Tài liệu Bảo mật và an toàn thông tin trong hệ thống mạng cục bộ của cơ quan nhà nước

Bảo mật và an toàn thông tin trong h ệ thống mạng cục bộ của c ơ quan nhà nước ĐẠI HỌC QUỐC GIA HÀ NỘI TRƯỜNG ĐẠI HỌC KHOA HỌC TỰ NHIÊN --------------------------- PHÙNG THỊ THANH MAI BẢO MẬT VÀ AN TOÀN THÔNG TIN TRONG HỆ THỐNG MẠNG CỤC BỘ CỦA CƠ QUAN NHÀ NƯỚC LUẬN VĂN THẠC SĨ KHOA HỌC Hà Nội – 2011 Trang 1 Bảo mật và an toàn thông tin trong h ệ thống mạng cục bộ của c ơ quan nhà nước ĐẠI HỌC QUỐC GIA HÀ NỘI TRƯỜNG ĐẠI HỌC KHOA HỌC TỰ NHI ÊN --------------------- PHÙNG THỊ THANH MAI BẢO MẬT VÀ AN TOÀN THÔNG TIN TRONG HỆ THỐNG MẠNG CỤC BỘ CỦA CƠ QUAN NHÀ NƯỚC Chuyên ngành: Bảo đảm toán học cho máy tính và hệ thống tính toán Mã số: 60.46.35 LUẬN VĂN THẠC SĨ KHOA HỌC Người hướng dẫn khoa học: PGS.TS. Đoàn Văn Ban Hà Nội – Năm 2011 Trang 2 Bảo mật và an toàn thông tin trong h ệ thống mạng cục bộ của c ơ quan nhà nước MỤC LỤC DANH MỤC CÁC THUẬT NGỮ, TỪ VIẾT TẮT ................................ .... 6 DANH MỤC HÌNH VẼ................................ ................................ ................ 7 MỞ ĐẦU ................................ ................................ ................................ ....... 8 Chương 1. CÁC PHƯƠNG PHÁP BẢO MẬT THÔNG TIN - TỔNG QUAN VỀ HỆ MẬT MÃ ................................ ................................ ........... 12 1.1. Vấn đề bảo mật, an toàn thông tin................................ .................. 12 1.1.1. Bảo vệ an toàn thông tin dữ liệu trong các cơ quan nhà nước...... 13 1.1.2 Các chiến lược bảo vệ an toàn cho hệ thống mạng máy tính ........ 13 1.1.3. An toàn thông tin bằng mật mã ................................ ................... 16 1.1.4. Vai trò của hệ mật mã ................................ ................................ . 17 1.2. Hệ mật mã ................................ ................................ ........................ 17 1.2.1. Định nghĩa hệ mật mã ................................ ................................ 17 1.2.2. Những yêu cầu đối với một hệ mật mã................................ ........ 18 1.2.3. Phân loại hệ mật mã................................ ................................ .... 18 1.3. Mã hóa đối xứng ................................ ................................ .............. 19 1.3.1. Định nghĩa ................................ ................................ .................. 19 1.3.2. Chuẩn mã hóa dữ liệu DES ................................ ......................... 20 1.4. Mã hóa bất đối xứng (mã hóa khóa công khai) .............................. 26 1.4.1. Giới thiệu chung ................................ ................................ ......... 26 1.4.2. Một thuật toán dùng trong hệ mật mã khoá công khai: RSA ....... 28 1.5. Mã hóa RSA ................................ ................................ ..................... 29 1.5.1. Sự ra đời của hệ mật mã RSA ................................ .................... 29 1.5.2. Mô tả thuật toán ................................ ................................ .......... 29 1.5.3. Hàm băm (hash)................................ ................................ .......... 30 1.5.4. Chứng chỉ số ................................ ................................ .............. 35 1.6. Kết chương................................ ................................ ....................... 44 Chương 2. CHỮ KÝ SỐ................................ ................................ ............. 46 2.1. Chữ ký điện tử ................................ ................................ ................. 46 2.2. Chữ ký số ................................ ................................ ........................ 46 2.3.1. Lược đồ chữ ký kèm thông điệp................................ .................. 48 2.3.2. Lược đồ chữ ký khôi phục thông điệp ................................ ......... 