Tuần Báo TIN HỌC-Công Nghệ Thông Tin part 124 pdf

Mang tính kỹ thuật nhiều hơn có thể giải thích là, các ứng dụng Web truy vấn
máy chủ chứa nội dung (chủ yếu trên cơ sở dữ liệu lưu trữ nội dung) và tạo tài
liệu Web động để phục vụ yêu cầu của máy khách (chính là người dùng
website). Tài liệu được tạo trong kiểu định dạng tiêu chuẩn hỗ trợ trên tất cả
mọi trình duyệt (như HTML, XHTML). JavaScript là một dạng script client-
side cho phép yếu tố động có ở trên từng trang (như thay đổi ảnh mỗi lần
người dùng di chuột tới). Trình duyệt Web chính là chìa khóa. Nó dịch và
chạy tất cả script, lệnh… khi hiển thị trang web và nội dung được yêu cầu.
Wikipedia, bộ bách khoa toàn thư trực tuyến lớn nhất thế giới hiện nay định
nghĩa Web browser là “máy khách chung cho mọi ứng dụng web”.
Một cải tiến đáng kể khác trong quá trình xây dựng và duy trì các ứng dụng
Web là chúng có thể hoạt dộng mà không cần quan tâm đến hệ điều hành hay
trình duyệt chạy trên các máy client. Ứng dụng Web được triển khai ở bất cứ
nơi nào có Internet, không mất phí tổn, và hầu hết không đòi hỏi yêu cầu cài
đặt cho người dùng cuối.
Con số doanh nghiệp thu được lợi nhuận từ kinh doanh qua Web ngày càng
tăng. Do đó, việc sử dụng ứng dụng Web và các công nghệ liên quan khác sẽ
tiếp tục phát triển. Hơn nữa, khi các mạng Intranet và Extranet được thông
qua, ứng dụng Web trở thành “cứ điểm” lớn trong bất kỳ cơ sở hạ tầng
truyền thông nào của các tổ chức, doanh nghiệp. Phạm vi và khả năng kỹ
thuật, trình độ cao được mở rộng.
Hoạt động như thế nào?
Hình bên dưới minh họa chi tiết mô hình ứng dụng Web ba tầng. Tầng đầu
tiên thông thường là trình duyệt Web hoặc giao diện người dùng. Tầng thứ
hai là công nghệ kỹ thuật tạo nội dung động như Java servlets (JSP) hay
Active Server Pages (ASP). Còn tầng thứ ba là cơ sở dữ liệu chứa nội dung
(như tin tức) và dữ liệu người dùng (như username, password, mã số bảo mật
xã hội, chi tiết thẻ tín dụng).


Hình 1

Error!

Quá trình hoạt động bắt đầu với yêu cầu được tạo ra từ người dùng trên trình
duyệt, gửi qua Internet tới trình chủ Web ứng dụng (Web application Server).
Web ứng dụng truy cập máy chủ chứa cơ sở dữ liệu để thực hiện nhiệm vụ
được yêu cầu: cập nhật, truy vấn thông tin đang nằm trong cơ sở dữ liệu. Sau
đó ứng dụng Web gửi thông tin lại cho người dùng qua trình duyệt.
Hình 2
Các vấn đề bảo mật Web
Mặc dù không thể phủ nhận những cải tiến nâng cao đáng kể hiện nay, nhưng
vấn đề về bảo mật trong ứng dụng Web vẫn không ngừng tăng lên. Nguyên
nhân có thể xuất phát từ các đoạn mã không phù hợp. Nhiều điểm yếu nghiêm
trọng hay các lỗ hổng cho phép hacker xâm nhập thẳng và truy cập vào cơ sở
dữ liệu tách lấy dữ liệu nhạy cảm. Nhiều cơ sở dữ liệu chứa thông tin giá trị
(như chi tiết cá nhân, thông tin tài chính) khiến chúng trở thành đích nhắm
thường xuyên của hầu hết hacker. Mặc dù hoạt động tấn công phá hoại
website doanh nghiệp vẫn diễn ra thường xuyên, nhưng bây giờ tin tặc thích
tăng cường khả năng truy cập dữ liệu nhạy cảm nằm trên trình chủ chứa
database hơn vì lợi nhuận khổng lồ từ các vụ mua bán dữ liệu đem lại.
Trong khung hoạt động mô tả ở trên, bạn có thể thấy thật dễ dàng cho một
hacker truy cập nhanh chóng thông tin nằm trên cơ sở dữ liệu chỉ với một
chút sáng tạo. Nếu may mắn hơn chúng có thể gặp lỗ hổng xuất phát từ sự cẩu
thả hay lỗi người dùng trên các ứng dụng Web.
Như đã nói, website phụ thuộc vào cơ sở dữ liệu để phân phối thông tin được
yêu cầu cho người dùng. Nếu ứng dụng Web không an toàn (như có lỗ hổng,
gặp phải một kiểu kỹ thuật hacking nào đó), toàn bộ cơ sở dữ liệu chứa thông
tin nhạy cảm sẽ gặp nguy hiểm nghiệm trọng.
Một số hacker có thể chèn mã độc hại vào ứng dụng Web có lỗ hổng để lừa
đảo người dùng và dẫn họ tới website phishing. Kỹ thuật này được gọi là
Cross-site Scripting, có thể được dùng ngay cả khi bản thân Web Server và

