Chương 1 Giới thiệu Ngày nay công nghệ thông tin đã ảnh hưởng đến mọi hoạt động trong xã hội như kinh tế, giao thông, ngân hàng và rất nhiều lĩnh vực khác. Nhưng bên cạnh đó chính sự bùng nổ thông tin đã nảy sinh những loại tội phạm mới kiếm lợi bất chính từ việc xâm nhập trái phép những nguồn thông tin này. Truyền thông Internet và mạng không dây được xem như đã mở ra một kỷ nguyên mới cho loại tội phạm trên các phương tiện truyền thông này. Để đối phó với loại tội phạm từ xa này, ở Việt Nam đã đưa ra những đạo luật nhằm ngăn chặn và chống lại loại tội phạm từ xa gây thiệt hại cho xã hội này, đồng thời tiếp tục phát triển các kỹ thuật phòng chống trực tiếp nhằm đảm bảo tính tin cậy, tính toàn vẹn và tính sẵn sàng trong các hệ thống máy tính, hệ thống mạng và dữ liệu máy tính [1].
Những kỹ thuật này là những biện pháp tích cực cho các nhà chức trách xác định, phòng và chống lại loại tội phạm từ xa này. Đặc biệt hơn trong ngành ngân hàng, các dịch vụ tài chính được triển khai trên Internet và Mobile đang ngày càng phát triển, ngày càng được khách hàng chấp nhận và sử dụng. Trong phần báo cáo này tôi sẽ phân tích về bảo mật của các dịch vụ ngân hàng điện tử (e-banking) mà trọng tâm là các giao dịch ngân hàng qua các thiết bị di động đặc biệt là qua điện thoại di động. E- banking được xem như cách thức phát triển một loại hình dịch vụ mới của ngân hàng thông qua Internet với chi phí thấp cũng như đem lại sự tiện lợi cho khách hàng.
Tuy nhiên ở các nước đang phát triển như Việt Nam, đường truyền Internet còn hạn chế đặc biệt là ở vùng nông thôn, các vùng sâu và vùng xa. Do vậy giải pháp khả thi nhất chính là Mobile Banking. Ở đây chúng ta cũng đề cập tới các vấn đề liên quan tới bảo mật và tính khả thi về kinh tế trong việc triển khai các ứng dụng trên công nghệ di động ở Việt Nam. 2 Thương mại trên nền tảng công nghệ di động (M-Commerce) được xem như là hình thức thực hiện các giao dịch thương mại qua các mạng truyền thông mà môi trường truyền thông tin ở đây là mạng không dây và thiết bị là thiết bị di động.
Thiết bị di động nói tới ở đây là thiết bị có khả năng kết nối tới mạng di động của một nhà cung cấp dịch vụ di động, ví dụ như các loại điện thoại di động cầm tay hay các máy tính PDA cầm tay. Với tốc độ truyền tính hiệu nhanh của máy di động và giao tiếp ổn định của công nghệ di động sẽ là một giải pháp cho việc thực hiện các dịch vụ ngân hàng qua di động. Mobile Banking là dịch vụ Ngân hàng cung cấp cho khách hàng, trong đó khách hàng có thể nhận thông tin về tài khoản của mình, thực hiện chuyển khoản giữa các tài khoản với nhau, thực hiện các giao dịch chứng khoán hoặc xác nhận thanh toán hóa đơn thông qua thiết bị di động. Một số các công nghệ có thể được sử dụng để triển khai các dịch vụ ngân hàng qua phương tiện truyền thông di động như là: hệ thống trả lời tự động (Interactive Voice Response - IVR), tin nhắn ngắn (Short Messaging Service - SMS), Wireless Access Protocol (WAP) và sử dụng chương trình ứng dụng chạy trên máy di động - Mobile Application Clients (MAC).