49 2.4. Một số lược đồ chữ ký cơ bản ................................ ......................... 51 Trang 4 Bảo mật và an toàn thông tin trong h ệ thống mạng cục bộ của c ơ quan nhà nước 2.4.1. Lược đồ chữ ký RSA ................................ ................................ .. 51 2.4.2. Lược đồ chữ ký DSA (Digital Signature Standard) ..................... 53 2.5. Hai lược đồ chữ ký khả thi ................................ .............................. 58 2.6. Các phương pháp tấn công chữ ký điện tử ................................ .... 58 2.7. Kết chương................................ ................................ ....................... 59 Chương III. BẢO MẬT GỬI, NHẬN THƯ ĐIỆN TỬ (EMAIL) VÀ TRUYỀN TẢI VĂN BẢN GIỮA CÁC C Ơ QUAN NHÀ NƯỚC............ 60 3.1. Tổng quan về gửi/nhận Email v à truyền tải văn bản qua mạng ... 60 3.2. Các đặc trưng của gửi/nhận Email và truyền tải văn bản trong hệ thống mạng cục bộ và qua mạng Internet................................ ............. 60 3.3. Các hình thức hoạt động chủ yếu của gửi/nhận Email v à truyền tải văn qua mạng ................................ ................................ ......................... 60 3.4. Bảo mật, chứng thực việc gửi/nhận Email v à truyền tải văn bản . 61 3.4.1. Bảo mật việc gửi/nhận Email và truyền tải văn bản qua mạng .... 61 3.4.2. Các khía cạnh an toàn ................................ ................................ . 63 3.4.3. Các kỹ thuật đảm bảo an toàn cho gửi/nhận Email và truyền tải văn bản ................................ ................................ ................................ . 64 3.5. Chương trình ứng dụng ................................ ................................ .. 65 3.5.1. Thuật toán RSA triển khai quá tr ình xác nhận bằng cách sử dụng chữ ký điện tử................................ ................................ ....................... 66 3.5.2. Giới thiệu phần mềm mã hóa PGP (Pretty Good Privacy) ........... 66 3.5.3. Hoạt động của PGP ................................ ................................ .... 67 3.5.4. Cơ chế hoạt động của PGP................................ .......................... 70 3.5.5. Vấn đề bảo mật của PGP ................................ ............................ 73 3.5.6. Phần mềm mã hóa PGP ................................ .............................. 74 3.5.7. Xuất khóa công khai (Public PGP Key) ................................ ...... 79 3.5.8. Nhập khóa công khai PGP key................................ .................... 80 3.5.9. Kiểm tra việc mã hóa file sẽ gửi dùng PGP encryption ............... 81 3.5.10. Dùng chữ ký số cho việc gửi/nhận Email ................................ .. 84 3.6. Kết chương................................ ................................ ....................... 91 KẾT LUẬN VÀ HƯỚNG PHÁT TRIỂN ................................ ................. 91 TÀI LIỆU THAM KHẢO................................ ................................ .......... 93 Trang 5 Bảo mật và an toàn thông tin trong h ệ thống mạng cục bộ của c ơ quan nhà nước DANH MỤC CÁC THUẬT NGỮ, TỪ VIẾT TẮT CA Certificate Authority – Cơ quan chứng thực chữ ký số DS Digital Signatures - Chữ ký số DSA Digital Signature Algorithm - Giải thuật ký điện tử DES Data Encryption Standard – Chuẩn mã hóa dữ liệu DSS Digital Signature Standard - Chuẩn chữ ký số EMAIL Electronic Mail - Thư điện tử FTP File Transfer Protocol – Giao thức truyền tệp Hacker Người đột nhập vào máy tính và phá hoại máy tính (tin tặc) HTTP Hypertext Transfer Protocol – Giao thức truyền siêu văn bản ID Chỉ danh người dùng trên mạng MD5 Message Digest algorithm 5 - giải thuật của hàm băm Router RSA Thiết bị cho phép gửi các gói dữ liệu dọc theo mạng Rivest, Shamir and Adleman - Giải thuật mã hóa công khai PGP Pretty Good Privacy – Phần mềm mã hóa dữ liệu và xác thực PKI Public Key Infrastructure – Cơ sở hạ tầng khóa công khai SHA Secure Hash Algorithm – Giải thuật băm an toàn S-HTTP Secure Hypertext Transfer Protoco - Giao thức truyền siêu VB an toàn SSL Secure Socket Layer - Giao thức an ninh thông tin UBND Ủy ban nhân dân TCP/IP Transmission Control Protocol/Internet Protocol - một hệ thống các giao thức hỗ trợ việc truyền thông tin tr ên mạng WEB Một loại siêu văn bản (tập tin dạng HTML hoặc XHTML) tr ình bày thông tin trên mạng Internet, tại một địa chỉ nhất định Trang 6 Bảo mật và an toàn thông tin trong h ệ thống mạng cục bộ của c ơ quan nhà nước DANH MỤC HÌNH VẼ Hình 1.1: Các mức độ bảo vệ trên mạng máy tính….....