Đảm bảo an toàn cho các hệ thống thanh toán điện tử trực tuyến luận văn thạc sĩ

Nguyụn SINH THàNH giáo dục đào tạo trờng đại học bách khoa hà nội - Luận văn thạc sĩ khoa học NGàNH : CÔNG NGHệ THÔNG TIN ngành công nghệ thông tin ĐảM BảO AN TOàN CHO CáC Hệ ThốNG THANH TOáN ĐIệN Tử TrựC TUYếN NGUYễN SINH THàNH khoá 2006-2008 Hà NộI 2008 LUN VN TT NGHIP LỜI CẢM ƠN Đầu tiên xin gửi lời cảm ơn chân thành tới TS Vũ Tuyết Trinh, người giúp đỡ hướng dẫn tơi tận tình suốt thời gian thực luận văn Tôi xin trân trọng cảm ơn thầy, cô khoa Công nghệ Thông tin trường Đại học Bách Khoa Hà Nội truyền thụ cho kiến thức mà học suốt năm qua Tôi xin chân thành cảm ơn đến người bạn học lớp Cao học CNTT khóa 2006 – 2008, Viện Đào tạo Sau đại học, Trường Đại học Bách Khoa Hà Nội, người nghiên cứu, học tập, trao đổi giúp cho có nhiều ý tưởng để nghiên cứu hồn thiện luận văn Cuối xin gửi lời cảm ơn chân thành đến cộng đồng jpos.org, người thảo luận giải pháp kỹ thuật cơng nghệ, chia sẻ kinh nghiệm để tơi hồn thành luận văn Trong phạm vi Luận văn tốt nghiệp cao học khó diễn đạt mặt lý thuyết kĩ thuật, bên cạnh trình độ thân cịn hạn chế nên khơng thể tránh khỏi thiếu xót Tơi mong nhận nhiều ý kiến đóng góp để tiếp tục hồn thiện kiến thức giải pháp Hà Nội, ngày 20/11/2008 Nguyễn Sinh Thành Nguyễn Sinh Thành  Trang 1  LUẬN VĂN TỐT NGHIỆP LUẬN VĂN ĐƯỢC THỰC HIỆN TẠI BỘ MÔN CÁC HỆ THỐNG THÔNG TIN KHOA CÔNG NGHỆ THÔNG TIN - ĐẠI HỌC BÁCH KHOA HÀ NỘI VÀ PHỊNG GIẢI PHÁP PHẦN MỀM SỐ CƠNG TY ĐIỆN TOÁN VÀ TRUYỀN SỐ LIỆU (VDC) Nguyễn Sinh Thành  Trang 2  LUẬN VĂN TỐT NGHIỆP Mục lục LỜI CẢM ƠN Mục lục Danh mục từ viết tắt Danh mục hình vẽ Mở đầu .9 Chương Đặt vấn đề 10 1.1 Thương mại điện tử 10 1.1.1 Cơ sở hạ tầng cho TMĐT .12 1.1.2 TMĐT Việt Nam .13 1.1.3 Khuôn khổ pháp lý cho TMĐT Việt Nam 14 1.1.4 Yêu cầu TMĐT hệ thống tốn 15 1.2 Mơ hình chung ứng dụng TMĐT 16 1.3 Mục đích phương pháp nghiên cứu .17 1.3.1 Mục đích .17 1.3.2 Phương pháp nghiên cứu 17 1.4 Bố cục luận văn 19 Chương Phân tích hiểm họa an toàn hệ thống .21 2.1 Mục đích phân loại đảm bảo an toàn hệ thống 21 2.1.1 Mục đích .21 2.1.2 Tổng quan phương pháp đảm bảo an toàn, an ninh 27 2.2 Các hiểm họa an toàn hệ thống 28 2.2.1 Các hiểm họa máy khách 29 2.2.2 Các mối hiểm họa kênh truyền thông 31 2.2.3 Các hiểm họa máy chủ .33 Chương Các giải pháp đảm bảo an toàn hệ thống .38 3.1 Các nguyên tắc đảm bảo an toàn, an ninh 40 3.1.1 Chính sách đảm bảo an toàn, an ninh 40 3.1.2 Đảm bảo tính bí mật riêng tư giao dịch 41 3.1.3 Đảm bảo tính tồn vẹn giao dịch 43 Nguyễn Sinh Thành  Trang 3  LUẬN VĂN TỐT NGHIỆP 3.1.4 Đảm bảo tính sẵn sàng hệ thống 46 3.2 Các kỹ thuật đảm bảo an toàn, an ninh 48 3.2.1 Mã hóa đối xứng 50 3.2.2 Mã hóa khóa cơng khai 52 3.2.3 Xác thực thông điệp hàm băm 56 3.2.4 Chữ ký số 61 3.2.5 Chứng số 63 3.3 Đảm bảo an toàn hệ thống 66 3.3.1 Bảo vệ tài sản TMĐT .66 3.3.2 Bảo vệ máy khách (Client) .67 3.3.3 Bảo vệ kênh truyền thông 71 3.3.4 Bảo vệ máy chủ thương mại 75 3.4 Đánh giá so sánh giải pháp 80 3.4.1 Các điều kiện để đánh giá hệ mật mã 80 3.4.2 Độ an tồn thuật tốn .82 3.4.3 Đánh giá hệ mã sử dụng 83 Chương eBill - Hệ thống toán trực tuyến .86 4.1 Mơ hình hệ thống 86 4.2 Giới thiệu chuẩn ISO-8583 88 4.3 Mô tả hệ thống eBill 91 4.4 Phân