Bảo mật và an toàn thông tin trong hệ thống mạng cục bộ của cơ quan nhà nước

Bảo mật và an toàn thông tin trong hệ thống mạng cục bộ của cơ quan nhà nước

ĐẠI HỌC QUỐC GIA HÀ NỘI
TRƯỜNG ĐẠI HỌC KHOA HỌC TỰ NHIÊN

---------------------------

PHÙNG THỊ THANH MAI

BẢO MẬT VÀ AN TOÀN THÔNG TIN
TRONG HỆ THỐNG MẠNG CỤC BỘ
CỦA CƠ QUAN NHÀ NƯỚC

LUẬN VĂN THẠC SĨ KHOA HỌC

Hà Nội – 2011

Trang 1


Bảo mật và an toàn thông tin trong hệ thống mạng cục bộ của cơ quan nhà nước

ĐẠI HỌC QUỐC GIA HÀ NỘI
TRƯỜNG ĐẠI HỌC KHOA HỌC TỰ NHI ÊN

---------------------

PHÙNG THỊ THANH MAI

BẢO MẬT VÀ AN TOÀN THÔNG TIN
TRONG HỆ THỐNG MẠNG CỤC BỘ CỦA

CƠ QUAN NHÀ NƯỚC
Chuyên ngành: Bảo đảm toán học cho máy tính
Mã số:

và hệ thống tính toán
60.46.35

LUẬN VĂN THẠC SĨ KHOA HỌC

Người hướng dẫn khoa học: PGS.TS. Đoàn Văn Ban

Hà Nội – Năm 2011
Trang 2


Bảo mật và an toàn thông tin trong hệ thống mạng cục bộ của cơ quan nhà nước

MỤC LỤC
DANH MỤC CÁC THUẬT NGỮ, TỪ VIẾT TẮT................................................. 6
DANH MỤC HÌNH VẼ......................................................................................................... 7
MỞ ĐẦU....................................................................................................................................... 8
Chương 1. CÁC PHƯƠNG PHÁP BẢO MẬT THÔNG TIN - TỔNG
QUAN VỀ HỆ MẬT MÃ................................................................................................... 12
1.1. Vấn đề bảo mật, an toàn thông tin................................................................... 12
1.1.1. Bảo vệ an toàn thông tin dữ liệu trong các cơ quan nhà nước..........13
1.1.2 Các chiến lược bảo vệ an toàn cho hệ thống mạng máy tính.............13
1.1.3. An toàn thông tin bằng mật mã..................................................................... 16
1.1.4. Vai trò của hệ mật mã....................................................................................... 17
1.2. Hệ mật mã.................................................................................................................... 17
1.2.1. Định nghĩa hệ mật mã...................................................................................... 17

1.2.2. Những yêu cầu đối với một hệ mật mã..................................................... 18
1.2.3. Phân loại hệ mật mã.......................................................................................... 18
1.3. Mã hóa đối xứng....................................................................................................... 19
1.3.1. Định nghĩa............................................................................................................ 19
1.3.2. Chuẩn mã hóa dữ liệu DES............................................................................ 20
1.4. Mã hóa bất đối xứng (mã hóa khóa công khai)......................................... 26
1.4.1. Giới thiệu chung................................................................................................. 26
1.4.2. Một thuật toán dùng trong hệ mật mã khoá công khai: RSA............28
1.5. Mã hóa RSA................................................................................................................ 29
1.5.1. Sự ra đời của hệ mật mã RSA....................................................................... 29
1.5.2. Mô tả thuật toán.................................................................................................. 29
1.5.3. Hàm băm (hash)................................................................................................. 30
1.5.4. Chứng chỉ số........................................................................................................ 35
1.6. Kết chương.................................................................................................................. 44
Chương 2. CHỮ KÝ SỐ..................................................................................................... 46
2.1. Chữ ký điện tử........................................................................................................... 46
2.2. Chữ ký số...................................................................................................................... 46
2.3.1. Lược đồ chữ ký kèm thông điệp.................................................................. 48
2.3.2. Lược đồ chữ ký khôi phục thông điệp....................................................... 49
2.4. Một số lược đồ chữ ký cơ bản............................................................................ 51
Trang 4


Bảo mật và an toàn thông tin trong hệ thống mạng cục bộ của cơ quan nhà nước

2.4.1. Lược đồ chữ ký RSA........................................................................................ 51
2.4.2. Lược đồ chữ ký DSA (Digital Signature Standard).............................. 53
2.5. Hai lược đồ chữ ký khả thi.................................................................................. 58
2.6. Các phương pháp tấn công chữ ký điện tử................................................. 58
2.7. Kết chương.................................................................................................................. 59

Chương III. BẢO MẬT GỬI, NHẬN THƯ ĐIỆN TỬ (EMAIL) VÀ
TRUYỀN TẢI VĂN BẢN GIỮA CÁC CƠ QUAN NHÀ NƯỚC..................60
3.1. Tổng quan về gửi/nhận Email và truyền tải văn bản qua mạng.....60
3.2. Các đặc trưng của gửi/nhận Email và truyền tải văn bản trong hệ
thống mạng cục bộ và qua mạng Internet............................................................ 60
3.3. Các hình thức hoạt động chủ yếu của gửi/nhận Email v à truyền tải
văn qua mạng...................................................................................................................... 60
3.4. Bảo mật, chứng thực việc gửi/nhận Email và truyền tải văn bản . 61
3.4.1. Bảo mật việc gửi/nhận Email và truyền tải văn bản qua mạng......61
3.4.2. Các khía cạnh an toàn...................................................................................... 63
3.4.3. Các kỹ thuật đảm bảo an toàn cho gửi/nhận Email và truyền tải
văn bản............................................................................................................................... 64
3.5. Chương trình ứng dụng........................................................................................ 65
3.5.1. Thuật toán RSA triển khai quá trình xác nhận bằng cách sử dụng
chữ ký điện tử.................................................................................................................. 66
3.5.2. Giới thiệu phần mềm mã hóa PGP (Pretty Good Privacy).................66
3.5.3. Hoạt động của PGP........................................................................................... 67
3.5.4. Cơ chế hoạt động của PGP............................................................................. 70
3.5.5. Vấn đề bảo mật của PGP................................................................................ 73
3.5.6. Phần mềm mã hóa PGP................................................................................... 74
3.5.7. Xuất khóa công khai (Public PGP Key).................................................... 79
3.5.8. Nhập khóa công khai PGP key..................................................................... 80
3.5.9. Kiểm tra việc mã hóa file sẽ gửi dùng PGP encryption...................... 81
3.5.10. Dùng chữ ký số cho việc gửi/nhận Email.............................................. 84
3.6. Kết chương.................................................................................................................. 91
KẾT LUẬN VÀ HƯỚNG PHÁT TRIỂN.................................................................. 91
TÀI LIỆU THAM KHẢO................................................................................................. 93