…………………….13 Hình 1.2: Sơ đồ mã hóa khóa đối xứng……………………………………...17 Hình 1.3: Một vòng của DES………………………………………………..19 Hình 1.4: Hàm f của DES……………………………………………………21 Hình 1.5: Sơ đồ thuật toán tạo các khóa từ K1 đến K16 ……………… ……22 Hình 1.6: Sơ đồ mô tả chi tiết DES………………………………………….22 Hình 1.7: Sơ đồ mô tả bản băm thông điệp……………………………….... .30 Hình 1.8a: Đường đi đúng của thông tin…………………………………….31 Hình 1.8b: Thông tin bị lấy trộm và đã bị thay đổi trên đường truyền.......…31 Hình 1.9: Sơ đồ tạo chữ ký số…………………………………………...…..33 Hình 1.10: Sơ đồ xác nhận chữ ký số…………….…………………….……33 Hình 1.11: Dùng mật khẩu xác thực máy khách kết nối tới máy dịch vụ…...35 Hình 1.12. Chứng thực của máy khách kết nối tới máy dịch vụ……….……37 Hình 1.13: Sơ đồ hoạt động của Hệ thống cấp chứng chỉ khóa công khai ….39 Hình 1.14: Mô hình dây chuyền chứng thực…………………… ………...…41 Hình 2.1: Lược đồ chữ ký kèm thông điệp……………..…………………....47 Hình 2.2: Lược đồ chữ ký khôi phục thông điệp…………………………….48 Hình 2.3: Lược đồ chữ ký DSA……………………………………………..51 Hình 3.1: Sơ đồ mã hóa khóa công khai…………. ………………………....66 Hình 3.2: Sơ đồ của PGP sinh ra chuỗi ký tự mã……….……………...……70 Hình 3.3: Sơ đồ của PGP tiếp nhận chuỗi ký tự mã……….…...……………70 Trang 7 Bảo mật và an toàn thông tin trong h ệ thống mạng cục bộ của c ơ quan nhà nước MỞ ĐẦU 1. Lý do chọn đề tài Bảo mật và bảo đảm an toàn thông tin dữ liệu đang là vấn đề thời sự được nhiều nhà khoa học tập trung nghiên cứu, là một chủ đề rộng có liên quan đến nhiều lĩnh vực; trong thực tế có thể có nhiều phương pháp được thực hiện để đảm bảo an to àn thông tin dữ liệu. Ngày nay, với sự phát triển nhanh chóng của hạ tầng truyền thông, người sử dụng dựa trên nền tảng này để truyền các thông tin trên mạng thì các nguy cơ xâm nhập vào các hệ thống thông tin, các mạng dữ liệu ngày càng gia tăng. Nhiều chuyên gia đang tập trung nghiên cứu và tìm mọi giải pháp để đảm bảo an to àn, an ninh cho hệ thống, đặc biệt là các hệ thống mạng máy tính trong các c ơ quan nhà nước. Việc bảo mật cho hệ thống mạng máy tính có thể thực hiện theo nhiều phương diện, ở nhiều tầng khác nhau, bao gồm từ ph ương diện kiểm soát truy nhập vật lý vào hệ thống; thực hiện sửa chữa, cập nhật, nâng cấp hệ điều hành cũng như vá mọi lỗ hổng về an ninh, quản lý các hoạt động gửi/nhận Email và truyền tải văn bản trên mạng (Giám sát qua tường lửa, các bộ định vị Router, phát hiện và phòng ngừa sự xâm nhập,…); xây dựng các giải pháp bảo mật ở mỗi phần mềm để quản lý người dùng thông qua việc cấp quyền sử dụng, mật khẩu, mật mã, mã hóa dữ liệu để che giấu thông tin. Nếu không có sự bảo vệ phụ trợ, như mã hóa dữ liệu thì môi trường Internet thực sự không phải là nơi an toàn để trao đổi dữ liệu và các tài liệu thông tin mật. Với sự phát triển ngày càng nhanh và mạnh của Internet như hiện nay thì việc sử dụng chữ ký số càng có nhiều ứng dụng trong thực tế. Việc sử dụng chữ ký số là hết sức quan trọng và cần thiết trong việc gửi/nhận các văn bản gửi qua hệ thống thư điện tử, qua hệ thống hỗ trợ quản lý, điều h ành, tác nghiệp. Chữ ký số, cơ sở hạ tầng khóa công khai (PKI) c ùng các tiêu chuẩn và ứng dụng của nó có thể làm thay đổi phương thức và nâng cao hiệu quả làm Trang 8 Bảo mật và an toàn thông tin trong h ệ thống mạng cục bộ của c ơ quan nhà nước việc của cán bộ trong các c ơ quan nhà nước để đáp ứng công tác điều