an ninh thương mại điện tử

Thương mại điện tử là một hoạt động kinh doanh mang lại hiệu quả cao, song một khi gặp rủi ro thì những thiệt hại đối với các doanh nghiệp kinh doanh trên mạng, cũng như người tiêu gặp p

TRƯỜNG ĐẠI HỌC CÔNG NGHIỆP THỰC PHẨM

THÀNH PHỐ HỒ CHÍ MINH Khoa: Công nghệ thông tin

GVHD: Thái Huy Bình Nhóm: Mèo máy KURO

Ngày: 29/09/2015

AN NINH THƯƠNG MẠI ĐIỆN TỬ

BẢNG ĐÁNH GIÁ SEMINAR Môn học: Thương mại Điển tử

Ngày 29/09/2015 Thời gian: tiết 11; 12

 Đánh giá cho đề tài:………

 Nhóm tham gia đánh giá (ĐiềnHọ tên, mã số sv, lớp, và ký tên):

đánh giá Thành viên

1 Giới thiệu tổng quan về đề tài, danh sách nhóm 0.5

3 Thực trạng của vấn đề, trình bày những ưu/nhược điểm 1.0

4 Đề xuất những giải pháp cho vấn đề đang nghiên cứu 1.0

6 Danh sách các tài liệu tham khảo liên quan 0.5

7 Các ví dụ minh họa phong phú, sinh động, dễ hiểu 1.0

8 Hình thức trình bày báo cáo đẹp, định dạng chuẩn 0.5

9 Thuyết trình rõ ràng, chuẩn xác, lôi cuốn, dễ hiểu (tác phong, ăn

mặc, cách diễn đạt, phong thái)

2.0

10 Trả lời các câu hỏi đúng trọng tâm, thuyết phục 1.0

Tổng cộng: 10.0

Mục lục

LỜI MỞ ĐẦU 4

Phần 1: Cơ sở lý luận 5

I Khái niệm thương mại điện tử 5

II Gian lận trong thương mại điện tử 6

III Đối tượng bị gian lận 6

IV Các khía cạnh an ninh thương mại điện tử 6

Phần 2: Thực trạng an ninh trong thương mại điện tử 8

I Thực trạng chung an ninh thương mại điện tử 8

1 Thực trạng chung an ninh thương mại trên toàn thế giới 8

2 Thực trạng an ninh thương mại điện tử ở Việt Nam 14

II Một vài ví dụ về các vụ mất an ninh thương mại điện tử 15

III Giải pháp nâng cao an toàn trong thương mại điện tử 17

A Xây dựng chính sách bảo mật 17

B Bảo mật thông tin 23

1 Mục tiêu của bảo mật thông tin 24

2 Các giai đoạn của quá trình bảo mật thông tin 25

3 Thế nào là một hệ thống an toàn thông tin? 27

IV An toàn và bảo mật trong thanh toán điện tử Thanh toán trực tuyến là một trong những vấn đề cốt yếu của TMĐT 28

1 Phương pháp mã hóa 28

2 Chữ ký số 32

V Kết Luận 33

LỜI MỞĐẦU

Hiện nay, nhờ có kỹ thuật số, cuộc sống con người được cải thiện rất nhiều, nhanh hơn và thuận tiện hơn Thương mại điện tử trên thế giới đang có xu hướng phát triển mạnh Kỹ thuật số giúp con người tiết kiệm đáng kể các chi phí như: vận chuyển trung gian, chi phí giao dịch và đặc biệt là có thể tiết kiệm thời gian để đầu tư vào các hoạt động khác Do đó, lợi nhuận con người kiếm được gia tăng đáng kể đồng thời thúc đẩy hoạt động sản xuất, kinh doanh trên toàn thế giới Những lý do trên cho thấy tận dụng được lợi thế của thương mại điện tử có thể đem lại một thế mạnh để phát triển nền kinh tế đất nước và cải thiện đời sống người dân Thương mại điện tử là một hoạt động kinh doanh mang lại hiệu quả cao, song một khi gặp rủi ro thì những thiệt hại đối với các doanh nghiệp kinh doanh trên mạng, cũng như người tiêu gặp phải cũng không nhỏ Vậy những rủi ro đó là gì? Làm thế nào để khắc phục những rủi ro đó?

