Nghiên cứu giải pháp đảm bảo an toàn và bảo mật cho Trung tâm tích hợp dữ liệu

ĐẠI HỌC QUỐC GIA HÀ NỘI TRƯỜNG ĐẠI HỌC CÔNG NGHỆ VŨ VĂN TRƯỜNG NGHIÊN CỨU GIẢI PHÁP ĐẢM BẢO AN TỒN VÀ BẢO MẬT CHO TRUNG TÂM TÍCH HỢP DỮ LIỆU LUẬN VĂN THẠC SĨ HÀ NỘI – 2012 ĐẠI HỌC QUỐC GIA HÀ NỘI TRƯỜNG ĐẠI HỌC CÔNG NGHỆ VŨ VĂN TRƯỜNG NGHIÊN CỨU GIẢI PHÁP ĐẢM BẢO AN TỒN VÀ BẢO MẬT CHO TRUNG TÂM TÍCH HỢP DỮ LIỆU Ngành: Công nghệ thông tin Chuyên ngành: Hệ thống thông tin Mã số: 60 48 05 LUẬN VĂN THẠC SĨ NGƯỜI HƯỚNG DẪN KHOA HỌC: PGS.TS Nguyễn Hữu Ngự HÀ NỘI – 2012 MỤC LỤC LỜI CAM ĐOAN Error! Bookmark not defined LỜI CẢM ƠN .Error! Bookmark not defined MỤC LỤC MỞ ĐẦU DANH MỤC CÁC TỪ VIẾT TẮT DANH MỤC CÁC HÌNH Chƣơng 1: TỔNG QUAN 1.1 Khái niệm 1.2 Một số thành phần kiến trúc 1.3 Một số vấn đề an ninh an toàn trung tâm tích hợp liệu 10 1.4 Tìm hiểu giải pháp đảm bảo an toàn bảo mật trung tâm 10 1.5 Tóm tắt 11 Chƣơng 2: MỘT SỐ VẤN ĐỀ AN NINH CƠ SỞ DỮ LIỆU 11 2.1 Một số hiểm họa CSDL 11 2.1.1 Khái niệm CSDL 11 2.1.2 Khái niệm hiểm họa CSDL 12 2.2 Một số vấn đề an ninh CSDL 13 2.2.1 Khái niệm 13 2.2.2 Nhiệm vụ bảo vệ CSDL 13 2.2.2.1 Bảo mật thông tin CSDL 13 2.2.2.2 Bảo tồn thơng tin CSDL 14 2.2.2.3 Xác thực CSDL 14 2.2.2.4 Sẵn sàng truy cập CSDL 15 2.3 Một số biện pháp an ninh CSDL 15 2.3.1 Kiểm soát thông tin vào, CSDL 15 2.3.1.1 Kiểm soát truy nhập 15 2.3.1.2 Kiểm soát lƣu lƣợng 17 2.3.1.3 Kiểm soát suy diễn 17 2.3.1.4 Một số cơng cụ kiểm sốt thơng tin vào, CSDL 18 2.3.2 Cơ sở lý thuyết mật mã bảo mật CSDL 22 2.3.2.1 Giới thiệu 22 2.3.2.2 Mã hóa khóa bí mật 23 2.3.2.3 Mã hóa khóa cơng khai 23 2.3.2.4 Ƣu khuyết điểm hai phƣơng pháp 24 2.3.2.5 Cơ chế mã hóa khóa bí mật 25 2.3.2.6 Cơ chế mã hóa khóa cơng khai 27 2.3.2.7 Xác thực thông tin 31 2.3.2.8 Hàm băm 33 2.3.2.9 Chữ ký số 35 2.4 Giải pháp bảo mật CSDL 36 2.4.1 Phân tích 36 2.4.1.1 Các nguy an ninh, an toàn CSDL 37 2.4.1.2 Các yêu cầu đặt xây dựng hệ thống an toàn 38 2.4.2 Các mơ hình, giải pháp 38 2.4.2.1 Các mơ hình 38 2.4.2.2 Các giải pháp 44 2.5 Tóm tắt 60 Chƣơng 3: XÂY DỰNG ỨNG DỤNG 61 3.1 Giới thiệu chung 61 3.2 Phân tích ứng dụng 61 3.3 Bảo vệ CSDL ứng dụng 62 3.3.1 Xác thực client server CSDL 62 3.3.2 Bảo vệ ứng dụng truy xuất CSDL 63 3.3.2.1 Bảo vệ ứng dụng client 67 3.3.2.2 Bảo vệ ứng dụng webservice 67 3.3.3 Bảo mật CSDL 68 3.3.3.1 Bảo mật webservice 68 3.3.3.2 Bảo mật liệu CSDL 70 3.4 Demo chƣơng trình 72 3.5 Tóm tắt 76 KẾT LUẬN 77 Tính đề tài: 77 Kết đạt đƣợc: 77 Những hạn chế cần khắc phục: 77 Hƣớng phát triển đề tài: 77 TÀI LIỆU THAM KHẢO 78 MỞ ĐẦU Ngày nay, lĩnh vực bảo mật an tồn thơng tin đƣợc nghiên cứu, phát triển ứng dụng rộng rãi nhiều hệ thống thơng tin nhằm đảm bảo hệ thống có tính bảo mật, tin cậy sẵn sàng Đặc biệt hệ thống sở liệu lƣu trữ lớn Trung tâm tích hợp liệu cần phải có giải pháp đảm bảo an tồn bí mật lĩnh vực ngân hàng, tài chính, bảo hiểm Ngƣời ta xây dựng triển khai Trung tâm tích hợp liệu nhƣng việc nghiên cứu giải pháp đảm bảo an tồn bảo mật chƣa đƣợc quan tâm nhiều Trên giới lĩnh vực nghiên cứu đƣợc nhiều quốc gia đầu tƣ nghiên cứu nhƣ Mỹ, Anh, Nhật, Đức, Hàn Quốc, Úc, nghiên cứu nhiều gần có hƣớng nghiên cứu điện toán đám mây, ứng dụng vấn đề lƣu trữ Nhƣng vấn đề Việt Nam vấn đề cần đƣợc quan tâm đầu tƣ nghiên cứu, việc nghiên cứu giải pháp đảm bảo an tồn bảo mật cho Trung tâm tích hợp liệu cần thiết Để triển khai nội dung cần tập trung nghiên cứu vấn đề an tồn bảo mật thơng tin, cơng nghệ triển khai cho Trung tâm tích hợp liệu mơ hình hệ thống Trung tâm tích hợp liệu Trên sở đề xuất giải pháp đảm bảo an tồn bảo mật thơng tin cho Trung tâm tích hợp liệu Triển khai xây dựng giải pháp thử nghiệm cho số ứng dụng đảm bảo an tồn bảo mật thơng tin cho Trung tâm tích hợp liệu Cục Đăng Kiểm Việt Nam Nội dung luận văn là: Nghiên cứu giải pháp đảm bảo an toàn bảo mật cho Trung tâm tích hợp liệu lĩnh vực nghiên cứu Việt Nam Để giải vấn đề đề tài tập trung vào vấn đề sau: - Nghiên cứu an toàn bảo mật thông tin, mật mã, xác thực thông tin - Nghiên cứu mơ hình hệ thống, cơng nghệ, thuật tốn liên quan tới Trung tâm tích hợp liệu - Đề xuất đƣợc giải pháp đảm bảo an tồn bảo mật cho Trung tâm tích hợp liệu - Triển khai xây dựng ứng dụng thử nghiệm đảm bảo an tồn bảo mật thơng tin cho Trung tâm tích hợp liệu Cục Đăng Kiểm Việt Nam