Bảo mật website với ssl certificate

TR-ờng đại học vinh Khoa công nghệ thông tin ===  === b¶o mËt website víi ssl certificate khãa ln TốT NGHIệP đại học Giáo viên h-ớng dẫn: ThS nguyễn công nhật Sinh viên thực hiện: Trần thị kiều Lớp: 48B - CNTT Vinh - 2011 Khóa luận tốt nghiệp Bảo mật Website với SSL Certificate LỜI CẢM ƠN Em xin gửi lời cảm ơn chân thành tới quý thầy, cô giáo khoa công nghệ thông tin trường đại học vinh nói chung thầy giáo tổ mơn mạng máy tính truyền thơng nói riêng giúp đỡ tạo điều kiện cho em suốt q trình làm khóa luận Em xin chân thành cảm ơn thầy giáo Nguyễn Công Nhật giúp đỡ, bảo hướng dẫn tận tình Trong trình làm khóa luận, cố gắng khơng thể tránh khỏi thiếu sót Rất mong nhận ý kiến giúp đỡ thầy, cô để khóa luận em hồn thiện Em xin cảm ơn! Sinh viên thực Trần Thị Kiều GVHD:Th.s Nguyễn Cơng Nhật SV: Trần Thị Kiều Khóa luận tốt nghiệp Bảo mật Website với SSL Certificate MỤC LỤC LỜI MỞ ĐẦU DANH MỤC TỪ VIẾT TẮT CHƢƠNG I I 1.1.1 1.1.2 1.1.3 1.1.4 1.1.5 1.1.6 1.1.7 1.1.8 1.1.9 II 1.2.1 1.2.2 1.2.2.1 1.2.2.1 1.2.2.3 1.2.2.4 1.2.2.5 1.2.2.6 1.2.2.7 1.2.3 1.2.4 1.2.4.1 1.2.4.2 1.2.5 TỔNG QUAN VỀ SECURE SOCKET LAYER CERTIFICATE KHÁI NIỆM VỀ SECURE SOCKET LAYER CERTIFICATE Khái niệm Certificate (Chứng số): Tại cần chứng số ? Cách thức hoạt động Certificate Certificate Authority (CA) gì? Khái niệm Secure Socket Layer (SSL) Lịch sử phát triển giao thức SSL Cấu trúc giao thức SSL: 10 Tầm quan trọng SSL Certificate: 11 SSL Certificate ứng dụng thương mại điện tử 11 CHỨC NĂNG, HOẠT ĐỘNG CỦA SSL CERTIFICATE 12 Chức SSL Certificate 12 SSL Certificate chống lại gì? 13 Chống lại việc Hacking: 13 Chống lại việc sữa đổi mã: 13 Từ chối dịch vụ đính kèm: 13 Chống công trực tiếp: 14 Chống nghe trộm: 14 Chống lại giả mạo: 14 Chống mạo danh 14 Cách thức làm việc giao thức SSL Certificate 14 Phương pháp mã hóa liệu SSL 17 Mã hóa khóa bí mật: 17 Mã hóa khóa cơng khai: 17 Các thuật toán mã hóa xác thực SSL 18 GVHD:Th.s Nguyễn Công Nhật SV: Trần Thị Kiều Khóa luận tốt nghiệp Bảo mật Website với SSL Certificate CHƢƠNG II CÀI ĐẶT SSL CERTIFICATE TỪ VERISIGN.COM 20 I Các bước thực hiện: 20 II Chuẩn bị: 20 III Thực hiện: 20 2.1 Tạo file Request Certificate: 20 2.2 Xin SSL Certificate từ Verisign.com 26 2.3 Cấu hình Trusted Root Certificate Authority 31 2.4 Import SSL Certificate cho Web Server 36 2.5 Kiểm tra kết 42 CHƢƠNG III KẾT LUẬN 44 I ĐÁNH GIÁ KẾT QUẢ 44 3.1.1 Kết đạt giải pháp bảo mật Web với SSL Certificate 44 3.2.1 Những vấn đề chưa làm 44 II HƯỚNG PHÁT TRIỂN CỦA ĐỀ TÀI 44 III LỜI KẾT 45 TÀI LIỆU THAM KHẢO 46 NHẬN XÉT CỦA GIÁO VIÊN GVHD:Th.s Nguyễn Công Nhật SV: Trần Thị Kiều Khóa luận tốt nghiệp Bảo mật Website với SSL Certificate LỜI MỞ ĐẦU Trong thực tế nay, bảo mật thơng tin đóng vai trị thiết yếu khơng cịn “thứ yếu” hoạt động liên quan đến việc ứng dụng công nghệ thông tin Vai trị to lớn việc ứng dụng cơng nghệ thơng tin diễn sôi động, không túy quảng bá thơng tin, hình ảnh mà sử dụng thương mại điện tử, giao dịch trực tuyến …Vấn đề nảy sinh phạm vi ứng dụng ứng dụng Internet ngày mở rộng khả xuất lỗi bị công cao, trở thành đối tượng cho nhiều người cơng với nhiều mục đích khác Với cơng cụ tự động tìm lỗ hổng giúp ích nhiều cho nhà lập trình Web khơng thể ngăn chặn tồn cơng nghệ Web phát triển nhanh chóng (chủ yếu ý đến thẫm mỹ, tốc độ…) Nên dẫn đến nhiều khuyết điểm phát sinh Sự công không nằm khuôn khổ vài kỹ thuật phát mà linh động tăng lên tùy vào sai sót nhà quản trị hệ thống nhà lập trình ứng dụng Giao tiếp HTTP coi tốt cho máy chủ Web thông thường chứa trang thông tin túy Nhưng với trang thương mại điện tử dịch vụ Web cần giao dịch bảo mật, cần bảo mật giao tiếp máy chủ Web với máy khách hàng, cách thức phổ biến sử dụng Secure Socket Layer (SSL), cách thức dùng mã khóa cơng khai để bảo vệ thơng tin bí mật khách hàng (như số liệu thẻ tín dụng mật tài khoản ngân hàng) truyền qua môi trường Web Để biết thêm vai trò cách thức hoạt động SSL, em chọn đề tài “Bảo mật Website với Secure Socket Layer Certificate” làm đề tài khóa luận tốt nghiệp Qua đề tài cho thấy tầm quan trọng việc bảo mật thơng tin Internet Vai trị SSL Certififcate việc bảo mật Website GVHD:Th.s Nguyễn Công Nhật SV: Trần Thị Kiều Khóa luận tốt nghiệp Bảo mật Website với SSL Certificate I Mục tiêu: Tìm hiểu tầm quan trọng việc bảo mật Website trang web giao dịch thương mại điện tử Đưa giải pháp bảo mật Website cho tổ chức, doanh nghiệp Tìm hiểu cách thức hoạt động, bước cài đặt giao thức bảo mật SSL II Phƣơng pháp nghiên cứu:  Đọc kỹ nắm bắt yêu cầu khóa luận đề  Đi sâu vào việc tìm kiếm tài liệu trình bày cách hợp lý  Tiếp thu ý kiến đóng góp giáo viên hướng dẫn III Bố cục khóa luận gồm chƣơng:  Chương I: Tổng quan SSL Certificate  Chương II: Cài đặt SSL Certificate từ Verisign.com  Chương III: Kết luận GVHD:Th.s Nguyễn Cơng Nhật SV: Trần Thị Kiều Khóa luận tốt nghiệp Bảo mật Website với SSL Certificate DANH MỤC TỪ VIẾT TẮT SỐ HIỆU 10 11 12 13 14 15 16 17 18 19 CỤM TỪ Secure Socket Layer Công Nghệ Thông Tin Certificate Authority Identification Hypertext Transfer Protocol Hypertext Transfer Protocol Secure Internet Message Access Protocol Post Office Protocol Network Interface Controller Internet Protocol File Transfer Protocol Private Communication Technology Universal Resource Locator Rivest, Samir, Adleman Digital Signature Algorithm Data Encryption Standard Key Exchange Algorithm Message Digest algorithm Secure Hash Algorithm GVHD:Th.s Nguyễn Công Nhật VIẾT TẮT SSL CNTT CA ID HTTP HTTPS IMAP POP NIC IP FTP PCT URL RSA DSA DES KEA MD5 SHA SV: Trần Thị