Trang 5

Bảo mật và an toàn thông tin trong hệ thống mạng cục bộ của cơ quan nhà nước

DANH MỤC CÁC THUẬT NGỮ, TỪ VIẾT TẮT
CA

Certificate Authority – Cơ quan chứng thực chữ ký số

DS

Digital Signatures - Chữ ký số

DSA

Digital Signature Algorithm - Giải thuật ký điện tử

DES

Data Encryption Standard – Chuẩn mã hóa dữ liệu

DSS

Digital Signature Standard - Chuẩn chữ ký số

EMAIL

Electronic Mail - Thư điện tử

FTP

File Transfer Protocol – Giao thức truyền tệp

Hacker Người đột nhập vào máy tính và phá hoại máy tính (tin tặc)
HTTP Hypertext Transfer Protocol – Giao thức truyền siêu văn bản
ID

Chỉ danh người dùng trên mạng

MD5

Message Digest algorithm 5 - giải thuật của hàm băm

Router
RSA

Thiết bị cho phép gửi các gói dữ liệu dọc theo mạng
Rivest, Shamir and Adleman - Giải thuật mã hóa công khai

PGP

Pretty Good Privacy – Phần mềm mã hóa dữ liệu và xác thực

PKI

Public Key Infrastructure – Cơ sở hạ tầng khóa công khai

SHA

Secure Hash Algorithm – Giải thuật băm an toàn

S-HTTP

Secure Hypertext Transfer Protoco - Giao thức truyền siêu VB an toàn

SSL

Secure Socket Layer - Giao thức an ninh thông tin

UBND

Ủy ban nhân dân

TCP/IP

Transmission Control Protocol/Internet Protocol - một hệ thống

các giao thức hỗ trợ việc truyền thông tin trên mạng
WEB

Một loại siêu văn bản (tập tin dạng HTML hoặc XHTML) tr ình

bày thông tin trên mạng Internet, tại một địa chỉ nhất định

Trang 6


Bảo mật và an toàn thông tin trong hệ thống mạng cục bộ của cơ quan nhà nước

DANH MỤC HÌNH VẼ
Hình 1.1: Các mức độ bảo vệ trên mạng máy tính….....…………………….13

Hình 1.2: Sơ đồ mã hóa khóa đối xứng……………………………………...17
Hình 1.3: Một vòng của DES………………………………………………..19
Hình 1.4: Hàm f của DES……………………………………………………21
Hình 1.5: Sơ đồ thuật toán tạo các khóa từ K1 đến K16 ……………… ……22
Hình 1.6: Sơ đồ mô tả chi tiết DES………………………………………….22
Hình 1.7: Sơ đồ mô tả bản băm thông điệp……………………………….....30
Hình 1.8a: Đường đi đúng của thông tin…………………………………….31
Hình 1.8b: Thông tin bị lấy trộm và đã bị thay đổi trên đường truyền.......…31
Hình 1.9: Sơ đồ tạo chữ ký số…………………………………………...…..33
Hình 1.10: Sơ đồ xác nhận chữ ký số…………….…………………….……33
Hình 1.11: Dùng mật khẩu xác thực máy khách kết nối tới máy dịch vụ…...35
Hình 1.12. Chứng thực của máy khách kết nối tới máy dịch vụ……….……37
Hình 1.13: Sơ đồ hoạt động của Hệ thống cấp chứng chỉ khóa công khai ….39
Hình 1.14: Mô hình dây chuyền chứng thực……………………………...…41
Hình 2.1: Lược đồ chữ ký kèm thông điệp……………..…………………....47
Hình 2.2: Lược đồ chữ ký khôi phục thông điệp…………………………….48
Hình 2.3: Lược đồ chữ ký DSA……………………………………………..51
Hình 3.1: Sơ đồ mã hóa khóa công khai………….………………………....66
Hình 3.2: Sơ đồ của PGP sinh ra chuỗi ký tự mã……….……………...……70
Hình 3.3: Sơ đồ của PGP tiếp nhận chuỗi ký tự mã……….…...……………70

Trang 7


Bảo mật và an toàn thông tin trong hệ thống mạng cục bộ của cơ quan nhà nước

MỞ ĐẦU
1. Lý do chọn đề tài
Bảo mật và bảo đảm an toàn thông tin dữ liệu đang là vấn đề thời sự
được nhiều nhà khoa học tập trung nghiên cứu, là một chủ đề rộng có liên quan

