Nghiên cứu giải pháp an toàn thông tin bảo vệ cổng thông tin điện tử một cửa cấp huyện ứng dụng cài đặt tại tỉnh Nam Định

1 ĐẠI HỌC THÁI NGUYÊN TRƢỜNG ĐẠI HỌC CÔNG NGHỆ THÔNG TIN VÀ TRUYỀN THÔNG NGUYỄN QUỐC HOÀN NGHIÊN CỨU GIẢI PHÁP AN TOÀN THÔNG TIN BẢO VỆ CỔNG THÔNG TIN ĐIỆN TỬ MỘT CỬA CẤP HUYỆN ỨNG DỤNG CÀI ĐẶT TẠI TỈNH NAM ĐỊNH LUẬN VĂN THẠC SĨ KHOA HỌC MÁY TÍNH Thái Nguyên, năm 2012 MỞ ĐẦU Số hóa Trung tâm Học liệu – Đại học Thái Nguyên http://www.lrc-tnu.edu.vn Lý chọn đề tài Công nghệ thông tin, truyền thông Internet làm thay đổi lối sống, cách suy nghĩ, phƣơng thức làm việc ngƣời dân doanh nghiệp, giao dịch trao đổi thông tin xã hội Hiện nay, việc ứng dụng CNTT giao dịch ngƣời dân, doanh nghiệp với quan Nhà nƣớc thông qua việc cung cấp dịch vụ hành công chuyển dần từ dạng truyền thống sang môi trƣờng giao dịch điện tử cửa qua Internet (mức độ giao dịch qua đƣờng điện tử qua Internet đƣợc chia thành mức từ mức độ đến mức độ bốn) Thực tế, tỉnh Nam Định xây dựng mô hình cổng thông tin điện tử cửa cấp huyện cài đặt UBND huyện, thành phố mô hình đáp ứng đƣợc yêu cầu cải cách thủ tục hành chính, giảm bớt phiền hà, tiết kiệm nhiều thời gian đỡ tốn kinh phí chi phí cho việc thực giao dịch dịch vụ hành ngƣời dân, doanh nghiệp với quan nhà nƣớc Khi xây dựng đƣa vào sử dụng cổng thông tin điện tử cửa cấp huyện ta thấy tồn hai vấn đề sau: - Chƣa có mô hình cổng thông tin điện tử cửa chung toàn quốc; địa phƣơng tự xây dựng cổng thông tin điện tử cửa cho riêng Trong tỉnh, cổng thông tin điện tử cửa huyện, thành phố chƣa thống - Vấn đề an toàn thông tin hạn chế, có số giải pháp đƣợc áp dụng, nhiên độ tin cậy bảo đảm an toàn, an ninh thông tin cổng thông tin điện tử cửa chƣa cao Vì thế, khuôn khổ luận văn thạc sỹ, chọn đề tài: “nghiên cứu giải pháp an toàn thông tin bảo vệ cổng thông tin điện tử cửa cấp huyện ứng dụng cài đặt tỉnh Nam Định” Vấn đề đảm bảo an toàn, an ninh thông tin cho cổng thông tin điện tử cửa đề tài mẻ, có nhiều nghiên cứu Số hóa Trung tâm Học liệu – Đại học Thái Nguyên http://www.lrc-tnu.edu.vn ứng dụng đạt đƣợc kết định Nhƣng nghiên cứu áp dụng chƣa hoàn toàn đáp ứng đƣợc yêu cầu thực tế việc bảo mật đảm bảo an toàn, an ninh giao dịch điện tử ngƣời dân, doanh nghiệp với quan nhà nƣớc cổng thông tin điện tử cửa cấp huyện cài đặt Nam Định Đối tƣợng phạm vi nghiên cứu - Cơ sở lý thuyết vấn đề an ninh mạng - Mô hình giao dịch điện tử cửa cấp huyện - Những giải pháp an toàn thông tin số khâu giao dịch áp dụng cho cổng thông tin cửa điện tử cấp huyện áp dụng thực tế tỉnh Nam Định Hƣớng nghiên cứu đề tài Xây dựng giải pháp bảo vệ an toàn thông tin số khâu giao dịch nhƣ: - Truyền nhận công văn, giấy tờ - Xác thực mã giao dịch, bảo vệ xác thực mã - Một số giải pháp phần cứng Phƣơng pháp nghiên cứu Luận văn sử dụng phƣơng pháp nghiên cứu lý thuyết, đọc, tìm hiểu, phân tích, đối chiếu, so sánh, tổng hợp viết thành luận văn Nghiên cứu thực tế, cài đặt chạy thử nghiệm rút kết luận Ý nghĩa khoa học đề tài Đề tài có mục tiêu giải vấn đề cải cách thủ tục hành – tiền đề cho phát triển quyền điện tử địa phƣơng Tăng cƣờng tính an toàn bảo mật thông tin cho cổng thông tin điện tử cửa cấp huyện Đảm bảo tính trung thực, xác thông tin giao dịch ngƣời dân, doanh nghiệp với quan nhà nƣớc Số hóa Trung tâm Học liệu – Đại học Thái Nguyên http://www.lrc-tnu.edu.vn Tăng độ tin cậy ngƣời dân, doanh nghiệp giao dịch với quan nhà nƣớc Để đạt đƣợc mục tiêu cần phải nắm bắt đƣợc giải pháp biện pháp đảm bảo an toàn, an ninh thông tin cho cổng thông tin điện tử cửa đồng thời triển khai áp dụng thực tiễn ủy ban nhân dân huyện, thành phố tỉnh Nam Định, đề tài mang đầy đủ ý nghĩa thực tiễn khoa học Số hóa Trung tâm Học liệu – Đại học Thái Nguyên http://www.lrc-tnu.edu.vn Chƣơng TỔNG QUAN VỀ AN TOÀN AN NINH TRÊN CỔNG THÔNG TIN ĐIỆN TỬ 1.1 Cơ sở lý thuyết giải pháp đảm bảo an toàn, an ninh thông tin 1.1.1 An toàn, an ninh thông tin mạng 1.1.1.1 Khái niệm mạng máy tính Mạng máy tính nhóm máy tính thiết bị ngoại vi kết nối với thông qua phƣơng tiện truyền dẫn nhƣ cáp xoắn, cáp quang, sóng điện từ, tia hồng ngoại… để chia sẻ liệu cho Dữ liệu truyền từ máy sang máy khác bit nhị phân 1, sau biến đổi thành điện sóng điện từ, đƣợc truyền qua môi trƣờng truyền dẫn 1.1.1.2 Các hình thức tấn công thông tin mạng a Tấn công từ chối dịch vụ DOS - MD: Làm cho hệ thống thông tin bị tê liệt phục vụ khoảng thời gian Đó dạng công phổ biến gây thiệt hại nặng nề b Tấn công Main in middle - MD: Chặn bắt thông tin đối tƣợng trao đổi thông tin cho đối tƣợng không hay biết Đọc nội dung thông tin, sửa đổi giả mạo lại tiếp tục gửi gây tổn thất nặng nề c Tấn công chiếm phiên làm việc TCP/IP Hijacking MD: Lách qua hệ thống giao thức bảo mật mà không cần biết mật sau đánh cắp thông tin Sau đối tƣợng thiết lập xong phiên giao dịch (bao gồm nhiều biện pháp xác thực) lúc hacker nhảy vào chiếm lấy phiên làm việc mà không cần phải xác thực lúc phiên làm việc đƣợc thiết lập d.Tấn công giả mạo Reply Attack – Hacker: Thu thập thông tin đối tƣợng, sau giả mạo thông số hệ thống đối tƣợng vƣợt qua kiểm soát bảo mật để đánh cắp thông tin Số hóa Trung tâm Học liệu – Đại học Thái Nguyên http://www.lrc-tnu.edu.vn e.Tấn công giả mạo Spoofing attack MD: Giả mạo dịch vụ địa chỉ, giả mạo thông số hệ thống để