DANH MỤC CÁC TỪ VIẾT TẮT Tên tiếng Anh Vitual Private Network Uninterruptible Power Supplier Database management system eXtensible Markup Language Internet protocol suite Local Area Network Advanced Encryption Standard Windows Communication Foundation DataBase Management System Tên tiếng Việt Cơ sở liệu Mạng riêng ảo Bộ lƣu trữ điện dự phòng Hệ quản trị sở liệu Ngôn ngữ đánh dấu mở rộng Bộ giao thức liên mạng Mạng cục Chuẩn mã hóa tiên tiến Từ viết tắt CSDL VNP UPS DBMS XML TCP/IP LAN AES WCF Hệ quản trị sở liệu DBMS DANH MỤC CÁC HÌNH Hình Hình 1.1 Sơ đồ bố trí phịng Server Hình 1.2 Sơ đồ bố trí phịng mạng Hình 2.1 Thơng tin vào, CSDL Hình 2.2 Mơ hình hệ thống kiểm sốt truy cập Hình 2.3 Sơ đồ kết nối VPN mạng quan chi nhánh Hình 2.4 Quá trình mã hóa giải mã Hình 2.5 Mã hóa khóa bí mật Hình 2.6 Mã hóa khóa cơng khai Hình 2.7 Sơ đồ mã hóa AES Hình 2.8 Các bƣớc thực thuật tốn RSA Hình 2.9 Mơ hình client/server Hình 2.10 Mơ hình trao đổi liệu Hình 2.11Trao đổi thơng tin theo giao thức SSL Hình 2.12Trao đổi liệu hai nút mạng Hình 2.13 Mơ hình ứng dụng truy xuất CSDL Hình 2.14 Mơ hình giao diện ngƣời dùng Hình 2.15 Trao đổi thơng tin hai điểm Hình 2.16Trao đổi thơng tin sử dụng hạ tầng VPN Hình 2.17Trao đổi thơng tin mã hóa hai điểm Hình 2.18Mơ hình xác thực Hình 2.19Mơ hình xác thực dùng chữ ký số Hình 2.20 Mơ hình xác thực SSL Hình 2.21 Mơ hình desktop Hình 2.22 Mơ hình client/server Hình 2.23 Mơ hình client/server chi tiết Hình 2.24 Mơ hình kết nối ứng dụng mạng Internet Hình 3.1 Mơ hình kiến trúc hệ thống Hình 3.2 Trao đổi thơng tin ứng dụng CSDL Hình 3.3 Một số nguy tiềm ẩn Hình 3.4 Ứng dụng truy xuất CSDL Hình 3.5 Platform/Transport Level Hình 3.6 Message-level (end-to-end) security Hình 3.7 Mã hóa liệu trƣớc chèn vào CSDL Trang 11 11 17 17 23 24 25 26 28 30 41 42 44 45 46 46 47 47 48 53 53 54 56 56 57 57 63 63 64 65 70 71 72 Hình 3.8 Hiển thị liệu CSDL sau đƣợc mã hóa Hình 3.9 Cấu trúc file thơng tin khóa Hình 3.10 Giao diện chƣơng trình Hình 3.11 Đăng nhập Hình 3.12 Lựa chọn cách nhập khóa bí mật Hình 3.13 Đăng ký thơng tin phƣơng tiện chƣa giải mã Hình 3.14 Đăng ký thơng tin phƣơng tiện giải mã Hình 3.15 Dữ liệu đƣợc bảo mật CSDL Hình 3.16 Đăng ký kiểm định Hình 3.17 Thơng tin phƣơng tiện đăng ký chƣa giải mã Hình 3.18 Thơng tin phƣơng tiện đăng ký giải mã 73 74 74 74 75 75 76 76 76 77 78 Chƣơng 1: TỔNG QUAN Chƣơng tìm hiểu sơ lƣợc trung tâm tích hợp liệu, số vấn đề thƣờng gặp phải trung tâm tích hợp liệu, qua tìm hiểu số giải pháp đƣợc áp dụng việc đảm bảo an toàn bảo mật cho trung tâm tích hợp liệu Mục tiêu đề tài khơng nhằm mục đích đƣa phải pháp mà nghiên cứu số giải pháp đảm bảo an toàn bảo mật, ứng dụng kiến thức bảo mật để xây dựng ứng dụng thử nghiệm đáp ứng số yêu cầu vềbảo mật cho ứng dụng hoạt động trung tâm Cụ thể việc ứng dụng kiến thức bảo mật CSDL cho ứng dụng kiểm định khí thải mà có máy chủ CSDL đặt trung tâm tích hợp liệu cục đăng kiểm Việc tìm hiểu trung tâm tích hợp liệu nằm phạm vi tổ chức quan nhà nƣớc Cục Đăng Kiểm, tìm hiểu hệ thống trung tâm tích hợp liệu Cục Đăng Kiểm xem cách thức tổ chức, bố trí thiết bị trung tâm, mơ hình hoạt động có nguy hệ thống đó, việc tìm hiểu sở lần đầu tiếp xúc, quan sát trung tâm tích hợp liệu quan, việc tìm hiểu dựa sở ngƣời bắt đầu tìm hiểu trung tâm tích hợp liệu Và từ nghiên cứu giải pháp đƣợc áp dụng đảm bảo cho hệ thống đƣợc an toàn trƣớc nguy an ninh Theo khảo sát trực tiếp lần tham quan trung tâm tích hợp liệu cục đăng kiểm, nói nhƣ khơng có nghĩa khảo sát đƣợc hết có nhìn chung trung tâm tích hợp liệu nhƣ sau: 1.1.Khái niệm Trung tâm tích hợp liệu trƣớc hết trung tâm có phịng server, phịng tin học có thiết bị phục vụ cho việc kết nối mạng nhƣ switch, router, hub… có máy chủ website, máy chủ CSDL, hosting, chia sẻ liệu, máy chủ mail để phục vụ cho việc lƣu trữ, xử lý thông tin, phục vụ cho hoạt động quan, tổ chức Ví dụ nhƣ máy chủ CSDL lƣu CSDL cho ứng dụng website, ứng dụng nội quan, ứng dụng webservice,… Máy chủ website chạy ứng dụng website, thông tin ứng dụng website truy xuất đến CSDL máy chủ CSDL… 1.2.Một số thành phần kiến trúc Trƣớc hết cách bố trí phịng Server trung tâm Phịng Server có số máy chủ CSDL, máy chủ website, máy chủwebservice,…phân chia rõ thành hai phần Thứ góc phịng đặt máy chủ CSDL riêng