bảo mật trong thương mại điện tử

NHÓM 7 – D08HTTT2 HỌC VIỆN CÔNG NGHỆ BƯU CHÍNH VIỄN THÔNG KHOA CÔNG NGHỆ THÔNG TIN  PHÁT TRIỂN HỆ THỐNG THƯƠNG MẠI ĐIỆN TỬ NHÓM 7 : BẢO MẬT TRONG THƯƠNG MẠI ĐIỆN TỬ Giảng viên : Phạm Thế Quế Sinh viên : Nguyễn Văn Bằng (NT) Nguyễn Hữu Bình Nguyễn Thành Công Lê Văn Dũng Đỗ Quang Hải Nguyễn Thế Phong Đinh Văn Tùng Page | 1 NHÓM 7 – D08HTTT2 Mục lục CHƯƠNG 1 : GIỚI THIỆU VỀ BẢO MẬT (Nguyễn Thành Công) 1.1. Định nghĩa về bảo mật (Nguyễn Thành Công) Bảo mật máy tính có nghĩa là để bảo vệ thông tin. Giao dịch với công tác phòng chống và phát hiện các hành động trái phép của người sử dụng của một máy tính. Gần đây nó đã được mở rộng để bao gồm sự riêng tư, bảo mật và tính toàn vẹn. Ví dụ: • Phát ngôn viên Bộ Ngoại giao Trung Quốc Zhu Bangzao bác bỏ những cáo buộc rằng Trung Quốc đã đánh cắp các bí mật hạt nhân của Mỹ, nói rằng tuyên bố như vậy có nghĩa là để làm suy yếu Trung Quốc quan hệ. Trong khi đó, một điệp viên CIA dẫn đầu lực lượng đặc nhiệm đã được đánh giá bao nhiêu thiệt hại có thể đã được thực hiện đối với an ninh quốc gia của Mỹ sau khi một nhà khoa học Trung Quốc tại các Phòng thí nghiệm Quốc gia Los Alamos tại New Mexico bị cáo buộc chia sẻ bí mật hạt nhân . • Hai bên đồng ý và đóng dấu giao dịch của họ bằng cách sử dụng chữ ký số. Chữ ký không thể được cai trị không hợp lệ cơ quan lập pháp nhà nước hoặc cơ quan khác làm cho pháp luật bởi vì nó xác định duy nhất các cá nhân có liên quan đến. • Bạn truy cập vào một trang web và trang web thu thập thông tin cá nhân hơn là bạn sẵn sàng tiết lộ hoặc phân phối dữ liệu bên ngoài. Bằng cách này, nó thỏa hiệp riêng tư của bạn và mở ra thế giới của bạn cho các bên khác. Page | 2 NHÓM 7 – D08HTTT2 Định nghĩa này ngụ ý rằng bạn phải biết các thông tin và giá trị của thông tin đó để phát triển các biện pháp bảo vệ. Một phân loại sơ bộ các biện pháp bảo vệ trong bảo mật máy tính như sau: • Công tác phòng chống các biện pháp ngăn chặn thông tin của bạn khỏi bị hư hỏng, thay đổi, hoặc bị đánh cắp. Biện pháp phòng ngừa có thể nằm trong khoảng từ khóa cửa phòng máy chủ để thiết lập chính sách bảo mật cao cấp. • Phát hiện-Thực hiện các biện pháp cho phép bạn phát hiện khi thông tin đã bị hư hỏng, thay đổi, hoặc bị đánh cắp, làm thế nào nó đã bị hư hỏng, thay đổi, hoặc bị đánh cắp, và những người đã gây ra thiệt hại. Các công cụ có sẵn để giúp phát hiện xâm nhập, thiệt hại hoặc thay đổi, và vi rút. • Phản ứng, các biện pháp cho phép phục hồi thông tin, thậm chí nếu thông tin bị mất hoặc bị hư hỏng. Các biện pháp trên đều rất tốt, nhưng nếu bạn không hiểu làm thế nào thông tin có thể bị tổn hại, bạn không thể có biện pháp để bảo vệ nó. Bạn phải kiểm tra các thành phần trên thông tin có thể bị tổn hại: • Bảo mật: Ngăn ngừa tiết lộ trái phép thông tin. Điều này có thể là kết quả của các biện pháp bảo mật kém hoặc rò rỉ thông tin của nhân viên. Một ví dụ về các biện pháp bảo mật kém là cho phép truy cập nặc danh thông tin nhạy cảm. • Tính toàn vẹn: Việc phòng, sửa đổi sai lầm của thông tin. Người dùng có thẩm quyền có thể là nguyên nhân lớn nhất của các lỗi và thiếu sót và thay đổi dữ liệu. Lưu trữ dữ liệu không chính xác trong hệ thống có thể