Trong các nguy cơ và hình thức tấn công hiện nay, có một nguy cơ với mức độ nguy hiểm rất cao là tài khoản người dùng có thé bị kẻ tan công ghi lại và lợi dụng dé đánh cắp thông tinhoặc
Trang 1BÙI ANH TUẦN
NGHIÊN CỨU HE THONG OTP
VA DE XUAT GIAI PHAP UNG DUNGCHO CONG THONG TIN NOI BO CUA BO CONG AN
CHUYEN NGANH: HE THONG THONG TIN
MA SO: 60.48.01.04
TOM TAT LUAN VAN THAC SY
HÀ NỘI - 2014
Trang 2Luận văn được hoàn thành tại:
HỌC VIỆN CÔNG NGHỆ BƯU CHÍNH VIỄN THÔNG
Người hướng dẫn khoa học: PGS.TS Hoàng Minh
Phản biện 1: PGS.TS Hoàng Đăng Hải
Phản biện 2: TS Hoàng Xuân Dậu
Luận văn sẽ được bảo vệ trước Hội đồng cham luận văn thạc sĩ tại
Học viện Công nghệ Bưu chính Viễn thông
Vào lúc: 09 giờ 30 ngày 08 tháng 02 năm 2015.
Có thể tìm hiểu luận văn tại:
Thư viện của Học viện Công nghệ Bưu chính Viễn thông
Trang 3MỞ ĐẦU
Cùng với sự phát triển của công nghệ thông tin, tình hình tội
phạm công nghệ cao ngày cảng gia tăng mạnh mẽ, đặc biệt là trong
lĩnh vực giao dịch điện tử với các hành vi chiếm đoạt tài khoản,
thông tin cá nhân Trong các nguy cơ và hình thức tấn công hiện nay,
có một nguy cơ với mức độ nguy hiểm rất cao là tài khoản người
dùng có thé bị kẻ tan công ghi lại và lợi dụng dé đánh cắp thông tinhoặc bằng nhiều hình thức khác nhau có thể chiếm đoạt tài khoảnngười dùng Vì vậy, cần thiết phải sử dụng cơ chế bảo mật hai lớp đểtăng tính bảo mật cho người dùng.
Nhăm góp phần đảm bảo an toàn thông tin cho các hệ thốngthông tin ngành Công an, học viên đã tìm hiểu, nghiên cứu về “Hệthống OTP và đề xuất giải pháp ứng dụng cho công thông tin nội
bộ của Bộ Công an”.
Thực hiện Luận văn này, Học viên kỳ vọng sẽ tìm hiểu và đề xuất
áp dụng công nghệ OTP cho các Hệ thống thông tin ngành Công an,góp phan nâng cao công tác đảm bảo an ninh, an toàn thông tin
Luận văn được xây dựng gồm có phần mở dau, kết luận và bachương: trong phần mở đầu, trình bày về ý nghĩa và mục tiêu của luậnvăn Phần kết luận tóm tắt lại các công việc, kết quả luận văn đã thực hiện
Nội dung Chương | nghiên cứu về nguy cơ de doa an ninh, an
toàn thông tin, các vấn đề đảm bảo an ninh và an toàn mạng, các lỗ
hồng trong bảo mật và phương thức tấn công mạng và chính sách bảo
mật thường xảy ra và áp dụng hiện nay.
Chương 2 tập trung nghiên cứu về xác thực mật khẩu một lầnOTP, trong đó nghiên cứu sâu về các framework và mô hình an ninhcho tổ chức, các cơ chế xác thực và các phương pháp sử dụng mật
khẩu một lần cho việc xác thực
Nội dung Chương 3 đề xuất ứng dụng OTP cho công thông tin
điện tử nội bộ của Bộ Công an Mô phỏng, thủ nghiệm công nghệ
nghệ OTP được sử dung thông qua hình thức nhắn tin SMS
Trang 4Chương 1 TONG QUAN VE AN TOAN THONG TIN
1.1 Nguy cơ de dọa an ninh, an toàn thông tinViệc truy cập mạng từ bất kỳ thiết bị đầu cuối nao luôn phải
được sự cho phép và đặt dưới sự bảo vệ và giám sát Vấn đề bảo mật
phải được các tổ chức triển khai một cách toàn diện từ phần biên
mạng, lõi của mạng, phía trước và giữa các ứng dụng với hệ thống
thiết bị đầu cuối
Các nguy cơ an ninh đối với mạng truy nhập là phần mạng nằm
ở vị trí cuối của mạng viễn thông, trực tiếp đấu với thuê bao, bao
gồm tat cả các thiết bị và đường dây được lắp đặt giữa trạm chuyên
mạch nội hạt với thiết bị đầu cuối của thuê bao Sự ra đời và pháttriển của mạng truy nhập nhằm phục vụ cho nhu cầu sử dụng thông
tin liên lạc của con người ngày càng phong phú hơn Từ điện thoại
truyền thống, fax cho đến các dịch vụ mang tính tương tác như điện
thoại hội nghị truyền hình, dao tạo từ xa, internet, Chính vì vai tro
và tầm quan trọng của mạng truy nhập như vậy mà mạng truy nhập
luôn trở thành mục tiêu chính của các cuộc tấn công, không chỉ ở bêntrong mà còn ở bên ngoải mạng.
