Ứng dụng CNTT đang trở thành yếu tố khụng thể thiếu trong chiến lƣợc phỏt triển của cỏc tổ chức chớnh phủ và cỏc danh nghiệp. Cựng với quỏ trỡnh đổi mới tổ chức, đổi mới cơ chế chớnh sỏch và phƣơng thức quản lý, quy trỡnh điều hành, việc ứng dụng CNTT trong hoạt động của cơ quan nhà nƣớc giỳp cỏc cơ quan chớnh phủ hoạt động hiệu quả hơn, minh bạch hơn, phục vụ cụng dõn và doanh nghiệp tốt hơn. Việc chuyển đổi định hƣớng ứng dụng CNTT theo hƣớng cung cấp dịch vụ cụng trực tuyến cho ngƣời dõn, doanh nghiệp, hƣớng tới Chớnh phủ điện tử là mục tiờu cấp thiết của cỏc cơ quan Chớnh phủ trong giai đoạn tới.
Theo định hƣớng này, HQĐT ra đời đó giỳp giảm một phần ỏp lực cho cỏc chi cục hải quan cửa khẩu. Toàn bộ cụng việc đƣợc xử lý thụng quan hệ thống mạng mỏy tớnh giỳp cho việc quản lý đƣợc hiệu quả, khoa học; hạn chế sự tiếp xỳc giữa doanh nghiệp và cơ quan hải quan, hạn chế tỡnh trạng phiền hà, nhũng nhiễu và hạn chế tiờu cực xảy ra. Cú thể thấy thủ tục HQĐT là hỡnh thức thủ tục tiờn tiến so với thủ tục hải quan thủ cụng.
27
Hiệu của đạt đƣợc của thủ tục HQĐT là rất đỏng kể. Cơ quan hải quan cũng nhƣ cỏc doanh nghiệp đều hƣởng đƣợc những lợi ớch to lớn khi thực hiện thủ tục hải quan điờn tử.
Tuy nhiờn ở Việt Nam, việc triển khai HQĐT mới dừng ở mức thớ điểm ở một vài chi cục hải quan. Việc mở rộng HQĐT một cỏch toàn diện và triệt để trờn phạm vi toàn quốc cũn đang gặp phải rất nhiều khú khăn. Đú là hệ thống chớnh sỏch, thủ tục hành chớnh phức tạp, hệ thống CNTT chƣa hiện đại, vấn đề an toàn chƣa đƣợc đảm bảo… Nhiệm vụ đặt ra là cần hiện đại húa ngành hải quan về cả lực lƣợng, trang thiết bị, cơ sở vật chất, ỏp dụng cỏc kỹ thuật tiờn tiến vào giải quyết cụng việc, dặc biệt là phải nõng cao tớnh an toàn và bảo mật cho cỏc dữ liệu đƣợc trao đổi giữa cỏc cơ quan hải quan và doanh nghiệp. Khi thực hiện đƣợc nhiệm vụ này thỡ vấn đề an toàn trong thƣơng mại quốc tế, chống gian lận, buụn lậu cũng sẽ đƣợc giải quyết triệt để, cỏc cơ quan hải quan giảm thiểu đƣợc cụng việc, khối lƣợng hàng thụng quan đƣợc tăng cƣờng, giao thƣơng giữa Việt Nam và cỏc quốc gia khỏc trong và ngoài khu vực càng đƣợc đẩy mạnh… Cú thể thấy thực hiện HQĐT trong hoàn cảnh đất nƣớc hiện nay chớnh là giải phỏp cấp bỏch nhằm ngăn chặn suy giảm kinh tế, duy trỡ tăng trƣởng kinh tế, đảm bảo an sinh xó hội. Phỏt triển thủ tục HQĐT chớnh là một yờu cầu cần thiết, cú tớnh khỏch quan và chủ quan trong thời kỳ kinh tế Việt nam hội nhập với thế giới, vỡ vậy trong thời gian tới HQĐT cần phải đƣợc triển khai mạnh mẽ và quyết liệt với mục tiờu: Toàn diện, hiệu quả và an toàn.
