An Toàn Bảo Mật Thông Tin - Bài Giảng

Chương 1
Những vấn đề cơ bản về an toàn

thông tin
1/30/2002 An toan thong tin _CH1 1

1. Thông tin
• Định nghĩa: Thông tin là những tính chất xác định
của vật chất mà con người (hoặc hệ thống kỹ
thuật) nhận được từ thế giới vật chất bên ngoài
hoặc từ những quá trình xảy ra trong bản thân nó.
• Thông tin tồn tại một cách khách quan, không phụ
thuộc vào hệ thụ cảm.

2. Khái niệm hệ thống và tài nguyên thông tin
• Khái niệm hệ thống: Hệ thống là một tập hợp các
máy nh gồm thành phần phần cứng, phần mềm và
dữ liệu làm việc được ch luỹ qua thời gian.
• Tài nguyên thông tin:
 Phần cứng
 Phần mềm
 Dữ liệu
 Môi trường truyền thông giữa các máy nh
 Môi trường làm việc
 Con ngừời
3. Các mối đe doạ đối với một hệ thống
TT và các biện pháp ngăn chặn
• Phá hoại: Phá hỏng thiết bị phần cứng hoặc phần
mềm trên hệ thống.
• Sửa đổi: Tài sản của hệ thống bị sửa đổi trái phép.
• Can thiệp: Tài sản bị truy cập bởi những người
không có thẩm quyền. Các hành vi : Đánh cắp mật
khẩu , ngăn chặn,mạo danh…

Có ba loại đối tượng chính khai thác
• Inside :các đối tượng từ bên trong hệ thống ,

đây là những người có quyền truy cập hợp
pháp đối với hệ thống
• Outside: hacker , cracker….
• Phần mềm : Virut, spyware,mainware và các
lỗ hổng phần mềm : SQL injnection …

4. Các biện pháp ngăn chặn:
Thường có 3 biện pháp ngăn chặn:

• Thông qua phần mềm: Sử dụng các thuật toán
mật mã học tại các cơ chế an toàn bảo mật của hệ
thống mức hệ điều hành.
• Thông qua phần cứng: Sử dụng các hệ MM đã
được cứng hóa .
• Thông qua các chính sách AT& BM Thông tin do
tổ chức ban hành nhằm đảm bảo an toàn bảo
mật của hệ thống.

Tại sao ?
• Thiếu hiểu biết và kinh nghiệm để bảo vệ dữ liệu

• An toàn là một lãnh vực phát triển cao trong
công nghệ TT, nhu cầu về nguồn nhân lực trong
lĩnh vực này đang tăng lên rất nhanh
• Liên quan đến nghề nghiệp của bạn
• Sự phát triển công nghệ thông tin

5.An toàn thông tin là gì
• An toàn thông tin bao hàm một lĩnh vực rộng lớn các
hoạt động trong một tổ chức. Nó bao gồm cả những
sản phẩm và những quy trình nhằm ngăn chặn truy
cập trái phép, hiệu chỉnh, xóa thông tin, kiến thức,
dữ liệu.
• Mục đích là đảm bảo một môi trường thông tin tin
cậy , an toàn và trong sạch cho mọi thành viên và tổ
chức trong xã hội

6. Nguyên tắc , mục tiêu và chung của
an toàn bảo mật thông tin
Hai nguyên tắc của an toàn bảo mật thông tin:
• Việc thẩm định về bảo mật phải đủ khó và cần
nh tới tất cả các nh huống , khả năng tấn
công có thể được thực hiện.
• Tài sản phải được bảo vệ cho tới khi hết gía trị
sử dụng hoặc hết ý nghĩa bí mật.

Tính chất của hệ thống thông tin
• Nguồn thông tin là những tài sản rất có giá trị của một tổ
chức.Thậm chí mang tính sống còn.
• Sự yếu kém và dễ bị tấn công của các hệ thống thông tin.
• Nhiều vấn đề về an ninh cần phải quan tâm, từ đó có
một lý do chính đáng để thay đổi phương thức bảo mật
thông tin, mạng, máy tính của bạn

Mục tiêu của An toàn Thông tin
• Bí mật - CONFIDENCIAL
• Toàn vẹn – INTEGRITY,Tính xác
thực - AUTHORITY
• Sẵn sàng - AVAIBILITY
CIA
THÔNG TIN – ĐỐI TƯỢNG CỦA CÁC CUỘC TẤN CÔNG

7. Các thành phần chính của ATTT
• An toàn mức vật lý.

• An toàn mức tác nghiệp.
• Quản lý và chính sách.
Physical
Hình 1 - Tam giác an toàn thông tin
Operational Management

7.1.An toàn vật lý
• An toàn ở mức vật lý là sự bảo vệ tài sản và thông tin
của bạn khỏi sự truy cập vật lý không hợp lệ .
• Đảm bảo an toàn mức vật lý tương đối dễ thực hiện .
• Biện pháp bảo vệ đầu tiên là làm sao cho vị trí của tổ
chức càng ít trở thành mục tiêu tấn công càng tốt .
• Biện pháp bảo vệ thứ hai phát hiện và ngăn chặn các kẻ
đột nhập hay kẻ trộm : camera , t/b chống trộm.
• Biện pháp bảo vệ thứ ba là khôi phục những dữ liệu hay
hệ thống cực kỳ quan trọng bị trộm hay mất mát.

Thao tác an toàn
• Thao tác an toàn liên quan những gì mà một tổ chức
cần thực hiện để đảm bảo một chính sách an toàn .
Thao tác này bao gồm cả hệ thống máy tính, mạng, hệ
thống giao tiếp và quản lý thông tin. Do đó thao tác
an toàn bao hàm một lãnh vự rộng lớn và vì bạn là
một chuyên gia an toàn nên bạn phải quan tâm trực
tiếp đến các lãnh vực này.

7.2.Quy trình thao tác an tòan
• Vấn đề đặt ra cho thao tác an toàn gồm :
• Kiểm soát truy cập,
• Chứng thực,
• An toàn topo mạng sau khi việc thiết lập mạng
• Các thao tác an toàn trên đây không liên quan đến việc
bảo vệ ở mức vật lý và mức thiết kế

Quy trình thao tác an toàn
• Sự kết hợp của tất cả các quá trình, các chức

năng và các chính sách bao gồm cả yếu tố con
người và yếu tố kỹ thuật.
• Yếu tố con người tập trung vào các chính sách
được thực thi trong tổ chức.
• Yếu tố kỹ thuật bao gồm các công cụ mà ta cài
đặt vào hệ thống.
• Quá trình an toàn này được chia thành nhiều
phần và được mô tả dưới đây:

Quy trình an toàn (cont.)
a. Phần mềm chống virus
• Virus máy tính là và vấn đề phiền toái nhất
• Các phương thức chống virus mới ra đời cũng
nhanh tương tự như sự xuất hiện của chúng
• File chống virus được cập nhận mỗi hai tuần một
lần hay lâu hơn. Nếu các file này cập nhật thường
xuyên thì hệ thống có thể là tương đối an toàn.
• Phát hiện và diệt virut trực tuyến

Quy trình an toàn (cont.)
b. Kiểm soát truy cập
 Kiểm soát truy cập bắt buộc (MAC – Mandatory Access
Control):Cách truy cập tĩnh, sử dụng một tập các quyền truy
cập được định nghĩa trước đối với các file trong hệ thống.
 Kiểm soát truy cập tự do (DAC – Discretionary Access
Control) : Do chủ tài nguyên cấp quyền thiết lập một danh
sách kiểm soát truy cập ( ACL – Access Control List ) .
 Kiểm soát truy cập theo vai trò ( chức vụ ) ( RBAC – Role
Based Access Control ) : Truy cập với quyền hạn được xác
định trước trong hệ thống, quyền hạn này căn cứ trên chức
vụ của người dùng trong tổ chức

c. Chứng thực (authentication)
 Chứng minh “ Tôi chính là tôi chứ không phải ai khác “
 Là một phần quan trọng trong ĐỊNH DANH và CHỨNG
THỰC ( Identification & Authentication – I &A).
Ba yếu tố của chứng thực :
 Cái bạn biết ( Something you know )– Mật mã hay số PIN
 Cái bạn có ( Something you have) – Một card thông minh
hay một thiết bị chứng thực
 Cái bạn sở hữu ( Something you are) – dấu vân tay hay
võng mạc mắt của bạn

Những phương thức chứng thực thông dụng
• Dùng username/Password :
 Một tên truy cập và một mật khẩu là định danh duy
nhất để đăng nhập . Bạn là chính bạn chứ không phải là
người giả mạo
Server sẽ so sánh những thông tin này với những thông
tin lưu trữ trong máy bằng các phương pháp xử lý bảo
mật và sau đó quyết định chấp nhận hay từ chối sự đăng
nhập

Sử dụng Username/Password

Giao thức chứng thực CHAP – (Challenge
HandShake Authentication Protocol ) :

Chứng chỉ : Certificate Authority (CA)

Bảo mật bằng token:

Phương pháp Kerberos :
Kerberos cho phép một đăng nhập đơn vào mạng phân
tán.
(Trung tâm phân phối khóa)

Chứng thực đa yếu tố:

Chứng thực bằng thẻ thông minh (Smart card):

Chứng thực bằng sinh trắc học :
• Nhận dạng cá nhân bằng các đặc điểm riêng biệt của
từng cá thể.
• Hệ thống sinh trắc học gồm các thiết bị quét tay, quét
võng mạc mắt, và sắp tới sẽ có thiết bị quét DNA
• Để có thể truy cập vào tài nguyên thì bạn phải trải qua
quá trình nhận dạng vật lý

Những vấn đề thực tế
• Phù hợp với trình độ và năng lực của nhân viên và
hệ thống.
• Không nên tiêu tốn nhiều thời gian và tiền bạc vào
những hệ thống an toàn phức tạp khi chưa có một
•
chính sách an toàn phù hợp.
• Hãy cẩn thận với khuynh hướng sử dụng những
username thông dụng và những mật khẩu dễ đoán
như :”123” hoặc “ abcd”…
• Sử dụng chứng thực và đảm bảo an toàn đa yếu tố
gồm một thẻ thông minh và mật khẩu.

• Có rất nhiều vần đề khác phải quan tâm,đó là:
 Tính dễ bị tấn công của hệ thống .
 Các điểm yếu của hệ thống.
 Không tương xứng của những chính sách an
toàn.
 Vấn đề kết nối Internet :Khi mạng kết nối với
Internet thì nó sẽ trở thành một đối tượng tiềm
năng cho các cuộc tấn công .

7.3. Quản trị và các chính sách
• Cung cấp những hướng dẫn, những quy tắc , và

những quy trình để thiết lập một môi trường thông
tin an toàn .
• Để những chính sách bảo mật phát huy hết hiệu
quả thì ta phải có sự hỗ trợ toàn diện và triệt để từ
phía các nhà quản lý trong tổ chức.

Một số chính sách quan trọng
• Chính sách nhà quản trị
• Yêu cầu thiết kế
• Kế hoạch khôi phục sau một biến cố
• Chính sách thông tin
• Chính sách an toàn
• Chính sách về cách sử dụng
• Chính sách quản lý người dùng

a.Chính sách nhà quản trị
• Trình bày đường lối chỉ đạo và những quy tắc ,
quy trình cho việc nâng cấp, theo dõi, sao lưu,
và kiếm toán (Audit) .
b.Nhu cầu thiết kế

• Khả năng cần phải có của hệ thống để đối phó với
các rủi ro về an toàn . Những nhu cầu này là rất căn
bản trong phần thiết kế ban đầu và nó có ảnh hưởng
rất lớn đến các giải pháp được sử dụng
• Những chính sách này mô tả thật rõ ràng về các
nhu cầu bảo mật

c.Kế hoạch khôi phục sau biến cố
( DRP- Disaster Recovery Plans )
• Một trong những vấn đề nhức đầu nhất mà các chuyên gia
CNTT phải đối mặt
• Tốn rất nhiều tiền để thực hiện việc kiểm tra,sao lưu,thiết lập
hệ thống dự phòng để giữ cho hệ thống hoạt động liên tục.
• Hầu hết các công ty lớn đều đầu tư một số tiền lớn vào kế
hoạch khôi phục bao gồm việc sao lưu dữ liệu hay những
lập“điểm nóng”.
• “Điểm nóng” là một nơi được thiết kế để cung cấp các dịch
vụ nhanh chóng và thuận tiện nhất khi có sự cố xảy ra như
hệ thống hay mạng bị sập.

d.Chính sách thông tin
• Truy suất, phân loại, đánh dấu và lưu trữ, dự

chuyển giao hay tiêu huỷ những thông tin nhạy
cảm.
• Sự phát triển của chính sách thông tin là sự đánh
giá chất lượng an toàn thông tin.

e. Chính sách bảo mật
• Cấu hình hệ thống và mạng tối ưu : cài đặt phần

mềm, phần cứng và các kết nối mạng.
• Xác định và ủy quyền. Định rõ việc điều khiển truy
cập, kiểm toán, và kết nối mạng.
• Các phần mến mã hóa và chống virus đuợc sữ dụng
để thực thi những chính sách này.
• Thiết lập các chức năng hay các phương thức dùng
để lựa chọn mật mã, sự hết hạn của mật mã, nổ lực
truy cập bất hợp pháp và những lĩnh vực liên quan.

f.Chính sách về sử dụng
• Thông tin về nguồn tài nguyên được sử dụng

như thế nào với mục đích gì?
• Những quy định về cách sử dụng máy tính: đăng
nhập , mật khẩu,an toàn vật lý nơi làm việc…
• Những quy định về sự riêng tư, quyền sở hữu và
những hậu quả khi có những hành động không
hợp pháp.
• Cách sử dụng Internet và Email.

g. Quản lý người dùng
• Các định các thao tác được thực hiện ở những

trường hợp bình thường trong hoạt động của nhân
viên.
• Cách ứng xử với các nhân viên mới được kết nạp
thêm vào hệ thống.
• Hướng dẫn và định hướng cho nhân viên,điều này
cũng quan trọng tương tự như khi ta cài đặt và cấu
hình một thiết bị mới.

Mục đích của an toàn thông tin
• Mục đích của ATTTnói ra rất dễ nhưng thực hiện
nó thì không đơn giản.
• Mục đích của an toàn thông tin rất rõ ràng và nó
được lập thành một bộ khung để có thể căn cứ
vào đó phát triển và duy trì một kết hoạch bảo vệ
an toàn thông tin

Mục đích:
a. Phòng ngừa :
• Nhằm ngăn chặn các hành động xâm phạm máy
tính hay thông tin một cách phạm pháp.
• Thiết lập các chính sách và các chức năng của hệ
thống an toàn nhằm giảm thiểu nguy cơ bị tấn công
• Chính sách ngăn chặn càng tốt thì mức thành công
của các cuộc tấn công càng thấp

b. Phát hiện :
• Xác định các sự kiện khi nó đang thực hiện. Trong
nhiều trường hợp việc phát hiện này rất khó thực hiện
• Để phát hiện có thể sử dụng một vài công cụ đơn giản
hoặc phức tạp hay chỉ là việc kiểm tra các logfile
• Thực hiện liên tục
• Là một phần trong chính sách và chức năng bảo đảm
an toàn thông tin của bạn.

c. Đáp trả
• Phát triển các chiến lược và kỹ thuật để có thể
giải quyết các cuộc tấn công hay mất mát dữ liệu
• Việc phát triển một hệ thống đáp trả thích hợp
bao gồm nhiều yếu từ đơn giản đến phức tạp
• Nên có những chức năng và phương thức cho
việc khôi phục lại sau khi bị tấn công hơn là cố
gắng tạo ra những cái cao siêu.

1.6.Các dịch vụ và các giao thức
• Mỗi dịch vụ và giao thức được sử dụng sẽ làm tăng

tính dễ bị tấn công của hệ thống và làm cho xuất hiện
các vấn đề tiềm năng về an ninh trong hệ thống.
• Hàng ngày người ta tìm được những lổ hỗng mới cho
các dịch vụ và giao thức được sử dụng phổ biến trong
hệ thống mạng máy tính.

Các giao thức và dịch vụ thông dụng:
• Mail : Không an toàn
• Web : Không an toàn
• Telnet : Không được bảo vệ
• FTP –Không có mã hoá  S/FTP
• NNTP-Network News Tranfer Protocol
• DSN-Domain Name Service  DNS attack
• ICMP : Ping  không an toàn

Những giao thức và dịch vụ không thiết yếu
•FTP
•Dịch vụ NetBIOS
•UNIX RPC •TFTP ( Trivial File Tranfer
•NFS Protocol )
•X Services • Netmeeting
•R Services, ví dụ
như rlogin, rexec •Remote Control System)
•Telnet •SNMP ( Simple Network
Management Protocol )

1.7.An toàn Topology mạng
Xác định trong quá trình thiết kế và thực thi mạng
Bốn nội dung chính cần quan tâm
• Mục đích của thiết kế

• Vùng bảo mật
• Topology mạng
• Những yêu cầu kinh doanh

a. Mục đích của thiết kế
Mục đích : Đảm bảo tính bí mật, tính toàn vẹn, tính
hiệu lực, và khả năng chịu trách nhiệm
• Tính bí mật : Ngăn cản hay hạn chế truy cập trái phép
hoặc tiết lộ bí mật thông tin, dữ liệu
• Tính toàn vẹn: Đảm bảo dữ liệu đang làm việc không
bị thay đổi so với với dữ liệu gốc
• Tính sẵn sàng: Đảm bảo hệ thống sẵn sàng đối phó
với mọi tình huống
• Chịu trách nhiệm :Ai chịu trách nhiệm trước mọi hoạt
động của hệ thống
b. Vùng bảo mật
• Cách ly hệ thống của chúng ta với những hệ

thống hay mạng khác
• Cách ly hệ thống khỏi những người truy cập
không hợp lệ
• Là một nội dung quan trọng khi thiết kế mạng

Tổng quan về mạng :
Bốn vùng bảo mật thông dụng:

• Internet
• Intranet
• Extranet
• DMZ (Demilitarized Zone – khu phi quân sự )

Internet

Intranet

Extranet

DMZ : Dùng để đặt một máy chủ công cộng ,
mọi người có thể truy cập vào

Thiết kế vùng bảo mật
Mô hình mẫu :

c. Thiết kế vùng bảo mật :
Công nghệ: VLAN , NAT, Tunneling
• VLAN : Cho phép dấu các segment để những segment

khác không thấy được
• Kiểm soát được các truy cập trong các segment
• NAT : Network Address Transfer
• Tunneling : Vitual Private Network

VLAN

NAT
• Cung cấp khả năng duy nhất để truy nhập vào hệ thống
mạng được bảo vệ
• NAT cho phép dùng một địa chỉ đơn để hiển thị trên
Internet thay cho các địa chỉ trong mạng cục bộ
• Máy chủ NAT cung cấp các địa chỉ IP cho các máy chủ hay
các hệ thống trong mạng, và nó ghi lại các lưu thông ra
vào mạng
• Dùng NAT để đại diện cho tất cả các kết nối trong mạng
cục bộ qua một kết nối đơn

NAT

Tunneling
• Đường hầm là khả năng tạo ra một kết nối ảo giữa

hai hệ thống hay giữa hai mạng.
• Đường hầm được tạo giữa hai điểm cuối bằng cách
đóng gói dữ liệu trong một giao thức truyền tin với
sự thoả thuận của hai bên.
• Sử dụng mật mã giúp giao thức tunel có khả năng
bảo vệ dữ liệu một cách an toàn (VPN)

Tunneling

9.QUẢN LÝ RỦI RO
• Xác định rủi ro , sử dụng các giải pháp bảo vệ

nhằm giảm thiểu rủi ro và xác định độ rủi ro có thể
chấp nhận được (rủi ro dư thừa ) trong hệ thống.
• Đánh giá tổn thất có thể xảy ra trong quá trình sử
dụng hoặc phụ thuộc vào hệ thống TT
• Phân tich các mối đe dọa tiềm năng và các điểm
yếu co thể gây tổn thất cho HTTT.
• Lựa chọn các giải pháp và các phương tiện tối ưu
nhằm giảm thiểu rủi ro đến mức độ cho phép.

Những vấn đề cần giải quyết :
• Giá trị của thông tin (value of information) : Cần phải bảo
vệ cái gì ? Lưu ý : Không phải bảo vệ tài nguyên
(resource) mà là bảo vệ thông tin .
• Các mối đe dọa (hiểm họa) : TT có giá trị cần được bảo
vệ khỏi cái gì ? và xác xuất tác động của hiểm họa.
• Tác động : Loại tác đông nào sẽ phá hoại thông tin khi xảy
ra hiểm họa – tác động ở đâu , như thế nào ? :
VD : Lộ thông tin , thay đổi thông tin trong quá trình trao đổi
TT…
• Hậu quả : Hậu quả xảy ra khi hiểm họa : VD khi thụt hố ga
sẽ bị gãy chân.
• Biện pháp khắc phục hiểm họa .
• Rủi ro tồn đọng : Múc rủi ro sau khí đưa ra các giải pháp
bảo vệ , có chấp nhận hay không mức rủi ro này.

• Trên đường có hố ga không
đậy nắp  Hiểm họa
• Có người bị thụt hố  rủi ro
 Xác xuất ? Ảnh hưởng của
các hiểm họa khác “Mải nhìn
người đẹp”
• Bị va đập vào đầu  tác động
• Chấn thương sọ não , tử vong Oâi ngöôøi
ñeïp laøm
 Hâu quả sao !!
• Đậy nắp hố ga lại  Biện

pháp
• Nắp hố ga có đảm bảo không
? (độ dày ,kết cấu…) rủi ro
tồn đọng  Chấp nhận hay
không?