đánh cắp thông tin Nhƣ giả mạo địa IP giả mạo bảng cam switch ARP, giả mạo địa email gửi, làm trang đăng nhập giả mạo lấy account, giả mạo DNS server, đƣa thông tin lừa đảo giả mạo ngƣời sử dụng để đánh cắp thông tin tín dụng f.Tấn công dựa yếu tố người - xã hội Social Engineering: Tấn công dựa vào sở hở ngƣời sử dụng nhân viên hệ thống kẻ công thức trà trộn vào hệ thống làm gián điệp để công đánh cắp thông tin hình thức công thƣờng đƣợc sử dụng hacker lợi dụng dò mật hệ thống qua thông tin nhân viên quản trị nhƣ ngày tháng năm sinh, ngƣời thân, gia đình… g.Tấn công lấy trộm mật cách nghe Sniff and Evesdroping: Hacker dùng công cụ để chặn bắt gói tin sau lấy thông tin có chứa mật h.Tấn công vào mật khẩu: Hacker dùng cách dò xét mật thử mật đơn giản sau không đƣợc hacker áp dụng cách khác dùng thƣ viện để đƣa tool vào dò 1.1.1.3 Các dịch vụ bảo vệ thông tin mạng Chúng ta coi dịch vụ bảo vệ thông tin nhƣ “bản sao” thao tác bảo vệ tài liệu vật lý Các tài liệu vật lý có chữ ký thông tin ngày tạo Chúng đƣợc bảo vệ nhằm chống lại việc đọc trộm, giả mạo, phá hủy…Chúng đƣợc công chứng, chứng thực, ghi âm, chụp ảnh… Tuy nhiên có điểm khác tài liệu điện tử tài liệu giấy: - Ta phân biệt tài liệu giấy nguyên tài liệu chép Nhƣng tài liệu điện tử dãy bit nên phân biệt đƣợc đâu tài liệu “nguyên bản” đâu tài liệu chép Số hóa Trung tâm Học liệu – Đại học Thái Nguyên http://www.lrc-tnu.edu.vn - Mọi thay đổi tài liệu giấy để lại dấu vết nhƣ vết xóa, tẩy… Tuy nhiên thay đổi tài liệu điện tử hoàn toàn không để lại dấu vết Dƣới dịch vụ bảo vệ thông tin mạng máy tính: a Dịch vụ bí mật (Confidentiality) Dịch vụ bí mật bảo đảm thông tin hệ thống máy tính thông tin đƣợc truyền đƣợc đọc bên đƣợc ủy quyền Thao tác đọc bao gồm: in, hiển thị,… Nói cách khác, dịch vụ bí mật bảo vệ liệu đƣợc truyền chống lại công bị động nhằm khám phá nội dung thông báo Thông tin đƣợc bảo vệ tất liệu đƣợc truyền hai ngƣời dùng khoảng thời gian thông báo lẻ hay số trƣờng thông báo Dịch vụ cung cấp khả bảo vệ luồng thông tin khỏi bị công phân tích tình b Dịch vụ xác thực (Authentication) Dịch vụ xác thực đảm bảo việc truyền thông xác thực nghĩa ngƣời gửi ngƣời nhận không bị mạo danh Trong trƣờng hợp có thông báo đơn nhƣ tín hiệu cảnh báo, tín hiệu chuông, dịch vụ xác thực đảm bảo với bên nhận thông báo đến từ bên nêu danh Trong trƣờng hợp có giao dịch xảy ra, dịch vụ xác thực đảm bảo hai bên giao dịch xác thực kẻ giả danh làm bên trao đổi Nói cách khác, dịch vụ xác thực yêu cầu nguồn gốc thông báo đƣợc nhận dạng với định danh c Dịch vụ toàn vẹn (Integrity) Dịch vụ toàn vẹn đòi hỏi tài nguyên hệ thống máy tính thông tin