Tài liệu Nghiên cứu ứng dụng hạ tầng cơ sở mật mã khoá công khai cho hệ thống đấu thầu qua mạng

ĐẠI HỌC QUỐC GIA HÀ NỘI TRƯỜNG ĐẠI HỌC CÔNG NGHỆ ---------------*--------------- LƯU HOÀNG VŨ NGHIÊN CỨU, ĐÁNH GIÁ VÀ MÔ PHỎNG MỘT SỐ GIAO THỨC ĐỊNH TUYẾN TRONG MẠNG CẢM BIẾN KHÔNG DÂY LUẬN VĂN THẠC SĨ Hà Nội - 2009 ĐẠI HỌC QUỐC GIA HÀ NỘI TRƯỜNG ĐẠI HỌC CÔNG NGHỆ ---------------*--------------- LƯU HOÀNG VŨ NGHIÊN CỨU, ĐÁNH GIÁ VÀ MÔ PHỎNG MỘT SỐ GIAO THỨC ĐỊNH TUYẾN TRONG MẠNG CẢM BIẾN KHÔNG DÂY Ngành: Kỹ thuật điện tử - viễn thông Chuyên ngành: Kỹ thuật điện tử Mã số: 60 52 70 LUẬN VĂN THẠC SĨ NGƯỜI HƯỚNG DẪN KHOA HỌC: PGS.TS. Vương Đạo Vy Hà Nội - 2009 -1MỤC LỤC MỤC LỤC ................................................................................................................ - 1 DANH MỤC CÁC KÝ HIỆU, CÁC CHỮ VIẾT TẮT ............................................. - 3 DANH MỤC CÁC HÌNH VẼ ĐỒ THỊ ..................................................................... - 4 MỞ ĐẦU .................................................................................................................. - 6 Chương 1. MÁY ATM VÀ HỆ THỐNG THANH TOÁN ATM .............................. - 8 1.1. TỔNG QUAN VỀ MÁY ATM .......................................................................... - 8 1.1.1. Giới thiệu máy ATM (Automatic Teller Machine) ....................................... - 8 1.1.2. Tình hình sử dụng hệ thống ATM ................................................................ - 8 1.1.3. Lợi ích và các dịch vụ trên máy ATM ........................................................ - 10 1.1.4. Một số vấn đề đối với hệ thống ATM ......................................................... - 11 1.2. CẤU TẠO MÁY ATM .................................................................................... - 13 1.2.1. Định nghĩa ATM ........................................................................................ - 13 1.2.2. Cấu tạo máy ATM ...................................................................................... - 15 1.2.3. Mạng lƣới ATM ......................................................................................... - 21 1.2.4. Giao thức kết nối hệ thống máy ATM ........................................................ - 21 1.2.5. Hệ thống Switch ......................................................................................... - 22 1.3. HỆ THỐNG THANH TOÁN BẰNG MÁY ATM CHO THẺ TỪ ................... - 24 1.3.1. Thẻ từ ......................................................................................................... - 24 1.3.2. Cấu trúc của số thẻ ..................................................................................... - 31 1.3.3. Định dạng thông điệp (message) của máy ATM ........................................ - 33 1.4. HỆ THỐNG THANH TOÁN BẰNG MÁY ATM CHO THẺ CHÍP ................ - 40 1.4.1. Thẻ chíp ..................................................................................................... - 40 1.4.2. Sự phát triển của thẻ chíp ........................................................................... - 40 1.4.3. Phân loại thẻ chíp ....................................................................................... - 42 1.4.4. Các thành phần trong kiến trúc của thẻ chip ............................................... - 43 1.4.5. Hệ điều hành cho thẻ chíp .......................................................................... - 50 1.4.6. So sánh giữa thẻ từ và thẻ chíp ................................................................... - 50 Chương 2. MỘT SỐ CÔNG CỤ ĐẢM BẢO AN TOÀN THÔNG TIN .................. - 51 2.1. TỔNG QUAN VỀ AN TOÀN THÔNG TIN ................................................... - 51 2.2. CÔNG CỤ ĐẢM BẢO AN TOÀN THÔNG TIN ............................................ - 52 2.2.1. Mật mã ....................................................................................................... - 52 2.2.2. Giấu tin (Steganogrsphy) ............................................................................ - 54 2.2.3. Tƣờng lửa ................................................................................................... - 54 2.2.4. Mạng riêng ảo ............................................................................................ - 55 2.3. HỆ MÃ HÓA ................................................................................................... - 56 2.3.1. Phân loại .................................................................................................... - 56 2.3.2. DES (Data Encryption Standard) ................................................................ - 58 2.3.3. Hệ mã hóa RSA.......................................................................................... - 65 2.3.4. Hàm băm (hàm Hash) ................................................................................. - 66 - -2Chương 3. CƠ CHẾ AN TOÀN THÔNG TIN TRONG HỆ THỐNG ATM ........... - 70 3.1. MÃ HÓA TRONG HỆ THỐNG ATM ............................................................ - 70 3.1.1. Thuật toán mã hóa ...................................................................................... - 71 3.1.2. Khóa bí mật trong hệ thống ATM ............................................................... - 73 3.1.3. Thiết bị mã hóa trong hệ thống ATM ......................................................... - 78 3.2. MÃ HÓA VÀ GIẢI MÃ SỐ PIN ..................................................................... - 79 3.2.1. Khái niệm số PIN (Personal Identification Number) .................................. - 79 3.2.2. Mã hóa PIN tại ATM.................................................................................. - 79 3.2.3. Xác thực PIN tại HSM ............................................................................... - 83 3.3. CƠ CHẾ AN TOÀN THÔNG TIN TRONG HỆ THỐNG ATM ...................... - 85 3.3.1. Kiểm tra tính đúng đắn số thẻ (Card number Check Digit) ......................... - 85 3.3.2. Xác thực tính hợp lệ của thẻ (Card Authentication values) ........................ - 88 3.3.3. Bảo đảm an toàn thông tin giao dịch ........................................................... - 90 3.3.4. Bảo đảm an toàn phần mềm ATM .............................................................. - 91 3.3.5. Bảo đảm an toàn hệ điều hành .................................................................... - 91 3.3.6. Bảo đảm an toàn chống tấn công vật lý ...................................................... - 91 3.3.7. Bảo đảm an toàn từ phía ngân hàng ............................................................ - 91 3.3.8. Bảo đảm an toàn từ phía ngƣời dùng .......................................................... - 91 Chương 4. ĐỀ XUẤT GIẢI PHÁP BẢO ĐẢM AN TOÀN THÔNG TIN TRONG HỆ THỐNG ATM ........................................................................................................ - 93 4.1. MỘT SỐ ĐỀ XUẤT BẢO VỆ THÔNG TIN ................................................... - 93 4.2. GỢI Ý CÁCH QUẢN LÝ SỐ PIN ................................................................... - 94 4.3. SỬ DỤNG HÀM HASH ĐỂ BẢO VỆ SỐ PIN ............................................... - 95 4.3.1. Giới thiệu hàm Hash (hàm băm) ................................................................. - 95 4.3.2. Ứng dụng hàm Hash để bảo vệ số PIN ....................................................... - 95 4.4. NHẬP SỐ PIN KHÔNG DÙNG BÀN PHÍM .................................................. - 96 4.5. BẢO ĐẢM TOÀN VẸN NGUỒN GỐC THÔNG TIN .................................... - 97 4.5.1. Khái niệm mã xác thực MAC (Message Authentication Code) ................... - 97 4.5.2. Chế độ hoạt động CBC ............................................................................... - 97 4.5.3. Xác thực thông điệp MAC giữa ATM và hệ thống Switch.......................... - 98 4.6. MÃ HÓA THÔNG ĐIỆP ................................................................................. - 98 4.7. BẢO ĐẢM AN TOÀN TRÊN ĐƢỜNG TRUYỀN ......................................... - 99 KẾT LUẬN .......................................................................................................... - 100 TÀI LIỆU THAM KHẢO..................................................................................... - 101 - -3DANH MỤC CÁC KÝ HIỆU, CÁC CHỮ VIẾT TẮT ATM : Automatic Teller Machine BIN : Bank Identification Number CVK : Card Verification Keys CD : Check digit CSDL : Cơ sở dữ liệu DES : Data Encryption Standard 3DES : Triple DES EMV : Europay, MasterCard, Visa EPP : Encrypt PIN Pad HSM : Hardware Security Module ISO : International Organization for Standardization KME (MEK) : Message Encryption Keys LMK : Local Master Keys MD : Message Digest algorithm MAC : Message Authentication Code NH : Ngân hàng PC : Personal Computer POS : Point Of Service PIN : Personal Identification Number PAN : Primary Account Number PVV : VISA PIN Verification Keys PVK : PIN Verification Keys RSA : Rivest, Shamir và Adleman TMK : Terminal Master Keys WK : Working Keys -4DANH MỤC CÁC HÌNH VẼ ĐỒ THỊ Hình 1.1 Sơ đồ tổng thể kết nối hệ thống mạng lƣới ATM .................................... 12 Hình 1.2 Máy ATM nhìn từ phía trƣớc ................................................................. 14 Hình 1.3 Một vài kiểu máy ATM .......................................................................... 14 Hình 1.4 Luồng giao dịch của hệ thống máy ATM ............................................... 15 Hình 1.5 Cấu tạo cơ bản của một máy ATM ......................................................... 16 Hình 1.6 Thiết bị trả tiền và các khay chứa tiền .................................................... 17 Hình 1.7 Bàn phím chức năng ............................................................................... 17 Hình 1.8 Bàn phím ký tự ....................................................................................... 18 Hình 1.9 Đầu đọc thẻ ............................................................................................ 18 Hình 1.10 Máy ghi nhật ký giao dịch .................................................................... 19 Hình 1.11 Máy in biên lai giao dịch ...................................................................... 19 Hình 1.12 Máy tính (Core) điều khiển .................................................................. 20 Hình 1.13 Khay chứa tiền ..................................................................................... 21 Hình 1.14 Sơ đồ mạng lƣới ATM ......................................................................... 22 Hình 1.15 Các thành phần của hệ thống Switch .................................................... 23 Hình 1.16 Các vị trí dập nổi trên thẻ (mặt trƣớc) ................................................... 25 Hình 1.17 Vị trí dải từ (Mặt sau thẻ) ..................................................................... 26 Hình 1.18 Vị trí của các rãnh từ trong dải từ ......................................................... 27 Hình 1.19 Cấu trúc số PAN .................................................................................. 32 Hình 1.20 Vị trí số BIN ........................................................................................ 33 Hình 1.21 Thẻ Vạn dặm của ngân hàng BIDV ...................................................... 33 Hình 1.22 Mô hình thẻ chip .................................................................................. 41 Hình 1.23 Mối tƣơng quan giữa giá, dung lƣợng và hiệu năng (tính năng) ............ 