là xấu như mất dữ liệu. Kẻ tấn công độc hại cũng có thể chỉnh sửa, xóa, hoặc các thông tin tham nhũng là rất quan trọng để hoạt động đúng chức năng kinh doanh. • Xác thực: Quá trình xác minh mà người dùng là những người mà họ yêu cầu bồi thường là khi đăng nhập vào hệ thống. Nói chung, việc sử dụng tên người dùng và mật khẩu hoàn thành điều này. Tinh vi hơn là sử dụng thẻ thông minh và chức năng quét võng mạc. Quá trình xác thực không cấp quyền truy cập người sử dụng các nguồn lực này đạt được thông qua quá trình cấp phép. • Ủy quyền: Quá trình cho phép chỉ những người dùng được quyền truy cập thông tin nhạy cảm. Một quá trình cấp phép sử dụng các cơ quan an ninh thích hợp để xác định xem một người sử dụng cần có quyền truy cập vào tài nguyên. 1.2. Lịch sử bảo mật(Nguyễn Thành Công) Máy tính và mạng ban đầu được xây dựng để dễ dàng trao đổi thông tin.Công nghệ thông tin (CNTT) cơ sở hạ tầng đã sớm được xây dựng xung quanh các máy tính Page | 3 NHÓM 7 – D08HTTT2 trung ương hoặc các giải pháp máy tính lớn trong khi những người khác đã được phát triển xung quanh các máy tính cá nhân. Một số cho là không thể trở thành hiện thực và doanh nghiệp ngày nay đang được thúc đẩy bởi sức mạnh của máy tính cá nhân mà người dùng truy cập với tên người dùng và mật khẩu. Tuy nhiên, như các cuộc cách mạng thông tin mở ra con đường mới cho CNTT, nó cũng mở ra khả năng mới cho tội phạm. Những kẻ tấn công sử dụng những cơ hội này để ăn cắp mật khẩu và truy cập thông tin . An ninh thông tin sẽ như thế nào trong thế kỷ 21? Bản chất của máy tính đã thay đổi trong vài năm qua. Mạng lưới được thiết kế và xây dựng để tạo điều kiện thuận lợi cho việc chia sẻ và phân phối dữ liệu và thông tin. Kiểm soát truy cập vào các nguồn tài nguyên này có thể trở thành một vấn đề bởi vì bạn cần phải cân bằng các yêu cầu để truy cập thông tin miễn phí với giá trị của nội dung thông tin đó. Một số thông tin nhạy cảm hơn so với các thông tin khác, điều này dẫn đến sự cần thiết cho các yêu cầu an ninh. Ngày nay, an ninh đã tiến triển nhiều hơn chỉ là tên người dùng và mật khẩu. Nó liên quan đến việc nhận dạng kỹ thuật số, phương pháp xác thực , và các chiến lược bảo mật mô-đun. Cách đơn giản nhất liên quan đến việc sử dụng thẻ thông minh. Đây là những bằng chứng giả mạo các thiết bị lưu trữ an ninh thông tin. Họ là tương tự như một thẻ tín dụng với một bộ vi xử lý xây dựng bên trong và bộ nhớ được sử dụng để xác định hoặc giao dịch tài chính. Khi người sử dụng chèn nó vào đầu đọc, nó chuyển dữ liệu đến và đi từ một máy tính trung tâm. Nó là an toàn hơn so với một thẻ dải từ và có thể được lập trình để tự hủy nếu mật khẩu sai được nhập quá nhiều lần. Như là một thẻ giao dịch tài chính, nó có thể được nạp tiền kỹ thuật số. 1.3. Sự cần thiết của bảo mật (Nguyễn Thành Công) Các quản trị viên thường thấy rằng việc đưa một chính sách bảo mật hạn chế cả người dùng và các cuộc tấn công là tốn thời gian và tốn kém. Người sử dụng cũng trở nên bất mãn các chính sách an ninh nặng làm cho công việc của họ khó khăn không có lý do xác đáng, làm chính trị xấu trong công ty. Lập kế hoạch một chính sách kiểm toán trên mạng lưới rộng lớn chiếm tài nguyên máy chủ và thời gian, và