Thương mại điện tử E - Commerce - Chương VI: Thực hiện bảo mật trong thương mại điện tử

Nội dung text: Thương mại điện tử E - Commerce - Chương VI: Thực hiện bảo mật trong thương mại điện tử

1. TRƯỜNG ĐẠI HỌC CÔNG NGHỆ ĐỒNG NAI DONG NAI UNIVERSITY OF TECHNOLOGY Chương VI: THỰC HIỆN BẢO MẬT TRONG THƯƠNG MẠI ĐIỆN TỬ ThS. Phạm Đình Sắc dinhsac@dntu.edu.vn
2. Nội Dung ØBảo vệ bản quyền, quyền sở hữu trí tuệ ØKỹ thuật WaterMarking và 1 số công ty cung cấp giải pháp ØThiết lập bảo vệ trong trình duyệt Web ØChứng thực số ØBảo mật khi truyền gửi thông tin ØCác giải thuật mã hóa, các nghi thức truyền thông mã hóa ØVăn bản với chữ ký điện tử ØProxy, FireWall 2
3. Bảo vệ tài sản TMĐT ØCần phải ghi rõ (văn bản) việc phân tích cũng như chính sách bảo mật • Các tài sản nào cần được bảo vệ • Cần thực hiện gì để bảo vệ tài sản • Phân tích các mối đe dọa • Các qui định về việc bảo vệ 3
4. Bảo vệ tài sản TMĐT ØCần quan tâm đến những nguy hại xâm phạm đến tài sản khi kinh doanh TMĐT • Truy cập bất hợp pháp • Sửa chữa, cập nhật thông tin • Phá hoại thông tin ØLiên quan đến thông tin bí mật của doanh nghiệp • Không tiết lộ với bất kỳ ai bên ngoài doanh nghiệp 4
5. Bảo vệ quyền sở hữu trí tuệ ØVấn đề: giao dịch mua bán trên mạng Internet nhưng vẫn có khả năng xác nhận quyền sở hữu khi cần thiết ØCác khuyến nghị bảo vệ quyền sở hữu trong không gian ảo (Cyberspace): • Ngăn chặn các host name bất hợp pháp • Lọc gói tin - Packet filtering • Sử dụng các Proxy servers 5
6. Một số công ty cung cấp các phần mềm bảo vệ bản quyền ØARIS Technologies • Hệ thống Digital audio watermarking • Nhúng mã vào các tập tin âm thanh thể hiện bản quyền ØDigimarc Corporation • “Watermarking” với tập tin nhiều dạng thức • Các phần mềm điều khiển, các thiết bị phát 6
7. Q & A Ø Giả sử công ty anh chị sẽ kinh doanh trên mạng với sản phẩm là các video clip ca nhạc. • Thử đề xuất 1 vài cách nhằm bảo vệ bản quyền? • Thử đề xuất 1 vài cách thanh toán (phù hợp với tình hình thực tế) 7
8. WaterMarking ØCho phép nhúng thông tin tác giả (gọi là watermark) vào các tài liệu số hoá chất lượng của tài liệu không bị ảnh hưởng nhằm xác nhận bản quyền. ØNgoài ra, kỹ thuật watermarking còn đòi hỏi sự mạnh mẽ trong việc chống lại các thao tác tấn công nhằm xóa bỏ thông tin được nhúng. 8
9. WaterMarking ØHai hướng áp dụng chính của kỹ thuật watermarking là • Xác nhận (chứng thực) thông tin • Đánh dấu bảo vệ bản quyền ØKỹ thuật này đã được ứng dụng phổ biến tại nhiều nước trên thế giới. (Việt Nam? ) 9
10. Một số công ty cung cấp các phần mềm bảo vệ bản quyền ØSoftLock Services (www.softlock.net) • Cho phép khóa các tập tin • Gửi các tập tin lên mạng • Sử dụng 1 khóa giải mã (sau khi trả tiền) để có thể sử dụng 10
11. Bảo vệ các máy khách ØCác thông tin dạng Active content, được tải về máy từ các trang web động là 1 trong các hiểm họa với máy tính của NSD ØMối đe doạ đến từ • Các trang web • Các hình ảnh, plug-in, tải về • Các phần đính kèm trong e-mail 11
12. Bảo vệ các máy khách ØHiểm họa từ Cookies • Chứa các thông tin nhạy cảm, không mã hóa, bất kỳ ai cũng có thể đọc và hiểu các thông tin trong cookies ØHiểm họa từ các website mạo danh (Misplaced trust) • Các Web site giả mạo nhằm lừa NSD đăng nhập vào và để lộ các thông tin nhạy cảm 12