tích hệ thống 95 4.5 Thiết kế hệ thống 95 4.5.1 Thiết kế kiến trúc hệ thống 95 4.5.2 Thiết kế đảm bảo an toàn, an ninh cho hệ thống 101 Chương Đánh giá .109 5.1 Đánh giá hệ thống 109 5.1.1 Ưu điểm 109 5.1.2 Nhược điểm 109 5.2 Đánh giá thuật toán SecurePayment .109 Chương Kết luận, kiến nghị, hướng phát triển .111 6.1 Kết luận 111 Nguyễn Sinh Thành  Trang 4  LUẬN VĂN TỐT NGHIỆP 6.2 Kiến nghị 111 6.3 Hướng phát triển 111 Tài liệu tham khảo 112 Nguyễn Sinh Thành  Trang 5  LUẬN VĂN TỐT NGHIỆP Danh mục từ viết tắt ACL Access Control List – Danh sách kiểm soát truy nhập CA Certificate Authority – Cơ quan chứng thực CGI Common Gateway Interface – Giao diện cửa chung CSDL Cơ sở liệu DES Data Encryption Standard – Chuẩn mã hóa liệu DSS Digital Signature Standard – Chuẩn chữ ký số DSA Domain Name Server – Máy chủ tên miền EDI Electronic Data Interchange – Trao đổi liệu điện tử FTP File Transfer Protocol – Giao thức truyền tệp HTML Hypertext Markup Language – Ngôn ngữ đánh dấu siêu văn HTTP Hypertext Transfer Protocol – Giao thức truyền siêu văn ISO International Organization for Standardization – Tổ chức chuẩn hóa quốc tế OECD Organization for Economic Co-operation and Development – Tổ chức hợp tác phát triển kinh tế PKI Public Key Infrastructure – Cơ sở hạ tầng khóa cơng khai SET Secure Electronic Transaction – Giao dịch điện tử an toàn S-HTTP Secure Hypertext Transfer Protocol – Giao thức truyền siêu văn an toàn SSI Server Side Include SSL Secure Socket Layer – Tầng socket an toàn TMĐT Thương mại điện tử UNCITRAL United Nations Commission on International Trade Law URL Uniform Resource Locator – Bộ định vị tài nguyên WTO World Trade Organization – Tổ chức thương mại giới Nguyễn Sinh Thành  Trang 6  LUẬN VĂN TỐT NGHIỆP Danh mục hình vẽ Hình 1.1 Hệ thống TMĐT 10 Hình 1.2 Hạ tầng cho TMĐT 12 Hình 1.3 Mơ hình chung ứng dụng TMĐT 16 Hình 2.1 Các đối tượng truyền thông kênh truyền 21 Hình 2.2 Xâm phạm tính bí mật thông tin 23 Hình 2.3 Xâm phạm tính tồn vẹn thơng tin 24 Hình 2.4 Tấn cơng làm tính sẵn sàng hệ thống .26 Hình 2.5 Mơ hình kết nối máy khách – kênh kết nối – máy chủ 28 Hình 2.6 Tấn cơng phía máy khách 29 Hình 2.7 Nội dung động thu thập thông tin từ máy người dùng 30 Hình 2.8 Tấn cơng kênh truyền thơng 32 Hình 2.9 Tấn cơng phía máy chủ 33 Hình 2.10 Hiểm họa tính bí mật máy chủ Web 35 Hình 3.1 Mơ hình quản lý rủi ro 39 Hình 3.2 Lược đồ mã hóa 42 Hình 3.3 Đảm bảo tính bí mật .43 Hình 3.4 Q trình gửi nhận thơng điệp 44 Hình 3.5 Đảm bảo tính tồn vẹn 46 Hình 3.6 Đảm bảo tính sẵn sàng liệu hệ thống 47 Hình 3.7 Các kỹ thuật đảm bảo an toàn, an ninh 49 Hình 3.8 Mơ hình mã hóa đối xứng 51 Hình 3.9 Mơ hình mã hóa khóa cơng khai 53 Hình 3.10 Mã hóa khóa cơng khai cho xác thực 55 Hình 3.11 Các dạng sử dụng mã hóa thơng điệp 58 Hình 3.12 Các thuộc tính chữ ký số .62 Hình 3.13 Chứng khóa cơng khai đơn giản 65 Hình 3.14 Bảo vệ máy khách 69 Hình 3.15 Cấu trúc chứng VeriSign 70 Hình 3.16 Bảo vệ kênh truyền thông 71 Nguyễn Sinh Thành  Trang 7  LUẬN VĂN TỐT NGHIỆP Hình 3.17 Thiết lập phiên SSL 73 Hình 3.18 Bảo vệ máy chủ 76 Hình 3.19 Giải pháp Check Point bảo vệ hệ thống 79 Hình 4.1 Mơ hình tổng qt hệ thống 87 Hình 4.2 Định dạng trường liệu ISO8583 89 Hình 4.3 Thay đổi gói tin ISO- 8583 90 