Chương 1: Giới thiệu tổng quan về Internet Banking, các loại giao dịch trong Internet Banking và các vấn đề an toàn của Internet Banking. LUAN VAN CHAT LUONG download : add luanvanchat@agmail.com 5 Chương 2: Trình bày về các kỹ thuật mã hóa đƣợc sử dụng trong Internet Banking, chữ ký điện tử và xác thực, tiếp đó giới thiệu một số giao thức và chuẩn an toàn dữ liệu trong Internet Banking. Chương 3: Trình bày về kết quả xây dựng hệ thống Internet Banking tại NHCT VN ứng dụng các kỹ thuật bảo mật đã nêu trong chƣơng 2, tập trung mô tả hệ thống an ninh máy chủ Internet Banking, là phần mã hóa bảo mật chung mức hệ thống cho tất cả các hệ thống thanh toán qua Internet, và đề xuất giải pháp sử dụng thẻ bài thông minh, nâng cao độ an toàn xác thực của hệ thống. Phụ lục 1: Giới thiệu một số màn hình giao diện và giao dịch trên hệ thống IncomeBank.
Phụ lục 2: Là danh mục các bảng biểu và hình minh họa trong luận văn. LUAN VAN CHAT LUONG download : add luanvanchat@agmail.com 6 CHƢƠNG 1- TỔNG QUAN VỀ INTERNET BANKING 1.1 Khái quát về Internet Banking 1.1 Khái niệm Internet Banking là hệ thống cung cấp các sản phẩm dịch vụ ngân hàng qua kênh phân phối điện tử dựa trên các công nghệ internet, các ứng dụng trên nền web và các thiết bị di động [17].2 Lợi ích của Internet Banking Internet Banking đem lại lợi ích rõ rệt không những cho khách hàng sử dụng dịch vụ mà còn cho các nhà cung cấp dịch vụ, đặc biệt là dịch vụ thanh toán. Vì khách hàng có thể kết nối Internet từ bất cứ đâu không phụ thuộc vào vị trí địa lý, do đó giới hạn không gian đã bị phá bỏ, tiết kiệm đƣợc chi phí đi lại. Ngân hàng có thể mở rộng phạm vi khách hàng mà không cần phải có trụ sở với một số nhân viên nhất định và cũng không phải tốn kém cho tiếp thị theo cách làm truyền thống.
Hệ thống giao dịch Internet là hệ thống thanh toán trực tuyến, 24/24 giờ và 7 ngày/tuần nên khách hàng có thể truy cập hệ thống mà không phụ thuộc vào giờ mở cửa của Ngân hàng. Khách hàng có thể kiểm tra tức thời thông tin về tài khoản và giao dịch trên mạng. Điều này vừa làm khách hàng hài lòng, vừa giảm đƣợc các chi phí về in ấn và bƣu phí cho Ngân hàng. Nhƣ vậy, Internet Banking là hệ thống thanh toán tiết kiệm, không có giới hạn về không gian và thời gian.
Trƣớc đây, để xây dựng đƣợc một hệ thống thanh toán điện tử truyền thống, Ngân hàng phải tự đầu tƣ xây dựng mạng truyền thông nội bộ cho hệ thống Ngân hàng mình, đồng thời phần mềm ứng dụng tự xây dựng vừa phức tạp, vừa không LUAN VAN CHAT LUONG download : add luanvanchat@agmail.com 7 đƣợc chuẩn hóa dẫn đến chi phí cao khi xây dựng và mở rộng hệ thống. Khách hàng muốn sử dụng dịch vụ tại nhà thì máy tính của khách hàng cần đƣợc cài đặt phần mềm do Ngân hàng cung cấp và luôn yêu cầu một số cấu hình kỹ thuật nhất định. Việc nâng cấp, bảo trì cũng khó khăn và tốn kém cho cả Ngân hàng và khách hàng. Khi sử dụng Internet Banking, Ngân hàng và khách hàng đƣợc giải phóng khỏi các vấn đề phức tạp này.