43 Hình 1.24 Vị trí và các chiều của các điểm tiếp xúc .............................................. 44 Hình 1.25 Tƣơng quan giữa vị trí của con chíp và dải từ trên thẻ .......................... 44 Hình 1.26 Cấu trúc của bộ xử lý ........................................................................... 45 Hình 1.27 Cấu trúc file ......................................................................................... 48 Hình 2.1 Sơ đồ thuật toán mã hóa DES ................................................................. 61 Hình 2.2 Quá trình tạo bản băm của MD5 ............................................................. 70 -5Hình 3.1 Sơ đồ tổng thể mạng lƣới ATM của một Ngân hàng ............................... 71 Hình 3.2 Các bƣớc thực hiện trong quá trình mã hóa và giải mã theo 3DES ......... 73 Hình 3.3 Phân lớp các khóa sử dụng trong hệ thống ATM .................................... 76 Hình 3.4 Mô tả các vị trí khóa trong hệ thống ATM.............................................. 76 Hình 3.5 Thiết lập khóa LMK cho HSM ............................................................... 77 Hình 3.6 Thiết lập khóa TMK cho EPP ................................................................. 77 Hình 3.7 Thiết lập khóa khác tại Switch ................................................................ 77 Hình 3.8 Các bƣớc trao đổi khóa WK giữa ATM và Switch ................................. 78 Hình 3.9 Thiết bị mã hóa EPP ............................................................................... 79 Hình 3.10 Thiết bị mã hóa HSM ........................................................................... 79 Hình 3.11 Minh họa khuôn dạng của trƣờng số PIN ............................................. 82 Hình 3.12 Minh họa khuôn dạng của trƣờng số PAN ............................................ 82 Hình 3.13 Minh họa cách tính khối PIN Block ...................................................... 82 Hình 3.14 Các bƣớc mã hoá và giải mã PIN Block ............................................... 83 Hình 3.15 Quá trình xác thực số PIN giữa ATM và Switch ................................... 84 Hình 3.16 Cấu trúc của số PAN và vị trí số CD .................................................... 86 Hình 3.17 Mặt trƣớc của thẻ ATM và vị trí số CD ................................................ 87 Hình 3.18 Quá trình xác thực số CVV/CVC giữa ATM và Switch ........................ 90 Hình 3.19 Quy trình mã hóa và xác thực PIN ........................................................ 91 Hình 4.1 Minh họa số PIN sau khi Hash .............................................................. 96 Hình 4.2 Minh họa số PIN sau khi Hash sẽ đƣợc hoán vị ..................................... 97 Hình 4.3 Mô phỏng mã xác thực MAC đƣợc gắn vào cuối thông điệp .................. 98 Hình 4.4 Mã hoá thông tin trên kênh truyền giữa hai thiết bị................................. 100 -6MỞ ĐẦU 1. Tính cấp thiết của luận văn Hiện nay, thanh toán tiền qua hệ thống ATM đã phổ biến trên toàn thế giới và ở Việt Nam dịch vụ này cũng đang bƣớc đầu triển khai. Khái niệm máy rút tiền ATM cũng không còn xa lạ trong cuộc sống của ngƣời dân Việt Nam. Theo yêu cầu của Thủ tƣớng chính phủ, đến ngày 1 tháng 1 năm 2009 sẽ mở rộng việc trả lƣơng qua tài khoản cho cán bộ công chức trên phạm vi cả nƣớc. Vì vậy, việc giao dịch qua hệ thống ATM sẽ gần với cuộc sống thƣờng ngày. Những tiện ích mà các dịch vụ thẻ mang lại đã góp phần từng bƣớc thay đổi thói quen sử dụng tiền mặt của ngƣời dân, cũng nhƣ góp phần hữu ích vào việc tạo dựng nền móng cho sự hình thành một nền thƣơng mại điện tử còn non trẻ của nƣớc ta. Tuy nhiên, vấn đề bức xúc cũng đƣợc đặt ra là làm thế nào để đảm bảo an toàn tuyệt đối cho hệ thống và cả ngƣời dùng, chống lại mọi sự gian lận, ăn cắp tài khoản vv… của ngƣời dùng. Với vấn đề đặt ra nhƣ trên, tôi chọn đề tài “Nghiên cứu và đề xuất giải pháp an toàn thông tin cho hệ thống rút tiền tự động ATM” nhằm mục đích nghiên cứu cơ chế hoạt động, độ an toàn và tính bảo mật của hệ thống ATM, trên cơ sở đó phân tích và đánh giá công nghệ hiện tại đang sử dụng, tìm hiểu ƣu nhƣợc điểm nhằm đề ra giải pháp tối ƣu hơn giúp cho tính bảo mật và an toàn của hệ thống đƣợc nâng cao. 2. Mục đích của luận văn Mục đích của luận văn là nghiên cứu và đƣa ra những giải pháp khoa học, đảm bảo an toàn cho các bài toán phát sinh trong quá trình thanh toán tiền trên hệ thống ATM. Từ đó, đánh giá ƣu nhƣợc điểm và đề xuất giải pháp đảm bảo an toàn trên hệ thống ATM. 3. Đối tƣợng nghiên cứu Đối tƣợng nghiên cứu của luận văn là các bài toán phát sinh khi dùng tiền điện tử. 4. Phạm vi nghiên cứu Luận văn nghiên cứu một cách tƣơng đối bài toán phát sinh trong quá trình thanh toán trên hệ thống ATM cho đến thời điểm hiện tại. Hiện nay, Việt Nam đang chủ yếu sử dụng thẻ từ nên trong luận văn, tác giả đi sâu nghiên cứu hệ thống ATM cho thẻ từ là chính, tuy nhiên thẻ chíp cũng đƣợc trình bày trong chƣơng 1 mang tính tổng quan. -75. Phƣơng pháp nghiên cứu Luận văn đi vào nghiên cứu và phân tích cấu trúc của hệ thống thanh toán ATM, nêu ra đƣợc giải pháp an toàn thông tin đang sử dụng hiện thời của hệ thống. Nghiên cứu một số vấn đề đảm bảo an toàn thông tin trong quá trình truyền thông, trên cơ sở đó đề xuất xuất một vài giải pháp để đảm bảo an toàn hơn cho hệ thống thanh toán ATM. 6. Ý nghĩa khoa học và thực tiễn của luận văn Luận văn nghiên cứu bài toán nảy sinh khi dùng tiền điện tử để thanh toán trên hệ thống ATM. Bài toán đƣợc nghiên cứu dựa trên cơ sở khoa học đảm bảo an toàn thông tin. Trong quá trình nghiên cứu và phân tích, chúng tôi đề xuất một vài giải pháp để đảm bảo an toàn hơn cho hệ thống thanh toán ATM. Nhƣ vậy, luận văn đạt đƣợc tính khoa học và ý nghĩa thực tiễn của mình. 7. Kết cấu luận văn Ngoài các phần mở đầu, các tài liệu tham khảo, luận văn gồm có 4 chƣơng và phần kết luận. Cụ thể: Chương 1. Máy ATM và hệ thống thanh toán bằng máy ATM Giới thiệu về sự hình thành và phát triển của máy ATM và về tình hình ứng dụng của máy ATM trên toàn thế giới và tại Việt Nam. Giới thiệu về cấu tạo máy ATM, hệ thống phần mềm Switch dùng để kết nối giữa các máy ATM và cơ sở dữ liệu Corebank. Chương 2. Một số công cụ đảm bảo an toàn thông tin Nêu vấn đề về đảm bảo an toàn thông tin trong quá trình truyền tin. Giới thiệu qua về một số công cụ đảm bảo an toàn thông tin, giới thiệu một số hệ mã hóa, hàm băm. Chương 3. Cơ chế an toàn thông tin trong hệ thống ATM Chúng tôi tập trung nghiên cứu cấu trúc và cơ chế hoạt động cũng nhƣ bảo mật của hệ thống ATM, trên cơ sở đó lựa chọn đề xuất giải pháp đảm bảo an toàn/an ninh cho hệ thống ATM. Chương 4. Đề xuất giải pháp bảo đảm an toàn thông tin trong hệ thống ATM Phần Kết luận. Tổng kết lại những vấn đề đƣợc nghiên cứu của đề tài. -8Chương 1. MÁY ATM VÀ HỆ THỐNG THANH TOÁN ATM 1.1. TỔNG QUAN VỀ MÁY ATM 1.1.1. Giới thiệu máy ATM (Automatic Teller Machine) Máy rút tiền đầu tiên trên thế giới đƣợc thiết kế và hoàn thành bởi Luther George Simjian (ngƣời Thổ Nhĩ Kỳ), vào năm 1939, máy đƣợc thiết kế tại thành phố NewYork cho Ngân hàng City Bank of NewYork, nhƣng 6 tháng sau thì bị bỏ đi vì ít ngƣời dùng. Sau 25 năm, vào ngày 27/6/1967, máy rút tiền điện tử đầu tiên đƣợc hãng In De la Rue thiết kế tại Enfield Town gần London (nƣớc Anh) cho Ngân hàng Barclays Bank. Ngƣời phát minh là John Shepherd-Barron mặc dù Luther George Simjian và một số ngƣời khác cũng đã đăng ký văn bằng phát minh cho loại máy này. Tuy nhiên, nhiều ngƣời cho rằng loại máy ATM đầu tiên theo đúng nghĩa ATM mà thế giới ngày nay đang sử dụng chính là loại máy đƣợc ra mắt vào năm 1969 tại Ngân hàng Chemical Bank ở NewYork (nƣớc Mỹ). Tác giả là Don Wetzel, phó giám đốc một công ty chuyên về máy tự động xử lý hành lý. ATM ngày nay là thiết bị để Ngân hàng giao dịch tự động với chủ thẻ, thực hiện thông qua các loại thẻ ATM nhƣ thẻ ghi nợ, thẻ ghi có (thẻ tín dụng), và các loại thẻ khác, giúp chủ thẻ kiểm tra tài khoản, rút tiền mặt, chuyển khoản thanh toán hàng hóa, dịch vụ [2]. 