bảo mật và an toàn thông tin trong hệ thống mạng cục bộ của cơ quan nhà nước

Bảo mật và an toàn thông tin trong h ệ thống mạng cục bộ của c ơ quan nhà nước
Trang 1
ĐẠI HỌC QUỐC GIA HÀ NỘI
TRƯỜNG ĐẠI HỌC KHOA HỌC TỰ NHIÊN

PHÙNG THỊ THANH MAI
BẢO MẬT VÀ AN TOÀN THÔNG TIN
TRONG HỆ THỐNG MẠNG CỤC BỘ
CỦA CƠ QUAN NHÀ NƯỚC
LUẬN VĂN THẠC SĨ KHOA HỌC
Hà Nội – 2011
Bảo mật và an toàn thông tin trong h ệ thống mạng cục bộ của c ơ quan nhà nước
Trang 2
ĐẠI HỌC QUỐC GIA HÀ NỘI
TRƯỜNG ĐẠI HỌC KHOA HỌC TỰ NHI ÊN

PHÙNG THỊ THANH MAI
BẢO MẬT VÀ AN TOÀN THÔNG TIN
TRONG HỆ THỐNG MẠNG CỤC BỘ
CỦA CƠ QUAN NHÀ NƯ ỚC
Chuyên ngành: Bảo đảm toán học cho máy tính
và hệ thống tính toán
Mã số: 60.46.35
LUẬN VĂN THẠC SĨ KHOA HỌC
Người hướng dẫn khoa học: PGS.TS. Đoàn Văn Ban
Hà Nội – Năm 2011
Bảo mật và an toàn thông tin trong h ệ thống mạng cục bộ của c ơ quan nhà nước
Trang 4
MỤC LỤC
DANH MỤC CÁC THUẬT NGỮ, TỪ VIẾT TẮT 6
DANH MỤC HÌNH VẼ 7

MỞ ĐẦU 8
Chương 1. CÁC PHƯƠNG PHÁP BẢO MẬT THÔNG TIN - TỔNG
QUAN VỀ HỆ MẬT MÃ 12
1.1. Vấn đề bảo mật, an to àn thông tin 12
1.1.1. Bảo vệ an toàn thông tin dữ liệu trong các cơ quan nhà nước 13
1.1.2 Các chiến lược bảo vệ an toàn cho hệ thống mạng máy tính 13
1.1.3. An toàn thông tin b ằng mật mã 16
1.1.4. Vai trò của hệ mật mã .17
1.2. Hệ mật mã 17
1.2.1. Định nghĩa hệ mật mã 17
1.2.2. Những yêu cầu đối với một hệ mật m ã 18
1.2.3. Phân loại hệ mật mã 18
1.3. Mã hóa đối xứng 19
1.3.1. Định nghĩa 19
1.3.2. Chuẩn mã hóa dữ liệu DES 20
1.4. Mã hóa bất đối xứng (mã hóa khóa công khai) 26
1.4.1. Giới thiệu chung 26
1.4.2. Một thuật toán dùng trong hệ mật mã khoá công khai: RSA 28
1.5. Mã hóa RSA 29
1.5.1. Sự ra đời của hệ mật mã RSA 29
1.5.2. Mô tả thuật toán 29
1.5.3. Hàm băm (hash) 30
1.5.4. Chứng chỉ số 35
1.6. Kết chương 44
Chương 2. CHỮ KÝ SỐ 46
2.1. Chữ ký điện tử 46
2.2. Chữ ký số 46
2.3.1. Lược đồ chữ ký kèm thông điệp 48
2.3.2. Lược đồ chữ ký khôi phục thông điệp 49
2.4. Một số lược đồ chữ ký cơ bản 51

Bảo mật và an toàn thông tin trong h ệ thống mạng cục bộ của c ơ quan nhà nước
Trang 5
2.4.1. Lược đồ chữ ký RSA 51
2.4.2. Lược đồ chữ ký DSA (Digital Signature Standard) 53
2.5. Hai lược đồ chữ ký khả thi 58
2.6. Các phương pháp t ấn công chữ ký điện tử 58
2.7. Kết chương 59
Chương III. BẢO MẬT GỬI, NHẬN TH Ư ĐIỆN TỬ (EMAIL) V À
TRUYỀN TẢI VĂN BẢN GIỮA CÁC C Ơ QUAN NHÀ NƯ ỚC 60
3.1. Tổng quan về gửi/nhận Email v à truyền tải văn bản qua mạng 60
3.2. Các đặc trưng của gửi/nhận Email v à truyền tải văn bản trong hệ
thống mạng cục bộ và qua mạng Internet 60
3.3. Các hình thức hoạt động chủ yếu của gửi/nhận Email v à truyền tải
văn qua mạng 60
3.4. Bảo mật, chứng thực việc gửi/nhận Email v à truyền tải văn bản . 61
3.4.1. Bảo mật việc gửi/nhận Email và truyền tải văn bản qua mạng 61
3.4.2. Các khía cạnh an toàn . 63
3.4.3. Các kỹ thuật đảm bảo an to àn cho gửi/nhận Email và truyền tải
văn bản .64
3.5. Chương trình ứng dụng 65
3.5.1. Thuật toán RSA triển khai quá tr ình xác nhận bằng cách sử dụng
chữ ký điện tử 66
3.5.2. Giới thiệu phần mềm m ã hóa PGP (Pretty Good Privacy) 66
3.5.3. Hoạt động của PGP 67
3.5.4. Cơ chế hoạt động của PGP 70
3.5.5. Vấn đề bảo mật của PGP 73
3.5.6. Phần mềm mã hóa PGP 74
3.5.7. Xuất khóa công khai (Public PGP Key) 79
3.5.8. Nhập khóa công khai PGP key 80
3.5.9. Kiểm tra việc mã hóa file sẽ gửi dùng PGP encryption 81