đƣợc truyền không bị sửa đổi trái phép Việc sửa đổi bao gồm thao tác viết, thay đổi, thay đổi trạng thái, xóa thông báo, tạo thông báo, làm trễ dùng lại thông báo đƣợc truyền Dịch vụ toàn vẹn áp dụng cho thông báo, luồng thông báo hay số trƣờng thông Số hóa Trung tâm Học liệu – Đại học Thái Nguyên http://www.lrc-tnu.edu.vn báo Dịch vụ toàn vẹn định hƣớng kết nối (connection - oriented) áp dụng cho luồng thông báo bảo đảm thông báo đƣợc nhận có nội dung giống nhƣ đƣợc gửi, không bị nhân bản, chèn, sửa đổi, thay đổi trật tự hay dùng lại kể hủy hoại số liệu Nhƣ dịch vụ toàn vẹn định hƣớng kết nối quan tâm đến việc thay đổi thông báo từ chối dịch vụ Mặt khác, dịch vụ toàn vẹn phi kết nối quan tâm đến việc sửa đổi thông báo Dịch vụ toàn vẹn thiên phát ngăn chặn d Không thể chối bỏ (Nonrepudiation) Dịch vụ chối bỏ ngăn chặn ngƣời gửi hay ngƣời nhận chối bỏ thông báo đƣợc truyền Khi thông báo đƣợc gửi ngƣời nhận chứng minh ngƣời gửi nêu danh gửi Khi thông báo nhận đƣợc, ngƣời gửi chứng minh thông báo đƣợc nhận ngƣời nhận hợp pháp e Kiểm soát truy nhập (Access control) Kiểm soát truy nhập khả hạn chế kiểm soát truy nhập đến hệ thống máy tính ứng dụng theo đƣờng truyền thông Mỗi thực thể muốn truy nhập phải định danh hay xác nhận có quyền truy nhập phù hợp f Sẵn sàng phục vụ (Availability) Sẵn sàng phục vụ đòi hỏi tài nguyên hệ thống máy tính sẵn sàng bên đƣợc ủy quyền cần thiết Các công làm giảm khả sẵn sàng phục vụ chƣơng trình phần mềm tài nguyên phần cứng mạng máy tính Các phần mềm hoạt động sai chức gây hậu không lƣờng trƣớc đƣợc Các mối đe dọa chủ yếu tới an toàn hệ thống mạng xuất phát từ tính mở kênh truyền thông (chúng cổng đƣợc dùng cho truyền thông hợp pháp tiến trình nhƣ client, server) hậu làm cho hệ thống bị Số hóa Trung tâm Học liệu – Đại học Thái Nguyên http://www.lrc-tnu.edu.vn công Chúng ta phải thừa nhận kênh truyền thông, tất mức phần cứng phần mềm hệ thống chịu nguy hiểm mối đe dọa Biện pháp để ngăn chặn kiểu công là: - Xây dựng kênh truyền thông an toàn để tránh việc nghe trộm - Thiết kế giao thức xác nhận lẫn máy khách hàng máy chủ: + Các máy chủ phải đảm bảo máy khách hàng máy ngƣời dùng mà chúng đòi hỏi + Các máy khách hàng phải đảm bảo máy chủ cung cấp dịch vụ đặc trƣng máy chủ đƣợc ủy quyền cho dịch vụ + Đảm bảo kênh truyền thông “tƣơi” nhằm tránh việc dùng lại thông báo 1.1.2 Bảo mật thông tin 1.1.2.1 Mã hóa tài liệu a Hệ mã hóa [7][8] Một hệ mã hoá gồm thành phần (P, C, K, E, D) thoả mãn tính chất sau: P (Plaintext) tập hợp hữu hạn rõ đƣợc gọi không gian rõ C (Ciphertext) tập hợp hữu hạn mã đƣợc gọi không gian mã K (Key) tập hợp hữu hạn khoá hay gọi