Các nguy cơ bên trong: xuất phát từ chính người dùng củamạng, có thé là một trong số các nhân viên của cơ quan, khi màngười này có ý đồ đánh cắp dữ liệu mật của cơ quan Thực hiện điều
này rat dé dang vi ho có day đủ quyền hạn của một nhân viên bình
thường như có tài khoản user, password, có quyền đăng nhập vào dit
liệu của cơ quan từ đó thâm nhập sâu vào hệ thống, có thể thao tác
trên máy tính của người khác dé lấy dữ liệu
Các nguy cơ từ bên ngoài: các kiểu tấn công của hacker như tấncông chủ động và tấn công bị động, tấn công kiểu chèn ép, tấn công
theo kiểu thu hút hay tấn công từ chối dịch vụ Một số hình thức tấn
công như: tấn công chủ động, tấn công bị động, tấn công theo kiểu
chèn ép, tấn công từ chối dich vụ
Các nguy cơ cụ thê:
Trang 5- Nguy cơ bị đánh cắp thông tin
+ Đối với cá nhân, đữ liệu là những thông tin cá nhân như họ
tên, địa chỉ liên hệ, nơi làm việc, tài khoản ngân hàng, các loại thẻ
+ Đối với doanh nghiệp, thông tin dữ liệu rất quan trọng trongcác hoạt động kinh doanh, đữ liệu chứa tất cả những gì mà doanh
nghiệp có từ bộ máy tổ chức, thông tin sản phẩm, chiến lược kinh
doanh và hướng phát trién,
+ Đối với một tổ chức, có thể nói dữ liệu chính là xương sống
và luôn được các tổ chức cập nhập một cách thường xuyên và nhanh
chóng, dữ liệu ngày càng nhiều hơn theo thời gian vì vậy không thé
dé mat nó
+ Đối với Chính phủ, đữ liệu càng quan trong hon, đó là tài liệumật liên quan đến an ninh, sự phát triển của quốc gia Vì vậy,Chính phủ luôn là mục tiêu để các hacker tấn công nhằm lấy cắp dữ
liệu.
- Nguy cơ bị sửa đổi thông tin: đôi khi, hacker tan công vào cơquan, doanh nghiệp không phải để đánh cắp hay phá hủy mà đơngiản chỉ là dé thay thé, sửa đổi nội dung trong đó Những thông tin
dữ liệu bị thay thế, sửa đổi làm sai lệnh nội dung ban đầu thực sự làmột trở ngại lớn đối với các cá nhân, cơ quan, doanh nghiệp Khithông tin bị sửa đổi, nó sẽ bị mat đi ý nghĩa và mục dich ban đầu,
điều này nếu như không được phát hiện kịp thời thì có thể gây nên
những quyết sách sai lệch ảnh hưởng trực tiếp đến chiến lược phát
triển, lợi ích của doanh nghiệp
- Nguy cơ từ chối dịch vụ: Tấn công từ chối dịch vụ DoS
(Denial of Service) là kiểu tan công làm cho một hệ thống không thể
sử dụng, hoặc làm cho hệ thống đó chậm di một cách dang ké với
người dùng bình thường, bằng cách làm quá tải tài nguyên của hệthống Mục đích cuối cùng là máy chủ không thể đáp ứng được cácyêu cầu sử dụng dịch vụ từ các máy trạm DoS có thê làm ngưng hoạtđộng của một máy tính, một mạng nội bộ, thậm chí là cả một hệ
Trang 6thống mạng rất lớn Về bản chất, DoS chính là kẻ tấn công chiếm
dụng một lượng lớn tài nguyên mạng như băng thông, bộ nhớ, làm
mat khả năng xử ly các yêu cầu dich vụ hợp lệ của các Client khác
