Chương 2 : Các phương pháp mã hoá và bảo mật thông tin
4.4 Quản lý và phát triển hệ thống bảo mật SecurID
SecurID [8]
Hệ thống bảo mật RSA SecurID cung cấp rất nhiều tính năng tăng cường khả năng bảo mật và điều hành, quản trị hệ thống.
4.4.1 Quản lý an ninh hệ thống
Với nhiều tính năng quản lý vung cấp bởi phần mềm giao diện đồ hoạ, người quản trị mạng sẽ dễ dàng tiếp cận, quản lý bằng các máy tính Windows thông thường mà không cần bất kỳ sự cài đặt, đào tạo phức tạp nào. Với khả năng hỗ trợ giao thức quản lý thư mục LDAP có sẵn, hệ thống máy chủ RSA ACE/Server dễ dàng quản lý tập trung thông tin người sử dụng thông qua các công cụ nhập liệu (import) và đồng bộ dữ liệu. Thông tin về người sử dụng được quản lý tập trung trên các thư mục LDAP, còn các thông tin về thẻ SecurID được lưu trữ trên hệ thống máy chủ RSA ACE/Server.
Bên cạnh đó, một công cụ chạy trên nền web - được gọi là Quick Admin, cho phép người quản trị hệ thống bảo mật dễ dàng thay đổi thông tin về người sử dụng, số thẻ,... mà không cần phải thay đổi hay cài đặt lại các agent trên từng máy tính. Được thiết kế nhằm tối thiểu hoá khối lượng công việc, thời gian và số người quản trị hệ thống bảo mật, công cụ chạy trên nền Web - Quick Admin - có đầy đủ các tính năng chính thường dùng để quản lý người sử dụng như reset lại số PIN, khoá bỏ các thẻ bị mất, cấp phát thẻ mới...
Người sử dụng cũng có thể được gán vào một hoặc nhiều nhóm khác nhau và có nhiều quyền hạn khác nhau. Người quản trị hệ thống bảo mật có thể dễ dàng thiết lập các quy định truy nhập cho từng nhóm hoặc từng user theo thời gian, theo ngày tháng hay theo các quy định riêng.
Các đặc tả và password của hệ thống RADIUS cũng được quản lý tập trung thông qua hệ thống RSA SecurID, có nghĩa là quản lý, xác thực tập trung tại một điểm du nhất trên toàn hệ thống. Hệ thống RSA ACE/Server cũng cung cấp các công cụ cho
WindowsNT.
Hình 4.5: Một màn hình quản lý giao diện đồ hoạ của hệ thống RSA SecurID
4.4.2 Cấp phát và thay thế thẻ SecurID
Việc cấp phát và thay thế thẻ SecurID được quản lý rất hiệu quả. Tất cả các công việc cấp thẻ, khoá bỏ hay thay thế thẻ được diễn ra rất nhanh chóng và thuận tiện. Các thẻ hết hạn có thể được cấp phát lại nhanh chóng. Tạo hay xóa một user trên database có thể tiến hành dễ dàng bất cứ lúc nào và RSA ACE/Server cũng cung cấp cơ chế chống lại việc tạo user bị trùng lặp.
Những khả năng này công với chế độ bảo hành life-time thẻ SecurID sẽ làm tổng giá thành triển khai, duy trì và bảo dưỡng hệ thống bảo mật trở nên thấp nhất.
4.4.3 Tự động phát triển hệ thống bảo mật với trình duyệt Web
Đối với những tổ chức có số lượng người sử dụng lớn và vị trí văn phòng nằm rải rác, phân tán, khối lượng công việc từ yêu cầu cấp phát thẻ, phê chuẩn cấp phát, cấp phát, tạo lại thẻ sẽ tốn rất nhiều thời gian. Để thuận tiện cho người quản lý hệ thống bảo mật, hãng RSA Security cung cấp một phần mềm giao diện Web cho phép rút ngắn thời gian, quản lý hiệu quả việc cấp phát thẻ. Với phần giao diện là trang Web, người có yêu cầu cấp phát thẻ chỉ cần vào trang Web, điền vào mẫu yêu cầu. Yêu cầu đó sẽ tự động chuyển tiếp đến người có thẩm quyền xét duyệt (thường là phòng Tổ chức Nhân sự). Sau khi xét duyệt, yêu cầu đó sẽ được chuyển đến người có trách nhiệm cấp phát thẻ và Quản trị hệ thống bảo mật sẽ cấp cho cho người yêu cầu một thẻ SecurID.
