Mở đầu về bảo mật thông tin Ngày nay với sự phát triển bùng nổ của công nghệ thông tin, hầu hết các thông tin của doanh nghiệp nhƣ nhƣ chiến lƣợc kinh doanh, các thông tin về khách hàng, nhà cung cấp, tài chính, mức lƣơng nhân viên,…đều đƣợc lƣu trữ trên hệ thống máy tính. Cùng với sự phát triển của doanh nghiệp là những đòi hỏi ngày càng cao của môi trƣờng kinh doanh yêu cầu doanh nghiệp cần phải chia sẻ thông tin của mình cho nhiều đối tƣợng khác nhau qua Internet hay Intranet.Việc mất mát, rò rỉ thông tin có thể ảnh hƣởng nghiêm trọng đến tài chính, uy tín của các tổ chức dẫn tới những sai lệch, đổ vỡ hệ thống. Sự cố an ninh mất cắp 40 triệu thẻ tín dụng của khách hàng gần đây xảy ra với Master Card và Visa Card đã phần nào gia tăng sự chú ý đến các giải pháp bảo mật thông tin. Các phƣơng thức tấn công thông qua mạng ngày càng tinh vi, phức tạp có thể dẫn đến mất mát thông tin, thậm chí có thể làm sụp đổ hoàn toàn hệ thống thông tin của doanh nghiệp.
An toàn và bảo mật thông tin vì vậy mà rất nặng nề và khó đoán định trƣớc nhƣng tựu trung lại gồm ba hƣớng chính sau: - Bảo đảm an toàn thông tin tại máy chủ - Bảo đảm an toàn cho phía máy trạm - Bảo mật thông tin trên đƣờng truyền Đứng trƣớc yêu cầu bảo mật thông tin, ngoài việc xây dựng các phƣơng thức bảo mật thông tin thì trong "Tuyên bố Montreux"[5] ngƣời ta đã đƣa ra các nguyên tắc về bảo vệ dữ liệu nhƣ sau: - Nguyên tắc hợp pháp trong lúc thu thập và xử lý dữ liệu. - Nguyên tắc đúng đắn. - Nguyên tắc phù hợp với mục đích. LUAN VAN CHAT LUONG download : add luanvanchat@agmail.com - 10 - - Nguyên tắc cân xứng.
- Nguyên tắc minh bạch. - Nguyên tắc đƣợc cùng quyết định cho từng cá nhân và bảo đảm quyền truy cập cho ngƣời có liên quan. - Nguyên tắc không phân biệt đối xử. - Nguyên tắc an toàn.
- Nguyên tắc có trách niệm trƣớc pháp lý. - Nguyên tắc giám sát độc lập và hình phạt theo pháp luật. - Nguyên tắc mức bảo vệ tƣơng ứng trong vận chuyển dữ liệu xuyên biên giới.2 Nguy cơ và hiểm hoạ đối với hệ thống thông tin Các hiểm họa đối với hệ thống có thể đƣợc phân loại thành hiểm họa vô tình hay cố ý, chủ động hay thụ động. - Hiểm họa vô tình: khi ngƣời dùng khởi động lại hệ thống ở chế độ đặc quyền, họ có thể tùy ý chỉnh sửa hệ thống.
- Hiểm họa cố ý: nhƣ cố tình truy nhập hệ thống trái phép. - Hiểm họa thụ động: là hiểm họa chƣa hoặc không tác động trực tiếp lên hệ thống, nhƣ nghe trộm các gói tin trên đƣờng truyền. - Hiểm họa chủ động: là việc sửa đổi thông tin, thay đổi tình trạng hoặc hoạt động của hệ thống. Đối với mỗi hệ thống thông tin mối đe dọa và hậu quả tiềm ẩn là rất lớn có thể xuất phát từ những nguyên nhân yếu tố: - Từ phía ngƣời sử dụng: xâm nhập bất hợp pháp, ăn cắp tài sản có giá trị - Trong kiến trúc hệ thống thông tin: tổ chức hệ thống kỹ thuật không có cấu trúc hoặc không đủ mạnh để bảo vệ thông tin.
