Chương 1 sẽ trình bày về tổng quan về an toàn thông tin, các vấn đề bảo mật hệ thống thông tin hiện nay. Từ đó đưa ra các kiến thức cơ bản về xác thực định danh người dùng, các giải pháp, giao thức xác thực định danh đã và đang phát triển.1 Tổng quan về an toàn thông tin 1.1 Khái niệm an toàn thông tin An toàn thông tin là việc bảo vệ cho thông tin và các hệ thống thông tin tránh khỏi việc truy cập, sử dụng, tiết lộ, gián đoạn, sửa đổi hoặc phá hoại trái phép. Đây là quá trình phát hiện và ngăn chặn mọi hình vi sử dụng trái phép máy tính, điện thoại hoặc thiết bị chứa thông tin. Quá trình này liên quan đến các quá trình bảo vệ chống lại những kẻ xâm phạm sử dụng tài nguyên máy tính cá nhân hoặc văn phòng với mục đích xấu.
Theo Viện Tiêu chuẩn và Công nghệ Quốc Gia Mỹ, an toàn thông tin gồm những tính chất sau đây: - Tính bí mật: Là tính chất đảm bảo thông tin chỉ cung cấp cho những người có thẩm quyền. Điều này bao gồm việc đảm bảo những người không có thẩm quyền sẽ không có khả năng tiếp cận với các dữ liệu cá nhân hoặc bí mật (tính bí mật) và người sở hữu dữ liệu riêng tư có toàn quyền lưu trữ, sử dụng, và cấp phép cho người khác được tiếp cận với dữ liệu đó (tính riêng tư hoặc liên quan đến vấn đề bản quyền). Dữ liệu hoặc hệ thống bị mất tính bí mật khi nó bị tiếp cận hoặc tiết lộ trái phép. Nguyên nhân gây ra mất tính bí mật đối với thông tin có thể xảy ra do: o Các hành vi nghe lén, xem lén, đọc lén.
o Đánh cắp vật mang. o Xâm nhập trái phép. o Sự bất cẩn (nhầm lẫn, mất cảnh giác) của người có bí mật. o Các hành vi gián điệp.
- Tính toàn vẹn: Là tính chất đảm bảo thông tin không bị thay đổi một cách trái phép hoặc thay đổi không như ý muốn. Bảo vệ thông tin chống lại việc sửa đổi hoặc phá hủy trái phép hoặc vô ý, bao gồm cả việc đảm bảo tính xác thực và chống chối bỏ của thông tin. Mất tính toàn vẹn xảy ra khi thông tin bị sửa đổi hoặc phá hủy trái phép hoặc sai lệch do lỗi đường truyền. Điều này bao gồm việc đảm bảo dữ liệu không bị thay đổi và đảm bảo cả về nguồn gốc của thông tin.
Tính toàn vẹn cũng bao gồm việc đảm bảo rằng một hệ thống thực hiện đúng và đầy đủ các chức năng được thiết kế mà không có sự cố ý hoặc vô tình thao túng trái phép hệ thống. Nguyên nhân gây ra mất tính toàn vẹn của thông tin có thể xảy ra do: o Lỗi đường truyền. o Lỗi phát sinh khi lưu trữ. o Tấn công sửa đổi, phá hủy.
3 - Tính khả dụng: Là tính chất đảm bảo khả năng truy cập thông tin, tính năng của hệ thống thông tin mỗi khi người dùng hợp lệ có nhu cầu. Nguyên nhân gây ra mất tính khả dụng của hệ thống thông tin có thể do: o Tấn công từ chối dịch vụ, tấn công từ chối dịch vụ phân tán. o Cấu hình sai. o Tính toàn vẹn bị phá vỡ.
o Hỏng hóc, mất điện, thiên tai, hỏa hoạn. Ba tính chất bí mật, toàn vẹn và khả dụng của thông tin được gọi là tam giác CIA (Confidentiality - Integrity - Availability) và là 3 tính chất cốt lõi quan trọng nhất của an toàn thông tin. Mọi vấn đề liên quan đến việc đảm bảo an toàn thông tin đều xoay quanh việc đảm bảo 3 tính chất này của thông tin. Bên cạnh đó, nhiều cuộc tranh luận về việc mở rộng ba yếu tố trên thành nhiều yếu tố hơn đã được diễn ra.
