Tài liệu Luận văn cntt nghiên cứu ứng dụng chữ ký số trong quá trình gửi nhận tài liệu điện tử

ĐẠI QUỐC GIA HÀ NỘI TRƢỜNG ĐẠI HỌC CÔNG NGHỆ NGUYỄN TƢ THỤC NGHIÊN CỨU ỨNG DỤNG CHỮ KÝ SỐ TRONG QUÁ TRÌNH GỬI NHẬN TÀI LIỆU ĐIỆN TỬ LUẬN VĂN THẠC SĨ CÔNG NGHỆ THÔNG TIN Hà Nội – 2016 ĐẠI QUỐC GIA HÀ NỘI TRƢỜNG ĐẠI HỌC CÔNG NGHỆ NGUYỄN TƢ THỤC NGHIÊN CỨU ỨNG DỤNG CHỮ KÝ SỐ TRONG QUÁ TRÌNH GỬI NHẬN TÀI LIỆU ĐIỆN TỬ Ngành: Công nghệ Thông tin Chuyên ngành: Hệ thống Thông tin Mã số: 60480104 LUẬN VĂN THẠC SĨ CÔNG NGHỆ THÔNG TIN NGƢỜI HƢỚNG DẪN KHOA HỌC: PGS.TS Nguyễn Hữu Ngự Hà Nội – 2016 2 LỜI CAM ĐOAN Tôi xin cam đoan luận văn là công trình nghiên cứu của riêng cá nhân tôi, không sao chép của ai. Do tôi tự nghiên cứu, đọc, dịch tài liệu, tổng hợp thực hiện và làm theo hƣớng dẫn của ngƣời hƣớng dẫn khoa học. Nội dung lý thuyết trong trong luận văn tôi có sử dụng một số tài liệu tham khảo nhƣ đã trình bày trong phần tài liệu tham khảo. Các số liệu, chƣơng trình phần mềm và những kết quả trong luận văn là trung thực và chƣa đƣợc công bố trong bất kỳ một công trình nào khác. Tôi xin chịu hoàn toàn trách nhiệm về lời cam đoan của mình. Nếu có điều gì sai trái, tôi xin chịu mọi hình thức kỷ luật theo quy định. Hà Nội, tháng 11 năm 2016 Ngƣời cam đoan Nguyễn Tƣ Thục 3 LỜI CẢM ƠN Lời đầu tiên, em xin gửi lời biết ơn sâu sắc đến PGS.TS Nguyễn Hữu Ngự và TS Hồ Văn Hƣơng đã tận tình hƣớng dẫn, chỉ bảo, giúp đỡ em trong suốt quá trình làm luận văn. Em cũng xin gửi lời cảm ơn đến các thầy cô giáo trong Khoa Công nghệ Thông tin, Trƣờng Đại học Công nghệ - Đại học Quốc gia Hà Nội đã truyền đạt những kiến thức và giúp đỡ em trong suốt quá trình học tập, nghiên cứu. Và cuối cùng tôi xin gửi lời cảm ơn tới các đồng nghiệp, gia đình và bạn bè những ngƣời đã ủng hộ, động viên tạo mọi điều kiện giúp đỡ để tôi có đƣợc kết quả nhƣ ngày hôm nay. Hà Nội, tháng 11 năm 2016 Nguyễn Tƣ Thục 4 MỤC LỤC LỜI CAM ĐOAN ....................................................................................... 1 LỜI CẢM ƠN ............................................................................................. 4 MỤC LỤC................................................................................................... 5 DANH MỤC CÁC TỪ VIẾT TẮT ............................................................ 8 DANH MỤC CÁC BẢNG ......................................................................... 9 DANH MỤC CÁC HÌNH VẼ .................................................................... 9 LỜI MỞ ĐẦU ........................................................................................... 10 Chƣơng 1. Giao dịch điện tử và các vấn đề bảo đảm an toàn .................. 12 1.1. Giao dịch điện tử ................................................................................ 12 1.2. An toàn thông tin .............................................................................. 12 1.3. Các nguy cơ mất an toàn thông tin .................................................... 13 1.4. Thực trạng mất an ninh an toàn trong giao dịch điện tử .................... 13 1.5. Các giải pháp bảo đảm An toàn thông tin.......................................... 14 1.6. Kết luận chƣơng 1 .............................................................................. 15 Chƣơng 2. Cơ sở mật mã ứng dụng trong an toàn bảo mật thông tin ...... 16 2.1. Tổng quan về hệ mật mã .................................................................... 16 2.2. Hệ mật mã khóa đối xứng .................................................................. 17 2.2.1. Khái quát hệ mật mã khóa đối xứng ........................................... 17 2.2.2. Ƣu nhƣợc điểm của hệ mã hóa đối xứng .................................... 