Bảo mật thông tin trong thương mại điện tử: Từ cơ bản tới nâng cao

Các loại thị trường điện tử

Một thị trường ngang tập trung vào một quy trình kinh doanh riêng lẻ nhất định, ví dụ nhƣ lĩnh vực cung cấp: nhiều doanh nghiệp có thể từ các nghành khác nhau tham gia như là người mua và liên hệ với một nhóm nhà cung cấp. Các ngân hàng và tổ chức tín dụng hiện nay sử dụng các phương pháp này nhằm mục đích nâng cao hiệu quả hoạt động trong bối cảnh phát triển của nền kinh tế số, với một số lợi ích như giảm chi phí xử lý, chi phí công nghệ và tăng cường thương mại trực tuyến.

Công nghệ thanh toán điện tử

Trước khi khách hàng thanh toán tiền kỹ thuật số đến người bán, nó xác nhận cả người mua và máy bán hàng tự động để đảm bảo rằng tiền đi đến đúng nơi cung cấp tiền điện tử Cyberrcash. Trong một giao dịch điện tử, các khâu kiểm tra hối đoái, tiến hành thủ tục thanh toán sẽ diễn ra ngay lập tức khi khách hàng gửi lệnh yêu cầu chuyển tiền để thanh toán cho một giao dịch mua bán trên mạng.

Quy trình thanh toán điện tử

Về phương diện lịch sử, mật mã học gắn liền với quá trình mã hóa; điều này có nghĩa là nó gắn với các cách thức để chuyển đổi thông tin từ dạng này sang dạng khác nhƣng ở đây là từ dạng thông thƣòng có thể nhận thức đƣợc thành dạng không thể nhận thức đƣợc, làm cho thông tin trở thành dạng không thể đọc đƣợc nếu nhƣ không có các kiến thức bí mật. Trong những năm gần đây, lĩnh vực hoạt động củ mật mã hoá đã dƣợc mở rộng; mật mã hoá hiện đại cung cấp cơ chế nhiều hoạt đông hơn là chỉ duy nhất việc giữ bí mật và có một loạt các ứng dụng nhƣ : chứng thực khoá công khai, chữ ký số, bầu cử điện tử hay tiền điện tử.

Mật mã học cổ điển

Ngoài ra những người không có nhu cầu thiết yếu đặc biệt về tính bí mật cũng sử dụng các công nghệ mật mã hoá, thông thường được thiết kế và tạo lập sẵn trong các cơ sở hạ tầng của công nghệ tính toán và liên lạc viễn thông. Trong phần lớn thời gian phát triển của mình ( ngoại trừ vài thập kỉ trở lại đây ), lịch sử mật mã học chính là lịch sử của những phương pháp mật mã học cổ điển – các phương pháp mật mã hoá với bút và giấy, đôi khi có hỗ trợ từ những dụng cụ cơ khí đơn giản.

Mật mã học hiện đại

Muộn hơn, các học giả về tiếng Hebrew có sử dụng một phƣng pháp mã hoá thay thế bảng chữ cái đơn giản chẳng hạn nhƣ mật mã hoá Atbash ( khoảng năm 500 đến năm 600). Đối với cơ độc giáo chính thống thi việc che dấu này kết thúc khi constantine cải đạo và chấp nhận đạo cơ đốc là chính thống của đế chế.

Thuật ngữ

Nếu người thám mã biết lượng thời gian mà thuật toỏn cần để mó hoỏ một lƣợng bản rừ nào đú, anh ta cú thể sử dụng phương thức tấn công thời gian để mã hoá mà nếu không thì chúng chịu được phép thám mã. Khi mật mã hoá dựa vào các vấn đề toán tin nhƣ độ khó NP, giống như trong trường hợp của thuật toán khoá đối xứng, các thuật toán nhƣ phân tích ra thừa số nguyên tố trở thành công cụ tiềm năng cho thám mã.