3.5.10. Dùng chữ ký số cho việc gửi/nhận Email 84
3.6. Kết chương 91
KẾT LUẬN VÀ HƯỚNG PHÁT TRIỂN 91
TÀI LIỆU THAM KHẢO 93
Bảo mật và an toàn thông tin trong h ệ thống mạng cục bộ của c ơ quan nhà nước
Trang 6
DANH MỤC CÁC THUẬT NGỮ, TỪ VIẾT TẮT
CA Certificate Authority – Cơ quan chứng thực chữ ký số
DS Digital Signature s - Chữ ký số
DSA Digital Signature Algorithm - Giải thuật ký điện tử
DES Data Encryption Standard – Chuẩn mã hóa dữ liệu
DSS Digital Signature Standard - Chuẩn chữ ký số
EMAIL Electronic Mail - Thư điện tử
FTP File Transfer Protocol – Giao thức truyền tệp
Hacker Người đột nhập vào máy tính và phá ho ại máy tính (tin tặc)
HTTP Hypertext Transfer Protocol – Giao thức truyền siêu văn bản
ID Chỉ danh người dùng trên mạng
MD5 Message Digest algorithm 5 - giải thuật của hàm băm
Router Thiết bị cho phép gửi các gói dữ liệu dọc theo mạng
RSA Rivest, Shamir and Adleman - Giải thuật mã hóa công khai
PGP Pretty Good Privacy – Phần mềm mã hóa dữ liệu và xác thực
PKI Public Key Infrastructure – Cơ sở hạ tầng khóa công khai
SHA Secure Hash Algorithm – Giải thuật băm an toàn
S-HTTP Secure Hypertext Transfer Protoco - Giao thức truyền siêu VB an toàn
SSL Secure Socket Layer - Giao thức an ninh thông tin
UBND Ủy ban nhân dân
TCP/IP Transmission Control Protocol/Internet Protocol - một hệ thống
các giao thức hỗ trợ việc truyền thông tin tr ên mạng
WEB Một loại siêu văn bản (tập tin dạng HTML hoặc XHTML) tr ình
bày thông tin trên mạng Internet, tại một địa chỉ nhất định

Bảo mật và an toàn thông tin trong h ệ thống mạng cục bộ của c ơ quan nhà nước
Trang 7
DANH MỤC HÌNH VẼ
Hình 1.1: Các mức độ bảo vệ trên mạng máy tính… …………………….13
Hình 1.2: Sơ đồ mã hóa khóa đối xứng…………………………………… 17
Hình 1.3: Một vòng của DES……………………………………………… 19
Hình 1.4: Hàm f của DES……………………………………………………21
Hình 1.5: Sơ đồ thuật toán tạo các khóa từ K1 đến K16 ……………… …… 22
Hình 1.6: Sơ đồ mô tả chi tiết DES………………………………………….22
Hình 1.7: Sơ đồ mô tả bản băm thông điệp……………………………… .30
Hình 1.8a: Đường đi đúng của thông t in…………………………………….31
Hình 1.8b: Thông tin b ị lấy trộm và đã bị thay đổi trên đường truyền …31
Hình 1.9: Sơ đồ tạo chữ ký số………………………………………… … 33
Hình 1.10: Sơ đồ xác nhận chữ ký số…………….…………………….……33
Hình 1.11: Dùng mật khẩu xác thực máy khách kết nối tới máy dịch vụ … 35
Hình 1.12. Chứng thực của máy khách kết nối tới máy dịch vụ……….……37
Hình 1.13: Sơ đồ hoạt động của Hệ thống c ấp chứng chỉ khóa công khai ….39
Hình 1.14: Mô hình dây ch uyền chứng thực…………………… ……… …41
Hình 2.1: Lược đồ chữ ký kèm thông điệp…………… ………………… 47
Hình 2.2: Lược đồ chữ ký khôi phục thông điệp…………………………….48
Hình 2.3: Lược đồ chữ ký DSA…………………………………………… 51
Hình 3.1: Sơ đồ mã hóa khóa công khai…………. ……………………… 66
Hình 3.2: Sơ đồ của PGP sinh ra chuỗi ký tự m ã……….…………… ……70
Hình 3.3: Sơ đồ của PGP tiếp nhận chuỗi ký tự m ã……….… ……………70
Bảo mật và an toàn thông tin trong h ệ thống mạng cục bộ của c ơ quan nhà nước
Trang 8
MỞ ĐẦU
1. Lý do chọn đề tài
Bảo mật và bảo đảm an toàn thông tin dữ liệu đang là vấn đề thời sự
được nhiều nhà khoa học tập trung nghi ên cứu, là một chủ đề rộng có li ên

quan đến nhiều lĩnh vực ; trong thực tế có thể có nhiều phương pháp được
thực hiện để đảm bảo an to àn thông tin dữ liệu. Ngày nay, với sự phát triển
nhanh chóng của hạ tầng truyền thông, ng ười sử dụng dựa trên nền tảng này
để truyền các thông tin trên mạng thì các nguy cơ xâm nhập vào các hệ thống
thông tin, các mạng dữ liệu ngày càng gia tăng. Nhiều chuyên gia đang tập
trung nghiên cứu và tìm mọi giải pháp để đảm bảo an to àn, an ninh cho hệ
thống, đặc biệt là các hệ thống mạng máy tính trong các c ơ quan nhà nước.
Việc bảo mật cho hệ thống mạng máy tính có thể thực hiện theo nhiều
phương diện, ở nhiều tầng khác nhau, bao gồm từ ph ương diện kiểm soát truy
nhập vật lý vào hệ thống; thực hiện sửa chữa, cập nhật, nâng cấp hệ điều hành
cũng như vá mọi lỗ hổng về an ninh, quản lý các hoạt động gửi /nhận Email và
truyền tải văn bản tr ên mạng (Giám sát qua t ường lửa, các bộ định vị Router,
phát hiện và phòng ngừa sự xâm nhập,…); xây dựng các giải pháp bảo mật ở
mỗi phần mềm để quản lý người dùng thông qua vi ệc cấp quyền sử dụng, mật
khẩu, mật mã, mã hóa dữ liệu để che giấu thông tin. Nếu không có sự bảo vệ
phụ trợ, như mã hóa dữ liệu thì môi trường Internet thực sự không phải là nơi
an toàn để trao đổi dữ liệu và các tài liệu thông tin mật.
Với sự phát triển ngày càng nhanh và mạnh của Internet nh ư hiện nay
thì việc sử dụng chữ ký số c àng có nhiều ứng dụng trong thực tế . Việc sử
dụng chữ ký số là hết sức quan trọng và cần thiết trong việc gửi /nhận các văn
bản gửi qua hệ thống thư điện tử, qua hệ thống hỗ trợ quản lý, điều h ành, tác
nghiệp. Chữ ký số, cơ sở hạ tầng khóa công khai (PKI) c ùng các tiêu chuẩn và
ứng dụng của nó có thể làm thay đổi phương thức và nâng cao hiệu quả làm
Bảo mật và an toàn thông tin trong h ệ thống mạng cục bộ của c ơ quan nhà nước
Trang 9
việc của cán bộ trong các c ơ quan nhà nước để đáp ứng công tác điều hành,
quản lý trong giai đoạn hiện nay. Mô hình chữ ký số đảm bảo an toàn dữ liệu
khi gửi, nhận trên mạng và đươc sử dụng để tạo chứng nhận điện tử trong các
thông tin được truyền đi trên mạng Internet. Ngày nay, hệ mã hóa thường
được sử dụng để xây dựng các l ược đồ chữ ký số, đó l à hệ mã hóa RSA.

