ĐẠI HỌC QUỐC GIA HÀ NỘI TRƯỜNG ĐẠI HỌC KHOA HỌC TỰ NHIÊN TRỊNH XUÂN HOÀNG NGHIÊN CỨU GIẢI PHÁP XÁC THỰC VF BẢO MẬT TÀI LIỆU TRONG TRAO ĐỔI VĂN BẢN TRÊN MÔI TRƢỜNG MẠNG GIỮA CÁC CƠ QUAN NHÀ NƢỚC LUẬN VĂN THẠC SĨ KHOA HỌC Hà Nội - Năm 2012 ĐẠI HỌC QUỐC GIA HÀ NỘI TRƯỜNG ĐẠI HỌC KHOA HỌC TỰ NHIÊN TRỊNH XUÂN HOÀNG NGHIÊN CỨU GIẢI PHÁP XÁC THỰC VF BẢO MẬT TÀI LIỆU TRONG TRAO ĐỔI VĂN BẢN TRÊN MÔI TRƢỜNG MẠNG GIỮA CÁC CƠ QUAN NHÀ NƢỚC Chuyên ngành: BẢO ĐẢM TOÁN CHO MÁY TÍNH VÀ HỆ THỐNG TÍNH TOÁN Mã số: 60.46.35 LUẬN VĂN THẠC SĨ KHOA HỌC NGƯỜI HƯỚNG DẪN KHOA HỌC: Gs.TS. TÔN QUỐC BÌNH Hà Nội - Năm 2012 Trang 3 MỤC LỤC Nội dung Trang LỜI CẢM ƠN 0 MỤC LỤC 3 DANH MỤC CÁC THUẬT NGỮ, TỪ VIẾT TẮT 5 DANH MỤC HÌNH VẼ 6 MỞ ĐẦU 7 1. Lý do chọn đề tài 7 2. Mục đích nghiên cứu 7 3. Đối tượng và phạm vi nghiên cứu 7 4. Phương pháp nghiên cứu 8 5. Bố cục Luận văn 8 Chƣơng-1. TỔNG QUAN VỀ AN TOÀN THÔNG TIN 9 1.1. Một số khái niệm cơ bản 9 1.1.1. Khái niệm về an toàn thông tin 9 1.1.2. Khái niệm về đảm bảo an toàn thông tin 9 1.1.3. Khái niệm về đánh giá an toàn thông tin 10 1.2. Thực trạng về an toàn thông tin trong các cơ quan nhà nước 11 1.3. Nhu cầu về an toàn thông tin trong ứng dụng tại các cơ quan nhà nước 12 1.4. Một số kỹ thuật mật mã 13 1.4.1. Các hệ mật mã 13 1.4.2. Các thuật toán mật mã 15 1.4.3. Chữ ký số 18 1.4.4. Phân phối khóa công khai 20 1.4.5. Chứng chỉ khóa công khai 20 1.4.6. Hạ tầng khóa công khai 21 1.5. Kết luận chương 23 Chƣơng-2. MỘT SỐ CƠ SỞ MẬT MÃ PHỤC VỤ AN TOÀN THÔNG TIN 24 2.1. Lược đồ mã RSA-OAEP 24 2.1.1. Hàm mã hoá RSAES-OAEP 24 Trang 4 2.1.2. Hàm giải mã RSAES-OAEP 26 2.1.3. Yêu cầu tham số an toàn cho hệ mật RSA 28 2.2. Thuật toán mã khối AES 29 2.2.1. Giới thiệu thuật toán AES 30 2.2.2. Cấu trúc bên trong của AES. 31 2.2.3. Một số yêu cầu đảm bảo an toàn khi ứng dụng mã khối AES 36 2.3. Kết luận chương 39 Chƣơng-3. GIẢI PHÁP XÁC THỰC VÀ BẢO MẬT 40 3.1. Giới thiệu giải pháp 40 3.2. Sơ đồ kiến trúc giải pháp xác thực tài liệu trên môi trường mạng 40 3.3. Phân tích thiết kế giải pháp 43 3.3.1. Các chức năng cần thiết cho yêu cầu của phần mềm xác thực 43 3.3.2. Lựa chọn ngôn ngữ lập trình và công cụ thiết kế ứng dụng 44 3.3.3. Phân tích thiết kế các thành phần của mô hình 45 3.3.4. Công cụ ký số trên web 49 3.4. Cài đặt giải pháp xác thực và bảo mật 52 3.4.1. Cài đặt chứng thư SSL cho ứng dụng mạng văn phòng điện tử 52 3.4.2. Cài đặt tích hợp ứng dụng ký số cho ứng dụng mạng văn phòng điện tử 56 3.5. Kết quả của giải pháp xác thực và bảo mật tài liệu 59 KẾT LUẬN 61 TÀI LIỆU THAM KHẢO 62 Trang 5 DANH MỤC CÁC THUẬT NGỮ, TỪ VIẾT TẮT AES Advanced Encrytion Standard – Chuẩn mã hóa nâng cao ANTT An toàn thông tin CA Certificate Authority – Cơ quan chứng thực số Client Máy trạm, khai thác các dịch vụ, ứng dụng CNTT Công nghệ thông tin DES Data Encryption Standard – Chuẩn mã hóa dữ liệu DS Digital Signatures - Chữ ký số DSA Digital Signature Algorithm - Giải thuật ký điện tử DSS Digital Signature Standard - Chuẩn chữ ký số Hacker Người đột nhập vào máy tính và phá hoại máy tính (tin tặc) HTTP Hypertext Transfer Protocol – Giao thức truyền siêu văn bản HTTPS Hypertext Transfer