Kiều Khóa luận tốt nghiệp Bảo mật Website với SSL Certificate CHƢƠNG I TỔNG QUAN VỀ SECURE SOCKET LAYER CERTIFICATE I KHÁI NIỆM VỀ SECURE SOCKET LAYER CERTIFICATE 1.1.1 Khái niệm Certificate (Chứng số): Chứng số tệp tin điện tử, sử dụng để nhận dạng cá nhân, máy chủ, công ty vài đối tượng khác gắn danh đối tượng với khóa cơng khai (public key) Chứng số dùng để chứng thực danh bạn xem xét quyền truy nhập hệ thống dịch vụ bạn cách trực tuyến 1.1.2 Tại cần chứng số ? Internet đời đem lại nhiều lợi ích lớn cho người, nhân tố hàng đầu góp phần vào phát triển nhanh chóng giới, mở hội kinh doanh mua bán trực tuyến, dịch vụ ký nhận thông tin trực tuyến hay giao dịch ngân hàng…Chính khả kết nối rộng rãi mà nguy an tồn mạng máy tính lớn Đó nguy bị cơng mạng máy tính, công để lấy liệu, công nhằm mục đích phá hoại làm tê liệt hệ thống máy tính lớn, cơng để thay đổi sở liệu Các nguy bị công ngày nhiều ngày tinh vi hơn, nguy hiểm Chính vậy, doanh nghiệp, cơng ty thực công việc kinh doanh, trao đổi thông tin, ký kết hợp đồng thương mại Internet việc bảo đảm an tồn bảo mật cho thơng tin vấn đề quan trọng hàng đầu Điều công ty nhận thức cách rõ ràng, an toàn bảo mật trao đổi thơng tin qua mạng sách khơng thể thiếu họ Đã có nhiều giải pháp bảo mật cho mạng máy tính đưa dùng phần mềm, chương trình để bảo vệ tài nguyên, tạo tài khoản truy xuất mạng địi hỏi có mật khẩu…nhưng giải pháp bảo vệ phần mạng máy tính mà thơi, kẻ phá hoại mạng máy tính thâm nhập sâu vào bên mạng có nhiều cách để phá hoại hệ thống liệu Giải pháp khác cho vấn đề dùng chứng số, đảm bảo an ninh nhiều so với phương pháp bảo mật khác Chứng GVHD:Th.s Nguyễn Công Nhật SV: Trần Thị Kiều Khóa luận tốt nghiệp Bảo mật Website với SSL Certificate số chứng thực Website giao dịch bạn bảo mật an toàn quan an ninh mạng đáng tin cậy Đối với công ty sử dụng chứng số nhà cung cấp chứng số thẩm định rõ ràng tồn họ sở pháp lý, điều làm tăng tin tưởng khách hàng vào doanh nghiệp Và xa cung cấp mức pháp lý cho khách hàng họ tham gia giao dịch với doanh nghiệp nhà cung cấp chứng chứng thực cho việc cấp chứng số 1.1.3 Cách thức hoạt động Certificate Chứng số kết hợp danh với cặp khóa, cặp khóa dùng để xác thực giao dịch máy chủ máy khách, giúp cho việc mã hóa giải mã thông tin sau Trong chứng số chứa khóa gắn tên đối tượng (như tên nhân viên hay server) Chứng số giúp ngăn chặn việc sử dụng khóa cơng khai cho việc giả mạo Chỉ có khóa cơng khai chứng thực chứng số làm việc với khóa riêng (private key) tương ứng sở hữu đối tượng có danh chứng thực nằm chứng số Ngồi khóa cơng khai chứng số cịn chứa thêm tên đối tượng mà nhận diện, hạn dùng, tên nhà cấp chứng số (Certificate Authority-viết tắt CA), mã số thứ tự thông tin khác Điều quan trọng chứng số chứa chữ ký số CA cấp chứng số Nó cho