Chính vì những vấn đề thực tiễn tr ên, luận văn: ”Bảo mật và an toàn thông
tin trong hệ thống mạng cục bộ của cơ quan nhà nước” tập trung nghiên
cứu một trong những ph ương pháp bảo vệ an toàn thông tin dữ liệu có tính an
toàn cao hiện nay, đó là dùng hệ mã hóa khóa công khai, các ch ứng chỉ số,
chữ ký số trong việc xác thực thông tin truyền tải trên mạng và cài đặt ứng
dụng để đảm bảo an toàn thông tin trong hệ thống mạng máy tính của cơ quan
nhà nước.
2. Mục đích nghiên cứu
Luận văn tập trung n ghiên cứu về các giải pháp an toàn thông tin, hệ
mật mã, chú trọng nghiên cứu khóa công khai, ch ữ ký số và ứng dụng của chữ
ký số, mã hoá dữ liệu để bảo mật, an toàn thông tin c ủa các cơ quan nhà nước
hiện nay trong các giao dịch gửi, nhận thư điện tử và truyền tải văn bản trong
hệ thống mạng cục bộ.
3. Đối tượng và phạm vi nghiên cứu
Luận văn nghiên cứu các khái niệm của lý thuyết mật m ã, thuật toán mã
hóa đối xứng (như DES), bất đối xứng (như mật mã khóa công khai RSA ),
chữ ký số, chứng chỉ số, ứng dụng chữ ký số trong gửi /nhận Email và truyền
tải văn bản qua mạng.
4. Phương pháp nghiên cứu
+ Tiếp cận phân tích v à tổng hợp: Đọc tài liệu, tổng hợp lý thuyết, phân
tích lý thuyết về Hệ mật mã đối xứng, hệ mật mã bất đối xứng (hệ mật m ã
khóa công khai), chữ ký số, sử dụng chữ ký số để bảo mật các hệ thống dùng
Bảo mật và an toàn thông tin trong h ệ thống mạng cục bộ của c ơ quan nhà nước
Trang 10
chung đang được quản lý tại Trung tâm tích hợp dữ liệu của tỉnh với một số
tính năng cơ bản như: có cơ chế phân bổ khóa tự động , mã hóa các thông tin
cần thiết khi gửi/nhận các thông tin;
+ Tiếp cận theo định tính v à định lượng: Nghiên cứu cơ sở khoa học của
mã hóa, chữ ký số của các tác giả trong v à ngoài nước, các bài báo, thông tin
trên mạng, tìm hiểu các mô hình bảo mật, chứng chỉ số…từ đó trình bày theo

ý tưởng của mình và đề xuất các giải pháp bảo m ật, an toàn thông tin trong
gửi/nhận dữ liệu qua mạng Internet của các cơ quan nhà nước trên địa bàn.
+ Cài đặt phần mềm ứng dụng bảo mật PGP để làm nổi bật tính ứng
dụng của hệ mã hóa gửi/nhận Email qua Hệ thống thư điện tử của tỉnh và trao
đổi các tệp dữ liệu trong mạng Hệ thống điều hành, quản lý văn bản của Sở .
Trên cơ sở nghiên cứu các cơ chế, chính sách sẽ đăng ký với Ban cơ yếu
Chính phủ cấp chứng chỉ số cho Sở Thông tin và Truyền thông Thái Bình. Từ
đó rút kinh nghiệm và nhân rộng việc triển khai sử dụng chữ ký số tới các sở,
ban, ngành, UBND các huy ện, thành phố trên địa bàn tỉnh Thái Bình trong
năm 2012 và các năm ti ếp theo.
5. Bố cục Luận văn
Luận văn được trình bày trong ba ch ương:
- Chương 1. Nghiên cứu các vấn đề về bảo mật, an toàn thông tin dữ
liệu và các chiến lược bảo vệ an toàn cho hệ thống mạng máy tính trong các
cơ quan nhà nước; nghiên cứu tổng quan về hệ mật mã, phương pháp mã hóa
đối xứng, mã hóa bất đối xứng và sự ra đời của hệ mật m ã khóa công khai
RSA, đó là cơ sở khoa học cho việ c sử dụng chữ ký số v ào việc bảo mật và
xác thực thông tin.
- Chương 2. Nghiên cứu các lược đồ chữ ký số, tìm ra hai lược đồ chữ
ký số khả thi đồng thời nghiên cứu các phương pháp tấn công chữ ký điện tử .
Bảo mật và an toàn thông tin trong h ệ thống mạng cục bộ của c ơ quan nhà nước
Trang 11
- Chương 3. Giới thiệu tổng quan, các đặc tr ưng, yêu cầu của việc bảo
mật và chứng thực trong việc gửi/nhận thư điện tử và truyền tải văn bản trong
trong hệ thống mạng cục bộ của các cơ quan nhà nước hiện nay; nghiên cứu,
cài đặt phần mềm ứng dụng PGP với các c ơ chế xuất, nhập khóa công khai,
mã hóa file và dùng chữ ký số trong phần mềm ứng dụng PGP.
Bảo mật và an toàn thông tin trong h ệ thống mạng cục bộ của c ơ quan nhà nước
Trang 12
Chương 1. CÁC PHƯƠNG PHÁP BẢO MẬT THÔNG TIN

