Nghiên cứu một số giải pháp an toàn và bảo mật thông tin trong các giao dịch thương mại điện tử (tt)

1 HỌC VIỆN CƠNG NGHỆ BƯU CHÍNH VIỄN THƠNG MỞ ĐẦU Trong thương mại truyền thống việc diễn đơn giản, người mua trả tiền, người bán giao hàng Nhưng giao dịch thương mại điện tử, để thực thao tác giao nhận vấn đề Nếu khơng có chế an tồn bảo mật, người mua khơng biết liệu có phải giao dịch với nhà cung cấp thật khơng, ngược lại người bán khơng biết có phải giao dịch NGUYỄN MINH QUANG với chủ nhân thực thẻ tín dụng khơng Nếu chế không đảm bảo, hoạt động giao dịch thương mại điện tử sụp đổ hoàn NGHIÊN CỨU MỘT SỐ GIẢI PHÁP AN TỒN VÀ BẢO MẬT THƠNG TIN TRONG CÁC GIAO DỊCH THƯƠNG MẠI ĐIỆN TỬ Chuyên ngành: Khoa học máy tính Mã số: 60.48.o1 tồn Cùng với phát triển thương mại điện tử, kèm theo vấn đề an tồn thơng tin hoạt động giao dịch nên lựa chọn đề tài “Nghiên cứu số giải pháp an toàn bảo mật thông tin giao dịch thương mại điện tử” với mục đích nghiên cứu kỹ thuật xây dựng ứng dụng minh họa đảm bảo Người hướng dẫn khoa học: TS PHẠM THẾ QUẾ cho giao dịch điện tử Nội dung Luận văn sau: Chương 1: Thương mại điện tử - Khái niệm cơng nghệ TĨM TẮT LUẬN VĂN THẠC SĨ Chương 2: Chữ ký số ứng dụng giao dịch thương mại điện tử Chương 3: Xây dựng ứng dụng chữ ký điện tử việc trao HÀ NỘI – 2012 đổi chứng từ điện tử 3 Chương THƯƠNG MẠI ĐIỆN TỬ - KHÁI NIỆM VÀ CƠNG NGHỆ 1.2 Các hình thức hoạt động chủ yếu thương mại điện tử Dựa vào chủ thể thương mại điện tử, phân chia thương mại điện tử loại hình phổ biến sau: 1.1 Tổng quan thương mại điện tử Thương mại điện tử (còn gọi thị trường điện tử, thị trường ảo, E- - Giao dịch doanh nghiệp với doanh nghiệp - B2B (business to Commerce hay E-Business) quy trình mua bán ảo thơng qua việc business); truyền liệu máy tính sách phân phối tiếp - Giao dịch doanh nghiệp với khách hàng - B2C (business to thị Tại mối quan hệ thương mại hay dịch vụ trực tiếp consumer); người cung cấp khách hàng tiến hành thông qua Internet - Giao dịch doanh nghiệp với quan nhà nước - B2G (business Hiện định nghĩa thương mại điện tử nhiều tổ chức quốc tế đưa song chưa có định nghĩa thống thương mại điện tử Khái niệm thương mại điện tử (TMĐT) phải bao hàm nội dung sau: − Đó phải hoạt động kinh doanh thương mại, tức phản ảnh to government); - Giao dịch trực tiếp cá nhân với - C2C (consumer to consumer); - Giao dịch quan nhà nước với cá nhân - G2C (government to consumer) 1.3 Các phương thức giao dịch hoạt động mua bán hàng hoá dịch vụ thơng qua chu trình kinh Các doanh nghiệp, quan Nhà nước, sử dụng thư điện tử để doanh thương mại: chào hàng, chào giá, đàm phán mua bán, ký hợp đồng gửi thư cho cách “trực tuyến” thông qua mạng, gọi thư mua bán, vận chuyển giao hàng, lý hợp đồng toán điện tử (electronic mail, viết tắt e-mail) − Việc kinh doanh thương mại phải thực mơi trường đặc biệt mơi trường mạng máy tính nói chung đặc biệt mạng internet − Công nghệ thông tin tạo môi trường phát triển công nghệ cho TMĐT phát triển Công nghệ thông tin mở loại hàng Thanh toán điện tử (electronic payment) việc toán tiền thơng qua thư điện tử (electronic message) ví dụ, trả lương cách chuyển tiền trực tiếp vào tài khoản, trả tiền mua hàng thẻ mua hàng, thẻ tín dụng v.v thực