hãng IBM chạy hệ điều hành Windows Server 2003 cài đặt DBMS MS SQL Server 2008, góc khác phịng bố trí máy chủ website, máy chủwebservice riêng biệt, tức để phục vụ ứng dụng website webservice Sơ đồ bố trí đƣợc tổ chức, xếp nhƣ sau: Phịng Server Điều hịa khơng khí Hệ thống dây mạng Bàn, tủ đựng đồ dùng Sao lƣu CSDL Máy chủ CSDL Bảo vệ Máy chủ Webservice Cửa vào Máy chủ Web Hình 1.1 Sơ đồ bố trí phòng Server Ở thấy cách bố trí, tổ chức phịng Server đơn giản Bàn tủ, đựng thiết bị nhƣ cáp mạng, ổ cứng, tài liệu bình chống cháy, có hệ thống điều hịa khơng khí Ở thực tế điều hịa khơng khí là loại để làm mát nhƣ bình thƣờng hộ gia đình Chạy liên tục 24/24 làm mát phịng Server trì nhiệt độ cho phịng server ln mức 28 độ, Có máy chủ CSDL lƣu phục vụ cho việc lƣu trữ thông tin, chia liệu Ngồi có máy chủ web chứa website cục, máy chủ webservice chạy webservice Ở cửa vào có nhân viên bảo vệ trực để đảm bảo an ninh cho phịng server khắc phục có xảy Hệ thống cáp mạng kết nối máy chủ CSDL, máy chủ web,… sang phịng mạng Mục đích luận văn tập trung vào phần CSDL (máy chủ CSDL), bảo mật thơng tin CSDL Phịng mạng có nhiều router, switch, hub,… Kết nối tới tất phòng Cục Đăng Kiểm, kết nối với máy chủ web, CSDL phịng server Mơ hình tổ chức đƣợc mơ tả nhƣ sau: Internet Phòng Sever Phòng A Phòng B Modem Firewall Router Switch Điều hịa khơng khí Hình 1.2 Sơ đồ bố trí phịng mạng Trong phịng mạng có số thiết bị nhƣ phịng server nhƣ bình cứu hỏa, điều hịa khơng khí trì nhiệt độ phòng vào khoảng 28 độ, bàn tủ, hệ thống dây cáp mạng kết nối với phòng server chạy ứng dụng web, CSDL, ứng dụng chia sẻ file, email 1.3 Một số vấn đề an ninh an tồn trung tâm tích hợp liệu Nhƣ qua tìm hiểu sơ lƣợc trung tâm tích hợp liệu, có nhìn bản, hình dung đƣợc trung tâm tích hợp liệu Hiểu cách đơn giản trung tâm tích hợp liệu khu vực mà tích hợp CSDL ứng dụng quan, tổ chức, doanh nghiệp,…và có kết nối mạng, máy chủ chạy ứng dụng CSDL…thực việc trao đổi liệu tổ chức, với CSDL trung tâm qua mạng cục bộ, mạng Internet… Chính cách tổ chức, lƣu trữ liệu, trao đổi liệu nhƣ mà cần đặt vấn về đảm bảo an ninh an toàn với liệu Ví dụ nhƣ vấn đề an toàn liệu nhƣ đảm bảo liệu đƣợc lƣu trữ tránh đƣợc thảm họa tự nhiên, trang thiết bị, chống sét, chống cháy, làm mát…nói chung vấn đề vật lý để đảm bảo cho việc hoạt động đƣợc tốt Các vấn đề vật lý phạm vi nhỏ (nơi mà liệu đƣợc lƣu trữ) Ngoài việc đảm bảo an toàn cho nơi lƣu trữ liệu việc đảm bảo an ninh cho thân liệu quan trọng, theo nhƣ cách thức liệu đƣợc truy xuất lƣu trữ đặt vấn đề đảm bảo an ninh cho liệu theo điều kiện, ví dụ nhƣ việc đảm bảo an ninh cho liệu đƣợc lƣu trữ lại CSDL cần phải chống lại nguy an ninh cho liệu nhƣ trộm cắp liệu, sửa đổi trái phép, bảo đảm tính tồn vẹn liệu…, đảm bảo an ninh cho liệu mà liệu đƣợc trao đổi cho ứng dụng tổ chức nhƣ bảo vệ liệu đƣờng truyền,… 1.4.Tìm hiểugiải pháp đảm bảo an toàn bảo mật trung tâm Qua việc tìm hiểu trung tâm tích hợp liệu Cục Đăng Kiểm thấy việc áp dụng giải pháp đảm bảo an toàn bảo mật cho trung tâm đƣợc quan tâm ứng dụng bao gồm: Vấn đề an toàn vật lý: Do trung tâm Cục đƣợc đặt trụ sở nên số vấn đề bão lũ đƣợc khắc phục, hệ thống chống sét đƣợc xây dựng chung với tòa nhà trung tâm nên khơng có vấn đề đáng ngại, hệ thống điều hịa khơng khí đảm bảo cho trung tâm giữ đƣợc nhiệt độ mát mẻ, hệ thống cáp mạng, tủ rack đƣợc đầu tƣ phù hợp Hệ thống cung cấp điện có hệ thống UPS dự phịng, nhiên chƣa có hệ thống máy nổ, dễ hiểu trung tâm đặt Cục, hệ thống điện lƣới ln ổn định Ngồi có phƣơng tiện phịng chống cháy, hỏa hoạn, nhƣng chƣa có chế phát cố, có hệ thống an ninh, camera quan sát nhân viên bảo vệ trực phòng server… Vấn đề liệu: Trung tâm xây dựng, cấu hình mạng riêng ảo VPN cho tất phòng trung tâm, có firewall, sách truy cập tới máy phòng, đảm bảo đƣợc số vấn đề bảo mật liệu… Tuy nhiên hệ thống CSDL có số ứng dụng chƣa đƣợc bảo vệ liệu, thông tin lƣu trữ CSDL chƣa đƣợc bảo vệ, chỉnh sửa đƣợc 10 password = “‟”+ password + “‟”; kết ta mong muốn là:SELECT * FROM tblUser WHERE username= „nguyenvana‟ AND password = „nva123‟; ý giá trị truyền vào dạng nằm dấu nháy đơn Khi có thơng tin đăng nhập CSDL trả ngƣợc lại khơng Câu lệnh truy vấn đơn giản là: SELECT COUNT(*) FROM tblUser WHERE username= „nguyenvana‟ AND password = „nva123‟ Kẻ cơng