Xây Dựng Hệ Thống Bảo Mật Internet Banking Ngân Hàng Công Thương Việt Nam

Luận văn thạc sĩ kinh tế nghiên cứu xây dựng hệ thống bảo mật internet banking ngân hàng công thương ở việt nam, khảo sát thực trạng, phân tích nguyên nhân, đề xuất giải pháp cải

• Người hướng dẫn: PGS. Hồ Sĩ Đàm
• Trường học: Đại Học Quốc Gia Hà Nội
• Chuyên ngành: Công Nghệ Thông Tin
• Đề tài: Hệ Thống Bảo Mật Internet Banking Ngân Hàng Công Thương Việt Nam
• Loại tài liệu: luận văn thạc sĩ
• Năm xuất bản: 2004
• Địa điểm: Hà Nội

Mục lục chi tiết

• MỞ ĐẦU
• 1. CHƯƠNG 1: TỔNG QUAN VỀ INTERNET BANKING
• 1.1. Khái quát về Internet Banking
• 1.2. Lợi ích của Internet Banking
• 1.3. Nội dung nghiệp vụ Internet Banking
• 1.3.1. Các sản phẩm dịch vụ Internet Banking
• 1.3.2. Các hình thức giao dịch Internet Banking
• 1.3.3. Phân loại giao dịch Internet Banking
• 1.4. Các vấn đề an toàn của Internet Banking
• 1.4.1. Các nguy cơ bị tấn công
• 1.4.2. Các biện pháp an ninh
• 1.4.2.1. An toàn vật lý
• 1.4.2.2. An toàn mạng máy tính và truyền thông
• 2. CHƯƠNG 2: CÁC KỸ THUẬT MÃ HÓA VÀ ATTT TRONG THANH TOÁN QUA INTERNET
• 2.1. Hệ mã hóa chuẩn DES
• 2.1.1. Nguyên lý của DES
• 2.1.2. An toàn của DES
• 2.1.3. So sánh và đánh giá
• 2.2. Hệ mật mã RSA
• 2.2.1. Nguyên lý của RSA
• 2.2.2. An toàn của RSA
• 2.2.3. RSA và một số hệ chuẩn
• 2.3. Hệ mật mã ElGamal
• 2.3.1. Nguyên lý hệ mật mã ElGamal
• 2.3.2. An toàn của hệ ElGamal
• 2.4. Chữ ký điện tử và chuẩn chữ ký số DSS
• 2.4.1. Chữ ký điện tử trên cơ sở toán học trong hệ mật mã RSA
• 2.4.2. Chữ ký điện tử trên cơ sở hệ mật mã ElGamal
• 2.4.3. Chuẩn chữ ký số DSS
• 2.5. Hệ mã hóa đường cong Elip
• 2.5.1. Nguyên lý hệ mã hóa đường cong Elip
• 2.5.2. Sử dụng đường cong Elip trong mã hóa
• 2.5.3. So sánh và đánh giá
• 2.6. Các bước tạo một xác thực
• 2.6.1. Xác thực nhiều lớp
• 2.6.2. Thu hồi xác thực
• 2.6.3. Tấn công CA
• 2.7. Giao thức và chuẩn an toàn dữ liệu trên Internet
• 3. CHƯƠNG 3: HỆ THỐNG BẢO MẬT INTERNET BANKING NHCT VN
• 3.1. Giới thiệu hệ thống thông tin NHCT VN
• 3.1.1. Giới thiệu về NHCT VN
• 3.1.2. Hệ thống thông tin NHCT VN
• 3.2. Hệ thống IncomeBank và các dịch vụ cung cấp
• 3.3. Thiết kế logic hệ thống bảo mật IncomeBank
• 3.3.1. Yêu cầu bảo mật đối với IncomeBank
• 3.3.2. Thiết kế logic và lựa chọn giải pháp
• 3.4. Xây dựng hệ thống an ninh máy chủ IncomeBank
• 3.4.1. Mục đích xây dựng và chức năng hệ thống
• 3.4.2. Mã hóa DES và Triple DES
• 3.4.3. Quản lý số PIN
• 3.4.4. Các lược đồ khóa giao dịch
• 3.4.5. Cài đặt hệ mật mã RSA
• 3.5. Đề xuất cải tiến Xác thực hai yếu tố
• 3.5.1. Hạn chế của việc Xác thực một yếu tố là số PIN
• 3.5.2. Đề xuất cải tiến Xác thực hai yếu tố
• 3.5.3. Lựa chọn giải pháp và thiết kế quy trình xử lý
• 3.5.4. Kết quả thử nghiệm
• 3.6. Đánh giá hoạt động của IncomeBank
• Phụ lục 1: Một số màn hình thông tin và giao dịch trên hệ thống IncomeBank
• Phụ lục 2: Danh mục các bảng biểu và hình minh họa
• Tài liệu tham khảo

Tóm tắt

I. Tổng Quan Về Hệ Thống Bảo Mật Internet Banking VietinBank

Ngày nay, công nghệ thông tin đóng vai trò then chốt trong hoạt động kinh doanh của doanh nghiệp, đặc biệt trong lĩnh vực tài chính ngân hàng. Internet Banking đã trở thành một kênh giao dịch quan trọng, mang lại sự tiện lợi cho khách hàng. Tuy nhiên, đi kèm với sự tiện lợi là những rủi ro tiềm ẩn về an toàn bảo mật. VietinBank, với vai trò là một trong những ngân hàng hàng đầu Việt Nam, đã không ngừng đầu tư và phát triển hệ thống bảo mật Internet Banking nhằm bảo vệ quyền lợi của khách hàng và uy tín của ngân hàng. Theo nghiên cứu của Nguyễn Thị Việt Anh (2004), bảo mật và an toàn thông tin là yếu tố then chốt đảm bảo hệ thống hoạt động an toàn và hiệu quả. Hệ thống Internet Banking của VietinBank đang ngày càng được chú trọng phát triển để đáp ứng nhu cầu giao dịch trực tuyến ngày càng tăng của người dùng, đồng thời đảm bảo an toàn giao dịch trực tuyến.