28
Chƣơng 2. LÝ THUYấ́T Vấ̀ AN TOÀN THễNG TIN 1. Định nghĩa an toàn thụng tin
An toàn thụng tin cú nghĩa là thụng tin đƣợc bảo vệ, cỏc hệ thống cú thể chống lại đƣợc những tai họa, những tỏc động khụng mong đợi để làm giảm thiểu những tỏc động xấu tới độ an toàn của hệ thống. Một hệ thống khụng an toàn là hệ thống mà trong đú cỏc dữ liệu cú thể bị đỏnh cắp, bị thay thế, bị sửa đổi làm sai lệch nội dung.
Thụng tin chỉ cú giỏ trị khi đƣợc đảm bảo tớnh chớnh xỏc, kịp thời. Hệ thống chỉ cú thể cung cấp cỏc thụng tin cú giỏ trị khi cỏc chức năng của hệ thống hoạt động một cỏch đỳng đắn. Mục tiờu của an toàn bảo mật trong cụng nghệ thụng tin là xõy dựng đƣợc một bộ tiờu chuẩn về an toàn, ứng dụng cỏc tiờu chuẩn này vào cỏc hệ thống nhằm loại trừ hoặc giảm thiểu tới mức tối đa cỏc tỏc động nguy hiểm. Ngày nay do cỏc kỹ thuật truyền tải thụng tin ngày càng hiện đại nờn độ an toàn của hệ thống chỉ đạt đến mức nào đú. Việc quản lý an toàn và rủi ro của thụng tin phải gắn chặt với quản lý chất lƣợng. Khi đỏnh giỏ độ an toàn của thụng tỡn cần phải dựa trờn việc phõn tớch cỏc rủi ro, tăng sự an toàn của hệ thống bằng việc loại trừ cỏc rủi ro. Cỏc đỏnh giỏ cần hài hũa với đặc tớnh cấu trỳc của toàn bộ hệ thống và quỏ trỡnh kiểm tra chất lƣợng.
Cỏc yờu cầu an toàn bảo mật thụng tin
Hiện nay cỏc biện phỏp tấn cụng ngày càng da dạng và tinh vi, đe dọa nghiờm trọng tới sự an toàn của thụng tin. Chỳng ta cần đƣa ra cỏc chớnh sỏch và phƣơng phỏp đề phũng cần thiết nhằm đạt đƣợc mục đớch bảo vệ an toàn cho thụng tin theo cỏc tiờu chớ sau:
• Đảm bảo tớnh tin cậy: Thụng tin khụng thể bị truy nhập trỏi phộp bởi những ngƣời khụng cú thẩm quyền.
• Đảm bảo tớnh nguyờn vẹn: Thụng tin khụng thể bị sửa đổi, bị làm giả bởi những ngƣời khụng cú thẩm quyền.
• Đảm bảo tớnh sẵn sàng: Thụng tin luụn sẵn sàng để đỏp ứng sử dụng cho ngƣời cú thẩm quyền.
• Đảm bảo tớnh khụng thể từ chối: Thụng tin đƣợc cam kết về mặt phỏp luật của ngƣời cung cấp.
29
2. Chữ ký số 2.1. Khỏi niệm 2.1. Khỏi niệm
Chƣ̃ ký sụ́ là thuật ngữ chỉ mọi phƣơng thức khỏc nhau để một cỏ nhõn, đơn vị cú
thể "ký tờn" vào một dữ liệu điện tử, thể hiện sự chấp thuận và xỏc nhận tớnh nguyờn bản của nội dung dữ liệu đú.
Khỏi niệm chữ ký điện tử là rộng hơn khỏi niệm chữ ký số. Nú bao gồm tất cả cỏc phƣơng phỏp để xỏc định ngƣời chủ của văn bản điện tử. Đú cú thể là tờn hoặc hỡnh ảnh cỏ nhõn kốm theo tài liệu hay cú thể là cỏc dữ liệu sinh trắc học nhƣ dấu võn tay, hỡnh ảnh mống mắt…cú khả năng xỏc thực ngƣời gửi.
Trong giao dịch điện tử hiện nay trờn thế giới, chữ ký số là hỡnh thức chữ ký điện tử thụng dụng nhất. Chữ ký số gồm một cặp khúa bớ mật và cụng khai. Khúa bớ mật đƣợc ngƣời gửi dựng để ký hay mó húa, cũn khúa cụng khai đƣợc ngƣời nhận dựng để giải mó và xỏc thực thụng tin ngƣời gửi.