đến nhiều lĩnh vực; trong thực tế có thể có nhiều phương pháp được thực hiện
để đảm bảo an toàn thông tin dữ liệu. Ngày nay, với sự phát triển nhanh chóng
của hạ tầng truyền thông, người sử dụng dựa trên nền tảng này để truyền các
thông tin trên mạng thì các nguy cơ xâm nhập vào các hệ thống thông tin, các
mạng dữ liệu ngày càng gia tăng. Nhiều chuyên gia đang tập trung nghiên cứu
và tìm mọi giải pháp để đảm bảo an toàn, an ninh cho hệ thống, đặc biệt là các
hệ thống mạng máy tính trong các c ơ quan nhà nước. Việc bảo mật cho hệ
thống mạng máy tính có thể thực hiện theo nhiều phương diện, ở nhiều tầng
khác nhau, bao gồm từ ph ương diện kiểm soát truy nhập vật lý vào hệ thống;
thực hiện sửa chữa, cập nhật, nâng cấp hệ điều hành cũng như vá mọi lỗ hổng
về an ninh, quản lý các hoạt động gửi/nhận Email và truyền tải văn bản trên
mạng (Giám sát qua tường lửa, các bộ định vị Router, phát hiện và phòng ngừa
sự xâm nhập,…); xây dựng các giải pháp bảo mật ở mỗi phần mềm để quản lý
người dùng thông qua việc cấp quyền sử dụng, mật khẩu, mật mã, mã hóa dữ
liệu để che giấu thông tin. Nếu không có sự bảo vệ phụ trợ, như mã hóa dữ liệu
thì môi trường Internet thực sự không phải là nơi an toàn để trao đổi dữ liệu và
các tài liệu thông tin mật.
Với sự phát triển ngày càng nhanh và mạnh của Internet như hiện nay thì
việc sử dụng chữ ký số càng có nhiều ứng dụng trong thực tế. Việc sử dụng
chữ ký số là hết sức quan trọng và cần thiết trong việc gửi/nhận các văn bản
gửi qua hệ thống thư điện tử, qua hệ thống hỗ trợ quản lý, điều h ành, tác
nghiệp. Chữ ký số, cơ sở hạ tầng khóa công khai (PKI) cùng các tiêu chuẩn và
ứng dụng của nó có thể làm thay đổi phương thức và nâng cao hiệu quả làm

Trang 8


Bảo mật và an toàn thông tin trong hệ thống mạng cục bộ của cơ quan nhà nước

việc của cán bộ trong các cơ quan nhà nước để đáp ứng công tác điều hành,

quản lý trong giai đoạn hiện nay. Mô hình chữ ký số đảm bảo an toàn dữ liệu
khi gửi, nhận trên mạng và đươc sử dụng để tạo chứng nhận điện tử trong các
thông tin được truyền đi trên mạng Internet. Ngày nay, hệ mã hóa thường được
sử dụng để xây dựng các lược đồ chữ ký số, đó là hệ mã hóa RSA. Chính vì
những vấn đề thực tiễn trên, luận văn: ”Bảo mật và an toàn thông tin trong
hệ thống mạng cục bộ của cơ quan nhà nước” tập trung nghiên cứu một
trong những phương pháp bảo vệ an toàn thông tin dữ liệu có tính an toàn cao
hiện nay, đó là dùng hệ mã hóa khóa công khai, các chứng chỉ số, chữ ký số
trong việc xác thực thông tin truyền tải trên mạng và cài đặt ứng dụng để đảm
bảo an toàn thông tin trong hệ thống mạng máy tính của cơ quan nhà nước.
2. Mục đích nghiên cứu
Luận văn tập trung nghiên cứu về các giải pháp an toàn thông tin, hệ mật
mã, chú trọng nghiên cứu khóa công khai, chữ ký số và ứng dụng của chữ ký
số, mã hoá dữ liệu để bảo mật, an toàn thông tin của các cơ quan nhà nước
hiện nay trong các giao dịch gửi, nhận thư điện tử và truyền tải văn bản trong
hệ thống mạng cục bộ.
3. Đối tượng và phạm vi nghiên cứu
Luận văn nghiên cứu các khái niệm của lý thuyết mật mã, thuật toán mã
hóa đối xứng (như DES), bất đối xứng (như mật mã khóa công khai RSA), chữ
ký số, chứng chỉ số, ứng dụng chữ ký số trong gửi/nhận Email và truyền tải
văn bản qua mạng.
4. Phương pháp nghiên cứu
+ Tiếp cận phân tích và tổng hợp: Đọc tài liệu, tổng hợp lý thuyết, phân

tích lý thuyết về Hệ mật mã đối xứng, hệ mật mã bất đối xứng (hệ mật mã
khóa công khai), chữ ký số, sử dụng chữ ký số để bảo mật các hệ thống dùng

Trang 9

Bảo mật và an toàn thông tin trong hệ thống mạng cục bộ của cơ quan nhà nước

chung đang được quản lý tại Trung tâm tích hợp dữ liệu của tỉnh với một số
tính năng cơ bản như: có cơ chế phân bổ khóa tự động, mã hóa các thông tin
cần thiết khi gửi/nhận các thông tin;
+ Tiếp cận theo định tính và định lượng: Nghiên cứu cơ sở khoa học của

mã hóa, chữ ký số của các tác giả trong và ngoài nước, các bài báo, thông tin
trên mạng, tìm hiểu các mô hình bảo mật, chứng chỉ số…từ đó trình bày theo
ý tưởng của mình và đề xuất các giải pháp bảo mật, an toàn thông tin trong

gửi/nhận dữ liệu qua mạng Internet của các cơ quan nhà nước trên địa bàn.
+ Cài đặt phần mềm ứng dụng bảo mật PGP để làm nổi bật tính ứng

dụng của hệ mã hóa gửi/nhận Email qua Hệ thống thư điện tử của tỉnh và trao
đổi các tệp dữ liệu trong mạng Hệ thống điều hành, quản lý văn bản của Sở.
Trên cơ sở nghiên cứu các cơ chế, chính sách sẽ đăng ký với Ban cơ yếu Chính
phủ cấp chứng chỉ số cho Sở Thông tin và Truyền thông Thái Bình. Từ đó rút
kinh nghiệm và nhân rộng việc triển khai sử dụng chữ ký số tới các sở, ban,
ngành, UBND các huyện, thành phố trên địa bàn tỉnh Thái Bình trong năm
2012 và các năm tiếp theo.
5. Bố cục Luận văn
Luận văn được trình bày trong ba chương:
- Chương 1. Nghiên cứu các vấn đề về bảo mật, an toàn thông tin dữ liệu
và các chiến lược bảo vệ an toàn cho hệ thống mạng máy tính trong các cơ
quan nhà nước; nghiên cứu tổng quan về hệ mật mã, phương pháp mã hóa đối
xứng, mã hóa bất đối xứng và sự ra đời của hệ mật mã khóa công khai RSA,
đó là cơ sở khoa học cho việc sử dụng chữ ký số vào việc bảo mật và xác thực
thông tin.
- Chương 2. Nghiên cứu các lược đồ chữ ký số, tìm ra hai lược đồ chữ

ký số khả thi đồng thời nghiên cứu các phương pháp tấn công chữ ký điện tử.

