Nghiên cứu giải pháp tích hợp chữ ký số bảo mật ứng dụng trong hệ điều hành tác nghiệp lotus notes

ĐẠI HỌC QUỐC GIA HÀ NỘI
TRƯỜNG ĐẠI HỌC CÔNG NGHỆ

VŨ ĐỨC MẠNH

NGHIÊN CỨU GIẢI PHÁP TÍCH HỢP CHỮ KÝ SỐ
BẢO MẬT ỨNG DỤNG TRONG HỆ ĐIỀU HÀNH TÁC
NGHIỆP LOTUS NOTES

LUẬN VĂN THẠC SĨ NGÀNH CÔNG NGHỆ THÔNG TIN

Hà Nội – Năm 2015


ĐẠI HỌC QUỐC GIA HÀ NỘI
TRƯỜNG ĐẠI HỌC CÔNG NGHỆ

VŨ ĐỨC MẠNH

NGHIÊN CỨU GIẢI PHÁP TÍCH HỢP CHỮ KÝ SỐ
BẢO MẬT ỨNG DỤNG TRONG HỆ ĐIỀU HÀNH TÁC
NGHIỆP LOTUS NOTES
Ngành:

Công nghệ thông tin

Chuyên ngành:

Hệ thống thông tin

Mã số:

60.48.01.04

LUẬN VĂN THẠC SĨ NGÀNH CÔNG NGHỆ THÔNG TIN

THẦY HƯỚNG DẪN KHOA HỌC: TS. HỒ VĂN HƯƠNG

Hà Nội – Năm 2015


3

LỜI CẢM ƠN
Trước tiên tôi xin được bày tỏ lòng biết ơn tới các thầy cô giáo đã và đang
công tác tại khoa công nghệ thông tin Trường Đại học Công nghệ - Đại học
Quốc Gia Hà Nội, những người đã giảng dạy và cung cấp những kiến thức khoa
học quý báu trong suốt những năm học vừa qua để tôi có nền tảng kiến thức áp
dụng vào Luận văn này.
Đặc biệt tôi xin bày tỏ lòng biết ơn sâu sắc đến TS. Hồ Văn Hương,
người đã tận tình chỉ bảo, giúp đỡ và tạo điều kiện về nhiều mặt để tôi có thể
hoàn thành Luận văn này.
Tôi cũng xin gửi lời cảm ơn đến tập thể lớp K19 HTTT, đã giúp đỡ, nhiệt
tình chia sẻ đóng góp những kinh nghiệm quý báu trong quá trình học tập.
Mặc dù, đã có nhiều cố gắng nhưng do hạn hẹp về thời gian và điều kiện
nên không tránh khỏi khuyết điểm. Tôi chân thành mong nhận được sự góp ý
của thầy cô và bạn bè.
Hà Nội, ngày

tháng

Học viên

Vũ Đức Mạnh

LỜI CAM ĐOAN

năm 2015


4

Tôi cam đoan đây là công trình nghiên cứu của riêng tôi, được thực hiện
dưới sự hướng dẫn khoa học của TS. Hồ Văn Hương.
Các số liệu, kết quả nêu trong luận văn là trung thực và chưa từng được
công bố trong bất kỳ công trình nào khác.
Tôi xin chịu trách nhiệm về nghiên cứu của mình.
Hà Nội, ngày

tháng

năm 2015

Học viên

Vũ Đức Mạnh


5

MỤC LỤC

DANH MỤC CÁC TỪ VIẾT TẮT

STT

Ký hiệu

Tiếng Anh
Advanced Encryption

Tiếng Việt

1

AES

2

API

3

CA

Certificate Authority

4

CRL

Certificate Revocation List

5

MD5

Message Digest algorithm 5

Thuật toán băm MD5

6

SHA

Secure Hash Algorithm

Thuật toán băm bảo mật

7

SMTP

Simple Mail Transfer

Giao thức truyền tập tin

Standard

Chuẩn mã hóa tiên tiến

Application Programming

Giao diện lập trình ứng

Interface

dụng
Nhà cung cấp dịch vụ
chứng thực chữ ký số
Danh sách chứng thư số
bị thu hồi


6

8

PKCS

9

PKI

Protocol

đơn giản

Public-key Cryptography

Chuẩn mã hóa khóa

Standards

công khai

Public Key Infrastructure

Cơ sở hạ tầng khóa
công khai

DANH MỤC CÁC HÌNH

LỜI MỞ ĐẦU
Ngày nay, trong bối cảnh xã hội thông tin ngày càng phát triển, việc quản
lý, điều hành tác nghiệp theo phương thức cũ lộ nhiều tính bất cập, tính hiệu quả
không cao. Mặc dù việc cơ quan tổ chức doanh nghiệp được trang bị máy tính
cho mỗi nhân viên phụ vụ công việc không còn xa lạ. Nhưng hầu hết tại các cơ
quan, doanh nghiệp việc sử dụng máy tính chưa phát huy nhiều hiệu quả, chỉ
phục vụ cho một cá nhân. Các cơ quan, tổ chức, doanh nghiệp là một khối, một
hệ thống cần có sự quản lý chặt chẽ điều hành tác nghiệp và luôn có sự trao đổi
thông tin thường xuyên giữa các nhân viên. Từ những nhu cầu thực tế trên việc
tạo ra môi trường làm việc mới, cách thức quản lý mới để việc sử dụng công cụ
máy tính trong công việc đạt hiệu quả cao nhất là cấp thiết.