18 2.3. Hệ mật mã khóa công khai ................................................................ 19 2.3.1. Khái quát hệ mật mã khóa công khai.......................................... 19 2.3.2. Ƣu nhƣợc điểm của hệ mật mã khóa công khai ......................... 20 2.3.3. Thuật tóa RSA ............................................................................ 20 2.4. Hàm băm ............................................................................................ 24 2.4.1. Khái niệm .................................................................................... 24 2.4.2. Đặc tính của hàm băm ................................................................ 24 2.4.3. Một số tính chất cơ bản của hàm băm ........................................ 25 2.4.4. Vai trò của hàm băm ................................................................... 25 2.5. Chữ ký số ........................................................................................... 25 5 2.5.1. Khái niệm .................................................................................... 25 2.5.2. Cách tạo chữ ký số ...................................................................... 26 2.5.3. Sơ đồ chữ ký số ........................................................................... 27 2.5.4. Một số chữ ký phổ biến .............................................................. 28 2.5.4.1 Chữ ký RSA ........................................................................... 28 2.5.4.2. Chữ ký Elgamal .................................................................... 29 2.5.4.3. Chữ ký DSS .......................................................................... 32 2.5.5. Ƣu điểm và ứng dụng của chữ ký số .......................................... 33 2.5.5.1. Xác định nguồn gốc .............................................................. 33 2.5.5.2. Tính toàn vẹn ........................................................................ 33 2.5.5.3. Tính không thể phủ nhận ...................................................... 33 2.5.5.4. Ứng dụng của chữ ký số ....................................................... 33 2.5.6. Phân phối khóa công khai ........................................................... 34 2.5.7. Chứng thƣ số ............................................................................... 34 2.5.7.1. Các phiên bản chứng thƣ số .................................................. 35 2.5.8. Hạ tầng khóa công khai .............................................................. 39 2.5.8.1. Chức năng PKI ...................................................................... 40 2.5.8.2. Các thành phần của PKI ........................................................ 40 2.5.8.3. Hoạt động của PKI ................................................................ 41 2.5.8.4. Các mô hình của PKI ............................................................ 42 2.6. Kết luận chƣơng 2 .............................................................................. 43 Chƣơng 3. Giải pháp ứng dụng chữ ký số ............................................... 44 3.1. Thực trạng ứng dụng chữ ký số trong nƣớc....................................... 44 3.1.1. Giá trị pháp lý của chữ ký số ...................................................... 44 3.1.2. Hệ thống chứng thƣ số trong nƣớc ............................................. 45 3.1.3. Dịch vụ chứng thực chữ ký số trong nƣớc ................................. 47 3.2. Khái quát về hệ thống quản lý văn bản và điều hành ........................ 48 3.3. Nhu cầu an toàn, an ninh thông tin .................................................... 49 3.4. Giải pháp ứng dụng chữ ký số ........................................................... 49 3.4.1. Giới thiệu mô hình kết nối liên thông ......................................... 