nhập tên đăng nhập (đúng sai) mật có chứa phần nhƣ Bb‟ OR „‟=‟‟, câu lệnh truy vấn trở thành: SELECT COUNT(*) FROM tblUser WHERE username= „anyname‟ AND password = „Bb‟ OR „‟=‟‟; Chú ý mệnh đề điều kiện WHERE thành ? and F or T => F or T => T (do phép AND đƣợc ƣu tiên trƣớc OR) tất dòng username/password trả ứng dụng Nếu ứng dụng kiểm tra thấy số dòng >0 CSDL bị cơng Nhƣ thấy kẻ công lợi dụng cách thức câu lệnh truy vấn SQL thực để truyền tham số vào thay đổi cách thực thi câu lệnh Do việc ứng dụng thiếu việc kiểm tra kiểm sốt thơng số đầu vào, cụ thể khơng kiểm sốt chuỗi đầu vào làm tăng nguy CSDL bị cơng Do để tránh việc bị cơng Injection ứng dụng phải có khả kiểm tra đƣợc đầu vào nhƣ sử dụng tham số Parameters (trong NET sử dụng Parameters làm việc với SqlCommand OleDbCommand) không sử dụng câu lệnh SQL trực tiếp NET tự động validate kiểu liệu nội dung trƣớc thực thi câu lệnh Ví dụ nhƣ ứng dung sử dụng câu lệnh SQL: String strSQL= “SELECT * FROM tblUser WHERE “+ “username = „”+ obj.getUserName() + “‟” + “password = „”+ obj.getPassword() + “‟”; Các hàm obj.getUserName() obj.getPassword() kiểm tra thông tin đầu vào, lọc ký tự khơng mong muốn mà có nguy gây việc thực thi câu lệnh SQL tiếp sau… Ngoài cần phải kiểm sốt thơng báo lỗi, mặc định thơng báo lỗi không hiển thị chi tiết Tránh việc sử dụng dấu nháy đầu vào (nhập thơng tin) Có số ký tự khác gây vấn đề nhƣ:  -// Ký tự giải SQL  ; // Ký tự kết thúc câu lệnh SQL  % //Ký tự câu lệnh LIKE SQL Do cần phải kiểm tra đầu vào xem có ký tự đặc biệt khơng đƣợc phép khơng Ví dụ công SQL Injection sử dụng biến, nhƣ để đăng nhập: Kẻ cơng nhập username password „OR 1=1 (chú ý ký tự ký tự giải, kết thúc phạm vi thực câu lệnh phía sau đó) Khi câu lệnh truy vấn trở thành: SELECT * FROM tblUser WHERE username=‟anyname‟ AND password=‟‟ OR 1=1 „; Chú ý “OR 1=1” đính kèm đầu vào đƣợc đánh giá TRUE Ví dụ khác gây nguy hiểm cho CSDL nhƣ kẻ công thực việc xóa thơng tin CSDL nhƣ: kẻ cơng nhập username password là: abc‟;DELETE FROM tblUser WHERE username LIKE „% Khi câu lệnh truy vấn thực thi trở thành: 64 SELECT * FROM tblUser WHERE username=‟anyname‟ AND password=‟abc‟;DELETE FROM tblUser WHERE username LIKE „%‟ Khi hệ thống thực thi hai câu lệnh: SELECT * FROM tblUser WHERE username=‟anyname‟ AND password=‟abc‟;//Câu lệnh khơng trả DELETE FROM tblUser WHERE username LIKE „%‟;// Tùy thuộc vào quyền hạn thực thi câu lệnh ngƣời dùng nguy CSDL bị cơng nằm Nghiêm trọng nữa, lợi dụng kiến thức ODBC (Open Database Connectivity, ngôn ngữ DBMS nào) cho phép thực thi câu lệnh sử dụng ký tự „|‟ ví dụ nhƣ „|shell(“cmd /c echo “& char(124) & “format c:”)|‟ câu lệnh xóa tồn ổ C: làm cho hệ thống bị sụp đổ Ngoài giả sử trang web nhận đƣợc thông tin trạm có dạng nhƣ: http://www.siteapp.com/ThongTinTramKiemDinh.aspx?ID=2 Khi liên tƣởng đến câu lệnh SQL nhƣ: SELECT * FROM tblThongTinTramKiemDinh WHERE id=5 ta thêm thông tin vào địa nhƣ: http://www.siteapp.com/ThongTinTramKiemDinh.aspx?ID=2 AND 1=1, kết có trả thơng tin trạm chắn ứng dụng có lỗ hổng, gửi: http://www.siteapp.com/ThongTinTramKiemDinh.aspx?ID=2 AND user_name()=‟dbo‟, có kết trả biết quyền ngƣời dùng dbo… 2) Bảo vệ thông tin truy xuất CSDL Webservice: Ứng dụng Webservice cần sử dụng thông tin kết nối tới CSDL để thực truy xuất thơng tin, từ đáp ứng u cầu bên client Do nguy tiềm tàng việc thông tin kết nối bị kẻ gian đánh cắp, chuỗi kết nối chứa thơng tin chi tiết server, thông tin đăng nhập vào CSDL, thông tin bị lộ kẻ gian dễ dàng truy cập đƣợc vào CSDL, hậu khơng lƣờng trƣớc, để giảm nguy thơng tin kết nối cần phải đƣợc mã hóa Thơng tin kết nối CSDL ứng dung NET đƣợc lƣu file cấu hình web.config có dạng nhƣ sau: Trong NET cung cấp sẵn chức cấu hình bảo mật để mã hóa giải mã số phần file cấu hình web.config bao gồm:  RSAProtectedConfigurationProvider: mặc định NET sử dụng thuật tốn mã hóa khóa cơng khai RSA để mã hóa giải mã thơng tin  DataProtectionConfgurationProvider: cung cấp giao diện ứng dụng để mã hóa giải mã thơng tin Để mã hóa giải mã chuỗi kết nối file web.config sử dụng cơng cụ aspnet_regiis.exe IIS Vào Start > All Programs > Microsoft visual studio 2008 > Visual Studio Tools >> Visual Studio 2008 Command Prompt sử dụng trực tiếpaspnet_regiis.exe cách vào: \Microsoft.Net\Framework\version 65 (Chú ý: sử dụng windows 7/vista click phải chọn Run as administrator) Sau mở command prompt sử dụng câu lệnh sau: aspnet_regiis.exe -pef “connectionStrings” “[Đƣờng dẫn tới ứng dụng chứa file cấu hình web.config]” Trong –pef ứng dụng đƣợc xây dựng nhƣ File System Sau thực thi câu lệnh, báo “Encrypting configuration section… Succeeded!” thành cơng Khi chuỗi kết nối file web.config có dạng: Rsa Key D40LJcK9+PMcHPx1WWKmXTzdSTX/bY+LkaPtFWRXebiWVHuIHaicsFb4L MT50ziBn+8s/h0iDs01b3+9z59fhqJew5G2QW/GSdqPOeFClbA4wjw9DOld8JEzaBPcxfC/Be3wjOhs7qcy7kI0 b2aCbhiSJZoVBuMoTZm6IEpORCTxncYl4LFwksEWMgSlzn5T5T0OjHFw59uSO6aKWELIjcwkWDZ88qi+ AvnacXCaUgQmovL3CBcbM/xwFAoBMDaFaso1sO4KWgIcZe6nHJDMZvRtmIn9dNorlnXwId0g+dRnJSBQ P1dzl57xW0S/OEJpxNzhxZdfNegH2O7sXNaZUA== Lmh3GHLe5rZuZr0Z1b92uf5in5ZXR9WkPaaKCLXfYurfPc2ezYqQW4J6E4Bdjl dF29f9sfVls6JwWMRhDtKSKK9/tUHvkjQRrQHP9nLpbO/A/u5WIJzoSj24oZyhiGteRCJ+z8BwrCJPp3KjpkK BOmeLE72A/c8jvDudEorcJI2XC7fA38SiUyj4/Rek+MAOfQWEajSPT2em1+1bngrPFXBzc/jZFD9KwtESYd+ pJkrSi9lbdwLg+gHVjhPbi+tLvfwqbsbnbA7iPo5R711WS5pWGmc0x/0sptCKX3EmNCU/NFzYk9+qzoiOhnh+ VaWyD24/UzXDqP58BMbinDrQvClkmm6NX2Tq8RnYlXBd7+153yztZnd+SWowOoGdVtrn00GUexUR4rQt Yga+yYBt6zuzHPztbPwcbBWDin8uVest4GS0S+nuFkR64s7NupaWKPa4XYAFWXIg5V74GsT/motcvJ+k/pR DYOfmpstHYMKRT6Q61yzhJn6P+qY8SKAm Và việc sử dụng chuỗi mã hóa ứng dụng việc thực thi: string strconnection = ConfigurationManager.AppSettings[“dbconnection”].ToString(); NET tự động thực giải mã chuỗi kết nối để lấy thông tin kết nối Ngƣợc lại để giải mã chuỗi kết nối file web.config cần thay đổi tham số -pef thành – pdf câu lệnh:aspnet_regiis.exe -pdf “connectionStrings” “[Đƣờng dẫn tới ứng dụng chứa file cấu hình web.config]” Trƣờng hợp mã hóa dƣới dạng File System, deployed ứng dụng lên host chẳng hạn (chạy IIS) sử dung cú pháp sau: 66 Để mã hóa: aspnet_regiis.exe -pe “connectionStrings” -app “/[WebService]” tham số -pe ứng dụng đƣợc xây dựng IIS (ứng dụng đƣợc triển khai IIS) Để giải mã:aspnet_regiis.exe -pd “connectionStrings” -app “/[WebService]” 3.3.2.1 Bảo vệ ứng dụng client Phần client đảm nhiệm việc xác thực ngƣời dùng thực chức ứng dụng ngƣời dùng phải nhập thông tin đăng nhập username password, kẻ gian thực việc cơng SQL Injection CSDL chƣơng trình đƣợc mở với form đăng nhập, cần phải hạn chế tối thiểu nguy Đơn giản việc kiểm tra xem thơng tin ngƣời dùng nhập vào có chứa ký tự, cú pháp mà thực thi đƣợc câu lệnh SQL nhƣ ký tự („; „‟ = // ,….), thông tin mà user nhập vào có chứa ký tự đặc biệt mà từ thực đƣợc đoạn mã SQL phía sau chƣơng trình báo lỗi, kiểm tra độ dài, định dạng,… Ví dụ nhƣ có hàm kiểm tra ký tự nhập: private string SafeSqlLikeClauseLiteral(string inputSQL) { // Thực thay sau đây: // ' becomes '' // [ becomes [[] // % becomes [%] // _ becomes [_] string s = inputSQL; s = inputSQL.Replace("'", "''"); s = s.Replace("[", "[[]"); s = s.Replace("%", "[%]"); s = s.Replace("_", "[_]"); return s; } 3.3.2.2 Bảo vệ ứng dụng webservice Ngồi phía client phía webservice cung cấp phƣơng thức mà client sử dụng, thực thi câu lệnh SQL gọi Store Procedure, việc thực thi câu lệnh SQL sử dụng store procedure trƣờng hợp câu lệnh SQL khơng có tham số khơng cần phải quan tâm đến việc chống lại SQL Injection, nhiên đa số store procedure cần tham số truyền vào, cần phải ý tham số Ví dụ nhƣ có đoạn mã sau sử dụng tham số truyền vào: using System.Data; using System.Data.SqlClient; using (SqlConnection connection = new SqlConnection(connectionString)) { DataSet userDataset = new DataSet(); SqlDataAdapter myCommand = new SqlDataAdapter("LoginStoredProcedure", connection); myCommand.SelectCommand.CommandType = CommandType.StoredProcedure; myCommand.SelectCommand.Parameters.Add("@u_id", SqlDbType.VarChar, 11); myCommand.SelectCommand.Parameters["@u_id"].Value = SSN.Text; myCommand.Fill(userDataset); 67 } Tham số @u_id tham số đầu vào nhƣ giá trị, khơng mã thực thi , tham số đƣợc kiểm tra độ dài không 11 ký tự, thông báo lỗi Ứng dụng sử dụng store procedure thực thi có dạng nhƣ: CREATE PROC dbo.runQuerySQL @var text AS exec sp_executesql @var GO Một ứng dụng sử dụng thủ tục nhƣ dạng có lỗ hổng nhƣ tham số thủ tục truyền vào biến @var có dạng nhƣ DROP TABLE tblTram; trƣờng hợp này, bảng tblTram bị xóa; Thủ tục thực thi dƣới quyền dbo, tên thủ tục (runQuerySQL) cho kẻ gian