(Luận văn thạc sĩ) một số vấn đề đảm bảo an toàn thông tin trong giao dịch điện tử phục vụ công tác hành chính

ĐẠI HỌC QUỐC GIA HÀ NỘI TRƯỜNG ĐẠI HỌC CÔNG NGHỆ Võ Đại Trung MỘT SỐ VẤN ĐỀ ĐẢM BẢO AN TỒN THƠNG TIN TRONG GIAO DỊCH ĐIỆN TỬ PHỤC VỤ CƠNG TÁC HÀNH CHÍNH Ngành: Cơng nghệ thơng tin Mã số: 1.01.10 LUẬN VĂN THẠC SỸ NGƯỜI HƯỚNG DẪN KHOA HỌC: PGS.TS TRỊNH NHẬT TIẾN HÀ NỘI - 2007 MỤC LỤC LỜI CẢM ƠN MỤC LỤC GIẢI THÍCH MỘT SỐ THUẬT NGỮ VÀ TỪ VIẾT TẮT MỞ ĐẦU Chƣơng MỘT SỐ KHÁI NIỆM CƠ BẢN 11 1.1 MỘT SỐ KHÁI NIỆM TOÁN HỌC 11 1.1.1 Số học số nguyên 11 1.1.2 Số nguyên tố 13 1.1.3 Thuật toán xác suất 15 1.1.4 Độ phức tạp tính tốn 15 1.2 HỆ MÃ HOÁ 17 1.2.1 Sơ đồ Hệ mã hoá 17 1.2.2 Hệ mã hố khóa đối xứng 18 1.2.3 Hệ mã hố khóa cơng khai 20 1.3 CHỮ KÝ SỐ 22 1.3.1 Sơ đồ chữ ký 22 1.3.2 Đại diện thông điệp 22 1.3.3 Hàm băm 23 1.3.4 Các bƣớc để tạo chữ ký điện tử 24 1.3.5 Định danh ngƣời gửi kiểm tra tính tồn vẹn thông điệp 25 1.3.6 Phân loại chữ ký điện tử 25 1.4 CHỨNG CHỈ SỐ 29 1.4.1 Giới thiệu chứng số 29 1.4.2 Chứng khố cơng khai 30 1.4.3 Cấp phát chứng CA 33 1.4.4 Thời hạn tồn việc thu hồi chứng 34 1.4.5 Khuôn dạng chứng X.509 35 Chƣơng CƠ SỞ HẠ TẦNG BẢO ĐẢM ATTT TRONG GDĐT 44 2.1 VẤN ĐỀ BẢO ĐẢM ATTT TRONG GDĐT 44 2.1.1 Yêu cầu 44 2.1.2 Giải pháp bảo đảm ATTT 45 2.1.3 Công cụ bảo đảm ATTT 46 2.2 HẠ TẦNG CƠ SỞ PKI 50 2.2.1 Khái niệm 50 2.2.2 Khả vai trò PKI 50 2.2.3 Các thành phần kỹ thuật 50 2.3 MỘT SỐ CÔNG CỤ, PHƢƠNG TIỆN VÀ GIAO THỨC CỦA PKI 51 2.3.1 Công nghệ SSL 51 2.3.2 Giao thức truyền tin an toàn tầng DataLink 71 2.3.3 Giao thức truyền tin an toàn tầng ứng dụng 72 Chƣơng XÂY DỰNG MƠ HÌNH ĐẢM BẢO ATTT TRONG GDĐT PHỤC VỤ CƠNG TÁC HÀNH CHÍNH 74 3.1 CÁC LOẠI HÌNH GIAO DỊCH CỦA CƠ QUAN NHÀ NƢỚC 74 1.1.1 Giao dịch G4C 75 1.1.2 Giao dịch G2B 75 1.1.3 Giao dịch G2G 75 1.1.4 Giao dịch G2E 75 3.2 VẤN ĐỀ ĐẢM BẢO ATTT TRONG GIAO DỊCH HÀNH CHÍNH 76 3.2.1 Thực trạng 76 3.2.2 Một số hiểm hoạ an tồn thơng tin 77 3.2.3 Một số kiểu công 78 3.2.4 Các dịch vụ an toàn 79 3.2.5 Các chế an toàn 80 3.2.6 Quản lý an toàn 82 3.2.7 Một số biện pháp đảm bảo ATTT 83 3.3 MƠ HÌNH CHỨNG THỰC ĐIỆN TỬ 85 3.3.1 Yêu cầu Hệ thống 85 3.3.2 Chứng thực điện tử 85 3.3.3 Một số mơ hình kiến trúc CA [19] 87 3.3.4 Đề xuất Mơ hình kiến trúc hệ thống CA [19] 88 3.3.5 Mơ hình tích hợp hệ thống ứng dụng với kiến trúc CA 91 3.3.6 Khả mở rộng hệ thống 93 3.4 MƠ HÌNH KỸ THUẬT 94 3.4.1 Giải pháp kỹ thuật 94 3.4.2 Mô hình kiến trúc kỹ thuật cho CA 94 3.4.3 Giới thiệu công nghệ OpenCA 97 3.5 MƠ HÌNH QUẢN LÝ CƠ CHẾ AN TOÀN 99 3.5.1 Quản lý khoá 99 3.5.2 Quản lý mã hoá 101 3.5.3 Quản lý kiểm soát truy nhập 101 3.5.4 Quản lý toàn vẹn liệu 105 3.5.5 Quản lý xác thực 106 3.5.6 Quản lý kiểm soát định tuyến 109 3.5.7 Quản lý chứng thực 111 Chƣơng HỆ THỐNG THỬ NGHIỆM 112 4.1 ĐẶT VẤN ĐỀ 112 4.2 MƠ HÌNH VÀ CÁC THÀNH PHẦN CỦA HỆ THỐNG 112 4.2.1 Yêu cầu kỹ thuật 112 4.2.2 Quản lý cấp phát chứng số 112 4.2.3 Ứng dụng việc ký, xác nhận mã hố thơng điệp 115 4.4 KẾT QUẢ CHƢƠNG TRÌNH 117 KẾT LUẬN 118 TÀI LIỆU THAM KHẢO 119 Phụ lục: MỘT SỐ QUY ĐỊNH CỦA PHÁP LUẬT VIỆT NAM BẢO ĐẢM XÂY DỰNG VÀ TRIỂN KHAI HỆ THỐNG GDĐT 120 Luật giao dịch điện tử 120 Nghị định chữ ký số chứng thƣ số 122 Một số quy định khác công tác QLHCNN 123 3.1 Quy chế thực chế “một cửa” CQHC địa phƣơng 123 3.2 Nghị định Chính phủ cơng tác Văn thƣ 124 3.3 Pháp lệnh Bảo vệ bí mật Nhà nƣớc 124 3.4 Nghị định quy định thi hành Pháp lệnh bảo vệ bí mật Nhà nƣớc 124 GIẢI THÍCH MỘT SỐ THUẬT NGỮ VÀ TỪ VIẾT TẮT Từ viết tắt ARP Viết đầy đủ DNSSEC Address