hành, quản lý trong giai đoạn hiện nay. Mô hình chữ ký số đảm bảo an toàn dữ liệu khi gửi, nhận trên mạng và đươc sử dụng để tạo chứng nhận điện tử trong các thông tin được truyền đi trên mạng Internet. Ngày nay, hệ mã hóa thường được sử dụng để xây dựng các l ược đồ chữ ký số, đó là hệ mã hóa RSA. Chính vì những vấn đề thực tiễn trên, luận văn: ”Bảo mật và an toàn thông tin trong hệ thống mạng cục bộ của cơ quan nhà nước” tập trung nghiên cứu một trong những phương pháp bảo vệ an toàn thông tin dữ liệu có tính an toàn cao hiện nay, đó là dùng hệ mã hóa khóa công khai, các ch ứng chỉ số, chữ ký số trong việc xác thực thông tin truyền tải trên mạng và cài đặt ứng dụng để đảm bảo an toàn thông tin trong hệ thống mạng máy tính của cơ quan nhà nước. 2. Mục đích nghiên cứu Luận văn tập trung nghiên cứu về các giải pháp an toàn thông tin, hệ mật mã, chú trọng nghiên cứu khóa công khai, chữ ký số và ứng dụng của chữ ký số, mã hoá dữ liệu để bảo mật, an toàn thông tin của các cơ quan nhà nước hiện nay trong các giao dịch gửi, nhận thư điện tử và truyền tải văn bản trong hệ thống mạng cục bộ. 3. Đối tượng và phạm vi nghiên cứu Luận văn nghiên cứu các khái niệm của lý thuyết mật mã, thuật toán mã hóa đối xứng (như DES), bất đối xứng (như mật mã khóa công khai RSA), chữ ký số, chứng chỉ số, ứng dụng chữ ký số trong gửi /nhận Email và truyền tải văn bản qua mạng. 4. Phương pháp nghiên cứu + Tiếp cận phân tích và tổng hợp: Đọc tài liệu, tổng hợp lý thuyết, phân tích lý thuyết về Hệ mật mã đối xứng, hệ mật mã bất đối xứng (hệ mật mã khóa công khai), chữ ký số, sử dụng chữ ký số để bảo mật các hệ thống dùng Trang 9 Bảo mật và an toàn thông tin trong h ệ thống mạng cục bộ của c ơ quan nhà nước chung đang được quản lý tại Trung tâm tích hợp dữ liệu của tỉnh với một số tính năng cơ bản như: có cơ chế phân bổ khóa tự động, mã hóa các thông tin cần thiết khi gửi/nhận các thông tin; + Tiếp cận theo định tính và định lượng: Nghiên cứu cơ sở khoa học của mã hóa, chữ ký số của các tác giả trong và ngoài nước, các bài báo, thông tin trên mạng, tìm hiểu các mô hình bảo mật, chứng chỉ số…từ đó trình bày theo ý tưởng của mình và đề xuất các giải pháp bảo mật, an toàn thông tin trong gửi/nhận dữ liệu qua mạng Internet của các cơ quan nhà nước trên địa bàn. + Cài đặt phần mềm ứng dụng bảo mật PGP để làm nổi bật tính ứng dụng của hệ mã hóa gửi/nhận Email qua Hệ thống thư điện tử của tỉnh và trao đổi các tệp dữ liệu trong mạng Hệ thống điều hành, quản lý văn bản của Sở. Trên cơ sở nghiên cứu các cơ chế, chính sách sẽ đăng ký với Ban cơ yếu Chính phủ cấp chứng chỉ số cho Sở Thông tin và Truyền thông Thái Bình. Từ đó rút kinh nghiệm và nhân rộng việc triển khai sử dụng chữ ký số tới các sở, ban, ngành, UBND các huyện, thành phố trên địa bàn tỉnh Thái Bình trong năm 2012 và các năm tiếp theo. 5. Bố cục Luận văn Luận văn được trình bày trong ba chương: - Chương 1. Nghiên cứu các vấn đề về bảo mật, an toàn thông tin dữ liệu và các chiến lược bảo vệ an toàn cho hệ thống mạng máy tính trong các cơ quan nhà nước; nghiên cứu tổng quan về hệ mật mã, phương pháp mã hóa đối xứng, mã hóa bất đối xứng và sự ra đời của hệ mật mã khóa công khai RSA, đó là cơ sở khoa học cho việc sử dụng chữ ký số vào việc bảo mật và xác thực thông tin. - Chương 2. Nghiên cứu các lược đồ chữ ký số, tìm ra hai lược đồ chữ ký số khả thi đồng thời nghiên cứu các phương pháp tấn công chữ ký điện tử. Trang 10 Bảo mật và an toàn thông tin trong h ệ thống mạng cục bộ của c ơ quan nhà nước - Chương 3. Giới thiệu tổng quan, các đặc trưng, yêu cầu của việc bảo mật và chứng thực trong việc gửi/nhận thư điện tử và truyền tải văn bản trong trong hệ thống mạng cục bộ của các cơ quan nhà nước hiện nay; nghiên cứu, cài đặt phần mềm ứng dụng PGP với các c ơ chế xuất, nhập khóa công khai, mã hóa file và dùng chữ ký số trong phần mềm ứng dụng PGP. Trang 11 Bảo mật và an toàn thông tin trong h ệ thống mạng cục bộ của c ơ quan nhà nước Chương 1. CÁC PHƯƠNG PHÁP BẢO MẬT THÔNG TIN TỔNG QUAN VỀ HỆ MẬT MÃ 1.1. Vấn đề bảo mật, an toàn thông tin Ngày nay, với sự phát triển mạnh mẽ của công nghệ thông tin việc ứng dụng các công nghệ bảo mật tr ên mạng máy tính càng trở nên phổ cập và vô cùng cần thiết. Sự xuất hiện mạng Internet cho phép mọi ng ười có thể truy cập, chia sẻ và khai thác thông tin một cách dễ dàng và hiệu quả. Sự phát triển mạnh mẽ của Internet về mặt bản chất chính l à việc đáp ứng lại sự gia tăng không ngừng của nhu cầu gửi/nhận Email và truyền tải văn bản trên hệ thống mạng toàn cầu. Các giao dịch trên Internet trong các cơ quan nhà nước chủ yếu là để gửi/nhận Email và truyền tải văn bản như tệp văn bản, massage, trao đổi tài liệu thông qua Hệ thống quản lý văn bản, điề u hành, tác nghiệp. Nhu cầu gửi/nhận Email và truyền tải văn bản, dữ liệu trong các cơ quan nhà nước ngày càng lớn và đa dạng; cơ sở hạ tầng công nghệ thông tin trong các c ơ quan nhà nước cũng không ngừng được phát triển, mở rộng để nâng cao chất lượng và lưu lượng truyền tin thì các biện pháp bảo vệ an toàn thông tin dữ liệu khi trao đổi trên mạng cũng ngày càng được đổi mới. Tuy nhiên vấn đề an toàn thông tin càng trở nên cấp bách hơn khi có Internet. Internet có những kỹ thuật cho phép mọi ng ười truy cập, khai thác và chia sẻ thông tin với nhau. Nhưng nó cũng là nguy cơ chính dẫn đến thông tin dễ bị hư hỏng hay bị phá hủy hoàn toàn. Sở dĩ có lí do đó là vì việc truyền thông tin qua mạng Internet hiện nay chủ yếu sử dụng giao thức TCP/IP. TCP/IP cho phép các thông tin t ừ máy tính này tới máy tính khác phải đi qua một loạt các máy tính trung gian hoặc các mạng riêng biệt trước khi nó tới được đích. Chính vì vậy, giao thức TCP/IP đã tạo cơ hội cho bên thứ ba có thể thực hiện các hành động gây mất an toàn thông tin trong khi thực hiện việc truyền thông tin trên mạng. Trang 12 Bảo mật và an toàn thông tin trong h ệ thống mạng cục bộ của c ơ quan nhà nước Để vừa đảm bảo tính bảo mật của thông tin và tăng cường sự trao đổi, quản lý, điều hành giữa các cơ quan nhà nước trong việc gửi/nhận Email và truyền tải văn bản qua mạng, giảm bớt giấy tờ thì chúng ta phải có các giải pháp phù hợp. Hiện có rất nhiều giải pháp cho vấn đề an to àn thông tin trên mạng như mã hóa thông tin, chữ ký điện tử, chứng chỉ số, sử dụng tường lửa, bảo vệ vật lý, dùng mật khẩu để kiểm soát quyền truy cập … 1.1.1. Bảo vệ an toàn thông tin dữ liệu trong các cơ quan nhà nước Chủ yếu theo 03 phương pháp sau: - Bảo vệ an toàn thông tin bằng các biện pháp hành chính. - Bảo vệ an toàn thông tin bằng các biện pháp kỹ thuật (phần cứng). - Bảo vệ an toàn thông tin bằng các biện pháp thuật toán (phần mềm). Ba phương pháp trên có th ể được ứng dụng riêng rẽ hoặc phối kết hợp. Môi trường khó bảo vệ an toàn thông tin nhất là môi trường mạng và truyền tin. Biện pháp hiệu quả nhất hiện nay tr ên mạng truyền tin và mạng máy tính là biện pháp dùng thuật toán để mã hóa. Trong thực tế không có một biện pháp bảo vệ an toàn thông tin dữ liệu nào là an toàn tuyệt đối cả. 1.1.2 Các chiến lược bảo vệ an toàn cho hệ thống mạng máy tính - Thực hiện nguyên tắc bất kỳ một máy tính n ào cùng chỉ được sử dụng một số tài nguyên mạng nhất định trong hệ thống. - Trong một hệ thống mạng nên tạo nhiều cơ chế an toàn để tương hỗ lẫn nhau. - Cần tạo ra nút thắt trong hệ thống để cho phép thông tin đi v ào hệ thống bằng con đường duy nhất vì vậy phải tổ chức một cơ cấu kiểm soát và điều khiển thông tin đi qua nút thắt n ày song phải chú ý đến mức độ an to àn vật lý của hệ thống mạng máy tính - Cần phải sử dụng nhiều biện pháp bảo vệ khác nhau cho hệ thống v à cho cả các hệ thống khác nhau nếu không một hệ thống bị tấn công th ì các hệ thống khác cũng dễ dàng bị tấn công. Trang 13 Bảo mật và an toàn thông tin trong h ệ thống mạng cục bộ của c ơ quan nhà nước - Các mức độ bảo vệ trên mạng: Sử dụng đồng thời nhiều mức bảo vệ khác nhau