MỞ ĐẦU 1.1 Giới thiệu đề tài Trong cuộc sống hiện đại ngày nay, con người đã và đang ngày càng phụ thuộc vào công nghệ đặc biệt là công nghệ máy tính. Máy tính kiểm soát hầu hết các lĩnh vực đời sống từ kinh tế, giao thông vận tải, y tế, tài chính ngân hàng và nhiều lĩnh vực khác nữa. Sự phụ thuộc này đã đem lại cho con người một cuộc sống thoải mái và tiện nghi hơn nhưng cũng đem lại nhiều cơ hội cho các loại tội phạm công nghệ cao hay tội phạm công nghệ thông tin bởi những giá trị kinh tế mà thông tin mang lại. Điều này đã và đang mang lại những hiểm họa mới cho xã hội, vì loại hình tội phạm này hết sức tinh vi và tầm ảnh hưởng rất lớn.
Công nghệ Internet và công nghệ di động cũng đang ảnh hưởng rất lớn đến mọi mặt của đời sống xã hội. Sự phát triển của mạng internet và thông tin đã góp phần tích cực trong việc thúc đẩy các lĩnh vực khác của đời sống. Con số thống kê của Bộ Thông tin và Truyền thông cho thấy lĩnh vực viễn thông và Internet của Việt Nam vẫn đang tiếp tục tăng trưởng mạnh ở mức bùng nổ. Tổng số thuê bao điện thoại trên toàn mạng hiện có là 101,7 triệu máy, trong đó thuê bao di động chiếm 86,7% (số liệu năm 2008).
Việt Nam hiện xếp thứ 6 trong châu Á về số lượng thuê bao di động. Cùng với sự gia tăng thuê bao, thông tin di động đã “tấn công” vào tất cả cả các lĩnh vực trong đó có lĩnh vực tài chính ngân hàng và đã định hình lại thị trường dịch vụ tài chính. Ngân hàng điện tử là hình thức cung cấp các dịch vụ ngân hàng tới khách hàng thông qua dịch vụ Internet với chi phí thấp hơn và đặc biệt là tiện lợi hơn cho khách hàng. Tuy nhiên, dù Internet đã khá phổ biến nhưng mật độ sử dụng Internet ở các nước đang phát triển nói chung và Việt Nam nói riêng chưa cao, trình độ của đại đa số người dùng cũng chưa đủ để khai thác các 11 tiện ích của Internet một cách tối đa.
Do đó ngân hàng qua di động (mobile banking) sẽ chiếm ưu thế hơn trong hoàn cảnh này. Các ngân hàng Việt Nam cũng rất chú trọng đến dịch vụ này, đến nay rất nhiều ngân hàng đã triển khai dịch vụ tới khách hàng và được khách hàng đón nhận. Thương mại di động là các giao dịch thương mại được thực hiện thông qua hệ thống thông tin vô tuyến và thiết bị di động. Mobile banking là dịch vụ cho phép người dùng nhận các thông tin về tài khoản, chuyển khoản giữa các tài khoản ngân hàng, giao dịch chứng khoán và thanh toán sử dụng thiết bị di động.
Các thông tin này đều là các thông tin nhạy cảm, các giao dịch lại liên quan trực tiếp với vấn đề tài chính, đó là điểm khác biệt của dịch vụ mobile banking so với các dịch vụ khác được cung cấp qua mạng di động. Với các đặc thù đó nên vấn để bảo mật của mobile banking là một trong những thách thức quan trọng đối với các bên liên quan khi triển khai dịch vụ này tới khách hàng. Trong số các công nghệ cho phép thực hiện việc triển khai dịch vụ mobile banking, phải kể tới dịch vụ tin nhắn ngắn SMS vì sự phổ biến của nó. Hơn nữa các dịch vụ cung cấp nội dung đang hết sức phổ biến nên việc đưa dịch vụ SMS banking vào thực tế sẽ trở nên dễ dàng hơn.
