II. BÀI TẬP TÌNH HUỐNG
ĐẢM BẢO AN TỒN CHO HỆ THỚNG THÔNG TIN
6.1.2.2. Bảo vệ mức ứng dụng
Ở mức ứng dụng việc đảm bảo an tồn và bảo mật thơng tin trong hệ thống thông tin thường chia thành bốn nhóm giải pháp gồm: các cơ chế kiểm soát truy cập ứng dụng, bảo mật các phiên truy cập vào hệ thống mạng, kiểm soát và ghi nhật ký truy cập, quản lý cấu hình và mã nguồn ứng dụng.
Các cơ chế kiểm soát truy cập ứng dụng (Access Control) chia thành 2 thành phần là truy cập và kiểm soát. Truy cập (access) được biết đến như việc truy cập các tài nguyên của một chủ thể tới một đối tượng, kiểm soát (control) được biết đến là hành động cho phép hoặc không cho phép truy cập, cũng như các phương thức áp dụng cho kiểm soát truy cập. Một chủ thể có thể là những người dùng, các chương trình ứng dụng hoặc các dịch vụ được sử dụng trong hệ thống, các đối tượng có thể là các tập tin, các cơ sở dữ liệu. Việc xác định chủ thể để cấp quyền hạn truy cập vào đối tượng
Việc xác định chủ thể thường được gọi là định danh hay nhận diện giữa các chương trình với nhau có thể sử dụng các tiến trình xác định ID (Process ID), cũng có thể dựa trên tên tài khoản hoặc giọng nói, vân tay,... Quá trình này được gọi là xác thực người dùng (Authentication) hay chứng thực người dùng; chứng thực có thể chỉ sử dụng một lần hoặc nhiều lần tùy thuộc chính sách và cũng có thể có nhiều phương pháp, cách thức khác nhau.
Về bản chất thì định danh và xác thực người dùng đều được thực hiện cùng lúc và luôn đi song hành nhau, nếu chỉ có định danh mà khơng có chứng thực thì cũng vơ nghĩa và ngược lại. Quá trình định danh và xác thực gồm có 03 kiểu thực hiện:
Thứ nhất, dựa trên những thông tin được lưu lại như mật khẩu, mã pin (password, PIN) những thông tin này được hệ thống sinh ra và đảm bảo bí mật chỉ người dùng có thể biết được. Nhóm thứ hai dựa trên những thiết bị được nhúng các ứng dụng đảm bảo an toàn như các token chứa mật khẩu, các thẻ thông minh,... những thiết bị này thường được mang theo người và mật khẩu hoặc mã được thay đổi theo thời gian, các giải thuật sinh mã thường tiên tiến và ít có nhược điểm. Nhóm cuối cùng là các thông tin dựa trên sinh trắc học của người dùng như vân tay, võng mạc, vân mơi,... những thơng tin này thường được mã hóa dựa trên các giải thuật sinh học hoặc các giải thuật học máy, có độ an tồn cao và khó phá mã.
Sau khi định danh xong thì việc tiếp theo là vấn đề xác nhận quyền được truy cập, thường có hai khả năng là từ chối truy cập (Access Denied) hoặc là chấp nhận cho phép truy cập (Access Granted). Một số các mơ hình triển khai phổ biến là Bell-Lapadula, Biba, Clark-Wilson cùng các phương thức triển khai như MAC (Mandatory Access Control), DAC (Discretionary Access Control), RBAC (Role Base Access Control), Rule- Base Access Control,... Trên một hệ thống thơng tin có thể áp dụng một hoặc nhiều phương thức triển khai cũng như mô hình tùy theo nhu cầu và mức độ thông tin của hệ thống thông tin của tổ chức doanh nghiệp.