tạo thành nhiều hàng rào chắn. Việc bảo vệ thông tin tr ên mạng máy tính chủ yếu là bảo vệ thông tin cất giữ trong máy tính, đặc biệt l à các máy chủ của hệ thống. Bởi thế ngo ài một số biện pháp nhằm chống thất thoát thông tin trên đường truyền cần tập trung v ào việc xây dựng các rào chắn cho các hệ thống kết nối vào mạng. Thông thường có các mức bảo vệ sau: 1.1.2.1. Quyền truy nhập Lớp bảo vệ trong cùng là quyền truy nhập nhằm mục đích: kiểm soát các tài nguyên của mạng và quyền hạn của các máy tính tr ên tài nguyên đó. Dĩ nhiên là kiểm soát được các cấu trúc dữ liệu càng chi tiết càng tốt. Hiện tại việc kiểm soát thường ở mức tệp. 1.1.2.2. Đăng ký tên /mật khẩu Thực ra đây cũng là mức kiểm soát quyền truy nhập, nhưng không phải truy nhập ở mức thông tin m à ở mức hệ thống. Đây là phương pháp bảo vệ phổ biến nhất vì nó đơn giản và cũng rất hiệu quả. Khi người sử dụng muốn được tham gia vào hệ thống để sử dụng tài nguyên đều phải đăng ký tên và mật khẩu trước. Người quản trị hệ thống có trách nhiệm quản lý, kiểm soát mọi hoạt động của hệ thống v à xác định quyền truy nhập của những người sử dụng khác. 1.1.2.3. Mã hoá dữ liệu Để bảo mật thông tin trên đường truyền người ta sử dụng các phương pháp mã hoá. Đây là lớp bảo vệ thông tin rất quan trọng. Việc bảo vệ các kênh truyền thông là một thành phần rất quan trọng đồng nghĩa với việc đảm bảo tính toàn vẹn của dữ liệu và tính sẵn sàng của kênh truyền thông. 1.1.2.4. Bảo vệ vật lý Ngăn cản các truy nhập vật lý v ào hệ thống đồng thời có nội quy ngăn cấm người không có phận sự vào phòng đặt máy chủ. 1.1.2.5. Tường lửa Trang 14 Bảo mật và an toàn thông tin trong h ệ thống mạng cục bộ của c ơ quan nhà nước Để ngăn chặn những thâm nhập trái phép tr ên mạng Internet, người ta thường thiết lập các điểm truy cập tới một mạng cục bộ v à kiểm tra tất cả các luồng truyền tin vào/ra khỏi điểm truy nhập đó. Phần cứng v à phần mềm giữa mạng Internet và mạng cục bộ dùng để kiểm tra tất cả dữ liệu v ào/ra, được gọi là tường lửa. Tường lửa đơn giản nhất là một bộ lọc gói tin kiểm tra từng gói tin vào/ra khỏi mạng trên nguyên tắc sử dụng một tập hợp các quy tắc để kiểm tra xem luồng truyền tin có được phép vào/ra khỏi mạng hay không? Kỹ thuật lọc gói tin thường dựa trên các địa chỉ mạng và các số hiệu cổng để bảo vệ một máy tính và cả hệ thống. Sau đây là sơ đồ các mức độ bảo vệ trên hệ thống mạng: Tường lửa (FireWall) Bảo vệ vật lý (Physical protect ) Mã hoá dữ liệu (Data Encryption) Đăng ký và mật khẩu (Login/Password) Quyền truy nhập (Access Rights) Thông tin (Information) Hình 1.1: Các mức độ bảo vệ trên mạng máy tính Trang 15 Bảo mật và an toàn thông tin trong h ệ thống mạng cục bộ của c ơ quan nhà nước 1.1.2.6. Quản trị mạng. Công tác quản trị mạng cần phải được thực hiện một cách khoa học đảm bảo các yêu cầu sau : - Toàn bộ hệ thống hoạt động bình thường trong giờ làm việc. - Có hệ thống dự phòng khi xảy ra sự cố về phần cứng hoặc phần mềm. - Sao lưu (Backup) dữ liệu quan trọng theo định kỳ. - Bảo dưỡng mạng theo định kỳ. - Bảo mật dữ liệu, phân quyền truy cập, tổ chức nhóm l àm việc trên hệ thống mạng. 1.1.3. An toàn thông tin bằng mật mã Mật mã là một ngành khoa học chuyên nghiên cứu các phương pháp truyền tin bí mật bao gồm hai quá trình: mã hóa và gi ải mã. Để bảo vệ thông tin trên đường truyền người ta thường biến đổi thông tin trước khi truyền đi trên mạng gọi là mã hoá thông tin (encryption), ở trạm nhận phải thực hiện quá trình ngược lại được gọi là giải mã thông tin. Để bảo vệ thông tin bằng mật m ã người ta thường tiếp cận theo hai hướng: theo đường truyền (Link_Oriented_Security) và từ nút đến nút (End_to_End). Theo cách thứ nhất thông tin được mã hoá để bảo vệ trên đường truyền giữa hai nút mà không quan tâm đến nguồn và đích của thông tin đó. Lưu ý rằng đối với cách này thông tin chỉ được bảo vệ trên đường truyền, tức là ở mỗi nút đều có quá trình giải mã sau đó mã hoá để truyền