Các khái niệm cơ bản về internet - Phần 3 pot

Secure Socket Layer - Tài Liệu về SSL

Secure Socket Layer


SSL là giao thức đa mục đích được thiết kế để tạo ra các giao tiếp giữa hai chương trình
ứng dụng trên một cổng định trước (socket 443) nhằm mã hoá toàn bộ thông tin đi/đến,
được sử dụng trong giao dịch điện tử như truyền số liệu thẻ tín dụng, mật khẩu, số bí mật
cá nhân (PIN) trên Internet.

Trong các giao dịch điện tử trên mạng và trong các giao dịch thanh toán trực tuyến, thông
tin/dữ liệu trên môi trường mạng Internet không an toàn thường được bảo đảm bởi cơ chế
bảo mật thực hiện trên tầng vận tải có tên Lớp cổng bảo mật SSL (Secure Socket Layer) -
một giải pháp kỹ thuật hiện nay được sử dụng khá phổ biến trong các hệ điều hành mạng
máy tính trên Internet. SSL là giao thức đa mục đích được thiết kế để tạo ra các giao tiếp
giữa hai chương trình
ứng dụng trên một cổng định trước (socket 443) nhằm mã hoá toàn
bộ thông tin đi/đến, được sử dụng trong giao dịch điện tử như truyền số liệu thẻ tín dụng,
mật khẩu, số bí mật cá nhân (PIN) trên Internet. Giao thức SSL được hình thành và phát
triển đầu tiên nǎm 1994 bởi nhóm nghiên cứu Netscape dẫn dắt bởi Elgammal, và ngày
nay đã trở thành chuẩn bảo mật thực hành trên mạng Internet. Phiên bản SSL hiện nay là
3.0 và vẫn đ
ang tiếp tục được bổ sung và hoàn thiện. Tương tự như SSL, một giao thức
khác có tên là Công nghệ truyền thông riêng tư PCT (Private Communication
Technology) được đề xướng bởi Microsoft, hiện nay cũng được sử dụng rộng rãi trong
các mạng máy tính chạy trên hệ điều hành Windows NT. Ngoài ra, một chuẩn của Nhóm
đặc trách kỹ thuật Internet IETF (Internet Engineering Task Force) có tên là Bảo mật lớp
giao vận TLS (Transport Layer Security) dựa trên SSL cũng được hình thành và xuất bản
dưới khuôn khổ nghiên cứu của IETF Internet Draft
được tích hợp và hỗ trợ trong sản
phẩm của Netscape.

Giao thức SSL làm việc như thế nào?

Điểm cơ bản của SSL là được thiết kế độc lập với tầng ứng dụng để đảm bảo tính bí mật,
an toàn và chống giả mạo luồng thông tin qua Internet giữa hai ứng dụng bất kỳ, thí dụ
như webserver và các trình duyệt (browser), do đó được sử dụng rộng rãi trong nhiều
ứng
dụng khác nhau trên môi trường Internet. Toàn bộ cơ chế hoạt động và hệ thống thuật
toán mã hoá sử dụng trong SSL được phổ biến công khai, trừ khoá chia sẻ tạm thời được
sinh ra tại thời điểm trao đổi giữa hai ứng dụng là tạo ngẫu nhiên và bí mật đối với người
quan sát trên mạng máy tính. Ngoài ra, giao thức SSL còn đòi hỏi ứng dụng chủ phải
được chứng thực bởi một đố
i tượng lớp thứ ba (CA) thông qua chứng chỉ điện tử (digital
certificate) dựa trên mật mã công khai (thí dụ RSA). Sau đây ta xem xét một cách khái
quát cơ chế hoạt động của SSL để phân tích cấp độ an toàn của nó và các khả nǎng áp
dụng trong các ứng dụng nhạy cảm, đặc biệt là các ứng dụng về thương mại và thanh
toán điện tử.