biết đƣợc mục đích sử dụng lợi dụng để thực thi câu lênh SQL khác Một vấn đề cần ý đối vơi webservice thông tin truy xuất CSDL nằm file cấu hình web.config, việc bảo vệ thơng tin quan trọng nhằm ngăn chặn kẻ gian đánh cắp thông tin truy xuất vào CSDL, cần phải mã hóa thơng tin .NET hỗ trợ việc mã hóa, giải mã này, việc cần làm việc thực thi câu lệnh ứng dụng aspnet_regiis.exe -pef “connectionStrings”“D:\Projects 2011\VRService 2.0” ý việc mã hóa khơng cần phải thay đổi lại mã chƣơng trình, NET hỗ trợ hết chƣơng trình gọi đến chuỗi kết nối, đƣợc tự động giải mã 3.3.3 Bảo mật CSDL 3.3.3.1.Bảo mật webservice Do ứng dụng thực trao đổi thông tin mơ hình webservice nên việc bảo mật webservice áp dụng ba cấp độ:  Platform/transport-level (point-to-point) security  Application-level (custom) security  Message-level (end-to-end) security Mỗi phƣơng pháp tiếp cận có ƣu, nhƣợc điểm khác nhau, việc lựa chọn phƣơng pháp phụ thuộc vào đặc điểm kiến trúc tảng liên quan đến việc trao đổi thông điệp 1) Platform/Transport Level (Point-to-Point) Security: Các kênh vận chuyển hai thiết bị đầu cuối (Webservice client Webservice) sử dụng việc bảo mật điểm - điểm Hình 3.5 Platform/Transport Level 68 Khi sử dụng cách này, giả sử môi trƣờng sử dụng hệ điều hành Windows, ví dụ nhƣ mạng cơng ty: - Web server (IIS) cung cấp cách xác thực Basic, Digest, Integrated Cerrtificate - ASP.NET Web service kế thừa số đặc tính ASP.NET xác thực ủy quyền - SSL và/hoặc IPSec đƣợc sử dụng để cung cấp tính tồn vẹn bảo mật thơng điệp Sử dụng: Mơ hình vận chuyển, mức độ bảo mật đơn giản, đầy đủ (chủ yếu mạng nội bộ), chế vận chuyển cấu hình đầu cuối đƣợc kiểm sốt chặt chẽ Một số vấn đề mức độ bảo mật vận chuyển là: An ninh chặt chẽ phụ thuộc vào tảng, chế vận tải, bên cung cấp dịch vụ an ninh (NTLM, Kerberos, ) An ninh đƣợc áp dụng từ điểm-điểm, không cung cấp cho việc định tuyến thông qua nút ứng dụng trung gian Do thơng điệp cần đƣợc mã hóa nên cách tiếp cận tốn 2) Application-level (custom) security: Với cách tiếp cận này, ứng dụng có đặc tính bảo mật tùy chỉnh ví dụ nhƣ: - Một ứng dụng sử dụng tiêu đề SOAP tùy chỉnh để xác thực thông tin với yêu cầu web service Một cách chung qua ticket (hay giấy phép) tựa đề SOAP - Ứng dụng có linh hoạt việc tạo đối tƣợng Iprincipal chứa vai trị Điều lớp tùy chỉnh lớp GenericPrincipal đƣợc cung cấp NET Framework - Ứng dụng lựa chọn mã hóa cần thiết, việc cần phải có u cầu an tồn lƣu trữ khóa nhà phát triển cần phải có kiển thức API mật mã Một kỹ thuật thay sử dụng SSL để cung cấp bảo mật toàn vẹn kết hợp với header SOAP tùy chỉnh để thực xác thực Sử dụng: Sử dụng phƣơng pháp muốn tận dụng lợi lƣợc đồ CSDL có ngƣời dùng vai trò, đƣợc sử dụng ứng dụng Chúng ta muốn mã hóa phần thơng điệp, khơng phải tồn 3) Message-level (end-to-end) security: Đây cách tiếp cận linh hoạt mềm dẻo mạnh mẽ đƣợc sử dụng Web service Exhancements cho NET Hình 3.6 Message-level (end-to-end) security 69 WS-Security mô tả thông số kỹ thuật cải tiến thông điệp SOAP, cung cấp tính tồn vẹn, bảo mật thơng điệp xác thực Xác thực đƣợc cung cấp thẻ bảo mật theo tiêu đề SOAP Khơng có kiểu đặc tả token đƣợc yêu cầu WS-Security Các token bảo mật bào gồm có Keberos ticket, X509 certificate hay XML mã thông báo nhị phân Thơng tin liên lạc an tồn đƣợc cung cấp chữ ký số XML để đảm bảo cho tính tồn vẹn thơng điệp mã hóa XML cho bảo mật tin nhắn Sử dụng: WS-Security đƣợc sử dụng để xây dựng khuôn khổ cho việc trao đổi thơng điệp an tồn mơi trƣờng khơng đồng web service Mức độ bảo mật: - Độc lập vận chuyển, cho phép kiến trúc an ninh không đồng nhất, cung cấp bảo mật điểm-điểm định tuyến tin thông qua nút ứng dụng trung gian, hỗ trợ nhiều cơng nghệ mã hóa, hỗ trợ khơng thối thác (non-repudiation) - Do giải pháp tối ƣu áp dụng Message-level (end-to-end) security cho việc bảo mật web service - Với ứng dụng webservice, xây dựng dựa công nghệ Microsoft Windows Commmunication Foundation (WCF) 3.3.3.2 Bảo mật liệu CSDL Bảo mật liệu CSDL tức thông tin đƣợc lƣu CSDL phải đƣợc mã hóa để ngƣời khơng có thẩm quyền khơng thể xem đƣợc Do ứng dụng cần phải đáp ứng đƣợc công việc nhƣ: - Thứ mã hóa liệu trƣớc chèn vào CSDL - Thứ hai cho phép hiển thị đƣợc liệu mã hóa có CSDL dƣới dạng mã - Thứ ba hiển thị liệu CSDL sau đƣợc mã hóa 1).Mã hóa liệu trƣớc chèn vào CSDL: Trạm Thông tin đăng ký, kết đo khí thải…(dạng rõ) Thơng tin đƣợc mã hóa.