đồ án công nghệ thông tin Tìm hiểu vấn đề an ninh, an toàn trong trao đổi dữ liệu điện tử

MỤC LỤC
LỜI CẢM ƠN 1
LỜI CẢM ƠN
Em xin chân thành cảm ơn tới tất cả các thầy giáo, cô giáo trong nhà trường.
Em xin chân thành cảm ơn các thầy cô giáo trong bộ môn tin học đã
trực tiếp giảng dạy và truyền đạt cho em những kiến thức bổ ích trong suốt
thời gian em học tập tại trường để em hoàn thành tốt khóa học.
Đặc biệt em xin chân thành cảm ơn thầy giáo, tiến sĩ Hồ Văn Canh,
trong thời gian thực tập và làm tốt nghiệp vừa qua, thầy giành nhiều thời gian
và tâm huyết để hướng dẫn em thực hiện đề tài này.
Em xin gửi lời cảm ơn tới ban lãnh đạo và toàn thể cán bộ, nhân viên
trong Công ty TNHH thiết bị điện tử - tin học Phương Đông, nơi đã tạo mọi
điều kiện thuận lợi cho em thực tập.
Em xin chân thành cảm ơn!
Hải Phòng, thỏng 08 năm 2007
Sinh viên
Vấn đề an ninh, an toàn trong trao đổi dữ liệu điện tử
Đào Thị Thu Hường
LỜI MỞ ĐẦU
Ngày nay công nghệ thông tin được ứng dụng rộng rãi trong mọi lĩnh
vực, mạng thông tin đa phương tiện phủ khắp cả nước, nối với hầu hết các tổ
chức, các gia đình. Thông tin trở thành tài nguyên quan trọng nhất của nền
kinh tế. Để tận dụng cơ hội, vượt qua thách thức, rút ngắn khoảng cách với
các nước phát triển, hầu hết các quốc gia đã hoạch định và thực hiện các chiến
lược phát triển kinh tế tri thức, trong đó đổi mới và số hóa bộ máy nhà nước,
làm cho bộ máy họat động nhanh nhạy hơn, linh hoạt hơn và có trách nhiệm
hơn.
Thông qua trao đổi điện tử các cá nhân và tổ chức có thể trao đổi trực
tiếp với nhau hoặc thực hiện giao dịch thương mại. Tuy nhiên có một số phần
tử hiện nay đang lợi dụng hoạt động đó để nhằm phục vụ cho các mục đích
không tốt không chỉ gây thiệt hại lớn về kinh tế mà còn gây hại đến an ninh

quốc gia. Vì vậy, an ninh, an toàn trong trao đổi dữ liệu là điều kiện quan
trọng không thể thiếu. Xuất phát từ yêu cầu đó, em đã chọn đề tài nghiên cứu
Sinh viên: Đào Thị Thu Hường
2
Vấn đề an ninh, an toàn trong trao đổi dữ liệu điện tử
là: “Tỡm hiểu vấn đề an ninh, an toàn trong trao đổi dữ liệu điện tử”. Kết quả
nghiên cứu của em được chia làm hai phần chính đó là: vấn đề an ninh, an
toàn trong thương mại điện tử và một số giải pháp nhằm đảm bảo bí mật, an
toàn trong trao đổi điện tử, mà chủ yếu là tìm hiểu các giải pháp mật mã hóa
dữ liệu.
Do khả năng và thời gian hạn chế nên trong đồ án này có lẽ còn nhiều
khiếm khuyết, em rất mong được các thầy cô chỉ bảo. Em xin chân thành cảm ơn.
Sinh viên: Đào Thị Thu Hường
3
Vấn đề an ninh, an toàn trong trao đổi dữ liệu điện tử
CHƯƠNG 1: TRAO ĐỔI THÔNG TIN ĐIỆN TỬ
1.1 Tổng quan
Tín hiệu điện tử là một phần tử nhỏ bé nhất mang thông tin, chỳng
được truyền dẫn từ nơi này đến nơi khác do đó con người có thể giao tiếp
được với nhau bất chấp khoảng cách và thời gian. Trên internet, thông tin
điện tử bao gồm các ký tự, hình ảnh hoặc các dạng thông tin nhị phân khác
được trao đối dưới những thủ tục chặt chẽ. Trong đó thư tín điện tử và các dữ
liệu điện tử khác là những thành phần quan trọng để hình thành một xã hội
mới – xã hội Internet toàn cầu.
1.2 Hệ thống thư bưu điện
Trước hết chúng ta xem xét mô hình dịch vụ thư tín mà bất cứ hệ thống
bưu điện của quốc gia nào cũng cung cấp:
Hình 1: Mô hình dịch vụ thư tín bưu điện
Mô tả hệ thống dịch vụ này:
Người gửi đóng gói bưu kiện giao cho bưu cục địa phương.Tại đừy cỏc

bưu kiện được tập hợp lại theo địa chỉ kế tiếp mà nó phải đến trước khi đến
địa chỉ cuối cùng gần nơi người nhận. Tại phía người nhận, bưu cục địa
phương sẽ chuyển bưu kiện đến tận tay người nhận (nếu họ có thể nhận thư).
Nếu người nhận có hộp thư tại bưu điện thì bưu kiện sẽ được lưu tại hộp thư
này cho tới khi người nhận đến lấy.
Sinh viên: Đào Thị Thu Hường
4
Người
gửi
Bưu cục
địa
phương
Bưu cục
địa
phương
Hệ
thống
hộp thư
Người
nhận
Hệ
thống
hộp thư
Vấn đề an ninh, an toàn trong trao đổi dữ liệu điện tử
Có thể nói, về mặt mô hình, dịch vụ chuyển phát thư của bưu điện có
thể chia thành hai dạng: chuyển phát và tạm lưu trữ. Các mô hình khái niệm
dịch vụ này đã được áp dụng vào Internet ngay từ buổi đầu. Mỗi mô hình dịch
vụ trên mạng toàn cầu đều được mô tả thành những tiêu chuẩn, đó là các thủ
tục (Protocol). Đối với thư tín điện tử, các thủ tục hiện đang sử dụng rộng rãi
là: SMTP và POP/IMAP.

