Baomat Chuong I

 

 Những k ẻ  tấn công mạng (hacker) hiện nay là những phần tử  “thâm canh cố  đế” của môi tr ườ  ng mạng diện r ộng [STE1]. Các mạng của ườ ng chính phủ, c ủa các cơ  quan   quan tài chính, của nh ững công ty viễn thông và các tậ p đoàn tư nhân đã tr ở  ở thành    thành những n ạn nhân của các vụ  đột nh ậ p của hacker và trong tươ ng ng lai vẫn là những mục tiêu săn đuổi của chúng. Các vụ  đột nhậ p mạng thườ ng ng có phạm vi tác động r ất r ộng như  một số biểu hiện của các tr ườ  ng hợ   p đã đượ c ghi lại dướ i đây: ườ ng Một loạt các đợ t tấn công của hacker vào hàng tr ăm cơ   sở  nghiên   nghiên cứu của chính phủ  và quân đội Mỹ  đượ c mô tả  chi tiết bở i cơ   quan Cliff Stoll [STOL1]. Đó là tr ườ  ng hợ   p c ủa các đợ t t ấn công thành công (hầu ườ ng như không bị phát hiện) trong thờ i gian nhiều tháng tr ờ  ời.i  . Thủ  phạm là một cơ  quan  quan tình báo n ướ c ngoài. Động cơ  cá  cá nhân của hacker là cơ  h   h ội thu lợ i về tài chính. Từ câu truyện của Cliff Stoll thì thông điệ p làm cho những thao tác viên mạng và những ngườ i dùng lo lắng nhất chính là s ự  dễ dàng mà các hacker đã đột nhậ p và thi ết bị r ất s ơ   đẳng mà chúng đã sử dụng vớ i trình độ k ỹ thuật tầm thườ ng. ng. Con sâu mạng (Internet Worm) đượ c thả lên mạng Internet vào tháng 11 năm 1988 bở i sinh viên Robert Morris Jr. của tr ườ  ng đại học Cornell ườ ng [SPA1]. Con sâu mạng này là một ch ươ ng ng trình đột nhậ p tự nhân bản.  Nó tiến hành quét toàn mạng internet để lan nhiễm và khống chế  hữu hiệu tối thiểu là 1200 (có thể  lên đến 6000) máy tính mạng internet chạy trên hệ điều hành UNIX. Khó có thể thu thậ p đượ c đầy đủ các số liệu tin cậy v ề các vụ  đột nhậ p của hacker và các s ự  cố an ninh khác, vì chính các n ạn nhân từ  chối không tự  nhận họ  bị  (hoặc đã bị) thiệt hại. Có thể  thấy xu hướ ng ng gia tăng của các vụ  đột nhậ p nhậ p mạng internet qua các số  liệu thống kê về  các sự  cố  an ninh đựơ c lưu tr ữ  tại ủy Ban Chịu Trách Nhiệm Về Các Vấn Đề  Khẩn Cấ p Các Máy Tính Mạng Internet - đượ c hình thành từ sau sự  cố con sâu mạng Internet (Internet Computer Emergency Response Team, vi ết tắt là CERT). Số  các sự  cố  đượ c ghi lại trong thờ i k ỳ  từ  1989 đến 1992 đượ c trình bày trong bảng 1-1. Lưu ý r ằng, một sự  cố  có thể  chỉ tác động tớ i một địa chỉ  hoặc c ũng có thể tác động đến hàng ngàn địa ch ỉ và các sự c ố có thể có tác động trong một thờ i gian dài. •

•

 

 Năm 1989 1990 1991 1992

Số sự cố  132 252 406 773

Bảng 1-1: Các sự cố an ninh mạng Internet đượ c ghi lại trong giai đoạn 1989-1992 Có r ất nhiều động cơ  sâu  sâu xa để tấn công vào các mạng thươ ng ng mại hoặc không mật c ủa chính phủ. Đó là các vụ  đột nh ậ p m ạo hi ểm và phiêu lưu để  gian lận tài chính, ăn c ắ p tài nguyên viễn thông, làm gián điệ p công nghiệ p, nghe lén để  lấy tr ộm thông tin phục vụ cho lợ i ích chính tr ị  hoặc tài chính của nh ững nhân viên bất bình hoặc những k ẻ c ố tình phá hoại. Ngoài những kiểu tấn công cố tình thì an ninh truyền thông cũng cần phải ngăn ngừa sự  khai thác vô tình c ủa ngườ i dùng. Việc k ết nối vô tình của phiên truyền thông nhạy cảm đến một địa chỉ sai hoặc một lỗi vô tình đối vớ i thông tin nhạy cảm cần đượ c bảo vệ  có thể  gây ra một sự  phá hoại thành công như  một sự tấn công có chủ ý .

