Nghiên cứu hệ thống otp và đề xuất giải pháp ứng dụng cho cổng thông tin nội bộ của bộ công an

BÙI ANH TUẦN

NGHIÊN CỨU HE THONG OTP

VA DE XUAT GIAI PHAP UNG DUNG

CHO CONG THONG TIN NOI BO CUA BO CONG AN

CHUYEN NGANH: HE THONG THONG TIN

MA SO: 60.48.01.04

TOM TAT LUAN VAN THAC SY

HÀ NỘI - 2014

Luận văn được hoàn thành tại:

HỌC VIỆN CÔNG NGHỆ BƯU CHÍNH VIỄN THÔNG

Người hướng dẫn khoa học: PGS.TS Hoàng Minh

Phản biện 1: PGS.TS Hoàng Đăng HảiPhản biện 2: TS Hoàng Xuân Dậu

Luận văn sẽ được bảo vệ trước Hội đồng cham luận văn thạc sĩ tại

Học viện Công nghệ Bưu chính Viễn thông

Vào lúc: 09 giờ 30 ngày 08 tháng 02 năm 2015.

Có thể tìm hiểu luận văn tại:

Thư viện của Học viện Công nghệ Bưu chính Viễn thông

MỞ ĐẦU

Cùng với sự phát triển của công nghệ thông tin, tình hình tội

phạm công nghệ cao ngày cảng gia tăng mạnh mẽ, đặc biệt là trong

lĩnh vực giao dịch điện tử với các hành vi chiếm đoạt tài khoản,

thông tin cá nhân Trong các nguy cơ và hình thức tấn công hiện nay,

có một nguy cơ với mức độ nguy hiểm rất cao là tài khoản người

dùng có thé bị kẻ tan công ghi lại và lợi dụng dé đánh cắp thông tin hoặc bằng nhiều hình thức khác nhau có thể chiếm đoạt tài khoản người dùng Vì vậy, cần thiết phải sử dụng cơ chế bảo mật hai lớp để tăng tính bảo mật cho người dùng.

Nhăm góp phần đảm bảo an toàn thông tin cho các hệ thống thông tin ngành Công an, học viên đã tìm hiểu, nghiên cứu về “Hệ thống OTP và đề xuất giải pháp ứng dụng cho công thông tin nội bộ của Bộ Công an”.

Thực hiện Luận văn này, Học viên kỳ vọng sẽ tìm hiểu và đề xuất

áp dụng công nghệ OTP cho các Hệ thống thông tin ngành Công an, góp phan nâng cao công tác đảm bảo an ninh, an toàn thông tin.

Luận văn được xây dựng gồm có phần mở dau, kết luận và ba chương: trong phần mở đầu, trình bày về ý nghĩa và mục tiêu của luận văn Phần kết luận tóm tắt lại các công việc, kết quả luận văn đã thực hiện.

Nội dung Chương | nghiên cứu về nguy cơ de doa an ninh, an

toàn thông tin, các vấn đề đảm bảo an ninh và an toàn mạng, các lỗ

hồng trong bảo mật và phương thức tấn công mạng và chính sách bảo

mật thường xảy ra và áp dụng hiện nay.

Chương 2 tập trung nghiên cứu về xác thực mật khẩu một lần OTP, trong đó nghiên cứu sâu về các framework và mô hình an ninh cho tổ chức, các cơ chế xác thực và các phương pháp sử dụng mật

khẩu một lần cho việc xác thực

Nội dung Chương 3 đề xuất ứng dụng OTP cho công thông tin

điện tử nội bộ của Bộ Công an Mô phỏng, thủ nghiệm công nghệ

nghệ OTP được sử dung thông qua hình thức nhắn tin SMS.

Chương 1 TONG QUAN VE AN TOAN THONG TIN

1.1 Nguy cơ de dọa an ninh, an toàn thông tin

Việc truy cập mạng từ bất kỳ thiết bị đầu cuối nao luôn phải

được sự cho phép và đặt dưới sự bảo vệ và giám sát Vấn đề bảo mật

phải được các tổ chức triển khai một cách toàn diện từ phần biên

mạng, lõi của mạng, phía trước và giữa các ứng dụng với hệ thống

thiết bị đầu cuối.