Giao thức SSL dựa trên hai nhóm con giao thức là giao thức "bắt tay" (handshake
protocol) và giao thức "bản ghi" (record protocol). Giao thức bắt tay xác định các tham số
giao dịch giữa hai đối tượng có nhu cầu trao đổi thông tin hoặc dữ liệu, còn giao thức bản
ghi xác định khuôn dạng cho tiến hành mã hoá và truyền tin hai chiều giữa hai đối tượng
đó. Khi hai ứng dụng máy tính, thí dụ giữa một trình duyệt web và máy chủ web, làm
việc với nhau, máy chủ và máy khách sẽ trao đổi "lời chào" (hello) dưới dạng các thông
điệ
p cho nhau với xuất phát đầu tiên chủ động từ máy chủ, đồng thời xác định các chuẩn
về thuật toán mã hoá và nén số liệu có thể được áp dụng giữa hai ứng dụng. Ngoài ra, các
ứng dụng còn trao đổi "số nhận dạng/khoá theo phiên" (session ID, session key) duy nhất
cho lần làm việc đó. Sau đó ứng dụng khách (trình duyệt) yêu cầu có chứng chỉ điện tử
(digital certificate) xác thực của ứng dụng chủ (web server).

Chứng chỉ
điện tử thường được xác nhận rộng rãi bởi một cơ quan trung gian (Thẩm
quyền xác nhận CA - Certificate Authority) như RSA Data Sercurity hay VeriSign Inc.,
một dạng tổ chức độc lập, trung lập và có uy tín. Các tổ chức này cung cấp dịch vụ "xác
nhận" số nhận dạng của một công ty và phát hành chứng chỉ duy nhất cho công ty đó như
là bằng chứng nhận dạng (identity) cho các giao dịch trên mạng, ở đây là các máy chủ
webserver.

Sau khi kiểm tra ch
ứng chỉ điện tử của máy chủ (sử dụng thuật toán mật mã công khai,
như RSA tại trình máy trạm), ứng dụng máy trạm sử dụng các thông tin trong chứng chỉ
điện tử để mã hoá thông điệp gửi lại máy chủ mà chỉ có máy chủ đó có thể giải mã. Trên
cơ sở đó, hai ứng dụng trao đổi khoá chính (master key) - khoá bí mật hay khoá đối xứng
- để làm cơ sở cho việc mã hoá luồng thông tin/d
ữ liệu qua lại giữa hai ứng dụng chủ
khách. Toàn bộ cấp độ bảo mật và an toàn của thông tin/dữ liệu phụ thuộc vào một số
tham số:
(i) Số nhận dạng theo phiên làm việc ngẫu nhiên;
(ii) Cấp độ bảo mật của các thuật toán bảo mật áp dụng cho SSL;
(iii) Độ dài của khoá chính (key length) sử dụng cho lược đồ mã hoá thông tin.

Các thuật toán mã hoá và xác thực của SSL được sử dụng bao gồm ( Ver 3.0 )


(1) DES - chuẩn mã hoá dữ liệu (ra đời nǎm 1977), phát minh và sử dụng của chính phủ
Mỹ;
(2) DSA - thuật toán chữ ký điện tử, chuẩn xác thực điện tử, phát minh và sử dụng của
chính phủ Mỹ;
(3) KEA - thuật toán trao đổi khoá, phát minh và sử dụng của chính phủ Mỹ;

(4) MD5 - thuật toán tạo giá trị "bǎm" (message digest), phát minh bởi Rivest;
(5) RC2, RC4 - mã hoá Rivest, phát triển bởi công ty RSA Data Security;
(6) RSA - thuật toán khoá công khai, cho mã hoá và xác thực, phát triển bởi Rivest,
Shamir và Adleman;
(7) RSA key exchange - thuật toán trao đổi khoá cho SSL d
ựa trên thuật toán RSA;
(8) SHA-1 - thuật toán hàm bǎm an toàn, phát triển và sử dụng bởi chính phủ Mỹ;
(9) SKIPJACK - thuật toán khoá đối xứng phân loại được thực hiện trong phần cứng
Fortezza, sử dụng bởi chính phủ Mỹ;
(10) Triple-DES - mã hoá DES ba lần.