Protocol over Secure Socket Layer - Giao thức truyền siêu văn bản thông qua an ninh thông tin IPS Intrusion Prevention System – hệ thống ngăn chặn và phát hiện xâm nhập MD5 Message Digest algorithm 5 - giải thuật của hàm băm PKI Public Key Infrastructure – Cơ sở hạ tầng khóa công khai RSA Rivest, Shamir and Adleman - Giải thuật mã hóa công khai Server Máy chủ, cung cấp các dịch vụ, ứng dụng SHA Secure Hash Algorithm – Giải thuật băm an toàn SSL Secure Socket Layer - Giao thức an ninh thông tin TCP/IP Transmission Control Protocol/Internet Protocol - một hệ thống các giao thức hỗ trợ việc truyền thông tin trên mạng WEB Một loại siêu văn bản (tập tin dạng HTML hoặc XHTML) trình bày thông tin trên mạng Internet, tại một địa chỉ nhất định Trang 6 DANH MỤC HÌNH VẼ Hình 1.1. Hệ mật khóa đối xứng đảm bảo tính bí mật và xác thực 13 Hình 1.2. Hệ mật khoá công khai 14 Hình 1.3. Lược đồ ký số và kiểm tra chữ ký số 19 Hình 1.4. Mô hình cấp phát chứng chỉ của PKI X509 22 Hình 2.1. Thuật toán mã hóa EME-OAEP 26 Hình 3.1. Mô hình xác thực tài liệu trên môi trường mạng 41 Hình 3.2. Thiết bị eToKen và thành phần của eToKen 41 Hình 3.3. Khả năng hỗ trợ của Siverlight 5 đối với các loại hệ điều hành và trình duyệt Web 45 Hình 3.4. Lược đồ ký số văn bản 46 Hình 3.5. Lược đồ xác thực văn bản ký số 47 Hình 3.6. Giao diện gửi văn bản đã được tích hợp chức năng ký số và sản phẩm ký số văn bản điện tử 60 Trang 7 MỞ ĐẦU 1. Lý do chọn đề tài Nhận thức được lợi ích và tầm quan trọng của công nghệ thông tin và truyền thông trong việc duy trì và thúc đẩy sự phát triển bền vững, trong những năm vừa qua lĩnh vực công nghệ thông tin nói chung và hoạt động ứng dụng công nghệ thông tin nói riêng đã phát triển nhanh chóng, mạnh mẽ và ngày càng sâu rộng trong mọi mặt của đời sống kinh tế xã hội. Các hoạt động có thể kể đến như: Các hoạt động thương mại điện tử; các hoạt động hành chính công phổ biến như gửi nhận thư điện tử, các hệ thống hỗ trợ quản lý điều hành trên mạng. Chúng đang góp phần tạo nên một hệ thống chính phủ điện tử, sự phát triển của một hệ thống chính phủ điện tử sẽ đem lại rất nhiều lợi ích như cắt giảm chi phí, rút ngắn thời gian thực hiện, nâng cao hiệu suất lao động, cải thiện chất lượng dịch vụ cho các dịch vụ hành chính công. Tuy nhiên khi triển khai các hoạt động chính phủ điện tử trên nền mạng Internet thì yếu tố an toàn cần phải được đặt lên hàng đầu, vì song song với những lợi ích mang lại thì Internet cũng là nơi tiềm ẩn vô vàn nguy cơ mất an toàn thông tin có thể dẫn đến hậu quả khôn lường. Chính vì những vấn đề thực tiễn trên, luận văn: “Nghiên cứu giải pháp xác thực và bảo mật tài liệu trong trao đổi văn bản trên môi trường mạng giữa các cơ quan nhà nước” nhằm nâng cao việc xác thực và an toàn thông tin trong các hoạt động của các cơ quan, tổ chức trong các ứng dụng trên môi trường mạng. 2. Mục đích nghiên cứu Luận văn nghiên cứu giải pháp xác thực và bảo mật tài liệu trong trao đổi văn bản trên môi trường mạng giữa các cơ quan nhà nước và ứng dụng thành công tại tỉnh Thái Bình. 3. Đối tượng và phạm vi nghiên cứu Tập trung nghiên cứu, tìm hiểu thực trạng và nhu cầu về an toàn thông tin