1.1. Khái niệm Internet Banking và vai trò của VietinBank

Internet Banking là hệ thống cung cấp các sản phẩm, dịch vụ ngân hàng qua kênh phân phối điện tử, dựa trên công nghệ Internet, các ứng dụng web và thiết bị di động. VietinBank ứng dụng mạnh mẽ Internet Banking để cung cấp các dịch vụ như quản lý tài khoản, chuyển tiền, thanh toán hóa đơn, và các giao dịch đầu tư. Điều này không chỉ tạo sự tiện lợi cho khách hàng mà còn giúp ngân hàng mở rộng phạm vi hoạt động, tăng cường khả năng cạnh tranh và tiếp cận thị trường mới. Việc bảo mật cho hệ thống là ưu tiên hàng đầu để duy trì sự tin tưởng của khách hàng và đảm bảo sự ổn định của hệ thống tài chính.

1.2. Lợi ích của Internet Banking và ảnh hưởng tới người dùng

Internet Banking mang lại lợi ích cho cả khách hàng và ngân hàng. Khách hàng có thể thực hiện giao dịch mọi lúc, mọi nơi, tiết kiệm thời gian và chi phí. Ngân hàng có thể giảm chi phí vận hành, mở rộng phạm vi khách hàng và cung cấp dịch vụ 24/7. Theo luận văn của Nguyễn Thị Việt Anh, Internet Banking là hệ thống thanh toán tiết kiệm, không giới hạn về không gian và thời gian. Tuy nhiên, lợi ích này đi kèm với những lo ngại về bảo mật, yêu cầu ngân hàng phải đầu tư vào các giải pháp an ninh mạnh mẽ để bảo vệ thông tin và tài sản của khách hàng.

II. Rủi Ro và Thách Thức Bảo Mật Trong Internet Banking

Hệ thống Internet Banking đối mặt với nhiều nguy cơ tiềm ẩn, từ các cuộc tấn công mạng tinh vi đến những lỗ hổng bảo mật do người dùng bất cẩn. Các hình thức tấn công phổ biến bao gồm lừa đảo trực tuyến, phishing, malware, và tấn công từ chối dịch vụ (DoS). Những cuộc tấn công này có thể gây thiệt hại lớn về tài chính, uy tín cho ngân hàng và ảnh hưởng tiêu cực đến lòng tin của khách hàng. Việc hiểu rõ các rủi ro và thách thức là bước đầu tiên để xây dựng một hệ thống bảo mật Internet Banking hiệu quả.

2.1. Các loại tấn công mạng phổ biến nhắm vào Internet Banking

Các loại tấn công mạng nhằm vào Internet Banking ngày càng tinh vi và khó lường. Phishing là hình thức lừa đảo bằng cách tạo ra các trang web giả mạo để đánh cắp thông tin đăng nhập của người dùng. Malware, bao gồm virus, trojan, và spyware, có thể xâm nhập vào thiết bị của người dùng và đánh cắp thông tin tài chính. Tấn công từ chối dịch vụ (DoS) làm quá tải hệ thống, khiến người dùng không thể truy cập dịch vụ Internet Banking. Các ngân hàng cần liên tục cập nhật các biện pháp bảo mật để đối phó với những mối đe dọa này.

2.2. Lỗ hổng bảo mật từ phía người dùng và cách phòng tránh

Nhiều lỗ hổng bảo mật xuất phát từ thói quen sử dụng không an toàn của người dùng. Sử dụng mật khẩu yếu, truy cập vào các trang web không an toàn, và không cập nhật phần mềm bảo mật là những lỗi phổ biến. Để phòng tránh, người dùng nên sử dụng mật khẩu mạnh, kích hoạt xác thực hai yếu tố VietinBank, cẩn trọng với các email và tin nhắn đáng ngờ, và thường xuyên cập nhật phần mềm diệt virus. VietinBank thường xuyên cung cấp thông tin và hướng dẫn về cách phòng tránh lừa đảo Internet Banking để nâng cao nhận thức cho người dùng.

III. Giải Pháp Bảo Mật Tiên Tiến Cho Internet Banking VietinBank

VietinBank áp dụng nhiều lớp bảo mật để đảm bảo an toàn cho hệ thống Internet Banking. Các giải pháp này bao gồm mã hóa dữ liệu, xác thực đa yếu tố, giám sát giao dịch, và kiểm tra bảo mật định kỳ. Ngoài ra, VietinBank cũng phối hợp với các chuyên gia bảo mật hàng đầu để phát hiện và khắc phục các lỗ hổng bảo mật tiềm ẩn. Việc liên tục nâng cấp và cải tiến hệ thống bảo mật là ưu tiên hàng đầu của VietinBank.

3.1. Mã hóa dữ liệu và vai trò của giao thức HTTPS

Mã hóa dữ liệu là biện pháp quan trọng để bảo vệ thông tin nhạy cảm trong quá trình truyền tải. VietinBank sử dụng giao thức HTTPS, một phiên bản an toàn của HTTP, để mã hóa dữ liệu giữa trình duyệt của người dùng và máy chủ của ngân hàng. Điều này đảm bảo rằng thông tin như tên đăng nhập, mật khẩu, và số tài khoản được bảo vệ khỏi những kẻ nghe lén. Việc sử dụng chứng chỉ SSL cũng đảm bảo tính xác thực của trang web Internet Banking.