Đó là phải đảm bảo an ninh thương mại điện tử Vậy an ninh thương mại điện tử là

gì, làm thế nào để đảm bảo an ninh thương mại điện tử? Trong bài tiểu luận này, chúng ta

sẽ cũng tìm hiểu và làm rõ vấn đề này

Phần 1: Cơ sở lý luận

I Khái niệm thương mại điện tử

Thương mại điện tử (E-commerce, Electronic commerce) là hình thái hoạt động thương mại bằng phương pháp điện tử; là việc trao đổi thông tin thương mại thông qua các phương tiện công nghệ điện tử mà nói chung là không cần phải in ra giấy trong bất cứ công đoạn nào của quá trình giao dịch (nên còn được gọi là "thương mại không giấy tờ")

Nói một cách dễ hiểu, thương mại điện tử là hình thức mua-bán thông qua mạng internet và các công cụ điện tử

II Gian lận trong thương mại điện tử

Những hành vi gian lận thương mại điển tử chủ yếu liên quan đến khách hàng

đã thanh toán nhưng không nhận được sản phẩm, dịch vụ, hoặc sản phẩm, dịch vụ kém chất lượng, không đúng như hình ảnh, thông tin trên các web thương mại điện

tử Giao sản phẩm chậm trễ không đúng thời hạn ảnh hưởng đến quyền lợi của người tiêu dùng Thông tin tài khoản tín dụng của khách hàng bị mất hoặc bị chiếm dụng Tình trạng buôn bán thông tin khách hàng không phải là ít xảy ra Hệ quả là người tiêu dùng bị quấy nhiễu, bị xâm phạm đời tư

III Đối tượng bị gian lận

Đối tượng bị gian lận không trừ một ai Là những Doanh nghiệp, tổ chức, cá nhân…tham gia vào thương mại điện tử

IV Các khía cạnh an ninh thương mại điện tử

Khía

cạnh

Lo ngại của khách hang

Lo ngại của người bán

Chống

phủ

định

Một đối tác có thể thực hiện một hành động và sau đó lại từ chối các hành động đã thực hiện được không?

Một khách hàng có thể từ chối đã đặt mua các sản phẩm không?

Tính

xác thực

Người giao dịch với tôi là ai? Làm sao tôi có thể đảm bảo đối tác đó là đích thực

Làm thế nào để nhận biết chính xác một khách hàng của doanh nghiệp là ai

Tính tin

cậy

Một người khác (ngoài ngững người cho phép)

có thể đọc các thông điệp của tôi được không?

Một ai đó, ngoài những người được cho phép, có thể xem các thông điệp hoặc tiếp cận các thông tin bí mật của doanh nghiệp không?

Sử dụng các thông tin cá nhâ mà khách hàng cung cấp như thế nào? Làm thế nào để ngăn chặn việc sử dụng trái phép thông tin đó

Tính ích

lợi

Tôi có thể truy cập vào website của doanh nghiệp hay không

Các website của doanh nghiệp hoạt động tốt không

Phần 2: Thực trạng an ninh trong thương mại điện tử

I Thực trạng chung an ninh thương mại điện tử

1 Thực trạng chung an ninh thương mại trên toàn thế giới

Xét trên giác độ công nghệ, có 3 bộ phận rất dễ bị tấn công và tổn thương khi thực hiện giao dịch thương mại điện tử: hệ thống khách hàng, máy chủ của doanh nghiệp và đường dẫn thông tin Có 7 dạng nguy hiểm nhất đối với an ninh của các website và các giao dịch thương mại điện tử

a) Các đoạn mã nguy hiểm (malicious code)

Các đoạn mã nguy hiểm bao gồm nhiều mối đe dọa khác nhau như các loại virus, worm Đó là các chương trình máy tính có khả năng nhân bản hoặc tự tạo các bản sao của mình và lây lan sang các chương trình khác, các tệp dữ liệu khác trên máy tính

b) Tin tặc (hacker) và các chương trình phá hoại (cybervandalism)

Tin tặc là thuật ngữ dùng để chỉ những người truy cập trái phép vào một website hay hệ thống máy tính Lợi dụng các điểm yếu hay lỗ hỏng trong hệ thống

mở để tấn công nhằm phá hỏng những hệ thống bảo vệ các website hay hệ thống máy tính của một tổ chức

