Nghiên cứu kiểm soát các “lỗ hổng an ninh” trên cổng điện tử - pdf 28

Download miễn phí Đồ án Nghiên cứu kiểm soát các “lỗ hổng an ninh” trên cổng điện tử



MỤC LỤC
MỤC LỤC .2
LỜI NÓI ĐẦU . . .4
Chương I: TỔNG QUAN VỂ CỒNG ĐIỆN TỬ . . . . .5
1.1. Khái niệm . . . . 5
1.2. Lịch sử phát triển . . . .5
1.3. Phân loại . . . .6
1.4. Thuộc tính . . .6
1.5. Kiến trúc của cổng điện tử . . .6
1.5.1. Kiến trúc tổng quan . .6
1.5.2. Giải thích mô hình . . . 7
1.5.2.1. Tầng trình diễn . . .7
1.5.2.2. Tầng ứng dụng . . .7
1.5.2.3. Tầng cơ sở dữ liệu . . . .8
1.6. Mô hình phát triển cổng điện tử . . 8
1.6.1. Chuẩn Ichannel . . 8
1.6.2. Chuẩn JSR 168 . . 8
Chương II: THỰC TRẠNG AN NINH TRÊN CỔNG ĐIỆN TỬ . .9
2.1. Thực trạng an ninh trên Internet . .9
2.2. Một số mối đe dọa an ninh trên mạng Internet . 10
2.2.1. Lấy trộm thông tin . .10
2.2.2. Chiến tranh thông tin .10
2.2.3. Khủng bố trên không gian điều khiển 11
2.3. Yêu cầu bảo mật thông tin trên Internet . .12
2.4. Một số vấn đề liên quan đến thực trạng an ninh trên “cổng điện tử” . . 12
2.4.1. Hạn chế thông tin . 12
2.4.2. Cấp quyền . .13
2.4.3. “Lưu vết” trên mạng . . 13
2.4.4. Tăng cường “tính vô danh” trên mạng . 13
2.4.5. Mã hóa . . 14
2.4.6. Chữ ký điện tử . . 14
Chương III: MỘT SỐ BIỆN PHÁP KIỂM SOÁT LỖ HỔNG AN NINH TRÊN CỔNG ĐIỆN TỬ . . .15
3.1. Đối với mật khẩu . . .15
3.2. Đối với E-mail . . . 15
3.3. Đối với máy khách (Client) . . . 16
3.3.1. Chứng chỉ số . . . 16
3.3.2. Thẻ thông minh . . 17
3.3.3. Nhận dạng bằng sinh trắc học . . 18
3.4. Đối với máy chủ (Server) . . 19
3.5. Sử dụng Trusted Solaris . . . 21
3.6. Chống Virus . . . 22
3.7. Bảo mật nội dung thông tin . .23
3.8. Chữ ký điện tử .23
KẾT LUẬN . . . 24
TÀI LIỆU THAM KHẢO . 25
 
 





Để tải tài liệu này, vui lòng Trả lời bài viết, Mods sẽ gửi Link download cho bạn ngay qua hòm tin nhắn.

Ket-noi - Kho tài liệu miễn phí lớn nhất của bạn


Ai cần tài liệu gì mà không tìm thấy ở Ket-noi, đăng yêu cầu down tại đây nhé:
Nhận download tài liệu miễn phí

Tóm tắt nội dung tài liệu:


