MỞ ĐẦU V phát triển nhanh công nghệ thông tin, hiện nay đa số dữ và lƣu trữ trong máy tính đã tạo nên sự thuận tiện cho con ngƣời. Sự phát triển của mạng máy tính đã giúp con ngƣời khai thác thông tin một cách dễ dàng nhƣng bên cạnh đó cũng này sinh vấn đề rất quan trọng về việc bảo về các thông tin riêng của cá nhân hay của tập thể. Thông tin riêng (cá nhân) có thể là mật khẩu đăng nhập vào hệ thống, chiến lƣợc kinh doanh, các phát minh sáng chế chƣa đƣợc công bố, kế hoạch quân sự … thông tin này rất quan trọng, nếu bị lộ có thể sẽ ảnh hƣởng lớn đến cá nhân, tổ chức, hệ thống về mọi mặt nhƣ kinh tế, chính trị, thời gian, con ngƣời … Khi có đƣợc thông tin đăng nhập hệ thống thông tin thì có thể sẽ có nhiều quyền với hệ thống đó. Khi đó các thông tin trên hệ thống có thể bị sửa đổi, chuyển cho ngƣời khác, thậm chí còn có thể bị phá cả hệ thống.
Nhƣ vậy đi liền với phát triển hệ thống thông tin thì bảo vệ hệ thống thông tin cũng là vấn đề quan trọng. Để một hệ thống thông tin hoạt động chính xác, tin cậy, an toàn đáp ứng đƣợc nhu cầu của cá nhân, tập thể thì cần thiết phải áp dụng biện pháp, chính sách bảo mật. Bảo mật thông tin là các phƣơng thức nhằm bảo vệ tính bí mật của thông tin. Phƣơng pháp chủ yếu là biến đổi thông tin để ngƣời khác không thể đọc, không thể hiểu đƣợc.
Chỉ ngƣời có thẩm quyền mới có thể biến đổi ngƣợc lại để đọc đƣợc nội dung của thông tin đó. Từ xƣa con ngƣời đã có nhiều cách biến đổi thông tin nhằm đảm bảo tính bí mật khi gửi đi nhƣ thay thế bằng các biểu tƣợng, ký hiệu, viết ngƣợc, viết vào gỗ sau đó phủ sáp lên, viết vào dây quấn quanh gậy, dùng hóa chất để viết khi hơ nóng sẽ hiện chữ. Nếu một ngƣời có đƣợc thông tin biến đổi và biết đƣợc phƣơng pháp biến đổi thông tin thì dễ dàng biết cách để đọc đƣợc thông tin. Vậy để giữ bí mật thông tin cần phải giữ bí mật cả phƣơng pháp biến đổi thông tin.
Số hóa bởi Trung tâm Học liệu http://www.vn/ 2 Ngày nay hầu hết thông tin đã đƣợc số hóa và truyền trên mạng mỗi khi cần trao đổi với ngƣời khác. Do đó đã ra đời nhiều phƣơng pháp biến đổi thông tin nhằm đảm bảo các thông tin này không bị lộ trên đƣờng truyền. Việc nghiên cứu xây dựng hệ thống đã khó thì việc bảo vệ nó lại càng khó hơn. Hiện nay nhiều quốc gia trên thế giới đã và đang đầu tƣ mạnh cho việc nghiên cứu và xây dựng hạ tầng cơ sở cho việc đảm bảo an toàn bảo mật thông tin.
Nhiều giao thức bảo mật đƣợc thiết kế trƣớc đây an toàn thì nay đã lộ ra những lỗ hổng. Vì vậy nghiên cứu bảo mật thông tin luôn luôn đi cùng với sự phát triển của công nghệ thông tin. Vì lý do bảo mật thông tin quan trọng nhƣ vậy nên tôi chọn đề tài về “Nghiên cứu vấn đề bảo mật thông tin” trong luận văn tốt nghiệp, qua đó đề xuất giải pháp bảo mật hệ thống thông tin trƣờng cao đẳng kinh tế - kỹ thuật Vĩnh Phúc nơi tôi đang công tác. Để hoàn thành đƣợc luận văn tôi chọn phƣơng pháp nghiên cứu tài liệu về vấn đề bảo mật thông tin, xác thực thông tin, thuật toán mã hóa hiện đại đang đƣợc áp dụng.