chất dạng toán điện tử Trao đổi liệu điện tử (electronic data interc hange, viết tắt EDI) việc trao đổi liệu dạng “có cấu trúc” (stuctured hoá dịch vụ đặc trưng hàng hoá dịch vụ số (hàng hoá dịch vụ form), từ máy tính điện tử sang máy tính điẹn tử khác, phi vật thể số hoá giao hàng qua mạng) góp phần vào công ty đơn vị thỏa thuận buôn bán với việc phát triển hình thức thương mại điện tử 5 Dung liệu (content) nội dung hàng hóa số, giá trị khơng phải vật mang tin nằm thân nội dung Hàng hố số giao qua mạng Ví dụ hàng hố số là: Tin tức, nhạc phim, chương trình phát thanh, truyền hình, Chương CHỮ KÝ SỐ VÀ ỨNG DỤNG TRONG CÁC GIAO DỊCH THƯƠNG MẠI ĐIỆN TỬ 2.1 Bảo mật giao dịch điện tử Để đảm bảo an toàn tuyệt đối khó, chí khơng thể, chương trình phần mềm, ý kiến tư vấn, vé máy bay, vé xem mà tạo rào cản đủ để ngăn chặn xâm phạm An phim, xem hát, hợp đồng bảo hiểm, v.v Trước đây, dung liệu tồn tích hợp việc kết hợp tất biện pháp với nhằm ngăn trao đổi dạng vật (physical form) cách đưa vào đĩa, chặn việc khám phá, phá huỷ sửa đổi trái phép tài sản vào băng, in thành sách báo, thành văn bản, đóng gói bao bì chuyển Thơng tin liệu xem đảm bảo độ an toàn đến tay người sử dụng, đến điểm phân phối (như hàng, quầy tội phạm cơng khai thác hiệu lực sử dụng báo v.v.) để người sử dụng mua nhận trức tiếp Ngày nay, dung Trong giao dịch điện tử với quy mơ tồn cầu, có tham gia liệu số hóa truyền gửi theo mạng, gọi “giao gửi số hóa” (digital delivery) 1.4 Cơ hội thách thức Theo nghiên cứu Tổ chức Liên hiệp Quốc Thương mại nhiều người, nhiều thành phần, thiết bị việc khẳng định độ tin cậy thời gian dài thách thức 2.2 Các kỹ thuật đảm bảo an toàn cho giao dịch điện tử 2.2.1 Mã hóa đối xứng Phát triển - UNCTAD năm 2003, để phát triển Thương mại điện tử Phương pháp mã hóa khóa bí mật (secret key cryptography) cịn có 25 hoạt động nước cần triển khai từ thấp đến cao Theo mơ gọi mã hóa đối xứng (symmetric cryptography) Với phương hình trên, vấn đề quan trọng nước cần quan tâm để pháp này, người gửi người nhận dùng chung khóa để mã phát triển Thương mại điện tử gồm: Nhận thức, Nối mạng, Nhân lực Nội dung (4N) Những vấn đề khó khăn Thương mại điện tử gồm: toán trực tuyến, an ninh, bảo mật giao dịch thương mại điện tử, chứng thực điện tử quốc tế hóa giải mã liệu Trước mã hóa liệu để truyền mạng, hai bên gửi nhận phải có khóa phải thống thuật tốn dùng để mã hóa giải mã Có nhiều thuật tốn ứng dụng cho mã hóa khóa bí mật như: DES - Data Encrytion Standard, 3DES - triplestrength DES, RC2 - Rons Cipher RC4, v.v Hình 2.2 Mã hố giải mã với hai khố 2.2.3 Xác thực thơng báo qua hàm băm Hàm băm có đầu vào thơng báo M có kích thước thay đổi, Hình 2.1 Mơ hình mã hố đối xứng đầu mã băm H(M) có kích thước cố định Mã hàm băm 2.2.2 Mã hố cơng khai Vào năm 1970 Diffie Hellman phát minh một hàm tất bit có thơng báo, đồng thời cung cấp hệ mã hố gọi hệ mã hố cơng khai hay hệ mã hố phi thơng báo dẫn đến kết mã băm thay đổi theo Mục đối xứng.Phương pháp mã hóa khóa cơng khai (public key đích mã băm tạo fingerprint (dấu vân tay) cho tệp, cryptography) giải vấn đề phương pháp mã hóa thơng báo hay khối liệu Để đáp ứng việc xác thực thơng khóa bí mật sử dụng hai khóa public key private key Public