21/04/2022

NỘI DUNG

Chương 8 8.1. Khái niệm cơ bản

CHỨNG THỰC và ĐIỀU KHIỂN TRUY CẬP

8.2. Chứng thực thông điệp
(Authentication and Access Control)
8.3. Các phương pháp chứng thực

Giảng viên: ThS. Nguyễn Hữu Quang 8.4. Điều khiển truy cập

1 2

8.1. CÁC KHÁI NIỆM CƠ BẢN 8.1. CÁC KHÁI NIỆM CƠ BẢN
8.1.1. Xác thực (Authentication) 8.1.1. Xác thực (Authentication)

• Xác thực: là quá trình xác định người dùng và xác thực họ là ai, một
hành động nhằm thiết lập hoặc chứng minh một vấn đề đáng tin cậy.
• Một quy trình dùng để xác minh sự nhận dạng của một người dùng,
hoặc thông điệp hay dữ liệu
• Các yếu tố xác thực: có nhiều yếu tố khác nhau mà hệ thống sử dụng để xác
minh danh tính của một người trước khi cấp quyền truy cập.
• Dựa trên cấp độ bảo mật, các yếu tố xác thực có thể khác nhau:
 Xác thực một yếu tố: yêu cầu mật khẩu để cấp quyền truy cập cho người dùng vào một hệ
thống cụ thể như trang web hoặc mạng.

 Xác thực hai yếu tố: Sử dụng tên người dùng và mật khẩu và thông tin bí mật.
• Cần cung cấp một nhân tố nào đó để chứng thực, một trong những
 Xác thực đa yếu tố: phương pháp xác thực tiên tiến nhất đòi hỏi hai hoặc nhiều mức bảo mật
yếu tố phổ biến và rõ ràng nhất để xác thực danh tính là mật khẩu.
từ các loại xác thực độc lập để cấp quyền truy cập cho người dùng vào hệ thống.

3 4
 21/04/2022

8.1. CÁC KHÁI NIỆM CƠ BẢN 8.1. CÁC KHÁI NIỆM CƠ BẢN
8.1.1. Xác thực (Authentication) 8.1.2. Ủy quyền (Authorization)

Web Application Authentication Mobile Connect Authentication • Việc ủy quyền: xảy ra sau khi danh tính của người dùng đã được xác thực thành
công. Đó là việc cung cấp quyền truy cập đầy đủ hoặc một phần vào các tài nguyên
như cơ sở dữ liệu, và các thông tin quan trọng khác để hoàn thành công việc.

5 6

8.1. CÁC KHÁI NIỆM CƠ BẢN 8.1. CÁC KHÁI NIỆM CƠ BẢN
8.1.2. Ủy quyền (Authorization) 8.1.3. Xác thực và Ủy quyền

Quyền đọc (Read (R)) • Quyền truy cập vào một tài nguyên được bảo vệ bởi cả
• Đọc nội dung của tập tin xác thực và ủy quyền.
• Liệt kê danh sách thư mục

• Nếu người dùng không thể chứng minh danh tính của
Quyền viết (Write (W))

• Cộng thêm
mình, họ sẽ không được phép vào tài nguyên.
• Sinh tạo cái mới
• Xóa bỏ • Và ngay cả khi người dùng chứng minh danh tính của
• Đổi tên
mình, nhưng nếu không được ủy quyền cho tài nguyên
Quyền thi hành (Execute (X))
đó, thì người dùng vẫn sẽ bị từ chối truy cập.
• thi hành (chạy) chương trình ứng dụng

7 8
 21/04/2022

8.1. CÁC KHÁI NIỆM CƠ BẢN 8.1. CÁC KHÁI NIỆM CƠ BẢN
8.1.3. Xác thực và Ủy quyền 8.1.4. Trao đổi thông tin
Xác thực Ủy quyền
• Xác thực xác minh người dùng là ai. • Xác định những tài nguyên mà người dùng có thể và
không thể truy cập
• Xác thực hoạt động thông qua mật khẩu, OTP, thông tin • Xác minh xem có được phép truy cập thông qua các
sinh trắc học và các thông tin khác do người dùng cung chính sách và quy tắc hay không
cấp hoặc nhập.