mềm hay là cấu hình lại hệ thống nhằm bảo đảm an toàn thông tin. Trong một số trường hợp Hacker không muốn cho truy suất hệ thống bằng cách xây dựng một loạt các thủ tục nhằm mục đích đưa ra thông báo “từ chối dịch vụ”. Việc tấn công vào mạng sử dụng thông báo từ chối truy cập được thực hiện bằng cách khiến cho phần mềm dịch vụ bị quá tải bởi phải xử lý quá nhiều yêu cầu. Khi đó hệ thống sẽ trở nên rất bận và sẽ thiếu thời gian để làm việc khác do đó buộc phải từ chối truy cập dịch vụ.
Tuy có nhiều cách để xâm nhập vào mạng nhưng một trong những cách dễ dàng nhất là chặn dòng dữ liệu trao đổi giữa các thành viên trong mạng. Do thông tin được truyền trong mạng dưới dạng văn bản thuần tuý nên việc rình bắt thông tin sẽ giúp cho Hacker lấy được mật khẩu của mạng một cách dễ dàng.
Còn kiểu tiến công mạng nữa hay được sử dụng là giả dạng bằng cách giả vờ là một người sử dụng có thẩm quyền của mạng thông qua việc giả lập địa chỉ IP. Điều đáng nói ở đây là trong hầu hết các trường hợp, việc bảo đảm độ tin cậy chỉ dựa trên một phía (qua password, hay PIN) mà những thông tin này lại rất dễ bị sao chép. Do vậy để đảm bảo độ tin cậy, việc thiết lập độ tin cậy phải được thực hiện từ hai phía bằng việc sử dụng một thẻ thông minh (smart card) kết hợp với PIN (Personal Identity Number) nhằm tăng mức độ an toàn của mạng.
Một cách khác là tạo ra những phần mềm thông minh để truy xuất đến một mạng đích nào đó thông qua việc lấy các thông tin thải loại ở trong sọt rác hay trong đĩa mềm bỏ đi của người quản trị mạng. Kiểu này chỉ được áp dụng khi mà Hacker liên quan khá mật thiết đến người điều hành mạng và do đó cũng rất dễ truy tìm ra Hacker khi mạng bị tấn công.
Còn một cách để Hacker xâm nhập vào mạng là sử dụng một tập hợp các thông tin dễ ghi nhớ. Rất nhiều mạng sử dụng tên miền rất dễ nhớ như: System01.Domain.Org. Bằng việc truy xuất qua server quản lý hệ tên miền (DNS: Domain Name System), Hacker có thể thâm nhập vào mạng rất dễ dàng bằng cách hướng yêu cầu của người sử dụng đến một server khác và lấy trộm những thông tin cần thiết. Do đó để đảm bảo rằng người sử dụng truy xuất đúng server cần bổ xung cả việc kiểm tra độ tin cậy đối với server. Điều này được thực hiện bằng cách sử dụng chứng chỉ số trên server.
Để tránh việc gói tin bị thay thế khi truyền trên mạng, bắt buộc gói tin phải được tích hợp trước khi truyền thông qua việc bổ xung một thông điệp băm. Việc mã hoá của thông điệp này giúp cho thông điệp bảo đảm được độ chính xác.
Trong hầu hết các trường hợp những cuộc tiến công vào mạng thành công không phải do kỹ thuật mà do con người. Thay cho sử dụng kỹ thuật để đột phá vào mạng, Hacker sẽ thử liên hệ với người nắm giữ thông tin mà họ cần,điều khiển họ thông qua việc khai thác những thói quen của họ và như thế những người này sẽ không thông báo về những thông tin bị giò gỉ bởi chính họ cho cấp có thẩm quyền.
Một số mối đe dọa an ninh trên mạng Internet
Lấy trộm thông tin
Nhiều người cho rằng không ai quan tâm đến những thông tin cá nhân của mình. Nhưng việc thu thập thông tin riêng tư vẫn xảy ra. Và thường thì việc thu thập thông tin này diễn ra khéo léo đến mức các nhà quản trị hệ thống không nhận ra để kịp thời thiết lập các biện pháp bảo vệ cần thiết.
Có nhiều chương trình dùng để đoán mật khẩu đăng nhập mạng. Các chương trình này cho phép đoán từ của nhiều ngôn ngữ nhờ vào từ điển tổng hợp các thứ tiếng. Chúng thực hiện mã hoá các từ trong từ điển, so sánh các mật khẩu cho đến khi tìm được từ đúng. Các chương trình này còn được gọi là “phần mềm bẻ khoá”.
Chiến tranh thông tin
Hiện nay chiến tranh thông tin vẫn chưa xuất hiện nhưng các chính phủ vẫn đang xây dựng cơ chế bảo mật dữ liệu đề phòng trường hợp bị tấn công. Cũng như phát triển các công cụ để thực hiện chiến tranh thông tin. Các “chiến binh thông tin” cố gắng lấy phá huỷ hệ thống lưu trữ, xử lý của kẻ thù trong khi thực hiện bảo vệ dữ liệu trên mạng của mình.
Chiến tranh thông tin có ba mức độ: cá nhân, tập đoàn và toàn cầu. Ở ba mức độ này, phương pháp tiến hành nói chung giống nhau là cố gắng xâm nhập để lấy các thông tin của mỗi người, mỗi công ty, mỗi quốc gia, Các thông tin bị lấy trộm thường được lưu trữ trên nhiều cơ sở dữ liệu khác nhau của đối phương gồm các thông tin về tài chính, y tế, khoa học công nghệ, Để phân biệt ba kiểu chiến tranh này người ta căn cứ vào mức độ phá hoại của chúng.
Có rất nhiều vũ khí có thể sử dụng trong chiến tranh thông tin. Ví dụ như:
BOM: phá hủy phần điện tử của máy tính thông qua các vụ nổ hạt nhân hay không hạt nhân.
