Tài liệu Nghiên cứu mã hóa bản tin và phương pháp xác thực người dùng theo hệ mật mã khoá công khai RSA

MỤC LỤC Trang LỜI CAM ĐOAN ......................................................................................... 2 MỤC LỤC .................................................................................................... 3 DANH MỤC CÁC THUẬT NGỮ VIẾT TẮT ............................................ 5 DANH MỤC CÁC BẢNG BIỂU ................................................................. 6 DANH MỤC CÁC HÌNH VẼ ...................................................................... 7 MỞ ĐẦU ....................................................................................................... 9 CHƢƠNG 1 TỔNG QUAN VỀ AN TOÀN THÔNG TIN ....................... 12 1.1 MẠNG VÀ AN TOÀN MẠNG .......................................................... 12 1.1.1 1.1.2 1.1.3 1.1.4 1.1.5 1.2 CẤU TRÚC CHUNG CỦA MẠNG ............................................. 13 CÁC THIẾT BỊ MẠNG ............................................................... 14 ĐƢỜNG TRUYỀN VẬT LÝ:....................................................... 14 PHẦN MỀM CỦA MẠNG ........................................................... 15 CÁC YẾU TỐ ĐẢM BẢO AN TOÀN MẠNG:............................. 16 CHÍNH SÁCH AN TOÀN THÔNG TIN ........................................ 16 1. 2.1 MỘT SỐ VẤN ĐỀ HOẠCH ĐỊNH CHÍNH SÁCH ..................... 16 1.2.2 MỤC TIÊU THIẾT KẾ HỆ THỐNG AN NINH THÔNG TIN ..... 17 1.2.3 KIẾN TRÚC LOGIC CÁC MIỀN AN NINH ................................ 18 1.2.4 KIẾN TRÚC MẠNG .................................................................... 22 1.2.5 NGUY CƠ MẤT AN TOÀN HỆ THỐNG THÔNG TIN ............. 25 1.2.6 KỸ THUẬT VÀ DỊCH VỤ ĐẢM BẢO AN TOÀN THÔNG TIN .. 29 1.3 AN TOÀN DỮ LIỆU: ...................................................................... 39 1.3.1 MÃ HOÁ TIN TỨC ..................................................................... 39 1.3.2 XÁC THỰC THÔNG TIN ........................................................... 39 1.4 KẾT LUẬN CHƢƠNG 2: ................................................................ 46 CHƢƠNG 2 CƠ SỞ TOÁN HỌC CỦA MÃ XÁC THỰC ĐỐI TƢỢNG VÀ PHƢƠNG PHÁP MÔ PHỎNG SHA TRÊN MÁY TÍNH................. 47 2.1 NHỮNG VẤN ĐỀ CHUNG VỀ HÀM HASH VÀ HÀM HASH AN TOÀN: ..................................................................................................... 47 2.1.1 HÀM HASH ................................................................................ 47 2.1.2 ĐIỀU KIỆN AN TOÀN CHO HÀM HASH .................................. 48 3 2.1.3 TẠO HÀM HASH AN TOÀN SHA-1 ....................................... 53 2.2 GIẢI PHÁP TÓM LƢỢC BẢN TIN ................................................ 58 2.2.1 CHÈN BÍT VÀO BẢN TIN .......................................................... 58 2.2.2 TÓM LƢỢC BẢN TIN ................................................................ 59 2.3 TÍNH TOÁN TÓM LƢỢC BẢN TIN Ở HÀM HASH SHA-1 ........ 60 2.3.1 PHƢƠNG PHÁP TÍNH VỚI BẢN TIN CHÈN BÍT CÓ CHỈ CÓ MỘT KHỐI .......................................................................................... 60 2.3.2 PHƢƠNG PHÁP TÍNH VỚI BẢN TIN ĐƢỢC CHÈN BÍT GỒM NHIỀU KHỐI ....................................................................................... 62 2.4 XÂY DỰNG CHƢƠNG TRÌNH MÔ PHỎNG HÀM HASH SHA .. 