Ví dụ: trên facebook, trong các conment, tin nhắn, thậm chí trang cá nhân của bạn có các đường link của các video mang tính chất nhạy cảm….mục đích khi

là khi bạn click vào đường link đó đã tự động phát tán virut phá hoại tính bảo mật của facebook và phát tán sang trang cá nhân của bạn bè trên danh nghĩa của bạn

Sự chủ quan đã khiến nhiều người dùng mắc lừa kẻ xấu, tự tải virus về máy tính

c) Gian lận thẻ tín dụng

Trong thương mại truyền thống, gian lận thẻ tín dụng có thể xảy ra trong trường hợp thẻ tín dụng bị mất, bị đánh cắp, các thông tin về số thẻ, mã số định

danh cá nhân (PIN) , các thông tin về khách hàng bị tiết lộ và sử dụng bất hợp pháp hoặc trong trường hợp xảy ra những rủi ro khác

Trong thương mại điện tử, các hành vi gian lận thẻ tín dụng xảy ra đa dạng và phức tạp hơn Nếu như trong thương mại truyền thống, việc mất thẻ hoặc thẻ bị đánh cắp là mối đe dọa lớn nhất đối với khách hàng trong thương mại điện tử, mối

đe dọa lớn nhất là bị “mất” các thông tin liên quan đến thẻ hoặc các thông tin về giao dịch sử dụng thẻ trong quá trình diễn ra giao dịch Các tệp dữ liệu thẻ tín dụng của khách hàng thường là những mục tiêu hấp dẫn đối với tin tặc khi tấn công các website thương mại điện tử để lấy cắp các thông tin cá nhân của khách hàng như tên, địa chỉ, điện thoại để mạo danh khách hàng lập các khoản tín dụng mới nhằm phục vụ những mục tiêu khác

Một lo ngại của người bán là sự phủ định đối với các đơn hàng quốc tế trong trường hợp một khách hàng quốc tế đặt hàng và sau đó từ chối hành động này, người bán hàng trực tuyến thường không xác định được rằng thực chất hàng hóa đã được giao tới khách hàng hay chưa và chủ thẻ tín dụng có thực sự là người

đã thực hiện đơn hàng hay không?

Các chuyên gia phòng, chống tội phạm công nghệ cao trong lĩnh vực ngân hàng cho biết, thẻ tín dụng giả hiện nay được làm với nhiều chiêu thức, công nghệ khá tinh vi Chiêu thức trước tiên của tội phạm thẻ tín dụng là sử dụng máy tính, mạng Internet đột nhập vào cơ sở dữ liệu của các ISP, server có các website nhạy cảm như các ngân hàng trong nước, nhà cung cấp dịch vụ thương mại điện tử, các ngân hàng thanh toán qua mạng, cơ sở dữ liệu của các công ty, nhất là các cơ sở

dữ liệu lưu trữ thông tin cá nhân, thông tin tài khoản ngân hàng, thẻ tín dụng và các thông tin nhạy cảm khác… nhằm đánh cắp dữ liệu, nhất là những nơi nào có chế độ bảo mật lỏng lẻo

Thẻ tín dụng giả không có đặc điểm khác biệt với thẻ tín dụng thật nếu nhìn bằng mắt thường Bọn tội phạm sẽ tìm mua các loại máy làm thẻ giả vốn được bán khá phổ biến ở nước ngoài Sau đó bọn chúng chỉ cần mua những thẻ phôi trắng (thẻ màu trắng chưa in ấn) rồi lấy những dữ liệu, tài khoản ngân hàng đã được đánh cắp trên mạng Internet để bắn lên thẻ phôi qua băng từ màu đen khi đưa qua máy Từ đó chúng cho ra đời những chiếc thẻ hoàn chỉnh để có thể dễ dàng rút tiền từ hệ thống ngân hàng

Một vấn đề khó khăn trong việc phát hiện loại tội phạm thẻ là các đối tượng thường có hành vi che giấu tên tuổi, nơi ở, sử dụng hộ chiếu giả…