Trong đó, người ta thêm vào hai yếu tố mới là tính xác thực và tính không thể chối cãi. - Tính xác thực: Là tính chất đảm bảo rằng dữ liệu, giao dịch, kết nối hoặc các tài liệu đều là thật. Nó cũng quan trọng cho việc xác nhận rằng các bên liên quan biết họ là ai trong hệ thống. - Tính không thể chối cãi: Có nghĩa rằng một bên giao dịch không thể phủ nhận việc họ đã thực hiện giao dịch với các bên khác.
Như vậy, hai yếu tố mới thêm vào làm cho tính chất của an toàn thông tin được đầy đủ hơn, một hệ thống đáp ứng được các tính chất trên sẽ đủ bảo đảm việc bảo vệ thông tin và tránh lộ lọt.2 Các mối đe dọa và nguy cơ trong an toàn thông tin Trong xã hội, cái thiện và cái ác luôn song song tồn tại như hai mặt không tách rời, chúng luôn phủ định nhau. Có biết bao nhiêu người muốn hướng tới cái chân thiện, cái tốt đẹp, thì cũng có không ít kẻ vì mục đích này hay mục đích khác lại làm cho cái ác nảy sinh, lấn lướt cái thiện. Sự giằng co giữa cái thiện và cái ác ấy luôn là vấn đề bức xúc của xã hội, cần phải loại trừ cái ác, thế nhưng cái ác lại luôn nảy sinh theo thời gian. Hệ thống thông tin và mạng máy tính cũng như vậy, có những người phải mất biết bao nhiêu công sức nghiên cứu ra các biện pháp bảo vệ cho an ninh của tổ chức mình, thì cũng lại có kẻ tìm mọi cách phá vỡ lớp bảo vệ đó với nhiều ý đồ khác nhau.
Mục đích của người lương thiện là luôn muốn tạo ra các khả năng bảo vệ an ninh cho tổ chức rất rõ ràng. Ngược lại, ý đồ của kẻ xấu lại ở nhiều góc độ, cung bậc khác nhau. Có kẻ muốn phá vỡ lớp vỏ an ninh để chứng tỏ khả năng của mình, để thoả mãn thói hư ích kỷ. Loại người này thường làm hại người khác bằng cách phá hoại các tài nguyên trên mạng, xâm phạm quyền riêng tư hoặc bôi nhọ danh dự của họ.
Nguy hiểm hơn, có những kẻ lại muốn đoạt không các nguồn lợi của người khác như việc lấy cắp các thông tin mật của các công ty, đột nhập vào ngân hàng để chuyển trộm tiền. Bởi trên thực tế, hầu hết các tổ chức công ty tham gia vào mạng máy tính toàn cầu đều có một lượng lớn các thông tin kết nối trực tuyến. Trong lượng lớn các thông tin ấy, có các thông tin bí mật như: các bí mật thương 4 mại, các kế hoạch phát triển sản phẩm, chiến lược maketing, phân tích tài chính. hay các thông tin về nhân sự, bí mật riêng tư.
Các thông tin này hết sức quan trọng, việc để lộ ra các thông tin cho các đối thủ cạnh tranh sẽ dẫn đến một hậu quả hết sức nghiêm trọng. Nhìn từ quan điểm kẻ tấn công, có vô số cách để tấn công, lấy cắp thông tin của một hệ thống. Không có một hệ thống nào là đảm bảo an toàn trước các cuộc tấn công. Các mối nguy cho hệ thống thông tin là luôn thường trực, những mối nguy đó đã được liệt kê ra dưới đây: - Lỗi và sự bỏ sót, cố tình bỏ qua: Nguy cơ này được xếp vào hàng nguy hiểm nhất.