1.3 Hệ thống thư điện tử
Thư điện tử, hay email (electronic mail) là một hệ thống chuyển nhận
thư từ qua các mạng máy tính. Nó là một phương tiện thông tin rất nhanh.
Một mẫu thông tin (thư từ) có thể được gửi đi ở dạng mã hóa hay thông thường
và được chuyển qua các mạng máy tính đặc biệt là mạng Internet. Nó có thể
chuyển một mẫu thông tin từ một máy nguồn tới một hay rất nhiều máy nhận
trong cựng lỳc.
Trong phần này đề cập tới những giải pháp công nghệ cho dịch vụ thư
điện tử hiện hành đó là: SMTP, IMAP, POP và mới nhất là Web-mail.
1.3.1 SMTP
SMTP (Simple Mail Transfer Protocol) ra đời 8/1982, là thủ tục chuyển
phát thư đầu tiên ra đời như một bộ phận của thủ tục TCP/IP (Transmission
Control Protocol / Internet Protocol). SMTP sử dụng cổng 25 để chuyển các
tin nhắn từ người gửi tới người nhận.
SMTP cung cấp cỏc cừu lệnh chính là MAIL, RCPT, DATA.
Các tùy chọn cho thủ tục SMTP: SEND,VERIFY, EXPAND.
Hoạt động của hệ thống thư theo thủ tục SMTP như sau: Máy gửi thư
(Remote Host Sender) sẽ hỏi máy nhận thư (Local Host Receiver) bằng câu lệnh
MAIL. Nếu máy nhận sẵn sàng nhận thư nó sẽ trả lời OK. Máy gửi bắt đầu gọi
tên người nhận bằng cừu lờnh RCPT. Máy nhận nghe danh sách người nhận mà
máy gửi vừa thông báo, nếu nằm trong danh sách đăng ký của nó thì trả lời OK và
thiết lập trạng thái nhận dữ liệu.
Sinh viên: Đào Thị Thu Hường
5
Vấn đề an ninh, an toàn trong trao đổi dữ liệu điện tử
Hạn chế của SMTP là phương pháp chuyển thư end – to – end mà thủ tục
vận dụng (Các thư dễ bị nghẽn tắc ở đầu gửi khi phía nhận không sẵn sàng nhận
thư).
1.3.2 POP – IMAP
1.3.2.1 Thủ tục POP

Thủ tục POP (Post Office Protocol), ra đời khoảng năm 1988, cho phép
máy trạm có thể chủ động truy cập vào nơi lưu trữ thư (maildrop) trờn máy
chủ một cách hợp lý.
Hiện tại thông dụng nhất là POP3 (Post Office Protocol Version 3).
Tổng quan, POP3 là một hệ client/server với máy chủ POP3 khởi động
dịch vụ tại cổng TCP 110. Khi cần lấy thư client kết nối với máy chủ tại cổng
này để sử dụng dịch vụ. Để bắt đầu phiên giao dịch, máy chủ gửi một thông
điệp chào đón (greeting) máy client. Sau đó client và server bắt đầu trao đổi
cỏc cừu lệnh cho tới khi huỷ bỏ kết nối. Hình dưới là các trạng thái của máy
chủ POP3:
Hình 2: Các trạng thái của máy chủ POP3
Sau khi thiết lập kết nối, dịch vụ POP3 lần lượt qua một số trạng thái cơ
bản: Cấp quyền (Authoziration), Giao dịch(Transaction), Cập nhật(Update),
Kết thúc(Quit).
POP3 có cơ chế đảm bảo an ninh tốt hơn SMTP khi máy chủ là người
quyết định việc cho phép máy trạm truy cập vào maildrop mà nó đang giữ.
Sinh viên: Đào Thị Thu Hường
6
Thiết lập kết nối – TCP 110
Huỷ bỏ kết nối
Xác thực
Trao đổi
Cập nhật
Logout, kết thúc kết nối
Non - Authenticated
Authenticated
Selected
Kết nối không xác thực
trước
Kết nối có xác thực

trước
Hủy bỏ kết nối
Login OK
Logout
OK
Khởi tạo kết nối và máy chủ greeting
Logout
OK
Logout
OK
Select/Examine OK
Select/Examine
FAILED Close OK
Vấn đề an ninh, an toàn trong trao đổi dữ liệu điện tử
1.3.2.2 Thủ tục IMAP
IMAP (Internet Message Access Protocol) ra đời trướcPOP3, dùng để
quản lý thư lưu trên máy chủ trong cùng mạng (local host). Phiên bản phổ
biến nhất là IMAP4 – cho phép người dùng có thể quản lý thư của mỡnh trờn
máy chủ, cho phộp các thao tác: khởi tạo, truy nhập, sắp xếp, tìm kiếm.
IMAP được thiết kế theo mô hình client/server. Chương trình client
nhận thư bắt đầu thao tác trước. Mỗi câu lệnh mà client yêu cầu được server
gỏn nhón (tag) duy nhất.
Hình 3: Các trạng thái của IMAP server
POP/IMAP đã cung cấp dịch vụ khá hoàn hảo cho phép client truy cập
vào máy chủ thư để lấy, xóa, lưu trữ, thư gửi cho họ. Mỗi người dùng cần
có một cặp USER/PASS cần thiết cho việc xác thực và cấp quyền truy nhập.
Người dùng không có khả năng thấy được maildrop của người khác, cũng như
Sinh viên: Đào Thị Thu Hường
7
Vấn đề an ninh, an toàn trong trao đổi dữ liệu điện tử

