MỞ ĐẦU

Cuộc cách mạng số hóa đã một lần nữa đưa xã hội loài người lên một tầm
cao mới, với sự thay đổi về mọi mặt kinh tế - chính trị - văn hóa. Cuốn theo trào
lưu của thời đại, hoạt động thương mại cũng biến đổi một cách mạnh mẽ. Giờ
đây, bên cạnh hình thức thương mại truyền thống đã xuất hiện thêm một hình
thức thương mại mới, thương mại điện tử. Thuật ngữ thương mại điện tử đang
trở thành từ xuất hiện nhiều nhất trên các diễn đàn kinh tế. Giới kinh doanh đang
thay đổi một phần quan điểm của mình, từ bỏ kiểu kinh doanh truyền thống để
bước vào một kiểu kinh doanh hoàn toàn mới, thương mại điện tử.
Tại Việt Nam, thương mại điện tử đang trên đà phát triển mạnh mẽ.
Những tập đoàn lớn và cả nhưng công ty nhỏ đều đã bắt đầu tìm thấy tác dụng
của mạng Internet đối với khả năng phát triển và tồn tại của công ty mình. Đây
cơ hội tốt nhất để các doanh nghiệp Việt Nam có thể vươn ra thị trường thế giới.
Thương mại điện tử dường như đang trở thành hướng phát triển tất yếu
của nền thương mại thế giới. Tuy nhiên, hãy nhớ rằng mảnh đất càng màu mỡ
thì càng nguy hiểm. Luôn luôn tiềm tàng những nguy cơ trên thị trường ảo này.
Nguy cơ càng cao khi Việt Nam mới chỉ bước đầu tiếp xúc với thương mại điện
tử. Bỡ ngỡ, sai lầm là khó có thể tránh khỏi, nhưng bạn có thể giảm tối đa thiệt
hại bằng cách tự trang bị cho mình những kiến thức quý báu về thương mại điện
tử.
Với sự giúp đỡ của thầy Bùi Thế Ngũ, em xin được làm đề án về một
trong những vấn đề sống còn trong thương mại điện tử, đó là an toàn và bảo
mật. Trong thương mại truyền thống mọi việc diễn ra đơn giản, người mua trả
tiền, người bán giao hàng. Nhưng trong thương mại điện tử để thực hiện được
thao tác giao nhận đó là cả một vấn đề. Nếu không có một cơ chế an toàn và bảo
mật, người mua sẽ không biết có phải mình đang giao dịch với nhà cung cấp thật
không, còn người bán sẽ không biết có phải mình đang bán hàng cho chủ nhân
thật sự của thẻ tín dụng không. Và khi người mua mất lòng tin và người bán
không còn uy tín, thương mại điện tử sẽ sụp đổ hoàn toàn. Đó là lý do tại sao an

1
toàn và bảo mật trong thương mại điện tử lại quan trọng đến vậy. Đề án này gồm
2 phần:
Phần 1: Tổng quan về vấn đề an toàn và bảo mật trong thương mại điện
tử.
Phần 2: Thực trạng và giải pháp cho vấn đề an toàn và bảo mật trong
thương mại điện tử

2
 CHƯƠNG I. TỔNG QUAN VỀ VẤN ĐỀ AN TOÀN VÀ BẢO MẬT
TRONG THƯƠNG MẠI ĐIỆN TỬ
I. Giới thiệu chung về thương mại điện tử
1. Thương mại điện tử - Electronic Commerce (EC)
Ngày nay, thuật ngữ Thương mại điện tử (TMĐT) – Electronic
Commerce (EC) không còn quá xa lạ đối với nhiều người. Cuộc cách mạng số
hóa từ những năm giữa của thế kỷ XX đã thúc đẩy nền kinh tế, văn hóa, xã hội
phát triển lên một tầm cao mới – Xã hội thông tin. Trong đó, TMĐT là bộ phận
hợp thành của xã hội thông tin, sử dụng tất cả các phương pháp điện tử để hoạt
động thương mại, buôn bán góp phần thay đổi hình dáng của Xã hội với một
cách nhanh chóng.
Ngay từ những năm 1917 – 1920, các phương pháp liên lạc, hệ thống ký
hiệu âm thanh, hình ảnh, chữ viết đã xuất hiện tạo tiền đề cho sự phát triển của
TMĐT.
Hiện nay có nhiều quan điểm khác nhau về “thương mại điện tử” nhưng
tựu trung lại có hai quan điểm lớn trên thế giới.
Thương mại điện tử theo nghĩa rộng được định nghĩa trong Luật mẫu về
Thương mại điện tử của Ủy ban Liên Hợp quốc về Luật Thương mại Quốc tế
(UNCITRAL): Thuật ngữ Thương mại cần được diễn giải theo nghĩa rộng để
bao quát các vấn đề phát sinh từ mọi quan hệ mang tính chất thương mại dù có
hay không có hợp đồng. Các quan hệ mang tính thương mại bao gồm các giao
dịch sau đây: bất cứ giao dịch nào về thương mại nào về cung cấp hoặc trao đổi
hàng hóa hoặc dịch vụ; thỏa thuận phân phối; đại diện hoặc đại lý thương mại,
ủy thác hoa hồng; cho thuê dài hạn; xây dựng các công trình; tư vấn; kỹ thuật
công trình; đầu tư; cấp vốn; ngân hàng; bảo hiểm; thỏa thuận khai thác hoặc tô
nhượng; liên doanh các hình thức khác về hợp tác công nghiệp hoặc kinh doanh;
chuyên chở hàng hóa hay hành khách bằng đường biển, đường không, đường sắt
hoặc đường bộ. Như vậy, có thể thấy rằng phạm vi của Thương mại điện tử rất

3
rộng, bao quát hầu hết các lĩnh vực hoạt động kinh tế, việc mua bán hàng hóa và
dịch vụ chỉ là một trong hàng ngàn lĩnh vực áp dụng của Thương mại điện tử.
Ủy ban Châu Âu đưa ra định nghĩa về Thương mại điện tử như sau:
Thương mại điện tử được hiểu là việc thực hiện hoạt động kinh doanh qua các
phương tiện điện tử. Nó dựa trên việc xử lý và truyền dữ liệu điện tử dưới dạng
text, âm thanh và hình ảnh. Thương mại điện tử gồm nhiều hành vi trong đó hoạt
động mua bán hàng hóa và dịch vụ qua phương tiện điện tử, giao nhận các nội
dung kỹ thuật số trên mạng, chuyển tiền điện tử, mua bán cổ phiếu điện tử, vận
đơn điện tử, đấu giá thương mại, hợp tác thiết kế, tài nguyên mạng, mua sắm
công cộng, tiếp thị trực tiếp tới người tiêu dùng và các dịch vụ sau bán hàng.
Thương mại điện tử được thực hiện đối với cả thương mại hàng hóa (ví dụ như
hàng tiêu dùng, các thiết bị y tế chuyên dụng) và thương mại dịch vụ (ví dụ như
dịch vụ cung cấp thông tin, dịch vụ pháp lý, tài chính); các hoạt động truyền
thống (như chăm sóc sức khỏe, giáo dục ) và các hoạt động mới (ví dụ như siêu
thị ảo).
Tóm lại, theo nghĩa rộng thì thương mại điện tử có thể được hiểu là các
giao dịch tài chính và thương mại bằng phương tiện điện tử như: trao đổi dữ liệu
điện tử; chuyển tiền điện tử và các hoạt động gửi rút tiền bằng thẻ tín dụng.
Thương mại điện tử theo nghĩa hẹp bao gồm các hoạt động thương mại
được thực hiện thông qua mạng Internet. Các tổ chức như: Tổ chức Thương mại
thế giới (WTO), Tổ chức Hợp tác phát triển kinh tế đưa ra các khái niệm về
thương mại điện tử theo hướng này. Thương mại điện tử được nói đến ở đây là
hình thức mua bán hàng hóa được bày tại các trang Web trên Internet với
phương thức thanh toán bằng thẻ tín dụng. Có thể nói rằng Thương mại điện tử
đang trở thành một cuộc cách mạng làm thay đổi cách thức mua sắm của con
người.
Theo Tổ chức Thương mại Thế giới: Thương mại điện tử bao gồm việc
sản xuất, quảng cáo, bán hàng và phân phối sản phẩm được mua bán và thanh

4
toán trên mạng Internet, nhưng được giao nhận một cách hữu hình cả các sản
phẩm được giao nhận cũng như những thông tin số hóa thông qua mạng Internet.
Khái niệm về Thương mại điện tử do Tổ chức hợp tác phát triển kinh tế
của Liên Hợp quốc đưa ra là: Thương mại điện tử được định nghĩa sơ bộ là các
giao dịch thương mại dựa trên truyền dữ liệu qua các mạng truyền thông như
Internet.
Theo các khái niệm trên, chúng ta có thể hiểu được rằng theo nghĩa hẹp
Thương mại điện tử chỉ bao gồm những hoạt động thương mại được thực hiện
thông qua mạng Internet mà không tính đến các phương tiện điện tử khác như
điện thoại, fax, telex...
Qua nghiên cứu các khái niệm về Thương mại điện tử như trên, hiểu theo
nghĩa rộng thì hoạt động thương mại được thực hiện thông qua các phương tiện
thông tin liên lạc đã tồn tại hàng chục năm nay và đạt tới doanh số hàng tỷ USD
mỗi ngày. Theo nghĩa hẹp thì Thương mại điện tử chỉ mới tồn tại được vài năm
nay nhưng đã đạt được những kết quả rất đáng quan tâm, Thương mại điện tử
chỉ gồm các hoạt động thương mại được tiến hàng trên mạng máy tính mở như
Internet. Trên thực tế, chính các hoạt động thương mại thông qua mạng Internet
đã làm phát sinh thuật ngữ Thương mại điện tử.
Ngoài ra, từ các giác độ khác nhau, người ta có những khái niệm khác
nhau về thương mại điện tử.
Từ giác độ viễn thông: Thương mại điện tử là sự cung cấp thông tin sản
phẩm, hàng hóa, dịch vụ hay thanh toán các sản phẩm, dịch vụ, hàng hóa thông
qua mạng máy tính hay các phương tiện điện tử khác.
Từ giác độ quản trị kinh doanh: Thương mại điện tử là sự ứng dụng công
nghệ hướng tới việc tự động hóa trong những giao dịch thương mại và quản lý.
Từ giác độ dịch vụ: Thương mại điện tử là một công cụ mà qua đó có thể
gửi đơn hang của các hãng, của các khách hàng, của các nhà quan lý để giảm
chi phí và nâng cao chất lượng sản phẩm hàng hóa và dịch vụ, giảm thời gian
vận chuyển hàng hóa, dịch vụ tới tay người tiêu dùng.

5
 Từ viễn cảnh trực tuyến: Thương mại điện tử là khả năng mua bán trao
đổi các sản phẩm hàng hóa, dịch vụ trên Internet.

Thương mại
Hàng điện tử
hóa – thuần khiết
Dịch
vụ

Sản
phẩm
hàng Quá trình
hóa ảo giao hàng

Sản
phẩm
hàng Quá trình giao hàng
hóa vật ảo
lý Quá trình giao hàng vật lý
Người Người
đại đại Người đại
diện diện ảo diện
Thương mại vật lý
truyền thống

H1. Thương mại điện tử trong lĩnh vực thương mại

Một cách trực quan, Thương mại điện tử là một hình lập phương nhỏ mà
chỉ cần một trong các cạnh của nó là ảo.

6
2. Các đặc trưng của Thương mại điện tử
Đế xây dựng khung pháp luật thống nhất cho Thương mại điện tử, chúng
ta cần nghiên cứu và tìm ra các đặc trưng của Thương mại điện tử. So với các
hoạt động Thương mại truyền thống, thương mại điện tử có một số điểm khác
biệt cơ bản sau:
- Các bên tiến hành giao dịch trong thương mại điện tử không tiếp xúc
trực tiếp với nhau và không đòi hỏi phải biết nhau từ trước.
- Các giao dịch thương mại truyền thống được thực hiện với sự tồn tại
của khái niệm biên giới quốc gia, còn thương mại điện tử được thực
hiện trong một thị trường không có biên giới (thị trường thống nhất
toàn cầu). Thương mại điện tử trực tiếp tác động tới môi trường cạnh
tranh toàn cầu.
- Trong hoạt động giao dịch thương mại điện tử đều có sự tham ra của ít
nhất ba chủ thể, trong đó có một bên không thể thiếu được là người
cung cấp dịch vụ mạng, các cơ quan chứng thực.
- Đối với thương mại truyền thống thì mạng lưới thông tin chỉ là phương
tiện để trao đổi dữ liệu, còn đối với thương mại điện tử thì mạng lưới
thông tin chính là thị trường
3. Các loại thị trường điện tử
Tùy thuộc vào đối tác kinh doanh người ta gọi đó là thị trường B2B, B2C,
C2B hay C2C. Thị trường mở là những thị trường mà tất cả mọi người có thể
đăng ký và tham gia. Tại một thị trường đóng chỉ có một số thành viên nhất định
được mời hay cho phép tham gia. Một thị trường ngang tập trung vào một quy
trình kinh doanh riêng lẻ nhất định, thí dụ như cung cấp: nhiều doanh nghiệp có
thể từ các ngành khác nhau tham gia như là người mua và liên hệ với một nhóm
nhà cung cấp. Ngược lại, thị trường dọc mô phỏng nhiều quy trình kinh doanh
khác nhau của một ngành duy nhất hay một nhóm người dùng duy nhất.
Sau khi làn sóng lạc quan về thương mại điện tử của những năm 1990 qua
đi, thời gian mà đã xuất hiện nhiều thị trường điện tử, người ta cho rằng sau một

7
quá trình tập trung chỉ có một số ít thị trường lớn là sẽ tiếp tục tồn tại. Thế
nhưng bên cạnh đó là ngày càng nhiều những thị trường chuyên môn nhỏ.
Ngày nay tình hình đã khác hẳn đi: công nghệ để thực hiện một thị trường
điện tử đã rẻ đi rất nhiều. Thêm vào đó là xu hướng kết nối nhiều thông tin chào
hàng khác nhau thông qua các giao diện lập trình ứng dụng (API) để thành lập
một thị trường chung có mật độ chào hàng cao (thí dụ như Amazon-
Marketplace). Ngoài ra các thị trường độc lập trước đây còn được tích hợp ngày
càng nhiều bằng các giải pháp phần mềm cho một cổng Web toàn diện.
Phân loại thương mại điện tử
TMĐT có thể được phân loại theo tính cách của người tham gia:
• Người tiêu dùng
o C2C (Consumer-To-Comsumer) Người tiêu dùng với người tiêu dùng
o C2B (Consumer-ToBusiness) Người tiêu dùng với doanh nghiệp
o C2A (Consumer-To-Administration) Người tiêu dùng với chính phủ
• Doanh nghiệp
o B2C (Business-To-Consumer) Doanh nghiệp với người tiêu dùng
o B2B (Business-To-Business) Doanh nghiệp với doanh nghiệp
o B2A (Business-To-Adminstration) Doanh nghiệp với chính phủ
o B2E (Business-To-Employee) Doanh nghiệp với nhân viên
• Chính phủ
o A2C (Administration-To-Consumer) Chính phủ với người tiêu dùng
o A2B (Administration-To-Business) Chính phủ với doanh nghiệp
o A2A (Administration-To-Administration) Chính phủ với chính phủ

Trong đó thể loại B2B là hình thái chủ yếu của TMĐT.

Các hình thức hoạt động chủ yếu của Thương mại điện tử

- Thư điện tử
- Thanh toán điện tử

8
 - Trao đổi dữ liệu điện tử
- Truyền dung liệu
- Bán lẻ hàng hóa hữu hình
Lợi ích của thương mại điện tử
- Thu thập được nhiều thông tin.
- Giảm chi phí sản xuất. Giờ đây bạn dễ dàng hơn trong việc phán đoán
thị hiếu của khách hàng và có thể tập trung vào sản xuất mặt hàng đó.
- Giảm chi phí bán hàng, tiếp thị và giao dịch. Không còn chi phí thuê
gian hàng, người bán hàng... trong khi cửa hàng của bạn có thể bày bán
được hàng chục ngìn sản phẩm và hoạt động 24/7
- Giúp thiết lập củng cố đối tác.
- Tạo điều kiện sớm tiếp cận kinh tế trí thức.
- Giảm ách tắc và tai nạn giao thông. Lượng người phải ra ngoài mua sắm
các đồ dùng thiết yếu hàng ngày sẽ giảm đi đáng kể.
Hạn chế của thương mại điện tử
- Vấn để an ninh và mã hóa.
- Độ tin cậy thấp và rủi ro lớn trong giao dịch thương mại điện tử.
- Thiếu đội ngũ cán bộ có trình độ kinh doanh và tin học cần thiết.
- Thiếu mô hình kinh doanh TMĐT phù hợp cho từng quốc gia có mức
độ phát triển mạng Internet.
- Trở ngại văn hóa trong phát triển TMĐT.
- Đối tượng tham gia TMĐT giới hạn trong nhóm người thuộc tầng lớp
tri thức, thu nhập cao.
- TMĐT đòi hỏi những thay đổi căn bản trong cơ cấu tổ chức và quản lý
của doanh nghiệp.
- Rủi ro xuất phát từ gian lận thương mại, nguy cơ hàng giả cao trong
TMĐT.
- Tốc độ kết nối mạng Internet ở các nước đang phát triển chậm.
- Các vấn đề luật pháp.

9
II. Gian lận trong TMĐT
Thương mại điện tử ngày càng một lớn mạnh và trở thành một kênh giao
dịch nội địa và quốc tế chủ yếu của các doanh nghiệp hoạt động trên quy mô
nhỏ. Đồng hành với sự phát triển của TMĐT là sự xuất hiện ngày càng nhiều
của các hành vi gian lận trên Internet về cả số lượng và cách thức. Bởi vì, lợi
nhuận từ TMĐT luôn là một nguồn thu nhập hấp dẫn đối với các tên tội phạm
khi mà còn có nhiều doanh nghiệp thiếu kiến thức lẫn ý thức về bảo mật trong
TMĐT cùng với khung luật pháp cho loại tội phạm này còn chưa đầy đủ.
1. Gian lận trong TMĐT là gì?
Tất cả các hành vi gian lận thanh toán trên Internet đều bắt nguồn từ việc
lấy trộm các thông tin nhận dạng thương nhân và người tiêu dùng. Nó còn phụ
thuộc vào khả năng truy cập vào các hệ thống thanh toán để thực hiện các hành
vi gian lận. Kết quả là: hàng hóa bị lấy trộm, thông tin nhận dạng bị lấy trộm, và
tiền bị lấy trộm.
a. Giả mạo các thông tin nhận dạng của khách hàng:
Thông tin thẻ tín dụng có thể bị lấy trộm bằng nhiều cách khác nhau, không
phải tất cả đều được thực hiện trực tuyến. Trớ trêu thay, một nguồn thông tin
phổ biến bị lấy trộm là qua những giấy biên nhận thẻ tín dụng được bỏ đi.
Những giấy biên nhận này thường bao gồm số thẻ tín dụng cùng với ngày giá
hạn thẻ, thông tin của hầu hết các giao dịch thẻ tín dụng qua điện thoại và trực
tuyến. Các tên tội phạm còn sử dụng sự trợ giúp của các “skimmer” để quyết
dưới dạng kỹ thuật số các số thẻ tín dụng trong vài giây để tách ra khỏi các thẻ
tín dụng. Cuối cùng, các tên tội phạm có thể có được thông tin thẻ tín dụng ảo
bằng cách xâm nhập vào trong cơ sở dữ liệu của khách hàng thông qua các web
cấu hình sai hay những lỗ hỏng khác của hệ thống, shopping cart hay nhà cung
cấp máy chủ. Các tên tội phạm máy tính còn biết cách sử dụng các công nghệ
phụ trợ. Nhưng chương trình mã hóa tự động được gọi là “spiders” hay “port
scans” cho phép các tên tội phạm nhận ra được những điểm yếu trong hệ thống
của bạn.