1.1 Các yêu cầu đặc trư ng ng về an ninh mạng Sự  đe doạ  của các hacker luôn là một mối quan tâm trong tất cả  mọi mạng có truy cậ p công cộng hay có sử dụng các phươ ng ng tiện công cộng. Tuy nhiên, đó không chỉ  đơ n thuần chỉ là s ự lo l ắng. Để đưa ra đượ c các yêu cầu về an ninh mạng chúng ta hãy xét nh ững vấn đề an ninh trong một số môi tr ườ  ườ ng ng ứng dụng mạng quan tr ọng dướ i đây. Trong l ĩ  n ĩnh   h vự c ngân hàng Từ  những năm 1970, dịch vụ  chuyển tiền điện tử  CTĐT (Electronic Funds Transfer, viết tắt là EFT) đã là tiêu điểm của ứng dụng an ninh truyền thông trong công nghiệ p tài chính [PARR1]. Mối quan tâm chính là đảm bảo sao cho không cho bất k ỳ ai can thiệ p vào quá trình CTĐT, vì chỉ  cần đơ n giản sửa lượ ng ng tiền chuyển khoản hay sửa số  tài khoản là có thể  gian lận đượ c một khoản tài chính khổng lồ. Đây là vấn đề chính của các cơ  quan  quan tài chính, nơ i phát sinh và xử lý các giao dịch, vì họ  phải đươ ng ng đầu vớ i vi ễn cảnh chịu đựng những chi phí tổn thất của s ự gian lận. Cho dù có phát hiện đượ c sự gian lận thì trong thực t ế  cũng khó có thể khở i tố đượ c vì nhiều l?ý do, và đó đang tr ở     thành một thiệt ở thành hại công cộng hiển nhiên đối v ớ i các cơ  quan   quan này. Do hệ th ống tài chính có ch yếu quan tố nguy i nhcươ   v  quan nên vệ hnghiêm ứacđự ậy từ phía ệ thống này chínhxãphhủộ.i,M vụệ ctấbnảocông ũngngliên đếnhạcác ột vi

 