không cần phải truy nhập vào hệ thống. POP/IMAP cung cấp khả năng bảo
đảm an ninh cho hệ thống tốt hơn SMTP khi client không thể thấy các thông
tin về hệ thống máy chủ ngoại trừ thư mục mà họ được phép truy cập.
1.3.3 WWW Email
Hiện nay dịch vụ mới xuất hiện này được cung cấp một cách miễn phí. Người
dùng có thể sử dụng bất kỳ máy nào, ở bất kỳ đâu để truy nhập vào hộp thư mà mình
đăng ký miễn là máy này được nối vào Internet và cài đặt trnh duyệt www.
Đối với người sử dụng, đây là một dịch vụ hết sức tiện lợi vì không
phải gò bó trong giới hạn mạng của nhà cung cấp dịch vụ mà họ đăng ký.
Sự tiện lợi của WWW Email đã làm cho số người sử dụng dịch vụ này
tăng lên nhanh chóng. Và vấn đề kiểm soát thư điện tử dựa trên cơ sở WWW
là một thử thách lớn. Các máy chủ phải thường xuyên được cập nhật rất
nhanh để loại bỏ những lỗ hổng an ninh cho hệ thống dữ liệu mà nó quản lý.
Sinh viên: Đào Thị Thu Hường
8
GỦI
Phần mềm ứng dụng
(đơn đặt hàng, hoá đơn…)
EDI
dịch vụ định khuôn dạng
(EDIFACT, X12,…)
EDI
dịch vụ định khuôn dạng
(EDIFACT, X12,…)
NHẬN
Phần mềm ứng dụng
(đơn đặt hàng, hoá đơn, )
Dịch vụ giao tiếpDịch vụ giao tiếp
Mạng giao tiếp (Mail, PSTN, PSDN,…)
Vấn đề an ninh, an toàn trong trao đổi dữ liệu điện tử

CHƯƠNG 2: AN NINH TRONG TRAO ĐỔI DỮ LIỆU ĐIỆN TỬ
2.1 Kiến trúc EDI
Trao đổi dữ liệu (EDI – Electronic Data Interchange) được xem như
một kỹ thuật mang lại lợi ích thực sự về mặt quản lý chi phí trong lĩnh vực
công nghiệp và chính phủ.
Trong trao đổi dữ liệu điện tử, giấy tờ được thay thế bởi việc trao đổi
thông tin điện tử.
Hình 4: Kiến trúc EDI
Về cơ bản, một hệ thống EDI tối thiểu gồm 4 thành phần cơ bản (hình 4):
 Tập các ứng dụng của người dùng (xử lý đơn đặt hàng, xử lý hoá
đơn…) với cách trình bày đặc thù riêng biệt của chúng.
 Tập các quá trình (thủ tục) để chuyển đổi thông tin từ dạng đặc thù
sang dạng chuẩn được thoả thuận trước để trao đổi (chẳng hạn
ANSI X12, EDIFACT,…).
Sinh viên: Đào Thị Thu Hường
9
Vấn đề an ninh, an toàn trong trao đổi dữ liệu điện tử
 Tập các quá trình (thủ tục) tạo gói tin dùng để biến đổi các thông tin
đã được đưa về dạng chuẩn thành dạng thích hợp cho mạng truyền
tin được sử dụng thành phương tiện giao liên giữa các ứng dụng.
 Mạng truyền tin hay cơ chế vận chuyển thông tin.
Có rất nhiều phương tiện truyền tin khác nhau có thể ứng dụng trong hệ
EDI. Tiêu biểu là X.400 dùng trong dịch vụ trao đổi tin nhắn (Message
Handling Service – Thư điện tử.
Tóm lại, khái niệm đơn giản EDI là thiết lập một tập những khuôn dạng
chuẩn thông tin chung và riêng cho từng ngành sao cho những giao dịch có
thể được truyền và xử lý một cách trực tiếp từ máy tính này đến máy tính kia.

2.2 Vấn đề an ninh cho EDI
Ngày nay việc trao đổi dữ liệu thông qua các phương tiện điện tử được

ứng dụng rất phổ biến. Tuy nhiên nó cũng gây nên những hiểm hoạ về an
ninh cũng như sự thống nhất, toàn vẹn của hoạt động này.
Các trường hợp dẫn đến tình trạng dữ liệu bị: thay đổi (hoặc sai lạc),
phá hoại, mất mát, dùng lại (hoặc sao chép), trì hoãn, hay bị phủ nhận trách
nhiệm dù vô tình hay cố ý đều cần được xem xét cụ thể.
Từ đó, những yêu cầu về dịch vụ an ninh bắt buộc trong việc phát triển
một hệ thống EDI bao gồm:
 Xác nhận
 Chống thoái thác của phía nguồn tin (trong giao dịch)
 Chống thoái thác của phía nhận tin (trong giao dịch)
 Tính toàn vẹn (của giao dịch)
 Tính bảo mật (của giao dịch).
Những quy định cho cơ chế và kỹ thuật đảm bảo an ninh nhằm thỏa
mãn những yêu cầu kể trên xuất phát từ các lĩnh vực an ninh cho hạ tầng cơ
sở vật chất, an ninh tổ chức cán bộ, an ninh hành chớnh,…
Sinh viên: Đào Thị Thu Hường
10
Vấn đề an ninh, an toàn trong trao đổi dữ liệu điện tử
Đối với hệ thống EDI, cơ chế an ninh hạ tầng cơ sở vật chất bao gồm: hệ
thống giám sát, thiết bị khoá và hệ thống quản lý truy nhập, thiết bị điều khiển
(như chuông báo động) … Còn kỹ thuật và xử lý an ninh ứng dụng trong an
ninh tổ chức cán bộ thì bao gồm: kiểm tra hồ sơ lý lịch nhõn viờn…
Cơ chế ứng dụng an ninh mạng máy tính và an ninh mạng thông tin
thường lẫn lộn. Trong mô hình OSI 7 lớp thì an ninh chia thành hai loại:
cơ cấu an ninh đặc thù và cơ cấu an ninh chung.
Những cơ cấu an ninh chung phù hợp với hệ thống EDI gồm phát hiện
và ghi lại theo thứ tự những sự kiện quan trọng. Nú còn bao gồm cả những kỹ
thuật và quy tắc nhằm khôi phục thông tin cũng như nhằm đưa hệ thống bị sai
hỏng trở về trạng thái hoạt động bình thường.
Cơ cấu an ninh đặc thù (như mật mã, chữ ký số,…) áp dụng trong mô