Resolution Protocol An tồn thơng tin Certification Authority Common Gateway Interface Cơng nghệ thơng tin Cơ quan Hành Cơ quan nhà nƣớc Cơ sở liệu Dynamic Host Configuration Protocol Dynamic Link Library DNS Security EE End Entity Firewall Tƣờng lửa ATTT CA CGI CNTT CQHC CQNN CSDL DHCP DLL Giải thích Giao thức phân giải địa An tồn thơng tin Làm nhiệm vụ quản lý cấp phát thu hồi chứng số Là phƣơng pháp cho phép giao tiếp server chƣơng trình nhờ định dạng đặc tả thông tin Công nghệ thông tin Cơ quan Hành Cơ quan nhà nƣớc Cơ sở liệu Hệ thống giao thức cấu hình IP động Thƣ viện liên kết động Là chế bảo mật cách cho phép Website kiểm tra tên miền họ chịu trách nhiệm địa IP theo chữ ký điện tử thuật tốn mã hố cơng khai Ngƣời sử dụng cuối (có thể thiết bị phần cứng hay module phần mềm ví dụ nhƣ ActiveX, Java Applet) Là kỹ thuật đƣợc tích hợp vào hệ thống mạng để chống lại truy cập trái phép nhằm bảo vệ nguồn thông tin nội nhƣ hạn chế xâm nhập vào hệ thống thông tin không mong muốn FTP G2B G2E G2G G4C GDĐT HTTP HTTPS IMAP JSP LDAP LRA MAC File Transfer Giao thức truyền file qua mạng Protocol Goverment to Chính phủ với Doanh nghiệp Business Goverment to Chính phủ với Cơng chức Employee Goverment to Chính phủ với Chính phủ Government Goverment for Chính phủ với Cơng dân Citizen Giao dịch Giao dịch điện tử điện tử Hypertext Giao thức truyền siêu văn Transfer Protocol Hypertext Giao thức truyền siêu văn qua kết nối an Transfer tồn Khác với HTTP, mặc định cổng TCP bổ Protocol sung thêm tầng mã hoá/ xác thực HTTP Secure TCP Internet Giao thức truy cập truyền thông điệp Internet Mesaging Access Protocol JavaServer Là công nghệ Java cho phép nhà phát triển Pages tạo nội dung HTML, XML hay số định dạng khác trang web Công nghệ cho phép nhúng mã Java số hành động xử lý đƣợc định trƣớc (pre-defined actions) vào nội dung tĩnh trang web Lightweight Giao thức truy nhập dịch vụ thƣ mục theo chuẩn Directory X.500 Thông thƣờng CA sử dụng dịch vụ thƣ mục Access để lƣu trữ liệu chứng số Protocol Local Là thành phần tuỳ chọn PKI, trì Registration định danh ngƣời dùng từ CA phát Authority hành chứng số Message Mã xác thực thông điệp MITM Authentication Code Man-in-themiddle attack NNTP Network News Transfer Protocol PGP Pretty Good Privacy Public Key Certificate Public Key Certificate Standards Public Key Infrastructure Quản lý hành nhà nƣớc Registration Authority PKC PKCS PKI QLHCNN RA RFC S/MIME SMTP SSL Tấn công trung chuyển Kẻ cơng giả mạo ngƣời nhận nhận gói tin trƣớc chủ nhân thật nhận đƣợc Giao thức ứng dụng Internet, đƣợc sử dụng chủ yếu việc đọc post tin dạng Usenet qua mạng Ngƣời đọc ngƣời post tin truy nhập vào máy chủ hosting, đọc báo cách trực tiếp từ ổ đĩa cục Là ứng dụng đƣợc dùng phổ biến, cho phép mã hóa liệu Là chữ ký số lên khố cơng khai ngƣời dùng Thơng thƣờng gọi tắt chứng số Các chuẩn chứng khoá cơng khai Cơ sở hạ tầng mật mã khố cơng khai Quản lý hành nhà nƣớc Làm nhiệm vụ trung gian ngƣời sử dụng CA RA nhận yêu cầu ngƣời sử dụng, kiểm tra chuyển yêu cầu lên cho CA, đồng thời nhận kết từ CA chuyển giao lại cho ngƣời sử dụng Request for Là tập hợp tài liệu nói chuẩn, nghi thức cho Internet Comments Cung cấp dịch vụ bảo mật thông điệp cho Security/ Multipurpose ứng dụng truyền thông điệp điện tử Internet Mail Extensions Simple Mail Transfer Protocol Secure Sockets Layer Giao thức dùng để gửi Mail từ Mail Client đến Mail Server SSL giao thức đa mục đích để tạo giao tiếp hai chƣơng trình ứng dụng cổng định trƣớc nhằm mã hố tồn thông tin gửi/ nhận