tr ọng quy mô lớ n vào một mạng của hệ  thống tài chính quan tr ọng c ũng có thể tác động làm mất ổn định nền kinh tế của một quốc gia. Tính chất nghiêm tr ọng của các vấn đề an ninh trong n ền công nghiệ p tài chính và sự h ỗ tr ợ  ợ t  từ phía chính phủ đã làm cho các ứng dụng công nghệ an ninh trong ngành công nghiệ p này tr ở     thành vị  trí đứng đầu trong thế  giớ i ở thành thươ ng ng mại. Trong những năm 1980, việc ra mắt những mạng máy nói tự  động (Automatic Teller Machine, viết tắt là ATM) và các dịch vụ  CTĐT tại nơ i  bán (EFTPOS) đã làm tăng các vấn đề mớ i về an ninh truyền thông trong thị  tr ườ  ng kinh doanh ngân hàng bán l ẻ [DAV1, MEY1]. Việc đưa vào sử dụng ườ ng các tiện ích như  vậy yêu cầu sử  dụng các thẻ  nhựa và các số  nhận dạng cá nhân SNDCN (Personal Identification Number, viết tắt là PIN). Nhưng, vì các thẻ này thườ ng ng xuyên bị  mất cắ p và dễ  bị làm giả, nên an ninh của các hệ th ống phụ thu ộc vào sự bí mật c ủa các SNDCN. Việc gi ữ bí mật c ủa các SNDCN bị  phức tạ p hoá bở i một thực tế là trong quá trình xử  lý một giao dịch thì phải liên quan đến các mạng đượ c quản lý đa phân chia. Hơ n nữa, các ngân hàng đã nhìn thấy tr ướ  ướ c đượ c sự  tiết k ịêm chi phí trong việc thay thế  các dịch vụ  giao dịch trên giấy bằng các dịch vụ  giao dịch điện tử. Nên khi các dịch vụ  giao dịch điện tử  mớ i ra đờ i ngày càng nhiều thì an ninh mạng cũng yêu cầu phải phát triển theo. Càng ngày, các ngân hàng cần phải bảo đảm r ằng ngườ i tham gia mở   giao dịch phải là chính chủ (xác thực). Do vậy, c ần có một ch ữ k?ý điện tử  tươ ng ng đươ ng ng vớ i chữ  k?ý trên giấy của khách hàng. Các ngân hàng cũng chịu trách nhiệm về sự bí mật của các giao dịch. Trong thươ ng ng mại đ iện t ử ử    Việc trao đổi dữ  liệu điện tử  TĐDLĐT đã bắt đầu làm xuất hiện một vùng ứng dụng viễn thông cơ  b  bản từ những năm 1980 [SOK1]. Mục tiêu của TĐDLĐT là thay thế toàn bộ các hình thức giao dịch thươ ng ng mại trên giấy (ví dụ  như  đơ n đặt hàng, hoá đơ n thanh toán, các ch ứng từ, v.v..) bằng các giao dịch điện tử  tươ ng ng đươ ng. ng. TĐDLĐT có thể  đem lại một sự  giảm giá thành đáng k ể trong hoạt động kinh doanh. Để  làm cho TĐDLĐT đượ c chấ p nhận r ộng rãi trong hoạt động kinh doanh thươ ng ng mại thì an ninh là một yếu tố  không thể  thiếu đượ c. c. Ngườ i dùng cần ph ải đượ c đảm b ảo ch ắc chắn r ằng, hệ th ống điện t ử cung cấ p cho họ  sự  bảo vệ  tươ ng ng đươ ng ng (không nói là tốt hơ n) n) để tránh sai sót, hiểu lầm và chống lại những hành vi gian lận so vớ i sự  bảo vệ  mà họ  đã quen thuộc tr ướ   hệ thống quản lý giấy tờ  và  và chữ ký trên giấy. ướ c đó ở  h Trong TĐDLĐT có một nhu cầu thiết yếu để  bảo vệ  chống lại việc sửa đổi dữ liệu vô tình hay cố ?ý ?và để đảm bảo r ằng, xuất sứ của mọi giao dịch đều hợ  p lệ. Tính chất bí mật và riêng tư  của các giao dịch cũng cần phải

 

