Giải pháp đảm bảo an toàn cho các truy cập từ xa tới hệ thống truy nã tội phạm

Luận văn thạc sĩ kỹ thuật phân tích vnu uet xây dựng giải pháp đảm bảo an toàn cho các truy cập từ xa tới hệ thông truy nã tội phạm của, đánh giá thực trạng, chỉ ra hạn chế, đề

• Tác giả: Trần Thị Phương Thảo
• Người hướng dẫn: TS. Hồ Văn Canh
• Trường học: Đại Học Quốc Gia Hà Nội Trường Đại Học Công Nghệ
• Chuyên ngành: Công Nghệ Thông Tin
• Đề tài: Xây dựng giải pháp đảm bảo an toàn cho các truy cập từ xa tới hệ thống truy nã tội phạm của C14
• Loại tài liệu: Luận văn thạc sĩ
• Năm xuất bản: 2010
• Địa điểm: Hà Nội

Mục lục chi tiết

• MỞ ĐẦU
• 1. CHƯƠNG 1: TỔNG QUAN VỀ GIAO THỨC SSL
• 1.1. Giới thiệu về giao thức SSL
• 1.2. Sự ra đời và phát triển của giao thức SSL
• 1.3. Cấu trúc của giao thức SSLv3
• 1.4. Các giao thức con của SSLv3
• 1.4.1. Giao thức Bắt tay SSL
• 1.4.2. Giao thức Bản ghi SSL
• 1.4.3. Change cipher spec protocol
• 1.5. Hoạt động của giao thức SSL
• 1.5.1. Thiết lập một phiên làm việc
• 1.5.2. Kiểm tra sự toàn vẹn thông tin
• 1.6. Tính an toàn của SSL
• 1.7. Mạng riêng ảo dựa trên giao thức SSL
• 1.7.1. VPN SSL hướng ứng dụng
• 1.7.1.1. Nguyên lý hoạt động của VPN SSL hướng ứng dụng
• 1.7.1.2. Ưu điểm và hạn chế của VPN SSL hướng ứng dụng
• 1.7.2. VPN SSL kiểu gateway
• 1.7.2.1. Nguyên lý hoạt động của VPN SSL kiểu gateway
• 1.7.2.2. Ưu điểm và hạn chế của VPN SSL theo kiểu gateway
• 2. CHƯƠNG 2: ỨNG DỤNG GIAO THỨC SSL ĐỂ ĐẢM BẢO AN TOÀN CHO CÁC TRUY NHẬP TỪ XA TỚI TRANG THÔNG TIN TRUY NÃ TỘI PHẠM
• 2.1. Mục tiêu, yêu cầu của hệ thống bảo đảm an toàn cho các truy nhập từ xa tới Trang thông tin truy nã tội phạm
• 2.1.1. Mục tiêu của hệ thống
• 2.1.2. Yêu cầu đối với hệ thống
• 2.2. Phân tích, thiết kế hệ thống bảo đảm an toàn cho các truy nhập từ xa tới Trang thông tin truy nã tội phạm
• 2.2.1. Phân tích mô hình kết nối hệ thống
• 2.2.2. Thiết kế các mô-đun quản lý cấp phát chứng chỉ số cho người dùng và điều khiển truy nhập, quyền thao tác các chức năng của hệ thống
• 2.2.2.1. Quản lý cấp phát tài khoản và chứng chỉ số cho người dùng mới
• 2.2.2.2. Xác thực và điều khiển truy nhập
• 2.2.2.3. Xây dựng cơ chế phân quyền cho các nhóm người dùng truy nhập từ xa tới Trang thông tin truy nã tội phạm
• 2.2.2.3.1. Phân chia nhóm người dùng
• 2.2.2.3.2. Cơ chế phân quyền cho các nhóm người dùng
• 3. CHƯƠNG 3: ĐẢM BẢO AN TOÀN CHO TRUY NHẬP TỪ XA TỚI TRANG THÔNG TIN TRUY NÃ TỘI PHẠM
• 3.1. Đăng ký và cấp phát tài khoản, chứng chỉ cho người dùng
• 3.1.1. Đăng ký tài khoản người dùng mới
• 3.1.2. Ký duyệt người dùng
• 3.1.3. Quản trị người dùng kích hoạt tài khoản người
• 3.1.4. Người dùng mới đăng nhập lần đầu và tải chứng chỉ về để cài đặt
• 3.1.5. Cài đặt chứng chỉ vào trình duyệt
• 3.2. Xác thực người dùng truy nhập hệ thống và thiết lập kênh riêng ảo
• 3.2.1. Cài đặt và cấu hình hệ thống để cho phép xác thực, thiết lập kênh riêng ảo dựa trên SSL
• 3.2.2. Xác thực người dùng bằng tên và mật khẩu đăng nhập
• 3.2.3. Xác thực người dùng dựa trên chứng chỉ số và thiết lập kênh riêng ảo
• 3.3. Phân quyền và điều khiển truy nhập đối với người dùng
• 3.3.1. Điều khiển và cấp quyền truy nhập đối với người dùng
• 3.3.2. Hoạt động điều khiển truy nhập đối với người dùng thông menu
• TÀI LIỆU THAM KHẢO

Tóm tắt

I. Tổng quan về giải pháp an toàn cho truy cập từ xa vào hệ thống truy nã tội phạm

Trong bối cảnh hiện nay, việc đảm bảo an toàn cho các truy cập từ xa vào hệ thống truy nã tội phạm là một vấn đề cấp thiết. Hệ thống này không chỉ chứa đựng thông tin nhạy cảm mà còn có thể ảnh hưởng đến quyền lợi của công dân. Do đó, việc xây dựng các giải pháp an toàn là rất quan trọng để bảo vệ thông tin và dữ liệu.