Các nguy cơ an ninh đối với mạng truy nhập là phần mạng nằm

ở vị trí cuối của mạng viễn thông, trực tiếp đấu với thuê bao, bao

gồm tat cả các thiết bị và đường dây được lắp đặt giữa trạm chuyên

mạch nội hạt với thiết bị đầu cuối của thuê bao Sự ra đời và phát triển của mạng truy nhập nhằm phục vụ cho nhu cầu sử dụng thông

tin liên lạc của con người ngày càng phong phú hơn Từ điện thoại

truyền thống, fax cho đến các dịch vụ mang tính tương tác như điện

thoại hội nghị truyền hình, dao tạo từ xa, internet, Chính vì vai tro

và tầm quan trọng của mạng truy nhập như vậy mà mạng truy nhập

luôn trở thành mục tiêu chính của các cuộc tấn công, không chỉ ở bên trong mà còn ở bên ngoải mạng.

Các nguy cơ bên trong: xuất phát từ chính người dùng của mạng, có thé là một trong số các nhân viên của cơ quan, khi mà người này có ý đồ đánh cắp dữ liệu mật của cơ quan Thực hiện điều

này rat dé dang vi ho có day đủ quyền hạn của một nhân viên bình

thường như có tài khoản user, password, có quyền đăng nhập vào dit

liệu của cơ quan từ đó thâm nhập sâu vào hệ thống, có thể thao tác

trên máy tính của người khác dé lấy dữ liệu.

Các nguy cơ từ bên ngoài: các kiểu tấn công của hacker như tấn công chủ động và tấn công bị động, tấn công kiểu chèn ép, tấn công

theo kiểu thu hút hay tấn công từ chối dịch vụ Một số hình thức tấn

công như: tấn công chủ động, tấn công bị động, tấn công theo kiểu

chèn ép, tấn công từ chối dich vụ Các nguy cơ cụ thê:

- Nguy cơ bị đánh cắp thông tin

+ Đối với cá nhân, đữ liệu là những thông tin cá nhân như họ

tên, địa chỉ liên hệ, nơi làm việc, tài khoản ngân hàng, các loại thẻ + Đối với doanh nghiệp, thông tin dữ liệu rất quan trọng trong các hoạt động kinh doanh, đữ liệu chứa tất cả những gì mà doanh

nghiệp có từ bộ máy tổ chức, thông tin sản phẩm, chiến lược kinh

doanh và hướng phát trién,

+ Đối với một tổ chức, có thể nói dữ liệu chính là xương sống và luôn được các tổ chức cập nhập một cách thường xuyên và nhanh

chóng, dữ liệu ngày càng nhiều hơn theo thời gian vì vậy không thé dé mat nó.

+ Đối với Chính phủ, đữ liệu càng quan trong hon, đó là tài liệu mật liên quan đến an ninh, sự phát triển của quốc gia Vì vậy, Chính phủ luôn là mục tiêu để các hacker tấn công nhằm lấy cắp dữ

- Nguy cơ bị sửa đổi thông tin: đôi khi, hacker tan công vào cơ quan, doanh nghiệp không phải để đánh cắp hay phá hủy mà đơn giản chỉ là dé thay thé, sửa đổi nội dung trong đó Những thông tin dữ liệu bị thay thế, sửa đổi làm sai lệnh nội dung ban đầu thực sự là một trở ngại lớn đối với các cá nhân, cơ quan, doanh nghiệp Khi thông tin bị sửa đổi, nó sẽ bị mat đi ý nghĩa và mục dich ban đầu,

điều này nếu như không được phát hiện kịp thời thì có thể gây nên

những quyết sách sai lệch ảnh hưởng trực tiếp đến chiến lược phát

triển, lợi ích của doanh nghiệp.

- Nguy cơ từ chối dịch vụ: Tấn công từ chối dịch vụ DoS

(Denial of Service) là kiểu tan công làm cho một hệ thống không thể

sử dụng, hoặc làm cho hệ thống đó chậm di một cách dang ké với

người dùng bình thường, bằng cách làm quá tải tài nguyên của hệ thống Mục đích cuối cùng là máy chủ không thể đáp ứng được các yêu cầu sử dụng dịch vụ từ các máy trạm DoS có thê làm ngưng hoạt động của một máy tính, một mạng nội bộ, thậm chí là cả một hệ

thống mạng rất lớn Về bản chất, DoS chính là kẻ tấn công chiếm

dụng một lượng lớn tài nguyên mạng như băng thông, bộ nhớ, làm

mat khả năng xử ly các yêu cầu dich vụ hợp lệ của các Client khác.