Vì vậy, để kịp thời hạn chế và ngăn chặn tội phạm thẻ thì lực lượng công an địa phương cũng cần có biện pháp nắm tình hình, thông báo cho các doanh nghiệp kinh doanh, nhất là các doanh nghiệp sử dụng phương thức thanh toán qua thẻ trên địa bàn biết để chủ động cảnh giác, phòng ngừa, phát hiện, tố giác tội phạm Mặt khác, các ngân hàng cũng cần trang bị hệ thống tiếp nhận thẻ với đầu đọc thẻ có chức năng an ninh cao để ngăn ngừa gian lận

d) Sự lừa đảo

Lừa đảo trong thương mại điện tử là việc tin tặc sử dụng các địa chỉ như điện tử giả hoặc mạo danh một người nào đó nhằm thực hiện những hành động phi pháp Sự lừa đảo cũng có thể liên quan đến việc thay đổi hoặc làm chệch hướng các liên kết web tới một địa chỉ khác với địa chỉ thực hoặc tới một website giả mạo website thực hiện cần liên kết

Thời gian gần đây, cộng đồng mạng xôn xao về việc một số website thương mại điện tử như muaban24 , shop360 là bán hàng đa cấp trá hình núp bóng danh nghĩa sàn thương mại điện tử Rất nhiều người, mà đa số là sinh viên, hoặc những người thiếu hiểu biết đã đổ tiền vào đây Cách thức hoạt động điển hình của những doanh nghiệp dạng này là thiết lập một website cung cấp dịch vụ sàn giao dịch thương mại điện tử, trên đó cho phép những thành viên đã nộp tiền được mở một gian hàng ảo để giới thiệu, quảng bá sản phẩm hàng hóa, dịch vụ Sau khi đóng một khoản phí ban đầu thì bên cạnh việc được mở gian hàng ảo trên website, mỗi thành viên được thêm quyền lợi là giới thiệu những người khác tham gia mua gian hàng ảo và hưởng hoa hồng vài chục phần trăm cho mỗi hợp đồng mà mình giới thiệu Tổng số tiền hoa hồng một người có thể được hưởng lên đến vài trăm triệu

đồng Kết quả là đa số gian hàng trên các website dạng này đều là gian hàng trống, không có thông tin gì về chủ gian hàng cũng như sản phẩm cần bán

Các doanh nghiệp lợi dụng danh nghĩa hoạt động thương mại điện tử để việc lôi kéo người tham gia website, trong khi không tập trung nâng cao chất lượng thông tin trên website, đang làm tổn hại tới lòng tin của cộng đồng, cản trở

sự phát triển của lĩnh vực thương mại điện tử đang phát triển rất sôi động ở Việt Nam

e) Sự khước từ dịch vụ

Sự khước từ dịch vụ của một website là hậu quả của việc các hacker sử dụng những giao thông vô ích làm tràn ngập hoặc dẫn tới tắc ngẽn mạng truyền thông, hoặc sử dụng số lượng lớn máy tính tấn công vào một mạng dưới dạng các yêu cầu phân bố dịch vụ từ nhiều điểm khác nhau gây nên sự quá tải về khả năng cung cấp dịch vụ

Do có thể làm cho máy tính ngừng hoạt động và trong thời gian đó người

sử dụng không thể truy cập vào các website Qua đó làm giảm doanh số hoạt động của website, giảm uy tín và tiếng tăm của doanh nghiệp

f) Kẻ trộm trên mạng

Kẻ trộm trên mạng là một dạng của chương trình nghe trộm, giám sát sự di chuyển của thông tin trên mạng Khi sử dụng vào những mục đích hợp pháp, nó có thể giúp phát hiện các lỗ hỏng của mạng Ngược lại, nếu sử dụng các mục đích phạm lỗi, sẽ trở thành những nguy hiểm rất lớn và khó có thể phát hiện

Xem lén thư tín điện tử: sử dụng các đoạn mã bí mật gắn vào một thông điệp như điện tử, cho phép người xem lén có thể giám sát toàn bộ thông điệp chuyển tiếp được gửi đi cùng với thông điệp ban đầu

Ví dụ: Trong năm 2012, tấn công, phát tán phần mềm gián điệp (spyware) vào các cơ quan, doanh nghiệp là hình thái mới của giới tội phạm mạng mang tính chất quốc gia Thế giới trong năm qua bị rúng động bởi sự hoành hành của Flame

và Duqu, những virus đánh cắp thông tin mật của các hệ thống điện toán khu vực Trung Đông Các chuyên gia của Công ty Bkav nhận định, những vụ việc tương tự cũng đã bắt đầu diễn ra tại Việt Nam

