Bài giảng Thương mại điện tử - Bài 9: An ninh trong thương mại điện tử

Nội dung text: Bài giảng Thương mại điện tử - Bài 9: An ninh trong thương mại điện tử

1. An ninh trong Thương mại điện tử
2. Khái niệm rủi ro trong TMĐT Rủi ro trong Thương mại điện tử là những tai nạn, sự cố, tai hoạ xảy ra một cách ngẫu nhiên, khách quan ngoài ý muốn của con người mà gây ra tổn thất cho các bên tham gia trong quá trình tiến hành giao dịch trong Thương mại điện tử
3. Tổng quan  Theo báo cáo của Viện An ninh Máy tính (CSI) và FBI (Mỹ) về thực trạng các vụ tấn công vào hoạt động thương mại điện tử năm 2002: . Các tổ chức tiếp tục phải chịu những cuộc tấn công qua mạng từ cả bên trong lẫn bên ngoài tổ chức đó. khoảng 90% cho rằng họ đã thấy có sự xâm phạm an ninh trong vòng 12 tháng gần nhất. . Các hình thức tấn công qua mạng mà các tổ chức phải chịu rất khác nhau. Ví dụ, 85% bị virus tấn công, 78% bị sử dụng trái phép mạng internet, 40% là nạn nhân của tấn công từ chối dịch vụ (DoS)
4. Tổng quan  Thiệt hại về tài chính qua các vụ tấn công qua mạng là rất lớn: . 80% các tổ chức đã phải chịu thiệt hại về tài chính do hàng loạt các kiểu tấn công khác nhau qua mạng. . Tổng thiệt hại của những tổ chức này khoảng 455 triệu đôla Mỹ.  Theo báo cáo của Trung tâm ứng cứu khẩn cấp máy tính (CERT) của đại học Carnegie Mellon (Mỹ): . Số lượng nạn nhân của những vụ tấn công qua mạng tăng từ 22.000 vụ năm 2000 lên đến 82.000 vụ năm 2002, con số này cao gấp 20 lần so với con số nạn nhân năm 1998.
5. Tổng quan Hầu hết các nước đã thành lập những trung tâm an ninh mạng mang tính quốc gia: . Trung tâm bảo vệ Cơ sở hạ tầng quốc gia (NIPC) trực thuộc FBI (Mỹ), có chức năng ngăn chặn và bảo vệ hạ tầng quốc gia về viễn thông, năng lượng, giao thông vận tải, ngân hàng và tài chính, các hoạt động cấp cứu và các hoạt động khác của chính phủ. . Tại Việt Nam cũng đã thành lập Trung tâm ứng cứu khẩn cấp máy tính Việt Nam (VnCERT) vào tháng 12/2005
6. Yêu cầu về an ninh  1 - Bí mật (secrecy): • Đảm bảo việc, ngoài những người có quyền, không ai đọc được các dữ liệu, lấy được các thông tin cá nhân hoặc các thông tin bí mật khác  2 - Toàn vẹn (integrity) • Đảm bảo thông tin không bị thay đổi  3 - Sẵn sàng (availability) • Đảm bảo thông điệp hoặc mẩu tin được truyền gửi  4 - Chống phủ định (non-repudiation) • Đảm bảo rằng các bên tham gia không thể phủ định các hành động họ đã thực hiện  5 - Xác thực (authentication) • Có thể nhận biết được các đối tác tham gia giao dịch
7. Những rủi ro thường gặp Nhóm rủi ro về dữ liệu Nhóm rủi ro về công nghệ Nhóm rủi ro về thủ tục quy trình giao dịch của công ty Nhóm rủi ro về luật pháp và các tiêu chuẩn công nghiệp
8. Những rủi ro thường gặp Luật pháp và tiêu chuẩn công nghiệp C¸c thñ tôc quy tr×nh giao dÞch Công nghệ Dữ liệu
9. Những rủi ro thường gặp
10. Rủi ro về dữ liệu Dữ liệu lưu trữ (website, thông tin thẻ tín dụng) . Người bán: thay đổi thông tin website, cơ sở dữ liệu, nhận được đơn hàng giả mạo, . Người mua: thông tin cá nhân, nhận email giả tạo, . Chính phủ Dữ liệu trên đường truyền