- Nguy cơ phá hủy thông tin: các doanh nghiệp, tổ chức dù là lớn hay nhỏ đều thường mắc sai lầm khi không dành đủ thời gian, nguồn lực cũng như kinh phí dé đánh giá hết tác động của sự ngừng trệ đối với dịch vụ và hệ thống thông tin của họ Dữ liệu bị phá hủy gây thiệt hại về kinh tế do hệ thống bị ngừng trệ, bị treo, khách hang hoang mang, giảm lòng tin đối với doanh nghiệp, khiến cho danh

tiếng của doanh nghiệp bị giảm sút nghiêm trọng.

1.2 Những vấn đề đảm bảo an ninh và an toàn mạng

- Mật mã (Crytography) là một trong những mặt phức tạp nhất

của quá trình phát triển phần mềm an toàn mà bat kỳ nhà phát triển

nào cũng phải sử dụng.

- Xác thực (Authentication) là hoạt động liên quan đến kiểm tra tính đúng đắn một thực thé giao tiếp đến một tài nguyên nao đó.

- Ủy quyền (Authorization) là hoạt động kiểm tra tính hợp lệ có được cấp phát thực hiện một hành động cụ thê hay không Hoạt động này liên quan đến các dịch vụ cấp phát quyên truy cập, đảm bảo cho

phép hoặc không cho phép truy nhập đối với những tài nguyên đã

được phân quyền cho các thực thé Những hoạt động ở đây có thé là

quyền đọc dữ liệu, viết, thi hành một chương trình hoặc sử dụng một

thiết bị phần cung, CƠ chế thực hiện việc phân quyền dựa vào 2 mô

hình chính: phân quyền theo nhóm, và phân quyền theo đối tượng.

- Kiểm toán (Auditing hoặc Accounting): là quá trình cuối cùng của hệ thống phân quyền có chức năng kiểm tra hay ghi lại log, theo

dõi hoạt động của hệ thống và ghi nhận các hành vi diễn ra trên hệ

thống, liên kết các hành vi này với các tác nhân gây ra 1.3 An toàn hệ thống và an toàn dữ liệu

- Đối tượng tấn công mạng là những cá nhân hoặc các tổ chức

sử dụng các kiến thức về mạng, các công cụ phá hoại (phần mềm

hoặc phần cứng) dé đò tìm các điểm yếu, lỗ héng bảo mật trên hệ

thống, thực hiện các hoạt động xâm nhập và chiếm đoạt tài nguyên

mang trái phép Một số loại đối tượng tan công mang: Hacker (tin tặc), Masquerader (kẻ giả mạo),

- Các lỗ hồng bao mật là những điểm yếu trên hệ thống hoặc an

chứa trong một dịch vụ mà dựa vào đó kẻ tấn công có thể xâm nhập

trải phép để thực hiện các hành động phá hoại hoặc chiếm đoạt tài nguyên bat hợp pháp.

- Phương thức tấn công mạng: đối tượng chủ yếu của việc tấn công hệ thống mạng chính là hệ thống website, thiết bị hạ tầng, CƠ SỞ dữ liệu nhằm lợi dung các lỗ hồng bảo mật dé cài phần mềm gián điệp, điều khiển từ xa nhăm phá hoại, lấy cắp thông tin với các mục đích về kinh tế, chính trị, gây ảnh hưởng đến các cơ quan, doanh nghiệp Một số phương thức tan công phố biến: tan công thăm dò, tan

công sử dung mã độc, tấn công xâm nhập mang, tan công từ chối dich vụ: là cách tan công làm cho một hệ thống nào đó bị quá tải không thể cung cấp dịch vụ, làm gián đoạn hoạt động của hệ thống hoặc hệ

thống phải ngưng hoạt động, hai kiểu tấn công chủ yếu là DoS (Denial of Service) va DDoS (Distributed DoS).