"Bạn có thể sẽ giật mình với thông tin trên, song thực tế tại Việt Nam, hệ thống giám sát virus của Bkav đã phát hiện hàng loạt email đính kèm file văn bản chứa phần mềm gián điệp được gửi tới các cơ quan, doanh nghiệp", ông Vũ Ngọc Sơn, Phó chủ tịch, Giám đốc Bkav R&D, nhận định Do từ trước tới nay các file văn bản vẫn được cho là an toàn, hầu hết người nhận được email đã mở file đính kèm và bị nhiễm virus dạng spyware khai thác lỗ hổng của phần mềm Microsoft Office (bao gồm cả Word, Excel và PowerPoint) Khi xâm nhập vào máy tính, virus này âm thầm kiểm soát toàn bộ máy tính nạn nhân, mở cổng hậu (backdoor), cho phép hacker điều khiển máy tính nạn nhân từ xa Chúng cũng nhận lệnh hacker tải các virus khác về máy tính để ghi lại thao tác bàn phím, chụp màn hình, lấy cắp tài liệu

Sự việc một lần nữa rung lên hồi chuông báo động về thực trạng mất an toàn an ninh mạng của các cơ quan, doanh nghiệp tại Việt Nam, đặc biệt trong bối cảnh thế giới luôn tiềm ẩn nguy cơ một cuộc chiến tranh mạng có thể xảy ra

2 Thực trạng an ninh thương mại điện tử ở Việt Nam

Theo thống kê từ Chi hội An toàn thông tin phía Nam (VNISA) công bố đầu tháng 8.2013, VN đứng đầu danh sách các quốc gia thường xuyên bị tấn công mạng Hệ thống máy chủ các cơ quan Chính phủ, các bộ, ngành tại VN là đích nhắm thường xuyên của các cuộc tấn công, với 394 máy chủ bị kết nối “âm thầm”

và thường trực đến máy chủ nước ngoài, bỏ xa con số 34 của Nga và 19 của Ấn

Độ Ngoài ra, cũng từ VNISA, trong tháng 5 có 425 website các cơ quan, doanh nghiệp tại VN bị hacker xâm nhập, đại đa số do hacker nước ngoài thực hiện (416 vụ)

Không chỉ có các cơ quan tổ chức Chính phủ và doanh nghiệp chịu tổn thất nặng nề từ tấn công mạng, người dùng Việt Nam cũng gánh chịu những ảnh hưởng lớn Khảo sát từ Công ty an ninh mạng Bkav công bố vào tháng 6 cho biết trong 12 tháng qua, virút, mã độc đã gây thiệt hại gần 8.000 tỉ đồng (trung bình mỗi người dùng máy tính VN thiệt hại 1.354.000 đồng vì virút)

Còn theo thống kê của Bkav, trong năm 2012 vẫn có tới 2.203 website của các cơ quan doanh nghiệp tại Việt Nam bị tấn công, chủ yếu thông qua các lỗ

hổng trên hệ thống mạng So v

này hầu như không giảm

Cuộc tấn công m

VietNamNet kéo dài từ

lượng truy cập tăng lên 40

gây thiệt hại cho tòa báo 1 t

mẫu virus lây lan trên di đ

nhiễm của virus trên đi

dụng nhu cầu tìm kiếm ph

những phần mềm giả m

chính thống trên Internet, l

trò chơi Angry Birds đã b

Thực trạng này cho th

các cơ quan, doanh nghi

hết cơ quan doanh nghi

ninh mạng hoặc năng l

lên tới 1.150 trang, trong đó

ng So với năm 2011 (có 2.245 website bị tấ

m

n công mạng theo hình thức từ chối dịch vụ (DdoS) vào báo

ừ ngày 2 đến 25/7 VietNamNet cho biết, khi b

p tăng lên 40-60 lần mức bình thường, làm tắc nghẽn đư

i cho tòa báo 1 tỷ đồng/ tuần

ừ thẻ tín dụng của người nước ngoài qua máy ATM

và phân tích 9 máy tính xách tay, 4 thiết bị ghi thẻ, 13 đi

ng máy tính và hàng trăm thẻ từ, …Thu hồi hơn 2 tỷ VND và kh

ng giám sát virus của Bkav đã phát hiện, tại Việt Nam có t

u virus lây lan trên di động Các nghiên cứu của Bkav cho thấ

a virus trên điện thoại di động cũng tương tự virus trên m

m phần mềm nổi tiếng dành cho smartphone, hacker đmạo có chứa mã độc rồi đẩy lên các "chợ" ứ

