Giáo trình An toàn và bảo mật thông tin

oàn vẹn dữ liệu. 
 8. Máy trạm sẽ gửi một lời nhắn đến máy chủ thông báo rằng các 
thông điệp tiếp theo sẽ được mã hoá bằng khoá phiên. Sau đó nó gửi một lời 
nhắn đã được mã hoá để thông báo rằng phía máy trạm đã kết thúc giai đoạn 
“bắt tay”. 
 9. Máy chủ cũng gửi một lời nhắn đến máy trạm thông báo rằng các 
thông điệp tiếp theo sẽ được mã hoá bằng khoá phiên. Sau đó nó gửi một lời 
nhắn đã được mã hoá để thông báo rằng máy chủ đã kết thúc giai đoạn “bắt tay”. 
 10. Lúc này giai đoạn “bắt tay” đã hoàn thành, và phiên làm việc SSL 
bắt đầu. Cả hai phía máy trạm và máy chủ sẽ sử dụng các khoá phiên để mã hoá 
và giải mã thông tin trao đổi giữa hai bên, và kiểm tra tính toàn vẹn dữ liệu 
 6.3 Thanh toán điện tử an toàn 
 6.3.1 Yêu cầu 
 Đây là mã mở và đặc tả an toàn nhằm bảo vệ thanh toán thẻ tín dụng trên 
Internet. Nó được phát triển năm 1996 bởi Master, Visa Card và không phải hệ 
thống trả tiền. Thanh toán điện tử an toàn là tập các giao thức và định dạng an 
toàn dùng để 
 o Trao đổi an toàn giữa các đối tác 
 o Tin tưởng vì sử dụng X509v3 
 o Riêng biệt vì hạn chế thông tin cho người cần 
 Các thành phần Thanh toán điện tử 
 6.3.2 Thanh toán điện tử an toàn 
 a. Người mua mở tài khoản 
 b. Người mua nhận được chứng nhận 
 c. Người bán có chứng nhận của họ 
 d. Người mua đặt hàng 
 e. Người bán được kiểm chứng 
 f. Đơn đặt hàng và trả tiền được gửi 
 g. Người bán yêu cầu giấy phép trả tiền 
 h. Người bán duyệt đơn đặt hàng 
 i. Người bán cung cấp hàng và dịch vụ 
 j. Người bán yêu cầu trả tiền 
 6.3.3 Chữ ký kép 
 Người mua tạo chữ ký kép 
 o Thông tin đơn đặt OI cho người bán 
 o Thông tin trả tiền PI cho ngân hàng 
 Không bên nào biết chi tiết của người khác. Nhưng cần phải biết là họ 
được kết nối với nhau. Sử dụng chữ ký kép cho mục đích này 
 o Ký trên bản ghép của OI và PI 
 6.3.3 Yêu cầu trả tiền 
 Trao đổi yêu cầu trả tiền gồm 4 mẫu tin sau 
 • Khởi tạo yêu cầu - nhận chứng nhận 
 • Khởi tạo trả lời – ký trả lời 
 • Yêu cầu trả tiền - của OI và PI 
 • Trả lời trả tiền – đơn phúc đáp 
 6.3.4 Giấy phép cổng trả tiền 
 • Kiểm chứng mọi chứng nhận 
 • Giải mã phong bì điện tử của khối giấy phép và nhận được khoá đối 
 xứng, sau đó giải mã khối giấy phép 
 • Kiểm tra chữ ký của người bán trên khối giấy phép 
 • Giải mã phong bì điện tử khối trả tiền, nhận được khoá đối xứng, 
 sau đó giải mã khối trả tiền 
 • Kiểm tra chữ ký kép trên khối trả tiền 
 • Kiểm tra rằng, thanh toán ID nhận được từ người bán phù hợp với 
 danh tính trong PI nhận được (không trực tiếp) từ người bán 
 • Yêu cầu và nhận được giấy phép từ nơi phát hành 
 • Gửi trả lời giấy phép cho người bán 
 6.3.5 Nhận trả tiền 
 Người bán gửi cho cổng trả tiền yêu cầu nhận trả tiền. Cổng kiểm tra yêu 
cầu đó. Sau đó yêu cầu chuyển tiền đến tài khoản người bán. Thông báo cho 
người bán và chờ trả lời việc nhận. 
 6.4 An toàn thư điện tử 
 Thư điện tử là một trong những dịch vụ mạng được coi trọng và ứng dụng 
rộng rãi nhất. Đồng thời nội dung của các mẫu tin không an toàn. Có thể bị quan 
sát trên đường truyền hoặc bởi những người có thẩm quyền thích hợp ở hệ 
thống đầu cuối. 