Cơ sở lý thuyết và cơ chế hoạt động của các thuật toán sử dụng về bảo mật bên trên hiện
nay là phổ biến rộng rãi và công khai, trừ các giải pháp thực hiện trong ứng dụng th
ực
hành vào trong các sản phẩm bảo mật (phần cứng, phần dẻo, phần mềm).

Bảo mật của giao thức SSL

Mức độ bảo mật của SSL như trên mô tả phụ thuộc chính vào độ dài khoá hay phụ thuộc
vào việc sử dụng phiên bản mã hoá 40bit và 128bit. Phương pháp mã hoá 40bit được sử
dụng rộng rãi không hạn chế ngoài nước Mỹ và phiên bản mã hoá 128bit chỉ được sử
dụng trong nước M
ỹ và Canada. Theo luật pháp Mỹ, các mật mã "mạnh" được phân loại
vào nhóm "vũ khí" (weapon) và do đó khi sử dụng ngoài Mỹ (coi như là xuất khẩu vũ
khí) phải được phép của chính phủ Mỹ hay phải được cấp giấy phép của Bộ Quốc phòng
Mỹ (DoD). Đây là một lợi điểm cho quá trình thực hiện các dịch vụ thương mại và thanh
toán điện tử trong Mỹ và các nước đồng minh phương Tây và là điể
m bất lợi cho việc sử
dụng các sản phẩm cần có cơ chế bảo mật và an toàn trong giao dịch điện tử nói chung và
thương mại điện tử nói riêng trong các nước khác.

Các phương thức tấn công (hay bẻ khoá) của các thuật toán bảo mật thường dùng dựa
trên phương pháp "tấn công vét cạn" (brute-force attack) bằng cách thử-sai miền không
gian các giá trị có thể của khoá. Số phép thử-sai tăng lên khi độ dài khoá tăng và dẫn đế
n
vượt quá khả năng và công suất tính toán, kể cả các siêu máy tính hiện đại nhất. Thí dụ,
với độ dài khoá là 40bit, thì số phép thử sẽ là 240=1,099,511,627,776 tổ hợp. Tuy nhiên
độ dài khoá lớn kéo theo tốc độ tính toán giảm (theo luỹ thừa nghịch đảo) và dẫn đến khó
có khả năng áp dụng trong thực tiễn. Một khi khoá bị phá, toàn bộ thông tin giao dịch
trên mạng sẽ bị kiểm soát toàn bộ. Tuy nhiên do độ dài khoá lớn (thí dụ 128, 256 bít), số
phép thử-sai trở
nên "không thể thực hiện" vì phải mất hàng năm hoặc thậm chí hàng
nghìn năm với công suất và năng lực tính toán của máy tính mạnh nhất hiện nay.

Ngay từ năm 1995, bản mã hoá 40bit đã bị phá bởi sử dụng thuật toán vét cạn. Ngoài ra,
một số thuật toán bảo mật (như DES 56bit, RC4, MD4, ) hiện nay cũng bị coi là không
an toàn khi áp dụng một số phương pháp và thuật toán tấn công đặc biệt. Đã có một số đề
nghị thay đổi trong luật pháp Mỹ nhằm cho phép sử dụng rộng rãi các phần mềm mã hoá
sử dụng mã hoá 56bit song hiện nay vẫn chưa được chấp thuận.

Một số thách thức và phá khoá về bảo mật

Trong cộng đồng những người làm bảo mật (security), một trong các phương pháp kiểm
tra độ độ bảo mật/an toàn của các thuật toán bảo mật, ngoài cơ sở lý thuyết của thuật
toán, là đưa ra các "thách thức" (challenge) với số tiền thưởng tượng trưng, nhằm kiểm
tra tính thực tiễn của thuật toán. Sau đây là một số thông tin tham khảo:

ã Ngày 14 tháng 7 nǎm 1995, Hal Finney đặt một thách thức SSL đầu tiên một bản ghi
phiên làm việc của trình duyệt Netscape sử dụng thuật toán RC4-128-EXPORT-20. Ngày
16 tháng 8 nǎm 1995, David Byers và Eric Young cùng với Adam Back đã phá thách

thức này trong vòng 2 giờ, chi phí ước tính 10,000 USD.

