Thực trạng và giải pháp cho vấn đề an toàn và bảo mật trong thương mại điện tử

g mó húa khúa cụng khai được mụ tả tiếp theo đõy sẽ giải quyết được vấn đề trao đổi khúa đối xứng. b. Mó húa khúa cụng khai – khúa khụng đối xứng. Mó húa khúa cụng khai (Public Key Cryptography) sử dụng hai khúa khỏc nhau: Khúa cụng khai (public key): được gửi cụng khai trờn mạng. Khúa cụng khai khụng cú khả năng giải mó thụng tin do chớnh nú mó húa. Khúa bớ mật (private key): được giữ bớ mật. Lược đồ mó húa khúa cụng khai Bước 1: Trao chỡa khúa cụng khai cho người gửi. Vỡ khúa cụng khai được “cụng khai” nờn bạn khụng cần phải lo lắng nguy cơ mất trộm. Bước 2: Người gửi sử dụng khúa cụng khai của bạn mó húa thụng điệp cần gửi. Bước 3: Thụng điệp mó húa được gửi đến bạn (tất nhiờn khụng phải đưa trực tiếp như hỡnh vẽ). Bước 4: Bạn dựng khúa bớ mật của mỡnh để giải mó thụng điệp. Thuật toỏn dựng trong phương phỏp mó húa khúa cụng khai là RSA và thuật toỏn DH (Diffie – Hellman). Ưu điểm: Bảo mật cao. Nhược điểm: Quỏ trỡnh mó húa, giải mó chậm, chỉ nờn dựng cho những dữ liệu khụng quỏ lớn. Vỡ vậy, phương phỏp mó húa khúa cụng khai thường được dựng để truyền khúa của phương phỏp mó húa khúa đối xứng để tận dụng khả năng giải mó nhanh của phương phỏp này. Trờn lược đồ thụng điệp (plaintext) sẽ thay bằng khúa đối xứng. Quỏ trỡnh mó húa khúa đối xứng bằng khúa cụng khai sẽ tạo ra phong bỡ số. Tuy cú tớnh bảo mật cao khú cú thể phỏ vỡ nhưng phương phỏp mó húa khúa cụng khai vẫn cú lỗ hổng. Bạn muốn gửi thụng điệp cho A, bạn cần phải cú khúa cụng khai của A. Sẽ ra sao nếu kẻ lừa đảo tự tạo cho mỡnh một cặp khúa bớ mật và cụng khai, sau đú hắn trao cho bạn khúa cụng khai của hắn vào bảo đú là khúa cụng khai của A. Chẳng cú gỡ xỏc thực khúa đú là của A, vỡ vậy bạn mó húa thụng điệp với khúa cụng khai này và gửi đi. Kẻ trộm sẽ túm lấy thụng tin và đọc được nú bởi vỡ hắn cú khúa bớ mật. Như vậy, làm sao để chứng nhận cỏc khúa cụng khai của từng cỏ nhõn trờn mạng? Do đú, chứng chỉ số được ra đời. Chứng chỉ số (chứng chỉ điện tử) được cỏc tổ chức chứng thực (CA) cú uy tớn cung cấp cho cỏc cỏ nhõn, cụng ty. Chứng chỉ số sẽ được đề cập ở phần sau. Mục tiếp theo xin đề cập đến khỏi niệm chữ ký số (chữ ký điện tử). 2. Chữ ký số Chữ ký số và chữ ký điện tử thường được dựng thay thế cho nhau, nhưng chỳng khụng hoàn toàn đồng nhất. Chữ ký điện tử rộng hơn chữ ký số. Chữ ký điện tử là những thụng tin đi kốm thụng điệp để xỏc thực người chủ sở hữu thụng điệp như chữ ký số, chữ ký tay được truyền bằng fax, địa chỉ telex Chữ ký số khúa cụng khai (hay hạ tầng khúa cụng khai) là mụ hỡnh sử dụng cỏc kỹ thuật mật mó để gắn với mỗi người sử dụng một cặp khúa cụng khai - bớ mật và qua đú cú thể ký cỏc văn bản điện tử cũng như trao đổi cỏc thụng tin mật. Khúa cụng khai thường được phõn phối thụng qua chứng thực khúa cụng khai. Quỏ trỡnh sử dụng chữ ký số bao gồm 2 quỏ trỡnh: tạo chữ ký và kiểm tra chữ ký. Tạo chữ ký số: Sử dụng giải thuật băm (hash) một chiều để thay đổi thụng điệp cần truyền đi. Kết quả thu được một message digest gọi là bản phõn tớch văn bản hay túm tắt thụng điệp. Sử dụng giải thuật MD5 (Message Digest 5) nờn thu được digest cú độ dài 128 bits. Tiếp tục sử dụng