Khỏi niệm chữ ký số, hay cỏc phƣơng thức xỏc thực núi chung, đƣợc thực hiện trong cỏc giao dịch điện tử đƣợc gọi là chứng thực số (Digital Certificate). Chứng thực số bao gồm cả hỡnh thức xỏc thực của cỏ nhõn, tổ chức, xỏc thực cỏc website, dịch vụ thƣơng mại điện tử cũng nhƣ là xỏc thực tớnh nguyờn bản của cỏc phần mềm.
2.2. Cỏc ƣu điểm của chữ ký số
Khả năng xỏc định nguồn gốc: Cỏc hệ thống mó húa khúa cụng khai cho phộp mó
húa văn bản với khúa bớ mật mà chỉ cú ngƣời chủ khúa mới biết. Để sử dụng chữ ký số thỡ dữ liệu cần đƣợc mó húa hàm băm (thƣờng cú độ dài cố dịnh và ngắn hơn dữ liệu gốc) sau đú dựng khúa bớ mật để mó húa. Khi đú ta đƣợc chữ ký số. Để kiểm tra, ngƣời nhận dựng khúa cụng khai để giải mó, lấy lại hàm băm và so sỏnh với hàm băm của văn bản nhận đƣợc. Nếu hai giỏ trị này khớp nhau thỡ bờn nhận cú thể tin tƣởng rằng dữ liệu này là chớnh xỏc. Tất nhiờn là khụng thể đảm bảo 100% cỏc dữ liệu khụng bị giả mạo vỡ hệ thống vẫn cú thể bị phỏ vỡ.
Vấn đề trờn đặc biệt quan trọng đối với cỏc giao dịch tài chớnh. Chẳng hạn một chi nhỏnh ngõn hàng gửi một gúi tin về trung tõm dƣới dạng (a,b), trong đú a là số tài khoản và b là số tiền chuyển vào tài khoản đú. Một kẻ lừa đảo cú thể gửi một số tiền nào đú để
30
lấy nội dung gúi tin và truyền lại gúi tin thu đƣợc nhiều lần để thu lợi (tấn cụng truyền lại gúi tin).
Tớnh toàn vẹn: Cả hai bờn tham gia vào quỏ trỡnh trao đổi thụng tin đều cú thể tin
tƣởng là dữ liệu sẽ khụng bị thay đổi khi truyền vỡ nếu dữ liệu thay đổi thỡ hàm băm cũng sẽ thay đổi và nhờ đú cú thể phỏt hiện đƣợc. Quỏ trỡnh mó húa sẽ ẩn nội dung của dữ liệu với bờn thứ 3 nhƣng khụng thể ngăn cản đƣợc việc thay đổi nội dung của nú. Tiếp tục vớ dụ nhƣ ở trờn, một kẻ lừa đảo gửi 1.000.000 đồng vào tài khoản của a, chặn gúi tin (a,b) mà chi nhỏnh gửi về trung tõm rồi gửi gúi tin (a,b3) thay thế để lập tức trở thành triệu phỳ. Nhƣng đú là vấn đề bảo mật của chi nhỏnh đối với trung tõm ngõn hàng khụng hẳn liờn quan đến tớnh toàn vẹn của thụng tin gửi từ ngƣời gửi tới chi nhỏnh, bởi thụng tin đó đƣợc băm và mó húa để gửi đến đỳng đớch của nú tức chi nhỏnh, vấn đề cũn lại vấn đề bảo mật của chi nhỏnh tới trung tõm của nú
Tớnh khụng thể phủ nhận: Trong giao dịch, một bờn cú thể phủ nhận một dữ liệu
nào đú là do mỡnh gửi. Bờn nhận cú thể yờu cầu bờn gửi phải gửi kốm chữ ký số với dữ liệu. Chữ ký đú đƣợc dựng nhƣ một chứng cứ để bờn thứ 3 cú thể đứng ra giải quyết khi cú tranh chấp. Tuy nhiờn khúa bớ mật vẫn cú thể bị lộ và tớnh khụng thể phủ nhận cũng khụng thể đạt đƣợc hoàn toàn.