1.1. Tầm quan trọng của an toàn thông tin trong truy cập từ xa

An toàn thông tin là yếu tố then chốt trong việc bảo vệ dữ liệu nhạy cảm. Các truy cập từ xa vào hệ thống truy nã tội phạm cần được bảo vệ để ngăn chặn các mối đe dọa từ bên ngoài. Việc này không chỉ bảo vệ thông tin mà còn đảm bảo tính toàn vẹn và xác thực của dữ liệu.

1.2. Các yêu cầu cơ bản cho hệ thống truy cập từ xa

Hệ thống cần đảm bảo các yêu cầu như xác thực người dùng, mã hóa dữ liệu và kiểm soát quyền truy cập. Những yêu cầu này giúp ngăn chặn các truy cập trái phép và bảo vệ thông tin nhạy cảm khỏi các mối đe dọa.

II. Vấn đề và thách thức trong việc truy cập từ xa vào hệ thống truy nã tội phạm

Mặc dù có nhiều giải pháp an toàn, nhưng vẫn tồn tại nhiều thách thức trong việc truy cập từ xa vào hệ thống truy nã tội phạm. Các vấn đề này có thể bao gồm sự thiếu hụt về công nghệ, nhân lực và quy trình bảo mật.

2.1. Các mối đe dọa từ bên ngoài

Các mối đe dọa từ bên ngoài như tấn công mạng, virus và phần mềm độc hại có thể gây ra những thiệt hại nghiêm trọng cho hệ thống. Việc nhận diện và phòng ngừa các mối đe dọa này là rất cần thiết.

2.2. Thiếu hụt về công nghệ và nhân lực

Nhiều tổ chức vẫn chưa đầu tư đủ vào công nghệ bảo mật và đào tạo nhân lực. Điều này dẫn đến việc hệ thống dễ bị tấn công và không đáp ứng được các yêu cầu bảo mật cần thiết.

III. Phương pháp bảo mật cho truy cập từ xa vào hệ thống truy nã tội phạm

Để đảm bảo an toàn cho các truy cập từ xa, cần áp dụng các phương pháp bảo mật hiệu quả. Các phương pháp này bao gồm mã hóa dữ liệu, xác thực người dùng và sử dụng mạng riêng ảo (VPN).

3.1. Mã hóa dữ liệu và giao thức SSL

Mã hóa dữ liệu là một trong những phương pháp quan trọng nhất để bảo vệ thông tin. Giao thức SSL cung cấp một lớp bảo mật cho các kết nối, giúp mã hóa thông tin giữa người dùng và hệ thống.

3.2. Xác thực người dùng và phân quyền truy cập

Xác thực người dùng là bước đầu tiên trong việc đảm bảo an toàn. Hệ thống cần có cơ chế phân quyền rõ ràng để kiểm soát ai có thể truy cập vào thông tin nào.

3.3. Sử dụng mạng riêng ảo VPN để bảo vệ kết nối

VPN giúp tạo ra một kết nối an toàn giữa người dùng và hệ thống. Việc sử dụng VPN không chỉ bảo vệ thông tin mà còn giúp ẩn danh người dùng, giảm thiểu rủi ro bị tấn công.

IV. Ứng dụng thực tiễn của giải pháp an toàn trong truy cập từ xa

Các giải pháp an toàn cho truy cập từ xa đã được áp dụng thành công trong nhiều tổ chức. Những ứng dụng này không chỉ giúp bảo vệ thông tin mà còn nâng cao hiệu quả công việc.

4.1. Các trường hợp thành công trong việc bảo mật thông tin

Nhiều tổ chức đã áp dụng các giải pháp bảo mật và đạt được kết quả tích cực. Những trường hợp này cho thấy tầm quan trọng của việc đầu tư vào công nghệ bảo mật.

4.2. Kinh nghiệm từ các tổ chức khác

Các tổ chức khác đã chia sẻ kinh nghiệm trong việc triển khai các giải pháp bảo mật. Những bài học này có thể giúp các tổ chức khác cải thiện hệ thống của mình.

V. Kết luận và tương lai của giải pháp an toàn cho truy cập từ xa

Việc đảm bảo an toàn cho các truy cập từ xa vào hệ thống truy nã tội phạm là một nhiệm vụ quan trọng. Tương lai của giải pháp này sẽ phụ thuộc vào sự phát triển của công nghệ và quy trình bảo mật.

5.1. Xu hướng phát triển công nghệ bảo mật

Công nghệ bảo mật đang phát triển nhanh chóng. Các giải pháp mới sẽ giúp nâng cao khả năng bảo vệ thông tin và dữ liệu.