3.2. Xác thực đa yếu tố MFA Tăng cường an toàn giao dịch

Xác thực đa yếu tố (MFA) là biện pháp tăng cường an toàn giao dịch bằng cách yêu cầu người dùng cung cấp nhiều hơn một loại thông tin xác thực. VietinBank cung cấp nhiều phương thức xác thực, bao gồm mật khẩu, mã OTP VietinBank gửi qua SMS, và sử dụng ứng dụng VietinBank iPay. MFA giúp ngăn chặn truy cập trái phép ngay cả khi mật khẩu của người dùng bị lộ. Đây là một trong những biện pháp bảo mật Internet Banking hiệu quả nhất.

3.3. Giám sát giao dịch và phát hiện giao dịch bất thường

Hệ thống giám sát giao dịch của VietinBank liên tục theo dõi các giao dịch Internet Banking để phát hiện các hoạt động bất thường. Các yếu tố được theo dõi bao gồm số tiền giao dịch, địa điểm giao dịch, và tần suất giao dịch. Nếu phát hiện giao dịch bất thường, hệ thống sẽ tự động kích hoạt các biện pháp cảnh báo và ngăn chặn, bảo vệ tài khoản của khách hàng khỏi các hoạt động gian lận. Điều này giúp đảm bảo an toàn giao dịch trực tuyến VietinBank.

IV. Hướng Dẫn Sử Dụng Internet Banking VietinBank An Toàn Nhất

Sử dụng Internet Banking một cách an toàn đòi hỏi người dùng phải tuân thủ một số nguyên tắc cơ bản. Điều này bao gồm việc sử dụng mật khẩu mạnh, bảo vệ thông tin cá nhân, và cẩn trọng với các email và tin nhắn đáng ngờ. Ngoài ra, người dùng nên thường xuyên kiểm tra lịch sử giao dịch để phát hiện sớm các hoạt động bất thường. VietinBank cung cấp nhiều tài liệu và hướng dẫn về cách sử dụng Internet Banking VietinBank an toàn để giúp người dùng nâng cao nhận thức.

4.1. Mật khẩu mạnh và nguyên tắc bảo mật tài khoản ngân hàng

Mật khẩu mạnh là yếu tố quan trọng nhất để bảo vệ tài khoản Internet Banking. Mật khẩu nên có độ dài tối thiểu 8 ký tự, bao gồm chữ hoa, chữ thường, số và ký tự đặc biệt. Người dùng nên tránh sử dụng các thông tin dễ đoán như ngày sinh, số điện thoại, hoặc tên người thân. Thay đổi mật khẩu thường xuyên và không chia sẻ mật khẩu với bất kỳ ai là những nguyên tắc cơ bản để bảo vệ tài khoản ngân hàng.

4.2. Cảnh giác với lừa đảo trực tuyến và thủ đoạn phishing

Lừa đảo trực tuyến và phishing là những mối đe dọa thường trực đối với người dùng Internet Banking. Kẻ gian thường gửi email hoặc tin nhắn giả mạo, yêu cầu người dùng cung cấp thông tin cá nhân hoặc nhấp vào các liên kết đáng ngờ. Người dùng nên luôn cảnh giác và không bao giờ cung cấp thông tin cá nhân cho bất kỳ ai qua email hoặc tin nhắn. Kiểm tra kỹ địa chỉ trang web và đảm bảo rằng trang web có chứng chỉ SSL trước khi nhập thông tin đăng nhập.

4.3. Phần mềm bảo mật và cập nhật hệ điều hành thường xuyên

Sử dụng phần mềm bảo mật và cập nhật hệ điều hành thường xuyên là cách hiệu quả để bảo vệ thiết bị khỏi các phần mềm độc hại. Phần mềm diệt virus có thể phát hiện và loại bỏ các virus, trojan, và spyware trước khi chúng gây hại cho hệ thống. Cập nhật hệ điều hành thường xuyên giúp vá các lỗ hổng bảo mật và tăng cường khả năng phòng thủ của thiết bị. Đảm bảo an toàn tài khoản ngân hàng trực tuyến là yếu tố then chốt để đảm bảo an toàn tài chính.

V. Ứng Dụng Thực Tiễn và Nghiên Cứu Về Bảo Mật VietinBank

Nhiều nghiên cứu đã được thực hiện để đánh giá hiệu quả của hệ thống bảo mật Internet Banking của VietinBank. Các nghiên cứu này tập trung vào việc xác định các lỗ hổng bảo mật tiềm ẩn và đề xuất các giải pháp cải tiến. VietinBank luôn chủ động hợp tác với các tổ chức nghiên cứu và các chuyên gia bảo mật để nâng cao chất lượng hệ thống bảo mật của mình. Kết quả của các nghiên cứu này giúp VietinBank duy trì vị thế dẫn đầu trong lĩnh vực an toàn giao dịch trực tuyến.

5.1. Đánh giá hiệu quả của hệ thống phát hiện xâm nhập

Hệ thống phát hiện xâm nhập (IDS) đóng vai trò quan trọng trong việc bảo vệ hệ thống Internet Banking khỏi các cuộc tấn công mạng. Các nghiên cứu đánh giá hiệu quả của IDS tập trung vào khả năng phát hiện các hành vi bất thường và ngăn chặn các cuộc tấn công trước khi chúng gây thiệt hại. VietinBank liên tục cải tiến IDS để nâng cao khả năng phát hiện và phản ứng với các mối đe dọa mới.

5.2. Kiểm tra định kỳ và báo cáo sự cố bảo mật Internet Banking

VietinBank thực hiện kiểm tra bảo mật định kỳ để phát hiện và khắc phục các lỗ hổng bảo mật tiềm ẩn. Các cuộc kiểm tra này bao gồm kiểm tra xâm nhập (penetration testing), đánh giá rủi ro, và kiểm tra tuân thủ. Báo cáo sự cố bảo mật Internet Banking được xử lý nhanh chóng và hiệu quả để giảm thiểu thiệt hại và ngăn chặn các cuộc tấn công tương tự trong tương lai. Báo cáo sự cố bảo mật Internet Banking VietinBank được bảo mật và báo cáo cho các cơ quan chức năng.