TỔNG QUAN VỀ HỆ MẬT MÃ
1.1. Vấn đề bảo mật, an to àn thông tin
Ngày nay, với sự phát triển mạnh mẽ của công nghệ thông tin việc ứng
dụng các công nghệ bảo mật tr ên mạng máy tính càng trở nên phổ cập và vô
cùng cần thiết. Sự xuất hiện mạng Internet cho phép mọi ng ười có thể truy
cập, chia sẻ và khai thác thông tin m ột cách dễ dàng và hiệu quả. Sự phát triển
mạnh mẽ của Internet về mặt bản chất chính l à việc đáp ứng lại sự gia tăng
không ngừng của nhu cầu gửi/ nhận Email và truyền tải văn bản trên hệ thống
mạng toàn cầu. Các giao dịch tr ên Internet trong các cơ quan nhà nước chủ
yếu là để gửi/nhận Email và truyền tải văn bản nh ư tệp văn bản, massage, trao
đổi tài liệu thông qua Hệ thống quản lý văn bản, điề u hành, tác nghiệp. Nhu
cầu gửi/nhận Email và truyền tải văn bản, dữ liệu trong các cơ quan nhà nư ớc
ngày càng lớn và đa dạng; cơ sở hạ tầng công nghệ thông tin trong các c ơ
quan nhà nước cũng không ngừng đ ược phát triển, mở rộng để nâng cao chất
lượng và lưu lượng truyền tin th ì các biện pháp bảo vệ an to àn thông tin dữ
liệu khi trao đổi trên mạng cũng ngày càng được đổi mới.
Tuy nhiên vấn đề an toàn thông tin càng tr ở nên cấp bách hơn khi có
Internet. Internet có nh ững kỹ thuật cho phép mọi ng ười truy cập, khai thác v à
chia sẻ thông tin với nhau. Nh ưng nó cũng là nguy cơ chính d ẫn đến thông tin
dễ bị hư hỏng hay bị phá hủy ho àn toàn. Sở dĩ có lí do đó l à vì việc truyền
thông tin qua mạng Internet hiện nay chủ yếu sử dụng giao thức TCP/IP.
TCP/IP cho phép các thông tin t ừ máy tính này tới máy tính khác phải đi qua
một loạt các máy tính tr ung gian hoặc các mạng riêng biệt trước khi nó tới
được đích. Chính vì vậy, giao thức TCP/IP đ ã tạo cơ hội cho bên thứ ba có thể
thực hiện các hành động gây mất an toàn thông tin trong khi th ực hiện việc
truyền thông tin trên mạng.
Bảo mật và an toàn thông tin trong h ệ thống mạng cục bộ của c ơ quan nhà nước
Trang 13
Để vừa đảm bảo tính bảo mật của thông tin v à tăng cường sự trao đổi,
quản lý, điều hành giữa các cơ quan nhà nước trong việc gửi/nhận Email và

truyền tải văn bản qua mạng , giảm bớt giấy tờ th ì chúng ta phải có các giải
pháp phù hợp. Hiện có rất nhiều giải pháp cho vấn đề an to àn thông tin trên
mạng như mã hóa thông tin, ch ữ ký điện tử, chứ ng chỉ số, sử dụng tường lửa,
bảo vệ vật lý, dùng mật khẩu để kiểm soát quyền truy cập …
1.1.1. Bảo vệ an toàn thông tin dữ liệu trong các c ơ quan nhà nước
Chủ yếu theo 03 phương pháp sau:
- Bảo vệ an toàn thông tin bằng các biện pháp h ành chính.
- Bảo vệ an toàn thông tin bằng các biện pháp kỹ thuật (phần cứng).
- Bảo vệ an toàn thông tin bằng các biện pháp thuật toán (phần mềm).
Ba phương pháp trên có th ể được ứng dụng riêng rẽ hoặc phối kết hợp .
Môi trường khó bảo vệ an to àn thông tin nhất là môi trường mạng và truyền
tin. Biện pháp hiệu quả nhất hiện nay tr ên mạng truyền tin và mạng máy tính
là biện pháp dùng thuật toán để mã hóa. Trong th ực tế không có một biện
pháp bảo vệ an toàn thông tin dữ liệu nào là an toàn tuyệt đối cả.
1.1.2 Các chiến lược bảo vệ an toàn cho hệ thống mạng máy tính
- Thực hiện nguyên tắc bất kỳ một máy tính n ào cùng chỉ được sử dụng
một số tài nguyên mạng nhất định trong hệ thống.
- Trong một hệ thống mạng n ên tạo nhiều cơ chế an toàn để tương hỗ
lẫn nhau.
- Cần tạo ra nút thắt trong hệ thống để cho phép thông tin đi v ào hệ
thống bằng con đường duy nhất vì vậy phải tổ chức một c ơ cấu kiểm soát và
điều khiển thông tin đi qua nút thắt n ày song phải chú ý đến mức độ an to àn
vật lý của hệ thống mạng máy tính
- Cần phải sử dụng nhiều biện pháp bảo vệ khác nhau cho hệ thống v à
cho cả các hệ thống khác nhau nếu không một hệ thống bị tấn công th ì các hệ
thống khác cũng dễ dàng bị tấn công.
Bảo mật và an toàn thông tin trong h ệ thống mạng cục bộ của c ơ quan nhà nước
Trang 14
- Các mức độ bảo vệ trên mạng: Sử dụng đồng thời nhiều mức bảo vệ
khác nhau tạo thành nhiều hàng rào chắn. Việc bảo vệ thông tin tr ên mạng

máy tính chủ yếu là bảo vệ thông tin cất giữ trong máy tính, đặc biệt l à các
máy chủ của hệ thống. Bởi thế ngo ài một số biện pháp nhằm chống thất thoát
thông tin trên đường truyền cần tập trung v ào việc xây dựng các r ào chắn cho
các hệ thống kết nối vào mạng. Thông thường có các mức bảo vệ sau:
1.1.2.1. Quyền truy nhập
Lớp bảo vệ trong c ùng là quyền truy nhập nhằm mục đích: kiểm soát
các tài nguyên của mạng và quyền hạn của các máy tính tr ên tài nguyên đó.
Dĩ nhiên là kiểm soát được các cấu trúc dữ liệu c àng chi tiết càng tốt. Hiện tại
việc kiểm soát thường ở mức tệp.
1.1.2.2. Đăng ký tên /mật khẩu
Thực ra đây cũng l à mức kiểm soát quyền truy nhập, nhưng
không phải truy nhập ở mức thông tin m à ở mức hệ thống. Đây l à phương
pháp bảo vệ phổ biến nhất v ì nó đơn giản và cũng rất hiệu quả. Khi ng ười sử
dụng muốn được tham gia vào hệ thống để sử dụng tài nguyên đều phải đăng
ký tên và mật khẩu trước. Người quản trị hệ thống có trách nhiệm quản lý,
kiểm soát mọi hoạt động của hệ thống v à xác định quyền truy nhập của những
người sử dụng khác.
1.1.2.3. Mã hoá dữ liệu
Để bảo mật thông tin tr ên đường truyền người ta sử dụng các ph ương
pháp mã hoá. Đây là lớp bảo vệ thông tin rất quan trọng. Việc bảo vệ các
kênh truyền thông là một thành phần rất quan trọng đồng nghĩa với việc đảm
bảo tính toàn vẹn của dữ liệu và tính sẵn sàng của kênh truyền thông.
1.1.2.4. Bảo vệ vật lý
Ngăn cản các truy nhập vật lý v ào hệ thống đồng thời có nội quy ngăn
cấm người không có phận sự vào phòng đặt máy chủ.
1.1.2.5. Tường lửa
Bảo mật và an toàn thông tin trong h ệ thống mạng cục bộ của c ơ quan nhà nước
Trang 15
Hình 1.1: Các mức độ bảo vệ trên mạng máy tính
Để ngăn chặn những thâm nhập trái phép tr ên mạng Internet, người ta

