Nghiên cứu giải pháp an toàn thông tin bảo vệ cổng thông tin điện tử một cửa cấp huyện ứng dụng cài đặt tại tỉnh nam định

1 MỞ ĐẦU Lý chọn đề tài Công nghệ thông tin, truyền thông Internet làm thay đổi lối sống, cách suy nghĩ, phương thức làm việc người dân doanh nghiệp, giao dịch trao đổi thông tin xã hội Hiện nay, việc ứng dụng CNTT giao dịch người dân, doanh nghiệp với quan Nhà nước thông qua việc cung cấp dịch vụ hành công chuyển dần từ dạng truyền thống sang môi trường giao dịch điện tử cửa qua Internet (mức độ giao dịch qua đường điện tử qua Internet chia thành mức từ mức độ đến mức độ bốn) Thực tế, tỉnh Nam Định xây dựng mô hình cổng thông tin điện tử cửa cấp huyện cài đặt UBND huyện, thành phố mô hình đáp ứng yêu cầu cải cách thủ tục hành chính, giảm bớt phiền hà, tiết kiệm nhiều thời gian đỡ tốn kinh phí chi phí cho việc thực giao dịch dịch vụ hành người dân, doanh nghiệp với quan nhà nước Khi xây dựng đưa vào sử dụng cổng thông tin điện tử cửa cấp huyện ta thấy tồn hai vấn đề sau: - Chưa có mô hình cổng thông tin điện tử cửa chung toàn quốc; địa phương tự xây dựng cổng thông tin điện tử cửa cho riêng Trong tỉnh, cổng thông tin điện tử cửa huyện, thành phố chưa thống - Vấn đề an toàn thông tin hạn chế, có số giải pháp áp dụng, nhiên độ tin cậy bảo đảm an toàn, an ninh thông tin cổng thông tin điện tử cửa chưa cao Vì thế, khuôn khổ luận văn thạc sỹ, chọn đề tài: “nghiên cứu giải pháp an toàn thông tin bảo vệ cổng thông tin điện tử cửa cấp huyện ứng dụng cài đặt tỉnh Nam Định” Vấn đề đảm bảo an toàn, an ninh thông tin cho cổng thông tin điện tử cửa đề tài mẻ, có nhiều nghiên cứu ứng dụng đạt kết định Nhưng nghiên cứu áp dụng chưa hoàn toàn đáp ứng yêu cầu thực tế việc bảo mật đảm bảo an toàn, an ninh giao dịch điện tử người dân, doanh nghiệp với quan nhà nước cổng thông tin điện tử cửa cấp huyện cài đặt Nam Định Đối tượng phạm vi nghiên cứu - Cơ sở lý thuyết vấn đề an ninh mạng - Mô hình giao dịch điện tử cửa cấp huyện - Những giải pháp an toàn thông tin số khâu giao dịch áp dụng cho cổng thông tin cửa điện tử cấp huyện áp dụng thực tế tỉnh Nam Định Hướng nghiên cứu đề tài Xây dựng giải pháp bảo vệ an toàn thông tin số khâu giao dịch như: - Truyền nhận công văn, giấy tờ - Xác thực mã giao dịch, bảo vệ xác thực mã - Một số giải pháp phần cứng Phương pháp nghiên cứu Luận văn sử dụng phương pháp nghiên cứu lý thuyết, đọc, tìm hiểu, phân tích, đối chiếu, so sánh, tổng hợp viết thành luận văn Nghiên cứu thực tế, cài đặt chạy thử nghiệm rút kết luận Ý nghĩa khoa học đề tài Đề tài có mục tiêu giải vấn đề cải cách thủ tục hành – tiền đề cho phát triển quyền điện tử địa phương Tăng cường tính an toàn bảo mật thông tin cho cổng thông tin điện tử cửa cấp huyện Đảm bảo tính trung thực, xác thông tin giao dịch người dân, doanh nghiệp với quan nhà nước Tăng độ tin cậy người dân, doanh nghiệp giao dịch với quan nhà nước Để đạt mục tiêu cần phải nắm bắt giải pháp biện pháp đảm bảo an toàn, an ninh thông tin cho cổng thông tin điện tử