Khi lập trình, các cảnh báo và lỗi do trình biên dịch đưa ra thường bị bỏ qua và nó có thể dẫn đến những sự việc không đáng có, ví dụ như tràn bộ đệm, tràn heap. Khi người dùng vô tình (hay cố ý) sử dụng các đầu vào không hợp lý thì chương trình sẽ xử lý sai, hoặc dẫn đến việc bị khai thác, đổ vỡ (crash). Kỹ thuật lập trình đóng vài trò rất quan trọng trong mọi ứng dụng. Và lập trình viên phải luôn luôn cập nhật thông tin, các lỗi bị khai thác, cách phòng chống, sử dụng phương thức lập trình an toàn.
- Lừa đảo và lấy cắp thông tin: Tưởng tượng rằng có những đồng nghiệp trong công ty đi làm không phải để làm việc, mà để lấy cắp những thông tin quan trọng của công ty. Chuyện này hoàn toàn có thể xảy ra, đặc biệt là những công ty làm việc về quân sự, cơ quan nhà nước… Đã có rất nhiều công ty bị lộ thông tin từ bên trong và rất khó để phát hiện kẻ tấn công từ bên trong. - Hacker (Tin tặc): Có rất nhiều cách hacker tấn công hệ thống. Mỗi kẻ tấn công đều có những thủ thuật, công cụ, kiến thức, hiểu biết về hệ thống.
Và cũng có vô số cá cuốn sách, diễn đàn đăng tải những nội dung này. - Lây lan mã độc: Có rất nhiều loại mã độc có thể kể đến như: virus, sâu máy tính, Trojan horse, logic bomb… Nguy cơ do chúng gây ra là hoàn toàn rõ ràng, và vô cùng phong phú. Khi đã xâm nhập vào máy nạn nhân, mã độc có thể: mở cổng hậu (back door) để kẻ tấn công có thể truy cập và làm mọi việc trên máy nạn nhân; ghi lại thông tin sử dụng máy tính (thao tác bàn phím, sử dụng mạng, thông tin đăng nhập…). - Tấn công từ chối dịch vụ: Nếu một hacker không thể cướp quyền truy cập vào một hệ thống, họ sẽ tìm cách tấn công từ chối dịch vụ.
Đây là hình thức làm hệ thống không thể phục vụ người dùng được trong một khoảng thời gian, bằng cách truy cập đến hệ thống liên tục, số lượng lớn, có tổ chức. - Tấn công phi kỹ thuật: Thuật ngữ này khá phổ biến trong công nghệ thông tin và an toàn thông tin. Đây là một kỹ thuật khai thác nhằm vào điểm yếu con người. Con người trực tiếp quản lý phần mềm, hệ thống.
Do đó, họ nắm được mọi thông tin quan trọng nhất. Tóm lại, vấn đề an ninh an toàn thông tin và mạng máy tính hoàn toàn là vấn đề con người và không ngừng gia tăng, nó có thể bị đe doạ từ bên ngoài hoặc bên trong tổ chức. Vấn đề này đã trở thành mối lo ngại lớn cho bất kì chủ thể nào tham gia vào mạng máy tính toàn cầu. Và như vậy, để đảm bảo việc trao đổi thông tin 5 được an toàn và an ninh cho mạng máy tính, buộc các tổ chức đó phải triển khai các biện pháp bảo vệ đảm bảo an ninh, mà trước hết là cho chính mình.3 Các giải pháp cơ bản đảm bảo an ninh an toàn thông tin Như trên ta đã thấy, an ninh an toàn mạng máy tính có thể bị đe doạ từ rất nhiều góc độ và nguyên nhân khác nhau.
Đe doạ an ninh có thể xuất phát từ bên ngoài mạng nội bộ hoặc cũng có thể xuất phát từ ngay bên trong tổ chức. Do đó, việc đảm bảo an ninh an toàn cho mạng máy tính cần phải có nhiều giải pháp cụ thể khác nhau. Tuy nhiên, tổng quan nhất có ba giải pháp cơ bản sau: - Giải pháp về phần cứng. - Giải pháp về phần mềm.