Nghiên cứu một số giải pháp đảm bảo an toàn và bảo mật thông tin trong giao dịch điện tử

ĐẠI HỌC QUỐC GIA HÀ NỘI TRƢỜNG ĐẠI HỌC CÔNG NGHỆ NGUYỄN THÀNH TRUNG NGHIÊN CỨU MỘT SỐ GIẢI PHÁP ĐẢM BẢO AN TỒN VÀ BẢO MẬT THƠNG TIN TRONG GIAO DỊCH ĐIỆN TỬ LUẬN VĂN THẠC SĨ CÔNG NGHỆ THÔNG TIN Hà Nội – 2014 ĐẠI HỌC QUỐC GIA HÀ NỘI TRƢỜNG ĐẠI HỌC CÔNG NGHỆ NGUYỄN THÀNH TRUNG NGHIÊN CỨU MỘT SỐ GIẢI PHÁP ĐẢM BẢO AN TOÀN VÀ BẢO MẬT THÔNG TIN TRONG GIAO DỊCH ĐIỆN TỬ Ngành: Công nghệ thông tin Chuyên ngành: Hệ thống thông tin Mã số: 60480104 LUẬN VĂN THẠC SĨ CÔNG NGHỆ THÔNG TIN NGƢỜI HƢỚNG DẪN KHOA HỌC: TS HỒ VĂN HƢƠNG Hà Nội - 2014 LỜI CAM ĐOAN Tôi xin cam đoan kết đạt luận văn sản phẩm nhân tôi, không chép nguyên văn người khác Trong toàn nội dung luận văn, phần trình bày cá nhân tổ hợp từ nhiều nguồn tài liệu khác Tất tài liệu tham khảo có xuất xứ rõ ràng trích dẫn quy định Tơi xin hồn tồn chịu trách nhiệm với lời cam đoan TÁC GIẢ LUẬN VĂN (Ký ghi rõ họ tên) Nguyễn Thành Trung MỤC LỤC Trang Trang phụ bìa Lời cam đoan Mục lục …… Danh mục viết tắt, bảng, hình vẽ …………………………………… MỞ ĐẦU ………………………………………………………………… Chƣơng TỔNG QUAN VỀ AN TỒN THƠNG TIN 1.1 Lý thuyết An tồn thơng tin 1.1.1 An tồn thơng tin 1.1.2 Các mơ hình cơng mạng 1.1.3 Phân loại kiểu công mạng 1.1.4 Một số kiểu công mạng 1.1.5 Các sách bảo mật thông tin 11 1.2 An tồn thơng tin giao dịch điện tử 14 1.2.1 Thực trạng An tồn thơng tin giao dịch điện tử Việt nam 15 1.2.2 Vấn đề an tồn thơng tin toán bầu cử điện tử 21 Chƣơng CƠ SỞ LÝ THUYẾT MẬT MÃ VÀ HẠ TẦNG KHỐ CƠNG KHAI 28 2.1 Các hệ mật mã 28 2.1.2 Hệ mã hoá khoá đối xứng 28 2.1.3 Hệ mật mã khố cơng khai 29 2.2 Chữ ký số 30 2.2.1 Sơ đồ chữ ký số 30 2.2.2 Phân loại chữ ký số 30 2.2.3 Sơ đồ chữ ký số RSA 31 2.3 Chữ ký mù 31 2.3.1 Sơ đồ chữ ký mù 31 2.3.2 Sơ đồ chữ ký mù RSA 31 2.4 Cơ sở hạ tầng khóa công khai 32 2.4.1 Định nghĩa 32 2.4.2 Phân loại kiến trúc trung tâm chứng thực CA 35 2.4.3 Định danh sách user hệ thống PKI 35 2.4.4 Phát hành quản lý chứng thư 35 2.5 Giao thức TLS/SSL 36 2.5.1 Giao thức SSL 36 2.5.2 Giao thức TLS 40 2.5.3 So sánh TLS SSL 40 2.6 Ứng dụng chữ ký mù giải pháp đảm bảo an ninh thương mại điện tử 41 2.6.1 Ứng dụng Tiền điện tử 41 2.6.2 Ứng dụng Bầu cử điện tử trực tuyến 43 2.7 Đề xuất giải pháp kết hợp chữ ký mù sở hạ tầng khố cơng khai PKI để đảm bảo an tồn thơng tin hệ thống bỏ phiếu điện tử trực tuyến 44 2.7.1 Mục tiêu 44 2.7.2 Giải pháp kết hợp chữ ký mù sở hạ tầng khố cơng khai PKI để đảm bảo an tồn thơng tin hệ thống bỏ phiếu điện tử trực tuyến 45 Chƣơng PHÂN TÍCH THIẾT KẾ VÀ XÂY DỰNG ỨNG DỤNG 51 3.1 Bài toán 51 3.2 Kiến trúc hệ thống 52 3.3 Phân tích thiết kế hệ thống 52 3.3.1 Pha phân tích 52 3.3.2 Thiết kế hệ thống 55 KẾT LUẬN VÀ HƢỚNG NGHIÊN CỨU TIẾP THEO ……………… 59 Kết luận 59 Hướng nghiên cứu ……………………………………………… 60 TÀI LIỆU THAM KHẢO 61 PHỤ LỤC …………………………………………………………… … 63 Kiểm nghiệm chương trình 63 DANH MỤC VIẾT TẮT TT 10 11 12 13 14 15 16 17 18 VIẾT TẮT AES CA CP CRL DES LDAP LRA PKI RA RSA TIẾNG ANH TIẾNG VIỆT Chuẩn mã hố tiên tiến Tổ chức chứng nhận Chính sách chứng thư Danh sách thu hồi chứng thư Chuẩn mã hoá liệu Giao thức truy cập nhanh Cơ quan đăng ký địa phương Hạ tầng khố cơng khai Tổ chức đăng ký Thuật tốn mật mã khố cơng khai MAC Media Access Control Address Địa điều khiển truy cập phương tiện DHCP Dynamic Host Configuration Giao thức cấu hình địa máy Protocol chủ động ARP Address Resolution Protocol Giao thức địa phân giải IP Internet Protocol Address Địa IP máy tính ATTT An tồn thơng tin CIA Confidentiality, Integrity, Bộ ba tính bí mật, tồn vẹn, sẵn Availability sàng OCSP Online Certificate Status Giao thức kiểm tra trạng thái Protocol trực tuyến TSA Time Stamp Authority Chứng thực tem thời gian Advanced Encryption Standard Certification Authority Certificate Policy Certificate Revocation List Data Encryption Standard Light Weight Access Protocol Local Registration Authority Public Key Infrastructure Registration Authority DANH MỤC CÁC BẢNG Trang Bảng 1.1 – Mức khả rủi ro Bảng 1.2 – 20 Quốc gia có nguy cơng bị cơng sử dụng mạng Quý 2, 2013 16 Bảng 1.3 – Giải pháp, công nghệ ứng dụng đảm bảo ATTT có Việt Nam 21 Bảng 1.4 – Một số nguy an tồn thơng tin bầu cử điện tử 24 DANH MỤC CÁC HÌNH VẼ, ĐỒ THỊ Trang Hình 1.1 – Các yếu tố đảm bảo an tồn thơng tin Hình 1.2 – Mơ hình cơng luồng thông tin Hình 1.3 – Phân loại kiểu cơng Hình 1.4 – Phân quyền cho User 13 Hình 1.5 – Giám sát hệ thống mạng 14 Hình 1.6 – Các biện pháp đảm bảo an tồn thơng tin 17 Hình 1.7 – Các biện pháp bảo đảm an tồn thơng tin doanh nghiệp qua năm 18 Hình 1.8 - Phân loại hệ thống bỏ phiếu 24 Hình 2.1 – Q trình mã hố giải mã 28 Hình 2.2 – Mơ hình kiến trúc hệ thống PKI 34 Hình 2.4 – Mơ hình giao thức SSL 39 Hình 2.5 - Quy trình bỏ phiếu 45 Hình 2.6 - Quy trình cấp chứng thư 46 Hình 2.7 - Quy trình cấp chứng số SSL 47 Hình 2.8 - Tích hợp PKI giai đoạn Đăng ký 48 Hình 2.9 - Quy trình xác thực cử tri giai đoạn Đăng ký 48 Hình 2.10 - Tích hợp PKI giai đoạn Bỏ phiếu 49 Hình 2.11 - Quy trình xác thực cử tri giai đoạn Bầu chọn 50 Hình 3.1 - Kiến trúc hệ thống 52 Hình 3.2 - Biểu đồ use case tổng quát hệ thống 53 Hình 3.3 - Phân rã use case Đăng ký 53 Hình 3.4 - Phân rã use case Bầu chọn 54 Hình 3.5 - Phân