cửa đồng thời triển khai áp dụng thực tiễn ủy ban nhân dân huyện, thành phố tỉnh Nam Định, đề tài mang đầy đủ ý nghĩa thực tiễn khoa học Chương TỔNG QUAN VỀ AN TOÀN AN NINH TRÊN CỔNG THÔNG TIN ĐIỆN TỬ 1.1 Cơ sở lý thuyết giải pháp đảm bảo an toàn, an ninh thông tin 1.1.1 An toàn, an ninh thông tin mạng 1.1.1.1 Khái niệm về mạng máy tính Mạng máy tính nhóm máy tính thiết bị ngoại vi kết nối với thông qua phương tiện truyền dẫn cáp xoắn, cáp quang, sóng điện từ, tia hồng ngoại… để chia sẻ liệu cho Dữ liệu truyền từ máy sang máy khác bit nhị phân 1, sau biến đổi thành điện sóng điện từ, truyền qua môi trường truyền dẫn 1.1.1.2 Các hình thức tấn công thông tin mạng a Tấn công từ chối dịch vụ DOS - MD: Làm cho hệ thống thông tin bị tê liệt phục vụ khoảng thời gian Đó dạng công phổ biến gây thiệt hại nặng nề b Tấn công Main in middle - MD: Chặn bắt thông tin đối tượng trao đổi thông tin cho đối tượng không hay biết Đọc nội dung thông tin, sửa đổi giả mạo lại tiếp tục gửi gây tổn thất nặng nề c Tấn công chiếm phiên làm việc TCP/IP Hijacking MD: Lách qua hệ thống giao thức bảo mật mà không cần biết mật sau đánh cắp thông tin Sau đối tượng thiết lập xong phiên giao dịch (bao gồm nhiều biện pháp xác thực) lúc hacker nhảy vào chiếm lấy phiên làm việc mà không cần phải xác thực lúc phiên làm việc thiết lập d.Tấn công giả mạo Reply Attack – Hacker: Thu thập thông tin đối tượng, sau giả mạo thông số hệ thống đối tượng vượt qua kiểm soát bảo mật để đánh cắp thông tin e.Tấn công giả mạo Spoofing attack MD: Giả mạo dịch vụ địa chỉ, giả mạo thông số hệ thống để đánh cắp thông tin Như giả mạo địa IP giả mạo bảng cam switch ARP, giả mạo địa email gửi, làm trang đăng nhập giả mạo lấy account, giả mạo DNS server, đưa thông tin lừa đảo giả mạo người sử dụng để đánh cắp thông tin tín dụng f.Tấn công dựa yếu tố người - xã hội Social Engineering: Tấn công dựa vào sở hở người sử dụng nhân viên hệ thống kẻ công thức trà trộn vào hệ thống làm gián điệp để công đánh cắp thông tin hình thức công thường sử dụng hacker lợi dụng dò mật hệ thống qua thông tin nhân viên quản trị ngày tháng năm sinh, người thân, gia đình… g.Tấn công lấy trộm mật cách nghe Sniff and Evesdroping: Hacker dùng công cụ để chặn bắt gói tin sau lấy thông tin có chứa mật h.Tấn công vào mật khẩu: Hacker dùng cách dò xét mật thử mật đơn giản sau không hacker áp dụng cách khác dùng thư viện để đưa tool vào dò 1.1.1.3 Các dịch vụ bảo vệ thông tin mạng Chúng ta coi dịch vụ bảo vệ thông tin “bản sao” thao tác bảo vệ tài liệu vật lý Các tài liệu vật lý có chữ ký thông tin ngày tạo Chúng bảo vệ nhằm chống lại việc đọc trộm, giả mạo, phá hủy…Chúng công chứng, chứng thực, ghi âm, chụp ảnh… Tuy nhiên có điểm khác tài liệu điện tử tài liệu giấy: - Ta phân biệt tài liệu giấy nguyên tài liệu chép Nhưng tài liệu điện tử dãy bit nên phân biệt đâu tài liệu “nguyên bản” đâu tài liệu chép - Mọi thay đổi tài liệu giấy để lại dấu vết vết xóa, tẩy… Tuy nhiên thay đổi tài liệu điện tử hoàn toàn không để lại dấu