10
 Với thông tin thẻ tín dụng đánh cắp được, tội phạm có thể dùng nó để mua
hàng hóa, dịch vụ. Hành vi đó được gọi là “product thieft – ăn trộm hàng hóa”.
Thông tin thẻ tín dụng còn có thể được kết nối với các thông tin về địa chỉ và số
phúc lợi xã hội có giá trị để mở các thẻ tín dụng mới với tên và địa chỉ của tội
phạm. Hành vi này được gọi là “consumer identity theft – ăn trộm thông tin
nhận dạng người dùng” và có thể phá hỏng nghiêm trọng hồ sơ thẻ tín dụng của
người tiêu dùng.
b. Giả mạo thông tin nhận dạng người bán
Cũng giống như các tội phạm ngoại tuyến xâm nhập vào một két tiền, các
tên tội phạm trực tuyến cũng xâm nhập vào két tiền ảo của bạn bằng cách ăn
trộm thông tin truy cập của bạn để mạo danh bạn. Hành vi đó được gọi là
“merchant indentity theft – ăn trộm thông tin nhận dạng người bán”. Tương tự
với hành vi ăn trộm thông tin của người tiêu dùng, các tên tội phạm cũng có thể
có được thông tin của người bằng nhiều nguồnl, ngoại tuyến cũng như trực
tuyến. Kẻ trộm có thể là người trong nội bộ, người làm công hay các khách truy
cập rất đơn giản chỉ việc sao chép các thông tin truy cập và mật khẩu từ những
tờ giấy nhắn gắn trên các bàn máy tính. Các tên tội phạm cũng có thể lẻn vảo trụ
sở hay những nơi để giấy tờ để ăn trộm những thông tin này. Ăn trộm thông tin
người bán trực tuyến liên quan đến việc tấn công vào cơ sỏ dữ liệu của bạn hay
các hệ thống back – end để lấy trộm thông tin người sử dụng của tài khoản
payment gateway.
Thông tin này được sử dụng trái phép để truy cập vào tài khoàn payment
gateway của bạn, còn được gọi là “merchant account takeover – sự tiếp quản
merchant account” hay”hijacking – vụ cướp bóc”. Việc tiếp quản tài khoản cho
phép bọn tội phạm lấy trộm tiền trực tuyến từ công ty bạn bằng cách phát hành
các thẻ tín dụng hay các giấy tờ thanh toán khác cho chúng.
c. Truy cập vào các hệ thống thanh toán
Các thông tin nhận dạng là mục tiêu nhắm đến đầu tiên của các hành vi
gian lận thanh toán trên Internet, nhưng các tên tội phạm cần phải truy cập vào

11
được các hệ thống thanh toán để thực hiện gian lận. Các tên tội phạm truy cập
vào hệ thống thanh toán thông qua hai kênh chính:
- Trang checkout trên website của bạn.
- Tài khoản payment gateway của bạn.
Trang checkout của bạn là một địa chỉ chung cho tất cả mọi người trên toàn
cầu, 24 giờ trong ngày, 7 ngày trong tuần. Điểm nổi bật của một trang checkout
là bạn có thể giao dịch với bất kỳ ai trên toàn thế giới và cửa hàng của bạn luôn
luôn mở cửa. Nhưng những tiện lợi này lại nảy sinh ra các vấn đề về an toàn.
Trong một mưu đồ gian lận quen thuộc, bọn tội phạm truy cập vào trang
checkout của bạn để thử nghiệm các số thẻ tín dụng lấy trộm được để xem
chúng có còn giá trị hay không, hành vi này gọi là “carding”. Mưu đồ gian lận
khác liên quan đến việc sử dụng “generator”, hay các chương trình phần mềm tự
động tạo ra và đăng ký các số thẻ giả mạo cho đến khi họ truy cập vào được một
số thẻ tín dụng có thật. Không có các chương trình kiểm soát sự an toàn riêng,
trang checkout của bạn rất có thể trở thành một điểm đến hấp dẫn đối với bọn tội
phạm.
Các hành vi gian lận tinh xảo hơn liên quan đến việc tiếp quản quyền kiểm
soát cơ sở hạ tầng thanh toán của bạn. Bằng các hành vi merchant account
takeover hay hijacking, các tên tội phạm sử dụng thông tin nhận dạng người bán
để giả mạo bạn. Ngay khi vào được bên trong tài khoản của bạn, chúng hoàn
toàn giành quyền kiểm soát và có thể sử dụng khả năng truy cập này để ăn trộm
tiền hay thực hiện các hành vi phạm tội khác. Việc lấy trộm tiền rất đơn giản,
ngay khi truy cập vào payment gateway của bạn, bọn tội phạm chuyển tiền từ
tài khoản của bạn tới tài khoản của chúng. Bọn tội phạm còn có thể sử dụng
payment gateway của bạn để lấy được các thẻ tín dụng có giá trị sử dụng trong
những hành vi gian lận khác. Thực vậy, qua việc sử dụng công ty bạn để phạm
tội, bạn sẽ thiệt hại hàng nghìn đô la cho các khoản chi phí xác minh, phí bổi
thường và tiền phạt.
Những ước tính về thiệt hại do gian lận gây ra bởi Fraud Type”

12
 - Ăn trộm sản phẩm = 1 - 1000 đô la Mỹ 1 lần
- Ăn trộm thông tin nhận dạng = 1000 – 10.000 đô la Mỹ một lần.
- Ăn trộm tiền = hơn 10.000 đô la Mỹ mỗi lần.
2. Ai có nguy cơ bị gian lận trực tuyến?
Cần nhấn mạnh ở đây là tất cả các doanh nghiệp đều có nguy cơ chịu rủi ro,
bất kỳ doanh nghiệp nào, vào bất kỳ lúc nào. Bảng dưới đây liệt kê các yếu tố có
thể làm bọn tội phạm để ý, ưu tiên tấn công bạn nhiều hơn.
Loại doanh nghiệp
Các doanh nghiệp Các tên tội phạm thường sử dụng các kỹ thuật giăng bẫy
không có các tinh vi bằng cách sử dụng các phần mềm thông minh cho
chương trình bảo phép chúng tìm kiếm trên Internet các doanh nghiệp có các
vệ an toàn lỗ hỏng trong hệ thống. Sau đó, bọn tội phạm sẽ sử dụng
thông tin này phá vỡ hệ thống của bạn để lấy trộm thông tin
truy cập vào tài khoản của bạn và thực hiện các hành vi ăn
trộm hay tiếp quản. Không có một chương trình bảo vệ hệ
thống tốt, bạn sẽ là mục tiêu đầu tiên của loại tội phạm này.
Các doanh nghiệp Đó là một con dao hai lưỡi. Các doanh nghiệp cần phải
có tần số xuất hiện xuất hiện nhiều để thu hút các khách hàng, lúc này những ý
và giao dịch lớn. đồ gian lận sẽ xuất hiện nhiều hơn đối với các doanh
nghiệp phát động các chương trình quảng cáo hay đưa tin
tức rầm rộ. Và bọn tội phạm biết rằng các doanh nghiệp
càng có nhiều giao dịch hơn thì càng có ít thời gian để quan
tâm tới việc chống lại gian lận.
Các sản phẩm hay dịch vụ được bán
Các doanh nghiệp Những mặt hàng này bao gồm các hàng hóa cao cấp như
bán hàng hóa chất máy tính và các thiết bị điện tử khác. Giá trị hàng hóa lớn,
lượng cao có thể việc tiêu thụ dễ dàng khiến các doanh nghiệp kinh doanh
dễ dàng bán lại các mặt hàng này luôn được tội phạm để ý.
Các thương nhân Việc mua những hàng hóa này không đòi hỏi các thông tin
bán hàng hóa có địa chỉ rõ ràng, tạo sơ hở cho các tên tội phạm che đậy một

13
thể download về từ giao dịch gian lận.
Internet
Cở sở khách hàng
Các thương nhân Rất khó khăn để xác nhận địa chỉ hay thông tin nhận dạng
bán hàng trên toàn của những khách hàng người nước ngoài, và còn khó khăn
thế giới hơn trong việc điều tra và khởi kiện các hành vi gian lận từ
bên ngoài.
Mùa giao dịch
Các doanh nghiệp Các tên tội phạm sẽ biết bạn bị hạn chế thời gian quan tâm
có khối lượng giao đến các biện pháp bảo vệ chống gian lận khi khối lượng
dịch lớn vào quý 4 giao dịch lớn. Nhưng tại sao lại là quý 4? Trong thời gian
này, khối lượng giao dịch thường tăng 2 lần bởi các dịp lễ
tết cuối năm. Đồng hành với nó gian lận Internet tăng 3 lần.
Các doanh nghiệp Nhiều người tiêu dùng chưa biết đến bạn, giờ đây họ đã
thực hiện chương biết. Một số tên tội phạm chưa biết đến bạn…
trình khuyến mại Bọn tội phạm luôn rình mò các chương trình quảng cáo
đặc biệt khuyến mại đặc biệt. Chúng cũng biết chắc chắn rằng bạn
bị hạn chế về thời gian cho các biện pháp bảo vệ chống
gian lận khi lượng giao dịch tăng cao.
3 Bảo vệ hoạt động kinh doanh trước các hành vi gian lận
Mặc dù những dấu hiệu gian lận ngày càng xuất hiện nhiều và đe dọa các
thương nhân, tuy nhiên có một số cách có thể giúp bạn giảm đáng kể nguy cơ bị
gian lận. Có 3 con đường dẫn đến gian lận chính trên Internet: các giao dịch đặc
biệt, truy cập vào tài khoản payment gateway của bạn và truy cập vào hệ thống
mạng của bạn. Việc bảo vệ công ty bạn trước các hành vi gian lận đòi hỏi bạn
xác định được con đường dẫn bạn đến bị gian lận. Dịch vụ VeriSign Payflow
của bạn đạt tiêu chuẩn với nhiều tính năng bảo vệ chống gian lận quan trọng,
nhưng bạn cần làm cho chúng hoạt động và sử dụng chúng để bảo vệ hoạt động
kinh doanh trực tuyến của bạn. Các dịch vụ bảo vệ chống gian lận của Verisign
còn cung cấp các tính năng an toàn cùng với một giao diện quản lý gian lận

14
riêng, cho phép bạn truy cập và kiểm soát tất cả các chức năng bảo vệ chống
gian lận của bạn một cách dễ dàng và thuận tiện.
a. Gian lận từ các giao dịch
Phải chắc chắn rằng mối giao dịch mà bạn chấp nhận và thực hiện là một
giao dịch có giá trị về mặt pháp lý. Bạn nên cẩn thận khi phủ nhận hay từ chối
những giao dịch mà bạn nghi vấn nhưng thực tế chúng lại đảm bảo có giá trị về
mặt pháp lý. Sự xác nhận các giao dịch có giá trị bao gồm:
Xác nhận người mua khi có thể. Bao gồm cả việc nhận ra ai là các khách
hàng cũ đã từng mua hàng của bạn nhiều lần. Việc lưu danh sách các khách
hàng cũ có các giao dịch hợp pháp tại site của bạn là rất quan trọng không chỉ để
kiểm soát gian lận mà còn nắm được các xu hướng mua hàng và cách tạo dựng
lòng trung thành của khách hàng. Hãy chắc chắn rằng tất cả các thông tin khách
hàng đều đã được mã hóa và được lưu giữ an toàn. Hãy tranh thủ tận dụng các
chương trình xác minh người mua của MasterCard và Visa để xác nhận khách
hàng và thu lợi từ việc chuyển giao trách nhiệm pháp lý.
Bảo vệ các nội dung đơn hàng trước các hành vi gian lận. Có một khối
lượng lớn thông tin được tập hợp từ mỗi giao dịch điều đó có thể giúp bạn hiểu
được mức độ nguy hiểm mà bạn có thể phải đối mặt. Hãy đưa vào hoạt động
các dịch vụ xác minh địa chỉ và các tính năng mã hóa an toàn thẻ là tiêu chuẩn
của dịch vụ Payflow của bạn. Các cách bảo vệ khác như kiểm tra địa chỉ IP và
gửi địa chỉ có hiệu lực sẽ làm tăng tính chắc chắn của một giao dịch với các
khách hàng mới. Còn nữa, hãy lưu giữ một danh sách thông tin được tập hợp từ
những đơn đặt hàng có gian lận. Tương tự với danh sách các khách hàng cũ và
trung thành của bạn, việc xây dựng danh sách các khách hàng gian lận, giúp bạn
tổ chức hợp lý hơn quy trình thanh toán. Để quản lý hiệu quả tất cả các thông tin
rủi ro được tập hợp từ một giao dịch, điều quan trọng là sử dụng một bộ các quy
tắc tự động hóa quá trình bảo vệ các giao dịch để bạn có thể nhanh chóng thực
hiện các đơn đặt hàng cho các khách hàng trung thành và ngăn chặn trước các
đơn đặt hàng có rủi ro. Các dịch vụ bảo vệ chống gian lận của Verisign tặng cho

15
bạn một giải pháp tiết kiệm chi phí và được thừa hưởng từ Verisign các danh
sách cập nhật liên tục và thiết thực về những nguy cơ rủi ro cao.
Xem xét lại các giao dịch có dấu hiệu nghi ngờ. Cuối cùng, xem xét lại từng
giao dịch có nghi ngờ để chắc chắn rằng bạn đang giao dịch với một khách hàng
hợp pháp. Và điều quan trọng là phải đảm bảo rằng bạn có đầy đủ các thông tin
cần thiết để đưa ra quyết định thực hiện đơn đặt hàng của khách hàng. Các
thương nhân trực tuyến ngày nay hủy bỏ 5% tổng số giao dịch bởi vì họ không
có thời gian hay thông tin để có được một giao dịch hợp pháp từ một giao dịch
có dấu hiệu đáng ngờ. Các dịch vụ bảo vệ chống gian lận của Verisign cho phép
bạn xem xét lại một cách tự động và liên tục các đơn đặt hàng có dấu hiệu rủi ro,
trước khi bạn thực hiện chúng bằng cách cho bạn thời gian để đưa ra một quyết
định chắc chắn và có hiểu biết.
Mặc dù những bước này đòi hỏi bạn đầu tư nhiều thời gian và nhân lực, tuy
nhiên sự an toàn trong hoạt động kinh doanh của bạn hoàn toàn phụ thuộc vào
chúng. Các dịch vụ bảo vệ chống lại gian lận của Verisign tự động quá trình thủ
công này vì vậy việc bảo vệ hoạt động kinh doanh trực tuyến của bạn chống lại
các hành vi gian lận sẽ nhanh hơn và không gây rắc rối. Và giao diện quản lý
gian lận “plain English” được tích hợp liền với dịch vụ Verisign Payflow, vì vậy
dễ thiết lập và dễ sử dụng và bạn không cần bất kỳ một chương trình nào hay bất
kỳ kinh nghiệm nào về các hành vi gian lận.
b. Gian lận từ tài khoản
Hãy chắc chắn rằng chỉ những người sử dụng được phép mới truy cập vào
được tài khoản payment gateway của bạn và được báo động khi có dấu hiệu có
hành vi truy cập tài khoản bất hợp pháp. Hãy thực hiện các biện pháp sau để
giúp bạn chống lại các gian lận xảy ra tại tài khoản.
Hạn chế truy cập điều hành. Kích hoạt các tính năng “cài đặt giao dịch” là
tiêu chuẩn với dịch vụ Verisign Payflow của bạn. Những chương trình cài đặt
này cho phép bạn hạn chế được truy cập đối với các giao dịch điều hành có tính
rủi ro cao, như việc phát hành thẻ tín dụng. Bạn cũng nên thay đổi mật khẩu tài

16
khoản của bạn theo một lịch trình đều đặn. Với các dịch vụ bảo vệ chống gian
lận của Verisign, bạn có thể thực hiện các chức năng này cùng với những chức
năng và tính năng ngăn chặn gian lận khác một cách dễ dàng và tiện lợi qua việc
sử dụng giao diện quản lý gian lận riêng được tích hợp với dịch vụ VeriSign
Payflow của bạn.
Kiểm tra các hoạt động tài khoản có dấu hiệu gian lận. Hãy xem xét các dấu
hiệu truy cập trái phép tài khoản của bạn, nó có thể chỉ rõ sự tiếp quản merchant
account. Dịch vụ bảo vệ chống gian lận của Verisign có khả năng tùy chình với
đội ngũ chuyên gia giàu kinh nghiệm về các hành vi gian lận. Dịch vụ này còn
lưu giữ hiện trạng của các merchant account để phát hiện ra các dấu hiệu nghi
ngờ gian lận. Việc kiểm tra tài khoản có thể giúp bạn có được sự tiếp quản tài
khoản trước khi nó gây ra bất kỳ một sự thiệt hại nào.
c. Gian lận từ hệ thống mạng
Chắc chắn rằng hệ thống mạng của bạn được bảo vệ chống lại sự truy cập
không được phép. Bảo vệ các gian lận từ hệ thống mạng bao gồm:
Hạn chế truy cập vào hệ thống. Kích hoạt tính năng địa chỉ IP “được cho
phép” là tiêu chuẩn trên dịch vụ Verisign Payflow của bạn. Nó đảm bảo rằng chỉ
các địa chỉ IP mà bạn lựa chọn mới truy cập được vào mạng của bạn. Với các
dịch vụ bảo vệ chống gian lận của Verisign, bạn có thể truy cập nó và những
tính năng bảo vệ chống gian lận khác từ một giao diện riêng, dễ dàng và tiện lợi.
Cập nhật tất cả các thao tác sửa chữa nhanh trên các máy chủ và hệ điều
hành. Đầu tư vào việc kiểm tra tính an toàn theo một lịch trình đều đặn để nhận
ra các lỗ hỏng dễ bị tấn công của hệ thống mạng. Verisign cung cấp một chương
trình kiểm tra mạng miễn phí từ Qualys, bao gồm những chương trình bảo vệ
chống gian lận cơ bản và cao cấp của VeriSign.
Kiểm soát hoạt động của firewall. Các công ty TMĐT lớn nên kiểm soát
tính an toàn của hệ thống 24h liên tục. Qua các dịch vụ an toàn quản lý của
VeriSign (VeriSign’s Managed Security Services) bạn có thể hoàn toàn thỏa
mãn và yên tâm về việc kiểm soát tính an toàn của hệ thống.

17
III. Xây dựng chính sách bảo mật
Có thể nói, một hệ thống có chính sách bảo mật hợp lý là biện pháp tốt
nhất để đảm bảo an toàn mạng. Việc xây dựng một chính sách bảo mật là công
việc cần thiết nhằm thiết lập các khung chính sách nhằm đảm bảo an toàn cho hệ
thống, đồng thời đảm bảo hệ thống ổn định và có tính thực thi cao, có khả năng
chống lại những cuộc tấn công từ bên ngoài lẫn bên trong.
1. Những chuẩn bị cần thiết
Nhiệm vụ đầu tiên trong các bước xây dựng một chính sách bảo mật là
xác định được mục tiêu cần bảo mật. Điều này giúp cho nhà quản trị biết được
trách nhiệm trong việc bảo vệ tài nguyên của bản thân hoặc của tổ chức trên
mạng. Ngoài ra, nó còn giúp cho nhà quản trị thiết lập được các biện pháp đảm
bảo hữu hiệu tron quá trình trang bị, cấu hình và kiểm soát hoạt động của hệ
thống.
Những mục tiêu bảo mật mà một nhà quản trị hệ thống cần đạt được bao
gồm:
- Xác định đối tượng cần bảo vệ.
- Xác định được nguy cơ đối với hệ thống.
- Xác định được phương án thực thi chính sách bảo mật.
a. Xác định đối tượng cần bảo vệ
Trong một hệ thống, người quản trị phải biết được đối tượng nào là quan
trọng, đối tượng nào là không quan trọng để đưa ra một phương pháp bảo mật
tương xứng. Nghĩa là, người quản trị phải xác định rõ độ ưu tiên của từng đối
tượng cần bảo vệ.
Trước hết, liệt kê tất cả các đối tượng cần được bảo vệ trong hệ thống,
thường bao gồm các máy chủ dịch vụ, các router, các điểm truy cập hệ thống, tài
nguyên, các chương trình ứng dụng, cơ sở dữ liệu trong hệ thống…
Tiếp theo, xác định rõ phạm vi và ranh giới giữa các thành phần trong hệ
thống để khi xảy ra sự cố có thể cô lập các thành phần này lại và dễ dàng hơn

18
trong việc dò tìm nguyên nhân và đưa ra cách khắc phục. Có thể chia các thành
phần của hệ thống theo các cách sau:
- Phân tách các dịch vụ tùy theo mức độ truy cập và độ tin cậy của chúng.
- Phân tách hệ thống theo các thành phần vật lý.
- Phân tách hệ thống theo phạm vi cung cấp của các dịch vụ bên trong
mạng và các dịch vụ bên ngoài mạng.
b. Xác định nguy cơ đối với hệ thống cần bảo vệ
Các nguy cơ đối với hệ thống thông thường là các lỗ hổng bảo mật trong
các dịch vụ do hệ thống đó cung cấp. Nếu xác định được chính xác lỗ hổng bảo
mật có thể giúp tránh được các cuộc tấn công hay ít ra tìm được một phương
pháp bảo vệ đúng đắn. Thông thường, các lỗ hổng bảo mật này nằm trong một
số các thành phần sau của hệ thống:
- Các điểm truy cập hệ thống.
- Các nguy cơ trong nội bộ một mạng.
- Các phần mềm ứng dụng.
- Không kiểm soát được cấu hình hệ thống.
 Các điểm truy cập
Các điểm truy cập hệ thống thường phục vụ tất cả các người dùng trên
mạng, không phụ thuộc vào quyền hạn cũng như những dịch vụ họ đang dùng.
Do đó, điểm truy cập thường là những thành phần có tính bảo mật lỏng lẻo nhất
và trở thành điểm đầu tiên mà những kẻ tấn công quan tâm đến.
Cái khó trong việc bảo vệ các điểm truy cập là người dùng thường ưa
thích sự tiện lợi và đơn giản. Đồng thời, với những kỹ thuật hiện đại như hiện
nay, các điểm truy cập sinh ra khá nhiều lỗ hổng bảo mật.
 Các nguy cơ trong nội bộ một mạng
Một hệ thống không chỉ chịu sự tấn công từ bên ngoài mạng mà còn có
thể bị tấn công ngay từ bên trong nội bộ mạng.
 Các phần mềm ứng dụng

19
 Các phần mềm mà người sử dụng chứa khá nhiều lỗi. Và những lỗi này sẽ
tạo nên các lỗ hổng bảo mật của dịch vụ, tạo cơ hội cho các hình thức tấn công
khác nhau xâm nhập vào hệ thống. Các chương trình virus và trojan hay những
cuộc tấn công từ chối dịch vụ là những ví dụ điển hình. Với những lỗi phần
mềm, người quản trị cần thường xuyên cập nhật các phiên bản vá lỗi mới nhất.
Nếu phát hiện phần mềm mình sử dụng đang bị lỗi, cách tốt nhất là ngừng sử
dụng nó rồi tìm các phiên bản vá lỗi mới nhất hay đợi nhà sản xuất vá lỗi và
tung ra phiên bản mới hơn đã vá rồi.
 Không kiểm soát được cấu hình hệ thống
Hiện tượng người quản trị không kiểm soát hoặc mất cấu hình hệ thống
hiện đang chiếm một tỷ lệ lớn trong việc tạo ra các lỗ hổng bảo mật. Hiện nay,
có rất nhiều phần mềm sử dụng yêu cầu cấu hình phức tạp và đa dạng hơn, điều
này cũng dẫn đến những khó khăn để nhà quản trị hệ thống có thể nắm bắt được
cấu hình của hệ thống. Nhiều nhà sản xuất đã cố khắc phục điều này bằng cách
đưa ra các cấu hình mặc định. Tuy nhiên, những cấu hình mặc định này không
được xem xét kỹ lưỡng về mặt bảo mật. Nhiệm vụ vẫn thuộc về người quản trị,
họ phải nắm bắt được các hoạt động của các phần mềm sử dụng, ý nghĩa các file
hay các cấu hình quan trọng. Nói chung, họ phải biết hệ thống thực hiện công
việc của mình như thế nào và nguy hiểm của nó đối với hệ thống.
c. Xác định các phương án thực thi chính sách bảo mật
Sau khi thiết lập được một chính sách bảo mật, người quản trị cần thực
hiện bước tiếp theo, đó là lựa chọn cho mình các phương án thực thi một chính
sách bảo mật. Một chính sách bảo mật là hoàn hảo khi nó có tính thực thi cao.
Để đánh giá tính thực thi người ta đưa ra các tiêu chí sau:
- Tính đúng đắn.
- Tính thân thiện.
- Tính hiệu quả.
Tính đúng đắn là tiêu chí quan trọng nhất để chọn lựa một chính sách bảo
mật. Tiêu chí này sẽ đảm bảo cho sự thành công của chính sách bảo mật đó.