2.3.Thực hiện chữ ký số khúa cụng khai
Chữ ký số khúa cụng khai dựa trờn nền tảng mó húa khúa cụng khai. Mỗi ngƣời dựng đều cú một cặp khúa cụng khai và bớ mật. Khúa cụng khai đƣợc cụng bố rộng rói cũn khúa bớ mật đƣợc lƣu giữ an toàn và khụng thể tỡm đƣợc khúa bớ mật nếu chỉ biết khúa cụng khai. Toàn bộ quỏ trỡnh gồm 3 thuật toỏn:
- Thuật toỏn tạo khúa - Thuật toỏn tạo chữ ký số - Thuật toỏn kiểm tra chữ ký số
Xột vớ dụ sau: B muốn gửi cho K một thụng tin và K muốn biết thụng tin đú cú thực sự do B gửi hay khụng. Khi đú B gửi cho K một bản tin kốm chữ ký số. Chữ ký này đƣợc tạo ra với khúa bớ mật của B. Khi nhận tin, K sẽ sử dụng khúa cụng khai của B để kiểm tra tớnh thống nhất giữa bản tin và chữ ký. Bản chất của thuật toỏn rạo chữ ký đảm bảo nếu cho trƣớc bản tin. Rất khú (gần nhƣ khụng thể) tạo ra chữ ký của B nếu khụng biết
31
khúa bớ mật của B. Nếu phộp thử cho kết quả đỳng thỡ K hoàn toàn cú thể tin tƣởng rằng thụng tin đú là do B gửi.
Thụng thƣờng B khụng mó húa toàn bộ bản tin mà chỉ thực hiện với giỏ trị băm của bản tin đú. Điều này khiến việc ký trở nờn đơn giản hơn và chữ ký ngắn hơn. Tuy nhiờn cú một vấn đề nảy sinh tuy với xỏc suất rất thấp là hai bản tin khỏc nhau cú thể cho ra cựng một giỏ trị băm.
2.4. Một vài thuật toỏn chữ ký số 2.4.1. RSA 2.4.1. RSA
Mụ tả sơ lược
RSA là thuật toỏn đƣợc mụ tả lần đầu tiờn vào năm 1977 tại Học viện Cụng nghệ Massachusetts bởi 3 tỏc giả là Ron Rivest, Adi Shamir và Len Adleman. Tờn thuật toỏn đƣợc lấy từ 3 chữ cỏi đầu tiờn của tờn tỏc giả.
Thuật toỏn RSA cú hai khúa: Khúa cụng khai và khúa bớ mật. Mỗi khúa là những số cố định sử dụng trong quỏ trỡnh mó húa và giải mó. Khúa cụng khai dựng để mó húa và đƣợc cụng bố rộng rói. Thụng tin đƣợc mó húa bằng khúa cụng khai đƣợc giải mó bằng khúa bớ mật tƣơng ứng. Nhƣ vậy mọi ngƣời đều cú thể mó húa nhƣng chỉ ngƣời chủ khúa bớ mật tƣơng ứng mới cú thể giải mó.
Tạo khúa
Giả sử B và K cần trao đổi thụng tin bớ mật thụng qua một kờnh khụng an toàn (vớ dụ như Internet). Với thuật toỏn RSA,B cần tạo ra cho mỡnh cặp khúa gồm khúa cụng khai và khúa bớ mật theo cỏc bước sau:
1. Chọn 2 số nguyờn tố lớn p và q với p ≠ q, lựa chọn ngẫu nhiờn và độc lập. 2. Tớnh: n=pq
3. Tớnh: giỏ trị hàm số Ơle: (n)(p1)(q1)
4. Chọn một số tự nhiờn e sao cho 1e(n)và là số nguyờn tố cựng nhau với
) (n
Tớnh: d sao cho de1(mod(n)).
32
- Cỏc số nguyờn tố thƣờng đƣợc chọn bằng phƣơng phỏp thử xỏc suất. - Cỏc bƣớc 4 và 5 cú thể đƣợc thực hiện bằng giải thuật Euclid mở rộng. Khúa cụng khai bao gồm:
- n, mụđun
- e, số mũ cụng khai (cũng gọi là số mũ mó húa). Khúa bớ mật bao gồm:
- n, mụđun, xuất hiện cả trong khúa cụng khai và khúa bớ mật, - d, số mũ bớ mật (cũng gọi là số mũ giải mó).