Tuy nhiên, đi kèm với dịch vụ SMS banking đó cũng cần có các cơ chế bảo mật để đảm bảo an toàn cho khách hàng và ngân hàng trước những sự tấn công ngày càng tinh vi của các loại tội phạm công nghệ cao. Xuất phát từ những lý do nêu trên, luận văn xin chọn đề tài là “Dịch vụ SMS banking, các vấn đề bảo mật và ứng dụng”. Với mong muốn có thêm kiến thức về một dịch vụ tuy không mới nhưng chưa nhiều đề tài thực sự quan tâm tới, và kiến thức về các cơ chế mã hóa bảo mật nói chung và bảo mật trong các dịch vụ tài chính nói riêng, cùng với sự hướng dẫn nhiệt tình của các thầy cô giáo, tôi đã cố gắng hết sức và vận dụng tối đa các kiến thức mà 12 mình có được qua quá trình học tập và công tác để hoàn thành được đề tài và tạo ra được một mô hình chứng minh tính lý thuyết của đề tài.2 Phạm vi đề tài Hiện tại có rất nhiều công nghệ cho phép cung cấp các ứng dụng dịch vụ mobile banking tới khách hàng gồm có: Đáp ứng thoại tương tác (Interactive Voice Response - IVR), tin nhắn ngắn (Short Message Service – SMS), giao thức truy nhập vô tuyến (Wireless Access Control – WAP), và các ứng dụng người dùng đứng độc lập khác (Mobile Application Clients – MAC). Đề tài này sẽ đi vào phân tích nghiên cứu các công nghệ này cũng như các ứng dụng để nâng cao độ tin cậy của mobile banking cũng như tìm ra và khắc phục các hạn chế bảo mật của các giải pháp này.
Luận văn sẽ đặc biệt tập trung vào công nghệ SMS vì đó là công nghệ phù hợp nhất và hiệu quả nhất với các nước đang phát triển. Mô hình của hệ thống cung cấp dịch vụ ngân hàng qua SMS cũng giống như mô hình cung cấp các dịch vụ khác qua tin nhắn. Mô hình gồm có các thành phần cơ bản như sau. • Mobile Network: mạng di động, gồm cả phía người dùng và phía nhà cung cấp dịch vụ di động, thành phần giao tiếp chính với ngân hàng nói riêng và các nhà cung cấp dịch vụ nội dung là SMSC.
• Content Provider: nhà cung cấp dịch vụ nội dung, cụ thể ở đây là máy chủ ngân hàng phụ trách dịch vụ SMS banking. • SMS gateway: hầu hết các nhà cung cấp dịch vụ nội dung đều thông qua một gateway để kết nối với mạng di động nhằm tiết kiệm chi phí chung. Trong trường hợp dịch vụ SMS banking ở Việt Nam thì SMS Gateway này được cung cấp qua một số đơn vị như Paynet, VNPay. 13 Đối với các dịch vụ tài chính ngân hàng điện tử, yếu tố khác biệt nhất và cũng là đáng quan tâm nhất chính là tính bảo mật của hệ thống cung cấp dịch vụ.
Nếu đường truyền giữa nhà cung cấp dịch vụ nội dung (ngân hàng) và SMS gateway là đường truyền có dây và có cung cấp các cơ chế phòng chống tán công thì đường truyền giữa người dùng tới SMS Gateway (hoặc tới thẳng ngân hàng) lại là môi trường di động không dây tiềm ẩn rất nhiều nguy hiểm. Công nghệ GSM và dịch vụ tin nhắn ngắn SMS có rất nhiểu hạn chế về bảo mật. Các tin nhắn đều không được mã hóa trên đường truyền và tại các máy chủ lưu trữ đầu cuối hoặc trung gian. Các công ty viễn thông với việc lưu trữ lại tin nhắn này trên máy chủ của mình luôn là đích ngắm của tội phạm tấn công hệ thống nhằm có được thông tin một cách bất hợp pháp.