7

Trước nhu cầu thực tế và chủ trương chính sách của Đảng và Nhà nước là
ứng dụng công nghệ thông tin vào môi trường làm việc, giải pháp phần mềm
văn phòng điện tử - một văn phòng không giấy tờ, giúp lãnh đạo có thể trao đổi

với nhân viên, phòng ban trong cơ quan nhanh chóng, kịp thời. Văn phòng điện
tử ra đời là một giải pháp hữu hiệu.
Nhiều phần mềm văn phòng điện tử đã ra đời trên nhu cầu thực tế đó với
nhiều tính năng quản lý tài liệu hấp dẫn, giao diện thân thiện, dễ sử dụng. Tuy
nhiên vấn đề bảo mật và xác thực trên các phần mềm văn phòng điện tử hiện nay
còn lỏng lẻo, thiếu sót và chưa được quan tâm đúng mức.
Xuất phát từ những nhu cầu trên, tôi quyết định lựa chọn đề tài: Nghiên
cứu giải pháp tích hợp chữ ký số bảo mật ứng dụng trong hệ điều hành tác
nghiệp Lotus Notes. Nhiệm vụ chính của đề tài là nghiên cứu, đề xuất ra các
giải pháp bảo mật xác thực cho văn phòng điện tử. Cụ thể là áp dụng trong phần
mềm văn phòng điện tử Lotus Note dựa trên cơ sở lý thuyết mật mã, ứng dụng
trong bảo mật xác thực dữ liệu.

Nội dung Luận văn được trình bày trong ba chương:
Chương 1: Tổng quan về an toàn văn phòng điện tử.
Trong chương này, trình bày về an toàn thông tin, đánh giá tổng quan về
một số phần mềm văn phòng điện tử, và đặc biệt là phần mềm văn phòng điện tử
Lotus Note. Ngoài ra, còn đề cập đến vấn đề về cách thiết kế văn phòng điện tử
an toàn, phân tích lựa chọn các chính sách an toàn bảo mật trên văn phòng điện
tử.
Chương 2: Cơ sở lý thuyết mật mã ứng dụng an toàn bảo mật trong
văn phòng điện tử


8

Trong chương này, trình bày khái quát về lý thuyết mật mã, ứng dụng an
toàn bảo mật trong văn phòng điện tử. Cụ thể trình bày vai trò của mật mã trong
việc bảo mật văn phòng điện tử. Tổng quan về hệ mật mã khóa đối xứng, hệ mật
mã khóa công khai, về hàm băm và chữ ký số.

Chương 3: Giải pháp bảo mật, xác thực văn phòng điện tử và xây
dựng ứng dụng
Trong chương này, trình bày thực trạng an toàn bảo mật văn phòng điện tử
hiện nay. Từ thực trạng mất an toàn trên văn phòng điện tử, lựa chọn Lotus Note
là nền tảng để xây dựng văn phòng điện tử, tích hợp giải pháp bảo mật và xác
thực cho ứng dụng văn phòng điện tử Lotus Note.

CHƯƠNG 1: TỔNG QUAN VỀ AN TOÀN VĂN PHÒNG ĐIỆN
TỬ
1.1. Vấn đề an toàn thông tin
1.1.1. Các mối đe dọa và nguy cơ mất an toàn thông tin
Trước nhu cầu trao đổi thông tin dữ liệu ngày càng lớn và đa dạng, các tiến
bộ về điện tử viễn thông và công nghệ thông tin không ngừng được phát triển,
ứng dụng để nâng cao chất lượng và lưu lượng truyền tin thì đồng thời xuất hiện
các nguy cơ, các mối đe dọa an toàn thông tin ngày càng gia tăng.
Các mối đe doạ an toàn mạng bao gồm những khả năng tác động lên hệ
thống mạng máy tính, tác động lên hệ thống cơ sở dữ liệu, khi nguy cơ xảy ra sẽ
dẫn tới sự sao chép, biến dạng, huỷ hoại dữ liệu, các mốt đe dọa tác động tới các
thành phần của hệ thống dẫn tới sự mất mát, sự phá huỷ hoặc sự ngừng trệ hoạt
động của hệ thống mạng…


9

Các mối đe doạ an toàn mạng được phân thành ba loại:
- Mối đe doạ phá vỡ tính bí mật: là nguy cơ việc thông tin trong quá trình
xử lý bị xem trộm, dữ liệu trao đổi trên đường truyền bị lộ, bị khai thác
trái phép…
- Mối đe doạ phá vỡ tính toàn vẹn: là dữ liệu khi truyền đi từ nơi này đến
nơi khác, hay đang lưu trữ có nguy cơ bị thay đổi, sửa chữa làm sai lệch

nội dung thông tin.
- Mối đe dọa phá vỡ tính sẵn sàng: là hệ thống mạng có nguy cơ rơi vào
trạng thái từ chối phục vụ, khi mà hành động cố ý của kẻ xấu làm ngăn
cản tiếp nhận tới tài nguyên của hệ thống.
1.1.2. Thực trạng An toàn thông tin tại Việt nam
Theo thống kê của We are social tính đến 1/1/2015, có 44% dân số Việt
Nam sử dụng internet, 141% dân số sở hữu thuê bao di động và 31% có sử
dụng tài khoản mạng xã hội. Đa số các doanh nghiệp và tổ chức có hệ thống
mạng và website giới thiệu, quảng bá thương hiệu (136.953 tên miền .vn và
hàng triệu tên miền thương mại). Trong đó, có rất nhiều doanh nghiệp đã ứng
dụng thanh toán trực tuyến vào công việc kinh doanh, giao dịch…
Theo Báo cáo tổng kết của Microsoft ước tính rằng có khoảng 80% máy
tính tại Việt Nam nhiễm các loại mã độc và phần mềm độc hại. Theo báo cáo
gần đây của Hiệp hội An toàn Thông tin Việt Nam (VNISA), phần lớn các cơ
quan tổ chức tại Việt Nam cho phép dùng thiết bị cá nhân (di động và máy tính
bảng) truy cập vào mạng lưới tại nơi làm việc nhưng có tới 74% trong số thiết
bị không hề sử dụng bất kỳ biện pháp bảo mật thông tin nào. Những thông số
này đã dấy lên một mối lo ngại rất lớn và cũng đặt ra một áp lực không hề nhỏ
cho các lãnh đạo, chuyên gia về công nghệ thông tin tìm ra giải pháp để đối phó
với tình trạng mất an toàn thông tin trong môi trường hiện nay [6].
Theo báo cáo gần đây của Hiệp hội An toàn Thông tin Việt Nam phần lớn
các cơ quan tổ chức tại Việt Nam cho phép dùng thiết bị cá nhân (di động và
máy tính bảng) truy cập vào mạng lưới tại nơi làm việc nhưng có tới 74%