- Nguy cơ phá hủy thông tin: các doanh nghiệp, tổ chức dù làlớn hay nhỏ đều thường mắc sai lầm khi không dành đủ thời gian,nguồn lực cũng như kinh phí dé đánh giá hết tác động của sự ngừngtrệ đối với dịch vụ và hệ thống thông tin của họ Dữ liệu bị phá hủygây thiệt hại về kinh tế do hệ thống bị ngừng trệ, bị treo, khách hanghoang mang, giảm lòng tin đối với doanh nghiệp, khiến cho danh
tiếng của doanh nghiệp bị giảm sút nghiêm trọng
1.2 Những vấn đề đảm bảo an ninh và an toàn mạng
phép hoặc không cho phép truy nhập đối với những tài nguyên đã
được phân quyền cho các thực thé Những hoạt động ở đây có thé là
quyền đọc dữ liệu, viết, thi hành một chương trình hoặc sử dụng một
thiết bị phần cung, CƠ chế thực hiện việc phân quyền dựa vào 2 mô
hình chính: phân quyền theo nhóm, và phân quyền theo đối tượng
- Kiểm toán (Auditing hoặc Accounting): là quá trình cuối cùngcủa hệ thống phân quyền có chức năng kiểm tra hay ghi lại log, theo
dõi hoạt động của hệ thống và ghi nhận các hành vi diễn ra trên hệ
thống, liên kết các hành vi này với các tác nhân gây ra
1.3 An toàn hệ thống và an toàn dữ liệu
- Đối tượng tấn công mạng là những cá nhân hoặc các tổ chức
sử dụng các kiến thức về mạng, các công cụ phá hoại (phần mềm
Trang 7hoặc phần cứng) dé đò tìm các điểm yếu, lỗ héng bảo mật trên hệ
thống, thực hiện các hoạt động xâm nhập và chiếm đoạt tài nguyên
mang trái phép Một số loại đối tượng tan công mang: Hacker (tintặc), Masquerader (kẻ giả mạo),
- Các lỗ hồng bao mật là những điểm yếu trên hệ thống hoặc an
chứa trong một dịch vụ mà dựa vào đó kẻ tấn công có thể xâm nhập
trải phép để thực hiện các hành động phá hoại hoặc chiếm đoạt tàinguyên bat hợp pháp
- Phương thức tấn công mạng: đối tượng chủ yếu của việc tấncông hệ thống mạng chính là hệ thống website, thiết bị hạ tầng, CƠ SỞ
dữ liệu nhằm lợi dung các lỗ hồng bảo mật dé cài phần mềm giánđiệp, điều khiển từ xa nhăm phá hoại, lấy cắp thông tin với các mụcđích về kinh tế, chính trị, gây ảnh hưởng đến các cơ quan, doanhnghiệp Một số phương thức tan công phố biến: tan công thăm dò, tan
công sử dung mã độc, tấn công xâm nhập mang, tan công từ chối dichvụ: là cách tan công làm cho một hệ thống nào đó bị quá tải khôngthể cung cấp dịch vụ, làm gián đoạn hoạt động của hệ thống hoặc hệ
thống phải ngưng hoạt động, hai kiểu tấn công chủ yếu là DoS(Denial of Service) va DDoS (Distributed DoS).
1.4 Chinh sach bao mat
- Mô hình bao mật tổng thé được tạo ra dé giải quyết các tháchthức cũng như các vấn đề về an ninh của các nhà cung cấp, các cơ
quan, doanh nghiệp và người dùng áp dụng cho mạng không dây, cáp
quang, dữ liệu và mạng hội tụ Các mô hình này cho biết việc quản
lý, điều khiển va sử dụng các cơ sở hạ tang mạng, dich vu va các ứng
dụng, cung cấp một cách toàn diện có thé áp dung với các phan tửcủa mạng, các ứng dụng, dịch vụ.