Hình 4.4 Mơ hình chức tổng thể 91 Hình 4.5 Giải pháp kết nối hệ thống .96 Hình 4.6 Kiến trúc hệ thống 99 Hình 4.7 Lưu đồ thực thuật tốn HandShaking_SessionKey .106 Hình 4.8 Lưu đồ thực thuật toán InterchangeApplicationMessage 107 Nguyễn Sinh Thành  Trang 8  LUẬN VĂN TỐT NGHIỆP Mở đầu Cùng với phát triển công nghệ thông tin truyền thông xu hướng hội nhập kinh tế toàn cầu, thương mại điện tử, mà hạt nhân hệ thống toán điện tử trực tuyến phát triển mạnh mẽ giới Rất nhiều nước có chủ trương vừa phát triển hoạt động cung ứng dịch vụ điện tử, vừa xây dựng hệ thống pháp luật đầy đủ, minh bạch để đảm bảo giá trị pháp lý thông điệp điện tử giao dịch điện tử Ở Việt Nam, Luật Giao dịch điện tử Quốc hội thơng qua có hiệu lực từ 01/03/200, tạo sở pháp lý để triển khai ứng dụng giao dịch điện tử Tiếp theo đó, ngày 15/02/2007, Chính phủ ban hành Nghị định số 26/2007/NĐCP quy định chi tiết thi hành Luật Giao dịch điện tử chữ ký số dịch vụ chứng thực chữ ký số Việc ban hành văn pháp lý thể rõ tâm Nhà nước việc thúc đẩy nhanh, mạnh giao dịch điện tử, tạo động lực cho phát triển kinh tế Trong hoạt động thương mại điện tử việc đảm bảo an tồn, an ninh cho người dùng hệ thống toán điện tử trực tuyến cần thiết ưu tiên hàng đầu Các phương pháp mã hóa, chữ ký số, chứng số, sở hạ tầng khóa cơng khai ứng dụng chữ ký số, chứng số giao dịch điện tử có liên quan đến vấn đề kỹ thuật phức tạp tương đối mẻ với nhiều tổ chức, doanh nghiệp người dùng Việt Nam Từ thực tế này, chọn đề tài: “Đảm bảo an tồn cho hệ thống tốn điện tử trực tuyến” Đây đề tài có ý nghĩa thực tế lớn sau hành lang pháp lý cho thương mại điện tử xây dựng, mục tiêu xây dựng hệ thống tốn điện tử Trong hồn cảnh Việt Nam nay, việc phát triển thương mại điện tử chậm trễ phần hệ thống tốn điện tử chưa phát triển lý an toàn hệ thống toán điện tử Luận văn tập trung phân tích hiểm họa gặp phải hoạt động thương mại điện tử nói chung hệ thống tốn điện tử nói riêng, xây dựng sách nguyên tắc đảm bảo an toàn, áp dụng giải pháp kỹ thuật mã hóa, chữ ký số, chứng số, đề xuất giải pháp đảm bảo an toàn cho hệ thống Tiếp theo, luận văn đề xuất mơ hình hệ thống tốn điện tử đặc tả chi tiết hệ thống toán cụ thể - eBill Nguyễn Sinh Thành  Trang 9  LUẬN VĂN TỐT NGHIỆP Dispatcher Message Convertor BankNet eBill Interface WebService Send Send WebService CryptoSys SmartLink Website TMĐT Routing Socket Receive Receive Socket Direct Bank Connect Channel Provider Adapter Security Bank Adapter Connect Channel Management Logging eBill Gateway Hình 4.6 Kiến trúc hệ thống Theo hình 4.5, kiến trúc hệ thống tốn điện tử trực tuyến gồm có thành phần sau: • Website TMĐT: giao diện để người dùng đăng ký tiến hành toán cho hóa đơn sản phẩm, dịch vụ Đây hệ thống tiếp nhận tốn nhà cung cấp sản phẩm, dịch vụ Các thông tin từ hệ thống tiếp nhận tốn đầu vào hệ thống toán điện tử trực tuyến eBill • Kênh kết nối (Connect Channel) kết nối từ Website TMĐT tới cổng toán eBill Gateway kết nối từ eBill Gateway tới hệ thống Ngân hàng tổ chức chuyển mạch Kết nối thực qua Socket Webservice • Cổng tốn eBill Gateway: phận tiếp nhận lệnh toán từ khách hàng từ Website TMĐT, tiến hành chuyển đổi khn dạng lệnh tốn để gửi đến cho Ngân hàng tổ chức chuyển mạch, sau Nguyễn Sinh Thành  Trang 