13. Kiểm soát các nội dung dạng Active ØCác trình duyệt Firefox, Google Chrome, Netscape Navigator, Microsoft Internet Explorer cho phép NSD kiểm soát và quyết định tải về các thông tin dạng Active. ØChứng thực số (Digital certificate) bảo đảm cho cả clients và servers tính xác thực, đúng đắn của 2 phía tham gia 13
14. Xác nhận số - Digital Certificates ØCòn được gọi là digital ID ØCó thể được đính kèm với e-mail ØĐược nhúng trong 1 trang web ØSử dụng để xác nhận chính xác người sở hữu digital ID ØĐược mã hóa để không ai có thể đọc hay nhân bản 14
15. Trung tâm Chứng thực kỹ thuật số - CA ØCấp và quản lý chứng thực số cho tất cả các đối tượng tham gia trong môi trường giao dịch điện tử. ØChứng thực số cho các cá nhân và tổ chức thực hiện an toàn các giao dịch trong môi trường điện tử, như gửi nhận e-mail, mua bán hàng hoá, trao đổi thông tin, phát triển phần mềm 15
16. Trung tâm Chứng thực kỹ thuật số ØCác chức năng chính của Trung tâm chứng thực số oĐăng ký xin cấp chứng thực số oXác thực và cấp chứng thực số oTruy lục và tìm kiếm thông tin về chứng thực số oYêu cầu thay đổi, gia hạn oQuản lý chứng thực số 16
17. Trung tâm Chứng thực kỹ thuật số ØCông cụ an toàn, bảo mật và xác thực hợp pháp cho các hệ thống hoạt động thương mại điện tử: các web site giao dịch B2B, các web site bán hàng, hệ thống thanh toán trực tuyến ØSử dụng chứng thực số giúp cho bảo đảm an toàn các giao dịch điện tử. Tránh được các nguy cơ, giả mạo thông tin, lộ các thông tin nhậy cảm, mạo danh, xuyên tạc và thay đổi nội dung thông tin. 17
18. Q & A ØXin cấp chứng thực số ở đâu? ØĐã có cơ quan cấp chứng thực số tại VN? 18
19. VeriSign ØCơ quan xác thực chứng chỉ số (Certification Authority – CA) nổi tiếng trên thế giới và vẫn luôn dẫn đầu trong nền công nghiệp xác thực ØNgoài ra VeriSign còn có các công ty khác: GeoTrust, Thawte, Entrust, Comodo, 19
20. D.Nghiệp cấp chứng thực số Việt Nam ØCông ty Cổ phần Công nghệ thẻ Nacencomm ØTập đoàn Bưu chính Viễn thông (VNPT) ØCông ty An ninh mạng Bkav ØTập đoàn Viễn thông Quân đội Viettel ØCông ty cổ phần Hệ thống Thông tin FPT ØC.ty cổ phần công nghệ và Truyền thông CK Tính đến thời điểm cuối năm 2012 20
21. Microsoft Internet Explorer ØCung cấp khả năng bảo vệ máy khách (ngay trong trình duyệt) ØCó khả năng kiểm tra các nội dung dạng ActiveX, Java applet ØKiểm tra tính xác thực của các nội dung được tải về ØNSD xác nhận lần cuối độ tin cậy vào nội dung được tải về (quyết định tải về hay không) 21
22. Security Warning và Certificate Validation
23. Internet Explorer Zones và Security Levels 23
24. Internet Explorer Security Zone Default Settings
25. Phối hợp với Cookies ØCó thể thiết lập hạn ngạch thời gian trong vòng 10, 20, hay 30 ngày ØChỉ có thể truy cập đến những site tạo ra chính nó ØLưu trữ thông tin mà người dùng không muốn nhập vào thường xuyên khi thăm 1 website (tên tài khỏan, mật khẩu) 25
26. Phối hợp với Cookies ØCác trình duyệt trước đây thường tự động lưu lại các cookie (không cảnh báo NSD) ØCác trình duyệt hiện nay đều cho phép • Lưu trữ tự do các cookie • Xuất hiện cảnh báo khi có tình huống ghi • Không cho phép ghi lại cookie trên máy 26
27. Bảo Vệ Khi Truyền Thông ØBảo vệ thông tin, tài sản trong quá trình chuyển tải giữa các máy khách và máy phục vụ ØBao gồm các yêu cầu • Bảo mật kênh truyền • Bảo đảm toàn vẹn dữ liệu • Bảo đảm hợp lệ, phù hợp • Xác nhận - Authentication 27