Trang 10


Bảo mật và an toàn thông tin trong hệ thống mạng cục bộ của cơ quan nhà nước
- Chương 3. Giới thiệu tổng quan, các đặc trưng, yêu cầu của việc bảo

mật và chứng thực trong việc gửi/nhận thư điện tử và truyền tải văn bản trong
trong hệ thống mạng cục bộ của các cơ quan nhà nước hiện nay; nghiên cứu,
cài đặt phần mềm ứng dụng PGP với các cơ chế xuất, nhập khóa công khai, mã
hóa file và dùng chữ ký số trong phần mềm ứng dụng PGP.

Trang 11


Bảo mật và an toàn thông tin trong hệ thống mạng cục bộ của cơ quan nhà nước

Chương 1. CÁC PHƯƠNG PHÁP BẢO MẬT THÔNG TIN
TỔNG QUAN VỀ HỆ MẬT MÃ
1.1. Vấn đề bảo mật, an toàn thông tin
Ngày nay, với sự phát triển mạnh mẽ của công nghệ thông tin việc ứng
dụng các công nghệ bảo mật trên mạng máy tính càng trở nên phổ cập và vô
cùng cần thiết. Sự xuất hiện mạng Internet cho phép mọi ng ười có thể truy
cập, chia sẻ và khai thác thông tin một cách dễ dàng và hiệu quả. Sự phát triển
mạnh mẽ của Internet về mặt bản chất chính l à việc đáp ứng lại sự gia tăng
không ngừng của nhu cầu gửi/nhận Email và truyền tải văn bản trên hệ thống
mạng toàn cầu. Các giao dịch trên Internet trong các cơ quan nhà nước chủ yếu
là để gửi/nhận Email và truyền tải văn bản như tệp văn bản, massage, trao đổi
tài liệu thông qua Hệ thống quản lý văn bản, điề u hành, tác nghiệp. Nhu cầu

gửi/nhận Email và truyền tải văn bản, dữ liệu trong các cơ quan nhà nước ngày
càng lớn và đa dạng; cơ sở hạ tầng công nghệ thông tin trong các c ơ quan nhà
nước cũng không ngừng được phát triển, mở rộng để nâng cao chất lượng và
lưu lượng truyền tin thì các biện pháp bảo vệ an toàn thông tin dữ liệu khi trao
đổi trên mạng cũng ngày càng được đổi mới.
Tuy nhiên vấn đề an toàn thông tin càng trở nên cấp bách hơn khi có
Internet. Internet có những kỹ thuật cho phép mọi người truy cập, khai thác và
chia sẻ thông tin với nhau. Nhưng nó cũng là nguy cơ chính dẫn đến thông tin
dễ bị hư hỏng hay bị phá hủy hoàn toàn. Sở dĩ có lí do đó là vì việc truyền
thông tin qua mạng Internet hiện nay chủ yếu sử dụng giao thức TCP/IP.
TCP/IP cho phép các thông tin từ máy tính này tới máy tính khác phải đi qua
một loạt các máy tính trung gian hoặc các mạng riêng biệt trước khi nó tới
được đích. Chính vì vậy, giao thức TCP/IP đã tạo cơ hội cho bên thứ ba có thể
thực hiện các hành động gây mất an toàn thông tin trong khi thực hiện việc
truyền thông tin trên mạng.

Trang 12


Bảo mật và an toàn thông tin trong hệ thống mạng cục bộ của cơ quan nhà nước

Để vừa đảm bảo tính bảo mật của thông tin và tăng cường sự trao đổi,
quản lý, điều hành giữa các cơ quan nhà nước trong việc gửi/nhận Email và
truyền tải văn bản qua mạng, giảm bớt giấy tờ thì chúng ta phải có các giải
pháp phù hợp. Hiện có rất nhiều giải pháp cho vấn đề an to àn thông tin trên
mạng như mã hóa thông tin, chữ ký điện tử, chứng chỉ số, sử dụng tường lửa,
bảo vệ vật lý, dùng mật khẩu để kiểm soát quyền truy cập …
1.1.1. Bảo vệ an toàn thông tin dữ liệu trong các cơ quan nhà nước
Chủ yếu theo 03 phương pháp sau:
- Bảo vệ an toàn thông tin bằng các biện pháp hành chính.

- Bảo vệ an toàn thông tin bằng các biện pháp kỹ thuật (phần cứng).
- Bảo vệ an toàn thông tin bằng các biện pháp thuật toán (phần mềm). Ba

phương pháp trên có thể được ứng dụng riêng rẽ hoặc phối kết hợp.
Môi trường khó bảo vệ an toàn thông tin nhất là môi trường mạng và truyền
tin. Biện pháp hiệu quả nhất hiện nay trên mạng truyền tin và mạng máy tính là
biện pháp dùng thuật toán để mã hóa. Trong thực tế không có một biện pháp
bảo vệ an toàn thông tin dữ liệu nào là an toàn tuyệt đối cả.
1.1.2 Các chiến lược bảo vệ an toàn cho hệ thống mạng máy tính
- Thực hiện nguyên tắc bất kỳ một máy tính nào cùng chỉ được sử dụng

một số tài nguyên mạng nhất định trong hệ thống.
- Trong một hệ thống mạng nên tạo nhiều cơ chế an toàn để tương hỗ lẫn

nhau.
- Cần tạo ra nút thắt trong hệ thống để cho phép thông tin đi v ào hệ

thống bằng con đường duy nhất vì vậy phải tổ chức một cơ cấu kiểm soát và
điều khiển thông tin đi qua nút thắt n ày song phải chú ý đến mức độ an toàn
vật lý của hệ thống mạng máy tính
- Cần phải sử dụng nhiều biện pháp bảo vệ khác nhau cho hệ thống v à

cho cả các hệ thống khác nhau nếu không một hệ thống bị tấn công th ì các hệ
thống khác cũng dễ dàng bị tấn công.