key báo, hàm băm H phải bao gồm tính chất khả phát lỗi: Nếu A thay đổi bit nhiều bit gửi cơng khai mạng, private key giữ kín  H áp dụng cho khối liệu có kích cỡ Public key private key có vai trị trái ngược nhau, khóa dùng  Đầu H có độ dài cố định để mã hóa khóa dùng để giải mã Phương pháp cịn  Dễ tính tốn H(x) với x cho trước gọi mã hóa bất đối xứng (asymmetric cryptography) sử dụng hai khóa khác để mã hóa giải mã liệu Phương pháp sử dụng thuật toán mã hóa RSA (tên ba nhà phát minh nó: Ron Rivest, Adi Shamir Leonard Adleman) thuật toán DH (Diffie-Hellman)  Với mã h cho trước, khơng thể tìm x thoả mãn H(x)=h  Với khối x cho trước, khơng thể tìm y  x cho H(y) = H(x) tức khả trùng lặp Khơng tìm thấy cặp (x,y) cho H(x) = H(y), điều nhấn mạnh khả không bị va chạm 9 10 2.3 Chữ ký số Chữ ký số (digital signature), dạng chữ ký điện tử, 2.4 Chữ ký mù đoạn liệu ngắn đính kèm với văn gốc để chứng thực tác giả yêu cầu chữ ký phải xác thực(chỉ người ký , ký văn giúp người nhận kiểm tra tính tồn vẹn nội dung nhiều báo cáo) kiểm tra chung (bất kỳ người có Khái niệm chữ ký mù trước hết giới thiệu : Chúng thể kiểm tra xem liệu chữ ký báo cáo có khơng) văn gốc Trong trình ký người dùng tương tác với người Chữ ký số tạo cách áp dụng thuật toán băm chiều văn gốc để tạo phân tích văn bản/văn tóm lược (message digest) hay cịn gọi fingerprint, sau mã hóa ký có chữ ký Trong thời gian tương tác người ký khơng thể nhìn thấy nội dugn tài liệu mà ký Ý tưởng thực khái niệm chữ ký private key tạo chữ ký số đính kèm với văn gốc để gửi nhận, văn tách làm phần, phần văn gốc tính lại fingerprint để so sánh với fingerprint cũ phục hồi từ việc RSA Nếu người ký có khóa cơng khai RSA(n,e) va khóa bí mật tương ứng d, ký báo cáo m Một người giải mã chữ ký số xác minh cách kiểm tra xem liệu m=se mod n? ý cách lập mã giải mã hệ thống mã RSA việc ký báo cáo xác minh chữ ký Giả sử người thỉnh cầu muốn đạt chữ ký báo cáo m Người khơng muốn để lộ thơng tin báo cáo m cho biết , kể người ký Người ký yêu cầu ký vào báo cáo mù,mà khơng biết ký 2.5 Giao thức SSL SET 2.5.1 Cơ chế bảo mật SSL (Secure Socket Layer) Giao thức SSL phát triển lần Nescape nhằm đảm bảo tính an tồn truyền liệu, định tuyến thơng qua Hình 2.3 Mơ hình mã hóa giao thức HTTP, LDAP, POP3 tầng ứng dụng SSL thiết kể để sử dụng TCP, cung cấp kết nối xác thực an toàn hai điểm mạng 11 12 2.5.2 Cơ chế bảo mật SET (Secure Electronic Transaction) Để khắc phục hạn chế SSL, Visa MasterCard để xác định nguồn gốc, ngăn chặn người gửi chối cãi nguồn gốc phát triển giao thức an toàn hơn, gọi SET Vậy chúng số gì? DC file điện tử dùng để xác (Secure Electronic Transaction) Giao thức SET đáp ứng yêu định thực danh tính cá nhân, máy chủ hay ct, tổ cầu bảo mật cho TMĐT giống SSL Ngoài ra, SET xác định chức Internet Cũng giấy tờ chứng thực cá nhân khác, hình thức thơng điệp, hình thức chứng thực, thể thức trao đổi DC phải tổ chức đứng chứng nhận thông tin thông điệp xác Tổ chức gọi nhà cung cấp chứng số tài liệu họ gửi Nhà cung cấp chứng số CA (Certificate Authority) phải đảm bảo 2.6 Cơ sở hạ tầng khóa cơng khai Hiện giao tiếp qua Internet chủ yếu sử dụng giao thức độ tin cậy, chịu trách nhiệm độ xác DC mà cung cấp cho khách hàng TCP/IP, mà