cho TMĐT 12 T 13 T 13 TMĐT Việt Nam 13 T 13 T 13 Khuôn khổ pháp lý cho TMĐT Việt Nam 14 T 13 T 13 Yêu cầu TMĐT hệ thống toán 15 T 13 T 13 1.2 Mơ hình chung ứng dụng TMĐT 16 T 13 T 13 T 13 T 13 1.3 Mục đích phương pháp nghiên cứu 17 T 13 T 13 T 13 T 13 1.3.1 T 13 T 13 1.3.2 T 13 T 13 Mục đích 17 T 13 T 13 Phương pháp nghiên cứu 17 T 13 T 13 1.4 Bố cục luận văn 19 T 13 T 13 T 13 T 13 Chương Phân tích hiểm họa an tồn hệ thống 21 T 13 T 13 2.1 Mục đích phân loại đảm bảo an tồn hệ thống 21 T 13 T 13 T 13 T 13 2.1.1 T 13 T 13 2.1.2 T 13 T 13 Mục đích 21 T 13 T 13 Tổng quan phương pháp đảm bảo an toàn, an ninh 27 T 13 T 13 2.2 Các hiểm họa an toàn hệ thống 28 T 13 T 13 T 13 T 13 2.2.1 T 13 T 13 2.2.2 T 13 T 13 2.2.3 T 13 T 13 Các hiểm họa máy khách 29 T 13 T 13 Các mối hiểm họa kênh truyền thông 31 T 13 T 13 Các hiểm họa máy chủ 32 T 13 T 13 Chương Các giải pháp đảm bảo an toàn hệ thống 38 T 13 T 13 3.1 Các nguyên tắc đảm bảo an toàn, an ninh 39 T 13 T 13 T 13 T 13 3.1.1 T 13 T 13 3.1.2 T 13 T 13 3.1.3 T 13 T 13 3.1.4 T 13 T 13 Chính sách đảm bảo an tồn, an ninh 39 T 13 T 13 Đảm bảo tính bí mật riêng tư giao dịch 40 T 13 T 13 Đảm bảo tính tồn vẹn giao dịch 43 T 13 T 13 Đảm bảo tính sẵn sàng hệ thống 46 T 13 Nguyễn Sinh Thành T 13 Trang LUẬN VĂN TỐT NGHIỆP 3.2 Các kỹ thuật đảm bảo an toàn, an ninh 48 T 13 T 13 T 13 T 13 3.2.1 T 13 T 13 3.2.2 T 13 T 13 3.2.3 T 13 T 13 3.2.4 T 13 T 13 3.2.5 T 13 T 13 Mã hóa đối xứng 50 T 13 T 13 Mã hóa khóa cơng khai 52 T 13 T 13 Xác thực thông điệp hàm băm 56 T 13 T 13 Chữ ký số 61 T 13 T 13 Chứng số 63 T 13 T 13 3.3 Đảm bảo an toàn hệ thống 66 T 13 T 13 T 13 T 13 3.3.1 T 13 T 13 3.3.2 T 13 T 13 3.3.3 T 13 T 13 3.3.4 T 13 T 13 Bảo vệ tài sản TMĐT 66 T 13 T 13 Bảo vệ máy khách (Client) 67 T 13 T 13 Bảo vệ kênh truyền thông 71 T 13 T 13 Bảo vệ máy chủ thương mại 75 T 13 T 13 3.4 Đánh giá so sánh giải pháp 80 T 13 T 13 T 13 T 13 3.4.1 T 13 T 13 3.4.2 T 13 T 13 3.4.3 T 13 T 13 Các điều kiện để đánh giá hệ mật mã 80 T 13 T 13 Độ an tồn thuật tốn 82 T 13 T 13 Đánh giá hệ mã sử dụng 83 T 13 T 13 Chương eBill - Hệ thống toán trực tuyến 86 T 13 T 13 4.1 Mơ hình hệ thống 86 T 13 T 13 T 13 T 13 4.2 Giới thiệu chuẩn ISO-8583 88 T 13 T 13 T 13 T 13 4.3 Mô tả hệ thống eBill 91 T 13 T 13 T 13 T 13 4.4 Phân tích hệ thống 95 T 13 T 13 T 13 T 13 4.5 Thiết kế hệ thống 95 T 13 T 13 T 13 T 13 4.5.1 T 13 T 13 4.5.2 T 13 T 13 Thiết kế kiến trúc hệ thống 95 T 13 T 13 Thiết kế đảm bảo an toàn, an ninh cho hệ thống 101 T 13 T 13 Chương Đánh giá 109 T 13 T 13 5.1 Đánh giá hệ thống 109 T 13 T 13 T 13 T 13 5.1.1 T 13 T 13 5.1.2 T 13 T 13 Ưu điểm 109 T 13 T 13 Nhược điểm 109 T 13 T 13 5.2 Đánh giá thuật toán SecurePayment 109 T 13 T 13 T 13 T 13 Chương Kết luận, kiến nghị, hướng phát triển 111 T 13 T 13 6.1 Kết luận 111 T 13 T 13 T 13 T 13 6.2 Kiến nghị 111 