đượ c đảm bảo vì trong đó có chứa các thông tin bí m ật của công ty. Về khía cạnh này thì TĐDLĐT hoàn toàn giống như d ịch vụ CTĐT. Tuy nhiên, dịch vụ  CTĐT đưa ra các thách thức mớ i về  an ninh, vì cộng đồng các ngườ i dùng lớ n hơ n và các tổ chức kinh doanh ngày càng phát triển nhiều hơ n. n. Dịch vụ  CTĐT cũng đưa ra một yêu cầu mớ i cơ   bản. Các giao dịch CTĐT cấu thành các hợ   p đồng kinh doanh, có ngh ĩ a là chúng phải có các chữ k?ý điện tử có tính hợ   p pháp giống như các chữ k?ý trên giấy. Ví dụ, chúng có thể đượ c chấ p nhận như bằng chứng trong việc giải quyết các tranh chấ p tr ướ  ướ c toà án luật pháp. Để chữ k?ý điện tử có đượ c vị trí hợ  p pháp bây giờ , ngườ i ta đã ph ải tranh luận trong nhiều n ăm tr ờ  ời.i  . Ví dụ, như năm 1992, Hiệ p hội các Đạo luật của Hợ   p chủng quốc Hoa k ỳ  có đưa ra một Nghị  quyết có nội dung như sau: Ghi nhận, các thông tin ở  d   d ạng đ iện t ử ử  ,  trong đ iề u kiện thích hợ  p, có thể   đượ c coi là thoả mãn các yêu cầu hợ  p pháp so v ớ i chữ  vi  viế t hoặc chữ  ký  ký trên  giấ   y hoặc ở   d ạng truyề n thố ng ng khác trong cùng một phạm vi, khi đ ã chấ   p nhận các thủ t ục, các k   thuật và thự c tiễ n an ninh t ươ  ng ứ ng. ng.  ỹ  thu ươ ng Vì tiết kiệm chi phí cho ngườ i dùng và các c ơ   hội thị  tr ườ  ng mở   r ộng ườ ng cho các nhà cung cấ p thi ết b ị, d ịch v ụ CT ĐT đượ c xem như m ột c ơ  h  h ội l ớ n đối vớ i ngườ i dùng cũng như các nhà bán hàng. Các gi ải pháp k ỹ  thuật và các tiêu chuẩn hỗ  tr ợ  ợ cho    cho an ninh CTĐT đang tr ở  ở thành    thành điều quan tr ọng c ơ    bản đối vớ i hầu hết tất cả các ngành công nghiệ p. Trong các cơ  quan  quan chính phủ  Các cơ  quan  quan chính phủ ngày càng sử dụng nhiều mạng truyền thông máy tính để truyền tải thông tin. Nhiều trong số các thông tin đó hoàn toàn không liên quan đến an ninh quốc gia, nên chúng không phải là các thông tin mật. Tuy nhiên, chúng lại yêu cầu cần đượ c bảo vệ an ninh vì những l?ý do khác, chẳng hạn như  bảo vệ tính riêng tư  hợ   p pháp. Những thông tin không mật nhưng nhạy? c ảm này có thể  đượ c truyền t ải đi thông qua thiết b ị n ối m ạng thươ ng ng mại có sẵn sử dụng các cấ p giám sát an ninh ninh thoả đáng. Ví d ụ, ở  M  M ỹ, Đạo lu ật An ninh Máy tính năm 1987 có đưa ra khái niệm về cái gọi là “thông tin nh ạy cảm” đượ c định ngh ĩ a như là “mọi thông tin bất k ỳ, mà sự làm thất thoát nó, sử dụng sai nó hoặc truy nhậ p trái phép hay s ửa đổi nó có thể tác động chống lại lợ i ích của quốc gia hoặc chống lại sự  chỉ  ng trình Liên bang, hoặc các quyền riêng tư  của các cá đạo của các chươ ng nhân đượ c nêu trong Điều 552a, Khoản 5, Luật Hoa k ỳ ( Đạo luật về quyền cá nhân), nhưng chưa đượ c đăng ký bản quyền đặc biệt theo tiêu chuẩn mà Quốc h ội phê chuẩn đều ph ải đượ c gi ữ bí mật để b ảo v ệ l ợ i ích quốc gia và ngoại giao”. Uỷ ban các tiêu chu ẩn c ủa Hoa k ỳ (NIST) đã đượ c giao “trách nhiệm phát triển và đề ra các tiêu chuẩn và hướ ng ng d ẫn thi hành ... để có thể  đảm bảo đượ c an ninh và tính bí mật riêng tư  của các thông tin nhạy c ảm”.

 