10

trong số thiết bị không hề sử dụng bất kỳ biện pháp bảo mật thông tin nào.
Từ những báo cáo trên ta có thể nhận thấy những thách thức rất lớn và đặt
ra những yêu cầu hết sức cấp thiết cho công tác bảo đảm An toàn thông tin của

Việt Nam đặc biệt là vấn đề bảo mật thông tin và dữ liệu của các tổ chức, cá
nhân.
1.1.3. Các biện pháp đảm bảo an toàn thông tin
Khi nhu cầu trao đổi thông tin dữ liệu ngày càng lớn và đa dạng, các tiến
bộ về điện tử viễn thông và công nghệ thông tin không ngừng được phát triển
ứng dụng để nâng cao chất lượng và lưu lượng truyền tin thì các quan niệm ý
tưởng và biện pháp bảo vệ thông tin dữ liệu cũng được đổi mới. Bảo vệ an toàn
thông tin dữ liệu là một chủ đề rộng, có liên quan đến nhiều lĩnh vực và trong
thực tế có thể có rất nhiều phương pháp được thực hiện để bảo vệ an toàn thông
tin dữ liệu. Các phương pháp bảo về an toàn thông tin dữ liệu có thể quy tụ vào
ba nhóm sau:
-

Bảo đảm an toàn thông tin tại máy chủ.
Bảo đảm an toàn thông tin tại máy trạm.
An toàn thông tin trên đường truyền.
Ba nhóm trên có thể được ứng dụng riêng rẽ hoặc phối hợp. Môi trường

khó bảo vệ an toàn thông tin nhất và cũng là môi trường đối phương dễ xâm
nhập nhất đó là môi trường mạng và truyền tin. Biện pháp hiệu quả nhất và kinh
tế nhất hiện nay trên mạng truyền tin và mạng máy tính là biện pháp thuật toán.
An toàn thông tin cần đảm bảo các nội dung sau:
-

Đảm bảo tính bí mật: là đảm bảo thông tin trong quá trình xử lý không bị
xem trộm, dữ liệu trao đổi trên đường truyền không bị lộ, không bị khai

-

thác trái phép…

Đảm bảo tính toàn vẹn: đảm bảo dữ liệu khi truyền đi từ nơi này đến nơi
khác, hay đang lưu trữ luôn phải đảm bảo không bị thay đổi, sửa chữa làm
sai lệch nội dung thông tin.


11
-

Đảm bảo tính xác thực: đảm bảo xác thực đúng thực thể cần kết nối, giao
dịch. Xác thực đúng thực thể có trách nhiệm về nội dung thông tin, xác

-

định nguồn gốc thông tin.
Đảm bảo tính sẵn sàng: hệ thống mạng luôn ở trạng thái sẵn sàng phục vụ,
sẵng sàng cung cấp thông tin, dịch vụ… cho bất kỳ một yêu cầu hợp pháp
nào.
Để đảm bảo an toàn thông tin dữ liệu trên đường truyền tin và trên mạng

máy tính có hiệu quả thì trước tiên phải lường trước được các nguy cơ không an
toàn, các sự cố rủi ro có thể xảy ra đối với thông tin dữ liệu được lưu trữ và trao
đổi trên đường truyền tin cũng như trên mạng. Xác định được càng chính xác
nguy cơ nói trên thì càng quyết định được tốt các giải pháp để giảm thiểu các
thiệt hại.
1.2. Văn phòng điện tử
Nhằm tăng cường ứng dụng công nghệ thông tin, nhất là trong các hoạt
động của cơ quan Nhà nước trong đó có hoạt động tác nghiệp hành chính, Chính
phủ đã ban hành Nghị định số 64/2007/NĐ-CP ngày 10/04/2007 và Quyết định
số 51/2007/QĐ-TTg ngày 12/04/2007, chỉ đạo tăng cường ứng dụng giải pháp
phần mềm vào quy trình tác nghiệp trong hoạt động của các cơ quan Nhà nước.