 Nâng cao an toàn thư điện tử là mục đích quan trọng của mọi hệ thống 
trao đổi thư. Ở đây phải đảm bảo các yêu cầu sau: tính bảo mật nội dung tin gửi, 
xác thực người gửi mẫu tin, tính toàn vẹn của mẫu tin, hơn nữa bảo vệ khỏi bị 
sửa, tính chống từ chối gốc, chống từ chối của người gửi. 
 6.4.1 Dịch vụ PGP. 
 PGP (Pretty Good Privacy) là một dịch vụ về bảo mật và xác thực được 
sử dụng rộng rãi cho chuẩn an toàn thư điện tử. PGP được phát triển bởi Phil 
Zimmermann. Ở đây lựa chọn các thuật toán mã hoá tốt nhất để dùng, tích hợp 
thành một chương trình thống nhất, có thể chạy trên Unix, PC, Macintosh và các 
hệ thống khác. Ban đầu là miĩen phí, bây giờ có các phiên bản thương mại. Sau 
đây chúng ta xem xét hoạt động của PGP 
 Thao tác PGP – xác thực 
 Người gửi tạo mẫu tin, sử dụng SHA-1 để sinh Hash 160 bit của mẫu tin, 
ký hash với RSA sử dụng khoá riêng của người gửi và đính kèm vào mẫu tin. 
 Người nhận sử dụng RSA với khoá công khai của người gửi để giải mã và 
khôi phục bản hash. Người nhận kiểm tra mẫu tin nhận sử dụng bản hash của nó 
và so sánh với bản hash đã được giải mã. 
 Thao tác PGP – bảo mật 
 Người gửi tạo mẫu tin và số ngẫu nhiên 128 bit như khoá phiên cho nó, 
mã hoá mẫu tin sử dụng CAST-128/IDEA /3DES trong chế độ CBC với khoá 
phiien đó. Khoá phiên được mã sử dụng RSA với khoá công khai người nhận và 
đính kèm với mẫu tin. 
 Người nhận sử dụng RSA với khoá riêng để giải mã và khôi phục khoá 
phiên. Khoá phiên được sử dụng để giải mã mẫu tin. 
 Thao tác PGP - Bảo mật và xác thực 
 Có thể sử dụng cả hai dịch vụ trên cùng một mẫu tin. Tạo chữ ký và đính 
vào mẫu tin, sau đó mã cả mẫu tin và chữ ký. Đính khoá phiên đã được mã hoá 
RSA/ElGamal. 
 Thao tác PGP – nén 
 Theo mặc định PGP nén mẫu tin sau khi ký nhưng trước khi mã. Như vậy 
cần lưu mẫu tin chưa nén và chữ ký để kiểm chứng về sau. Vì rằng nén là không 
duy nhất. Ở đây sử dụng thuật toán nén ZIP. 
 Thao tác PGP – tương thích thư điện tử 
 Khi sử dụng PGP sẽ có dữ liệu nhị phân để gửi (mẫu tin được mã). Tuy 
nhiên thư điện tử có thể thiết kế chỉ cho văn bản. Vì vậy PGP cần mã dữ liệu nhị 
phân thô vào các ký tự ASCII in được. Sau đó sử dụng thuật toán Radix 64, ánh 
xạ 3 byte vào 4 ký tự in được và bổ sung kiểm tra thừa quay vòng CRC để phát 
hiện lỗi khi truyền. PGP sẽ chia đoạn mẫu tin nếu nó quá lớn. 
 Tóm lại, cần có khoá phiên cho mỗi mẫu tin, có kích thước khác nhau: 56 
bit – DES, 128 bit CAST hoặc IDEA, 168 bit Triple – DES, được sinh ra sử 
dụng dữ liệu đầu vào ngẫu nhiên lấy từ sử dụng trước và thời gian gõ bàn phím 
của người sử dụng 
 Khoá riêng và công khai của PGP 
 Vì có nhiều khoá riêng và khoá công khai có thể được sử dụng, nên cần 
phải xác định rõ cái nào được dùng để mã khoá phiên trong mẫu tin. Có thể gửi 
khoá công khai đầy đủ với từng mẫu tin. Nhưng đều đó là không đủ, vì cần phải 
nêu rõ danh tính của người gửi. Do đó có thể sử dụng định danh khoá để xác 
định người gửi. Có ít nhất 64 bit có ý nghĩa của khoá và là duy nhất, có thể sử 
dụng định danh của khoá trong chữ ký. 