ã Ngày 19 tháng 8 nǎm 1995, Hal Finney đặt một thách thức SSL thứ hai cho cộng đồng
những người làm mậ
t mã một "key cracking ring" và cũng đã bị phá trong 32 giờ.

ã Ngày 17 tháng 9 nǎm 1995, Ian Goldberg và David Wagner đã phá được thuật toán sinh
số giả ngẫu nhiên (cơ sở cho việc sinh ra số nhận dạng phiên SSL ? session ID) của phiên
bản Netscape 1.1 trong vòng vài giờ trên một máy trạm làm việc. Điều này dẫn đến
Netscape sau đó phải nhanh chóng đưa ra phiên bản để sửa "lỗ hổng" của bảo mật trong
trình duyệt của mình. Hiện nay phiên bản mới nhất của Netscape có khả n
ǎng bảo mật an
toàn cao nhưng chỉ được phép dùng trong phạm vi nước Mỹ.

SSL và ứng dụng thương mại điện tử

Trong thực tiễn, sự hiểu biết của người sử dụng về cơ chế bảo mật được "sắp đặt" trong
các giao dịch điện tử trên mạng Internet là ít ỏi và mờ. Tất cả phần lớn dựa vào sự tin
tưởng (trust), ch
ẳng hạn tên tuổi của các hãng có uy tín (VisaCard, MasterCard, ) và sản
phẩm có tính nǎng tốt của các hãng nổi tiếng (Oracle, Microsoft, Netscape, ). Bảo mật
và an toàn là vấn đề quan trọng trong việc quyết định sự phát triển mạnh mẽ thương mại
điện tử hoặc hiện nay như chính phủ điện tử (e-government) và tạo lòng tin cho khách
hàng và công chúng. Qua phân tích ví dụ của bảo mật trong giao thức SSL, cho ta thấy
mặt khác của vấn đề: khả nǎng lự
a chọn công nghệ và mức độ phụ thuộc vào công nghệ,
khi xây dựng các ứng dụng nền tảng trong đó có hạ tầng bảo mật thông tin.

Việc triển khai các hệ thống ứng dụng sử dụng hạ tầng truyền thông Internet đòi hỏi có
độ bảo mật cao (đặc biệt trong ngân hàng, tài chính, quốc phòng ) cần phải được xây

dựng dựa trên sơ đồ gồm các lớp bảo mật nhiều tầ
ng độc lập (thí dụ: giao thức Giao dịch
điện tử bảo mật SET (Secure Electronic Transaction), Giao thức khoá Internet IKP
(Internet Keyed Protocol) hoặc PGP (Pretty Good Privacy), thậm chí cả phần cứng, nhằm
hạn chế tối đa các "lỗ hổng" bảo mật của hệ thống giao thương điện tử. Ngoài ra cũng cần
lưu ý các sản phẩm về bảo mật ứng dụng hiện nay trên mạng máy tính phần lớn được
phát minh từ
Mỹ, được bảo hộ và kiểm soát chặt chẽ bởi luật pháp Mỹ dẫn đến khi thực
hành xây dựng và triển khai các hệ thống thông tin và giao dịch thương mại điện tử của
chúng ta cần thận trọng và cân nhắc. Sưu tầm .


Khái niệm về Bandwith

1/ Khái niệm :

Trước hết, chúng ta hãy tìm hiểu nghĩa của từ này

Bandwidth, theo Lạc Việt Từ Điển có nghĩa là "dải tần ( dải tần số )", hay theo một số
trang web thì nó là "băng thông". Thực ra nếu những ai hoạt động trong lĩnh vực viễn
thông thì chắc sẽ hiểu rõ hơn về khái niệm này. Tuy nhiên, chúng ta hãy cùng nhau lướt
qua 1 số định nghĩa về bandwidth :

- Khái niệm Bandwidth (the width of a band of electromagnetic frequencies) ( dịch nôm
na là độ rộ
ng của một dải tần số điện từ ), đại diện cho tốc độ truyền dữ liệu của một
đường truyền, hay, chuyên môn một chút, là độ rộng (width) của một dải tần số mà các
tính hiệu điện tử chiếm giữ trên một phương tiện truyền dẫn.