99  LUẬN VĂN TỐT NGHIỆP nhận kết trả từ Ngân hàng tổ chức chuyển mạch thông báo kết cho khách hàng Website TMĐT eBill Gateway gồm có thành phần: • Provider Adapter: phần giao tiếp với kênh kết nối phía nhà cung cấp sản phẩm, dịch vụ Provider Adapter có chức nhận thơng tin, liệu từ kênh kết nối phía nhà cung cấp gửi thông tin, liệu xử lý tới kênh kết nối • Dispatcher: đảm nhận nhiệm vụ nhận message gửi đến trả kết dạng message Dispatcher đóng vai trị đầu mối giao tiếp với Ngân hàng, cung cấp địa (IP, Port) để Ngân hàng kết nối vào, qua thực chế gửi/nhận message • Routing: đảm nhận nhiệm vụ định tuyến, phân loại xếp địa gửi/nhận message • MessageConvertor: cung cấp thư viện hàm đóng gói message theo chuẩn ISO-8583 giải mã message • CryptoSys: Nó cung cấp thư viện hàm mã hóa giải mã theo giải thuật khác nhau, thuật toán MAC, chữ ký số… trước truyền nhận message CryptoSys cung cấp giải thuật nhằm đảm bảo tính bí mật, tính tồn vẹn message message gửi đường truyền • eBill Interface: thư viện cung cấp hàm để gọi thư viện MessageConvertor CryptoSys Dispatcher Routing không trực tiếp gọi hàm thư viện MessageConvertor CryptoSys mà thông qua eBill Interface Cách thiết kế giúp cho eBill Gateway hỗ trợ nhiều chuẩn đóng gói message mã hóa message mà khơng phải thay đổi nhiều • Security: đảm nhiệm vai trị đảm bảo an tồn, an ninh cho hệ thống tốn điện tử trực tuyến, như: Nguyễn Sinh Thành  Trang 100  LUẬN VĂN TỐT NGHIỆP o Bảo mật phân quyền truy nhập hệ thống eBill o Cho phép quản lý tài khoản mật truy nhập hệ thống eBill o Quản lý địa IP phép truy nhập o Quản lý người dùng địa IP phép truy cập vào cổng (port) hệ thống eBill • Management: cung cấp cơng cụ dạng giao diện trực quan để quản trị vận hành hệ thống eBill Theo dõi giao dịch trao đổi qua eBill Gateway • Logging: đảm nhận nhiệm vụ ghi lại nhật ký giao dịch Tất giao dịch trao đổi qua eBill Gateway ghi lại để sau dễ dàng giả lập lại giao dịch giải khiếu nại khách hàng • Bank Adapter: có chức Provider Adapter, Bank Adapter có chức kết nối với gateway phía Ngân hàng để xác lập kết nối thực giao dịch tài • Ngân hàng tổ chức chuyển mạch (Banknet SmartLink): tiến hành nhận lệnh cổng toán eBill Gateway gửi đến, giải mã, thực phương pháp nghiệp vụ, sau mã hóa trả lại kết cho cổng toán eBill Gateway 4.5.2 Thiết kế đảm bảo an toàn, an ninh cho hệ thống Phần trình bày thiết kế đảm bảo an toàn, an ninh cho hệ thống Đảm bảo an toàn, an ninh cho hệ thống gồm phần: • An tồn, an ninh khách hàng sử dụng trình duyệt vào website TMĐT • An tồn, an ninh cho đường truyền từ trình duyệt máy khách đến website TMĐT • An tồn, an ninh cho máy chủ web TMĐT • An tồn, an ninh đường truyền từ máy chủ web đến cổng toán eBill Payment Nguyễn Sinh Thành  Trang 101  LUẬN VĂN TỐT NGHIỆP • An toàn, an ninh đường truyền từ cổng tốn eBill Payment đến Ngân hàng 4.5.2.1.