1.4 Chinh sach bao mat

- Mô hình bao mật tổng thé được tạo ra dé giải quyết các thách thức cũng như các vấn đề về an ninh của các nhà cung cấp, các cơ

quan, doanh nghiệp và người dùng áp dụng cho mạng không dây, cáp

quang, dữ liệu và mạng hội tụ Các mô hình này cho biết việc quản

lý, điều khiển va sử dụng các cơ sở hạ tang mạng, dich vu va các ứng

dụng, cung cấp một cách toàn diện có thé áp dung với các phan tử của mạng, các ứng dụng, dịch vụ.

- Các chính sách bảo mật chung: tùy thuộc vào quy mô của từngcơ quan, doanh nghiệp mà có các cách bảo vệ an ninh mạng và các giải pháp về an ninh hệ thống phủ hợp, nhưng hau hết tat cả các biện pháp bảo vệ an ninh mạng nghiệp đều có những thành phần cơ bản:

+ Giải pháp về phần cứng, gồm: tường lửa bên ngoài, lớp an ning trung tâm, lớp tường lửa bảo vệ hệ thống máy chủ

+ Các giải pháp phụ trợ, gồm: phần mềm phòng chống virus cho máy trạm, giải pháp ngăn chặn mat mát dữ liệu, giải pháp vật lí cho các phòng máy chủ, hệ thống giám sát và quản trị hệ thống an ninh thông tin, xây dựng hệ thống xác thực: xác thực bằng mật khâu, xác thực OTP.

Chương 2 NGHIÊN CUU VE XÁC THUC MAT KHẨU

MOT LAN (OTP)

Nội dung của chương này sé trình bày về các cơ chế xác thực,

các phương pháp sử dụng mật khẩu một lan Đi sâu vào nghiên cứu

mô hình và nguyên lý hoạt động của xác thực mật khẩu một lần OTP.

2.1 Nghiên cứu về các framework và mô hình an ninh cho tổ

Đối với các cơ quan, doanh nghiệp hiện nay, có thể nói hệ thống

mạng chính là van dé xương sống của cơ quan, doanh nghiệp đó, và

mỗi đơn vị đều có một hệ thống mạng riêng với thiết kế phù hợp với nhu cau sử dụng và bảo mật của đơn vị mình Tuy nhiên, cho đù là cơ

quan, doanh nghiệp lớn hay nhỏ thì mô hình an ninh tổng quát luôn

tuân theo một mô hình chuẩn.

Mô hình an ninh tổng quát cho tổ chức bao gồm: Security

architecture (kiến trúc bảo mật), Security Operation (hệ thống bao

mật), Application Security (bảo mật ứng dụng), Server and Endpoint

Security (bảo mật máy chủ và thiết bị đầu cuối), Perimeter and

Security (phạm vi bảo mật), Governamce & Compliance (tuân thủ quản trị), Infrastruture Security (bảo mật hạ tầng).

2.2 Nghiên cứu về các cơ chế xác thực (đa lớp, nhiều yếu tô) Xác thực đa lớp, nhiều yếu tố (thông thường là xác thực 2 yếu

tố) là phương pháp xác thực yêu cầu 2 yếu tố phụ thuộc vào nhau để chứng minh tính đúng đắn của một danh tính.

Xác thực 2 yếu tô dựa trên những thông tin mà người dùng biết

(số PIN, mật khâu) cùng với những gì mà người dùng có (SmartCard, USB, Token, ) để chứng minh danh tính Với hai yếu tô kết hợp

đồng thời, tin tặc sẽ gặp rất nhiều khó khăn dé đánh cắp đầy đủ các thông tin này Nếu một trong hai yếu tố bị đánh cắp cũng chưa đủ để

tin tặc sử dụng Phương pháp này đảm bảo an toàn hơn rất nhiều so với phương pháp xác thực truyền thống dựa trên một yếu tố như Mật khẩu/số PIN Lợi ích của việc xác thực 2 yếu tổ là:

- Tấn công Phishing đã có những thành công nhất định trong

đánh cắp mật khẩu tĩnh của khách hàng Nếu sử dụng xác thực 2 yếu tố thì việc đánh cắp mật khẩu tĩnh là vô nghĩa.

- Ăn cắp danh tính trong môi trường giao dịch trực tuyến sẽ trở nên khó khăn hơn khi danh tính đó được bảo vệ bằng 2 yếu tổ thay vi

1 yếu tô.