Mobile network SMS Gateway Content Provider Mobile network SMSC Content Provider Hình 1.1: Mô hình của hệ thống cung cấp dịch vụ qua tin nhắn 14 Trong SMS banking, dữ liệu được truyền qua kênh thông tin vô tuyến. Quá trình này đặt ra vấn đề về xác thực được người dùng, quản trị dữ liệu và đặc biệt là tính bảo mật của dữ liệu. Do đó câu hỏi chính được đặt ra là phương pháp giải quyết các thách thức bảo mật mà một hệ thống dịch vụ SMS banking được phải đối mặt và quản lý các rủi ro của nó. Để trả lời được câu hỏi đó, luận văn sẽ tìm hiểu lần lượt các vấn đề sau: - Các công nghệ hỗ trợ mobile banking đối với người dùng thiết bị di động, đặc biệt là SMS.
- Các vấn đề về bảo mật của các công nghệ SMS. - Các biện pháp bảo mật hiện đang được triển khai dành cho các dịch vụ qua SMS nói chung và SMS banking nói riêng. - Mô hình bảo mật phù hợp nhất đối với các nước đang phát triển. - Các yêu cầu, hạn chế, và thách thức của ứng dụng SMS banking trong hoàn cảnh của các nước đang phát triển - Các mô hình, giải pháp bảo mật đề xuất.
Trên đây là mô tả chung về dịch vụ SMS banking. Trong phạm vi luận văn với thời gian nghiên cứu có hạn, tôi xin được phép thu hẹp phạm vi đề luận văn trong việc xây dựng một mô hình giải pháp bảo mật với các phương pháp xác thực, mã hóa, kiểm tra tính toàn vẹn cho dịch vụ SMS banking triển khai ở cả hai phía máy chủ và thiết bị di động. 15 CHƯƠNG 2: CƠ SỞ LÝ THUYẾT Trong phần này luận văn sẽ nghiên cứu các thành phần và chức năng của mạng GSM và các vấn đề liên quan đến bảo mật của mạng GSM. Sau đó luận văn sẽ nghiên cứu các công nghệ hỗ trợ mobile banking và các đặc điểm về bảo mật của các công nghệ đó, mà tập trung chính vào công nghệ SMS.1 Cơ bản về hệ thống GSM và các vấn đề bảo mật.1 Hệ thống GSM Từ năm 1982, Tổ chức Bưu chính và Viễn thông châu Âu (CEPT) bắt đầu nghiên cứu chuẩn hóa mạng thông tin tế bào công cộng của châu Âu ở tần số 900MHz thành hệ thống GSM, với mục đích cho phép thuê bao lưu động (roaming) giữa nhiều quốc gia.
Hệ thống GSM được chính thức đưa vào hoạt động vào năm 1991 với phương thức đa truy nhập TDMA/FDMA (8thuê bao/200KHz) ở băng tần 900MHz. Hệ thống này hoạt động rất thành công và được sử dụng ở hơn 200 quốc gia. Các tiêu chuẩn kỹ thuật của mạng GSM 900MHz được mở rộng cho dải tần 1800 và 1900MHz, được biết đến với tên DCS1800 và PCS1900. Mạng theo chuẩn GSM có các đặc điểm: cuộc thoại được số hóa, hỗ trợ dịch vụ dữ liệu tốc độ thấp.
Giao diện vô tuyến của hệ thống GSM dựa trên phương thức đa truy nhập phân chia theo thời gian TDMA. Trong mạng dùng chuyển mạch kênh, với tốc độ không lớn hơn 14. Kiến trúc mạng GSM Kiến trúc mạng GSM được mô tả trong hình 2.2 Hệ thống GSM gồm 3 phân hệ (subsystem): • Phân hệ vô tuyến (BSS – Base Station Subsystem) 16 • Phân hệ chuyển mạch (NSS – Network Subsystem) • Phân hệ vận hành và bảo dưỡng (OMS – Operation and Maintenance Subsystem) (không được vẽ trên hình) Hình 2.1: Kiến trúc mạng GSM a1. Phân hệ vô tuyến BSS gồm • Trạm di động MS (Mobile Station) MS là thiết bị thu phát sóng vô tuyến trong phạm vi cell, nó có thể là thiết bị cầm tay đơn giản, hay là thiết bị số cá nhân (PDA – Personal Digital Assistant).