ng trên Internet, lừa người dùng tải về Các phần mềm như Instagram hay

ã bị virus núp bóng, mượn danh để tấn công ngư

ng này cho thấy, an ninh mạng vẫn chưa thực sự đưcác cơ quan, doanh nghiệp Theo nhận định của các chuyên gia Công ty Bkav, h

t cơ quan doanh nghiệp của Việt Nam chưa bố trí được nhân s

ực và nhận thức của đội ngũ này chưa tương x

ụ mất an ninh thương mại điện tử

a cho biết, tính đến 9h15 ngày4/6/2015, số

ến từ Trung Quốc có tên 1937cn tấn công đã t

ố website của Việt Nam bị nhóm hacker 1937cn t, trong đó có một số website tên miền “.gov.vn” và

t Nam có tới 34.094

ấy hình thức lây virus trên máy tính Lợi

ng dành cho smartphone, hacker đã tạo ra

ứng dụng không

m như Instagram hay

n công người dùng được quan tâm tại

a các chuyên gia Công ty Bkav, hầu

c nhân sự phụ trách an

ày chưa tương xứng với tình

trang web Việt

ã tăng thêm gần

nhóm hacker 1937cn tấn công đã

“.gov.vn” và “.edu.vn”

Cơ quan an ninh m

đã tiến hành cuộc tấn công

Vụ việc bắt đầu t

vụ internet VCCorp, ch

Dân Trí, bị xóa

Một số trang khác chnld.com.vn, soha.vn, cafeF.vn, vccorp.vn, kenh14.vn, và genk.vn

Vụ ba hacker đánh c

Cơ quan công an làm rthông tin tài khoản thẻ tín d

triệu đồng

Cơ quan an ninh mạng Việt Nam đang truy tìm các tay hacker

n công lớn nhất từ trước tới nay trên mạng

u từ 13/10, khiến nhiều trang mạng thuộc nhà cung cinternet VCCorp, chủ sở hữu của hơn 20 trang web, trong đó có c

trang khác chạy trên server của VCCorp gồm có nld.com.vn, soha.vn, cafeF.vn, vccorp.vn, kenh14.vn, và genk.vn

a hacker đánh cắp thông tin thẻ tín dụng kiếm 400 triệu

Cơ quan công an làm rõ nhóm thanh niên này đã chiếm đoạt hơn 48.000

tín dụng, bán được 34.000 thông tin, chiếm đo

ng Việt Nam đang truy tìm các tay hacker, được cho là

Trang chủ Google Vi

Vào hồi 12h20 website, đây có thể

nhiệm trong việc bảo vệ

mạng Ngoài ra, nó còn giúp cho nh

bảo hữu hiệu tron quá trình trang b

thống

Những mục tiêu b gồm:

- Xác định đối tượng cầ

- Xác định được nguy cơ đ

- Xác định được phương án th

a Xác định đối tượng c

Google Việt Nam bị hacker tấn công, thay đổi giao di

i 12h20 ngày 23/02 google VietNam không thể th

là dấu hiệu hacker đã tấn công vào toàn bộ h

i pháp nâng cao an toàn trong thương mại điện tử

ng chính sách bảo mật

t hệ thống có chính sách bảo mật hợp lý là biệ

ng Việc xây dựng một chính sách bảo mật là công vi

p các khung chính sách nhằm đảm bảo an toàn cho hthống ổn định và có tính thực thi cao, có khả

ừ bên ngoài lẫn bên trong

n thiết

u tiên trong các bước xây dựng một chính sách b

n bảo mật Điều này giúp cho nhà quản trị

ệ tài nguyên của bản thân hoặc của tổ chức trên

ng Ngoài ra, nó còn giúp cho nhà quản trị thiết lập được các bi

u tron quá trình trang bị, cấu hình và kiểm soát ho

c tiêu bảo mật mà một nhà quản trị hệ thống cầ

ần bảo vệ

cơ đối với hệ thống

c phương án thực thi chính sách bảo mật