 PGP Message Format 
 Các chùm khoá PGP 
 Mỗi người sử dụng PGP có một cặp chùm khoá. Chùm khoá công khai 
chứa mọi khoá công khai của các người sử dụng PGP khác được người đó biết 
và được đánh số bằng định danh khoá (ID key). Chùm khoá riêng chứa các cặp 
khoá công khai/riêng của người đó được đánh số bởi định danh khoá và mã của 
khoá lấy từ giai đoạn duyệt hash. An toàn của khoá công khai như vậy phụ thuộc 
vào độ an toàn của giai đoạn duyệt. 
 Sinh mẫu tin PGP 
 Sơ đồ sau mô tả qui trình sinh mẫu tin PGP để gửi cho người nhận. 
 Nhận mẫu tin PGP 
 Sơ đồ sau nêu cách người nhận giải mã, kiểm chứng thông tin để đọc mẫu 
tin. 
 Quản lý khoá PGP 
 Tốt hơn hết dựa vào chủ quyền chứng nhận. Trong PGP mỗi người sử 
dụng có một CA của mình. Có thể ký khoá cho người sử dụng mà anh ta biết 
trực tiếp. Tạo thành “Web của niềm tin”. Cần tin cậy khóa đã được ký, và tin 
cậy các khoá mà các người khác ký khi dùng một dây chuyền các chữ ký đến nó. 
 Chùm khoá chưá cả các chỉ dẫn tin cậy. Người sử dụng có thể thu hồi 
khoá của họ 
 6.4.2 Mở rộng thư Internet đa mục đích/an toàn S/MIME 
 Tăng cường an toàn cho thư điện tử đa mục đích mở rộng MIME 
(Multipurpose Internet Mail Extension). Thư điện tử Internet RFC822 gốc chỉ có 
văn bản, MIME cung cấp hỗ trợ cho nhiều kiểu nội dung và mẫu tin có nhiều 
phần với mã hoá dữ liệu nhị phân thành dạng văn bản. 
 S/MIME tăng cường tính an toàn, có hỗ trợ của S/MIME trong nhiều tác 
nhân thư điện tử như MS Outlook, Mozilla, Mac Mail,  
 Các chức năng S/MIME 
 Dữ liệu đóng phong bì, nội dung được mã hoá và liên kết khoá, dữ liệu 
được ký, mẫu tin được mã và ký sau nén, dữ liệu rõ ràng được ký, mẫu tin 
tường minh và mã hoá ch ữ ký trên bản nén, dữ liệu đóng phong bì và ký, lồng 
nhau các th ực th ể ký và mã. 
 Các thuật toán mã hoá S/MIME 
 Các chữ ký điện tử DSS và RSA, các hàm hash: SHA-1 và MD5, mã khoá 
phiên: Elgamal & RSA, mã mẫu tin: AES, Triple-DES, RC2/40, ;MAC: 
HMAC với SHA-1. 
 Có quá trình để đối thoại quyết định sử dụng thuật toán nào. 
 Các mẫu tin S/MIME 
 S/MIME bảo vệ các thực thể MIME với chữ ký, mã hoặc cả hai tạo thành 
các đối tượng đóng gói MIME. Có phạm vi các kiểu nội dung khác nhau: dữ liệu 
đóng phong bì, dữ liệu được ký, dữ liệu rõ ràng được ký, yêu cầu đăng ký, 
chứng nhận mẫu tin. 
 Quá trình chứng nhận S/MIME 
 S/MIME sử dụng chứng nhận X.509 phiên bản 3. Quản trị việc sử dụng 
kết hợp sơ đồ phân cấp CA của X.509 và Web niềm tin của PGP. Mỗi client có 
một danh sách các giấy chứng nhận cho CA tin cậy và có các giấy chứng nhận 
và cặp khoá công khai/riêng của mình. Chứng nhận cần được ký bởi các CA tin 
cậy. 
 Chủ quyền chứng nhận CA (Certificate Authorities) 
 Có một số CA mọi người đều biết. Verisign là một CA được sử dụng rộng 
rãi. Verisign xuất bản một số kiểu định danh điện tử. Tăng mức kiểm tra và kéo 
theo độ tin cậy. 
 6.4.3 Bài tập 
Bài 1. Nêu mục đích IPSec, các tham số, AH và ESP 
Bài 2. Nêu mục đích SSL và TLS. Trình bày kiến trúc và nhiệm vụ của các 
 thành phần của chúng. 