• Là bước đầu tiên của quy trình quản lý danh tính và
quyền truy cập.
• Người dùng có thể nhìn thấy xác thực và có thể thay đổi
một phần.
• Ví dụ: Bằng cách xác minh danh tính của họ, nhân viên
có thể có quyền truy cập vào ứng dụng nhân sự bao
gồm thông tin lương cá nhân, thời gian nghỉ phép và dữ
liệu của họ.
• Được thực hiện sau khi xác thực thành công
• Người dùng không thể nhìn thấy hoặc có thể thay đổi ủy
quyền.
• Ví dụ: Sau khi quyền truy cập được cấp phép, nhân viên
và người quản lý nhân sự có thể truy cập các cấp độ dữ
liệu khác nhau dựa trên các quyền do tổ chức đặt ra.

9 10

8.2. CHỨNG THỰC THÔNG ĐIỆP 8.2. CHỨNG THỰC THÔNG ĐIỆP
8.2.1. Chứng thực thông điệp (Message Authentication) 8.2.2. Xác minh bản tin

• Nội dung toàn vẹn: bản tin không bị sửa đổi, kể cả khi người gửi có thể sửa đổi
• Nguồn gốc tin cậy:
 Bao hàm cả trường hợp người nhận phủ nhận bản tin
Xác thực Xác thực tính Chống từ  Bao hàm cả trường hợp người gửi tự tạo thông báo và “vu khống” người nhận
nguồn gốc toàn vẹn của chối thông tạo ra thông báo này
thông điệp thông điệp điệp • Đúng thời điểm
• Các dạng tấn công điển hình vào tính xác thực: Thay thế (Substitution), Giả
danh (Masquerade), tấn công phát lại (Reply attack), Phủ nhận (Repudiation)

11 12
 21/04/2022

8.2. CHỨNG THỰC THÔNG ĐIỆP 8.2. CHỨNG THỰC THÔNG ĐIỆP
8.2.3. Các phương pháp chứng thực thông điệp 8.2.3.1. Chứng thực bằng mật mã khóa đối xứng

• Sử dụng mã hóa khóa bí mật, mã hóa khóa công khai • Đảm bảo thông điệp được gửi đúng nguồn do chỉ bên gửi biết khóa bí mật

• Không thể bị thay đổi bởi bên thứ ba do không biết khóa bí mật
• Hàm băm (Hash Function): Một hàm ánh xạ một thông điệp có chiều
dài bất kỳ vào một giá trị băm có chiều dài cố định sử dụng để chứng
thực.

• Mã chứng thực thông điệp (MAC): một hàm và một khóa bí mật tạo ra
một giá trị có chiều dài cố định sử dụng để chứng thực

13 14

8.2. CHỨNG THỰC THÔNG ĐIỆP 8.2. CHỨNG THỰC THÔNG ĐIỆP
8.2.3.2. Chứng thực bằng mật mã khóa công khai 8.2.3.2. Chứng thực bằng mật mã khóa công khai

• Sơ đồ bí mật: mã hóa bằng khóa công khai của người nhận • Ưu điểm

• Sơ đồ xác thực: mã hóa bằng khóa cá nhân của người gửi  Không những xác thực mà còn tạo ra được chữ ký số (tuy nhiên, phức tạp và tốn thời
gian hơn mã đối xứng)

• Nhược điểm

 Tốn thời gian để mã hóa cũng như giải mã toàn bộ thông báo

 Đôi khi chỉ cần xác thực mà không cần bảo mật thông điệp (cho phép ai cũng có thể
biết nội dung, chỉ cần không được sửa đổi)