Mối lo lắng của doanh nghiệp
• Hiểu rõ về tình trạng an toàn của tổ chức?

• Bắt đầu từ đâu ? Câu trả lời không đơn giản
• Phải làm gì ? : Xác định tài sản, đánh giá toàn diện về
rủi ro, xác định các mối đe dọa, tiên liệu các khả năng
bị tấn công , các chính sách an toàn…
• Giúp cho giám đốc hiểu được họ đang đối mặt với
những vấn đề gì, hiệu quả như thế nào nếu tập trung
giả quyết các yếu tố này

Mối lo lắng của doanh nghiệp

1.Xác định tài sản :
• Mỗi doanh nghiệp hay tổ chức điều có những tài sản
hay tài nguyên có giá trị.
• Các tài sản phải được kiểm toán cả về mặt vật lý lẫn
chức năng.
• Quá trình xác định tài sản là quá trình đánh giá giá trị
của các thông tin và hệ thống tại một nơi cụ thể.
• Sự ước lượng các loại tài sản vật lý là một quá trình
kiểm toán thông thường mà một doanh nghiệp phải
làm.

Xác định tài sản
• Xác định giá trị thông tin

• Xác định chức năng của nó và các thức tiếp
cận thông tin
• Dễ dàng hơn trong việc đưa ra các phương
án sự bảo vệ cho thông tin đó.

2.Đánh giá phân tích về rủi ro
• Có nhiều cách đánh giá hay phân tích những rủi ro.
• Việc đánh giá và phân tích rủi ro này được sắp xếp từ
những phương thức khoa học cho đến việc đàm phán
với người sở hữu thông tin.
• Phải xác định được chi phí cần thiết cho việc thay thế
những dữ liệu và hệ thống bị đánh cắp, chi phí cho
thời gian ngừng, hay tất cả những gì mà ta có thể
tưởng tượng ra được đối với các rủi ro.

3.Xác định hiểm hoạ
• Phải tiên liệu được các các mối đe dọa bên trong và bên
ngoài đối với mạng và dữ liệu.
• Thật chẳng hiệu quả nếu ta cung cấp một môi trường
bảo vệ công ty khỏi các mối đe dọa bên ngoài trong khi
hầu hết các đe dọa đều xuất từ bên trong
• Hiểm hoạ từ bên trong có thể là nhân viên giả dạng, sự
lạm dụng quyền hạn, sự thay đổi dữ liệu và đánh cắp tài
sản  một nguy cơ tiềm ẩn.

Các hiểm nguy
Troäm caép
Tham oâ
Phaù hoaïi
Giaùn ñieäp

Các mối đe dọa từ bên trong :
• Gây nhiều tác hại nhất : Chiếm 70%

• Điều quan trọng là biết cách tìm ra và cách loại các
mối đe dọa bên trong, đây là mấu chốt trong công
việc bảo mật thông tin máy tính.

Các mối đe dọa từ bên ngoài
• Các mối đe dọa từ bên ngoài đang tăng với tốc độ báo
động.
• Sử dụng trực tuyến cơ sở dữ liệu, giao dịch tài chính ,
chi trả tiền lương, ký gửi hàng hóa , kiểm kê, và các
thông tin quản lý quan trọng khác .
• Kết nối với những hệ thống thông tin hợp tác, bí mật
thương mại, và rất nhiều thông tin giá trị khác.

Phương thức tấn công dễ dàng
• Những công cụ tự động tìm kiếm mục tiêu và tấn công

vào hệ thống thông qua những lỗ hổng của nó.
• Có rất nhiều công cụ tấn công . Không cần phải là một
chuyên gia về kỹ thuật cũng có thể trở thành một
hacker.
• Có rất nhiều hệ thống máy tính bị tấn công nhiều lần
bằng những phương thức giống nhau do những kẻ tò
mò thực hiện hay những tội phạm đang cố thực hiện
hành động phạm pháp của mình.

9 .Nhiệm vụ của quản trị an toàn mạng
(Chief Security Officer)
• Dự báo , phân tích các rủi ro

• Phòng ngừa
• Phát hiện các cuộc tấn công
• Chống trả
• Hỗ trợ cho các nhân viên pháp luật điều tra

Những nơi dễ bị tấn công
• Sử dụng username và password

• Giao thức TCP/IP
• Các phần mềm có giao diện đồ họa, dễ dàng cấu
hình  nảy sinh vấn đề bảo mật
• Email cho phép đính kèm các file thực thi.

Kết thúc chương 1

CHƯƠNG 2 : MẬT MÃ HỌC
Chương 2_MẬT MÃ HỌC 1

2.1 .NHỮNG KHÁI NIỆM CƠ BẢN
• Mật mã học bao gồm hai lĩnh vực : mã hóa
(cryptography) và thám mã (cryptanalysis
codebreaking) trong đó:
• Mã hóa: nghiên cứu các thuật toán và phương thức để
đảm bảo nh bí mật và xác thực của thông tin gồm các
hệ mã mật , các hàm băm, các hệ chư ký điện số, các
cơ chế phân phối, quản lý khóa và các giao thức mật
mã.
• Thám mã: Nghiên cứu các phương pháp phá mã hoặc
tạo mã giả gồm các phương pháp thám mã , các
phương pháp giả mạo chư ký, các phương pháp tấn
công ,các hàm băm và các giao thức mật mã

2.1.1. Định nghĩa mật mã
• Mã hóa (cryptography) là một ngành khoa học của

các phương pháp truyền n bảo mật. Trong ếng Hy
Lạp, “Crypto” (krypte) có nghĩa là che dấu hay đảo
lộn, còn “Graphy” (grafik) có nghĩa là từ. [3]
• Văn bản gốc có thể hiểu được hay bản rõ (P-Plaintext)
• Văn bản ở dạng bí mật không thể hiểu được thì được
gọi là bản mã (C-Ciphertext).
• Có 2 phương thức mã hoá cơ bản: thay thế và chuyển
vị

2.1.2. Hệ mật mã
Một hệ mã mật là bộ 5 (P, C, K, E, D) thoả các điều kiện
1). P là không gian rõ: tập hữu hạn các bản rõ có thể có.
2). C là không gian mã: tập hữu hạn các bản mã có thể có.
3). K là kkhông gian khoá: tập hữu hạn các khoá có thể có.
4). Đối với mỗi k є K, có một quy tắc mã hoá ek є E và một
quy tắc giải mã tương ứng dk є D.
5).Với mỗi ek: P →C và dk: C →P là những hàm mà
dk(ek(x)) = x cho mọi bản rõ x є P. Hàm giải mã dk()
chính là ánh xạ ngược của hàm mã hóa ek

• Tính chất 4 ,5 là nh chất quan trọng nhất của mã
hoá. Nếu mã hoá bằng ek và bản mã nhận được sau
đó được giải mã bằng hàm dk() thì kết quả nhận
được phải là bản rõ ban đầu x , hàm ek(x) phải là
một đơn ánh, nếu không thì ta sẽ không giải mã
được. Vì nếu tồn tại (x1 ,x2) : y = ek(x1) = ek(x2) 
Bản mã Y không tồn tại.
• Trong một hệ mật bất kỳ ta luôn có |C| ≥ |P| vì mỗi
quy tắc mã hoá là một đơn ánh. Khi |C| = |P| thì mỗi
hàm mã hoá là một hoán vị.

2.1.3. Mô hình truyền n cơ bản của mật mã
học và luật Kirchoff

• Theo luật Kirchoff (1835 - 1903) (một nguyên
tắc cơ bản trong mã hoá) thì: toàn bộ cơ chế
mã/giải mã trừ khoá là không bí mật đối với
kẻ địch
• Ý nghĩa :sự an toàn của các hệ mã mật không
phải dựa vào sự phức tạp của thuật toán mã
hóa sử dụng.

2.2.Sơ lược về lịch sử mật mã học
• Mật mã học là một ngành khoa học có một lịch sử
khoảng 4000 năm
• Các phương pháp mã hóa đơn giản đầu ên mà loài
người đã sử dụng là của người Ba Tư cổ và người Do
Thái cổ.
• Lịch sử mật mã học => hai thời kỳ như sau:
– Thời kỳ ền khoa học: Từ trước công nguyên cho
tới năm 1949 : Mang tính nghệ thuật
– Lịch sử của mật mã học hiện đại được đánh dấu vào
năm 1949 khi Claude Shannon đưa ra lý thuyết
thông tin.
– Đầu những năm 1970 là sự phát triển của các thuật
toán mã hóa khối đầu tiên: Lucipher và DES
• Vào cuối những năm 1970 phát triển các thuật toán
khóa công khai sau khi Whi ield Diffie và Mar n
Hellman công bố bài báo “New Direc ons in
Cryptography” làm nền tảng cho sự ra đời của các hệ
mã khóa công khai và các hệ chữ ký số.
• Các hệ mã khối vẫn ếp tục được phát triển thay thế
cho DES vào cuối thế kỷ 20 như IDEA, AES hoặc 3DES
(một cải ến của DES).
• Các hàm băm MD5 (một hàm băm thuộc họ MD do
Ron Rivest phát triển) và SHA1 .
• MD5 và SHA1 đã bị hack, các nhà mật mã học đã
khuyến cáo sử dụng các hàm băm mạnh hơn (như
SHA-256, SHA-512) trong các ứng dụng.
2.3.Phân loại các thuật toán mật mã
• Các thuật toán mã hóa khóa bí mật ( hệ mã mật
khóa bí mật hay khóa đối xứng SKC (Symmetric Key
Cryptosytems), ví dụ : Caesar, DES, AES …
• Các thuật toán mã hóa khóa công khai (các hệ mã
khóa công khai PKC )(Public Key Cryptosystems).
Còn gọi là các hệ mã khóa bất đối xứng (Asymmetric
Key Cryptosytems). Khóa sử dụng cho các thuật
toán này là 2 khóa : Public Key và Private key
• Các thuật toán tạo chữ ký số (Digital Signature
Algorithms) : RSA, ElGammma…
• Các hàm băm (Hash functions).
Phân loại theo cách sử lý Input/Ouput
• Các thuật toán mã hóa khối (chẳng hạn như

DES, AES …) xử lý bản rõ được chia thành các
khối có độ dài giống nhau Mi .
• Các thuật toán mã hóa dòng (RC4 …) coi bản rõ
là một luồng bit, byte liên tục.

2.4. Ứng dụng của mật mã học
• Bảo mật (Confidentiality) truyền thông hoặc giao dịch
hoặc các thông điệp trên một hệ thống máy nh (các
file, các dữ liệu trong một cơ sở dữ liệu …).
• Xác thực (Authen ca on): đảm bảo nguồn gốc của
một thông điệp, người dùng.
• Toàn vẹn (Integrity): đảm bảo dữ liệu không bị thay đổi
bất hợp pháp trên mạng truyền thông cũng như khi
lưu trữ.
• Dịch vụ không thể chối từ (Non-Repudiation):Không
thể phủ nhận việc tham gia vào một giao dịch hợp lệ.
• Ngoài ra còn các dịch vụ quan trọng khác như chữ ký
điện tử, dịch vụ chứng thực danh nh (CA)

2.5. Cơ sở toán học của mật mã
• Khái niệm cơ bản về lý thuyết thông tin Entropy,

• Tốc độ của ngôn ngữ (Rate of Language)
• Độ phức tạp của thuật toán,
• Độ an toàn của thuật toán,
• Kiến thức toán học: đồng dư số học (modulo), số
nguyên tố, định lý phần dư trung hoa, định lý
Fermat . . . và các thuật toán kiểm tra số nguyên
tố

Những vấn đề chính
• Lý thuyết thông tin

• Lý thuyết độ phức tạp (tham khảo tài liệu)
• Độ an toàn của thuật toán ( tham khảo tài liệu)
• Lý thuyết số học.

2.5.1 . Lý thuyết thông tin
2.5.1.1 . ENTROPY : Đơn vị đo lượng thông tin

Khối lượng thông n trong một thông báo là số bít nhỏ
nhất cần thiết để mã hoá tất cả những ý nghĩa có thể
của thông báo đó.
• Ví dụ, trường “NGAY” trong tuần chứa không quá 3
bít thông n, bởi vậy thông n ngày có thể mã hoá
với 3 bít dữ liệu.
• Trường GIOI_TINH được thể hiên bởi 1 bít thông tin
“0” và “1”

• Khối lượng thông n trong một thông báo M đo
bởi Entropy của thông tin đó, ký hiệu là H(M).
• Entropy của thông báo “GIOI_TINH” 1 bít, ký
hiệu H(gioi_tinh) = 1. (n=2)
• Entropy của thông báo “NGAY” trong tuần là 3 .
(n=8)

Trong trường hợp tổng quát, Entropy của một
thông báo là log 2 n, với n là số khả năng có
thể (ý nghĩa) của thông báo.
H(M) = log 2 n

2.5.1.2.Tốc độ của ngôn ngữ. (Rate of
Language)
• Tốc độ thực tế (actual rate) của ngôn ngữ là:
r = H(M)/N
• N là độ dài của thông báo M . Tốc độ của ếng Anh bình
thường là 0.28 do đó mỗi chữ cái ếng Anh có 1.3 bit có
nghĩa.
• Tốc độ tuyệt đối (absolute rate) là số bits lớn nhất cần
thiết để mã hóa các ký tự của một ngôn ngữ . Nếu có L
ký tự trong một ngôn ngữ, thì tốc độ tuyệt đối là :
R = log 2 L
• Đây là số Entropy lớn nhất của mỗi ký tự đơn lẻ. Đối
với ếng Anh gồm 26 chữ cái, tốc độ tuyệt đối là
log 2 26 = 4.7bits/chữ cái(letter).
• Độ dư thừa của ngôn ngữ (Redundancy) tự nhiên.
• Độ dư thừa (Redundancy) của một ngôn ngữ ký hiệu
là D :
D = R – r.
• Đối với ếng Anh:
D = 1 - 0.28 =0.72 letters/letter
D = 4.7 – 1.3 = 3.4 bits/letter
Như vậy mỗi chữ cái có 1.3 bit nghĩa và 3.4 bit dư thừa
(xấp xỉ 72%).
2.5.2. Lý thuyết số học
2.5.2.1. Phép toán Modulo
• Các phép toán modulo , bao gồm các phép giao hoán, kết
hợp và phân phối.
(a+b) mod n = ((a mod n) + (b mod n)) mod n
(a- b) mod n = ((a mod n) - (b mod n)) mod n
(axb) mod n = ((a mod n) x (b mod n)) mod n
(ax(b + c)) mod n = (((a x b) mod n) + ((a x c) mod n)) mod n
• Các phép nh trong các hệ mã mật hầu hết đều liên quan
đến một phép toán modulo .

2.5.2.2. Số nguyên tố
• aZ,bN*;qZ và rN sao cho a=bq+r , 0rb;
q được ký hiệu là a/b (thương số), r – số dư của
a%b hay a modulo b
• Một số nguyên dương c  Z gọi là ƯSC của a,b nếu ca
và cb; ƯSC gcd  Z của a,b  Z được gọi là ƯSCLN , gcd
= gcd(a,b) hay gcd=a  b nếu ca,cb  cgcd
• lcmZ gọi là BSC của a,b nếu alcm và blcm; lcmN là
BSCNN của a,b nếu ac , bc  gcdc ;
Ký hiệu lcm=lcm(a,b) hay lcm=ab .

• Định nghĩa
Với a  2 gọi là một SNT nếu nó chia hết cho 1
và a.
Tập hợp các SNT ký hiệu là : p{2,3,5,7,11,13,..,}
• Định nghĩa
a,bZ gọi là nguyên tố cùng nhau (ab) nếu a và
b chỉ có một ƯSC duy nhất là 1, (ab=1)

Một số khái niệm
• Tập nguyên Z{0,1,2... n}
• Vành (A,+,*)
• Nhóm (G)
• Trường (F,+,*,a-1)
• Phép đồng dư

• Phép đồng dư :
x  y(mod m) ; x<m ; x,y  [0-n]
Hay : x = y+km => x-y =km
 x chia cho m có số dư r
y chia cho m có số dư r
x-y  bội số của m ; m là số chia của x-y
Ta goi x là thặng dư của y theo modulo m ; x là
đồng dư của y
• Phương trình Diophante (pt bất định)
axn+byn = cn  x,y { Z }  nghiệm của pt

• Vành Z N (vành đồng dư modul0 N)
Tập các số nguyên ZN = {0, 1, …, N-1} trong đó N là
một số tự nhiên dương với hai phép toán cộng (+) và
nhân (.) tạo thành một vành đồng dư modulo N (hay
còn gọi là tập thặng dư đầy đủ theo modulo N):
– Phép cộng:
 a, b  Z N : a+b = (a+b) mod N.
– Phép nhân:
 a, b  ZN: a . b = (a * b) mod N.

2.5.2.3. Nghịch đảo modulo
• Trên trường số thực R, số nghịch đảo của 5 là 1/5,
bởi vì 5 x 1/5=1.
• Trên vành số nguyên ZN khái niệm về số nghịch
đảo của một số như sau:
• Giả sử a  ZN và  b  ZN sao cho a.b ≡ 1 mod N .
Khi đó b là duy nhất và được gọi là nghịch đảo của
a trên trường ZN và ký hiệu là a -1 = b.
• Việc m phần tử nghịch đảo của một số a  ZN
thực chất là m hai số b và k sao cho: a.b = k.N + 1
trong đó b, k  ZN. Hay viết gọn lại là:
a-1  b (mod N )
• Định lý về sự tồn tại của phần tử nghịch đảo:
Nếu gcd(a, N) = 1 thì tồn tại duy nhất 1 số
b  ZN là phần tử nghịch đảo của a, nghĩa là
thỏa mãn a.b = (a*b) mod N = 1.
Lúc này phương trình đồng dư có dạng :
a*b - 1 = kN ; trong đó k  ZN

2.5.2.3. Hàm Phi_Ơle
• Với mỗi số nguyên N , giá trị của hàm phi Ơle của N là
tổng số tất cả các số nguyên  ZN và nguyên tố cùng
nhau với N .
• Nếu P là một số nguyên tố thì giá tri ̣ hàm phi Ơle của
P: Φ(P) = P – 1 hoặc nếu N = p*q trong đó p và q là
hai số nguyên tố thì Φ (N) = (p-1)*(q-1).
• Tổng quát :

• Đinh lý Ơle phát biểu như sau:
a  Z*N = ZN – {0} và (a, N) = 1 ta có
. Có nghĩa chính là giá trị
nghịch đảo của a trên ZN.
• Đinh lý Fermat nhỏ (Trường hợp riêng của định lý
Ơle): Nếu P là một số nguyên tố thì
a  Z*P ta có . .
• Đây là một trong những định lý đẹp nhất của số học.

• Với mỗi số nguyên N vành Z *N gồm các phần tử thuộc
Z N và nguyên tố cùng nhau với N, hay nói cách khác:
Z*N = {x: x  ZN, (x, N) = 1} = {x: x  Z N, }.
• Với mỗi phần tử a  ZN , bậc t của a (ký hiệu là ord (a))
là số nhỏ nhất sao cho : at = 1. Theo định lý Ơle ta suy
ra φ(N) chia hết cho t.
• Ví dụ: N=21 ta có bảng sau
a  Z*21 1 2 4 5 8 10 11 13 16 17 19 20
Ord(a) 1 6 3 6 2 6 6 2 3 6 6 2

• Nếu bậc của a  Z*N bằng φ(N) thì a được gọi
là phần tử sinh hay phần tử nguyên thủy của
tập Z*N và nếu tập Z*N chỉ có một phần tử sinh
thì nó được gọi là một cyclic.
Ví dụ : N=3 , a=2
φ(N) =(N-1) =2 ; (Nє P)
Ord(a) = t=2 vì at mod N =22 mod 3 =1
a = φ(N) =2 vậy 2 là phần tử nguyên thủy của Z*(2)

2.5.3. Một số thuật giải trên trường modulo
2.5.3.1. Thuật giải Euclic tính gcd của hai số nguyên

dương
Input : a,b N,a>b1

Output gcd(a,b)
while b>0 do
r=a%b;a=b;b=r
Return(a)

2.5.3.2. Beazout algorithm:
Tính d=gcd(a,b)và x,y : ax+by=d
Input: a,b nguyên , không âm :a b

Output: d=gcd(a,b); x,y:ax+by=d;
1) If b=0 then d=a; x=1;y=0.

2) x2=1; x1= 0; y2=0; y1=1.
3) while(b>0)do
a)q=a/b; r=a-q*b ; x=x2-q*x1 ; y=y2-q*y1;
b).a=b ; b=r ; x2=x1; x1=x ; y2=y1; y1=y;
4) d=a; x=x2; y=y2.
5) Return(d,x,y).

2.5.3.3. Phép lũy thừa modulo
• Định nghĩa 2i
Cho x  Zm, và p  N* ; p  0.il pi ; Phép toán x mod m
p
được gọi là phép lũy thừa modulo.

0 2 4 l
p p p p p
• Ta có : x  x  x  x  ...  x
• Thuật giải :
Input : x  Zm,
Output : xp mod m
(1) y = 1. Nếu p = 0, Return y.
(2) A = x. nếu P0 = 1, thì y = x.
(3) Cho i chạy từ 1 đến I, Do:
a. A =A2 mod m ;
b. Nếu pi = 1 thì y = (A*y) mod m.
(4) Return y.

2.3.5.4. Thuật giải tính modulo nghịch đảo
Input : aZN
Output :tìm x  a-1(modn) nếu tồn tại
i) Dùng giải thuật Beazout tính
x,yZ : ax+ny=d với gcd=gcd(a,n).
ii) If gcd > 1,
a-1(mod n) not exist.
iii) If gcd = 1,
Return x(mod n).

2.5.3.5. Thuật toán lũy thừa nhanh
Input: a, m, N.
Output: am mod N.
Begin :
Phân tích m thành dạng nhị phân m = bk ,b k-1…b0.
j = 0, kq = a;
while (k>=j)
{
if (bj==1)
kq = (kq * a) mod N;
a = (a * a) mod N;
j = j + 1;
}
return kq;
end
2.4.3.6.Thuật giải Euclic nhị phân
• Input x,y>0
• Output gcd (x,y)
a. g=1
b. While x,y even ,Do
i. x=x/2
ii. y=y/2
iii. g=2g
c. While(x>0),Do
i. While x even Do x=x/2.
ii. While y even Do y=y/2.
iii. t=x-y/2.
iv. If xy Then x=t,else y=t.
d. g=gy.
e. Return g.
• Yêu cầu : nắm vững lý thuyết
• Làm các bài tập trong giờ thực hành (8 tiết học)
• Tham khảo các code trong phần bài tập

HẾT CHƯƠNG 2

CHƯƠNG 3
CÁC HỆ MẬT MÃ ĐỐI XỨNG
1/30/2002 CHƯƠNG 3 _ CÁC HỆ MẬT MÃ 1

Khái niệm mật mã đối xứng
• Yêu cầu hai bên sử dụng một khoá mật mã duy
nhất ( Tính đối xứng).
• Số lượng khoá¸tăng lên tỷ lệ với số người dùng

Vấn đề sử dụng khóa

3.1 .Các hệ mật cổ điển
3.1.1. Hệ mã hoá thay thế (substitution cipher)
Có 4 kỹ thuật thay thế sau đây:
1. Thay thế đơn (A simple substitution cipher): một ký tự
của bản rõ được thay bằng một ký tự tương ứng
trong bản mã. Một ánh xạ 1-1 từ bản rõ tới bản mã .
2. Thay thế đồng âm (A homophonic subs tu on
cipher): giống như thay thế đơn, song một ký tự của
bản rõ có thể ánh xạ tới một trong số nhiều ký tự của
bản mã: sơ đồ ánh xạ 1-n (one-to-many).
3. Thay thế đa mẫu tự (A polyalphbetic substitution
cipher): dùng nhiều thuật toán mã hoá thay thế đơn.
Ánh xạ 1-1 nhưng có thể thay đổi nhiều lần trong
phạm vi một thông điệp

4. Thay thế đa ký tự (A polygram subs tu on cipher):
là thuật toán trong đó các khối ký tự đựợc mã hoá
theo nhóm. Đây là thuật toán tổng quát nhất, cho
phép thay thế các nhóm ký tự của văn bản gốc. Ví
dụ, “ABA” có thể tương ứng với “RTQ”, “ABB” có thể
tương ứng với “SLL”, v.v
3.1.1.1. Hệ mã Cesar : Là một hệ mã đơn . Làm việc
trên trương modulo 26 của bảng chữ cái Latin (A-Z)
Ta có : P є {a-z} - Không gian bản rõ ( plain text)
C є {a-z} - Không gian bản mã (cipher text)
K є [Z N ] - Không gian khóa
• Mã hóa: EK(i) = (i + k) mod N.
• Giải mã: DK(i) = (i – k) mod N.
• Các phép nh toán số học được thực hiện trên vành
Z26, số khóa có thể là 26 nhưng trên thực tế chỉ có 25
khóa có ích.
• Ví dụ: với k=3 (được hoàng đế Caesar sử dụng)
A B C D E F G H I J K L M N O P Q R S T U V W X Y Z
D E F G H I J K L M N O P Q S T U V W X Y Z A B C D
“I LOVE YOU” được mã thành “L OSZH CSY”

Trên thực tế hệ mã Caesar có cơ số khóa ít nên hoàn
toàn có thể thám mã bằng cách thử tất cả các khóa có
thể (kiểu tấn công Brute force).
3.1.1.2.Hệ mã Affine
• Không gian các bản rõ (P,C) є {A} - A bảng chữ cái .Giả
sử |A| є N. Khi đó không gian khóa của hệ mã được
xác định như sau:
K = { (a, b): a, b є ZN, (a, N) = 1}
• Đánh số các chữ cái từ 0  (N-1)
• Tiến hành mã từng ký tự “x” theo công thức sau :
EK(x) = (a*x + b) mod N.
• Để giải mã ta cần m a-1 (do (a, N) = 1) ; nên luôn m
được) và ến hành tìm “y” (giải mã) theo công thức sau:
DK(y) = a*(y - b) mod N.

3.1.1.3. Hệ mã Vigenere (1523-1596)
• Không gian các bản rõ (P,C) є {A} - A bảng chữ cái.
Các chữ cái được đánh số từ 0  (N-1).
• Không gian khóa K được xác định như sau:
M ≥0 , khóa có độ dài M là một xâu ký tự :
k = k1, k2 , …kM.
• Để mã hóa ,chia P thành các khối có độ dài M và
chuyển thành số thứ tự tương ứng trong {A},
Ví dụ: x = x1 x 2 …xM.
• Mã hóa : EK(x) = (x1 + k1, x2 + k2, …, xM + kM) mod N
• Giải mã : DK(y) = (y1 – k1, y2 – k2, …, yM – kM) mod N
với : (y1 , y2, …, yM) là bản rõ.
• Số khóa sử dụng : 26 M
• Ví dụ: xét A là bảng chữ cái ếng Anh, N = 26 . Giả sử
khóa có độ dài 6 và K = “CIPHER”.
P = “THIS CRYPTOSYSTEM IS NOT SECURE”. Ta có :
K = 2 8 15 7 4 17, P = 19 7 8 18 2 17 | 24 15 19 14 18 23
| 18 19 4 12 8 18 | 13 14 19 18 4 2 | 20 17 4.
Quá trình mã hóa :
• P = 19 7 8 18 2 17 | 24 15 19 14 18 23 | 18 19 4 12 8 18 | 13 14
19 18 4 2 | 20 17 4
• K = 2 8 15 7 4 17 | 2 8 15 7 4 17 | 2 8 15 7 4 17 | 2 8 15 7 4 17 | 2
8 15
• C = 21 15 23 25 6 8 | 0 23 8 21 22 14 | 20 1 19 19 12 9 | 15 22 8
25 8 19 | 22 25 19
• Vậy bản mã là C = “VPXZGI AXIVWO UBTTMJ PWIZIT
WZT”.
3.1.2. Hệ mã chuyển vị (transposition cipher)
• Hệ mã hoá chuyển vị là hệ mã hoá trong đó các ký tự
của bản rõ vẫn được giữ nguyên, nhưng vị trí của
chúng được đổi chỗ cho nhau. Ví dụ :
• Bản rõ: COMPUTER GRAPHICS MAY BE SLOW BUT AT
LEAST IT‟S EXPENSIVE
COMPUTERGR
APHICSMAYB
ESLOWBUTAT
LEASTITSEX
PENSIVE
• Bản mã:
CAELPOPSEEMHLANPIOSSUCWTITSBIUEMUTERATSGYA
ERBTX
Các kỹ thuật chuyển vị
1. Đảo ngược toàn bộ bản rõ . Đây là phương pháp mã hoá
đơn giản nhất vì vậy không đảm bảo an toàn.
Ví dụ : “TRANSPOSITION CIPHER” được mã hoá thành
“REHPICNOITISOPSNART”.
2. Mã hoá theo mẫu hình học : bản rõ được sắp xếp lại
theo một mẫu hình học nào đó, thường là một mảng hoặc
một ma trận hai chiều. Có hai cách:
• Viết theo hàng ngang  Đổi chỗ cột  Lấy ra theo cột
• Viết theo cột  Đổi chỗ cột  Lấy ra theo hàng ngang

3. Chuyển vị các ký tự theo chu kỳ cố định d
• Nếu hàm f(i) là một chuyển vị của một khối gồm d

ký tự (i) thì khoá mã hoá được biểu diễn bởi K(d,f).
• Do vậy, bản rõ: M = m1 m2...md md+1...m2d
Với mi là các ký tự , và bản rõ sẽ được mã hoá :
• Ek(M) = mf(1) mf(2)...mf(d) mf(d)+1 ...mf(d)+d
• Trong đó : mf(1) mf(2)...mf(d)…. là một hoán vị của m1
m2 ...md.

Ví dụ: d=6 ,dãy i= 123456 được hoán vị thành f(i)=356214
VỊ TRÍ ĐẦU CHUYỂN VỊ KÝ TỰ BẢN MÃ
1 3 F I
2 5 R N
3 6 I D
4 2 E R
5 1 N F
6 4 D E
Kết quả mã : INDRFE

3.2.Các hệ mã khối (Block cipher)
1. Khái niệm :
• Dữ liệu đầu vào (văn bản rõ) được chia thành các
khối (Mi ) có độ dài cố định ( ≥ 64 bit).
• Xử lý (mã hóa ) tuần tự từng khối.
• Độ dài không gian khóa (K) bằng độ dài khối “rõ”.
• Khóa cần được phân phối trước.

2. Các hệ mã khối hiện đại
• DES Data Encryption Standard (DES) xuât hiện vào
giữa 1970s. Là thuật toán mạnh vào lúc bấy giờ.DES
dùng khoá 64/128-bit .
• AES Advanced Encryption Standard (AES) thay thế
DES sử dụng thuật giải Rijndael . AES hỗ trợ khoá có
kích thước 128, 192, và 256 bit.
• 3DES Triple-DES (3DES) bản nâng cấp của DES.3DES
an toàn hơn DES.
• CAST do Carlisle Adams và Stafford Tavares phát
triển.CAST sử dụng khoá có chiều dài từ 40-bit đến
128-bit , chạy nhanh và hiệu quả.
• RC do phòng thí nghiệm RSA phát triển.Có các loải
CR4, RC5 và RC6. RC5 sử dụng khoá 2,048 bit .Là một
hệ mật mã mạnh.
• Blowfish do “Counterpane systems” phát triển
(Bruce Schneier). AES hỗ trợ thêm khoá mã 448 bits.
• IDEA International Data Encryption Algorithm (IDEA)
thuật giải dùng 128-bit key. An toàn hơn DES, IDEA
được sử dụng trong giaot hức PGP. Pretty Good
Privacy (PGP) là hệ mật mã sử dụng trong vùng bảo
mật e-mail công cộng.
“Block cipher” còn được biết với tên gọi :” Hệ mật
đối xứng”
• Chuẩn mã hóa dữ liệu DES (Data Encryp on Standard),
một trong số các hệ mã khối được sử dụng rộng rãi nhất
và là nền tảng cho rất nhiều các hệ mã khối khác.
• Được Uỷ ban Tiêu chuẩn quốc gia Hoa Kỳ công bố vào
15/02/1977. DES được xây dựng trên một hệ mã khối
phổ biến có tên là LUCIFER do IBM phát triển .
• DES có nhiều ưu điểm (nhanh, thuật toán công khai, dễ
cài đặt) và đã được sử dụng trong một thời gian rất dài
(trước những năm 90).
• Chuẩn mã hóa mới ra đời AES thay thế cho DES
(1997).AES được xây dựng dựa trên thuât toán Rijndael
(2011).
3. Điều kiện an toàn của hệ mật mã khối:
• Kích thước khối phải đủ lớn .Tuy nhiên điều này sẽ dẫn
đến thời gian mã hoá sẽ tăng lên.
• Không gian khoá, tức chiều dài khoá phải đủ lớn (chống
brute force attack).Tuy nhiên không gian khóa quá lớn sẽ
gây khó khăn cho việc tạo khoá, phân phối, quản lý và
lưu trữ khoá .
• Khi thiết kế hệ mã khối, phải đảm bảo hai yêu cầu sau:
Sự hỗn loạn (confusion): sự phụ thuộc giữa bản rõ và
bản mã phải thực sự phức tạp . Mối quan hệ này tốt nhất
là phi tuyến.
Sự khuếch tán (diffusion): Tăng độ dư thừa của bản mã.

3.2.1.Chuẩn mã hoá dữ liệu DES (Data Encryption
Standard)
3.2.1.1. Sơ đồ tổng quát của DES
• Input block : 64 bit

• Key length : 56 (RD)+ 8 (parity)=64 bit
3.2.1.2. Thuật giải DES
• DES thực hiện 16 vòng lặp (i=1 đến i=16)
• Hàm mã hóa :
Li = Ri-1 ; (1)
Ri = Li-1 f(Ri-1, Ki) ; trong đó :
f(Ri-1,Ki) = P( S( E(Ri-1) Ki ) ); (2)
• Trong đó:
 phép tuyển loại trừ của hai xâu bit theo modulo 2.
Hàm f là một hàm phi tuyến.
 E là hoán vi ̣ mở rộng ánh xạ Ri-1 tƣ̀ 32 bit thành 48 bit .
 P là hoán vi ̣ cố định khác của 32 bit.
 IP - hoán vi ̣ bit khởi đầu .Ở đầu ra dùng hoán vị nghich
đảo IP-1
a. Thuật toán chi tiết:
• Input: Bản rõ M = m1 m2 …m64

Khóa 64 bit K = k1 k2 …k64 (bao gồm cả 8 bit parity)
• Output: Bản mã 64 bit c = c1 c2 …c64
1. Sinh khóa con.
2. Khởi tạo (L0 ,R0 ) từ IP(m1 m2 …m 64 ) .
Kết quả nhận được L0 = m58 m50 …m8 .
R0 = m57 m49 …m7 .
3. (16 vòng) for i = 1 to 16
• Tính các Li và Ri theo các công thức (1) và (2)

b. Sơ đồ các vòng lặp của DES

Sơ đồ các vòng lặp của DES (tiếp)

c. Hoán vị IP và hoán vị ngược IP-1

d.Tạo khóa con (dùng cho mỗi vòng lặp)

Tạo khóa con (tiếp)
• Từ khóa chính 64 bit bỏ đi các bit parity (các bit thứ 8)

nhờ bảng PC-1 .Nhận khối khóa 56 bit.
• Khối 56 bit này chia thành hai khối C0 và D0

• Bảng hoán vị nén PC-2
Sau mỗi một vòng lặp , bảng hoán vị nén PC-2
được sử dụng
• Output là một khối khóa Ki = 48 bit

• Sau đó, hai khối 28 bit này được dịch trái 1 hoặc 2 bit
phụ thuộc vào bảng sau :
VÒNG LẶP 1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16
SỐ BIT 1 1 2 2 2 2 2 2 1 2 2 2 2 2 2 1
DỊCH

e. Hàm mã hóa f(Ri-1,Ki )
• Biến thứ nhất Ri-1 được mở rộng có độ dài 48 bit

theo một hàm E. E(Ri-1 ) là một bảng hoán vị có lặp
trong đó lặp lại 16 bit của Ri-1.(Hình vẽ 3.6)
• Tính E(Ri-1 ) XOR Ki và viết kết quả là 8 chuỗi 6 bit
B1 B2 B3 B4 B5 B6 B7 B8.
• Đưa 8 khối Bi vào 8 bảng S1, S2, ..., S8 ( S-Box). Mỗi
hộp S-Box là một bảng 4*16 cố định có các cột từ 0
đến 15 và các hàng từ 0 đến 3.

Sơ đồ hàm f(Ri-1 ,Ki)

Tính C = C1 C2 C3…… C8
Hai bít B1 và B6 tạo ra một dãy số từ 0 đến 3
Bốn bít giữa B2- B5 tạo thành dãy số từ 0 đến 15.
Dùng bít B1 và B2 tạo số dòng và bốn bít giữa B2-B5 tạo
số cột . Khối 4 bít được nhận bởi đối chiếu số dòng và số
cột tương ứng .
Ví dụ : Khối 6 bít có dạng : 1 1 0 0 1 0
B1 = 1
B6 = 0 số cột là (10)2 hay (2)10
B2 - B5 = (1001)2 hay (9)10
Đối chiếu với bảng của hàm Sj ta có số cột là 9 , số dòng
là 2,ta nhận được mã của khối 4 bit là 12 hay “1 1 0 0 ”
Tại từng nút lặp ta sử dụng các bảng Sj khác nhau.Có tất
cả 8 bảng Si
Sơ đồ tổng quát 1 vòng của DES

f. Hộp S-box
• Ba thuộc nh của hộp S (đảm bảo nh confusion và
diffusion ) của thuật toán (NSA).
Các bit vào luôn phụ thuộc phi tuyến với các bit ra.
 Sửa đổi ở một bit vào làm thay đổi ít nhất là hai bit ra.
 Phân bố các bit “1” và “0” trong hộp S-box phải tuân
theo luật “phân bố đều” , “đồng xác xuất”.
• Sau khi cộng modulo với khoá K, thu được chuỗi 48 bit
chia làm 8 khối đưa vào 8 hộp S-Box. Mỗi hộp S-Box có 6
bit đầu vào và 4 bit đầu ra (tổng bộ nhớ yêu cầu cho 8
hộp S-Box chuẩn DES là 256 bytes). Kết quả thu được là
một chuỗi 32 bit ếp tục vào hộp P-Box.
• Có thể tự thiết kế S-box

Một số S-box chuẩn

g.Hàm hoán vị mở rộng E-box

• Hàm E-Box, mỗi 4 bit của khối vào, bit thứ nhất và bit
thứ tư tương ứng với 2 bit của đầu ra, trong khi bit thứ
2 và 3 tương ứng với 1 bit ở đầu ra. Bảng sau đây miêu
tả vị trí của bit ra so với bit vào.

h. Hộp P-Box
• Mang nh đơn ánh, nghĩa là một bit đầu vào sẽ cho

một bit ở đầu ra, không bit nào được sử dụng hai lần
hay bị bỏ qua.

3.2.1.3.Giải mã DES
• Có thể sử dụng cùng chức năng để mã hoá giải mã
hoặc một khối.
• Lúc này các khoá phải được sử dụng theo thứ tự ngược
lại. Nghĩa là, nếu các khoá mã hoá cho mỗi vòng là k1,
k2, k3 ,... , k15,k16 thì các khoá giải mã là k16, k15,... , k3,
k2, k1.
• Giải thuật để tạo khoá cho mỗi vòng cũng tương tự.
Các khoá được dịch phải và số vị trí bit để dịch được
lấy theo chiều ngược lại.

3.2.1.4. Các yếu điểm của DES
1. Tính bù
• Nếu ta ký hiệu u là phần bù của u (ví dụ : 0100101 là
phần bù của 1011010) thì DES có nh chất sau:
y = DES(x,k) → y = DES( x , k )
• Nếu biết y được mã hoá từ x với khoá K thì ta suy ra
được bản mã y được mã hoá từ bản rõ x với khoá k .
• Tính chất này chính là một yếu điểm của DES , hacker
có thể loại bỏ đi một số khoá phải thử khi ến hành
thử giải mã theo kiểu vét cạn.

2. Khoá yếu
• Khoá yếu là các khoá sinh ra cả 16 khoá con như nhau:
K1 = K2 = ... = K15 = K16
• Điều đó khiến cho việc mã hóa và giải mã đối với khoá
yếu là giống hệt nhau.
• Có tất cả 4 khoá yếu sau:

3. Không gian khóa K
• DES có 256 = 1017 khoá. Nếu chúng ta biết được một
cặp “ n/mã” thì chúng ta có thể thử tất cả 1017 khả
năng này để m ra khoá cho kết quả khớp nhất. Giả
sử một phép thử mất 10-6s, thì chúng sẽ mất 1011s,
tức 7300 năm.
• Với các máy nh được chế tạo theo xử lý song song.
Với 107 con chipset mã DES chạy song song thì mỗi
một con chipset chỉ phải nh toán với 1010 phép thử.
• Chipset mã DES ngày nay có thể xử lý tốc độ 4.5×107
bit/s tức có thể làm được hơn 105 phép mã DES
trong một giây

• Vào năm 1976 và 1977, Diffie và Hellman đã ước
lượng rằng có thể chế tạo một máy nh chuyên dụng
để vét cạn không gian khoá DES trong ½ ngày với cái
giá 20 triệu đô la.
• Năm 1984, chipset mã hoá DES với tốc độ mã hoá
256000 lần/giây.
• Năm 1987, đã tăng lên 512000 lần/giây.
• Năm 1993, Michael Wiener đã thiết kế một máy nh
chuyên dụng với giá 1 triệu đô la sử dụng phương
pháp vét cạn để giải mã DES trung bình trong vòng 3,5
giờ (và chậm nhất là 7 giờ).

3.2.2.Triple DES
• Hệ mã DES với không gian khóa vẻn vẹn có 254 khóa
nên thực tế hiện nay có thể bị thám mã trong khoảng
thời gian vài giờ đồng hồ .
• Triple DES (TDES) hay 3DES thực hiện mã hóa DES ba
lần (Triple Data Encryption Algorithm).
• Bản mã : C = DESK3(DESK2(DESK1(M)),
Mô hình EEE ,cả ba bước sử dụng ba khóa ở đây đều
sử dụng DES ,
• Một biến thể khác của mô hình này gọi là EDE với
bước ở giữa sử dụng thuật toán giải mã của DES:
C = DESK3( DES -1K2(DES k1 (M)).
Sơ đồ Triple DES

• Khóa của Triple DES là 168 bit, một số biến thể của
Triple DES sử dụng khóa có độ dài 112 bit (K1=K3) (
Two key Triple DES ).
• Các chứng minh về mặt lý thuyết và các tấn công đối
với Triple DES cho thấy hệ mã này vẫn sẽ còn được
sử dụng trong một tương lai dài mặc dù trên trên
thực tế nó chậm hơn so với AES 6 lần.