VI. Tương Lai Của Bảo Mật Internet Banking VietinBank

Trong tương lai, bảo mật Internet Banking sẽ tiếp tục là một lĩnh vực quan trọng và đầy thách thức. VietinBank sẽ tiếp tục đầu tư vào các công nghệ bảo mật mới, như trí tuệ nhân tạo (AI) và học máy (ML), để tăng cường khả năng phát hiện và ngăn chặn các cuộc tấn công mạng. Ngoài ra, VietinBank sẽ tiếp tục nâng cao nhận thức của người dùng về an toàn bảo mật và cung cấp các công cụ và tài nguyên để giúp họ bảo vệ tài khoản của mình.

6.1. Ứng dụng trí tuệ nhân tạo và học máy trong bảo mật

Trí tuệ nhân tạo (AI) và học máy (ML) có tiềm năng lớn trong việc cải thiện bảo mật Internet Banking. AI và ML có thể được sử dụng để phân tích dữ liệu giao dịch và phát hiện các hoạt động bất thường một cách nhanh chóng và chính xác hơn. Ngoài ra, AI và ML có thể được sử dụng để tự động hóa các tác vụ bảo mật, như vá các lỗ hổng bảo mật và phản ứng với các cuộc tấn công mạng.

6.2. Nâng cao nhận thức người dùng về an toàn trực tuyến

Nâng cao nhận thức của người dùng về an toàn trực tuyến là yếu tố quan trọng để giảm thiểu rủi ro bảo mật. VietinBank sẽ tiếp tục cung cấp các chương trình đào tạo và thông tin hướng dẫn về an toàn bảo mật cho người dùng. Các chương trình này sẽ giúp người dùng hiểu rõ các mối đe dọa và cách phòng tránh, từ đó bảo vệ tài khoản Internet Banking của mình một cách hiệu quả.

Nội dung chính

Tổng quan nghiên cứu

Trong bối cảnh phát triển mạnh mẽ của công nghệ thông tin và xu thế hội nhập quốc tế, Internet Banking đã trở thành một kênh phân phối dịch vụ ngân hàng quan trọng, đặc biệt tại Việt Nam. Từ năm 1999, Ngân hàng Công thương Việt Nam (NHCT VN) đã bắt đầu nghiên cứu và xây dựng hệ thống thanh toán điện tử qua Internet, với mục tiêu phát triển các dịch vụ thanh toán tiện lợi, an toàn và hiệu quả. Theo báo cáo của NHCT VN, hệ thống Internet Banking IncomeBank hiện đạt trung bình 7 triệu lượt truy cập mỗi năm, phục vụ đa dạng khách hàng cá nhân và doanh nghiệp trên 47 tỉnh thành với hơn 120 chi nhánh và 522 điểm giao dịch.

Vấn đề bảo mật trong Internet Banking là trọng tâm nghiên cứu do tính chất nhạy cảm của các giao dịch tài chính trực tuyến. Luận văn tập trung xây dựng hệ thống bảo mật cho Internet Banking tại NHCT VN, ứng dụng các kỹ thuật mã hóa hiện đại như DES, RSA, ElGamal, chữ ký số DSS và hệ mã hóa đường cong Elip, đồng thời đề xuất giải pháp xác thực hai yếu tố nhằm nâng cao độ an toàn cho hệ thống. Phạm vi nghiên cứu bao gồm phân tích các nguy cơ tấn công, thiết kế hệ thống an ninh máy chủ, quản lý khóa mã hóa và thử nghiệm giải pháp xác thực hai yếu tố với thẻ bài thông minh. Nghiên cứu có ý nghĩa thiết thực trong việc đảm bảo an toàn thông tin, tăng cường niềm tin khách hàng và thúc đẩy phát triển thương mại điện tử tại Việt Nam.

Cơ sở lý thuyết và phương pháp nghiên cứu

Khung lý thuyết áp dụng

Luận văn dựa trên các lý thuyết và mô hình bảo mật thông tin trong lĩnh vực ngân hàng điện tử, bao gồm:

• Mã hóa đối xứng (DES, Triple DES): Sử dụng khóa bí mật duy nhất cho cả mã hóa và giải mã, phù hợp với việc mã hóa khối dữ liệu lớn với tốc độ cao. Triple DES được áp dụng để tăng cường độ an toàn so với DES truyền thống.

• Mã hóa khóa công khai (RSA, ElGamal, Đường cong Elip): Sử dụng cặp khóa công khai và khóa bí mật để mã hóa và xác thực, giải quyết các vấn đề về phân phối khóa và xác thực trong môi trường mạng mở. RSA là chuẩn “de facto” trong lĩnh vực tài chính, ElGamal dựa trên bài toán logarit rời rạc, còn hệ mã hóa đường cong Elip cung cấp hiệu quả cao với khóa nhỏ hơn.

• Chữ ký số và chuẩn chữ ký số DSS: Đảm bảo tính xác thực, không thể chối bỏ và toàn vẹn của thông điệp điện tử. DSS dựa trên chữ ký ElGamal được sử dụng trong các giao dịch ngân hàng.

• Quản lý khóa và xác thực đa lớp: Hệ thống phân cấp khóa (LMK, ZMK, TMK, TPK, PVK, CVK) và xác thực nhiều lớp giúp kiểm soát truy cập, bảo vệ dữ liệu và ngăn chặn các cuộc tấn công giả mạo.

• Chuẩn an toàn dữ liệu trên Internet: S-HTTP, SSL, S/MIME, S/WAN, SET được áp dụng để bảo vệ các tầng ứng dụng, mạng và giao dịch thẻ tín dụng.