Các quá trình yêu cầu cấp lại thẻ hay gia hạn thẻ cũng diễn ra hoàn toàn tương tự và rất nhanh chóng.
4.4.4 Thiết lập các báo cáo theo yêu cầu
Ngoài những mẫu báo cáo chuẩn, hệ thống bảo mật RSA SecurID cho phép người quản trị dễ dàng tạo các báo cáo riêng theo yêu cầu của công ty mình, thông qua việc tạo lập các trường thông tin của riêng mình. Ngoài ra, hệ thống còn có thể tự động nhận những message trong syslog của hệ thống UNIX, hoặc event trong hệ thống Windows để thông báo cho người quản trị biết tình trạng hoạt động của hệ thống. Hệ thống RSA SecurID cũng cho phép thiết lập các ngưỡng cảnh báo trên toàn hệ thống, theo dõi tình trạng hoạt động của hệ thống bảo mật, phát hiện các cuộc tấn công vào hệ thống.
4.5 Những ƣu điểm nổi bật của hệ thống bảo mật RSA SecurID
Hệ thống bảo mật xác thực user RSA SecurID có rất nhiều tính năng ưu việt nhưng nổi bật nhất là ba điểm:
4.5.1 Khả năng bảo mật và tính ổn định cao, sẵn sàng đáp ứng các yêu cầu bảo mật trong tƣơng lai cầu bảo mật trong tƣơng lai
Hệ thống RSA SecurID cung cấp hệ thống có bảo mật an toàn cao thông qua các passcode được tạo ra một cách ngẫu nhiên theo thời gian.
Với một máy chủ primary và 10 máy chủ replicas trong một phân vùng, hệ thống bảo mật RSA SecurID cung cấp khả năng cân bằng tải, chuyển tiếp khi có lỗi tăng cường khả năng hoạt động và tính ổn định của hệ thống.
Với nhiều agent khác nhau cung cấp bởi hãng RSA Security và các công ty khác, hệ thống bảo mật xác thực truy nhập RSA SecurID cho phép tưng cường bảo mật cho nhiều hệ thống khác nhau (Windows, UNIX, Novell, OS/390, AS/400...) và với nhiều ứng dụng khác nhau ứng dụng, thiết bị khác nhau kể cả VPN, RAS, Web và truy cập di động không dây (rất phù hợp cho nhu cầu phát triển các dịch vụ m- Commerce trong tương lai).
4.5.2 Quản lý tập trung, dễ dàng
Khả năng tự động nhập, đồng bộ cơ sở dữ liệu về người dùng (LDAP) cộng với trình quản lý chạy trên nền Web - Quick Admin, hệ thống bảo mật RSA SecurID cho phép người quản trị hệ thống tạo user, cấp phát, thay đổi thẻ nhanh chóng hiệu quả. Tạo các loại báo cáo theo yêu cầu của tổ chức khác nhau. Khả năng thiết lập cảnh báo trên toàn hệ thống cho phép người quản trị dễ dàng phát hiện các sự cố, cũng như phát hiện các cuộc tấn công vào hệ thống.
4.5.3 Đơn giản, hiệu quả độ an toàn cao
Với khả năng replicate dữ liệu, người quản trị hệ thống có thể thep dõi kiểm tra sự truy nhập vào hệ thống của user ở mọi nơi, mọi lúc. Thay đổi, cập nhật, tăng cường các quy chế bảo mật một cách dễ dàng, nhanh chóng. Đầu tư một lần, bảo hành life-time đối với các loại thẻ SecurID cho phép giảm thiểu chi phí bảo dưỡng, duy trì hệ thống, đem lại hiệu quả kinh tế cao.
Với độ an toàn, hiệu quả cao cùng với các tính năng thuận tiện, RSA SecurID đã được rất nhiều tổ chức tài chính và ngân hàng lớn và thậm chí các tổ chức chính
phủ, quân sự trên toàn thế giới sử dụng và tôi tin rằng hệ thống RSA SecurID cũng sẽ là lời giải cho vấn đề xác thực người sử dụng của các ngân Việt Nam hiện nay.