thường các quản trị viên không lưu ý của các sự kiện được kiểm toán. Một thái độ phổ biến trong những người dùng rằng nếu không có công việc bí mật đang được thực hiện, tại sao cần bảo mật? Có một giá phải trả khi một kế hoạch nửa vời của bảo mật được đưa vào hoạt động. Nó có thể dẫn đến thảm họa bất ngờ. Một chính sách mật khẩu cho phép người dùng sử dụng mật khẩu để trống hoặc độ bảo mật yếu là một cơ hội tốt của hacker. Không có bảo vệ tường lửa hoặc proxy giữa mạng riêng của tổ chức khu vực Page | 4 NHÓM 7 – D08HTTT2 cục bộ (LAN) và Internet công cộng làm cho một công ty trở thanh mục tiêu của hacker. Tổ chức sẽ cần phải xác định mức giá mà họ sẵn sàng trả tiền để bảo vệ dữ liệu và các tài sản khác. Chi phí này phải được cân đối chi phí mất thông tin, phần cứng và làm gián đoạn dịch vụ. 1.4. Mối đe dọa an ninh (Nguyễn Thành Công) Giới thiệu Phần đầu tiên của phần này ra các mối đe dọa an ninh và mô tả ngắn gọn các phương pháp, công cụ, và kỹ thuật mà những kẻ xâm nhập sử dụng để khai thác lỗ hổng trong hệ thống để đạt được mục tiêu của họ. Các mối đe dọa an ninh, tấn công, và lỗ hổng Thông tin là tài sản quan trọng trong hầu hết các tổ chức. Công ty đạt được một lợi thế cạnh tranh bằng cách biết làm thế nào để sử dụng thông tin đó. Mối đe dọa đến từ những người khác muốn để có được các thông tin hoặc hạn chế các cơ hội kinh doanh bằng cách can thiệp vào quy trình kinh doanh bình thường. Những kẻ tấn công cố gắng để gây tổn hại cho hệ thống hoặc làm gián đoạn các hoạt động kinh doanh bình thường khai thác lỗ hổng bằng cách sử dụng các kỹ thuật khác nhau, phương pháp, và các công cụ. Quản trị hệ thống cần phải hiểu những khía cạnh khác nhau của an ninh để phát triển các biện pháp và chính sách để bảo vệ tài sản và hạn chế các lỗ hổng bảo mật của họ. Kẻ tấn công có động cơ hay mục tiêu-ví dụ, để làm gián đoạn hoạt động kinh doanh bình thường hoặc ăn cắp thông tin. Để đạt được những động cơ hay mục tiêu, họ sử dụng các phương pháp khác nhau, công cụ, và kỹ thuật để khai thác lỗ hổng trong một hệ thống máy tính hoặc chính sách an ninh và điều khiển. Mục tiêu + Phương pháp + lỗ hổng = tấn công. Phương pháp, công cụ và kỹ thuật để tấn công Các phương pháp trong công thức này khai thác lỗ hổng của tổ chức để khởi động một cuộc tấn công như thể hiện trong hình 2. Kẻ tấn công độc hại có thể được truy cập hoặc từ chối các dịch vụ trong nhiều cách. Dưới đây là một số người trong số họ: • Virus. Kẻ tấn công có thể phát triển mã độc hại được biết đến như vi rút. Sử dụng các kỹ thuật hacking, họ có thể đột nhập vào hệ thống và virus thực vật. Virus nói chung là một mối đe dọa cho bất cứ môi trường nào. Họ đi vào Page | 5 NHÓM 7 – D08HTTT2 các hình thức khác nhau và mặc dù không phải lúc nào cũng độc hại, họ luôn luôn mất thời gian. Virus cũng có thể lây lan qua e-mail và các ổ đĩa. • Trojan. Đây là những chương trình độc hại hoặc mã phần mềm ẩn bên trong trông giống như một chương trình bình thường. Khi người dùng chạy chương trình, các mã ẩn chạy song song. Sau đó nó có thể bắt đầu xóa các tập tin và gây hại đến máy tính. Con ngựa Trojan thường lây lan qua các file đính kèm e-mail. Các virus Melissa gây ra các cuộc tấn