Trang 13


Bảo mật và an toàn thông tin trong hệ thống mạng cục bộ của cơ quan nhà nước
- Các mức độ bảo vệ trên mạng: Sử dụng đồng thời nhiều mức bảo vệ

khác nhau tạo thành nhiều hàng rào chắn. Việc bảo vệ thông tin trên mạng máy
tính chủ yếu là bảo vệ thông tin cất giữ trong máy tính, đặc biệt l à các máy
chủ của hệ thống. Bởi thế ngoài một số biện pháp nhằm chống thất thoát thông
tin trên đường truyền cần tập trung vào việc xây dựng các rào chắn cho các hệ
thống kết nối vào mạng. Thông thường có các mức bảo vệ sau:
1.1.2.1. Quyền truy nhập
Lớp bảo vệ trong cùng là quyền truy nhập nhằm mục đích: kiểm soát các
tài nguyên của mạng và quyền hạn của các máy tính trên tài nguyên đó. Dĩ
nhiên là kiểm soát được các cấu trúc dữ liệu càng chi tiết càng tốt. Hiện tại
việc kiểm soát thường ở mức tệp.
1.1.2.2. Đăng ký tên /mật khẩu
Thực ra đây cũng là mức kiểm soát quyền truy nhập, nhưng không phải
truy nhập ở mức thông tin mà ở mức hệ thống. Đây là phương pháp bảo vệ phổ
biến nhất vì nó đơn giản và cũng rất hiệu quả. Khi người sử dụng muốn được
tham gia vào hệ thống để sử dụng tài nguyên đều phải đăng ký tên và mật khẩu
trước. Người quản trị hệ thống có trách nhiệm quản lý, kiểm soát mọi hoạt
động của hệ thống v à xác định quyền truy nhập của những người sử dụng
khác.
1.1.2.3. Mã hoá dữ liệu
Để bảo mật thông tin trên đường truyền người ta sử dụng các phương
pháp mã hoá. Đây là lớp bảo vệ thông tin rất quan trọng. Việc bảo vệ các kênh
truyền thông là một thành phần rất quan trọng đồng nghĩa với việc đảm bảo
tính toàn vẹn của dữ liệu và tính sẵn sàng của kênh truyền thông.
1.1.2.4. Bảo vệ vật lý
Ngăn cản các truy nhập vật lý vào hệ thống đồng thời có nội quy ngăn
cấm người không có phận sự vào phòng đặt máy chủ.
1.1.2.5. Tường lửa

Trang 14

Bảo mật và an toàn thông tin trong hệ thống mạng cục bộ của cơ quan nhà nước

Để ngăn chặn những thâm nhập trái phép tr ên mạng Internet, người ta
thường thiết lập các điểm truy cập tới một mạng cục bộ v à kiểm tra tất cả các
luồng truyền tin vào/ra khỏi điểm truy nhập đó. Phần cứng và phần mềm giữa
mạng Internet và mạng cục bộ dùng để kiểm tra tất cả dữ liệu vào/ra, được gọi
là tường lửa.
Tường lửa đơn giản nhất là một bộ lọc gói tin kiểm tra từng gói tin
vào/ra khỏi mạng trên nguyên tắc sử dụng một tập hợp các quy tắc để kiểm tra
xem luồng truyền tin có được phép vào/ra khỏi mạng hay không? Kỹ thuật lọc
gói tin thường dựa trên các địa chỉ mạng và các số hiệu cổng để bảo vệ một
máy tính và cả hệ thống.
Sau đây là sơ đồ các mức độ bảo vệ trên hệ thống mạng:
Tường lửa (FireWall)

Bảo vệ vật lý (Physical protect)

Mã hoá dữ liệu (Data Encryption)

Đăng ký và mật khẩu (Login/Password)

Quyền truy nhập (Access Rights)

Thông tin (Information)
Hình 1.1: Các mức độ bảo vệ trên mạng máy tính

Trang 15

Bảo mật và an toàn thông tin trong hệ thống mạng cục bộ của cơ quan nhà nước

1.1.2.6. Quản trị mạng.
Công tác quản trị mạng cần phải được thực hiện một cách khoa học đảm
bảo các yêu cầu sau :
- Toàn bộ hệ thống hoạt động bình thường trong giờ làm việc.
- Có hệ thống dự phòng khi xảy ra sự cố về phần cứng hoặc phần mềm.
- Sao lưu (Backup) dữ liệu quan trọng theo định kỳ.
- Bảo dưỡng mạng theo định kỳ.
- Bảo mật dữ liệu, phân quyền truy cập, tổ chức nhóm l àm việc trên hệ

thống mạng.
1.1.3. An toàn thông tin bằng mật mã
Mật mã là một ngành khoa học chuyên nghiên cứu các phương pháp
truyền tin bí mật bao gồm hai quá trình: mã hóa và giải mã. Để bảo vệ thông
tin trên đường truyền người ta thường biến đổi thông tin trước khi truyền đi
trên mạng gọi là mã hoá thông tin (encryption), ở trạm nhận phải thực hiện quá
trình ngược lại được gọi là giải mã thông tin.
Để bảo vệ thông tin bằng mật mã người ta thường tiếp cận theo hai
hướng: theo đường truyền (Link_Oriented_Security) và từ nút đến nút
(End_to_End).
Theo cách thứ nhất thông tin được mã hoá để bảo vệ trên đường truyền
giữa hai nút mà không quan tâm đến nguồn và đích của thông tin đó. Lưu ý
rằng đối với cách này thông tin chỉ được bảo vệ trên đường truyền, tức là ở
mỗi nút đều có quá trình giải mã sau đó mã hoá để truyền đi tiếp, do đó các nút
cần phải được bảo vệ tốt.
Ngược lại theo cách thứ hai thông tin tr ên mạng được bảo vệ trên toàn
đường truyền từ nguồn đến đích. Thông tin sẽ đ ược mã hoá ngay sau khi mới
tạo ra và chỉ được giải mã khi về đến đích. Cách này có nhược điểm là chỉ có

dữ liệu của người dùng thì mới có thể mã hóa được, còn dữ liệu điều khiển thì
giữ nguyên để có thể xử lý tại các nút.

