Đang tải... (xem toàn văn)
Luận văn Nghiên cứu một số phương pháp xác thực thông điệp ... luanvan.coluanvanluanvannghiencuumotsophuongphapxacthucthongdiep... 23 thg 11, 2013 Luận văn Nghiên cứu một số phương pháp xác thực thông điệp Việc ... Nó có thể chỉ dùng một lần duy nhất, giá trị không lặp lại, hoặc dùng ...
HỌC VIỆN CÔNG NGHỆ BƯU CHÍNH VIỄN THÔNG - ĐỖ NGỌC CƯỜNG ĐỀ CƯƠNG LUẬN VĂN THẠC SĨ KỸ THUẬT HÀ NỘI - 2016 HỌC VIỆN CÔNG NGHỆ BƯU CHÍNH VIỄN THÔNG - ĐỖ NGỌC CƯỜNG NGHIÊN CỨU TÍCH HỢP CÔNG NGHỆ OTP VÀO XÁC THỰC NGƯỜI DÙNG TẠI HỆ THỐNG THANH TOÁN TRỰC TUYẾN NGÂN HÀNG CHUYÊN NGÀNH : HỆ THỐNG THÔNG TIN MÃ SỐ: 60.48.01.04 ĐỀ CƯƠNG LUẬN VĂN THẠC SĨ KỸ THUẬT NGƯỜI HƯỚNG DẪN KHOA HỌC: PGS.TSKH HOÀNG ĐĂNG HẢI HÀ NỘI - 2016 I MỞ ĐẦU Tính cấp thiết đề tài: Trong gần thâp kỷ hình thành , phát triển bùng nổ, mạng Internet cung cấp khối lượng thông tin dịch vụ khổng lồ Internet mang lại nhiều tiện ích hữu dụng cho người sử dụng, ví dụ hệ thống thư điện tử , trò chuyện trực tuyến ,công cụ tìm kiếm , dịch vụ thương mại chuyển khoản ngân hàng… Trong số thương mại điện tử hay gọi e-commerce trọng đến việc mua bán trực tuyến sử dụng Internet công nghệ trực tuyến tạo trình hoạt động kinh doanh, tăng tính nhanh chóng tiện ích cho người sử dụng Tuy nhiên, kèm phát triển Thương mại điện tử vấn đề tội phạm tin học diễn Các kiểu công điển hình: 1> Tấn công kỹ thuật công phần mềm chuyên gia có kiến thức hệ thông giỏi thực 2> Tấn công không kỹ thuật việc tìm cách lừa để lấy thông tin nhạy cảm 3> Tấn công làm từ chối phục vụ (Denial-of-service (DoS) attack) sử dụng phần mềm đặc biệt liên tục gửi đến máy tính mục tiêu làm bị tải, phục vụ 4> Tấn công từ chối dịch vụ phân tán (Distributed denial of service (DDoS) attack) công làm từ chối phục vụ kẻ công có quyền truy cập bất hợp pháp vào vào nhiều máy mạng để gửi số liệu giả đến mục tiêu 5> Virus đoạn mã chương trình chèn vào máy chủ sau lây lan Nó không chạy độc lập 6> Sâu (Worm) chương trình chạy độc lập Sử dụng tài nguyên máy chủ để lan truyền thông tin máy khác Một số mục đích việc công gian lận mạng nhằm chiếm đoạt tài sản thu nhập bất Ví dụ sử dụng số thẻ VISA nạn nhân để mua bán mạng Các công tin tặc mạng Internet ngày gia tăng với phương thức đa dạng tinh vi chủ yếu tập trung vào đối tượng am hiểu công nghệ thông tin Một vấn đề cộm giao dịch thương mai điện tử tin tặc giả danh người dùng hợp pháp để xâm nhập bất hợp pháp vào phiên giao dịch Việc xác thực người dùng hợp pháp cần thiết Trong số phương pháp xác thực điển hình nay, phương pháp sử dụng mật lần (OTP- One Time Password) có nhiều ưu điểm OTP có nhiều nghiên cứu ứng dụng thực tiễn, nhiên triển khai thực tiễn OTP nội dụng đồng thời gian kiện Bài luận văn tập trung chủ yếu vào nội dụng sau: - Một số vấn đề kỹ thuật việc tạo, xác thực với OTP ( Cơ chế tạo, chế đồng bộ, chế xác thực - Các mô hình OTP( sinh mã theo thời gian, sinh mã theo kiện) - Tích hợp OTP vào