Bài 3. Thế nào là thanh toán điện tử an toàn 
Bài 4. Nêu yêu cầu của chữ ký kép và chứng tỏ chữ ký kép trong thanh toán điện 
 tử an toàn đáp ứng các yêu cầu đó. 
Bài 5. Nêu qui trình thanh toán điện tử an toàn, chứng tỏ nó đáp ứng được các 
 yêu cầu an toàn đề ra. 
Bài 6. Nêu các yêu cầu bảo mật, xác thực, chữ ký điện tử của hệ thống thư địên 
 tử. 
Bài 7. Trình bày giải pháp đề xuất của PGP cho hệ thống thư điện tử. 
Bài 8. Tìm hiểu xác thực cở bản HTTP trong Internet Explorer. 
 CÁC THUẬT NGỮ CHUYÊN MÔN 
 Thuật ngữ Giải thích 
Database Cơ sở dữ liệu 
 TÀI LIỆU THAM KHẢO 
Tiếng Việt 
 [1]. Ths. Ngô Bá Hùng-Ks. Phạm Thế Phi, Giáo trình mạng máy tính, Đại học 
 Cần Thơ, năm 2005 
 [2]. Đặng Xuân Hà, An toàn mạng máy tính, NXB Giáo dục, năm 2005 
 [3]. Nguyễn Anh Tuấn, Bài giảng Kỹ thuật an toàn mạng, Trung tâm TH-NN 
 Trí Đức, 2010 
 [4]. Angus Wong, Alan Yeung, Network Infrastructure Security, Springer 
 Science+Business Media, 2009. 
 DANH SÁCH BAN BIÊN SOẠN GIÁO TRÌNH DẠY NGHỀ 
 TRÌNH ĐỘ TRUNG CẤP, CAO ĐẲNG 
Tên giáo trình: QUẢN TRỊ CƠ SỞ DỮ LIỆU NÂNG CAO 
Tên nghề: QUẢN TRỊ MẠNG 
1. Ông (bà)...... Chủ nhiệm 
2. Ông (bà)...... Phó chủ nhiệm 
3. Ông (bà)...... Thư ký 
4. Ông (bà)...... Thành viên 
5. Ông(bà)...... Thành viên 
6. Ông(bà)...... Thành viên 
7. Ông(bà)..... Thành viên 
8. Ông(bà)...... Thành viên 
9. Ông(bà)...... Thành viên 
 DANH SÁCH HỘI ĐỒNG NGHIỆM THU 
 GIÁO TRÌNH DẠY NGHỀ TRÌNH ĐỘ TRUNG CẤP, CAO ĐẲNG 
1. Ông (bà)...... Chủ tịch 
2. Ông (bà)...... Phó chủ tịch 
3. Ông (bà)...... Thư ký 
4. Ông (bà)...... Thành viên 
5. Ông(bà)...... Thành viên 
6. Ông(bà)...... Thành viên 
7. Ông(bà)..... Thành viên 
8. Ông(bà)...... Thành viên 
9. Ông(bà)...... Thành viên 
 Phụ lục 3.2 
 CÁC TIÊU CHÍ VÀ TIÊU CHUẨN ĐÁNH GIÁ CHẤT LƯỢNG 
 GIÁO TRÌNH DẠY NGHỀ TRÌNH ĐỘ TRUNG CẤP VÀ CAO ĐẲNG 
 Mức độ đánh giá 
 Đạt Đạt yêu Chưa 
 yêu cầu cầu đạt 
Số đề nghị nhưng yêu cầu 
TT Các tiêu chí đánh giá ban phải phải Ghi chú 
 hành chỉnh xây 
 ngay sửa dựng 
 lại 
A Sự tương ứng với chương trình 
1 Giáo trình có đủ các đề mục và thể 
 hiện nội dung theo đúng mẫu định 
 dạng 
2* Giáo trình có đầy đủ các nội dung 
 theo chương trình chi tiết các môn 
 học/mô đun trong chương trình đào 
 tạo 
3* Nội dung các chương/bài đảm bảo 
 mục tiêu kiến thức, kỹ năng đã đề 
 ra không? 
4* Khối lượng các thông tin trong các 
 môn học/mô đun có phù hợp với 
 thời lượng của chương trình không? 