KẾT LUẬN
Mã hoá là một bộ môn khoa học đã có từ 4,000 năm trước đây với một lịch sử vô cùng phong phú. Trải qua hàng nghìn năm phát triển, mã hoá đã có những sự phát triển vượt bậc.
Ngày nay khi nhu cầu trao đổi thông tin, giao dịch trực tuyến của con người tăng cao, yêu cầu bảo mật thông tin cũng trở nên quan trọng hơn bao giờ hết, đặc biệt trong lĩnh vực tài chính và ngân hàng.
Xét trên nhiều phương diện khác nhau, bảo mật thông tin trong lĩnh vực tài chính ngân hàng cũng không khác gì so với bảo mật thông tin trong hệ thống của các tổ chức khác. Tuy nhiên, các tổ chức tài chính và ngân hàng phải gánh chịu một mức rủi ro rất lớn khi kết nối vào các mạng chuyển tiền điện tử (EFT), khai thác dịch vụ Internet Banking và tiến hành giao dịch thương mại điện tử. Vì vậy, đối với các tổ chức tài chính và ngân hàng, an toàn bảo mật thông tin có vai trò mang một ý nghĩa sống còn và không thể thiếu được.
Cũng chính vì lý do tôi đã lựa chọn đề tài “Mã hoá bảo mật thông tin và ứng dụng trong thương mại điện tử” với mục đích nghiên cứu, tìm hiểu cơ chế hoạt động của các các phương pháp mã hoá, các yêu cầu cần thiết cho quá trình mã hoá thông tin để từ đó đem áp dụng vào thực tế nhằm giúp cho các tổ chức tài chính và ngân hàng ở Việt Nam có một hạ tầng cơ sở thông tin vững mạnh hơn trước khi triển khai các dịch vụ thương mại điện tử.
Mặc dù thời gian nghiên cứu luận án không nhiều nhưng tôi đã đạt được hầu hết các mục tiêu mình đề ra: nắm bắt được cơ chế hoạt động của các phương pháp mã hoá, hiểu được các yêu cầu bảo mật thông tin, nghiên cứu giải pháp và bước đầu đã áp dụng vào một số tổ chức tài chính và ngân hàng ở Việt Nam như Tổng cục Thuế, Ngân hàng Ngoại thương Việt Nam.
Có lẽ sẽ thú vị hơn rất nhiều nếu có thể nghiên cứu chi tiết cách thức thực hiện bên trong của các thuật toán mã hoá, viết chương trình và nghiên cứu phương pháp cải tiến thuật toán nhưng điều đó đòi hỏi rất nhiều thời gian. Tuy nhiên, tôi hy vọng
mình sẽ giải quyết các vấn đề này trong quá trình công tác cũng như trong các chương trình nghiên cứu về sau.
Cuối cùng cho phép tôi bày tỏ lòng biết ơn sâu sắc đến Tiến sỹ Nguyễn Ngọc Cương, Giảng viên Học viện Kỹ thuật mật mã - người đã trực tiếp hướng dẫn, chỉ bảo tận tình giúp tôi hoàn thành bản luận án này. Tôi cũng xin chân thành cảm ơn toàn thể các thầy cô trong Khoa Công nghệ, Đại học Quốc gia Hà Nội - những người đã tạo điều kiện nghiên cứu và đóng góp những ý kiến quý báu trong suốt quá trình học tập.
Hà Nội, tháng 6 năm 2003
TÀI LIỆU THAM KHẢO
1. Bruce Schneier, Applied Cryptography, Second Edition: Protocols, Algorthms, and Source Code in C. (1996)
2. T. W. Korner, Mathematics. Coding and Cryptography. (1998)
3. Douglas Stinson, Cryptography: Theory and Practice, Second Edition. (2002) 4. Alfred J. Menezes, Handbook of Applied Cryptography. (1996)
5. William Stallings, Cryptography and Network Security: Principles and Practice. (1997)
6. Shon Harris,Gareth Hancock, CISSP All-in-One Exam Guide. (2001) 7. Thales e-security, General Cryptographic Knowledge.