(dạng mã) Thuật tốn mã hóa AES Khóa K CSDL Hình 3.7Mã hóa liệu trƣớc chèn vào CSDL Tất thông tin đăng ký kiểm định, thông tin liên quan đến phƣơng tiện đăng ký kết đo khí thải đƣợc mã hóa thuật tốn AES lƣu CSDL Quá trình chèn liệu vào CSDL gồm có giai đoạn chính: Giai đoạn lấy thơng tin từ bên client gửi đến Giai đoạn sử dụng thuật tốn mã hóa AES để mã hóa liệu gửi đến với khóa K Giai đoạn lấy liệu đƣợc mã hóa chèn vào CSDL 2) Hiển thị liệu mã hóa có CSDL dƣới dạng mã: 70 Tức ứng dụng client truy xuất thơng tin có CSDL, khơng có khóa giải mã ứng dụng thị thơng tin dƣới dạng mã hóa khơng thể thực đƣợc chức khác 3) Hiển thị liệu CSDL sau đƣợc mã hóa: Khi Trạm cần truy xuất thơng tin đăng ký phƣơng tiện cần truy xuất thơng tin phƣơng tiện Cục, Thơng tin cục Webservice gửi dƣới dạng mã hóa (do thơng tin lƣu CSDL dƣới dạng mã hóa) Do để hiển thị đƣợc thơng tin cần phải giải mã với khóa CSDL Dữ liệu đƣợc mã hóa (dạng mã) Thuật tốn giải mã AES Khóa K‟ Thơng tin đăng ký, kết đo khí thải…(dạng rõ) Hình 3.8Hiển thị liệu CSDL sau đƣợc mã hóa Do q trình thực bao gồm có bƣớc sau: Thứ lấy liệu dƣới dạng bãn mã CSDL Thứ hai sử dụng thuật toán giải mã AES để giải mã liệu vừa lấy với khóa giải mã K‟ ngƣời dùng nhập vào Thứ ba hiển thị liệu đƣợc giải mã 4) Lấy thơng tin khóa bí mật: Thơng tin khóa bí mật K đƣợc lƣu dƣới dạng file mã hóa thiết bị lƣu trữ nhƣ USB, CD, thẻ nhớ, nhập trực tiếp khóa chƣơng trình u cầu Phân hai trƣờng hợp chính: Trƣờng hợp nhập trực tiếp khóa vào chƣơng trình, chƣơng trình u cầu nhập khóa sau xác thực thành công Trƣờng hợp chƣơng trình u cầu chọn thiết bị lƣu trữ file khóa, chọn thiết bị nhƣ USB, thẻ nhớ Chƣơng trình xác thực thơng tin, giải mã lấy khóa đƣợc lƣu file khóa Đối với thiết bị lƣu trữ khơng có số Serial việc xác thực file khóa phải dùng đến thơng tin GUID (Globally Unique IDentifier ) chƣơng trình Cụ thể nhƣ sau: a) Q trình tạo file khóa lƣu thiết bị có serial nhƣ thẻ nhớ, USB,… a.1 Lấy ID thiết bị a.2 Chọn khóa đƣợc định kết hợp với thông tin GUID ứng dụng lƣu vào file khóa (key.txt) a.3 Mã hóa file khóa thuật tốn AES với khóa ID thiết bị a.4 Lƣu file khóa lại ứng với thiết bị b) Q trình lấy khóa thiết bị b.1 Lấy ID thiết bị b.2 Giải mã file khóa ID thiết bị sau tách nội dung file khóa lấy GUID so sánh với GUID ứng dụng, khớp file khóa đƣợcxác thực Điều ngăn đƣợc tình trạng file khóa đƣợc chép sang thiết bị lƣu trữ khác Serial thiết bị lƣu trữ 71 b.3 Lấy khóa file khóa đƣợc giải mã Key GUID Hình 3.9Cấu trúc file thơng tin khóa 3.4.Demo chƣơng trình  Giao diện chƣơng trình: Hình 3.10 Giao diện chƣơng trình  Nhập tên đăng nhập, mật khẩu, thơng tin trạm đo: Hình 3.11 Đăng nhập Quá trình xác thực diễn ra, q trình gồm có hai cơng đoạn là: Xác thực client với server sử dụng kỹ thuật xác thực SSL Xác thực ngƣời dùng Nếu q trình thành cơng vào đƣợc chƣơng trình, khơng khơng đƣợc vào Khi đăng nhập thành cơng chƣơng trình hiển thị hộp thoại u cầu nhập khóa bí mật Việc nhập có hai cách nhập trực tiếp bàn phím thơng qua files khóa lƣu thiết bị lƣu trữ nhƣ USB, Memory Card…Việc nhập trực tiếp địi hịi phải nhớ khóa bí mật khóa phức tạp việc nhập khóa khó khăn, đơi việc xác thực khóa bí mật vấn đề cần ý nhập sai thơng tin mã hóa giải mã phía server phục vụ cho việc hiển thị website không không giải mã đƣợc, cách nhập khóa đƣợc lƣu thiết bị lƣu trữ khắc phục đƣợc điều 72 Hình 3.12 Lựa chọn cách nhập khóa bí mật Nếu bỏ qua bƣớc nhập khóa bí mật nhập khơng (khóa bí mật khơng đƣợc xác thực) vào đƣợc chƣơng trình nhƣng khơng thể thực đƣợc chức nhƣ đăng ký phƣơng tiện đến kiểm định đo khí thải phƣơng tiện  Màn hình đăng ký thơng tin: Trƣờng hợp khóa bí mật khơng đƣợc nhập Màn hình hiển thị thông tin đăng ký thông tin chƣa đƣợc giải mã lấy từ sở liệu hiển thị hình: Hình 3.13 Đăng ký thơng tin phƣơng tiện chƣa giải mã Trƣờng hợp khóa bí mật đƣợc nhập Màn hình hiển thị thơng tin đăng ký thông tin đƣợc giải mã sau lấy thơng tin đƣợc mã hóa từ sở liệu client giải mã hiển thị hình: 73 Hình 3.14 Đăng ký thông tin phƣơng tiện giải mã Sau đăng ký thơng tin tiến hành lƣu lại thơng tin đăng ký đƣợc mã hóa gửi qua WebService lên cục tiến hành lƣu lại thông tin  Thơng tin đƣợc mã hóa sở liệu: Hình 