TCP Telnet TLS UDP VA VPN Transmission Là giao thức cốt lõi giao thức Control TCP/IP Giao thức đảm bảo chuyển giao liệu Protocol tới nơi nhận cách đáng tin cậy thứ tự TCP phân biệt liệu nhiều ứng dụng (chẳng hạn, dịch vụ Web dịch vụ thƣ điện tử) đồng thời chạy máy chủ Teletype Giao thức mạng đƣợc dùng kết nối với Network Internet kết nối mạng máy tính cục LAN Mục đích giao thức TELNET cung cấp phƣơng tiện truyền thông chung chung, có tính lƣỡng truyền, dùng độ rộng bit, định hƣớng byte Transport Là giao thức đảm bảo bí mật ứng Layer Security dụng giao dịch điện tử với ngƣời dùng máy khách máy chủ giao dịch với nhau, đảm bảo khơng có thành phần thứ nghe sửa đổi thơng điệp TLS cải tiến SSL User Datagram Giao thức vận chuyển khơng kết nối Dùng UDP, Protocol chƣơng trình mạng máy tính gởi liệu ngắn đƣợc gọi datagram tới máy khác UDP không cung cấp tin cậy thứ tự truyền nhận mà TCP làm; gói liệu đến khơng thứ tự bị mà khơng có thông báo Tuy nhiên UDP nhanh hiệu mục tiêu nhƣ kích thƣớc nhỏ yêu cầu khắt khe thời gian Validation Là giải pháp phần mềm hồn chỉnh có khả Authority bảo mật, mở rộng xác nhận chứng số hợp lệ việc mở rộng hệ thống Vitual Private Là mạng riêng sử dụng hệ thống mạng công Network cộng (thƣờng Internet) để kết nối địa điểm ngƣời sử dụng từ xa với LAN trụ sở trung tâm Thay dùng kết nối phức tạp nhƣ đƣờng dây thuê bao số, VPN tạo liên kết ảo đƣợc truyền qua Internet mạng riêng tổ chức với địa điểm ngƣời dùng xa MỞ ĐẦU Ngày mà nhu cầu giao dịch trực tuyến ngày tăng cao mối đe dọa hậu tiềm ẩn thông tin giao dịch điện tử (GDĐT) lại trở nên lớn Nguy rủi ro thông tin GDĐT đƣợc thể tiềm ẩn nhiều khía cạnh khác nhau, nhƣ: ngƣời sử dụng, kiến trúc hệ thống công nghệ thông tin, sách bảo mật thơng tin, cơng cụ quản lý kiểm tra, quy trình phản ứng, Một nguy tiềm tàng nguy hiểm mạng máy tính mở đạo tặc tin học, xuất từ phía bọn tội phạm giới tình báo Nguy hiểm xuất phát từ phía kẻ có chun mơn cao sử dụng kỹ thuật tinh vi (nhƣ đoán mật khẩu, khai thác điểm yếu hệ thống chƣơng trình hệ thống, giả mạo địa IP, đón lõng trạm đầu cuối, cài rệp điện tử, virus máy tính phá hoại CSDL, sửa nội dung thông tin theo ý đồ đen tối chúng, chí cần cịn làm tắc nghẽn kênh truyền, ), quan, doanh nghiệp mà Chính phủ ảnh hƣởng tác hại không riêng lĩnh vực kinh tế mà lĩnh vực trị, an ninh quốc phịng Để giải vấn đề này, cần nghiên cứu xây dựng hệ thống đảm bảo an tồn thơng tin cho hệ thống giao dịch điện tử sở quy định hành pháp luật Việt Nam Song song với đời sớm giải pháp cơng nghệ bảo đảm an tồn thơng tin nói chung bảo đảm an tồn truyền tin mạng máy tính nói riêng, lý thuyết độ phức tạp tính tốn, lý thuyết mật mã an tồn thông tin không ngừng đƣợc nghiên cứu phát triển ngày trở nên phong phú, hoàn thiện Đây sở khoa học quan trọng thiếu việc giải toán bảo đảm an tồn thơng tin giao dịch điện tử Đảm bảo an tồn thơng tin giao dịch điện tử nói chung giao dịch điện tử phục vụ cơng tác quản lý hành Nhà nƣớc nói riêng vấn đề có tính định đến thành công hiệu việc triển khai hệ thống ứng dụng CNTT quan nhà nƣớc Do việc nghiên cứu đề xuất xây dựng mơ hình hệ thống đảm bảo an tồn thơng tin giao dịch điện tử việc làm cấp bách Cần phải xây dựng đƣợc hệ thống đảm bảo an tồn thơng tin giao dịch điện tử việc triển khai xây dựng ứng dụng giao dịch điện tử thực hiệu tiến tới xây dựng thành cơng Chính quyền điện tử/ Chính phủ điện tử theo nghĩa 10 Luận văn đề cập đến thực trạng đảm bảo an tồn thơng tin giao dịch điện tử quan Nhà nƣớc nay, nghiên cứu lý thuyết, cơng nghệ đảm bảo an