Trang 16


Bảo mật và an toàn thông tin trong hệ thống mạng cục bộ của cơ quan nhà nước

1.1.4. Vai trò của hệ mật mã
- Dùng để che giấu nội dung của văn bản rõ: để đảm bảo sao cho chỉ

người chủ hợp pháp của thông tin mới có quyền truy cập thông tin, hay nói
cách khác là chống truy nhập không đúng quyền hạn.
- Tạo các yếu tố xác thực thông tin: đảm bảo thông tin lưu hành trong hệ

thống dến người nhận hợp pháp là xác thực. Tổ chức các sơ đồ chữ ký điện tử,
đảm bảo không có hiện tượng giả mạo, mạo danh để gửi thông tin tr ên mạng.
Ưu điểm lớn nhất của bất kỳ hệ mật mã nào đó là có thể đánh giá được
độ phức tạp tính toán phải giải quyết b ài toán để có thể lấy được thông tin của
dữ liệu đã được mã hoá.
1.2. Hệ mật mã
Trong mô hình hệ mật mã, yếu tố quan trọng nhất là khóa, nó quyết định
đến độ mật của hệ mật mã và độ đo về tính an toàn của hệ mật mã liên quan
đến nỗ lực tính toán cần thiết để phá m ã của hệ mật và được tiến hành theo
phương thức quy độ an toàn của hệ mật mã đó về một bài toán có độ phức tạp
tính toán không thuộc lớp P.
1.2.1. Định nghĩa hệ mật mã [1][5]
Một hệ mật mã là một bộ 5 (P,C,K,E,D) thoả mãn các điều kiện sau:
- P (Plaintext) là một tập hợp hữu hạn các bản rõ và được gọi là không

gian bản rõ.
- C (Ciphertext) là tập các hữu hạn các bản mã và được gọi là không gian

các bản mã.
- K (Key) là tập hữu hạn các khoá hay còn gọi là không gian khoá. Đối

với mỗi phần tử k của K được gọi là một khoá (Key). Số lượng của không
gian khoá phải đủ lớn để không có đủ thời gian thử mọi khoá; - E
(Encrytion) là tập hợp các qui tắc mã hóa có thể.

Trang 17


Bảo mật và an toàn thông tin trong hệ thống mạng cục bộ của cơ quan nhà nước

- D (Decrytion) là tập hợp các qui tắc giải mã có thể.
Đối với mỗi k

∈

K có một quy tắc mã ek: P → C và một quy tắc giải mã

tương ứng dk∈ D. Mỗi ek: P → C và dk: C → P là những hàm mà: dk(ek(x)) = x
với mỗi x ∈ P.
Chúng ta đã biết một thông tin thường được tổ chức dưới dạng bản rõ.
Người gửi sẽ làm nhiệm vụ mã hoá bản rõ, kết quả thu được gọi là bản mã.
Bản mã này được gửi đi trên một đường truyền tới người nhận, sau khi nhận
được bản mã người nhận giải mã nó để tìm hiểu nội dung.
Thuật toán dùng khi sử dụng định nghĩa hệ mật mã:
ek(C) = P, dk(P) = C

1.2.2. Những yêu cầu đối với một hệ mật mã
- Độ tin cậy: Cung cấp sự bí mật cho các thông tin và dữ liệu được lưu

bằng việc sử dụng các kỹ thuật mã hóa.
- Tính toàn vẹn: Cung cấp sự bảo đảm với tất cả các bên rằng thông tin

không bị thay đổi từ khi gửi cho tới khi người nhận mở ra.
- Không bị chối bỏ: Người gửi không thể từ chối việc đã gửi thông tin đi.
- Tính xác thực: Người nhận có thể xác minh được nguồn tin mình nhận

được là đúng đối tác của mình gửi hay không.
1.2.3. Phân loại hệ mật mã
Dựa vào cách truyền khóa có thể phân các hệ mật mã thành hai loại:
- Hệ mật đối xứng (hay còn gọi là mật mã khóa bí mật): là những hệ mật

dùng chung một khoá cả trong quá trình mã hoá dữ liệu và giải mã dữ liệu. Do
đó khoá phải được giữ bí mật tuyệt đối.
- Hệ mật mã bất đối xứng (hay còn gọi là mật mã khóa công khai) các hệ

mật này dùng một khoá để mã hoá sau đó dùng một khoá khác để giải mã,
nghĩa là khoá để mã hoá và giải mã là khác nhau. Các khoá này tạo nên từng
cặp chuyển đổi ngược nhau và không có khoá nào có thể suy được từ khoá

