Tìm Hiểu Về Giải Pháp Bảo Mật Xác Thực Cho Ứng Dụng Trên Thiết Bị Di Động

Chuyên ngành

Khoa học máy tính

Người đăng

Ẩn danh

2021

123
0
0

Phí lưu trữ

30.000 VNĐ

Mục lục chi tiết

LỜI CAM ĐOAN

LỜI CẢM ƠN

1. Giới thiệu

1.1. Mục tiêu đề tài

1.2. Phạm vi đề tài

2. Kiến thức nền tảng

2.1. Các nguyên tắc trong bảo mật thông tin

2.1.1. Tính bí mật dữ liệu

2.1.2. Tính toàn vẹn dữ liệu

2.1.3. Tính sẵn sàng dữ liệu

2.1.4. Tính chống thoái thác

2.2. Xác thực người dùng

2.2.1. So sánh Authentication và Authorization

2.3. Mã hóa bất đối xứng

2.4. Lộ thông tin nhạy cảm người dùng

2.5. XML External Entities

2.6. Broken Access Control

2.7. Cấu hình sai các cài đặt bảo mật

2.8. Cross-Site Scripting (XSS)

2.9. Giải mã dữ liệu không an toàn

2.10. Sử dụng các công cụ với các lỗ hổng bảo mật đã được biết

2.11. Giám sát hệ thống không đầy đủ

3. Các công trình nghiên cứu liên quan

3.1. Các mô hình xác thực người dùng

3.1.1. API Key Authentication

3.1.2. Các dịch vụ xác thực người dùng

3.1.2.1. Single Sign-On (SSO)
3.1.2.2. Google Sign In

3.1.3. Các nghiên cứu tăng cường bảo mật

3.1.3.1. Bài báo "Two-Factor Authentication: Too Little, Too Late"
3.1.3.2. Bài báo "A secure method for signing in using quick response codes with mobile authentication"

3.1.4. Các công cụ, thư viện kiểm thử và đánh giá bảo mật

3.1.4.1. Công cụ StackHawk

4. Các lỗ hổng, mối đe dọa và rủi ro trong bảo mật và xác thực người dùng

4.1. Vulnerability, threat và risk

4.2. Quản lý danh tính (Identity management)

4.2.1. Đoán và liệt kê các tài khoản

4.2.2. Phương thức khóa tài khoản yếu kém

4.2.3. Bypass quá trình xác thực

4.2.4. Yêu cầu về mật khẩu yếu

4.2.5. Điểm yếu trong quá trình thay đổi, khôi phục mật khẩu

4.2.6. Bypass quá trình ủy quyền

4.3. Kiểm tra đầu vào (Input validation)

4.3.1. Reflected Cross Site Scripting

4.3.2. Stored Cross Site Scripting

5. Giải pháp đề xuất

5.1. Phân tích yêu cầu

5.1.1. Định dạng chuỗi bí mật trong mô hình

5.1.2. Các loại mã JWT trong hệ thống

5.1.3. Thu hồi các chuỗi bí mật

5.2. Kiến trúc tổng quan hệ thống

5.2.1. Hiện thực khối quản lý việc tạo / xác thực các mã trong hệ thống

5.2.1.1. Quá trình tạo và kiểm chứng mã JWT
5.2.1.2. Quá trình tạo mã OTP
5.2.1.3. Quá trình tạo, xác nhận và kiểm tra cho mã QR
5.2.1.4. Quá trình tạo và kiểm tra cho mã khôi phục mật khẩu

5.2.2. Hiện thực khối quản lý thông tin người dùng

5.2.3. Hiện thực khối logic chức năng

5.2.3.1. Đăng ký người dùng
5.2.3.3. Đăng nhập sử dụng mã QR
5.2.3.4. Cập nhật thông tin
5.2.3.5. Khôi phục mật khẩu
5.2.3.7. Cấp lại mã truy cập (AT)
5.2.3.8. Kiểm tra mã truy cập (RT)
5.2.3.9. Tạm khóa tài khoản theo ràng buộc về số lần thất bại

5.2.4. Lược đồ lưu trữ cho dữ liệu được ủy quyền quản lý bởi dịch vụ điều phối

5.2.5. Quá trình đăng ký bổ sung thông tin tài xế và phương tiện

5.2.6. Quá trình ủy quyền người dùng thay cho dịch vụ điều phối

5.2.7. Giới hạn một người dùng chỉ được đăng nhập trên một thiết bị tại một thời điểm

6. Đánh giá và cải tiến giải pháp đề xuất

6.1. Đánh giá giải pháp đề xuất

6.2. Các rủi ro và giải pháp cải tiến

6.3. Hiện thực giải pháp cải tiến

6.3.1. Trong việc xoay vòng mã làm mới

6.3.2. Ngăn chặn kịp thời việc sử dụng lại mã làm mới đã hết hạn

6.3.3. Khôi phục mật khẩu sử dụng lịch sử người dùng

7. Triển khai, thử nghiệm và đánh giá

7.1. Thử nghiệm và kiểm thử mô hình

7.1.1. Kiểm thử yêu cầu hệ thống

7.1.2. Kiểm thử xâm nhập (Penetration Test)

7.2. Những hạn chế và hướng phát triển

Tài liệu tham khảo

Phụ lục A: Tài liệu API hệ thống

A.1. Đăng ký tài khoản

A.2. Đăng ký bổ sung thông tin tài xế, phương tiện

A.3. Đăng nhập sử dụng mật khẩu và OTP

A.4. Đăng nhập sử dụng QR

A.5. Khôi phục mật khẩu

A.5.1. Khôi phục sử dụng OTP và câu hỏi bảo mật

A.6. Cập nhật thông tin

A.7. Thay đổi mật khẩu

A.8. Cấp lại access token

A.9. Kiểm tra access token