tồn thông tin hành lang pháp lý giao dịch điện tử, từ đề xuất xây dựng mơ hình đảm bảo an tồn thơng tin giao dịch điện tử quan nhà nƣớc hệ thống ứng dụng mô Luận văn gồm chương phụ lục: Chương 1: Các khái niệm lý thuyết mật mã an tồn thơng tin Trong chƣơng đƣa khái niệm toán học bản, định nghĩa hệ thống lại vấn đề lý thuyết sở đảm bảo an tồn thơng tin giao dịch điện tử nhƣ: hệ mật mã, chữ ký điện tử, chứng số Chương 2: Cơ sở hạ tầng đảm bảo ATTT GDĐT Nêu vấn đề đảm bảo ATTT GDĐT, vai trò sở hạ tầng mật mã khố cơng khai hệ thống GDĐT Trình bày khái niệm, thành phần kỹ thuật bản, công cụ, phƣơng tiện giao thức Chương 3: Xây dựng mơ hình đảm bảo ATTT GDĐT phục vụ cơng tác Hành Nhà nƣớc Nêu lên loại hình giao dịch điện tử quan Nhà nƣớc đƣợc quy định hành, đánh giá thực trạng giao dịch điện tử quan Hành Nhà nƣớc nay, đề xuất xây dựng mơ hình hệ thống đảm bảo an tồn thơng tin phục vụ giao dịch điện tử quan Hành Nhà nƣớc đảm bảo quy chuẩn kỹ thuật quy định luật pháp Việt Nam Chương 4: Xây dựng hệ thống thử nghiệm, mô hoạt động giao dịch điện tử quan Hành Phụ lục: Một số quy định Nhà nƣớc đảm bảo cho việc xây dựng triển khai hệ thống giao dịch điện tử: Nêu vắn tắt sở pháp lý phục vụ xây dựng triển khai hệ thống giao dịch điện tử Việt Nam (Luật giao dịch điện tử; Nghị định chữ ký số chứng thƣ số số quy định khác cơng tác Quản lý Hành Nhà nƣớc có liên quan) 110 3.5.6.2 An ninh cho giao thức ARP 1) Giới thiệu giao thức ARP Có thể coi giao thức ARP thành phần cấp thấp mạng internet ARP đƣợc hoàn thành từ năm 1982 công bố RFC-826 Trong 23 năm qua, ngành công nghệ thông tin thay đổi nhiều Các phần mềm khai thác lỗi đời khiến điểm yếu tiềm ẩn ARP trở nên nguy hiểm giao thức ARP trở thành miếng mồi ngon cho tin tặc khai thác 2) Biện pháp bảo vệ ARP Hiện tồn giải pháp, switch Cisco Đƣợc quảng cáo ngăn chặn đƣợc phần cơng ARP tồn mạng triển khai việc phân phối địa IP qua DHCP Tuy nhiên mạng LAN khơng dùng DHCP giải pháp không thực đƣợc Hơn nữa, giải pháp khơng tƣơng thích với IPSec, hạn chế việc xiết chặt an ninh mạng cần thiết Vì vậy, để đảm bảo an ninh ethernet, ta phải cải tiến giao thức ARP tiếp tục chung sống với giao thức khơng an tồn Cịn phƣơng án đƣợc đề xuất - Committed Address Resolution Protocol (CARP) [16] Đây phƣơng án nâng cấp ARP hiệu Hơn nữa, CARP sử dụng X.509, phù hợp với PKI phổ biến thị trƣờng Phƣơng án không cần ngƣời gửi ký vào thông điệp gửi đi, mà ngƣời chịu trách nhiệm cho mạng ethernet tạo sẵn văn xác thực, cho phép địa vật lý sử dụng địa mạng thời gian định, tuỳ chọn Văn xác thực đƣợc tái sử dụng suốt thời gian đó, giảm nhu cầu tính tốn, cho phép máy trả lời thay máy khác cần thiết, hữu dụng cho thiết bị chƣa kịp nâng cấp từ ARP thông thƣờng lên CARP Điều khiến cho việc triển khai CARP dễ dàng 111 3.5.7 Quản lý chứng thực Chứng thực SSL Server: Cho phép client xác thực đƣợc server muốn kết nối Lúc này, phía trình duyệt sử dụng kỹ thuật mã hóa công khai để chắn chứng publicID server có giá trị đƣợc cấp phát CA (Certificate Authority) danh sách CA đáng tin cậy client Chứng thực SSL Client: Cho phép server xác thực đƣợc client muốn kết nối Phía server sử dụng kỹ thuật mã hoá khoá công khai để kiểm tra chứng client publicID đúng, đƣợc cấp phát CA danh sách CA đáng tin cậy Server 112 Chƣơng HỆ THỐNG THỬ NGHIỆM 4.1 ĐẶT VẤN ĐỀ Một nội dung quan trọng giao dịch điện tử quan nhà nƣớc việc xây dựng triển khai ứng dụng dịch vụ hành cơng Đây nội dung đƣợc Chính phủ tập trung đạo thực thời gian tới [15] Hiện phạm vi nƣớc, đa số đơn vị triển khai