Trang 18


Bảo mật và an toàn thông tin trong hệ thống mạng cục bộ của cơ quan nhà nước

kia. Khoá dùng để mã hoá có thể công khai nhưng khoá dùng để giải mã phải
giữ bí mật. Trong hệ mật này, việc phân phối khóa và thỏa thuận khóa được

giải quyết một cách tự động, nếu một người trong hệ thống muốn gửi thông
điệp cho B, họ lấy khóa công khai của B tr ên mạng để mã hóa thông điệp và
gửi đến cho B, B dùng khóa bí mật để giải mã thành thông điệp ban đầu.
1.3. Mã hóa đối xứng
1.3.1. Định nghĩa
Thuật toán khóa đối xứng là thuật toán trong đó các khóa dùng cho việc
mã hóa và giải mã có quan hệ rõ ràng với nhau (Có thể dễ dàng tìm được một
khóa nếu biết khóa kia).
Trong rất nhiều trường hợp, khóa để mã hóa và khóa giải mã là giống
nhau hoặc chỉ khác nhau nhờ một biến đổi giữa hai khóa. Thuật toán n ày còn
có nhiều tên gọi khác như thuật toán khóa bí mật, thuật toán khóa đ ơn giản,...
Thuật toán này yêu cầu người gửi và người nhận phải thỏa thuận một khóa
trước khi văn bản được gửi đi, và khóa này phải được cất giấu bí mật. Độ an
toàn của thuật toán này vẫn phụ thuộc vào khóa, nếu để lộ ra khóa này nghĩa là
bất kì người nào cũng có thể mã hóa và giải mã các văn bản trong hệ thống mã
hóa. Sự mã hóa và giải mã của thuật toán [1] được mô tả như sau: E K(P) = C
và DK(C) = P
Bản mã

Bản rõ

Mã hóa

Giải mã

Khóa

Hình1.2: Sơ đồ mã hóa khóa đối xứng

Các vấn đề đối với phương pháp mã hóa đối xứng:

Trang 19

Bản rõ


Bảo mật và an toàn thông tin trong hệ thống mạng cục bộ của cơ quan nhà nước

Phương pháp mã hóa đối xứng đòi hỏi người mã và người giải mã phải
cùng dùng chung một khóa. Khi đó khóa phải được giữ bí mật tuyệt đối, do
vậy ta dễ dàng xác định một khóa nếu biết khóa kia.
Hệ mã hóa khóa đối xứng không an toàn nếu khóa bị lộ với xác suất cao.
Trong hệ này, khoá phải được gửi đi trên kênh an toàn. Do vậy, vấn đề quản lý
và phân phối khóa là khó khăn và phức tạp khi sử dụng hệ mã hóa khóa đối
xứng. Người gửi và người nhận luôn phải thống nhất với nhau về khóa. Việc
thay đổi khóa là rất khó và dễ bị lộ.
1.3.2. Chuẩn mã hóa dữ liệu DES
1.3.2.1. Giới thiệu
DES (Data Encryption Standard) là một thuật toán mã hoá khối (block
algorithm), nó mã hoá một khối dữ liệu 64 bits bằng một khoá 56 bits. Một khối
bản rõ 64 bits đưa vào thực hiện, sau khi mã hoá, dữ liệu ra là một khối bản mã 64
bits. Cả mã hoá và giải mã đều sử dụng cùng một thuật toán và khoá [5]

Nền tảng để xây dựng khối của DES là sự kết hợp đơn giản của các kỹ
thuật thay thế và hoán vị bản rõ dựa trên khoá, đó là các vòng lặp. DES sử
dụng 16 vòng lặp áp dụng cùng một kiểu kết hợp các kỹ thuật trên khối bản rõ.
Thuật toán này chỉ sử dụng các phép số học và logic thông thường trên
các số 64 bits, vì vậy nó dễ dàng thực hiện vào những năm 1970 trong điều
kiện về công nghệ phần cứng lúc bấy giờ. Ban đầu, sự thực hiện các phần mềm
kiểu này rất thô sơ, nhưng ngày nay thì việc đó đã tốt hơn và với đặc tính lặp

đi lặp lại của thuật toán đã tạo nên ý tưởng sử dụng chip với mục đích đặc biệt
này.
1.3.2.2. Mô tả thuật toán DES
DES mã hóa một xâu bits x của bản rõ độ dài 64 bằng một khóa 56 bits.
Bản mã nhận được cũng là một xâu bits có độ dài 64.

Trang 20


Bảo mật và an toàn thông tin trong hệ thống mạng cục bộ của cơ quan nhà nước

Thuật toán thực hiện theo 3 giai đoạn
+ Với bản rõ cho trước x, một xâu bits x 0 sẽ được xây dựng bằng cách

hoán vị các bits của x theo phép hoán vị cố định ban đầu IP. Ta viết: x 0 = IP(X)
= L0R0, trong đó L0 gồm 32 bits đầu và R0 là 32 bits cuối.
+ Sau đó tính toán 16 lần lặp theo một hàm xác định. Ta sẽ tính L iRi, 1
 i ≤ 16 theo qui tắc sau:

Li = Ri-1
Ri = Li-1 ⊕ f(Ri-1, Ki)
Trong đó ⊕ ký hiệu phép hoặc loại trừ của hai xâu bit (cộng theo modulo
2). f là một hàm mà ta sẽ mô tả ở sau, còn K 1, K2, . . . , K16 là các xâu bits độ
dài 48 được tính như hàm của khoá K (trên thực tế mỗi K i là một phép chọn
hoán vị bits trong K). K1, . . ., K16 sẽ tạo thành bảng khoá. Một vòng của phép
mã hoá được mô tả trên hình 1.2.
+ Áp dụng phép hoán vị ngược IP