Theo đó người đứng đầu cơ quan Nhà nước ở các cấp có trách nhiệm chỉ đạo
việc ứng dụng công nghệ thông tin vào xử lý công việc, tăng cường sử dụng văn
bản điện tử, từng bước thay thế văn bản giấy trong quản lý, điều hành và trao đổi
thông tin. Đẩy mạnh việc ứng dụng công nghệ thông tin, các giải pháp phần
mềm vào quy trình tác nghiệp của các cơ quan, tổ chức, doanh nghiệp.
Trước nhu cầu thực tế và chủ chương chính sách của Đảng và Nhà nước,
giải pháp phần mềm văn phòng điện tử - một văn phòng không giấy tờ, giúp
lãnh đạo có thể trao đổi với nhân viên, phòng ban trong cơ quan nhanh chóng,
kịp thời ra đời như là một giải pháp hữu hiệu.
Phần mềm văn phòng điện tử ra đời phải thỏa mãn các mục tiêu chính:


12
-

Tạo môi trường thống nhất và tin học hóa các quy trình hoạt động tác
nghiệp, các hình thức tiếp nhận, lưu trữ, trao đổi, tìm kiếm, xử lý thông

-

tin.
Tạo môi trường trao đổi ý kiến, thảo luận, chia sẻ thông tin rộng rãi,
nhanh chóng, đầy đủ, kịp thời góp phần tích cực trong việc phát triển văn

-

hóa doanh nghiệp.
Nâng cao trình độ ứng dụng và sử dụng các công cụ công nghệ thông tin,
tạo tác phong làm việc hiện đại, hiệu quả trong môi trường mạng, tạo sự
thay đổi tích cực trong các quy trình xử lý thông tin, xử lý công việc của

lãnh đạo, cán bộ chuyên viên trong cơ quan, góp phần thực hiện cải cách
hành chính.

Trước mục tiêu đề ra, văn phòng điện tử được xây dựng với các chức năng
chính:
-

Quản lý công việc: thông qua hình thức trao đổi trực quan như giao việc,
nhắc việc và theo dõi tiến trình công việc cho toàn bộ nhân viên một cách

-

đồng thời và việc nhân viên báo cáo công việc thường xuyên.
Quản lý văn bản và hồ sơ: quản lý việc lưu trữ và xử lý các văn bản đến,

-

đi, văn bản dự thảo và hồ sơ văn bản.
Quản lý lịch làm việc: đặt lịch làm việc cho các cá nhân và nhóm, thông

-

báo tới các thành viên.
Quản lý nhân sự: quản lý hồ sơ cán bộ, quá trình làm việc, đào tạo, lịch

-

nghỉ phép...
Tin điều hành tác nghiệp: nơi trao đổi thông tin, điều hành tác nghiệp.
Phân quyền người dùng: phân quyền các bộ phân chức năng và nhân viên

theo chức năng hợp lý.
Ngoài ra còn nhiều chức năng khác như: quản lý nhân sự, quản lý tài

nguyên, tài sản công ty, họp trực tuyến, tin nhắn nội bộ …
Với các chức năng và hiệu quả văn phòng điện tử mang lại đã không chỉ
phục vụ công tác quản lý trong một tổ chức, doanh nghiệp mà còn hỗ trợ, đẩy
mạnh việc thực hiện các công việc một cách nhanh chóng, hiệu quả. Xây dựng


13

hệ thống các kho công văn điện tử tập trung, khắc phục tình trạng tản mạn, thất
lạc, sai lệch thông tin. Cung cấp thông tin về văn bản và hồ sơ công việc phục
vụ yêu cầu của lãnh đạo, cán bộ quản lý và cán bộ chuyên môn nhanh chóng,
chính xác, đầy đủ và kịp thời. Tạo môi trường trao đổi ý kiến, thảo luận, chia sẻ
thông tin rộng rãi, nhanh chóng. Xây dựng hệ thống quản lý, trình duyệt, xử lý
và phát hành văn bản, hỗ trợ khả năng thiết kế luồng công việc, phân quyền cho
từng cá nhân, đơn vị.
Tuy nhiên, để sử dụng văn phòng điện tử hiệu quả cần phải đảm bảo tính
an toàn thông tin trong văn phòng điện tử.
Hiện nay có nhiều giải pháp, sản phẩm phần mềm văn phòng điện tử được
nghiên cứu ứng dụng. Có thể kể đến một số sản phẩm như phần mềm E-Office,
phần mềm Net.Office, phần mềm Lotus Note,...
1.2.1. Phần mềm E-Office
E-Office là phần mềm văn phòng điện tử do Trung tâm An ninh mạng
BKIS Đại học Bách khoa Hà Nội nghiên cứu, thiết kế và xây dựng [14].
E-Office là hệ thống phần mềm trao đổi thông tin, điều hành tác nghiệp và
quản lý trình duyệt văn bản, hồ sơ công việc trực tuyến trên mạng máy tính. Với
nhiều tính năng tích hợp, tiện dụng, dễ dùng như: email, hội thoại, trưng cầu ý
kiến, nhắc việc, lập lịch làm việc, gửi thông báo, gửi tin nhắn ra di dộng và xử lý

công văn, hồ sơ công việc, đặc biệt chức năng cấu hình linh hoạt, đáp ứng nhu
cầu mọi cơ quan, doanh nghiệp cũng như là thay đổi quy trình làm việc trong
chính các cơ quan đang sử dụng.
Các chức năng chính của E-Office là:
-

Quản lý, trình duyệt văn bản đến
Quản lý, trình duyệt, phát hành văn bản đi
Quản lý hồ sơ công việc
Quản lý các thông báo chung
Hệ thống chuyển văn bản liên thông
Quản lý gửi nhận email, chia sẻ file
Hệ thống phân quyền


14

-

Khai thác thông tin
Quản trị hệ thống
Quản lý lịch làm việc
Công cụ định nghĩa luồng công việc

Đánh giá phần mềm E-Office:
Cách phân phối công văn và cách giao việc truyền thống bằng một giải
pháp hiện đại: Từ máy tính của mình, văn thư cập nhật và phân phối công văn
đến các bộ phận. Lãnh đạo các bộ phận xem xét công văn và phân chia công
việc đến các nhân viên. Tìm kiếm tổng hợp công văn một cách nhanh chóng
theo loại nhóm, dự án, cơ quan ban hành, ...