Tiêu chuẩn mật mã

Một trong những kiểu tấn công loại này đƣợc thực hiện bởi nhóm “ nhân quyền cyber” (cyber civil- rights group) tên là tổ chức tiền tuyến điện tử (electronic frontier foundation) vào năm 1997, và đã phá mã thành công trong 56 tiếng đồng hồ- câu truyện này đƣợc nhắc đến trong cuốn cracking DES( phá vỡ DES), đƣợc suất bản bởi “ O’reilly and Associates”. Do kết quả này mà hiện nay việc sử dụng phương pháp mật mã hoá DES nguyên dạng, có thể đƣợc khẳng định một cách không nghi ngờ, là một việc làm mạo hiểm, không an toàn và những thông điệp ở dưới sự bảo vệ của những hệ thống mã hoá trước đây dùng DES, cũng như tất cả các thông điệp đƣợc truyền gửi từ năm 1976 trở đi sử dụng DES, đều ở tronh tình trạng rất đáng lo ngại.

Chữ kí số

Sự khác biệt cơ bản giữa chữ kí số và chữ kí thông thường bản copy tài liệu đƣợc kí bằg chữ kí số đồng nhất với bản gốc , còn copy tài liệu có chữ kí trên giấy thường có thể khác với bản gốc.Điều này có nghĩa là phải cẩn thận ngăn chặn một bức kí số khỏi bị dùng lại. Một sơ đồ chữ kí không thể an toàn vô điều kiện vì Oscar có thể kiểm tra tất cả các chữ số y có thể có trên thông điệp x nhờ dùng thuật toán verk công khai cho đến khi anh ta tìm thấy một chữ kí đúng.Vì thế , nếu có đủ thời gian ,Oscar luôn luôn có thẻ giả mạo chữ kí của Bob .Nhƣ vậy , giống như trường hợp hệ thống mã khoá công khai , mục đích của chúng ta là tìm các sơ đồ chữ kí số an toàn về mặt tính toán.

Phân loại các sơ đồ chữ kí số

VA(m,s*)=false trong các trường hợp khác. Va là khoá công khai của A ,SA là khoá riêng của A. ngẫu nhiên Khôi phục thông. diệp Xác định. chữ kí điện tử. ngẫu nhiên Kèm thông điệp. Giải thuật sinh và xác nhận chữ kí:. Thực thể A tạo một chữ kí s vào án xạ M và đƣợc xác nhận bởi thực thể B. Quá trình sinh chữ kí. Quá trình xác nhận chữ kí.  Nhận khoá công khai định danh choA và vA. Sơ đồ chữ kí khôi phục thông điệp. Đặc trƣng cho sơ đồ này là thông điệp có thể đƣợc khôi phục từ chính bản thân chữ kí .Trong thực tế sơ đồ kiểu này thường được kí cho các thông điệp ngắn. a) Tiến trình ký thông điệp. b) Tiến trình xác nhận chữ ký. Chữ ký dạng DSS là một dạng chữ ký kèm thông điệp, điều đó có nghĩa là chữ ký phải đƣợc gửi kèm với thông điệp mà bản thân chữ ký không chứa (hoặc không sinh ra) thông điệp, thông thường nhưng chữ ký dạng này đều đòi hỏi có một hàm băm trên thông điệp (do nội dung thông điệp có độ dài không xác định).

Các sơ đồ chữ kí số khả thi

Trong khi đó, nếu dùng RSA làm sơ đồ chữ kí với số mũ xác minh công khai nhỏ hơn (chẳng hạn = 3) thì có thể xác minh nhanh hơn nhiều so với việc lập chữ kí.  Cả hai sơ đồ chữ kí đều có thể chuyển đổi từ các chữ kí kèm thông điệp thành chữ kí khôi phục thông điệp không mấy khó khăn với việc tích hợp thêm các hàm có độ dƣ R (Redundancy Function).

Các cách tấn công chữ kí điện tử

Các giao dịch trực tuyến trên Internet phát triển từ những hình thức sơ khai nhƣ trao đổi thông tin ( email, message, v.v…), quảng bá ( web-publishing) đến những giao dịch phức tạp thể hiện qua các hệ thống chính phủ điện tử, thương mại điện tử ngày càng phát triển mạnh mẽ trên khắp thế giới. Cũng theo CERT, những cuộc tấn công thời kỳ 1988-1989 chủ yếu đoán tên người sử dụng – mật khẩu (UserID-password) hoặc sử dụng một số lỗi của các chương trình và hệ điều hành (security hole) làm vô hiệu hóa hệ thống bảo vệ, tuy nhiên các cuộc tấn công vào thời gian gần đây bao gồm cả các thao tác nhƣ giả mạo địa chỉ IP, theo dừi thụng tin truyền qua mạng, chiếm cỏc phiờn làm việc từ xa (telnet hoặc rlogin).