-1

cho xâu bit R16L16, ta thu được bản

mã y
Tức là y = IP -1 (R16L16). Hãy chú ý thứ tự đã đảo của L16 và R16.
Li-1

f

⊕

Li
Hình 1.3: Một vòng của DES
Trang 21

Ki


Bảo mật và an toàn thông tin trong hệ thống mạng cục bộ của cơ quan nhà nước

Hàm f có hai biến vào: biến thứ nhất A là xâu bits độ dài 32, biến thứ hai
J là một xâu bits độ dài 48. Đầu ra của f là một xâu bits độ dài 32.
Các bước thực hiện như sau:
- Biến thứ nhất A được mở rộng thành một xâu bits độ dài 48 theo một

hàm mở rộng cố định E. E(A) gồm 32 bits của A (đ ược hoán vị theo cách cố
định) với 16 bits xuất hiện hai lần. Tính E(A) ⊕ J và viết kết quả thành một
chuỗi 8 xâu 6 bits = B1B2B3B4B5B6B7B8.
- Dùng 8 bảng S1, S2, … ,S8 (được gọi là các hộp S). Với mỗi S i là một

bảng 4*16 cố định có các hàng là các số nguyên từ 0 đến 15. Với xâu bits có

độ dài 6 (Ký hiệu Bi = b1b2b3b4b5b6), ta tính Si(Bi) như sau: Hai bit b1b6 xác
≤ ≤
định biểu diễn nhị phân của hàng r của S i (0 r 3) và 4 bit (b2b3b4b5) xác
định biểu diễn nhị phân của cột c của S i (0 ≤ c ≤ 15). Khi đó Si(Bi) sẽ xác định
phần tử Si(r,c), phần tử này viết dưới dạng nhị phân là một xâu bits có độ dài 4.
(Bởi vậy, mỗi Si có thể coi là một hàm mã mà đầu vào là một xâu bits có độ
≤
dài 2 và một xâu bits có độ dài 4). Bằng cách tương tự tính các C i = Si(Bi), 1
i

≤

8.
- Xâu bits C = C1C2...C8 có độ dài 32 bits được hoán vị theo cách hoán

vị cố định P. Xâu kết quả là P(C) được xác định là f(A,J).
- (Hàm f được mô tả trong hình 1.4. Chủ yếu nó gồm một phép thế (sử

dụng hộp S), tiếp sau đó là hoán vị P).

Trang 22


Bảo mật và an toàn thông tin trong hệ thống mạng cục bộ của cơ quan nhà nước

A

E
E(A)
+

B1

S1

P
f (A,J )

Hình 1.4: Hàm f của DES
- Sau cùng ta mô tả việc tính toán bảng khoá từ khoá K. Tr ên thực tế, K

là một xâu bits độ dài 64, trong đó 56 bits là khoá và 8 bit đ ể kiểm tra tính
chẵn lẻ nhằm phát hiện sai. Các bit ở các vị trí 8, 16, …, 64 đ ược xác định sao
cho mỗi byte chứa một số lẻ các số “1”. Bởi vậy một sai sót đơn lẻ có thể phát
hiện được trong nhóm 8 bits. Các bits kiểm tra bị bỏ qua trong quá tr ình tính
toán bảng khoá.
- Với một khoá K 64 bits cho trước, ta loại bỏ các bits kiểm tra tính

chẵn lẻ và hoán vị các bits còn lại của K theo phép hoán vị PC-1. Ta viết: PC1(K) = C0D0
- Với thay đổi từ 1 đến 16 :

Ci = LSi(Ci-1) , Di = LSi(Di-1)
Và Ki = PC-2(CiDi). LSi thể hiện sự dịch (sang trái) 1 hoặc 2 bits
phụ thuộc vào giá trị của i: dịch 1 vị trí nếu i = 1, 2, 9 ho ặc 16 và dịch 2 vị trí
trong các trường hợp còn lại. PC-2 là một hoán vị cố định khác được mô tả
trên hình 1.5 như sau:
Trang 23


Bảo mật và an toàn thông tin trong hệ thống mạng cục bộ của cơ quan nhà nước

K

PC-1

C0

LS1

LS1

C1

D1

LS16

LS16

C 16

Hình 1.5: Sơ đồ thuật toán tạo các khóa từ K1 đến K16

L0
ƒ

L1= R0
ƒ

L2=

R2=L1⊕

R1

ƒ(R1,K2)

L =R
15

14

R16= L15⊕ ƒ(R15, K16)
IP

-1

Bản mã (Ciphertext)

Hình 1.6: Sơ đồ mô tả chi tiết DES


Trang 24


Bảo mật và an toàn thông tin trong hệ thống mạng cục bộ của cơ quan nhà nước

1.3.2.3. Giải mã DES
Với DES, có thể sử dụng cùng chức năng để giải mã hoặc mã hóa cùng
một khối. Chỉ có sự khác nhau đó là các khóa phải được sử dụng theo thứ tự
ngược lại. Nghĩa là, nếu các khóa mã hóa cho mỗi vòng là k 1, k2, k3, …, k15,

k16 thì các khóa giải mã là k16, k15, …, k3, k2, k1.
Ví dụ : Cho K = 12695BC9B7B7F8
Z = 0123456789ABCDEF,
Ở đây các số được viết theo cơ số 16 (hexadecimal), mỗi ký tự thay cho

4 bits.
Thực hiện thuật toán lập mã ở trên ta thu được bản mã x=
85E813540F0AB405 và thực hiện thuật toán giải mã x ta lại thu được bản rõ Z.

1.3.2.4. Ứng dụng của DES
Một ứng dụng quan trọng của DES là trong giao dịch Ngân hàng là DES
được dùng để mã hoá các số định danh cá nhân (PIN) và việc chuyển tài khoản
bằng máy rút tiền tự động (ATM).
1.3.2.5. Các cơ chế hoạt động của DES
Thuật toán DES mã hóa đoạn tin 64 bits thành đoạn tin mã hóa 64 bits.
Nếu mỗi khối 64 bits được mã hóa một cách độc lập thì ta có chế độ mã hóa
ECB (Electronic Code Book). Có hai ch ế độ khác của mã hóa DES là CBC
(Cipher Block Chaining) và CFB (Cipher Feedback), nó làm cho m ỗi đoạn tin
mã hóa 64 bits phụ thuộc vào các đoạn tin trước đó thông qua phép toán XOR.
Các thuật toán mã hóa đối xứng có một số trở ngại không thuận tiện khi
hai người muốn trao đổi các thông tin bí mật cần phải chia sẻ khóa bí mật.
Khóa cần phải được trao đổi theo một cách thức an to àn, mà không phải bằng
các phương thức thông thường vẫn dùng để liên lạc. Điều này thông thường là
Trang 25