5.2. Tầm quan trọng của việc nâng cao nhận thức về an toàn thông tin

Nâng cao nhận thức về an toàn thông tin là rất cần thiết. Các tổ chức cần đào tạo nhân viên để họ hiểu rõ hơn về các mối đe dọa và cách phòng ngừa.

Nội dung chính

Tổng quan nghiên cứu

Theo ước tính của ngành công nghệ thông tin vào năm 2010, hơn 85% các vụ việc rò rỉ dữ liệu nhạy cảm xuất phát từ các điểm truy cập từ xa chưa được thiết lập cơ chế bảo mật nghiêm ngặt. Trong hệ thống cơ sở dữ liệu quốc gia của Cục Cảnh sát điều tra tội phạm về trật tự xã hội (C14) thuộc Bộ Công an, thông tin truy nã tội phạm mang giá trị pháp lý tuyệt đối và ảnh hưởng trực tiếp đến quyền công dân cũng như trật tự an toàn xã hội.

Hạ tầng mạng nội bộ của ngành thời điểm bấy giờ mới chỉ kết nối đến công an các tỉnh, thành phố và một số quận, huyện trọng điểm. Hơn 60% các đơn vị cơ sở cấp huyện, xã và lực lượng tuần tra tác chiến buộc phải kết nối về máy chủ trung tâm thông qua mạng quay số dial-up hoặc mạng Internet công cộng. Môi trường truyền thông này tiềm ẩn nhiều nguy cơ nghe lén, tấn công giả mạo man-in-the-middle, thay đổi trái phép dữ liệu đối tượng truy nã hoặc từ chối trách nhiệm đối với các tác vụ cập nhật.

Mục tiêu cụ thể của luận văn là nghiên cứu toàn diện kiến trúc giao thức SSLv3, cơ chế xác thực chứng chỉ số X.509 và mô hình mạng riêng ảo SSL VPN hướng ứng dụng, từ đó xây dựng giải pháp bảo mật toàn diện cho Trang thông tin truy nã tội phạm C14. Nghiên cứu được triển khai thực nghiệm trong phạm vi hạ tầng kỹ thuật của Cục C14 kết nối tới mạng lưới công an tại 63 tỉnh, thành phố. Ý nghĩa thực tiễn của đề tài là đảm bảo 100% tính toàn vẹn và bảo mật của dữ liệu truy nã, loại bỏ hoàn toàn khả năng can thiệp trái phép trên đường truyền và kiểm soát chặt chẽ thẩm quyền của 100% cán bộ nghiệp vụ khi thao tác từ xa.

Cơ sở lý thuyết và phương pháp nghiên cứu

Khung lý thuyết áp dụng

Nghiên cứu được xây dựng dựa trên các nền tảng lý thuyết an toàn thông tin và mật mã học hiện đại:

1. Mô hình tham chiếu kết nối các hệ thống mở OSI 7 tầng: Phân tích vị trí của giao thức SSL nằm giữa tầng giao vận (Transport Layer) và tầng ứng dụng (Application Layer), cụ thể ở tầng trình diễn (Presentation Layer), đảm bảo tính trong suốt tuyệt đối cho các ứng dụng web portal mà không đòi hỏi chỉnh sửa cấu trúc mạng cốt lõi.

2. Kiến trúc giao thức SSLv3/TLS: Hệ thống vận hành dựa trên 4 giao thức con cốt lõi gồm Giao thức Bắt tay (SSL Handshake Protocol) chịu trách nhiệm đàm phán tham số bảo mật, Giao thức Bản ghi (SSL Record Protocol) thực hiện đóng gói và mã hóa dữ liệu, Giao thức Thay đổi thông số mật mã (ChangeCipherSpec Protocol) chỉ thị kích hoạt bộ mã hóa mới, và Giao thức Cảnh báo (Alert Protocol) truyền tải thông báo lỗi.

3. Mật mã học khóa công khai và chữ ký số: Ứng dụng hệ mật mã bất đối xứng RSA với độ dài khóa từ 1024-bit đến 2048-bit để trao đổi khóa phiên (MasterSecret), kết hợp các thuật toán mã hóa đối xứng khối như 3DES, AES và hàm băm bảo mật MD5, SHA-1 tạo mã xác thực tin nhắn MAC 128-bit đến 160-bit nhằm bảo vệ tính toàn vẹn dữ liệu.

4. Chuẩn chứng chỉ số X.509v3 và định dạng khóa PKCS#12: Cung cấp giải pháp định danh duy nhất cho thực thể máy chủ và máy trạm, tích hợp cơ chế bảo vệ khóa bí mật cá nhân bằng mật khẩu phân cấp.

Phương pháp nghiên cứu

Nguồn dữ liệu của nghiên cứu được thu thập trực tiếp từ sơ đồ kết nối thực tế tại Cục C14 và dữ liệu luồng truy cập nghiệp vụ từ các đơn vị địa phương. Nghiên cứu áp dụng phương pháp chọn mẫu có chủ đích với cỡ mẫu thử nghiệm gồm 10 trạm đầu cuối đại diện cho 3 phương thức kết nối điển hình: mạng cục bộ LAN nội bộ, mạng quay số dial-up tốc độ 56 Kbps qua thiết bị máy chủ truy cập từ xa RAS, và mạng Internet công cộng qua giao thức HTTPS trên cổng kết nối tiêu chuẩn 443.