xác thực người dùng hệ thống toán trực tuyến Ngân hàng 2 Mục đích nghiên cứu: Nghiên cứu số vấn đề kỹ thuật việc tạo, phân phối OTP, xác thực với OTP ứng dụng vào hệ thống toán trực tuyến ngân hàng Nội dung nghiên cứu: - Nghiên cứu công nghệ xác thực người dùng thương mại điện tử - Nghiên cứu mô hình xác thực dịch vụ toán trực tuyến thương mại điện tử - Nghiên cứu chế tạo, phân phối đồng bộ, xác thực với OTP - Ứng dụng triển khai vào hệ thống toán trực tuyến ngân hàng nơi công tác Đối tượng phạm vi nghiên cứu: Luận văn tập trung vào nghiên cứu phương pháp xác thực người dùng, cụ thể OTP việc sử dụng dịch vụ thương mại điện tử Phạm vi nghiên cứu tập trung vào công nghệ OTP với vấn đề về: Thuật toán Thời gian-Sự kiện: Time and event based one time password; Đồng Thời gianSự kiện (DES/3DES): Synchronous Time + Event (DES/3DES) … Phương pháp nghiên cứu: Thu thập, phân tích tài liệu thông tin liên quan đến đề tài Tìm hiểu giao dịch, mô hình toán thương mại điện tử số Website Thu thập thông tin xác thực người dùng giao dịch thương mại điện tử có Kết hợp nghiên cứu có trước tác giả nước với hướng dẫn thầy để hoàn thành nội dung nghiên cứu CHƯƠNG 1: KHÁI QUÁT VỀ CÁC CÔNG NGHỆ XÁC THỰC ĐIỂN HÌNH HIỆN TẠI 1.1 Tổng quan xác thực 1.1.1 Định nghĩa xác thực Theo wikipedia định nghĩa: Xác thực (tiếng Anh: authentication, tiếng Hy Lạp: αυθεντικός = thật cống, bắt nguồn từ 'authentes' = tác giả/người tạo ra) hành động nhằm thiết lập chứng thực (hoặc người đó) đáng tin cậy, có nghĩa là, lời khai báo người đưa vật thật Xác thực đối tượng có nghĩa công nhận nguồn gốc (provenance) đối tượng, khi, xác thực người thường bao gồm việc thẩm tra nhận dạng họ Việc xác thực thường phụ thuộc vào nhiều nhân tố xác thực (authentication factors) để minh chứng cụ thể Trong giao dịch thương mại điện tử, việc "xác thực" quy trình xác minh để đảm bảo người dùng thi hành chức hệ thống toán họ 1.1.2 Vấn đề xác thực người dùng tầm quan trọng vấn đề Ngày nhà quản trị mạng hệ thống phải điều khiển việc truy cập giám sát thông tin người dùng đầu cuối thao tác AAA [3] cách thức tốt để giám sát mà người dùng đầu cuối làm mạng Dịch vụ AAA [3] có router, switch, firewall, thiết bị VPN, server, … Các dịch vụ AAA [3] chia thành ba phần: + Xác thực (Authentication): Xác thực dùng để nhận dạng (identify) người dùng Trong suốt trình xác thực, username password người dùng kiểm tra đối chiếu với sở liệu lưu AAA Server + Thẩm quyền (Authorization): Authorization cho phép nhà quản trị điều khiển việc cấp quyền khoảng thời gian, hay thiết bị, nhóm, người dùng cụ thể hay giao thức + Tính cước (Accounting): Accounting cho phép nhà quản trị thu thập thông tin thời gian bắt đầu, thời gian kết thúc người dùng truy cập vào hệ thống, câu lệnh thực thi, thống kê lưu lượng, việc sử dụng tài nguyên sau lưu trữ thông tin hệ thống sở liệu quan hệ Như vậy, xác thực nằm vị trí cách thức để giám sát mà người dùng đầu cuối làm