phần mềm dịch vụ công dừng lại việc phổ biến, cơng khai hố thơng tin, chƣa thực đƣợc chức hệ thống giải dịch vụ công trực tuyến Để xây dựng đƣợc hệ thống phần mềm dịch vụ cơng theo nghĩa cần giải đƣợc hai tốn bản, là: “Ký số” “mã hóa thơng điệp” Do thời gian có hạn khuôn khổ cho phép luận văn tốt nghiệp, tác giả tập trung xây dựng hệ thống mô dựa phần mềm mã nguồn mở, thực chức sau: - Quản lý cấp phát chứng số công cụ phần mềm mã nguồn mở TinyCA - Sử dụng chứng số việc ký, xác thực mã hóa thơng điệp 4.2 MƠ HÌNH VÀ CÁC THÀNH PHẦN CỦA HỆ THỐNG 4.2.1 Yêu cầu kỹ thuật Yêu cầu thông số kỹ thuật máy tính đáp ứng đƣợc việc cài đặt Hệ điều hành Linux 4.2.2 Quản lý cấp phát chứng số Các bước thực chức bản:  Tạo CA: RootCA cập nhật đầy đủ thông tin vào form “Create a new CA” để tạo CA 113  Yêu cầu cấp phát chứng số: Ngƣời dùng cập nhật đầy đủ thông tin vào form “Create a new Certificate Request” để yêu cầu CA cấp chứng số 114  Ký chứng số: CA ký vào chứng để xác thực tính hợp lệ chứng hệ thống ứng dụng Nhập khóa CA thời hạn tồn chứng hệ thống ứng dụng  Xuất khóa: Có thể xuất khóa dƣới nhiều định dạng khác Ví dụ khoá xuất nhƣ sau: trungvd@thanhhoa.gov.vn-key.pem/ trungvd@thanhhoa.gov.vn-key.der/ trungvd@thanhhoa.gov.vn-key.p12 115  Xuất chứng số: Tƣơng tự việc xuất khóa, ta xuất chứng số 4.2.3 Ứng dụng việc ký, xác nhận mã hố thơng điệp (Sử dụng phần mềm mã nguồn mở GnuPG để mô phỏng)  Ký thông điệp: Nếu A muốn gửi thông điệp ký đến B, trƣớc tiên A phải có khố cơng khai B, khố cơng khai đƣợc CA cấp phát nhƣ mô - Giả sử khố cơng khai B trungvd@thanhhoa.gov.vn-key - A nhập khố cơng khai B vào sở liệu A lệnh: import trungvd@thanhhoa.gov.vn-key - Để đảm bảo A tin tƣởng B, A khởi tạo ký nhận cho khoá B sign-key “trungvd@thanhhoa.gov.vn” (trungvd@thanhhoa.gov.vn Realname B) - Xem Realname B sau import vào CSDL: list-key Chƣơng trình yêu cầu A nhập passphare A để xác nhận A muốn gửi liệu mã hoá cho B, thực sau: -sear "trungvd@thanhhoa.gov.vn" data_sendto_B Chƣơng trình yêu cầu A xác nhận với passphare chọn Cuối sinh file data_sendto_B.asc đƣợc mã hóa Sau đó, A gửi cho B public key A a_key.asc file liệu đƣợc mã hóa data_sendto_B.asc 116  Xác thực chữ ký: Để đọc liệu A gửi trƣớc hết B phải import sau để mở file liệu B cần thực hiện: a_key.asc vào database B, -d data_sendto_B.asc Chƣơng trình u cầu B nhập passphare (khóa cá nhân B) để xác nhận file data_sendto_B đƣợc sinh với liệu ban đầu B biết đƣợc thông tin A gửi cho  Mã hố thơng điệp: Giả sử A có sẵn cặp khố dùng để mã hoá cho file secret_data, ta làm nhƣ sau: -r "a_realname" -e secret_data (a_realname đƣợc A nhập lúc sinh key) Chƣơng trình sinh file liệu đƣợc mã hóa với tên secret_data.gpg Để giải mã trở lại, ta thực hiện: -d secret_data.gpg Chƣơng trình yêu cầu A nhập passpharse để xác nhận Nếu xuất file secret_data ban đầu 117 4.4 KẾT QUẢ CHƢƠNG TRÌNH  Cấp phát chứng số cho ngƣời dùng cuối công cụ TinyCA hệ điều hành Linux  Ngƣời gửi văn sử dụng chứng số để ký văn  Ngƣời nhận dùng chứng số để xác thực chữ ký văn  Tổ chức, cá nhân sử dụng chứng số để mã hóa văn truyền mạng cơng cộng 118 KẾT LUẬN Luận văn đề cập đến vấn đề kỹ thuật nóng hổi Đảm bảo an tồn thơng tin giao dịch điện tử Đây vấn đề mẻ hầu hết quan nhà nƣớc, nhiên muốn xây dựng hệ thống giao dịch điện tử theo nghĩa lại khơng thể thiếu đƣợc yếu tố kỹ thuật Do việc nghiên cứu xây dựng thành công hệ thống đảm bảo an tồn thơng tin giao dịch điện tử việc làm có ý nghĩa, có giá trị khoa học tính thực tiễn cao giai đoạn Luận văn sâu tìm hiểu mơ hình