trong các cơ quan nhà nước; các tiêu chuẩn, cơ sở mật mã, giải pháp công Trang 8 nghệ; trên cơ sở đó nghiên cứu giải pháp xác thực và bảo mật trong trao đổi tài liệu trên môi trường mạng. 4. Phương pháp nghiên cứu - Tiếp cận phân tích và tổng hợp: Đọc tài liệu, tổng hợp lý thuyết, phân tích lý thuyết về Hệ mật mã đối xứng, hệ mật mã bất đối xứng (hệ mật mã khóa công khai), chữ ký số. - Tiếp cận theo định tính và định lượng: Nghiên cứu cơ sở khoa học của mã hóa, chữ ký số của các tác giả trong và ngoài nước, các bài báo, thu thập thông tin trên mạng, tìm hiểu các mô hình bảo mật, chứng chỉ số. Từ đó trình bày theo ý tưởng của mình và đề xuất các giải pháp xác thực và bảo mật tài liệu trong trao đổi văn bản trên môi trường mạng giữa các cơ quan nhà nước trên địa bàn. 5. Bố cục Luận văn Luận văn được trình bày trong 03 chương: - Chương 1: Tập trung tìm hiểu một số khái niệm về án toàn thông tin, đánh giá thực trạng và nhu cầu về an toàn thông tin trong các cơ quan nhà nước. - Chương 2: Trình bày tổng hợp, phân tích một số cơ sở mật mã cần thiết để áp dụng trong việc bảo mật thông tin trên môi trường mạng. - Chương 3: Tập trung phân tích thiết kế giải pháp xác thực và bảo mật thông tin trong trao đổi tài liệu trên môi trường mạng. . Trang 9 Chƣơng-1. TỔNG QUAN VỀ AN TOÀN THÔNG TIN Để có hướng nghiên cứu và giải pháp phù hợp, chương này tập trung tìm hiểu một số khái niệm về an toàn thông tin, đánh giá thực trạng và nhu cầu về an toàn thông tin trong các cơ quan nhà nước. 1.1. Một số khái niệm cơ bản 1.1.1. Khái niệm về an toàn thông tin Thông tin được lưu trữ bởi các sản phẩm và hệ thống CNTT là một tài nguyên quan trọng cho sự thành công của tổ chức đó, là tài sản của một cá nhân hay tổ chức. Các thông tin cá nhân lưu trữ trong hệ thống thông tin cần được giữ bí mật, bảo vệ và không bị thay đổi khi không được phép. Trong khi các sản phẩm và hệ thống CNTT thực hiện các chức năng của chúng, các thông tin cần được kiểm soát để đảm bảo chúng được bảo vệ chống lại các nguy cơ, ví dụ như việc phổ biến và thay đổi thông tin không mong muốn và trái phép, nguy cơ mất mát thông tin. An toàn thông tin là an toàn kỹ thuật cho các hoạt động của các cơ sở hạ tầng thông tin, trong đó bao gồm an toàn phần cứng và phần mềm theo các tiêu chuẩn kỹ thuật do nhà nước ban hành; duy trì các tính chất bí mật, toàn vẹn, chính xác, sẵn sàng phục vụ của thông tin trong lưu trữ, xử lý và truyền tải trên mạng (theo định nghĩa trong Nghị định 64-2007/NĐ-CP) [4]. Thuật ngữ an toàn CNTT thường sử dụng để chỉ việc ngăn chặn và làm giảm nhẹ các mối nguy hại tương tự đối với các sản phẩm và hệ thống CNTT. 1.1.2. Khái niệm về đảm bảo an toàn thông tin Mục tiêu hướng tới của người dùng là bảo vệ các tài sản nói trên. Tuy nhiên, các sản phẩm và hệ thống thường luôn tồn tại những điểm yếu dẫn đến những rủi ro có thể xảy ra, làm tổn hại đến giá trị tài sản thông tin. Các đối tượng tấn công (tin tặc) có chủ tâm đánh cắp, lợi dụng hoặc phá hoại tài sản Trang 10 của các chủ sở hữu, tìm cách khai thác các điểm yếu để tấn công, tạo ra các nguy cơ và các rủi ro cho các hệ thống. Với các biện pháp an toàn thông tin người dùng có