CHƯƠNG 1. TỔNG QUAN VỀ HỆ THỐNG XÁC THỰC Trong chương này khóa luận giới thiệu tổng quan về mô hình xác thực người dùng phổ biến nhất. Đồng thời cũng đưa ra các hiện trạng các mô hình xác thực người dùng đang sử dụng trong các hệ thống hiện tại. Bố cục của khóa luận cũng được giới thiệu cho người đọc cái nhìn khái quát trước khi đi vào chi tiết.Những mối đe dọa về bảo mật 1.
Khái niệm xác thực Xác thực (Authentication) là việc xác lập hoặc chứng thực một thực thể (người nào đó hay một cái gì đó) đáng tin cậy, có nghĩa là những thông tin do một người đưa ra hoặc về một cái gì đó là đúng đắn. Xác thực một đối tượng còn có nghĩa là công nhận nguồn gốc của đối tượng, còn xác thực một người thường bao gồm việc thẩm tra nhận dạng cá nhân của họ. Việc xác thực thường phụ thuộc vào một hoặc nhiều yếu tố xác thực (authentication factor) làm minh chứng cụ thể. Xác thực là khâu đặc biệt quan trọng để bảo đảm an toàn cho hoạt động của một hệ thống thông tin.
Đó là một quy trình nhằm xác minh nhận dạng số (digital identity) của bên gửi thông tin (sender) trong liên lạc trao đổi, xử lý thông tin, chẳng hạn như một yêu cầu đăng nhập. Bên gửi cần phải xác thực có thể là một người sử dụng máy tính, bản thân một máy tính hoặc một phần mềm. Đầu tiên, hệ thống luôn xác thực một thực thể khi nó cố gắng thử thiết lập liên lạc. Khi đó, nét nhận dạng của thực thể được dùng để xác định sự truy nhập của thực thể đó như một đặc quyền hoặc để đạt được sự sẵn sàng phục vụ.
Đối với các giao dịch ngân hàng điện tử điển hình như giao dịch qua ATM/POS, giao dịch Online/Internet Banking, giao dịch Mobile Banking. thì xác thực là bắt buộc trong quản lý truy cập.1: Xác thực và Ủy Quyền 1. Các yếu tố xác thực Những yếu tố xác thực cho người sử dụng có thể được phân loại như sau: Những cái mà người sử dụng sở hữu bẩm sinh, chẳng hạn như dấu vân tay hoặc mẫu dạng võng mạc mắt, chuỗi ADN, mẫu dạng giọng nói, chữ ký, tín hiệu sinh điện đặc thù do cơ thể sống tạo ra, hoặc những định dạng sinh trắc học khác. Những cái người sử dụng có, chẳng hạn như chứng minh thư, chứng chỉ an ninh (security token), chứng chỉ phần mềm (software token) hoặc điện thoại di động.
Những gì người sử dụng biết, chẳng hạn như mật khẩu (Password), mật ngữ (pass phrase) hoặc mã số định danh cá nhân (personal identification number - PIN). Trong thực tế, nhiều khi một tổ hợp của những yếu tố trên được sử dụng, lúc đó người ta nói đến xác thực đa yếu tố. Chẳng hạn trong giao dịch ATM, thẻ ngân hàng và mã số định danh cá nhân (PIN) được sử dụng – trong trường hợp này là một trong các dạng xác thực hai yếu tố (two – factor authentication – 2FA). Một số phương pháp xác thực Giới thiệu về IDS Hiện nay, trong các giao dịch trực tuyến, một số phương pháp xác thực phổ biến gồm: 1.
Xác thực dựa trên định danh người dùng và mật khẩu Sự kết hợp của một cặp Username và Password là cách xác thực phổ biến nhất hiện nay. Với phương thức xác thực này, thông tin cặp Username và Password nhập vào được đối chiếu với dữ liệu đã được lưu trữ trên hệ thống. Nếu thông tin trùng khớp thì người sử dụng được xác thực, còn nếu không người sử dụng bị từ chối hoặc cấm truy cập. Phương thức xác thực này có tính bảo mật không cao, vì thông tin cặp Username và Password dùng đăng nhập vào hệ thống mà ta gửi đi xác thực là trong tình trạng ký tự văn bản rõ, tức không được mã hóa và có thể bị chặn bắt trên đường truyền, thậm chí ngay trong quá trình nhập vào Password còn có thể bị lộ do đặt quá đơn giản (dạng ‘123456’, ‘abc123’, v.) hoặc dễ đoán (tên, ngày sinh của người thân, v.2: Xác thực dựa trên Username – Password 3 Tính xác thực (Authentication): PKI phải đảm bảo danh tính của thực thể được xác minh.
Tính không thể chối từ (Non-Repudiation): PKI phải đảm bảo dữ liệu không thể bị không thừa nhận hoặc giao tác bị từ chối. Xác thực Về cơ bản, tính xác thực cung cấp 2 khía cạnh ứng dụng chính đó là định danh thực thể và định danh nguồn gốc dữ liệu. Định danh thực thể Định danh thực thể đơn giản dùng để định danh thực thể xác định nào đó có liên quan. Do đó, trên thực tế, định danh thực thể thông thường sẽ tạo ra một kết quả cụ thể, sau đó, được sử dụng để thực hiện các hoạt động khác hoặc truyền thông khác.
Định danh thực thể bao gồm: một nhân tố và nhiều nhân tố. Có rất nhiều cách để chứng minh định danh, ta có thể chia thành 4 loại sau: + Cái mà người dùng có (ví dụ thẻ thông minh hoặc thiết bị phần cứng). + Cái mà người dùng biết (ví dụ mật khẩu hoặc Pin). + Cái mà là người dùng hoặc gắn với người dùng (ví dụ dấu vân tay hoặc võng mạc mắt).