vết Dưới dịch vụ bảo vệ thông tin mạng máy tính: a Dịch vụ bí mật (Confidentiality) Dịch vụ bí mật bảo đảm thông tin hệ thống máy tính thông tin truyền đọc bên ủy quyền Thao tác đọc bao gồm: in, hiển thị,… Nói cách khác, dịch vụ bí mật bảo vệ liệu truyền chống lại công bị động nhằm khám phá nội dung thông báo Thông tin bảo vệ tất liệu truyền hai người dùng khoảng thời gian thông báo lẻ hay số trường thông báo Dịch vụ cung cấp khả bảo vệ luồng thông tin khỏi bị công phân tích tình b Dịch vụ xác thực (Authentication) Dịch vụ xác thực đảm bảo việc truyền thông xác thực nghĩa người gửi người nhận không bị mạo danh Trong trường hợp có thông báo đơn tín hiệu cảnh báo, tín hiệu chuông, dịch vụ xác thực đảm bảo với bên nhận thông báo đến từ bên nêu danh Trong trường hợp có giao dịch xảy ra, dịch vụ xác thực đảm bảo hai bên giao dịch xác thực kẻ giả danh làm bên trao đổi Nói cách khác, dịch vụ xác thực yêu cầu nguồn gốc thông báo nhận dạng với định danh c Dịch vụ toàn vẹn (Integrity) Dịch vụ toàn vẹn đòi hỏi tài nguyên hệ thống máy tính thông tin truyền không bị sửa đổi trái phép Việc sửa đổi bao gồm thao tác viết, thay đổi, thay đổi trạng thái, xóa thông báo, tạo thông báo, làm trễ dùng lại thông báo truyền Dịch vụ toàn vẹn áp dụng cho thông báo, luồng thông báo hay số trường thông báo Dịch vụ toàn vẹn định hướng kết nối (connection - oriented) áp dụng cho luồng thông báo bảo đảm thông báo nhận có nội dung giống gửi, không bị nhân bản, chèn, sửa đổi, thay đổi trật tự hay dùng lại kể hủy hoại số liệu Như dịch vụ toàn vẹn định hướng kết nối quan tâm đến việc thay đổi thông báo từ chối dịch vụ Mặt khác, dịch vụ toàn vẹn phi kết nối quan tâm đến việc sửa đổi thông báo Dịch vụ toàn vẹn thiên phát ngăn chặn d Không thể chối bỏ (Nonrepudiation) Dịch vụ chối bỏ ngăn chặn người gửi hay người nhận chối bỏ thông báo truyền Khi thông báo gửi người nhận chứng minh người gửi nêu danh gửi Khi thông báo nhận được, người gửi chứng minh thông báo nhận người nhận hợp pháp e Kiểm soát truy nhập (Access control) Kiểm soát truy nhập khả hạn chế kiểm soát truy nhập đến hệ thống máy tính ứng dụng theo đường truyền thông Mỗi thực thể muốn truy nhập phải định danh hay xác nhận có quyền truy nhập phù hợp f Sẵn sàng phục vụ (Availability) Sẵn sàng phục vụ đòi hỏi tài nguyên hệ thống máy tính sẵn sàng bên ủy quyền cần thiết Các công làm giảm khả sẵn sàng phục vụ chương trình phần mềm tài nguyên phần cứng mạng máy tính Các phần mềm hoạt động sai chức gây hậu không lường trước Các mối đe dọa chủ yếu tới an toàn hệ thống mạng xuất phát từ tính mở kênh truyền thông (chúng cổng dùng cho truyền thông hợp pháp tiến trình client, server) hậu làm cho hệ thống bị công Chúng ta phải thừa nhận kênh truyền thông, tất mức phần cứng phần mềm hệ thống chịu nguy hiểm mối đe dọa Biện pháp để ngăn chặn kiểu công là: - Xây dựng kênh truyền thông an toàn để tránh việc nghe trộm - Thiết kế giao thức xác nhận lẫn máy khách hàng máy chủ: + Các máy chủ phải đảm bảo máy khách hàng máy người