được công cụ trong tay để nhận thức được các điểm yếu, giảm thiểu các điểm yếu, ngăn chặn các nguy cơ tấn công, làm giảm các yếu tố rủi ro. Như vậy, các biện pháp và kỹ thuật đảm bảo an toàn thông tin chính là mang lại sự tin cậy cho các sản phẩm và hệ thống. Đảm bảo an toàn thông tin là đảm bảo an toàn kỹ thuật cho hoạt động của các cơ sở hạ tầng thông tin, trong đó bao gồm đảm bảo an toàn cho cả phần cứng và phần mềm hoạt động theo các tiêu chuẩn kỹ thuật do nhà nước ban hành; ngăn ngừa khả năng lợi dụng mạng và các cơ sở hạ tầng thông tin để thực hiện các hành vi trái phép gây hại cho cộng đồng, phạm pháp hay khủng bố; đảm bảo các tính chất bí mật, toàn vẹn, chính xác, sẵn sàng phục vụ của thông tin trong lưu trữ, xử lý và truyền tải trên mạng. Như vậy khái niệm đảm bảo an toàn thông tin bao hàm đảm bảo an toàn cho cả phần cứng và phần mềm. An toàn phần cứng là bảo đảm hoạt động cho cơ sở hạ tầng thông tin. An toàn phần mềm gồm các hoạt động quản lý, kỹ thuật nhằm bảo vệ hệ thống thông tin, đảm bảo cho các hệ thống thực hiện đúng chức năng, phục vụ đúng đối tượng một cách sẵn sàng, chính xác, tin cậy. An toàn công nghệ thông tin là đảm bảo an toàn kỹ thuật cho các sản phẩm, dịch vụ và hệ thống công nghệ thông tin. 1.1.3. Khái niệm về đánh giá an toàn thông tin Một nhu cầu thực tế đặt ra là làm thế nào để biết các sản phẩm và hệ thống có tin cậy hay không, có áp dụng các biện pháp và kỹ thuật an toàn phù hợp hay không, mức độ an toàn như thế nào? Đánh giá an toàn thông tin chính là để đáp ứng nhu cầu đó, nhằm cung cấp bằng chứng về việc đảm bảo an toàn cho các sản phẩm và hệ thống. [...]... tập các chuẩn, cơ quan chứng thực, quan hệ giữa các CA, các phương pháp tìm và phê chuẩn đường dẫn chứng thực, các giao thức vận hành, quản lý, các công cụ chứng thực chéo và cơ sở luật pháp hỗ trợ Đây là một mảng nghiên cứu và ứng dụng lớn, luận văn không đi sâu nghiên cứu về các vấn đề của PKI mà chỉ giới thiệu PKI X509 Các thành phần cơ bản của PKI X509 gồm phía nhà cung cấp (cơ quan chứng thực, cơ. .. các cơ quan nhà nước Theo Báo cáo Ứng dụng Công nghệ thông tin năm 2010 của Bộ Thông tin và Truyền thông, hoạt động ứng dụng CNTT trong các cơ quan nhà nước đã đạt được một số kết quả sau: Hạ tầng kỹ thuật CNTT bao gồm mạng truyền dẫn, mạng máy tính nội bộ, trang thiết bị tin học trong các cơ quan nhà nước đã được hoàn thiện đáng kể đáp ứng việc triển khai ứng dụng CNTT cơ bản trong các cơ quan nhà nước. .. can thiệp vào kênh truyền thông, nghe trộm và giải mã tất cả các thông báo vì biết Ks - Lược đồ phân phối khóa bí mật đảm bảo tính bí mật và xác thực: Lược đồ sau đây có thể chống lại kiểu tấn công chủ động, đảm bảo tính bí mật và xác thực trong trao đổi khóa bí mật Bắt đầu tại thời điểm khi A và B trao đổi các khóa công khai với nhau trong lược đồ của Merkle, các bước tiếp theo xảy ra như sau: 1 A sử... thì giải pháp an toàn thông tin là nhu cầu được các cơ quan đơn vị sử dụng quan tâm Trang 12 1.4 Một số kỹ thuật mật mã Kỹ thuật mật mã [1], [9] đóng vai trò thiết yếu trong việc giải quyết vấn đề an toàn thông tin Bảng 1.1 liệt kê một số kỹ thuật và công nghệ để giải quyết yêu cầu xác