20
Chẳng hạn, nếu một hệ thống thường xuyên có các nguy cơ bị tấn công từ bên
ngoài thì tính đúng đắn thể hiện ở việc chính sách này cần đảm bảo kiểm soát
được các truy cập của khách hàng vào hệ thống bằng việc dựng các thủ tục quản
lý tài khoản người dùng chặt chẽ.
Tính thân thiện cũng là một tiêu chí cần thiết. Một chính sách bảo mật cần
thiết lập ra các công cụ bảo mật thân thiện với người quản trị và dễ dàng thực thi
các chính sách bảo mật. Đồng thời, tính thân thiện còn đảm bảo các biện pháp
bảo mật trên hệ thống không làm khó hoặc bất tiện đối với người dùng. Chẳng
hạn, những chính sách nhằm kiểm tra tính hợp lệ khi khách hàng truy cập vào hệ
thống, những chính sách về bảo vệ mật khẩu như yêu cầu khách hàng xác nhận
mật khẩu của mình theo định kỳ đều phải dễ dàng và ai cũng có thể chấp nhận,
không gây khó khăn cho họ.
Tính hiệu quả thường được người quản trị quan tâm đến. Một chính sách
bảo mật có thể đảm bảo hệ thống an toàn, tin cậy nhưng cần có chi phí quá cao
so với lợi nhuận mà hệ thống mang lại thì không có tính khả thi vì vậy nó không
hiệu quả.
Đánh giá tính hiệu quả của một chính sách bảo mật cần có thời gian, dựa
trên những lợi ích mà nó mang lại trong thời gian hoạt động.
2. Thiết lập các quy tắc bảo mật
Người sử dụng đóng vai trò quan trọng trong quá trình thực thi một chính
sách bảo mật. Về phía người dùng, họ luôn mong tính đơn giản và dễ dàng đối
với các thủ tục. Do đó, khi xây dựng các chính sách bảo mật, một mặt phải đảm
bảo chính sách đó không cản trở người sử dụng. Mặt khác cần làm cho người sử
dụng nhận thức được tầm quan trọng của các chính sách bảo mật và có trách
nhiệm bảo vệ nó.
Người sử dụng cần lưu ý đến một số công việc sau:
- Hãy sử dụng tài khoản hợp lệ. Người sử dụng cần nhận thức được lợi
ích của việc sử dụng tài khoản hợp lệ. Về phía nhà quản trị hệ thống cần
có các chính sách khuyến khích, ưu đãi người sử dụng tài khoản hợp lệ.

21
 - Quản lý tài khoản. Bao gồm các hoạt động bảo vệ mật khẩu, thay đổi
mật khẩu định kỳ, sử dụng các phần mềm bảo vệ máy trạm người sử
dụng, đăng suất sau một thời gian time – out.
- Có khả năng phát hiện tài khoản sử dụng trái phép. Người sử dụng cần
được huấn luyện về các cách phát hiện tài khoản của mình bị sử dụng
trái phép.
- Có thói quen lập báo cáo khi gặp sự cố. Cần có thói quen thông báo các
sự cố đến các nhà quản trị hệ thống. Về phía nhà quản trị hệ thống nên
xây dựng một báo cáo mẫu cho người sử dụng.
a. Các thủ tục đối với các hoạt động truy cập không hợp lệ
Để phát hiện các hoạt động truy cập không hợp lệ, người quản trị cần sử
dụng một số công cụ. Các công cụ này có thể đi kèm theo hệ điều hành hoặc từ
các nhà sản xuất phần mềm. Sau đây là một số quy tắc sử dụng các công cụ phát
hiện truy cập không hợp lệ:
- Các công cụ như công cụ theo dõi các file đăng nhập.
- Sử dụng công cụ giám sát khác như sử dụng tiện ích về mạng để theo
dõi các lưu lượng tài nguyên trên mạng nhằm phát hiện những điểm
nghi ngờ.
- Xây dựng kế hoạch giám sát. Do có nhiều công việc phải giám sát nên
việc lên kế hoạch là cần thiết. Kế hoạch giám sát có thể được lập thông
qua các công cụ trên hệ thống như cron, schedule. Kế hoạch cũng phải
đảm bảo các công cụ giám sát không chiếm nhiều tài nguyên của hệ
thống.
- Tạo báo cáo từ các thông tin giám sát. Các báo cáo đăng nhập có thể
giúp người quản trị phát hiện ra những điểm yếu của mạng, đồng thời
dự báo hướng phát triển của mạng trong tương lai.
Sau khi thực hiện các bước trên và nếu xác định hệ thống của bạn đang bị
tấn công, bạn hãy thực hiện các công việc cần thiết sau:
- Xác định mức độ nguy hiểm, ảnh hưởng của nó tới hệ thống.

22
 - Xác định hành động phá hoại, kiểu tấn công, thiệt hại nếu có.
- Nếu cần, nhờ luật pháp can thiệp.
- Chú ý rằng, khi phân tích các file đăng nhập, bạn cần chú ý một số quy
tắc sau:
o So sánh các hoạt động trong file log với các cuộc đăng nhập
trong quá khứ. Đối với các hoạt động thông thường, các thông tin
trong file log thường có chu kỳ giống nhau.
o Nhiều hệ thống sử dụng các thông tin trong file đăng nhập tạo
hóa đơn cho khách hàng. Người quản trị có thể dựa vào các thông
tin trong hóa đơn thanh toán để xem xét các truy cập không hợp
lệ nếu có những điểm bất thường như thời điểm truy cập hay số
điện thoại lạ.
o Dựa vào các tiện ích như syslog để xem xét. Đặc biệt là các thông
báo lỗi login không hợp lệ trong nhiều lần.
o Dựa vào các tiện ích kèm theo hệ điều hành để theo dõi các tiến
trình hoạt động trên hệ thống, nhằm phát hiện các tiến trình lạ
những chương trình khởi tạo không hợp lệ.
b. Thủ tục quản lý tài khoản người dùng
Thủ tục quản lý tài khoản người dùng là hết sức quan trọng để chống lại
các truy cập hệ thống không hợp lệ. Một số thông tin cần thiết khi quản lý tài
khoản người dùng bao gồm:
- Đối tượng nào có thể truy cập vào hệ thống?
- Một tài khoản sẽ tồn tại trong thời gian bao lâu trên hệ thống?
- Những đối tượng nào có quyền truy cập hệ thống?
Những biện pháp bảo vệ tài khoản người dùng:
- Giám sát chặt chẽ hệ thống quản lý truy cập người dùng như hệ thống
quản lý người dùng trên Windows NT là Database Management users,
còn trên Unix là file /ect/paswwd.

23
 - Đối với một vài dịch vụ cho phép sử dụng các tài khoản mà không cần
mật khẩu hoặc mật khẩu dùng chung, hay người dùng có thể sử dụng tài
khoản guest để truy cập hệ thống thì cần xác định rõ những tác động
của nó đối với hệ thống.
- Kiểm soát chặt chẽ các quyến sử dụng tài khoản trên hệ thống,không sử
dụng quyền root trong các trường hợp không cần thiết. Đối với các tài
khoản không còn sử dụng trên hệ thống thì bạn cần thay đổi mật khẩu
hoặc hủy bỏ.
- Ngoài ra, nên có các biện pháp khác hạn chế tài khoản truy cập theo
thời điểm, địa chỉ máy trạm, các thông tin tài khoản không rõ ràng, hợp
lệ.
c. Các thủ tục quản lý mật khẩu
Trong hầu hết các hệ thống hiện nay đều xác thực truy cập qua mật khẩu
người dùng. Vì vậy, các thủ tục quản lý mật khẩu là hết sức quan trọng. Các thủ
tục quản lý mật khẩu bao gồm:
- Lựa chọn mật khẩu mạnh. Một số quy tắc lựa chọn mật khẩu:
o Không sử dụng chính username làm mật khẩu.
o Không sử dụng thông tin liên quan đến cá nhân người dùng làm
mật khẩu như tên chính mình, tên người thân, ngày sinh, số điện
thoại, biển số xe…
o Nên kết hợp giữa các ký tự là số và ký tự chữ.
o Nên sử dụng loại mật khẩu có độ dài vừa đủ (12 ký tự), không
nên quá ngắn (dễ bị hack) hoặc quá dài (khó nhớ).
- Cần có chính sách buộc người sử dụng thay đổi mật khẩu sau một
khoảng thời gian nhất định. Hầu hết các hệ thống đểu hỗ trợ cơ chế này,
nếu không thay đổi mật khẩu, tài khoản sẽ không còn giá trị trong hệ
thống.
- Trong trường hợp mất mật khẩu, để cấp lại mật khẩu mới cần có các thủ
tục để xác thực người sử dụng.

24
 - Cần giám sát, theo dõi chặt chẽ các chương trình đổi mật khẩu.
d. Thủ tục quản lý cấu hình hệ thống
Các thủ tục quản lý hệ thống cần xác định rõ ai là người có quyền hợp lệ
thay đổi cấu hình hệ thống, và những thay đổi phải được thông báo đến nhà
quản lý. Trong các thủ tục quản lý cấu hình hệ thống cần xác định rõ một số
thông tin như:
- Vị trí lưu các file cấu hình chuẩn.
- Quy trình quản lý mật khẩu root.
- Các thuật toán mã hóa mật khẩu đang sử dụng.
e. Thủ tục sao lưu và khôi phục dữ liệu
Sao lưu dữ liệu cũng là một công việc quan trọng. Nó không chỉ để phòng
chống đối với các sự cố về hệ thống phần cứng mà còn có thể giúp nhà quản trị
khôi phục lại dữ liệu nếu hệ thống bị tấn công và thay đổi hệ thống hoặc làm
mất dữ liệu. Nếu không có dữ liệu sao lưu sẽ không thể khôi phục lại hệ thống
khi nó bị tấn công.
Nhà quản trị cần xây dựng một kế hoạch cụ thể cho công tác sao lưu dữ
liệu, xác định các phương pháp sao lưu sao cho hiệu quả nhất. Nhà quản trị có
thể sao lưu theo định kỳ. Tùy vào tầm quan trọng của dữ liệu trên hệ thống mà
chu kỳ có thể thay đổi, co thể theo tháng, tuần thậm chí ngày.
f. Thủ tục báo cáo sự cố
Cần xây dựng các mẫu báo cáo chuẩn đến những người sử dụng trong hệ
thống. Các mẫu này sẽ được những người sử dụng điền vào và gửi đến nhà quản
trị hệ thống để họ có thể khắc phục kịp thời.
Đối với người sử dụng, nếu phát hiện tài khoản của mình bị tấn công, họ
cần thông báo ngay đến nhà quản trị thông qua các bản báo cáo. Họ có thể gửi
qua email hoặc điện thoại.
3. Hoàn thiện chính sách bảo mật
Sau khi thiết lập và cấu hình được một chính sách bảo mật hệ thống, nhà
quản trị cần kiểm tra lại tất cả và đánh giá chính sách bảo mật này một cách toàn

25
diện trên tất cả các mặt cần được xét đến. Bởi một hệ thống luôn có những biến
động về cấu hình, các dịch vụ sử dụng, và ngay cả hệ điều hành mà hệ thống sử
dụng hoặc các thiết bị phần cứng cũng có thể biến động. Bởi vậy, nhà quản trị
cần phải luôn luôn rà soát, kiểm tra lại chính sách bảo mật trên hệ thống của
mình để phù hợp với thực tế hiện hành. Ngoài ra, việc kiểm tra và đánh giá
chính sách bảo mật còn giúp cho nhà quản trị có kế hoạch xây dựng mạng lưới
hệ thống hiệu quả hơn.
Công việc kiểm tra đánh giá được thực hiện thường xuyên liên tục chứ
không thực hiện một lần rồi thôi. Thông thường, kết quả của một chính sách bảo
mật thể hiện rõ nhất ở chất lượng dịch vụ mà hệ thống đó cung cấp. Nhà quản trị
có thể dựa vào đó để kiểm tra và đánh giá chính sách bảo mật có hợp lý hay
không và cần thay đổi những gì.
Sau đây là một số tiêu chí để đánh giá một chính sách bảo mật:
- Có tính khả thi và thực thi cao.
- Có thể nhanh chóng phát hiện và ngăn ngừa các hoạt động tấn công.
- Có các công cụ hữu hiệu và đủ mạnh để hạn chế hoặc chống lại các
cuộc tấn công vào hệ thống.
Từ các hoạt động đánh giál, kiểm tra đã nêu, các nhà quản trị hệ thống có
thể rút ra những kinh nghiệm nhằm cải thiện hoặc hoàn thiện chính sách bảo mật
mà họ đã tạo ra. Công việc cải thiện chính sách bảo mật có thể làm giảm sự cồng
kềnh của hệ thống, giảm độ phức tạp, tăng tính thân thiện đối với người dùng,
đơn giản công việc hay kiểm soát chặt chẽ hơn hệ thống đã xây dựng.
Tất nhiên, những hoạt động hoàn thiện chính sách bảo mật phải diễn ra
trong suốt thời gian tồn tại của hệ thống để phù hợp với yêu cầu thực tế.
IV. Bảo mật thông tin
1. Mục tiêu của bảo mật thông tin
Mục tiêu của bảo mật thông tin là bảo vệ ba thuộc tính của thông tin:
- Tính bí mật.
- Tính toàn vẹn.

26
 - Tính sẵn sàng.
Tính bí mật thông tin là một điều quan trọng. Vì đôi khi, thông tin chỉ được
phép xem bởi những người có thầm quyền. Lý do cần phải giữ bí mật thông tin
vì đó là sản phẩm sở hữu của tổ chức, những thông tin nhạy cảm, quan trọng
hay được giữ bí mật dựa trên những điều khoản giữa tổ chức và khách hàng của
tổ chức.
Tính toàn vẹn dữ liệu yêu cầu các thông tin không bị làm sai hỏng, suy
biến hay thay đổi. Việc tiếp nhận và đưa ra quyết định dựa trên các thông tin đã
bị biến đổi sẽ gây ra những thiệt hại nghiêm trọng.
Tính sẵn sàng yêu cầu thông tin phải có khi người có thẩm quyền yêu cầu.
Thiếu đi tính sẵn sàng thông tin sẽ mất đi giá trị của nó.
Tấn công vào tính bảo mật của thông tin là làm lộ ra các thông tin không
được phép truy cập. Tấn công và tính toàn vẹn có thể phá hoại hay thay đổi
thông tin. Tấn công vào tính sẵn sàng gây nên sự từ chối dịch vụ hệ thống. Tất
nhiên có những dạng tấn công gây hư hại cho hệ thống mà không ảnh hưởng tới
một trong ba thuộc tính trên.
Tương tự với ba thuộc tính của thông tin, bảo mật thông tin bao gồm:
- Bảo vệ tính bí mật.
- Bảo vệ tính toàn vẹn.
- Duy trì tính sẵn sàng.
Và tất nhiên, quá trình bảo mật nào cũng cần có kế hoạch. Một kế hoạch
thich hợp có thể làm giảm rủi ro và giảm thời gian tối đa cho việc phòng ngừa,
phát hiện và chống đỡ các cuộc tấn công.
2. Các giai đoạn của quá trình bảo mật thông tin
Bảo mật thông tin là một quá trình trải qua các giai đoạn xây dựng và
củng cố trong một thời gian dài. Quá trình bảo mật không bao giờ xác định được
đích đến tuyệt đối. Nói cách khác, việc bảo mật cho một hệ thống diễn ra
thường xuyên, liên tục, không ngừng nghỉ. Tuy nhiên, bạn có thể chia chúng ra
làm ba giai đoạn khá rõ ràng:

27
 - Phòng ngừa.
- Phát hiện tấn công.
- Đối phó với những cuộc tấn công.
Mỗi giai đoạn yêu cầu kế hoạch và hành động để chuyển qua giai đoạn kế
tiếp. Sự thay đổi ở một giai đoạn có thể ành hưởng tới toàn bộ quá trình.
a. Phòng ngừa
Thực hiện những công việc sau có thể giúp cho hệ thống của bạn có sức
đề kháng cao hơn với những cuộc tấn công:
- Đưa ra chính sách an toàn thông tin.
- Giáo dục nhận thức về bảo mật.
- Điều khiển quá trình truy cập.
Xây dựng chính sách an toàn thông tin là xác định những gì cần bảo vệ,
mức độ bảo vệ đối với từng đối tượng. Đông thời chính sách cũng xác định trách
nhiệm của tổ chức, kỷ luật cần thi hành, sự kiểm tra xem xét lại đối với quá trình
bảo mật.
Giáo dục nhận thức về bảo mật là quá trình giáo dục nhân viên về tầm
quan trọng của bảo mật, cách sử dụng các công cụ đo lường bảo mật, các thủ tục
báo cáo về vi phạm chế độ bảo mật và trách nhiệm chung của nhân viên khi thực
thi chính sách an toàn thông tin. Đi kèm với việc giáo dục, nên có một chế độ
khen thưởng các nhân viên thực hiện tốt việc học tập.
Điều khiển quá trình truy cập. Một người dùng không thể truy cập vào tất
cả các hệ thống của tổ chức, cũng như không thể truy cập tất cả các thông tin
trên hệ thống họ đang truy cập. Để thực hiện được điều này cần có sự quản lý
truy cập. Quản lý truy cập dựa trên phương pháp định danh và xác thực.
 Định danh là số nhận dạng duy nhất, đó là những gì một user ( máy
khách, người, phần mềm ứng dụng, phần cứng, mạng) sử dụng để phân
biệt nó với các đối tượng khác. Một user dùng định danh để tạo ra dấu
hiệu nhận biết anh/ chị là ai. Định danh được tạo ra cho user không được

28
 phép chia sẻ với bất kỳ user hay nhóm user nào khác. User sử dụng định
danh để truy cập đến các tài nguyên cho phép.
 Xác thực là quá trình xác nhận tính hợp lệ đối với một định danh. Khi
một người trình diện định danh của mình, quyền truy cập và định danh đó
phải được xác thực. Xác thực đảm bảo một mức độ tin cậy bằng ba nhân
tố sau:
o Những gì bạn biết. Mật khầu là cách được sử dụng thường xuyên
nhất. Tuy nhiên, một cụm từ bí mật hay số PIN có thể được sử
dụng. Đây là kiểu xác thực một nhân tố.
o Những gì bạn có. Nhân tố xác thực này sử dụng những gì bạn có,
chẳng hạn như một tấm thẻ nhận dạng, thẻ thông minh. Những vật
này đòi hỏi người sử dụng phải sở hữu một vật gì đó để làm vật xác
nhận. Đây là một xác thực tin cậy hơn, đòi hỏi hai nhân tố, chẳng
hạn như những gì bạn biết với những gì bạn có thể nhận thức. Kiểu
xác thực này được biết dưới cái tên gọi là xác thực hai nhân tố hay
xác thực nhiều mức.
o Những gì đại diện cho bạn. Đây là nhân tố xác thực tốt nhất. Đại
diện cho bạn có thể là dấu tay, võng mạc hay AND. Việc đo lường
các nhân tố này gọi là trắc sinh học. Quá trình xác thực tốt nhất này
đòi hỏi cả ba nhân tố. Các máy móc hoặc ứng dụng có độ bảo mật
cao sẽ dùng ba nhân tố để xác thực user.
b. Phát hiện tấn công
Không có một giải pháp bảo mật nào là hoàn hảo cho mọi tình huống.
Việc biết được khi nào hệ thống bị tấn công và bị tấn công như thế nào để có
biện pháp chống đỡ cụ thể là rất quan trọng. Việc phát hiện hiểm họa dựa trên
cơ sở bảo vệ theo lớp. Như vậy, khi một lớp bị hỏng thì hệ thống sẽ được biết và
được báo động. Yếu tố quan trọng nhất trong biện pháp này là sự phát hiện đúng
lúc và khả năng báo trước nguy hiểm. Hệ thống phát hiện xâm nhập IDS sẽ được
sử dụng cho mục đích này.

29
 Hệ thống IDS có khả năng kiểm soát các hoạt động của hệ thống và thông
báo cho người chịu trách nhiệm khi hoạt động đó cần kiểm tra chứng thực. Hệ
thống có thể dò tìm dấu vết tấn công, những thay đổi trên tập tin, cấu hình và
các hoạt động khác của hệ thống giống như một thiết bị cảnh báo cháy thông
minh có thể báo động được hỏa hoạn, chỉ ra nơi xuất phát đám cháy, đường dẫn
và thông báo cho các trạm cứu hỏa. Vấn để ở đây là, IDS phải đủ thông minh để
phân biệt được sự khác nhau giữa một hoạt động bình thường và hoạt động nguy
hại cho hệ thống, giống như việc phân biệt được hỏa hoạn thật sự với việc nấu
nướng bình thường. Điều này có thiên hướng là một nghệ thuật hơn là khoa học.
Công cụ dò tìm IDS có thể được đặt ở một chỗ hợp lý trên mạng và trên
tầng ứng dụng, có thể được điều chỉnh để làm việc với một mạng hay một máy
chủ cụ thể. Quá trình điều chỉnh IDS là ghi nhận cho nó một đe dọa biết trước,
kiểu xâm phạm, phương pháp và quá trình thâm nhập.
c. Đối phó với tấn công
Để quá trình phát hiện tấn công có giá trị thì phải có một đáp ứng đúng
lúc. Đáp ứng này cần được lên kế hoạch từ trước. Việc đưa ra quyết định quan
trọng hay xây dựng một chính sách đối phó tấn công trong khi đang bị tấn công
là một phương pháp không tốt lắm.
Có hai hướng giải quyết chính cho việc đối phó với tấn công:
Một là cắt bỏ các kết nối trái phép, loại trừ tận gốc nguyên nhân của hiểm
họa và khôi phục lại hệ thống. Phương pháp tiếp cận này mang tính khả thi
nhiều hơn khi thực thi nhiệm vụ với các máy tính mạnh và thời gian khôi phục
hợp lý. Đây cũng là phương pháp ưa thích của một tổ chức.
Hai là theo dõi và bắt giữ kẻ phá hoại. Người quản trị phải xem xét mỗi
giải pháp trong từng trường hợp cụ thể và giải quyết theo thực tế.
3. Thế nào là một hệ thống an toàn thông tin?
Ở trên, chúng ta đã bàn về các giai đoạn bảo mật thông tin. Rất nhiều
hiểm họa đang rình rập bên ngoài, nguy cơ bị mất thông tin khi truyền trên mạng

30
là thường xuyên. Chẳng hạn, việc thanh toán bằng thẻ tín dụng thông qua dịch
vụ web sẽ gặp một số rủi ro sau:
- Thông tin từ trình duyệt web của khác hàng ở dạng thuần văn bản nên có
thể bị lọt vào tay kẻ khác.
- Trình duyệt web của khách hàng không thể xác định được máy chủ mà
mình trao đổi thông tin có phải là thật hay chỉ là một website giả mạo.
- Không ai có thể đảm bảo được dữ liệu truyền đi có bị thay đổi hay
không.
Vì vậy, các hệ thống cần có cơ chế đảm bảo an toàn trong quá trình giao
dịch điện tử. Một hệ thống thông tin trao đổi dữ liệu an toàn phải đáp ứng các
yêu cầu sau:
- Hệ thống phải đảm bảo dữ liệu trong quá trình truyền đi là không bị
đánh cắp.
- Hệ thống phải có khả năng xác thực, tránh trường hợp giả danh, giả
mạo.
- Hệ thống phải có khả năng kiểm tra tính toàn vẹn dữ liệu.
V. An toàn và bảo mật trong thanh toán điện tử
Thanh toán trực tuyến là một trong những vấn đề cốt yếu của TMĐT.
Thiếu hạ tầng thanh toán, chưa thể có TMĐT theo đúng nghĩa của nó. Bạn cũng
nên biết rằng ở đâu có tiền, ở đó có kẻ trộm, trong thanh toán trực tuyến cũng
không ngoại lệ. Thậm chí nguy cơ để lộ thông tin cá nhân, thẻ tín dụng… còn
lớn hơn thanh toán ngoại tuyến. Làm thế nào để bảo đảm thông tin bạn truyền đi
sẽ không bị lấy trộm và làm cho sai lệch? Câu trả lời là mã hóa chúng. Mã hóa
thông tin tức là làm cho thông tin chỉ có thể đọc được bởi người có chìa khóa
giải mã. Dù thông tin có bị đánh cắp trong khi truyền thì kẻ trộm cũng không thể
hiểu được hắn lấy được những gì. Bốn yêu cầu về bảo mật trong thanh toán điện
tử bao gồm:
- Xác thực (Authentication): một phươn pháp kiểm tra nhân thân của
người mua trước khi việc thanh toán được xác thực.