công từ chối dịch vụ trên toàn thế giới vào năm 1999 là một loại Trojan horse. • Worms. Đây là những chương trình chạy độc lập và đi từ máy tính đến máy tính qua kết nối mạng. Worms có thể có phần của mình chạy trên nhiều máy tính khác nhau.Worms không thay đổi chương trình khác, mặc dù họ có thể mang mã nào khác có được. • Mật khẩu yếu. Đây là một kỹ thuật mà những kẻ tấn công sử dụng để bí mật truy cập hệ thống thông qua tài khoản của người dùng khác. Điều này có thể bởi vì người dùng thường chọn mật khẩu yếu. Hai vấn đề lớn với mật khẩu là khi họ dễ dàng để đoán dựa trên kiến thức của người sử dụng (ví dụ, tên thời con gái của vợ) và khi họ dễ bị tấn công từ điển (có nghĩa là, bằng cách sử dụng một từ điển như là nguồn gốc của dự đoán). • Denial-of-dịch vụ tấn công. tấn công này khai thác sự cần thiết phải có một dịch vụ có sẵn. Đó là một xu hướng ngày càng tăng trên Internet bởi vì các trang Web nói chung là mở cửa sẵn sàng về tình trạng lạm dụng. Mọi người có thể dễ dàng làm ngập lụt các máy chủ web với giao tiếp để giữ cho nó bận rộn. Vì vậy, các công ty kết nối với Internet nên chuẩn bị cho (DoS) tấn công. Họ cũng rất khó để theo dõi và cho phép các loại tấn công khác nhau để được chinh phục. • E-mail hacking. thư điện tử là một trong những tính năng phổ biến nhất của Internet. Với khả năng truy cập Internet e-mail, một người nào đó có khả năng có thể tương ứng với bất kỳ một trong hàng triệu người trên toàn thế giới. Một số những mối đe dọa liên kết với e-mail là: • Mạo danh địa chỉ người gửi trên Internet e-mail không thể được tin cậy bởi vì người gửi có thể tạo ra một địa chỉ trả về false. Ai đó có thể đã sửa đổi các tiêu đề trong quá cảnh, hoặc người gửi có thể kết nối trực tiếp đến các cổng chuyển thư đơn giản (SMTP) Nghị định thư về máy tính mục tiêu để nhập e- mail. • Nghe trộm. E-mail tiêu đề và nội dung được truyền đi trong văn bản rõ ràng nếu không có mã hóa được sử dụng. Kết quả là, nội dung của một thông điệp Page | 6 NHÓM 7 – D08HTTT2 có thể được đọc hoặc thay đổi quá cảnh. Tiêu đề có thể được sửa đổi để che giấu hoặc thay đổi người gửi, hoặc để chuyển hướng các tin nhắn. • Nghe trộm này cho phép cracker (hacker) để tạo một bản sao hoàn chỉnh của hoạt động mạng. Kết quả là, một cracker có thể có được thông tin nhạy cảm như mật khẩu, dữ liệu, và thủ tục thực hiện chức năng. Nó có thể cho một cracker để nghe trộm bằng cách nghe lén điện thoại, sử dụng đài phát thanh, hoặc sử dụng các cổng phụ trợ trên thiết bị đầu cuối. Nó cũng có thể nghe trộm bằng cách sử dụng phần mềm giám sát các gói tin gửi qua mạng. Trong hầu hết trường hợp, rất khó để phát hiện nghe trộm. • Xã hội kỹ thuật này là một hình thức phổ biến. Nó có thể được sử dụng bên ngoài và bởi những người trong một tổ chức. Kỹ thuật xã hội là một thuật ngữ hacker để lừa mọi người tiết lộ mật khẩu của họ hoặc một số hình thức của an ninh thông tin. • Tấn công xâm nhập. Trong các cuộc tấn công, hacker sử dụng các công cụ khác nhau hack để đạt được quyền truy cập vào hệ thống. Đây có thể dao động từ mật khẩu, nứt các công cụ hacking giao thức và các công cụ thao tác. Các công cụ phát hiện xâm nhập thường có thể giúp phát hiện những thay đổi và