nơi chứa cơ sở dữ liệu không có lỗ hổng nào.
Một cuộc nghiên cứu gần đây chỉ ra rằng 75% các cuộc tấn công mạng được
thực hiện ở mức ứng dụng Web.
Error!

• Website và các ứng dụng Web liên quan luôn phải sẵn sàng 24/7 để cung cấp
dịch vụ theo yêu cầu khách hàng, yêu cầu từ phía nhân viên, nhà cung cấp và
nhiều người liên quan khác.
• Tường lửa, SSL không thể bảo vệ ứng dụng Web trước mọi hoạt động
hacking, đơn giản vì truy cập vào website phải để ở chế độ public để bất kỳ ai
cũng có thể ghé thăm website được. Tất cả hệ thống cơ sở dữ liệu hiện đại
(như Microsoft SQL Server, Oracle, MySQL) đều có thể truy cập qua một số
cổng cụ thể (như cổng 80, 443). Nếu muốn, một người nào đó có thể kết nối
trực tiếp tới cơ sở dữ liệu một cách hiệu quả khi vượt qua cơ chế bảo mật của
hệ điều hành. Các cổng này để mở nhằm cho phép liên lạc với hoạt động giao
thông mạng hợp pháp, và do đó cũng hình thành nên lỗ hổng lớn nguy hiểm.
• Các ứng dụng Web thường truy cập dữ liệu cuối như cơ sở dữ liệu khách
hàng, điều khiển dữ liệu có giá trị và do đó rất khó để có thể tuyệt đối an toàn.
Lúc này truy cập dữ liệu thường không kèm script cho phép đóng gói và
truyền tải dữ liệu. Nếu một hacker nhận ra điểm yếu trong một script, anh ta
có thể dễ dàng mở lại lưu lượng sang khu vực khác và chia lẻ bất hợp pháp
chi tiết cá nhân người dùng, dù đôi khi không hề chủ tâm làm điều đó
• Hầu hết ứng dụng Web đều là tự tạo, do đó ít có được các kiểm tra trình độ
hơn so với phần mềm cùng loại. Do đó các ứng dụng tùy biến thường dễ bị tấn
công hơn.
Có thể nói ứng dụng Web là một cổng vào (gateway) của cơ sở dữ liệu, nhất là
các ứng dụng tùy biến. Chúng không được phát triển với mức bảo mật tốt
nhất vì không phải qua các kiểm tra bảo mật thông thường. Nói chung, bạn
cần trả lời câu hỏi: “Phần nào trên website chúng ta nghĩ là an toàn nhưng lại
mở cửa cho các cuộc tấn công?” và “Dữ liệu nào chúng ta đem vào một ứng

dụng khiến nó thực hiện một số điều không nên làm?”.
Đó là công việc của phần mềm rà soát lỗ hổng Web.
(Theo Security/QTM)
Skype liệu có an toàn?
Cập nhật lúc 10h07" , ngày 14/03/2007
Có rất nhiều thông tin (trong đó có không ít thông tin thiếu chính xác)
về mức độ nguy hiểm của Skype đối với mạng doanh nghiệp và người
Error!





dùng cá nhân. Vậy thực sự nó nguy hiểm như thế nào? Trong bài này chúng
ta sẽ cùng tìm hiểu.
Hiểu về cấu trúc cơ bản của Skype
Skype là một ứng dụng ngang hàng (P2P), tức là người dùng có thể kết nối
trực tiếp với nhau mà không phải thông qua một máy chủ trung tâm. Ban đầu
Skype sử dụng các server dựa trên nền tảng Internet để thẩm định người
dùng khi đăng nhập và theo dõi trạng thái của họ. Nhưng khi hình thức
“chat” hay chương trình tin nhắn tức thời (Instant Message), các cuộc thoại
máy tính (voice call) và truyền tải file ra đời, hình thức liên lạc được chuyển
sang kết nối trực tiếp P2P. Nếu một hoặc cả hai người dùng nằm phía sau
tường lửa thông dịch địa chỉ mạng doanh nghiệp (Network Address
Translation hay còn gọi là NAT Firewall), liên lạc có thể được tiếp sóng qua
một “Siêu nút” (Supernode). Vì kết nối P2P trực tiếp không thể được thiết lập
sau tường lửa NAT. Trong trường hợp truyền tải file, bạn sẽ thấy có một
thông báo được đưa ra nói rằng quá trình truyền tải đang được tiếp sóng.
Một trong những mối quan tâm hàng đầu của các chuyên gia bảo mật về
Skype là một Skype client có thể tìm ra đường đến quanh cấu hình tường lửa