15 16
 21/04/2022

8.2. CHỨNG THỰC THÔNG ĐIỆP 8.2. CHỨNG THỰC THÔNG ĐIỆP
8.2.3.3. Chứng thực thông điệp sử dụng mô hình MAC (Message Authentication Code) 8.2.3.3. Chứng thực thông điệp sử dụng mô hình MAC

Mã xác thực thông điệp (Message Authentication Code)

Xây dựng trên cơ sở hệ mật mã khóa đối xứng:

 Hai bên đã trao đổi một cách an toàn khóa mật K

 Sử dụng các thuật toán mã hóa khối ở chế độ CBC(Cipher Block

Chaining) - MAC

17 18

8.2. CHỨNG THỰC THÔNG ĐIỆP 8.2. CHỨNG THỰC THÔNG ĐIỆP
8.2.3.3. Chứng thực thông điệp sử dụng mô hình MAC 8.2.3.3. Chứng thực thông điệp sử dụng mô hình MAC

Bên gửi: Tính toán MAC như là một hàm của thông điệp, khoá:
MAC=C(K, M), với
• M: thông điệp đầu vào có kích thước biến đổi
Bên nhận: Thông điệp và mã xác thực MAC (của bên gửi).
• Thực hiện các tính toán tương tự trên các thông điệp đã nhận sử dụng cùng một khóa bí
mật, để tạo ra một MAC mới.
• MAC vừa tạo sẽ được so với MAC nhận.

• C: hàm MAC
• K: khoá bí mật chia sẻ giữa người gởi và người nhận
• MAC: mã chứng thực thông điệp có chiều dài cố định
• Nếu MAC nhận phù hợp với MAC vừa tính thì thông điệp không bị thay đổi trong quá trình
truyền và chắc chắn được gởi tới từ người gởi đã biết.
• Nếu MAC nhận khác với MAC vừa tính thì thông điệp đã bị thay đổi hoặc bị giả mạo và
được gởi từ attacker.

19 20
 21/04/2022

8.2. CHỨNG THỰC THÔNG ĐIỆP 8.2. CHỨNG THỰC THÔNG ĐIỆP
8.2.3.3. Chứng thực thông điệp sử dụng mô hình MAC 8.2.3.3. Chứng thực thông điệp sử dụng mô hình MAC

• Đặc điểm
 Chiều dài thông thường của MAC: 32..96
bit, để tấn công cần thực hiện 2n lần thử
với n là chiều dài của MAC (bit).
 Chiều dài thông thường của khoá K:
56..160 bit, để tấn công cần thực hiện 2k
lần thử với k là chiều dài của khoá K (bit).
• Ứng dụng:
 Banking: sử dụng MAC kết hợp triple-DES
 Internet: sử dụng HMAC và MAC kết hợp
AES

21 22

8.2. CHỨNG THỰC THÔNG ĐIỆP 8.2. CHỨNG THỰC THÔNG ĐIỆP
8.2.3.3. Chứng thực thông điệp sử dụng mô hình MAC 8.2.3.3. Chứng thực thông điệp sử dụng mô hình MAC

• Yêu cầu đối với MAC • Yêu cầu đối với MAC

 Biết một thông điệp và MAC, thì không thể tìm ra một thông điệp khác có cùng MAC  Biết một thông điệp và MAC, thì không thể tìm ra một thông điệp khác có cùng MAC

 Các MAC nên được phân bố đồng đều  Các MAC nên được phân bố đồng đều

 MAC nên tùy thuộc ngang nhau trên tất cả các bit của thông điệp  MAC nên tùy thuộc ngang nhau trên tất cả các bit của thông điệp

• Ưu điểm của MAC • Ưu điểm của MAC

 MAC chỉ hỗ trợ xác thực, không hỗ trợ bảo mật, có lợi trong nhiều trường hợp (các thông báo  MAC chỉ hỗ trợ xác thực, không hỗ trợ bảo mật, có lợi trong nhiều trường hợp (các thông báo
công cộng,…) công cộng,…)

 Có kích thước nhỏ, thời gian tạo ra nhanh hơn so với mã hóa toàn bộ thông báo  Có kích thước nhỏ, thời gian tạo ra nhanh hơn so với mã hóa toàn bộ thông báo