49 6 3.4.2 Giải pháp chữ ký số .................................................................. 51 3.4.2.1. Xây dựng giải pháp ký số trên nền Web ............................... 51 3.5. Xây dựng ứng dụng ........................................................................... 52 3.5.1. Mô hình giải pháp ký số tài liệu ................................................. 52 3.5.2. Phân tích thiết kế giải pháp ......................................................... 55 3.5.2.1. Chức năng cần thiết của yêu cầu xác thực ............................ 55 3.5.2.2. Phân tích thiết kế các thành phần của mô hình .................... 56 3.6. Kết quả của giải pháp......................................................................... 58 3.7. Kết luận chƣơng 3 .............................................................................. 59 KẾT LUẬN VÀ HƢỚNG PHÁT TRIỂN ................................................ 60 TÀI LIỆU THẢM KHẢO ........................................................................ 61 7 DANH MỤC CÁC TỪ VIẾT TẮT Chữ viết tắt ATTT AES CNTT Ý nghĩa An toàn thông tin Advanced Encryption Standard – Chuẩn mã hóa nâng cao Công nghệ thông tin CA Certificate Authority – Cơ quan chứng thực số DDoS Distributed denial of service – Từ chối dịch vụ DES Data Encryption Standard- Chuẩn Mã hóa Dữ liệu DS Digital Signature – Chữ ký số DSS Digital Signature Standard - Chuẩn chữ ký số FIPS PUB Federal Information Processing Standards – Chuẩn xử lý thông tin MD 5 Message Digest algorithm 5 - giải thuật của hàm băm OID Object Identifier - kiểu định dạng PKCS QLVB&ĐH Public Key Cryptography Standards - Chuẩn mã hóa công khai Quản lý vă bản và điều hành RSA Rivest Shamir Adleman – Mã hóa công khai SHA Secure Hash Algorithm –Thuật toán băm an toàn SSL Secure Socket Layer - Giao thức an ninh thông tin TMĐT URL Thƣơng mại điện tử Uniform Resource locator - Liên kêt dân địa chỉ web 8 DANH MỤC CÁC BẢNG Bảng 1.1 Tổng hợp số liệu thống kê ATTT Việt Nam 2015 .............................. 14 Bảng 3.1 Danh sách các doanh nghiệp đƣợc cấp phép ....................................... 47 DANH MỤC CÁC HÌNH VẼ Hình 2.1 Mật mã đối xứng .................................................................................. 17 Hình 2.2 Mã hóa khóa công khai ........................................................................ 19 Hình 2.3 Sơ đồ biểu diễn thuật toán RSA ........................................................... 21 Hình 2.4 Minh họa hàm băm............................................................................... 24 Hình 2.5 Lƣợc đồ tạo và kiểm tra chữ ký số ....... Error! Bookmark not defined. Hình 2.6 X.509 version 3 .................................................................................... 36 Hình 2.7 Mô hình PKI ........................................................................................ 41 Hình 3.1 Hệ thống chứng thực số trong nƣớc ..................................................... 45 Hình 3.3 Chứng thƣ số Root CA Chính phủ ....................................................... 46 Bảng 3.1 Danh sách các doanh nghiệp đƣợc cấp phép ....................................... 47 Hình 3.4 Thị trƣờng dịch vụ chứng thực số công cộng ...................................... 48 Hình 3.5 Mô hình liên thông gửi nhận văn bản điện tử ...................................... 50 Hình 3.6 Mô hình xác thực trên Web tổng quan ................................................. 51 Hình 3.7 Mô hình giải pháp ký số ....................................................................... 52 Hinh 3.8 Thiết bị Token ...................................................................................... 53 Hình 3.9 Minh họa chứng thƣ số RootCA .......................................................... 