THƯƠNG MẠI

ĐIỆN TỬ
CHƯƠNG V
THỰC HIỆN BẢO MẬT TRONG
THƯƠNG MẠI ĐIỆN TỬ
 Cần phải ghi rõ (văn bản) việc phân
tích cũng như chính sách bảo mật
Bảo vệ tài • Các tài sản nào cần được bảo vệ
sản TMĐT • Cần thực hiện gì để bảo vệ tài sản
• Phân tích các mối đe dọa
• Các qui định về việc bảo vệ
 Cần quan tâm đến những nguy
hại xâm phạm đến tài sản khi
kinh doanh TMĐT

• Truy cập bất hợp pháp

• Sửa chữa, cập nhật thông tin
Bảo vệ tài • Phá hoại thông tin
sản TMĐT
Liên quan đến thông tin bí mật
của doanh nghiệp

• Không tiết lộ với bất kỳ ai bên ngoài

doanh nghiệp
 Vấn đề : giao dịch mua bán trên mạng
Internet nhưng vẫn có khả năng xác nhận
Bảo vệ quyền sở hữu khi cần thiết
quyền sở
hữu trí tuệ

Các khuyến nghị bảo vệ quyền sở hữu trong

không gian ảo(Cyberspace):

Ngăn chặn Lọc gói tin - Sử dụng các

các host name Packet Proxy servers
bất hợp pháp filtering
 ARIS Technologies Digimarc Corporation

Hệ thống Digital audio “Watermarking” với tập tin

watermarking nhiều dạng thức
• Nhúng mã vào các tập tin Các phần mềm điều khiển,
âm thanh thể hiện bản các thiết bị phát
quyền

Một số công ty cung cấp các phần

mềm bảo vệ bản quyền
 Cho phép nhúng thông tin tác giả (gọi là
watermark) vào các tài liệu số hoá sao cho
chất lượng trực quan của tài liệu không bị ảnh
hưởng và khi cần có thể dò lại được
watermark đã nhúng để xác nhận bản quyền.

WaterMarking Đây là kỹ thuật ẩn giấu thông tin

(steganography) đặc biệt nhằm đưa các dấu
hiệu vào ảnh số.

Ngoài ra, kỹ thuật watermarking còn đòi hỏi

sự mạnh mẽ trong việc chống lại các thao tác
tấn công nhằm xóa bỏ thông tin được nhúng.
WaterMarking
• Hai hướng áp dụng chính của kỹ thuật watermarking là
• xác nhận (chứng thực) thông tin
• đánh dấu bảo vệ bản quyền
• Kỹ thuật này đã được ứng dụng phổ biến tại nhiều nước
trên thế giới. Từ cuối những năm 1990, kỹ thuật này đã
được một số công ty ứng dụng trong thương mại
• Sử dụng Liquid Audio áp dụng công nghệ của Verance
Corporation (âm nhạc).
• Photoshop: với Digimarc.
• Ngày nay, các công ty chuyên kinh doanh các hệ thống
watermarking đã tăng đáng kể.
 Một số công ty cung cấp các
phần mềm bảo vệ bản quyền
SoftLock Services
• Cho phép khóa các tập tin
• Gửi các tập tin lên mạng
• Sử dụng 1 khóa giải mã (sau khi trả tiền) để có
thể sử dụng
 Các thông tin dạng Active content, được tải về
máy từ các trang web động là 1 trong các hiểm
họa với máy tính của NSD

Bảo vệ các Các trang web

máy khách
Mối đe doạ đến Các hình ảnh,
từ plug-in,.. tải về

Các phần đính

kèm trong e-
mail
 Hiểm họa từ Cookies

• Các mẩu thông dạng text lưu trên máy

khách và chứa các thông tin nhạy cảm,
không mã hóa
• Bất kỳ ai cũng có thể đọc và hiểu các
thông tin trong cookies
Bảo vệ các • Không trực tiếp phá hoại nhưng tiềm
máy khách ẩn các hiểm họa phá rối hoạt động

Hiểm họa từ các website mạo

danh- Misplaced trust
• Các Web site giả mạo nhằm lừa NSD
đăng nhập vào và để lộ các thông tin
nhạy cảm
 Cấp và quản lý chứng thực số cho tất
cả các đối tượng tham gia trong môi
trường giao dịch điện tử, như các giao
dịch thương mại và trao đôi thông tin,
Trung tâm gồm những cá nhân, những tổ chức và
các hệ thống thương mại điện tử.
Chứng thực
kỹ thuật số
- CA Chứng thực số cho các cá nhân và tổ
chức thực hiện an toàn các giao dịch
trong môi trường điện tử, như gửi
nhận e-mail, mua bán hàng hoá, trao
đổi thông tin, phát triển phần mềm...
• Các chức năng chính của Trung tâm
chứng thực số
!Đăng ký xin cấp chứng thực số
!Xác thực và cấp chứng thực số
!Truy lục và tìm kiếm thông tin về
chứng thực số
!Yêu cầu thay đổi, gia hạn …
!Quản lý chứng thực số

Trung tâm Chứng thực

kỹ thuật số
 Công cụ an toàn, bảo mật và xác
thực hợp pháp cho các hệ thống
hoạt động thương mại điện tử: các
web site giao dịch B2B, các web
Trung tâm site bán hàng, hệ thống thanh toán
Chứng trực tuyến...
thực kỹ Sử dụng chứng thực số giúp cho
thuật số bảo đảm an toàn các giao dịch điện
tử. Tránh được các nguy cơ, giả
mạo thông tin, lộ các thông tin
nhậy cảm, mạo danh, xuyên tạc và
thay đổi nội dung thông tin.
Văn bản với chữ ký điện tử
 Các gói thông tin được bảo vệ bởi
mã hóa hay chữ ký số không bị
đánh cắp