+ Cái mà người dùng thực hiện(ví dụ gõ các ký tự nào đó). Có hai kiểu xác thực được biết đến như là định danh thực thể, đó là xác thực cục bộ và xác thực từ xa. Xác thực cục bộ: Xác thực ban đầu của một thực thể tới môi trường cục bộ hầu như liên quan trực tiếp tới người dùng. Ví dụ như mật khẩu hoặc số định danh cá nhân (Pin) phải được nhập vào, sử dụng dấu vân tay để nhận dạng.
Xác thực từ xa: Xác thực của một thực thể tới môi trường ở xa: nghĩa là có thể hoặc không cần liên quan trực tiếp tới người dùng. Trên thực tế, hầu hết các hệ thống xác thực từ xa 20 phức tạp không hoàn toàn liên quan tới người dùng vì rất khó để bảo vệ hệ thống xác thực mà đưa ra các thông tin xác thực nhạy cảm, ví dụ như mật khẩu hoặc dấu vân tay, và truyền trên một kênh không an toàn. Định danh nguồn gốc dữ liệu Định danh nguồn gốc dữ liệu sẽ định danh một thực thể xác định nào đó như nguồn gốc dữ liệu được đưa ra. Hoạt động định danh này không phải là định danh cô lập, cũng không phải hoàn toàn là định danh cho mục đích thực hiện các hoạt động khác.
Bí mật Dịch vụ bí mật đảm bảo tính riêng tư của dữ liệu. Không ai có thể đọc được dữ liệu ngoại trừ thực thể nhận. Dịch vụ bí mật được yêu cầu khi dữ liệu được lưu trữ trên phương tiện (như phần cứng máy tính) mà người dùng không hợp pháp có thể đọc được. Được dự phòng trên thiết bị (ví dụ băng từ) mà có thể bị rơi vào tay người dùng không hợp pháp.
Được truyền trên mạng không được bảo vệ. Các kỹ thuật mật mã đảm bảo tính bí mật cần phải được áp dụng với mọi loại dữ liệu nhạy cảm. Toàn vẹn dữ liệu Toàn vẹn dữ liệu đảm bảo rằng dữ liệu không bị thay đổi. Sự đảm bảo này là một phần thiết yếu trong bất kỳ môi trường thương mại điện tử hoặc loại hình kinh doanh nào.
Mức độ toàn vẹn dữ liệu có thể đạt được bằng các cơ chế chẵn lẻ của các bit và mã kiểm tra dịch vòng (Cyclic Redundancy Codes - CRCs) Để bảo vệ dữ liệu khỏi tấn công nhằm phá vỡ tính toàn vẹn dữ liệu, các kỹ thuật mật mã được sử dụng. Do đó, khóa và các thuật toán phải được triển khai và phải được biết giữa các thực thể muốn cung cấp tính toàn vẹn dữ liệu với thực thể muốn được đảm bảo tính toàn vẹn của dữ liệu. Dịch vụ toàn vẹn của PKI có thể xây dựng dựa trên hai kỹ thuật: + Chữ ký số 21 Mặc dù nó được dùng cho mục đích cung cấp sự xác thực, nhưng nó cũng được sử dụng để cung cấp tính toàn vẹn cho dữ liệu được ký. Nếu có sự thay đổi bất kỳ trước và sau khi ký thì chữ ký số sẽ bị loại bỏ khi kiểm tra, vì vậy, việc mất tính toàn vẹn của dữ liệu sẽ dễ dàng bị phát hiện.
+ Mã xác thực thông báo Kỹ thuật này thông thường sử dụng một mã khối đối xứng (ví dụ DESCBC- MAC) hoặc một hàm băm mật mã (HMAC-SHA-1) 2. Chống chối bỏ Dịch vụ chống chối bỏ là dịch vụ đảm bảo rằng thực thể không thể chối bỏ hành động của mình. Các biến thể thường được nhắc tới nhiều nhất là chống chối bỏ nguồn gốc (người dùng không thể chối bỏ rằng đã gửi một tài liệu hoặc một văn bản) hoặc chối bỏ sự tiếp nhận (người dùng không thể chối bỏ rằng đã nhận được văn bản hoặc tài liệu). Một vài các biến thể khác của tính chống chối bỏ là: chối bỏ đã tạo ra, chối bỏ đã chuyển, chối bỏ việc tán thànhông thừa nhận hoặc giao tác bị từ chối.
Các thành phần chính của PKI PKI là cơ cấu tổ chức gồm con người, tiến trình, chính sách, thủ tục, phần cứng và phần mềm dùng để phát sinh, quản lý, lưu trữ, triển khai và thu hồi các chứng nhận khóa công khai. Một hệ thống PKI gồm các thành phần sau: Certification Authority (CA): Cấp và thu hồi chứng thư số. Rigistration Authority (RA): Gắn kết giữa khóa công khai và định danh của người giữ chứng thư số. Clients: Người sử dụng cuối hoặc hệ thống là chủ thể của chứng thư số PKI.
Repositories: Hệ thống lưu trữ chứng thư số và danh sách các chứng thư số bị thu hồi. Cung cấp cơ chế phân phối chứng thư số và CRLs đến các thực thể cuối. 22 Digital certificates (DC) – Thẻ chứng thực số. Certificate Distribution System (CDS) – Hệ thống phân phối thẻ.
Validation Authority (VA) – Ủy quyền xác nhận hợp lệ: Xác nhận tính hợp lệ thể chứng thực số của một đối tác trao đổi thông tin. Certificate revocation list (CRL): Chứa danh sách các thẻ chứng thực bị thu hồi bởi CA.