31
 - Mã hóa (Encryption): một quá trình làm cho các thông điệp không thể
giải đoán được ngoại trừ người có khóa giải mã được cho phép sử dụng.
- Toàn vẹn (Integrity): bảo đảm rằng thông tin sẽ không bị vô tình hay ác
ý thay đổi hay bị phá hỏng trong quá trình truyền đi.
- Tính không thoái thác (Nonrepudiation): bảo vệ chống lại sự từ chối của
khách hàng đối với những đơn hàng đã đặt và sự từ chối của người bán
hàng đối với những khoản thanh toán đã được trả.
1. Phương pháp mã hóa
a. Mã hóa khóa bí mật – mã hóa đối xứng
Có rất nhiều thuật ngữ miêu tả phương pháp mã hóa khóa bí mật (Serect
Key Cryptography) bao gồm phương pháp mã hóa một khóa – đơn khóa (one
key – single key), phương pháp mã hóa khóa cá nhân (private key), phương
pháp mã hóa khóa đối xứng (symmetric-key). Để thống nhất, ta gọi phương
pháp này là mã hóa khóa đối xứng vì khái niệm “khóa bí mật” cũng được sử
dụng trong phương pháp mã hóa khóa công khai sẽ được giới thiệu ở phần sau.
Theo phương pháp này, người gửi và người nhận sẽ dùng chung một khóa để mã
hóa và giải mã. Trước khi thực hiện mã hóa dữ liệu, hai bên gửi và nhận dữ liệu
phải có khóa và phải thống nhất thuật toán dùng để mã hóa cũng như giải mã.

32
 Lược đồ mã hóa khóa đối xứng
- Bước 1: Chọn khóa và mã hóa.
- Bước 2: Gửi khóa và thông điệp đã được mã hóa (ciphertext) cho người
nhận. Khóa và thông điệp mã hóa không được gửi cùng nhau.
- Bước 3: Người nhận dùng khóa giải mã thông điệp.
Hiện nay có khá nhiều thuật toán dùng để mã hóa khóa đối xứng như:
DES – Data Encrytion Standard), 3DES – Triple-strength DES, RC2 – Rons
Cipher 2 RC4,… (DES được sử dụng nhiều nhất trong phương pháp mã hóa
khóa đối xứng).
Một số chuyên gia cho rằng, DES có thể bị phá vỡ nhưng rẩt tốn kém.
Thực tế bằng phương pháp “tấn công vét cạn” (brute force) – phương pháp thử
mọi trường hợp có thể có, mã hóa DES với chìa khóa 56 bits đã bị giải mã.
3DES sử dụng 3 chìa khóa mã hóa thay phiên nhau trong mỗi lần mã hóa để làm
DES an toàn hơn. Giao thức SET chấp nhận thuật toán DES với chìa khóa 64
bits của nó.
Ưu điểm: Quá trình mã hóa, giải mã nhanh.
Nhược điểm: Tính bảo mật không cao. Vấn để nảy sinh là làm thể nào
truyền khóa đối xứng tới tay người nhận an toàn. Nếu khóa bị đánh cắp trên
đường truyền (Man-in-the-milde Attack), thông điệp của bạn có mã hóa cũng
như không. Truyền khóa trên mạng, fax hay gọi điện đều có nguy cơ bị lấy trộm.
Cách an toàn nhất là trao tận tay nhưng không phải lúc nào cũng thực hiện được.
Hệ thống mã hóa khóa công khai được mô tả tiếp theo đây sẽ giải quyết được
vấn đề trao đổi khóa đối xứng.
b. Mã hóa khóa công khai – khóa không đối xứng.
Mã hóa khóa công khai (Public Key Cryptography) sử dụng hai khóa khác
nhau:
o Khóa công khai (public key): được gửi công khai trên mạng.
Khóa công khai không có khả năng giải mã thông tin do chính nó
mã hóa.

33
 o Khóa bí mật (private key): được giữ bí mật.

Lược đồ mã hóa khóa công khai

- Bước 1: Trao chìa khóa công khai cho người gửi. Vì khóa công khai
được “công khai” nên bạn không cần phải lo lắng nguy cơ mất trộm.
- Bước 2: Người gửi sử dụng khóa công khai của bạn mã hóa thông điệp
cần gửi.
- Bước 3: Thông điệp mã hóa được gửi đến bạn (tất nhiên không phải đưa
trực tiếp như hình vẽ).
- Bước 4: Bạn dùng khóa bí mật của mình để giải mã thông điệp.
Thuật toán dùng trong phương pháp mã hóa khóa công khai là RSA và
thuật toán DH (Diffie – Hellman).
Ưu điểm: Bảo mật cao.
Nhược điểm: Quá trình mã hóa, giải mã chậm, chỉ nên dùng cho những dữ
liệu không quá lớn. Vì vậy, phương pháp mã hóa khóa công khai thường được

34
dùng để truyền khóa của phương pháp mã hóa khóa đối xứng để tận dụng khả
năng giải mã nhanh của phương pháp này. Trên lược đồ thông điệp (plaintext) sẽ
thay bằng khóa đối xứng. Quá trình mã hóa khóa đối xứng bằng khóa công khai
sẽ tạo ra phong bì số.
Tuy có tính bảo mật cao khó có thể phá vỡ nhưng phương pháp mã hóa
khóa công khai vẫn có lỗ hổng. Bạn muốn gửi thông điệp cho A, bạn cần phải có
khóa công khai của A. Sẽ ra sao nếu kẻ lừa đảo tự tạo cho mình một cặp khóa bí
mật và công khai, sau đó hắn trao cho bạn khóa công khai của hắn vào bảo đó là
khóa công khai của A. Chẳng có gì xác thực khóa đó là của A, vì vậy bạn mã
hóa thông điệp với khóa công khai này và gửi đi. Kẻ trộm sẽ tóm lấy thông tin
và đọc được nó bởi vì hắn có khóa bí mật.
Như vậy, làm sao để chứng nhận các khóa công khai của từng cá nhân trên
mạng? Do đó, chứng chỉ số được ra đời. Chứng chỉ số (chứng chỉ điện tử) được
các tổ chức chứng thực (CA) có uy tín cung cấp cho các cá nhân, công ty.
Chứng chỉ số sẽ được đề cập ở phần sau. Mục tiếp theo xin đề cập đến khái niệm
chữ ký số (chữ ký điện tử).
2. Chữ ký số
Chữ ký số và chữ ký điện tử thường được dùng thay thế cho nhau, nhưng
chúng không hoàn toàn đồng nhất. Chữ ký điện tử rộng hơn chữ ký số. Chữ ký
điện tử là những thông tin đi kèm thông điệp để xác thực người chủ sở hữu
thông điệp như chữ ký số, chữ ký tay được truyền bằng fax, địa chỉ telex…
Chữ ký số khóa công khai (hay hạ tầng khóa công khai) là mô hình sử
dụng các kỹ thuật mật mã để gắn với mỗi người sử dụng một cặp khóa công khai
- bí mật và qua đó có thể ký các văn bản điện tử cũng như trao đổi các thông tin
mật. Khóa công khai thường được phân phối thông qua chứng thực khóa công
khai. Quá trình sử dụng chữ ký số bao gồm 2 quá trình: tạo chữ ký và kiểm tra
chữ ký.
Tạo chữ ký số:

35
 - Sử dụng giải thuật băm (hash) một chiều để thay đổi thông điệp cần
truyền đi. Kết quả thu được một message digest gọi là bản phân tích văn
bản hay tóm tắt thông điệp.
- Sử dụng giải thuật MD5 (Message Digest 5) nên thu được digest có độ
dài 128 bits.
- Tiếp tục sử dụng giải thuật SHA (Secure Hash Algorithm) nên thu được
message digest có độ dài 160 bits.
- Sử dụng khóa bí mật của người gửi để mã hóa bản phân tích văn bản
thu được ở các bước trước. Trong bước này, thông thường, người ta sử
dụng giải thuật RSA. Kết quả thu được trong bước này là chữ ký điện tử
của thông điệp ban đầu.
- Gộp chữ ký điện tử vào thông điệp ban đầu. Công việc này gọi là ký
nhận thông điệp.
- Sau khi đã ký nhận thông điệp, mọi sự thay đổi trên thông điệp sẽ bị
phát hiện trong giai đoạn kiểm tra. Ngoài ra, việc ký nhận này đảm bảo
người nhận tin tưởng vào thông điệp này xuất phát từ người gửi chứ
không phải ai khác.
Sau khi nhận được thông điệp có đính kèm chữ ký điện tử người nhận
kiểm tra lại thông điệp:
- Người nhận sử dụng khóa công khai của người gửi để giải mã chữ ký
điện tử đính kèm trong thông điệp.
- Sử dụng giải thuật MD5 hay SHA để băm thông điệp đính kèm.
- So sánh kết quả thu được ở hai bước trên. Nếu trùng nhau thì ta kết luận
thông điệp này không bị thay đổi trong quá trình gửi, người gửi là chính
xác và ngược lại.

36
 Lược đồ tạo và kiểm tra chữ ký số

Bản chất của thuật toán tạo chữ ký sổ là đảm bảo nếu chỉ biết thông điệp
thì rất khó (hầu như không thể) tạo ra chữ ký số của người gửi nếu không biết
khóa bí mật của người gửi. Nên nếu phép so sánh cho kết quả đúng thì có thể
xác nhận người gửi là chính xác.
Tuy nhiên khi tạo chữ ký số, người gửi thường không mã hóa toàn bộ
thông điệp với khóa bí mật mà chỉ thực hiện với bản băm của thông điệp (bản
tóm tắt thông điệp 160 bits) nên có thể xảy ra trường hợp hai thông điệp khác
nhau có cùng bản băm nhưng với xác xuất rất thấp.
3. Chứng chỉ số
Phương pháp mã hóa khóa công khai đã thực hiện được yêu cầu mã hóa,
chữ ký số đã đảm bảo được tính toàn vẹn (thực chất là phát hiện sự thay đổi của
thông điệp trên đường truyền chứ không ngăn cản được sự thay đổi) và xác thực

37
được người gửi. Trở lại vấn đề giả mạo khóa công khai, vấn đề này đòi hỏi xác
thực người nhận là ai. Điều này chữ ký số chưa thực hiện được. Vì vậy, để đáp
ứng nhu cầu đó một hệ thống tổ chức đã ra đời để các cung cấp chứng chỉ số.
Chứng chỉ số là một file điện tử dùng để xác thực danh tính một cá nhân,
một máy chủ hay một công ty, tổ chức trên Internet. Bạn có thể hình dung chứng
chỉ số tương tự như bằng lái xe, chứng minh thư hay những giấy tờ xác minh cá
nhân khác.
a. Nhà cung cấp chứng chỉ số (CA)
Cũng như các giấy tờ chứng thực cá nhân khác, chứng chỉ số phải do một
tổ chức đứng ra chứng nhận những thông tin của bạn là chính xác. Tổ chức đó
gọi là nhà cung cấp chứng chỉ số (Certificate Authority – CA). Các CA phải
đảm bảo về độ tin cậy, chịu trách nhiệm về độ chính xác của chứng chỉ số mà
mình cấp cho khách.
b. Nhà quản lý đăng ký
Một nhà quản lý đăng ký là một cơ quan thẩm tra trên một mạng máy
tính. Nó có chức năng xác minh yêu cầu của người sử dùng muốn xác thực một
chứng chỉ số và yêu cầu CA đưa ra kết quả.
c. Cơ sở hạ tầng khóa công khai (PKI)
Cơ sở hạ tầng khóa công khai (Public Key Infrastructure – PKI) là một hệ
thống cho phép các công ty và người sử dụng trao đổi thông tin và hoạt động tài
chính một cách an toàn. Nói chung, nó cho phép người dùng sử dụng một mạng
công cộng không bảo mật, Internet chẳng hạn, để trao đổi thông tin kể cả tiền
bạc một cách an toàn thông qua việc sử dụng mã hóa khóa công khai. Nhưng
không phải ai cũng biết cách tạo cho mình một cặp khóa công khai và bí mật
cũng như thực hiện chữ ký số. Một CA có uy tín sẽ cung cấp cặp mã hóa khóa
công khai đến người dùng, đồng thời cũng cung cấp chứng chỉ số dùng để xác
minh người dùng đó.
Một cơ sở hạ tầng khóa công khai bao gồm các thành phần cơ bản sau:
- Một nhà cung cấp chứng chỉ số

38
 - Một nhà quản lý đăng ký đóng vai trò thẩm tra trước khi một chứng chỉ
số được cung cấp tới người dùng.
- Một hoặc nhiều danh mục, nơi các chứng chỉ số cùng với khóa công
khai của nó được lưu trữ để phục vụ nhu cầu tra cứu, lấy khóa công
khai của đối tác.
- Một hệ thống quản lý chứng chỉ số.
Các thành phần của một chứng chỉ số:
- Thông tin cá nhân của người được cấp.
- Khóa công khai của người được cấp.
- Chữ ký số của nhà cung cấp (còn gọi là chứng chỉ gốc) chứng chỉ số có
vai trò như con dấu, đảm bảo tính hợp lệ và chính xác của chứng chỉ số.
- Ngày hết hạn.
- Các thông tin khác tùy theo cơ sở hạ tầng khóa công khai.
d. Ứng dụng của chứng chỉ số
Mã hóa thông tin. Mã hóa thông tin với khóa công khai đảm bảo chỉ có
người chủ của khóa công khai đó mới đọc được. Dù thông tin có bị đánh cắp
trên đường truyền thì tính bí mật của thông tin vẫn được đảm bảo.
Toàn vẹn thông tin. Chữ ký số có thể cho bạn biết thông tin có bị thay đổi
trên đường truyền hay không. Nhưng nó không bảo vệ thông tin không bị sửa
đổi.
Xác thực. Người gửi có thể biết chắc rằng thông tin đã gửi đến đúng
người hay chưa nhờ vào việc xác thực khóa công khai của người nhận. Người
nhận cũng có thể biết người gửi có phải là đối tác thực sự hay không nhờ vào
chữ ký số.
Chống chối cãi nguồn gốc. Khi sử dụng chứng chỉ số, người gửi phải
chịu trách nhiệm hoàn toàn về những thông tin có chứng chỉ số đi kèm. Chứng
chỉ số có thể xem như bằng chứng để khẳng định tác giả của gói tin khi anh ta cố
tình chối cãi, phủ nhận dữ liệu không phải do mình gửi đi.

39
 Bảo mật email. Email là một công cụ giao tiếp tiện lợi và dễ sử dụng,
nhưng cũng có rất nhiều lỗ hổng. Thông điệp có thể bị lấy đi và thay đổi trước
khi đến tay người nhận. Với chứng chỉ số mà cụ thể là chữ ký số, người nhận có
thể biết được thông tin mình nhận là của ai và có được bị biến đổi hay không.
Bảo mật web. Loại chứng chỉ số này cung cấp cho website một định danh
duy nhất nhằm đảm bảo với khách hàng về tính xác thực và tính hợp pháp của
website. Phổ biến là chứng chỉ số SSL Server, cho phép người dùng cấu hình
website theo giao thức bảo mật SSL sẽ giới thiệu ở phần sau. Trang web được
bảo mật bởi giao thức SSL có biểu tượng cái khóa đóng ở thanh URL.
Chống sao chép lậu phần mềm. Với chứng chỉ số, các nhà sản xuất phần
mềm có thể “ký” vào phần mềm của mình. Khách hàng có khả năng phát hiện ra
dấu hiệu crack hay chép lậu phần mềm.

40
 CHƯƠNG II. THỰC TRẠNG VÀ GIẢI PHÁP CHO VẤN ĐỂ AN TOÀN
VÀ BẢO MẬT TRONG THƯƠNG MẠI ĐIỆN TỬ
I. Bảo vệ mạng doanh nghiệp
1. Firewall
Bức tường lửa (firewall) là hàng rào chắn đầu tiên của mạng doanh
nghiệp chống lại những sự dòm ngó từ bên ngoài. Chưa có định nghĩa rõ ràng
cho firewall nhưng những sản phẩm trong lĩnh vực này vẫn đảm bảo một trong
hai tiêu chuẩn chính là gateway (thiết bị điều khiển giao dịch giữa các mạng dựa
trên địa chỉ mạng) và bộ lọc các gói thông tin (packet filter). Một số sản phẩm
phối hợp cả hai tiêu chuẩn trên.
Bản thân gateway cũng có nhiều hình thức khác nhau như cổng ứng dụng
hạn chế người dùng truy cập vào một ứng dụng nào đó. Tuy có độ an toàn cao
nhưng điểm yếu của gateway khó cấu hình và tốc độ chậm. Vì toàn bộ lưu thông
cả trong và ngoài luồng đều phải đi qua một điểm kiểm soát là gateway sẽ gây ra
các tắc nghẽn dữ liệu nghiêm trọng. Vì vậy người ta thường trộn lẫn kỹ thuật
này với bộ lọc gói thông tin.
Bộ lọc gói thông tin kém an toàn hơn. Nó gửi đi những gói giao thức
Internet Protocol (IP) theo địa chỉ khởi đầu của gói thông tin. Một gói chỉ được
chấp nhận khi nó gửi đi từ 1 điểm đã đuợc đăng ký. Điều đó đảm bảo rằng các
gói thông tin từ những người dùng hợp pháp sẽ có thể đi vào mạng được, còn
các nguồn khác thì không.
Tuy nhiên, do cấu trúc không phức tạp, ví dụ như loại chuẩn với nhiều loại
router khác nhau, nên bộ lọc các gói thông tin có thể bị dễ dàng thay đổi để trở
thành như một gói thông tin đến từ một hệ thống hợp pháp.
Một cách tiếp cận an toàn hơn đòi hỏi phải có bộ lọc gói thông tin kiểm tra tính
hợp pháp của gói thông tin đó và cũng để đọc dữ liệu trong nó. Kỹ thuật này cho
phép firewall thực hiện những động tác đặc biệt trên cơ sở thông tin nó đã được
đọc (ví dụ như ngắt kết nối FTP khi giao dịch hoàn tất). Nhiều bộ lọc gói thông

41
còn phân tích được đến từng packet riêng để đảm bảo rằng nguyên bản về mặt
vật lý phù hợp với địa chỉ IP của nó.
Trong hai lựa chọn về firewall trên, bộ lọc gói thông tin có vẻ ưu thế hơn, nhất
là những sản phẩm có cài đặt sẵn “trí tuệ”. Bộ lọc gói thông tin này hiện nay
đang trở thành một tiêu chuẩn trong lĩnh vực an toàn trên Internet.
Bên cạnh việc giúp chống lại những tên trộm chương trình và người dùng
bất hợp pháp, firewall còn có tác dụng trong việc ngăn chặn virus tin học và các
mã lạ, mặc dù việc sử dụng khía cạnh công nghệ này còn chưa được phổ biến.
Các công cụ có thể quét được virus khi dữ liệu đến firewall hiện đang bắt đầu có
trên thị trường. Frend Micro Inc. chẳng hạn đưa ra InterScan VirusWall. Sản
phẩm này chạy trên các hệ thống của Sun Solaris và có thể quét được một số
virus trên e-mail và FTP, gồm cả unencode, base64, binhex và PKZIP đối với
các loại virus có thể. Người ta có thể làm cho nó có khả năng thông báo đến cho
nhiều người về một nguy cơ có thể xảy ra, lưu file đe doạ bị hỏng vào vùng an
toàn hay xoá hẳn nó đi. Giá khởi điểm là 20USD cho 50 người sử dụng và tất
nhiên cho nhiều người dùng thì giá rẻ hơn nữa.
Ngoài ra, firewall còn giúp chống các loại virus bằng cách hạn chế truy
cập tới người dùng hợp pháp. Tuy nhiên, có người lại phản đối việc sử dụng
firewall như một công cụ phòng chống virus, bởi đối với một tên trộm chương
trình chuyên nghiệp, việc “trèo qua” firewall bằng những thủ thuật dấu hoặc nén
mã quả là dễ dàng.
2. Công nghệ tunnell
Trong khi các loại firewall đang đảm đương nhiệm vụ bảo vệ an ninh
mạng cho Internet thì nhiều tổ chức vẫn tiếp tục tìm kiếm một công nghệ khác
tốt hơn và hiện nay tunnelling – khái niệm về việc sử dụng gói IP được mã hoá
để tạo nên một mạng riêng biệt ảo (VPN – Vitual Private Network), đang bắt
đầu được chấp nhận.
Hy vọng chi phí thấp cho mạng là lí do chính yếu của những ai đang quan
tâm đến tunnell, đặc biệt là những công ty cần kết nối nhiều mạng hoặc nhiều