đi tiếp, do đó các nút cần phải được bảo vệ tốt. Ngược lại theo cách thứ hai thông tin tr ên mạng được bảo vệ trên toàn đường truyền từ nguồn đến đích. Thông tin sẽ đ ược mã hoá ngay sau khi mới tạo ra và chỉ được giải mã khi về đến đích. Cách này có nhược điểm là chỉ có dữ liệu của người dùng thì mới có thể mã hóa được, còn dữ liệu điều khiển thì giữ nguyên để có thể xử lý tại các nút. Trang 16 Bảo mật và an toàn thông tin trong h ệ thống mạng cục bộ của c ơ quan nhà nước 1.1.4. Vai trò của hệ mật mã - Dùng để che giấu nội dung của văn bản rõ: để đảm bảo sao cho chỉ người chủ hợp pháp của thông tin mới có quyền truy cập thông tin, hay nói cách khác là chống truy nhập không đúng quyền hạn. - Tạo các yếu tố xác thực thông tin: đảm bảo thông tin lưu hành trong hệ thống dến người nhận hợp pháp là xác thực. Tổ chức các sơ đồ chữ ký điện tử, đảm bảo không có hiện t ượng giả mạo, mạo danh để gửi thông tin tr ên mạng. Ưu điểm lớn nhất của bất kỳ hệ mật mã nào đó là có thể đánh giá được độ phức tạp tính toán phải giải quyết b ài toán để có thể lấy được thông tin của dữ liệu đã được mã hoá. 1.2. Hệ mật mã Trong mô hình hệ mật mã, yếu tố quan trọng nhất là khóa, nó quyết định đến độ mật của hệ mật mã và độ đo về tính an toàn của hệ mật mã liên quan đến nỗ lực tính toán cần thiết để phá m ã của hệ mật và được tiến hành theo phương thức quy độ an toàn của hệ mật mã đó về một bài toán có độ phức tạp tính toán không thuộc lớp P. 1.2.1. Định nghĩa hệ mật mã [1][5] Một hệ mật mã là một bộ 5 (P,C,K,E,D) thoả mãn các điều kiện sau: - P (Plaintext) là một tập hợp hữu hạn các bản r õ và được gọi là không gian bản rõ. - C (Ciphertext) là tập các hữu hạn các bản mã và được gọi là không gian các bản mã. - K (Key) là tập hữu hạn các khoá hay c òn gọi là không gian khoá. Đối với mỗi phần tử k của K được gọi là một khoá (Key). Số lượng của không gian khoá phải đủ lớn để không có đủ thời gian thử mọi khoá; - E (Encrytion) là tập hợp các qui tắc mã hóa có thể. Trang 17 Bảo mật và an toàn thông tin trong h ệ thống mạng cục bộ của c ơ quan nhà nước - D (Decrytion) là tập hợp các qui tắc giải mã có thể. Đối với mỗi k  K có một quy tắc mã ek: P → C và một quy tắc giải mã tương ứng dk  D. Mỗi ek: P → C và dk: C → P là những hàm mà: dk(ek(x)) = x với mỗi x  P. Chúng ta đã biết một thông tin thường được tổ chức dưới dạng bản rõ. Người gửi sẽ làm nhiệm vụ mã hoá bản rõ, kết quả thu được gọi là bản mã. Bản mã này được gửi đi trên một đường truyền tới người nhận, sau khi nhận được bản mã người nhận giải mã nó để tìm hiểu nội dung. Thuật toán dùng khi sử dụng định nghĩa hệ mật mã: ek(C) = P, d k(P) = C 1.2.2. Những yêu cầu đối với một hệ mật mã - Độ tin cậy: Cung cấp sự bí mật cho các thông tin và dữ liệu được lưu bằng việc sử dụng các kỹ thuật mã hóa. - Tính toàn vẹn: Cung cấp sự bảo đảm với tất cả các b ên rằng thông tin không bị thay đổi từ khi gửi cho tới khi ng ười nhận mở ra. - Không bị chối bỏ: Người gửi không thể từ chối việc đã gửi thông tin đi. - Tính xác thực: Người nhận có thể xác minh được nguồn tin mình nhận được là đúng đối tác của mình gửi hay không. 1.2.3. Phân loại hệ mật mã Dựa vào cách truyền khóa có thể phân các hệ mật m ã thành hai loại: - Hệ mật đối xứng (hay còn gọi là mật mã khóa bí mật): là những hệ mật dùng chung một khoá cả trong quá trình mã hoá dữ liệu và giải mã dữ liệu. Do đó khoá phải được giữ bí mật tuyệt đối. - Hệ mật mã bất đối xứng (hay còn gọi là mật mã khóa công khai) các hệ mật này dùng một khoá để mã hoá sau đó dùng một khoá khác để giải mã, nghĩa là khoá để mã hoá và giải mã là khác nhau. Các khoá này t ạo nên từng cặp chuyển đổi ngược nhau và không có khoá nào có th ể suy được từ khoá Trang 18 Bảo mật và an toàn thông tin trong h ệ thống mạng cục bộ của c ơ quan nhà nước kia. Khoá dùng để mã hoá có thể công khai nhưng khoá dùng để giải mã phải giữ bí mật. Trong hệ mật này, việc phân phối khóa và thỏa thuận khóa được giải