- Ngay trong chính sách bảo mật an toàn thông tin: không chấp hành các chuẩn an toàn, không xác định rõ các quyền trong vận hành hệ thống. LUAN VAN CHAT LUONG download : add luanvanchat@agmail.com - 11 - - Thông tin trong hệ thống máy tính cũng sẽ dễ bị xâm nhập nếu không có công cụ quản lý, kiểm tra và điều khiển hệ thống. - Nguy cơ nằm ngay trongcấu trúc phần cứng của các thiết bị tin học và trong phần mềm hệ thống và ứng dụng do hãng sản xuất cài sẵn các loại 'rệp' điện tử theo ý đồ định trƣớc, gọi là 'bom điện tử'. - Nguy hiểm nhất đối với mạng máy tính mở là tin tặc, từ phía bọn tội phạm.3 Các kiểu tấn công Các hệ thống trên mạng có thể là đối tƣợng của nhiều kiểu tấn công: - Tấn công giả mạo là một thực thể tấn công giả danh một thực thể khác.
Tấn công giả mạo thƣờng đƣợc kết hợp với các dạng tấn công khác nhƣ tấn công chuyển tiếp và tấn công sửa đổi thông báo. - Tấn công chuyển tiếp xảy ra khi một thông báo, hoặc một phần thông báo đƣợc gửi nhiều lần, gây ra các tác động tiêu cực. - Tấn công sửa đổi thông báo xảy ra khi nội dung của một thông báo bị sửa đổi nhƣng không bị phát hiện. - Tấn công từ chối dịch vụ xảy ra khi một thực thể không thực hiện chức năng của mình, gây cản trở cho các thực thể khác thực hiện chức năng của chúng.
- Tấn công từ bên trong hệ thống xảy ra khi ngƣời dùng hợp pháp cố tình hoặc vô ý can thiệp hệ thống trái phép. Còn tấn công từ bên ngoài là nghe trộm, thu chặn, giả mạo ngƣời dùng hợp pháp và bỏ qua quyền hoặc các cơ chế kiểm soát truy nhập.4 Các yêu cầu an toàn bảo mật thông tin Hiện nay các biện pháp tấn công càng ngày càng tinh vi, sự truy cập trái phép có thể đe doạ tới an toàn thông tin, xuất phát từ nhiều động cơ, lý do khác nhau chúng ta nên đƣa ra các chính sách và phƣơng pháp đề phòng cần thiết. LUAN VAN CHAT LUONG download : add luanvanchat@agmail.com - 12 - Mục đích cuối cùng của an toàn bảo mật là bảo vệ các thông tin và tài nguyên theo các yêu cầu sau: 1. Tính bí mật: Đảm bảo dữ liệu đƣợc truyền đi một cách an toàn và không thể bị lộ thông tin nếu nhƣ có ai đó cố tình muốn có đƣợc nội dung của dữ liệu gốc ban đầu.
Chỉ có ngƣời nhận đã xác thực mới có thể lấy ra đƣợc nội dung của thông tin chứa đựng trong dạng đã mã hóa của nó. Tính xác thực: Thông tin không thể bị truy nhập trái phép bởi những ngƣời không có thẩm quyền giúp cho ngƣời nhận dữ liệu xác định đƣợc chắc chắn dữ liệu mà họ nhận là dữ liệu gốc ban đầu. Kẻ giả mạo không thể có khả năng để giả dạng một ngƣời khác hay nói cách khác không thể mạo danh để gửi dữ liệu. Ngƣời nhận có khả năng kiểm tra nguồn gốc thông tin mà họ nhận đƣợc.
Tính toàn vẹn: Thông tin không thể bị sửa đổi, bị làm giả bởi những ngƣời không có thẩm quyền giúp cho ngƣời nhận dữ liệu kiểm tra đƣợc rằng dữ liệu không bị thay đổi trong quá trình truyền đi. Kẻ giả mạo không thể có khả năng thay thế dữ liệu ban đầu bằng dữ liệu giả mạo 4. Tính không thể chối bỏ: Thông tin đƣợc cam kết về mặt pháp luật của ngƣời cung cấp. Ngƣời gửi hay ngƣời nhận không thể chối bỏ sau khi đã gửi hoặc nhận thông tin.