3.15 Dữ liệu đƣợc bảo mật CSDL  Tiến hành đăng ký kiểm định: Hình 3.16 Đăng ký kiểm định 74  Thông tin phƣơng tiện đăng ký: Đối với trƣờng hợp chƣa nhập khóa bí mật thơng tin biển số phƣơng tiện đƣợc lƣu dƣới dạng mã hóa sở liệu giả sử biết đƣợc thơng tin biển số đƣợc mã hóa phƣơng tiện nhập thơng tin biển số (dạng mã hóa phƣơng tiện nhƣ xHna9ja==) thơng tin đăng ký phƣơng tiện lấy cục chƣa đƣợc giải mã đƣợc hiển thị Ngƣợc lại trƣờng hợp khóa bí mật đƣợc nhập xác để tiến hành kiểm định việc nhập biển số (dạng đọc đƣợcnhƣ 34H7879) thơng tin biển số đƣợc mã hóa khóa bí mật so sánh sở liệu, server trả thơng tin đăng ký phƣơng tiện dƣới dạng mã hóa thơng tin sau đƣợc giải mã khóa bí mật để hiển thị hình Hình 3.17 Thơng tin phƣơng tiện đăng ký chƣa giải mã Thông tin phƣơng tiện đăng ký thơng tin đƣợc lấy từ Cục (đã mã hóa) Trạm, sau đƣợc giải mã để hiển thị 75 Hình 3.18 Thơng tin phƣơng tiện đăng ký giải mã Tƣơng tự, sau đo kiểm định khí thải thơng tin kết kiểm định đƣợc mã hóa trƣớc gửi lên mạng qua WebService, sau thơng tin mã hóa đƣợc gửi lên Cục lƣu CSDL 3.5 Tóm tắt Chƣơng ứng dụng số giải pháp đƣợc nghiên cứu chƣơng để xây dựng ứng dụng, đảm bảo số yêu cầu bảo vệ thông tin (ở bảo mật CSDL ứng dụng) 76 KẾT LUẬN Tính đề tài: Bảo đảm An tồn Bảo mật cho Trung tâm tích hợp liệu vấn đề đƣợc quan tâm Luận văn nghiên cứu số giải pháp đảm bảo an ninh bao gồm an toàn bảo mật cho Trung tâm tích hợp liệu ứng dụng số giải pháp xây dựng ứng dụng đảm bảo an ninh cho chƣơng trình kiểm định khí thải cho Cục Đăng Kiểm Việt Nam Trong tiến hành xây dựng ứng dụng kết phân tích dựa vào việc khảo sát thực trạng ứng dụng tại trung tâm tích hợp liệu Cục Đăng Kiểm, với đề tài áp dụng đƣợc dụng Cục Đăng Kiểm Kết đạt đƣợc: Đã xây dựng đƣợc ứng dụng thỏa mãn số yêu cầu đặt nhƣ: - Xác thực ứng dụng client với server - Bảo vệ ứng dụng truy cập CSDL - Bảo vệ liệu đƣờng truyền mạng công cộng - Bảo vệ liệu CSDL - Các tính chƣơng trình (cập nhật, đăng ký, gửi nhận thơng tin, ) Những hạn chế cần khắc phục: Tuy chƣơng trình đạt đƣợc số yêu cầu đặt Nhƣng việc bảo vệ thông tin chƣa tiến hành triệt để nhƣ triển khai VPN để bảo vệ thông tin theo hƣớng truyền, chƣơng trình dừng lại việc thiết lập bảo vệ CSDL riêng lẻ, chƣa có đồng server CSDL Hƣớng phát triển đề tài: Mục đích đề tài tập trung vào nghiên cứu số vấn đề đảm bảo an tồn bảo mật thơng tin trung tâm tích hợp liệu nhỏ, trung tâm Cục Đăng kiểm Trong tƣơng lai cải tiến tính chƣơng trình đáp ứng đƣợc số vấn đề nêu phần hạn chế 77 TÀI LIỆU THAM KHẢO Tiếng Việt [1] Trịnh Nhật Tiến (2011), Giáo trình An Tồn Dữ Liệu, Trƣờng Đại học Công nghệ, Đại học Quốc gia Hà Nội [2] Lê Đình Duy (2003), “Tấn cơng kiểu SQL Injection tác hại phòng tránh”, Khoa CNTT, Đai học KHTN TPHCM, tr.1-5 [3] Nguyễn Vƣơng Thịnh (2008), “Bài giảng Hệ quản trị sở liệu”, Trƣờng Đại học Hằng hải, tr 4,7,8,9,10 Tiếng Anh [4] William Stallings (2002), Cryptography and Network Security: Principles and Practice, 3rd ed Prentice Hall [5] Wenbo Mao (2003), Modern Cryptography: Theory And Practice, Prentice Hall PTR [6] Scott Klein (2007),Professional WCF Programming NET Development with Windows Communication Foundation pp 18-26 [7] Microsoft (2002),Building Secure ASP.NET Applications, pp 216-230 [8] IndraniBalasundaram and Dr E Ramaraj (2011), “An Approach to Detect and Prevent SQL Injection Attacks in Database Using Web Service”, IJCSNS International Journal of Computer Science and Network Security, VOL.11 No.1, January [9] Meg Coffin Murray Kennesaw State University, Kennesaw, GA, USA (2010), “Database Security: What Students Need to Know”, Journal of Information Technology Education: Innovations in Practice, Volume 78 ... Nghiên cứu giải pháp đảm bảo an toàn bảo mật cho Trung tâm tích hợp liệu lĩnh vực nghiên cứu Việt Nam Để giải vấn đề đề tài tập trung vào vấn đề sau: - Nghiên cứu an toàn bảo mật thông tin, mật. .. xuất giải pháp đảm bảo an tồn bảo mật thơng tin cho Trung tâm tích hợp liệu Triển khai xây dựng giải pháp thử nghiệm cho số ứng dụng đảm bảo an tồn bảo mật thơng tin cho Trung tâm tích hợp liệu. .. dụng việc đảm bảo an toàn bảo mật cho trung tâm tích hợp liệu Mục tiêu đề tài khơng nhằm mục đích đƣa phải pháp mà nghiên cứu số giải pháp đảm bảo an toàn bảo mật, ứng dụng kiến thức bảo mật để