hình tham chiếu OSI cũng có thể ứng dụng trong việc đảm bảo an ninh cho hệ
thống EDI.
2.3 Ứng dụng an ninh cho EDI
Trong giai đoạn đầu của quá trình quản lý rủi ro, việc sử dụng các cơ
cấu an ninh phù hợp với việc bảo vệ dữ liệu EDI đã được xác định. Khi một
xử lý an ninh chung được thực hiện (ví dụ kiểm tra tính toàn vẹn), thì những
cơ chế an ninh phải được kích hoạt trong khi toàn thông tin của EDI phải
được giữ nguyên vẹn.
Các dịch vụ an ninh có thể xuất hiện tại hai lớp:
Lớp dịch vụ giao tiếp hay mạng giao tiếp.
Lớp dịch vụ định khuôn dạng.
Về nguyên tắc, các cơ cấu an ninh có thể được lựa chọn áp dụng ít nhất
một trong hai lớp trên.
2.3.1 Lớp dịch vụ giao tiếp mạng
Sinh viên: Đào Thị Thu Hường
11
Vấn đề an ninh, an toàn trong trao đổi dữ liệu điện tử
Hiện nay sự phát triển mạnh mẽ trong lĩnh vực viễn thông hướng vào
những sản phẩm tương thích X.400 cho xử lý thư tín (chẳng hạn thư điện tử).
Việc sử dụng hệ thống X.400 để chuyển thư EDI được ưa chuộng hơn vì
X.400 tương thích với mô hình OSI, nên những sản phẩm phù hợp với tiêu
chuẩn này có khả năng cung cấp toàn bộ những dịch vụ an toàn (như xác
nhận, toàn vẹn,…).
Để bổ sung cho các chuẩn X.400, nhiều khuyến nghị khỏc đó được
phát triển liên quan tới việc cung cấp danh bạ (directories) người sử dụng
truyền thông. Hệ thống chuẩn X.509 đề cập cụ thể tới vấn đề xác nhận người
sử dụng trong một quy mô bất kỳ (phạm vi toàn cầu).
Những sản phẩm tương thích với X.400 nói cách khác là những sản
phẩm cung cấp đầy đủ những dịch vụ an ninh đang ngày càng trở nên phổ
biến. Do đó, dưới góc độ phát triển của một tổ chức, việc cung cấp an ninh

cho EDI qua lớp dịch vụ mạng giao tiếp an toàn chẳng hạn như dựa trên
X.400 là hết sức cần thiết.
2.3.2 Lớp dịch vụ tạo khuôn dạng
Từ cấu trúc EDI đã mô tả trên, lớp dịch vụ tạo khuôn dạng rõ ràng nằm
dưới sự quản lý trực tiếp của tổ chức sử dụng EDI. Những phương tiện này
bao gồm bảo đảm toàn vẹn, bảo mật và xác nhận người sử dụng dựa trên kỹ
thuật mật mã chẳng hạn như DES.
Tương tự, nhiệm vụ bảo mật toàn bộ phần thông tin EDI (khác với việc
xác định và xử lý nơi đi/nơi đến) cũng ứng dụng tương đối rõ ràng kỹ thuật
mật mã. Hiệu quả của quá trình này phụ thuộc vào thủ tục quản lý khoỏ mó
thích hợp giữa hai bên giao tiếp - vấn đề này độc lập với những cơ chế an
ninh.
2.4 Hiểm hoạ Virus máy tính
Sinh viên: Đào Thị Thu Hường
12
Vấn đề an ninh, an toàn trong trao đổi dữ liệu điện tử
Mối hiểm hoạ đang ngày càng được quan tâm trong lĩnh vực trao đổi
dữ liệu điện tử (và rộng hơn là của toàn công nghệ thông tin) là khả năng máy tính
hoặc một hệ thống thông tin của một tổ chức bị nhiễm virus máy tính lan
truyền qua hệ thống EDI hay giao tiếp mạng.
Không mấy khó khăn để thiết lập các thủ tục quản lý hành chính đủ để
chống lại dạng tấn công bằng virus máy tính. Tuy nhiên, người tấn công vẫn
có thể sử dụng một loại “bug” hoặc một lỗi nào đó trong hệ thống phần mềm
EDI hoặc hệ thống thư tín thành viên nhằm cho phép virus hoặc một chương
trình trái phép thâm nhập vào hệ thống. Và việc kiểm soát phần mềm EDI và
các hệ thống liên quan cho phép ngăn chặn, phát hiện và hạn chế tối đa hiểm
hoạ virus máy tính gây ra.
Mặc dù EDI rất đơn giản về khái niệm nhưng cơ chế an ninh, an toàn,
toàn vẹn dữ liệu và hệ thống EDI lại hết sức phức tạp và được nghiờn cứu hết
sức kỹ lưỡng. Các chuẩn X.400, X.500, X.12, cũng như nhiều phương thức