tổng hợp an toàn quá dễ dàng. Skype sử dụng các cổng 80 và 443, có trong
hầu hết các tường lửa để mở cho các đường dẫn Web. Hơn nữa, Skype còn có
thể định tuyến lại lưu lượng nếu cổng khởi tạo được gán trong quá trình cài
đặt Skype không dùng được. Điều đó gây khó khăn rất nhiều cho việc loại bỏ
Skype ở mức tường lửa, vì các cổng Skype sử dụng có thể thay đổi nếu cần.
Skype cũng mã hoá từng liên lạc với khoá AES 25-bit, tức là mỗi liên lạc sẽ có
một khoá khác nhau trong từng thời điểm bạn thực hiện, khiến việc nghe
trộm các liên lạc hầu như không thể thực hiện được.
Một trong những điểm đáng lưu ý về bảo mật Skype là các “Siêu nút” của nó
(Supernote), có chức năng định tuyến lưu lượng Skype. Một Siêu nút là một
máy tính với cấu hình riêng, kết nối trực tiếp với Internet và không được nằm
sau tường lửa NAT. Chúng phải có một địa chỉ IP có thể định tuyến chung
“thực”. Ngoài một số giới hạn đó, siêu nút có thể là bất kỳ máy tính của người
dùng Skype nào đáp ứng được yêu cầu tối thiểu về phần cứng và cấu hình.
Có rất nhiều thứ bạn có thể học được về cấu trúc bảo mật của Skype. Xem chi
tiết trên website: Skype Security Resource Center.
Skype FUD
Bạn đã hiểu được sơ sơ cách hoạt động của Skype, bây giờ chúng ta sẽ xem
liệu nó có nguy hiểm không và nguy hiểm như thế nào. Có rất nhiều khái niệm
sai lầm về Skype vẫn đang trôi nổi trên thế giới mạng. Dưới đây là 5 khái
niệm sai phổ biến nhất:
+ Skype sử dụng rất nhiều băng thông trên một mạng.
+ Bất kỳ máy tính nào cũng có thể là một Siêu nút.
+ Skype giống như bất kỳ chương trình ứng dụng IM nào và dễ bị tổn thương
bởi các sâu, virus IM.
+ Skype khó có thể gỡ bỏ trên mạng.
+ Skype được mã hoá, không thể truy vấn được các tin nhắn IM.

Chúng ta hãy xem thực hư về những vấn đề này ra sao.
Vấn đề thứ nhất: Skype sử dụng rất nhiều băng thông trên mạng

Thực tế Skype sử dụng rất ít băng thông, chỉ xấp xỉ 30Kbit/giây cho một cuộc
thoại. Nếu một máy tính của người dùng trở thành Siêu nút thì tất nhiên nó sẽ
tiêu thụ mức băng thông cực ký lớn. Nhưng nên nhớ rằng, máy tính của bạn
phải được kết nối trực tiếp với Internet thì mới trở thành Siêu nút được. Còn
hầu hết các máy tính trong doanh nghiệp hay máy tính cá nhân đều phải kết
nối với Internet thông qua các server trung gian. Bởi vậy, vấn đề này thực sự
không đáng lo ngại.
Vấn đề thứ hai: Bất kỳ máy tính nào cũng có thể trở thành Siêu nút
Chúng ta đã biết rằng một máy tính phải có địa chỉ IP có thể định tuyến và
nằm trực tiếp trên mạng Internet mới có thể trở thành Siêu nút.
Nếu máy tính nằm trong một mạng công ty điển hình, được bảo vệ bởi một
tường lửa cung cấp NAT, dùng khung địa chỉ IP riêng 192.168.x.x hoặc
10.x.x.x thì nó không thể trở thành Siêu nút. Các tường lửa NAT và thậm chí
cả các router gia đình giúp ngăn chặn rất nhiều máy tính trở thành Siêu nút.
Vấn đề thứ ba: Skype dễ dàng bị tổn thương bởi các sâu và virus IM
Năm ngoái, theo thống kê của Akaonix Systems cho tới đầu tháng 12 thì có
1.355 sâu và virus tấn công các IM client, nhưng không có loại nào trong số đó
tác động lên Skype. Mặc dù Skype nhận được hai cảnh báo bảo mật trong
năm 2006, bốn cho năm 2005 và một trong năm 2004, nhưng chưa có cảnh
báo nào biến thành lỗ hổng bị khai thác.