Nhưng vấn đề bảo mật trong quá trình truyền tải công việc ở đây chưa
được đề cập, chưa có những giải pháp bảo mật và xác thực cho các luồng công
việc trong quá trình trao đổi.
1.2.2. Phần mềm Net.Office
Net.Office là phần mềm được xây dựng bởi Đại học Khoa hoc Tự Nhiên.
Phiên bản mới nhất là Net.Office 4 được phát triển từ năm 2007. NetOffice tích
hợp khả năng xác thực tài liệu bằng chữ ký điện tử và khả năng định nghĩa các
luồng công việc trực quan bằng lưu đồ phục vụ cho triển khai ISO. Với các công
cụ này, việc thiết lập quy trình kiểm soát giải quyết các thủ tục hành chính trở
nên đơn giản mà người sử dụng có thể tự thực hiện [15].
Được chạy trên nền tảng TCP/IP, ngoài ra phần mềm cũng có thể chạy
trên Internet hay Intranet, thiết bị sử dụng là máy chủ làm Database server, Web
server, Mail Server, thậm chí nếu muốn, người dùng cũng có thể tích hợp với
điện thoại di động cần thêm GSM modem.
Chức năng cơ bản của phần mềm là có thể quản lý toàn bộ các loại văn
bản như công văn đi, công văn đến, văn bản nội bộ, các quyết định, các tài liệu,
ý kiến xử lý... Các văn bản đều có thể cập nhật, tìm kiếm, gửi tài liệu theo các
kênh khác nhau, công báo tự động, thiết lập các quyền hạn sử dụng văn bản, lập


15

các báo cáo thống kê. Chứng thực văn bản với chữ ký điện tử. Phần mềm có thể
quản lý các thủ tục hành chính công, cho phép ghi nhận nhanh chóng các hồ sơ
thủ tục hành chính với thông tin về công dân, hồ sơ, cơ chế liên lạc sau đó có thể
áp quy trình để có thể kiểm soát tự động. Cung cấp công cụ định nghĩa một cách
động các quy trình giải quyết các công việc dưới dạng sơ đồ trực quan...
Hệ thống được chạy hoàn toàn trên web nên rất dễ dùng, có thể sử dụng
trên mạng diện rộng cho phép làm việc trên một phạm vi địa lý không hạn chế,
Tài liệu không chỉ ở dạng văn bản mà tất cả các tài liệu được Windows hỗ trợ

như văn bản trên word, pdf, bảng tính, trình diễn trên Powerpoint, hình ảnh, âm
thanh, video số, Có khả năng tích hợp với nhiều nguồn tài liệu và qua nhiều
kênh truyền thông như fax, email, SMS và chính các hệ thống chạy trên
Net.Office truyền thông với nhau...
Chức năng cơ bản của phần mềm là có thể quản lý toàn bộ các loại văn
bản như công văn đi đến, văn bản nội bộ, các quyết định, các tài liệu, ý kiến xử
lý,... Các văn bản đều có thể cập nhật, tìm kiếm, gửi tài liệu theo các kênh khác
nhau, thông báo tự động, thiết lập các quyền hạn sử dụng văn bản, lập các báo
cáo thống kê. Chức thực văn bản với chữ ký điện tử. Phần mềm có thể quản lý
các thủ tục hành chính công, cho phép ghi nhận nhanh chóng các hồ sơ thủ tục
hành chính với các thông tin về công dân, hồ sơ, cơ chế liên lạc sau đó có thể áp
dụng quy trình để kiểm soát tự động. Cung cấp công cụ, quy trình giải quyết các
công việc dưới dạng sơ đồ trực quan,...
Đánh giá phần mềm Net.Office:
Ưu điểm phần mềm

Nhược điểm phần mềm

+ Chỉ có thể thực hiên việc xác thực
+ Xác thực tài liệu bằng chữ ký điện tử. người dùng trong nội bộ một cơ quan.
+ Định nghĩa các luồng công việc trực
quan bằng lưu đồ.


16

1.2.3. Phần mềm điều hành tác nghiệp Lotus Note
Lotus Notes là một hệ thống cung cấp chức năng hợp tác tích hợp, bao
gồm email, lịch, quản lý địa chỉ liên lạc, quản lý công việc, nhắn tin, bộ phần
mềm văn phòng (IBM Lotus Symphony), và cơ sở dữ liệu. Lotus Notes cũng có

thể được tích hợp với khả năng hợp tác bổ sung bao gồm hội nghị truyền hình,
cuộc họp trực tuyến, thảo luận, diễn đàn, blog, chia sẻ tập tin, blog, và thư mục
người dùng [11].

Hình 1.1 Một số chức năng chính trên Lotus Note
Các máy chủ Domino đã cài đặt một hệ thống tiêu chuẩn với Internet, đơn
giản trong quản trị hệ thống và tích hợp với các hệ thống nền. Với quá trình phát
triển lâu dài, Lotus Notes đã vượt qua các rào cản về sử dụng chung tài nguyên,
quản lý hệ thống, phân phối thông tin, trợ giúp người sử dụng với các tiến trình
đồng bộ và tự động, đã giúp cho khách hàng cải tiến các hoạt động trong công ty
mình.