Quy dịnh này còn phân biệt sự khác nhau giữa các thông tin nhạy cảm và thông tin mật thuộc s ự  quản lý của C ơ  quan   quan An ninh Quốc gia. Nhiều quốc gia khác cũng có các chính sách thích ứng để công nhận và quản lý các dữ  liệu không mật nhưng nhạy cảm. Vấn đề an ninh nổi b ật nhất là sự  đảm bảo giữ đượ c tính bí mật và riêng tư, có ngh ĩ a là, thông tin không bị lộ do vô tình hay cố ý đối vớ i tất cả những ai không có quyền sở  h  hữu những thông tin đó. Một nội dung an ninh khác là đảm bảo r ằng, thông tin không bị truy nhậ p hoặc sửa đổi bở i bất k ỳ ai không có quyền chính đáng.  Những tiết k ịêm chi phí của giao dịch điện t ử so vớ i giao dịch trên giấy, ví dụ  như  tạo hồ  sơ   điện tử  về  hoàn tr ả  thuế, cũng đang đượ c các cơ  quan   quan chính phủ  triển khai nhanh chóng. Ngoài những đảm bảo về tính bí mật và riêng tư, những hệ thống như vậy đều đưa ra yêu cầu đối vớ i các chữ ký điện tử khả thi về mặt luật pháp. Năm 1991, vớ i việc dỡ  b  bỏ rào chắn của các điều luật chính Chính phủ Hoa k ỳ  đã mở  đườ ng ng cho viêc sử dụng chữ ký điện tử. Một Quyết nghị c ủa c ủa U ỷ ban Kiểm soát có nêu r ằng, các hợ   p đồng có sử  dụng chữ ký điện tử đều có giá tr ị pháp l?ý đối vớ i các cơ  quan  quan chính phủ có trang bị các hệ th ống an ninh hoàn hảo (Thông báo của chính phủ liên bang về luật bản quyền hoặc các tiêu chuẩn chữ ký số hoá phải đượ c tuân thủ). Trong các t ổ  ổ ch    chứ c viễ n thông công cộng   Việc quản lý các mạng viễn thông công cộng gồm nhiều chức năng chung như: Vận hành, Quản tr ị, Bảo trì và Giám sát VQB&G (ti ếng Anh viết tắt là OAM&P). Những chức năng quản lý này lại có những tiện ích nối mạng d ữ li ệu c ấ p thấ p h ơ n để liên k ết các thiết b ị thuộc các chủng loại khác nhau và có một cộng đồng ngườ i dùng đông đúc (những nhân viên vận hành và bảo trì). Trong khi việc truy cậ p vào những mạng như  vậy chỉ  bị  khống chế  khắt khe một lần, còn các đườ ng ng truy cậ p mớ i thì lại để  ngỏ. Các khả  năng như  quản lý mạng khách hàng cung cấ p cho nhân viên làm dịch vụ  khách hàng truy cậ p mạng quản lý để thực hiện các chức năng quản lý mạng trên tài nguyên mạng do tổ chức ngườ i dùng đó sử dụng. Các mạng và hệ  thống quản lý truyền thông dễ  bị các hacker đột nhậ p? [STE1]. Động cơ  chung   chung của những vụ  đột nhậ p như  vậy là ăn cắ p các dịch vụ truyền thông. Khi đã đột nhậ p đượ c vào quản lý mạng thì việc ăn cắ p như  vậy có thể  đượ c ngh ĩ  ra  ra dướ i nhiều hình thức khác nhau, chẳng hạn nh ư g ọi các hàm chẩn đoán, điều khiển các bản ghi tính tiền, và sửa đổi các cơ  s  sở  d  dữ  liệu giám sát. Các vụ đột nhậ p quản lý mạng cũng có thể đượ c thực hiện tr ực tiế p từ các cuộc nghe tr ộm trên các cuộc gọi của các thuê bao. Vấn đề chính của các cơ  quan  quan viễn thông là tìm kiếm các tổn hại an ninh làm ch m th i gian truy c  p m ng mà có th  ph i tr   giá c c k    t cho các ờ  hàng, thất ậthu ngân ạ ả phụcự hồỳi. đắ quan hậệ khách sách vàểgiá ảthành Các vụ  tấn

 