quyết một cách tự động , nếu một người trong hệ thống muốn gửi thông điệp cho B, họ lấy khóa công khai của B tr ên mạng để mã hóa thông điệp và gửi đến cho B, B dùng khóa bí mật để giải mã thành thông điệp ban đầu. 1.3. Mã hóa đối xứng 1.3.1. Định nghĩa Thuật toán khóa đối xứng là thuật toán trong đó các khóa dùng cho việc mã hóa và giải mã có quan hệ rõ ràng với nhau (Có thể dễ dàng tìm được một khóa nếu biết khóa kia). Trong rất nhiều trường hợp, khóa để mã hóa và khóa giải mã là giống nhau hoặc chỉ khác nhau nhờ một biến đổi giữa hai khóa. Thuật toán n ày còn có nhiều tên gọi khác như thuật toán khóa bí mật, thuật toán khóa đ ơn giản,... Thuật toán này yêu cầu người gửi và người nhận phải thỏa thuận một khóa trước khi văn bản được gửi đi, và khóa này phải được cất giấu bí mật. Độ an toàn của thuật toán này vẫn phụ thuộc vào khóa, nếu để lộ ra khóa này nghĩa là bất kì người nào cũng có thể mã hóa và giải mã các văn bản trong hệ thống mã hóa. Sự mã hóa và giải mã của thuật toán [1] được mô tả như sau: EK(P) = C và DK(C) = P Bản mã Bản rõ Mã hóa Giải mã Khóa Hình1.2: Sơ đồ mã hóa khóa đối xứng Các vấn đề đối với phương pháp mã hóa đối xứng: Trang 19 Bản rõ Bảo mật và an toàn thông tin trong h ệ thống mạng cục bộ của c ơ quan nhà nước Phương pháp mã hóa đối xứng đòi hỏi người mã và người giải mã phải cùng dùng chung một khóa. Khi đó khóa phải đ ược giữ bí mật tuyệt đối, do vậy ta dễ dàng xác định một khóa nếu biết khóa kia. Hệ mã hóa khóa đối xứng không an toàn nếu khóa bị lộ với xác suất cao. Trong hệ này, khoá phải được gửi đi trên kênh an toàn. Do vậy, vấn đề quản lý và phân phối khóa là khó khăn và phức tạp khi sử dụng hệ mã hóa khóa đối xứng. Người gửi và người nhận luôn phải thống nhất với nhau về khóa. Việc thay đổi khóa là rất khó và dễ bị lộ. 1.3.2. Chuẩn mã hóa dữ liệu DES 1.3.2.1. Giới thiệu DES (Data Encryption Standard) là một thuật toán mã hoá khối (block algorithm), nó mã hoá một khối dữ liệu 64 bits bằng một khoá 56 bits. Một khối bản rõ 64 bits đưa vào thực hiện, sau khi mã hoá, dữ liệu ra là một khối bản mã 64 bits. Cả mã hoá và giải mã đều sử dụng cùng một thuật toán và khoá [5] Nền tảng để xây dựng khối của DES là sự kết hợp đơn giản của các kỹ thuật thay thế và hoán vị bản rõ dựa trên khoá, đó là các vòng lặp. DES sử dụng 16 vòng lặp áp dụng cùng một kiểu kết hợp các kỹ thuật tr ên khối bản rõ. Thuật toán này chỉ sử dụng các phép số học v à logic thông thường trên các số 64 bits, vì vậy nó dễ dàng thực hiện vào những năm 1970 trong điều kiện về công nghệ phần cứng lúc bấy giờ. Ban đầu, sự thực hiện các phần mềm kiểu này rất thô sơ, nhưng ngày nay thì việc đó đã tốt hơn và với đặc tính lặp đi lặp lại của thuật toán đ ã tạo nên ý tưởng sử dụng chip với mục đích đặc biệt này. 1.3.2.2. Mô tả thuật toán DES DES mã hóa một xâu bits x của bản rõ độ dài 64 bằng một khóa 56 bits. Bản mã nhận được cũng là một xâu bits có độ dài 64. Trang 20 Bảo mật và an toàn thông tin trong h ệ thống mạng cục bộ của c ơ quan nhà nước Thuật toán thực hiện theo 3 giai đoạn + Với bản rõ cho trước x, một xâu bits x 0 sẽ được xây dựng bằng cách hoán vị các bits của x theo phép hoán vị cố định ban đầu IP. Ta viết: x0 = IP(X) = L 0R0, trong đó L0 gồm 32 bits đầu và R0 là 32 bits cuối. + Sau đó tính toán 16 lần lặp theo một hàm xác định. Ta sẽ tính LiRi, 1  i  16 theo qui tắc sau: Li = Ri-1 Ri = Li-1  f(Ri-1, Ki) Trong đó  ký hiệu phép hoặc loại trừ của hai xâu bit (cộng theo modulo 2). f là một hàm mà ta sẽ mô tả ở sau, còn K1, K2, . . . , K16 là các xâu bits độ dài 48 được tính như hàm của khoá K (trên thực tế mỗi K i là một phép chọn hoán vị bits trong K). K1, . . ., K16 sẽ tạo thành bảng khoá. Một vòng của phép mã hoá được mô tả trên hình 1.2. + Áp dụng phép hoán vị ngược IP -1 cho xâu bit R16L16, ta thu được bản mã y Tức là y = IP -1 (R16L16). Hãy chú ý thứ tự đã đảo của L16 và R16. L i-1 R i-1 f  Li Ri Hình 1.3: Một vòng của DES Trang 21 Ki