Bài giảng Thương mại điện tử - Chương 6: Thực hiện bảo mật trong E-Commerce - ThS. Phạm Đình Sắc

Nội dung text: Bài giảng Thương mại điện tử - Chương 6: Thực hiện bảo mật trong E-Commerce - ThS. Phạm Đình Sắc

1. TRƯỜNG ĐẠI HỌC CÔNG NGHỆ ĐỒNG NAI DONG NAI UNIVERSITY OF TECHNOLOGY Chương VI: THỰC HIỆN BẢO MẬT TRONG THƯƠNG MẠI ĐIỆN TỬ ThS. Phạm Đình Sắc dinhsac@dntu.edu.vn
2. Nội Dung ➢Bảo vệ bản quyền, quyền sở hữu trí tuệ ➢Kỹ thuật WaterMarking và 1 số công ty cung cấp giải pháp ➢Thiết lập bảo vệ trong trình duyệt Web ➢Chứng thực số ➢Bảo mật khi truyền gửi thông tin ➢Các giải thuật mã hóa, các nghi thức truyền thông mã hóa ➢Văn bản với chữ ký điện tử ➢Proxy, FireWall 2
3. Bảo vệ tài sản TMĐT ➢Cần phải ghi rõ (văn bản) việc phân tích cũng như chính sách bảo mật • Các tài sản nào cần được bảo vệ • Cần thực hiện gì để bảo vệ tài sản • Phân tích các mối đe dọa • Các qui định về việc bảo vệ 3
4. Bảo vệ tài sản TMĐT ➢Cần quan tâm đến những nguy hại xâm phạm đến tài sản khi kinh doanh TMĐT • Truy cập bất hợp pháp • Sửa chữa, cập nhật thông tin • Phá hoại thông tin ➢Liên quan đến thông tin bí mật của doanh nghiệp • Không tiết lộ với bất kỳ ai bên ngoài doanh nghiệp 4
5. Bảo vệ quyền sở hữu trí tuệ ➢Vấn đề: giao dịch mua bán trên mạng Internet nhưng vẫn có khả năng xác nhận quyền sở hữu khi cần thiết ➢Các khuyến nghị bảo vệ quyền sở hữu trong không gian ảo (Cyberspace): • Ngăn chặn các host name bất hợp pháp • Lọc gói tin - Packet filtering • Sử dụng các Proxy servers 5
6. Một số công ty cung cấp các phần mềm bảo vệ bản quyền ➢ARIS Technologies • Hệ thống Digital audio watermarking • Nhúng mã vào các tập tin âm thanh thể hiện bản quyền ➢Digimarc Corporation • “Watermarking” với tập tin nhiều dạng thức • Các phần mềm điều khiển, các thiết bị phát 6
7. Q & A ➢ Giả sử công ty anh chị sẽ kinh doanh trên mạng với sản phẩm là các video clip ca nhạc. • Thử đề xuất 1 vài cách nhằm bảo vệ bản quyền? • Thử đề xuất 1 vài cách thanh toán (phù hợp với tình hình thực tế) 7
8. WaterMarking ➢Cho phép nhúng thông tin tác giả (gọi là watermark) vào các tài liệu số hoá → chất lượng của tài liệu không bị ảnh hưởng nhằm xác nhận bản quyền. ➢Ngoài ra, kỹ thuật watermarking còn đòi hỏi sự mạnh mẽ trong việc chống lại các thao tác tấn công nhằm xóa bỏ thông tin được nhúng. 8
9. WaterMarking ➢Hai hướng áp dụng chính của kỹ thuật watermarking là • Xác nhận (chứng thực) thông tin • Đánh dấu bảo vệ bản quyền ➢Kỹ thuật này đã được ứng dụng phổ biến tại nhiều nước trên thế giới. (Việt Nam? ) 9
10. Một số công ty cung cấp các phần mềm bảo vệ bản quyền ➢SoftLock Services (www.softlock.net) • Cho phép khóa các tập tin • Gửi các tập tin lên mạng • Sử dụng 1 khóa giải mã (sau khi trả tiền) để có thể sử dụng 10
11. Bảo vệ các máy khách ➢Các thông tin dạng Active content, được tải về máy từ các trang web động là 1 trong các hiểm họa với máy tính của NSD ➢Mối đe doạ đến từ • Các trang web • Các hình ảnh, plug-in, tải về • Các phần đính kèm trong e-mail 11
12. Bảo vệ các máy khách ➢Hiểm họa từ Cookies • Chứa các thông tin nhạy cảm, không mã hóa, bất kỳ ai cũng có thể đọc và hiểu các thông tin trong cookies ➢Hiểm họa từ các website mạo danh (Misplaced trust) • Các Web site giả mạo nhằm lừa NSD đăng nhập vào và để lộ các thông tin nhạy cảm 12