công cố ý vào khả  năng sẵn sàng của hạ  tầng viễn thông quốc gia thậm chí còn đượ c coi như là một vấn đề an ninh quốc gia.  Ngoài các vụ  đột nhậ p từ bên ngoài, các cơ  quan   quan viễn thông cũng còn  phải quan tâm đến các tổn hại từ các nguồn bên trong như  những thay đổi không hợ   p lệ của các cơ  s  sở  d  dữ liệu quản lý mạng từ phía nhân viên không có trách nhiệm thực hiện những công việc này. Những biểu hiện như  vậy có thể là vô ý và cũng có thể là cố ?tình, chẳng h ạn hành vi của một nhân viên  bất mãn. Để  bảo vệ  chống lại những hiện tượ ng ng như  vậy thì việc truy cậ p vào mỗi chức n ăng quản lý cần ph ải đượ c giớ i h ạn nghiêm ngặt và chỉ dành cho những ai có nhu cầu hợ   p pháp. Điều quan tr ọng là cần phải biết chính xác nhận d ạng c ủa cá nhân đang có ý định truy cậ p m ột ch ức n ăng quản lý của mạng. Trong các mạng công ty/t ư   nhân ư  nhân Hầu h ết t ất c ả các công ty đều có các yêu cầu bảo v ệ các thông tin về s ở   hữu tài sản nhạy cảm. Việc tiết lộ  những thông tin như  vậy cho các đối th ủ  cạnh tranh hoặc những cá nhân và tổ  chức bên ngoài có thể  làm thiệt hại nghiêm tr ọng cho công việc kinh doanh, trong chừng mực nào đó có thể đem lại sự  thắng thầu hoặc mất các hợ   p đồng kinh tế  và cũng có thể  ảnh hưở ng ng đến sự  tồn vong của công ty. Các mạng đang ngày càng đượ c sử  dụng để  chuyển các thông tin về s ở  h  h ữu tài sản, ví dụ gi ữa các cá nhân, giữa các địa điểm v ăn phòng, giữa các công ty con và/hoặc gi ữa các đối tác kinh doanh. Mạng công ty khép kín đã tr ở  ng ở   thành một khái niệm lạc hậu, vì xu hướ ng đang phát triển hiện nay là làm việc tại nhà. Việc bảo vệ các thông tin về  sở   hữu tài sản không chỉ  là một mối quan tâm. Có nhiều tổ chức đượ c tin tưở ng ng giữ gìn các thông tin riêng t ư về các tổ  chức và các cá nhân khác mà h ọ có trách nhiêm phải bảo đảm việc bảo vệ bí mật. Ví dụ như các tổ chức chăm sóc sức khoẻ và các cơ  quan  quan pháp luật. Các yêu cầu về  bảo đảm tính xác thực của các tin nhắn cũng tăng lên trong các mạng công ty. Một tin nhắn điện tử quan tr ọng luôn cần phải xác thực, cũng tươ ng ng tự  như  một tài liệu trên giấy quan tr ọng cần phải có một chữ ký. Cho đến hiện nay, các công ty đã hoạt động vớ i giả thiết r ằng, các cơ  c  cấu  bảo vệ  tươ ng ng đối đơ n giản sẽ  thoả mãn các yêu cầu về an ninh của họ. Họ  hoàn toàn không bận tâm về các vụ đột nhậ p vớ i công nghệ phức tạ p như đối vớ i các l ĩ  nh vực mật của chính phủ. Tuy nhiên, ngày càng có nhi ều bằng  ĩ nh chứng cho thấy, các tài nguyên trí tuệ của một số chính phủ ngoại quốc đang ng đượ c s ử  dụng vào các mục đích tình báo công nghiệ p. Công nghiệ p th ươ ng mại có thể  sẽ  không còn đượ c tiế p tục tự  mãn về  sức mạnh của các biện  pháp an ninh đã đượ c dùng để bảo vệ các thông tin v ề tài sản nhạy cảm.

 