- Các chính sách bảo mật chung: tùy thuộc vào quy mô của từng
cơ quan, doanh nghiệp mà có các cách bảo vệ an ninh mạng và cácgiải pháp về an ninh hệ thống phủ hợp, nhưng hau hết tat cả các biệnpháp bảo vệ an ninh mạng nghiệp đều có những thành phần cơ bản:
Trang 8+ Giải pháp về phần cứng, gồm: tường lửa bên ngoài, lớp anning trung tâm, lớp tường lửa bảo vệ hệ thống máy chủ
+ Các giải pháp phụ trợ, gồm: phần mềm phòng chống virus chomáy trạm, giải pháp ngăn chặn mat mát dữ liệu, giải pháp vật lí chocác phòng máy chủ, hệ thống giám sát và quản trị hệ thống an ninhthông tin, xây dựng hệ thống xác thực: xác thực bằng mật khâu, xácthực OTP.
Trang 9Chương 2 NGHIÊN CUU VE XÁC THUC MAT KHẨU
MOT LAN (OTP)Nội dung của chương này sé trình bày về các cơ chế xác thực,
các phương pháp sử dụng mật khẩu một lan Đi sâu vào nghiên cứu
mô hình và nguyên lý hoạt động của xác thực mật khẩu một lần OTP
2.1 Nghiên cứu về các framework và mô hình an ninh cho tổ
chức
Đối với các cơ quan, doanh nghiệp hiện nay, có thể nói hệ thống
mạng chính là van dé xương sống của cơ quan, doanh nghiệp đó, và
mỗi đơn vị đều có một hệ thống mạng riêng với thiết kế phù hợp vớinhu cau sử dụng và bảo mật của đơn vị mình Tuy nhiên, cho đù là cơ
quan, doanh nghiệp lớn hay nhỏ thì mô hình an ninh tổng quát luôn
tuân theo một mô hình chuẩn
Trang 10Mô hình an ninh tổng quát cho tổ chức bao gồm: Security
architecture (kiến trúc bảo mật), Security Operation (hệ thống bao
mật), Application Security (bảo mật ứng dụng), Server and Endpoint
Security (bảo mật máy chủ và thiết bị đầu cuối), Perimeter and
Security (phạm vi bảo mật), Governamce & Compliance (tuân thủquản trị), Infrastruture Security (bảo mật hạ tầng)
2.2 Nghiên cứu về các cơ chế xác thực (đa lớp, nhiều yếu tô)Xác thực đa lớp, nhiều yếu tố (thông thường là xác thực 2 yếu
tố) là phương pháp xác thực yêu cầu 2 yếu tố phụ thuộc vào nhau đểchứng minh tính đúng đắn của một danh tính
Xác thực 2 yếu tô dựa trên những thông tin mà người dùng biết
(số PIN, mật khâu) cùng với những gì mà người dùng có (SmartCard,USB, Token, ) để chứng minh danh tính Với hai yếu tô kết hợp
đồng thời, tin tặc sẽ gặp rất nhiều khó khăn dé đánh cắp đầy đủ cácthông tin này Nếu một trong hai yếu tố bị đánh cắp cũng chưa đủ để
tin tặc sử dụng Phương pháp này đảm bảo an toàn hơn rất nhiều sovới phương pháp xác thực truyền thống dựa trên một yếu tố như Mậtkhẩu/số PIN Lợi ích của việc xác thực 2 yếu tổ là:
- Tấn công Phishing đã có những thành công nhất định trong
đánh cắp mật khẩu tĩnh của khách hàng Nếu sử dụng xác thực 2 yếu
tố thì việc đánh cắp mật khẩu tĩnh là vô nghĩa
- Ăn cắp danh tính trong môi trường giao dịch trực tuyến sẽ trởnên khó khăn hơn khi danh tính đó được bảo vệ bằng 2 yếu tổ thay vi
1 yếu tô
- Trong giao dịch trực tuyến, tính chống từ chối và tính bí mật là
một trong những yêu cầu cần thiết của khách hang Rất nhiều tổ chức
tài chính đã sử dụng chữ ký số được tạo ra từ hệ thống xác thực 2 yếu
tố đảm bảo cho các giao dịch
- Xác thực 1 yếu tố trước đây mới chỉ đáp ứng được xác thực
giữa nhà cung cấp dịch vụ với khách hàng mà không có khả năng
ngược lại Hệ thống xác thực 2 yếu tố sẽ giúp cho quá trình xác thực
Trang 11là tương tác 2 chiều, đảm bảo tối đa tính an toàn cho các giao dịch
» Xác thực may tinh, thiết bị
Chi phi mua sắm và triển khai hệ thống xác thực Mức độ đảm bảo của phương pháp xác thực