66 2.5 KẾT LUẬN CHƢƠNG 2 .................................................................. 67 CHƢƠNG 3 HỆ MẬT MÃ KHOÁ CÔNG KHAI VÀ TRIỂN KHAI GIẢI PHÁP XÁC THỰC RSA .................................................................. 68 3.1 TỔNG QUAN VỀ HỆ MẬT MÃ KHOÁ CÔNG KHAI RSA .......... 69 3.1.1 TỔNG QUAN ............................................................................. 69 3.1.2 HỆ MẬT MÃ RSA ....................................................................... 73 3.1.3 CÁC PHƢƠNG PHÁP PHÂN PHỐI KHOÁ CÔNG KHAI ........ 75 3.2 CHỮ KÝ SỐ ĐIỆN TỬ RSA ........................................................... 88 3.2.1 TỔNG QUÁT HOÁ VỀ CHỮ KÝ SỐ ĐIỆN TỬ RSA ................... 88 3.2.2 THUẬT TOÁN TẠO CHỮ KÝ SỐ ĐIỆN TỬ RSA ....................... 91 3.3 TRIỂN KHAI GIẢI PHÁP XÁC THỰC NGƢỜI DÙNG SECURID AUTHENTICATION CỦA RSA TẠI CƠ QUAN XÍ NGHIỆP VỪA VÀ NHỎ ......................................................................................................... 92 3.3.1 INTERNET VÀ MÔ HÌNH THƢƠNG MẠI ĐIỆN TỬ ................. 92 3.3.2 GIẢI PHÁP XÁC THỰC BẰNG MẬT KHẨU .............................. 93 3.3.3 GIẢI PHÁP XÁC THỰC HAI YẾU TỐ SECURID CỦA RSA ...... 95 3.4 KẾT LUẬN CHƢƠNG 3 ................................................................ 104 KẾT LUẬN CHUNG ............................................................................... 105 DANH MỤC CÔNG TRÌNH TÁC GIẢ ................................................. 107 TÀI LIỆU THAM KHẢO........................................................................ 108 PHỤ LỤC 4 DANH MỤC CÁC THUẬT NGỮ VIẾT TẮT ISDN Intergrated Service Digital Network DMZ Demilitarized Zone VLAN Mạng Lan ảo NAT Công nghệ biên dịch địa chỉ VPN Mạng riêng ảo MAC Kiểm soát truy nhập bắt buộc DAC Kiểm soát truy nhập tùy ý RBAC Kiểm soát truy nhập dựa trên vai trò CHAP Xác thực bắt tay thách thức MAC Message Authentication Code LAN Local Area Network WAN MAN Wide Area Network Metropolitan Area Network 5 DANH MỤC CÁC BẢNG BIỂU Trang Bảng 2.1 Hàm Hash không an toàn ...............................................................50 Bảng 2.2 Hàm Hash an toàn và các thông số của nó.......................................50 Bảng 3.1 Chuyển đổi ký tự sang số thập phân.................................................83 Bảng 3.2 Số liệu tính toán cho việc phá khoá RSA.........................................84 6 DANH MỤC CÁC HÌNH VẼ Trang Hình 1.1 Sơ đồ một mạng LAN đơn giản kết nối với Internet........................11 Hình 1.2 Minh họa cấu một mạng Intranet....................................................19 Hình 1.3 Một kết nối Extranet giữa hai tổ chức.............................................18 Hình 1.4 Miền DMZ...................................................................................... 20 Hình 1.5 Mạng VLAN....................................................................................22 Hình 1.6 Một kết nối lên Internet điển hình(NAT).........................................23 Hình 1.7 Kết nối sử dụng giao thức Tunneling...............................................24 Hình 1.8 Các mối đe dọa từ bên trong và bên ngoài mạng đối với một tổ chức...26 Hình 1.9 Một cơ sở hạ tầng mạng điển hình..................................................29 Hình 1.10 Proxy Firewall ngăn chặn truy cập từ ngoài mạng........................30 Hình 1.11 Một dual-homed Proxy................................................................. 