thường thiết lập các điểm truy cập tới một mạng cục bộ v à kiểm tra tất cả các
luồng truyền tin vào/ra khỏi điểm truy nhập đó. Phần cứng v à phần mềm giữa
mạng Internet và mạng cục bộ dùng để kiểm tra tất cả dữ liệu v ào/ra, được gọi
là tường lửa.
Tường lửa đơn giản nhất là một bộ lọc gói tin kiểm tra từng gói tin
vào/ra khỏi mạng trên nguyên tắc sử dụng một tập hợp các quy tắc để kiểm
tra xem luồng truyền tin có đ ược phép vào/ra khỏi mạng hay không? Kỹ thuật
lọc gói tin thường dựa trên các địa chỉ mạng và các số hiệu cổng để bảo vệ
một máy tính và cả hệ thống.
Sau đây là sơ đồ các mức độ bảo v ệ trên hệ thống mạng:
Tường lửa (FireWall)
Bảo vệ vật lý (Physical protect )
Mã hoá dữ liệu (Data Encryption)
Đăng ký và mật khẩu (Login/Password)
Quyền truy nhập (Access Rights)
Thông tin (Information)
Bảo mật và an toàn thông tin trong h ệ thống mạng cục bộ của c ơ quan nhà nước
Trang 16
1.1.2.6. Quản trị mạng.
Công tác quản trị mạng cần phải đ ược thực hiện một cách khoa học đảm
bảo các yêu cầu sau :
- Toàn bộ hệ thống hoạt động b ình thường trong giờ làm việc.
- Có hệ thống dự phòng khi xảy ra sự cố về phần cứng hoặc phần mềm.
- Sao lưu (Backup) d ữ liệu quan trọng theo định kỳ.
- Bảo dưỡng mạng theo định kỳ.
- Bảo mật dữ liệu, phân quyền truy cập, tổ chức nhóm l àm việc trên hệ
thống mạng.
1.1.3. An toàn thông tin b ằng mật mã
Mật mã là một ngành khoa học chuyên nghiên cứu các phương pháp
truyền tin bí mật bao gồm hai quá trình: mã hóa và gi ải mã. Để bảo vệ thông

tin trên đường truyền người ta thường biến đổi thông tin tr ước khi truyền đi
trên mạng gọi là mã hoá thông tin (encry ption), ở trạm nhận phải thực hiện
quá trình ngược lại được gọi là giải mã thông tin.
Để bảo vệ thông tin bằng mật m ã người ta thường tiếp cận theo
hai hướng: theo đường truyền (Link_Oriented_Security) và từ nút đến nút
(End_to_End).
Theo cách thứ nhất thông tin được mã hoá để bảo vệ trên đường truyền
giữa hai nút mà không quan tâm đ ến nguồn và đích của thông tin đó. L ưu ý
rằng đối với cách này thông tin chỉ được bảo vệ trên đường truyền, tức là ở
mỗi nút đều có quá tr ình giải mã sau đó mã hoá để truyền đi tiếp, do đó các
nút cần phải được bảo vệ tốt.
Ngược lại theo cách thứ hai thông tin tr ên mạng được bảo vệ trên toàn
đường truyền từ nguồn đến đích. Thông tin sẽ đ ược mã hoá ngay sau khi mới
tạo ra và chỉ được giải mã khi về đến đích. Cách này có như ợc điểm là chỉ có
dữ liệu của người dùng thì mới có thể mã hóa được, còn dữ liệu điều khiển th ì
giữ nguyên để có thể xử lý tại các nút.
Bảo mật và an toàn thông tin trong h ệ thống mạng cục bộ của c ơ quan nhà nước
Trang 17
1.1.4. Vai trò của hệ mật mã
- Dùng để che giấu nội dung của văn bản r õ: để đảm bảo sao cho chỉ
người chủ hợp pháp của thông tin mới có quyền truy cập thông tin, hay nói
cách khác là chống truy nhập không đúng quyền hạn.
- Tạo các yếu tố xác thực thông tin: đảm bảo thông tin l ưu hành trong hệ
thống dến người nhận hợp pháp l à xác thực. Tổ chức các sơ đồ chữ ký điện
tử, đảm bảo không có hiện t ượng giả mạo, mạo danh để gửi thông tin tr ên
mạng.
Ưu điểm lớn nhất của bất kỳ hệ mật m ã nào đó là có thể đánh giá được
độ phức tạp tính toán phải giải quyết b ài toán để có thể lấy được thông tin của
dữ liệu đã được mã hoá.
1.2. Hệ mật mã

Trong mô hình hệ mật mã, yếu tố quan trọng nhất l à khóa, nó quyết
định đến độ mật của hệ mật m ã và độ đo về tính an toàn của hệ mật mã liên
quan đến nỗ lực tính toán cần thiết để phá m ã của hệ mật và được tiến hành
theo phương thức quy độ an toàn của hệ mật mã đó về một bài toán có độ
phức tạp tính toán không thuộc lớp P.
1.2.1. Định nghĩa hệ mật m ã [1][5]
Một hệ mật mã là một bộ 5 (P,C,K,E,D) thoả m ãn các điều kiện sau:
- P (Plaintext) là một tập hợp hữu hạn các bản r õ và được gọi là không
gian bản rõ.
- C (Ciphertext) là tập các hữu hạn các bản m ã và được gọi là không
gian các bản mã.
- K (Key) là tập hữu hạn các khoá hay c òn gọi là không gian khoá. Đ ối
với mỗi phần tử k của K đ ược gọi là một khoá (Key). Số lượng của không
gian khoá phải đủ lớn để không có đủ thời gian thử mọi khoá;
- E (Encrytion) là t ập hợp các qui tắc m ã hóa có thể.
Bảo mật và an toàn thông tin trong h ệ thống mạng cục bộ của c ơ quan nhà nước
Trang 18
- D (Decrytion) là t ập hợp các qui tắc giải m ã có thể.
Đối với mỗi k