17

Lotus Notes làm cho các tiến trình thông tin, cộng tác và phối hợp giữa
các nhân viên trong công ty được đồng bộ và dễ dàng. Nó là sự kết hợp của các
cơ sở dữ liệu hướng văn bản, một cơ sở hạ tầng về thư tín điện tử mởi rộng và
sự phát triển ứng dụng có thể chạy trên nhiều hệ điều hành.
Lotus Notes đang dẫn đầu trong thị trường phần mềm mô hình
Client/Server cho hệ thống thông tin cộng tác và thương mại điện tử. Với sức
mạnh của hệ thư tín điện tử và truyền dẫn dữ liệu, Lotus Notes có thể mang đến
cho bạn tất cả những thông tin mà bạn cần như:
-

Thư tín điện tử (Email)
Lịch làm việc (Calendar)
Các công việc cần làm ( To do list)
Sổ địa chỉ ( Address book)
Tìm kiếm địa chỉ trên Internet

Trình duyệt Web
Phần mềm thư tín theo chuẩn Internet

Kiến trúc của Lotus Notes
Kiến trúc của Lotus Notes được thể hiện trên Hình 1.2. Trong đó các yếu
tố phần cứng là máy tính của người sử dụng Notes, máy chủ Domino và mạng
kết nối giữa chúng.
Có ba mức kiến trúc được sử dụng giống nhau trên cả máy chủ và máy
khách như sau:
- Phần mềm Client và Server : Phần mềm Client và Server sử dụng NOS
để tạo mới, sửa chữa, đọc và quản lý các Cơ sở dữ liệu và tệp.
- Notes Object Services (NOS): là một tập hợp các hàm C/C++ sử dụng
để tạo ra và truy cập các thông tin trong Database và tệp, biên dịch và
thông dịch các công thức và ngôn ngữ kịch bản. Nó tạo ra các giao
diện tới các dịch vụ của hệ thống một cách thống nhất. Sử dụng ngôn
ngữ lập trình C với chức năng call-back, có thể tùy biến rất nhiều hàm
của NOS.
- Cơ sở dữ liệu và các tệp: Máy chủ có các Database dùng chung, máy
trạm có các Database nội bộ của nó. Một Database được gọi là dùng
chung nếu như nó có thể được truy cập trên mạng bởi một chương


18

trình chạy trên một máy tính khác. Domino Server chỉ là một chương
trình chứa đựng những tiến trình để đáp ứng cho các yêu cầu từ các
máy tính khác trên mạng cho việc truy cập thông tin trên các Database.
Bởi vì Domino Server chỉ chạy trên các máy chủ nên chỉ các Cơ sở dữ
liệu nằm trên máy chủ là có thể được dùng chung. Một Cơ sở dữ liệu
hoặc tệp là nội bộ nếu như nó có thể được truy cập bởi một chương

trình chạy trên cùng một máy tính. Trong khi các Cơ sở dữ liệu chứa
đựng phần lớn là dữ liệu trong một mạng của Notes, một số dữ liệu
được lưu giữ trong các tệp không phải là Database, ví dụ như ID File
và Notes.ini.

Hình 1.2 Sơ đồ kiến trúc Lotus Note
Trong các phần mềm văn phòng điện tử đã trình bày ở trên thì Lotus
Notes đang dẫn đầu trong thị trường phần mềm hệ thống thông tin cộng tác và
thương mại điện tử.


19

Do đó tôi xin lựa chọn Lotus Note là giải pháp nền tảng để nghiên cứu và
phát triển trong Luận văn này.
1.3. Thiết kế văn phòng điện tử an toàn
Vấn đề an toàn thông tin luôn được đặt ra khi xây dựng và triển khai một
hệ thống thông tin. Văn phòng điện tử cũng không nằm ngoài điều đó. Văn
phòng điện tử được xây dựng nhằm giúp việc tổ chức, điều hành và quản lý
công việc diễn ra một cách nhanh chóng, chính xác và thuận tiện.
Nền tảng của điều này là thiết kế một hệ thống, mô hình, hỗ trợ việc lưu
trữ, trao đổi thông tin dễ dàng qua môi trường truyền tin và mạng. Mặc dù, môi
trường này giúp hoạt động trong các văn phòng điện tử diễn ra nhanh chóng
nhưng cũng hay bị tin tặc dựa vào để tấn công hệ thống, gây hậu quả khôn
lường. Từ đó, cần thiết kế và xây dựng những giải pháp nhằm đảm bảo an toàn
thông tin trong văn phòng điện tử trên môi trường mạng.
1.3.1. Phân tích yêu cầu bảo mật
Từ mô hình và các chức năng của văn phòng điện tử nhận thấy những yêu
cầu cần bảo mật như sau:
-

Trong văn phòng điện tử, với chức năng quản lý hồ sơ, văn bản và quản lý
tài liệu, các văn bản này được lưu trữ trong cơ sở dữ liệu của công ty, cơ
quan, tạo thư viện chia sẻ tài nguyên giữa các nhân viên trong công ty.
Tuy nhiên, dù nằm trong cùng một cơ sở dữ liệu nhưng không phải văn
bản nào cũng được phép truy cập. Vì thế cần các giải pháp đảm bảo an

-

toàn cho cơ sở dữ liệu.
Trong văn phòng điện tử, các văn bản được số hóa, phân phối và trao đổi
thông qua môi trường mạng, trong các giao dịch điện tử. Các văn bản này
có thể chỉ là một văn bản thông thường, nhưng cũng có thể là văn bản
nhạy cảm cần bảo mật hay văn bản cần xác nhận, chứng thực. Trong khi
môi trường mạng là môi trường kém an toàn nhất nên việc các thông tin bị
đánh cắp, làm sai lệnh rất dễ xảy ra. Điều này đặt ra vấn đề cần có giải