32 Hình 1.12 Router............................................................................................33 Hình 1.13 Chuyển mạch giữa hai hệ thống....................................................34 Hình 1.14 Hai mạng Lan sử dụng kết nối VPN..............................................35 Hình 1.15 Tên ngƣời dùng / mật khẩu............................................................39 Hình 1.16 Sơ đồ xác thực sử dụng hàm Hash.................................................41 Hình 1.17 Sơ đồ xác thực sử dụng hệ mật mã bí mật .....................................42 Hình 1.18 Sơ đồ xác thực sử dụng sử dụng hệ mật mã khoá công khai.........43 Hình 1.19 Sơ đồ xác thực hàm Hash và hệ mã khoá công khai......................44 Hình 2.1 Sơ đồ khối tổng quát hàm Hash.......................................................47 7 Hình 2.2 đồ Sơ khối của hàm Hash an toàn.....................................................51 Hình 2.3 Sơ đồ khối của xử lý lặp .................................................................55 Hình 2.4 Sơ đồ khối xử lý “Từ” ở mỗi vòng trong hàm Hash........................ 56 Hình 2.5 Sơ đồ tạo từ Wt đầu vào với một khối tin ........................................56 Hình 3.1 Mô hình thông tin của hệ mật mã.....................................................69 Hình 3.2 Mô hình thông tin của hệ mật mã khoá công khai...........................71 Hình 3.3 Sơ đồ thông báo công khai khoá ......................................................74 Hình 3.4 Sơ đồ phân phối khoá công khai theo thƣ mục ................................76 Hình 3.5 Cấp phát khoá công khai do quan có thẩm quyền............................78 Hình 3.6 Sơ đồ chứng nhận khoá công khai....................................................80 Hình 3.7 Sơ đồ chữ ký số và kiểm tra chữ ký số..............................................88 Hình 3.8 Sơ đồ chữ ký số và kiểm tra chữ ký số sử dụng hàm Hash...............89 Hình 3.9 Xác thực hai yếu tố..........................................................................94 Hình 3.10 Mô hình giải pháp xác thực hai yếu tố SecurID của RSA..............95 Hình 3.11 Giải pháp ba thành phần.................................................................96 Hình 3.12 Hoạt động của RSA SecurID Authentication.................................98 8 MỞ ĐẦU Chúng ta sống trong thời đại mà thông tin là nhu cầu không thể thiếu đƣợc trong xã hội, cũng nhƣ đối với mỗi cá nhân. Sự phổ biến rộng rãi và tiện ích của mạng viễn thông (mạng máy tính, mạng thông tin di động, mạng điện thoại..) và các phƣơng tiện truyền thông khác đã đáp ứng đƣợc nhu cầu đƣợc nhu cầu trao đổi thông tin to lớn của toàn xã hội. Ngày nay, an toàn thông tin là một vấn đề có tính thời sự liên quan đến vấn đề ổn định xã hội và chủ quyền quốc gia. Với sự phát triển nhanh của ngành Công nghệ thông tin, đặc biệt là kỹ thuật truyền thông số hoá trên môi trƣờng Internet đã tạo ra hiệu quả cao cho quá trình trao đổi thông tin trong xu thế hợp tác, hội nhập quốc tế và phát triển trên nhiều lĩnh vực. Tuy nhiên cũng đang nảy sinh hàng loạt vấn đề liên quan đến an toàn bảo mật thông tin cho mọi quốc gia. Điều này đang đặt ra những đòi hỏi cấp thiết vấn đề lựa chọn giải pháp an toàn thông tin trong hệ thống máy tính truyền thông trong phạm vi quốc gia, cũng nhƣ trong khu vực. Chúng cũng làm tăng hoạt động tội phạm về đánh cắp, giả mạo, làm méo, gây nhiễu thông tin....cuối cùng gây mất an toàn thông tin. An toàn thông tin là một lĩnh vực khoa học rất quan trọng, đã đƣợc rất nhiều nƣớc trên thế giới đầu tƣ và quan tâm và nghiên cứu. Để tạo điều kiện và hỗ trợ phát triển lĩnh vực khoa học này, tổ chức tiêu chuẩn hoá quốc tế (ISO) đã cho ra đời tiêu chuẩn về phƣơng diện an toàn và bảo mật tin tức nhƣ: ISO - 7498-2:1989, ISO/IEC 9796:1996, ISO/IEC 9798 - 1:1991, ISO/IEC 9798-2:1994. Các tiêu chuẩn này đã đƣợc nhiều quốc gia sử dụng cho mục đích đảm bảo an toàn thông tin hoặc dựa vào chúng để xây dựng nên các tiêu chuẩn an toàn cho chính mình. Riêng trong lịch vực quốc phòng và an ninh, an toàn thông tin là lĩnh vực đƣợc quan tâm nghiên cứu đặc biệt. Bởi vì, theo quan điểm chiến tranh hiện đại, thông tin là nguồn lực, là vũ khí trong cuộc chiến kẻ nào nắm, xử lý 9 thông tin tốt hơn, đồng thời kiềm chế (gây mất an toàn) thông tin của đối phƣơng thì kẻ đó sẽ chiến thắng. Vì vậy, nghiên cứu an toàn thông tin không chỉ có ý nghĩa trong việc đảm bảo thông tin cho quốc gia mà còn làm cho chúng ta có khả năng gây mất toàn thông tin cho đối phƣơng khi có chiến tranh xẩy ra, phục vụ tốt cho việc bảo vệ tổ quốc. Với việc ứng dụng các mạng máy tính (Internet) dùng cho chính phủ điện tử, thƣơng mại điện tử, cũng nhƣ e-learning trên phạm vi toàn thế giới thì vai trò của an toàn thông tin càng trở nên cấp thiết và quan trọng. An toàn dữ liệu (data sercurity) chiếm vị trí quan trọng trong an toàn thông tin. An toàn dữ liệu đảm bảo tính bí mật, tính trọn vẹn của bản tin (không bị giả mạo, không bị thay đổi). Các biện pháp kỹ thuật đảm bảo cho an toàn dữ liệu bao gồm: mã hoá tin tức (cryptogaphy), xác thực và thiết lập hàng rào an ninh thông tin. Để thực hiện đƣợc các vấn đề này có khá nhiều biện pháp khác nhau, trong đó phải kể đến biện pháp sử dụng mật mã khoá công khai, đặc biệt là hệ mật mã RSA (do Rivest, Shamir và Adleman phát minh). Hiện nay trên thế giới có nhiều dự án nghiên cứu về các giải pháp xác thực - mã hóa thông tin nhƣ: NESSIE của các nƣớc Châu Âu, CRYPTREC của Nhật Bản, cũng nhƣ nhiều công trình khoa học, sản phẩm thƣơng mại của các tác giả tại Mỹ và các nƣớc khác. Nƣớc ta đã có những dự án nghiên cứu về an toàn thông tin mạng. Với kiến thức học tập đƣợc, tác giả luận văn xin trình bày đề tài “ Nghiên cứu mã hoá bản tin và phƣơng pháp xác thực ngƣời dùng theo hệ mật mã khoá công khai RSA” nhằm tổng quát hoá giải pháp và triển khai ứng dụng hệ thống xác thực RSA dùng cho các cơ quan, xí nghiệp nhỏ là một nhu cầu cần thiết và mang tính khả thi cao. Bố cục của luận văn tập trung giải quyết các vấn đề sau: Phần mở đầu. Phần nội dung bao gồm: 10 1. Tổng quan về an toàn thông tin: - Mạng và an toàn mạng. - Chính sách an toàn thông tin. - An toàn dữ liệu. - Kết luận 2. Cơ sở toán học của mã xác thực đối tƣợng và phƣơng pháp mô phỏng SHA-1 trên máy tính: - Những vấn chung về hàm hash và Hash an toàn.. - Giải pháp tóm lƣợc bản tin - Tính toán tóm lƣợc bản tin ở hàm Hash SHA - Xây dựng chƣơng trình mô phỏng - Kết luận 3. Hệ mật mã khoá công khai và triển khai giải pháp xác thực RSA: - Tổng quan về hệ mật khoá công khai RSA. - Chữ ký số điện tử RSA. - Triển khai giải pháp xác thực ngƣời dùng SercurID. - Authentication của RSA cho xí nghiệp vùa và nhỏ: - Kết kuận. Phần kết luận chung. 