bảo mật và bảo đảm an toàn dữ liệu điện tử đã được nghiên cứu, phát triển
như DES, IDEA, MD4, MD5,…
Như vậy, từ trao đổi thư điện tử đến trao đổi dữ liệu điện tử là một
bước tiến dài, một sự thay đổi về chất. Và hiểu rõ về trao đổi dữ liệu điện tử
là tiền đề không thể thiếu để tìm hiểu về một cộng đồng các tổ chức kinh
doanh, xã hội mới xuất hiện khi Internet trở thành một phương tiện thông tin
không thể thiếu – xã hội mới đó là Thương mại điện tử (TMĐT).
Sinh viên: Đào Thị Thu Hường
13
Vấn đề an ninh, an toàn trong trao đổi dữ liệu điện tử
CHƯƠNG 3: MỘT SỐ VẤN ĐỀ AN NINH TRONG
THƯƠNG MẠI ĐIỆN TỬ (TMĐT)
3.1 Tổng quan
Sự bùng nổ thông tin ở cuối thập kỷ này đã dẫn đến những cuộc cách
mạng về truyền dẫn và xử lý thông tin trên phạm vi toàn thế giới. Quan hệ
buôn bán, trao đổi thông tin trên mọi lĩnh vực trong đó có lĩnh vực thương
mại giữa các nước - bất kể là chế độ chính trị khác nhau – ngày càng phát
triển sâu rộng. Kỷ nguyên số hoá thực sự đã bắt đầu và tỏ rõ tính ưu việt của
nó trong truyền và xử lý thông tin. Và việc ứng dụng TMĐT là một vấn đề có
tính chiến lược.
TMĐT gây tác động rộng rãi đến toàn xã hội và sâu sắc đến mỗi người.
Nó có thể làm chuyển hóa lối sống theo hướng số hoá. Do đó TMĐT được
xem như một phương thức hoạt động chứ không đơn thuần chỉ là mục tiêu
kinh doanh.
Bên cạnh những lợi ích kinh tế to lớn, TMĐT còn được lợi dụng như là
công cụ để tác động tiêu cực về kinh tế và lối sống trên toàn xã hội, liên quan
tới an ninh quốc gia (ANQG).
3.2 An ninh quốc gia trong TMĐT
Mục tiêu của ANQG là giữ vững ổn định chính trị, xã hội, đảm bảo sự
phát triển kinh tế - xã hội lành mạnh và có hiệu quả theo định hướng XHCN,

tiếp thu có chọn lọc những tinh hoa văn hoá nhân loại, đảm bảo truyền thống
văn hoá dân tộc, thực hiện hội nhập kinh tế trong khu vực và trên phạm vi
toàn thế giới, giữ vững nền độc lập dân tộc đảm bảo mục tiêu mà Đảng ta
vạch ra là “dừn giàu nước mạnh, xã hội công bằng, dân chủ và văn minh”.
Sinh viên: Đào Thị Thu Hường
14
Vấn đề an ninh, an toàn trong trao đổi dữ liệu điện tử
Để bảo vệ những mục tiêu trên, trước hết chúng ta cần nghiên cứu các
khía cạnh liờn quan đến ANQG trên TMĐT là:
3.2.1 An ninh kinh tế trong TMĐT
Nội dung an ninh kinh tế trong TMĐT bao gồm:
♦ Đảm bảo phát triển nền kinh tế theo định hướng XHCN sau khi tham gia TMĐT
♦ Bảo vệ đội ngũ cán bộ quản lý kinh tế nói chung và đội ngũ cán bộ trực tiếp
tham gia các hoạt động TMĐT nói riêng. Đề phòng các thế lực thù địch làm
tha hoá đội ngũ cán bộ của ta.
♦ Bảo vệ bí mật kinh tế, chống lại các hoạt động tình báo kinh tế, phá hoại,
chống hoạt động của bọn tội phạm kinh tế trong TMĐT, chống buôn lậu, gian lận
thương mại.
3.2.2 An ninh văn hoá trong TMĐT
TMĐT là một loại hình dịch vụ mới trên Internet. Sự tác động văn hoá
– xã hội của TMĐT cũng đang là một mối quan tâm quốc tế. Bên cạnh những
tác động tích cực, hàng loạt tác động tiêu cực của nó đang xuất hiện. TMĐT
có thể bị các phần tử xấu lợi dụng để môi giới, giao dịch, mua bán văn hoá
phẩm đồi truỵ, phản động, các hoạt động mại dâm, buôn bán ma tuý. Bọn
maphia có thể lợi dụng TMĐT như một phương tiện hữu hiệu phục vụ cho
các hoạt động tẩy rửa tiền, chuyển tiền bất hợp phỏp…
3.2.3 An ninh thông tin trong TMĐT
An ninh, an toàn thông tin trong TMĐT bao gồm các nội dung sau:
♦ Đảm bảo an toàn cho các hoạt động và trao đổi thông tin cho các hệ thống
máy tính khi tham gia TMĐT.

♦ Đảm bảo bí mật các thông tin kinh tế trong TMĐT. Đây là vấn đề có tính
Sinh viên: Đào Thị Thu Hường
15
Vấn đề an ninh, an toàn trong trao đổi dữ liệu điện tử
sống còn đối với TMĐT. Mọi thông tin trao đổi qua hệ thống máy tính của
doanh nghiệp và khách hàng đều phải được mật mã hoá.
♦ Việc sử dụng mật mã để bảo vệ thông tin trao đổi trên mạng Internet phải
do chính phủ quyết định và được thể chế thành các điều luật cụ thể.
3.2.4 Chống lệ thuộc công nghệ trong TMĐT
Hiện nay, Mỹ là một nước đang khống chế hầu như toàn bộ CNTT quốc tế
cả phần cứng lẫn phần mềm. Và Mỹ cũng là nước đang đi đầu trong sự phát triển
kinh tế số hoá và TMĐT. Khi thương mại được số hoỏ thỡ trên thực tế kinh tế
toàn thế giới sẽ nằm trong tầm khống chế công nghệ của Mỹ. Theo đà này,
Mỹ sẽ giữ vai trò bán CNTT cho toàn thế giới. Điều đó không chỉ mang lại
cho Mỹ lợi ích to lớn về kinh tế mà cũn giỳp Mỹ nắm được nhiều bí mật (kinh
tế, quốc phũng,…) của các nước có đẳng cấp thấp hơn.
Vì vậy TMĐT vừa là cơ hội, vừa là thách thức đối với các nước đang
phát triển. Tham gia TMĐT là một tất yếu khách quan nhưng phải có chiến
lược phù hợp để khỏi trở thành một quốc gia lệ thuộc về công nghệ. Trong
tương lai chúng ta không thể giữ vững được ANQG nếu không làm chủ được
CNTT và lệ thuộc hoàn toàn vào CNTT nước ngoài.
3.2.5 Những giải pháp chủ yếu trong TMĐT
Để đảm bảo tốt ANQG trong TMĐT, cần thực hiện tốt các biện pháp:
1 – Cần tạo ra và hoàn thiện một môi trường pháp lý trên lĩnh vực TMĐT
2 – Giáo dục, bồi dưỡng và đào tạo nguồn nhân lực
3 – Xây dựng cho được một cơ sở hạ tầng công nghệ đủ tin cậy
4 – Nghiên cứu kinh nghiệm một số nước đã tham gia TMĐT
Đối với nước ta hiện nay mặc dù đã tham gia vào TMĐT nhưng vẫn
phải có bước đi cụ thể thích hợp và được kiểm soát chặt chẽ, nếu không thì
“lợi bất cập hại”. Vì những lý do chủ yếu sau đây:

Sinh viên: Đào Thị Thu Hường
16
Vấn đề an ninh, an toàn trong trao đổi dữ liệu điện tử
♦ Trình độ dân trí của nhìn chung không đồng đều, trình độ quản lý của
các cơ quan chức năng còn yếu.
♦ Cơ sở hạ tầng của ta cũn kộm về mọi mặt, sự phát triển CNTT thì
mang tính du kích.
CHƯƠNG 4: PGP VỚI THƯƠNG MẠI ĐIỆN TỬ
4.1 PGP
4.1.1 Giới thiệu
Mật mã hoá PGP (Pretty Good Privacy) là một chương trình máy tính
dùng để mã hóa dữ liệu và xác thực. Phiên bản PGP đầu tiên do Phil Zimermann
công bố vào năm 1991. Kể từ đó đến nay chương trình này đã có nhiều cải
tiến và hiện nay tập đoàn PGP cung cấp nhiều chương trình dựa trên nền tảng
này.
Với mục tiêu ban đầu là phục vụ cho mã hóa thư điện tử. PGP hiện nay
đã trở thành một giải pháp cho các công ty lớn, chính phủ cũng như cỏc cỏ
nhừn.Cỏc phần mềm dựa trên PGP được dùng để mã hóa và bảo vệ thông tin
lưu trữ trên máy tính xách tay, máy tính để bàn, máy chủ và trong quá trình
trao đổi thông qua email, IM hoặc chuyển file
Các phiên bản mới của PGP cho phép sử dụng cả hai tiêu chuẩn
OpenPGP và S/MIME, cho phép trao đổi với bất kỳ ứng dụng nào tuân theo
tiêu chuẩn của NIST.
4.1.2 Hoạt động của PGP
PGP sử dụng kết hợp hệ mã đối xứng và hệ mã bất đối xứng( hệ mật
mã khóa công khai) cộng thêm hệ thống các lập mối quan hệ giữa khóa công
khai với chỉ danh người dùng (ID).
Ta có thể tóm tắt quá trình làm việc của PGP như sau:
Đầu vào chương trình là:
- một bản thông báo cần gửi X

Sinh viên: Đào Thị Thu Hường
17
Vấn đề an ninh, an toàn trong trao đổi dữ liệu điện tử
- passphrase của người gửi thông báo X
Lúc đó, PGP sẽ thực hiện theo cỏc mụđun (cỏc bước) cơ bản sau:
1/- Nén bản rõ X bởi thuật toán nén ZIP:
Y = Z(X)
(Nếu cần thì thực hiện lược đồ ký số).
2/- Sinh khóa phiờn (mó đối xứng) bằng cách dùng hàm HASH (có thể là
MD5 hoặc SHA-1) để “băm” passphrase và cho kết quả khóa K gồm 128 bit
(dùng DES thì chỉ cần 56 bit khóa).
3/- Mã bản thông báo đã được nén với khóa K được sinh ra ở bước 2/:
C = E
K
(Y)
(Ở đây E có thể là DES, IDEA hoặc AES).
4/- Mã hóa khóa phiờn K bởi một thuật toán mật mã khóa công khai E
o
:
M = E
o
(K)
(Trong đó, E
o
chỉ có thể là RSA hoặc Elgamal).
5/- Gửi cặp (M, C) đến nơi nhận (coi như đầu ra của PGP).
Và nơi nhận muốn đọc được thông báo thì thực hiện những bước ngược lại.
4.1.3 Các chức năng
PGP được dùng với 3 chức năng chính:
- Mã hóa và ký các file.

- Giải mã, xác thực các chữ ký và các file.
- Quản lý cỏc khóa mà bạn có: thiết lập thuộc tính, xác nhận tính hợp lệ…
4.1.4 Cấu trúc file của PGP
Khuôn dạng file (file format) là một tập hợp các quy tắc mô tả cỏch
xừy
dựng file, gồm các quy tắc được phép và không được phép đối với một file.
OpenPGP là khuôn dạng chuẩn mà PGP tuân theo, cho phép nhiều chương
Sinh viên: Đào Thị Thu Hường
18
Vấn đề an ninh, an toàn trong trao đổi dữ liệu điện tử
trình khác nhau có thể sử dụng chúng. Khuôn dạng file theo OpenPGP được
dùng trong nhiều kiểu file, những thông báo được mã hóa bằng PGP (file có
phần mở rộng .pgp), những file chữ ký độc lập (.sig), file chứa khóa được
truyền đi (.asc), file chứa khóa công khai (.pkr) và khóa riờng (.skr). Hai kiểu
file khóa công cộng và khóa riờng được tạo ra trong quá trình cài đặt PGP và
có tên được đặt mặc định là pubring.pkr và sercing.skr.
1. Cỏc gói (Packets)
2. Cỏc gỳi khúa (Key packets)
3. Cỏc gói chữ ký (Signature packets)
4. Cỏc gỳi khỏc (Other packets)
5. Key ID và fingerprint
6. ASCII Armor
4.1.5 An ninh
Khi được sử dụng đúng cách PGP được xem là có độ an toàn cao. Hiện
nay chưa có phương pháp nào được biết tới có khả năng phá vỡ được PGP ở tất cả
các phiên bản.
Trái với SSL chỉ nhằm bảo vệ thông tin trên đường truyền, PGP có thể
bảo vệ cả dữ liệu cho mục đích lưu trữ lâu dài (hệ thống file).
Cũng như các hệ thống mật mã và phần mềm khác, an ninh của PGP có
thể bị vô hiệu trong trường hợp sử dụng sai hoặc thông qua các dạng tấn công