1.1.2. Tình hình sử dụng hệ thống ATM Thanh toán tiền qua hệ thống ATM đã phổ biến trên toàn thế giới và ở Việt Nam hệ thống ATM cũng đang dần phổ biến. Năm 1993, thị trƣờng thẻ Ngân hàng Việt Nam mới xuất hiện những sản phẩm thẻ đầu tiên do Vietcombank phát hành, đến năm 1996 thì thị trƣờng thẻ bắt đầu thực sự xuất hiện. Năm 1996, Ngân hàng Ngoại thƣơng Việt Nam Vietcombank (VCB) kết hợp cùng Ngân hàng Nhà nƣớc lắp đặt 2 chiếc máy rút tiền tự động (ATM) tại Hà Nội. Đến nay, chúng ta đã chứng kiến sự phát triển vƣợt bậc của thị trƣờng thẻ và máy ATM tại Việt Nam, với hơn 20 Ngân hàng thƣơng mại phát hành Thẻ nội địa, trong đó có 8 Ngân hàng thƣơng mại phát hành Thẻ Quốc tế. -9Số lƣợng thẻ phát hành Năm gồm thẻ nội địa và quốc tế (Đơn vị: chiếc) 1996 360 1997 460 1998 4.500 1999 2.500 2000 5.000 2001 15.000 2002 40.000 2003 230.000 2004 560.000 2005 1.250.000 T6/2006 3.500.000 2007 8.400.000 T3/2008 10.000.000 Số máy ATM 4.020 4.500 Bảng 1.1 Số liệu thông kê thị trƣờng thẻ Việt Nam qua các năm (Theo Hiệp hội Ngân hàng Việt Nam và hội thảo Banking Việt Nam 2008) Tại hội thảo Banking Vietnam 2008 diễn ra tại Hà Nội, Ngân hàng Nhà nƣớc đã công bố số liệu thống kê về thị trƣờng thẻ Việt Nam. Trong đó, tính đến hết quý I/2008, toàn hệ thống ngân hàng Việt Nam có hơn 4.500 máy rút tiền tự động ATM, gần 15.000 điểm chấp nhận thẻ (POS) và phát hành hơn 10 triệu thẻ thanh toán. Với đà phát triển trên 300% mỗi năm nhƣ thời gian vừa qua, Cục Công nghệ Tin học Ngân hàng (Ngân hàng Nhà nƣớc) dự báo đến cuối năm 2008, toàn hệ thống ngân hàng Việt Nam sẽ có khoảng 6.880 máy ATM, hơn 29.000 điểm chấp nhận thẻ POS và gần 14 triệu thẻ thanh toán. Những tiện ích mà các dịch vụ thẻ mang lại đã góp phần từng bƣớc thay đổi thói quen ƣa sử dụng tiền mặt của ngƣời dân, giảm chi phí xã hội, nâng cao khả năng quản lý tiền tệ của NN cũng nhƣ góp phần hữu ích vào việc tạo dựng nền móng cho sự hình thành một nền thƣơng mại điện tử còn non trẻ của nƣớc ta. Việc còn quá ít máy ATM đƣợc một số ít các ngân hàng triển khai cũng không quá khó lý giải. Với mức chi phí đầu tƣ cho một máy ATM từ 20.000 USD đến 30.000 USD, không phải ngân hàng nào, nhất là các ngân hàng thƣơng mại cổ phần cũng có thể đầu tƣ, nếu họ không “trƣờng vốn” và không có chiến lƣợc phát triển ATM. - 10 1.1.3. Lợi ích và các dịch vụ trên máy ATM 1.1.3.1. Lợi ích đối với ngân hàng ATM đƣợc biết đến nhƣ là một kênh tự phục vụ của ngân hàng, là một bộ phận chiến lƣợc trong kênh phân phối của ngân hàng, giúp cho chủ thẻ truy cập một cách thuận tiện các dịch vụ một cách nhanh chóng, dịch vụ 24/7 ở bất cứ nơi đâu và vào thời gian nào. ATM là một trong các kênh phân phối dịch vụ bán lẻ của ngân hàng nhƣ: - POS (Point of Service) : Điểm thanh toán thẻ. - Telephone Banking : Dịch vụ ngân hàng qua điện thoại. - Mobile Banking : Dịch vụ ngân hàng qua điện thoại. Bên cạnh đó, máy ATM còn có một số ƣu điểm sau: - Các địa điểm đặt máy thuận lợi, thời gian phục vụ 24/24 giúp dễ tiếp cận với các dịch vụ ngân hàng, nên thu hút nhiều chủ thẻ hơn. - Đối với mỗi ATM có thể coi là một "chi nhánh" của Ngân hàng, do đó sẽ giảm thiểu chi phí vận hành chi nhánh Ngân hàng. Nhờ vậy, mà các ngân hàng có thể giữ đƣợc khách hàng cũ và thu hút đƣợc nhiều ngƣời mới sử dụng các dịch vụ của ngân hàng. 1.1.3.2. Lợi ích đối với khách hàng - Thuận tiện trong tiếp cận ngân hàng (địa điểm, 24x7 giờ). - Nhanh hơn so với ở quầy giao dịch. 1.1.3.3. Các dịch vụ trên máy ATM 1/. Các dịch vụ cơ bản: - Rút tiền mặt (Cash Withdrawal). - Chuyển khoản (Fund Transfer). - Sao kê ngắn (Mini Statement). - Vấn tin số dƣ tài khoản (Balance Inquiry). 