1.2An ninh và các hệ thống mở    Những thuật ngữ an ninh mạng và các hệ  thống m ở  có   có thể  xuất hiện trái ngượ c nhau về khái niệm, nhưng thực ra thì không phải như  vậy. Khái niệm h ệ th ống m ở   biểu di ễn ph ản ứng c ủa ng ườ i mua trong nhiều n ăm c ấm đoán của những ngườ i bán máy tính cá nhân c ũng như  các phần cứng và  phần mềm truyền thông. Nó đượ c coi như là con đườ ng ng dẫn đến sự lựa chọn mở   ccủa các nhà cung cấ p các cấu thành riêng r ẽ của hệ thống vớ i sự đảm bảo r ằng, các cấu thành từ  các nhà cung cấ p khác nhau sẽ  hoàn toàn làm việc ng trình điều đượ c vớ i nhau để  thoả mãn các nhu cầu của ngườ i mua. Chươ ng khiển các hệ  thống mở   bị ràng buộc chặt chẽ  vớ i việc thiết lậ p và thực thi r ộng rãi các tiêu chuẩn.  Nối m ạng máy tính và các h ệ th ống mở  luôn   luôn gắn li ền v ớ i nhau. Sự ra  (Open Systems đờ i của các hệ thống mở  đầu tiên – Nối k ết các hệ thống mở  (Open Interconnection, viết tắt là OSI) - đượ c tiến hành từ  những năm 1970 bằng việc phát triển các tiêu chuẩn cho thủ  tục truyền thông máy tính đượ c thoả  thuận giữa các quốc gia trên thế  giớ i. i. Ngoài hệ  thống các tiêu chuẩn chính thức OSI thì các thủ tục n ối mạng h ệ th ống mở   đã đượ c thiết lậ p bở i các tậ p đoàn khác - đặc biệt là Hiệ p hội Internet vớ i thủ tục TCP/IP. Thông qua các hoạt động nối mạng các hệ thống mở  này,  này, thủ tục này đã có khả năng k ết nối thiết b ị t ừ nhi ều nhà cung cấ p khác nhau, cho phép s ử d ụng t ất c ả m ọi công nghiệ p truyền thông và thoả mãn mọi yêu cầu của hầu hết mọi ứng dụng. Việc đưa b ảo v ệ an ninh vào trong các mạng h ệ th ống mở  hi  hiện nay là một nỗ  lực đáng k ể. Nó cho thấy, đó là một nhiệm vụ  phức tạ p ở  quy   quy mô r ộng l ớ n, n, vì nó thể hi ện s ự giao k ết c ủa hai công nghệ  - công nghệ an ninh và thiết k ế th ủ t ục truyền thông. Để cung cấ p an ninh mạng hệ th ống mở  thì  thì cần phải sử  dụng các k ỹ  thuật an ninh k ết hợ   p v ớ i các thủ  tục an ninh , sau này đượ c tích hợ   p vào trong các thủ tục mạng truyền thông. Cần ph ải đưa ra các tiêu chuẩn tươ ng ng thích và đầy đủ bao trùm lên ba l ĩ  nh vực r ộng lớ n sau:  ĩ nh - Các k ỹ thuật an ninh - Các thủ tục an ninh mục đích chung - Các thủ tục ứng dụng đặc biệt như ngân hàng, thư điện tử v.v.. Các thủ  tục liên quan cho các l ĩ  nh vực này đều đượ c lấy từ  bốn nguồn  ĩ nh chính là: - Các tiêu chuẩn qu ốc t ế v ề công nghệ thông tin đượ c xây dựng b ở i T ổ  chức tiêu chuẩn quốc tế  ISO, Uỷ  ban điện k ỹ  thuật Quốc tế  (IEC), Liên hiệ p Viễn thông Quốc t ế (ITU), và Viện các K ỹ s ư  Điện Điện t ử  (IEEE).

-

Các tiêu n ệcông ngân hàng, c phát ệ pchu đượ  ISO ho bở iẩVi n cácnghi Tiêu Hoa k ỳ, triển bở i tổ  chức ặc chu ẩn Qu ốc gia

 

- Các tiêu chuẩn của các quốc gia, đặc biệt là của chính phủ liên bang

Hoa k ỳ  - Các thủ tục về mạng internet đượ c xây dựng bở i Hiệ p hội Internet.  Những tiêu chuẩn liên quan đến an ninh từ t ất c ả các nguồn trên sẽ  đượ c trình bày ở  trong  trong cuốn sách này.

K ết luận chươ ng ng An ninh mạng đã tr ở  ở   thành một yêu cầu chuyên môn hoá của các môi tr ườ  ng an ninh quốc gia và quốc phòng. Các yêu cầu về  an mạng đã xuất ườ ng hiện trong hầu hết mọi môi tr ườ  ng ứng dụng mạng, bao gồm mạng ngân ườ ng hàng, mạng thươ ng ng m ại điện tử, m ạng chính phủ (không mật), mạng truyền thông của các tổ  chức truyền thông và các mạng công ty/ tư nhân. Tậ p hợ   p các yêu cầu đặc tr ưng c ủa nh ững môi tr ườ  ng này đượ c t ổng h ợ   p trong bảng ườ ng 1-2. An ninh mạng c ần ph ải đượ c th ực thi hài hoà vớ i s ự phát triển c ủa mạng hệ th ống mở  (có   (có ngh ĩ a là mạng không phụ thu ộc vào các nhà cung c ấ p thi ết  bị). Điều này có ngh ĩ a là các cấu thành cơ   bản của an ninh mạng – các k ỹ  thuật an ninh và các th ủ  tục an ninh cần phải đượ c phản ánh trong các tiêu chuẩn hệ thống mở  t  tươ ng ng ứng. Trong chươ ng ng 2 chúng ta sẽ sử dụng những yêu cầu an ninh ở  trong  trong bảng 1-2 như  một minh hoạ  về  sự  chuyển dịch thân tình từ  những yêu cầu này thành những mối đe doạ như thế nào và làm thế nào có thể sử dụng các dịch vụ an ninh để rà xét các o ạmois đe doạ này. Các chươ ng ng sau đó s ẽ trình bày các phươ ng ng pháp thực thi các dịch vụ an ninh này. Bảng 1-2: Môi tr ườ  ườ ng ng ứng dụng Tất cả các mạng Mạng ngân hàng