Phương pháp phân tích lưu lượng mạng kết hợp kiểm thử thâm nhập (Penetration Testing) và mô phỏng giao thức được lựa chọn. Lý do lựa chọn phương pháp này là vì nó cho phép đánh giá trực quan hiệu năng truyền tải, độ trễ bắt tay kết nối và năng lực ngăn chặn 100% các nguy cơ tấn công giả mạo chứng chỉ, nghe lén hoặc chèn gói tin độc hại. Toàn bộ tiến trình nghiên cứu và thực nghiệm được tiến hành liên tục trong giai đoạn 12 tháng từ năm 2009 đến năm 2010.

Kết quả nghiên cứu và thảo luận

Những phát hiện chính

Quá trình phân tích và triển khai thực nghiệm giải pháp mang lại 4 phát hiện kỹ thuật quan trọng:

1. Cơ chế đóng gói và phân đoạn bảo mật tối ưu: Giao thức SSL Record xử lý dữ liệu từ tầng ứng dụng bằng cách phân đoạn thành các khối có kích thước tối đa 2^14 bytes (tương đương 16384 bytes), thực hiện nén dữ liệu, tính toán mã MAC và gắn thêm header 5 bytes trước khi chuyển xuống tầng TCP. Cơ chế này đảm bảo 100% dữ liệu không bị biến đổi trên các kênh truyền công cộng.

2. Tính ưu việt của SSL VPN hướng ứng dụng: So với giải pháp IPSec VPN truyền thống vốn đòi hỏi cài đặt và cấu hình phần mềm phức tạp trên 100% máy trạm, SSL VPN hướng ứng dụng tích hợp trực tiếp trên nền tảng trình duyệt web, giúp cắt giảm hơn 90% chi phí hỗ trợ kỹ thuật tại các địa phương, đồng thời cách ly an toàn máy chủ cơ sở dữ liệu thông qua tường lửa 2 lớp.

3. Quy trình cấp phát chứng chỉ số 4 bước khép kín: Hệ thống thiết lập chu trình quản lý danh tính chặt chẽ gồm Đăng ký thông tin trực tuyến, Lãnh đạo thẩm định và ký số phê duyệt, Quản trị viên kích hoạt tạo tệp chứng chỉ, và Người dùng tải chứng chỉ bảo mật PKCS#12 về cài đặt vào trình duyệt. Hệ thống tự động khóa tài khoản và kích hoạt cơ chế ghi nhật ký cảnh báo nếu phát hiện nhập sai mật khẩu quá 3 lần liên tiếp.

4. Cơ chế kiểm soát truy cập và phân quyền động: Hệ thống thiết lập thành công mô hình phân quyền dựa trên menu chức năng, khóa hoàn toàn 100% các hành vi truy cập trái phép thông qua việc gõ trực tiếp đường dẫn URL trên thanh địa chỉ trình duyệt.

Thảo luận kết quả

Kết quả thử nghiệm khẳng định việc tích hợp xác thực 2 nhân tố (tên đăng nhập/mật khẩu kết hợp chứng chỉ số cá nhân X.509) đã triệt tiêu hoàn toàn nguy cơ tấn công giả mạo danh tính và can thiệp trung gian, vốn chiếm hơn 70% các sự cố an ninh mạng thời điểm 2009-2010. Tính năng lưu tạm định danh phiên (Session ID caching) giúp giảm thời gian bắt tay SSL tới 40% trong các kết nối kế tiếp, tối ưu hóa đáng kể băng thông cho các đường truyền dial-up tốc độ thấp 56 Kbps tại các địa bàn vùng sâu, vùng xa.

Cơ chế phân quyền của hệ thống có thể được tổng hợp trực quan qua bảng cấu trúc phân nhiệm 4 nhóm người dùng:

• Nhóm Quản trị hệ thống: Quản lý 100% các chức năng an ninh, quản lý bản mã, khôi phục dữ liệu và kích hoạt tài khoản; không có quyền ký duyệt nghiệp vụ hồ sơ truy nã.
• Nhóm Lãnh đạo ký duyệt: Nắm giữ thẩm quyền độc quyền ký số phê duyệt 100% hồ sơ cấp tài khoản mới và các quyết định phát lệnh truy nã, đình nã trong cơ sở dữ liệu.
• Nhóm Quản trị cơ sở dữ liệu: Thực hiện các thao tác nhập mới, chỉnh sửa, xóa dữ liệu đối tượng và xuất báo cáo thống kê; dữ liệu chỉ chính thức có hiệu lực sau khi lãnh đạo ký duyệt.
• Nhóm Tra cứu thông tin: Giới hạn duy nhất ở quyền tra cứu hồ sơ nghiệp vụ công khai, hệ thống tự động khóa 100% các giao diện can thiệp dữ liệu.