các biến thể diễn ra trong hệ thống và mạng lưới. • Mạng giả mạo. giả mạo mạng lưới, một hệ thống trình bày chính nó vào mạng như thể đó là một hệ thống khác nhau (máy tính đóng vai B máy tính bằng cách gửi địa chỉ B thay vì riêng của mình). Lý do để làm điều này là hệ thống có xu hướng hoạt động trong một nhóm các hệ thống khác đáng tin cậy. Tin tưởng được truyền đạt trong một thời trang một-một, máy tính Một máy tính tin tưởng B (điều này không có nghĩa rằng hệ thống B tin tưởng Một hệ thống). Ngụ ý với sự tin tưởng này là quản trị hệ thống của hệ thống đáng tin cậy thực hiện công việc đúng cách và duy trì một mức độ thích hợp của an ninh cho hệ thống. Mạng giả mạo xảy ra theo cách sau đây: nếu máy tính Một máy tính tin tưởng B và C lừa đảo máy tính (đóng vai) máy tính B, sau đó máy tính C có thể được truy cập nếu không-từ chối máy tính A. • 1.5. Lỗ hổng bảo mật (Nguyễn Thành Công) Như đã giải thích trước đó, một kẻ tấn công độc hại sử dụng một phương pháp để khai thác lỗ hổng để đạt được một mục tiêu . Lỗ hổng là điểm yếu hay lỗ hổng bảo mật mà một kẻ tấn công khai thác để truy cập vào mạng hoặc tài nguyên trên mạng (xem Hình 2). Hãy nhớ rằng lỗ hổng này không phải là cuộc tấn công, mà là điểm yếu được khai thác. Một số điểm yếu là: Page | 7 NHÓM 7 – D08HTTT2 • Mật khẩu. Mật khẩu lựa chọn sẽ là một điểm tranh cãi miễn là người dùng phải chọn một. Các vấn đề thường được ghi nhớ mật khẩu chính xác trong số vô số các mật khẩu người dùng cần phải nhớ. Người dùng sẽ lựa chọn các mật khẩu thường được sử dụng vì chúng rất dễ nhớ. Bất cứ điều gì từ ngày sinh nhật với tên của những người thân yêu. Đây là một lỗ hổng bởi vì nó mang lại cho những người khác một cơ hội tốt để đoán mật khẩu chính xác. Giao thức truyền thông giao thức thiết kế. đôi khi có điểm yếu. Những kẻ tấn công sử dụng những để có được thông tin và cuối cùng truy cập đến hệ thống. Một số vấn đề được biết đến là: o TCP / IP stack giao thức TCP / IP có một số điểm yếu cho phép: o Giả mạo địa chỉ IP o Yêu cầu kết nối TCP (SYN) tấn công • Giao thức Telnet. Telnet có thể được sử dụng để quản lý các hệ thống chạy hệ điều hành Microsoft Windows 2000 và Unix. Khi sử dụng máy khách telnet để kết nối từ một hệ thống của Microsoft để hệ thống UNIX và ngược lại, tên người dùng và mật khẩu được truyền đi trong văn bản rõ ràng. • File Transfer Protocol (FTP) với Telnet, nếu các dịch vụ FTP được chạy và người dùng cần gửi hoặc lấy thông tin từ một vị trí an toàn sau đó tên người dùng và mật khẩu được truyền trong văn bản rõ ràng. Lệnh tiết lộ thông tin người dùng. Nó không phải là phổ biến để tìm khả năng tương tác giữa sản phẩm của Microsoft và các phiên bản khác nhau của UNIX. Lệnh cho thấy người sử dụng và hệ thống thông tin đặt ra một mối đe dọa vì bánh quy giòn có thể sử dụng thông tin đó để đột nhập vào một hệ thống. Dưới đây là một số cách: o Ngón tay. ngón tay khách hàng tiện ích trên Microsoft Windows NT và Windows 2000 có thể được sử dụng để kết nối với một dịch vụ daemon ngón tay chạy trên một máy tính dựa trên UNIX để hiển thị thông tin về người sử dụng. Khi các ngón tay chương trình được chạy với không có đối số, thông tin cho mỗi người sử dụng hiện đang