K có một quy tắc mã e
k
: P → C và một quy tắc giải mã
tương ứng d
k

D. Mỗi e
k
: P → C và d
k

: C → P là những hàm mà: d
k
(e
k
(x)) = x
với mỗi x

P.
Chúng ta đã biết một thông tin thường được tổ chức dưới dạng bản rõ.
Người gửi sẽ làm nhiệm vụ mã hoá bản rõ, kết quả thu được gọi là bản mã.
Bản mã này được gửi đi trên một đường truyền tới người nhận, sau khi nhận
được bản mã người nhận giải mã nó để tìm hiểu nội dung.
Thuật toán dùng khi sử dụng định nghĩa hệ mật m ã:
e
k
(C) = P, d
k
(P) = C
1.2.2. Những yêu cầu đối với một hệ mật m ã
- Độ tin cậy: Cung cấp sự bí mật cho các thông tin và dữ liệu được lưu
bằng việc sử dụng các kỹ thuật m ã hóa.
- Tính toàn vẹn: Cung cấp sự bảo đảm với tất cả các b ên rằng thông tin
không bị thay đổi từ khi gửi cho tới khi ng ười nhận mở ra.
- Không bị chối bỏ: Người gửi không thể từ chối việc đ ã gửi thông tin đi.
- Tính xác thực: Người nhận có thể xác minh được nguồn tin mình nhận
được là đúng đối tác của mình gửi hay không.
1.2.3. Phân loại hệ mật mã
Dựa vào cách truyền khóa có thể phân các hệ mật m ã thành hai loại:
- Hệ mật đối xứng (hay còn gọi là mật mã khóa bí mật): là những hệ mật
dùng chung một khoá cả trong quá trình mã hoá dữ liệu và giải mã dữ liệu.

Do đó khoá phải được giữ bí mật tuyệt đ ối.
- Hệ mật mã bất đối xứng (hay còn gọi là mật mã khóa công khai) các
hệ mật này dùng một khoá để mã hoá sau đó dùng một khoá khác để giải mã,
nghĩa là khoá để mã hoá và giải mã là khác nhau. Các khoá này t ạo nên từng
cặp chuyển đổi ngược nhau và không có khoá nào có th ể suy được từ khoá
Bảo mật và an toàn thông tin trong h ệ thống mạng cục bộ của c ơ quan nhà nước
Trang 19
kia. Khoá dùng đ ể mã hoá có thể công khai nhưng khoá dùng đ ể giải mã phải
giữ bí mật. Trong hệ mật này, việc phân phối khóa và thỏa thuận khóa được
giải quyết một cách tự động , nếu một người trong hệ thống muốn gửi thông
điệp cho B, họ lấy khóa công khai của B tr ên mạng để mã hóa thông điệp và
gửi đến cho B, B dùng khóa bí mật để giải mã thành thông điệp ban đầu.
1.3. Mã hóa đối xứng
1.3.1. Định nghĩa
Thuật toán khóa đối xứng l à thuật toán trong đó các khóa d ùng cho việc
mã hóa và giải mã có quan hệ rõ ràng với nhau (Có thể dễ d àng tìm được một
khóa nếu biết khóa kia).
Trong rất nhiều trường hợp, khóa để mã hóa và khóa giải mã là giống
nhau hoặc chỉ khác nhau nhờ một biến đổi giữa hai khóa. Thuật toán n ày còn
có nhiều tên gọi khác như thuật toán khóa bí mật, thuật toán khóa đ ơn giản,
Thuật toán này yêu cầu người gửi và người nhận phải thỏa thuậ n một khóa
trước khi văn bản được gửi đi, và khóa này phải được cất giấu bí mật. Độ an
toàn của thuật toán này vẫn phụ thuộc vào khóa, nếu để lộ ra khóa này nghĩa
là bất kì người nào cũng có thể mã hóa và giải mã các văn bản trong hệ thống
mã hóa. Sự mã hóa và giải mã của thuật toán [1] được mô tả như sau: E
K
(P) =
C và D
K
(C) = P

Hình1.2: Sơ đồ mã hóa khóa đối xứng
Các vấn đề đối với phương pháp mã hóa đối xứng:
Mã hóa
Khóa
Giải mã
Bản rõ
Bản rõ
Bản mã
Bảo mật và an toàn thông tin trong h ệ thống mạng cục bộ của c ơ quan nhà nước
Trang 20
Phương pháp mã hóa đối xứng đòi hỏi người mã và người giải mã phải
cùng dùng chung một khóa. Khi đó khóa phải đ ược giữ bí mật tuyệt đối, do
vậy ta dễ dàng xác định một khóa nếu biết khóa kia.
Hệ mã hóa khóa đối xứng không an to àn nếu khóa bị lộ với xác suất cao.
Trong hệ này, khoá phải được gửi đi trên kênh an toàn. Do v ậy, vấn đề quản
lý và phân phối khóa là khó khăn và ph ức tạp khi sử dụng hệ mã hóa khóa đối
xứng. Người gửi và người nhận luôn phải thống nhất với nhau về khóa. Việc
thay đổi khóa là rất khó và dễ bị lộ.
1.3.2. Chuẩn mã hóa dữ liệu DES
1.3.2.1. Giới thiệu
DES (Data Encryption Standard) là một thuật toán mã hoá khối (block
algorithm), nó mã hoá m ột khối dữ liệu 64 bits bằng một khoá 56 bits. Một khối
bản rõ 64 bits đưa vào thực hiện, sau khi mã hoá, dữ liệu ra là một khối bản mã
64 bits. Cả mã hoá và giải mã đều sử dụng cùng một thuật toán và khoá [5]
Nền tảng để xây dựng khối của DES là sự kết hợp đơn giản của các kỹ
thuật thay thế và hoán vị bản rõ dựa trên khoá, đó là các v òng lặp. DES sử
dụng 16 vòng lặp áp dụng cùng một kiểu kết hợp các kỹ thuật tr ên khối bản
rõ.
Thuật toán này chỉ sử dụng các phép số học v à logic thông thường trên
các số 64 bits, vì vậy nó dễ dàng thực hiện vào những năm 1970 trong điều