42
nhân viên làm việc ở xa mạng. Hay cụ thể hơn nữa là những công ty cần kết nối
hai mạng LAN riêng biệt đặt xa nhau bằng một đường dây riêng tạo thành một
mạng WAN. Với tunnell, các mạng được nối với nhau qua Internet, từ firewall
này đến firewall kia, và dữ liệu được gửi qua những gói IP được mã hoá. Về bản
chất đây là sự chuyển từ việc sử dụng đường dây thuê bao (leased-line) đắt tiền
sang một Internet rẻ hơn.
Công nghệ Tunnell còn có thể được sử dụng để bảo vệ cho những mạng
riêng biệt trong một công ty. Ví dụ, firewall có thể ngăn chặn những nhân viên
không hợp pháp thuộc phòng kế toán của công ty muốn truy cập file trên mạng
của phòng quản lí nhân sự.
Thông tin gửi qua các tunnell Internet được đảm bảo an toàn đến từng bit như
phương pháp truyền bằng đường thuê bao. Việc kết nối từ một PC đến mạng khi
một nhân viên ở xa văn phòng muốn thực hiện cũng dễ như kết nối giữa hai
mạng với nhau.
Tuy nhiên tunnell cũng thể hiện một vài điểm yếu, đặc biệt là về khả năng
tương thích. Thực tế là các công nghệ tunnell hiện nay do nhiều nhà sản xuất
khác nhau cung cấp, điều đó có nghĩa là tất cả các điểm cuối của một mạng (cả
về phía mạng và người sử dụng từ xa) phải được xem xét và phối hợp với nhau
chặt chẽ.
Một nhược điểm khác là những người ủng hộ cho tunnell lại bị hạn chế
“tính tuyệt đối”, điều mà họ nghiễm nhiên có được khi sử dụng các đường thuê
bao. Nhưng theo kinh nghiệm của Digital thì tunnell có tốc độ cao hơn một
đường thuê bao 56Kbps.
3. Những hạn chế về mặt an toàn
Mặc cho firewall và tunnel phô trương sức mạnh của mình, người ta vẫn
khuyên chỉ nên coi chúng những chiếc hòm có khoá chứ không không phải hầm
cất tiền kiên cố của nhà băng. Và đặc biệt là firewall không thể đảm bảo cho
toàn bộ nhu cầu an toàn đối với đường nối vào Internet của một công ty. Điều

43
này giống như bạn phải xây dựng một bức tường bao xung quanh thành phố vì
không muốn mỗi gia đình trong thành phố phải khoá cửa nhà họ.
Để đạt được hiệu quả tối đa, firewall phải được thiết kế một cách sáng tạo
và thông minh mới đáp ứng được nhu cầu của người sở hữu nó. Điều đó có thể
là cất những file không thể sử dụng công khai vào một server riêng được vảo vệ
kĩ càng hay hạn chế bớt một vài tính năng của server.
Nhưng firewall hay tunnel gì thì cũng chỉ tốt như kế hoạch an toàn mà nó
hỗ trợ. Firewall thương khong được sử dụng một cách đúng đắn. Có thể có rất
nhiều lỗ hổng trên firewall nếu đó là công cụ bảo toàn duy nhất. Điều đó cũng
giống như việc xây một cổng khổng lồ bằng đã giữa sa mạc.
Những nhân viên trung thực nhưng không được hướng dẫn đầy đủ cũng
có thể gây hại cho tính an toàn của Internet bất cứ lúc nào. Giá modem bây giờ
rất rẻ vì thế người ta có thể cài đặt chúng trức tiếp lên máy tính của họ và quay
số vào buổi tối để tránh những bất tiện do firewall gây ra.
Ngoài ra, còn một số không nhỏ các nhân viên đã để cho password, địa
chỉ IP và khoá mã của họ rơi vào tay người lạ. Công nghệ là một thứ công cụ
tuyệt vời nhưng nó không thể thay thế nhưng nguyên tắc bảo mật truyền thống
như việc thay đổi thường xuyên password, giải thích cho các nhân viên hiểu rõ
những đe doạ an ninh có thể xảy ra. Thậm chí với công nghệ Tunnel, việc quản
lí an ninh luộm thuộm có thể gây ra những rắc rối đau đầu. Các công ty cũng cần
phải xem xét tính an toàn trên Internet từ bên ngoài. Việc giảm bớt những gì đi
ra từ Internet cũng quan trọng như hạn chế những gì đi vào đó.
4. Việc quản lí an ninh
Người ta đã nhận thấy việc thực hiện, định cấu hình hay quản lí firewall
hoặc tunnel là công việc phức tạp và khó khăn với nhiều công ty. Từ khi các
firewall điển hình hay phối họp firewall-tunnel được cấu thành bởi nhiều công
cụ, thường là từ những nhà sản xuất khác nhau, việc đưa công nghệ vào thực
hiện những gì có thể là rất đơn giản. Mặc dù hầu hết các sản phẩm đều đưa ra
giao diện sử dụng đồ hoạ (GUI), còn những tính năng khác được thiết kế theo

44
hướng dễ sử dụng thì thách thức vẫn còn đó. Công nghệ tunnel có thể trở nên
đặc biệt rối rắm. Đây không phải là loại công nghệ mà một ai đó có thể đọc bảng
hướng dẫn rồi có thể mua ngay nó.
Các công ty và các nhà quản lí cũng nên phải theo sát thị trường để có thể
chọn ra các giải pháp an ninh cho Internet. Nếu chỉ có một sản phẩm duy nhất
được tung ra trên thị trường, tất cả mọi người sẽ dùng nó. Sự lựa chọn phải được
dựa trên cơ sở môi trường và giá cả cuối cùng đối với công ty của bạn nếu
những thông tin quan trọng lại đi lạc địa chỉ.
5. Cấu hình an ninh cho mạng doanh nghiệp
Trên cơ sở cấu hình mặc định, bạn có thể sử dụng tiện ích Local sercurity
Policy (cho mạng Workgroup) hoặc Domain Sercurity Policy (cho mạng
domain) để chỉnh sửa các tham số nhằm tăng cường bảo mật. Nếu như mạng
thông suốt, mọi phần mềm đều chạy tốt thì bạn có thể an tâm sử dụng nó trong
một thời gian khá dài.
Nếu như bạn không thay đổi, tức là vẫn giữ cấu hình mặt định, hệ thống của
bạn chưa chắc đã an toàn. Bởi cấu hình mặc định thực chất là cấu hình 0, nghĩa
là không bảo mật. Windows có hàn trăm tham số an ninh. Những chỉnh sửa cũng
chỉ có thể thay đổi cỡ 10% số tham số, các service pack và hotfix thay đổi cỡ
1%, tổng cộng là 11%, nghĩa là không có thay đổi đáng kể gì trong cấu hình an
ninh.
Trong khi lắp đặt, bạn nên biết rằng bảo mật tỉ lệ nghịch với chức năng.
Khi bắt đầu tăng cường bảo mật thì bạn phải hạn chế dịch vụ của máy, hạn chế
quyền sử dụng của người dùng. Việc này sẽ khiến người dùng mất tiện nghi,
một số ứng dụng ngừng hoạt động, mạng không còn thông suốt nữa. Mặt khác
tăng cường bảo mật đi đôi với kiểm định, tức là ghi lại nhiều hành động của
người dùng. Việc này khiến hệ thống chạy chậm lại. Khi quá trình này ghi lại
quá nhiều đến mức không thể ghi được nữa, để đảm bảo an ninh mạng, hệ thống
sẽ từ chối dịch vụ (tự shutdown). Khi đó, bạn đã tự giết mình một cách hoàn
hảo. Do đó, khi thiết kế hệ thông ở bất cứ chỗ nào có thể đánh đổi hiệu năng

45
công việc để đổi lấy mức bảo mật, người thiết kế phải đặt ra tham số an ninh, và
đặt cho tham số một giá trị mặc định nào đó. Giá trị mặt định đó tương ứng với
hiệu năng công việc cực đại mức bảo mật cực tiểu.
Cấu hình an ninh là tập hợp các tham số an ninh. Một tham số an ninh là
một tham số có ảnh hưởng mạnh đến an ninh của hệ thống như độ dài tối thiểu
cho phép của mật khẩu. Cấu hình an ninh không phải là toàn bộ mà chỉ là một
phần của chính sách an ninh. Chẳng hạn xét chính sách an ninh sau đây:
• Người dùng không được bỏ trống mật khẩu
• Người dùng không được thay đổi/xoá bỏ các tập tin chương trình
• Người dùng không được không được nhận và gửi các tập tin có virus
• Người dùng không được sao chép dữ liệu của công ty
• Người dùng không được giải trí qua Internet quá nhiều trong giờ làm việc.
Điều 1 áp đặt bằng cấu hình an ninh. Điều 2 có thể áp đặt bằng cấu hình
an ninh. Các điều còn lại chỉ có thể áp đặt bằng những phương tiện khác.
Trong Windows 2000/XP/2003, khi chạy chương trình Local sercurity
Policy ta sẽ nhìn thấy toàn bộ cấu hình an ninh mạng. Có thể mở rộng cấu hình
an ninh, nghĩa là thêm vào đó các tham số an ninh. Những tham số thêm này
không phải từ trên trời rơi xuống mà chúng có sẵn trong hệ thống. Bạn chỉ đơn
giản đưa chúng vào danh sách các tham số an ninh mà thôi. Giá trị tham số an
ninh có thể không xác định.
Chương trình Local sercurity Policy dùng để sửa đổi cấu hình an ninh nội
bộ. Trong domain bạn có thêm va công cụ là Domain Sercurity Policy, Domain
Controller Sercurity Policy, Group Policy Edit để sửa đổi cấu hình Domain.
Trong Windowsgroup không tồn tại công cụ nào tương tự. Cấu hình domain xác
định vài tham số chung cho mọi máy, mọi người trong domain. Domain có thể
trải ra trên nhiều site. Trường hợp này gặp ở doanh nghiệp với vài cơ sở rải rác
trên địa bàn rộng. Mỗi site có cấu hình riêng, mỗi cấu hình site xác định các
tham số chung cho mọi máy trong site.

46
 Domain chứa các organisation units (OU), chẳng hạn Domain Controller,
Servers, Workstations, Users… Khi nhấp chuột vào OU Properties/Group
Policy, bạn sẽ thấy mỗi OU đều có thể có cấu hình riêng. Mỗi cấu hình OU xác
định tham số chung cho mọi máy (hoặc người dùng trong OU). Đối với một
máy, một người cụ thể thì các cấu hình được áp dụng chồng nhất; nghĩa là cái
sau bổ sung cho cái trước hoặc đè lên cái trước đó, theo trình tự local, site,
domain, OU.
Thực chất, cấu hình an ninh nằm trong tiện ích Registry và những chương
trình nói trên đều là những chương trình biên tập Registry; nghĩa là mọi sửa đổi
được áp dụng ngay và có tác dụng sau vài giây đến vài giờ kể từ khi áp dụng.
Nhưng thường bạn không muốn áp dụng ngay mà muốn nghiên cứu, chỉnh sửa
cẩn thận trước khi ap dụng. Hơn nữa, trong Workgroup, bạn muốn áp dụng một
cấu hình mẫu cho nhiều máy. Như vậy, cần phải có phương tiện. Hãy thực hiện
như sau:
• Xuất cấu hình từ registry ra file
• Nhập file cấu hình vào registry
• Biên tập file cấu hình
Microsoft có phát hành sách giải thích ý nghĩa của từng tham số an ninh
và ảnh hưởng của chúng đến bảo mật hệ thông Windows 2000, Windows XP và
Windows Server2003. Kèm theo mỗi sách là cấu hình an ninh mẫu cho từng loại
máy như domain controller, member server, member workstation, member
laptop…Đối với Windows 2000, mẫu cấu hình máy chỉ có một cấu hình mẫu.
Đối với Windows XP mỗi loại máy có hai cấu hình mẫu tương ứng với hai mức
bảo mật Enterprise và High Secure. Đối với Windows Server2003 mỗi máy
cũng có 2 cấu hình như vậy.
Như ở trên đã nói, cấu hình mặc định là cấu hình không, và cấu hình dẫn
xuất từ mặt định sau khi chỉnh sửa bằng tay và patch bằng các service
pack/hotfix là cấu hình chỉnh sửa chỉ 11% của toàn bộ tham số có thể cấu hịnh.

47
Sau khi đã xem xét, so sánh và chấm điểm thì các cấu hình mẫu của Microsoft
và NSA được điểm như sau:
• Microsoft Enterprise Client: 0.9
• Microsoft High Secure: 1
• NSA: 1
So với cấu hình Enterprise Client, High Secure tắt đi một số dịch vụ và
bật thêm một vài audit. Đây là điểm khác biệt quan trọng nhất. Ngoài ra, nhiều
tham số bảo mật cũng thay đổi mức bảo mật tăng lên đáng kể và hiệu năng công
việc giảm đi không đáng kể. Cấu hình Microsoft High Secure và cấu hình NSA
gần như trùng nhau, thể hiện cùng một quan điểm thiết kế, nên được chấm điểm
ngang nhau. Tuy vậy, khi so sánh chúng với nhau, có thể thấy chỗ khác biệt
quan trọng:
• Cấu hình NSA loại trừ nhóm Power Users còn cấu hình Microsoft thì
không loại trừ nhóm này. Nên biết rằng khác với Users, Power User có
quyền thay đổi các file/thư mục trong một chương trình và nhiều nơi
nhạy cảm trong registry, cùng một vài đặc quyền khác.
• Cấu hình NSA xác lập thuộc tính bảo mật cho registry và các file/thư
mục chương trình, còn cấu hình Microsoft thì không có phần này. Nên
biết rằng cho đến nay, rất nhiều chương trình vẫn lưu dữ liệu trong thư
mục làm việc của mình trong program files và nhiều nơi nhạy cảm
registry.
Cho người dùng đặc quyền Users thì an toàn hơn Power Users rất nhiều.
Tuy nhiên, đối với những phần mềm như legacy, Power Users thì chúng có thể
sẽ là một giải pháp khả thi hơn.
Thuộc tính bảo mật cho registry và các file chương trình đã được xác lập
đúng đắn ngay sau khi cài đặt Windows, nên chỉ có thể bị làm yếu đi do Admin
tự tay thay đổi, hoặc do virus/spyware chạy bằng quyền admin. Thuộc tính bảo
mật sẽ được phục hồi lại như cũ khi được cập nhật định kì theo cấu hình an ninh
(nghĩa là khoảng vài giờ sau đó) nếu dùng cấu hình NSA, hoặc khi tình cờ phát

48
hiện ra thay đổi nếu dùng Microsoft. Trường hợp nào cũng là quá muộn để ngăn
chặn tác hại của virus/spy. Mặt khác, một phần mềm khi cài đặtcó thể làm yếu
các thuộc tính vảo mật của một vài file dữ liệu nào đó để nhóm Users có thể ghi
vào. Việc cập nhật thuộc tính bảo mật theo cấu hình NSA làm phần mềm đó
ngưng hoạt động.
Trong khi mọi phần mềm ứng dụng thông thường, kể cả phần mềm legacy
đều thích ứng tốt với NSA, hầu hết phần mềm hệ thống, kể cả những phẫn mềm
mới nhất, đều tỏ ra di ứng với NSA. Mcafee Active VirusScan, Sygate Prosonal
Firewall …khi được cài đặt thì đều không thể boot máy. Kasperky, Antivirus/
Firewall, F Secure Client Security thì xung đột với các chương trình sử dụng
Internet và làm treo máy. Symantec Antivirus làm chậm lại máy một cách kì
quái khi check mail…
Đối với môi trường Windows 2000, và Windows XP dùng cấu hình an
ninh Microsoft High Secure. Thử nghiệm với F Secure, Symantec và
TrendMicro, cả ba chương trình này đều chạy tốt cho ấn tượng ban đầu là môi
trường này dường như đảm bảo tốt, tương thích với các phần mềm.
Bảo mật dữ liệu
Nếu như trong phần trước, chủ đề hướng tới bảo mật hệ thống thì trong
phần này chủ đề hướng tới bảo mật dữ liệu người dùng.
Trong Windows, trên một partition đuợc format dưới dạng NTFS thì có
thể thiết lập thuộc tính bảo mật cho từng thư mục. Cụ thể, trên mỗi thư mục, mỗi
nhóm có thể có từ 0 đến 6 quyền truy nhập: Full Control, Modify, Read &
Execute, List Folder Contents, Read và Write. Quyền truy nhập của mỗi thư
mục F có thể được truyền lại cho các file trực tiếp thuộc F, cho các thư mục con
của F, và các file thuộc thư mục con của F. Tương tự, quyền truy nhập của một
nhóm G được truyền lại cho người dùng trực tiếp thuộc G, cho các nhóm con
của G,và các người dùng thuộc nhóm con của G.
Ví dụ, bạn có thể xác lập thuộc tính bảo mật cho thư mục D:\ như sau:

49
 • Administrator có quyền Full Control với thư mục, thư mục con và các
file trong D
• System có quyền Full Control với thư mục, thư mục con và các file
trong D
• Users có quyền Read & Execute với thư mục, thư mục con và các file
trong D
• Creator Owner có quyền Full Control chỉ với thư mục con và các file
trong D
Luật 1, 2 và 3 cho Admins và System toàn quyền kiểm soát Partition D:\ và cho
người dùng quyền đọc, nhưng không được thay đổi Partition D:\. Tuy nhiên nếu
chỉ như vậy thì đối với một thư mục hay một file trong D:\, Creator Owner chỉ
có thể là System hoặc một Admin vốn dĩ đã có quyền kiểm soát theo luật 1 & 2
rồi. Vậy luật 4 dùng để làm gì? ý đồ của luật này là về sau, trên một số thư mục
con nào đó của D:\, Admin sẽ đặt thêm luật, tức là cấp thêm quyền truy nhập để
mỗi người dùng có thể tạo lập những thư mục riêng tự mình kiểm soát. Cái hay
của luật 4 nói riêng hay của toàn bộ Creator Owner nói chung là:
• Admin chỉ tạo điều kiện cho Users tạo lập folder chứ không phải đích
thân làm công việc đó.
• Mặc dù Admin tạo điều kiện cho cả nhóm Users một cách tổng quát
chứ không cần quan tâm đến từng Users, nhưng vẫn đảm bảo được sự
phân biệt quyền truy nhập giữa Users tạo lập thư mục với những Users
khác.
Luật gì cần đặt thêm? Câu hỏi này buộc ta quay lại phần đầu một chút.
Sáu quyền truy nhập đã giới thiệu ở trên thực ra không độc lập với nhau. Thực
tế, mỗi quyền trong số đó đều là tổ hợp của một số quyền trong 14 quyền truy
nhập sơ cấp độc lập hoàn toàn với nhau. Xin không liệt kê cả 14 quyền truy
nhập sơ cấp ở đây, mà chỉ lấy 2 quyền làm thí dụ là quyền đoạt chủ quyền và
quyền thay đổi quyền. Quyền Full Control chẳng hạn là tổ hợp của 14 quyền
truy nhập sơ cấp. Danh sách đầy đủ của 14 quyền truy nhập sơ cấp cũng như cấu

50
tạo của 6 quyền truy nhập tổ hợp có thể tìm thấy trong Windows Help “file
folder permission”, hay trong bất cứ quyển cẩm nang Windows nào.
Trước khi nói đến loại dữ liệu thứ ba, xin nhắc tới vài đặc quyền trong cơ
chế kiểm soát truy nhập (của Windows và không chỉ riêng Windows) mà nếu
bạn lạm dụng có thể ảnh hưởng xấu đến an ninh:
• Người chủ có quyền thay đổi quyền truy nhập thư mục/file của mình.
• Admin có quyền reset mật khẩu của mọi người dùng.
• Admin có quyền đoạt chủ quyền của mọi file/thư mục kể cả file và thư
mục mà tài khoản người chủ không còn tồn tại nữa.
Và một đặc điểm có tác dụng tốt cho an ninh: chủ quyền file/thư mục
không thể trao mà chỉ có thể đoạt. Sau khi đoạt được chủ quyền, bạn không có
cách nào trao trả lại chủ quyền cho người chủ cũ mà thiếu sự hợp tác của người
đó. Chúng ta cũng đã nghe nói về dữ liệu public và private. Ngoài hai loại này
còn có một loại thứ 3 nữa gọi là “dữ liệu doanh nghiệp”. Ví dụ như dữ liệu kế
toán. Đặc trưng của loại dữ liệu này là mội thư mục, mỗi file đều có một người
dùng chịu trách nhiệm quản lí và vì thế có quyền cập nhật, bên cạnh một số
người khác có nhu cầu biết, và vì thế có quyền đọc. Không được phép để người
chủ file có quyền gì hơn so với người khác có quyền cập nhật. Hay nói cách
khác khái niệm chủ quyền không được phép đóng vai trò gì đối với loại dữ liệu
này. Đây có lẽ là loại dữ liệu được quan tâm bảo toàn và bảo mật nhiều nhất.
Thực ra đọc và cập nhật thư mục/file mới chỉ là những quyền truy nhập
dữ liệu hết sức thô thiển. Chúng không cho phép bạn phân biệt, chẳng hạn, giữa
hành động đọc văn bản trong một thư mục với hành động sao chép nguyên cả
100GB dữ liệu từ thư mục đó. Chúng hoàn toàn hành động “thu” và “chi” trên
một tài khoản qua một phiên giao dịch với khách hàng. Kiểm soát truy nhập chặt
chẽ đòi hỏi một sự phân quyền truy nhập tinh vi hơn.
Người dùng làm việc với dữ liệu thông qua phần mềm. Khi nhìn ở tầm
cao, coi dữ liệu cùng với phần mềm như một đối tượng, thì việc “đọc văn bản”
hay “sao chép”, “thu” hay “chi” là những hành động truy nhập ở mức cao, mức