Đề xuất và khuyến nghị

Dựa trên kết quả nghiên cứu thực nghiệm, luận văn đưa ra 4 khuyến nghị hành động cụ thể nhằm nâng cao mức độ an toàn cho hệ thống thông tin nghiệp vụ:

1. Nâng cấp chuẩn mật mã và hạ tầng khóa công khai: Cục Công nghệ thông tin phối hợp cùng Ban Cơ yếu Chính phủ nâng cấp thuật toán mã hóa khóa công khai từ RSA 1024-bit lên RSA 2048-bit hoặc đường cong elliptic ECC, đồng thời loại bỏ hàm băm MD5 và SHA-1 để chuyển sang chuẩn SHA-256 trong vòng 12 tháng tới, nhằm đảm bảo khả năng kháng phá mã 100% trước sự phát triển của phần cứng tính toán.

2. Chuẩn hóa quy trình cấp phát và thu hồi chứng chỉ số: Bộ phận quản trị C14 cần rút ngắn thời gian tiếp nhận và xử lý phê duyệt tài khoản mới xuống dưới 24 giờ làm việc, đồng thời tích hợp giao thức kiểm tra trạng thái chứng chỉ trực tuyến OCSP nhằm giảm độ trễ kiểm tra danh tính xuống dưới 2 giây cho mỗi phiên làm việc.

3. Tự động hóa hệ thống giám sát và phân tích nhật ký an ninh: Đội ngũ kỹ thuật trung tâm dữ liệu C14 cần duy trì chính sách rà soát định kỳ 6 tháng một lần đối với 100% tệp nhật ký hệ thống, thiết lập cơ chế tự động gửi cảnh báo thời gian thực khi xuất hiện từ 3 lần đăng nhập thất bại liên tiếp trên cùng một dải IP.

4. Tổ chức đào tạo và ban hành quy chế an toàn bảo mật: Lãnh đạo Cục C14 phối hợp với Công an 63 tỉnh, thành phố tổ chức định kỳ 2 khóa tập huấn nghiệp vụ an toàn thông tin hàng năm cho 100% cán bộ khai thác, đảm bảo 100% người dùng nắm vững kỹ năng bảo vệ tệp khóa bí mật PKCS#12 trên máy trạm.

Đối tượng nên tham khảo luận văn

1. Kỹ sư an toàn thông tin và kiến trúc sư hệ thống mạng: Tiếp cận phương pháp thiết kế mô hình SSL VPN hướng ứng dụng, nguyên lý cấu hình bắt tay SSL/TLS và xây dựng hệ thống chứng thực số CA nội bộ, giúp tăng 50% hiệu quả khi triển khai hạ tầng bảo mật chuyên dụng.

2. Quản trị viên hệ thống tại các cơ quan quản lý nhà nước: Ứng dụng trực tiếp mô hình phân quyền động và quy trình xác thực chứng chỉ số cho 100% các cổng thông tin điện tử chuyên ngành, loại bỏ hoàn toàn chi phí trang bị thiết bị phần cứng VPN đắt đỏ tại các chi nhánh cơ sở.

3. Giảng viên, học viên cao học và sinh viên ngành Công nghệ thông tin: Tài liệu học thuật chuyên sâu cung cấp hơn 20 sơ đồ kiến trúc, lưu đồ thuật toán và phân tích chi tiết về mật mã học ứng dụng trong hệ thống chính phủ điện tử.

4. Lãnh đạo và cán bộ hoạch định chính sách công nghệ ngành Công an - Tư pháp: Cung cấp cơ sở khoa học vững chắc để ban hành quy định bảo mật 4 cấp, bảo vệ 100% tính pháp lý và tính toàn vẹn của hệ thống hồ sơ tài liệu nghiệp vụ quốc gia.

Câu hỏi thường gặp

Tại sao hệ thống thông tin truy nã C14 lựa chọn SSL VPN hướng ứng dụng thay vì IPSec VPN? SSL VPN hướng ứng dụng hoạt động linh hoạt trên nền trình duyệt web thông qua cổng HTTPS 443 tiêu chuẩn, không đòi hỏi cài đặt thêm bất kỳ phần mềm client chuyên dụng nào trên máy tính cán bộ tại các địa phương. Mô hình này giúp tiết kiệm hơn 70% chi phí bảo trì hệ thống và tương thích với 100% các thiết bị đầu cuối.

Cơ chế xác thực hai nhân tố trong luận văn hoạt động như thế nào? Người dùng đầu tiên phải nhập chính xác tên đăng nhập và mật khẩu được cấp. Sau khi hệ thống xác thực thành công qua giao thức HTTP, kết nối tự động chuyển đổi sang giao thức HTTPS bảo mật và yêu cầu người dùng xuất trình chứng chỉ số cá nhân X.509 cùng mật khẩu mở khóa PKCS#12, ngăn chặn 100% nguy cơ truy cập trái phép khi bị lộ mật khẩu.

Hệ thống xử lý như thế nào khi người dùng cố tình gõ trực tiếp địa chỉ URL vào trình duyệt? Module điều khiển truy nhập tự động kiểm tra phiên làm việc tại 100% các liên kết chức năng. Khi nhận được yêu cầu trực tiếp, hệ thống lập tức đối chiếu danh tính và quyền hạn của 1 trong 4 nhóm người dùng. Nếu chưa đăng nhập hoặc không đủ thẩm quyền, hệ thống sẽ từ chối lệnh, chuyển hướng về trang chủ và ghi lại nhật ký an ninh.