rã use case Kiểm phiếu 54 Hình 3.6 - Biểu đồ lớp phân tích hệ thống 55 Hình 3.7 - Biểu đồ chức Đăng nhập 56 Hình 3.8 - Biểu đồ chức Tạo phiếu 56 Hình 3.9 - Biểu đồ chức Bầu chọn 57 Hình 3.10 – Biểu đồ chức Thống kê 57 Hình 3.11 - Biểu đồ lớp chi tiết 58 MỞ ĐẦU Với xu phát triển mạnh mẽ kinh tế thị trường với bùng nổ công nghệ Internet, mơ hình thương mại điện tử ngày trở nên phổ biến dần trở thành phần thiếu kinh tế đại Hiện cơng việc giao dịch rút tiền, tốn, chuyển khoản… thực dễ dàng máy tính thiết bị di dộng có kết nối Internet Đi đôi với việc phổ dụng giao dịch thông qua mạng Internet dẫn đến nguy an tồn thơng tin Do đó, đặt cho vấn đề đảm bảo An tồn thơng tin lĩnh vực thương mại điện tử Tuy nhiên vấn đề đảm bảo An tồn thơng tin thương mại điện tử chưa đặt đến với tầm vóc Chúng ta cần có giải pháp đảm bảo an tồn thơng tin sử dụng xây dựng dựa lý thuyết mật mã, an toàn bảo mật thơng tin Hiện nay, có nhiều phương pháp triển khai thực tế, nhiên bật lên phương pháp ứng dụng chữ ký số giao dịch điện tử, sở hạ tầng mã khóa cơng khai Việc ứng dụng chữ ký số, sử dụng chữ ký mù hệ thống bỏ phiếu điện tử, tiền điện tử, đấu thầu điện tử… ngày trở nên phổ biến rộng rãi giới Để hiểu biết, ứng dụng, đào tạo chuyển giao cơng nghệ chữ ký số cần tìm hiểu, nghiên cứu chúng Ở phạm vi đề tài đặt vấn đề nghiên cứu số giải pháp an tồn thơng tin giao dịch điện tử Đi sâu nghiên cứu, ứng dụng phương pháp chữ ký số, sử dụng chữ ký số mù để đảm bảo an toàn liệu bỏ phiếu điện tử, đấu thầu điện tử Ngoài phần mở đầu kết luận, nội dung luận văn bao gồm: Chƣơng 1: Tổng quan an tồn thơng tin Trong chương trình bày kiến thức chung an tồn thơng tin như: yếu tố đảm bảo an tồn thơng tin, nguy an tồn thơng tin, mơ hình cơng mạng… Phần cuối chương giới thiệu thực trạng An toàn thông tin giao dịch điện tử Việt nam, sâu nghiên cứu thực trạng bảo đảm an ninh thơng tin tốn bầu cử điện tử Chƣơng 2: Cơ sở lý thuyết mật mã hạ tầng khố cơng khai Trong chương trình bày kiến thức sở lý thuyết liên quan hệ mật mã, hạ tầng khố cơng khai, chữ ký số, chữ ký số mù, giao thức SSL… Phần kết chương sâu tìm hiểu, nghiên cứu ứng dụng chữ ký số mù nhằm đảm bảo an ninh giao dịch điện tử, cụ thể tiền điện tử bầu cử điện tử Kết chương phần để xuất giải pháp tích hợp chữ ký số mù sở hạ tầng khoá cơng khai để đảm bảo an tồn thơng tin bầu cử điện tử Chƣơng 3: Phân tích thiêt kế xây dựng ứng dụng Trong chương trình bày chi tiết quy trình phân tích, thiết kế xây dựng hệ thống Bỏ phiếu điện tử trực tuyến sử dụng giải pháp đảm bảo an tồn thơng tin chương Kết luận hƣớng nghiên cứu 54 Hình 3.4 - Phân rã use case Bầu