đăng nhập vào hệ thống được hiển thị. o Rexec. rexec tiện ích được cung cấp như một khách hàng trên Microsoft Windows NT và Windows 2000. Tiện ích khách hàng rexec cho phép thực hiện từ xa trên các hệ thống dựa trên UNIX chạy các dịch vụ rexecd. Một khách hàng truyền một thông báo xác định tên người dùng, mật khẩu, và tên của một lệnh để thực thi. Chương trình rexecd là dễ bị lạm dụng bởi vì nó có thể được sử dụng để thăm dò Page | 8 NHÓM 7 – D08HTTT2 một hệ thống cho tên tài khoản hợp lệ. Ngoài ra, mật khẩu được truyền không được mã hóa qua mạng. • Không đồng bộ chuyển chế độ (ATM). Bảo mật có thể bị tổn hại bởi những gì được gọi là "thao tác cửa cống" trực tiếp truy cập cáp mạng và các kết nối trong nhà để xe đậu xe ngầm và các trục thang máy. • Frame relay. Tương tự như vấn đề ATM. • Thiết bị quản lý. Thiết bị chuyển mạch và định tuyến được dễ dàng quản lý bởi một giao diện HTTP hoặc thông qua một giao diện dòng lệnh. Cùng với việc sử dụng các mật khẩu yếu (ví dụ, mật khẩu công cộng), nó cho phép bất cứ ai với một số kiến thức kỹ thuật để kiểm soát thiết bị. • Modem. Modem đã trở thành tính năng tiêu chuẩn trên nhiều máy tính để bàn. Bất kỳ modem trái phép là một mối quan tâm an ninh nghiêm trọng. Mọi người sử dụng chúng không chỉ để kết nối với Internet, mà còn để kết nối với văn phòng của họ để họ có thể làm việc từ nhà. Vấn đề là một modem là một phương tiện bỏ qua "tường lửa" bảo vệ mạng từ những kẻ xâm nhập bên ngoài. Một hacker sử dụng quay số một "cuộc chiến" công cụ để xác định các số điện thoại modem và một công cụ "bẻ khoá" để phá vỡ một mật khẩu yếu có thể được truy cập vào hệ thống. Do tính chất của mạng máy tính, một khi một hacker kết nối với một máy tính, các hacker thường có thể kết nối với bất kỳ máy tính khác trong mạng. Kết luận Kẻ tấn công độc hại sẽ sử dụng các phương pháp khác nhau, công cụ, và kỹ thuật để khai thác lỗ hổng trong các chính sách an ninh và kiểm soát để đạt được một mục tiêu hay mục tiêu. Không độc hại tấn công xảy ra do chính sách bảo mật kém và điều khiển cho phép các lỗ hổng và sai sót xảy ra. Thiên tai có thể xảy ra bất cứ lúc nào, do đó, các tổ chức cần thực hiện các biện pháp để cố gắng ngăn chặn thiệt hại có thể gây ra. Các mối đe dọa có thể bắt nguồn từ hai nguồn chính: con người và thiên nhiên. Mối đe dọa con người sau đó có thể được chia thành hai loại: độc hại và không độc hại. Không độc hại "tấn công" thường đến từ người sử dụng và người lao động không được đào tạo trên máy tính hay không nhận thức được các mối đe dọa bảo mật máy tính khác nhau.Độc hại tấn công thường đến từ các nhân viên hoặc nhân viên bất mãn, những người có một mục tiêu.  E-thư Hacking Page | 9 NHÓM 7 – D08HTTT2 Các giao thức chuyển thư phổ biến nhất (SMTP, POP3, IMAP4) thường không bao gồm các quy định để xác thực đáng tin cậy như là một phần của giao thức cốt lõi, cho phép các tin nhắn e-mail được dễ dàng giả mạo. Cũng không làm các giao thức này đòi hỏi phải sử dụng mã hóa có thể đảm bảo tính bảo mật thông tin hay bảo mật của tin nhắn e-mail.Mặc dù phần mở rộng các giao thức này cơ bản có tồn tại, quyết định xem có nên sử dụng chúng cần phải được thành lập như là một phần của chính sách quản trị máy chủ mail.Một số các phần mở rộng sử dụng một phương tiện thiết lập trước đó xác thực trong khi những người khác cho phép các máy khách và máy chủ để thương lượng một loại xác thực rằng cả hai kết thúc hỗ trợ.  