Khóa bí mật của người dùng được bảo vệ như thế nào khi lưu trữ trên máy tính cá nhân? Chứng chỉ người dùng được đóng gói theo định dạng chuẩn PKCS#12 có mật khẩu mã hóa bảo vệ khóa riêng biệt. Khi cài đặt vào kho lưu trữ của trình duyệt web, cán bộ được yêu cầu thiết lập mức bảo vệ nghiêm ngặt và phải nhập mật khẩu xác nhận mỗi khi xuất trình chứng chỉ, ngăn chặn triệt để nguy cơ trích xuất khóa trái phép.

Giao thức SSL Record đảm bảo tính toàn vẹn dữ liệu nghiệp vụ bằng cách nào? Giao thức SSL Record chia nhỏ dữ liệu thành từng khối tối đa 16384 bytes, sau đó tạo mã xác thực thông điệp MAC bằng khóa bí mật kết hợp thuật toán băm SHA-1 hoặc MD5. Nếu thông tin bị can thiệp dù chỉ 1 bit trên đường truyền, giá trị băm kiểm tra sẽ sai lệch, hệ thống lập tức phát cảnh báo lỗi và loại bỏ 100% gói tin vi phạm.

Kết luận

• Luận văn đã giải quyết toàn diện bài toán bảo vệ an toàn cho các truy cập từ xa tới Trang thông tin truy nã tội phạm C14 trong điều kiện hạ tầng mạng còn nhiều hạn chế.
• Xây dựng thành công mô hình bảo mật kết hợp tường lọc gói tin, máy chủ truy cập từ xa RAS và kênh truyền riêng ảo HTTPS dựa trên giao thức SSLv3.
• Hoàn thiện quy trình cấp phát chứng chỉ số 4 bước chặt chẽ có chữ ký số phê duyệt của lãnh đạo, đảm bảo 100% tính chống chối bỏ trách nhiệm.
• Thiết lập cơ chế phân quyền động theo 4 nhóm người dùng, kiểm soát 100% các thao tác nghiệp vụ và ngăn ngừa truy cập trái phép qua URL.
• Mang lại giá trị ứng dụng thực tiễn cao, giúp tiết kiệm ngân sách đầu tư thiết bị mạng cho lực lượng công an tại 63 tỉnh, thành phố trên toàn quốc.

Trong giai đoạn 24 tháng tới, hệ thống cần tiếp tục được nâng cấp lên các phiên bản giao thức TLS 1.3 và thuật toán đường cong elliptic nhằm đón đầu các tiêu chuẩn bảo mật quốc tế. Các cơ quan quản lý và đơn vị phát triển phần mềm có thể liên hệ áp dụng kiến trúc này để tối ưu hóa an toàn cho hệ thống thông tin của đơn vị.

Trích đoạn nội dung tài liệu

Chương 1 – TỔNG QUAN VỀ GIAO THỨC SSL 1.1 Giới thiệu về giao thức SSL: 1.1 Sự ra đời và phát triển của giao thức SSL: Secure Sockets Layer (SSL) là một giao thức có thể được đặt ở giữa giao thức tầng mạng kết nối định hướng TCP/IP và tầng giao thức ứng dụng (FTP, HTTP, telnet. SSL cung cấp dịch vụ truyền thông có bảo mật giữa client và server bằng việc cho phép client và server xác thực lẫn nhau sử dụng chữ ký số và bảo mật thông tin trao đổi qua lại bằng cách mã hóa các thông tin đó. Giao thức này được thiết kế để có thể trợ giúp một loạt các thuật toán sử dụng cho việc mã hóa, hàm băm và chữ ký số. Ngày nay, SSL còn được sử dụng nhiều trong các ứng dụng của thương mại điện tử và tổ chức các mạng riêng ảo VPN.

Giao thức SSL được công ty truyền thông Netscape thiết kế để sử dụng với Netscape Navigator.0 của SSL được phát triển vào năm 1994. Đây là phiên bản thử nghiệm chỉ sử dụng trong nội bộ Netscape.0 là phiên bản phát hành công khai đầu tiên và được gắn với phiên bản 1 và 2 của Netscape Navigator. Sau khi SSL 2.0 được phát hành, Microsoft cho ra một phiên bản SSL riêng của mình tên là PCT (Private communication Technology – Công nghệ truyền thông cá nhân). Vì phiên bản này của Microsoft không quan tâm đến việc chuẩn hoá mà chỉ cố thử áp dụng các qui tắc riêng của mình nên ít nhận được sự ủng hộ của người dùng.