28. Phương pháp bảo vệ ØMã hóa - Encryption • Chuyển đổi thông tin bằng phương pháp toán học - dựa trên 1 chương trình + khóa bí mật để tạo ra các ký tự khó hiểu • Ẩn giấu thông tin-Steganography + Thông tin vô hình trước NSD • Mã hóa thông tin-Cryptography + Chuyển đổi dữ liệu gốc sang dạng không thể đọc, không có ý nghĩa, 28
29. Mã hóa-Encryption Ø Tối thiểu : sử dụng khóa 40-bit, mã hóa với khóa có độ dài 128 bit an toàn hơn Ø Có thể phân thành 3 nhóm • Hash Coding Xây dựng 1 chuỗi số duy nhất ứng với 1 nội dung cần mã hóa • Mã hóa bất đối xứng-Asymmetric (Public-key) Encryption Mã hóa và giải mã bằng 2 khóa khác nhau • Mã hóa đối xứng -Symmetric (Private-key) Encryption Dùng 1 khóa để mã hóa và giải mã 29
30. Secure Sockets Layer (SSL) Protocol ØThực hiện bảo mật nối kết giữa 2 máy tính ØMáy khách và máy chủ qui ước cấp độ bảo mật, các qui ước xác nhận và các cơ chế bảo vệ thông tin liên lạc khác ØNhiều cơ chế, kiểu loại bảo mật cho việc thông tin liên lạc giữa các máy tính 30
31. Q & A ØHoạt động của giao thức SSL? 31
32. Secure Sockets Layer (SSL) Protocol ØCung cấp mã hóa 40 bit hay 128 bit ØSử dụng Session key để mã hóa dữ liệu trong phiên làm việc ØĐộ dài khóa càng lớn thì khả năng bảo mật càng cao 32
33. Secure HTTP (S-HTTP) Protocol ØMở rộng từ HTTP nhằm cung cấp nhiều tính năng bảo mật • Xác nhận cả phía máy khách và máy phục vụ • Cơ chế mã hóa tự động • Thực hiện tốt cơ chế Request/response 33
34. Q & A ØCác vấn đề nảy sinh khi gửi 1 tài liệu quan trọng, 1 đơn hàng, 1 hợp đồng, ØChữ ký điện tử được thực hiện với 1 văn bản, tài liệu như thế nào? 34
35. Văn bản với chữ ký điện tử 35
36. Bảo đảm hoàn thành các giao dịch ØCác gói thông tin được bảo vệ bởi mã hóa hay chữ ký số không bị đánh cắp ØTốc độ truyền gửi đảm bảo ØGiao thức thức TCP (Transmission Control Protocol) chịu trách nhiệm theo dõi và kiểm soát các gói tin ØGiao thức TCP yêu cầu máy khách gửi lại gói dữ liệu khi chúng thất lạc 36
37. Bảo vệ máy chủ Commerce Server ØQuyền truy cập và sự xác nhận • Những ai có thể đăng nhập và quyền sử dụng trên máy phục vụ • Yêu cầu máy khách gửi 1 “xác nhận” (certificate) để định danh • Có thể sử dụng 1 hệ thống callback nhằm kiểm tra địa chỉ và tên máy khách với 1 danh sách 37
38. Bảo vệ máy chủ Commerce Server ØTên tài khoản sử dụng cùng với mật khẩu và phương pháp thông dụng ØTên tài khoản sử dụng: dạng văn bản, Mật khẩu: được mã hóa ØMật khẩu khi nhập vào được mã hóa và so khớp với thông tin cá nhân của NSD được lưu trữ 38
39. Bảo vệ với chức năng của HĐH ØPhần lớn các hệ điều hành sử dụng cơ chế chứng thực: tài khoản/mật khẩu ØPhương án thường sử dụng: firewall • Mọi thông tin vào/ra khỏi mạng đều phải đi qua tường lửa • Chỉ cho phép các gói thông tin xác định • Firewall phải cấu hình tốt nhằm chống lại các cuộc xâm nhập 39
40. Tường Lửa-Firewalls ØChức năng chính của Firewall là kiểm soát luồng thông tin từ giữa Intranet và Internet. • Cho phép hoặc cấm những dịch vụ truy cập. • Kiểm soát địa chỉ truy nhập, cấm địa chỉ truy nhập. • Kiểm soát người sử dụng và việc truy nhập của người sử dụng. • Kiểm soát nội dung thông tin thông tin lưu chuyển trên mạng 40
41. Tường Lửa-Firewalls ØFirewall chuẩn bao gồm một hay nhiều các thành phần sau đây: • Bộ lọc packet (packet-filtering router) • Cổng ứng dụng (application-level gateway hay proxy server) • Cổng mạch (circuit - level gateway) 41