3.2.3. Thuật toán cao cấp AES
• AES là một hệ mã khóa bí mật có tên là Rijndael (Joan

Daemen và Vincent Rijmen) trở thành chuẩn từ năm
2002)
• AES xử lý các khối dữ liệu input có kích thứớc 128 bit .
• Khóa có độ dài 128, 192 hoặc 256 bit.
• Còn được biêt với các tên AES-128, AES-192, AES-256
tương ứng với độ dài khóa sử dụng).
• Chi tiết tham khảo tài liệu.

3.2.4. Các MODE làm việc của hệ mật đối xứng
Dựa vào việc xử lý input data của hệ mã ,cơ chế sử
dụng các hệ mã khối sau có 2 loại:
1. Các chế độ khối (Block Mode): xử lý các thông điệp
theo các khối (ECB, CBC)
2. Các chế độ luồng, dòng (Stream Modes): xử lý các
thông điệp như là một chuỗi bit/byte (CFB, OFB).
• Các chế độ khối sử dụng để mã hóa các dữ liệu mà
chúng ta biết trước về vị trí, độ lớn khi mã hóa (các
file, các email )
• Chế độ chuỗi được sử dụng cho việc mã hóa các dữ
liệu không được biết trước về độ lớn cũng như vi ̣ trí
như các n hiệu gửi về từ vê ̣ nh hoặc các n hiệu
do một bộ cảm biến đọc từ bên ngoài vào.

3.2.4.1. ECB (Electronic CodeBook Book) mode
• Thông điệp cần mã hóa được chia thành các khối độc
lập để mã hóa, mỗi khối bản mã là kết quả của việc
mã hóa riêng biệt khối bản rõ tương ứng với nó và
độc lập với khối khác. ( giống như thay thế các khối
bản mã bằng các khối bản rõ tương ứng nên có tên
gọi là bảng tra mã điện tử.
Plain text : P = P1P2…PN
• Mã hóa: Ci = DESK(Pi),
Cipher text: C = C1C2..CN.
• Giải mã ến hành ngược lại:
Pi = DES-1K(Ci).

ECB MODE
• ECB - đơn giản và dễ cài đặt , sử dụng khi chỉ một khối
đơn để mã thông tin cần được gửi đi (ví dụ khóa session
key được mã hóa bằng cách dùng một khóa chính).
3.2.4.2. CBC (Cipher Block Chaining) MODE
• Giống như EBC mode , trong CBC mode bản rõ sẽ
được chia thành các khối nhưng chúng sẽ được liên
kết với nhau trong quá trình mã hóa để tạo thành
bản rõ. Chính vì các khối bản mã được móc nối với
bản rõ nên có tên là CBC mode
• CBC sử dụng một vector khởi tạo IV (Ini al Vector) để
bắt đầu:
C0 = IV, P = P1P2..PN
• Mã hóa: Ci = DESK (Pi Ci-1), C = C1C2..CN
• Giải mã: Pi = DES-1K(Ci) Ci-1, ; P = P1P2..PN.

CBC MODE
Phù hợp với các dữ liệu có khối lượng lớn như các file ,
Email , WEB….
3.2.4.3. CFB (Cipher Feedback) và OFB (Output
Feedback) mode
• Các mode CFB và OFB được sử dụng để mã hóa các dữ
liệu được cung cấp rời rạc ( n hiệu nhận được từ vệ
nh hoặc do một bộ cảm biến nào đó truyền về).
• Trong chế độ OFB và CFB dòng khoá được tạo ra sẽ
được cộng modulo 2 với bản rõ.
• OFB là một hệ mã đồng bô : Lập các vector khởi tạo 64
bit (vector IV). z0 = IV ; zi = ek(zi-1) với i ≥ 1.
Mã hóa bản rõ x1x2 ... xn : yi = xi zi với i ≥ 1.
• Mode CFB, tạo y0 = IV (vector khởi tạo 64 bit) và tạo
phần tử zi của dòng khoá : zi = ek(yi-1) với i≥1 và
yi = xi zi với i≥1.
CFB-OFB MODE

Kết thúc chương 3

CHƯƠNG 4
HỆ MẬT MÃ KHÓA CÔNG KHAI
(HỆ MẬT BẤT ĐỐI XỨNG)
1/30/2002 ATBMTT_CHAP 4 1
4.1. Khái niệm
4.1.1. Vấn đề sử dụng và phân phối khóa
Hệ mật bất đối xứng khắc phục được tính chất phức tạp
trong việc phân phối khóa ở hệ mật đối xứng
Cho phép giao tiếp giữa các đối tượng một cách uyển
chuyển , dễ dàng.
Sử dụng hai khoá Kp (public key ) và Ks (private key ) để
mã và giải mật
Có hai mode làm việc :
Bảo mật : Mã bằng public key  giải mật bằng private key
Xác thực : Mã bằng private key giải mật bằng public key
4.1.2. Các yêu cầu của loại hệ mã PKC
- Việc sinh KP, KS phải dễ dàng

- Việc nh E(KP, M) là dễ dàng
- Nếu có C = E(KP, M) và KS thì dễ ràng giải mật .
- Nếu biết KP thì việc dò tìm KS là khó
- Rất khó tìm bản rõ từ bản mã nếu không biết khóa .
4.1.3. các mô hình sử dụng PKS
4.1.3.1. Mô hình bảo mật
Ciphertext = E(KP,P) , Plantext = D(KS, E(KP,P))
4.1.3.2.Mô hình xác thực
Ciphertext = D(KS, P) , Plaintext = E(KP, D(KS, P))
4.1.4. Cấu trúc của PKC
• PKC được xây dựng trên các hàm một chiều (one–way
functions).
• OWHF f : X  Y là hàm nếu biết x є X dễ dàng nh
y = f(x). Nhưng y є Y việc m x є X : y = f(x) , có nghĩa
m hàm ngược f-1 là rất khó.
• Ví dụ : với P є { P1, P2, ..., Pn } thì việc nh N = P1 * P2 *
... * Pn là dễ tìm Pi є {P} với N đủ lớn ( phân ch ngược
– phân rã SNT) là một bài toán khó .
• Trong các hệ mã PKC sử dụng các “trapdoor” giúp cho
việc tìm x : y = f(x) dễ dàng . Hàm (trapdoor func on):
là một hàm một chiều trong đó việc nh f-1 là rất
nhanh khi chúng ta biết được “trapdoor”.
4.1.5.Một số hệ mật mã bất đối xứng thông dụng
• Hệ mã Knapsack (xếp ba lô)
• RSA ( Rivest, Adi Shamir, and Leonard Adleman) . RSA
dùng để bảo mật và tạo “digital signatures” .
• Diffie-Hellman “Diffie-Hellman key exchange”
được sử dụng để truyền khóa mật mã trên kênh
công khai , không dùng để mã hoá thông điệp .
• ECC The Elliptic Curve Cryptosystem (ECC) được sử
dụng trên các thiết bị nhỏ , ít thông minh như “ cell
phones” và “wireless”.
• El Gamal thuật giả dùng để truyền “digital
signatures” và “ key exchanges”(Cũng tương tự
Diffie-Hellman “. The El Gamal còn được gọi là DSA .
4.2.Hệ mã Knapsack
• Hệ mã knapsack do Merkle và Hellman (năm 1978).
4.2.1. Bài toán xếp ba lô
• Cho M, N và A1, A2, ...., AN là các số nguyên dương
Hỏi có tồn tại một véc tơ nhị phân x=(x1, x2,…, xN) sao
cho:
• Vectơ A = (A1, A2, ..., AN) gọi là vectơ “xếp balô”

• Vectơ X = (x1, x2, …, xN) là vectơ nghiệm.
• Đây là bài toán khó có thời gian là hàm mũ O(2N).
• Nếu S là dãy siêu tăng thì bài toán trên giải được với
thời gian tuyến tính ON.
• Vector siêu tăng : Dãy A=(Ai ) gọi là siêu tăng nếu với
mọi Ai>ΣAj (j=1,..i-1) (tức là phần tử đứng sau lớn hơn
tổng các phần tử đứng trước nó)
• Khi đó bài toán balo được phát biểu như sau:
Cho M, N và A’=(A’1, A’2, ...., A’N ) là một dãy siêu tăng.
Hỏi có tồn tại một véc tơ nhị phân x=(x1, x2,…, xN) sao
cho:
M=Σxi.Ai (i=1..N))
• Vecto xếp ba lô siêu tăng
• Một trường hợp riêng đáng quan tâm của bài toán
xếp ba lô tổng quát là trừờng hợp mà xi є {0, 1}. Khi
đó ta có bài toán “xếp ba lô” 0, 1.
• Trong trường hợp vecto (A1, A2, ..., AN) được sắp lại
thành (A’1, A’2, ..., A’N) sao cho:
i ta có : thì vecto (A1, A2, ..., AN) được
gọi là vecto xếp balo siêu tăng.
• Khi (A’1, A’2, ..., A’N) là một vecto “xếp balo” siêu
tăng ta có ngay nh chất : i : M ≥ A’. Do đó việc giải
bài toán xếp ba lô 0/1 trở nên dễ dàng hơn rất nhiều.
1/30/2002 ATBMTT_CHAP 4 10
• Thuật giải bài toán xếp balô
For i:=N downto 1 do
Begin
If M>=ai then
xi=1
else xi:=0;
C:=C-xi.ai;
end;
If C=0 then “bài toán có đáp án là véc tơ x”
else “bài toán không có đáp án”;
1/30/2002 ATBMTT_CHAP 4 11
4.2.2.Cách xây dựng hệ mã knapsack
1.Chọn 1 vecto siêu tăng A’ = (a’1, a’2, ..., a’N),
2. Chọn M > 2 * a’N, chọn ngẫu nhiên u < M : (u, M) = 1
3.Xây dựng Vecto S = (s1, s2, ..., sN) với si = (a’i * u) mod M
4.Khóa: KP = (S, M), KS = (u, u-1)
5.Không gian rõ : dãy N bit : P = (x1, x2, ..., xN).
6.Mã hóa :
7.Giải mã: nh C’ = C * u-1 mod M sau đó giải bài toán xếp

ba lô 0/1 với A’, C’ từ đó tìm được
P = (x1, x2, ..., xN).
1/30/2002 ATBMTT_CHAP 4 12
Ví dụ Knapsack
Cho hệ mã Knapsack có A’ = (2, 3, 6, 12, 25), N = 5,
M = 53, u = 46, u-1 = 16.
• Hãy m các khóa của hệ mã trên
• Mã hóa và giải mã bản mã tương ứng của bản rõ M =
01001.
a.Tìm khóa : Kp = (S,M) ; S = (s1, s2 ,…sN )= a’ 1 u , a’2 u…=
2*46, 3*46 , ….25*46 = (92,138,…1150) ; M=53 ;
Ks = (u, u-1 ) = (4,16)
1/30/2002 ATBMTT_CHAP 4 13
4.3. Hệ mật RSA
Hệ mã RSA (Rivest, Shamir và Adleman) là thuật toán PKC
nổi ếng và được ứng dụng nhiều trong thực tế nhất.
4.3.1. Định lý RSA

• Cho p,q là hai SNT phân biệt N=pq
• Có một hàm  = (n)=(p-1)(q-1), 1e, (e, )=1,
Tính được : d  e-1mod, 1d ,
• Cho một số m : 0  m  N , và tính c = memodN
Thì : m = cdmodN
1/30/2002 ATBMTT_CHAP 4 14
4.3.2. Thuật giải RSA
4.3.2.1.Phát sinh khóa RSA
a. Tính N = p*q và  = (n)=(p-1)(q-1) ; (p,q là hai SNT
phân biệt đủ lớn .Trong thực tế >100 chữ số).
b. Chọ ngẫu nhiên một số e1, thoả (e,)=1.
c. Sử dụng thuật giải Bezout tính số nghịch đảo
d1, = e-1 mod  ; ed ≡ 1 mod  hay
d. Cặp (e ,N) là khóa công khai (Kp )
Cặp (d,N) là khóa các nhân – khóa bí mật (Ks )
15
1/30/2002 ATBMTT_CHAP 4
4.3.2.2 Mã hóa và giải mã
1. Mã hóa
a. Tạo cặp khóa công khai (e,N), và một thông điệp
rõ dưới dạng một số nguyên dương m ;
m0,N, m – văn bản rõ (plaintext).
b. Tính c
c = memodN, c – văn bản mật (ciphertext).
2. Giải mật
Phục hồi lại văn bản rõ m từ văn bản bảo mật c, ta sử
dụng cặp khóa cá nhân (d,N) để tính m;
m = cd modN.
Ghi chú : RSA sử dụng các sô nguyên tố lớn p,q để việc
phân tích N với (N= pq) là vô cùng khó khăn.
1/30/2002 ATBMTT_CHAP 4 16
4.3.2.3. Độ an toàn của RSA
• Độ an toàn của RSA phụ thuộc vào độ khó của việc nh
(N) .Muốn vậy , cần phân ch N ra thừa số nguyên tố.
• Thuật toán Brent-Pollard là thuật toán phân ch số
nguyên tố hiệu quả nhất hiện nay.(Bảng thống kê 4.7)
• Việc sử dụng RSA cần tới các số nguyên tố lớn nên phải có
một cơ sở dữ liệu các số nguyên tố.
• Tốc độ RSA chậm do phải tính số lượng lớn các phép
nhân. Phép nhân 2 số n bit cần thực hiện O(n2) phép nh
bit. Thuật toán nhân các số nguyên Schonhage – Strassen
cho phép nhân 2 số với độ phức tạp là O(n log n)
1/30/2002 ATBMTT_CHAP 4 17
SỐ CHỮ SỐ HỆ THẬP PHÂN TRONG SỐ THAO TÁC BIT ĐỂ PHÂN TÍCH N
N
1/30/2002 ATBMTT_CHAP 4 18
• Hiện tượng lộ bản rõ
 Hệ mã RSA có N = p*q = 5*7, e = 17, với m = 6 ta có
C = 617 mod N = 6.
Hệ mã RSA có N = p*q = 109*97, e = 865, với mọi m
ta đều có me mod N = M.
Với hệ mã RSA có N = p*q và e bất kỳ, số lượng bản
rõ bị lộ mã hóa sẽ là (1 + (e-1, p-1))*(1 + (e-1, q-1)).
• Trong thực tế RSA thường được sử dụng với các

thông điệp có kích thước nhỏ (secsion key), và thường
sử dụng lai ghép với các hệ mật đối xứng (DES,AES…)
1/30/2002 ATBMTT_CHAP 4 19
Sơ đồ lai của RSA với hệ mật đối xứng
1/30/2002 ATBMTT_CHAP 4 20
4.3.2.4. Ứng dụng của RSA
a. Bảo mật thông điệp : Sử dụng khoá công khai của
bên nhận để mã , khoá riêng của bên nhận để giải mã
mi: plain text

c: cipher text
Receiver’s Public Key Internet
mi: plain text c: cipher text
Sender’s Private Key
1/30/2002 ATBMTT_CHAP 4 21
b. Xác thực thông điệp : Dùng khoá cá nhân của bên
gửi để mã , khoá công khai của bên gửi để giải mã
mi: plain text

c: cipher text
Sender’s Private Key
Internet
mi: plain text c: cipher text
Sender’s Public Key
1/30/2002 ATBMTT_CHAP 4 22
4.3.2.5. Phạm vi ứng dụng RSA
• Mạng hành chính công , E-Business , E-Goverment
• Kinh doanh thương mại điện tử : Thanh toán điện
tử,bảo mật các dữ liệu điện tử,chứng thực chữ ký điện
tử. . .
• Đào tạo ,thi cử từ xa,bảo mật dữ liệu tuyển sinh.
• Ngân hàng thương mại : Giao dịch, thanh toán qua
mạng.
• Xuất nhập cảnh
• ......
1/30/2002 ATBMTT_CHAP 4 23
4.3.4. Hệ mã Difie-Henman
• Được sử dụng trong các cơ chế phân phối khóa trong hệ
mật đối xứng.
a. Tạo khóa
• Ta có p là số nguyên tố (p є Zp) .
• Giả sử a  Zp là một số nguyên thuỷ (primitive element )
• Các giá trị p và α được công bố công khai trên mạng.
• UID thông tin định danh hợp lệ cho từng user U trên
mạng (“tên”,” e-mail address”,” telephone number”…)
• Từng “user U,V” có một số mũ au ,aV với (0 ≤au ,aV ≤ p-2),
và tính giá trị bU ,bV công khai tương ứng :
bU = au modp và
bV = av modp
• Khoá chung K u,v được tính Ku,v = au ,av modp
1/30/2002 ATBMTT_CHAP 4 24
b. Thuật giải
• Input : p SNT và  primitive element  Z *p  truyền
công khai trên mạng
Từng “user U,V” có một số mũ au ,av với :
(0 ≤ au , av ≤ p-2),
• Output :
Hai bên cùng tính bu = au mod p và bv = av mod p
Hai bên gửi cho nhau : bu và bv.
1. Bên V tính : KU,V=au ,av mod p = bu av mod p
Dùng bU từ U cùng với giá trị mật au
2. Bên U tính : KU,V=au ,av mod p = bv au mod p
Dùng bV gửi từ V cùng với giá trị mật av
1/30/2002 ATBMTT_CHAP 4 25
c. Ví dụ Diffie- Hellman
• Giả sử p = 25307 và α = 2 biết công khai (p là SNT và
α là số nguyên thuỷ gốc modulo p).
• User U Chọn aU = 3578. Tính
Dùng để chứng
• User V chọn aV = 19956. Tính nhận U
Dùng để chứng
nhận V
1/30/2002 ATBMTT_CHAP 4 26
Ví dụ Diffie- Hellman (tiếp)
• User U tính khoá của mình
• User V tính khoá của mình
1/30/2002 ATBMTT_CHAP 4 27
4.3.5. Hê ̣mã El Gamal (1985)
• Là một biến thể của sơ đồ Diffie – Hellman.
• Tính an toàn dựa trên nh khó giải của bài toán
logarit rời rạc.
• Nhược điểm chính: kích thước thông n sau khi mã
hóa sẽ tăng gấp đôi so với thông n gốc.
• Giống các hệ mã khóa công khai khác , El Gamal làm
việc với tốc độ thấp (việc với các số nguyên lớn),
• Cần bộ nhớ lớn dành cho việc lưu trữ các khóa .
• Với hệ mã El Gamal chúng ta cần gấp đôi bộ nhớ để
chứa bản mã so với các hệ mã khác
1/30/2002 ATBMTT_CHAP 4 28
4.3.5.1. Mã hóa
• Chọn pє Zp và a <P (a là một phần tử nguyên thủy є Z*p )
và x є ZN (x là của người nhận, bí mật) , nh:
y = ax mod p
• Thông điệp rõ M ( M є ZP)
• Chọn ngẫu nhiên k < p và nh khóa mã hóa K:
K = yk mod p
• Sau đó nh cặp bản mã:
C1 = ak mod p
C2 = K.M mod p
• Gửi bản mã C = (C1, C2) đi (chú ý là sau đó k sẽ bị huỷ).
1/30/2002 ATBMTT_CHAP 4 29
4.3.5.2.Giải mã
• Để giải mã thông điệp đầu ên ta cần nh lại khóa
mã hóa thông điệp K:
K = C1x mod p = ak.x mod p
• Sau đó nh M bằng cách giải phương trình :
M = C2 . K-1 mod p
• Việc giải mã bao gồm việc nh lại khóa tạm thời K
(rất giống với mô hình của Diffie – Hellman ). Khóa
công khai của hệ mã là (p, a, y), khóa bí mật là x.
1/30/2002 ATBMTT_CHAP 4 30
4.3.5.4. Ví dụ El Gamal
• Cho hệ mã El Gamal có P = 97, a = 5, x = 58.
Tìm khóa của hệ mã trên.
Mã hóa bản rõ M = 3 với k được chọn bằng 36.
• Tính y = 558 mod 97 = 44, từ đó suy ra KP = (P, a, y) =
(97, 5, 44) và KS = (58).
• Để mã hóa thông điệp M = 3 ta tính khóa K = 4436 mod
97 = 75 sau đó nh:
C1 = 536 = 50 mod 97 =50
C2 = 75.3 mod 97 = (75 mod 97*3 mod 97)mod 97 = 31
• Vậy bản mã thu được là C = (50, 31).
1/30/2002 ATBMTT_CHAP 4 31
4.3. Public Key Infrastructure (PKI)
4.3.1. Khái niệm
- Public Key Infrastructure (PKI) cung cấp giải pháp
tổng thể bảo vệ thông điệp và hiện thực những nội
dung đã thảo luận trên đây.Sự cần thiết một hệ thống
tổng hợp hỗ trợ cho e-commerce, giao dịch an toàn và
bảo mật thông tin là những lợi ích do PKI mạng lại.
- Mục đích : PKI thiết lập một hạ tầng thông tin an toàn
thông suốt cho mọi nhà cung cấp,các hệ thống và
mạng . PKI là một môi trường làm việc chứ không phải
là một công nghệ đặc biệt. Phát triển PKI độc lập với
việc phát triển phần mềm và các ứng dụng khác
1/30/2002 ATBMTT_CHAP 4 32
Khái niệm (tiếp)
- PKI là hệ thống khoá kép ( two-key system). Thông

điệp được mã bởi “public key” và giải mật bằng “
private key”.Nếu muốn mã và gửi thông điệp mã cho ai
đó , ta phải yêu cầu người đó gửi “ public key “ của họ
và ta dùng “ public key” để mã và gửi thông điệp đã mã
đi . Bên nhận sẽ dùng khoá “ private key “ của mình để
giải mật.
1/30/2002 ATBMTT_CHAP 4 33
4.3.2 . CA – Certificate Authorities
 Tổ chức thứ ba- Certificate Authorities (CA) quản lý “

public keys” và cấp phát giấy chứng nhận (cirtificates) để
kiểm tra tính hợp lệ của thông điệp từ bên phát đến.
 CA là một phần của PKI ( Public Key Infrastructures) .
1/30/2002 ATBMTT_CHAP 4 34
Certificate Authorities
• Certificate authority (CA) Tổ chức có quyền cấp chứng
thực (certificates)
1/30/2002 ATBMTT_CHAP 4 35
4.3.3. RAs and LRAs
4.3.3.1. Registration authority (RA)