Đảm bảo tính sẵn sàng: Thông tin luôn sẵn sàng để đáp ứng sử dụng cho ngƣời có thẩm quyền.Ngƣời gửi không bị từ chối việc gửi thông tin đi. Tính chống lặp lại: Không cho phép gửi thông tin nhiều lần đến ngƣời nhận mà ngƣời gửi không hề hay biết. LUAN VAN CHAT LUONG download : add luanvanchat@agmail.5 Các biện pháp để kiểm soát độ an toàn và bảo mật thông tin 1. Thiết lập quy tắc quản lý: Mỗi tổ chức cần có những quy tắc quản lý của riêng mình về bảo mật hệ thống thông tin trong hệ thống.
Có thể chia các quy tắc quản lý thành một số phần: - Quy tắc quản lý đối với hệ thống máy chủ - Quy tắc quản lý đối với hệ thống máy trạm - Quy tắc quản lý đối với việc trao đổi thông tin giữa các bộ phận trong hệ thống, giữa hệ thống máy tính và ngƣời sử dụng, giữa các thành phần của hệ thống và các tác nhân bên ngoài. An toàn thiết bị - Lựa chọn các thiết bị lƣu trữ có độ tin cậy cao để đảm bảo an toàn cho dữ liệu. - Xây dựng kế hoạch sao lƣu dữ liệu hợp lý. - Tuân thủ chế độ bảo trì định kỳ đối với các thiết bị.
Thiết lập biện pháp bảo mật: Cơ chế bảo mật một hệ thống thể hiện qua quy chế bảo mật trong hệ thống, sự phân cấp quyền hạn, chức năng của ngƣời sử dụng trong hệ thống đối với dữ liệu và quy trình kiểm soát công tác quản trị hệ thống. Các biện pháp bảo mật bao gồm: - Bảo mật vật lý đối với hệ thống. Hình thức bảo mật vật lý có thể bằng khoá cứng, hệ thống báo động, hạn chế sử dụng thiết bị. - Các biện pháp hành chính nhƣ nhận dạng nhân sự khi vào văn phòng, đăng nhập hệ thống hoặc cấm cài đặt phần mềm, hay sử dụng các phần mềm không phù hợp với hệ thống.
- Mật khẩu là một biện pháp phổ biến và khá hiệu quả. Tuy nhiên mật khẩu không phải là biện pháp an toàn tuyệt đối. Mật khẩu vẫn có thể mất cắp hoặc tiềm ẩn những rủi ro trong thời gian sử dụng. - Xây dựng bức tƣờng lửa,tạo một hệ thống bao gồm phần cứng và phần mềm đặt giữa hệ thống và môi trƣờng bên ngoài nhƣ Internet.
Thông LUAN VAN CHAT LUONG download : add luanvanchat@agmail.com - 14 - thƣờng, tƣờng lửa có chức năng ngăn chặn những thâm nhập trái phép hoặc lọc bỏ, cho phép gửi hay không gửi các gói tin. - Bảo mật dữ liệu bằng mật mã tức là biến đổi dữ liệu từ dạng nhiều ngƣời dễ dàng đọc đƣợc, hiểu đƣợc sang dạng khó nhận biết. Để bảo vệ thông tin, ngƣời ta cần phải thực hiện hai biện pháp cơ bản là: mã hóa các thông tin quan trọng và quản lý thật chặt chẽ các khóa giải mã. Tác vụ quản lý khóa là tác vụ đƣợc đặc biệt chú trọng vì các thuật toán mã hóa thông dụng ngày nay đã đủ an toàn, có thể cài đặt thêm các cơ chế giám sát để kịp thời phản ứng trƣớc những kiểu truy xuất hệ thống bất thƣờng.6 Các cơ chế đảm bảo an toàn thông tin Mỗi cơ chế an toàn xác định thƣờng đƣợc gắn với một tầng thích hợp trong kiến trúc mạng nhằm cung cấp các dịch vụ an toàn bao gồm: - Mã hoá - Chữ ký số - Các cơ chế kiểm soát truy nhập - Các cơ chế toàn vẹn dữ liệu - Xác thực - Đệm lƣu lƣợng - Chứng thực I.
Tình hình bảo mật trên thế giới và tại Việt Nam I.