- Nói chung, bandwidth đồng nghĩa với số lượng dữ liệu được truyền trên một đơn v

ị thời
gian. Bandwidth cũng đồng nghĩa với độ phức tạp của dữ liệu đối với khả năng của hệ
thống. Ví dụ, trong 1 giây, download 1 bức ảnh sẽ tốn nhiều bandwidth hơn là download
1 trang văn bản thô ( chỉ có chữ ).

- Trong lĩnh vực viễn thông, bandwidth biểu diễn cho tốc độ truyền dữ liệu (tính theo bit)
trên một giây ( thường gọi là bps ). Vì thế, một modem với 57,600 bps ( thường gọi là
56K modem ) có bandwidth gấp đôi so với 28,800 bps modem.

- Trong từng ngữ cảnh riêng, việc định nghĩa bandwidth lại khác đi một chút, nhưng
chúng ta sẽ không đi quá sâu, mà hãy quay lại với những gì gần gũi với chúng ta, đó là
bandwidth với máy chủ, tác động của nó tới trang web của chúng ta. Và vì vậy, chúng ta
sẽ hiểu một cách đơn giản, càng có nhiều bandwidth, website của chúng ta càng có nhiều
khả năng xử lý các yêu cầu trong một khoảng thời gian nhất định.

2/ Ướ
c lượng bandwidth thích hợp cho website :

Khi lựa chọn 1 host ( xin giữ nguyên từ mà không dịch ), lượng bandwidth mà bạn mua
đóng vai trò quan trọng trong việc thành công của website. Để trả lời cho câu hỏi " Bạn
cần bao nhiêu bandwidth ", trước tiên, bạn cần giải quyết 2 vấn đề sau :

+ Ước lượng độ lớn của mỗi trang web ( ở đây là kích cỡ file tính theo byte )
+ Có bao nhiêu người sẽ xem ?

Chúng ta ước lượng độ lớn của một trang web ( cụ thể là 1 trang HTML ) bằng cách,
cộng kích cỡ của tất cả hình ảnh trong trang web với kích cỡ của trang HTML. Sau đó
chúng ta nhân con số tính được với số người dự tính sẽ xem trang web đó. Để dễ hiểu,
chúng ta lấy một ví dụ. Bạn có 1 trang html có kích cỡ là 5k, trong đó có 3 file ảnh, mỗi
file có độ lớn là 10K. Như vậy, bạn có 10+10+10+5 = 35k dữ liệu. Bạn ước lượng rằng

sẽ có 1000 lượt người xem trang web đó trong 1 tháng, như thế, bandwidth trong một
tháng của bạn sẽ là 35K*1000 = 35000K ( xấp xỉ 34MB ). Với 10 trang web như vậy, bạn
tốn 340MB bandwidth .

Với cách tính như vậy, nếu website của bạn là website cá nhân, 500MB bandwidth là khá
nhiều, nhưng vấn đề sẽ khác nếu bạn có một website lớn, nhiều người truy cập.
Diendantinhoc.net cách đ
ây 1 hay 2 tháng, với 10GB bandwidth, đã quá tải với hàng
nghìn lượt truy cập trong 1 tháng , và không hoạt động được nữa, sau cùng họ phải bỏ bớt
phòng chat đi để tiết kiệm bandwidth. Và nếu diendantinhoc.net là một website thương
mại, thì chắc họ sẽ phải lỗ to khi ngưng hoạt động 1 thời gian như vậy ( May mắn là
không ). Tiết kiệm là quốc sách ! Vậy làm thể nào để tiết kiệm ?