Chia sẻ bớt một phần công việc của CA. Hệ thống RA
làm việc như một người trung gian trong quá trình. RA
phân phối khoá , chấp nhận đăng ký cho CA và xác
minh định danh. RA không cấp chứng chỉ.Đây là trách
nhiệm của CA.
1/30/2002 ATBMTT_CHAP 4 36
Registration authority (RA)
Người dùng gửi thông điệp từ Huế

HA NỘI đến HCMC
Hà nội
Đà nẵng HochiMinh City
1/30/2002 ATBMTT_CHAP 4 37
4.3.3.2. Local registration authority (LRA)
Đăng ký xác nhận tại địa phuơng
Hà nội
1/30/2002 ATBMTT_CHAP 4 38
4.3.4. Certificates ( Chứng chỉ)
4.3.4.1 Nội dung của chứng chỉ - chuẩn x-509
1/30/2002 ATBMTT_CHAP 4 39
Sử dụng khóa công khai để chứng thực séc điện tử
theo chuẩn X 509
1/30/2002 ATBMTT_CHAP 4 40
4.3.4.2 Certificate Policies
 Certificate policies xác định “chứng chỉ” được dùng

để làm gì?
 Certificate policies quy định các chứng chỉ được cấp
và sử dụng như thế nào.
 CA cần có policy để phân chia trách nhiệm hoặc xác
nhận các điểm CA khác .
1/30/2002 ATBMTT_CHAP 4 41
4.3.4.3 Certificate Practice Statements
 Certificate practice statement (CPS) : CA cấp phát

chứng chỉ và thực thi các chính sách của mình. Đây là
những tài liệu chi tiết giúp cho các chính sách của CA
có hiệu lực.
1/30/2002 ATBMTT_CHAP 4 42
4.3.4.4 Thu hồi / huỷ chứng chỉ (Certificate Revocation)
• Certificate revocation là qua trình thu hồi chứng chỉ

trước khi nó hết hiệu lực , hết hạn.
• Thực hiện nhờ “Certificate revocation list” – danh
sách thu hồi chứng chỉ (CRL) hoặc sử dụng giao thức
“online certificate status protocol” (OCSP).
1/30/2002 ATBMTT_CHAP 4 43
Thu hồi / huỷ chứng chỉ (Certificate Revocation)
Yêu cầu thu hồi chứng chỉ
1/30/2002 ATBMTT_CHAP 4 44
4.3.4.5. Mô hình uỷ quyền ( Trust Models)
Có bốn mô hình uỷ quyền trên PKI

• Hierarchical
• Bridge
• Mesh
• Hybrid
1/30/2002 ATBMTT_CHAP 4 45
1. Hierarchical
1/30/2002 ATBMTT_CHAP 4 46
2. Bridge
1/30/2002 ATBMTT_CHAP 4 47
3. Mesh
1/30/2002 ATBMTT_CHAP 4 48
4. Hybrit
1/30/2002 ATBMTT_CHAP 4 49
Hết chương 4
1/30/2002 ATBMTT_CHAP 4 50
CHƯƠNG 5
CHÍNH SÁCH AN TOÀN

VÀ BẢO MẬT THÔNG TIN
TRONG DOANH NGHIỆP
5.1.Quaûn trò vaø caùc chính saùch
5.1.1 Muïc ñích

 Cung caáp nhöõng höôùng daãn, nhöõng quy taéc , vaø
nhöõng quy trình ñeå thieát laäp moät moâi tröôøng
thoâng tin an toaøn .
 Ñeå nhöõng chính saùch baûo maät phaùt huy heát hieäu
quaû thì ta phaûi coù söï hoã trôï toaøn dieän vaø trieät ñeå
töø phía caùc nhaø quaûn lyù trong toå chöùc.
5.1.2 .Moät soá chính saùch quan troïng
 Chính saùch nhaø quaûn trò

 Yeâu caàu thieát keá
 Keá hoaïch khoâi phuïc sau moät bieán coá
 Chính saùch thoâng tin
 Chính saùch an toaøn
 Chính saùch veà caùch söû duïng
 Chính saùch quaûn lyù ngöôøi duøng
1.Chính saùch nhaø quaûn trò
Trình baøy ñöôøng loái chæ ñaïo vaø nhöõng quy taéc , quy
trình cho vieäc naâng caáp, theo doõi, sao löu, vaø kieám toaùn
(Audit) .
2 .Yeâu caàu thieát keá

Khaû naêng caàn phaûi coù cuûa heä thoáng ñeå ñoái phoù vôùi caùc
ruûi ro veà an toaøn . Nhöõng nhu caàu naøy laø raát caên baûn
trong phaàn thieát keá ban ñaàu vaø noù coù aûnh höôûng raát lôùn
ñeán caùc giaûi phaùp maø baïn söû duïng
Nhöõng chính saùch naøy moâ taû thaät roõ raøng veà caùc nhu
caàu baûo maät
3 Keá hoaïch khoâi phuïc sau bieán coá ( DRP-
Disaster Recovery Plans )
 Moät trong nhöõng vaán ñeà nhöùc ñaàu nhaát maø caùc chuyeân
gia CNTT phaûi ñoái maët
 Toán raát nhieàu tieàn ñeå thöïc hieän vieäc kieåm tra,sao
löu,thieát laäp heä thoáng döï phoøng ñeå giöõ cho heä thoáng
hoaït ñoäng lieân tuïc.
 Haàu heát caùc coâng ty lôùn ñeàu ñaàu tö moät soá tieàn lôùn vaøo
keá hoaïch khoâi phuïc bao goàm vieäc sao löu döõ lieäu hay
nhöõng laäp“ñieåm noùng”.
 “Ñieåm noùng” laø moät nôi ñöôïc thieát keá ñeå cung caáp caùc
dòch vuï nhanh choùng vaø thuaän tieän nhaát khi coù söï coá
xaûy ra nhö heä thoáng hay maïng bò saäp.
4.Chính saùch thoâng tin
 Truy suaát, phaân loaïi, ñaùnh daáu vaø löu tröõ, döï
chuyeån giao hay tieâu huyû nhöõng thoâng tin
nhaïy caûm.
 Söï phaùt trieån cuûa chính saùch thoâng tin laø söï
ñaùnh giaù chaát löôïng an toaøn thoâng tin.
5. Chính saùch baûo maät
 Caáu hình heä thoáng vaø maïng toái öu : caøi ñaët

phaàn meàm, phaàn cöùng vaø caùc keát noái maïng.
 Xaùc ñònh vaøø uûy quyeàn. Ñònh roõ vieäc ñieàu
khieån truy caäp, kieåm toaùn, vaø keát noái maïng.
 Caùc phaàn meán maõ hoùa vaø choáng virus ñuôïc
söõ duïng ñeå thöïc thi nhöõng chính saùch naøy.
 Thieát laäp caùc chöùc naêng hay caùc phöông
thöùc duøng ñeå löïa choïn maät maõ, söï heát haïn
cuûa maät maõ, noå löïc truy caäp baát hôïp phaùp vaø
nhöõng lónh vöïc lieân quan.
6.Chính saùch veà söû duïng
 Thoâng tin veàø nguoàn taøi nguyeân ñöôïc söû duïng

nhö theá naøo vôùi muïc ñích gì?
 Nhöõng quy ñònh veà caùch söû duïng maùy tính:
ñaêng nhaäp , maät khaåu,an toaøn vaät lyù nôi laøm
vieäc…
 Nhöõng quy ñònh veà söï rieâng tö, quyeàn sôû höõu
vaø nhöõng haäu quaû khi coù nhöõng haønh ñoäng
khoâng hôïp phaùp.
 Caùch söû duïng Internet vaø Email.
7. Quaûn lyù ngöôøi duøng
 Caùc ñònh caùc thao taùc ñöôïc thöïc hieän ôû nhöõng

tröôøng hôïp bình thöôøng trong hoaït ñoäng cuûa nhaân
vieân.
 Caùch öùng xöû vôùi caùc nhaân vieân môùi ñöôïc keát naïp
theâm vaøo heä thoáng.
 Höôùng daãn vaø ñònh höôùng cho nhaân vieân,ñieàu
naøy cuõng quan troïng töông töï nhö khi ta caøi ñaët
vaø caáu hình moät thieát bò môùi.
5.2. Quản lý rủi ro
• Xác định rủi ro , sử dụng các giải pháp bảo vệ

nhằm giảm thiểu rủi ro và xác định độ rủi ro có thể
chấp nhận được (rủi ro dư thừa ) trong hệ thống.
• Đánh giá tổn thất có thể xảy ra trong quá trình sử
dụng hoặc phụ thuộc vào hệ thống TT
• Phân tich các mối đe dọa tiềm năng và các điểm
yếu co thể gây tổn thất cho HTTT.
• Lựa chọn các giải pháp và các phương tiện tối ưu
nhằm giảm thiểu rủi ro đến mức độ cho phép.
8/17/2009 ATBMTT_CHAP 5 10
8/17/2009 ATBMTT_CHAP 5 11
Những vấn đề cần giải quyết :
• Giá trị của thông tin (value of information) : Cần phải bảo
vệ cái gì ? Lưu ý : Không phải bảo vệ tài nguyên
(resource) mà là bảo vệ thông tin .
• Các mối đe dọa (hiểm họa) : TT có giá trị cần được bảo
vệ khỏi cái gì ? và xác xuất tác động của hiểm họa.
• Tác động : Loại tác đông nào sẽ phá hoại thông tin khi xảy
ra hiểm họa – tác động ở đâu , như thế nào ? :
VD : Lộ thông tin , thay đổi thông tin trong quá trình trao đổi
TT…
• Hậu quả : Hậu quả xảy ra khi hiểm họa : VD khi thụt hố ga
sẽ bị gãy chân.
• Biện pháp khắc phục hiểm họa .
• Rủi ro tồn đọng : Múc rủi ro sau khí đưa ra các giải pháp
bảo vệ , có chấp nhận hay không mức rủi ro này.
8/17/2009 ATBMTT_CHAP 5 12
• Trên đường có hố ga không đậy
nắp  Hiểm họa
• Có người bị thụt hố  rủi ro 
Xác xuất ? Ảnh hưởng của các
hiểm họa khác “Trời mưa”
• Bị va đập vào đầu  tác động
• Chấn thương sọ não , tử vong 
Hâu quả
• Đậy nắp hố ga lại  Biện pháp
• Nắp hố ga có đảm bảo không ?
(độ dày ,kết cấu…) rủi ro tồn
đọng  Chấp nhận hay không?
8/17/2009 ATBMTT_CHAP 5 13
Moái lo laéng cuûa doanh nghieäp
 Hieåu roõ veà tình traïng an toaøn cuûa toå chöùc?

 Baét ñaàu töø ñaâu ? Caâu traû lôøi khoâng ñôn giaûn
 Phaûi laøm gì ? : Xaùc ñònh taøi saûn, ñaùnh giaù toaøn
dieän veà ruûi ro, xaùc ñònh caùc moái ñe doïa, tieân
lieäu caùc khaû naêng bò taán coâng , caùc chính saùch
an toaøn…
 Giuùp cho giaùm ñoác hieåu ñöôïc hoï ñang ñoái maët
vôùi nhöõng vaán ñeà gì, hieäu quaû nhö theá naøo neáu
taäp trung giaû quyeát caùc yeáu toá naøy
8/17/2009 ATBMTT_CHAP 5 14
HẾT CHƯƠNG 5
8/17/2009 ATBMTT_CHAP 5 15
CHƯƠNG 6
AN TOÀN & BẢO MẬT HỆ THỐNG

THÔNG TIN TRÊN INTERNET
1/30/2002 CHUONG 6_AT&BM_HTTT 1

6.1 Hạ tầng mạng
6.1.1 Chuẩn OSI và TCP/IP
Mô hình phân lớp nhằm

Giảm độ phức tạp
Tiêu chuẩn hoá các giao diện
Module hoá các chi tiết kỹ thuật
Đảm bảo mềm dẻo quy trình công nghệ
Thúc đẩy quá trình phát triển
Dễ dàng trong việc giảng dạy ,huấn luyện

6.1.2. TCP/IP model

6.1.3 Mô hình OSI và TCP/IP

6.1.4. Đóng gói trong TCP/IP
HTTP.Email,TEXT…
TPUD Unit
Packets
Frames

6.1.5. TCP Three - Way – Handshake
Kết nối có định hướng  thực hiện bằng “tree - way
handshake”

6.1.6.Application Programming Interfaces (API)
The Windows socket interface

6.2. Các điểm yếu dễ bị khai thác trên mạng
6.2.1.TCP/IP Attacks
• Xảy ra trên lớp IP hay “host –to- host”
• Router /Firewall có thể ngăn chặn một số giao thức
lộ liễu trên Internet
• ARP không phải giao thức định tuyến nên không gây
tổn thương do tấn công từ bên ngoài
• Các điểm yếu :SMTP & ICMP, TCP, UDP và IP  có
thể đi xuyên qua các lớp mạng

Các hình thức TCP/IP attack
• Port Scans : Quét các cổng

• TCP Attacks :
TCP SYN or TCP ACK Flood Attack,
TCP Sequence Number Attack,
TCP/IP Hijacking
Network Sniffers : Bắt giữ và hiển thị các thông báo
trên mạng

1. Network Sniffers
• Network sniffer đơn thuần chỉ là thiết bị dùng để bẫy
và hiển thị dòng thông tin trên mạng
• Nhiều card NIC có chức năng “ Promiscuous mode”
Cho phép card NIC bắt giữ tất cả các thông tin mà nó
thấy trên mạng.
• Các thiết bị như routers, bridges, and switches có thể
được sử dụng để phân tách các vùng mạng con trong
một mạng lớn .
• Sử dụng sniffer, kẻ tấn công bên trong có thể bắt giữ
tất cả mọi thông tin truyền trong mạng.

2. TCP/IP hijacking - active sniffing

3.Port Scans
• Kể tấn công dò tìm một cách có hệ thống mạng và xác
định các cổng cùng viới các dịch vụ đang mở ( port
scanning), việc quét cổng có thể tiến hành từ bên trong
hoặc từ bên ngoài. Nhiều router không được cấu hình
đúng đã để tất cả các gói giao thức đi qua.
• Một khi đã biết địa chỉ IP , kẻ tấn công từ bên ngoài có
thể kết nối vào mạng với các cổng mở thậm chí sử
dụng một giao thức đơn giản như Telnet.
• Quá trình Port Scans được dùng để “in dấu chân
(footprint)” một tổ chức .Đây là bước đầu tiên của một
cuộc tấn công.

4. TCP Attacks
• Đặc điểm : Bắt tay ba chiều “ Three Way Handsake ”
• Tấn công tràn ngập SYN (TCP SYN hay TCP ACK Flood
Attack )
• Máy client và server trao đổi các gói ACK xác nhận kết nối
• Hacker gửi liên tục các ACK packet đến server.
• Máy server nhận được các ACK từ hacker song không
thực hiện được bất cứ phiên làm việc nào nào  kết quả
là server bị treo  các dịch vụ bị từ chối (DoS).
• Nhiều router mới có khả năng chống lại các cuộc tấn
công loại này bằng các giới hạn số lượng các cuộc trao
đổi SYN ACK.

Mô tả TCP SYN hay TCP ACK Flood Attack

5.TCP Sequence Number Attack
• TCP sequence attacks xảy ra khi attacker nắm quyền
kiểm soát một bên nào đó của phiên làm việc TCP .
• Khi truyền một thông điệp TCP ,một “sequence
number - SN “được một trong hai phía tạo ra.
• Hacker chiếm SN và thay đổi thành SN của mình.

6. UDP Attack
• UDP attack sử dụng các giao thức bảo trì hệ thống hoặc
dịch vụ UDP để làm quá tải các dịch vụ giống như DoS .
UDP attack khai thác các giao thức UDP protocols.
• UDP packet không phải là “ connection-oriented” nên
không cần “synchronization process – ACK”
• UDP attack - UDP flooding ( Tràn ngập UDP)
• Tràn ngập UDP gây quá tải băng thông của mạng dẫn
đến DoS .

7. ICMP attacks : Smurf và ICMP tunneling
• ICMP sử dụng PING program. Dùng lệnh PING với địa chỉ IP của
máy đích
• Gây ra do sự phản hồi các gói ICMP khi có yêu cầu bảo trì mạng.
• Một số dạng thông điệp ICMP

a. SMURF ATTACKS

SMURF ATTACKS
• Attacker gửi packet đến network amplifier (router
hay thiết bị mạng khác hỗ trợ broadcast), với địa chỉ
của nạn nhân. Thông thường là những packet ICMP
ECHO REQUEST, các packet này yêu cầu yêu cầu bên
nhận phải trả lời bằng một ICMP ECHO REPLY .
• Network amplifier sẽ gửi đến ICMP ECHO REQUEST
đến tất cả các hệ thống thuộc địa chỉ broadcast và
tất cả các hệ thống này sẽ REPLY packet về địa chỉ IP
của mục tiêu tấn công Smuft Attack.

b. Fraggle Attack: tương tự như Smuft attack nhưng
thay vì dùng ICMP ECHO REQUEST packet thì sẽ dùng
UDP ECHO packet gửi đến mục tiêu.

6.2.2.Tấn công DDOS
Các giai đoạn của một cuộc tấn công kiểu DDoS:
1. Chuẩn bị :
• Là bước quan trọng nhất của cuộc tấn công, Các công
cụ DDoS hoạt động theo mô hình client-server.(Xem 10
best tools for DDOS).
• Dùng các kỹ thuật hack khác để nắm trọn quyền một
số host trên mạng.
• Cấu hình và thử nghiệm toàn bộ attack-netword (bao
gồm các máy đã bị lợi dụng cùng với các software đã
được thiết lập trên đó, máy của hacker hoặc một số
máy khác đã được thiết lập như điểm phát động tấn
công) cũng sẽ được thực hiện trong giai đoạn này.
• Best Tool DDOS 2011
1. Slowloris
2. HTTP POST 3.6
3. DDosim
4. Keep-alive attack
5. Low Orbit Ion Cannon Anonymous
6. r-u-dead
7. Slow Post Newver
8. Smurf 6.0
9. DNSDRDOS
10.Tools Slow dos PURIDDE Goobye ver3.0

2. Giai đoạn xác định mục tiêu và thời điểm:
- Sau khi xác định mục tiêu lấn cuối, hacker sẽ có hoạt
động điều chỉnh attack-netword chuyển hướng tấn công
về phía mục tiêu.
- Yếu tố thời điểm sẽ quyết định mức độ thiệt hại và tốc
độ đáp ứng của mục tiêu đối với cuộc tấn công.

3. Phát động tấn công và xóa dấu vết:
• Đúng thời điểm đã định, hacker phát động tấn công
từ máy của mình, lệnh tấn công này có thể đi qua
nhiều cấp mói đến host thực sự tấn công. Toàn bộ
attack-network (có thể lên đến hàng ngàn máy), sẽ
vắt cạn năng lực của server mục tiêu liên tục, ngăn
chặn không cho nó hoạt động như thiết kế.
• Sau một khoảng thời gian tấn công thích hợp, hacker
tiến hành xóa mọi dấu vết có thể truy ngược đến
mình, việc này đòi hỏi trình độ khá cao .

4. Kiến trúc tổng quan của DDoS attack-network:
+ Mô hình Agent – Handler
+ Mô hình IRC – Based
DDoS attack-network
Agent -Handler IRC - Based
Client – Handler
Secret/private Public
Communication
channel channel
TCP UDP ICMP

4.a. Mô hình Agent – Handler
Theo mô hình này, attack-network gồm 3 thành phần:
Agent, Client và Handler
 Client : là software cơ sở để hacker điều khiển mọi
hoạt động của attack-network
 Handler : là một thành phần software trung gian
giữa Agent và Client
 Agent : là thành phần software thực hiện sự tấn
công mục tiêu, nhận điều khiển từ Client thông qua
các Handler

Mô hình Agent-Handler
Attacker Attacker
Handler Handler Handler Handler
Agent Agent Agent Agent Agent
Victim

4.b.Mô hình IRC – Based:
• Internet Relay Chat (IRC) là một hệ thống online chat
multiuser
• IRC cho phép User tạo một kết nối multipoint đến
nhiều user khác và chat thời gian thực.
• Kiến trúc của IRC network bao gồm nhiều IRC server
trên khắp internet, giao tiếp với nhau trên nhiều kênh
(channel).
• IRC network cho phép user tạo ba loại channel: public,
private và serect.

Các kênh IRC
• Public channel: Cho phép user của channel đó thấy

IRC name và nhận được message của mọi user khác
trên cùng channel
• Private channel: giao tiếp với các đối tượng cho
phép. Không cho phép các user không cùng channel
thấy IRC name và message trên channel. Tuy nhiên,
nếu user ngoài channel dùng một số lệnh channel
locator thì có thể biết được sự tồn tại của private
channel đó.
• Secrect channel : tương tự private channel nhưng
không thể xác định bằng channel locator.
Kiến trúc attack-network của kiểu IRC-Base
Attacker Attacker
IRC NETWORK
Agent Agent Agent Agent Agent
Victim

5.Một số thế mạnh của mô hình IRC
• Rất khó phát hiện do các giao tiếp dưới dạng chat
message.
• IRC traffic có thể di chuyển trên mạng với số lượng
lớn mà không bị nghi ngờ
• Không cần phải duy trì danh sách các Agent, hacker
chỉ cần logon vào IRC server là đã có thể nhận được
report về trạng thái các Agent do các channel gửi về.
• Sau cùng: IRC cũng là một môi trường file sharing
tạo điều kiện phát tán các Agent code lên nhiều máy
khác.