kiện về công nghệ phần cứng lúc bấy giờ. Ban đầu, sự thực hiện các phần
mềm kiểu này rất thô sơ, nhưng ngày nay thì việc đó đã tốt hơn và với đặc
tính lặp đi lặp lại của thuật toán đ ã tạo nên ý tưởng sử dụng chip với mục đích
đặc biệt này.
1.3.2.2. Mô tả thuật toán DES
DES mã hóa một xâu bits x của bản r õ độ dài 64 bằng một khóa 56 bits.
Bản mã nhận được cũng là một xâu bits có độ d ài 64.
Bảo mật và an toàn thông tin trong h ệ thống mạng cục bộ của c ơ quan nhà nước
Trang 21
Thuật toán thực hiện theo 3 giai đoạn
+ Với bản rõ cho trước x, một xâu bits x
0
sẽ được xây dựng bằng cách
hoán vị các bits của x theo phép hoán vị cố định ban đầu IP. Ta viết: x
0
=
IP(X) = L
0
R
0
, trong đó L
0
gồm 32 bits đầu và R
0
là 32 bits cuối.
+ Sau đó tính toán 16 l ần lặp theo một h àm xác định. Ta sẽ tính L
i
R
i
, 1

 i  16 theo qui tắc sau:
L
i
= R
i-1
R
i
= L
i-1
 f(R
i-1
, K
i
)
Trong đó  ký hiệu phép hoặc loại trừ của hai xâu bit (cộng theo
modulo 2). f là một hàm mà ta sẽ mô tả ở sau, còn K
1
, K
2
, . . . , K
16
là các xâu
bits độ dài 48 được tính như hàm của khoá K (trên thực tế mỗi K
i
là một phép
chọn hoán vị bits trong K). K
1
, . . ., K
16
sẽ tạo thành bảng khoá. Một vòng của

phép mã hoá được mô tả trên hình 1.2.
+ Áp dụng phép hoán vị ng ược IP
-1
cho xâu bit R
16
L
16
, ta thu được bản
mã y
Tức là y = IP
-1
(R
16
L
16
). Hãy chú ý thứ tự đã đảo của L
16
và R
16
.
Hình 1.3: Một vòng của DES
L
i-1
R
i-1
L
i
R
i
f


K
i
Bảo mật và an toàn thông tin trong h ệ thống mạng cục bộ của c ơ quan nhà nước
Trang 22
Hàm f có hai biến vào: biến thứ nhất A là xâu bits độ dài 32, biến thứ
hai J là một xâu bits độ dài 48. Đầu ra của f là một xâu bits độ dài 32.
Các bước thực hiện như sau:
- Biến thứ nhất A được mở rộng thành một xâu bits độ dài 48 theo một
hàm mở rộng cố định E. E(A) gồm 32 bits của A (đ ược hoán vị theo cách cố
định) với 16 bits xuất hiện hai lần. Tính E(A)  J và viết kết quả thành một
chuỗi 8 xâu 6 bits = B
1
B
2
B
3
B
4
B
5
B
6
B
7
B
8.
- Dùng 8 bảng S
1,
S

2,
… ,S
8
(được gọi là các hộp S). Với mỗi S
i
là một
bảng 4*16 cố định có các h àng là các số nguyên từ 0 đến 15. Với xâu bits có
độ dài 6 (Ký hiệu B
i
= b
1
b
2
b
3
b
4
b
5
b
6
), ta tính S
i
(B
i
) như sau: Hai bit b
1
b
6
xác

định biểu diễn nhị phân của h àng r của S
i
(0

r

3) và 4 bit (b
2
b
3
b
4
b
5
) xác
định biểu diễn nhị phân của cột c của S
i
(0

c

15). Khi đó S
i
(B
i
) sẽ xác
định phần tử S
i
(r,c), phần tử này viết dưới dạng nhị phân l à một xâu bits có độ
dài 4. (Bởi vậy, mỗi S

i
có thể coi là một hàm mã mà đầu vào là một xâu bits
có độ dài 2 và một xâu bits có độ d ài 4). Bằng cách tương tự tính các C
i
=
S
i
(B
i
), 1

i

8.
- Xâu bits C = C
1
C
2
C
8
có độ dài 32 bits được hoán vị theo cách hoán
vị cố định P. Xâu kết quả l à P(C) được xác định là f(A,J).
- (Hàm f được mô tả trong hình 1.4. Chủ yếu nó gồm một phép thế (sử
dụng hộp S), tiếp sau đó l à hoán vị P).
Bảo mật và an toàn thông tin trong h ệ thống mạng cục bộ của c ơ quan nhà nước
Trang 23
- Sau cùng ta mô tả việc tính toán bảng khoá từ khoá K. Tr ên thực tế, K
là một xâu bits độ dài 64, trong đó 56 bits là khoá và 8 bit đ ể kiểm tra tính
chẵn lẻ nhằm phát hiện sai. Các bit ở các vị trí 8, 16, …, 64 đ ược xác định sao
cho mỗi byte chứa một số lẻ các số “1”. Bởi vậy một sai sót đ ơn lẻ có thể phát

hiện được trong nhóm 8 bits. Các bits kiểm tra bị bỏ qua trong quá tr ình tính
toán bảng khoá.
- Với một khoá K 64 bits cho tr ước, ta loại bỏ các bits kiểm tra tính
chẵn lẻ và hoán vị các bits còn lại của K theo phép hoán v ị PC-1. Ta viết: PC-
1(K) = C
0
D
0
- Với thay đổi từ 1 đến 16 :
C
i
= LS
i
(C
i-1
) , D
i
= LS
i
(D
i-1
)
Và K
i
= PC-2(C
i
D
i
). LS
i

thể hiện sự dịch (sang trái) 1 hoặc 2 bits
phụ thuộc vào giá trị của i: dịch 1 vị trí nếu i = 1, 2, 9 ho ặc 16 và dịch 2 vị trí
trong các trường hợp còn lại. PC-2 là một hoán vị cố định khác được mô tả
trên hình 1.5 như sau:
S
1
S
3
S
2
S
4
S
5
S
6
S
7
S
8
A
J
E (A)
E
+
f ( A , J )
P
S
1
S