Mục tiêu của đề tài là nghiên cứu các công nghệ khả thi và ứng dụng có thể để nâng cao độ tin cậy của của các dịch vụ Mobile Banking nhằm tìm ra được những hạn chế và thách thức trong vấn đề bảo mật và đề xuất những giải pháp có thể để giảm bớt những hạn chế còn tồn tại đó. Trong đó, chúng ta sẽ tìm hiểu chi tiết công nghệ được sử dụng trong dịch vụ SMS bởi vì sử dụng SMS sẽ tiết kiệm chi phí ở những nước đang phát triển như Việt Nam. Tuy nhiên khi sử dụng SMS sẽ có một số hạn chế về bảo mật như xác thực thanh toán hóa đơn chỉ theo định dạng văn bản thô chứa thông tin số tài khoản, PIN, số tiền [6]. Vì những tin nhắn SMS này không được mã hóa và thông thường các công ty truyền 3 thông sẽ lưu nội dung tin nhắn này trên máy chủ của họ, chúng là một mục tiêu khá dễ dàng của tội phạm.
Mục đích của đề tài này là đề xuất và triển khai một số biện pháp cải thiện những hạn chế này trên nền tảng khả năng tính toán giới hạn của máy di động thông thường mà phần lớn được sử dụng ở Việt Nam. Trong chương hai, tôi sẽ trình bày về hệ thống GSM. Hệ thống GSM là một phần hệ thống rất quan trọng, cung cấp phương tiện truyền dữ liệu và sử dụng để truyền nhận tin nhắn SMS. Chương ba sẽ nghiên cứu về lý thuyết mã hóa được sử dụng trong việc xây dựng ứng dụng đảm bảo các tính chất bảo mật trong đề tài nghiên cứu.
Chương bốn sẽ đề xuất một giao thức với sự cải tiến và chương năm sẽ trình bày phân tích khả năng bảo mật của giao thức đã được đề xuất trong chương trước. Và cuối cùng là cài đặt chương trình thử nghiệm và kết luận trong chương sáu và chương bảy.1 Mục tiêu của đề tài Trong Mobile Banking, dữ liệu được truyền qua kênh truyền thông không dây và Internet. Trong quá trình đó sẽ làm nảy sinh các vấn đề về bảo mật là làm thế nào để xác thực khách hàng, làm thế nào để duy trì tính toàn vẹn dữ liệu và quan trọng là độ tin cậy của dữ liệu được truyền đi này. Bên cạnh đó, việc phát triển ICT ở những nước đang phát triển còn hạn chế nhiều so với những nước phát triển nên cũng không thể áp dụng hệ thống e-banking của các nước phát triển trong khi hạ tầng Internet của các nước đang phát triển còn nhiều hạn chế [15][16].
Tuy nhiên với sự phát triển của công nghệ di động, nó dần dần được chấp nhận và được sử dụng rộng rãi nhờ đó Mobile Banking ở những nước đang phát triển đã trở thành một dịch vụ được quan tâm và phát triển trong ngành ngân hàng. Bằng chứng là ở Việt Nam, số lượng thuê bao tăng từ 25 triệu (03/2007) lên 48 triệu (05/2008) [7].2 Các vấn đề đặt ra Vấn đề bảo mật là vấn đề được quan tâm hàng đầu, bởi các hệ thống Mobile Banking hiện nay hầu hết sử dụng tin nhắn dưới dạng văn bản thô để truyền đi. Tuy trong hệ thống GSM cũng đã cung cấp các cơ chế bảo mật nhưng chưa đủ, vì vậy nội dung của tin nhắn có thể xem được trên hệ thống GSM một cách rất dễ dàng. Do đó triển khai Mobile Banking sử dụng văn bản thô sẽ không đảm bảo tính bảo mật từ nơi gửi đến nơi nhận.