42. Tường Lửa-Firewalls ØCác chức năng của phần mềm firewall • Lọc các gói tin (Packet filters) • Hoạt động như 1 Gateway • Proxy servers • Liên lạc với mạng bên ngoài thay cho mạng cục bộ • Vùng đệm (cache) cho các trang web 42
43. Nguyên Lý Bộ Lọc Packet ØBộ lọc packet cho phép hay từ chối mỗi packet mà nó nhận được. ØCác luật lệ lọc packet này là dựa trên các thông tin ở đầu gói tin (packet header), dùng để cho phép truyền các packet đó ở trên mạng. 43
44. Nguyên Lý Bộ Lọc Packet(tt) ØNếu luật lệ lọc packet được thoả mãn thì packet được chuyển qua firewall. Nếu không packet sẽ bị bỏ đi. ØNhờ vậy mà Firewall có thể ngăn cản được các kết nối vào các máy chủ hoặc mạng nào đó được xác định, hoặc khoá việc truy cập vào hệ thống mạng nội bộ từ những địa chỉ không cho phép. 44
45. Packet Filter 45
46. Ưu/Khuyết điểm ØƯu điểm • Đa số các hệ thống firewall đều sử dụng bộ lọc packet. • Chi phí thấp vì cơ chế lọc packet đã được bao gồm trong mỗi phần mềm router. • Bộ lọc packet là trong suốt đối với người sử dụng và các ứng dụng, vì vậy nó không yêu cầu sự huấn luyện đặc biệt nào cả. 46
47. Ưu/Khuyết điểm ØHạn chế • Việc định nghĩa các chế độ lọc package là một việc khá phức tạp • Khi đòi hỏi vể sự lọc càng lớn, các luật lệ vể lọc càng trở nên dài và phức tạp, rất khó để quản lý và điều khiển. • Bộ lọc packet không kiểm soát được nội dung thông tin của packet. 47
48. Cổng ứng dụng (Application-Level Gateway) Nguyên lý Đây là một loại Firewall được thiết kế để tăng cường chức năng kiểm soát các loại dịch vụ, giao thức được cho phép truy cập vào hệ thống mạng. Cơ chế hoạt động của nó dựa trên cách thức gọi là Proxy service. Proxy service là các bộ code đặc biệt cài đặt trên gateway cho từng ứng dụng. Nếu người quản trị mạng không cài đặt proxy code cho một ứng dụng nào đó, dịch vụ tương ứng sẽ không được cung cấp và do đó không thể chuyển thông tin qua firewall. 48
49. Cổng ứng dụng 49
50. Cổng ứng dụng ØƯu điểm • Cho phép người quản trị mạng hoàn toàn điều khiển được những dịch vụ nào cho phép, bởi vì sự vắng mặt của các proxy cho các dịch vụ tương ứng có nghĩa là các dịch vụ ấy bị khoá. • Cổng ứng dụng cho phép kiểm tra độ xác thực rất tốt, và nó có nhật ký ghi chép lại thông tin về truy nhập hệ thống. • Luật lệ lọc filltering cho cổng ứng dụng là dễ dàng cấu hình và kiểm tra hơn so với bộ lọc packet. 50
51. Cổng ứng dụng ØHạn chế • Yêu cầu các users thay đổi thao tác, hoặc thay đổi phần mềm đã cài đặt trên máy client cho truy nhập vào các dịch vụ proxy. 51
52. Cổng ứng dụng 52
53. Những hạn chế của firewall ØKhông thể phân loại thông tin và phân tích nội dung tốt hay xấu. ØChỉ có thể ngăn chặn sự xâm nhập của những nguồn thông tin không mong muốn nhưng phải xác định rõ các thông số địa chỉ. ØKhông thể ngăn chặn một cuộc tấn công nếu cuộc tấn công này không "đi qua" nó. 53
54. Những hạn chế của firewall • Không thể chống lại các cuộc tấn công bằng dữ liệu (data-drivent attack). • Firewall không thể làm nhiệm vụ rà quét virus trên các dữ liệu được chuyển qua nó. • Tuy nhiên, Firewall vẫn là giải pháp hữu hiệu được áp dụng rộng rãi. 54
55. Q & A 55
56. Bài cho kỳ tới: Các Hình Thức Thanh Toán Trong Thương Mại Điện Tử 56
57. Thanks 57