3 / Tiết kiệm bandwidth :

Có 3 điể
m mấu chốt :

+ Giữ cho trang web của bạn càng nhỏ càng tốt : Điều ngày có nghĩa, hãy lưu ý kỹ đến
mã HTML của bạn, cái gì bỏ đi được thì bỏ đi, loại bỏ các khoảng trắng không cần
thiết,vv ( thế mới thấy rõ hơn, HTML thật quan trọng :-p ). Nén hình ảnh của bạn tới
mức có thể. Ví dụ khi thiết kế hình ảnh trong Photoshop, bạn có thể chọn chức năng save
for web, và giảm chất lượng của nó đi miễn là hình ảnh vẫn còn chấp nhận được. Và, nên
nhớ, dùng kiểu JPG cho các bức ảnh ( photos ), kiểu GIF cho các hình đồ hoạ ( graphics
).

+ Sử dụng những hình ảnh không lưu trữ trên máy chủ của bạn : Điều này là khá đơn
giản, khi bạn tìm thấy 1 hình vừa ý ở 1 trang nào đó, thay vì download về và đưa lên máy
chủ của mình, bạn chỉ việc trỏ thẳng tới địa chỉ
của hình đó ( ví dụ <img src =

" ). Tuy nhiên, đối với nhiều nơi, đây là một hành động " ăn cắp
bandwidth ", vì thế trước khi trỏ tới một hình ảnh, hãy chắc rằng bạn được phép làm điều
đó, nếu bạn không muốn bị gắn cho cái mác " kẻ cắp " !.

+ Sử dụng CSS ( Cascading Style Sheets ) : CSS là một trợ thủ đắc lực trong công cuộc
tiết kiệm bandwidth. Thay vì phải gõ đi gõ lại nhiều lần m
ột thuộc tính nào đó, bạn chỉ
việc định dạng nó trong 1 file css, và điều này làm giảm kích cỡ của trang web. Tại sao
lại không nghiên cứu CSS nhỉ ? .

4 / Ngăn chặn việc "đánh cắp bandwidth" :

Đây là một điều quan trọng, khi bạn vừa muốn giữ bản quyền hình ảnh, lại vừa muốn tiết
kiệm bandwidth. Và đây là điều mà đại đa số các webmaster phải giải quy
ết.

+ Kiểm soát : Đây là một cách khá phổ biến. Kiểm soát bằng cách phân tích các máy tìm
kiếm ( search engine ), các file log, và các website khác để xác định, nơi nào, ai, đã và
đang xử dụng bandwidth của bạn mà chưa được phép.

Khi đã xác định được đối tượng, liên lạc với họ và yêu cầu họ ngừng lại việc vi phạm
này. Thật tiếc là không phải cứ yêu cầu là được, mà có thể, họ sẽ cho bạn 1 bài học về cái
gọi là "của chung" trên cộng đồng Internet, và nhất là khi ở Việt Nam, chẳng có điều luậ
t
nào đề cập đến vấn đề này, thật nan giải. Đây quả là một công việc tốn nhiều thời gian và
công sức !.

+ Sử dụng các phần mềm :
Có khá nhiều phần mềm dành cho công việc này, mặc dù ở Việt Nam là chưa phổ biến,
nhưng rất nổi tiếng và được nhắc đến rất nhiều, như WebTrends, Artistscope ,

Digimarc,vv

+ Còn một số phương pháp nữa, hiệu quả hay không là tuỳ thuộc vào kh
ả năng của bạn,
ví dụ như dùng lệnh trong file .htaccess, hoặc sử dụng sức mạnh của các ngôn ngữ lập
trình web như perl, php, vv

5/ Kết :

Nếu bạn chỉ có ý định xây dựng 1 website cá nhân, đem vào đó những tâm tư, sở thích
của mình, với vài chục người bạn ghé thăm, bạn không phải quá quan tâm tới vấn đề này.
Nhưng xin hãy có 1 cái nhìn nghiêm túc nếu bạn muốn thực hiện một cái gì đó l
ớn hơn,
thu hút nhiều người hơn, và nhất là khi bạn muốn trở thành 1 webmaster thực thụ .

Hiểu biết về bandwidth giúp bạn có chiến lược tốt hơn cho website của mình, dễ dàng lựa
chọn khi đăng ký host, và tránh được nhưng rủi ro không đáng có.

Bạn có thể vào website /> để tìm hiểu kỹ hơn về khái niệm này.