giao thức cho phép thông tin gửi từ máy Nhà cung cấp chứng số (hoặc quan chứng thực) tính đến máy tính khác thơng qua máy trung gian tổ chức chuyên đưa quan rlý nội dung xác thực bảo mật mạng riêng biệt Chính điều tạo hội cho kẻ cơng mạng máy tính, với khố cơng khai để mã hố thơng lấy cắp thơng tin nhạy cảm Vì thế, khách tin Một CA kiểm soát với nhà quản lý đăng ký để xác hàng muốn tham gia giao dịch điện tử lo sợ thông tin bị minh thơng tin chứng số mà người yêu cầu xác thực đưa rò rỉ, chí bị đánh cắp, nên họ cần đến tổ chức an tồn Nếu nhà quản lý xác thực thông tin người cần xác thực CA tin tưởng sau đưa chứng số Biện pháp nhiều người thực để bảo mật mã hoá Tuỳ thuộc vào việc triển khai sở hạ tầng khố cơng khai thơng tin Một mã hố liệu, q trình truyền, có (PKI) mà chứng bao gồm thông tin Thông thường, bị đánh cắp bọn tội phạm khơng thể đọc Khi liệu bao gồm khố cơng khai người sở hữu nó, thời hạn hết hiệu đến đích, người nhận sử dụng cơng cụ để giải mã lực chứng chỉ, tên chủ sở hữu thông tin quan trọng khác Và phương pháp mà người tổ chức sử dụng để mã hố thơng tin chứng số DC (Digital Certificate) Với chứng số (DC), người sử dụng mã hố thơng tin, chống giả mạo xác thực danh tính người gửi Ngồi ra, DC cịn công cụ 13 14 Chương XÂY DỰNG ỨNG DỤNG CHỮ KÝ ĐIỆN TỬ TRONG VIỆC TRAO ĐỔI CÁC CHỨNG TỪ ĐIỆN TỬ 3.1 Giới thiệu Trên thực tế, chữ ký điện tử (Digital Signature) ứng dụng rộng rãi ứng dụng mạng Một ứng dụng Hình 3.1 Minh họa hàm băm Thuật toán MD5 (Message Digest 5), Ronald Rivest thi ết kế năm quan trọng chữ ký điện tử đảm bảo an toàn liệu truyền 1991, xây dựng hàm băm để mã hóa tín hiệu vào có chiều mạng dài đưa tín hiệu (Digest) đầu có chiều dài cố Nhằm giải vấn đề xử lý giao dịch trao đổi văn bản, hóa định 128 bit (tương ứng với 32 chữ số hệ 16) đơn, hợp đồng…trên mạng, đến có nhiều giải pháp liên quan Dưới ví dụ mơ tả kết sau thực hàm băm đến vấn đề mã hóa văn bản, tơi chọn đề xuất giải pháp ứng MD5 dụng chữ ký điện tử sở kết hợp thuật toán băm MD5 - MD5("xin chao") = 2201c07c37755e663c07335cfd2f44c6 thuật toán mã hóa RSA q trình gửi nhận tệp văn Chỉ cần thay đổi nhỏ (chẳng hạn viết hoa chữ x thành X) hệ thống phần mềm quản lý làm thay đổi Bảo mật thông tin lĩnh vực rộng, nên bước khởi đầu hoàn toàn kết trả : để tiếp tục nghiên cứu ứng dụng thuật tốn mã hóa - MD5("Xin chao") = e05c1d9f05f5b9eb56fe907c36f469d8 việc xây dựng ứng dụng Trong chương này, trình bày giải Thuật tốn cho kết chuỗi rỗng : pháp ứng dụng chữ ký điện tử sử dụng MD5, RSA xây dựng ứng - MD5(" ") = d41d8cd98f00b204e9800998ecf8427e dụng thử nghiệm 3.2.2 Thuật toán RSA 3.2 Xây dựng chương trình 3.2.1 Thuật tốn MD5 Phương pháp sử dụng thuật tốn mã hóa khóa cơng khai RSA (được đặt tên từ ba nhà phát minh Ron Rivest, Adi Shamir Hàm băm (Hash Function) nh ận giá trị vào (Input) m ột thông Leonard Adleman), sử dụng nhiều nhất, thuật toán sử dụng biểu điệp M có chiều dài bất kỳ, để biến (băm) thành giá trị h đầu thức với hàm mũ để mã hóa gốc thành khối, khối có (Output) có chiều dài cố định, h gọi giá trị băm (Hash giá trị nhị phân nhỏ n Value) 15 16 Giả sử khối gốc người gửi M khối mã người nhận C, q trình mã hóa giải mã RSA là: C = Me mod n File ban đầu Khóa bí mật