chọn Phân rã use case Kiểm phiếu Use case kiểm phiếu thực Ban bầu cử phân thành hai use case nhỏ Giải mã Thống kê kết Hình 3.5 Hình 3.5 - Phân rã use case Kiểm phiếu 3.3.1.2 Xây dựng biểu đồ lớp phân tích Biểu đồ lớp phân tích xây dựng dựa biểu đồ use case thể Hình 3.6 55 Hình 3.6 - Biểu đồ lớp phân tích hệ thống 3.3.2 Thiết kế hệ thống 3.3.2.1 Các biểu đồ Dưới biểu đồ cho chức hệ thống: 1./ Biểu đồ cho chức Đăng nhập 56 Hình 3.7 - Biểu đồ chức Đăng nhập 2./ Biểu đồ cho chức Tạo phiếu Hình 3.8 - Biểu đồ chức Tạo phiếu 3./ Biểu đồ cho chức Bầu chọn 57 Hình 3.9 - Biểu đồ chức Bầu chọn 4./ Biểu đồ cho chức Kiểm phiếu – Thống kê Hình 3.10 – Biểu đồ chức Thống kê 3.3.2.2 Biểu đồ lớp chi tiết Dựa biểu đồ lớp pha phân tích biểu đồ tuần tự, biểu đồ lớp thiết kế xây dựng Hình 3.11 58 Hình 3.11 - Biểu đồ lớp chi tiết 59 KẾT LUẬN Để phục vụ cho việc xây dựng giải pháp đảm bảo an tồn thơng tin cho hệ thống bỏ phiếu điện tử trực tuyến, luận văn sâu tìm hiểu vấn đề an tồn thơng tin, nghiên cứu số giải pháp đảm bảo an tồn thơng tin thương mại điện tử, sâu vào tìm hiểu nghiên cứu chữ ký số mù ứng dụng chữ ký mù lĩnh vực Để đảm bảo an toàn cho hệ thống bỏ phiếu điện tử trực tuyến, kết hợp nhiều biện pháp bảo vệ như: Kiểm soát vào ra, tường lửa, mã hoá, xác thực… Hiện tại, dịch vụ, sản phẩm hỗ trợ biện pháp có nhiều thị trường, nhiên việc đảm bảo, xác thực tính tồn vẹn liệu hệ thống bỏ phiếu điện tử trực tuyến Việt nam chưa xem xét, giải Xuất phát từ yêu cầu thực tế cần phải đảm bảo tính tồn vẹn liệu hệ thống bỏ phiếu điện tử trực tuyến Việt nam, sâu vào nghiên cứu cở sở hạ tầng khố cơng khai, kỹ thuật bảo mật kết nối SSL, chữ ký số - cụ thể chữ ký số mù, chủ yếu tập trung vào sơ đồ chữ ký mù RSA để xây dựng giải pháp đảm bảo toàn vẹn liệu hệ thống đảm bảo an tồn thơng tin riêng tư cử tri tham gia bỏ phiếu Luận văn sâu nghiên cứu để xây dựng hệ thống bỏ phiếu điện tử trực tuyến để mơ lại q trình bầu cử Hội đồng nhân dân cấp, phần quan trọng Bầu cử Việt nam Trong hệ thống sử dụng kỹ thuật bảo mật chữ ký số, chữ ký số mù, xác thực để đảm bảo tính tồn vẹn an tồn thông tin riêng tư Tuy nhiên kỹ thuật làm suốt với cử tri để đảm bảo tính dễ hiểu, dễ sử dụng cho người cử tri sử dụng chương trình Qua trình triển khai thử nghiệm, kiểm tra đánh giá nhận thấy chương trình hoạt động tốt đáp ứng yêu cầu Luận văn đặt Tuy nhiên vấn đề nghiên cứu luận văn dừng lại mức ứng dụng thử nghiệm Trong hệ thống bỏ phiếu điện tử, sử dụng thêm server trung gian đóng vai trị người trung thực để đảm bảo tin tưởng cử tri ban kiểm phiếu Tuy nhiên server trung gian trở thành điểm yếu hệ thống, dễ bị