 MAC không phải là chữ ký điện tử  MAC không phải là chữ ký điện tử

23 24
 21/04/2022

8.2. CHỨNG THỰC THÔNG ĐIỆP 8.2. CHỨNG THỰC THÔNG ĐIỆP
8.2.3.4. Chứng thực thực thể 8.2.3.4. Chứng thực thực thể

• Chứng thực thực thể (Entity Authentication) là một kỹ thuật được thiết kế cho • Vật chứng: là một yếu tố để người thẩm tra có thể nhận dạng ra người thỉnh cầu.

phép một bên (party) chứng minh sự nhận dạng (identity) của một bên khác. • Có ba loại vật chứng:

• Thực thể (Entity):
 Có thể là một con người, tiến trình, client, hoặc một server.
 Thực thể mà danh tính cần được chứng minh được gọi là người thỉnh cầu
 Những gì bạn biết (Something known): Là một bí mật chỉ được biết bởi thỉnh cầu có thể được
kiểm tra bởi người thẩm tra. Ví dụ: Password, Pin, secret key, private key.
 Những gì bạn có (Something possessed): là một yếu tố mà có thể chứng minh nhận dạng của
người thỉnh cầu. Ví dụ: passport, bằng lái xe, chứng minh nhân dân, credit card, smart card

(Claimant); bên mà cố gắng chứng minh identity của claimant được gọi là  Những gì vốn sẵn có (Something inherent): là một đặc tính vốn sẵn có của người thỉnh cầu. Ví
người thẩm định (verifier) dụ: Chữ ký thông thường, vân tay, giọng nói, đặc tính khuôn mặt, võng mạc, và chữ viết tay.

25 26

8.2. CHỨNG THỰC THÔNG ĐIỆP 8.3. CÁC PHƯƠNG PHÁP CHỨNG THỰC
8.2.3.4. Chứng thực thực thể 8.3.1. Dùng mật khẩu

Chứng thực thông điệp Chứng thực thực thể Password Là phương pháp đơn giản và lâu đời nhất, gọi là Password-based Authentication.
• Một Password được dùng khi một người dùng cần truy xuất một hệ thống để sử dụng nguồn tài
• Không cần xảy ra theo thời gian thực; • Theo thời gian thực. nguyên của hệ thống.

• Ví dụ: Alice gửi thông điệp cho Bob, khi • Ví dụ: Alice cần online và tham gia • Khi đăng nhập vào hệ thống, người dùng được yêu cầu
Bob chứng thực thông điệp thì Alice có thể tiến trình giao tiếp, thông điệp chỉ  Xác định danh tính: một định danh người dùng (user identification) công khai
không cần phải có mặt ngay trong tiến được trao đổi khi được chứng thực
 Cung cấp thông tin xác thực: một password bí mật.
trình giao tiếp
• Có 2 cơ chế password:

• Chứng thực cho từng thông điệp • Chứng thực trong suốt section  Fixed password
 One-time password

27 28
 21/04/2022

8.3. CÁC PHƯƠNG PHÁP CHỨNG THỰC 8.3. CÁC PHƯƠNG PHÁP CHỨNG THỰC
8.3.1. Dùng mật khẩu 8.3.1. Dùng mật khẩu

Nhược điểm Các hình thức tấn công mật khẩu

• Yếu điểm của mật khẩu có liên quan đến trí nhớ con người • Kỹ nghệ xã hội
 Con người chỉ có thể nhớ một số lượng mật khẩu nhất định
 Lừa đảo, nhìn trộm, lục lọi
 Mật khẩu dài, phức tạp đem lại hiệu quả tốt nhưng khó nhớ
• Chụp lén
• Mỗi tài khoản có mật khẩu khác nhau
 Trình theo dõi thao tác bàn phím, phân tích giao thức
 Chính sách an toàn mật khẩu đòi hỏi mật khẩu chỉ có hiệu lực trong một khoảng thời gian
 Người dùng ghi nhớ mật khẩu nhiều lần  Tấn công “man in the middle”
• Người dùng thường chọn đường tắt • Dò và vét cạn
 Dùng mật khẩu yếu • Tấn công dùng tự điển
 Sử dùng 1 mật khẩu cho nhiều tài khoản