- Trong giao dịch trực tuyến, tính chống từ chối và tính bí mật là

một trong những yêu cầu cần thiết của khách hang Rất nhiều tổ chức

tài chính đã sử dụng chữ ký số được tạo ra từ hệ thống xác thực 2 yếu

tố đảm bảo cho các giao dịch.

- Xác thực 1 yếu tố trước đây mới chỉ đáp ứng được xác thực

giữa nhà cung cấp dịch vụ với khách hàng mà không có khả năng

ngược lại Hệ thống xác thực 2 yếu tố sẽ giúp cho quá trình xác thực

là tương tác 2 chiều, đảm bảo tối đa tính an toàn cho các giao dịch

trực tuyến.

- Xác thực 2 yếu tố giúp người dùng không phải nhớ thay đổi mật khâu theo định kỳ và tránh được một số rắc rối khi quên mật

Xác thực mạnh danh tính bằng thẻ lưới hảo mậtXác nhận giao dịch trên Mobile bang OTP

» Xác thực may tinh, thiết bị

Chi phi mua sắm và triển khai hệ thống xác thực Mức độ đảm bảo của phương pháp xác thực

Hình 2 - So sánh giữa phương pháp xác thực truyền thống và xác thực đa yếu tố

Có 6 phương pháp xác thực 2 yếu tố có thể thực hiện riêng lẻ hoặc đồng thời:

1 Xác thực người dùng bằng ma trận lưới ngẫu nhiên: mỗi

khách hàng sẽ được cấp một thẻ bao mật trên đó in | ma trận

hàng/cột với các giá trị trong các ô là chữ hoặc số ngẫu nhiên Mỗi lần xác thực, khách hàng sẽ phải nhập một số giá trị trong ma trận theo các tọa độ, các yêu cầu tọa độ này được thay đổi sau mỗi lần xác thực thành công và thay đổi ngẫu nhiên sao cho các giá trị mật khẩu là không bao giờ trùng nhau Khách hàng sẽ tra trên thẻ bảo mật của mình sở hữu đề nhập các giá trị tương ứng theo tọa độ được yêu cầu.

2 Xác thực người dùng băng OTP Tokens: xác thực dựa trên

mật khâu động được tạo ra từ Token.

3 Xác thực theo thông tin cau hình của các thiết bị cá nhân: xác thực dựa trên những thông tin cấu hình của các thiết bị như PC, Notebook, Server cho lần đầu tiên truy cập tới dịch vụ, khi đó các thông tin cấu hình sẽ được lưu trữ trên Server xác thực và các lần sau đó khách hàng khi sử dụng thiết bị cá nhân đã đăng ký không phải

xác thực lại.

4 Xác thực thông qua gửi OTP bằng SMS tới Mobile: đây là một phương pháp phổ biến nhất trong các giao dịch điện tử Trước khi khách hàng xác nhận thực hiện một giao dịch đã đăng ký trước đó băng một tin nhắn SMS Sau khi nhận được, khách hàng sẽ nhập dãy

số đó cũng với giao dịch để đảm bảo việc giao dịch đúng là khách

5 Xác thực dựa trên các thông tin cá nhân: phương pháp này

giúp ứng dụng kiểm tra tính đúng đắn của khách hàng bằng những câu hỏi, câu trả lời mà khách hàng đã đăng ký với nhà cung cấp dịch

vụ Đây là những thông tin chỉ khách hàng và nhà cung cấp dịch vụ

6 Xác thực bằng số PIN tạm thời: phương pháp này được sử

dụng trong trường hợp khách hàng quên không mang thẻ lưới Khi đó khách hang có thé sử dụng một số PIN tạm thời dé sử dụng Số PIN

nay có thé sử dụng nhiều lần trong một khoảng thời gian do hệ thống

xác thực đặt trước và hết hiệu lực khi hết thời gian hoặc khi người dùng sử dụng lại thẻ chính thức.

2.3 Các phương pháp sử dụng mật khẩu một lần cho việc

xác thực

- Token key: là thiết bị hoạt động theo phương thức tự tạo ra

các dãy số ngẫu nhiên và có giá trị chỉ trong một khoảng thời gian

nhất định (thường dưới 1 phút).

Ví dụ: khi người dùng muốn đăng nhập vào trang web ngân