51
đối tượng. Chúng tôi kết thúc vấn đề kiểm soát truy nhập với kết luận rằng một
chính sách kiểm soát truy nhập chặt chẽ chỉ có thể thi hành khi chúng ta ngăn
chặn mọi con đường truy nhập dữ liệu ở mức file/thư mục, buộc người dùng
truy nhập dữ liệu ở mức đối tượng thông qua những phần mềm cho phép phân
quyền chi tiết như quyền sử dụng từng record, field, từng lệnh hoặc từng menu.
II. Giải pháp an toàn trong thanh toán điện tử
Như đã giới thiệu ở trên, cách tốt nhất bảo đảm an toàn trong thanh toán
điện tử là mã hóa các thông tin cần được truyền đi trên mạng. Hiện nay có nhiều
giao thức được sử dụng cho phép thực hiện giao dịch trong không gian ảo. Bản
chất của giao dịch cũng chỉ là sự chuyển tiền từ tay người này qua người khác.
Trong phần này chúng ta sẽ xem xét hai giao thức mở cho phép thực hiện giao
dịch an toàn, đó là SSL và SET.
1. Giao thức tầng cắm an toàn (Secure Sockets Layer – SSL)
Giao thức SSL được thiết kế bởi Nestcape như là một phương pháp bảo
đảm sự an toàn của kết nối khách (client) – chủ (server) trên môi trường
Internet. Trong khi Nestcape thiết kế SSL, Microsoft và các hãng khác cũng
nhanh chóng tham gia, và hiện nay hầu như mọi trang web đều hỗ trợ việc
truyền dữ liệu sử dụng giao thức SSL.
Về cơ bản, giao thức SSL hoạt động ngay dưới các giao thức ứng dụng
(như HTTP, SMTP,Telnet, FTP, Gopher và NNTP) và nằm trên giao thức mạng
TCP/IP. Điều đó cho phép SSL vận hành độc lập đối với các giao thức ứng dụng
mạng. SSL sử dụng phương pháp mã hóa khóa công khai đã giới thiệu ở trên,
với thuật toán RAS dùng để mã hóa. SSL cho phép:
- Client và server nhận dạng lẫn nhau.
- Sử dụng chứng thực số để chứng thực tính toàn vẹn.
- Mã hóa toàn bộ thông tin để đảm bảo tính bí mật.
Để làm được điều này cần có một máy chủ bảo mật, đó là lý do tại sao bạn
thường nhận được thông báo kiểu này:

52
 Các máy chủ bảo mật thường có chuỗi HTTPS và hình chiếc khóa trong
URL thay vì HTTP như bình thường.
Quá trình bạn bắt đầu một phiên làm việc với một máy chủ web dưới sự
bảo mật của SSL được gọi là “quá trình bắt tay”. Một quá trình bắt tay bao gồm:
- Trình duyệt và server quyết định cấp độ và cách thức mã hóa dùng cho
phiên làm việc.
- Trình duyệt và server tạo và chia sẻ chìa khóa dùng để mã hóa.
- Trình duyệt yêu cầu và nhận chứng thực số từ server (không bắt buộc).
- Server yêu cầu và nhận chứng thực số từ trình duyệt (không bắt buộc).
Sau khi quá trình bắt tay kết thúc, bạn hoàn thành giao dịch. Chỉ cần phiên
làm việc chưa kết thúc thì mọi dữ liệu truyền đi giữa trình duyệt và server đều
được mã hóa. Khi phiên làm việc hoàn thành, trình chủ bảo mật sẽ chuyển bạn
về trình chủ không bảo mật.
SSL an toàn đến đâu?
Hầu hết chúng ta không quan tâm tới việc SSL hoạt động như thế nào,
chúng ta chỉ muốn biết nó có thực sự hoạt động hay không. Nếu nó giữ thông tin
thẻ tín dụng của bạn an toàn thì không có gì phải phàn nàn. Trong quý I năm
1998, không có giao dịch thực hiện bằng SSL thành công – tạo nên một thỏa
thuận thực sự trong thực tế.
Tất nhiên, mã hóa sử dụng trong SSL có thể bị phá vỡ nhưng rất tốn kém.
Trong hầu hết các ứng dụng, SSL vẫn được coi là giải pháp hàng đẩu để bảo vệ
thông tin thẻ tín dụng khi giao dịch trực tuyến. Hơn nữa, SSL có thể được phát

53
triển, đặc biệt nếu Nestcape và Microsoft được chính phủ Mỹ cho phép sử dụng
những phương pháp mã hóa mạnh hơn.
2. Giao thức giao dịch an toàn (Secure Electronic Transaction)
Giao thức SET được thiết kế nguyên thủy bởi Visa và MasterCard vào
năm 1997 và được phát triển dần lên từ đó. Giao thức SET đáp ứng được 4 yêu
cầu về bảo mật cho TMĐT giống như SSL: sự xác thực, mã hóa, tính chân thực
và không thoái thác.
Vậy SET có gì khác biệt so với SSL? Khi bạn bắt đầu một phiên làm việc
với một website thương mại thông qua SSL, điều đó chẳng khác gì bạn đưa thẻ
tín dụng của mình cho người bán hàng . Anh ta nói giá, bạn đồng ý, và bạn đợi
cho người bán yêu cầu xác định giá trị thẻ với ngân hàng. Nếu thẻ được xác
nhận, một phiếu bán hàng được in ra. Bạn ký vào phiếu bán hàng, người bán giữ
một bản copy cho hồ sơ của bạn.
Với SET, ngân hàng phát hành thẻ cũng tham gia trong quá trình giao
dịch với vai trò người trung gian. Khi bạn nhập số thẻ của mình trong một giao
dịch với SET, site thương mại sẽ không bao giờ thấy được số thẻ của bạn. Thay
vào đó, thông tin được gửi đến cơ quan tài chính thông qua cổng thanh toán,
người sẽ xác thực thẻ của bạn và thực hiện thanh toán với site thương mại điện
tử. Đổi lại, công việc đó đòi hỏi một chi phí nhất định.
Giao thức SET yêu cầu khách hàng phải tải một phần mềm đặc biệt gọi là
ví điện tử (electronic wallet) hay ví số (digital wallet) để lưu giữ chứng thực của
khách hàng tại máy tính cá nhân hay thẻ IC (Intergrated circuit card) của họ. Để
kết nối ví điện tử với những người kinh doanh khác nhau, khả năng liên vận
hành là một đặc tính quan trọng cần được đáp ứng. Do tính liên vận hành của ví
số của người chủ sở hữu thẻ với phần mềm của bất cứ người kinh doanh nào là
điều cơ bản, một liên hiệp các công ty (Visa, MasterCard, JCB – ngân hàng phát
hành thẻ của Nhật – và American Express) đã thành lập một công ty được gọi là
SETCO (Secure Electronic Transaction LLC 1999). Công ty này thực hiện các
thử nghiệm liên vận hành và phát hành một nhãn hiệu SET như một xác nhận về

54
tính liên vận hành. IBM, Netscape, Microsoft, Verisign, Tandem và MetaLand
cung cấp các ví số có khả năng liên vận hành như vậy.
3. So sánh SSL và SET
Khác với giao thức SSL có 3 thực thể là người chủ sở hữu thẻ, người kinh
doanh và cơ quan chứng thực (CA), SET có thêm một thực thể là cổng thanh
toán. Đây là cổng kết nối Internet với các mạng độc quyền của các ngân hàng.
Mỗi thực thể tham gia cần chứng thực riêng.
Trên lý thuyết, SET bảo mật hơn SSL. Với SSL, thông tin thẻ tín dụng
của bạn là công khai với người bán, cả người bán và ngân hàng của bạn đều biết
bạn là ai và mua những gì. Điều này xâm phạm quyền riêng tư. Đối với SET thì
không, người bán không bao giờ nhìn thấy số thẻ của bạn, bạn chỉ phải cung cấp
thông tin về thẻ của mình cho cơ quan đã biết quá rõ về nó. Người bán không
biết bạn là ai, còn ngân hàng của bạn không biết bạn mua những gì.
Tuy nhiên trên thực tế, SET không được ứng dụng rộng rãi như người ta
mong đợi do tính phức tạp, thời gian phản hồi chậm và sự cần thiết phải cài đặt
ví số ở máy tính của khách hàng. Nhiều ngân hàng ảo và cửa hàng điện từ duy
trì giao thức SSL, một số sử dụng cả hai giao thức như WalMart Online. Hiện
chỉ có 1% kế hoạch kinh doanh điện tử di chuyển sang SET.
MasterCard cho biết ví số có thể được phân phối như là phần mềm gắn
thêm vào phiên bản Windows tiếp theo. Tuy nhiên, Visa quyết định không chờ
đợi. Visa đồng ý cung cấp một cổng nối xử lý thẻ tín dụng được gắn vào giao
thức mã hóa SSL cơ bản.

55
III. Những hình thức gian lận trong TMĐT và cách phòng chống
1. Phishing
Phishing là một dạng lừa đảo trực tuyến ngày càng phổ biến. Kỹ thuật lừa
đảo Phishing bắt đầu bằng một email giả danh một công ty hợp pháp, chẳng hạn
như Ebay hay CityBank. Thông thường, nội dung của email giả danh thông báo
cho nạn nhân là tài khoản của họ đã hết hạn hoặc đại loại như vậy. Nạn nhân sẽ
được hướng dẫn để nhấp chuột vào một liên kết dẫn đến một website giả mạo.
Nếu nạn nhân vào website này, nó sẽ bảo bạn khai báo các thông tin cá nhân
quan trọng như số thẻ tín dụng hay số tài khoản cá nhân. Hậu quả là nạn nhân bị
bọn chúng vét sạch tiền trong tài khoản mà không hiểu vì sao.
Hiện nay có nhiều phần mềm cho phép tạo lập website giả mạo của các
công ty hợp pháp một cách dễ dàng mà không đòi hỏi kẻ lừa đảo phải có nhiều
kiến thức về lập trình, chỉ đơn giản là cắt và dán nên vấn nạn Phishing sẽ còn gia
tăng trong thời gian tới. Trong khi nhiều người dùng cho rằng Web Caller – ID
không phải là phương thức toàn năng chữa trị triệt để vấn nạn phishing.
Để phòng chống Phishing bạn có thể sử dụng sản phẩm Web Caller – ID
của công ty WholeSecurity. Phần mềm này hiện đang được Ebay tích hợp vào
thanh công cụ Internet dưới dạng tính năng bảo vệ tài khoản. Tính năng này phát
hiện những Website lừa đảo, giả mạo Ebay hoặc PayPal với độ chính xác đến
98%. Người truy cập sẽ được cảnh báo khi truy cập vào những website giả mạo
không phải của Ebay.
Web Caller – ID hoạt động theo nguyên lý phân tích các địa chỉ Web để dò
tìm những đầu mối cho biết một website có giả mạo hay không. Chẳng hạn nếu
địa chỉ URL của website mà dài và luẩn quẩn, hoặc nếu nó chứa một dãy số dài
và được ngăn cách bởi các dấu chấm trong địa chỉ IP thì nhiều khả năng nó là
website mạo danh. Chương trình cũng có khả năng kiểm tra xem có phải tên
miền mới được đăng ký hay không, cũng như xem có phải nhà quản trị website
đó đang sử dụng một dịch vụ host miễn phí.

56
 Ngoài Ebay, hãng WholeSecuriry còn có kế hoạch cấp giấy phép cho các
doanh nghiệp kinh doanh trực tuyến sử dụng phần mềm Web Caller – ID. Các
doanh nghiệp này có thể là ngân hàng, hãng tín dụng hay các cửa hàng bán lẻ
qua mạng.
Với phần mềm này, bạn có thể tích hợp nó vào thanh công cụ trình duyệt Web,
tạo thành một tính năng gián tiếp làm nhiệm vụ bảo mật. Ngoài ra, bạn có thể
lựa chọn đăng ký dịch vụ xử lý email từ hãng WholeSecurity để nhận được
những thông tin mới nhất về nạn phishing scam.
2. Spear Phishing
Đây là hình thức lừa đảo mang ý tưởng của Phishing nhưng với thủ đoạn
mới, đối tượng mới. Mục tiêu của hình thức lừa đảo này nhằm vào các thông tin
nhạy cảm của cả một tổ chức thuộc cá nhân hay chính phủ. Thay vì giả mạo
email của một trang web nổi tiếng hay một trang ngân hàng nào đó, kẻ lừa đảo
gửi email cho một số ít nhân viên của tổ chức mục tiêu và làm như email đó
được gửi đến từ một quan chức cao cấp trong tổ chức đó.
Không giống như email của các hình thức lừa đảo Phishing thông thường
được gửi với số lượng lớn, tới mọi đối tượng, kẻ lừa đảo theo hình thức Spear
Phishing mỗi lần chỉ nhắm vào một tổ chức. Spear Phishing là hình thức lừa đảo
có mục tiêu cụ thể. Khi chúng lừa được nhân viên của tổ chức lộ ra mật khẩu,
chúng có thể cài các phần mềm gián điệp khai thác các bí mật của tổ chức đó.
Spear Phishing hiệu quả rất lớn đối với cả những nhân viên có hiểu biết
về các mối đe dọa trên mạng. Tại học viện quân sự Mỹ tại West Point, New
York, một thử nghiệm nội bộ đã cho thấy tất cả các học viên sẵn sàng cung cấp
thông tin cho một kẻ lừa đảo tự xưng là sỹ quan cao cấp. “Đó là hiệu ứng đại tá,
bất cứ ai ở cấp tá trở lên cũng có thể ra lệnh trước rồi đưa ra các câu hỏi sau”,
tiến sĩ Aeron Ferguson phát biểu. Gần đây các học viên đã có phần nghi ngờ các
bức thư trên khi nhận thức của họ được nâng lên.
Để ngăn chặn hình thức lừa đảo Spear Phishing, biện pháp tốt nhất hiện
nay là giáo dục nâng cao ý thức của các nhân viên trong tổ chức. Muốn ngăn

57
chặn triệt để vấn nạn Phishing cần có một cơ chế chứng thực email được dùng
rộng rãi. Điều này đòi hỏi sự phối hợp của toàn xã hội.
3. Pharming
Hình thức lừa đảo này rất nguy hiểm. Kẻ cắp thay đổi địa chỉ IP của trang
web mà bạn muốn truy cập. Khi bạn login vào, mặc dù đã gõ đúng tên của trang
bạn muốn nhưng bạn được dẫn tới một trang web giả mạo.
Đối với hệ điều hành Windows có một file lưu những trang mà bạn đã
vào, bên cạnh đó là địa chỉ IP của trang đó. Trong lần truy cập tiếp theo, bạn sẽ
truy cập trực tiếp vào trang đã có địa chỉ IP trong danh sách mà không cần thông
qua máy chủ DNS. Nếu hacker tấn công máy của bạn và thay đổi địa chỉ IP của
trang đó, bạn sẽ được dẫn vào một trang web giả.
Mức độ nguy hiểm sẽ tăng, nếu hacker tấn công được vào máy chủ DNS
của và thay đổi địa chỉ IP của trang web. Lúc này không chỉ mình bạn, mà bất
cứ ai truy cập vào trang web đó đều truy cập vào trang web giả mạo.
Máy chủ DNS (Domain Name Server) có nhiệm vụ biên dịch tên miền
thành địa chỉ IP. Khi bạn đánh tên trang web bạn muốn vào, máy chủ DNS sẽ
biên dịch tên trang web thành địa chỉ IP và kết nối tới trang có địa chỉ IP đó.
4. Các phòng chống gian lận
a.Nếu bạn là khách hàng
Để tránh để mình trở thành nạn nhân của các hình thức gian lận trên bạn
cần:
- Bảo vệ máy tính của mình bằng firewall và các phần mềm diệt trừ
spyware, trojan.
- Thực hiện các quy tắc an toàn về tài khoản như tạo tên tài khoản hợp lệ,
password đủ dài và bao gồm cả ký tự chữ và số, không sử dụng thông
tin cá nhân làm password.
- Khi truy cập vào một trang web, để ý biểu tượng cái khóa đóng, nếu có
bạn có thể yên tâm phần nào bởi bạn đang được bảo vệ bởi giao thức
tầng cắm an toàn (SSL).

58
 - Kiểm tra tên trang web để chắc chắn bạn đang truy cập vào trang bạn
cần. VD: http://www.1uadao.com và http://www.luadao.com. Hai tên
trang web giống nhau đến kinh ngạc. Một trang sử dụng ký tự chữ “l”
và một trang sử dụng ký tự số “1”.
- Nếu thấy sự thay đổi của trang web, bạn cần có sự nghi ngờ và liên hệ
với người sở hữu trang web để xác thực.

b.Nếu bạn là người kinh doanh

Bạn có thể bảo vệ mình trước các hình thức gian lận bằng cách sử dụng
dịch vụ chống gian lận của Verisign
VeriSign là nhà cung cấp hoạt động trong lĩnh vực an toàn Internet. Họ
cung cấp cho bạn các dịch vụ bảo vệ chất lượng cao với giá cả hợp lý. Công
nghệ bảo mật của VeriSign được thiết kể dựa trên các thông tin phản hồi từ các
thương nhân và nhu cầu của cộng đồng kinh doanh trực tuyến cộng với việc
lường trước các hành vi gian lận mới.
VeriSign có nhiều gói dịch vụ bảo vệ gian lận tương ứng với tình hình kinh
doanh của từng doanh nghiệp, nhưng cũng rất đơn giản để nâng cấp. Vì vậy bạn
chỉ phải mua cái bạn cần, khi bạn cần.
Các dịch vụ bảo vệ gian lận
Loại hình thương Những lợi ích quan
Dịch vụ
nhân trọng
Các lựa chọn dịch vụ:
Được thiết kể cho các Dễ dàng và thuận tiện
Gói dịch vụ cơ bản thương nhân có lượng tối đa
giao dịch nhỏ
Các thương nhân có Tối đa hóa sự bảo vệ và
Gói dịch vụ cao cấp lượng giao dịch vừa và mức độ tùy chọn
lớn
Các lựa chọn nâng cấp:
Dịch vụ quản lý Dành cho tất cả các Quản lý hoạt động

59
 thương nhân account 7 ngày trong
account
tuần
Tất cả các thương nhân Xác minh bảo vệ trách
Dịch vụ xác minh người nhiệm pháp lý của Hiệp
mua hội thẻ đối với người
mua hàng
Các dịch vụ an toàn Các thương nhân ở các An toàn vành đai tùy
quản lý doanh nghiệp chọn

60
 So sánh tính năng của 2 gói dịch vụ
Gói dịch vụ Gói dịch vụ
bảo vệ chống bảo vệ chống
Các gói dịch vụ
gian lận cơ gian lận cao
bản cấp
VeriSign Fraud Manager (giao diện web riêng cho phép quản lý các tính
năng bảo vệ chống gian lận một cách dễ dàng)
Mô đun kiểm tra giao dịch X X
Kiểm tra tất cả các giao dịch được kiểm
X X
tra
Các bộ lọc gian lận
Các bộ lọc đơn đặt hàng có dấu hiệu bất thường
Bộ lọc theo giá trị đơn hàng X X
Bộ lọc theo số lượng hàng hóa X X
Bộ lọc các mâu thuẫn giữa thanh toán và
X X
lợi nhuận
Các bộ lọc thanh toán có rủi ro cao
Bộ lọc AVS failure X X
Bộ lọc CSC failure X X
Bộ lọc BIN có rủi ro cao X
Các bộ lọc địa chỉ có rủi ro cao
Bộ lọc mã bưu điện có rủi ro cao X X
Bộ lọc theo người gửi hàng hóa X X
Bộ lọc theo tính hợp lệ của địa chỉ US
X
Postal Service
So sánh danh sách rủi ro của địa chỉ IP X
So sánh danh sách rủi ro của nhà cung cấp
X
dịch vụ email
Bộ lọc theo vị trí địa lý X
Bộ lọc các khách hàng có rủi ro cao
Bộ lọc danh sách email giả X
Bộ lọc danh sách thẻ tín dụng giả X
Các bộ lọc đơn đặt hàng quốc tế
Bộ lọc quốc gia có rủi ro cao X
Bộ lọc địa chỉ thanh toán/ gửi hàng/ quốc
X
tế
Bộ lọc địa chỉ IP quốc tế X

61
Bộ lọc AVS quốc tế X
Các bộ lọc chấp nhận thanh toán
Bộ lọc danh sách email thật X
Bộ lọc danh sách thẻ tín dụng thật X
Các tính năng an toàn của account
Kiểm toán an toàn từ Qualys X X
Các IP được cho phép (hạn chế truy cập
X X
account)
Thiết lập giao dịch (kiểm tra tín dụng) X X
Quản lý password X X
Các tính năng dịch vụ đặc biệt
Xác nhận người mua X X
Kiểm tra tài khoản X X

Các lựa chọn nâng cấp:

- Dịch vụ kiểm tra tài khoản: bổ xung thêm dịch vụ này vào cả hai gói
dịch vụ cơ bản và cao cấp để chống lại các hành vi tiếp quản và xâm
nhập tài khoản thanh toán. Cung cấp tính năng quản lý giao dịch với
đường dây liên lạc gian lận cho phép bạn hỏi cac chuyên gia về các hoạt
động của các tài khoản có nghi ngờ gian lận.
- Dịch vụ xác minh người mua: bảo vệ trách nhiệm pháp lý với dịch vụ
xác nhận người mua (được xác nhận bởi Visa và MasterCard
SecureCode). Nâng cấp dịch vụ này để tích hợp liên tục quá trình xác
nhận người mua vì nó có giá trị về mặt thương mại đối với người mua
và trung tâm thanh toán của bạn.
- Dịch vụ an toàn quản lý: bổ xung dịch vụ này để bảo vệ tốt nhất toàn bộ
cơ sở hạ tầng của bạn. Cung cấp một đội ngũ bảo mật riêng 24x7 không
tốn kém thời gian và chi phí quản lý.
IV. Những hình thức tấn công
1. Tấn công từ chối dịch vụ - DOS
Tấn công từ chối dịch vụ (Denial of Services Attack – DOS) là một kiểu
tấn công rất lợi hại. Với kiểu tấn công này bạn chỉ cần một máy tính kết nối
Internet là đã có thể thực hiện việc tấn công máy tính đối phương. Ý tưởng tấn