29 30

8.3. CÁC PHƯƠNG PHÁP CHỨNG THỰC 8.3. CÁC PHƯƠNG PHÁP CHỨNG THỰC
8.3.1.1. Fixed Password 8.3.1.1. Fixed Password

User ID và Password File

• Fixed Password Là một password được dùng lặp đi lặp lại mỗi lần truy xuất
• Rất thô sơ, User ID và Password được lưu
• Có 3 cơ chế được xây dựng theo hướng này trong một tập tin.

• Để truy xuất tài nguyên, người dùng gửi bản

 User ID và Password File
rõ của User ID và Password đến hệ thống.

 Hashing the password • Nếu Password trùng khớp với Password

trong hệ thống, thì quyền truy xuất được gán

 Salting the password ngược lại từ chối.

31 32
 21/04/2022

8.3. CÁC PHƯƠNG PHÁP CHỨNG THỰC 8.3. CÁC PHƯƠNG PHÁP CHỨNG THỰC
8.3.1.1. Fixed Password 8.3.1.1. Fixed Password

Hashing the password Salting the password

33 34

8.3. CÁC PHƯƠNG PHÁP CHỨNG THỰC 8.3. CÁC PHƯƠNG PHÁP CHỨNG THỰC
8.3.1.2. One-Time Password 8.3.1.2. One-Time Password

• Là mật khẩu sử dụng một lần duy nhất gồm một
dãy các ký tự hoặc chữ số ngẫu nhiên được gửi
đến số điện thoại nhằm xác nhận giao dịch.
• Mã OTP được tạo ra dựa trên bộ vi xử lý hoặc thẻ
khóa kích thước bỏ túi tạo mã số và chữ số để xác
thực quyền truy cập vào hệ thống hoặc giao dịch.
Sau 30s đến 2 phút, mã này lại bị thay đổi một lần.
• Mã OTP có thể được triển khai bằng phần cứng,
phần mềm hoặc theo yêu cầu.
• Mã OTP được dùng làm bảo mật 2 lớp trong các
giao dịch xác minh đăng nhập và đặc biệt là giao
dịch với tài khoản ngân hàng, nhờ đó, giảm thiểu
tối đa rủi ro bị tấn công khi lộ mật khẩu hay tin tặc
tấn công.

35 36
 21/04/2022

8.3. CÁC PHƯƠNG PHÁP CHỨNG THỰC 8.3. CÁC PHƯƠNG PHÁP CHỨNG THỰC
8.3.1.2. One-Time Password 8.3.1.2. One-Time Password

SMS OTP (Short Message Service One Time Password)

Những loại mã OTP phổ biến hiện nay
• Mã OTP được gửi qua SMS đến số điện thoại của
• SMS OTP khách hàng khi cần xác thực giao dịch

• Đa số ngân hàng tại Việt Nam: OTP vietcombank, OTP

• TOKEN KEY (TOKEN CARD)
techcombank, OTP sacombank, OTP BIDV

• SMART OTP – SMART TOKEN • Nếu người dùng ở trong khu vực sóng kém hoặc ngoài
vòng phủ sóng thì không thể nhận được mã SMS OTP
do đó SMS OTP sẽ không sử dụng được.

