Chương 1: AN TOÀN THÔNG TIN 1. Tổng quan về an toàn thông tin [1, 6] Ngày nay, sự bùng nổ của Internet và các mạng cục bộ và sự phát triển không ngừng của mạng thông tin di động đã và đang mang lại những lợi ích to lớn trong việc trao đổi thông tin nhanh chóng, dễ dàng như: E-mail cho phép người ta nhận hay gửi thư ngay trên máy tính của mình, các giao dịch tiền tệ, chứng khoán… cũng thực hiện rất thuận tiện thông qua mạng máy tính. Tuy nhiên cùng với những lợi thế như trên thì lại phát sinh vấn đề mới về an ninh, an toàn thông tin. Những tin tức quan trọng nằm ở kho dữ liệu hay đang trên đường truyền có thể bị theo dõi, trộm cắp, có thể bị làm sai lệch, có thể bị giả mạo.
Điều đó có thể ảnh hưởng tới các cá nhân, tổ chức, các công ty hay cả một quốc gia. Những thông tin bí mật của cá nhân, bí mật kinh doanh, tài chính là mục tiêu của các đối thủ cạnh tranh. Những tin tức về an ninh quốc gia là mục tiêu của các tổ chức tình báo trong và ngoài nước. Theo thống kê, số lượng các vụ tấn công trên Internet mỗi ngày một nhiều, qui mô của chúng mỗi ngày một lớn và phương pháp tấn công ngày càng tinh vi hơn.
Ví dụ cùng lúc tin tặc đã tấn công vào cả 100 000 máy tính có mặt trên mạng Internet, những máy tính của các công ty lớn, các trường đại học, các cơ quan nhà nước, các tổ chức quân sự, các nhà băng,. cùng lúc ngưng hoạt động hay mới đây là việc các chuyên gia an ninh vừa khám phá ra loạt tấn công lớn nhất trong lịch sử, liên quan tới mạng lưới của 72 tổ chức, bao gồm cả Liên Hợp Quốc, các chính phủ và công ty lớn khắp thế giới, công ty an ninh McAfee–đơn vị phát hiện ra sự kiện chấn động này. Cũng do trao đổi thông tin trên mạng, một tình huống mới nảy sinh đó là tính chính xác của dữ liệu truyền trên mạng. Khi một người nhận văn bản được gửi từ đối tác thì lấy gì để đảm bảo rằng văn bản đó là của đối tác, liệu rằng nó có bị thay thay đổi, chính sửa hay không? Nguy cơ mất an toàn thông tin ở Việt Nam đang tăng lên khi nằm trong trong tổng số 10 nước có nguy cơ mất an toàn thông tin cao nhất trong năm 2010 (dựa trên các bản báo cáo tổng hợp về an ninh thông tin của nhiều hãng bảo mật nước ngoài như McAfee, Kaspersky hay CheckPoint…).
Việt Nam đứng thứ 5 sau Trung Quốc, Nga, Ấn Độ và Mỹ về mức độ rủi ro mà ở đó người sử dụng và z 8 các nhà cung cấp dịch vụ Internet có thể bị tấn công. 5 quốc gia còn lại gồm Đức, Malaysia, Pháp, Ukraine và Tây Ban Nha. Từ các vấn đề nêu ra ở trên, An toàn thông tin đã được đặt ra một cách cấp thiết. Vấn đề này đã có từ ngàn xưa, khi đó nó có tên đơn giản là bảo mật, mà kỹ thuật còn rất đơn giản, chẳng hạn khi truyền thông báo người gửi và người nhận thỏa thuận trước một số từ ngữ mà ta quen gọi là nói “lóng”.