62
công của DOS là chiếm dụng một lượng lớn tài nguyên trên server (băng thông,
bộ nhớ, cpu, đĩa cứng…), làm cho server không thể nào đáp ứng yêu cầu từ các
máy của người dùng bình thường và server có thể nhanh chóng ngừng hoạt
động, crash hoặc reboot.
Ngày nay, DOS đã trở thành nỗi ám ảnh lớn đối với tất cả các mạng máy
tính. Các website lớn như Yahoo! Inc, CNN.com hay Ebay Inc cũng đã từng là
nạn nhân của tấn công từ chối dịch vụ - DOS.
Tấn công DoS là hiện tượng một luồng thông tin được gửi liên tục đến
một mục tiêu với ý định làm tràn dữ liệu cho đến khi không có khả năng tải một
cách hợp pháp. Mục tiêu của những cuộc tấn công này nhằm vào máy chủ web
của bạn, thông qua việc phủ nhận khả năng tải thông tin từ hệ thống của bạn.
Tấn công DoS không đòi hỏi hacker phải truy cập bằng được vào máy chủ mục
tiêu như những cuộc tấn công khác. Thay vì vậy, hacker có thể truy cập vào
trong những máy tính khác của hệ thống, cài mã chương trình để biến chúng
thành những “kẻ tòng phạm”. Những kẻ tòng phạm sau này sẽ gửi hàng loạt
những yêu cầu về thông tin đến mục tiêu chính của cuộc tấn công. Máy chủ của
bạn sẽ nhanh chóng trở nên quá tải, hậu quả thứ nhất là nó phải tập trung trả lời
các yêu cầu được gửi đến, sẽ không có thời gian bảo vệ và quan tâm đến các
trang web. Và tất yếu hậu quả thứ hai sẽ là: website của bạn ngừng hoạt động.
Về mặt kỹ thuật tấn công DoS không gây thiệt hại nghiêm trọng. Tuy
nhiên về mặt tài chính, bạn có thể thiệt hại những khoản doanh thu lớn trong
thời gian website ngừng hoạt động.
a. Winnuk
Hình thức tấn công DoS này chỉ có thể áp dụng cho các máy tính đang
chạy Windows 9x. Hacker sẽ gửi các gói tin dữ liệu “Out of Band” đến cổng
139 của máy đích (cổng 139 chính là cổng NetBIOS, nó chỉ chấp nhận các gói
tin có cờ Out of Band được bật). Khi máy tính nạn nhân (victim) nhận được gói
tin này, một màn hình xanh báo lỗi sẽ được hiển thị. Do chương trình của

63
Windows nhận được gói tin này nhưng lại không biết phản ứng với các dữ liệu
Out of Band ra sao, dẫn đến hệ thống sẽ bị crash.
b. Ping of Death
Với hình thức tấn công DoS này, kẻ tấn công chỉ cần gửi một gói dữ liệu
có kích thước lớn thông qua lệnh “ping” đến máy đích, tức thì hệ thống này sẽ bị
treo hay khởi động lại.
Kiểu tấn công này không gây hại được đối với các máy chủ đã được thiết
lập để phòng ngừa nó. Trong kiểu tấn công này, để xem trước hệ thống đích có
được thiết lập phòng ngừa tấn công DoS hay không, hacker sẽ gửi một gói tin có
kích thước vượt quá kích thước bình thường cho phép đến hệ thống mục tiêu.
VD: ping – 165000.
c. Tear drop
Như ta đã biết, tất cả các dữ liệu chuyển đi trên mạng từ hệ thống nguồn
đến hệ thống đích đều phải trải qua hai quá trình: dữ liệu sẽ được chia thành các
mảnh nhỏ ở hệ thống nguồn, mỗi mảnh đều phải có giá trị offset nhất định để
xác định vị trí của mảnh đó trong gói dữ liệu truyền đi. Khi các mành này đến hệ
thống đích, hệ thống đích sẽ dựa vào giá trị offset này để sắp xếp các mảnh lại
với nhau theo thứ tự đúng như ban đầu.
Tấn công Tear drop dựa trên ý tưởng các gói dữ liệu được chuyển đi với
trường offset chồng chéo, khiến cho máy nhận không thể sắp xếp chúng lại, do
đó dẫn đến tình trạng bị phá vỡ.
VD: bạn có một dữ liệu gồm 4000 bytes cần được chuyển đi. Giả sử rằng
4000 bytes này được chia thành ba gói nhỏ. Gói thứ nhất sẽ mang các bytes dữ
liệu từ 1 – 1500. Gói 2 mang các bytes từ 1501 – 3000. Gói 3 mang các bytes từ
3001 – 4000. Khi các gói đến đích, hệ thống đích sẽ dựa vào các giá trị offset
của các gói để sắp xếp cho đúng thứ tự ban đầu: gói 1 (1 – 1500 bytes đầu tiên)
 gói 2 (1501 – 3000 bytes tiếp theo)  gói 3 (3001 – 4000 bytes sau cùng).
Nhưng trong tấn công tear drop, hacker sẽ gửi theo dạng khác: ( 1 – 1500 bytes)

64
(1501 – 3000 bytes) (1001 – 4000 bytes). Khi đó hệ thống sẽ không điều khiển
được và có thể bị crash hoặc reboot.
d. SYN attack
Trong SYN attack, hacker sẽ gửi một loạt SYN packetsvới địa chỉ IP
nguồn không có thực đến hệ thống. Hệ thống đích khi nhận được các SYN
packets này sẽ gửi trở lại các địa chỉ không có thực đó và chờ đợi để nhận thông
tin phản hồi từ các địa chỉ IP giả. Vì đây là các địa chỉ IP không có thực nên hệ
thống đích sẽ phải chờ đợi vô ích và còn đưa các yêu cầu chờ đợi này vào bộ
nhớ, gây hoang phí một lượng đáng kể bộ nhớ trên máy chủ mà đúng ra là phải
được dùng vào việc khác thay cho phải chờ đợi thông tin phản hồi không có
thực. Nếu bạn gửi cùng một lúc nhiều gói tin có địa chỉ IP giả như vậy sẽ gây
cho hệ thống bị quá tải, dẫn đến crash hay reboot.
e. Landattack
Land Attack cũng gần giống như SYN attack, nhưng thay vì dùng các địa
chỉ IP không có thực, hacker dùng chính địa chỉ IP của hệ thống nạn nhân. Điều
này sẽ tạo nên một vòng lặp vô tận trong chính hệ thống nạn nhân, giữa một bên
cần nhận thông tin phản hồi còn một bên thì chẳng bao giờ gởi thông tin phản
hồi đó đi cả. Kỹ thuật tấn công này được gọi là kiểu “ gậy ông đập lưng ông”.
Tuy nhiên, hầu hết các hệ thống đểu được thiết lập để chống lại kiểu tấn
công này. Thông thường, các nhà bảo mật mạng sử dụng tiện ích Filter hoặc
Firewall.
f. Smurf attack
Smurf attack là một dạng tấn công kiểu hàng loạt. Trong đó, một số lượng
khổng lồ các router sử dụng địa chỉ IP giả từ bên trong mạng đích. Do đó, khi
các router này nhận tín hiệu ping (thăm dò), chúng sẽ phản hồi và làm lụt mạng,
dẫn tới mạng bị ngưng trệ.
Hai nhân tố chính trong Smurf Attack là ICMP echo request packets và
chuyển trực tiếp các packets đến các địa chỉ broadcast. Trong đó, giao thức
ICMP thường được dùng để xác định một máy tính có còn hoạt động không. Để

65
xác định một máy tính có còn hoạt động không, bạn cần gửi một ICMP echo
request đến máy đó. Khi nhận được packet này, nó sẽ gửi trả lại một ICMP echo
reply packet. Nếu bạn khôngược message trả lời thì máy đó không còn hoạt
động trên mạng.
Mỗi mạng máy tính đều có địa chỉ broadcast và địa chỉ mạng. Địa chỉ
mạng có các bit host đều bằng 0 còn địa chỉ broadcast có các bit host đều bằng
1. VD: địa chỉ IP lớp B 140.179.220.200 sẽ có địa chỉ mạng là 140.179.0.0. Khi
gửi một gói tin đến địa chỉ mạng lập tức packet này sẽ được chuyển đến tất cả
các máy trong mạng (mỗi máy có địa chỉ mạng con).
Smurf attack cần có 3 phần: hacker (người ra lệnh tấn công), mạng
khuyếch đại (sẽ nghe theo lệnh của hacker) và hệ thống của nạn nhân. Hacker sẽ
gửi các gói tin ICMP đến địa chỉ broadcast của mạng khuyếch đại. Điều đặc
biệt là các gói tin ICMP này có địa chỉ IP nguồn chính là địa chỉ IP của nạn
nhân. Khi các packets đó đến được địa chỉ broadcast của mạng khuyếch đại, các
máy tính trong mạng khuyếch đại sẽ tưởng rằng máy tính của nạn nhân đã gửi
gói tin ICMP packets đến và chúng sẽ đồng loạt gởi trả lại hệ thống nạn nhân
các gói tin phản hồi ICMP. Hệ thống máy nạn nhân sẽ không chịu nổi một khối
lượng khổng lồ các gói tin này và nhanh chóng bị ngừng hoạt động. Như vậy,
chỉ cần gửi một lượng nhỏ các gói tin ICMP packets đi thì hệ thống mạng
khuyếch đại sẽ khuyếch đại lượng gói tin ICMP packets này lên gấp bội. Tỉ lệ
khuyếch đại phụ thuộc vào số máy tính có trong mạng khuyếch đại. Nhiệm vụ
của các hacker là cố chiếm được càng nhiều hệ thống mạng hoặc routers cho
phép chuyển trực tiếp các gói tin đến địa chỉ broadcast không qua chỗ lọc địa chỉ
nguồn ở các đầu ra của gói tin. Khi có được hệ thống này, hacker sẽ dễ dàng tiến
hành Smurf Attack trên các hệ thống cần dùng để tấn công.
g. UDP Flooding
Đây là dạng tấn công hai hệ thống đích và được sử dụng để ngừng các
dịch vụ của hai hệ thống được kết nối với nhau. Trong hai hệ thống này, một sẽ
tạo ra chuỗi các ký tự (các ký tự yêu cầu gửi lại UDP) cho mỗi gói nhận và sẽ

66
truyền qua hệ thống kia. Hệ thống còn lại sẽ phản xạ lại mọi thông điệp mà nó
nhận được. Do vậy sẽ tạo ra một vòng lặp vô hạn giữa hai hệ thống, nên mọi
dịch vụ khác giữa chúng sẽ bị ngưng trệ.
Các tấn công UDP đòi hỏi phải có hai hệ thống máy cùng tham gia.
Hacker sẽ làm cho hệ thống của mình đi vào một vòng lặp trao đổi các dữ liệu
qua giao thức UDP. Và giả mạo địa chỉ IP của các gói tin là địa chỉ loopback
(127.0.0.1), rồi gửi gói tin này đến hệ thống của nạn nhân trên cổng UDP echo
(7). Sau đó, hệ thống của nạn nhân sẽ trả lời lại các message do 127.0.0.1
( chính nó) gởi đến, kết quả là nó sẽ thực hiện một vòng lặp vô tận. Tuy nhiên,
có nhiều hệ thống không cho dùng địa chỉ loopback nên hacker sẽ giả mạo một
địa chỉ IP của một máy nào đó trong mạng nạn nhân và tiến hành làm ngập lụt
UDP trên hệ thống nạn nhân. Theo cách này, nếu kẻ tấn công không thành công
thì chính máy của hắn sẽ trở thành máy bị tấn công.
h. Tấn công DNS
Hacker có thể thay đổi đường dẫn của hệ thống nạn nhân đến DNS
(Domain Name Server) bằng một địa chỉ đến website nào đó của hắn. Khi các
máy khách truy cập vào hệ thống có yêu cầu DNS phân tích địa chỉ thành địa chỉ
IP, lập tức DNS (đã bị hacker thay đổi cache tạm thời) sẽ đổi địa chỉ được yêu
cầu phân tích thành địa chỉ IP mà hacker đã chỉ đến đó. Kết quả là dù đánh đúng
tên trang web nhưng thay vì đến được trang web cần đến, các máy khách lại
đồng loạt truy cập vào một hệ thống do chính hacker tạo ra. Hệ thống này sẽ
không đáp ứng nổi.
i. DDoS – tấn công từ chối dịch vụ phân tán
DDoS yêu cầu phải có ít nhất vài hacker cùng tham gia. Đầu tiên, các
hacker sẽ cố thâm nhập vào mạng máy tính được bảo mật kém, rồi cài lên hệ
thống này chương trình DdoS Server. Sau đó, các hacker hẹn nhau đến thời gian
đã định sẽ dùng DdoS client kết nối đến các DdoS server, rồi đồng loạt ra lệnh
cho các DdoS server này tiến hành tấn công DDoS đến hệ thống nạn nhân.

67
j. DRDoS
DRDoS ( The Distributed Reflection Denial of Service Attack) có thể tạm
dịch là tấn công từ chối dịch vụ bằng phương pháp phản xạ nhiều vùng. Đây có
lẽ là kiểu tấn công lợi hại nhất và làm boot máy tính của đối phương nhanh gọn
nhất. Cách làm cũng tương tự như DdoS, nhưng thay vì tấn công bằng nhiều
máy tính thì kẻ tấn công chỉ cần dùng một máy thông qua các server lớn trên thế
giới. Vẫn với phương pháp giả mạo địa chỉ IP của nạn nhân, kẻ tấn công sẽ gởi
các gói tin đến các server mạnh nhất, nhanh nhất và có đường truyền rộng nhất
như Yahoo, Google… Các server này sẽ phàn hồi các gói tin đó đến địa chỉ của
nạn nhân. Việc cùng một lúc nhận được nhiều gói tin thông qua các server lớn
này sẽ nhanh chóng làm nghẽn đường truyền của máy nạn nhân, điều này sẽ gây
ra crash, reboot lại máy.
Cách tấn công này lợi hại ở chỗ, chỉ cần một máy có kết nói Internet với
đường truyền bình thường cũng có thể đánh bật được hệ thống có đường truyền
tốt nhất thế giới nếu không kịp ngăn chặn.
Hãy nhớ lại phương pháp tấn công SYN truyền thống của DoS. Phương
pháp này dựa trên bước thứ nhất để mở kết nối của TCP, và đồng thời tạo các
kết nối “open half” làm cho server bị ăn mòn hết tài nguyên. Các gói tin SYN
được gửi trực tiếp đến server sau khi đã giả mạo IP nguồn. IP giả mạo sẽ là một
IP không có thực nên server không thể hoàn thành kết nối.
Giả sử bạn có server A và máy tính bị tấn công. Nếu bạn gửi một gói tin
SYN đến Server A, trong đó IP nguồn đã bị giả mạo thành IP của nạn nhân. Khi
đó, server A sẽ mở một kết nối và gửi một gói tin SYN/ACK cho nạn nhân. Vì
nó nghĩ rằng, nạn nhân muốn mở kết nối với mình. Và đây chính là khái niệm
của Reflection (phản xạ).
2. Các phòng chống tấn công DoS
Để nhận biết hệ thống của bạn bị tấn bạn cần một đội ngũ nhân viên với
tư cách là người quản trị mạng – tường tận về tất cả các nội dung của website.
Đội ngũ đó hoàn toàn có khả năng phát hiện ra những dấu hiệu của cuộc tấn

68
công như: khối lượng yêu cầu gửi qua mạng tăng, thời gian truy cập website lâu,
thời gian thực hiện của hệ thống trả lời chậm lại…
Bạn có thể trở thành “nạn nhân” của cuộc tấn công DoS theo hai con
đường: hoặc bạn là mục tiêu chính của cuộc tấn công hoặc bạn trở thành kẻ tòng
phạm không chủ tâm của cuộc tân cống. Để giảm thiểu các rủi ro của cuộc tấn
công DoS, bạn có thể tham khảo các giải pháp sau:
- Chuyển dịch vụ web hosting của bạn sang một nhà cung cấp lớn và có
uy tín hơn. Họ sẽ có các chương trình để tránh, phát hiện và khắc phục
hậu quả của các cuộc tấn công DoS.
- Quan tâm hơn đến việc đầu tư nâng cấp phần cứng, nếu bạn thuê máy
chủ trang web cho riêng bạn. Bởi vì, khối lượng thông tin mà bạn có thể
xử lý càng lớn thì khả năng tấn công làm tràn thông tin trên máy chủ
của bạn sẽ càng khó đối với các hacker.
- Các công ty có hệ thống lớn có thể gia nhập vào cầu dẫn của mạng cục
bộ trong cấu trúc máy chủ của họ. Cầu dẫn sẽ có chức năng lưu trữ và
chuyển tiếp các bức thư điện tử trong mạng máy tính, đầu tiên nó sẽ xác
định tất cả các đường dẫn đến địa chỉ nhận sau đó lựa chọn đường dẫn
thích hợp nhất. Một số các cầu dẫn trên thị trường hiện nay còn có
những đặc điểm cho phép bạn hạn chế lượng thông tin tải về. Hơn nữa,
khi bạn đã trở thành nạn nhân của tấn công DoS, cầu dẫn sẽ giúp bạn
khôi phục lại nhanh hơn.
- Chuẩn bị một kế hoạch hỗ trợ để cập nhật lượng thông tin tải đến các
địa chỉ web. Khi nhận ra được nguy cơ sẽ trở thành nạn nhân của cuộc
tấn công DoS, đó cũng là lúc bạn phải thay đổi khả năng tải hợp lý hơn.
Cuộc tấn công DoS là riêng đối với địa chỉ web của bạn, nhưng bạn có
thể chuyển tiếp những thông tin đề nghị hợp lý của bạn đến những máy
chủ khác trong khi đang bị tấn công. Kẻ thực hiện cuộc tấn công sẽ
không biết điều đó.
a. Chống tấn công Smurf Attack

69
 Đây là một kiểu tấn công lợi hại nhất. Đối phó với nó là cả một vấn đề vì
không một cá nhân nào làm được mà yêu cầu phải là một cộng đồng. Từng cá
nhân, công ty, tổ chức phải biết cấu hình, thiết lập máy tính, hệ thống của mình
để không bị biến thành mạng khuyếch đại.
Một khi bị tấn công, các công ty, cá nhân phải biết phối hợp với nhà cung
cấp dịch vụ Internet (ISP) nhằm giới hạn lưu lượng ICMP, tăng cường biện pháp
ứng phó.
Theo dõi cuộc tấn công kiểu này là rất khó nhưng không phải không
được. Để không bị biến thành mạng khuyếch đại, bạn nên vô hiệu hóa chức
năng directed broadcast tại bộ định tuyến:
Đối với bộ định tuyến của Cisco, bạn hãy vô hiệu hóa bằng lệnh No ip
directed-broadcast.
Đối với hệ điều hành Solaris thì bổ xung lệnh:
etc/rc2.d/S69inet
ndd –set /dev/ip ip_respond_to_echo_broadcast 0.
Đối với hệ điều hành Linux thì nên áp dụng Firewall ở các cấp độ nhân
thông qua ipfw. Nhớ biên dịch Firewall sang nhân rồi thi hành các câu lệnh sau:
ipfwadm -| -a deny –P icmp –D 10.10.10.0 –S 0/0 0 8
ipfwadm -| -a deny –P icmp –D 10.10.10.0 –S 0/0 0 8
Còn đối với các thiết bị khác, bạn nên tham khảo các tài liệu kèm theo để
biết cách áp dụng.
b. Chống tấn công SYN Flood
Để biết mình có bị tấn công theo kiểu SYN Flood không, bạn có thể sử
dụng lệnh Netstat – a.
Nếu thấy nhiều kết nối trong tình trạng SYN_RECV thì có nghĩa là bạn
đang bị tấn công bằng SYN Flood.
Sau đây là một số giải pháp phòng chống:
- Tăng kích thước hàng đợi kết nối.
- Giảm khoảng thời gian thiết lập kết nối.

70
 - Tránh né tấn công SYN Flood bằng các phần mềm chuyên dụng.
- IDS mạng.
- Khi bị tấn công SYN Flood, bạn thực hiện các biện pháp sau:
o Khi phát hiện máy chủ của mình bị tấn công, bạn nhanh chóng
truy tìm địa chỉ IP đó và cấm không cho gửi dữ liệu đến máy chủ.
o Dùng tính năng lọc dữ liệu của router hay Firewall để loại bỏ các
gói tin không mong muốn, giảm lưu lượng lưu thông trên mạng
và tải của máy chủ.
o Sử dụng các tính năng cho phép đặt giới hạn tốc độ trên router
hay Firewall để hạn chế số lượng gói tin vào hệ thống.
o Nếu bị tấn công do lỗi phần mềm hay thiết bị thì nhanh chóng
cập nhật các bản sửa lỗi cho hệ thống đó hoặc thay thế.
o Dùng một số cơ chế, công cụ, phần mềm chống lại kiểu tấn công
này.
o Tắt các dịch vụ khác nếu có trên máy chủ để giảm tải và có thể
đáp ứng tốt hơn. Nếu được thì nâng cấp phần cứng hoặc sử dụng
thêm máy chủ để phân chia tải.
o Tạm thời chuyển máy chủ sang một địa chỉ khác.
c. Chống tấn công DNS
Với kiểu tấn công này bạn cần quan tâm đến BIND. Để giải quyết vấn đề
trong BIND, tốt nhất bạn nên nâng cấp BIND lên các phiên bản mới nhất có độ
bảo mật cao hơn.
d. Chống tấn công Windows NT Spool
Để không bị tấn công kiểu này thông qua phiên rỗng, bạn phải can thiệp
vào Registry và xóa spools bằng cách:
• Vào Start. Chọn Run.
• Tại mục Run, gõ vào Regedit.
• Chọn khóa:

71
 HKEY LOCAL MACHINE \System \CCS \Serveces \LamanServer
\Parameters \NullSessionPipes (REG_MULTI_SZ)
• Xóa các Foolss
• Đóng Registry
e. Chống tấn công từ chối dịch vụ phân tán – DDoS
Hình thức tấn công DDoS đã từng hạ bệ rất nhiều các trang web nổi tiếng
như yahoo hay amazon. Kỹ thuật tấn công này dễ thực hiện nhưng khó phòng
chống.
Để thực hiện một cuộc tấn công bằng kỹ thuật DdoS, kẻ tấn công cấn có
tối thiểu ba yếu tố:
- Client. Đây là hệ thống bị kiểm soát bởi kẻ tấn công. Nó được dùng
những công cụ như Rootkit để giành quyền kiểm soát hệ thống nào đó,
rồi dò tìm những site quản lý kém để có thể lợi dụng như một bộ điều
khiển.
- Handler. Bộ điều khiển đó đến lượt mình bị nhiễm và được dung để tác
động truy tìm các Zombine ( hay Zombie). Thường thì các server sử
dụng hệ điều hành unix có độ bảo mật kém. Sau khi tìm được Zombine,
handler sẽ tập hợp chúng lại để điều khiển cuộc tấn công.
- Zombine. Zombine được lây nhiễm vào các server có cấu hình bảo mật
kém. Hacker sẽ dùng trực tiếp các server này để tấn công mục tiêu.
Zombine sẽ tấn công mục tiêu cho đến khi nào có lệnh chấm dứt tấn
công của hacker.
Làm thế nào để biết được hệ thống của mình bị các hacker lợi dụng để biến
thành zombine. Bạn có thế sử dụng công cụ Zombine Zapper khi bị nghi ngờ hệ
thống đang có nguy cơ trở thành Zombine.
Zombine Zapper là một chương trình có khả năng hoạt động như những
client đến các DDOS Server đang gửi những gói tin làm ngập mục tiêu. Nó là
một công cụ khá hữu hiệu khi bạn nghi ngờ hệ thống của mình có khả năng trở
thành một Zombine. Với công cụ này bạn có thể nhanh chóng vô hiệu hóa