11. Rủi ro về công nghệ Rủi ro xảy ra do bị tấn công bằng cách sử dụng công nghệ tin học Các hình thức tấn công chủ yếu: . Virus hay các đoạn mã nguy hiểm (malicilous code): Virus là chương trình máy tính có khả năng nhân bản hoặc tự tạo các bản sao của chính mình và lây lan sang các chương trình, các tệp dữ liệu khác trên máy tính . Tin tặc và các chương trình phá hoại
12. Rủi ro về công nghệ Các hình thức tấn công chủ yếu . Khước từ dịch vụ (DoS, DDoS): Tấn công bằng cách sử dụng những giao thông vô ích làm tràn ngập dẫn đến tắc nghẽn mạng truyền thông (DoS), hoặc sử dụng số lượng lớn các máy tính tấn công vào một mạng từ nhiều điểm khác nhau gây nên sự quá tải về khả năng cung cấp dịch vụ (DDoS) . Kẻ trộm trên mạng (sniffer)
13. Tấn công DDoS Hacker Máy tính Máy tính Máy tính trường học gia đình Cơ quan Máy tính Máy tính trường học ISP Nạn nhân
14. Rủi ro về thủ tục quy trình giao dịch của công ty Do không kiểm tra kỹ đối tác Do thiếu kỹ năng ký kết hợp đồng/ hợp đồng điện tử Rủi ro không nhận hàng hoặc không thanh toán . VD: vụ 1 công ty VN bị lừa gần 15 tỷ khi mua hàng từ alibaba.com
15. Rủi ro về luật pháp và các tiêu chuẩn công nghiệp Về hiệu lực pháp lý của Giao dịch điện tử: trên quy mô quốc tế, các nước đối tác có thừa nhận giao dịch điện tử? Về tiêu chuẩn công nghiệp: chưa tiêu chuẩn hóa trong một số lĩnh vực của TMĐT
16. Ảnh hưởng của rủi ro tới hoạt động kinh doanh của DN Hạn chế hiệu quả kinh doanh Thiệt hại về vật chất Thiệt hại về thông tin, phần mềm, phần cứng Mất cơ hội kinh doanh Ảnh hưởng đến uy tín doanh nghiệp
17. Quản trị rủi ro trong TMĐT Là quá trình xác định các khả năng bị tấn công và đưa ra các giải pháp thích hợp để phòng hoặc chống lại những tấn công này Những lỗi thường gặp khi quản trị rủi ro: . Thiếu thông tin hoặc đánh giá thấp thông tin nhận được . Xác định biên giới an ninh quá hẹp . Các quy trình quản trị rủi ro lạc hậu . Thiếu trao đổi về các khả năng xảy ra rủi ro
18. Quản trị rủi ro trong TMĐT Các bước quản trị rủi ro: . Đánh giá các tài sản, khả năng bị tấn công của từng tài sản và mức độ thiệt hại nếu bị tấn công . Lên kế hoạch: Xác định phải phòng chống loại tấn công nào và biện pháp thực hiện . Thực hiện . Giám sát: Theo dõi và đánh giá hiệu quả các giải pháp thực hiện
19. Phòng tránh rủi ro trong TMĐT Đảm bảo an toàn trong giao dịch Đảm bảo an toàn đối với hệ thống mạng Tham gia bảo hiểm
20. Bảo mật trong giao dịch Mã hoá dữ liệu (encryption) Lớp ổ cắm an toàn (SSL – Secure Socket Layer) Các giao dịch điện tử an toàn (SET – Secure Electronic Transaction)
21. Mã hóa và Chữ ký điện tử
22. Mã hóa dữ liệu Là quá trình chuyển các văn bản hay các tài liệu gốc thành các văn bản dưới dạng mật mã để bất cứ ai, ngoài người gửi và người nhận, đều không thể đọc được. Hai phương pháp mã hóa: . Mã hóa khóa bí mật (mã hóa khóa đối xứng): sử dụng 01 “chìa khóa” . Mã hóa khóa công khai (mã hóa khóa không đối xứng): sử dụng 02 “chìa khóa” khác nhau, một để mã và một để giải