Bảo đảm Tốc độ truyền gửi đảm bảo

hoàn thành
các giao Nghi thức TCP (Transmission
dịch Control Protocol) chịu trách nhiệm
theo dõi và kiểm soát các gói tin

Nghi thức TCP yêu cầu máy khách

gửi lại gói dữ liệu khi chúng thất
lạc
 • Quyền truy cập và sự xác nhận
• Những ai có thể đăng nhập và quyền sử

Bảo vệ máy dụng trên máy phục vụ

chủ • Yêu cầu máy khách gửi 1 “xác nhận”
Commerce
(certificate) để định danh
Server
• Server kiểm tra “timestamp” của giấy xác
nhận : thời gian hiệu lực
• Có thể sử dụng 1 hệ thống callback nhằm
kiểm tra địa chỉ và tên máy khách với 1
danh sách
 Tên tài khoản sử dụng cùng với
mật khẩu và phương pháp thông
dụng
Bảo vệ máy Tên tài khoản sử dụng : dạng
chủ văn bản, Mật khẩu : được mã
Commerce hóa
Server
Mật khẩu khi nhập vào được mã
hóa và so khớp với thông tin cá
nhân của NSD được lưu trữ
 Phần lớn các hệ điều
hành sử dụng cơ chế Mọi thông tin vào/ra
khỏi mạng đều phải
chứng thực : tài đi qua tường lửa
khoản/mật khẩu

Phương án thường sử Chỉ cho phép các gói

dụng: firewall thông tin xác định

Firewall phải cấu

hình tốt nhằm chống
lại các cuộc xâm
nhập

Bảo vệ với chức năng của HĐH

 • Chức năng chính của Firewall là kiểm soát luồng
thông tin từ giữa Intranet và Internet. Thiết lập cơ
chế điều khiển dòng thông tin giữa mạng bên
trong (Intranet) và mạng Internet
• Cho phép hoặc cấm những dịch vụ truy nhập
ra ngoài (từ Intranet ra Internet).
• Cho phép hoặc cấm những dịch vụ phép truy
Tường Lửa- nhập vào trong (từ Internet vào Intranet).
Firewalls • Theo dõi luồng dữ liệu mạng giữa Internet và
Intranet.
• Kiểm soát địa chỉ truy nhập, cấm địa chỉ truy
nhập.
• Kiểm soát người sử dụng và việc truy nhập
của người sử dụng.
• Kiểm soát nội dung thông tin thông tin lưu
chuyển trên mạng
Tường Lửa-Firewalls

Firewall chuẩn bao gồm một hay nhiều các thành

phần sau đây:

• Bộ lọc packet (packet-filtering router)

• Cổng ứng dụng (application-level gateway hay
proxy server)
• Cổng mạch (circuit - level gateway)
 Tường Lửa-Firewalls
• Các chức năng của phần mềm firewall
• Lọc các gói tin(Packet filters)
• Kiểm tra tất cả các gói tin đi ngang qua
tường lửa
• Hoạt động như 1 Gateway
• Lọc gói tin dựa trên yêu cầu các ứng dụng
• Proxy servers
• Liên lạc với mạng bên ngoài thay cho mạng
cục bộ
• Vùng đệm cho các trang web
 Nguyên Lý Bộ Lọc Packet
• Bộ lọc packet cho phép hay từ chối mỗi packet mà nó nhận
được.Nó kiểm tra toàn bộ đoạn dữ liệu để quyết định xem đoạn
dữ liệu đó có thoả mãn một trong số các luật lệ của lọc packet
hay không.
• Các luật lệ lọc packet này là dựa trên các thông tin ở đầu mỗi
packet (packet header), dùng để cho phép truyền các packet đó ở
trên mạng:
Nguyên Lý Bộ Lọc Packet(tt)
• Nếu luật lệ lọc packet được thoả mãn thì packet được chuyển qua
firewall. Nếu không packet sẽ bị bỏ đi.
• Nhờ vậy mà Firewall có thể ngăn cản được các kết nối vào các
máy chủ hoặc mạng nào đó được xác định, hoặc khoá việc truy
cập vào hệ thống mạng nội bộ từ những địa chỉ không cho phép.
• Việc kiểm soát các cổng làm cho Firewall có khả năng chỉ cho
phép một số loại kết nối nhất định vào các loại máy chủ nào đó,
hoặc chỉ có những dịch vụ nào đó (Telnet, SMTP, FTP...) được
phép mới chạy được trên hệ thống mạng cục bộ
Packet Filter
Ưu/Khuyết điểm
Ưu điểm

• Đa số các hệ thống firewall đều sử dụng bộ lọc packet.

• Chi phí thấp vì cơ chế lọc packet đã được bao gồm trong mỗi phần
mềm router.
• Bộ lọc packet là trong suốt đối với người sử dụng và các ứng
dụng, vì vậy nó không yêu cầu sự huấn luyện đặc biệt nào cả.

Hạn chế

• Việc định nghĩa các chế độ lọc package là một việc khá phức tạp
Ưu/Khuyết điểm
• Khi đòi hỏi vể sự lọc càng lớn, các luật lệ vể
lọc càng trở nên dài và phức tạp, rất khó để
quản lý và điều khiển.
• Bộ lọc packet không kiểm soát được nôi dung
thông tin của packet. Các packet chuyển qua
vẫn có thể mang theo những hành động với ý
đồ ăn cắp thông tin hay phá hoại của kẻ xấu.