dùng mà chúng đòi hỏi + Các máy khách hàng phải đảm bảo máy chủ cung cấp dịch vụ đặc trưng máy chủ ủy quyền cho dịch vụ + Đảm bảo kênh truyền thông “tươi” nhằm tránh việc dùng lại thông báo 1.1.2 Bảo mật thông tin 1.1.2.1 Mã hóa tài liệu a Hệ mã hóa [7][8] Một hệ mã hoá gồm thành phần (P, C, K, E, D) thoả mãn tính chất sau: P (Plaintext) tập hợp hữu hạn rõ gọi không gian rõ C (Ciphertext) tập hợp hữu hạn mã gọi không gian mã K (Key) tập hợp hữu hạn khoá hay gọi không gian khóa Đối với phần tử k K gọi mốt khóa (Key) Số lượng không gian khóa phải đủ lớn để đủ thời gian thử khóa E (Encrytion) tập hợp qui tắc mã hoá D (Decrytion) tập hợp qui tắc giải mã Đối với k ϵ K có quy tắc mã e k: P  C quy tắc giải mã tương ứng dk ϵ D Mỗi ek: P  C dk: C  P hàm mà:dk(ek(x)) = x với x ϵ P Chúng ta biết, thông tin thường tổ chức dạng rõ Người gửi thực mã hoá rõ, kết thu gọi mã Bản mã gửi đường truyền tới người nhận, sau nhận mã người nhận giải mã để thu rõ Thuật toán dùng sử dụng định nghĩa hệ mã hóa: ek(C) = P; dk(P) = C Yêu cầu hệ mã hóa: + Độ tin cậy: Cung cấp bí mật cho thông tin liệu lưu việc sử dụng kỹ thuật mã hóa + Tính toàn vẹn: Cung cấp bảo đảm với tất bên thông tin không bị thay đổi từ gửi người nhận mở + Không bị chối bỏ: Người gửi từ chối việc gửi thông tin + Tính xác thực: Người nhận xác minh nguồn tin nhận đối tác gửi hay không Dựa vào cách truyền khóa phân loại hệ mã hoá thành loại: hệ mã hoá khoá đối xứng (mã hoá khoá bí mật) hệ mã hoá khoá phi đối xứng (mã hoá khoá công khai) b Hệ mã hoá khoá đối xứng[7][8] Hệ mã hóa khóa đối xứng hệ mật mã mà từ khóa mã hóa dễ dàng tìm từ khóa giải mã ngược lại Trong số trường hợp, khóa mã hóa khóa giải mã trùng Với hệ mật mã khóa đối xứng, người gửi người nhận phải thỏa thuận khóa trước tin mã hóa gửi đi, khóa phải cất giữ 10 bí mật Độ an toàn hệ phụ thuộc vào khóa Nếu để lộ khóa, người mã hóa giải mã tin Các đặc điểm hệ mật mã khóa đối xứng[8]: Các phương pháp mã hóa cổ điển đòi hỏi người mã hóa người giải mã phải có chung khóa Khóa phải giữ bí mật tuyệt đối, khóa phải gửi kênh an toàn Vì dễ dàng xác định khóa biết khóa Phạm vi ứng dụng: Hệ mật mã đối xứng thường sử dụng môi trường mà khóa dễ dàng trao chuyển bí mật, chẳng hạn văn phòng Nó dùng để mã hóa thông tin lưu trữ đĩa Một số hệ mã hóa đối xứng cổ điển như: Hệ mã hóa dịch chuyển, hệ mã hóa Affine, hệ mã hóa hoán vị… Một số hệ mã hóa đối xứng đại như: Chuẩn mã hóa liệu DES, AES, RC5,… Ví dụ hệ mã hoá khoá đối xứng: DES, AES, … ek(C) = P dk( P ) = C Hình 1.1 Quy trình thực mã khóa đối xứng c Hệ mã hóa khoá công khai [7][8] Hệ mã hóa khóa phi đối xứng hệ mã hóa mà từ khóa mã hóa “khó” thể tính khóa giải mã ngược lại 59 sơ Các tiện ích 22 Thông - Cung cấp cho người sử dụng công Tất cán báo, cụ tiện ích để trao đổi, giải công việc, nhắc tổng hợp hồ sơ cần giải Chức việc nhắc việc hiển thị theo định danh vai trò người sử dụng Với cán TN&TKQ: Chức thông báo tổng tình hình hồ sơ thuộc thẩm quyền xử lý, hiển thị theo loại hồ sơ: + Số hồ sơ tiếp