23. Mã hóa khóa bí mật  Sử dụng 1 chìa khóa để vừa mã hóa vừa giải mã . Mã Caesar: thay thế các ký tự của thông điệp bởi ký tự đứng sau nó k vị trí. • Vd: k=1 thì ab, bc, , za . Phương pháp thế (substitution): • thay thế ký tự theo bảng thay thế. • mã Caecar là trường hợp đặc biệt. . Các phần mềm mã hóa khác • DES, 3-DES Bảng thế Thông plaintext: bob. See you this monday. alice điệp ciphertext: nkn. Icc wky uasi hkjvmw. mgsbc
24. Mã hóa khóa bí mật Khóa bí mật Khóa bí mật Truyền thông điệp đã mã hóa Thông Thông Thuật mã hóa Thuật giải mã điệp đầu điệp đầu (VD: DES)
25. Mã hóa khóa bí mật  Đáp ứng yêu cầu về tính xác thực • Xác định bên đối tác vì đã trao đổi chìa khóa với họ • Chỉ có bên đối tác có thể gửi thông điệp vì chỉ có họ biết chìa khóa  Đáp ứng yêu cầu về tính toàn vẹn • Không ai có thể thay đổi nội dung thông điệp nếu không biết khìa khóa  Đáp ứng yêu cầu về tính không thể chối bỏ • Bằng chứng đồng ý với nội dung thông điệp đã ký  Đáp ứng tính riêng tư • Không ai khác có thể đọc nội dung thông điệp nếu không biết chìa khóa THÔNG ĐIỆP ĐÃ ĐƯỢC “KÝ”
26. Mã hóa khóa bí mật Nhược điểm: • Khó trao đổi chìa khóa giữa người gửi và người nhận • Mỗi khách hàng phải có một chìa khóa riêng việc tạo và quản lý khóa khó khăn • Dễ “giải mã” hơn: brute-force
27. Mã hóa khóa công khai Sử dụng 1 cặp với 2 chìa khóa khác nhau Một chìa cung cấp công khai, một chìa bí mật Mỗi chìa đều có thể sử dụng để “khóa” thông điệp. Khi thông điệp đã được “khóa”, chỉ có chìa khóa cặp tương ứng mới có thể “mở” được Thuật toán RSA (Ronald Rivest, Adi Shamir, Leonard Adelman)
28. Mã hóa khóa công khai Khóa bằng chìa khóa công khai: Các khóa Thông điệp coi như chưa được “ký” công khai Khóa công khai Khóa bí mật của B của B Thông điệp đã mã hóa Thông Thuật mã hóa Thuật giải mã Thông điệp đầu (VD: RSA) . điệp đầu
29. Mã hóa khóa công khai Khóa bằng chìa khóa bí mật: Các khóa Thông điệp đã được “ký” CKĐT công khai Khóa bí mật Khóa công khai của A của A Thông điệp đã mã hóa Thông Thuật mã hóa Thuật giải mã Thông điệp đầu (VD: RSA) . điệp đầu
30. Chữ ký điện tử Chữ ký điện tử được tạo lập dưới dạng từ, chữ, số, ký hiệu, âm thanh hoặc các hình thức khác bằng phương tiện điện tử, gắn liền hoặc kết hợp một cách logic với thông điệp dữ liệu, có khả năng xác nhận người ký thông điệp dữ liệu và xác nhận sự chấp thuận của người đó đối với nội dung của thông điệp dữ liệu. (Đ 21 Luật GDDT)
31. Các loại chữ ký điện tử Loại sử dụng kỹ thuật đơn giản • Chữ, ký tự, âm thanh, bản in quét, Loại sử dụng kỹ thuật trung bình • Chữ ký dùng mật khẩu, PIN, sinh trắc học, Loại sử dụng kỹ thuật cao: • Chữ ký số (digital signature): sử dụng thuật mã hóa khóa công khai
32. Chữ ký số Điều 3, Nghị định 26: "Chữ ký số" là một dạng chữ ký điện tử được tạo ra bằng sự biến đổi một thông điệp dữ liệu sử dụng hệ thống mật mã không đối xứng theo đó người có được thông điệp dữ liệu ban đầu và khoá công khai của người ký có thể xác định được chính xác: • a) Việc biến đổi nêu trên được tạo ra bằng đúng khoá bí mật tương ứng với khoá công khai trong cùng một cặp khóa; • b) Sự toàn vẹn nội dung của thông điệp dữ liệu kể từ khi thực hiện việc biến đổi nêu trên.