Thông qua kênh Internet, Ngân hàng có thể dễ dàng bổ sung, mở rộng các dịch vụ của mình với chi phí chỉ còn một nửa so với cách làm truyền thống. Thông tin đƣa tới khách hàng đầy đủ hơn, chi tiết và chính xác hơn. Khách hàng có thể khai thác thông tin, tham khảo so sánh và đƣa ra quyết định đầu tƣ hay sử dụng các dịch vụ Ngân hàng trên cơ sở thông tin đầy đủ. Mở rộng, nâng cao chất lƣợng các dịch vụ, gia tăng khách hàng sử dụng dịch vụ ngân hàng qua Internet đem lại lợi ích cho khách hàng, tạo ra lợi nhuận cho ngân hàng và do đó đem lại lợi ích cho nền kinh tế nói chung.2 Nội dung nghiệp vụ Internet Banking 1.1 Các sản phẩm dịch vụ Internet Banking Các sản phẩm, dịch vụ trên Internet Banking có thể bao gồm các sản phẩm dịch vụ Ngân hàng truyền thống, dành cho đối tƣợng khách hàng là cá nhân hoặc tổ chức, doanh nghiệp.
Ví dụ nhƣ: - Quản lý tài khoản - Chuyển tiền - Các giao dịch bù trừ tự động - Thanh toán hóa đơn - Làm thủ tục xin vay vốn - Các hoạt động đầu tƣ - Các giao dịch tải thông tin … LUAN VAN CHAT LUONG download : add luanvanchat@agmail.2 Các hình thức giao dịch Internet Banking - Giao dịch trực tiếp qua Internet - Thanh toán sử dụng thẻ ATM - Thanh toán sử dụng thẻ VISA/Master - Tiền điện tử (ECash, Digital Cash, EPurse .) - Thanh toán tại điểm bán hàng (POS) 1.3 Phân loại giao dịch Internet Banking Hiện nay trên thị trƣờng, ngƣời ta chia các sản phẩm dịch vụ Internet Banking thành 3 loại [10] theo mức độ truy cập và sử dụng dịch vụ hệ thống: Dịch vụ mang tính thông tin: Đây là dịch vụ cơ bản của Internet Banking. Dịch vụ này cung cấp cho khách hàng thông tin về các sản phẩm dịch vụ của Ngân hàng, các thông tin về tình hình tài chính của Ngân hàng do chính Ngân hàng hay do các cơ quan kiểm toán đánh giá. Những thông tin này đƣợc công bố trên trang web của Ngân hàng, giúp cho bất kỳ ai quan tâm có thể xem để đánh giá đƣợc độ an toàn hay rủi ro trong đầu tƣ, giao dịch tại Ngân hàng. Dịch vụ mang tính giao tiếp: Loại dịch vụ này cho phép khách hàng vấn tin số dƣ và vấn tin giao dịch trên tài khoản, đăng ký vay vốn, sử dụng hộp thƣ điện tử hoặc cập nhật một số thông tin tĩnh của bản thân nhƣ thay đổi tên, địa chỉ.
Khách hàng cần đăng ký quyền truy nhập để sử dụng loại dịch vụ này. Vì những dịch vụ này sẽ truy xuất đến mạng máy tính của Ngân hàng nên mức độ rủi ro cũng nhƣ cấu hình của hệ thống cao hơn mức thông tin nêu trên. Hệ thống kiểm soát cần đƣợc thiết lập để ngăn chặn, giám sát và cảnh báo đối với bất kỳ sự truy nhập không hợp lệ nào vào hệ thống mạng và máy tính nội bộ của Ngân hàng. Hệ thống kiểm soát virus cũng là một trong những phần cơ bản trên môi trƣờng dịch vụ này.
LUAN VAN CHAT LUONG download : add luanvanchat@agmail.com 9 Dịch vụ mang tính giao dịch: Ở cấp độ này, Internet Banking cho phép khách hàng thực hiện các giao dịch. Khi khách hàng kết nối với hệ thống máy chủ của Ngân hàng và thông qua các cổng (gateway) kết nối với các hệ thống nội bộ khác của Ngân hàng thì hệ thống cần phải đƣợc thiết kế ở mức an toàn cao nhất với những kiểm soát chặt chẽ. Các giao dịch mà khách hàng có thể thực hiện đƣợc ở mức này có thể là truy cập tài khoản, thanh toán hóa đơn, chuyển tiền, .4 Các vấn đề an toàn của Internet Banking Khi đã đƣa các sản phẩm dịch vụ Ngân hàng lên Internet thì việc bảo mật và an toàn thông tin cần đƣợc thiết lập ở mức cao để đảm bảo lợi ích cho Ngân hàng và khách hàng.1 Các nguy cơ bị tấn công Có nhiều mối đe dọa từ bên trong và bên ngoài đối với hệ thống Internet Banking nhƣ: Tấn công client bằng "Con ngựa Trojan", là những đoạn mã nhỏ, thƣờng đƣợc viết theo ngôn ngữ script (VB script hay Java script) có thể nhúng vào một hệ thống hoặc một trang web. "Con ngựa Trojan" có thể thâm nhập vào client và gửi các thông tin ngƣợc trở lại cho một Web Server nào đó, ngoài ra nó còn có thể sửa đổi và xóa thông tin trên máy bị thâm nhập.