giải thuật SHA (Secure Hash Algorithm) nờn thu được message digest cú độ dài 160 bits. Sử dụng khúa bớ mật của người gửi để mó húa bản phõn tớch văn bản thu được ở cỏc bước trước. Trong bước này, thụng thường, người ta sử dụng giải thuật RSA. Kết quả thu được trong bước này là chữ ký điện tử của thụng điệp ban đầu. Gộp chữ ký điện tử vào thụng điệp ban đầu. Cụng việc này gọi là ký nhận thụng điệp. Sau khi đó ký nhận thụng điệp, mọi sự thay đổi trờn thụng điệp sẽ bị phỏt hiện trong giai đoạn kiểm tra. Ngoài ra, việc ký nhận này đảm bảo người nhận tin tưởng vào thụng điệp này xuất phỏt từ người gửi chứ khụng phải ai khỏc. Sau khi nhận được thụng điệp cú đớnh kốm chữ ký điện tử người nhận kiểm tra lại thụng điệp: Người nhận sử dụng khúa cụng khai của người gửi để giải mó chữ ký điện tử đớnh kốm trong thụng điệp. Sử dụng giải thuật MD5 hay SHA để băm thụng điệp đớnh kốm. So sỏnh kết quả thu được ở hai bước trờn. Nếu trựng nhau thỡ ta kết luận thụng điệp này khụng bị thay đổi trong quỏ trỡnh gửi, người gửi là chớnh xỏc và ngược lại. Lược đồ tạo và kiểm tra chữ ký số Bản chất của thuật toỏn tạo chữ ký sổ là đảm bảo nếu chỉ biết thụng điệp thỡ rất khú (hầu như khụng thể) tạo ra chữ ký số của người gửi nếu khụng biết khúa bớ mật của người gửi. Nờn nếu phộp so sỏnh cho kết quả đỳng thỡ cú thể xỏc nhận người gửi là chớnh xỏc. Tuy nhiờn khi tạo chữ ký số, người gửi thường khụng mó húa toàn bộ thụng điệp với khúa bớ mật mà chỉ thực hiện với bản băm của thụng điệp (bản túm tắt thụng điệp 160 bits) nờn cú thể xảy ra trường hợp hai thụng điệp khỏc nhau cú cựng bản băm nhưng với xỏc xuất rất thấp. 3. Chứng chỉ số Phương phỏp mó húa khúa cụng khai đó thực hiện được yờu cầu mó húa, chữ ký số đó đảm bảo được tớnh toàn vẹn (thực chất là phỏt hiện sự thay đổi của thụng điệp trờn đường truyền chứ khụng ngăn cản được sự thay đổi) và xỏc thực được người gửi. Trở lại vấn đề giả mạo khúa cụng khai, vấn đề này đũi hỏi xỏc thực người nhận là ai. Điều này chữ ký số chưa thực hiện được. Vỡ vậy, để đỏp ứng nhu cầu đú một hệ thống tổ chức đó ra đời để cỏc cung cấp chứng chỉ số. Chứng chỉ số là một file điện tử dựng để xỏc thực danh tớnh một cỏ nhõn, một mỏy chủ hay một cụng ty, tổ chức trờn Internet. Bạn cú thể hỡnh dung chứng chỉ số tương tự như bằng lỏi xe, chứng minh thư hay những giấy tờ xỏc minh cỏ nhõn khỏc. a. Nhà cung cấp chứng chỉ số (CA) Cũng như cỏc giấy tờ chứng thực cỏ nhõn khỏc, chứng chỉ số phải do một tổ chức đứng ra chứng nhận những thụng tin của bạn là chớnh xỏc. Tổ chức đú gọi là nhà cung cấp chứng chỉ số (Certificate Authority – CA). Cỏc CA phải đảm bảo về độ tin cậy, chịu trỏch nhiệm về độ chớnh xỏc của chứng chỉ số mà mỡnh cấp cho khỏch. b. Nhà quản lý đăng ký Một nhà quản lý đăng ký là một cơ quan thẩm tra trờn một mạng mỏy tớnh. Nú cú chức năng xỏc minh yờu cầu của người sử dựng muốn xỏc thực một chứng chỉ số và yờu cầu CA đưa ra kết quả. c. Cơ sở hạ tầng khúa cụng khai (PKI) Cơ sở hạ tầng khúa cụng khai (Public Key Infrastructure – PKI) là một hệ thống cho phộp cỏc cụng ty và người sử dụng trao đổi thụng tin và hoạt động tài chớnh một cỏch an toàn. Núi chung, nú cho phộp người dựng sử dụng một mạng cụng cộng khụng bảo mật, Internet