phép chứng số đóng dấu người sử dụng biết tin cậy vào CA Chứng số đảm bảo an toàn cho giao dịch tổ chức doanh nghiệp, cá nhân thông qua mạng 1.1.4 Certificate Authority (CA) gì? Đây tổ chức tin cậy phát hành chứng thực điện tử (electronic certificate) cho đối tác cần trao đổi thông tin, giao dịch với thông qua phương tiện giao tiếp điện tử như: Internet, Smartcard, Security card…CA cung cấp quản lý electronic certificate cho đối tác như: kiểm tra đối tác đăng kí (registration), cấp phát (issue), thu hồi certificate GVHD:Th.s Nguyễn Công Nhật SV: Trần Thị Kiều Khóa luận tốt nghiệp Bảo mật Website với SSL Certificate CA cấu trúc theo mơ hình phân cấp X.500 cho phép phân cấp chứng thực cho đối tác khác (intermediate) Các thông tin certificate bao gồm public key server, tên đối tác đăng kí, Algorithm ID dùng để kí lên certificate, ngày hết hạn certificate, tên tổ chức CA cấp phát Các trusted CA bảo đảm đầy đủ ba yếu tố cho đối tác sử dụng trusted certificate là: CONFIDENTIALITY: Khơng đọc nội dung giao dịch INTEGRITY: Đảm bảo tính tồn vẹn liệu, khơng chỉnh sửa lại liệu AUTHENTICATION: Bảo đảm tính xác thực đối tác đăng ký, khơng giả mạo 1.1.5 Khái niệm Secure Socket Layer (SSL) SSL giao thức đa mục đích thiết kế để tạo giao tiếp hai chương trình ứng dụng cổng định trước (socket 443) nhằm mã hóa tồn thông tin đi/đến, sử dụng giao dịch điện tử truyền số liệu thẻ tín dụng, mật khẩu, số bí mật cá nhân (mã Pin) Internet Vậy SSL Certificate gì? SSL dùng chứng nhận số phát hành nhà cung cấp chứng nhận (CA) hợp lệ để xác thực cho hai bên giao dịch (máy khách máy chủ) Chứng số cung cấp chứng thực cho khóa public key private key để mã hóa giải mã liệu SSL mã hóa, nhằm đảm bảo tính bí mật, an tồn thơng tin 1.1.6 Lịch sử phát triển giao thức SSL Giao thức SSL hình thành phát triển vào năm 1994 nhóm nghiên cứu Netscape dẫn dắt Elgammal ngày thành chuẩn bảo mật thực hành internet Cho đến bây giờ, có phiên SSL: SSL 1.0: Được sử dụng nội Netscape Communications Nó chứa số khiếm khuyết nghiêm trọng không tung bên ngồi GVHD:Th.s Nguyễn Cơng Nhật SV: Trần Thị Kiều Khóa luận tốt nghiệp Bảo mật Website với SSL Certificate - Trong cửa sổ Root CA Certificate chọn Select All - Dán nội dung vào Notepad ghi lại với tên ca.cer GVHD:Th.s Nguyễn Công Nhật 33 SV: Trần Thị Kiều Khóa luận tốt nghiệp Bảo mật Website với SSL Certificate - Mở Internet Explorer, vào Tool chọn Internet Options, qua tab Content chọn Certificate - Trong hộp thoại Certificates chọn Import GVHD:Th.s Nguyễn Công Nhật 34 SV: Trần Thị Kiều Khóa luận tốt nghiệp Bảo mật Website với SSL Certificate - Hộp thoại Welcome to the Certificate Import Wizard chọn Next - Hộp thoại File Import, chọn Browse, trỏ đường dẫn đến C:\ca.cer, chọn Next GVHD:Th.s Nguyễn Công Nhật 35 SV: Trần Thị Kiều