nhận + Số hồ sơ chờ bổ sung + Số hồ sơ chờ trả kết Với cán thụ lý: + Số hồ sơ thụ lý chờ giải + Số hồ sơ chờ bổ sung + Số hồ sơ trình ký Với trưởng phòng, ban: + Số hồ sơ chờ phân công thụ lý + Số hồ sơ chờ phân công thụ lý lại + Số hồ sơ chờ duyệt + Số hồ sơ chờ lãnh đạo đơn vị ký duyệt Với lãnh đạo đơn vị: 23 Tìm + Số hồ sơ chờ duyệt Tìm kiếm thông tin theo yêu cầu kiếm 1.2 Những chức nên có Tất cán 60 TT Tên chức Mô tả Quản lý thủ tục - Đối tượng sử dụng Định nghĩa chu trình lưu chuyển đa Người luồng cho thủ tục hành chính, bên quản trị cạnh chu trình chuyển trạng thái hồ sơ thủ Môi tục hành tương ứng trường Hệ thống hội thoại trực tiếp Tất cán công tác, trao cán việc phối hợp giải quyết, trao đổi đổi thông tin Gửi/nhận hồ sơ Nhận hồ sơ liên thông từ quan Cán liên thông hành chính/hệ thống khác thực theo TN&TKQ quy trình văn thư công văn đến: + Tiếp nhận yêu cầu hình thức Cán công văn đến thụ lý + Trường hợp tiếp nhận hồ sơ mới: chuyển chức TN&TKQ theo quy trình văn Văn thư thư lưu trữ + Trường hợp phối hợp xử lý hệ thống: chuyển chức đợi kết xử lý theo quy trình văn thư - Gửi hồ sơ liên thông đến quan hành chính/hệ thống khác thực theo quy trình văn thư công văn Tra cứu tình Tra cứu tình trạng hồ sơ, kết giải Người nộp trạng hồ sơ, kết hồ sơ qua SMS, điện thoại hồ sơ giải hồ sơ Cung cấp dịch - Thực dịch vụ công trực tuyến Người nộp 61 vụ công trực mức độ Trang tin điện tử đơn vị hồ sơ tuyến mức độ Cổng thông tin điện tử tỉnh/thành phố cho thủ tục hành theo chủ trương Chính phủ Phụ lục 2: 2.1 Danh mục tính kỹ thuật cần có TT Tính kỹ thuật Yêu cầu chung Giao diện với người sử dụng đầu cuối dựa tảng web Phần mềm hoạt động thông suốt ổn định, đáp ứng số lượng truy cập lớn, nhiều người dùng làm việc thời điểm Cho phép cài đặt theo mô hình máy chủ ứng dụng máy chủ sở liệu Cho phép cài đặt theo mô hình máy chủ máy chủ dự phòng Cho phép cài đặt hệ thống mạng có phân vùng bảo mật nhiều lớp Yêu cầu lưu trữ Cơ sở liệu phải có khả lưu trữ với dung lượng lớn, thời gian lâu dài Có khả lưu trữ nhiều định dạng liệu khác liệu có cấu trúc, liệu phi cấu trúc dạng tệp gắn kèm (dữ liệu tệp văn bản, liệu phim, ảnh, âm thanh) Cho phép tìm kiếm toàn văn (full text search) toàn 10 CSDL Khuyến nghị tệp gắn kèm Chuẩn hóa liệu để lưu trữ theo chuẩn ký tự Unicode Yêu cầu giao diện Tương thích với trình duyệt thông dụng nay: Internet 11 Explorer, Firefox, Opera, … Cho phép người quản trị tự cấu hình thông tin hiển thị giao diện tiếp nhận hồ sơ 62 - Giao diện thiết kế phải đảm bảo mỹ thuật, tiện lợi dễ sử 12 13 dụng Hỗ trợ hiển thị tiếng Việt theo chuẩn Unicode Tuân thủ quy định chuẩn nội dung web, định dạng văn 14 bản, định dạng hình ảnh theo Quyết định số 20/2008/QĐ-BTTTT Yêu cầu kết nối thiết bị Cho phép kết nối với thiết bị đọc, in mã vạch để phục vụ việc tra 15 16 17 18 cứu hồ sơ theo mã vạch Cho phép kết nối với máy quét, máy in Hỗ trợ kết nối với Kiosk tra cứu cảm ứng Cho phép kết nối tự động với hệ thống xếp hàng/cấp số Cho phép tra cứu tình trạng