37 38

8.3. CÁC PHƯƠNG PHÁP CHỨNG THỰC 8.3. CÁC PHƯƠNG PHÁP CHỨNG THỰC
8.3.1.2. One-Time Password 8.3.1.2. One-Time Password

Token key (Token Card) SMART OTP

• Token Key Là thiết bị bảo mật mà doanh nghiệp cung cấp dịch vụ cung cấp cho khách hàng • Smart OTP là dạng OTP tốt nhất hiện nay

• Token Key có thể tạo ra mã OTP gồm 6 ký tự, cứ sau mỗi phút nó sẽ tự động được tạo ra mà • Smart OTP là sự kết hợp hài hoà giữa Token Key và SMS OTP.

không cần thông qua Internet. • Smart OTP có thể được sử dụng mọi lúc mọi nơi vì nó được tích hợp sẵn trên ứng dụng của điện

• Mỗi tài khoản phải đăng ký riêng một Token key, và thông tin về Token key được thay đổi sau một thoại. Khi có phiên giao dịch trực tuyến thì Smart OTP sẽ được gửi về ứng dụng trên smartphone.

khoản thời gian quy định. • Hai ngân hàng đã sử dụng cách thanh toán tiền Online bằng phương thức Smart OTP và SMS OTP

• Loại thiết bị này cực kỳ tiện lợi khi luôn mang theo bên người. Tuy nhiên, bạn cần phải bảo quản là Vietcombank và TPBank.

thật cẩn thận. • Người dùng phải kê khai thông tin và đăng ký trực tiếp với ngân hàng họ muốn.

39 40
 21/04/2022

8.3. CÁC PHƯƠNG PHÁP CHỨNG THỰC 8.3. CÁC PHƯƠNG PHÁP CHỨNG THỰC
8.3.1.2. One-Time Password 8.3.2. Sinh trắc học (Biometrics)

Mã OTP có thực sự an toàn? • Sinh trắc học là phép đo lường về các đặc tính
• Mã OTP là lớp bảo mật cuối cùng trước khi hoàn tất giao dịch. Do đó, phải cẩn thận kiểm tra lý do sinh lý học hoặc hành vi học mà nhận dạng một
và số tiền (nếu có trong tin nhắn xác thực giao dịch) trước khi nhập mã OTP. con người.
• Với SMS OTP, khi mất điện thoại, bạn cần phải báo ngay cho ngân hàng để khóa tạm thời tính
• Sinh trắc học đo lường các đặc tính mà không
năng này. Với Token, bạn phải luôn mang theo nó bên mình và đặt mật khẩu có tính phức tạp và
thể đoán, ăn cắp hoặc chia sẻ.
lưu giữ để phòng khi quên.

• Mã OTP sẽ an toàn tuyệt đối nếu như bạn tuân thủ đúng các nguyên tắc cũng như quy trình sử
dụng dịch vụ Internet Banking mà ngân hàng đưa ra.

41 42

8.3. CÁC PHƯƠNG PHÁP CHỨNG THỰC 8.3. CÁC PHƯƠNG PHÁP CHỨNG THỰC
8.3.2. Sinh trắc học (Biometrics) 8.3.2. Sinh trắc học (Biometrics)

• Qui trình xác thực bằng sinh trắc học Chúng ta sẽ thảo luận các vấn đề sau
1. Components (thành phần)

2. Enrollment (ghi nhận vào)

3. Authentication (chứng thực)

4. Techniques (Kỹ thuật)

5. Accuracy (độ chính xác)

6. Applications (các ứng dụng)

43 44
 21/04/2022

8.3. CÁC PHƯƠNG PHÁP CHỨNG THỰC 8.3. CÁC PHƯƠNG PHÁP CHỨNG THỰC
8.3.2. Sinh trắc học (Biometrics) 8.3.2. Sinh trắc học (Biometrics)

Các Component cần cho sinh trắc học: Trước khi dùng bất cứ kỹ thuật sinh trắc
o Các thiết bị thu nhận đặc tính của sinh trắc học
học để chứng thực, đặc tính tương ứng
o Chương trình xử lý các đặc tính sinh trắc học
của mỗi người trong cộng động cần
o Các thiết bị lưu trữ.
phải có sẵn trong CSDL, quá trình này