13. Kiểm soát các nội dung dạng Active ➢Các trình duyệt Firefox, Google Chrome, Netscape Navigator, Microsoft Internet Explorer cho phép NSD kiểm soát và quyết định tải về các thông tin dạng Active. ➢Chứng thực số (Digital certificate) bảo đảm cho cả clients và servers tính xác thực, đúng đắn của 2 phía tham gia 13
14. Xác nhận số - Digital Certificates ➢Còn được gọi là digital ID ➢Có thể được đính kèm với e-mail ➢Được nhúng trong 1 trang web ➢Sử dụng để xác nhận chính xác người sở hữu digital ID ➢Được mã hóa để không ai có thể đọc hay nhân bản 14
15. Trung tâm Chứng thực kỹ thuật số - CA ➢Cấp và quản lý chứng thực số cho tất cả các đối tượng tham gia trong môi trường giao dịch điện tử. ➢Chứng thực số cho các cá nhân và tổ chức thực hiện an toàn các giao dịch trong môi trường điện tử, như gửi nhận e-mail, mua bán hàng hoá, trao đổi thông tin, phát triển phần mềm 15
16. Trung tâm Chứng thực kỹ thuật số ➢Các chức năng chính của Trung tâm chứng thực số Đăng ký xin cấp chứng thực số Xác thực và cấp chứng thực số Truy lục và tìm kiếm thông tin về chứng thực số Yêu cầu thay đổi, gia hạn Quản lý chứng thực số 16
17. Trung tâm Chứng thực kỹ thuật số ➢Công cụ an toàn, bảo mật và xác thực hợp pháp cho các hệ thống hoạt động thương mại điện tử: các web site giao dịch B2B, các web site bán hàng, hệ thống thanh toán trực tuyến ➢Sử dụng chứng thực số giúp cho bảo đảm an toàn các giao dịch điện tử. Tránh được các nguy cơ, giả mạo thông tin, lộ các thông tin nhậy cảm, mạo danh, xuyên tạc và thay đổi nội dung thông tin. 17
18. Q & A ➢Xin cấp chứng thực số ở đâu? ➢Đã có cơ quan cấp chứng thực số tại VN? 18
19. VeriSign ➢Cơ quan xác thực chứng chỉ số (Certification Authority – CA) nổi tiếng trên thế giới và vẫn luôn dẫn đầu trong nền công nghiệp xác thực ➢Ngoài ra VeriSign còn có các công ty khác: GeoTrust, Thawte, Entrust, Comodo, 19
20. D.Nghiệp cấp chứng thực số Việt Nam ➢Công ty Cổ phần Công nghệ thẻ Nacencomm ➢Tập đoàn Bưu chính Viễn thông (VNPT) ➢Công ty An ninh mạng Bkav ➢Tập đoàn Viễn thông Quân đội Viettel ➢Công ty cổ phần Hệ thống Thông tin FPT ➢C.ty cổ phần công nghệ và Truyền thông CK Tính đến thời điểm cuối năm 2012 20
21. Microsoft Internet Explorer ➢Cung cấp khả năng bảo vệ máy khách (ngay trong trình duyệt) ➢Có khả năng kiểm tra các nội dung dạng ActiveX, Java applet ➢Kiểm tra tính xác thực của các nội dung được tải về ➢NSD xác nhận lần cuối độ tin cậy vào nội dung được tải về (quyết định tải về hay không) 21
22. Security Warning và Certificate Validation
23. Internet Explorer Zones và Security Levels 23
24. Internet Explorer Security Zone Default Settings
25. Phối hợp với Cookies ➢Có thể thiết lập hạn ngạch thời gian trong vòng 10, 20, hay 30 ngày ➢Chỉ có thể truy cập đến những site tạo ra chính nó ➢Lưu trữ thông tin mà người dùng không muốn nhập vào thường xuyên khi thăm 1 website (tên tài khỏan, mật khẩu) 25
26. Phối hợp với Cookies ➢Các trình duyệt trước đây thường tự động lưu lại các cookie (không cảnh báo NSD) ➢Các trình duyệt hiện nay đều cho phép • Lưu trữ tự do các cookie • Xuất hiện cảnh báo khi có tình huống ghi • Không cho phép ghi lại cookie trên máy 26
27. Bảo Vệ Khi Truyền Thông ➢Bảo vệ thông tin, tài sản trong quá trình chuyển tải giữa các máy khách và máy phục vụ ➢Bao gồm các yêu cầu • Bảo mật kênh truyền • Bảo đảm toàn vẹn dữ liệu • Bảo đảm hợp lệ, phù hợp • Xác nhận - Authentication 27