hồ sơ, kết giải hồ sơ qua 19 SMS, điện thoại Yêu cầu an toàn bảo mật Đáp ứng khả an toàn, bảo mật theo nhiều mức: mức mạng, 20 mức xác thực người sử dụng, mức CSDL Hỗ trợ tích hợp xác thực thông qua hệ thống danh bạ điện tử AD, LDAP, đảm bảo chế đăng nhập lần 21 cán phân công tham gia hệ thống quan hành Hệ thống cấp số tự động nhất, hoạt động hành chính, phục vụ cho bàn tiếp nhận hồ sơ thủ tục hành (các 22 máy tính phục vụ tiếp nhận hồ sơ) theo quy định Cho phép tự động cập nhật kiện (event log) diễn toàn hệ thống để phục vụ theo dõi, giám sát có chế tự cảnh 23 báo lỗi phát sinh trình hoạt động hệ thống Yêu cầu trao đổi, tích hợp Cung cấp liệu đầu theo chuẩn XML để phục vụ công tác lập báo cáo theo quy định hành, theo quy định nội đơn vị, đồng thời cung cấp liệu theo khuôn dạng thống phục vụ quy trình trao đổi thông tin với hệ thống khác - Cấu trúc liệu tệp XML xác định tùy thuộc vào nhu cầu trao đổi thông tin hệ thống 63 24 Thủ tục trao đổi thông tin với hệ thống thông tin khác cần có thỏa thuận thống trước tiến hành kết nối hệ thống Đảm bảo nguyên tắc cung cấp liệu đầu cho hệ thống thông tin khác chấp nhận đầu vào từ hệ thống thông tin khác 25 26 27 28 theo chuẩn XML để phục vụ trình trao đổi thông tin Yêu cầu khai thác, vận hành Cho phép lưu liệu định kỳ đột xuất Cho phép phục hồi liệu hệ thống gặp cố Cung cấp báo cáo khai thác, vận hành hệ thống Cho phép định nghĩa quản trị quy trình tiếp nhận hồ sơ, luân chuyển hồ sơ, giải hồ sơ trả kết cho thủ tục hành - 29 Các quy trình tiếp nhận hồ sơ, luân chuyển hồ sơ, giải hồ sơ cho phép xử lý trường hợp bổ sung hồ sơ Cho phép định nghĩa quản trị mẫu biểu theo quy định thủ tục hành quy định hành 2.2 Danh mục tính kỹ thuật nên có TT - Tính kỹ thuật Thiết kế hệ thống tuân thủ nguyên tắc kiến trúc hướng dịch vụ (Service Oriented Architecture) Cho phép cài đặt vận hành tốt nhiều môi trường hệ điều hành Windows, Linux, Unix, … Thiết kế, xây dựng khai thác Cơ sở liệu sử dụng ngôn ngữ SQL chuẩn phép triển khai nhiều hệ quản trị Cơ sở liệu SQL Server, Oracle, DB2 ứng dụng quản lý liệu MySQL, Cho phép theo dõi, giám sát việc sử dụng tài nguyên hệ thống Cho phép quản lý sử dụng chữ ký số cho đối tượng hệ thống người dùng, máy chủ Tự động tính toán ngày hẹn trả kết trừ ngày nghỉ 64 ngày lễ - Kết hợp với chức hướng dẫn thủ tục hành để cung cấp chế tư vấn gián tiếp cho tổ chức, cá nhân hoàn thiện hồ sơ thủ tục hành theo nhiều kênh qua điện thoại, mạng internet trước tổ chức, cá nhân đến nộp hồ sơ Ví dụ: Tổ chức, cá nhân có nhu cầu chuẩn bị hồ sơ thủ tục hành gửi hồ sơ qua môi trường mạng, hệ thống phải có khả kiểm tra tính đầy đủ đầu mục hồ sơ, tính đắn định dạng liệu, sau cán TN&TKQ có nhiệm vụ xem xét tính xác thông tin khai báo, tính pháp lý giấy tờ, tài liệu hồ sơ để tư vấn cho tổ chức, cá nhân hoàn thiện hồ sơ trước tổ chức, cá nhân mang hồ sơ đến nộp trực tiếp phận TN&TKQ (đối với cách thức thực phận TN&TKQ) Cho phép mở thêm ”bàn tiếp nhận ảo” để sẵn sàng tiếp nhận phân quyền tiếp nhận hồ sơ từ mạng internet hành (theo quy định) số thủ tục hành triển khai dịch vụ công mức độ (thời gian gửi hồ sơ tổ chức, cá nhân không phụ thuộc vào hành chính) Cho phép tra cứu tình trạng hồ sơ qua điện thoại di động có kết nối mạng internet I LỜI CAM ĐOAN Tôi xin cam đoan: Luận văn “ Nghiên cứu giải pháp an toàn thông tin bảo vệ cổng thông tin cửa điện tử cấp huyện ứng dụng cài đặt tỉnh Nam Định” công trình nghiên cứu riêng Các số liệu luận văn sử dụng trung thực Kết nghiên cứu trình bày luận văn chưa công bố công trình khác Nam Định, ngày 10 tháng 11 năm 2012 Tác giả luận văn Nguyễn Quốc Hoàn II LỜI CẢM ƠN Tôi xin chân thành cảm ơn Thầy Cô Trường Đại học Công nghệ Thông tin Truyền thông – Đại học Thái Nguyên truyền đạt cho kiến thức suốt thời gian học tập trường Tôi xin chân thành cảm ơn UBND huyện Trực Ninh, UBND TP Nam Định tạo điều kiện cho tham gia thực nghiên cứu hệ thống cửa điện tử huyện suốt thời gian làm luân văn Tôi xin chân thành cảm ơn TS Nguyễn Tân Ân, người thầy tận tình hướng dẫn giúp đỡ hoàn thành Luận văn Tôi xin chân thành cảm ơn Sở Thông tin Truyền thông tỉnh Nam Định – Đơn vị mà công tác tạo điều kiện thời gian vật chất để hoàn thành nhiệm vụ học tập Chân thành cảm ơn tất đồng chí, đồng nghiệp, người bạn đặc biệt người thân gia đình liên tục động viên, cổ vũ cho thêm tâm trình học tập suốt thời gian thực luận văn Nam Định, ngày 10 tháng 11 năm 2012 Tác giả luận văn Nguyễn Quốc Hoàn III MỤC LỤC LỜI CAM ĐOAN …………….………………….……………………………… I LỜI CẢM ƠN ………………….………………………………………… II MỤC LỤC ………………….………………………………………………… III BẢNG CÁC KÝ HIỆU …………………….……………………………… BẢNG CÁC CHỮ VIẾT TẮT …….…………………………………… DANH MỤC HÌNH VẼ …………………………………………………… VI VII VIII IX DANH MỤC BẢNG BIỂU ……………………… ……………………… MỞ ĐẦU .1 Lý chọn đề tài .1 Đối tượng phạm vi nghiên cứu Hướng nghiên cứu đề tài Phương pháp nghiên cứu Ý nghĩa khoa học đề tài .2 Chương TỔNG QUAN VỀ AN TOÀN AN NINH TRÊN CỔNG THÔNG TIN ĐIỆN TỬ .4 1.1 Cơ sở lý thuyết giải pháp đảm bảo an toàn, an ninh thông tin 1.1.1 An toàn, an ninh thông tin mạng 1.1.1.1 Khaí niêm ̣ vềmang ̣ maý tinh ́ .4 1.1.1.2 Cać hinh ̀ thưć tâń công thông tin mang ̣ .4 1.1.1.3 Cać dich ̣ vụ baỏ vệ thông tin mang ̣ 1.1.2 Bảo mật thông tin 1.1.2.1 Mã hóa tài liệu 1.1.2.2 Chữ ký số tài liệu 14 1.1.2.3 Hàm Băm .17 1.2 Hiện trạng đảm bảo an toàn an ninh thông tin cổng thông tin điện tử cửa cấp huyện .20 IV 1.2.1 Hiện trạng chế sách .20 1.2.2 Hiện trạng mô hình cổng thông tin điện tử cửa cấp huyện 21 1.2.2.1 Khái niệm điện tử cửa 21 1.2.2.2 Yêu cầu chức phần mềm 22 1.2.2.3 Yêu cầu tính kỹ thuật 24 1.2.3 Hiện trạng giải pháp đảm bảo an toàn, an ninh thông tin cho cổng thông tin điện tử cửa cấp huyện 25 Chương MỘT SỐ GIẢI PHÁP AN TOÀN CHO CỔNG THÔNG TIN ĐI ỆN TỬ MỘT CỬA 26 2.1 Quy trình hoạt động cổng thông tin điện tử cửa .26 2.1.1 Lược đồ thể quy trình giải theo chế cửa 26 2.1.2 Lược đồ chi tiết quy trình giải thủ tục hành .26 2.2 Bảo mật mức hành 27 2.2.1 Chính sách an toàn bảo mật trung ương tỉnh 27 2.2.1.1 Đối với