B Tính logíc 
5* Nội dung từng chương/bài có được 
 trình bày một cách logic với quá 
 trình nhân thức không? (tức là: 
 Mức độ từ dễ đến khó, tính trình tự 
 cho các khái niệm từ đơn giản đến 
 phức tạp) 
6* Các bước hình thành kỹ năng có 
 hợp lý và vừa phải không? (tức là 
 quan sát mẫu - bắt trước - làm được 
 - làm độc lập - làm thuần thục hoặc 
 theo đường xoắn ốc để hình thành 
 các kỹ xảo) 
7* Mối quan hệ giữa lý thuyết và thực 
 hành có hợp lý để bảo đảm được sự 
 nhận thức và kiến thức, sự hình 
 thành kỹ năng không? 
8* Hình thức học tập và các giải pháp 
 sư phạm cho từng chủ đề có thích 
 hợp so với mục tiêu đã đề ra 
 không? 
C Mức đầy đủ/bao quát đối với mục 
 tiêu 
9* Nội dung có đầy đủ để đảm bảo 
 đào tạo có kết quả theo các mục 
 tiêu thực hiện không 
10* Nội dung có được nhấn mạnh để 
 rèn luyện, hình thành các kỹ năng 
 cần thiết không? (Tức là có các quy 
 trình rèn luyện/thực hành bao gồm 
 cả các khía cạnh khác như: tinh 
 thần trách nhiệm, tuân thủ kỷ luật, 
 ý thức an toàn, ứng xử trong nhóm, 
 tác phong công nghiệp) 
11* Các cấu phần tạo sự chủ động và 
 học tích cực có đầy đủ không? (tức 
 là đủ các mục: Giới thiệu, hướng 
 dẫn, tự đánh giá, giải thích thuật 
 ngữ, tài liệu tham khảo) 
12 Có vận dụng được sự hỗ trợ của các 
 trang thiết bị, nguồn học liệu, 
 nguồn l;ực khác cho quá trình học 
 tập của học viên không? 
13 Các hành ảnh minh họa, bảng biểu, 
 bản vẽ, quy trình thực hiệncó đủ 
 ở mức cần thiết, rõ ràng và ăn nhập 
 với đoạn viết không? 
D Tính chuẩn xác 
14 Nội dung khoa học của thông tin có 
 chính xác không? (về bản chất vấn 
 đề, về các số liệu, về các sự kiện và 
 đường nétđược đề cập trên các 
 đoạn viêt, các bảng biểu và các 
 hình minh họa, bản vẽ..) 
15 Các thuật ngũ có đảm bảo tính phổ 
 thông và nhất quán không? 
E Phong cách biên soạn 
16 Ý tứ trình bày rõ ràng, sáng sủa, 
 đơn giản và dễ hiểu không? 
17 Cân đối và phù hợp giữa kênh hình 
 và kênh chữ 
18 Có vi phạm gì về văn hóa tập quán 
 của các dân tộc Việt Nam không? 
19 Có sai phạm gì đối với Luật bản 
 quyền không? 
20 Phong cách trình bày có thể hiện 
 tính gợi mở, lôi kéo người học thực 
 hiện công việc không? 
F Cấu trúc và các chuyên mục 
21 Bố cục có nhất quán trong toàn bộ 
 tài liệu không? 
22 Mối liên hệ giữa các chuyên mục 
 có chặt chẽ và tương ứng với nhau 
 không? (đặc biệt là mục tiêu, kiểm 
 tra đánh giá và các hướng dẫn trả 
 lời) 
23 Mã các chuyên mục, hình vẽ, bảng 
 biểu, bản vẽcó nhất quán và 
 chính xác và tạo điều kiện thuận lợi 
 cho việc tìm kiếm và liên hệ 
 Ghi chú: 
 1. Các tiêu chí có đánh dấu * có ý nghĩa rất quan trọng đối với chất lượng giáo 
 trình đã biên soạn 
 2. Các mức độ đánh giá: 
 - Đạt yêu cầu: Không phải sửa chữa gì hoặc chỉ cần sửa chữa vài lỗi nhỏ về biên 
 tập; 
 - Đạt yêu cầu nhưng phải chỉnh sửa: Phải sửa chữa một số lỗi về nội dung 
 chuyên môn và biên tập, chỉnh lý, bổ sung; sau đó trình chủ tịch, phó chủ tịch và 
 thư ký hội đồng xem xét, nếu thông qua được thì đạt yêu cầu đề nghị phê duyệt; 
 - Không đạt yêu cầu: Có nhiều lỗi về nội dung chuyên môn và biên tập, phải 
 biên soạn lại để trình Hội đồng thẩm định lại.