20

pháp bảo mật và xác thực thông tin cho văn phòng điện tử trong quá trình
-

trao đổi thông tin.
Ngoài ra, việc các nhân viên trao đổi thư tín với nhau hay với môi trường
bên ngoài là điều không tránh khỏi. Thông qua dịch vụ thư điện tử, tội
phạm có thể tấn công lấy cắp thông tin cá nhân, dữ liệu gửi và nhận.
Trong văn phòng điện tử có hỗ trợ việc gửi và nhận thư thì cần chú trọng
đến vấn đề bảo mật thư điện tử.
Trước những phân tích trên đây, có thể thấy việc bảo mật và xác thực

trong văn phòng điện tử bao gồm nhiều lĩnh vực. Việc nghiên cứu và triển khai
giải pháp cần nhiều thời gian và công sức, tiến hành trên nhiều giai đoạn.
1.3.2. Phân tích và lựa chọn chính sách an toàn
An toàn trong văn phòng điện tử là đảm bảo hệ thống thực hiện đúng chức
năng, dữ liệu được chống truy cập trái phép, các hoạt động trao đổi thông tin
thông qua giao dịch điện tử được thực hiện đúng đắn. Tức là thông tin lưu trữ
không thể truy cập trái phép việc gửi đi được toàn vẹn, tin cậy đảm bảo đúng
người gửi, đúng người nhận và tránh được việc thất lạc, sửa đổi thông tin.
Một văn phòng điện tử an toàn được thực hiện theo hai biện pháp sau:
-

An toàn trong văn phòng điện tử bằng biện pháp phần cứng.
An toàn trong văn phòng điện tử bằng biện pháp thuật toán – phần mềm.
Biện pháp phần cứng: để đảm bảo an toàn văn phòng điện tử cần có các

thiết kế mô hình các máy tính, tường lửa, các thiết bị ngoại vi tạo thành một hệ
thống hoạt động nhịp nhàng, ngăn chặn, kiểm soát hoạt động như việc lưu
chuyển gói tin trên mạng, việc gói tin ra vào hệ thống,...
Biện pháp phần mềm: là việc sử dụng các gói phần mềm có tính năng hỗ
trợ đảm bảo an toàn thông tin tích hợp vào hệ thống.
Trong các biện pháp đảm bảo an toàn thông tin, việc kiểm soát hành chính
chỉ áp dụng ở một mức độ nào, việc sử dụng biện pháp phần cứng thường tốn
kém, mất nhiều thời gian, tiền bạc và công sức. Giải pháp phần mềm thực hiện
đơn giản mà hiệu quả cao. Trong khi đó, văn phòng điện tử là một ứng dụng


21

phần mềm nên giải pháp tích hợp các ứng dụng phần mềm vào dễ dàng, đơn

giản, hiệu quả cao. Vì thế việc đảm bảo an toàn trong văn phòng điện tử bằng
cách sử dụng biện pháp “thuật toán - phần mềm” là tốt nhất.
Trong văn phòng điện tử, việc quản lý, phân phối hồ sơ giấy tờ, văn bản là
một chức năng chính, quan trọng được thực hiện liên tục. Các văn bản, hồ sơ
giấy tờ phải lưu chuyển trên đường truyền, mạng nhiều lần. Nếu không có biện
pháp bảo mật thì thông tin dễ bị lấy cắp, sửa đổi, làm giả, mạo danh.
Nhằm giải quyết vấn đề này, sử dụng biện pháp thuật toán, xây dựng một
ứng dụng nhằm thực hiện mục tiêu dù văn bản này lấy về cũng không thể đọc
được, không thể chỉnh sửa, thay đổi được.
1.4. Kết luận
Trong chương này, đã trình bày được tổng quan về vấn đề an toàn thông
tin, tổng quan về một số phần mềm văn phòng điện tử như E-Office, Net.Office
và đặc biệt là phần mềm văn phòng điện tử Lotus Note. Đồng thời cũng phân
tích sơ bộ những yêu cầu bảo mật trong văn phòng điện tử, phân tích một số
chính sách an toàn bảo mật văn phòng điện tử.
Từ những phân tích trên, trong chương tiếp theo sẽ đề cập đến cơ sở lý
thuyết mật mã ứng dụng cho giải pháp bảo mật và xác thực cho văn phòng điện
tử, cụ thể là cho phần mềm văn phòng điện tử Lotus Note.


22

CHƯƠNG 2: CƠ SỞ LÝ THUYẾT MẬT MÃ ỨNG DỤNG AN
TOÀN BẢO MẬT TRONG VĂN PHÒNG ĐIỆN TỬ

2.1. Giới thiệu
Ngày nay, khi thời đại công nghệ thông tin phát triển, việc quản lý văn
bản theo kiểu truyền thống ngày càng ít, thay vào đó các phần mềm văn phòng
điện tử đang được khuyến khích sử dụng rộng rãi ở các cơ quan nhà nước, chính
phủ. Các phần mềm văn phòng điện tử hiện nay hoạt động chủ yếu trên đường

truyền internet hoặc mạng nội bộ, một môi trường không an toàn, rất dễ bị tấn
công, phá hoại, ăn cắp những thông tin quan trọng. Do đó, đặt ra vấn đề cần phải
tìm ra giải pháp bảo mật thông tin trên đường truyền, thông tin lưu trữ các phần
mềm văn phòng điện tử. Có thể nói sử dụng hệ mật mã để mã hóa thông tin là
phương pháp tối ưu và hiệu quả đáp ứng các yêu cầu đảm bảo an toàn thông tin
trong văn phòng điện tử. Để bảo vệ thông tin trên đường truyền, thông tin
thường được biến đổi từ dạng nhận thức được sang dạng không nhận thức được
trước khi truyền đi trên mạng (gọi là mã hóa - encryption), tại trạm nhận phải
thực hiện quá trình ngược lại từ thông tin mã hóa sang thông tin gốc (gọi là giải
mã - decryption). Phương pháp này được sử dụng rộng rãi trong môi trường
mạng cho đến nay vẫn thể hiện tính hiệu quả.
Có nhiều tiêu chí khác nhau trong việc phân loại hệ mật mã như: theo thời
gian, cách tạo khóa,... trong đó tiêu chí cách tạo khóa đang được sử dụng rộng
rãi hiện nay để phân loại các hệ mật mã với nhau. Có hai hệ mật mã được phân
loại theo tiêu chí này là: hệ mật mã khóa đối xứng và hệ mật mã khóa công khai.
Hệ mật mã khóa đối xứng: Là hệ mật mã chỉ dùng một khóa duy nhất cho
cả hai quá trình mã hóa và giải mã.