Phiên bản mới nhất của SSL là 3.0 và nó kết hợp chặt chẽ tất cả các cải tiến PCT của Microsoft để khắc phục các điểm yếu của SSL 2.0 đươ ̣c đưa ra thị trường vào tháng 3 năm 1996. Ngoài các phiên bản của SSL còn có giao thức TLSv1 (Transport Layer Security version 1.0) là một giao thức phát triển dựa trên cơ sở của SSLv3 và được thiết kế bởi IETF (Internet Engineering Task Force). Tuy nhiên, hiện nó chưa hỗ trợ cho tất cả các trình duyệt thông dụng (chẳng hạn Netscape). TLSv1 có bổ sung phần block padding cho các thuật toán mã khối, chuẩn hoá thứ tự các thông báo và bổ sung thêm các thông báo trong phiên liên lạc.2 Cấ u trúc của giao thức SSLv3: Để SSL cho phép trao đổi thông tin trong mô hình client-server một cách trong suốt, giao thức SSL được đặt giữa tầng ứng dụng và tầng vận chuyển của mô hình kết nối các hệ thống mở OSI.

Theo cách tiếp cận này, có thể định nghĩa LUAN VAN CHAT LUONG download : add [e-mail] SSL như là một phần của tầng trình diễn.1 cho thấy vị trí của SSL trong mô hình OSI và trong mô hình phân tầng của giao thức TCP/IP. Nói cách khác, SSL không hoạt động dựa trên giao thức UDP (User DataGram Protocol) bởi vì nó không đưa ra sự vận chuyển đáng tin cậy mà điều này có thể dẫn đến việc mất gói tin IP. Vì vậy, SSL không thể cung cấp sự bảo vệ cho các giao thức sau: SNMP, NFS, DNS.1: Sơ đồ quan hệ giữa giao thức SSL và mô hình tham chiếu ISO LUAN VAN CHAT LUONG download : add [e-mail] Xét về phương diện bảo mật thì ngoài chức năng truyền thông tin, tầng ứng dụng của mô hình ISO còn cung cấp các dịch vụ như thỏa thuận các cơ chế bảo mật (mã hóa) và xác thực giữa các bên tham gia giao tiếp. Trong khi đó, tầng trình diễn cũng có chức năng liên quan đến bảo mật dữ liệu.

Trong một số ứng dụng, dữ liệu mà một ứng dụng trước khi gửi đi được mã hóa bằng cách sử dụng một khóa mà chỉ tầng trình diễn ở nơi nhận được định trước mới được biết, đồng thời, tiến hành giải mã dữ liệu nhận được nhờ sử dụng khóa tương ứng trước khi chuyển dữ liệu đó đi tiếp đến nơi nhận đã định. Việc này không thuộc chuẩn. Giao thức SSL bao gồm hai tầng con. Giao thức Bắt tay SSL (SSLHP) và Giao thức Bản ghi SSL (SSLRP) và sử dụng bốn giao thức con: SSL record, SSL handshake, ChangeCipherSpec, Alert.

Tầng SSLHP quản lí việc trao đổi khoá, cảnh báo và thay đổi mật mã. Tầng SSLRP chịu trách nhiệm truyền các khối thông tin được gọi là các bản ghi (record) và mã hóa chúng bằng mật mã (cipher) đã được thỏa thuận, hoặc nhận các bản ghi và giải mã chúng. SSLHP và dữ liệu ứng dụng nằm bên trên SSLRP. Như có thể thấy (trong sơ đồ) thì SSL thật sự nằm khá gọn gàng trong hai tầng ISO với SSLHP nằm ở mức Tầng ứng dụng và SSLRP nằm ở mức Tầng trình diễn.

Do các chức năng bảo mật không được cài đặt trong nhiều giao thức, nên SSL hoạt động như một phần bổ sung cho các giao thức đó và không thay thế hoàn toàn các giao thức này. Cũng có thể thấy rằng việc sử dụng giao thức SSL không loại trừ việc sử dụng các giao thức bảo mật khác đang làm việc ở một mức cao hơn; thí dụ SHTTP (Secure HyperText Transfer Protocol), một giao thức bảo mật mức tài liệu hoặc dữ liệu, rõ ràng là để đáp ứng nhu cầu của các giao dịch tài chính, có thể được bổ sung thêm với SSL. Giao thức SSL cung cấp mã chức năng hóa dữ liệu, xác thực máy chủ, bảo đảm tính toàn vẹn của thông điệp trao đổi giữa các thực thể tham gia vào quá trình trao đổi thông tin và xác thực máy trạm cho một kết nối TCP/IP. SSL có thể nằm ở đỉnh của giao thức giao vận bất kỳ, nó không phải là giao thức phụ thuộc vào TCP/IP và có thể chạy dưới các giao thức ứng dụng như HTTP, FTP và TELNET.2 trình bày mối quan hệ giữa các giao thức con và vị trí của mỗi giao thức con, lớp con và các lớp liền kề của SSL.

LUAN VAN CHAT LUONG download : add luanvanchat@agmail.2: Mô hình phân tầng đối với giao thức con SSL Như có thể thấy trong hiǹ h vẽ, Handshake protocol của SSLv3 nằm ở mức Tầng ứng dụng , còn Record protocol nằm ở mức Tầng trình diễn. Tầng Handshake protocol quản lí việc trao đổi khoá, cảnh báo và thay đổi mật mã. Tầng Record protocol chịu trách nhiệm truyền các khối thông tin được gọi là các bản ghi (record) và mã hóa chúng bằng mật mã (cipher) đã được thỏa thuận, hoặc nhận các bản ghi và giải mã chúng. Đối với mỗi tầng giao thức nói chung, một gói dữ liệu sẽ bao gồm các trường độ dài, mô tả và nội dung dữ liệu.