Giới thiệu về chứng chỉ số

Có một nơi có thể chứng nhận các thông tin của bạn là đúng, đƣợc gọi là cơ quan xác thực chứng chỉ (Certificate Authority-CA).Đó là một đơn vị có thẩm quyền xác nhận định danh và cấp các chứng chỉ số.CA có thể là một đối tác thứ ba đứng độc lập hoặc có các tổ chức tự vận hành một hệ thống tự cấp các chứng chỉ cho nội bộ của họ.Các phương pháp để xác định định danh phụ thuộc vào các chính sách mà CA đặt ra.Chính sách lập ra phải đảm bảo việc cấp chứng chỉ số phải đúng đắn, ai được cấp và mục đích dùng vào việc gì.Thông thường, trước khi cấp một chứng chỉ số, CA sẽ công bố các thủ tục cần thiết phải thực hiện cho các loại chứng chỉ số. Trong chứng chỉ số chứa một khóa công khai đƣợc gắn với một tên duy nhất của một đối tƣợng (nhƣ tên của một nhân viên hoặc máy dịch vụ).Các chứng chỉ số giúp ngăn chặn việc sử dụng khóa công khai cho việc giả mạo.Chỉ có khóa công khai được chứng thực bởi chứng chỉ số sẽ làm việc với khóa bí mật tương ứng, nó đƣợc sở hữu bởi đối tƣợng có định danh nằm trong chứng chỉ số.

Xác thực định danh

Cả hai có chế xác thực trên đều phỉa truy nhập mức vật lý tới các máy cá nhân.Mã hóa khóa công khai chỉ có thể kiểm tra việc sử dụng khóa bí mật tương ứng với khóa công khjai trong chứng chỉ số.Nó không đảm nhận trách nhiệm bảo vệ mức vật lý và mật khẩu sử dụng khóa bí mật.Trách nhiệm này thuộc về người dùng. Bước 2: Máy khách dùng khóa bí mật tương ứng với khóa công khai ghi trong chứng chỉ, và kí lên dữ liệu đƣợc tạo ra ngẫu nhiên cho mục đích chứng thực từ cả phía máy khách và máy dịch vụ.Dữ liệu này và chữ kí số thiết lập một bằng chứng để xác định tính hợp lệ của khóa bí mật.Chữ kí số có thể đựoc kiểm tra bằng khóa công khai tương ứng với khóa bí mật đã dùng để kí, nó là duy nhất trong mỗi phiên làm việc của giao thức SSL.

Chứng chỉ khóa công khai

Khi khóa công khai được gửi đến cho ngươì sử dụng, thì không cần thiết phải giữ bí mật khóa công khai này.Tuy nhiên, người dùng khóa công khai phải đảm bảo rằng khóa công khai đƣợc dùng, đúng là dành cho thành viên khác (có thể là người nhận thông điệp có chủ định hoặc bộ sinh chữ ký số được yêu cầu).Nếu kẻ phá hoại dùng khóa công khai khác thay thế khóa công khai hợp lệ, nội dung các thông điệp đã mã hóa có thể bị lộ.Nhƣ vậy những thành viên không chủ định khác sẽ biết đựoc các thông điệp hay các chữ ký số có thể bị làm giả.Nói cách khác, cách bảo vệ (được tạo ra từ các kĩ thuật này) sẽ bị ảnh hưởng nếu kẻ truy nhập thay thế các khóa công khai không xác thực. Chúng ta không cần giữ bí mật khóa công khai, nhƣ vậy các chúng chỉ không phải là bí mật.Hơn nữa, ở đây không đòi hỏi các yêu cầu về tính xác thực và toàn vẹn do các chứng chỉ tự bảo vệ (chữ kí số của CA có trong chứng chỉ cung cấp bảo vệ xác thực và toàn vẹn).Một kẻ truy nhập trái phép định làm giả chứng chỉ khi nó này đang được phát hành cho những người sử dụng khóa công khai, những người dùng này sẽ phát hiện ra việc làm giả vì chữ kí số của CA.

Mô hình CA

Lợi ích cơ bản của hệ thống cấp chứng chỉ là: một người sử dụng khóa công khai có thể có đƣợc số lƣợng lớn khóa công khai của các thành viên khác một cách tin cậy, nhờ khóacông khai của CA.Lưu ý rằng chứng chỉ số chỉ hữu ích khi người dùng khóa công khai tin cậy CA phát hành các chứng chỉ hợp lệ.