Tiếp sau này, khi có điện tín điện thoại người ta dùng mật mã cổ điển, với phương pháp chủ yếu là thay thế hay hoán vị các ký tự trong bản tin cần truyền. Ngày nay khi có mạng máy tính, để bảo vệ hệ thống thông tin người ta dùng các kỹ thuật khác nhau để tránh các nguy cơ về mất an toàn thông tin. Với sự phát triển mạnh mẽ của Công nghệ thông tin và ứng dụng của nó, An toàn thông tin đã thực sự trở thành một môn khoa học. Bảo vệ an toàn thông tin dữ liệu có phạm vi rất rộng, là vấn đề không phải của riêng cá nhân hay tổ chức nào mà nó là vấn đề của toàn xã hội, toàn cầu.
An toàn thông tin có liên quan đến nhiều lĩnh vực và trong thực tế có thể có rất nhiều phương pháp được thực hiện để bảo vệ an toàn thông tin dữ liệu. Các phương pháp bảo vệ an toàn thông tin dữ liệu có thể được quy vào các nhóm sau: - Bảo vệ an toàn thông tin bằng các biện pháp hành chính. - Bảo vệ an toàn thông tin bằng các biện pháp kỹ thuật (phần cứng). - Bảo vệ an toàn thông tin bằng các biện pháp thuật toán (phần mềm).
Ba nhóm trên có thể được ứng dụng riêng rẽ hoặc phối kết hợp. Môi trường khó bảo vệ an toàn thông tin nhất và cũng là môi trường đối phương dễ xân nhập nhất đó là môi trường mạng và truyền tin. Biện pháp hiệu quả nhất và kinh tế nhất hiện nay trên mạng truyền tin và mạng máy tính là biện pháp thuật toán. Mục tiêu về an toàn thông tin [6] * Bảo đảm bí mật: Tin tức không bị lộ đối với người không được ủy quyền.
* Bảo đảm toàn vẹn: Ngăn cản, hạn chế việc tạo mới, bổ sung, xóa hay sửa dữ liệu mà không được sự uỷ thác. * Bảo đảm xác thực: Xác thực đúng thực thể cần kết nối, cần giao dịch, đúng thực thể có trách nhiệm về nội dung thông tin. z 9 * Bảo đảm sẵn sàng: Thông tin sẵn sàng cho người dùng hợp pháp. * Bảo đảm sử dụng hợp pháp: Chỉ người dùng hợp pháp mới được sử dụng thông tin.1: Một số yêu cầu của người dùng về an toàn thông tin 1.
Các chiến lược đảm bảo an toàn thông tin [2] a. Giới hạn quyền hạn tối thiểu Đây là chiến lược cơ bản nhất theo nguyên tắc này bất kỳ một đối tượng nào cùng chỉ có những quyền hạn nhất định đối với tài nguyên mạng, khi thâm nhập vào mạng đối tượng đó chỉ được sử dụng một số tài nguyên nhất định. Bảo vệ theo chiều Nguyên tắc này nhắc nhở chúng ta : Không nên dựa vào một chế độ an toàn nào dù cho chúng rất mạnh, mà nên tạo nhiều cơ chế an toàn để tương hỗ lẫn nhau. Nút thắt Tạo ra một “cửa khẩu” hẹp, và chỉ cho phép thông tin đi vào hệ thống của mình bằng con đường duy nhất chính là “cửa khẩu” này, vì thế phải tổ chức một cơ cấu kiểm soát và điều khiển thông tin đi qua cửa này.
Điểm nối yếu nhất Chiến lược này dựa trên nguyên tắc: “ Một dây xích chỉ chắc tại mắt duy nhất, một bức tường chỉ cứng tại điểm yếu nhất”. Kẻ phá hoại thường tìm những chỗ yếu nhất của hệ thống để tấn công, do đó ta cần phải gia cố các yếu điểm của hệ thống. Thông thường chúng ta chỉ quan tâm đến kẻ tấn công trên mạng hơn là kẻ tiếp cận hệ thống, do đó an toàn vật lý được coi là yếu điểm nhất trong hệ thống của chúng ta. Tính toàn cục: Các hệ thống an toàn đòi hỏi phải có tính toàn cục của các hệ thống cục bộ.