gián tiếp. Ngoài ra, an ninh của PGP phụ thuộc vào các giả định về thuật toán
mà nó sử dụng trong điều kiện về thiết bị và kỹ thuật đương thời. Những
phiên bản PGP gần đây hỗ trợ thêm những thuật toán khác nữa vì thế mức độ
an toàn trước tấn công về mặt mật mã học cũng thay đổi.
4.2 Các thuật toán mó hoỏ thư điện tử trong PGP
Có 3 loại thuật toán được sử dụng trong PGP:
- Mã khoá đối xứng (Mã khối).
- Mã khoá bất đối xứng.
Sinh viên: Đào Thị Thu Hường
19
Vấn đề an ninh, an toàn trong trao đổi dữ liệu điện tử
- Hàm băm.
4.2.1 Mã khối đối xứng
Mật mã khối được cấu trúc trên nguyên tắc là bản tin được chia thành
các khối có độ dài bằng nhau và việc mó hoỏ tiến hành theo từng khối độc lập nhau.
Độ bảo mật của mã trong trường hợp này phụ thuộc vào độ dài của
khối và độ phức tạp của thuật toán mã. Nếu kích cỡ của khối quỏ bộ thỡ việc
giải mã không mấy khó khăn do dò tìm được đặc tính cấu trúc thống kê của
bản rõ. Nếu tăng kích thước khối thì mức độ cấu trúc thống kê cũng tăng theo
số mũ và nếu kích cỡ khối tiến đến đoạn tin thì tác dụng mã khối sẽ giảm.
4.2.1.1 IDEA
IDEA (Internatinoal Data Encryption Algorithm) là một phương pháp mã
khối được phát triển bởi Xuejia Lai và James Massey của ETH Zurich và
được công bố lần đầu tiờn vào năm 1991. Phương pháp này đưa ra như một
sự thay thế cho phương pháp cũ DEA (Data Encryption Standard), lúc đầu
IDEA có tên là IPES (Improved Proposed Encryption Standard). Sau này IDEA
đã trở thành tên thương mại. Nó sẽ hết hạn vào năm 2010-2011. Ngày nay,
IDEA thuộc quyền sở hữu của MediaCrypt. IDEA được sử dụng trong PGP
V2.0 và đã được xác nhận sau khi phiên bản đầu tiên V1.0 được phát hiện là
không còn an toàn nữa.

IDEA là một mã khối 64 bits với 128 bits khỳa.Thiết kế của mã này
được dựa trên cơ sở của phép cộng modulo 2(
⊕
), phép cộng modulo 2
16
và
phép nhân modulo 2
16+1
(số nguyên tố 65537).
Khóa trong IDEA được chia thành cỏc khóa con, mỗi khóa 16 bits.
Thuật toán có 8 vòng lặp, mỗi vòng sử dụng 6 khóa con giả sử S
1
, S
2
,S
3
,…S
6
và đến lần biến đổi cuối cùng sử dụng 4 khóa con (S
1
, S
2
, S
3
, S
4
).
64 bit đầu vào được chia thành 4 khối (X
1
, X

2
, X
3
, X
4
), mỗi khối 16 bit.
- Cách thực hiện trong mỗi vòng:
Sinh viên: Đào Thị Thu Hường
20
A = X
1
+ S1. Cộng modulo 2
16
B = X
2
+ S2
C = X
3
+ S3
D = X
4
* S4. Nhân modulo 2
16
+ 1
E = A C
F = B D
G = E * S5
H = F + G
I = H * S6
J = G + I

K = A I
L = C I
M = B J
N = D J
+S1 +S2 +S3
*S4
X
1
X
2
X
3
X
4
A
B
C
D
⊕
⊕
E
F
*S5
G
+
H
*S6
I
+
J

K
M
⊕
⊕
⊕
L
N
⊕
Vấn đề an ninh, an toàn trong trao đổi dữ liệu điện tử
- Sơ đồ:
Đầu ra của mỗi vòng lặp gồm 4 khối và đầu ra này lại là đầu vào cho
lần biến đổi tiếp theo.
Sau vòng lặp thứ 8, lần biến đổi cuối cùng được thực hiện với 4 khóa
con mới (S
1
, S
2
, S
3
, S
4
) như sau:
4.2.1.2 AES
Sinh viên: Đào Thị Thu Hường
21
*S1 *S2 *S3
*S4
X
1
X

2
X
3
X
4
ZYXW
A = X
1
+ S1. Cộng modulo 2
16
B = X
2
+ S2
C = X
3
+ S3
D = X
4
* S4. Nhân modulo 2
16
+ 1
E = A C
F = B D
G = E * S5
H = F + G
Vấn đề an ninh, an toàn trong trao đổi dữ liệu điện tử
4.2.1.2.1 Giới thiệu
Chuẩn mã hóa nâng cao AES (Advanced Encryption Standard) là chuẩn
đã chiến thắng trong cuộc thi được chính phủ Mỹ tổ chức năm 1977 sau khi
chuẩn mã hóa dữ liệu DES được phát hiện là quá yếu vì độ dài khóa nhỏ và sự

tiến bộ không ngừng của công nghệ phát triển các bộ vi xử lý.
Thuật toán được thiết kế bởi hai nhà mật mã học người Bỉ: Joan
Daemen và Vincent Rijmen (lấy tên chung là “Rijndael” )
AES là 1 mạng hoán vị thay thế mà nú cỳ hàng loạt các phép toán học
sử dụng sự thay thế (gọi là S-box) và hoán vị (gọi là P- box). AES có thể dễ
dàng thực hiện với tốc độ cao bằng phần mềm hoặc phần cứng và không đòi
hỏi nhiều bộ nhớ. Do AES là một tiêu chuẩn mã hoá mới, nó đang được sử
dụng rộng rói trong nhiều ứng dụng.
Các khoá con sử dụng trong các chu trình được tạo ra bởi quá trình tạo
khoá con Rijndael.
AES là một mật mã khối lặp với độ dài khối cố định là 128 bit và độ dài
khóa thay đổi (128, 192 và 256 bit). Những sự biến đổi khác vận hành trờn
cỏc kết quả trung gian gọi là trạng thái (state). State là một mảng hình chữ
nhật với kích thước 4x4. Các phép toán của AES gồm:
1. AddRoundKey: Mỗi byte của khối State được kết hợp với khoá con,
cỏc khoỏ con này được tạo ra từ quá trình tạo khoá con Rijndael;
2. SubBytes (Thay các byte): Mỗi một byte trong bảng State được thay
thế bằng một byte khác theo bảng tra (Rijndael S-Box);
3. ShiftRow (Dịch chuyển hàng): Mỗi hàng trong mảng 4x4 được dịch
chuyển một lượng nhất định sang trái;
4. MixColumn (Trộn các cột): Quá trình trộn làm việc theo các cột
trong khối theo một phép biến đổi tuyến tính.
Sinh viên: Đào Thị Thu Hường
22
Trong đó: b(
i,j
) = a(
i,j
) xor k(
i,j