72
Zombine này trước khi hệ thống của bạn bị lợi dụng. Ngoài ra, Zombine Zapper
còn có thể đóng các DDOS Server.
Bạn có thể cấu hình IDS (dò xâm nhập – đã đề cập ở trên) để chúng tự
chạy Zombine Zapper. Bạn có thể tải chương trình Zombine Zapper tại địa chỉ:
http://razor.bindview.com/tools/ZombineZapper_form.shtml
Cài đặt Zombine Zapper
Trước hết bạn cần một hệ thống Unix hoặc Linux. Ngoài ra bạn cần có
thư viện Libnet. Libnet là thư viện hộ trợ cho phép việc hệ thống tạo ra nhữn gói
tin sử dụng trên mạng. Hệ thống của bạn buộc phải có thư viện này nếu như
muốn sử dụng Zombine. Đây là một thư viện hết sức phổ dụng trên nền hệ điều
hành Unix hay Linux. Bạn có thể tải chúng từ địa chỉ
http://www.canvasnet.com/libnet.
Lúc này bạn đã có trong tay mã nguồn của Zombine Zapper và Libnet.
Bạn tiến hành các bước sau để cài Libnet
• Bung nén cho các gói bằng lệnh sau: tar –zxvf*.tar.gz.
• Cài Libnet bằng cách chuyển đến thư mục vừa bung nén Libnet rồi chạy
scrip cấu hình bằng lệnh: ./configure.
• Gõ tiếp các lệnh: make, make all.
• Để kết thúc việc cài đặt Libnet, gõ lệnh: make supp, make ulti.
• Biên dịch trình Zombine Zapper
Cấu trúc lệnh của Zombine Zapper
Sau khi biên dịch Zombine Zapper xong, bạn gõ lệnh sau: ./zz. Bạn nhận
được một màn hình với các thông tin sau, đó chính là bảng chỉ dẫn lệnh và các
tùy chọn của Zombine Zapper:
Zombie Zapper v1.2 – DDoS killer
Bugs/comments to thegnome@razor.bindview.com
More info anhd free tools at http://razor.bindview.com
Copyright (c) 2000 BindView Development
=== You must speccify target(s) or a class C to send to

73
 USAGE:
./zz [-a 0-5] [-c class C] [-d dev] p-h] [-m host] [-s src] [-u
udp]
[-v] hosts
-a antiddos type to kill:
0 types 1-4 (default)
1 trinoo
2 tfn
3 stacheldraht
4 trinoo on Windows
5 shart (requires you use the –m option)
-c class C in x.x.x.0 form
-f time in seconds to send packets (default 1)
-d grab local IP from dev (default eht0)
-h this help screen
-m my host being flooded (used with –a 5 above, only one
host)
-s spoofed source address (just in case)
-u UDP cource port for trinoo (default 53)
-v verbose mode (use twice for more verbosity)
Host(s) are target hosts (ignored if using –c)
Trong đó, hãy chú ý một số tùy chọn phổ dụng sau:
-a: Cho phép chỉ rõ địa chỉ bạn nghi ngờ đang là Zombine.
-c: Tùy chọn này được dùng để quyết toàn bộ các host thuộc phân lớp C,
nếu chưa biết chính xác host nào đang bị nhiễm Zombine.
-s: Spồ địa chỉ của bạn, không cho hacker biết ai đã ngăn chặn Zombine
của hắn.
-u: Chuyển đổi cổng UDP mặc định.
Một số ví dụ cụ thể trong việc sử dụng Zombine Zapper

74
 Như phần trước, sau khi biên dịch Zombine Zapper, bạn có thể chạy nó.
Nếu nhìn thấy một menu help thì bạn đã biên dịch thành công. Bây giờ, giả sử
bạn đang nghi ngờ trong hệ thống mạng của bạn là 192.168.5.0 có một vài host
đang gửi những gói tin TFN (Tribal Flood Network). Thông thường, TFN
Server hay sử dụng những mật mã mặc định. Nếu bạn muốn Server TFN ở trên
host đó ngừng hoạt động, hãy sử dụng lệnh sau: ./zz –c 192.168.5.0. Khi đó,
toàn bộ những TFN Server trên phân lớp mạng C sẽ bị vô hiệu hóa. Nếu bạn
muốn vô hiệu hóa TFN Server trên một địa chỉ cụ thể, chẳng hạn như
207.192.45.2 thì bạn sử dụng lệnh: ./zz –a 2 207.192.45.2.
Để biết nhiều thông tin hơn về gói tin được gửi ra, bạn có thể sử dụng tùy
chọn
–vv. Còn nếu muốn Spoof địa chỉ của mình để các hacker không biết ai đã ngăn
chặn các gói tin làm ngập của hắn thì bạn có thể sử dụng tùy chọn –s đi kèm với
địa chỉ IP muốn Spoof, VD: ./zz –a 2 –vv 207.192.45.2 –s 10.1.2.3.
3. Tấn công SQL Injection
SQL Injection là một trong những lỗ hổng bảo mật nằm ngay tại ứng dụng
SQL, một ngôn ngữ truy vấn được dùng trong cơ sở dữ liệu. Thông thường, khi
người quản trị triển khai các ứng dụng Web trên Internet, họ vẫn nghĩ rằng việc
bảo đảm an toàn, bảo mật chỉ tập trung vào các vấn để như hệ điều hành, hệ
quản trị cơ sở dữ liệu, hay các Webserver chạy ứng dụng, mà họ quên mật là
ngay bản thân các ứng dụng mà hệ thống đang sử dụng cũng tiềm ẩn các lỗ hổng
bảo mật.
Hiện nay, tại Việt Nam, vấn đề lỗ hổng bảo mật SQL Injection chưa được
quan tâm đúng mức. Thông thường, đối với các nhà quản trị website thì hiện nay
họ chỉ quan tâm đến việc quét virus, cập nhật các phiên bản mới nhất. Còn đối
với các lỗ hổng đến từ các ứng dụng ít được quan tâm hơn. Đó cũng là lý do vì
sao mà trong thời gian gần đây, không ít các website tại Việt Nam bị tấn công và
đa số đều là lỗi SQL Injection.
Các dạng tấn công SQL Injection

75
 SQL Injection là một kỹ thuật cho phép những kẻ tấn công lợi dụng lỗ
hổng trong việc kiểm tra dữ liệu nhập trên các ứng dụng web, thông báo lỗi của
hệ quản trị cơ sở dữ liệu để thêm vào và thi hành các câu lệnh SQL bất hợp
pháp.
Hậu quả của tấn công SQL Injection là rất lớn, vì nó cho phép những kẻ
tấn công thực hiện các thao tác xóa, hiệu chỉnh… Do đó, hacker có toàn quyền
trên cơ sở dữ liệu của ứng dụng, thậm chí là server mà ứng dụng đó đang chạy.
Lỗi này thường xảy ra trên các ứng dụng web có dữ liệu quản lý bằng các hệ
quản trị cơ sở dữ liệu như SQL Server, MySQL, Oracle hay Sysbase.
Các dạng tấn công bằng SQL Injection:
- Tấn công vượt qua kiểm tra đăng nhập.
- Sử dụng câu lệnh Select.
- Sử dụng câu lệnh Insert.
- Sử dụng các stored – procedures.
a. Tấn công vượt qua kiểm tra đăng nhập
Với dạng tấn công này, hacker dễ dàng vượt qua các trang đăng nhập nhờ
vào lỗi khi sử dụng các câu lệnh SQL thao tác trên cơ sở dữ liệu của ứng dụng
web. Xét một ví dụ điển hình, thông thường để cho phép người dùng có thể truy
cập vào một trang web được bảo mật, hệ thống thường xây dựng trang đăng
nhập để yêu cầu người dùng nhập thông tin về tên đăng nhập và mật khẩu. Sau
khi người dùng nhập thông tin vào, hệ thống sẽ kiểm tra xem tên và mật khẩu
hợp lệ hay không để quyết định cho phép hay từ chối thực hiện tiếp. Trong
trường hợp này, người thiết kế có thể sử dụng hai trang, một trang HTML để
hiển thị form nhập liệu và một trang ASP dùng để xử lý thông tin nhập từ phía
người dùng. VD:
Login.htm
<form action=”ExeLogin.asp” method=”post”>
Username:<input type=”text” name=”txtUsername”><br>
Password:<input type=”password” name=”txtPassword”><br>

76
 <input type=”submit”>
</form>
ExecLogin.asp
<%
Dim p_strUsername, p_strPassword, objRS, strSQL
p_strUsername = Request.Form(“txtUsername”)
p_strPassword = Request.Form(“txtPassword”)
strSQL = “SELECT *FROM tblUsers” &_
“WHERE Username=’ ”&p_strUsername &_
“ ‘ and Password=’ “&p_strPassword &” ‘ “
Set objRS = Server.CreatObject(“ADODB.Recordset”)
objRS.Open strSQL, “DSN=…”
If (objRS.EOF) Then
Response.Write “Iinvalid login.”
Else
Response.Write “You are logged in ass “& objRS(“Username”)
End If
Set objES = Nothing
%>
Thoạt nhìn, đoạn mã trang Execlogin.asp dường như không chứa bất kỳ
một lỗ hổng bảo mật nào. Người dùng không thể đăng nhập mà không có
username và password. Tuy nhiên, đoạn mã này thực sự không an toàn và là tiền
để cho một cuộc tấn công kiểu SQL Injection. Đặc biệt, dữ liệu người dùng nhập
vào được sử dụng trực tiếp để xây dựng câu lệnh SQL. Chính điều này giúp cho
kẻ tấn công có thể điều khiển được câu truy vấn thực hiện. Ví dụ, nếu người sử
dụng nhập chuỗi sau vào cả hai ô nhập liệu username và password của trang
đăng nhập: “or” “=”.
Lúc này câu truy vấn sẽ được gọi thực hiện là:

77
 SELECT *FROM tblUsers WHERE Username=”or”=” and
Password=”or”=”
Câu truy vấn này là hoàn toàn hợp lệ và sẽ trả về tất cả các bản ghi của
bản danh sách các thành viên và đoạn mã tiếp theo xử lý người dùng đăng nhập
bất hợp pháp như là một người dùng hợp lệ.
b. Tấn công sử dụng câu lệnh SELECT
Dạng tấn công này phức tạp hơn. Để thực hiện được kiểu tấn công này, kẻ
tấn công phải có khả năng hiểu và lợi dụng các sơ hở trong các thông báo lỗi từ
hệ thống để dò tìm các điểm yếu khởi đầu cho việc tấn công.
Xét một ví dụ điển hình. Thông thường một website về tin tức sẽ có một
trang nhập ID của tin nhắn cần hiển thị rồi sau đó truy vấn nội dung của tin có
ID này. VD: trang http://www.myhost.com/shownews.asp?ID=123. Mã nguồn
cho chức năng này được viết khá đơn giản:
<%
Dim vNewsID, objRS, strSQL
vNewsID = Request(“ID”)
strSQL =
“SELECT * FROM T_NEWS
WHERE NEWS_ID = “& vNewsID
Set objRS = Server.CreatObject(“ADODB.Recordset”)
objRS.Open strSQL, “DSN=…”
Set objRS = Nothing
%>
Trong các tình huống thông thường, đoạn mã này hiển thị nội dung của tin
có ID trùng với ID đã chỉ định và hầu như không thấy có lỗi. Tuy nhiên, kẻ tấn
công có thể thay thế một ID hợp lệ bằng cách gán cho ID một giá trị khác. Từ đó
nó khởi đầu cho một cuộc tấn công SQL Injection bất hợp pháp.
Câu truy vấn SQL lúc này sẽ trả về tất cả các article từ bảng dữ liệu vì nó
sẽ thực hiện câu lệnh sau:

78
 SELECT * FROM T_NEWS WHERE NEWS_ID=0 or 1=1
Chúng ta xét một ví dụ khác, ví dụ này nằm ở các trang tim kiếm. Trang
này cho phép người dùng nhập các thông tin tìm kiếm như họ tên, từ khóa. Đoạn
mã thường gặp là:
<%
Dim vAuthorNmae, objRS, strSQL
vAuthorName = Request(“fAUTHOR_NAME”)
strSQL = “SELECT *FROM T_AUTHOR WHERE
AUTHOR_NAME=’ “&_
vAuthorName &” ‘ “
Set objRS = Server.CreatObject(“ADODB.Recordset”)
objRS.Open strSQL, “DSN=…”
…
Set objRS= Nothing
%>
Tương tự như ví dụ trước, kẻ tấn công có thể bị lợi dụng sơ hở trong câu
truy vấn SQL để nhập vào trường tên tác giả bằng chuỗi giá trị:
‘ UNION
SELECT ALL
SELECT OtherField
FROM OtherTable
WHERE ‘ ‘=’ (*)
Lúc này, chương trình sẽ thực hiện thêm lệnh tiếp theo từ khóa UNION
nữa. Hãy thử tưởng tượng kẻ tấn công có thể xóa toàn bộ cơ sở dữ liệu của bạn
bằng cách chèn vào các đoạn lệnh nguy hiểm như lệnh xóa bảng DROP TABLE.
Chắc bạn sẽ thắc mắc làm sao để biết được ứng dụng web bị lỗi này. Rất
đơn giản, bạn hãy nhập vào chuỗi (*) ở trên. Nếu hệ thống báo lỗi về cú pháp
dạng “Invalid object name”OtherTable””. Khi đó, bạn có thể biết chắc chắn là

79
hệ thống đã thực hiện câu SELECT sau từ khóa UNION, vì như vậy mới có thể
trả về lỗi mà bạn đã cố tình tạo ra trong câu lệnh SELECT.
Chắc bạn cũng thắc mắc là làm thế nào để bíết được tên của các bảng dữ
liệu mà thực hiện các thao tác phá hoại khi ứng dụng web bị lỗi SQL Injection.
Điều này rất đơn giản. Trong SQL Server có hai đối tượng là sysobjects và
syscolumns cho phép liệt kê tất cả các tên bảng bên trong và cột của hệ thống.
Kẻ tấn công chỉ cần sử dụng câu lệnh sau:
UNION
SELECT name
FROM sysobjects
WHERE xtype = ‘U’
Chỉ cần câu lệnh trên, kẻ tấn công có thể liệt kê được tất cả các tên bảng
dữ liệu.
c. Dạng tấn công sử dụng câu lệnh INSERT
Thông thường, các ứng dụng web cho phép người dùng đăng ký một tài
khoản để tham gia. Chức năng không thể thiếu là sau khi đăng ký thành công,
người dùng có thể xem và hiệu chỉnh thông tin của mình. SQL Injection có thể
được dùng khi hệ thống không kiểm tra tính hợp lệ của thông tin nhập vào.
VD: một lệnh INSERT có thể có cú pháp dạng:
INSERT INTO TableName VALUES(‘Value One’, ‘Value Two’,
‘Value Three’)
Nếu đoạn mã xây dựng SQL có dạng:
<%
StrSQL = “INSERT INTO TableName VALUES(‘ “& strValueOne & “
‘,‘ “_
& strValueTwo & “ ‘,’ “& strValueThree & “ ‘)”
Set objRS = Server.CreatObject(“ADODB.Recordset”)
objRS.Open strSQL, “DSN=…”
…

80
 Set objRS = Nothing
%>
Với đoạn mã trên thì chắc chắn sẽ bị lỗi SQL Injection. Bởi nếu bạn nhập
vào trường thứ nhất, ví dụ như:
+ (SELECT
TOP 1 FieldName FROM TableName) + ‘
Lúc này câu truy vấn sẽ là:
INSERT INTO TableName
VALUES(‘ ‘ + (SELECT
TOP 1 FieldName FROM
TableName) + ‘ ‘, ‘abc’,’def’)
Khi đó, lúc thực hiện xem thông tin thì xem như bạn đã yêu cầu thực hiện
thêm một lệnh nữa, đó là: SELECT TOP 1 FieldName FROM TableName.
d. Dạng tấn công bằng cách sử dụng store-procedures
Dạng tấn công này sẽ gây tác hại rất lớn nếu như ứng dụng được thực thi
với quyền quản trị hệ thống. Chẳng hạn, nếu kẻ tấn công thay đoạn mã vào dạng
sau:
Exec xp_cmdshell ‘cmd.exe dir C:’
Khi đó, hệ thống sẽ thực hiện lệnh liệt kê thư mục trên ổ đĩa chương
trình:\ cài đặt server. Nói chung, sự nguy hiểm của kiểu tấn công dạng này tùy
thuộc vào câu lệnh nằm đằng sau cmd.exe.
4. Các phương thức phòng chống tấn công SQL Injection
Lỗi SQL Injection khai thác sự bất cẩn của các lập trình viên phát triển
ứng dụng web khi sử lý các dữ liệu nhập vào để xây dựng câu lệnh SQL. Nếu
ứng dụng sử dụng quyền dbo (database owner – quyền người sở hữu cơ sở dữ
liệu) khi thao tác dữ liệu, nó có thể xóa toàn bộ các bảng dữ liệu, tạo ra các bảng
mới… Nếu ứng dụng sử dụng quyền quản trị hệ thống, nó có thể điều khiển toàn
bộ hệ quản trị cơ sở dữ liệu và với quyền hạn rộng lớn như vậy, nó có thể tạo ra

81
tài khoản người dùng bất hợp pháp để điều khiển hệ thống của bạn. Để phòng
tránh kiểu tấn công SQL Injection, bạn có thể thực hiện ở hai mức:
- Kiểm soát chặt chẽ dữ liệu nhập vào.
- Thiết lập cấu hình an toàn cho hệ quản trị cơ sở dữ liệu.
a. Kiểm soát dữ liệu nhập vào
Ở mức này, nhà quản trị cần kiểm soát chặt chẽ dữ liệu nhập nhận từ đối
tượng Request. VD: giới hạn chiều dài của chuỗi nhập liệu, hoặc xây dựng hàm
EscapeQuotes để thay thế các dấu nháy đơn bằng hai dấu nháy đơn như câu lệnh
sau:
<%
Function EscapeQuotes(sInput)
sInput = replace(sInput,” ‘ “,” ‘’ “)
EscapeQuotes = sInput
End Function
%>
Trong trường hợp dữ liệu nhập vào là số, lỗi xuất phát từ việc thay thế
một giá trị được tiên đoán là dữ liệu số bằng chuỗi chứa câu lệnh SQL bất hợp
pháp. Để tránh điều này, kiểm tra dũ liệu có đúng kiểu hay không bằng hàm
isNumberic().
Ngoài ra, có thể xây dựng hàm loại bỏ một số ký tự và các từ khóa nguy
hiểm như: “, ;, -, select, insert, xp_... ra khỏi chuỗi dữ liệu nhập từ phía người
dùng:
<%
Function Killchars(sInput)
Dim badChars
Dim newChars
badChars = array(“select”,”drop”,”;”,”—“,”insert”,”delete”,”xp_”)
newChars = strInput
for I = 0 to uBound(badChars)

82
 newChars = replace(newChars, badChars(i),””)
next
KillChars = newChars
End Function
%>
b. Thiết lập cấu hình an toàn cho hệ quản trị cơ sở dữ liệu
Với phương pháp phòng chống này, người quản trị cần có cơ chế kiểm
soát chặt chẽ và giới hạn quyền xử lý dữ liệu đến tài khoản người sử dụng mà
ứng dụng web đang sử dụng. Các ứng dụng thông thường nên tránh dùng các
quyền như dbo hay quyền quản trị hệ thống. Quyền càng bị hạn chế thì thiệt hại
càng ít.
Ngoài ra, để tránh các nguy cơ từ các kiểu tấn công SQL Injection, người
quản trị nên chú ý loại bỏ bất kỳ thông tin kỹ thuật nào chứa trong thông điệp
chuyển xuống cho người sử dụng khi ứng dụng có lỗi. Các thông báo lỗi thông
thường tiết lộ các chi tiết kỹ thuật có thể cho phép kẻ tấn công biết được các
điểm yếu của hệ thống, bạn cần phải quản lý thật chặt chẽ các thông báo lỗi này.

83
 KẾT LUẬN
An toàn và bảo mật là chủ đề xuyên suốt của thương mại điện tử. Dù bạn
là ai, khách hàng, nhà cung cấp …dù bạn đang tham gia vào hoạt động nào của
thương mại điện tử, mua hàng, bán hàng hay chỉ đơn giản là nhập password thì
hãy luôn đặt vấn đề an toàn và bảo mật lên hàng đầu. Trông thế giới thương mại
điện tử, khi mà mọi thứ đều là ảo, bạn sẽ chẳng thể giữ chặt tài sản của bạn
trong tay, cũng như để ý ai đến gần tài sản của bạn mà bảo vệ. Khi đã quyết định
từ bỏ thương mại truyền thống để tham gia vào một lĩnh vựa hoàn toàn mới lạ,
cách tốt nhất là thận trong trong từng bước đi và xây dựng cho mình hàng rào
bảo vệ tốt nhất có thể.
Thương mại điện tử thâm nhập vào Việt Nam khá muộn so với thể giới,
mới từ năm 1997, vì vậy sẽ có rất nhiều khó khăn cho các doanh nghiệp Việt
Nam khi chống đỡ lại những hình thức lừa đảo, tấn công hết sức tinh vi, mới lạ.
Tuy nhiên, hãy biến sự chậm chạp này thành lợi thế bằng cách tiếp thu những
kinh nghiệm bảo mật của thế giới. Đó là con đường nhanh nhất, tiết kiệm chi phí
nhất để bắt kịp chuyến tàu thương mại điệnt tử thế giới đã đi trước ta rất nhiều
năm.
Trong khuôn khổ của một đề án môn học, em chỉ xin được đề cập đến
những khía cạnh chung nhất của vấn đề an toàn và bảo mật trong thương mại
điện tử. Đó là những kiến thức mà một cá nhân nên biết khi tham gia vào thương
mại điện tử. Bởi tại đây, cái bảo vệ tài sản của bạn không phải là két sắt mà
chính là tri thức.
Những dòng cuối này em xin được gửi lời cảm ơn chân thành nhất đến
thầy Bùi Thế Ngũ, người đã giúp đỡ em rất nhiều trong việc hoàn thành đề án
này.

84
 Tài liệu tham khảo

- Giáo trình và vở ghi.

- Thương mại điện tử thực tế và giải pháp – CN. Nguyễn Duy
Quang, KS. Nguyễn Văn Khoa – NXB Giao thông vận tải.
- Website Ngân hàng nhà nước Việt Nam – http://www.sbv.gov.vn
- http://vi.Wikipedia.org

85
MỤC LỤC

86