mạng Xác thực người dùng đóng vai trò quan trọng việc an toàn bảo mật thông tin người dùng thời kỳ phát triển công nghệ số đại Nếu hệ thống xác thực người dùng giữ an toàn thông tin bí mật quản lý bí mật kinh doanh, thương mại tài khoản ngân hàng nguồn tài nguyên chia sẻ mạng từ máy chủ? 1.2 Phân tích, đánh giá công nghệ xác thực Hiện nay, giới có nhiều công nghệ xác thực như: • • • • Xác thực user/password Xác thực thẻ Chíp EMV Xác thực sinh trắc học Xác thực mật sử dụng lần (One Time Password) Các công nghệ xác thực nêu có ưu nhược điểm riêng đưa vào mô hình thương mại điện tử Thực khảo sát mạng Internet với từ khóa “ Phương thức xác thực toán “, thấy công nghệ xác thực ngân hàng Việt Nam sử dụng công nghệ xác thực mật sử dụng lần (OTP) Công nghệ OTP cung cấp giải pháp : OTP SMS – Mã xác thực gửi tin nhắn tới điện thoại người dùng OTP Token – Mã xác thực tích hợp thiết bị Token 1.2.1 Xác thực username/password 1.2.1.1 Mô tả Nhằm kiểm soát quyền truy cập mức hệ thống Mỗi người sử dụng muốn vào đượcmạng để sử dụng tài nguyên phải đăng ký tên mật Người quản trị mạng có trách nhiệm quản lý, kiểm soát hoạt động mạng xác định quyền truy nhập người sử dụng khác tuỳ theo không gian thời gian 1.2.1.2 Cơ chế xác thực Username/password Khi người dùng muốn đăng nhập sử dụng tài nguyên hệ thống phải đăng nhập cách nhập tên mật Trước hết, hệ thống đối chiếu tên truy nhập người dùng đưa vào với sở liệu tên người dùng, tồn tên người dùng hệ thống tiếp tục đối chiếu mật đưa vào tương ứng với tên truy nhập sở liệu Qua hai lần đối chiếu thỏa mãn người đăng nhập người dùng hợp lệ hệ thống 1.2.1.3 Ưu điểm - Thiết kế sử dụng đơn giản, tốn tài nguyên - Người dùng dễ hiểu dễ sử dụng - Chi phí để thực giải pháp rẻ so với giải pháp khác Nó không phụ thuộc vào thiết bị phần cứng mà dựa phần mềm 5 - Giải pháp có khả làm việc hệ điều hành Do đó, việc thực giải pháp dễ dàng không tốn - Đơn giản, dễ sử dụng - Không cần thêm phần mềm phần cứng 1.2.1.4 Nhược điểm - Dễ bị giả mạo: cần biết mật đó, hacker hoàn toàn mạo danh người để thực giao dịch mạng đăng nhập vào hệ thống để tiến hành phá hoại hay đánh cắp thông tin - Dễ bị đánh cắp: mật thông thường dùng nhiều lần, cần phần mềm đơn giản (có thể tải cách dễ dàng từ Internet), hacker chặn bắt gói tin mạng lấy cắp mật người sử dụng - Quản lý khó khăn: với nhiều hệ thống, người sử dụng phải sử dụng nhiều mật khẩu, vậy, vấn đề quản lý mật trở nên phức tạp - Chi phí cao: mạng doanh nghiệp lớn, có nhiều yêu cầu tới phận hỗ trợ kỹ thuật vấn đề liên quan đến mật hầu hết số người sử dụng quên mật khẩu, mật bị hết hạn sử dụng, Kết luận: Với tất nhược điểm trên, thấy xác thực mật đảm bảo an toàn độ tin cậy lĩnh vực nhậy cảm ngành ngân hàng, tài chính, bưu điện, dịch vụ y tế, nơi mà thông tin cần phải giữ bí mật tuyệt đối 1.2.2 Xác thực thẻ Chip EMV 1.2.2.1 Thẻ thông minh Thẻ thông minh (Smart card) thiết bị an toàn, nhiên bị hư hỏng Có công vào