54 Hình 3.10 Minh họa chứng thƣ số SubCA .......................................................... 54 Hình 3.11 Minh họa chứng thƣ số ngƣời dùng ................................................... 55 Hình 3.12 Lƣợc đồ ký số trên hệ thống............................................................... 56 Hình 3.13 Lƣợc đồ xác thực văn bản ký số ........................................................ 57 Hình 3.14 Giao diện phát hành văn bản .............................................................. 58 Hình 3.15 Văn bản đã đƣợc ký số (pdf) .............................................................. 58 Hình 3.16 Văn bản đã đƣợc ký số (.doc) ............................................................ 59 9 LỜI MỞ ĐẦU 1. Đặt vấn đề Ngày nay cùng với sự phát triển của Công nghệ thông tin, các phƣơng tiện và công nghệ truyền thông tiên tiến ra đời, trong đó mạng máy tính và đặc biệt là mạng Internet đã giúp chúng ta giao dịch thông tin thuận tiện và nhanh chóng. Vì vậy cần có một giải pháp bảo đảm an toàn thông tin (ATTT) trong quá trình giao dịch điện tử đó. Bảo đảm ATTT là bảo đảm tính bí mật, bảo đảm tính toàn vẹn, bảo đảm tính xác thực và bảo đảm tính sẵn sàng của thông tin. Việc bảo đảm ATTT đƣợc dựa trên cơ sở về mã hóa thông tin, cơ sở khoa học mật mã phục vụ ATTT, trong đó những vấn đề liên quan đến thuật toán băm, thuật toán mã hóa và chữ ký số là các cơ sở chính để thực hiện đề tài. Đƣợc sự đồng ý của thầy hƣớng dẫn và nhận thấy tính thiết thực của vấn đề, tôi chọn đề tài: “Nghi n cứu ứng dụng chữ s trong qu tr nh gửi nh n tài iệu điện tử”. 2. Mục đích của u n văn Luận văn tìm hiểu các vấn đề về bảo đảm an toàn trong giao dịch điện tử, các cơ sở khoa học trong bảo đảm an toàn bảo mật dữ liệu nhƣ các hệ mã hóa dữ liệu, hàm băm, ký số. Nghiên cứu các giải pháp mã hoá để bảo mật thông tin và những phƣơng pháp, kỹ thuật tạo chữ kí số trên các tài liệu, văn bản điện tử. Đánh giá thực trạng ứng dụng chữ ký số trong gửi nhận văn bản điện tử đối với các tổ chức, nghiên cứu hạ tầng khóa công khai PKI và các vấn đề liên quan đến chứng thƣ số. Xây dựng giải pháp ứng dụng chữ ký số trong quá trình gửi nhận văn bản điện tử trên hệ thống quản lý văn bản và điều hành tại Văn phòng Chính phủ. 3. Đ i tƣợng và phạm vi nghi n cứu Hệ mã hóa RSA, chữ ký số RSA, hạ tầng khóa công khai PKI cũng nhƣ các vấn đề liên quan đến chứng thƣ số; hệ thống quản lý văn bản và điều hành là đối tƣợng nghiên cứu chính của luận văn nhằm xây dựng ứng dụng chữ ký số trong gửi nhận tài liệu điện tử. Phạm vi nghiên cứu: Luận văn nghiên cứu ứng dụng chữ ký số trong quá trình gửi nhận văn bản điện tử với các định dạng nhƣ .docx, pdf trên hệ thống quản lý văn bản và điều hành đang đƣợc dùng tại các cơ quan hành chính nhà nƣớc. 10 4. Phƣơng ph p nghi n cứu Tiếp cận phân tích và tổng hợp các tài liệu về mã hoá, hệ mật mã của các tác giả trong và ngoài nƣớc, các bài báo, thông tin trên mạng. Tìm hiều chữ ký số RSA, hạ tầng khóa công khai PKI. Từ đó đƣa ra giải pháp xây dựng ứng dụng. Tìm hiểu các sản phẩm ứng dụng chứng thực số hiện đang đƣợc sử dụng, đánh giá thực trạng ứng dụng chứ ký số trong giao dịch điện tử của các cơ quan, tổ chức đơn vị trong nƣớc. Tham khảo, vận dụng và kế thừa các thuật toán, mã nguồn mở, v.v… 5. B cục u n văn Luận văn gồm 3 chƣơng, có phần mở đầu, phần kết luận, phần mục lục, phần tài liệu tham khảo. Các nội dung cơ bản của luận văn đƣợc trình bày theo cấu trúc nhƣ sau: Chƣơng 1: Gao dịch điện tử và c c vấn đề bảo đảm an toàn trong giao dịch điện tử Chƣơng này trình bày về các khái niệm an toàn bảo mật thông tin, các nguy cơ mất ATTT cũng nhƣ đánh giá thực trạng về ATTT. Từ đó đƣa ra một số giải pháp để đảm bảo ATTT. Chƣơng 2: Cơ sở m t mã ứng dụng trong