33. Chữ ký số Trong thuật toán mã hóa khóa công khai và hạ tầng PKI, chữ ký số là việc sử dụng chìa khóa bí mật để mã hóa “thông điệp tóm tắt” (được tạo ra sau khi sử dụng hàm rút gọn) Hàm rút gọn (hàm băm): sử dụng để tóm tắt thông điệp gốc thành bản thông điệp tóm tắt (messege digest) có kích thước cố định
34. Quy tr×nh “ký sè” ®Çy ®ñ INTERNE Hîp ®ång Hîp ®ång T H§ rót gän Dán Chữ ký số Băm 1 phong bì Ký số Hîp ®ång M¸y tÝnh Ng­êi göi M¸y tÝnh Ng­êi nhËn Chữ ký số Kiểm tra nội dung Kiểm tra Băm chữ ký Mở phong bì Hîp ®ång INTERNE T H§ rót gän H§ rót gän Chữ ký số 2 1 So sánh
35. (2) Người gửi sử (3) Mã hóa bằng khóa (1) dụng hàm băm Thông điệp bí mật của người gửi tóm tắt Chữ ký số Thông điệp gốc Thông điệp gốc và Chữ ký số (4) Mã hóa bằng khóa công cộng của người nhận GỬI Phong bì số (5) Gửi cho người nhận NHẬN Phong bì số (6) Giải mã bằng khóa bí mật của ng nhận (1) Chữ ký số Thông điệp gốc (8) Sử dụng hàm (7) Giải mã bằng khóa công khai băm của người gửi Thông điệp Thông điệp tóm tắt mới tóm tắt gốc (9) So sánh
36. Quản lý khóa PKI: Public Key Infrastructure Gồm: . Chữ ký số . Chứng thực số (Digital Certificate) . Cơ quan chứng thực chữ ký số (CA – Certification Authority) . Hạ tầng mạng
37. Quản lý khóa  "Tổ chức cung cấp dịch vụ chứng thực chữ ký số" là tổ chức cung cấp dịch vụ chứng thực chữ ký điện tử thực hiện hoạt động cung cấp dịch vụ chứng thực chữ ký số.  "Chứng thư số" là một dạng chứng thư điện tử do tổ chức cung cấp dịch vụ chứng thực chữ ký số cấp. (Nghị định 26) . “Chứng thư điện tử” là thông điệp dữ liệu do tổ chức cung cấp dịch vụ chứng thực chữ ký điện tử phát hành nhằm xác nhận cơ quan, tổ chức, cá nhân được chứng thực là người ký chữ ký điện tử. (Luật GDDT)
38. Câu hỏi Đặc điểm nào không phải của mã khoá bí mật? • Khoá để mã và giải giống nhau • Người gửi và người nhận cùng biết khoá này • Chi phí quản lý khoá thấp và quản lý đơn giản • Doanh nghiệp sẽ phải tạo khoá bí mật cho từng khách hàng
39. Câu hỏi Yếu tố nào không thuộc quy trình tạo lập chữ ký điện tử? • Thông điệp gốc • Bản tóm tắt thông điệp • Khoá công cộng • Chữ ký điện tử
40. Câu hỏi Yếu tố nào không thuộc quy trình xác nhận chữ ký điện tử? • Thông điệp nhận được • Khoá bí mật • Bản tóm tắt thông điệp • Kết quả so sánh hai bản tóm lược
41. Lớp ổ cắm an toàn (SSL)
42. SSL SSL laø moät chöông trình an toaøn cho vieäc truyeàn thoâng treân web. höôngC trình naøy baûo veä caùc keânh thoâng tin trong quaù trình trao ñoåi döõ lieäu giöõa maùy chuû vaø caùc trình duyeät ebW thay vì phaûi baûo veä töøng maãu tin. SSL là giao thức Web dùng để thiết lập bảo mật giữa máy chủ và khách SSL khoâng theå baûo veä ñöôïc caùc thoâng tin caù nhaân (nhö soá theû tín duïng, caùc thoâng tin veà caù nhaân khaùch haøng ) khi caùc thoâng tin naøy löu giöõ treân maùy chuû cuûa ngöôøi baùn.
43. SSL SSL họat động trên tầng TCP của giao thức OSI (Open Systems Interconnection), và trên giao thức khác như Telnet và HTTP SSL chứa giao thức “bắt tay ” (handshake stage), bảo mật cho server (và máy khách nếu cần ), xác định mã hóa, thuật tóan mã hóa, và chuyển đổi khóa mã
44. Các giao dịch điện tử an toàn - SET
45. SET Ñöôïc thieát keá ñaëc bieät ñeå baûo veä caùc giao dòch thanh toaùn trong TMÑ.T SET söû duïng caùc chöùng thöïc ñieän töû (VD cuûa VIEÄT NAM laø ñeå xaùc thöïc moãi beân tham gia trong moät giao dòch thöơng maïi ñieän töû bao goàm ngöôøi mua, ngöôøi baùn, vaø ngaân haøng cuûa ngöôøi baùn. rongT toaøn boä quaù trình giao dòch ngöôøi baùn haøng khoâng tröïc tieáp xem ñöôïc caùc thoâng tin veà theû tín duïng cuûa khaùch haøng vaø caùc thoâng tin cuõng khoâng ñöôïc löu tröõ treân maùy chuû cuûa ngöôøi baùn.
46. An toàn đối với hệ thống mạng Tường lửa (firewall): là phần mềm và/hoặc phần cứng ngăn cách một mạng với bên ngoài . Tất cả các luồng thông tin từ bên trong mạng máy tính của tổ chức đi ra ngoài và ngược lại đều phải đi qua thiết bị hay phần mềm này; . Chỉ các luồng thông tin được phép và tuân thủ đúng quy định về an toàn mạng máy tính của tổ chức, mới được phép đi qua
47. Tường lửa
48. An toàn đối với hệ thống mạng Phòng chống virus Sử dụng password mạnh An ninh nguồn nhân lực Trang thiết bị an ninh mạng: kiểm soát việc ra/vào trụ sở làm việc: thẻ từ, kiểm tra sinh trắc học,