kỹ thuật đảm bảo an toàn giao dịch điện tử số sản phẩm thƣơng mại, sản phẩm mã nguồn mở [19], từ đề xuất xây dựng mơ hình kỹ thuật ứng dụng thực tế quan Hành Việt Nam Kết nghiên cứu sản phẩm luận văn: - Tác giả tổng hợp hệ thống lại sở lý thuyết mật mã an tồn thơng tin, nghiên cứu hạ tầng sở PKI mơ hình áp dụng thực tế đơn vị HCNN Việt Nam - Đánh giá, phân tích thực trạng hoạt động GDĐT phục vụ cơng tác Hành nay, từ đề xuất xây dựng mơ hình triển khai ứng dụng giao dịch điện tử phục vụ cơng tác Hành chính, đảm bảo u cầu an tồn thơng tin theo quy định hành pháp luật - Tìm hiểu số phần mềm mã nguồn mở (OpenCA, GnuPG, TinnyCA,…), ứng dụng để mô hệ thống thử nghiệm Những tồn hướng phát triển: Do thời gian trình độ có hạn, chủ đề luận văn tƣơng đối rộng tác giả muốn trọng vào mơ hình ứng dụng, nên chƣa thực sâu nghiên cứu đề xuất kỹ thuật Hƣớng phát triển luận văn nghiên cứu đánh giá, cải tiến giải pháp kỹ thuật đảm bảo ATTT tiên tiến giới, từ hồn thiện tối ƣu hố mơ hình ứng dụng, đồng thời mở rộng phạm vi đối tƣợng nghiên cứu khối quan HCNN 119 TÀI LIỆU THAM KHẢO “Luật Giao dịch điện tử” đƣợc Quốc hội thông qua ngày 29/11/2005, luật có hiệu lực từ ngày 01/03/2006 “Luật Cơng nghệ thơng tin”, có hiệu lực từ ngày 01/01/2007 Quyết định 181/2003/QĐ-TTg Thủ tƣớng Chính phủ việc ban hành quy chế thực chế “một cửa” quan hành địa phƣơng Nghị định 110/2004/NĐ-CP Chính phủ cơng tác Văn thư Pháp lệnh Bảo vệ bí mật nhà nước số 30/2000/PL-UBTVQH10 ngày 28/12/2000 Uỷ ban Thƣờng vụ Quốc hội Nghị định số 33/2002/NĐ-CP ngày 28/03/2002 Chính phủ quy định chi tiết thi hành Pháp lệnh Bảo vệ bí mật Nhà nƣớc Nghị định 26/2007/NĐ-CP, ban hành ngày 15/02/2007 quy định chi tiết thi hành Luật Giao dịch điện tử chữ ký số dịch vụ chứng thực chữ ký số Phan Đình Diệu (2006), “Lý thuyết mật mã An tồn thơng tin”, Nhà xuất Đại học Quốc gia Hà Nội Trịnh Nhật Tiến (12-2005), Báo cáo khoa học đề tài “Nghiên cứu xây dựng Cơ sở hạ tầng mật mã khóa cơng khai bảo đảm an tồn truyền tin mạng máy tính Thành phố Hà Nội” 10 Nguyễn Ngọc Tuấn, Hồng Phúc (2005), “Công nghệ bảo mật”, Nhà xuất thống kê 11 Nguyễn Nam Hải, Đào Thị Hồng Vân, Phạm Ngọc Thúy (2004), “Chứng thực thương mại điện tử”, Nhà xuất Khoa học Kỹ thuật 12 D.Stinson (1995), “Cryptography: Theory and Practice”, CRC Press 13 B.Schneider (1995), “Applied Cryptography”, 2th edition, Wiley 14 Lê Hồng Hà, Tổng thƣ ký Hội Tin học - Viễn thông Hà Nội, thành viên Ban soạn thảo Luật CNTT “An toàn thông tin giao dịch điện tử” 15 Nghị định 64/2007/NĐ-CP, ban hành ngày 10/04/2007 việc ứng dụng CNTT hoạt động quan nhà nƣớc 16 D Rechard Kuhn, Vincent C Hu, W Timothy Polk, Shu–Jen Chang (2001), “Introduction to Public Key Technology and the Federal PKI Infrastructure” NIST 17 An RSA Data Security White Paper “Understanding Public Key Infrastructure” RSA Data Security Inc 18 “Daily official gazette free of charge”, “Electronic sale by credit card of any official Spanish publication” The Official State Gazette (BOE) Ministry of the Presidency (http://www.boe.es) 19 Website http://www.rsa.com; http://selab.edu.ms; http://www.openca.org 120 Phụ lục: MỘT SỐ QUY ĐỊNH CỦA PHÁP LUẬT VIỆT NAM BẢO ĐẢM XÂY DỰNG VÀ TRIỂN KHAI HỆ THỐNG GDĐT Luật giao dịch điện tử Ngày 29/11/2005 Quốc hội nƣớc cộng hòa xã hội chủ nghĩa Việt Nam thông qua luật giao dịch điện tử số 51/2005/QH11, luật có hiệu lực từ ngày 01/03/2006 [1] Luật có chƣơng 54 điều, phạm vi điều chỉnh chủ yếu giao dịch điện tử hoạt động quan Nhà nƣớc, lĩnh vực dân sự, kinh doanh, thƣơng mại số lĩnh