2/. Các dịch vụ tiên tiến - Tiện ích / Thanh toán hoá đơn (Điện thoại, Điện, Nƣớc,…). - Gửi tiền. - Các giao dịch Internet / Thƣơng mại điện tử. - 11 1.1.4. Một số vấn đề đối với hệ thống ATM Khi các mạng lƣới ATM đƣợc mở rộng thì việc đảm bảo an toàn cho hệ thống ATM trở nên cấp thiết. Khi khách hàng chấp nhận thanh toán tiền qua hệ thống ATM thì có nghĩa là họ đã tin tƣởng vào sự an toàn và tiện lợi mà hệ thống ATM mang lại, do đó việc đảm bảo an toàn thông tin trên hệ thống ATM rất quan trọng. Hình 1.1 Sơ đồ tổng thể kết nối hệ thống mạng lƣới ATM Hiện nay, trên thế giới và cũng nhƣ ở Việt Nam, thẻ từ vẫn chiếm một số lƣợng lớn so với thẻ chíp (thẻ thông minh). Do chi phí phát hành thẻ từ rất rẻ so với thẻ chíp nên hiện tại thẻ từ vẫn chiếm lĩnh thị trƣờng thẻ. Đối với thẻ chíp, hiện nay (8/2008) đã có một số ngân hàng phát hành nhƣ VIB, VP, VCB nhƣng với số lƣợng rất ít và chủ yếu dùng cho thẻ tín dụng. Tuy nhiên, những vấn đề rủi ro và gian lận thẻ đang đặt cho Ngân hàng một thách thức lớn, thẻ từ bộc lộ nhiều hạn chế về khả năng an toàn, lƣu trữ thông tin cũng nhƣ tích hợp các ứng dụng, dịch vụ trên thẻ. Thẻ từ rất dễ bị sao chép, chỉ với một bảng mạch điện tử 2 đầu đọc băng từ hoặc với công nghệ “hộp đen” phân tích tín hiệu từ đầu vào và đầu ra, tội phạm có thể làm ra những chiếc thẻ tƣơng tự. Ngoài việc bị lấy cắp trực tiếp từ việc đọc trên băng từ, dữ liệu còn có thể bị đánh cắp từ trên đƣờng truyền bƣu điện mà Ngân hàng thuê. - 12 Cũng không loại trừ trƣờng hợp ngƣời của các Ngân hàng thông đồng với tội phạm để cài đặt các thiết bị lấy cắp dữ liệu vào máy ATM, từ đó lấy cắp dữ liệu thẻ của khách hàng. Không những vậy, bọn trộm còn gắn những camera bé xíu cho phép quay cận cảnh bàn phím trên ATM để ăn cắp số PIN (mật mã) truy cập tài khoản của chủ thẻ. Nhiều chủ thẻ không thấy đƣợc tầm quan trọng của việc bảo mật những thông tin cá nhân của thẻ (nhƣ mã PIN) nên đã bị kẻ gian “nhìn trộm” mật mã, sau đó ăn cắp thẻ để thực hiện hành vi rút tiền/thanh toán bất hợp pháp. Không ít trƣờng hợp, khách hàng bị mất thẻ ATM, giấy tờ tuỳ thân (CMT, Hộ chiếu...) và bị kẻ gian tóm đƣợc từ đó rút hết tiền do chủ thẻ đã đặt mã PIN là những con số dễ nhớ nhƣ ngày sinh, số CMT... Ngoài ra phát sinh các vấn đề mới, những thông tin dữ liệu nằm ở CSDL hay đang truyền trên đƣờng truyền có thể bị trộm cắp, làm sai lệch và có thể bị giả mạo. Điều đó ảnh hƣởng đến các công ty, các tổ chức hay cả một quốc gia. Những bí mật kinh doanh, tài chính là mục tiêu của các đối thủ cạnh tranh. Những thông tin trên ATM liên quan đến kinh tế và đó là thông tin rất nhạy cảm của NH do vậy việc đảm bảo an toàn/an ninh thông tin trên hệ thống ATM đóng một vai trò đặt biệt quan trọng. Để giải quyết vấn đề trên, thì An toàn thông tin cho hệ thống ATM đƣợc đặt ra cấp thiết. Do đó, mục đích của luận văn là tìm hiểu sâu hơn về cơ chế hoạt động và bảo mật của hệ thống, trên cơ sở đó đề xuất lựa chọn giải pháp nhằm nâng cao tính bảo mật an toàn cho hệ thống ATM. - 13 1.2. CẤU TẠO MÁY ATM 1.2.1. Định nghĩa ATM 1.2.1.1. Định nghĩa (ATM – Automatic Teller Machine) ATM đƣợc gọi là hệ thống giao dịch Ngân hàng tự động, không đơn thuần là máy rút tiền mà còn nhiều dịch vụ khác nhƣ chuyển khoản, thanh toán hóa đơn, mua vé, các dịch vụ thƣơng mại điện tử… Hình 1.2 Máy ATM nhìn từ phía trƣớc. 1.2.1.2. Phân loại 1/. Theo vị trí - ATM đặt tại sảnh, hành lang. - ATM độc lập. - ATM xuyên tƣờng. - ATM đặt tại nơi thu vé xe. 2/. Theo chức năng - Máy chỉ có chức năng trả tiền - Máy có các chức năng cao cấp Hình 1.3 Một vài kiểu máy ATM. - 14 1.2.1.3. Luồng xử lý giao dịch trong hệ thống ATM 1/. Các bước xử lý giao dịch - Chủ thẻ thực hiện giao dịch. - ATM nhận thông tin giao dịch và gửi lệnh yêu cầu tới Switch. - Switch nhận yêu cầu, xử lý và phản hồi lại lệnh cho ATM. - ATM nhận lệnh phản hồi từ Switch và thực hiện lệnh. - ATM nếu không thực hiện đƣợc lệnh phản hồi sẽ gửi hủy lệnh đã yêu cầu. - Switch