Đe dọa đối với kênh truyền thông, xâm phạm tính bí mật, tính riêng tƣ, tính toàn vẹn và tính không thể chối bỏ của thông tin trao đổi. Có thể kể đến phần mềm đặc biệt Sniffer, còn đƣợc biết đến nhƣ là chƣơng trình giám sát truyền thông trên mạng máy tính. Phần mềm này có thể đƣợc cài trên các thiết bị mạng nhƣ Router hoặc một PC để đánh cắp thông tin trên mạng. Masquerading hay spoofing lại là cách xâm phạm tính toàn vẹn của các trang web bằng cách lợi dụng kẽ hở của DNS (Domain Name Service) để thay thế địa chỉ LUAN VAN CHAT LUONG download : add luanvanchat@agmail.com 10 một trang web bằng một trang web giả mạo, do đó mọi truy cập đến trang web thật đều bị đổi hƣớng sang trang web giả, thông tin bị đánh cắp và đƣợc sử dụng lại trên trang web thật cho các mục đích trục lợi hoặc phá hoại.
Brute Force cũng là một kỹ thuật lấy cắp các thông điệp đã mã hóa, sau đó sử dụng phần mềm để phá khóa và có thể đọc đƣợc thông điệp, lấy đƣợc tên định danh và mật khẩu truy cập. Chiếm quyền điều khiển cũng là một mối đe dọa đối với kênh truyền thông. Cách tấn công này chặn các gói tin đƣợc truyền trên mạng, sau đó cố gắng suy diễn nội dung thông tin của gói tin. Quay số ngẫu nhiên: Kỹ thuật này đƣợc dùng để quay số (dial) đến tất cả các số điện thoại của một Ngân hàng cho trƣớc.
Mục đích là để tìm ra modem kết nối với mạng, từ đó có thể dùng nhƣ một điểm để tấn công. Đe dọa đối với các máy chủ (server) Web Server cũng là mục tiêu tấn công phổ biến xếp thứ hai sau virus theo nghiên cứu của CSI/FBI trong năm 2001 (48% số ngƣời đƣợc hỏi đã gặp vấn đề này). Hầu hết các Web Server đều hỗ trợ cho lập trình CGI (Common Gateway Interface). Kẻ tấn công có thể khai thác những điểm yếu trong lập trình CGI, dễ dàng định vị và hoạt động với những đặc quyền (của "super user") trên Web Server để phá hoại các trang web và đánh cắp thông tin.
Trong kiểu tấn công làm tràn bộ đệm, kẻ tấn công ghi các lệnh vào các vị trí thiết yếu của bộ nhớ, do đó đoạn mã chƣơng trình của kẻ tấn công có thể đƣợc ghi đè lên bộ nhớ đệm. Web Server hoạt động và thực hiện đoạn chƣơng trình này. Kiểu tấn công này gây thiệt hại khá nghiêm trọng vì kẻ tấn công có thể chiếm đƣợc quyền kiểm soát cao nhất nên dữ liệu trên máy chủ có thể bị phá hủy. Tấn công từ chối dịch vụ (Denial of Service - DoS) là hiện tƣợng đƣa rất nhiều yêu cầu kết nối trong cùng một thới điểm tới máy chủ, làm máy chủ bị quá LUAN VAN CHAT LUONG download : add luanvanchat@agmail.com 11 tải, có thể dẫn đến treo máy chủ, nghẽn mạch, do đó tê liệt các dịch vụ của hệ thống.