Chipping: thay thế chip chuẩn.
Human Engineering: giả mạo thông tin qua điện thoại, Fax, E-mail,
Jamming: để ngăn chặn liên lạc của kẻ địch bằng cách tạo tiếng ồn điện tử.
Nano machines: robot nhỏ có thể tiến công phần cứng của kẻ địch.
Spoofing: thư điện tử giả mạo các bó TCP/IP có thể xuyên qua tường lửa và các hệ thống bảo mật khác.
Trap Door: cơ chế cho phép tiến công xâm nhập hệ thống mà không cần chú ý đến loại xác lập bảo mật.
Trojan Horse: đoạn mã chương trình co thể chứa bên trong các chương trình và thực hiện các lệnh không mong muốn.
Worm: một chương trình độc lập có khả năng tự sao chép chính mình từ máy tính này sang máy tính khác.
Do việc truyền thông và trao đổi dữ liệu điện tử ngày càng được sử dụng nhiều nên việc phá hoại thông tin liên lạc có thể gây nên những hầu quả nghiêm trọng hơn so với các hậu quả xảy ra trong các cuộc chiến tranh thông thường.
Khủng bố trên không gian điều khiển
Khủng bố điều khiển đe doạ mọi người sử dụng nối vào Internet, những kẻ khủng bố sử dụng những cách ép buộc khác nhau để đạt những mục tiêu về chính trị hay kinh tế. Chúng sử dụng hiểu biết về máy tính để đe doạ người khác.
Những kẻ “khủng bố điều khiển” có khả năng phá hoại những công việc kinh doanh của nhiều tập đoàn lớn nếu như những nơi này không có những biện pháp để ngăn chặn những hành động khiêu khích của những kẻ phá hoại. Những ngân hàng kết nối cơ sở dữ liệu của mình với mạng Internet cũng có khả năng bị tấn công khi thực hiện các giao dịch điện tử ở trên mạng. Khi mà ta hạn chế truy cập nhờ tường lửa và chỉ cho một số ít những người sử dụng đặc biệt có quyền sử dụng truy xuất dữ liệu thì cũng là lúc làm giảm khả năng bảo mật.
Những kẻ khủng bố sử dụng nhiều cách để tiến công các trụ sở đầu não của nhiều tổ chức tuỳ vào mỗi cơ quan đầu não mà chúng sử dụng một phương pháp tấn công riêng như: tấn công bằng virus, đánh tráo thông tin, làm gián đoạn liên lạc, tiêu diệt từ xa hay làm thất lạc thông tin.
Để bảo vệ chống các tổ chức khủng bố tấn công qua Internet, cần :
Đặt mật khẩu: không có hệ thống máy tính nào lại có mật khẩu mà có thể đoán được hay tìm thấy trong từ điển. Nguyên tắc đặt mật khẩu phải được kiểm tra xem có vi phạm không?
Network: thay đổi cấu hình mạng ngay sau khi tổn thương và cần kiểm tra mạng theo những nguyên tắc nhất định.
Giải quyết tạm thời: giao cho các cán bộ bảo mật nhiệm vụ mô tả danh sách các thư mật quan trọng, thông báo cho mọi người về sự giò gỉ bí mật mới nhất.
Kiểm tra: tất cả các hệ thống cần được kiểm tra theo các nguyên tắc nội bộ và các tệp log cần được phân tích theo các nguyên tắc cơ sở.
Yêu cầu bảo mật thông tin trên Internet
Ngày nay có rất nhiều kỹ thuật phục vụ cho việc bảo mật hệ thống. Vấn đề quan trọng của Internet là nhận dạng người sử dụng vì trên Internet thì mọi người đều giống nhau, dẫn đến khả năng rằng việc giả dạng người khác rất dễ dàng. Như vậy việc bảo vệ thông tin trên Internet là rất quan trọng nhưng rất khó thực hiện.
Mọi tổ chức và cá nhân muốn bảo mật thông tin đều mong muốn:
Độ tin cậy: rất cần thiết cho việc kiểm tra ai là người có quyền đọc thông tin và chuyển thông tin cho người khác.
Tích hợp: là để đảm bảo mọi dữ liệu chỉ có thể bị thay đổi do những người có đủ thẩm quyền và dữ liệu không bị thay thế trong quá trình truyền trên mạng.
Sẵn có: bảo đảm người dùng có thể truy suất liên tục các nguồn lực mạng.
Không nhầm lẫn bảo đảm nguồn lực của mạng không bị chia sẻ cho những người không đủ thẩm quyền truy cập.
Một số vấn đề liên quan đến thực trạng an ninh trên “cổng điện tử”
Hạn chế thông tin
Đây là một chiến lược lớn, được áp dụng ở rất nhiều nơi. Bằng việc hạn chế thông tin các nhà quản trị hy vọng rằng không ai phát hiện được điểm yếu của họ để mà khai thác chúng.
Các phần mềm trên “cổng điện tử” đều sử dụng thuật toán sẵn có nên Hacker có thể tìm ra cách làm việc của các thuật toán hay sử dụng các phần mềm trung gian để xem mã và cách thức bảo mật. Điều này buộc các nhà phát triển phần mềm nguồn mở phải luôn phát triển thuật toán, cung cấp các thuật toán mã hoá mạnh.
Cấp quyền
Để đảm bảo an ninh cho cổng điện tử khi tham gia Internet, cần xác định xem ai là người có quyền truy xuất thông tin thông qua một danh sách quyền. Để thiết lập danh sách này cần xây dựng và xác lập một tập hợp các quyền được cấp cho những người dùng. Danh sách thẩm quyền giúp tránh việc truy xuất và sử dụng dịch vụ mà không được phân quyền. Bằng cách sử dụng các quy luật ràng buộ...
Music ♫

Copyright: Tài liệu đại học © DMCA.com Protection Status