không gian khóa Đối với phần tử k K đƣợc gọi mốt khóa (Key) Số lƣợng không gian khóa phải đủ lớn để đủ thời gian thử khóa E (Encrytion) tập hợp qui tắc mã hoá D (Decrytion) tập hợp qui tắc giải mã Số hóa Trung tâm Học liệu – Đại học Thái Nguyên http://www.lrc-tnu.edu.vn 10 Đối với k ϵ K có quy tắc mã ek: P  C quy tắc giải mã tƣơng ứng dk ϵ D Mỗi ek: P  C dk: C  P hàm mà:dk(ek(x)) = x với x ϵ P Chúng ta biết, thông tin thƣờng đƣợc tổ chức dƣới dạng rõ Ngƣời gửi thực mã hoá rõ, kết thu đƣợc gọi mã Bản mã đƣợc gửi đƣờng truyền tới ngƣời nhận, sau nhận đƣợc mã ngƣời nhận giải mã để thu đƣợc rõ Thuật toán dùng sử dụng định nghĩa hệ mã hóa: ek(C) = P; dk(P) = C Yêu cầu hệ mã hóa: + Độ tin cậy: Cung cấp bí mật cho thông tin liệu đƣợc lƣu việc sử dụng kỹ thuật mã hóa + Tính toàn vẹn: Cung cấp bảo đảm với tất bên thông tin không bị thay đổi từ gửi ngƣời nhận mở + Không bị chối bỏ: Ngƣời gửi từ chối việc gửi thông tin + Tính xác thực: Ngƣời nhận xác minh đƣợc nguồn tin nhận đƣợc đối tác gửi hay không Dựa vào cách truyền khóa phân loại hệ mã hoá thành loại: hệ mã hoá khoá đối xứng (mã hoá khoá bí mật) hệ mã hoá khoá phi đối xứng (mã hoá khoá công khai) b Hệ mã hoá khoá đối xứng[7][8] Hệ mã hóa khóa đối xứng hệ mật mã mà từ khóa mã hóa dễ dàng tìm đƣợc từ khóa giải mã ngƣợc lại Trong số trƣờng hợp, khóa mã hóa khóa giải mã trùng Với hệ mật mã khóa đối xứng, ngƣời gửi ngƣời nhận phải thỏa thuận khóa trƣớc tin đƣợc mã hóa gửi đi, khóa phải đƣợc cất giữ Số hóa Trung tâm Học liệu – Đại học Thái Nguyên http://www.lrc-tnu.edu.vn data error !!! can't not read data error !!! can't not read data error !!! can't not read data error !!! can't not read data error !!! can't not read data error !!! can't not read data error !!! can't not read data error !!! can't not read data error !!! can't not read data error !!! can't not read data error !!! can't not read data error !!! can't not read data error !!! can't not read data error !!! can't not read data error !!! can't not read data error !!! can't not read ... nghiên cứu giải pháp an toàn thông tin bảo vệ cổng thông tin điện tử cửa cấp huyện ứng dụng cài đặt tỉnh Nam Định Vấn đề đảm bảo an toàn, an ninh thông tin cho cổng thông tin điện tử cửa đề tài... dịch điện tử cửa cấp huyện - Những giải pháp an toàn thông tin số khâu giao dịch áp dụng cho cổng thông tin cửa điện tử cấp huyện áp dụng thực tế tỉnh Nam Định Hƣớng nghiên cứu đề tài Xây dựng giải. .. hình cổng thông tin điện tử cửa chung toàn quốc; địa phƣơng tự xây dựng cổng thông tin điện tử cửa cho riêng Trong tỉnh, cổng thông tin điện tử cửa huyện, thành phố chƣa thống - Vấn đề an toàn thông