11 CHƢƠNG 1 TỔNG QUAN VỀ AN TOÀN THÔNG TIN 1.1 Mạng và an toàn mạng An toàn thông tin đƣợc định nghĩa nhƣ sau [1] : “An toàn thông tin (information security): (1) Tổng cộng an toàn máy và an toàn mạng (2). Kết quả của hệ thống chính sách và thủ tục để nhận dạng, kiểm soát và bảo vệ chống tiết lộ trái phép đối với thông tin cần đƣợc bảo vệ, phê duyệt qua nội dung quy định hoặc quy chế thực hiện. (3) Việc bảo vệ chống lại sự tiết lộ, điều khiển, phá huỷ hoặc thay đổi không đƣợc phép đối với thông tin.” Sau đây xin trình bày về mạng và an toàn mạng, chính sách toàn thông tin và an toàn dữ liệu trong an toàn thông tin là những vấn đề đƣợc đề cập tới trong định nghĩa về an toàn thông tin. Mạng máy tính đơn giản đƣợc hình thành bằng hai máy đƣợc nối với nhau và cũng xuất phát từ ý tƣởng này, mà mạng máy tính đƣợc hình thành và phát triển nhƣ ngày nay. Có rất nhiều cách giải nghĩa khác nhau vê mạng máy tính, song định nghĩa cơ bản nhất [7] mạng máy tính đƣợc phát biểu nhƣ sau: “ Mạng máy tính là mạng bao gồm ít nhất hai máy đƣợc đƣợc kết nối với nhau thông qua một đƣờng truyền vật lý cho phép chúng chia sẻ dữ liệu và tài nguyên ”. Trong một mạng máy tính, các máy tính kết nối trên đƣờng truyền vật lý này phải tuân theo một loạt các quy tắc truyền thông chung thì dữ liệu mới đến đích và các máy tính gửi và máy tính nhận mới hiểu nhau. Các quy tắc này đƣợc gọi là giao thức (protocol). 12 1.1.1 Cấu trúc chung của mạng Theo quy mô thiết lập mạng chúng ta có các loại mạng nhƣ: Mạng cục bộ, Mạng đô thị, Mạng diện rộng vv… Mạng cục bộ hay còn gọi là mạng LAN (Local Area Network). Mạng LAN gồm có các máy tính, các mạng, đƣờng truyền vật lý, các thiết bị mạng và thiết bị ngoại vi. Mạng đƣợc thiết kế để hoạt động trong miền vật lý có giới hạn tƣơng đối nhỏ nhƣ: trong một toà nhà, trong một trƣờng học. Trên hình 1.1 là một ví dụ mô tả về một mạng LAN kết nối với môi trƣờng Internet. Hình 1.1 Sơ đồ một mạng LAN đơn giản kết nối với Internet. Do thiết kế giới hạn về phạm vi vật lý nên mạng LAN chỉ có thể đáp ứng nhu cầu trao đổi thông tin trong phạm vi địa lý nhỏ nhƣ trong một toà nhà hay một trƣờng học. Thực tế yêu cầu trao đổi thông tin đã vƣợt qua giới hạn địa lý đó. Ví dụ cần trao đổi thông tin giữa các toàn nhà với nhau, giữa các trƣờng học với nhau. Giải pháp đƣợc đề xuất để giải quyết cho vấn đề này là mạng các đô thị MAN (Metropolitan Area Network) và các mạng diện rộng WAN( Wide Area Network). Mạng đô thị hay còn gọi là mạng MAN (Metropolitan Area Network) đƣợc thiết kế để hoạt động trong phạm vi là đô thị hay một trung tâm- kinh tế xã hội. nó là sự mở rộng của mạng LAN trong phạm vi đô thị. 13 Mạng diện rộng hay còn gọi là mạng WAN (Wide Area Network) là mạng đƣợc thiết kế trên quy mô lớn cho phép kết nối các mạng LAN ở các thành phố với nhau. 1.1.2 Các thiết bị mạng 1.1.2.1 Repeater: Dùng để tái sinh và định thời lại cho các tín hiệu mạng ở mức bít cho phép và cho phép chúng di chuyển một quảng đƣờng dài trên môi trƣờng truyền ( Cáp CAT5 UTP: cho phép dùng tối đa 100m là phải dùng Repeat). Repeater là thiết bị thuộc lớp 1 (physical link). 