Một số giao thức bảo mật ứng dụng trong TMĐT Các vấn đề bảo mật ứng dụng Web

SSL và TLS

Tuy nhiên điều quan trọng cần lưu ý là SSL không ngăn các cuộc tấn công phân tích lưu lượng.ví dụ: bằng cách xem xét các địa chỉ IP nguồn và đích không đƣợc mã hoá và các số cổng TCP, hoặc xem xét lƣợng dữ liệu đƣợc truyền, một người vẫn phân tích lưu lượng vẫn có thể xác định các bên nào dang tương tác, các loại dịch vụ nào đang được sử dụng, và đôi khi ngay cả khi dành đƣợc thông tin về các mối quan hệ doanh nghiệp hoặc cá nhân. Một session SSL có thể đƣợc sử dụng trong một số kết nối và cácthành phần thông tin trạng thái nối kết tương ưng được tóm tắt trong bảng 2.3 .chúng bao gồm các tham số mật mã, chẳng hạn nhƣ các chuỗi byte ngẫu nhiên server và client các khoá mật MAC ghi server và client, các khoá ghi server và client, một vector khởi tạo và một số chuỗi.

Thực hiện mua hàng

Nếu quá trình giải mã thành công, hệ thống sẽ nhận được xâu PT như trước khi thực hiện mã hóa, từ đó chứng tỏ người kích hoạt đơn hàng là hợp lệ, và tiến hành thanh toán, trừ tiền trong tài khoản bình thường. Nhìn vào hai khóa này, chắc chắn mỗi chúng ta đều không biết ý nghĩa của nó, nhƣng nó đƣợc sinh ra khi ta sử dụng mã hóa theo thuật toán RSA.

Thủ tục đăng kí thành viên

Xâu ET này sẽ không thể có ý nghĩa nếu không đƣợc giải mã, việc giải mã đòi hỏi phải có khóa riêng của khách hàng.  Xâu ký tự đã mã hóa ET đƣợc hàm giải mã thực hiện decode (giải mã) sau khi khách hàng cung cấp một khóa riêng hợp lệ. Nếu quá trình giải mã thành công, hệ thống sẽ nhận được xâu PT như trước khi thực hiện mã hóa, từ đó chứng tỏ người kích hoạt đơn hàng là hợp lệ, và tiến hành thanh toán, trừ tiền trong tài khoản bình thường. Ví dụ khi thực hiện mã hóa/giải mã Khóa bí mật và công khai. Thành viên của hệ thống là anhtuan, sau khi đăng ký sẽ đƣợc hệ thống cung cấp các khóa công khai, khóa bí mật nhƣ sau:. YTozOntpOjA7czozMjoiEwUyThq8gAfqCKXW2F/gjMYjOPo6J34rmP6b8 vY+TMoiO2k6MTtzOjMyOiIBv4wLNs8ExGUG+mvRNP2p+2cjRKAH0Dt mFTE0lebYQyI7aToyO3M6NzoicHJpdmF0ZSI7fQ==. Nhìn vào hai khóa này, chắc chắn mỗi chúng ta đều không biết ý nghĩa của nó, nhƣng nó đƣợc sinh ra khi ta sử dụng mã hóa theo thuật toán RSA. cài đặt các chức năng bảo mật và an toàn thông tin trên web site mua bán linh kiện máy tính. Số hóa bởi Trung tâm Học liệu – Đại học Thái Nguyên http://www.lrc-tnu.edu.vn 80 DES, AES hay bất kỳ hệ mật mã khoá đối xứng nào khác để đảm bảo rằng mật khẩu của khách hàng đƣợc giữ kín).

Khách hàng lựa chọn mua hàng trên website

Khách hàng thực hiện kích hoạt theo đường dẫn đã cung cấp trong email, tiếp đó hệ thống sẽ yêu cầu cung cấp khóa bí mật bằng cách khách hàng browse để chọn file chứa khóa bí mật, file private key này đã đƣợc hệ thống cung cấp khi thực hiện đăng ký. Kết thúc quá trình giao dịch mua bán máy tính thông qua dịch vụ INTERNET và tài khoản của cá nhân tại các ngân hàng.