Khóa luận tốt nghiệp Bảo mật Website với SSL Certificate - Hộp thoại Certificate Store, chọn Automatically select the certificate store based on the type of certificate, chọn Next, chọn Finish - Hộp thoai Security Warning, thơng báo bạn có muốn cài đặt certificate không, chọn Yes 2.4 Import SSL Certificate cho Web Server - Đăng nhập vào hộp mail, mở mail đến từ support@verisign.com, copy tồn phần BEGIN CERTIFICATE hình GVHD:Th.s Nguyễn Cơng Nhật 36 SV: Trần Thị Kiều Khóa luận tốt nghiệp Bảo mật Website với SSL Certificate - Dán nội dung vào Notepad, ghi lại với tên cert.txt GVHD:Th.s Nguyễn Cơng Nhật 37 SV: Trần Thị Kiều Khóa luận tốt nghiệp Bảo mật Website với SSL Certificate - Mở Internet Information Service (IIS) Manage, chuột phải Default Web Site, chọn Properties - Trong cửa sổ Default Web Site Properties, qua tab Directory Security, chọn Server Certificate, hộp thoại chọn Next GVHD:Th.s Nguyễn Công Nhật 38 SV: Trần Thị Kiều Khóa luận tốt nghiệp Bảo mật Website với SSL Certificate - Hộp thoại Pending Certificate Request, chọn Process the pending request and install the certificate, chọn Next - Hộp thoại Process a Pending Request, chọn Browse, đến đường dẫn C:\cert.txt, chọn Next GVHD:Th.s Nguyễn Công Nhật 39 SV: Trần Thị Kiều Khóa luận tốt nghiệp Bảo mật Website với SSL Certificate - Hộp thoại SSL Port, giữ mặc định Port 443, chọn Next lần, chọn Finish Một có chứng nhận, bạn bảo mật Website theo bước sau: Trên thẻ Directory Security, trang Properties site, phần Secure Communications, nhấp chuột vào nút Edit (có nút edit, chọn nút Secure Communications) GVHD:Th.s Nguyễn Công Nhật 40 SV: Trần Thị Kiều Khóa luận tốt nghiệp Bảo mật Website với SSL Certificate - Chọn vào nút có nhãn Require secure channel (SSL) đầu hộp thoại Secure Communication Dưới mục Client Certificate, có tùy chọn: bỏ qua chứng nhận máy khách, chấp nhận chứng nhận máy khách, yêu cầu chứng nhận máy khách (cái bảo mật nhất) GVHD:Th.s Nguyễn Cơng Nhật 41 SV: Trần Thị Kiều Khóa luận tốt nghiệp Bảo mật Website với SSL Certificate Sau cài đặt cấu hình xong, nhấp Ok để đóng IIS 2.5 Kiểm tra kết - Mở Internet Explorer, truy cập https://www.athena.biz, kiểm tra truy cập thành công GVHD:Th.s Nguyễn Công Nhật 42 SV: Trần Thị Kiều Khóa luận tốt nghiệp Bảo mật Website với SSL Certificate Khi website sử dụng SSL certificate verisign trình duyệt web có dịng chữ https thay cho http thơng thường xuất ổ khóa màu vàng hình Hiện số ngân hàng thực giao dịch trực tuyến sử dụng SSL certificate để bảo mật thông tin trao đổi với khách hàng như: https://www.vietcombank.com.vn/ibanking/ https://tib.techcombank.com.vn GVHD:Th.s Nguyễn Công Nhật 43 SV: Trần Thị Kiều Khóa luận tốt nghiệp Bảo mật Website với SSL Certificate CHƢƠNG III KẾT LUẬN I ĐÁNH GIÁ KẾT QUẢ 3.1.1 Kết