Phương pháp nghiên cứu

Nghiên cứu sử dụng phương pháp tổng hợp, phân tích và ứng dụng các kỹ thuật bảo mật hiện đại vào hệ thống Internet Banking của NHCT VN. Cụ thể:

• Nguồn dữ liệu: Thu thập từ báo cáo thường niên NHCT VN, tài liệu kỹ thuật về mã hóa và bảo mật, các chuẩn quốc tế và thực tiễn triển khai hệ thống IncomeBank.

• Phương pháp phân tích: So sánh, đánh giá các thuật toán mã hóa, chữ ký số và các chuẩn bảo mật; phân tích các nguy cơ tấn công và biện pháp phòng chống; thiết kế hệ thống an ninh máy chủ và quản lý khóa.

• Timeline nghiên cứu: Từ năm 1999 đến 2004, bao gồm giai đoạn khảo sát, thiết kế, xây dựng, thử nghiệm và đánh giá hệ thống bảo mật Internet Banking tại NHCT VN.

• Cỡ mẫu và chọn mẫu: Thử nghiệm giải pháp xác thực hai yếu tố trên hơn 20 khách hàng cá nhân và doanh nghiệp, đảm bảo tính đại diện cho nhóm người dùng chính của hệ thống.

Kết quả nghiên cứu và thảo luận

Những phát hiện chính

1. Hiệu quả của hệ thống bảo mật Internet Banking IncomeBank: Hệ thống đã được triển khai thành công, đạt trung bình 7 triệu lượt truy cập/năm, cung cấp đa dạng dịch vụ như quản lý tài khoản, chuyển tiền, thanh toán hóa đơn, và dịch vụ thư điện tử. Hệ thống bảo mật đã ngăn chặn hiệu quả các cuộc tấn công từ chối dịch vụ (DoS) và các mối đe dọa khác, đảm bảo tính sẵn sàng và an toàn cho người dùng.

2. Ứng dụng các kỹ thuật mã hóa: Việc sử dụng DES, Triple DES cho mã hóa dữ liệu lớn, kết hợp RSA và ElGamal cho xác thực và chữ ký số, cùng với hệ mã hóa đường cong Elip đã tạo nên một hệ thống bảo mật đa lớp, tăng cường độ an toàn và khả năng mở rộng. Ví dụ, Triple DES được áp dụng thay thế DES từ cuối năm 1998 để tăng cường bảo mật.

3. Quản lý khóa hiệu quả: Hệ thống phân cấp khóa LMK, ZMK, TMK, TPK, PVK, CVK được thiết kế chặt chẽ, đảm bảo an toàn trong việc lưu trữ và trao đổi khóa mã hóa. Các lược đồ khóa giao dịch như Racal, Australia và DUKPT giúp bảo vệ khóa trong từng giao dịch, chống lại các tấn công tiến và lùi thời gian.

4. Đề xuất và thử nghiệm xác thực hai yếu tố: Giải pháp kết hợp số PIN và thẻ bài thông minh (smart token) đã được thử nghiệm trên hơn 20 khách hàng, nâng cao đáng kể độ an toàn trong xác thực người dùng. Giải pháp này khắc phục các nhược điểm của xác thực một yếu tố, giảm thiểu rủi ro bị đánh cắp PIN và tăng cường bảo vệ giao dịch.

Thảo luận kết quả

Kết quả nghiên cứu cho thấy việc tích hợp các kỹ thuật mã hóa đối xứng và phi đối xứng cùng với quản lý khóa phân cấp là giải pháp hiệu quả để bảo vệ hệ thống Internet Banking trước các nguy cơ tấn công mạng ngày càng tinh vi. So với các nghiên cứu trong ngành, hệ thống IncomeBank đã áp dụng thành công các chuẩn quốc tế như RSA, DSS, Triple DES, đồng thời phát triển các giải pháp phù hợp với điều kiện thực tế tại Việt Nam.

Việc thử nghiệm xác thực hai yếu tố với thẻ bài thông minh là bước tiến quan trọng, phù hợp với xu hướng bảo mật đa lớp trên thế giới. Mặc dù chi phí thiết bị còn cao, nhưng giải pháp này đã chứng minh được tính khả thi và hiệu quả trong việc nâng cao an toàn giao dịch trực tuyến.

Dữ liệu có thể được trình bày qua biểu đồ lượt truy cập hàng năm, bảng so sánh các thuật toán mã hóa về tốc độ và độ an toàn, cũng như sơ đồ phân cấp khóa và quy trình xác thực hai yếu tố để minh họa rõ ràng các thành phần và luồng xử lý trong hệ thống.

Đề xuất và khuyến nghị

1. Triển khai rộng rãi xác thực hai yếu tố: Áp dụng thẻ bài thông minh kết hợp với số PIN cho tất cả khách hàng sử dụng Internet Banking trong vòng 2 năm tới nhằm nâng cao độ an toàn truy cập và giao dịch. Ngân hàng cần đầu tư phát triển hạ tầng quản lý thẻ và đào tạo người dùng.

2. Xây dựng Trung tâm cấp phát chứng chỉ số quốc gia (CA): Phối hợp với các cơ quan nhà nước để thành lập CA quốc gia trong 3 năm tới, tạo điều kiện thuận lợi cho việc mở rộng dịch vụ Internet Banking ra khu vực và quốc tế, đồng thời nâng cao uy tín và độ tin cậy của hệ thống.

3. Nâng cấp và mở rộng hệ thống bảo mật: Tiếp tục cập nhật các thuật toán mã hóa mới như AES, phát triển hệ thống phát hiện xâm nhập (IDS) và phòng chống virus hiện đại, đảm bảo hệ thống luôn đáp ứng các tiêu chuẩn bảo mật quốc tế trong vòng 5 năm.

4. Tăng cường đào tạo và nâng cao nhận thức bảo mật: Tổ chức các khóa đào tạo cho cán bộ ngân hàng và khách hàng về an toàn thông tin, cách phòng tránh các mối đe dọa mạng, đặc biệt là các kỹ thuật tấn công mới như man-in-the-middle, brute force, nhằm giảm thiểu rủi ro do yếu tố con người.