thẻ thông minh chi phí để thực công cao Mặc dù vậy, chi phí đầu tư cho thẻ thông minh lớn nguy rủi ro 6 1.2.2.1.1 Cấu tạo thẻ thông minh Về bản, thẻ thông minh bao gồm phận Thẻ nhựa phận quan trọng có kích thước 85,6x53,98x0,8mm Một mạch in chip vi mạch gắn vào thẻ Tính thẻ thông minh phụ thuộc vào loại chip vi mạch gắn thẻ Con chip vi mạch thường bao gồm vi xử lý, nhớ ROM, nhớ RAM nhớ EEPROM 1.2.2.1.2 Cơ chế hoạt động Người sử dụng đưa thẻ vào đầu đọc theo chiều quy định Sau nhập mã số PIN để xác nhận quyền sử dụng thẻ Số PIN không nằm thẻ mà mã hoá sở liệu 1.2.2.1.3 Kỹ thuật công thẻ thông minh Cách thứ nhất: Do tất thông tin quan trọng thẻ thông minh lưu giữ nhớ EEPROM, nhớ bị ảnh hưởng thay đổi điện áp nhiệt độ nên thông tin quan trọng bị đánh cắp việc tăng giảm điện áp phận vi điều khiển Cách thứ hai: Tội phạm tách rời chip vi mạch khỏi thẻ nhựa công trực tiếp vào chip Kết luận: Thẻ thông minh dùng để xác nhận khách hàng cách an ninh nhất, dùng ứng dụng giao dịch ngân hàng qua internet, mức độ an ninh đảm bảo tuyệt đối Có nhiều ngân hàng sử dụng thẻ thông minh để thực giao dịch Tuy nhiên, muốn đảm bảo an toàn phải dùng chung thẻ thông minh với máy đọc thẻ không nối mạng nhằm giải vấn đề xấu xảy Khách hàng nhập thông tin đánh giá từ trang web ngân hàng, PIN họ, tổng số tiền giao dịch vào máy đọc thẻ, máy đọc thẻ trả lại chữ ký chữ số Chữ ký khách hàng nhập tay vào PC kiểm chứng ngân hàng Thẻ thông minh thiết bị an toàn, nhiên bị hư hỏng Vẫn có công vào thẻ thông minh, trường hợp giao dịch ngân hàng qua internet, PC bị nhiễm phần mềm xấu (Ví dụ Trojan Silentbanker), mô hình an ninh bị phá vỡ Phần mềm xấu viết đè lên thông tin (cả thông tin đầu vào từ bàn phím thông tin đầu hình) khách hàng ngân hàng Nó sửa đổi giao dịch mà khách hàng 1.2.3 Xác thực sinh trắc học 1.2.3.1 Tổng quan xác thực theo sinh trắc học Xác thực dựa theo sinh trắc học phương thức sử dụng công nghệ nhận dạng vân tay, võng mạc, khuôn mặt, giọng nói, loại máu, chi tiết sinh học nhỏ cở thể người dùng… 1.2.3.2 Các thành phần hệ thống xác thực sinh trắc học Một hệ thống sinh trắc hệ thống nhận dạng mẫu để nhận người cách định tính xác thực đặc tính sinh học hay hành vi thuộc người Trong thiết kế hệ thống sinh trắc, vấn đề quan trọng đặt xác định cách người nhận dạng Một hệ thống sinh trắc hệ thống kiểm tra hay hệ thống nhận dạng 1.2.3.3 So sánh đặc trưng sinh trắc Một đặc tính sinh học hành vi người sử dụng đặc trưng sinh trắc nhận dạng người có yêu cầu sau: - Tính phổ biến - Tính phân biệt - Tính ổn định - Tính thu thập - Hiệu - Tính chấp nhận - Khả phá hoại 1.2.3.4 Tóm tắt công nghệ xác thực sử dụng đặc điểm sinh trắc học Dấu vân tay, khuôn mặt, tiếng nói, chữ ký tay, số đặc điểm sinh học khác Kết luận: Công nghệ sinh trắc học ( Biometric) công nghệ sử dụng thuộc tính vật lý,đặc điểm sinh học riêng cá nhân vân tay, mống mắt, khuôn mặt để nhận diện.