Đảm bảo an tồn, an ninh cho máy khách Để đảm bảo an tồn, an ninh cho máy khách giải pháp nêu gồm có phần sau: • Máy khách sử dụng trình duyệt Mozilla Firefox Mozilla Internet Explorer Microsoft để kiểm sốt nội dung động đưa vào website • Máy khách sử dụng trình duyệt Mozilla Firefox Internet Explorer không nên lưu lại thông tin riêng tư, nhạy cảm vào cookie trình duyệt Điều để tránh chương trình virus đánh cắp thơng tin cách đọc cookie • Máy khách nên cài chương trình phần mềm chống virus để bảo vệ • Sử dụng chứng số để xác thực người dùng Điều tránh cho người dùng không bị lừa đảo website giả mạo • Sử dụng bàn phím ảo để nhập liệu tên tài khoản, mật khẩu, số tiền, số tài khoản… Sử dụng chương trình chống key logger • Sử dụng tường lửa để ngăn chặn truy cập trái phép, chống virus • Hệ thống phải có chức xóa tồn bộ nhớ đệm lưu lại hoàn thành giao dịch 4.5.2.2.Đảm bảo an toàn, an ninh đường truyền Để đảm bảo an toàn, an ninh đường truyền, giải pháp sau nêu ra: • Mã hóa thơng tin nhạy cảm trước gửi lên đường truyền Nguyễn Sinh Thành  Trang 102  LUẬN VĂN TỐT NGHIỆP • Sử dụng giao thức SSL đường truyền Sử dụng giải pháp chứng thực để ngăn ngừa nghe giả mạo nội dung message truyền đường truyền • SSL cung cấp kết nối bảo mật client server cách cho phép chứng nhận, xác minh qua lại lẫn nhau, sử dụng chữ ký điện tử để đảm bảo tính tồn vẹn mã hóa cho mục đích bảo vệ tính riêng tư • Sử dụng giao thức S-HTTP để mã hóa đường truyền, chống xâm phạm bất hợp pháp 4.5.2.3.Đảm bảo an toàn, an ninh cho máy chủ web Các giải pháp nêu để đảm bảo an tồn, an ninh cho máy chủ web gồm có: • Kiểm soát truy nhập xác thực: phải phân quyền xác thực người dùng đăng nhập vào máy chủ web • Các kiểm sốt hệ điều hành • Sử dụng tường lửa • Có chế chống lại công từ chối dịch vụ (DoS, DDoS) • Có chế phân tải máy chủ web để tăng hiệu phục vụ • Máy chủ web phải có khả chịu lỗi 4.5.2.4.Đảm bảo an toàn, an ninh đường truyền từ máy chủ web đến cổng toán eBill Gateway từ cổng toán eBill Gateway đến Ngân hàng Sau trình bày chi tiết giải pháp đảm an tồn, an ninh đường truyền từ máy chủ web đến cổng toán eBill Payment đường truyền từ cổng toán eBill Payment đến Ngân hàng qua thuật toán SecurePayment Các lệnh gửi/nhận qua đường truyền gọi giao dịch tài (financial transaction) Trong thuật tốn có sử dụng thư viện jPOS [20], dự án mã nguồn mở viết Java, sử dụng thư viện để phát triển hệ thống phần Nguyễn Sinh Thành  Trang 103  LUẬN VĂN TỐT NGHIỆP mềm giao dịch tài theo chuẩn ISO-8583 Sử dụng jPOS để xây dựng cổng toán cho phép trao đổi thông điệp với cổng tốn ngân hàng Thuật tốn có pha thực Đó pha trao đổi khóa phiên pha giao dịch nghiệp vụ Thuật toán yêu cầu thực mục tiêu: • Xác thực: hai đối tượng truyền thông phải xác định đối tượng • Đảm bảo tính tồn vẹn thơng điệp: người nhận message xác định nội dung khơng bị thay đổi sinh từ nguồn hợp pháp • Tính riêng tư: tính riêng tư tạo khả tránh người khác chặn đọc nội dung message • Chống từ chối/chối bỏ: đặc điểm message nội dung, người gửi thời gian nhận, xác định sau để chứng minh khiếu nại tranh cãi Để đạt mục tiêu này, điều quan trọng tuân theo hạ tầng có Ngân hàng tổ chức chuyển mạch tài Việt Nam Bởi ISO8583 chuẩn chấp nhận hầu hết Ngân hàng tổ chức chuyển mạch tài Do tuân theo chuẩn ISO-8583 mục tiêu có độ ưu tiên cao để đảm bảo tương thích với hạ tầng có Thuật tốn SecurePayment trình bày tiếp sau, đánh giá phần 3.5, để đảm bảo an toàn cho giao dịch tài a Các ngun lý đảm bảo an tồn, an ninh Thuật toán SecurePayment sử dụng thuật toán mã hóa, chữ ký số, chứng số trình bày mục 3.2, gồm có CA (Certificate Authorities), chứng X509 (X509 Certificates), thuật tốn