T 13 T 13 T 13 T 13 Nguyễn Sinh Thành Trang LUẬN VĂN TỐT NGHIỆP 6.3 Hướng phát triển 111 T 13 T 13 T 13 T 13 Tài liệu tham khảo 112 T 13 T 13 Nguyễn Sinh Thành Trang LUẬN VĂN TỐT NGHIỆP Danh mục từ viết tắt ACL Access Control List – Danh sách kiểm soát truy nhập CA Certificate Authority – Cơ quan chứng thực CGI Common Gateway Interface – Giao diện cửa chung CSDL Cơ sở liệu DES Data Encryption Standard – Chuẩn mã hóa liệu DSS Digital Signature Standard – Chuẩn chữ ký số DSA Domain Name Server – Máy chủ tên miền EDI Electronic Data Interchange – Trao đổi liệu điện tử FTP File Transfer Protocol – Giao thức truyền tệp HTML Hypertext Markup Language – Ngôn ngữ đánh dấu siêu văn HTTP Hypertext Transfer Protocol – Giao thức truyền siêu văn ISO International Organization for Standardization – Tổ chức chuẩn hóa quốc tế OECD Organization for Economic Co-operation and Development – Tổ chức hợp tác phát triển kinh tế PKI Public Key Infrastructure – Cơ sở hạ tầng khóa cơng khai SET Secure Electronic Transaction – Giao dịch điện tử an toàn S-HTTP Secure Hypertext Transfer Protocol – Giao thức truyền siêu văn an toàn SSI Server Side Include SSL Secure Socket Layer – Tầng socket an toàn TMĐT Thương mại điện tử UNCITRAL United Nations Commission on International Trade Law URL Uniform Resource Locator – Bộ định vị tài nguyên WTO World Trade Organization – Tổ chức thương mại giới Nguyễn Sinh Thành Trang LUẬN VĂN TỐT NGHIỆP Danh mục hình vẽ Hình 1.1 Hệ thống TMĐT 10 T 13U T 13U Hình 1.2 Hạ tầng cho TMĐT 12 T 13U T 13U Hình 1.3 Mơ hình chung ứng dụng TMĐT 16 T 13U T 13U Hình 2.1 Các đối tượng truyền thông kênh truyền 21 T 13U T 13U Hình 2.2 Xâm phạm tính bí mật thơng tin 23 T 13U T 13U Hình 2.3 Xâm phạm tính tồn vẹn thơng tin 24 T 13U T 13U Hình 2.4 Tấn cơng làm tính sẵn sàng hệ thống 26 T 13U U T 13 Hình 2.5 Mơ hình kết nối máy khách – kênh kết nối – máy chủ 28 T 13U T 13U Hình 2.6 Tấn cơng phía máy khách 29 T 13U U T 13 Hình 2.7 Nội dung động thu thập thông tin từ máy người dùng 30 T 13U T 13U Hình 2.8 Tấn cơng kênh truyền thông 32 T 13U U T 13 Hình 2.9 Tấn cơng phía máy chủ 33 T 13U U T 13 Hình 2.10 Hiểm họa tính bí mật máy chủ Web 34 T 13U T 13U Hình 3.1 Mơ hình quản lý rủi ro 38 T 13U T 13U Hình 3.2 Lược đồ mã hóa 42 T 13U T 13U Hình 3.3 Đảm bảo tính bí mật 42 T 13U T 13U Hình 3.4 Q trình gửi nhận thơng điệp 44 T 13U U T 13 Hình 3.5 Đảm bảo tính toàn vẹn 46 T 13U T 13U Hình 3.6 Đảm bảo tính sẵn sàng liệu hệ thống 47 T 13U U T 13 Hình 3.7 Các kỹ thuật đảm bảo an toàn, an ninh 49 T 13U T 13U Hình 3.8 Mơ hình mã hóa đối xứng 51 T 13U U T 13 Hình 3.9 Mơ hình mã hóa khóa cơng khai 53 T 13U U T 13 Hình 3.10 Mã hóa khóa cơng khai cho xác thực 55 T 13U T 13U Hình 3.11 Các dạng sử dụng mã hóa thơng điệp 58 T 13U U T 13 Hình 3.12 Các thuộc tính chữ ký số 62 T 13U T 13U Hình 3.13 