1.1.2.2 Hub: Dùng để tái sinh và định thời lại cho các tín hiệu mạng. Điều này thực hiện đối với một số các Host. (Vì thế nó có tên là Repeater đa port). Nó thuộc lớp 1 và lớp 2 (Data Link) 1.1.2.3 Bridge: Là thiết bị lớp 2 dùng để nối các Segment Lan với nhau. mục đích là lọc các tải mạng, giữ lại các tải cục bộ trong khi vẫn cho phép kết nối các phần cứng khác của mạng do các tải đƣợc gửi tới đó. Tải đƣợc phân biệt nhờ mỗi thiết bị mạng có một địa chỉ MAC duy nhất trên NIC (card mạng). Bridge theo dõi các địa chỉ MAC trên mỗi hƣớng và cho quyết định. 1.1.2.4 Switch: Là thiết bị 2 lớp và nối cũng là Bridge nhƣng Bridge thì không đƣa ra quyết định. Hình dạng ngoài Switch và Hub là giống nhau. 1.1.2.5 Router: Là thiết bị thuộc lớp 3(Network) dùng để kiểm tra các gói đến, chọn đƣờng dẫn tốt nhất cho chúng xuyên qua mạng và sau đó chuyển chúng đến các port ra thích hợp. Router là thiết bị điều khiển quan trọng nhất trong mạng, nhờ đó mà các máy tính mới liên lạc kết nối đƣợc với nhau. 1.1.3 Đƣờng truyền vật lý: Ngoài đƣờng truyền vật lý là cáp (cáp xoắn đôi, cáp đồng trục, cáp quang ...) để kết nối trong mạng LAN. Khi thực hiện các kết nối trong mạng LAN thì ngƣời ta đã sử dụng các đƣờng truyền vật lý khác đó là sử dụng 14 mạng điện thoại, mạng vô tuyến, thông tin Vi ba và thông tin Vệ tinh để chuyển tiếp các tín hiệu của mạng máy tính này tới mạng máy tính khác cụ thể là: - Sử dụng cáp đồng trục, Cáp xoắn đôi và Cáp quang có bổ trí các bộ truyền lặp (Repeater). - Mạng điện thoại hoặc mạng đa dịch vụ ISDN (Intergrated Service Digital Network). - Dùng thông tin vô tuyến sóng ngắn đƣợc sử dụng với kỹ thuật trải phổ hoặc nhảy tần để chống tác động của nhiễu, chống nghe trộm. - Dùng các trạm thông tin Vi ba: sử dụng cho những nơi không thể triển khai cáp mạng. - Sử dụng vệ tinh: Ƣu điểm lớp dùng vệ tinh là có thể thực hiện kết nối bát kỳ nơi đau, trên núi cao hay ngoài biển xa. Nhƣng chi phí rất cao. - Sử dụng tia Hồng ngoại: Hoạt động bằng cách phát và tiếp sóng từ các thiết bị hồng ngoại này tới các thiết bị hồng ngoại khác Với việc sử dụng các hệ thống thông tin khác tham gia vào quá trình kết nối vật lý của mạng máy tính thì khái niệm mạng máy tính đã đƣợc phát triển, để không mất tính tổng quát ta gọi nó là mạng. Nhƣ vậy, phần vật lý của mạng sẽ bao gồm: máy tính, các thiết bị mạng, các thiết bi ngọai vi và đƣờng truyền vật lý. An toàn vật lý (Physical security): Là an toàn của máy tính, các thiết bị mạng, các thiết bị ngoại vi và của đƣờng truyền vật lý. 1.1.4 Phần mềm của mạng Mạng và các máy tính kết nối với nó sẽ không hoạt động nếu nhƣ thiếu phần mềm cài trên nó. Phần mềm mạng sử dụng là các hệ điều hành nhƣ: UNIX, Linux, Novell NetWare, Banyan VINES, IBM OS/2 LAN Server, Microsoft Windows NT Server, Windows 2000 vv... 15 1.1.5 Các yếu tố đảm bảo an toàn mạng: Con ngƣời tham gia vào các hoạt động của mạng dƣới các hình thức là ngƣời sử dụng hay ngƣời quản trị mạng. Cho dù với hình thức nào đi chăng nữa thì con ngƣời cũng tác động tới mạng. Vì vậy, con ngƣời có vai trò rất quan trọng trong an toàn mạng. Nhƣ vậy, để mạng an toàn thì các vấn đề sau đây phải đƣợc an toàn : - An toàn vật lý - An toàn phần mềm - An toàn con ngƣời 1.2 Chính sách an toàn thông tin 1. 