Hình 2 - So sánh giữa phương pháp xác thực truyền thống và xác
thực đa yếu tố
Có 6 phương pháp xác thực 2 yếu tố có thể thực hiện riêng lẻhoặc đồng thời:
1 Xác thực người dùng bằng ma trận lưới ngẫu nhiên: mỗi
khách hàng sẽ được cấp một thẻ bao mật trên đó in | ma trận
hàng/cột với các giá trị trong các ô là chữ hoặc số ngẫu nhiên Mỗilần xác thực, khách hàng sẽ phải nhập một số giá trị trong ma trậntheo các tọa độ, các yêu cầu tọa độ này được thay đổi sau mỗi lần xácthực thành công và thay đổi ngẫu nhiên sao cho các giá trị mật khẩu
là không bao giờ trùng nhau Khách hàng sẽ tra trên thẻ bảo mật củamình sở hữu đề nhập các giá trị tương ứng theo tọa độ được yêu cầu
Trang 122 Xác thực người dùng băng OTP Tokens: xác thực dựa trên
mật khâu động được tạo ra từ Token
3 Xác thực theo thông tin cau hình của các thiết bị cá nhân: xácthực dựa trên những thông tin cấu hình của các thiết bị như PC,Notebook, Server cho lần đầu tiên truy cập tới dịch vụ, khi đó cácthông tin cấu hình sẽ được lưu trữ trên Server xác thực và các lần sau
đó khách hàng khi sử dụng thiết bị cá nhân đã đăng ký không phải
xác thực lại.
4 Xác thực thông qua gửi OTP bằng SMS tới Mobile: đây làmột phương pháp phổ biến nhất trong các giao dịch điện tử Trướckhi khách hàng xác nhận thực hiện một giao dịch đã đăng ký trước đóbăng một tin nhắn SMS Sau khi nhận được, khách hàng sẽ nhập dãy
số đó cũng với giao dịch để đảm bảo việc giao dịch đúng là khách
hàng.
5 Xác thực dựa trên các thông tin cá nhân: phương pháp này
giúp ứng dụng kiểm tra tính đúng đắn của khách hàng bằng nhữngcâu hỏi, câu trả lời mà khách hàng đã đăng ký với nhà cung cấp dịch
vụ Đây là những thông tin chỉ khách hàng và nhà cung cấp dịch vụ
biết
6 Xác thực bằng số PIN tạm thời: phương pháp này được sử
dụng trong trường hợp khách hàng quên không mang thẻ lưới Khi đókhách hang có thé sử dụng một số PIN tạm thời dé sử dụng Số PIN
nay có thé sử dụng nhiều lần trong một khoảng thời gian do hệ thống
xác thực đặt trước và hết hiệu lực khi hết thời gian hoặc khi ngườidùng sử dụng lại thẻ chính thức.
2.3 Các phương pháp sử dụng mật khẩu một lần cho việc
xác thực
- Token key: là thiết bị hoạt động theo phương thức tự tạo ra
các dãy số ngẫu nhiên và có giá trị chỉ trong một khoảng thời gian
nhất định (thường dưới 1 phút)
Ví dụ: khi người dùng muốn đăng nhập vào trang web ngân
Trang 13hàng- nơi cung cấp thiết bi token dé thực hiện giao dịch, người dùngphải nhập dãy số trên thiết bi token vào 6 mật khẩu Nếu sau thờigian quy định trên thiết bị token, day số này sẽ không còn giá trị và
nếu người dùng vẫn chưa đăng nhập hay hoàn tất giao dịch, thiết bị
token sẽ tự động tạo ra dãy số mới và người dùng nhập dãy số mới
nay dé đăng nhập hay hoàn tat giao dich
- Mobile-OTP: là một giải pháp chứng thực mạnh mẽ Nó cóthé tạo ra mật khâu dùng một lần bằng cách dùng 1 thiết bi di động(vi dụ điện thoại, PDA ), 6 USB hoặc token kết nối đến router,firewall, máy chủ mạng hoặc tạo kênh VPN dựa trên việc đồng bộthời gian để tạo mật khẩu dùng một lần mà không cần dùng thiết bịToken.
2.4 M6 hinh cia OTP
Mô hình tổng quan hệ thống OTP được mô tả bởi hình vẽ dưới:
Hình 3 - Mô hình tong quan hệ thong OTP
Về kiến trúc hệ thống, hệ thống OTP sẽ thay thế hoàn toàn phầnxác thực (Authentication) của các ứng dụng được tích hợp, trở thànhmột công duy nhất cho mọi ứng dụng