chuyển giao khóa Diffie - Hellman, thuật toán chữ ký số (DSA - Digital Signature Algorithm), chuẩn mã hóa liệu (DES - Data Encryption Standard) mật mã khóa đối xứng khơng đối xứng b Thuật tốn đảm bảo an tồn, an ninh Chuẩn ISO-8583 có loại thơng điệp: Network message (0800) thông điệp nghiệp vụ (Application Message) Thông điệp 0800 dùng để khởi tạo mạng thiết lập khóa phiên (session key) Các thơng điệp nghiệp vụ chứa thông tin Nguyễn Sinh Thành  Trang 104  LUẬN VĂN TỐT NGHIỆP giao dịch tài truyền sau thông điệp 0800 kết thúc việc khởi tạo mạng thiết lập khóa phiên, trao đổi an tồn phương pháp mã hóa ký xác nhận sử dụng khóa phiên Sau kịch thực thuật toán cho Network Message Application Message: d Network Message 0800 Thuật toán bảo mật sau sử dụng thơng điệp ISO-8583, thuật tốn HandShaking_SessionKey: Client: gửi chứng DSA X509 có nội dung gói tin ISO-8583 request Server: kiểm tra chứng dựa vào CA Sinh cặp khóa cơng khai - riêng Diffie - Hellman (DH) Ký vào khóa cơng khai DH sử dụng khóa cơng khai DSA client Server trả khóa cơng khai DH chữ ký với chứng X509 client gói tin trả theo chuẩn ISO8583 Client xác nhận chứng server dựa vào CA Xác nhận khóa cơng khai DH sử dụng khóa riêng DSA client chữ ký nhận Sinh cặp khóa cơng khai - riêng DH Hồn thành q trình trao đổi khóa DH thu khóa phiên (session key) DES 10 Ký lên khóa cơng khai DH sử dụng khóa công khai DSA server 11 Client gửi yêu cầu lần với khóa cơng khai DH chữ ký với chứng X509 server gói tin yêu cầu theo chuẩn ISO8583 12 Server xác nhận chứng client dựa vào CA 13 Xác nhận khóa cơng khai DH sử dụng khóa riêng DSA server chữ ký nhận Nguyễn Sinh Thành  Trang 105  LUẬN VĂN TỐT NGHIỆP 14 Hồn thành q trình trao chuyển khóa DH thu khóa phiên DES Các khóa phiên thu client server giống theo thuật tốn trao chuyển khóa Diffie – Hellman Hình 4.7 sau HandShaking_SessionKey: mơ tả lưu đồ thực thuật tốn Hình 4.7 Lưu đồ thực thuật tốn HandShaking_SessionKey e Application Message Những thơng điệp khơng phải 0800 xem application message, thông điệp loại chứa thông tin nghiệp vụ Khóa phiên thu từ network message sử dụng để mã hóa gói tin ISO-8583 Sau mơ tả kịch cho thuật tốn InterchangeApplicationMessage: Client sinh thông điệp yêu cầu (request message) nhận yêu cầu mã hóa sử dụng khóa phiên Nguyễn Sinh Thành  Trang 106  LUẬN VĂN TỐT NGHIỆP Một chữ ký sinh sử dụng request message khóa cơng khai DSA Cả thơng tin mã hóa chữ ký đưa vào thông điệp Các thông tin nhạy cảm số tài khoản số tiền request message bị thay đổi mục đích đảm bảo bảo mật Thông điệp gửi thông điệp tới server để thay cho request không đảm bảo độ an toàn, an ninh Server nhận request message từ client Server giải mã thông điệp sử dụng khóa phiên xác nhận chữ ký sử dụng khóa riêng DSA Sau xác nhận, giao dịch xử lý kết thông điệp trả (response message) mã hóa theo quy tắc client gửi tới client Client nhận response message thực trình xử lý tương tự server thực giao dịch Hình 4.8 Lưu đồ thực thuật tốn InterchangeApplicationMessage Nguyễn Sinh Thành  Trang 107  LUẬN VĂN TỐT NGHIỆP Thuật toán SecurePayment bao gồm hai thuật toán HandShaking_SessionKey InterchangeApplicationMessage Khi hai thuật tốn thực thành cơng hủy khóa phiên thuật tốn SecurePayment kết thúc, kết thúc