2.1 Một số vấn đề hoạch định chính sách Trong an toàn thông tin (Security policy), chính sách an toàn thông tin là cách giải quyết hoặc kế hoạch hoạt động chung đƣợc tổ chức thông qua để đảm bảo rằng, các tài sản thông tin đều đƣợc bảo vệ bí mật, tính xác thực và tính sẳn sàng. Chính sách an toàn thông tin có ảnh hƣởng rất lớn đến an toàn thông tin của quốc gia, vì nó hoạch định việc xậy dựng, phát triển và hoạt động của hệ thống thông tin đất nƣớc. Tuỳ theo điều kiện cụ thể của mỗi quốc gia mà có thể có chính sách an toàn thông tin riêng. Ngoài ra, chính sách an toàn thông tin còn đƣợc xây dựng cho việc tổ chức nhằm đảm bảo an toàn thông tin cho ngân hàng, công ty kinh doanh có chính sách an toàn thông tin riêng… Những chính sách an toàn thông tin này đều xây dựng trên nội dung đặc trƣng chủ yếu của nó. Nội dung đặc trƣng chủ yếu của một chính sách an toàn thông tin gồm: - An toàn truyền thông. - An toàn máy tính cá nhân. - An toàn vật lý. - An toàn trong quá trình thiết lập và phát triển các hệ thống. 16 - Truy cập dữ liệu và các hệ thống. - Kiểm soát môi trƣờng và truy nhập. - Các yêu cầu hợp pháp. - Các chính sách nhân sự. - Trách nhiệm của ngƣời chủ sở hữu, ngƣời sử dụng, ngƣời trong coi và các bộ phận đặc biệt, chẳng hạn nhƣ an toàn dữ liệu. - Quản lý rủi ro và phân loại đánh giá dữ liệu. - Lên kế hoạch sáng tạo và mềm dẻo. 1.2.2 Mục tiêu thiết kế hệ thống an ninh thông tin Mục tiêu thiết kế của hệ thống an ninh thông tin giải quyết 4 đặc tính: Tính bảo mật, Tính toàn vẹn, Tính sẵn sàng và Tính trách nhiệm. Nhắm tới 4 đặc tính này khi bắt đầu thiết kế mạng sẽ giúp ta đảm bảo sự bảo mật tốt hơn. Thông thƣờng 3 đặc tính: Tính bảo mật, Tính toàn vẹn, Tính sẵn sàng đƣợc biết tới nhƣ là tam giác CIA của an ninh mạng. Vấn đề về Tính trách nhiệm cũng quan trọng tƣơng tự. Nên xác định thêm rằng ai có trách nhiệm với bộ phận nào của an ninh máy tính. Tính bảo mật: Mục tiêu của tính bảo mật là ngăn chặn hoặc giảm thiểu sự truy cập trái phép hoặc sự để lộ thông tin và dữ liệu. Trong nhiều trƣờng hợp, luật pháp và quy định yêu cầu tính bảo mật thông tin cụ thể. Hồ sơ phúc lợi xã hội, hồ sơ nhân viên và lƣơng bổng, hồ sơ bệnh án, và các thông tin kèm theo là những tài sản giá trị cao. Vì vậy chúng yêu cầu sự bảo mật thích hợp. Tính toàn vẹn: Mục tiêu của tính toàn vẹn là đảm bảo dữ liệu đƣợc xử lý thực sự là dữ liệu đúng. Sự toàn vẹn thông tin là vấn đề quan trọng của mạng an toàn. Các tổ chức làm việc làm việc và đƣa ra quyết định dựa trên dữ liệu hiện có của họ. Nếu thông tin dữ liệu này không chính xác hoặc bị đánh cắp bởi những ngƣời không có thẩm quyền, sự sụp đổ sẽ xảy ra. 17 Tính sẵn sàng: Mục tiêu của tính sẵn sàng là bảo vệ dữ liệu khỏi bị mất mát. Nếu gặp rủi ro hoặc tấn công làm sụp đổ cơ sở dữ liệu, thông tin sẽ không sẵn sàng cho những ai cần đến. Điều này có thể tàn phá tổ chức. Tính trách nhiệm: Mục tiêu cuối cùng khi thiết kế hệ thống là tính trách nhiệm. Tổ chức có nhiều tài nguyên đƣợc chia sẻ giữa các bộ phận và cá nhân. Nếu có việc bất ngờ xảy ra, ai sẽ có trách nhiệm giải quyết. Ai sẽ xác định xem thông tin có đúng hay không. Vậy xác định xem ai sở hữu dữ liệu và có trách nhiệm đảm bảo rằng chúng là chính xác là một ý tƣởng tốt. Cũng có thể ta muốn theo dõi và giám sát sự thay đổi dữ liệu để xác định và sửa chữa dữ liệu khi có việc mất mát thông tin hoặc sự kiện nguy hiểm. Hầu hết hệ thống sẽ theo dõi và lƣu nhật ký về các hoạt động của hệ thống và xử lý dữ liệu, cung cấp các báo cáo khi có vấn đề. 1.2.3 Kiến trúc logic các miền an ninh Hiện nay, mạng và các hệ thống mạng đang trở nên phổ biến và phức tạp hơn, việc sử dụng các đƣờng truyền thông