Đây coi công cụ xác thực người dùng hữu hiệu Những thiết bị điện tử có khả sử dụng liệu sinh trắc học thời gian thực để bảo vệ thông tin bí mật người 8 Tại Việt Nam, công nghệ xác thực sinh trắc học gặp nhiều khó khăn việc xây dựng sở hạ tầng đưa vào giao dịch thương mại điện tử 1.2.4 Xác thực mật lần ( OTP ) Một mật lần (OTP) mật hợp lệ cho phiên đăng nhập giao dịch, hệ thống máy tính thiết bị kỹ thuật số khác OPT tránh số thiếu sót có liên quan đến chứng thực truyền thống (tĩnh) dựa mật Hiện nay, mã OTP tích hợp phổ biến mà người dùng thấy thiết bị Token hay SMS OTP Lợi quan trọng đề cập chương trình OTP trái ngược với mật tĩnh, gây khó khăn định cho công Điều có nghĩa kẻ xâm nhập tiềm người quản lý để ghi lại OTP sử dụng để đăng nhập vào dịch vụ thực giao dịch lạm dụng nó, không giá trị Một lợi lớn thứ hai người dùng sử dụng (hoặc tương tự) mật cho nhiều hệ thống, không bị tổn thương tất số họ, mật cho đạt kẻ công Một số hệ thống OTP nhằm mục đích đảm bảo phiên dễ dàng bị chặn giả kiến thức liệu đoán trước tạo phiên giao dịch trước, làm giảm bề mặt công Chương trình OPT thảo luận thay thế, tăng cường khả để, mật truyền thống Mặt khác, chương trình OTP khó khăn cho người để ghi nhớ Do đó, họ yêu cầu công nghệ để hoạt động 1.2.4.2 Ưu điểm - An toàn: Giải tốt vấn đề giả mạo, đánh cắp, Key logger Đối với hai yếu tố xác thực, thiết bị kết hợp với mã PIN mật - Dễ dàng sử dụng: Việc nhận dạng xác thực thực vài giây tránh nguy bị lỗi gõ mã OTP dài qua mã từ thiết bị chứng thực vào máy tính (Ví dụ OTP Token sử dụng hình hiển thị) Nó hoạt động với tài nguyên đăng nhập tất tảng máy tính, trình duyệt không cần phần mềm cài đặt Client Nhanh chóng tích hợp dễ dàng vào ứng dụng web (Windows, Linux, Mac, Internet Explorer, Firefox, ) - Linh hoạt: Người dùng dễ dàng sử dụng cho máy tính khác dễ mang theo bên - Mã nguồn mở: Sẵn sàng tích hợp với nhiều ứng dụng mã nguồn mở 9 1.2.4.3 Nhược điểm - OTP an toàn chủ tài khoản bị thiết bị sinh OTP (OTP Token) hay kẻ cắp xâm nhập vào hệ thống gửi/nhận tin nhắn SMS để biết OTP khách hàng thực giao dịch -Ngoài ra, hệ thống mạng viễn thông bị chậm,quá tải hay lý mà tin nhắn SMS gửi OTP đến chậm giao dịch dựa vào OTP chuyển giao qua SMS không thực 1.3 Kết luận chương Công nghệ Xác thực mật lần ( OTP ) cho thấy hiệu tiện lợi an toàn cho người dùng thực giao dịch thương mại điện tử CHƯƠNG : NGHIÊN CỨU CÔNG NGHỆ OTP XÁC THỰC NGƯỜI DÙNG ỨNG DỤNG TRONG DỊCH VỤ THƯƠNG MẠI ĐIỆN TỬ 2.1 Một số vấn đề với OTP 2.1.1 Tạo phân phối OTP Cung cấp xác thực cho dịch vụ máy tính trang web sử dụng dịch vụ thương mai điện tử , người sử dụng phải dựa mật lần (One Time Password - OTP) Dựa đồng hóa thời gian máy chủ xác thực khách hàng cung cấp mật (OTP có giá trị cho khoảng thời gian ngắn) 2.1.2 Đồng thời gian kiện với OTP 2.1.3 Xác thực với OTP ứng dụng 2.2 Cơ chế tạo OTP - OTP dựa kiện (OTP Event based) - OTP Challenge Response Based (Thử thách - Hồi đáp) - OTP dựa thời gian thực (OTP