cơng Thêm vào đó, hệ thống sử dụng lược đồ chữ ký số, chữ ký số mù RSA nên hệ thống bị cơng phương pháp thực với hệ thống sử dụng lược đồ chữ ký số RSA trước 60 HƢỚNG NGHIÊN CỨU TIẾP THEO Trong tương lai, hệ thống bỏ phiếu điện tử trực tuyến tiếp tục phát triển, nâng cấp sở hạ tầng để sử dụng Bầu cử với quy mô rộng hơn, đáp ứng số lượng cử tri lớn Thêm vào đó, giải pháp bảo mật sử dụng hệ thống bỏ phiếu điện tử trực tuyến cải tiến sử dụng kỹ thuật “Chia sẻ bí mật ” “Trộn phiếu” phần thống kê phiếu để giảm thiểu khả “Gian lận cá nhân” thành viên ban kiểm phiếu Ngồi ra, giải pháp đảm bảo an tồn thơng tin hệ thống bỏ phiếu điện tử trực tuyến áp dụng cho mơ hình tương tự như: Đấu giá điện tử trực tuyến hay Hệ thống thăm dò ý kiến 61 TÀI LIỆU THAM KHẢO Tiếng Việt Cục thương mại điện tử Công nghệ thông tin, Báo cáo thương mại điện tử năm 2012 Luật bầu cử đại biểu Quốc hội Luật bầu cử đại biểu Hội đồng nhân dân Việt nam TS Hồ Văn Hương, Ths Đào Thị Ngọc Thuỳ, Ứng dụng hệ thống kiểm soát truy nhập mạng theo mơ hình truy nhập lần, Tạp chí An tồn thơng tin, số (025) 2013 TS Hồ Văn Hương, KS Hoàng Chiến Thắng, Ký số xác thực tảng web, Tạp chí An tồn thơng tin, số (026) năm 2013 TS Hồ Văn Hương, KS Hoàng Chiến Thắng, KS Nguyễn Quốc Uy Giải pháp bảo mật xác thực thư điện tử, Tạp chí An tồn thơng tin số 04 (028), 2013 Trịnh Nhật Tiến, Giáo trình An tồn liệu Trịnh Nhật Tiến, Đinh Vinh Quang, Thanh toán tiền điện tử Trịnh Nhật Tiến, Trương Thị Thu Hiền, Về quy trình bỏ phiếu từ xa, Tạp chí Khoa học ĐHQGHN, KHTN & CN, T.XXI, Số 2PT.2005 Vnisa, Báo cáo trạng ATTT Việt Nam 2010 Tiếng Anh 10 Addison Wesley, Understanding PKI: Concepts, Standards, and Deployment Considerations, Second Edition, 2002 11 David Chumn, Blind signatures for untraceable payment, 1982 12 Oreilly, Web Security, Privacy & Commerce 2nd 13 Dr Eric Cole, Dr Ronald Krutz, and James W.Conley, Network Security Bible, Wiley Publishing, Jan 2005 14 Mona F.M MursiGhazy M.R Assassa Ahmed Abdelhafez Kareem M Abo Samra, On the Development of Electronic Voting: A Survey, International Journal of Computer Applications (0975 – 8887) Volume 61– No.16, January 2013 15 Thomas W Lauer, The Risk of e-Voting, School of Business Administration, Oakland University, Rochester, USA 16 T Dierks, E Rescorla (August 2008) The Transport Layer Security (TLS) Protocol, Version 1.2 62 17 Holly Lynne McKinley, SANS Institude SSL and TLS: A Beginners’ Guide Website 18 www.antoanthongtin.vn 19 www.en.wikipedia.org 20 www.vi.wikipedia.org 21 www.pki.openca.org 22 www.ckca.vn 63 PHỤ LỤC Kiểm nghiệm chƣơng trình Sau số giao diện chương