quan trung ương 27 2.2.1.2 Đối với quan cấp địa phương 28 2.2.2 Chính sách an toàn bảo mật đơn vị 29 2.3 Bảo mật mức Hệ điều hành 29 2.4 Bảo mật mức mạng .30 2.4.1 Bảo mật đường truyền 30 2.4.2 Proxy Server 31 2.4.3 Firewall – Tường lửa 32 2.5 Bảo mật mức Web Server: 32 2.6 Bảo mật mức Database: .33 2.7 Bảo mật mức ứng dụng 38 2.8 Giải pháp lưu khôi phục liệu 39 V Chương 3.THỬ NGHIỆM CÀI ĐẶT MỘT SỐ BIỆN PHÁP BẢO ĐẢM AN TOÀN THÔNG TIN Ở CỔNG THÔNG TIN MỘT CỬA CẤP HUYỆN 41 3.1 Thử nghiệm số giải pháp phần cứng 41 3.1.1 Đảm bảo an toàn cho hệ thống điện 41 3.1.2 Đảm bảo an toàn cho hệ thống máy tính 41 3.1.2.1 Phần mềm cài đặt hệ thống máy tính .41 3.1.2.2 Phần mềm đảm bảo an toàn, an ninh cho máy chủ: 41 3.2 Thử nghiệm số giải pháp phần mềm 42 3.2.1 Phân cấp quyền sử dụng .42 3.2.2 Mã hóa thông tin 45 3.2.3 Chữ ký điện tử .45 KẾT LUẬN CHUNG 47 47 HƯỚNG PHÁT TRIỂN CỦA ĐỀ TÀI .48 TÀI LIỆU THAM KHẢO 49 PHỤ LỤC 51 VI BẢNG CÁC KÝ HIỆU ∩ Phép giao ∪ Phép hợp ∈ Ký hiệu thuộc − Phép trừ × Tích đề ⋈ Phép nối � Phép chiếu � Tê ta * Kết nối tự nhiên ÷ Phép chia ∧ Phép ∨ Phép � Phép chọn ⊆ Tập BẢNG CÁC CHỮ VIẾT TẮT CCHC :Cải cách hành CNTT : Công nghệ thông tin CSDL : Cơ sở liệu UBND : Ủy ban nhân dân VII MD : Main in middle TCP : Transmission Control Protocol RSA : Rivest, Shamir, Adleman SQL : Structured Query Language Ngôn ngữ truy vấn liệu HQTCSDL : Database management system H ệ qu ản tr ị C S D ữ Li ệu DSS : Digital Signature Standard ANTT : An ninh thông tin PC : personal computer SSL : Secure Socket Layer DMZ : Demilitarized Zone – vùng an toàn CPU : Central Processing Unit - Đơn vị xử lý trung tâm DANH MỤC HÌNH VẼ Hình 1.1 Quy trình thực mã khóa đối xứng …………………… 10 Hình 1.2 Quy trình thục mã khóa công khai …………………… 12 Hình 1.3 Sơ đồ vị trí chữ ký số văn ………………………… 19 Hình 2.1 Quy trình giải theo chế cửa ….……………… 27 VIII Hình 2.2 Quy trình giải thủ tục hành …………………… 27 Hình 3.1 Đăng nhập hệ thống ………………………………………… 44 Hình 3.2 Thông báo lỗi đăng nhập hệ thống…………………… 44 Hình 3.3 Đăng ký tài khoản trực tuyến ……………………………… 45 Hình 3.4 Danh sách quyền…… ……………………… 45 Hình 3.5 Lấy danh sách hồ sơ qua mạng ……… ……………………… 46 Hình 3.6 Ký duyệt hồ sơ …………………… ……………………… 46 IX DANH MỤC BẢNG BIỂU Phụ lục 1: 1.1 Những chức cần có 52 Phụ lục 1: 1.2 Những chức nên có 61 Phụ lục 2: 2.1 Danh mục tính kỹ thuật cần có 62 Phụ lục 2: 2.2 Danh mục tính kỹ thuật nên có 65 ... dịch điện tử cửa cấp huyện - Những giải pháp an toàn thông tin số khâu giao dịch áp dụng cho cổng thông tin cửa điện tử cấp huyện áp dụng thực tế tỉnh Nam Định Hướng nghiên cứu đề tài Xây dựng giải. .. đảm bảo an toàn, an ninh giao dịch điện tử người dân, doanh nghiệp với quan nhà nước cổng thông tin điện tử cửa cấp huyện cài đặt Nam Định Đối tượng phạm vi nghiên cứu - Cơ sở lý thuyết vấn đề an. .. đảm bảo an toàn, an ninh thông tin cho cổng thông tin điện tử cửa đề tài mẻ, có nhiều nghiên cứu ứng dụng đạt kết định Nhưng nghiên cứu áp dụng chưa hoàn toàn đáp ứng yêu cầu thực tế việc bảo