Xâm nhập tấn công Những kẻ tấn công sử dụng kỹ thuật nổi tiếng có thể thâm nhập vào nhiều hệ thống mạng. Điều này thường xảy ra khi kẻ tấn công sử dụng lỗ hổng đã biết trong mạng. Trong hệ thống updateable, các quản trị viên có thể không có hoặc dành thời gian để cài đặt tất cả các bản vá lỗi cần thiết trong một số lượng lớn các máy chủ. Ngoài ra, nó thường là không thể hoàn toàn bản đồ chính sách của một tổ chức sử dụng máy tính để kiểm soát truy cập cơ chế của nó và người dùng do đó có thẩm quyền thường có thể thực hiện các hành động trái phép. Người dùng cũng có thể yêu cầu dịch vụ mạng và các giao thức được biết là có những thiếu sót và bị tấn công. Ví dụ, một người sử dụng có thể hỏi, "Tại sao tôi không thể chỉ FTP các tập tin?" Điều rất quan trọng rằng các chính sách an ninh đối phó không chỉ với nhu cầu của người dùng cuối mà còn với các mối đe dọa và các lỗ hổng liên quan đến những nhu cầu. Thực tế, tuy nhiên, nó hiếm khi có thể để loại bỏ tất cả các lỗ hổng. Phát hiện xâm nhập là quá trình phát hiện sử dụng trái phép, hoặc một cuộc tấn công vào một máy tính hoặc mạng. Phát hiện xâm nhập cung cấp hai chức năng quan trọng trong việc bảo vệ tài sản hệ thống thông tin. Chức năng đầu tiên là của một cơ chế phản hồi thông báo cho các nhân viên an ninh về hiệu quả của các thành phần khác của hệ thống an ninh. Việc thiếu phát hiện xâm nhập là một dấu hiệu cho thấy không có xâm nhập được biết đến, không phải là hệ thống là hoàn toàn không thể xuyên thủng. Chức năng thứ hai là cung cấp một cơ chế kích hoạt hoặc gating xác định khi nào để kích hoạt phản ứng theo kế hoạch để xảy ra sự cố. Một máy tính hoặc mạng mà không có một hệ thống phát hiện xâm nhập (IDS) có thể cho phép kẻ tấn công để thong thả khám phá điểm yếu của nó. Nếu lỗ hổng tồn tại trong các mạng, một kẻ tấn công xác định cuối cùng sẽ tìm thấy chúng và khai thác chúng. Cùng một mạng với một cài đặt IDS là một thách thức lớn đối với một kẻ tấn công. Mặc dù kẻ tấn Page | 10 [...]... chế bảo mật có thể được sử dụng để thực hiện các dịch vụ bảo mật thông tin Các hệ thống mật mã phù hợp cho việc thực thi sẽ được liệt kê giới thiệu, sau đó hệ thống mật mã được sử dụng rông rãi nhất được mô tả chi tiết Page | 22 NHÓM 7 – D08HTTT2 CHƯƠNG 2 : CƠ CHẾ BẢO MẬT 2.1 Các cơ chế toàn vẹn dữ liệu (Đinh Văn Tùng) Một cách để bảo vệ tính toàn vẹn dữ liệu là sử dụng một cơ chế mã hóa(ví dụ DES trong. .. đây trong một virus Virus máy tính cá nhân khai thác thiếu kiểm soát truy cập hiệu quả trong các hệ thống này Các loại siêu vi sửa đổi các tập tin và thậm chí cả hệ thống điều hành riêng của mình.