vực khác pháp luật quy định Các quy định luật không áp dụng việc cấp giấy chứng nhận quyền sử dụng đất, quyền sở hữu nhà bất động sản khác, văn thừa kế, giấy đăng ký kết hôn, định ly hôn, giấy khai sinh, giấy khai tử, hối phiếu giấy tờ có giá khác Luật đƣợc áp dụng quan, tổ chức, cá nhân lãnh thổ Việt Nam lựa chọn giao dịch phƣơng tiện điện tử Chƣơng V luật quy định Giao dịch điện tử quan Nhà nƣớc gồm điều (từ điều 39-43), cụ thể nhƣ sau: Điều 39 Các loại hình giao dịch điện tử quan nhà nƣớc Giao dịch điện tử nội quan nhà nƣớc Giao dịch điện tử quan nhà nƣớc với Giao dịch điện tử quan nhà nƣớc với quan, tổ chức, cá nhân Điều 40 Nguyên tắc tiến hành giao dịch điện tử quan nhà nƣớc Các nguyên tắc quy định khoản 3, Điều Luật Việc giao dịch điện tử quan nhà nƣớc phải phù hợp với quy định Luật quy định khác pháp luật có liên quan Cơ quan nhà nƣớc phạm vi nhiệm vụ, quyền hạn chủ động thực phần toàn giao dịch nội quan với quan khác Nhà nƣớc phƣơng tiện điện tử Căn vào điều kiện phát triển kinh tế - xã hội tình hình cụ thể, quan nhà nƣớc xác định lộ trình hợp lý sử dụng phƣơng tiện điện tử loại hình giao dịch quy định Điều 39 Luật Cơ quan, tổ chức, cá nhân có quyền lựa chọn phƣơng thức giao dịch với quan nhà nƣớc quan nhà nƣớc đồng thời chấp nhận giao dịch theo phƣơng thức truyền thống phƣơng tiện điện tử, trừ trƣờng hợp pháp luật có quy định khác 121 Khi tiến hành giao dịch điện tử, quan nhà nƣớc phải quy định cụ thể về: a) Định dạng, biểu mẫu thông điệp liệu; b) Loại chữ ký điện tử, chứng thực chữ ký điện tử trƣờng hợp giao dịch điện tử cần có chữ ký điện tử, chứng thực chữ ký điện tử; c) Các quy trình bảo đảm tính tồn vẹn, an tồn bí mật giao dịch điện tử Việc cung cấp dịch vụ công quan nhà nƣớc dƣới hình thức điện tử đƣợc xác lập sở quy định quan nhƣng khơng đƣợc trái với quy định Luật quy định khác pháp luật có liên quan Điều 41 Bảo đảm an toàn, bảo mật lƣu trữ thông tin điện tử quan nhà nƣớc Định kỳ kiểm tra bảo đảm an tồn hệ thống thơng tin điện tử quan trình giao dịch điện tử Bảo đảm bí mật thơng tin liên quan đến giao dịch điện tử, không đƣợc sử dụng thông tin vào mục đích khác trái với quy định việc sử dụng thơng tin đó, khơng tiết lộ thơng tin cho bên thứ ba theo quy định pháp luật Bảo đảm tính tồn vẹn thơng điệp liệu giao dịch điện tử tiến hành; bảo đảm an toàn vận hành hệ thống mạng máy tính quan Thành lập sở liệu giao dịch tƣơng ứng, bảo đảm an tồn thơng tin có biện pháp dự phịng nhằm phục hồi đƣợc thông tin trƣờng hợp hệ thống thông tin điện tử bị lỗi Bảo đảm an tồn, bảo mật lƣu trữ thơng tin theo quy định Luật quy định khác pháp luật có liên quan Điều 42 Trách nhiệm quan nhà nƣớc trƣờng hợp hệ thống thông tin điện tử bị lỗi Trong trƣờng hợp hệ thống thông tin điện tử quan nhà nƣớc bị lỗi, khơng bảo đảm tính an tồn thơng điệp liệu quan có trách nhiệm thông báo cho ngƣời sử dụng biết cố áp dụng biện pháp cần thiết để khắc phục Cơ quan nhà nƣớc phải chịu trách nhiệm trƣớc pháp luật không tuân thủ quy định khoản Điều 122 Điều 43 Trách nhiệm quan, tổ chức, cá nhân giao dịch điện tử với quan nhà nƣớc Cơ quan, tổ chức, cá nhân tiến hành giao dịch điện tử với quan nhà nƣớc có trách nhiệm tuân thủ quy định Luật này, quy định giao dịch điện tử quan nhà nƣớc có thẩm quyền ban hành quy định khác pháp luật có liên quan Nghị định chữ ký số chứng thƣ số Ngày 15/02/2007, Thủ tƣớng Chính phủ ký ban hành nghị định số 26/2007/NĐ-CP quy định chi tiết thi hành Luật Giao dịch điện tử chữ ký số dịch vụ chứng thực chữ ký số [7] Nghị định gồm 11 chƣơng 73 