6.Những kỹ thuật anti-DDOS
Có ba giai đoạn chính trong quá trình Anti-DDoS:
•- Giai đoạn ngăn ngừa: tối thiểu hóa lượng Agent, tìm
và vô hiệu hóa các Handler
•- Giai đoạn đối đầu với cuộc tấn công: Phát hiện và
ngăn chặn cuộc tấn công, làm suy giảm và dừng cuộc tấn
công, chuyển hướng cuộc tấn công.
•- Giai đoạn sau khi cuộc tấn công xảy ra: thu thập
chứng cứ và rút kinh nghiệm

Những vấn đề có liên quan đến DDoS
• DDoS là một kiểu tấn công rất đặc biệt , cực kỳ hiểm ác
. “DDos đánh vào nhân tố yếu nhất của hệ thống thông
tin – con người - mà lại là dùng người chống người”.
• Các yếu điểm:
– Thiếu trách nhiệm với cộng đồng
– Sự im lặng
– Tầm nhìn hạn hẹp

Một số vấn đề cần thực hiện :
- Giám sát chi tiết về luồng dữ liệu ở cấp ISP để cảnh cáo
về cuộc tấn công.
- Xúc tiến đưa IPSec và Secure DNS vào sử dụng
- Khẳng định tầm quan trọng của bảo mật trong quá trình
nghiên cứu và phát triển của Internet II.
- Nghiên cứu phát triển công cụ tự động sinh ra ACL từ
security policy và router và firewall.
- Phát triển hệ điều hành bảo mật hơn.
- Sử dụng các hệ thống tương tự như Intrusion
Dectection, hoạt động giám sát hệ thống và đưa ra các
cảnh báo.v…v
6.3. Khai thác phần mềm
• Khai thác Database Nhiều sản phẩm database gây ra
những mối hoài nghi khi truy cập vào môi truờng
clientt/server .Nếu phiên làm việc bị chiếm hoặc bị giả
mạo, attacker có thể truy vấn đến các database không
được phép.(SQL injections)
• Khai thác Application Macro virus là một ví dụ. Macro
virus là một tập các chỉ thị trong một ngôn ngữ lập trình
như VB script , chúng ra lệnh cho một ứng dụng tạo ra
những chỉ dẫn sai.
• Sử dụng e-mail : Tích hợp nhiều công cụ  dễ bi khai
thác
6.3.1.Malicious Code – mã độc hại
• Virus là một phần mềm được thiết kế để thâm nhập

vào hệ thống máy tính. Virus làm hỏng dữ liệu trên
hard disk, là sụp OS và lây lan sang các hệ thống khác.
• Phương pháp lây lan : Từ floppy hoặc CD-ROM, theo
đường e-mail, hoặc một phần của một chương trình
khác.

1.Một số dấu hiệu nhiễm virut
• Khởi động hoặc nạp chương trình chậm.
• Xuất hiện một số file lạ trên HDD hoặc mật một số file
khởi động .
• Kích thước một số file bị thay đổi so vói nguyên bản .
• Browser, bộ xử lý văn bản hoặc các phần mềm khác bắt
đầu bằng những ký tự lạ . Màn hình hoặc menu có thể bị
thay đổi (Deface).
• Hệ thống tự tắt hoặc khởi động lại một cách không bình
thường.
• Mất truy cập vào các tài nguyên một cách khó hiểu.
• Không khởi động hệ thống.

2.Hoạt động của virut
a.Phá hoại và lây lan

b.Lây nhiễm qua e-mail

Lây nhiễm qua e-mail (tiếp)
Ví dụ : Virut Melissa lây nhiễm 100,000 user trong một

khoảng thời gian rất ngắn vào 5/1999 ( CERT).
Một site đã nhận được 32,000 bản copy của
virut Melissa trong vòng 45 phút.

3. Các loại virut
a. Polymorphic Virus : Virut đa hình  thay đổi hình
thể để khó bị phát hiện. Luôn thay đổi ,phá các dữ liệu

b.Trojan Horse
• Được gửi đính kèm một file nào đó

• “Trojan horse” còn là một phần của e-mail , free game,
software, hoặc mộtloại file nào đó.Khi nhiễm ,“Trojan
horse” sẽ kích hoạt các tác vụ như xử lý văn bản hoặc các
file template . Hậu quả là nhiều file mới không cần thiết
được sinh ra .
• “Trojian Horse” còn kích hoạt nhiều tác vụ theo kịch bản
của hacker .
• “Trojan horse” rất khó phát hiện vì chúng được che bởi
các chương trình hợp lệ .

c. Stealth Virus
Stealth virus rất khó bị phát hiện do chúng có khả

năng tự che dấu .Virut loại này tấn công vào các
“boot sector” trên đĩa cứng.

d.Multipartite Virus
Multipartite virus tấn công vào hệ thống bằng nhiều
đường .Chúng thâm nhập vào “boot sector”, các file
“executable ”,và phá hoại các file ứng dụng.

e.Companion Virus
• Companion virus tự nó tấn công lên các chương trình

hợp pháp và sau đó tạo ra các file có phần mở rộng
khác nhau .Chúng trú ngụ tại các thư mục
“temporary”.
• Khi người dùng gõ tên một chương trình hợp lệ ,
“companion virus” thực thi thay cho chương trình
gốc . Điều này cho phép chúng tự che dấu một cách
hiệu quả khỏi người dùng.

f .Macro Virus
• Macro virus thường tác động lên các chương trình ứng
dụng .
• Các chương trình như Word , Excel cho phép lập trình viên
tăng năng lực của ứng dụng .Ví dụ “Word” hỗ trợ “mini-
BASIC programming language” cho phép các file được chế
tác một cách tự động .
• Chúng là những “macros”. Macro có thể thông tin cho bộ
xử lý văn bản “kiểm tra chính tả- spellcheck” mỗi khi chúng
được mở.
• Macro viruses có thể bị nhiễm vào tất cả các văn bản và lây
lan đến các hệ thống khác qua e-mail hoặc các phương
thức khác.
• Macro viruse phát triển rất nhanh .
g. Phần mềm diệt Virut
• Là công cụ chủ yếu để phát hiện và diệt virut

• Khoảng 60,000 virut , worms, bombs, và các “malicious
codes” được xác định.Con số này còn tiếp tục tăng
nhanh.
• Biện pháp quan trọng thứ hai là đào tạo ,nâng cao nhận
thức về phòng và chống virut .
• Diệt virut “on-line”
• “Trenmicro” , “synmatec” , “Kasparsky” …..

6.4.Social Engineering
• Social engineering là quá trình attacker thu lượm

thông tin về mạng , hệ thống thông qua những nhân
viên trong một tổ chức.”Social engineering” có thể
xảy ra trên điện thoại , e-mail hoặc qua các khách
thăm viếng.Những thông tin này có thể là thông tin
truy cập như user IDs , passwords…
• Biện pháp khắc phục duy nhất : Đào tạo , nâng cao
nhận thức , ý thức của nhân viên về ATTT

6.5. Các giao thức bảo mật trên mạng Internet
6.5.1 Bảo mật giao thức PPP (Layer 2)

Giao thức PPP trên layer 2 của mô hình OSI (tương ứng với
lớp DATA LINK trên TCP/IP)
1. CHAP (Challenger Handshake Protocol ) [RFC 1994] :
Đây là cơ chế xác thực (authentication) cho giao thức PPP.CHAP
dùng khóa quy ước kết hợp với hàm băm (H).
2. EAP (Extensible Authentication Protocol) [RFC2716].
3. ECP (Encryption Control Protocol ) [RFC1968]
[RFC2419] quản lý quá trình mã hóa dữ liệu. Sử dụng khóa bí
mật và các hệ mật đối xứng (DES).

Bảo mật giao thức PPP (Layer 2) (tiếp)
4. PPTP hỗ trợ việc đóng gói dữ liệu trên môi trường point-
to-point .
– PPTP đóng gói và mã hoá các gói PPP . PPTP phù hợp với giao
thức mức mạng thấp (low-end protocol).
– Sự thoả thuận giữa hai phía trên kết nối PPTP rất rành
mạch.Mỗi lần thoả thuận được thiết lập,kênh truyền sẽ được
mã hoá  Điểm yếu của giao thức. Dùng packet-capture
device, ví dụ như sniffer, có thể xác định các thông tin “tunnel
đang làm việc như thế nào ?”.
– PPTP sử dùng cổng 1723 và TCP để kết nối.

5. L2TP
• L2TP là sự thỏa thuận giữa Microsoft và Cisco về việc
kết hợp hai giao thức “ tunneling ” vào một : “Layer Two
Tunneling Protocol (L2TP)”.
• L2TP là sự lai tạp PPTP và L2F.
• L2TP cơ bản là giao thức “point-to-point”

• L2TP hỗ trợ nhiều giao thức mạng bên ngoài TCP/IP.
• L2TP làm việc trên IPX, SNA, và IP  L2TP có khả
năng làm việc như cầu nối giữa các mạng khác kiểu .
• Điểm yếu của L2TP là không được hỗ trợ bảo mật ,
thông tin khồng được mã hoá như IPSec.
• L2TP sử dụng cổng và TCP để kết nối.

6.5.2.Tunneling Protocols
• Tunneling protocols tăng thêm năng lực của mạng.

Chúng tạo ra những đường hầm “ tunnels” giữa các
lớp mạng và làm cho chúng an toàn hơn.Chúng cung
cấp một mạng ảo giữa hai hệ thống.
• Các giao thức chính :
– Point-to-Point Tunneling Protocol (PPTP),
– Layer 2 Forwarding (L2F),
– Layer 2 Tunneling Protocol (L2TP),
– IPSec

6.5.3 IPsec (Layer 3)
6.5.3.1. Mô tả
• IP Security (IPSec) là một giao thức hỗ trợ thiết lập các
kết nối an toàn dựa trên IP.
• Hoạt động ở tầng ba (Network)
• IPSec cũng là một thành phần quan trọng hỗ trợ giao
thức L2TP trong công nghệ VPN (Virtual Private
Network).
• Để sử dụng IPSec cần có các qui tắc (rule). Qui tắc IPSec
là sự kết hợp giữa hai thành phần filter và action.

IPsec (Layer 3) - Mô hình

Ví dụ nội dung của một qui tắc IPSec :
“Hãy mã hóa tất cả những dữ liệu truyền Telnet từ
máy có địa chỉ 192.168.0.10”, nó gồm hai phần:
• Phần “lọc” là “qui tắc này chỉ hoạt động khi có dữ
liệu được truyền từ máy có địa chỉ 192.168.0.10
thông qua cổng 23”,
• Phần “action” là “mã hóa dữ liệu”.

6.5.3.2. Cấu trúc IPsec
Là một bộ giao thức dùng cho lớp 2 – lớp network bao
gồm mã hóa dữ liệu và các thủ tục trao đổi khóa (IKE –
Internet Key Exchange)
1. Mã hóa dữ liệu
a. ESP ( Encapsulated Security Payload) [RFC2406] cho
phép mã hóa và đóng gói lại dữ liệu. Có hai mode
làm việc
• Transport mode
• Tunnel mode

b. AH (Authentication Header) [RFC 2402] : tạo
một bản xác thực phần “Header” sau khi
packet được mã hóa , sử dụng ký thuật băm
(Hash).
2. IKE Quy định các thủ tục trao đổi , quản lý khóa mã
ví dụ như SKIP , Kerberos…

• IPSec hỗ trợ bốn loại tác động (action) bảo mật :
- Block transmissons: ngăn chận những gói dữ liệu
được truyền, IPSec ngăn chận dữ liệu truyền từ máy A
đến máy B.
- Encrypt transmissions: mã hóa những gói dữ liệu
được truyền, sử dụng giao thức ESP (encapsulating
security payload) để mã hóa dữ liệu cần truyền. .
- Sign transmissions: tạo chữ ký số cho các gói dữ liệu ,
nhằm tránh những kẻ tấn công trên mạng giả mạo ,
(man-in-the-middle). Sử dụng giao thức authentication
header.
- Permit transmissions:cho phép dữ liệu được truyền
qua.

• Những actions này dùng để tạo ra các qui tắc (rules)
hạn chế một số điều và cho phép làm một số điều
khác. Ví dụ một qui tắc dạng này “Hãy ngăn chặn tất
cả những dữ liệu truyền tới, chỉ trừ dữ liệu truyền
trên các cổng 80 và 443”.

6.5.3.3 Các mode làm việc của IPsec
1. RFC-2406 ESP (Encapsulated Security Payload)

2. RFC 2402- Authentication Header

• Đối với hai tác động bảo mật theo phương pháp chứng
thực và mã hóa thì hệ thống sẽ yêu cầu IPSec dùng
phương pháp chứng thực được chọn.
• Microsoft hỗ trợ ba phương pháp chứng thực:
 Kerberos,
 Chứng chỉ (certificate)
 Một khóa dựa trên sự thỏa thuận (agreed-upon
key).
Phương pháp Kerberos chỉ áp dụng được giữa các máy
trong cùng một miền Active Directory hoặc trong những
miền Active Directory có ủy quyền cho nhau.

• Phương pháp dùng các chứng chỉ cho phép sử dụng
các chứng chỉ PKI (public key infrastructure) để
nhận diện một máy.
• Phương pháp dùng chìa khóa chia sẻ trước (Preshare
key) cho phép dùng một chuỗi ký tự văn bản thông
thường làm chìa khóa (key).

IKE Quy định các thủ tục trao đổi , quản lý khóa mã
Kerberos model

Phân phối khóa theo Kerberos

6.5.3.4.Các bộ lọc IPSec
Bộ lọc (filter) giúp IPSec hoạt động linh hoạt hơn . Bộ

lọc có tác dụng thống kê các điều kiện để qui tắc hoạt
động. Đồng thời chúng cũng giới hạn tầm tác dụng của
các tác động bảo mật trên một phạm vị máy tính nào đó
hay một số dịch vụ nào đó. Bộ lọc IPSec chủ yếu dự trên
các yếu tố sau:
- Địa chỉ IP, subnet hoặc tên DNS của máy nguồn.
- Địa chỉ IP, subnet hoặc tên DNS của máy đích.
- Theo số hiệu cổng (port) và kiển cổng (TCP, UDP,
ICMP…)

6.5.4 Secure Shell (SSH) (Layer 4)
• Secure Shell (SSH) là “tunneling protocol” thiết kế riêng cho

hệ UNIX .
• SSH sử dụng mật mã để thiết lập kết nối an toàn giữa hai hệ
thống.
• SSH cung cấp các chương trình an toàn tương ứng cho
Telnet, FTP, và các chương trình “communications-oriented”
trên UNIX.
• SSH hiện nay được sử dụng rông rãi trên Windows cho Telnet
và các “ cleartext-oriented programs” trên môi trường UNIX.
• SSH sử dụng cổng 22 và TCP để kết nối.

Secure Shell (SSH) (Layer 4)
HTTP HTTP
SSH SSH
TCP TCP
ROUTER
IPsec IPsec
IP
LAN/PPP LAN/PPP
LAN/PPP

6.5.5. HTTP/S – on top of SSH (Layer 4 ,5)
• HTTP/S -HTTP Secure (RFC 2818) là giao thức bảo mật
kết nối giữa hai hệ thống dùng WEB . HTTP/S bảo vệ kết
nối giữa hai hệ thống WEB .Tất cả thông tin giữa hai hệ
thống được mã hoá. HTTP/S sử dụng SSL hoặc TLS để kết
nối an toàn . HTTP/S sử dụng cổng port 443 và TCP.
• SSL/TLS Secure Socket Layer (SSL) và Transport Layer
Security (TLS) (RFC 2246 ) sử dụng để truyền thông tin
giữa “ web client” và “ server”. SSL sử dụng hệ thống mật
mã giữa hai hệ thống.TLS là giao thức mới hơn với mật
mã mạnh hơn như “Triple DES”. SSL/TLS làm việc trên
cổng 443 và kết nối bằng TCP.

HTTPS – on top of SSH

6.5.6 Bảo mật E-Mail (Layer 5)

1. Các giao thức
a.Simple Mail Transport Protocol (SMTP)
b. Post Office Protocol (POP)
c.Internet Message Access Protocol (IMAP)
d.S/MIME [RFC2632 ,2633,2634] của “RSA” .Sử dụng 3-
DES để mã hóa dữ liệu kết hợp với DSA và SHA1.
e. PGP
2. Các điểm yếu trên E-Mail
- Spam
- Hoaxes

6.6. Bảo mật Wireless network
6.6.1 Wireless Applications Protocol (WAP).
Có ba mức an toàn cho giao thức này :
 Anonymous authentication
 Server authentication
 Two-way (client and server) authentication . Yêu
cầu cả hai bên “client và server” xác thực .

6.6.2 Wireless Transport Layer Security (WTLS)
• Là mức bảo mật của Wireless Applications Protocol.

• WTLS cung cấp dịch vụ “authentication”, “encryption”, và
“data integrity” cho các thiết bị không dây.
• WTLS là một phần của môi trường WAP .

6.6.3 WEP/WAP
6.6.3.1. WAP :The Wireless Access Protocol (WAP)
• WAP hoạt động tương tự như TCP/IP functions.
• WAP sử dụng phiên bản rút gọn của HTML-Wireless
Markup Language (WML),dùng để hiển thị trên Internet .
• WAP- tương tác với môi trường WMLScript tương tự
như Java .. Notice that the layers of WAP appear to
resemble the layering in TCP/IP.

WAP protocol stack

WAP gateway cho phép kết nối đến các thiết bị
WAP trên Internet

6.6.3.2. Wired Equivalent Privacy (WEP)
• Là chuẩn security mới cho các thiết bị wireless .

• WEP mã hoá dữ liệu  data security.
• Sử dụng khoá mật mã : 40 ( không còn sử dụng) ,64,128
bit key .
• 128 bit kết hợp với lọc địa chỉ MAC  hiệu quả cao
• Từ 8 / 2002 , giao thức không được coi là an toàn do có
những điểm yếu trong các thuật toán mã hoá ( đặc biệt
40 bit) . Mã hoá có thể bị hack trong vòng 5 giờ.

6.6.4 Các điểm yếu trên Wireless
• Bảo mật: Đây có thể nói là nhược điểm lớn nhất của mạng
WLAN  Truyền sóng vô tuyến
• Phạm vi: Chuẩn IEEE 802.11n mới nhất hiện  hoạt động ở
phạm vi tối đa là 150m, chỉ phù hợp cho một không gian hẹp.
• Độ tin cậy: Do phương tiện truyền tín hiệu là sóng vô tuyến
nên việc bị nhiễu, suy giảm…là điều không thể tránh khỏi.
Điều này gây ảnh hưởng đến hiệu quả hoạt động của mạng.
• Tốc độ: Tốc độ cao nhất hiện nay của WLAN có thể lên đến
600Mbps nhưng vẫn chậm hơn rất nhiều so với các mạng cáp
thông thường (có thể lên đến hàng Gbps)

6.6.4. Các điểm yếu trên Wireless(tiếp)
• Tất cả tín hiệu “radio frequency” đễ dàng bị thu lại.

• Để bắt được thông tin theo 802.11 ,chỉ cần một PC
với card 802.11 tương thích.
• Một phần mềm đơn giản trên PC có thể giữ lại thông
tin trên WAP và sau đó xử lý chúng nhằm giải mã tài
khoản và mật khẩu .

6.7. Các hình thức tấn công WLAN
• Rogue Access Point (Giả mạo AP)
• De-authentication Flood Attack (Y/c xác thực lại)
• Fake Access Point
• Tấn công dựa trên sự cảm nhận lớp vật lý
• Disassociation Flood Attack

6.7.1. Rogue Access Point (Giả mạo AP)
• Access Point được cấu hình không hoàn chỉnh do sai
sót trong việc cấu hình
• Access Point giả mạo từ các mạng WLAN lân cận
• Access Point giả mạo do kẻ tấn công tạo ra .Đây là
kiểu tấn công “man in the middle” cổ điển. Kiểu tấn
công này rất hiệu quả so với mạng có dây.
• Access Point giả mạo được thiết lập bởi chính nhân
viên của công ty -một số nhân viên của công ty đã tự
trang bị Access Point và kết nối chúng vào mạng có
dây của công ty

6.7.2. De-authentication Flood Attack (Y/c xác thực lại)
• Xác định mục tiêu tấn công trong mạng wireless và các kết
nối của họ.
• Chèn các frame yêu cầu xác thực lại bằng cách giả mạo địa
chỉ MAC nguồn và đích của Access Point và người dùng.
• User khi nhận được frame “yêu cầu xác thực lại” thì nghĩ
rằng chúng do Access Point gửi đến.
• Sau khi ngắt được một người dùng ra khỏi dịch vụ , kẻ tấn
công tiếp tục đối với các người dùng còn lại.
• Thông thường người dùng sẽ kết nối lại để phục hồi dịch
vụ, nhưng kẻ tấn công đã nhanh chóng tiếp tục gửi các gói
yêu cầu xác thực lại cho người dùng.

6.7.3. Fake Access Point
Sử dụng công cụ có khả năng gửi các gói beacon với địa chỉ
vật lý (MAC) giả mạo và SSID giả để tạo ra vô số Access
Point giả lập. Làm xáo trộn tất cả các phần mềm điều khiển
card mạng không dây của người dùng.

6.7.4. TẤN CÔNG DỰA TRÊN GIAO THỨC CSMA/CD
LỚP MAC
• Kẻ tất công lợi dụng giao thức CSMA/CD. Các máy tính
khác luôn luôn ở trạng thái chờ đợi việc truyền dữ liệu
kết thúc  nghẽn mạng.
• CSMA - Cảm nhận sóng mang
Carrier Sense (CS) : Gửi các DATA FRAME khi kênh truyền rảnh
Multiple Access (MA) : Nhiều trạm cùng truy nhập trên một
kênh truyền
• Tần số sóng mang (CS) là một nhược điểm bảo mật
trong mạng không dây. Mức độ nguy hiểm phụ thuộc
vào giao diện của lớp vật lý
6.7.5.TẤN CÔNG NGẮT KẾT NỐI
• Kẻ tấn công xác định mục tiêu (wireless clients) và mối liên
kết giữa AP với các clients.
• Kẻ tấn công gửi disassociation frame bằng cách giả mạo
Source và Destination MAC đến AP và các client tương ứng.
• Client sẽ nhận các frame này và nghĩ rằng frame hủy kết nối
đến từ AP. Đồng thời kẻ tấn công cũng gởi disassociation
frame đến AP.
• Sau khi ngắt kết nối của một client, hacker tiếp tục thực
hiện tương tự với các client còn lại làm cho các client tự
động ngắt kết nối với AP.
• Khi các clients bị ngắt kết nối sẽ thực hiện kết nối lại với AP
ngay lập tức. Kẻ tấn công tiếp tục gởi DSF đến AP và clients.

• So sánh Disassociation flood attack và De-
authentication Flood Attack.
– Giống nhau : Về hình thức tấn ,vừa tấn công Access
Point vừa tấn công Clients. Và trên hết, chúng “tấn
công" liên tục.
– Khác nhau:
• De-authentication Flood Attack: Yêu cầu cả AP và
client gởi lại frame xác thực  xác thực failed.
• Disassociation flood attack : Gởi disassociation
frame làm cho AP và client tin tưởng rằng kết nối
giữa chúng đã bị ngắt.

6.7.6. Các biện pháp an toàn trên WIRELESS
Để bảo mật mạng WLAN, ta cần thực hiện các bước:
Authentication  Encryption  IDS & IPS.
• Chỉ có những người dùng được xác thực mới có khả
năng truy cập vào mạng thông qua các Access Point.
• Xác thực và bảo mật dữ liệu bằng cách mã hoá thông
tin truyền trên mạng.
• Cảnh báo nguy cơ bảo mật bằng hệ thống IDS
(Intrusion Detection System) và IPS (Intrusion
Prevention System).

6.8.1 Sử dụng các giao thức bảo mật trên wireless
1.WEP (Wired Equivalent Privacy)
WEP sử dụng một khoá không thay đổi có độ dài 64
bit hoặc 128 bit, (nhưng trừ đi 24 bit sử dụng cho
vector khởi tạo khoá mã hoá, nên độ dài khoá chỉ
còn 40 bit hoặc 104 bit. Khóa yếu  Dễ bị bẻ bằng
“ brute force” hoặc “trial-and-error”.
2. WLAN VPN tạo một một kênh tin cậy cao
VPN sử dụng giao thức IPSec . IPSec dùng các thuật
toán mạnh như DES và Triple DES (3DES) để mã hóa
dữ liệu và dùng các thuật toán khác để xác thực gói
dữ liệu (Public Key).
Mô hình WIRELESS VLAN

3. TKIP (TEMPORAL KEY INTEGRITY PROTOCOL)
• Là giải pháp của IEEE được phát triển năm 2004.
• Là một nâng cấp cho WEP nhằm vá những lỗi bảo mật
trong cài đặt mã dòng RC4 trong WEP.
• TKIP dùng hàm băm (hashing) IV để kiểm tra tính toàn
vẹn của thông điệp MIC (message integrity check) và
đảm bảo tính chính xác của gói tin.
• TKIP sử dụng khóa động bằng cách đặt cho mỗi frame
một chuỗi số riêng để chống lại dạng tấn công giả mạo.

3. Sử dụng AES : đây là một chuẩn mật mã đối xứng
thay thế cho DES
4. 802.1X VÀ EAP
802.1x là chuẩn đặc tả “port-based” được định nghĩa
bởi IEEE. Hoạt động trên cả môi trường có dây
truyền thống và không dây.
5. WPA (WI-FI PROTECTED ACCESS)
Công nghệ WPA (Wi-Fi Protected Access) ra đời,
nhằm khắc phục các nhược điểm của WEP

6. LỌC (FILTERING)
Có 3 kiểu lọc cơ bản có thể được sử dụng trong
wireless lan:
• Lọc SSID
• Lọc địa chỉ MAC
• Lọc giao thức

Kết thúc CH4 bạn phải nắm vững
• Cấu trúc TCP/IP

• Các điểm yếu và các dạng tấn công :
• Attack methods
• Malicious code
• Social engineering
• Các chuẩn và các giao thức bảo mật

HẾT CHƯƠNG 4

CHƯƠNG 5
HÀM BĂM MỘT CHIỀU VÀ CÁC
THUẬT GiẢI CHỮ KÝ SỐ
1/30/2002 Chương 5 _DSA_OWHF 1

5.1 .Hàm băm một chiều (One Way Hash function)
5.1.1. Khái niệm
• ONE-WAY-HASH được sử dụng rộng rãi trong việc bảo
mật , chứng thực các văn bản điện tử như chữ ký
điện tử , “lấy dấu tay” và kiểm tra toàn vẹn dữ liệu.
• ONE-WAY-HASH tạo một trị số băm (hash value) có
độ dài cố định từ một văn bản có độ dài bất kỳ.
• Bài toán ngược lại hầu như không thể thực hiện
được.Hai văn bản khác nhau không thể có cùng trị số
băm và mỗi văn bản chỉ có thể có một trị số băm duy
nhất.Còn gọi là hàm lấy dấu tay hay Message Digist
(MD).
• Ta sẽ phân tích kỹ thuật toán SHA-1.Đây là thuật toán
được sử dụng rộng rãi và được coi là một chuẩn của
hàm ONE-WAY-HASH .
Input text có độ Hash value có độ
dài bất kỳ dài cố định (MD)
OWHF
Hình 5.1 Sơ đồ OWHF
• MD5 - MD có độ dài 128 bit

• SHA1 - MD có độ dài 160 bit
• SHA2 - MD có độ dài 256/512 bit

5.1.2. Sơ đồ DS dùng OWHF

5.1.3. SHA1
1. Giới thiệu chung
• Thuật toán SHA-1 được sử dụng để tính bản tóm
lược –còn gọi là trị số băm (MD) hoặc “dấu tay” của
một văn bản có độ dài thay đổi.
• Khi văn bản có độ dài  264 thuật giải SHA-1 sẽ tạo ra
một trị số băm có độ dài 160 bit.

2. Sơ đồ SHA1

3.Một số định nghĩa
a. Chuỗi bit và các số nguyên :
• Các số hexa nằm trong tập [0,1...,F], được biểu diễn bởi
4 bit ví dụ 6 = 0110 ; A =1010.
• Mỗi từ 32 bit được thể hiện bởi 4 chuỗi 8 bit , mỗi số 8
bít sẽ gồm hai số hexa. Ví dụ :
1110 1010 0110 1100 1101 0010 1111 1011 = EA6CDFB
• Mọi số nguyên từ 0 đến (232)-1 đều có thể biểu diễn
thành các từ 8 bit mỗi từ 8 bít gồm hai số hexa
Ví dụ 291 = 28 + 25 + 21 + 20 = 256+32+2+1 = 0000 0001
0010 0011 được biểu diễn thành (00000123)H trong
đó mỗi số là các số hexa.
• Khối 512 bit sẽ gồm 16 từ 32 bit.

b.Các phép toán trong giải thuật SHA1
• Các phép toán logic (X,Y là các từ 32 bit )
– X ^ Y = bitwise logical "and"
– X  Y = bitwise logical "inclusive-or".
– X XOR Y = bitwise logical "exclusive-or" .
– ~ X = bitwise logical "complement" .
• Phép dịch trái : S^n(X) = (X << n) OR (X >> 32-n).
Trong đó X là một từ 32 bít và n là một số nguyên
dương 0  n  32.
• Chèn bít : Mục đích của việc chèn bít là tạo ra khối
bít Mi có độ dài là bội của 512 bit.Để thực hiện được
điều này ta thêm các bít “1” hoặc “0” vào sau các từ
còn thiếu.

c. Chèn bít
• Chèn bít được sử dụng khi độ dài input block

< 448 bit.
• Kỹ thuật chèn “bit” được mô tả như sau:
Độ dài nguyên thủy = l 1 Chèn “0” cho đủ 448 bít 64 bít mô tả l
Khối Mi 512 bít

Vi du : Giả sử khối Mi có độ dài l = 40 bit
0110 0001 0110 0010 0110 0011 0110 0100 0110 0101
1. Chèn “1” ta có
0110 0001 0110 0010 0110 0011 0110 0100 0110 0101 1
l = 40 ,ta chèn 407 các bít “0” vào vị trí từ 41  l= 448.
(61626364 65800000 00000000 00000000 00000000 00000000
00000000 00000000 00000000 00000000 00000000 00000000
00000000 00000000 )Hexa
2. Biểu diễn độ dài gốc l dưới dạng hai từ 32 bit (64 bít)
Ví dụ : Với l = 40 ( l phải được tính trước khi chèn) biểu diễn
của 40 dưới dạng 2 từ 32 bít sẽ là (0000000000000028)HEXA.
Như vây thông điệp sau khi chèn sẽ là :
61626364 65800000 00000000 00000000 00000000 00000000
00000000 00000000 00000000 00000000 00000000 00000000
00000000 00000000 00000000 00000028.
•

d. Các hàm trong SHA1
i . Các hàm logic
Mỗi hàm f(t), 0  t  79, làm việc với 3 từ 32 bít (BCD)và
tạo ra một từ 32-bit ở đầu ra. Hàm f(t)(B,C,D) được định
nghĩa :
• For (0  t  19) ft(B,C,D) =(B AND C)OR((NOT B) AND
D)
• For (20  t  39) ft(B,C,D) = B XOR C XOR D
• For (40  t  59) ft (B,C,D)=(B AND C)OR(B AND D)
OR(C AND D)
• For ( 60  t  79) ft (B,C,D) = B XOR C XOR D

ii. Các hằng số
• Hằng số dùng trong SHA-1 là các từ K(0), K(1), ... ,
K(79) được biểu diễn dưới dạng HEXA
K(t) = 5A827999 ( 0  t 19)
K(t) = 6ED9EBA1 (20 t  39)
K(t) = 8F1BBCDC (40  t  59)
K(t) = CA62C1D6 (60  t  79).

4.Tính MESSAGE DIGEST
i . Tạo hai buffer. Mỗi buffer gồm 5 từ 32 bit (A,B,C,D,E)
và (H0, H1, H2, H3, H4).Tạo một chuỗi 80 từ 32 bít
(W0,W1,...,W79) và một buffer đơn lẻ TEMP được sử
dụng để hỗ trợ.
ii . Trước khi xử lý từng khối Mi,(Hi) được nạp trước các
véc tơ khởi tạo sau:
H0 = 67452301 H3 = 10325476
H1 = EFCDAB89 H4 = C3D2E1F0.
H2 = 98BADCFE

iii .Xử lý các khối M1,M2,...Mi ... ,Mn
• Input text được mở rộng từ 16 word 32-bit (M0 đến M15)
thành 80 word 32-bit (W0 đến W79) bằng việc sử dụng
thuật toán mở rộng:
‐ W(t) = M(t) với 0 ≤ t ≤ 15
‐ For t = 16 to 79 do :
W(t) = S^1(W(t-3) XOR W(t-8) XOR W(t-14) XOR W(t-16)).
• Set A = H0, B = H1, C = H2, D = H3, E = H4.
H0 H1 H2 H3 H4
A B C D E
1/30/2002 ATBMTT_CHAP 2 14
iii. Xử lý một vòng lặp
For t = 0 to 79
{
TEMP = S^5(A) + ft(B,C,D) + E + Wt + Kt;
E=D ;
B=A;
D=C ;
C = S^30(B);
A = TEMP;
}

Sơ đồ một vòng lặp cuả SHA1
TEMP

iv.Xử lý output
• Set H0 = H0+A, H1 = H1+B ,H2 = H2+C,

H3 = H3+D, H4 = H4+E.
H0 +A H01 + B H2 + C H3 + D H4 + E
H0 H1 H2 H3 H4
Sau khi xử lý Mn khối, MD là một chuỗi 160-bit được

biểu diễn bởi 5 từ H0 H1 H2 H3 H4.

5.1.4. Một số hàm băm khác
• MD4 : Không còn sử dụng

• MD5
Output Internal Block size Length Word size Collision

size state size size
128 128 512 64 32 Có
1/30/2002 ATBMTT_CHAP 2 18
• SHA-256/224

256/224 256 512 64 32 Không
•SHA-512/384
512/384 512 1024 128 64 Không
1/30/2002 ATBMTT_CHAP 2 19
5.2. Chữ ký số (Digital signature)
5.2.1.Khái niệm về chữ ký số
1. Đảm bảo tính xác thực
• Chứng minh tính hợp pháp của người gửi
• Chứng minh tính toàn vẹn của dữ liệu
2. Chữ ký số là hàm của các tham số
• Thông báo giao dịch (văn bản gốc)
• Thông tin bí mật của người gửi (Khóa riêng của
sender)
• Thông tin công khai trên mạng (Khóa công khai)
• Mã xác thực : Đảm bảo tính toàn vẹn của thông điệp
1/30/2002 ATBMTT_CHAP 2 20
5.2.2. Tạo và kiểm tra chữ ký số
1/30/2002 ATBMTT_CHAP 2 21
Digital Signatures
KRa, KUa : khóa bí mật và công khai của bên A

K : khóa phiên đối xứng dùng chung của A và B
X : Thông báo gửi
H : Hàm băm
E : Mã hóa
D : Giải mã
1/30/2002 ATBMTT_CHAP 2 22
5.2.3. Thuật giải DSA – Chuẩn chữ ký số
a. Họat động
DSA sử dụng các tham số sau:
• p là số nguyên tố với 2L-1<p<2L và 512 ≤ L ≤ 1024
• q là một số nguyên tố và là ước số của p-1 với
2159<q<2160
• g =h(P-1)/q modp ; trong đó h là một số ngẫu nhiên và
1<h<p-1 ; h(p-1)/q modp >1 ;
• x là một số ngẫu nhiên hoặc là một số biết trước với
điều kiện 0<x<q (x là khoá cá nhân)
• y= gx modp (y là khóa công khai)
1/30/2002 ATBMTT_CHAP 2 23
b.Tạo chữ kí số
• Chữ kí của văn bản là 1 cặp số r và s được tính theo

công thức sau:
‐ r = gk(modp) modq
‐ s = k-1(H(M) + xr))modq
• Dữ liệu được gửi đi là Văn bản M, chuỗi số r, và s.
1/30/2002 ATBMTT_CHAP 2 24
c.Xác thực chữ ký
• Dữ liệu nhận được sẽ là văn bản M, số r và s (hay còn
gọi là M’,r’ và s’). Văn bản trên được xác thực như sau:
Đặt w = modq
u1=((H(M’)w)modq
u2=((r’)w)modq
v=((gu1)((yu2)modp)modq (Hàm kiểm chứng)
• Nếu v=r’ chữ kí được xác thực.
• Nếu v != r’ văn bản có thể đã được sửa đổi trên đường
truyền hoặc khóa cá nhân mã hóa văn bản không khớp với
khóa công khai mà người nhận đang giữ (người gửi mạo
danh)
1/30/2002 ATBMTT_CHAP 2 25
1/30/2002 ATBMTT_CHAP 2 26
5.2.4. Thuật giải RSA trong vai trò chữ ký số
1. Bên gửi
- Tạo bản MD của thông báo M  H(M)
- Dùng khóa riêng (ds) của người gửi mã hóa H(M):
E(dsH(M))
- Truyền (M,E(dsH(M),es) trong đó kp là khóa công khai
của người gửi
2. Bên nhận
- Tính MD của thông báo nhận được Mr  H(Mr)
- Dùng khóa công khai của bên gửi (es) giải mã thông
điêp D(E(esH(M)) và so sánh kết quả với H(Mr)
- Nếu kết quả trùng : xác thực đúng chữ ký của bên gửi .
Ngược lại không phải chữ ký bên gửi
1/30/2002 ATBMTT_CHAP 2 27
• Quá trình ký và gửi các tệp văn bản dựa vào thuật toán
băm SHA-1(MD5) và thuật toán RSA
1/30/2002 ATBMTT_CHAP 2 28
• Kiểm tra DS
1/30/2002 ATBMTT_CHAP 2 29
5.2.5. Chuyển giao dữ liệu nhờ RSA
• Chuẩn PKCS#1 :
– Là một trong 15 chuẩn PKCS do RSA lab đề xuất
– Điểm quan trọng trong chuẩn PKCS#1 là sử dụng
thuật giải RSA trong truyền DATA bao gồm cả quy
trình tạo và quản lý Private & Public Keys
• Chuẩn PKCS#1 được sử dụng để mã hóa dữ liệu và
lấy chữ ký số của thông điệp
1/30/2002 ATBMTT_CHAP 2 30
HẾT CHƯƠNG 5
1/30/2002 ATBMTT_CHAP 2 31
CHƯƠNG 4
BẢO MẬT THÔNG TIN

TRÊN INTERNET
4.1 Hạ tầng mạng và những điểm yếu
4.1.1 Chuẩn OSI và TCP/IP
Mô hình phân lớp nhằm

Giảm độ phức tạp
Tiêu chuẩn hoá các giao diện
Module hoá các chi tiết kỹ thuật
Đảm bảo mềm dẻo quy trình công nghệ
Thúc đẩy quá trình phát triển
Dễ dàng trong việc giảng dạy ,huấn luyện
4.1.2 Mô hình OSI và truyền thông giữa hai máy
Application Application
Presentation Data Presentation
Session Session
segments
Transport Data Transport
packets
Network Data Network
Data Link Data frames Data Link
Physical Physical
10010111001011010010110101011110101
4.1.3 TCP/IP model
4.1.4 Mô hình OSI và TCP/IP
4.1.5 Đóng gói trong TCP/IP
HTTP.Email,TEXT…
TPUD Unit
Packets
Frames
4.2.Protocols and Services
4.2.1 Ports :
Theo Internet Assigned Numbers Authority (IANA) định
nghĩa well-known posts : 0-1023
1. Một số cổng TCP thông dụng
TCP Ports Number Service
20 FTP (Data Channel)
21 FTP (Control channel)
23 Telnet
25 Simple Mail Transfer Protocol
80 HTTP Used for World Wide Web
139 NetBIOS Session Service
443 HTTPS Used for Secure Web Conn.
2. Một số cổng UDP thông dụng
UDP Port Number Service
53 Domain Name System Name Queries