an toàn bảo m t thông tin Nghiên cứu về cơ sở ứng dụng trong bảo đảm an toàn bảo mật thông tin nhƣ các hệ mật mã, các phƣơng pháp mã hóa, hàm băm, chữ ký số, hạ tầng khóa công khai, v.v… Chƣơng 3: Giải ph p ứng dụng chữ s trong qu tr nh gửi nh n tài iệu điện tử tr n hệ th ng quản văn bản và điều hành Tìm hiểu về thực trạng ứng dụng chữ ký số, khái quát về hệ thống quản lý văn bản và điều hành. Qua đó xây dựng giải pháp ứng dụng chữ ký số trong gửi nhận văn bản điện tử trên hệ thống quản lý văn bản và điều hành. 11 Chƣơng 1. Giao dịch điện tử và c c vấn đề bảo đảm an toàn trong giao dịch điện tử 1.1. Giao dịch điện tử Giao dịch điện tử là giao dịch đƣợc thực hiện bằng phƣơng tiện điện tử. Ngày nay với nền tảng của công nghệ thông tin hiện đại, giao dịch điện tử cũng phát triển nhanh chóng, thu hút đƣợc sự quan tâm sâu rộng của các quốc gia, các tổ chức quốc tế và các khối liên kết kinh tế; góp phần quan trọng làm thay đổi cách thức kinh doanh, giao dịch truyền thống, phong cách sống, học tập, làm việc của con ngƣời; thúc đẩy mạnh mẽ sự tăng trƣởng kinh tế, tăng cƣờng hiệu quả hoạt động và khả năng cạnh tranh của các tổ chức, doanh nghiệp; tạo ra nhiều ngành nghề sản xuất, kinh doanh, dịch vụ mới nhƣ công nghiệp công nghệ thông tin, dịch vụ thƣơng mại điện tử, dịch vụ tài chính – ngân hàng trực tuyến, dịch vụ thƣ điện tử, dịch vụ chữa bệnh qua mạng, giáo dục đào tạo từ xa... Giao dịch điện tử cũng thúc đẩy “tin học hóa” hoạt động của các cơ quan nhà nƣớc, giúp cho quá trình gửi nhận các văn bản đƣợc thực hiện nhanh chóng, kịp thời và chính xác; cho phép mọi ngƣời dân có thể dễ dàng tiếp cận các dịch vụ công cũng nhƣ giám sát hoạt động của các cơ quan Nhà nƣớc. 1.2. An toàn thông tin An toàn thông tin là sự bảo vệ thông tin, hệ thống thông tin tránh bị truy nhập, sử dụng, tiết lộ, gián đoạn, sửa đổi hoặc phá hoại trái phép nhằm đảm bảo tính nguyên ven, tính bảo mật và tính khả dụng của thông tin. An toàn thông tin liên quan đến hai khía cạnh đó là an toàn về mặt vật lý và an toàn về mặt kỹ thuật. Mục tiêu cơ bản của an toàn thông tin [8]: + Đảm bảo tính bảo mật (Confidentiality): Thông tin chỉ đƣợc truy cập bởi những ngƣời có thẩm quyền; + Đảm bảo tính toàn vẹn dữ liệu (Integrity): Thông tin chỉ đƣợc thay đổi bởi những người có thẩm quyền; + Đảm bảo tính xác thực (Authentication): Xác thực đúng thực thể cần kết nối, giao dịch. Xác thực đúng thực thể có trách nhiệm về nội dung thông tin. + Đảm bảo tính sẵn sàng (Availability): Thông tin luôn sẵn sàng đƣợc sử dụng bởi những người có thẩm quyền. 12 1.3. C c nguy cơ mất an toàn thông tin Nguy cơ mất an toàn thông tin về khía cạnh vật lý: là nguy cơ do mất điện, nhiệt độ, độ ẩm không đảm bảo, hỏa hoạn, thiên tai, thiết bị phần cứng bị hƣ hỏng, các phần tử phá hoại nhƣ nhân viên xấu bên trong và kẻ trộm bên ngoài. Nguy cơ bị mất, hỏng, sửa đổi nội dung thông tin: Ngƣời dùng có thể vô tình để lộ mật khẩu hoặc không thao tác đúng quy trình tạo cơ hội cho kẻ xấu lợi dụng để lấy cắp hoặc làm hỏng thông tin. Kẻ xấu có thể sử dụng công cụ hoặc kỹ thuật của mình để thay đổi nội dung thông tin (các file) nhằm sai lệnh thông tin của chủ sở hữu hợp pháp. Nguy cơ bị tấn công bởi các phần mềm độc hại: Các phần mềm độc hại tấn công bằng nhiều phƣơng pháp khác nhau để xâm nhập vào hệ thống với các mục đích khác nhau nhƣ: virus, sâu máy tính (Worm), phần mềm gián điệp (Spyware),... Nguy cơ xâm nhập từ lỗ hổng bảo mật: lỗ hổng bảo mật thƣờng là do lỗi lập trình, lỗi hoặc sự cố phần mềm, nằm trong một hoặc nhiều thành phần tạo nên hệ điều hành hoặc trong chƣơng trình cài đặt trên máy tính. Nguy cơ xâm nhập do bị tấn công bằng cách phá mật khẩu. Nguy cơ mất an toàn thông tin do sử dụng e-mai. Nguy cơ mất an toàn thông tin trong quá trình truyền tin. Nguy