3
S
2
S
4
S
5
S
6
S
7
S
8
C
1
C
2
C
3
C
4
C
5
C
6
C
7
C
8
B

1
B
2
B
3
B
4
B
5
B
6
B
7
B
8
Hình 1.4: Hàm f c ủa DES
Bảo mật và an toàn thông tin trong h ệ thống mạng cục bộ của c ơ quan nhà nước
Trang 24
Hình 1.6: Sơ đồ mô tả chi tiết DES
K
1 6
L
1 5
= R
1 4
R
1 5
= L
1 4
  ( R

1 4
, K
1 5
)
B ả n r õ ( P l a i n t e x t )
I P
L
0
R
0
L
1
= R
0
R
1
= L
0
  ( R
0
, K
1
)

L
2
= R
1
R
2

= L
1
  ( R
1
, K
2
)

R
1 6
= L
1 5
  ( R
1 5
, K
1 6
)
L
1 6
= R
1 5

K
1
K
2
B ả n m ã ( C i p h e r t e x t )
I P
- 1
Hình 1.5: Sơ đồ thuật toán tạo các khóa từ K1 đến K16

K
P C - 1
C
0
D
0
L S
1
L S
1
C
1
D
1
P C - 2
K
1
.
.
L S
1 6
L S
1 6
C
1 6
D
1 6
P C - 2
K
1 6

Bảo mật và an toàn thông tin trong h ệ thống mạng cục bộ của c ơ quan nhà nước
Trang 25
1.3.2.3. Giải mã DES
Với DES, có thể sử dụng c ùng chức năng để giải mã hoặc mã hóa cùng
một khối. Chỉ có sự khác nhau đó l à các khóa phải được sử dụng theo thứ tự
ngược lại. Nghĩa là, nếu các khóa mã hóa cho mỗi vòng là k
1
, k
2
, k
3
, …, k
15
,
k
16
thì các khóa giải mã là k
16,
k
15
, …, k
3
, k
2
, k
1
.
Ví dụ : Cho K = 12695BC9B7B7F8
Z = 0123456789ABCDEF,
Ở đây các số được viết theo cơ số 16 (hexadecimal), mỗi ký tự thay cho

4 bits.
Thực hiện thuật toán lậ p mã ở trên ta thu được bản mã x=
85E813540F0AB405 và thực hiện thuật toán giải mã x ta lại thu được bản rõ Z.
1.3.2.4. Ứng dụng của DES
Một ứng dụng quan trọng của DES l à trong giao dịch Ngân hàng là DES
được dùng để mã hoá các số định danh cá nhân (PIN) v à việc chuyển tài
khoản bằng máy rút tiền tự động (ATM).
1.3.2.5. Các cơ chế hoạt động của DES
Thuật toán DES mã hóa đoạn tin 64 bits thành đoạn tin mã hóa 64 bits.
Nếu mỗi khối 64 bits đ ược mã hóa một cách độc lập th ì ta có chế độ mã hóa
ECB (Electronic Code Book). Có hai ch ế độ khác của mã hóa DES là CBC
(Cipher Block Chaining) và CFB (Cipher Feedback), nó làm cho m ỗi đoạn tin
mã hóa 64 bits ph ụ thuộc vào các đoạn tin trước đó thông qua phép toán
XOR.
Các thuật toán mã hóa đối xứng có một số trở ngại không thuận tiện khi
hai người muốn trao đổi các thông tin bí mật cần phải chia sẻ khóa bí mật.
Khóa cần phải được trao đổi theo một cách thức an to àn, mà không ph ải bằng
các phương thức thông thường vẫn dùng để liên lạc. Điều này thông thường là
Bảo mật và an toàn thông tin trong h ệ thống mạng cục bộ của c ơ quan nhà nước
Trang 26
bất tiện và mật mã khóa công khai (hay khóa bất đối xứng) được đưa ra như là
một giải pháp thay thế .
1.4. Mã hóa bất đối xứng (mã hóa khóa công khai)
1.4.1. Giới thiệu chung
Trong mật mã hóa khóa công khai có hai khóa được sử dụng, là khóa
công khai [1] (hay khóa công cộng) và khóa bí mật (hay khóa cá nhân), trong
đó khóa công khai dùng đ ể mật mã hóa còn khóa bí mật dùng để giải mật mã
(cũng có thể thực hiện ng ược lại). Rất khó để có thể thu đ ược khóa bí mật từ
khóa công khai. Đi ều này có nghĩa là một người nào đó có thể tự do gửi khóa
công khai của họ ra bên ngoài theo các kênh không an toàn mà v ẫn chắc chắn

rằng chỉ có họ có thể giải m ã các thông điệp được mã hóa bằng khóa đó.
Các thuật toán khóa công khai thông th ường dựa trên các vấn đề toán
học với độ khó NP. Ví dụ RSA, dựa trên độ khó của bài toán phân tích ra th ừa
số nguyên tố. Vì lý do nào đó, các hệ thống mật mã hóa lai ghép được sử
dụng trong thực tế; khóa đ ược trao đổi thông qua mật m ã khóa công khai, và
phần còn lại của thông tin đ ược mật mã hóa bằng cách sử dụng thuật toán
khóa đối xứng (điều này về cơ bản là nhanh hơn). M ật mã hóa đường cong
elip là một dạng thuật toán k hóa công khai có th ể có một số ưu điểm hơn so
với các hệ thống khác.
Mật mã khóa công khai cũng cung cấp cơ chế cho chữ ký số, là cách xác
thực với độ bảo mật cao (giả thiết cho rằng khóa bí mật được đảm bảo giữ an
toàn) rằng thông điệp mà người nhận đã nhận được là chính xác được gửi đi
từ phía người gửi mà họ yêu cầu. Các chữ ký nh ư vậy (theo luật định hay
được suy diễn mặc định) đ ược coi là chữ ký số tương đương với chữ ký thật
trên các tài liệu được in ra giấy. Sử dụng hợp thức các thiết kế có chất l ượng
cao và các bổ sung khác tạo ra độ an to àn cao, làm cho ch ữ ký số vượt qua
phần lớn các chữ ký thật về mức độ thực của nó (khó bị giả mạo h ơn). Các