).
Vấn đề an ninh, an toàn trong trao đổi dữ liệu điện tử
4.2.1.2.2 An toàn
Vào thời điểm năm 2006, dạng tấn công lên AES duy nhất thành công
là tấn công kênh bên (side channel attack). Cơ quan nội địa Hoa Kỳ (NSA) đã
xem xét các thuật toán lọt vào vòng chung kết cuộc thi AES và kết luận tất cả
các thuật toán (bao gồm cả Rijndael) đủ an toàn để áp dụng cho các thông tin
mật của chớnh phủ Hoa Kỳ.
4.2.2 Mã khoá bất đối xứng (Thuật toán khoá công khai)
Mật mã hoá khoá công khai là một dạng mật mã hoá cho phép người sử
dụng trao đổi các thông tin mật mà không cần phải trao đổi các khoá chung bí
mật trước đó. Điều này được thực hiện bằng cách sử dụng một cặp khoá có
quan hệ toán học với nhau là khoá công khai và khoá cá nhừn (khoá bí mật).
Trong đó, khoá cá nhừn phải được giữ bí mật trong khi khoá công khai
được phổ biến công khai. Trong 2 khoá, một dùng để mã hoá và khoá cũn lại
dùng để giải mã. Điều quan trọng đối với hệ thống là không thể tỡm ra khoá
bí mật nếu chỉ biết khoá công khai.
4.2.2.1 RSA
4.2.2.1.1 Giới thiệu
RSA là một thuật toán mật mã hoá khoá công khai. Đõy là thuật toán
đầu tiên phù hợp với việc tạo ra chữ ký điện tử đồng thời với việc mó hoỏ.
Nó đánh dấu sự tiến bộ vượt bậc của lĩnh vực mật mã học trong việc sử dụng
khoá công cộng. RSA sử dụng phổ biến trong thương mại điện tử và được cho
là đảm bảo an toàn với điều kiện độ dài khoá đủ lớn.
Thuật toán được Ron Rivest, Adi Shamir và Len Adlenman mô tả lần
đầu tiên vào năm 1977 tại học viện công nghệ Massachusetts (MIT) và tên
của nó được lấy từ 3 chữ cái đầu của tên 3 tác giả.
4.2.2.1.2 Hoạt động
Sinh viên: Đào Thị Thu Hường
23

Vấn đề an ninh, an toàn trong trao đổi dữ liệu điện tử
Mô tả sơ lược:
Thuật toán RSA có hai khoá: khoá công khai (hay khoá công cộng) và
khoá bí mật (hay khoá cá nhừn). Mỗi khoá là những số cố định sử dụng trong
quá trình mã hoá và giải mã. Khoá công khai được công bố rộng rói cho mọi
người và được dùng để mã hoá. Những thông tin được mã hoá bằng khoá
công khai chỉ có thể được giải mã bằng khoá bí mật tương ứng. Nói cách
khác, mọi người đều có thể mã hoá nhưng chỉ có người biết khoá bí mật mới
có thể giải mã được.
4.2.2.1.4 Tạo chữ ký số cho văn bản
4.2.3 Hàm băm (Hash)
4.2.3.1 MD5
Giải thuật MD5 (Message Digest) là giải thuật được phát triển bởi Ron
Rivest – là 1 trong 3 tác giả của RSA. Nó được ứng dụng cho chữ ký điện tử.
Thiết kế của MD5 dựa trên một hàm nén: nó biến dữ liệu đầu vào có độ dài
tùy ý thành dữ liệu đầu ra có độ dài cố định là 128 bit.
Sinh viên: Đào Thị Thu Hường
24
Sender
Message Signature+
Hash
Function
Message
Digest
+
Sender’s
Private Key
Receiver
Message Signature+
Hash

Function
Message
Digest
=
Message
Digest
Sender’s
Private
Key
Message Signature
Vấn đề an ninh, an toàn trong trao đổi dữ liệu điện tử
Để băm một dữ liệu đầu vào, ta cần thêm vào dữ liệu đú cỏc bit 0 để
tạo thành khối 64 bit là ước của 512. Để kiểm tra tính toàn vẹn của khối dữ
liệu lớn, người ta sử dụng chữ ký số để đại diện cho khối dữ liệu đó bằng cách
dùng hàm băm: với đầu vào là một thông điệp bất kỳ, đầu ra là một chuỗi bit
có độ dài xác định trước gọi là thông điệp tóm tắt (message digest).

….
Hình 5: Quá trình xử lý thông điệp của MD5.
Để tạo một bản tóm tắt của MD5 gồm các bước sau:
Bước 1: Thêm những bit đệm (Append Padding Bits)
Bước 2: Thêm bit độ dài
Bước 3: Khởi tạo bộ đệm MD
Bước 4: Xử lý thông báo trong những khối 512 bit (16 từ)
Sinh viên: Đào Thị Thu Hường
25
ABCD
Thông điệp
100…0
H

MD5
H
MD5
H
MD5
H
MD5
512 bit
512 bit 512 bit 512 bit
512 512 512 512
128 128 128 128
128 bit
K bit
Đệm
(1÷512 bit)
Độ dài thông điệp
( K mod 2
64
)