Các yêu cầu Bảo vệ chống đột nhậ p từ bên ngoài (hacker) Bảo vệ  chống gian lận hoặc sửa đổi vô tình các giao dịch  Nhận dạng các khách hàng giao dịch lẻ  Bảo vệ chống tiết lộ SNDCN Bảo đảm tính bí mật và riêng tư của khách hàng Mạng thươ ng ng mại điện tử  Đảm bảo nguồn và tính nguyên vẹn của các giao dịch Bảo vệ bí mật của các công ty Bảo đảm sự  ràng buộc của các chữ  ký điện tử  vớ i các giao dịch  Mạng chính phủ 

B ng lthông hành ả po vpháp ệ chốcác ại sự titin ết lkhông ộ hoặcmvậậnt nh hợ  nhạy ưngkhông

 

cảm Cung cấ p chữ  ký điện tử  cho các giấy tờ   hành chính của chính phủ  Mạng của các tổ  chức Hạn chế truy cậ p vào các chức năng quản lý cho truyền thông những cá nhân có th ẩm quyền Bảo vệ chống lại việc làm gián đoạn các dịch vụ  Bảo vệ bí mật cho các thuê bao Mạng công ty/riêng lẻ  Bảo vệ riêng tư và bí mật của công ty/ cá nhân Đảm bảo tính trung thực của tin nhắn

Các tài li ệu tham khảo

[DAV1] - D.W. Davie Daviess W.L. Price, “An ninh cho các mạng máy tính”,  tính”,  Tái bản lần thứ hai, NXB John Wiley and Sons, New York, 1989 [MAR1] – P. Marion, “”, NXB Calmann – Lévy, Pháp, 1991. [MEY1] - C.H. Meyer, S.M. Matyas và R.E. Lennon, “Các tiêu chuẩn trung   thự c mã hoá cần thiế t đố i v ớ i các hệ th ố ng trung ng chuyể n ti ề n đ iện t ử ” Báo  ử ”,   , Báo  cáo tại Hội nghị  về  an ninh và bí mật ở   Oakland Canada, Tạ p chí IEEE Computer Society, 1981. [NUT1] - G.J Nutt, “Các hệ  thống mở   ”, NXB Prentice Hall, EngleWood Cliffs, New Jessy, 1992. [PAR1] - D.B. Parker, “Những tổn thất quốc tế  từ  nguy cơ   dễ  bị  tổn thươ ng  ng  của chuyể n tiề n đ iện t ử ử    ”, T ạ p chí Communications of the ACM, k  ỳ  thứ 22, số 12, (tháng 12 năm 1979), trang 654-660. [SOK1] - P.K. Sokol, “EDI: Lưỡ i dao cạnh tranh”, NXB Intext Publications, Công ty sách McGraw-Hill phát hành, New York, 1988. [SPA1] - E.H. Spafford, “Con sâu Internet: cơ n khủng hoảng và hậu quả”, Ttrang Communications of the ACM, k ỳ  thứ 32, số 6, (tháng 6 năm ạ p chí678-687. 1989), [STE1] - B. Sterling, “Tr ừng tr ị hacker: Luật pháp và sự  hỗn độn trên mặt tr ận đ iện t ử ử  ”,   ”, Hãng Bantam phát hành, New York, 1992. [STO1] - C. Stoll, “Quả  tr ứng con chim cu”, NXB Doubleday, New York, 1989.