được gọi là enrollment

45 46

8.3. CÁC PHƯƠNG PHÁP CHỨNG THỰC 8.3. CÁC PHƯƠNG PHÁP CHỨNG THỰC
8.3.2. Sinh trắc học (Biometrics) 8.3.2. Sinh trắc học (Biometrics)

Chứng thực (Authentcation) được thực hiện bởi sự thẩm tra (Verification) • Techniques: chọn kỹ thuật sinh trắc học nào phù hợp cho ứng dụng
hoặc nhận dạng (Identication)

• Verification: Đặc tính của một người được so khớp với một mẫu tin đơn
trong CSDL để xác định cô ta có phải là người mà cô ta đang tự khai
không

• Identication: Đặc tính của một người được so khớp với tất cả các mẫu
tin có trong CSDL để xác định cô ta có một mẫu tin trong CSDL.

47 48
 21/04/2022

8.3. CÁC PHƯƠNG PHÁP CHỨNG THỰC 8.3. CÁC PHƯƠNG PHÁP CHỨNG THỰC
8.3.2. Sinh trắc học (Biometrics) 8.3.2. Sinh trắc học (Biometrics)

• Độ chính xác (Accuracy) của các kỹ thuật sinh trắc học được đo lường Ứng dụng (Applications) của sinh trắc học: áp dụng trong nhiều lĩnh vực khác
nhau.
bằng cách dùng hai tham số:
• Kiểm soát truy cập nơi làm việc
• False Rejection Rate (FRR)
• Điểu khiển truy xuất hệ thống và thông tin nhạy cảm
• False Acceptance Rate (FAR) • Thực thi các giao dịch thương mại điện tử trực tuyến

• Nhận dạng tội phạm bằng cách phân tích DNA

• Kiểm soát nhập cư

49 50

8.3. CÁC PHƯƠNG PHÁP CHỨNG THỰC 8.3. CÁC PHƯƠNG PHÁP CHỨNG THỰC
8.3.2. Sinh trắc học (Biometrics) 8.3.2. Sinh trắc học (Biometrics)

Ưu điểm: Nhược điểm:

• Biometrics không thể bị mất, đánh cấp, bỏ quên. Nó nhất quán và • Chi phí cho thiết bị phần cứng
vĩnh cửu
• Các bộ đọc đặc tính của sinh trắc học có những lỗi nhất định
• Nó không thể được chia sẻ hoặc dùng bởi người khác
 Từ chối người dùng hợp lệ
• Không đòi hỏi phải ghi nhớ như mật khẩu, mã Pin
 Chấp nhận người dùng không hợp lệ
• Biometric luôn luôn sẵn dùng cho cá nhân và duy nhất

51 52
 21/04/2022

8.3. CÁC PHƯƠNG PHÁP CHỨNG THỰC 8.3. CÁC PHƯƠNG PHÁP CHỨNG THỰC
8.3.3. Kết hợp nhiều phương pháp (Multi-factor) 8.3.3. Kết hợp nhiều phương pháp (Multi-factor)

• Sử dụng nhiều hơn một phương pháp chứng thực Ưu điểm

• Giảm sự phụ thuộc vào password

 Mật khẩu/ PIN
• Hệ thống chứng thực mạnh hơn
 Smart card • Cung cấp khả năng cho Provides Public Key Infrastructure (PKI)

 Sinh trắc học Nhược điểm

• Tăng chi phí triển khai: đầu tư thiết bị, đào tạo người dùng và quản trị
• Kết hợp nhiều phương pháp chứng thực tạo sự bảo vệ theo chiều sâu với nhiều
• Tăng chi phí duy trì: do tính không tương thích giữa các nhà SX
tầng bảo vệ khác nhau
• Chi phí nâng cấp: sự không ổn định của nhà SX

53 54

8.4. ĐIỀU KHIỂN TRUY CẬP 8.4. ĐIỀU KHIỂN TRUY CẬP
8.4.1. Giới thiệu 8.4.1. Giới thiệu

Điều khiển truy cập là quá trình: • Cấp phép hoặc từ chối phê duyệt sử dụng các tài nguyên xác định.