cơ bị các cuộc tấn công mạng, v.v... 1.4. Thực trạng mất an ninh an toàn trong giao dịch điện tử Giao dịch điện tử là một hoạt động mang lại hiệu quả cao, song một khi gặp rủi ro thì những thiệt hại đối với các tổ chức, doanh nghiệp cũng không nhỏ. Theo đánh giá tổng thể, tình hình bảo đảm an toàn thông tin của Việt Nam đã có những chuyển biến tích cực rõ rệt [1]. Chỉ số an toàn thông tin Việt Nam năm 2015 (VNISA Index 2015) đã tăng từ mức 39% vào năm 2014 lên 46,4% vào năm 2015. Tuy nhiên vẫn còn nhữn bất cập, tồn tại về an toàn thông tin nhƣ: Việt Nam tiếp tục nằm trong danh sách các quốc gia có tỉ lệ lây nhiễm phần mềm độc hại cao trên thế giới. Chỉ số này của Việt Nam năm 2015 ƣớc tính vào khoảng 64,36%, mặc dù tỉ lệ này có giảm so với năm 2014 nhƣng là không đáng kể. Trong năm 2015, Việt Nam phát hiện 38.177 cuộc tấn công mạng, tăng gấp 2 lần so với năm 2014, trong đó có 5.600 cuộc tấn công lừa đảo 13 (Phishing), 22.200 cuộc tấn công cài phần mềm độc hại (Malware) và 10.377 cuộc tấn công thay đổi giao diện (Deface), trong số đó có 212 cuộc tấn công thay đổi giao diện vào các hệ thống có tên miền “.gov.vn” Bảng 1.1 Tổng hợp số liệu thống kê ATTT Việt Nam 2015 Nội dung TT Năm 2015 Năm 2014 46.4 % 39 % 64.36 % 66 % Chỉ s an toàn thông tin Việt Nam 1 Chỉ số an toàn thông tin Việt Nam Tỷ ệ ây nhiễm phần mềm độc hại 2 Trên máy vi tính 3 Trên thiết bị di động 24 % 23 % 4 Qua mạng 39 % 49 % 5 Qua các thiết bị đa phƣơng tiện 77 % 77 % > 19.000 cuộc Tấn công mạng 6 Tổng số cuộc tấn công 38.177 cuộc 7 Tổng số cuộc tấn công thay đổi giao diện 10.377 cuộc 8 Tổng số cuộc tấn công thay đổi giao diện vào tên miền “.gov.vn’ 9 Tổng số cuộc tấn công lừa đảo 5.600 cuộc 10 Tổng số cuộc tấn công lây nhiễm phần mềm độc hại 22.200 cuộc 212 cuộc > 200 cuộc Tấn công từ ch i dịch vụ (DDoS) 11 Tỷ lệ số lƣợt bị tấn công DdoS của Việt Nam so với thế giới 3.95 % Thƣ r c 12 Tỷ lệ thƣ rác phát tán từ Việt Nam 6.1 % 4.5 % 1.5. C c giải ph p bảo đảm An toàn thông tin. Để đảm bảo ATTT trong giao dịch điện tử chúng ta cần có những giải pháp phù hợp, hiện nay có nhiều giải pháp cho vấn đề ATTT trong giao dịch điện tử nhƣ: Giải ph p nền tảng: 14 + Giảm thiểu nguy cơ từ cơ sở hạ tầng kỹ thuật: Xác định nguồn và nguyên nhân gây mất ATTT và ứng dụng các giải pháp kỹ thuật tƣơng ứng. ‰ + Trong sạch và nâng cao chất lƣợng nguồn nhân: lựa chọn nhân lực quản trị và vận hành hệ thống, đào tạo và nâng cao ý thức ngƣời sử dụng. ‰ + Hành lang pháp lý: chính sách ATTT; xây dựng và áp dụng các chế tài, ban hành các quy chế, quy định, thẩm quyền khai thác, sử dụng thông tin. Các giải ph p đảm bảo ATTT hệ th ng: + Sử dụng các hệ thống kỹ thuật để bảo vệ hệ thống thông tin: sử dụng hệ thống phát hiện và chống xâm nhập, chống nghe lén, phá hoại và ăn cắp thông tin dữ liệu, v.v… + Sử dụng các hệ thống thiết bị, phần mềm chất lƣơng cao, ổn định. C c giải ph p ỹ thu t cụ thể: + Kiểm tra mức độ an ninh của các thành phần tham gia hệ thống. Cụ thể nhƣ: kiểm tra các lỗ hổng an ninh đối với toàn bộ hệ thống, kiểm tra các phần mềm cài cắm nghe lén, v.v… + Bảo mật, xác thực các thông tin dữ liệu trong quá trình giao dịch, trao đổi nhƣ sử dụng các kỹ thuật mã hóa, chữ ký số, v.v… 1.6. Kết u n chƣơng 1 Chƣơng 1 đã trình bày một số vấn đề về Giao dịch điện tử, ATTT, các nguy cơ mất ATTT cũng nhƣ đánh giá thực trạng về ATTT. Từ đó đƣa ra một số giải pháp để đảm bảo ATTT. Chƣơng tiếp theo luận văn sẽ tìm hiểu, nghiên cứu về cơ sở ứng dụng trong đảm bảo an toàn bảo mật thông tin nhƣ các hệ mật mã, các phƣơng pháp mã hóa, hàm băm, chữ ký số, hạ tầng khóa công khai, v.v… 15 Chƣơng 2. Cơ sở m t mã ứng dụng trong an toàn bảo m t thông tin 2.1. Tổng quan về hệ m t mã Mật mã đƣợc sử dụng để bảo vệ tính bí mật của thông tin khi thông tin đƣợc truyền trên các kên truyền thông công cộng nhƣ các kênh bƣu chính, điện thoại, mạng tuyền thông máy tính, mạng Internet, v.v...