Do đó các vấn đề bảo mật và những thách thức đối với một hệ thống mobile banking an toàn, cũng như làm thế nào để quản lý được rủi ro là một vấn đề đặt ra? Khi sử dụng dịch vụ thương mại điện tử trong thương mại thì vấn đề quan tâm thứ hai đó là chi phí trả cho một giao dịch. Bởi trong thông tin di động dung lượng truyền tin trong một lần bị hạn chế, do đó để đảm bảo tính kinh tế thì cần phải tối ưu trong việc thiết kế định dạng dữ liệu và giao thức một cách hiệu quả nhất. Do đó các vấn đề liên quan: 1. Những công nghệ nào có thể triển khai đối với hệ thống mobile banking sử dụng điện thoại di động? 2.
Vấn đề bảo mật được thực hiện trên những công nghệ này? 3. Những biện pháp bảo mật hiện tại đã được triển khai trên những công nghệ này? 4. Mô hình có thể ứng dụng tại những nước đang phát triển? 5. Những yêu cầu đặt ra, cũng như những hạn chế và thách thức của những ứng dụng mobile banking đối với những nước đang phát triển? 6.
Những giải pháp khả thi? 5 Chương 2 Tổng quan về Mobile và các vấn đề bảo mật Chương này tôi xin trình bày kiến trúc thành phần của GSM, những vấn đề về bảo mật trong hệ thống GSM, những công nghệ hiện tại áp dụng đối với mobile banking và những hạn chế về bảo mật của chúng. GSM (The Global System for Mobile Communication Network) là phương tiện truyền dữ liệu theo giao thức SMS nên chính những thiếu sót của kiến trúc hệ thống dẫn đến những lỗ hổng bảo mật trong hệ thống SMS-Banking. Vì thế việc nghiên cứu kiến trúc thành phần của hệ thống GSM là rất quan trọng. Đặc tả kỹ thuật của hệ thống GSM mô tả chi tiết kiến trúc thành phần của hệ thống GSM.
Đặc tả kỹ thuật được phát hành vào năm 1982 tại hội thảo quản lý bưu chính viễn thông Châu Âu CEPT (European Conference of Postal and Telecommunications Administrations). Hệ thống GSM là hệ thống truyền thông không dây di động, khách hàng sử dụng dịch vụ nếu nằm trong vùng phủ sóng thì sẽ kết nối được tới hệ thống. Hệ thống GSM yêu cầu người sử dụng phải có SIM (Subcriber Identity Module), SIM được sử dụng cho mục đích xác thực, bên cạnh đó SIM giúp cho các nhà cung cấp dịch vụ mạng di động có khả năng quản lý được các thuê bao điện thoại và các vấn đề về bảo mật.1 Kiến trúc GSM Phần này sẽ mô tả ngắn gọn chức năng của các thành phần trong hệ thống GSM ở hình 2. Hệ thống GSM bao gồm rất nhiều các thành phần khác nhau, trong hình dưới đường liền nét chỉ ra sự giao tiếp giữa các thành phần chính của hệ thống với nhau, đường đứt nét chỉ ra kết nối bên trong hệ thống được sử dụng trong quá trình bảo trì hệ thống.
Trong đó, trạm di động MS (Mobile Station) gồm hai thành phần là thiết bị di động và thẻ thông minh xác thực thuê bao SIM độc lập với nhau, nên có thể lắp SIM vào bất kỳ máy có hỗ trợ truy nhập mạng GSM thì đều có thể sử dụng được dịch vụ. Mỗi điện thoại 6 di động được phân biệt bởi một số nhận dạng điện thoại di động IMEI (International Mobile Equipment Identity). Card SIM (Subscriber Identity Module) chứa một số nhận dạng thuê bao di động IMSI (International Subcriber Identity) để hệ thống nhận dạng thuê bao, một mật mã để xác thực và các thông tin khác. IMEI và IMSI hoàn toàn độc lập với nhau để đảm bảo tính di động cá nhân.
Card SIM có thể chống việc sử dụng trái phép bằng mật khẩu hoặc số nhận dạng cá nhân (PIN). Trong quá trình hệ thống hoạt động trạm di động khởi tạo quá trình giao tiếp với hệ thống.