Nếu có một kẻ nào đó có thể bẻ gãy một cơ chế an toàn thì chúng có thể thành công bằng cách tấn công hệ thống tự do của ai đó và sau đó tấn công hệ thống từ nội bộ bên trong. Tính đa dạng bảo vệ Một thực tế là không có một biện pháp bảo vệ an toàn thông tin dữ liệu nào là an toàn tuyệt đối. Một hệ thống dù được bảo vệ chắc chắn đến đâu cũng không thể đảm bảo là an toàn tuyệt đối. Cần phải sử dụng nhiều biện pháp bảo vệ khác nhau cho hệ thống khác nhau, nếu không có kẻ tấn công vào được một hệ thống thì chúng cũng dễ dàng tấn công vào các hệ thống khác.
Các mức bảo vệ thông tin trên mạng Vì không có một giải pháp nào có thể bảo vệ thông tin an toàn tuyệt đối nên thường sử dụng đồng thời nhiều mức bảo vệ khác nhau tạo thành nhiều hàng rào chắn đối với các hoạt động xâm phạm. Việc đảm bảo an toàn thông tin trên mạng chủ yếu là bảo vệ thông tin lưu trữ trong máy tính, đặc biệt là các server trên mạng. Bởi thế, bên cạnh các biện pháp nhằm bảo mật thông tin trên đường truyền còn phải tập trung vào việc xây dựng các mức rào chắn từ ngoài vào trong cho các hệ thống kết nối vào mạng, bao gồm các mức bảo vệ sau z 11 Hình 1.2: Các mức độ bảo vệ thông tin trên mạng Như minh họa ở hình trên, các lớp bảo vệ trên mạng bao gồm: - Lớp bảo vệ trong cùng là quyền truy nhập (Access right) nhằm kiểm soát các tài nguyên (ở đây là thông tin) của mạng và quyền hạn (có thể thực hiện những thao tác gì) trên tài nguyên đó. Hiện nay việc kiểm soát ở mức này được áp dụng sâu nhất đối với tệp.
- Lớp bảo vệ tiếp theo là hạn chế theo tài khoản truy nhập gồm đăng ký tên và mật khẩu (login/password) tương ứng. Đây là phương pháp bảo vệ phổ biến nhất vì đơn giản, ít tốn kém và cũng rất hiệu quả. Mỗi người sử dụng muốn truy nhập được vào mạng sử dụng tài nguyên đều phải đăng ký tên và mật khẩu. Người quản trị hệ thống có trách nhiệm quản lý, kiểm soát mọi hoạt động của mạng và xác định quyền truy nhập của người sử dụng khác tùy theo thời gian và không gian.
- Lớp thứ 3 sử dụng các phương pháp mã hóa (data encryption). Dữ liệu được biến đổi sang dạng mã theo một thuật toán nào đó. - Lớp thứ 4 là bảo vệ vật lý (physical protection) nhằm ngăn cản các truy nhập vật lý bất thường vào hệ thống. Thường dùng các biện pháp truyền thống như ngăn cấm không có nhiệm vụ vào phòng máy, dùng hệ thống khóa trên máy tính, cài đặt các hệ thống báo động khi có truy nhập hệ thống… - Lớp thứ 5 là cài đặt các hệ thống tường lửa (firewall) nhằm ngăn chặn các thâm nhập trái phép và cho phép chọn lọc các gói tin mà ta không muốn gửi đi hay nhận vì một lý do nào đó.
z 12 Để vừa bảo đảm tính bảo mật của thông tin lại không làm giảm sự phát triển của việc trao đổi thông tin thì một giải pháp tốt là mã hoá thông tin. Có thể hiểu mã hoá thông tin là che đi thông tin của mình làm cho kẻ tấn công nếu chặn được thông báo trên đường truyền thì cũng không thể đọc được và phải có một giao thức giữa người gửi và người nhận để có thể trao đổi thông tin, đó là các cơ chế mã hóa và giải mã thông tin.