Đối tượng nên tham khảo luận văn

1. Các nhà quản lý ngân hàng và tổ chức tài chính: Để hiểu rõ về các kỹ thuật bảo mật hiện đại, quản lý khóa và xác thực trong hệ thống Internet Banking, từ đó áp dụng vào việc xây dựng hoặc nâng cấp hệ thống thanh toán điện tử.

2. Chuyên gia công nghệ thông tin và bảo mật: Nghiên cứu các thuật toán mã hóa, chữ ký số, quản lý khóa và các chuẩn an toàn dữ liệu trên Internet, phục vụ cho việc thiết kế và triển khai các hệ thống bảo mật phức tạp.

3. Sinh viên và nghiên cứu sinh ngành công nghệ thông tin, tài chính: Là tài liệu tham khảo quý giá về ứng dụng thực tiễn các kỹ thuật mật mã và bảo mật trong lĩnh vực ngân hàng điện tử tại Việt Nam.

4. Các nhà hoạch định chính sách và cơ quan quản lý nhà nước: Hiểu rõ về các yêu cầu kỹ thuật và pháp lý trong bảo mật thanh toán điện tử, từ đó xây dựng các chính sách, quy định phù hợp để thúc đẩy phát triển thương mại điện tử an toàn.

Câu hỏi thường gặp

1. Tại sao cần sử dụng cả mã hóa đối xứng và phi đối xứng trong Internet Banking?
   Mã hóa đối xứng (như DES, Triple DES) có tốc độ cao, phù hợp mã hóa dữ liệu lớn, trong khi mã hóa phi đối xứng (như RSA) giải quyết vấn đề phân phối khóa và xác thực. Kết hợp hai phương pháp giúp đảm bảo an toàn và hiệu quả cho hệ thống.

2. Xác thực hai yếu tố có ưu điểm gì so với xác thực một yếu tố?
   Xác thực hai yếu tố kết hợp số PIN và thiết bị vật lý (thẻ bài thông minh) giúp giảm thiểu rủi ro bị đánh cắp thông tin đăng nhập, tăng cường bảo vệ tài khoản và giao dịch, đồng thời hạn chế các tấn công giả mạo.

3. Hệ thống quản lý khóa phân cấp hoạt động như thế nào?
   Hệ thống phân cấp khóa gồm các loại khóa chủ (LMK, ZMK) và khóa con (TMK, TPK, PVK, CVK), được mã hóa và quản lý chặt chẽ để bảo vệ dữ liệu và khóa trong quá trình lưu trữ và truyền nhận, đảm bảo an toàn toàn diện.

4. Làm thế nào để phòng chống các cuộc tấn công từ chối dịch vụ (DoS)?
   Hệ thống sử dụng Firewall nhiều tầng, hệ thống phát hiện xâm nhập (IDS) và các kỹ thuật kiểm duyệt trạng thái để phát hiện và ngăn chặn các cuộc tấn công DoS, đảm bảo tính sẵn sàng và ổn định của dịch vụ.

5. Tại sao cần xây dựng Trung tâm cấp phát chứng chỉ số quốc gia?
   Trung tâm CA quốc gia giúp chuẩn hóa và xác thực các chứng chỉ số, tạo niềm tin cho người dùng và đối tác, hỗ trợ mở rộng dịch vụ Internet Banking ra khu vực và quốc tế, đồng thời đáp ứng yêu cầu pháp lý về thương mại điện tử.

Kết luận

• Luận văn đã phân tích và ứng dụng thành công các kỹ thuật mã hóa, chữ ký số và quản lý khóa để xây dựng hệ thống bảo mật Internet Banking tại NHCT VN.
• Hệ thống IncomeBank đã hoạt động ổn định, phục vụ hàng triệu lượt truy cập mỗi năm, đáp ứng yêu cầu kinh doanh và bảo mật.
• Giải pháp xác thực hai yếu tố với thẻ bài thông minh đã được thử nghiệm, nâng cao đáng kể độ an toàn cho người dùng.
• Cần tiếp tục phát triển hệ thống CA quốc gia và cập nhật các công nghệ bảo mật mới để đáp ứng yêu cầu ngày càng cao của thị trường.
• Khuyến nghị các bên liên quan phối hợp triển khai các giải pháp bảo mật toàn diện, đồng thời nâng cao nhận thức về an toàn thông tin trong cộng đồng người dùng.

Hành động tiếp theo là đẩy mạnh triển khai xác thực hai yếu tố cho toàn bộ khách hàng, hoàn thiện hệ thống CA quốc gia và nghiên cứu ứng dụng công nghệ bảo mật trên thẻ cài vi mạch trong các hệ thống thanh toán hiện đại.

Trích đoạn nội dung tài liệu

Chương 1: Giới thiệu tổng quan về Internet Banking, các loại giao dịch trong Internet Banking và các vấn đề an toàn của Internet Banking. TIEU LUAN MOI download : [e-mail] 5 Chương 2: Trình bày về các kỹ thuật mã hóa đƣợc sử dụng trong Internet Banking, chữ ký điện tử và xác thực, tiếp đó giới thiệu một số giao thức và chuẩn an toàn dữ liệu trong Internet Banking. Chương 3: Trình bày về kết quả xây dựng hệ thống Internet Banking tại NHCT VN ứng dụng các kỹ thuật bảo mật đã nêu trong chƣơng 2, tập trung mô tả hệ thống an ninh máy chủ Internet Banking, là phần mã hóa bảo mật chung mức hệ thống cho tất cả các hệ thống thanh toán qua Internet, và đề xuất giải pháp sử dụng thẻ bài thông minh, nâng cao độ an toàn xác thực của hệ thống. Phụ lục 1: Giới thiệu một số màn hình giao diện và giao dịch trên hệ thống IncomeBank.