phiên giao dịch tài Nguyễn Sinh Thành  Trang 108  LUẬN VĂN TỐT NGHIỆP Chương Đánh giá 5.1 Đánh giá hệ thống Trong trình thực luận văn, xây dựng hệ thống eBill dùng để mô thử nghiệm kết nghiên cứu Việc cài đặt thuật tốn mã hóa, đặc biệt thuật toán SecurePayment, sử dụng thuật toán chữ ký số, chứng số để đảm bảo cho hệ thống an tồn 5.1.1 Ưu điểm • Xét chức năng: hồn tồn triển khai hệ thống với chức nêu thực tế • Xét kỹ thuật: hệ thống sử dụng phương pháp kỹ thuật đại mã hóa liệu, chữ ký số, chứng số, chuẩn ISO-8583 Việc sử dụng kỹ thuật mã hóa, chữ ký số, chứng số đảm bảo cho liệu hệ thống an toàn Sử dụng chuẩn ISO-8583 làm cho hệ thống có tính mở, có khả kết nối với Ngân hàng tổ chức chuyển mạch tài nước quốc tế, làm tăng khả tốn hệ thống 5.1.2 Nhược điểm • Chỉ xây dựng hệ thống mô để kiểm tra kết nghiên cứu: mô hệ thống tốn điện tử trực tuyến gồm có Website toán cước dịch vụ nhà cung cấp dịch vụ Internet (VDC), cổng toán trực tuyến PaymentGateway Ngân hàng, tổ chức chuyển mạch tài • Các kết kiểm nghiệm chưa lớn, mức độ nhỏ chưa triển khai thực tế 5.2 Đánh giá thuật toán SecurePayment Thuật toán SecurePayment bao gồm hai HandShaking_SessionKey InterchangeApplicationMessage thuật tốn Thuật tốn HandShaking_SessionKey có nhiệm vụ khởi tạo kết nối, tiến hành xác thực lẫn bên truyền thông, đồng thời sinh khóa phiên bí mật cho giao dịch tài sau Thuật tốn HandShaking_SessionKey kết hợp thuật tốn mã hóa khóa cơng khai, mã hóa khóa đối xứng, chữ ký số chứng số Thuật tốn vừa kế thừa tốc độ nhanh tính bí mật mã hóa đối xứng tính xác thực, tồn vẹn liệu mã hóa khóa cơng khai Việc sinh Nguyễn Sinh Thành  Trang 109  LUẬN VĂN TỐT NGHIỆP khóa phiên khắc phục nhược điểm thuật tốn trao chuyển khóa DiffieHellman có đối tượng thứ ba làm trung gian giả mạo q trình trao chuyển khóa Thuật tốn InterchangeApplicationMessage có nhiệm vụ thực giao dịch tài sử dụng khóa phiên bí mật sinh từ thuật tốn HandShaking_SessionKey Sau phiên truyền thơng kết thúc, khóa phiên bị hủy Như vậy, khóa phiên có tác dụng phiên truyền thông Như vậy, với việc thực hai thuật toán HandShaking_SessionKey InterchangeApplicationMessage, thuật toán SecurePayment đảm bảo an tồn cho giao dịch tài hệ thống toán điện tử trực tuyến Nguyễn Sinh Thành  Trang 110  LUẬN VĂN TỐT NGHIỆP Chương Kết luận, kiến nghị, hướng phát triển 6.1 Kết luận Cho đến tại, sau gần tháng làm việc, luận văn hoàn thành Các kết đạt luận văn bao gồm: • Phân tích cụ thể nguy cơ, hiểm họa gặp phải hệ thống tốn điện tử trực tuyến, từ đề xuất giải pháp đảm bảo an toàn cho hệ thống, kết hợp chế Vật lý phương pháp logic • Xây dựng mơ hình cho hệ thống tốn điện tử trực tuyến mơ hệ thống cụ thể • Xây dựng thuật tốn SecurePayment đảm bảo an toàn cho giao dịch tài 6.2 Kiến nghị Theo “Báo cáo Thương mại điện tử Việt Nam năm 2007” Bộ Công Thương, năm 2007 năm khởi sắc TMĐT Việt Nam với số hệ thống toán điện tử mắt mạng toán Paynet, mạng toán SmartLink… Nhưng giao dịch mạng hạn chế, dịch vụ nạp thẻ điện thoại di động, hay chuyển khoản liên Ngân hàng Có hạn chế sở hạ tầng cho toán điện tử Việt Nam chưa phát triển, đặc biệt sở hạ tầng khóa cơng khai (PKI – Public Key Infrastructure), quan chứng thực, cấp chứng số Vì qua luận văn này, chúng tơi khuyến nghị nên thúc đẩy