Đây là những hành động pháp lý trong bối cảnh của hệ điều hành Trong khi kiểm soát chặt chẽ hơn trong xử lý đa nhiệm, đa người dùng hệ thống điều hành, lỗi cấu hình và các lỗ hổng bảo mật (các lỗi bảo mật) ... tính bí mật hoặc tính chống chối bỏ, thì chỉ cần áp dụng một mã xác thực bản tin(MAC) dựa trên một hàm hash bảo mật đối với dữ liệu cần được bảo vệ Thông thường, các hàm hash bảo mật rất nhanh, nhanh hơn nhiều các cơ chế mã hóa 2.1.1 Các hàm hash bảo mật (Đinh Văn Tùng) Nếu một hàm hash bảo mật với đầu vào là một giá trị có độ dài bất kỳ(không lớn hơn độ dài lớn nhất, với SHA-1 là 264), giá trị kết... tính toàn vẹn dữ liệu là sử dụng một cơ chế mã hóa(ví dụ DES trong chế độ CBC) Trong cách này, cả tính toàn vẹn dữ liệu và tính bí mật dữ liệu được đảm bảo Nhưng chỉ riêng mã hóa thôi thì không đạt độ bảo mật để chống lại các kiểu tấn công bit flipping( đổi bit) Nếu tính xác thực không có, kẻ tấn công có thể đổi các bit trong khối ciphertext(ví dụ, đổi bit “0” thành bit “1” hoặc ngược lại) mà không... giới và cũng có thể bão hòa băng thông mạng 1.6 Các cơ chế bảo mật (Nguyễn Thành Công) Cơ chế mã hóa Cơ chế chữ ký số Cơ chế kiểm soát truy cập Cơ chế toàn vẹn dữ liệu Cơ chế trao đổi chứng thực Cơ chế đệm Cơ chế định tuyến kiểm soát Cơ chế công chứng Phần sau của chương này mô tả hầu hết các cơ chế bảo mật cụ thể và giải thích một số kỹ thuật mật mã được sử dụng thường xuyên.Cơ chế kiểm soát định tuyến... chế bảo vệ toàn vẹn cho thực thi bình thường bởi vì virus vĩ mô được nhúng trong tập tin dữ liệu Tài liệu được trao đổi bằng thư điện tử và do đó là một phương tiện tốt cho phát tán một loại virus Người dùng mở một tập tin có thể thậm chí không nhận thức được thực tế là họ đang chạy một chương trình Tất cả các hướng dẫn có sẵn để viết các macro cũng có những người viết virus có thể ẩn các mã virus trong. .. sinh, được biểu diễn h(người)=ngày sinh Dựa theo các hàm hash bảo mật, loại tấn công đầu tiên cần một lượng thời gian là hàng trăm nghìn năm, trong khi loại tấn công thứ hai sẽ chỉ Page | 25 NHÓM 7 – D08HTTT2 cần thời gian tính theo giờ, ít nhất là đối với các hashsum ngắn(ít hơn 100 bit) Vì nguyên nhân này nên việc sử dụng một hàm hash bảo mật không chỉ cần phải thỏa mãn điều kiện (a) và (b), mà còn... hiện nay Họ hàm hash bảo mật phổ biến nhất là họ MD(message digest) được phát triển bởi R.Rivest MD5 là thành viên mới nhất của họ này, được quy định trong tài liệu Request for Comments(RFC) và được đề xuất bởi IETF(Internet Engineering Task Force) Bởi vì độ dài đầu ra của nó là 128 bit cho nên nó rất yếu trước một cuộc tấn công ngày sinh và vì vậy không được coi là đáp ứng đủ bảo mật cho công nghệ ngày... I(X,Y,Z) = Y ⊕ (X ∨ ¬Z) Với ∧, ∨, ⌐, ⊕ lần lượt là các phép and, or, not, và xor Bước này sử dụng một mảng T một chiều, gồm 64 phần tử Mỗi phần tử trong mảng T được tạo nên từ công thức tính: abs(sin(i)) * 4294967296, sau đó làm tròn kết quả được T[i] với i là vị trí phần tử trong mảng Ký hiệu “ . CHÍNH VIỄN THÔNG KHOA CÔNG NGHỆ THÔNG TIN  PHÁT TRIỂN HỆ THỐNG THƯƠNG MẠI ĐIỆN TỬ NHÓM 7 : BẢO MẬT TRONG THƯƠNG MẠI ĐIỆN TỬ Giảng viên : Phạm Thế Quế Sinh viên : Nguyễn Văn Bằng (NT) Nguyễn. D08HTTT2 Mục lục CHƯƠNG 1 : GIỚI THIỆU VỀ BẢO MẬT (Nguyễn Thành Công) 1.1. Định nghĩa về bảo mật (Nguyễn Thành Công) Bảo mật máy tính có nghĩa là để bảo vệ thông tin. Giao dịch với công tác phòng. động pháp lý trong bối cảnh của hệ điều hành. Trong khi kiểm soát chặt chẽ hơn trong xử lý đa nhiệm, đa người dùng hệ thống điều hành, lỗi cấu hình và các lỗ hổng bảo mật (các lỗi bảo mật) làm