Phụ lục 2: Là danh mục các bảng biểu và hình minh họa trong luận văn. TIEU LUAN MOI download : [e-mail] 6 CHƢƠNG 1- TỔNG QUAN VỀ INTERNET BANKING 1.1 Khái quát về Internet Banking 1.1 Khái niệm Internet Banking là hệ thống cung cấp các sản phẩm dịch vụ ngân hàng qua kênh phân phối điện tử dựa trên các công nghệ internet, các ứng dụng trên nền web và các thiết bị di động [17].2 Lợi ích của Internet Banking Internet Banking đem lại lợi ích rõ rệt không những cho khách hàng sử dụng dịch vụ mà còn cho các nhà cung cấp dịch vụ, đặc biệt là dịch vụ thanh toán. Vì khách hàng có thể kết nối Internet từ bất cứ đâu không phụ thuộc vào vị trí địa lý, do đó giới hạn không gian đã bị phá bỏ, tiết kiệm đƣợc chi phí đi lại. Ngân hàng có thể mở rộng phạm vi khách hàng mà không cần phải có trụ sở với một số nhân viên nhất định và cũng không phải tốn kém cho tiếp thị theo cách làm truyền thống.

Hệ thống giao dịch Internet là hệ thống thanh toán trực tuyến, 24/24 giờ và 7 ngày/tuần nên khách hàng có thể truy cập hệ thống mà không phụ thuộc vào giờ mở cửa của Ngân hàng. Khách hàng có thể kiểm tra tức thời thông tin về tài khoản và giao dịch trên mạng. Điều này vừa làm khách hàng hài lòng, vừa giảm đƣợc các chi phí về in ấn và bƣu phí cho Ngân hàng. Nhƣ vậy, Internet Banking là hệ thống thanh toán tiết kiệm, không có giới hạn về không gian và thời gian.

Trƣớc đây, để xây dựng đƣợc một hệ thống thanh toán điện tử truyền thống, Ngân hàng phải tự đầu tƣ xây dựng mạng truyền thông nội bộ cho hệ thống Ngân hàng mình, đồng thời phần mềm ứng dụng tự xây dựng vừa phức tạp, vừa không (LUAN.Nam TIEU LUAN MOI download : [e-mail] 7 đƣợc chuẩn hóa dẫn đến chi phí cao khi xây dựng và mở rộng hệ thống. Khách hàng muốn sử dụng dịch vụ tại nhà thì máy tính của khách hàng cần đƣợc cài đặt phần mềm do Ngân hàng cung cấp và luôn yêu cầu một số cấu hình kỹ thuật nhất định. Việc nâng cấp, bảo trì cũng khó khăn và tốn kém cho cả Ngân hàng và khách hàng. Khi sử dụng Internet Banking, Ngân hàng và khách hàng đƣợc giải phóng khỏi các vấn đề phức tạp này.

Thông qua kênh Internet, Ngân hàng có thể dễ dàng bổ sung, mở rộng các dịch vụ của mình với chi phí chỉ còn một nửa so với cách làm truyền thống. Thông tin đƣa tới khách hàng đầy đủ hơn, chi tiết và chính xác hơn. Khách hàng có thể khai thác thông tin, tham khảo so sánh và đƣa ra quyết định đầu tƣ hay sử dụng các dịch vụ Ngân hàng trên cơ sở thông tin đầy đủ. Mở rộng, nâng cao chất lƣợng các dịch vụ, gia tăng khách hàng sử dụng dịch vụ ngân hàng qua Internet đem lại lợi ích cho khách hàng, tạo ra lợi nhuận cho ngân hàng và do đó đem lại lợi ích cho nền kinh tế nói chung.2 Nội dung nghiệp vụ Internet Banking 1.1 Các sản phẩm dịch vụ Internet Banking Các sản phẩm, dịch vụ trên Internet Banking có thể bao gồm các sản phẩm dịch vụ Ngân hàng truyền thống, dành cho đối tƣợng khách hàng là cá nhân hoặc tổ chức, doanh nghiệp.

Ví dụ nhƣ: - Quản lý tài khoản - Chuyển tiền - Các giao dịch bù trừ tự động - Thanh toán hóa đơn - Làm thủ tục xin vay vốn - Các hoạt động đầu tƣ - Các giao dịch tải thông tin … (LUAN.Nam TIEU LUAN MOI download : skknchat@gmail.2 Các hình thức giao dịch Internet Banking - Giao dịch trực tiếp qua Internet - Thanh toán sử dụng thẻ ATM - Thanh toán sử dụng thẻ VISA/Master - Tiền điện tử (ECash, Digital Cash, EPurse .) - Thanh toán tại điểm bán hàng (POS) 1.3 Phân loại giao dịch Internet Banking Hiện nay trên thị trƣờng, ngƣời ta chia các sản phẩm dịch vụ Internet Banking thành 3 loại [10] theo mức độ truy cập và sử dụng dịch vụ hệ thống:  Dịch vụ mang tính thông tin: Đây là dịch vụ cơ bản của Internet Banking. Dịch vụ này cung cấp cho khách hàng thông tin về các sản phẩm dịch vụ của Ngân hàng, các thông tin về tình hình tài chính của Ngân hàng do chính Ngân hàng hay do các cơ quan kiểm toán đánh giá. Những thông tin này đƣợc công bố trên trang web của Ngân hàng, giúp cho bất kỳ ai quan tâm có thể xem để đánh giá đƣợc độ an toàn hay rủi ro trong đầu tƣ, giao dịch tại Ngân hàng.  Dịch vụ mang tính giao tiếp: Loại dịch vụ này cho phép khách hàng vấn tin số dƣ và vấn tin giao dịch trên tài khoản, đăng ký vay vốn, sử dụng hộp thƣ điện tử hoặc cập nhật một số thông tin tĩnh của bản thân nhƣ thay đổi tên, địa chỉ.