• Là cơ chế của hệ thống thông tin cho phép hoặc hạn chế truy cập đến dữ liệu hoặc các
• Giới hạn quyền sử dụng của người dùng đã được chứng thực đối với tài
thiết bị.
nguyên hệ thống
• Nhiệm vụ điều khiển truy cập trong an ninh máy tính bao gồm:
• Hạn chế các tác động của người dùng đối với tài nguyên hệ thống  Nhận diện: Người dùng trình ra các vật chứng để chứng minh sự nhận diện

• Đảm bảo người dùng chỉ tác động được các tài nguyên trong phạm vi được cấp  Chứng thực: Kiểm tra, xác minh các ủy quyến

quyền.  Ủy quyền: Cấp các quyền để thực hiện hành động truy cập

 Truy cập: thực hiện truy xuất các tài nguyên xác định

55 56
 21/04/2022

8.4. ĐIỀU KHIỂN TRUY CẬP 8.4. ĐIỀU KHIỂN TRUY CẬP
8.4.2. Quá trình điều khiển truy cập 8.4.2. Quá trình điều khiển truy cập

Xác định người dùng (Identification) Chứng thực người dùng (Authentication)
User X
User X
Access Access Identification data
Identification data
user Control user Control
mechanism Authentication data mechanism Authentication data
Name, Identified
Account no. Authorization data Remembered info
user Valid/invalid Authorization data
Possessed objects
user
Personal characteristics

57 58

8.4. ĐIỀU KHIỂN TRUY CẬP 8.4. ĐIỀU KHIỂN TRUY CẬP
8.4.2. Quá trình điều khiển truy cập 8.4.3. Các loại điều khiển truy cập

Phân quyền sử dụng i. Truy cập bắt buộc

User X

Access Identification data

user Control
ii. Truy cập tùy ý
mechanism Authentication data
Object resources
Permitted/denied Authorization data
Action requests
actions
*Action privileges
iii. Truy cập theo người dùng
*Resource
-READ(direct read, statistical or aggregate
-HW
data read only)
-SW - ADD(insert, append)
-Commodities(processor time, disc space…) - Modify (write)
-Data - Delete

59 60
 21/04/2022

8.4. ĐIỀU KHIỂN TRUY CẬP 8.4. ĐIỀU KHIỂN TRUY CẬP
8.4.3. Các loại điều khiển truy cập 8.4.3. Các loại điều khiển truy cập

Điều khiển truy cập bắt buộc (Mandatory Access Control) Điều khiển truy cập tùy ý (Discretionary Access Control)
• Việc bảo vệ dữ liệu không được quyết định bởi người dùng thông thường
• Người dùng tự mình tạo quyền truy nhập
• Hệ thống yêu cầu phải bảo vệ dữ liệu
Ví dụ: Chia sẻ máy in cho người khác sử dụng
Ví dụ: Thư mục dùng chung trên máy chủ, người dùng không thể thay đổi

` `
` `

user
system
Log Files
Policy
user user

61 62

8.4. ĐIỀU KHIỂN TRUY CẬP

8.4.3. Các loại điều khiển truy cập
CÂU HỎI
1. Nêu 3 hệ thống thông tin dùng chính sách xác thực và ủy quyền mà em biết
Điều khiển truy cập theo người dùng (Role-based Access Control)
2. Phân biệt giữa toàn vẹn thông điệp và chứng thực thông điệp

• Quyền truy cập được định nghĩa theo vai trò của người dùng: 3. Phân biệt giữa MDC và MAC
4. Phân biệt giữa HMAC và CMAC
• Adminstrator 5. Giải thích tại sao Public Key không được dùng trong việc tạo một MAC
6. Yêu cầu: tìm hiểu các mô hình xác thực điều khiển quyền truy cập
• Power User
• RADIUS(Remote Authentication Dial-In User Service )
Management Service
• Dial-up User • Kerberos
` `
• CHAP(Challenge-Handshake Authentication Protocol)
user system

63 65