23

Hệ mật mã khóa công khai: Là hệ mật mã dùng hai khóa, một khóa để mã
hóa, một khóa để giải mã. Hai khóa tạo nên cặp chuyển đổi đối ngược nhau và
rất khó có thể suy ra nhau.
2.2. Hệ mật mã khóa đối xứng
2.2.1. Khái niệm
Hệ mật mã khóa đối xứng là hệ mật mã chỉ dùng một khóa duy nhất cho
cả hai quá trình mã hóa và giải mã.
Trong hệ thống mã hóa khóa đối xứng, trước khi truyền dữ liệu hai bên
gửi và nhận phải thỏa thuận về khóa dùng chung cho quá trình mã hóa và giải

mã. Sau đó, bên gửi sẽ mã hóa bản rõ bằng cách sử dụng khóa bí mật này và gửi
thông điệp đã mã hóa cho bên nhận. Bên nhận sau khi nhận được thông điệp đã
mã hóa sẽ sử dụng chính khóa bí mật mà hai bên đã thỏa thuận để giải mã và lấy
lại bản rõ.

Hình 2.1 Quá trình thực hiện mã hóa khóa đối xứng
Hệ mật mã này có đặc điểm là thời gian mã hóa và giải mã tương đối
nhanh. Do đó hệ mật mã khóa đối xứng thường được sử dụng để mã hóa những
dữ liệu lớn.
Có hai thuật toán được sử dụng chủ yếu trong việc tạo khóa bí mật trong
hệ mật mã khóa đối xứng:


24
-

Thuật toán mã khối: Thuật toán mã hóa từng khối bit đầu vào với độ
dài xác định. Độ dài khối đầu vào thường là 64bit. Thuật toán tiêu biểu

-

là: 3DES, AES, ….
Thuật toán mã dòng: Thuật toán mã hóa từng bit của dòng dữ liệu. Các
thuật toán mã hóa dòng này có tốc độ nhanh hơn các các thuật toán mã
hóa khối và nó thường được áp dụng khi lượng dữ liệu cần mã hóa
chưa biết trước. Thuật toán tiêu biểu: RC4, RC5,....

2.2.2. Ưu điểm và nhược điểm của hệ mã hóa khóa đối xứng
Ưu điểm

Nhược điểm

+ Có thể được thiết kế đạt tốc độ cao.
Các thiết bị phần cứng hỗ trợ có thể đọc
tốc độ hàng trăm megabytes mỗi giây
trong khi việc thực thi bằng phần mềm
chỉ được khoảng vài megabytes mỗi
giây.

+ Trong quá trình truyền thông tin giữa
hai người, khóa phải được giữ bí mật
cho cả hai phía.
+ Trong hệ thống mạng lớn, số lượng
khóa cần được quản lý rất nhiều. Do vậy
việc quản lý khóa hiệu quả đòi hỏi phải
cần bên tin cậy thứ ba (TTP: Trusted
Third Party).
+ Khóa bí mật cần được thay đổi thường
xuyên.
+ Kỹ thuật chữ kỹ số được phát triển từ
cơ chế mã hóa khóa đối xứng đòi hỏi sử
dụng các khóa lớn cho các hàm xác
nhận công khai hoặc sử dụng một TTP.

+ Khóa dùng cho mã hóa khóa đối xứng
tương đối ngắn.
+ Được xem như thành phần cơ bản có
thể triển khai xây dựng các kỹ thuật mã
hóa khác bao gồm khởi tạo các số ngẫu
nhiên, các hàm băm, các kỹ thuật tính

toán.
+ Có thể được kết hợp để tạo ra các
thuật toán mã hóa mạnh hơn.
2.3. Hệ mật mã khóa công khai
2.3.1. Khái niệm

Khác với hệ mật mã khóa đối xứng, hệ mật mã khóa công khai là hệ mật
mã dùng một cặp khóa để mã hóa và giải mã khác khau, biết được khóa này
"khó" tính được khóa kia.
Hệ mã hóa này được gọi là hệ mã hóa công khai vì khóa dùng để mã hóa
được công khai (gọi là khóa công khai - Public key), khóa giải mã được giữ bí


25

mật (gọi là khóa riêng - Private key). Điều quan trong đối với hệ thống là không
thể tìm ra khóa bí mật nếu chỉ biết khóa công khai [13].

Hình 2.2 Quá trình thực hiện mã hóa khóa công khai
Quá trình truyền và sử dụng mã hóa công khai được thực hiện như sau:
Bên gửi yêu cầu cung cấp hoặc tự tìm khóa công khai của bên nhận trên
một server chịu trách nhiệm quản lý khóa.
Sau đó hai bên thống nhất thuật toán để mã hóa dữ liệu, bên gửi sử dụng
mã hóa công khai của bên nhận cùng với thuật toán đã thống nhất để mã hóa
thông tin được gửi đi.
Khi nhận được thông tin đã mã hóa bên nhận sử dụng khóa bí mật của
mình để giải mã và lấy được thông tin ban đầu.
Vậy là với sự ra đời của mã hóa công khai thì khóa được quản lý một cách
linh hoạt và hiệu quả hơn. Người sử dụng chỉ cần bảo vệ khóa bí mật.
Một số hệ mã hóa khóa công khai phổ biến như: RSA, Elgamal, …