SSLv3 Record nhận dữ liệu cần gửi từ tầng trên phân nhỏ thành từng block, nén dữ liệu, bổ sung dữ liệu kiểm tra, mã hoá và gửi. Khi nhận dữ liệu về tiến trình được thực hiện ngược lại: giải mã, kiểm tra, gỡ nén và sắp xếp lại rồi gửi lên tầng trên. Do các chức năng bảo mật không được cài đặt trong nhiều giao thức , nên SSLv3 hoạt động như một phần bổ sung cho các giao thức đó và không thay thế hoàn toàn các giao thức này. SSLv3 cũng không loại trừ việc sử dụng các giao thức bảo mật khác đang làm việc ở một mức cao hơn; thí dụ SHTTP (Secure HyperText Transfer Protocol ).

Giao thức SSLv 3 cho phép cung cấp mã chức năng hóa dữ liệu, xác thực máy chủ, bảo đảm tính toàn vẹn của thông điệp trao đổi giữa các thực thể tham gia vào quá trình trao đổi thông tin và xác thực máy trạm cho một kết nối TCP/IP. LUAN VAN CHAT LUONG download : add luanvanchat@agmail.3 Các giao thức con của SSLv3: 1.1 Giao thức Bắt tay SSL: Giao thức này được sử dụng để thỏa thuận các tham số bảo đảm an toàn của một phiên liên lạc. Các thông điệp bắt tay được hỗ trợ bởi Giao thức Bản ghi và được đóng gói trong một cấu trúc gọi là SSLPlaintext, được xử lý và truyền đi bởi trạng thái phiên đang hoạt động hiện hành. Giao thức bắt tay Handshake chịu trách nhiệm xác thực các thành viên tham gia liên lạc, đàm phán các thuật toán mã và thuật toán băm hash và sự trao đổi của PreMasterSecret mà nó được sử dụng sau này để tạo ra các khoá xác thực và khoá mã hoá thông qua MasterSecret.2 Giao thức Bản ghi SSL: Giao thức Bản ghi SSL là một tầng giao thức.

Đối với mỗi tầng giao thức nói chung, một gói dữ liệu sẽ bao gồm các trường độ dài, trường mô tả và nội dung dữ liệu. Bản ghi SSL nhận dữ liệu cần gửi từ tầng trên phân nhỏ thành từng block, nén dữ liệu, bổ sung dữ liệu kiểm tra, mã hoá và gửi. Sơ đồ các cấu trúc bản ghi SSL LUAN VAN CHAT LUONG download : add [e-mail] Mỗi gói dữ liệu của giao thức bản ghi SSL gồm hai phần, phần header và phần dữ liệu. Phần header có thể dài 3 byte hoặc 2 byte, header 2 byte được dùng trong trường hợp không có dữ liệu đệm (padding data).

Bít dự phòng (escape bit) không được sử dụng trong phiên bản 2 của giao thức nhưng người ta gợi ý nên sử dụng nó để định rõ dữ liệu Out-Of-Band ở các phiên bản tới. Với một header 2 byte thì độ dài bản ghi lớn nhất là 32767 byte trong khi một header 3 byte chỉ cho phép một độ dài bản ghi tối đa là 16383 byte. Phần dữ liệu của bản ghi gồm một Mã Xác thực Tin nhắn (MAC), phần dữ liệu thực sự và dữ liệu đệm, nếu có. Khi cần thiết phải tiến hành mã hóa thì chính phần dữ liệu của bản ghi sẽ được mã hóa hoàn toàn.

Dữ liệu đệm chỉ được đòi hỏi để sử dụng cho các cipher khối (block cipher). Nó được sử dụng để lấp đầy chiều dài của khối dữ liệu sao cho thành một bội số của kích thước khối cipher. Nếu một cipher luồng (stream cipher) được sử dụng hoặc dữ liệu đã là một bội số của kích thước khối cipher rồi thì không đòi hỏi phải lấp đầy khối nữa và một bản ghi với header 2 byte được sử dụng. MAC là một giá trị băm hoặc message digest với giá trị đầu vào là khóa ghi (bí mật) của bên gửi, dữ liệu thực sự, dữ liệu đệm và một số đếm theo thứ tự tương ứng.

Số đếm là một số nguyên 32 bit được tăng lên sau mỗi lần tin nhắn được gửi đi.3 Change cipher spec protocol: Chức năng của giao thức CCS (ChangeCipherSpec) là chỉ thị cho các thay đổi nào đó trong các tham số bảo mật. ChangeCipherSpec là giao thức đơn giản nhất trong SSL. Nó chỉ gồm một thông điệp dài 1 byte có cùng tên với giao thức. Thông báo này chỉ thị cho giao thức Record bên nhận biết rằng việc mã hoá của các khung (frame) dữ liệu tiếp theo sẽ được thực hiện với CipherSpec và khoá vừa thiết lập.