nhanh chóng việc xây dựng sở hạ tầng cho toán điện tử để toán điện tử Việt Nam phát triển nhanh bến vững 6.3 Hướng phát triển Trong khoảng thời gian thực luận văn, thời gian có hạn nên chúng tơi dừng lại việc nghiên cứu đảm bảo an toàn cho hệ thống toán điện tử trực tuyến, đồng thời xây dựng nên hệ thống mô đơn giản Trong hướng phát triển tiếp theo, tiến hành khảo sát thực xây dựng hệ thống cụ thể, có khả đưa vào sử dụng thực tế Đồng thời hoàn thiện thêm giải pháp nghiên cứu vấn đề kỹ thuật đảm bảo kết nối cách dễ dàng đến Ngân hàng, tổ chức chuyển mạch tài Website cho phép tốn trực tuyến Ngồi cần yêu cầu hệ thống kết nối với sở hạ tầng khóa cơng khai (PKI) quốc gia tương lai Nguyễn Sinh Thành  Trang 111  LUẬN VĂN TỐT NGHIỆP Tài liệu tham khảo Tiếng Việt Đỗ Xuân Bình (2007), Chữ ký số, chứng số sở hạ tầng khóa cơng khai – Các vấn đề kỹ thuật ứng dụng, Nhà xuất Bưu điện, Hà Nội Nguyễn Bình (2002), Mật mã học, Học viện cơng nghệ Bưu Viễn thơng, Hà Nội Bộ Công Thương (2006), Báo cáo TMĐT Việt Nam 2005, Hà Nội Bộ Công Thương (2007), Báo cáo TMĐT Việt Nam 2006, Hà Nội Bộ Công Thương (2008), Báo cáo TMĐT Việt Nam 2007, Hà Nội Nguyễn Xuân Dũng (2007), Bảo mật thông tin – Mơ hình ứng dụng, Nhà xuất Thống kê, Hà Nội Nguyễn Nam Hải, Đào Thị Hồng Vân, Phạm Ngọc Thúy (2003), Chứng thực thương mại điện tử, Nhà xuất Khoa học kỹ thuật, Hà Nội Tiếng Anh Marc Bacchett, Patrick Low, Aaditya Mattoo, Ludger Schuknecht, Hannu Wager and Madelon Wehrens (1998), Electronic Commerce and the Role of the WTO, WTO publication Chang, R (2002), Defending Against Flooding-Based Distributed Denial-ofService Attacks: A Tutorial, IEEE Communications Magazine 10 International Organization for Standardization (1993), Financial transaction card originated messages – Interchange message specifications, ISO8583, Geneve 11 A Menezes, P van Oorschot and S Vanstone (1997), Handbook of Applied Cryptography, CRC Press, Inc 12 Bruce Schneier (1996), Applied Cryptography, Second Edition, John Wiley & Sons, Inc, New York 13 William Stallings (2005), Cryptography and Network Security: Principles and Practices, Four Edition, Prentice Hall, New Jersey 14 John Talbot, Dominic Welsh, Complexity and Cryptography: An Introduction, Cambridge University Press, New York 15 United Nations Publication (1996), UNCITRAL Model Law on Electronic Commerce, New York Nguyễn Sinh Thành  Trang 112  LUẬN VĂN TỐT NGHIỆP Website 16 http://www.oecd.org 17 http://spaf.cerias.purdue.edu/index.html 18 http://www.vietnamnet.vn/cntt/2006/03/549745/ 19 http://www.checkpointworks.com/UTM-1-Edge.asp 20 (http://jpos.org) Nguyễn Sinh Thành  Trang 113  ... hiểm họa gặp phải hệ thống toán điện tử trực tuyến, phần trình bày sách, biện pháp kỹ thuật giải pháp đảm bảo an toàn, an ninh cho hệ thống toán điện tử trực tuyến Đảm bảo an toàn, an ninh việc phát... ninh cho hệ thống 2.1.2 Tổng quan phương pháp đảm bảo an toàn, an ninh Dựa vào mục đích đảm bảo an tồn, an ninh hệ thống tốn trực tuyến trình bày mục 2.1.1, kỹ thuật đảm bảo an toàn, an ninh hệ thống. .. Đề tài luận văn là: ? ?Đảm bảo an tồn cho hệ thống tốn điện tử trực tuyến? ?? Như vậy, mục đích luận văn tập trung xây dựng giải pháp kỹ thuật để đảm bảo an tồn cho hệ thống tốn điện tử trực tuyến,