sẽ chấp nhận lệnh hủy yêu cầu. Hình 1.4 Luồng giao dịch của hệ thống máy ATM. 2/. Luồng giao dịch của hệ thống máy ATM - Màn hình đợi (màn hình hiển thị quảng cáo của ngân hàng). - Cho thẻ vào ATM và nhập số PIN. - Kiểm tra số thẻ: Kiểm tra số Check Digit, kiểm tra số CVV/CVC. - Kiểm tra PIN: Kiểm tra số PIN đƣợc nhập vào với PIN đƣợc lƣu trong CSDL Core Bank của ngân hàng. Nếu đúng, sẽ hiển thị các loại giao dịch để chủ thẻ lựa chọn. - Thực hiện giao dịch: Khi thực hiện thành công, thì tùy theo từng loại giao dịch mà ATM nhả thẻ hoặc không (Thƣờng rút tiền xong thì ATM sẽ nhả thẻ ra). - Trở về màn hình đợi: Khi không thực hiện các giao dịch nữa (khi nhả thẻ hoặc nuốt thẻ) màn hình ATM trở về trạng thái ban đầu. - 15 1.2.2. Cấu tạo máy ATM ATM là một thiết bị chuyên biệt đƣợc sử dụng trong lĩnh vực ngân hàng, đƣợc gọi là kênh phục vụ tự động của ngân hàng. Do đó, nó cần có một cấu tạo đặc biệt để có thể thực hiện các chức năng đƣợc yêu cầu. Cấu tạo của máy ATM gồm 2 phần là Phần cứng và Phần mềm: Hình 1.5 Cấu tạo cơ bản của một máy ATM. 1/. Phần cứng Bao gồm máy vi tính chuyên biệt, thiết bị đếm tiền, thiết bị trả tiền, thiết bị in nhật ký, thiết bị in biên lai, phím nhập mật mã, thiết bị đọc thẻ, hộp đựng tiền và két sắt chứa hộp đựng tiền… 2/. Phần mềm Máy ATM đều có hệ điều hành (OS-operate system), phần mềm điều khiển thiết bị của máy ATM, phần mềm tiện ích kèm theo. Hiện nay, hệ điều hành là Window NT, Window XP. - 16 1.2.2.1. Màn hình Có thể là màn hình CRT, màn hình LCD. Ví dụ: - Màn hình của Deibold 10.4” Color LCD (XGA). - Màn hình của NCR 9” LCD text only or 9.5” VGA flat panel LCD. 1.2.2.2. Bộ phận trả tiền Đây là bộ phận hết sức quan trọng của mỗi máy ATM, giúp máy phân loại, đếm và cung cấp tiền cho chủ thẻ. Bao gồm máy đếm tiền, băng truyền tải và khe trả tiền đƣợc đặt trên các hộp đựng tiền. Khi thực hiện rút tiền, phầm mềm điều khiển ATM sẽ tính toán số tiền đƣợc trả theo nhiều mệnh giá tiền khác nhau, đƣợc cấu hình theo yêu cầu của ngân hàng. Máy đếm tiền chủ yếu sử dụng kỹ thuật đếm chân không (kéo tiền lên bằng lực hút), ngoài ra còn dùng kỹ thuật ma sát để lấy tiền trong các hộp đựng tiền. Máy có thể trả đƣợc 40 đến 50 tờ tiền và 1 đến 4 loại tiền trong một lần trả. Hình 1.6 Thiết bị trả tiền và các khay chứa tiền 1.2.2.3. Bàn phím 1/. Bàn phím chức năng Hình 1.7 Bàn phím chức năng. - 17 Là loại bàn phím dùng để thực hiện các giao dịch. Chủ thẻ sử dụng bàn phím này để nhập mã PIN, số tiền giao dịch, số tài khoản... Nếu chủ thẻ nhập số PIN sai 3 lần liên tiếp, máy ATM sẽ tự động nuốt thẻ (tùy thuộc chính sách NH), nhằm đảm bảo an toàn trong trƣờng hợp thẻ bị đánh cắp và cố tình dò số PIN. Bàn phím của máy ATM cũng chính là một thiết bị mã hóa theo thuật toán DES hay TripleDES bằng thiết bị phần cứng. 2/. Bàn phím ký tự Là loại bàn phím dùng để nhập tham số cho hệ thống phần mềm ATM (nhƣ bàn phím thông thƣờng của máy PC). Đƣợc dùng cho nhà quản trị. Hình 1.8 Bàn phím ký tự. 1.2.2.4. Đầu đọc thẻ Dùng để đọc các thông tin trên rãnh từ ở mặt sau của thẻ. Các thông tin này sẽ đƣợc gắn vào thông điệp và chuyển đến ngân hàng nơi chủ thẻ mở tài khoản. Đầu đọc thẻ đƣợc thiết kế để có thể đọc đƣợc hai loại là thẻ từ và thẻ chíp Hình 1.9 Đầu đọc thẻ - 18 1.2.2.5. Máy ghi nhật ký giao dịch Ghi lại thông tin toàn bộ các giao dịch đƣợc thực hiện tại máy ATM. Các thông tin này sẽ đƣợc sử dụng để kiểm soát và đối chiếu khi kiểm quỹ và yêu cầu tra soát của chủ thẻ. Hình 1.10 Máy ghi nhật ký giao dịch. 1.2.2.6. Máy in biên lai giao dịch Thông thƣờng sau mỗi giao dịch máy sẽ tự động in biên lai, giúp ngƣời sử dụng ATM dễ dàng nắm bắt đƣợc thông tin của lần giao dịch đó. Thông tin trên biên lai giao dịch tùy thuộc ngân hàng và tùy theo từng loại giao dịch. Thông thƣờng bao gồm: tên ngân hàng, ngày tháng giao dịch, mã máy ATM, khối lƣợng giao dịch,… Hình 1.11 Máy in biên lai giao dịch.