trình xây dựng: Hình 12 - Hệ thống đăng nhập Sau đăng nhập, thông tin cử tri hiển thị giao diện chương trình, cử tri kiểm tra thơng tin cá nhân sau tiên hành thực bầu cử Hình 13 - Thông tin cử tri Trước thực bước Đăng ký, cử tri phải chứng minh tính hợp lệ mình, cách thực yêu cầu hình Xác thực 64 Để thực được, cử tri phải cấp thiết bị token (có thể USB thẻ nhớ chứa khố bí mật chứng thư số) Trong chương trình demo chúng tơi sử dụng USB Token hãng CKCA OrigSign [19] Hình 14 - CKCA USB Token Cử tri phải nhập thông tin: mã số bí mật (mã PIN) – trường bắt buộc, thơng điệp (cử tri nhập để trắng, chương trình tự sinh đoạn ký tự ngẫu nhiên) Sau nhập thông, tin người dùng chọn Xác thực, chương trình thơng báo tính trạng xác thực để cử tri thực bước Hình 15 - Chức Xác thực Sau xác thực thành công, cử tri chuyển sang bước Đăng ký để tiến hành đăng ký phiếu có chữ ký quan Bầu cử 65 Hình 16 - Chức Đăng ký Tiếp theo, cử tri chọn “Tải phiếu” để tiến hành tải phiếu đăng ký máy tính cá nhân để thực bước Bầu chọn Thông tin phiếu bao gồm mã Id để tra cứu thông tin khoá sử dụng ký mù lên phiếu mã Id ứng viên cử tri lựa chọn Hình 17 - Thơng tin phiếu bầu Giai đoạn đăng ký 66 Sau nhận phiếu, cử tri tiến hành bầu chọn cách gửi phiếu tới Cơ quan bầu cử sau tiến hành phiên làm việc khác Hình 18 - Chức Bầu chọn Khi gửi tới quan Bầu cử, phiếu đổi tên ngẫu nhiên để tránh lưu vết thông tin (cử tri sau bầu chọn cấp mã ngẫu nhiên phải ghi nhớ) Đồng thời, cử tri tiến hành ký đính kèm chữ ký phiếu để tiến hành kiểm tra tính tồn vẹn phiếu bầu Hình 19 - Thơng tin phiếu bầu Giai đoạn bầu chọn 67 Phiếu bầu công bố công khai trang web, cử tri sử dụng mã bí mật nhận bước Bầu chọn để lấy phiếu máy tính cá nhân Hình 20 - Chức Hịm phiếu cơng khai Để kiểm tra tính tồn vẹn phiếu, cử tri sử dụng chức “Kiểm tra phiếu bầu” Hình 21 - Chức Kiểm tra phiếu bầu Sau giai đoạn bầu chọn kết thúc, quan Bầu cử tiến hành giải mã phiếu thống kê kết bầu chọn ứng viên Kết công khai chức “Thống kê” 68 Hình 22 - Chức Thống kê ... NGHỆ NGUYỄN THÀNH TRUNG NGHIÊN CỨU MỘT SỐ GIẢI PHÁP ĐẢM BẢO AN TỒN VÀ BẢO MẬT THƠNG TIN TRONG GIAO DỊCH ĐIỆN TỬ Ngành: Công nghệ thông tin Chuyên ngành: Hệ thống thông tin Mã số: 60480104 LUẬN VĂN... tử? ?? Đây giao dịch quan trọng địi hỏi phải có độ an tồn bảo mật cao Ngoài yếu tố an toàn bảo mật hệ thống thông tin, giao dịch điện tử cần phải trọng vào số vấn đề sau: - Bảo mật thông tin khách... giao công nghệ chữ ký số cần tìm hiểu, nghiên cứu chúng Ở phạm vi đề tài đặt vấn đề nghiên cứu số giải pháp an tồn thơng tin giao dịch điện tử Đi sâu nghiên cứu, ứng dụng phương pháp chữ ký số,