69 Trivial File Transfer Protocol
137 NetBIOS Name Service
138 Net Bios Datagram Service
161 Simple Network Management Protocol
162 SNMP Trap
4.2.2 TCP Three - Way - Handshake
Keát noái coù ñònh höôùng  thöïc hieän baèng “tree - way
handshake”
4.2.3.Application Programming Interfaces (API)
The Windows socket interface
8/17/2009 ATBMTT_CHAP 4 10
4.3 Các điểm yếu dễ bị khai thác trên mạng
4.3.1.TCP/IP Attacks
 Xaûy ra treân lôùp IP hay “host –to- host”
 Router /Firewall coù theå ngaên chaën moät soá giao thöùc loä
lieãu treân Internet
 ARP khoâng phaûi giao thöùc ñònh tuyeán neân khoâng gaây
toån thöông do taán coâng töø beân ngoaøi
 Caùc ñieåm yeáu :SMTP & ICMP, TCP, UDP vaø IP  coù
theå ñi xuyeân qua caùc lôùp maïng
8/17/2009 ATBMTT_CHAP 4 11
 Port Scans : Queùt caùc coång
 TCP Attacks :
 TCP SYN or TCP ACK Flood Attack,
 TCP Sequence Number Attack,
 TCP/IP Hijacking
 Network Sniffers : Baét giöõ vaø hieån thò caùc thoâng baùo
treân maïng
8/17/2009 ATBMTT_CHAP 4 12
1. Network Sniffers
 Network sniffer ñôn thuaàn chæ laø thieát bò duøng ñeå baãy vaø
hieån thò doøng thoâng tin treân maïng
 Nhieàu card NIC coù chöùc naêng “ Promiscuous mode”
Cho pheùp card NIC baét giöõ taát caû caùc thoâng tin maø noù
thaáy treân maïng.
 Caùc thieát bò nhö routers, bridges, and switches coù theå
ñöôïc söû duïng ñeå phaân taùch caùc vuøng maïng con trong
moät maïng lôùn .
 Söû duïng sniffer, keû taán coâng beân trong coù theå baét giöõ
taát caû moïi thoâng tin truyeàn trong maïng.
8/17/2009 ATBMTT_CHAP 4 13
2. TCP/IP hijacking - active sniffing
8/17/2009 ATBMTT_CHAP 4 14
3.Port Scans
• Kể tấn công dò tìm một cách có hệ thống mạng và xác
định các cổng cùng viới các dịch vụ đang mở ( port
scanning), việc quét cổng có thể tiến hành từ bên trong
hoặc từ bên ngoài. Nhiều router không được cấu hình
đúng đã để tất cả các gói giao thức đi qua.
• Một khi đã biết địa chỉ IP , kẻ tấn công từ bên ngoài có
thể kết nối vào mạng với các cổng mở thậm chí sử dụng
một giao thức đơn giản như Telnet.
• Quá trình Port Scans được dùng để “in dấu chân
(footprint)” một tổ chức .Đây là bước đầu tiên của một
cuộc tấn công.
8/17/2009 ATBMTT_CHAP 4 15
4. TCP Attacks
• Đặc điểm : Sử dụng tính chất bắt tay ba chiều “ Three Way
Handsake ”
• Là điểm yếu cho tấn công DoS hay “ TCP SYN flood attack “.
(Tràn ngập SYN)
• Tấn công tràn ngập SYN (TCP SYN hay TCP ACK Flood Attack )
• Bắt đầu từ việc kết nối TCP bình thường
• Máy client và server trao đổi các gói ACK xác nhận kết nối
• Hacker gửi liên tục các ACK packet đến server.
• Máy server nhận được các ACK từ hacker song không thực hiện
được bất cứ phiên làm việc nào nào  kết quả là server bị treo
 các dịch vụ bị từ chối (DoS).
• Nhiều router mới có khả năng chống lại các cuộc tấn công loại
này bằng các giới hạn số lượng các cuộc trao đổi SYN ACK.
8/17/2009 ATBMTT_CHAP 4 16
Mô tả TCP SYN hay TCP ACK Flood Attack
8/17/2009 ATBMTT_CHAP 4 17
5.TCP Sequence Number Attack
• TCP sequence attacks xảy ra khi attacker nắm quyền
kiểm soát một bên nào đó của phiên làm việc TCP .
• Khi truyền một thông điệp TCP ,một “sequence number -
SN “được một trong hai phía tạo ra.
• Hacker chiếm SN và thay đổi thành SN của mình.
8/17/2009 ATBMTT_CHAP 4 18
4.3.2 UDP Attack
• UDP attack sử dụng các giao thức bảo trì hệ thống hoặc
dịch vụ UDP để làm quá tải các dịch vụ giống như DoS .
UDP attack khai thác các giao thức UDP protocols.
• UDP packet không phải là “ connection-oriented” nên
không cần “synchronization process – ACK”
• UDP attack - UDP flooding ( Tràn ngập UDP)
• Tràn ngập UDP gây quá tải băng thông của mạng dẫn
đến DoS .
8/17/2009 ATBMTT_CHAP 4 19
1. ICMP attacks : Smurf và ICMP tunneling
• ICMP sử dụng PING program. Khi user muốn kiểm tra kết nối đến một
host nào đó , user đó dùng lệnh PING với địa chỉ IP của máy đích
• Gây ra do sự phản hồi các gói ICMP khi có yêu cầu bảo trì mạng.
• Một số dạng thông điệp ICMP
8/17/2009 ATBMTT_CHAP 4 20
SMURF ATTACKS
8/17/2009 ATBMTT_CHAP 4 21
ICMP TUNNELING
• ICMP messages có thể chứa các thông tin khác nhau về

hệ thống .Điều này cho phép các gói ICMP được sử
dụng để kết nối hai hệ thống .
• Có thể bị lợi dụng để truyền cácTrojian hay các phần
mềm độc hại.
• Khắc phục bằng cách bỏ dịch vụ ICMP
8/17/2009 ATBMTT_CHAP 4 22
4.4 Khai thaùc phaàn meàm
• Khai thác Database Nhiều sản phẩm database gây ra

những mối hoài nghi khi truy cập vào môi truờng
clientt/server .Nếu phiên làm việc bị chiếm hoặc bị giả
mạo, attacker có thể truy vấn đến các database không
được phép.
• Khai thác Application Macro virus là một ví dụ. Macro
virus là một tập các chỉ thị trong một ngôn ngữ lập trình
như VB script , chúng ra lệnh cho một ứng dụng tạo ra
những chỉ dẫn sai.
• Sử dụng e-mail : Tích hợp nhiều công cụ  dễ bi khai
thác
8/17/2009 ATBMTT_CHAP 4 23
4.4.1.Malicious Code – maõ ñoäc haïi
• Virus là một phần mềm được thiết kế để thâm nhập vào

hệ thống máy tính. Virus làm hỏng dữ liệu trên hard disk,
là sụp OS và lây lan sang các hệ thống khác.
• Phương pháp lây lan : Từ floppy hoặc CD-ROM, theo
đường e-mail, hoặc một phần của một chương trình
khác.
8/17/2009 ATBMTT_CHAP 4 24
4.4.2.Một số dấu hiệu nhiễm virut
• Khởi động hoặc nạp chương trình chậm.

• Xuất hiện một số file lạ trên HDD hoặc mật một số file khởi
động .
• Kích thước một số file bị thay đổi so vói nguyên bản .
• Browser, bộ xử lý văn bản hoặc các phần mềm khác bắt
đầu bằng những ký tự lạ . Màn hình hoặc menu có thẻ bị
thay đổ (Deface).
• Hệ thống tự tắt hoặc khởi động lại một cách không bình
thường.
• Mất truy cập vào các tài nguyên một cách khó hiểu.
• Không khởi động hệ thống.
8/17/2009 ATBMTT_CHAP 4 25
4.4.3.Virut hoạt động như thế nào
1.Phá hoại và lây lan
8/17/2009 ATBMTT_CHAP 4 26
2.Lây nhiễm qua e-mail
8/17/2009 ATBMTT_CHAP 4 27
Lây nhiễm qua e-mail (tiếp)
• Ví dụ : Virut Melissa lây nhiễm 100,000 user trong

một khoảng thời gian rất ngắn vào 5/1999 ( CERT).
Một site đã nhận được 32,000 bản copy của virut
Melissa trong vòng 45 phút.
8/17/2009 ATBMTT_CHAP 4 28
4.4.4 Các loại virut
1. Polymorphic Virus : Virut đa hình  thay đổi hình thể để
khó bị phát hiện.
Luôn thay đổi ,phá các dữ liệu
8/17/2009 ATBMTT_CHAP 4 29
2.Trojan Horse
• Được gửi đính kèm một file nào đó

• “Trojan horse” còn là một phần của e-mail , free game,
software, hoặc mộtloại file nào đó.Khi nhiễm ,“Trojan
horse” sẽ kích hoạt các tác vụ như xử lý văn bản hoặc
các file template . Hậu quả là nhiều file mới không cần
thiết được sinh ra .
• “Trojian Horse” còn kích hoạt nhiều tác vụ theo kịch bản
của hacker .
• “Trojan horse” rất khó phát hiện vì chúng được che bởi
các chương trình hợp lệ .
8/17/2009 ATBMTT_CHAP 4 30
3. Stealth Virus
Stealth virus rất khó bị phát hiện do chúng có khả năng

tự che dấu .Virut loại này tấn công vào các “boot
sector” trên đĩa cứng.
8/17/2009 ATBMTT_CHAP 4 31
4.Multipartite Virus
• Multipartite virus tấn công vào hệ thống bằng nhiều
đường .Chúng thâm nhập vào “boot sector”, các file
“executable ”,và phá hoại các file ứng dụng.
8/17/2009 ATBMTT_CHAP 4 32
5.Companion Virus
• Companion virus tự nó tấn công lên các chương trình

hợp pháp và sau đó tạo ra các file có phần mở rộng khác
nhau .Chúng trú ngụ tại các thư mục “temporary”.
• Khi người dùng gõ tên một chương trình hợp lệ ,
“companion virus” thực thi thay cho chương trình gốc .
Điều này cho phép chúng tự che dấu một cách hiệu quả
khỏi người dùng.
8/17/2009 ATBMTT_CHAP 4 33
6 .Macro Virus
• Macro virus thường tác động lên các chương trình ứng dụng .
• Các chương trình như Word , Excel cho phép lập trình viên
tăng năng lực của ứng dụng .Ví dụ “Word” hỗ trợ “mini-BASIC
programming language” cho phép các file được chế tác một
cách tự động .
• Chúng là những “macros”. Macro có thể thông tin cho bộ xử lý
văn bản “kiểm tra chính tả- spellcheck” mỗi khi chúng được
mở.
• Macro viruses có thể bị nhiễm vào tất cả các văn bản và lây
lan đến các hệ thống khác qua e-mail hoặc các phương thức
khác.
• Macro viruse phát triển rất nhanh .
8/17/2009 ATBMTT_CHAP 4 34
7. Phần mềm diệt Virut
• Là công cụ chủ yếu để phát hiện và diệt virut

• Khoảng 60,000 virut , worms, bombs, và các “malicious
codes” được xác định.Con số này còn tiếp tục tăng nhanh.
• Biện pháp quan trọng thứ hai là đào tạo ,nâng cao nhận
thức về phòng và chống virut .
• Diệt virut “on-line”
• “Trenmicro” , “synmatec” , “Kasparsky” …..
8/17/2009 ATBMTT_CHAP 4 35
4.4.5 .Social Engineering
• Social engineering là quá trình attacker thu lượm thông

tin về mạng , hệ thống thông qua những nhân viên trong
một tổ chức.”Social engineering” có thể xảy ra trên điện
thoại , e-mail hoặc qua các khách thăm viếng.Những
thông tin này có thể là thông tin truy cập như user IDs ,
passwords…
• Biện pháp khắc phục duy nhất : Đào tạo , nâng cao nhận
thức , ý thức của nhân viên về ATTT
8/17/2009 ATBMTT_CHAP 4 36
4.5 Các giao thức bảo mật trên mạng Internet
4.5.1 Bảo mật giao thức PPP (Layer 2)

Giao thức PPP trên layer 2 của mô hình OSI (tương ứng
với lớp DATA LINK trên TCP/IP)
1. CHAP (Challenger Handshake Protocol ) [RFC 1994] : Đây
là cơ chế xác thực (authentication) cho giao thức
PPP.CHAP dùng khóa quy ước kết hợp với hàm băm (H).
2. EAP (Extensible Authentication Protocol) [RFC2716].
3. ECP (Encryption Control Protocol ) [RFC1968] [RFC2419]
quản lý quá trình mã hóa dữ liệu. Sử dụng khóa bí mật và
các hệ mật đối xứng (DES).
8/17/2009 ATBMTT_CHAP 4 37
4. PPTP hỗ trợ việc đóng gói dữ liệu trên môi trường point-
to-point .
– PPTP đóng gói và mã hoá các gói PPP . PPTP phù
hợp với giao thức mức mạng thấp (low-end protocol).
– Sự thoả thuận giữa hai phía trên kết nối PPTP rất rành
mạch.Mỗi lần thoả thuận được thiết lập,kênh truyền sẽ
được mã hoá  Điểm yếu của giao thức. Dùng packet-
capture device, ví dụ như sniffer, có thể xác định các
thông tin “tunnel đang làm việc như thế nào ?”.
– PPTP sử dùng cổng 1723 và TCP để kết nối.
8/17/2009 ATBMTT_CHAP 4 38
5. L2TP
• L2TP là sự thỏa thuận giữa Microsoft và Cisco về việc kết
hợp hai giao thức “ tunneling ” vào một : “Layer Two
Tunneling Protocol (L2TP)”.
• L2TP là sự lai tạp PPTP và L2F.
• L2TP cơ bản là giao thức “point-to-point”
• L2TP hỗ trợ nhiều giao thức mạng bên ngoài TCP/IP.
• L2TP làm việc trên IPX, SNA, và IP  L2TP có khả năng
làm việc như cầu nối giữa các mạng khác kiểu .
• Điểm yếu của L2TP là không được hỗ trợ bảo mật , thông
tin khồng được mã hoá như IPSec.
• L2TP sử dụng cổng và TCP để kết nối.
8/17/2009 ATBMTT_CHAP 4 39
4.5.2.Tunneling Protocols
• Tunneling protocols tăng thêm năng lực của mạng.

Chúng tạo ra những đường hầm “ tunnels” giữa các lớp
mạng và làm cho chúng an toàn hơn.Chúng cung cấp
một mạng ảo giữa hai hệ thống.
• Các giao thức chính :
– Point-to-Point Tunneling Protocol (PPTP),
– Layer 2 Forwarding (L2F),
– Layer 2 Tunneling Protocol (L2TP),
– IPSec:
8/17/2009 ATBMTT_CHAP 4 40
4.5.3 IPsec (Layer 3)
1.IPsec :
Là một bộ giao thức dùng cho lớp 3 – lớp network bao gồm các thủ
tục trao đổi khóa (IKE – Internet Key Exchange) và Mã hóa dữ liệu
IPsec
a. ESP ( Encapsulated Security Payload) [RFC2406] cho phép
mã hóa và đóng gói lại dữ liệu. Có hai mode làm việc
• Transport mode
• Tunnel mode
b. AH (Authentication Header) [RFC 2402] : tạo một bản xác
thực phần “Header” sau khi packet được mã hóa , sử dụng
ký thuật băm (Hash).
2. IKE Quy định các thủ tục trao đổi , quản lý khóa mã ví dụ như
SKIP
8/17/2009 ATBMTT_CHAP 4 41
IPsec (Layer 3) - Mô hình
8/17/2009 ATBMTT_CHAP 4 42
4.5.4 Secure Shell (SSH) (Layer 4)
• Secure Shell (SSH) là “tunneling protocol” thiết kế riêng cho

hệ UNIX .
• SSH sử dụng mật mã để thiết lập kết nối an toàn giữa hai hệ
thống.
• SSH cung cấp các chương trình an toàn tương ứng cho
Telnet, FTP, và các chương trình “communications-oriented”
trên UNIX.
• SSH hiện nay được sử dụng rông rãi trên Windows cho
Telnet và các “ cleartext-oriented programs” trên môi trường
UNIX.
• SSH sử dụng cổng 22 và TCP để kết nối.
8/17/2009 ATBMTT_CHAP 4 43
Secure Shell (SSH) (Layer 4)
8/17/2009 ATBMTT_CHAP 4 44
4.5.5 HTTP/S – on top of SSH (Layer 4 ,5)
• HTTP/S -HTTP Secure là giao thức bảo mật kết nối giữa
hai hệ thống dùng WEB . HTTP/S bảo vệ kết nối giữa
hai hệ thống WEB .Tất cả thông tin giữa ghai hệ thống
được mã hoá. HTTP/S sử dụng SSL hoặc TLS để kết
nối an toàn . HTTP/S sử dụng cổng port 443 và TCP.
• SSL/TLS Secure Socket Layer (SSL) và Transport Layer
Security (TLS) sử dụng để truyền thông tin giữa “ web
client” và “ server”. Giao thức SSL sử dụng hệ thống mật
mã giữa hai hệ thống.TLS là giao thức mới hơn với mật
mã mạnh hơn như “Triple DES”. SSL/TLS làm việc trên
cổng 443 và kết nối bằng TCP.
8/17/2009 ATBMTT_CHAP 4 45
HTTPS – on top of SSH
8/17/2009 ATBMTT_CHAP 4 46
4.5.6 Bảo mật E-Mail (Layer 5)
8/17/2009 ATBMTT_CHAP 4 47
1. Các giao thức
a. Simple Mail Transport Protocol (SMTP)

b. Post Office Protocol (POP)
c. Internet Message Access Protocol (IMAP)
d. S/MIME [RFC2632 ,2633,2634] của “RSA” .Sử dụng 3-
DES để mã hóa dữ liệu kết hợp với DSA và SHA1.
e. PGP
2. Các điểm yếu trên E-Mail
- Spam
- Hoaxes
8/17/2009 ATBMTT_CHAP 4 48
4.6 Bảo mật Wireless network
4.6.1 Wireless Applications Protocol (WAP).
Có ba mức an toàn cho giao thức này :
 Anonymous authentication
 Server authentication
 Two-way (client and server) authentication . Yêu cầu cả
hai bên “client và server” xác thực .
8/17/2009 ATBMTT_CHAP 4 49
4.6.2 Wireless Transport Layer Security (WTLS)
• Là mức bảo mật của Wireless Applications Protocol.
• WTLS cung cấp dịch vụ “authentication”, “encryption”, và
“data integrity” cho các thiết bị không dây.
• WTLS là một phần của môi trường WAP .
8/17/2009 ATBMTT_CHAP 4 50
4.6.3 WEP/WAP
1. WAP :The Wireless Access Protocol (WAP)

• WAP hoạt động tương tự như TCP/IP functions.
• WAP sử dụng phiên bản rút gọn của HTML-Wireless
Markup Language (WML),dùng để hiển thị trên Internet .
• WAP- tương tác với môi trường WMLScript tương tự
như Java .. Notice that the layers of WAP appear to
resemble the layering in TCP/IP.
8/17/2009 ATBMTT_CHAP 4 51
WAP protocol stack
8/17/2009 ATBMTT_CHAP 4 52
WAP gateway cho phép kết nối đến các thiết bị
WAP trên Internet
8/17/2009 ATBMTT_CHAP 4 53
2. Wired Equivalent Privacy (WEP)
• Là chuẩn security mới cho các thiết bị wireless .

• WEP mã hoá dữ liệu  data security.
• Sử dụng khoá mật mã : 40 ( không còn sử dụng) ,64,128
bit key .
• 128 bit kết hợp với lọc địa chỉ MAC  hiệu quả cao
• Từ tháng 8 năm 2002,giao thức không còn được coi là
an toàn do có những điểm yếu trong các thuật toán mã
hoá ( đặc biệt 40 bit) . Mã hoá có thể bị khoá trong vòng
5 giờ.
8/17/2009 ATBMTT_CHAP 4 54
4.6.4 Các điểm yếu trên Wireless
• Sử dụng tần số Radio  weakness

• Tất cả tín hiệu “radio frequency” đễ dàng bị thu lại.
• Để bắt được thông tin theo 802.11 ,chỉ cần một PC với
card 802.11 tương thích.
• Một phần mềm đơn giản trên PC có thể giữ lại thông tin
trên WAP và sau đó xử lý chúng nhằm giải mã tài khoản
và mật khẩu .
8/17/2009 ATBMTT_CHAP 4 55
Keát thuùc CH4 baïn phaûi naém vöõng
• Cấu trúc TCP/IP

• Các điểm yếu và các dạng tấn công :
• Attack methods
• Malicious code
• Social engineering
• Các chuẩn và các giao thức bảo mật
8/17/2009 ATBMTT_CHAP 4 56
HẾT CHƯƠNG 4
8/17/2009 ATBMTT_CHAP 4 57

An Toàn Bảo Mật Thông Tin - Bài Giảng

Uploaded by

Document Information

Copyright

Available Formats

Share this document

Share or Embed Document

Sharing Options

Did you find this document useful?

Is this content inappropriate?

Copyright:

Available Formats

An Toàn Bảo Mật Thông Tin - Bài Giảng

Uploaded by

Copyright:

Available Formats

Chương 1

Những vấn đề cơ bản về an toàn

1/30/2002 An toan thong tin _CH1 1

1/30/2002 An toan thong tin _CH1 2

1/30/2002 An toan thong tin _CH1 4

• Inside :các đối tượng từ bên trong hệ thống ,

1/30/2002 An toan thong tin _CH1 5

Thường có 3 biện pháp ngăn chặn:

1/30/2002 An toan thong tin _CH1 6

• Thiếu hiểu biết và kinh nghiệm để bảo vệ dữ liệu

1/30/2002 An toan thong tin _CH1 7

1/30/2002 An toan thong tin _CH1 8

1/30/2002 An toan thong tin _CH1 9

1/30/2002 An toan thong tin _CH1 10

1/30/2002 An toan thong tin _CH1 11

• An toàn mức vật lý.

Hình 1 - Tam giác an toàn thông tin

1/30/2002 An toan thong tin _CH1 12

1/30/2002 An toan thong tin _CH1 13

1/30/2002 An toan thong tin _CH1 14

1/30/2002 An toan thong tin _CH1 15

• Sự kết hợp của tất cả các quá trình, các chức

1/30/2002 An toan thong tin _CH1 16

1/30/2002 An toan thong tin _CH1 17

1/30/2002 An toan thong tin _CH1 18

1/30/2002 An toan thong tin _CH1 19

1/30/2002 An toan thong tin _CH1 20

1/30/2002 An toan thong tin _CH1 21

1/30/2002 An toan thong tin _CH1 22

1/30/2002 An toan thong tin _CH1 23

1/30/2002 An toan thong tin _CH1 24

(Trung tâm phân phối khóa)

1/30/2002 An toan thong tin _CH1 25

1/30/2002 An toan thong tin _CH1 26

1/30/2002 An toan thong tin _CH1 27

1/30/2002 An toan thong tin _CH1 28

1/30/2002 An toan thong tin _CH1 29

1/30/2002 An toan thong tin _CH1 30

• Cung cấp những hướng dẫn, những quy tắc , và

1/30/2002 An toan thong tin _CH1 31

1/30/2002 An toan thong tin _CH1 32

b.Nhu cầu thiết kế

1/30/2002 An toan thong tin _CH1 33

1/30/2002 An toan thong tin _CH1 34

• Truy suất, phân loại, đánh dấu và lưu trữ, dự

1/30/2002 An toan thong tin _CH1 35

• Cấu hình hệ thống và mạng tối ưu : cài đặt phần

1/30/2002 An toan thong tin _CH1 36

• Thông tin về nguồn tài nguyên được sử dụng

1/30/2002 An toan thong tin _CH1 37

• Các định các thao tác được thực hiện ở những

1/30/2002 An toan thong tin _CH1 38

1/30/2002 An toan thong tin _CH1 39

1/30/2002 An toan thong tin _CH1 40

1/30/2002 An toan thong tin _CH1 41

1/30/2002 An toan thong tin _CH1 42

• Mỗi dịch vụ và giao thức được sử dụng sẽ làm tăng

1/30/2002 An toan thong tin _CH1 43

1/30/2002 An toan thong tin _CH1 44

1/30/2002 An toan thong tin _CH1 45

• Mục đích của thiết kế

1/30/2002 An toan thong tin _CH1 46

• Cách ly hệ thống của chúng ta với những hệ

1/30/2002 An toan thong tin _CH1 48