Kết hợp với khảo sát thực tiễn, qua đó phân tích, đánh giá rồi đề xuất triển khai giải pháp bảo mật nhằm bảo đảm cho hệ thống thông tin hoạt động chính xác, tin cậy, ổn định. Hạn chế tối đa sự cố lộ thông tin. Luận văn bao gồm ba chƣơng: Chƣơng 1. Tổng quan về bảo mật thông tin.
Các biện pháp bảo mật. Bảo mật hệ thống thông tin trong trƣờng Cao đẳng kinh tế - kỹ thuật Vĩnh Phúc. Mặc dù đã cố gắng hết sức, song do trình độ còn hạn chế, nội dung đề tài rộng, công nghệ mới nên luận văn khó tránh khỏi những thiếu sót. Do vậy em mong nhận đƣợc sự góp ý của quý thầy cô và các bạn để luận văn hoàn thiện hơn, đáp ứng đƣợc nhu cầu bảo mật trong thực tiễn.
Số hóa bởi Trung tâm Học liệu http://www.vn/ 3 CHƢƠNG 1. TỔNG QUAN VỀ BẢO MẬT THÔNG TIN 1. Các định nghĩa về bảo mật thông tin Bảo mật (security) là việc giữ bí mật những thứ có giá trị. Bảo mật thông tin (information security) là những vấn đề bảo mật có liên quan đến lƣu trữ và xử lý thông tin.
Bảo mật máy tính (computer security) là lĩnh vực liên quan đến việc xử lý ngăn ngừa và phát hiện những hành động bất hợp pháp/trái phép (đối với thông tin và tài nguyên hệ thống) của ngƣời dùng trong một hệ thống máy tính”. Lĩnh vực nghiên cứu chính của bảo mật thông tin rất rộng gồm các vấn đề về pháp lý nhƣ hệ thống chính sách, các quy định, yếu tố con ngƣời; các vấn đề thuộc tổ chức nhƣ kiểm toán xử lý dữ liệu điện tử, quản lý, nhận thức; và các vấn đề kỹ thuật nhƣ kỹ thuật mật mã, bảo mật mạng, công nghệ thẻ thông minh… Mục đích của bảo mật máy tính nhằm bảo đảm các tính chất sau của thông tin: Tính bí mật: Thông tin không bị lộ ra ngoài, với những ngƣời không có thầm quyền thì không đƣợc biết thông tin. Tính toàn vẹn: Thông tin không bị sửa đổi trái phép bởi ngƣời không có thẩm quyền. Tính sẵn sàng: Sẵn sàng đáp ứng nhu cầu của ngƣời dùng có thẩm quyền.
Trên thực tế, kỹ thuật mật mã được triển khai rộng rãi để đảm bảo tính bí mật và toàn vẹn của thông tin được lưu trữ hay truyền nhận nhưng kỹ thuật này không bảo đảm cho tính sẵn sàng của hệ thống.[6] Bảo mật mạng (network security) là các vấn đề về mã hóa thông tin khi truyền qua mạng và kiểm soát truy xuất thông tin trên đƣờng truyền. Nhƣ vậy bảo mật là khái niệm bao gồm tất cả các phƣơng pháp nhƣ các kỹ thuật xác nhận danh tính, mật mã hoá, che giấu thông tin, xáo trộn … Số hóa bởi Trung tâm Học liệu http://www.vn/ 4 nhằm đảm bảo cho các thông tin đƣợc truyền đi, cũng nhƣ các thông tin lƣu trữ đƣợc chính xác và an toàn. Bảo mật luôn đi đôi với an toàn “an toàn và bảo mật”, đây là hai yếu tố quan trọng và gắn bó mật thiết với nhau trong một hệ thống. Có thể nói hệ thống mất an toàn thì không bảo mật đƣợc và ngƣợc lại hệ thống không bảo mật đƣợc thì mất an toàn [2].
Hệ thống sẽ là an toàn khi các khiếm khuyết không thể làm cho hoạt động chủ yếu của nó ngừng hẳn và các sự cố đều xảy ra sẽ đƣợc khắc phục kịp thời mà không gây thiệt hại đến mức độ nguy hiểm cho chủ sở hữu. Mục đích của an toàn và bảo mật thông tin là tránh đƣợc ngƣời không có thẩm quyền đọc, sửa, thay đổi thông tin. Nhƣng đồng thời đảm bảo ngƣời có thầm quyền sẵn sàng khai thác thông tin trong phạm vi quyền hạn của họ. Những hiểm hoạ ảnh hƣởng đến bảo mật thông tin 1.