người gửi Kr = {d,n} M = Cd mod n Cả người gửi người nhận phải biết giá trị n Người gửi biết giá trị e người nhận biết giá trị d Đây thuật tốn Hàm băm MD5 mã hóa khóa cơng khai với khóa cơng khai KU = {e,n} khóa riêng Mã hóa RSA Bản tóm lược M KR = {d,n} Chọn số nguyên tố p q Chữ ký điện tử S = Md mod n Thông điệp ký Kết hợp file n = p.q M Gử Thông điệp nhận Φ(n) = (p-1)(q-1) Chọn e < n Tính d = e-1 mod Φ(n) C = Me mod n Khóa bí mật Kr = {d,n} M = Cd mod n M Khóa cơng khai người gửi File ban đầu Tách file Chữ ký Khóa cơng khai Ku = {e,n} Hàm băm MD5 Giải Có Giải mã Hình 3.2 Sơ đồ biểu diễn thuật tốn mã hóa RSA Bản tóm lược M’ Đúng người gửi Khơng Khơng 3.2.3 Q trình gửi nhận văn Khơng người gửi Bản tóm lược M Giống File bị thay đổi Có File tồn vẹn Hình 3.3 Sơ đồ mơ tả q trình gửi nhận tệp văn 17 18 3.2.3.1 Quá trình ký gửi văn - Từ file cần gửi ban đầu, chương trình sử dụng hàm băm MD5 đ ể mã hóa thành chuỗi ký tự dài 128 bit, hash value (gọi tóm lược) - Chương tr ình sử dụng thuật tốn RSA để mã hóa khóa riêng (private key) người gửi tóm lược hash value thành dạng khác (giá trị băm dạng mật mã) gọi chữ ký điện tử - Kết hợp file ban đầu với chữ ký điện tử thành thông điệp ký gửi cho người nhận 3.2.3.2 Quá trình nhận văn Sau người nhận đăng nhập vào hệ thống thực việc nhận tệp văn Hệ thống tách thông điệp ký thành file chữ ký điện tử Đến giai đoạn có q trình kiểm tra : a Kiểm tra file có người gửi hay khơng? - Sử dụng thuật tốn RSA để giải mã chữ ký điện tử khóa cơng khai (username) người gửi - Nếu giải mã khơng file nhận không người gửi - Nếu giải mã thành cơng file nhận người gửi có Bản tóm lược b Kiểm tra file có bị thay đổi hay khơng? - Từ file tách ta sử dụng hàm băm MD5 mã hóa thành Bản tóm lược - Kiểm tra Bản tóm lược Bản tóm lược có giống hay khơng? Nếu giống file nhận vẹn tồn (khơng bị thay đổi hay tác động), ngược lại file bị thay đổi 3.2.4 Cài đặt chương trình Tạo khóa Ký văn Xác nhận chữ ký 19 20 KẾT LUẬN Trong đề tài tìm hiểu thương mại điện tử, thuận lợi khó khăn triển khai đảm bảo an toàn giao dịch Đưa giải pháp an tồn sở mã hóa thơng tin Hồn thành q trình nghiên cứu số giải pháp bảo mật chứng thực giao dịch, mục tiêu an toàn hệ thống dựa thuật tốn nghiên lý mật mã xây dựng Trường hợp văn chữ ký khơng tồn vẹn phương pháp bảo mật chứng thực giao dịch điện tử thơng qua thuật tốn RSA hàm băm MD5 Tác giả vận dụng kiến thức nghiên cứu để xây dựng chương trình minh họa chữ ký số sử dụng RSA hàm băm MD5 Tuy nhiên luận văn hạn chế chưa áp dụng thực nghiệm giao dịch trực tuyến Thời gian nghiên cứu có hạn chắn khơng tránh sai sót mong đóng góp thầy giáo bạn 21 ... LUẬN Trong đề tài tìm hiểu thương mại điện tử, thuận lợi khó khăn triển khai đảm bảo an toàn giao dịch Đưa giải pháp an tồn sở mã hóa thơng tin Hồn thành q trình nghiên cứu số giải pháp bảo mật. .. nhạc phim, chương trình phát thanh, truyền hình, Chương CHỮ KÝ SỐ VÀ ỨNG DỤNG TRONG CÁC GIAO DỊCH THƯƠNG MẠI ĐIỆN TỬ 2.1 Bảo mật giao dịch điện tử Để đảm bảo an toàn tuyệt đối khó, chí khơng thể,...3 Chương THƯƠNG MẠI ĐIỆN TỬ - KHÁI NIỆM VÀ CƠNG NGHỆ 1.2 Các hình thức hoạt động chủ yếu thương mại điện tử Dựa vào chủ thể thương mại điện tử, phân chia thương mại điện tử loại hình phổ