28. Phương pháp bảo vệ ➢Mã hóa - Encryption • Chuyển đổi thông tin bằng phương pháp toán học - dựa trên 1 chương trình + khóa bí mật để tạo ra các ký tự khó hiểu • Ẩn giấu thông tin-Steganography + Thông tin vô hình trước NSD • Mã hóa thông tin-Cryptography + Chuyển đổi dữ liệu gốc sang dạng không thể đọc, không có ý nghĩa, 28
29. Mã hóa-Encryption ➢ Tối thiểu : sử dụng khóa 40-bit, mã hóa với khóa có độ dài 128 bit an toàn hơn ➢ Có thể phân thành 3 nhóm • Hash Coding Xây dựng 1 chuỗi số duy nhất ứng với 1 nội dung cần mã hóa • Mã hóa bất đối xứng-Asymmetric (Public-key) Encryption Mã hóa và giải mã bằng 2 khóa khác nhau • Mã hóa đối xứng -Symmetric (Private-key) Encryption Dùng 1 khóa để mã hóa và giải mã 29
30. Secure Sockets Layer (SSL) Protocol ➢Thực hiện bảo mật nối kết giữa 2 máy tính ➢Máy khách và máy chủ qui ước cấp độ bảo mật, các qui ước xác nhận và các cơ chế bảo vệ thông tin liên lạc khác ➢Nhiều cơ chế, kiểu loại bảo mật cho việc thông tin liên lạc giữa các máy tính 30
31. Q & A ➢Hoạt động của giao thức SSL? 31
32. Secure Sockets Layer (SSL) Protocol ➢Cung cấp mã hóa 40 bit hay 128 bit ➢Sử dụng Session key để mã hóa dữ liệu trong phiên làm việc ➢Độ dài khóa càng lớn thì khả năng bảo mật càng cao 32
33. Secure HTTP (S-HTTP) Protocol ➢Mở rộng từ HTTP nhằm cung cấp nhiều tính năng bảo mật • Xác nhận cả phía máy khách và máy phục vụ • Cơ chế mã hóa tự động • Thực hiện tốt cơ chế Request/response 33
34. Q & A ➢Các vấn đề nảy sinh khi gửi 1 tài liệu quan trọng, 1 đơn hàng, 1 hợp đồng, ➢Chữ ký điện tử được thực hiện với 1 văn bản, tài liệu như thế nào? 34
35. Văn bản với chữ ký điện tử 35
36. Bảo đảm hoàn thành các giao dịch ➢Các gói thông tin được bảo vệ bởi mã hóa hay chữ ký số không bị đánh cắp ➢Tốc độ truyền gửi đảm bảo ➢Giao thức thức TCP (Transmission Control Protocol) chịu trách nhiệm theo dõi và kiểm soát các gói tin ➢Giao thức TCP yêu cầu máy khách gửi lại gói dữ liệu khi chúng thất lạc 36
37. Bảo vệ máy chủ Commerce Server ➢Quyền truy cập và sự xác nhận • Những ai có thể đăng nhập và quyền sử dụng trên máy phục vụ • Yêu cầu máy khách gửi 1 “xác nhận” (certificate) để định danh • Có thể sử dụng 1 hệ thống callback nhằm kiểm tra địa chỉ và tên máy khách với 1 danh sách 37
38. Bảo vệ máy chủ Commerce Server ➢Tên tài khoản sử dụng cùng với mật khẩu và phương pháp thông dụng ➢Tên tài khoản sử dụng: dạng văn bản, Mật khẩu: được mã hóa ➢Mật khẩu khi nhập vào được mã hóa và so khớp với thông tin cá nhân của NSD được lưu trữ 38
39. Bảo vệ với chức năng của HĐH ➢Phần lớn các hệ điều hành sử dụng cơ chế chứng thực: tài khoản/mật khẩu ➢Phương án thường sử dụng: firewall • Mọi thông tin vào/ra khỏi mạng đều phải đi qua tường lửa • Chỉ cho phép các gói thông tin xác định • Firewall phải cấu hình tốt nhằm chống lại các cuộc xâm nhập 39
40. Tường Lửa-Firewalls ➢Chức năng chính của Firewall là kiểm soát luồng thông tin từ giữa Intranet và Internet. • Cho phép hoặc cấm những dịch vụ truy cập. • Kiểm soát địa chỉ truy nhập, cấm địa chỉ truy nhập. • Kiểm soát người sử dụng và việc truy nhập của người sử dụng. • Kiểm soát nội dung thông tin thông tin lưu chuyển trên mạng 40
41. Tường Lửa-Firewalls ➢Firewall chuẩn bao gồm một hay nhiều các thành phần sau đây: • Bộ lọc packet (packet-filtering router) • Cổng ứng dụng (application-level gateway hay proxy server) • Cổng mạch (circuit - level gateway) 41