Động cơ ảnh hưởng đến bảo mật. Một ngƣời nếu có đủ thầm quyền về hệ thống thì họ truy cập vào hệ thống trong phạm vi, quyền hạn cho phép của họ. Nhƣng nếu một ngƣời khác không có thẩm quyền lại tìm cách truy cập hệ thống để thực hiện những việc không đƣợc phép đối với hệ thông có thể suất phát từ những động cơ nhƣ chỉ để tìm hiểu, giải trí, hoặc muốn thể hiện khả năng cá nhân, để ăn cắp các bí mật thƣơng mại, bí mật quốc gia hoặc các thông tin độc quyền, làm tê liệt mạng, phát động chiến tranh thông tin trên mạng… 1. Các hiểm họa và sự rò rỉ thông tin Một hệ thống thông tin khi vận hành có nhiều đối tƣợng tham gia tác động nên nó, mối đối tƣợng đều có thể tiềm ẩn những nguy cơ về bảo mật làm ảnh hƣởng đến hệ thống.
Bao gồm 02 nhóm chính sau: - Đ ữ. Số hóa bởi Trung tâm Học liệu http://www.vn/ 5 - (hacker, cracker), thông hoặc qua c , adware, trojan y ngầm bên trong. Đối tƣợng sử dụng ở bên trong hệ thống có nhiều quyền với hệ thống. Họ có thông tin nhƣ tên, mật khẩu.
Thông tin này có thể bị lộ, bị lợi dụng và tấn công. Do vậy để hạn chế lỗi bảo mật giúp cho hệ thống vận hành an toàn, ổn định thì cần thiết phải có những chính sách cụ thể, có cơ chế phân quyền hệ thống cụ thể… khi xảy ra lỗi dễ dàng xác định thiệt hại, nguyên nhân, đối tƣợng gây lỗi. Quy trách nhiệm pháp luật đối với đối tƣợng gây hại [3]. Ảnh hƣởng đến bảo mật thông tin còn do hành vi của đối tƣơng tham gia hệ thông thông tin qua các hiểm họa nhƣ dƣới đây: - Hiểm họa vô tình: Khi ngƣời sử dụng tắt nguồn của một hệ thống và khi đƣợc khởi động lại, hệ thống ở chế độ single-user (đặc quyền) - ngƣời sử dụng có thể làm mọi thứ anh ta muốn đối với hệ thống.
- Hiểm họa cố ý: Có thể xảy ra đối với dữ liệu trên mạng hoặc máy tính cá nhân thông qua các tấn công tinh vi có sử dụng các kiến thức hệ thống đặc biệt. - Hiểm hoạ thụ động: Có thể bị lợi dụng bởi ngƣời khác để thực hiện hành vi vi phạm bảo mật hệ thống. - Hiểm hoạ chủ động: Là việc cố tình thực hiện hành vi vi phạm bảo mật. Trong giao dịch điện tử mối đe dọa và hậu quả tiềm ẩn đối với thông tin rất lớn.
Nguy cơ rủi ro đối với thông tin trong giao dịch điện tử đƣợc thể hiện hoặc tiềm ẩn trên nhiều khía cạnh khác nhau nhƣ ngƣời sử dụng, kiến trúc hệ thống công nghệ thông tin, chính sách bảo mật thông tin, các công cụ quản lý và kiểm tra, quy trình phản ứng. Số hóa bởi Trung tâm Học liệu http://www.vn/ 6 - Hiểm hoạ từ phía ngƣời sử dụng: xâm nhập bất hợp pháp, ăn cắp thông tin có giá trị của các đối tƣợng khác tham gia giao dịch điện tử. - Nguy cơ rủi ro tiềm ẩn trong kiến trúc hệ thống công nghệ thông tin, đó là các hệ thống không có cơ chế bảo vệ thông tin trong việc tổ chức và khai thác cơ sở dữ liệu; tiếp cận từ xa; sử dụng phần mềm ứng dụng; chƣơng trình kiểm tra, không kiểm soát ngƣời sử dụng, thiếu phát hiện và xử lý sự cố.