[2] Mật mã gắn liền với quá trình mã hóa; tức là gắn với các cách thức để chuyển đỗi thông tin từ dạng có thể nhận thức đƣợc thành dạng không thể nhận thức đƣợc, làm cho thông tin trở thành dạng không thể đọc đƣợc. Các thuộc tính yêu cầu của mật mã hóa là tính bí mật, tính nguyên vẹn, tính xác thực, tính không bị từ chối và tính chống lặp lại. Mã hóa đƣợc sử dụng chủ yếu để đảm bảo tính bí mật của các thông tin, chứng thực khóa công khai, chữ ký số, v.v.. Một hệ mã bao gồm 5 thành phần (P, C, K, E, D) [2], trong đó: - P là tập hữu hạn các bản rõ (dữ liệu trƣớc khi mã hóa) - C là tập hữu hạn các bản mã (dữ liệu sau khi mã hóa) - K là tập hữu hạn các khóa (khóa công khai, khóa bí mật) - E là tập các hàm lập mã. - D là tập các hàm giải mã Với khóa lập mã ke K có hàm lập mã: e ke E, e ke: P C (2.1) D (2.2) Với khóa giải mã kd  K có hàm lập mã: d kd  E, d kd : C Sao cho: d kd (eke ( x))  x, x  P (2.3) Ở đây x là bản rõ, eke(x) là bản mã. Quá trình mã hóa đƣợc tiến hành bằng cách áp dụng hàm lập mã E lên bản rõ P, vốn đƣợc biểu diễn dƣới dạng số, để trở thành thông tin đã mã hóa C. Quá trình giải mã đƣợc tiến hành ngƣợc lại: áp dụng hàm giải D lên thông tin C để đƣợc thông tin đã giải mã P. 16 Hệ mật mã chính là hệ thống cung cấp các kỹ thuật mã hóa và giải mã dữ liệu, đƣợc phân loại thành hệ mật mã khóa đối xứng và hệ mật mã khóa công khai. 2.2. Hệ m t mã hóa đ i xứng 2.2.1. Kh i qu t hệ m t mã hóa đ i xứng Hệ mật mã khóa đối xứng là hệ mật mã chỉ dùng một khóa duy nhất cho cả hai quá trình mã hóa và giải mã. Hệ mật mã này có đặc điểm là có thời gian mã hóa và giải mã tƣơng đối nhanh. Do yậy, hệ mật mã khóa đối xứng thƣờng đƣợc sử dụng để mã hóa những dữ liệu lớn. Có hai thuật toán đƣợc sử dụng chủ yếu trong việc tạo khóa bí mật trong hệ mật mã khóa đối xứng: - Loại thứ nhất tác động trên bản rõ theo từng nhóm bits. Từng nhóm bits này đƣợc gọi với một cái tên khác là khối (Block) và thuật toán đƣợc áp dụng gọi là mã hoá khối (Block Cipher). Theo đó, từng khối dữ liệu trong văn bản ban đầu đƣợc thay thế bằng một khối dữ liệu khác có cùng độ dài. Đối với các thuật toán ngày nay thì kích thƣớc chung của một khối là 64 bits. Loại thứ hai tác động lên bản rõ theo từng bit một. Các thuật toán áp dụng đƣợc gọi là mã hoá dòng (Stream Cipher). Dữ liệu của văn bản đƣợc mã hoá từng bit một. Các thuật toán mã hoá dòng này có tốc độ nhanh hơn các thuật toán mã hoá khối và nó thƣờng đƣợc áp dụng khi lƣợng dữ liệu cần mã hoá chƣa biết trƣớc. Độ an toàn của thuật toán này phụ thuộc vào khóa, nếu để lộ ra khóa này nghĩa là bất kỳ ngƣời nào cũng có thể mã hóa và giải mã dữ liệu trong hệ thống mã hóa. Hình 2.1 Mật mã đối xứng 17 Một số thuật toán nổi tiếng trong mã hoá đối xứng là: DES, Triple DES (3DES), RC4, AES... - DES: bản rõ (Plaintext) đƣợc mã hoá theo từng khối 64 bits và sử dụng một khoá là 64 bits, nhƣng thực tế thì chỉ có 56 bits mã hoá và giải mã sử dụng 3 khoá [2]. Khối 64 bits của bản rõ đầu tiên sẽ đƣợc dùng để tạo khoá, 8 bits còn lại dùng để kiểm tra tính chẵn, lẻ. DES là một thuật toán đƣợc sử dụng rộng rãi nhất trên thế giới. Hiện tại DES không còn đƣợc đánh giá cao do kích thƣớc của khoá quá nhỏ 56 bits, và dễ dàng bị phá vỡ. - Triple DES (3DES): 3DES cải thiện độ mạnh của DES bằng việc sử dụng một mã quá trình mã hoá sử dụng khoá thứ nhất. Sau đó, dữ liệu bị mã hóa đƣợc giải mã bằng việc sử dụng một khoá thứ hai. Cuối cùng, sử dụng khoá thứ ba và kết quả của quá trình mã hoá trên để mã hoá. AES: đƣợc sử dụng để thay thế cho DES. Nó hỗ trợ độ dài của khoá từ 128 bits cho đến 256 bits. AES là một thuật toán có tốc độ mã hóa và giải mã nhanh, có khả năng chống đƣợc