42. Tường Lửa-Firewalls ➢Các chức năng của phần mềm firewall • Lọc các gói tin (Packet filters) • Hoạt động như 1 Gateway • Proxy servers • Liên lạc với mạng bên ngoài thay cho mạng cục bộ • Vùng đệm (cache) cho các trang web 42
43. Nguyên Lý Bộ Lọc Packet ➢Bộ lọc packet cho phép hay từ chối mỗi packet mà nó nhận được. ➢Các luật lệ lọc packet này là dựa trên các thông tin ở đầu gói tin (packet header), dùng để cho phép truyền các packet đó ở trên mạng. 43
44. Nguyên Lý Bộ Lọc Packet(tt) ➢Nếu luật lệ lọc packet được thoả mãn thì packet được chuyển qua firewall. Nếu không packet sẽ bị bỏ đi. ➢Nhờ vậy mà Firewall có thể ngăn cản được các kết nối vào các máy chủ hoặc mạng nào đó được xác định, hoặc khoá việc truy cập vào hệ thống mạng nội bộ từ những địa chỉ không cho phép. 44
45. Packet Filter 45
46. Ưu/Khuyết điểm ➢Ưu điểm • Đa số các hệ thống firewall đều sử dụng bộ lọc packet. • Chi phí thấp vì cơ chế lọc packet đã được bao gồm trong mỗi phần mềm router. • Bộ lọc packet là trong suốt đối với người sử dụng và các ứng dụng, vì vậy nó không yêu cầu sự huấn luyện đặc biệt nào cả. 46
47. Ưu/Khuyết điểm ➢Hạn chế • Việc định nghĩa các chế độ lọc package là một việc khá phức tạp • Khi đòi hỏi vể sự lọc càng lớn, các luật lệ vể lọc càng trở nên dài và phức tạp, rất khó để quản lý và điều khiển. • Bộ lọc packet không kiểm soát được nội dung thông tin của packet. 47
48. Cổng ứng dụng (Application-Level Gateway) Nguyên lý Đây là một loại Firewall được thiết kế để tăng cường chức năng kiểm soát các loại dịch vụ, giao thức được cho phép truy cập vào hệ thống mạng. Cơ chế hoạt động của nó dựa trên cách thức gọi là Proxy service. Proxy service là các bộ code đặc biệt cài đặt trên gateway cho từng ứng dụng. Nếu người quản trị mạng không cài đặt proxy code cho một ứng dụng nào đó, dịch vụ tương ứng sẽ không được cung cấp và do đó không thể chuyển thông tin qua firewall. 48
49. Cổng ứng dụng 49
50. Cổng ứng dụng ➢Ưu điểm • Cho phép người quản trị mạng hoàn toàn điều khiển được những dịch vụ nào cho phép, bởi vì sự vắng mặt của các proxy cho các dịch vụ tương ứng có nghĩa là các dịch vụ ấy bị khoá. • Cổng ứng dụng cho phép kiểm tra độ xác thực rất tốt, và nó có nhật ký ghi chép lại thông tin về truy nhập hệ thống. • Luật lệ lọc filltering cho cổng ứng dụng là dễ dàng cấu hình và kiểm tra hơn so với bộ lọc packet. 50
51. Cổng ứng dụng ➢Hạn chế • Yêu cầu các users thay đổi thao tác, hoặc thay đổi phần mềm đã cài đặt trên máy client cho truy nhập vào các dịch vụ proxy. 51
52. Cổng ứng dụng 52
53. Những hạn chế của firewall ➢Không thể phân loại thông tin và phân tích nội dung tốt hay xấu. ➢Chỉ có thể ngăn chặn sự xâm nhập của những nguồn thông tin không mong muốn nhưng phải xác định rõ các thông số địa chỉ. ➢Không thể ngăn chặn một cuộc tấn công nếu cuộc tấn công này không "đi qua" nó. 53
54. Những hạn chế của firewall • Không thể chống lại các cuộc tấn công bằng dữ liệu (data-drivent attack). • Firewall không thể làm nhiệm vụ rà quét virus trên các dữ liệu được chuyển qua nó. • Tuy nhiên, Firewall vẫn là giải pháp hữu hiệu được áp dụng rộng rãi. 54
55. Q & A 55
56. Bài cho kỳ tới: Các Hình Thức Thanh Toán Trong Thương Mại Điện Tử 56
57. Thanks 57