Time Based) 2.3 Các thuật toán sử dụng OTP 10 2.3.1 Thuật toán thời gian Định nghĩa TOTP : TOTP = HOTP(K, T), T số nguyên đại diện cho số lượng bước thời gian lần truy cập T0 thời gian Unix Cụ thể , T = (Current Unix time - T0) / X, hàm mặc điịnh sử dụng Ví dụ , với T0 = and Time Step X = 30, - T = thời gian Unix giây thứ 59 - T = thời gian Unix giây thứ 60 2.3.2 Thuật toán kiện Các thuật toán HOTP dựa giá trị đếm tăng dần khóa đối xứng tĩnh biết đến token dịch vụ xác nhận Để tạo giá trị HOTP, sử dụng thuật toán HMAC- SHA-1, định nghĩa RFC 2104 [BCK2] Khi đầu việc tính toán HMAC-SHA-1 160 bit, phải cắt ngắn giá trị để dễ dàng nhập vào người sử dụng HOTP (K, C) = Truncate (HMAC-SHA-1 (K, C)) Trong đó: - Truncate đại diện chức chuyển đổi giá trị HMAC-SHA-1 vào giá trị HOTP Key (K), Counter (C), giá trị liệu băm byte 2.3.3 Đồng Thời gian-Sự kiện (DES/3DES) 2.4 Nhận xét đánh giá 2.5 Kết luận chương CHƯƠNG 3: NGHIÊN CỨU TÍCH HỢP CÔNG NGHỆ XÁC THỰC OTP TẠI HỆ THỐNG THANH TOÁN TRỰC TUYẾN TẠI NGÂN HÀNG 3.1 Giới thiệu hệ thống toán trực tuyến 3.1.1 Mô hình E-commerce 3.1.2 Hệ thống toán trực tuyến ngân hàng 3.1.3 Hệ thống xác thực 11 3.2 Tích hợp OTP vào hệ thống 3.2.1 Triển khai thực tiễn 3.2.2 Cơ chế hoạt động 3.3 Kết thử nghiệm 3.4 Kết luận chương III KẾT LUẬN Những kết đạt luận văn Hướng nghiên cứu IV DANH MỤC CÁC TÀI LIỆU THAM KHẢO [1] Tìm kiếm định nghĩa nguồn liên kết đến đề tài tại: https://en.wikipedia.org/wiki/ [2] Bài báo TOTP: Time-Base One-Time Password Algorithm Tác giả : D.M'Raihi, S Machani, M Pei, J Rydell http://www.hjp.at/doc/rfc/rfc6238.html [3] Bằng sáng chế Time and event based one time password US 20070250923 A1 https://www.google.com/patents/US20070250923 [4] Bài báo HOTP : An HMAC-Based One-Time Password Algorithm Tác giả : D M'Raihi, M Bellare, F Hoornaert, D Naccache, O Ranen [5] Tài liệu hệ thống Entrust V DỰ KIẾN KẾ HOẠCH THỰC HIỆN: VIẾT THEO NỘI DUNG CHƯƠNG TT Nội dung Thời gian thực Tìm hiểu, nghiên cứu tài liệu, viết Từ 01/06/2016 đến 14/06/2016 phần mở đầu chương Tìm hiểu, nghiên cứu tài liệu viết Từ 15/06/2016 đến 31/07/2016 chương Tìm hiểu, nghiên cứu tài liệu viết Từ 01/08/2016 đến 31/10/2016 chương Hoàn thiện nộp luận văn Từ 01/11/2016 đến 20/11/2016 Ý KIẾN CỦA GIÁO VIÊN HƯỚNG DẪN NGƯỜI LẬP ĐỀ CƯƠNG 12 PGS TSKH HOÀNG ĐĂNG HẢI ĐỖ NGỌC CƯỜNG ... vụ (Denial-of-service (DoS) attack) sử dụng phần mềm đặc biệt liên tục gửi đến máy tính mục tiêu làm bị tải, phục vụ 4> Tấn công từ chối dịch vụ phân tán (Distributed denial of service (DDoS)... gian-Sự kiện: Time and event based one time password; Đồng Thời gianSự kiện (DES/3DES): Synchronous Time + Event (DES/3DES) … Phương pháp nghiên cứu: Thu thập, phân tích tài liệu thông tin liên... HMAC-SHA-1 vào giá trị HOTP Key (K), Counter (C), giá trị liệu băm byte 2.3.3 Đồng Thời gian-Sự kiện (DES/3DES) 2.4 Nhận xét đánh giá 2.5 Kết luận chương CHƯƠNG 3: NGHIÊN CỨU TÍCH HỢP CÔNG NGHỆ XÁC THỰC