Khách hàng cần đăng ký quyền truy nhập để sử dụng loại dịch vụ này. Vì những dịch vụ này sẽ truy xuất đến mạng máy tính của Ngân hàng nên mức độ rủi ro cũng nhƣ cấu hình của hệ thống cao hơn mức thông tin nêu trên. Hệ thống kiểm soát cần đƣợc thiết lập để ngăn chặn, giám sát và cảnh báo đối với bất kỳ sự truy nhập không hợp lệ nào vào hệ thống mạng và máy tính nội bộ của Ngân hàng. Hệ thống kiểm soát virus cũng là một trong những phần cơ bản trên môi trƣờng dịch vụ này.Nam TIEU LUAN MOI download : [e-mail] 9  Dịch vụ mang tính giao dịch: Ở cấp độ này, Internet Banking cho phép khách hàng thực hiện các giao dịch.

Khi khách hàng kết nối với hệ thống máy chủ của Ngân hàng và thông qua các cổng (gateway) kết nối với các hệ thống nội bộ khác của Ngân hàng thì hệ thống cần phải đƣợc thiết kế ở mức an toàn cao nhất với những kiểm soát chặt chẽ. Các giao dịch mà khách hàng có thể thực hiện đƣợc ở mức này có thể là truy cập tài khoản, thanh toán hóa đơn, chuyển tiền, .4 Các vấn đề an toàn của Internet Banking Khi đã đƣa các sản phẩm dịch vụ Ngân hàng lên Internet thì việc bảo mật và an toàn thông tin cần đƣợc thiết lập ở mức cao để đảm bảo lợi ích cho Ngân hàng và khách hàng.1 Các nguy cơ bị tấn công Có nhiều mối đe dọa từ bên trong và bên ngoài đối với hệ thống Internet Banking nhƣ:  Tấn công client bằng "Con ngựa Trojan", là những đoạn mã nhỏ, thƣờng đƣợc viết theo ngôn ngữ script (VB script hay Java script) có thể nhúng vào một hệ thống hoặc một trang web. "Con ngựa Trojan" có thể thâm nhập vào client và gửi các thông tin ngƣợc trở lại cho một Web Server nào đó, ngoài ra nó còn có thể sửa đổi và xóa thông tin trên máy bị thâm nhập.  Đe dọa đối với kênh truyền thông, xâm phạm tính bí mật, tính riêng tƣ, tính toàn vẹn và tính không thể chối bỏ của thông tin trao đổi.

Có thể kể đến phần mềm đặc biệt Sniffer, còn đƣợc biết đến nhƣ là chƣơng trình giám sát truyền thông trên mạng máy tính. Phần mềm này có thể đƣợc cài trên các thiết bị mạng nhƣ Router hoặc một PC để đánh cắp thông tin trên mạng. Masquerading hay spoofing lại là cách xâm phạm tính toàn vẹn của các trang web bằng cách lợi dụng kẽ hở của DNS (Domain Name Service) để thay thế địa chỉ (LUAN.Nam TIEU LUAN MOI download : [e-mail] 10 một trang web bằng một trang web giả mạo, do đó mọi truy cập đến trang web thật đều bị đổi hƣớng sang trang web giả, thông tin bị đánh cắp và đƣợc sử dụng lại trên trang web thật cho các mục đích trục lợi hoặc phá hoại. Brute Force cũng là một kỹ thuật lấy cắp các thông điệp đã mã hóa, sau đó sử dụng phần mềm để phá khóa và có thể đọc đƣợc thông điệp, lấy đƣợc tên định danh và mật khẩu truy cập.

Chiếm quyền điều khiển cũng là một mối đe dọa đối với kênh truyền thông. Cách tấn công này chặn các gói tin đƣợc truyền trên mạng, sau đó cố gắng suy diễn nội dung thông tin của gói tin. Quay số ngẫu nhiên: Kỹ thuật này đƣợc dùng để quay số (dial) đến tất cả các số điện thoại của một Ngân hàng cho trƣớc. Mục đích là để tìm ra modem kết nối với mạng, từ đó có thể dùng nhƣ một điểm để tấn công.

 Đe dọa đối với các máy chủ (server) Web Server cũng là mục tiêu tấn công phổ biến xếp thứ hai sau virus theo nghiên cứu của CSI/FBI trong năm 2001 (48% số ngƣời đƣợc hỏi đã gặp vấn đề này). Hầu hết các Web Server đều hỗ trợ cho lập trình CGI (Common Gateway Interface). Kẻ tấn công có thể khai thác những điểm yếu trong lập trình CGI, dễ dàng định vị và hoạt động với những đặc quyền (của "super user") trên Web Server để phá hoại các trang web và đánh cắp thông tin. Trong kiểu tấn công làm tràn bộ đệm, kẻ tấn công ghi các lệnh vào các vị trí thiết yếu của bộ nhớ, do đó đoạn mã chƣơng trình của kẻ tấn công có thể đƣợc ghi đè lên bộ nhớ đệm.

Web Server hoạt động và thực hiện đoạn chƣơng trình này. Kiểu tấn công này gây thiệt hại khá nghiêm trọng vì kẻ tấn công có thể chiếm đƣợc quyền kiểm soát cao nhất nên dữ liệu trên máy chủ có thể bị phá hủy. Tấn công từ chối dịch vụ (Denial of Service - DoS) là hiện tƣợng đƣa rất nhiều yêu cầu kết nối trong cùng một thới điểm tới máy chủ, làm máy chủ bị quá (LUAN.Nam TIEU LUAN MOI download : [e-mail] 11 tải, có thể dẫn đến treo máy chủ, nghẽn mạch, do đó tê liệt các dịch vụ của hệ thống.