Chứng khóa cơng khai đơn giản 65 T 13U U T 13 Hình 3.14 Bảo vệ máy khách 69 T 13U T 13U Hình 3.15 Cấu trúc chứng VeriSign 70 T 13U T 13U Hình 3.16 Bảo vệ kênh truyền thông 71 T 13U T 13U Hình 3.17 Thiết lập phiên SSL 73 T 13U Nguyễn Sinh Thành T 13U Trang LUẬN VĂN TỐT NGHIỆP Hình 3.18 Bảo vệ máy chủ 76 T 13U T 13U Hình 3.19 Giải pháp Check Point bảo vệ hệ thống 79 T 13U T 13U Hình 4.1 Mơ hình tổng qt hệ thống 87 T 13U U T 13 Hình 4.2 Định dạng trường liệu ISO8583 89 T 13U T 13U Hình 4.3 Thay đổi gói tin ISO- 8583 90 T 13U T 13U Hình 4.4 Mơ hình chức tổng thể 91 T 13U T 13U Hình 4.5 Giải pháp kết nối hệ thống 96 T 13U U T 13 Hình 4.6 Kiến trúc hệ thống 99 T 13U U T 13 Hình 4.7 Lưu đồ thực thuật toán HandShaking_SessionKey 106 T 13U U T 13 Hình 4.8 Lưu đồ thực thuật toán InterchangeApplicationMessage 107 T 13U Nguyễn Sinh Thành T 13U Trang LUẬN VĂN TỐT NGHIỆP Mở đầu Cùng với phát triển công nghệ thông tin truyền thông xu hướng hội nhập kinh tế toàn cầu, thương mại điện tử, mà hạt nhân hệ thống toán điện tử trực tuyến phát triển mạnh mẽ giới Rất nhiều nước có chủ trương vừa phát triển hoạt động cung ứng dịch vụ điện tử, vừa xây dựng hệ thống pháp luật đầy đủ, minh bạch để đảm bảo giá trị pháp lý thông điệp điện tử giao dịch điện tử Ở Việt Nam, Luật Giao dịch điện tử Quốc hội thông qua có hiệu lực từ 01/03/200, tạo sở pháp lý để triển khai ứng dụng giao dịch điện tử Tiếp theo đó, ngày 15/02/2007, Chính phủ ban hành Nghị định số 26/2007/NĐCP quy định chi tiết thi hành Luật Giao dịch điện tử chữ ký số dịch vụ chứng thực chữ ký số Việc ban hành văn pháp lý thể rõ tâm Nhà nước việc thúc đẩy nhanh, mạnh giao dịch điện tử, tạo động lực cho phát triển kinh tế Trong hoạt động thương mại điện tử việc đảm bảo an toàn, an ninh cho người dùng hệ thống toán điện tử trực tuyến cần thiết ưu tiên hàng đầu Các phương pháp mã hóa, chữ ký số, chứng số, sở hạ tầng khóa cơng khai ứng dụng chữ ký số, chứng số giao dịch điện tử có liên quan đến vấn đề kỹ thuật phức tạp tương đối mẻ với nhiều tổ chức, doanh nghiệp người dùng Việt Nam Từ thực tế này, chúng tơi chọn đề tài: “Đảm bảo an tồn cho hệ thống toán điện tử trực tuyến” Đây đề tài có ý nghĩa thực tế lớn sau hành lang pháp lý cho thương mại điện tử xây dựng, mục tiêu xây dựng hệ thống tốn điện tử Trong hồn cảnh Việt Nam nay, việc phát triển thương mại điện tử chậm trễ phần hệ thống toán điện tử chưa phát triển lý an tồn hệ thống toán điện tử Luận văn tập trung phân tích hiểm họa gặp phải hoạt động thương mại điện tử nói chung hệ thống tốn điện tử nói riêng, xây dựng sách nguyên tắc đảm bảo an toàn, áp dụng giải pháp kỹ thuật mã hóa, chữ ký số, chứng số, đề xuất giải pháp đảm bảo an toàn cho hệ thống Tiếp theo, luận văn đề xuất mơ hình hệ thống toán điện tử đặc tả chi tiết hệ thống toán cụ thể - eBill Nguyễn Sinh Thành Trang