riêng giữa các văn phòng, công ty, các quốc gia và qua Internet đang phổ biến. Ta có thể ngăn cách các mạng bằng cách sử dụng phần mềm và phần cứng, Router là một ví dụ. Ta cũng có thể cấu hình một số máy trên mạng nằm trong một không gian địa chỉ nhất định và những máy khác nằm trong các không gian địa chỉ khác. Và giữa chúng không thể thấy nhau trừ phi sử dụng Router để kết nối chúng lại. Đồng thời một vài bộ chuyển mạch có thể cho phép ta phân vùng mạng thành các khối nhỏ hơn hoặc thành các miền riêng tƣ (private zones). Dƣới đây là 4 miền thƣờng gặp nhất trong các mạng hiện nay: + Internet + Intranet + Extranet + DMZ 18 Tuy mạng Internet đem lại nhiều lợi ích cho các cá nhân và tổ chức, nhƣng nó lại tạo ra những thách thức về an ninh thông tin. Bằng cách thiết lập miền DMZ, Intranet và Extranet bạn có thể tạo ra môi trƣờng an ninh hợp lý cho tổ chức của bạn Internet: Miền Internet là một miền khổng lồ kết nối tất cả các máy tính và các mạng lại với nhau. Internet có thể đƣợc sử dụng bởi bất kỳ ai truy cập vào cổng thông tin Internet (Internet Portal) hoặc nhà cung cấp dịch vụ Internet (Internet Service Provider – ISP). Internet là môi trƣờng mà ta phải coi nhƣ ở mức tin cậy thấp nhất của những ngƣời sử dụng nó. Ta cũng phải giả định rằng ngƣời đang truy cập vào trang web của bạn có ý đồ xấu mặc dù có thể ngƣời đó muốn mua sản phẩm hoặc thuê dịch vụ của ta. Nói một cách tổng quát, bạn không có cách nào để biết điều này trừ phi bạn giám sát các hành động của họ. Intranet: Intranet là một miền riêng đƣợc thiết lập và duy trì bởi một công ty hay một tổ chức. Truy cập vào Intranet bị giới hạn trong phạm vi hệ thống Intranet. Intranet sử dụng công nghệ tƣơng đƣơng công nghệ mà Internet sử dụng. Intranet có thể đƣợc kết nối tới Internet, tuy nhiên lại không thể truy cập đƣợc từ những ngƣời dùng không phải là thành viên của Intranet. Sự truy cập vào Intranet chỉ cho phép ở những ngƣời dùng tin cậy trong mạng công ty hoặc những ngƣời dùng ở các vị trí từ xa (nhƣng vẫn trong một công ty). 19 Hình 1.2 Mạng Intranet Extranet: Miền Extranet là miền Intranet mở rộng kết nối ra bên ngoài tới một miền Intranet khác. Miền Extranet cho phép kết nối tới phần kia bởi một mạng riêng hoặc một kênh truyền thông an toàn sử dụng Internet. Các kết nối Extranet bao hàm các kết nối tin cậy giữa hai tổ chức. Kết nối này có thể đi qua Internet và sử dụng giao thức đƣờng hầm (Tunneling) để thực hiện kết nối an toàn. Hình 1.3 Một kết nối Extranet giữa hai tổ chức DMZ: 20 Miền phi quân sự (Demilitarized Zone -DMZ) là nơi ta có thể đặt các Server cho mục đích truy cập từ những ngƣời dùng không tin cậy (những ngƣời dùng bất kỳ). Bằng cách cô lập các Server trong miền DMZ, ta có thể che dấu hoặc loại bỏ sự truy cập tới các vùng khác trong mạng. Tuy ta vẫn có thể truy cập tới những Server này nhƣng ngƣời dùng không tin cậy lại không thể truy cập tới các tài nguyên khác trong mạng của ta. Việc này có thể đƣợc thực hiện bằng việc sử dụng tƣờng lửa để ngăn cách mạng. Khi thiết lập miền DMZ, một cá nhân truy cập đến những tài nguyên này có thể không cần phải đƣợc biết (tin cậy) những thông tin khác. Hình 1.4 thể hiện một Server đặt trong miền DMZ. Chú ý rằng phần còn lại của mạng không hiện hữu với những ngƣời dùng không tin cậy. Điều này giúp giảm nhẹ mối đe dọa thâm nhập đối với mạng trong. Hình 1.4: Miền DMZ 21