thực, toàn vẹn, bí mật, chống chối bỏ trong an toàn và bảo mật thông tin Bảng 1.1 Một số kỹ thuật và công nghệ giải. .. và sử dụng công cụ kiểm toán 1.4.1 Các hệ mật mã Hệ mật chính là hệ thống cung cấp các kỹ thuật mã hóa và giải mã dữ liệu, được phân loại thành hệ mật khóa công khai và hệ mật khóa đối xứng Hệ mật khóa đối xứng sử dụng cùng một khóa khi mã hóa và giải mã, được minh hoạ trong Hình 1.1 Độ an toàn của hệ mật này phụ thuộc chính vào sự bí mật của khóa Hình 1.1 Hệ mật khóa đối xứng đảm bảo tính bí mật và. .. định hướng nghiên cứu phù hợp; Tìm hiểu về thực trạng về an toàn thông tin trong các cơ quan nhà nước qua đó đánh giá được nhu cầu về an toàn thông tin; Tìm hiểu một số kỹ thuật mật mã trong an toàn thông tin đã được nghiên cứu, đánh giá, chứng minh tính an toàn, tin cậy và hiệu quả trong thực tế làm cơ sở để giải quyết vấn đề an toàn thông tin trong thực tế Trang 23 Chƣơng-2 MỘT SỐ CƠ SỞ MẬT MÃ PHỤC... năm Đã có 175 website của các cơ quan, doanh nghiệp tại Việt Nam bị hacker xâm nhập, trong đó có 24 trường hợp gây ra bởi hacker trong nước, 151 trường hợp do hacker nước ngoài Hầu hết nguyên nhân của các vụ hack này là do website tồn tại nhiều lỗ hổng Nhu cầu về an toàn thông tin trong ứng dụng tại các cơ quan nhà 1.3 nước Những thông tin trên cho thấy việc lựa chọn giải pháp và đầu tư cho an toàn thông... nguồn gốc từ người gửi) và chống chối bỏ đã gửi thông báo (vì chỉ người gửi có khóa riêng cùng cặp để mã hóa), nhưng có một số điểm yếu sau: - Chậm hơn từ 100 – 1000 lần so với các thuật toán mật mã dựa trên khóa bí mật, thường được sử dụng để trao đổi khóa bí mật cho các thuật toán mật mã dựa trên khóa bí mật để mã hóa dữ liệu - Vấn đề xác thực cặp khóa: các thành viên trao đổi dữ liệu cần biết rõ người... yêu cầu an toàn và bảo mật Yêu cầu Công nghệ - Kỹ thuật Bí mật Mã hóa và giải mã dựa vào khóa Xác thực Sử dụng tên và mật khẩu của người dùng, đặc điểm sinh trắc học, ký số và kiểm tra chữ ký số dựa vào khóa Tin cậy Ký số và kiểm tra chữ ký số dựa vào khóa Chống chối bỏ Ký số và kiểm tra chữ ký số dựa vào khóa Toàn vẹn Tóm lược thông báo Trao quyền Áp dụng chính sách kiểm soát truy nhập và quản lý quyền... được các cơ quan nhà nước chú trọng đầu tư, bên cạnh đó là việc hoàn thiện hành lang chính sách và pháp lý trong lĩnh vực này để việc ứng dụng CNTT thực sự có hiệu quả Tại Thái Bình, đến nay đã triển khai xây dựng Công thông tin điện tử, hệ thống thư điện tử và hệ thống mạng văn phòng điện tử liên thông triển khai cho các sở, ngành và UBND các huyện, thành phố vào năm 2012 và đến cấp xã phường vào năm . trường mạng. 2. Mục đích nghiên cứu Luận văn nghiên cứu giải pháp xác thực và bảo mật tài liệu trong trao đổi văn bản trên môi trường mạng giữa các cơ quan nhà nước và ứng dụng thành công tại. nghệ; trên cơ sở đó nghiên cứu giải pháp xác thực và bảo mật trong trao đổi tài liệu trên môi trường mạng. 4. Phương pháp nghiên cứu - Tiếp cận phân tích và tổng hợp: Đọc tài liệu, tổng hợp. GIA HÀ NỘI TRƯỜNG ĐẠI HỌC KHOA HỌC TỰ NHIÊN TRỊNH XUÂN HOÀNG NGHIÊN CỨU GIẢI PHÁP XÁC THỰC VF BẢO MẬT TÀI LIỆU TRONG TRAO ĐỔI VĂN BẢN TRÊN MÔI TRƢỜNG MẠNG GIỮA CÁC CƠ QUAN NHÀ NƢỚC