đạt đƣợc giải pháp bảo mật Web với SSL Certificate - Đã thực tốt chức bảo vệ bảo mật mạng máy tính cho doanh nghiệp, tổ chức… - Việc cài đặt, xin cấp phần mềm bảo mật tương đối dễ dàng, đơn giản - Các chức cập nhật phiên hoạt động tốt - Các chức cảnh báo, thông báo phần mềm dễ nhận thấy cho người sử dụng - Hỗ trợ tương đối tốt cho người dùng, tạo niềm tin cho khách hàng doanh nghiệp sử dụng bảo mật SSL Certificate 3.2.1 Những vấn đề chƣa làm đƣợc - Chưa tìm hiểu kỹ kỹ thuật lập trình giao thức SSL - Chưa tìm hiểu hết thuật tốn mã hóa giao thức SSL - Việc triển khai tìm hiểu chưa có nhiều điều kiện thực tế, nhiều vấn đề qua tài liệu II HƢỚNG PHÁT TRIỂN CỦA ĐỀ TÀI Trên sở việc làm chưa làm thực đề tài, Em xin đưa số ý kiến nhằm bước hồn thiện đề tài: - Tìm hiểu kỹ kỹ thuật lập trình giao thức SSL - Đưa giải pháp bảo mật web tối ưu để doanh nghiệp ứng dụng rộng rãi - Xây dựng chương trình bảo mật web với SSL certificate có tính thực tiễn cao GVHD:Th.s Nguyễn Cơng Nhật 44 SV: Trần Thị Kiều Khóa luận tốt nghiệp Bảo mật Website với SSL Certificate III LỜI KẾT Trong trình tìm hiểu làm luận văn em nhận nhiều ý kiến đóng góp nội dung cách trình bày Em xin cảm ơn Thạc sỹ Nguyễn Công Nhật thầy, cô khoa công nghệ thông tin tận tụy hướng dẫn bảo Mặc dù luận văn thể phần hiểu biết vấn đề có mặt làm chưa làm nêu Em mong nhận đóng góp ý kiến bổ sung thầy cô để luận văn hoàn thiện Em xin chân thành cảm ơn! GVHD:Th.s Nguyễn Công Nhật 45 SV: Trần Thị Kiều Khóa luận tốt nghiệp Bảo mật Website với SSL Certificate TÀI LIỆU THAM KHẢO Tiếng Việt [1] Nguyễn Công Nhật, “An toàn mạng”, giảng Khoa CNTT- Đại học Vinh, Lưu hành nội [2] Nguyễn Bá Quang, “Thiết kế cài đặt mạng “, Đại học Cần Thơ - Khoa CNTT [3] Nguyễn Công Nhật, “Quản trị mạng ”, giảng Khoa CNTT - Đại học Vinh, Lưu hành nội [4] Nguyễn Công Nhật “ Thiết kế mạng “, giảng Khoa CNTT - Đại học Vinh, Lưu hành nội Tài liệu Internet [5] http://www.quantrimang.com [6] http://www.verisign.com [7] http://www.chungchiso.com GVHD:Th.s Nguyễn Công Nhật 46 SV: Trần Thị Kiều Khóa luận tốt nghiệp Bảo mật Website với SSL Certificate NHẬN XÉT CỦA GIÁO VIÊN GVHD:Th.s Nguyễn Công Nhật 47 SV: Trần Thị Kiều ... luận tốt nghiệp Bảo mật Website với SSL Certificate CHƢƠNG III KẾT LUẬN I ĐÁNH GIÁ KẾT QUẢ 3.1.1 Kết đạt đƣợc giải pháp bảo mật Web với SSL Certificate - Đã thực tốt chức bảo vệ bảo mật mạng máy... nghiệp Bảo mật Website với SSL Certificate - Dán nội dung vào Notepad, ghi lại với tên cert.txt GVHD:Th.s Nguyễn Công Nhật 37 SV: Trần Thị Kiều Khóa luận tốt nghiệp Bảo mật Website với SSL Certificate. .. nghiệp Bảo mật Website với SSL Certificate Toàn cấp độ bảo mật an toàn liệu phụ thuộc số tham số sau: - Số nhận dạng theo phiên làm việc ngẫu nhiên - Cấp độ bảo mật thuật toán bảo mật áp dụng cho SSL