nhiều phƣơng pháp tấn công nhƣ vét cạn, kẻ tấn công đứng giữa, v.v... 2.2.2. Ƣu nhƣợc điểm của hệ mã hóa đ i xứng Ƣu điểm: - Có thể thiết kế để đạt tốc độ cao. - Khóa dùng chung cho mã hóa khóa đối xứng tƣơng đối ngắn. - Đƣợc xem nhƣ thành phần cơ bản có thể triển khai để xây dựng các kỹ thuật mã hóa khác, bao gồm khởi tạo các số ngẫu nhiên, các hàm băm, các thuật toán tính toán. - Có thể đƣợc kết hợp để tạo ra các thuật toán mã hóa mạnh hơn. Nhƣợc điểm: - Trong quá trình truyền thông giữa hai ngƣời, khóa phải đƣợc giữ bí mật cho cả hai phía. - Trong hệ thống mạng lớn, số lƣợng khóa cần đƣợc quản lý nhiều. Do vậy việc quản lý khóa một cách hiệu quả đòi hỏi sự dụng một bộ phận tin cậy thứ ba (TTP: Trusted Third Party). - Khóa bí mật cần đƣợc thay đổi thƣờng xuyên. 18 - Kỹ thuật chữ ký số đƣợc phát triển từ cơ chế mã hóa khối đối xứng đòi hỏi sử dụng các khóa lớn cho các hàm xác nhận công khai hoặc là sủ dụng một TTP. 2.3. Hệ m t mã khóa công khai 2.3.1. Kh i qu t hệ m t mã hóa công hai Khác với hệ mật mã khóa đối xứng, hệ mật mã khóa công khai sử dụng một cặp khóa có liên quan với nhau về mặt toán học để mã hóa và giải mã thông tin. Thuật toán mã hóa công khai là thuật toán đƣợc thiết kế sao cho khóa mã hóa khác với khóa giải mã, mà khóa giải mã không thể tính đƣợc từ kháo mã hóa. Khóa mã hóa gọi hòa khóa công khai (public key), khóa giải mã đƣợc gọi là khóa riêng (private key). Hệ mật mã khóa công khai có tính chất bất đối xứng, tính bất đối xứng đƣợc thể hiện ở chỗ bên giữ khóa công khai chỉ có thể mã hóa dữ liệu, hoặc kiểm tra chữ ký số chứ không thể giải mã dữ liệu và tạo chữ ký số đƣợc. Hình 2.2 Mã hóa khóa công khai Quá trình truyền và sử dụng mã hoá khoá công khai đƣợc thực hiện nhƣ sau: Bên gửi yêu cầu cung cấp hoặc tự tìm khoá công khai của bên nhận trên một server chịu trách nhiệm quản lý khoá. Sau đó hai bên thống nhất thuật toán dùng để mã hoá dữ liệu, bên gửi sử dụng khoá công khai của bên nhận cùng với thuật toán đã thống nhất để mã hoá thông tin đƣợc gửi đi. Khi nhận đƣợc thông tin đã mã hoá, bên nhận sử dụng khoá bí mật của mình để giải mã và lấy ra thông tin ban đầu. Vói sự ra đời của Mã hóa công khai thì khoá đƣợc quản lý một cách linh 19 hoạt và hiệu quả hơn, ngƣời sử dụng chỉ cần bảo vệ khoá bí mật. Đặc trƣng nổi bật của hệ mã hóa công khai là cả khóa công khai và dữ liệu mã hóa (ciphertext) đều có thể giử đi trên một kên truyền thông tin không an toàn. Mục đích chính của hệ mật khóa công khai là phân phối khóa và ký số. Các ứng dụng của hệ mật mã này gồm có: Mã hóa/giải mã, chữ ký, trao đổi khóa. Một số hệ mã hóa khóa công khai phổ biến nhƣ: RSA, Rabin, Elgaml, v.v... 2.3.2. Ƣu nhƣợc điểm của hệ m t mã hóa công hai Ƣu điểm: - Chỉ có khóa riêng thì cần đƣợc giữ bí mật, tuy nhiên việc xác nhận các khóa công khai cần đƣợc đảm bảo. - Việc quản trị các khóa trên mạng đòi hỏi sự tồn tại duy nhất một thành phần tin cậy. - Cặp khóa riêng và công khai có thể đƣợc sử dụng trong thời gian dài. - Nhiều mô hình khóa công cộng đƣợc phát triển hình thành nên các kỹ thuật chữ ký số hiệu quả. Khóa đƣợc sử dụng cho hàm kiểu công khai thì nhỏ hơn rất nhiều so với dùng khóa đối xứng. - Trong một mạng lớn, số lƣợng khóa cần thiết đƣợc quan tâm ít hơn so với việc dùng khóa đối xứng. Nhƣợc điểm: - Tốc độ cho các phƣơng thức mã hóa công khai chậm hơn so với các mô hình khóa đối xứng. - Kích thƣớc khóa lớn hơn nhiều so với cơ chế mã hóa đối xứng. 2.3.3. Thu t toán RSA Các đặc điểm chính trong thuật toán mã hóa RSA Thuật toán RSA đƣợc thiết kế dựa trên độ khó của bài toán phân tích ra thừa số nguyên tố trên tập số nguyên Zn. Cho số nguyên dƣơng n = p * q, với p, q là 2 số nguyên tố rất lớn (ít nhất 100 ký số). Khi biết n, muốn tìm p, q thì phải giải bài toán phân tích ra thừa số 20