Một dạng khỏc của khúa bớ mật bao gồm: - p and q, hai số nguyờn tố chọn ban đầu,
- d mod (p-1) và d mod (q-1) (thƣờng đƣợc gọi là dmp1 và dmq1), - (1/q) mod p (thƣờng đƣợc gọi là iqmp)
Dạng này cho phộp thực hiện giải mó và ký nhanh hơn với việc sử dụng định lý số dƣ Trung Quốc (tiếng Anh: Chinese Remainder Theorem - CRT). Ở dạng này, tất cả thành phần của khúa bớ mật phải đƣợc giữ bớ mật.
K gửi khúa cụng khai cho B, và giữ cẩn thận khúa bớ mật của mỡnh. Ở đõy, p và q giữ vai trũ rất quan trọng. Chỳng là cỏc phõn tố của n và cho phộp tớnh d khi biết e. Nếu khụng sử dụng dạng sau của khúa bớ mật (dạng CRT) thỡ p và q sẽ đƣợc xúa ngay sau khi thực hiện xong quỏ trỡnh tạo khúa.
Mó húa
Giả sử B muốn gửi đoạn thụng tin M cho K. Đầu tiờn B chuyển M thành một số m < n theo một hàm cú thể đảo ngƣợc (từ m cú thể xỏc định lại M) đƣợc thỏa thuận trƣớc.
Lỳc này B cú m và biết n cũng nhƣ e do K gửi. B sẽ tớnh c là bản mó húa của m theo cụng thức: cme modn
Hàm trờn cú thể tớnh dễ dàng sử dụng phƣơng phỏp tớnh hàm mũ (theo mụđun) bằng (thuật toỏn bỡnh phƣơng và nhõn) Cuối cựng B gửi c cho K.
33
Giải mó
K nhận c từ B và biết khúa bớ mật d. K cú thể tỡm được m từ c theo cụng thức sau: n
c
m d mod
Biết m, K tỡm lại M theo phương phỏp đó thỏa thuận trước. Quỏ trỡnh giải mó hoạt động vỡ ta cú. cd (me)d med(modn)
Do ed ≡ 1 (mod p-1) và ed ≡ 1 (mod q-1), (theo Định lý Fermat nhỏ) nờn:
)
(mod p
m med
và: med m(modq)
Do p và q là hai số nguyờn tố cựng nhau, ỏp dụng định lý số dư Trung Quốc, ta cú:
)
(mod pq
m
med .
hay: cd m(modn)
Tạo chữ ký số cho văn bản
Thuật toỏn RSA đƣợc dựng để tạo chữ ký số cho văn bản. Giả sử K muốn gửi cho B một văn bản cú chữ ký của mỡnh, K sẽ tạo ra một giỏ trị băm của văn bản cần ký, tớnh giỏ trị mũ d mod n. Giỏ trị cuối cựng là chữ ký điện tử của văn bản đang xột. Khi B nhận văn bản cựng chữ ký điện tử thỡ anh ta cú thể tớnh giỏ trị mũ e mod n của chữ ký đồng thời tớnh giỏ trị băm của văn bản. Nếu 2 giỏ trị này nhƣ nhau thỡ tức là văn bản khụng bị thay đổi và đỳng là do K gửi
2.4.2. Giải thuật ký số (DSA – Digital Signature Algorithm)
Giải thuật ký số là chuẩn của chớnh phủ Mỹ hoặc FIPS cho cỏc chữ ký số. Giải thuật này đƣợc đề nghị bởi Viện cỏc tiờu chuẩn và cụng nghệ quốc gia (NIST) vào thỏng 8/1991 để sử dụng trong chuẩn chữ ký số (DSS), đƣợc chỉ ra trong FIPS 1861, đƣợc chấp
nhận năm 1993. Một sửa đổi nhỏ đƣợc đƣa ra năm 1996 trong FIPS 186-12, chuẩn đƣợc
mở rộng hơn năm 2000, đƣợc xem nhƣ FIPS 186-2 3
1
Ấn bản đầu tiờn của đặc tả kỹ thuật DSA chớnh thức
2
Sửa đổi đầu tiờn đối với bản đặc tả kỹ thuật DSA
3
34
Tạo khoỏ
Chọn số nguyờn tố 160 bit q.
Chọn 1 số nguyờn tố L bit p, sao cho p=qz+1 với số nguyờn z nào đú, 512 ≤ L ≤ 1024, L chia hết cho 64.