điều, phạm vi điều chỉnh quy định chi tiết chữ ký số chứng thƣ số; việc quản lý, cung cấp sử dụng dịch vụ chứng thực chữ ký số Nghị định áp dụng quan, tổ chức cung cấp dịch vụ chứng thực chữ ký số quan, tổ chức, cá nhân lựa chọn sử dụng chữ ký số dịch vụ chứng thực chữ ký số giao dịch điện tử Nghị định sở pháp lý quan trọng giúp tổ chức, cá nhân thực thi hệ thống giao dịch điện tử Ngoài việc quy định trách nhiệm quyền hạn tổ chức, cá nhân tham gia dịch vụ chứng thực chữ ký số, công tác quản lý Nhà nƣớc dịch vụ chứng thực chữ ký số,… nghị định quy định cụ thể hoạt động cung cấp dịch vụ chứng thực chữ ký số Điều giúp tổ chức, cá nhân tiến hành xây dựng, cung cấp, sử dụng dịch vụ chứng thực chữ ký số cách thống luật 123 Một số quy định khác công tác QLHCNN 3.1 Quy chế thực chế “một cửa” CQHC địa phƣơng Ngày 04/09/2003, Thủ tƣớngChính phủ ký định số 181/2003/QĐ-TTg ban hành quy chế thực chế “một cửa” quan Hành Nhà nƣớc địa phƣơng Quy chế gồm chƣơng 18 điều quy định việc áp dụng, triển khai thực chế “một cửa” quy trình giải cơng việc theo chế “một cửa” quan hành nhà nƣớc địa phƣơng [3] Chương I Gồm điều, nêu quy định chung, nguyên tắc, đối tƣợng phạm vi áp dụng quy chế Chương II Gồm điều, quy định trách nhiệm triển khai chế cửa Đây sở pháp lý quan trọng để xây dựng triển khai thành công hệ thống thơng tin đơn vị Hành Nhà nƣớc Chương III Gồm điều, quy định quy trình giải công việc theo chế cửa Quy định sở để xây dựng quy trình nghiệp vụ hệ thống giao dịch điện tử quan Nhà nƣớc với công dân quan Nhà nƣớc với Chương IV Gồm điều, quy định điều khoản thi hành quy chế 124 3.2 Nghị định Chính phủ cơng tác Văn thƣ Nghị định số 110/2004/NĐ-CP ban hành ngày 08/04/2004 Chính phủ cơng tác Văn thƣ có chƣơng 36 điều, quy định cụ thể cơng tác soạn thảo, ban hành văn bản; quản lý văn tài liệu khác hình thành trình hoạt động quan, tổ chức; quản lý sử dụng dấu công tác văn thƣ [4] Nghị định đƣợc áp dụng quan nhà nƣớc, tổ chức trị, tổ chức trị - xã hội, tổ chức xã hội, tổ chức xã hội - nghề nghiệp, tổ chức kinh tế đơn vị vũ trang nhân dân 3.3 Pháp lệnh Bảo vệ bí mật Nhà nƣớc Ngày 28/12/2000, Chủ tịch quốc hội ký ban hành pháp lệnh bí mật Nhà nƣớc số 30/2000/PL-UBTVQH10, pháp lệnh gồm chƣơng, 22 điều nhằm nâng cao trách nhiệm quan nhà nƣớc, tổ chức trị, tổ chức trị - xã hội, tổ chức xã hội, tổ chức kinh tế, tổ chức khác, đơn vị vũ trang nhân dân công dân nhiệm vụ bảo vệ bí mật nhà nƣớc, góp phần xây dựng bảo vệ Tổ quốc [5] 3.4 Nghị định quy định thi hành Pháp lệnh bảo vệ bí mật Nhà nƣớc Nghị định số 33/2002/NĐ-CP, ban hành ngày 28/03/2002 Chính phủ quy định chi tiết thi hành pháp lệnh bảo vệ bí mật Nhà nƣớc gồm chƣơng, 32 điều [6] Nghị định quy định việc lập, định cơng bố danh mục bí mật Nhà nƣớc; Trách nhiệm quan, tổ chức công dân bảo vệ bí mật Nhà nƣớc Đây sở pháp lý quan trọng để xây dựng, triển khai hệ thống giao dịch điện tử, đặc biệt hệ thống giao dịch điện tử cho quan Nhà nƣớc ... dụng giao dịch điện tử thực hiệu tiến tới xây dựng thành cơng Chính quyền điện tử/ Chính phủ điện tử theo nghĩa 10 Luận văn đề cập đến thực trạng đảm bảo an tồn thơng tin giao dịch điện tử quan... cơng nghệ đảm bảo an tồn thơng tin hành lang pháp lý giao dịch điện tử, từ đề xuất xây dựng mơ hình đảm bảo an tồn thông tin giao dịch điện tử quan nhà nƣớc hệ thống ứng dụng mô Luận văn gồm chương... hình đảm bảo ATTT GDĐT phục vụ cơng tác Hành Nhà nƣớc Nêu lên loại hình giao dịch điện tử quan Nhà nƣớc đƣợc quy định hành, đánh giá thực trạng giao dịch điện tử quan Hành Nhà nƣớc nay, đề xuất