chẳng hạn, để trao đổi thụng tin kể cả tiền bạc một cỏch an toàn thụng qua việc sử dụng mó húa khúa cụng khai. Nhưng khụng phải ai cũng biết cỏch tạo cho mỡnh một cặp khúa cụng khai và bớ mật cũng như thực hiện chữ ký số. Một CA cú uy tớn sẽ cung cấp cặp mó húa khúa cụng khai đến người dựng, đồng thời cũng cung cấp chứng chỉ số dựng để xỏc minh người dựng đú. Một cơ sở hạ tầng khúa cụng khai bao gồm cỏc thành phần cơ bản sau: Một nhà cung cấp chứng chỉ số Một nhà quản lý đăng ký đúng vai trũ thẩm tra trước khi một chứng chỉ số được cung cấp tới người dựng. Một hoặc nhiều danh mục, nơi cỏc chứng chỉ số cựng với khúa cụng khai của nú được lưu trữ để phục vụ nhu cầu tra cứu, lấy khúa cụng khai của đối tỏc. Một hệ thống quản lý chứng chỉ số. Cỏc thành phần của một chứng chỉ số: Thụng tin cỏ nhõn của người được cấp. Khúa cụng khai của người được cấp. Chữ ký số của nhà cung cấp (cũn gọi là chứng chỉ gốc) chứng chỉ số cú vai trũ như con dấu, đảm bảo tớnh hợp lệ và chớnh xỏc của chứng chỉ số. Ngày hết hạn. Cỏc thụng tin khỏc tựy theo cơ sở hạ tầng khúa cụng khai. d. Ứng dụng của chứng chỉ số Mó húa thụng tin. Mó húa thụng tin với khúa cụng khai đảm bảo chỉ cú người chủ của khúa cụng khai đú mới đọc được. Dự thụng tin cú bị đỏnh cắp trờn đường truyền thỡ tớnh bớ mật của thụng tin vẫn được đảm bảo. Toàn vẹn thụng tin. Chữ ký số cú thể cho bạn biết thụng tin cú bị thay đổi trờn đường truyền hay khụng. Nhưng nú khụng bảo vệ thụng tin khụng bị sửa đổi. Xỏc thực. Người gửi cú thể biết chắc rằng thụng tin đó gửi đến đỳng người hay chưa nhờ vào việc xỏc thực khúa cụng khai của người nhận. Người nhận cũng cú thể biết người gửi cú phải là đối tỏc thực sự hay khụng nhờ vào chữ ký số. Chống chối cói nguồn gốc. Khi sử dụng chứng chỉ số, người gửi phải chịu trỏch nhiệm hoàn toàn về những thụng tin cú chứng chỉ số đi kốm. Chứng chỉ số cú thể xem như bằng chứng để khẳng định tỏc giả của gúi tin khi anh ta cố tỡnh chối cói, phủ nhận dữ liệu khụng phải do mỡnh gửi đi. Bảo mật email. Email là một cụng cụ giao tiếp tiện lợi và dễ sử dụng, nhưng cũng cú rất nhiều lỗ hổng. Thụng điệp cú thể bị lấy đi và thay đổi trước khi đến tay người nhận. Với chứng chỉ số mà cụ thể là chữ ký số, người nhận cú thể biết được thụng tin mỡnh nhận là của ai và cú được bị biến đổi hay khụng. Bảo mật web. Loại chứng chỉ số này cung cấp cho website một định danh duy nhất nhằm đảm bảo với khỏch hàng về tớnh xỏc thực và tớnh hợp phỏp của website. Phổ biến là chứng chỉ số SSL Server, cho phộp người dựng cấu hỡnh website theo giao thức bảo mật SSL sẽ giới thiệu ở phần sau. Trang web được bảo mật bởi giao thức SSL cú biểu tượng cỏi khúa đúng ở thanh URL. Chống sao chộp lậu phần mềm. Với chứng chỉ số, cỏc nhà sản xuất phần mềm cú thể “ký” vào phần mềm của mỡnh. Khỏch hàng cú khả năng phỏt hiện ra dấu hiệu crack hay chộp lậu phần mềm. CHƯƠNG II. THỰC TRẠNG VÀ GIẢI PHÁP CHO VẤN ĐỂ AN TOÀN VÀ BẢO MẬT TRONG THƯƠNG MẠI ĐIỆN TỬ I. Bảo vệ mạng doanh nghiệp 1. Firewall Bức tường lửa (firewall) là hàng rào chắn đầu tiờn của mạng doanh nghiệp chống lại những sự dũm ngú từ bờn ngoài. Chưa cú định nghĩa rừ ràng cho firewall nhưng những sản phẩm trong lĩnh vực này vẫn đảm bảo một trong hai tiờu chuẩn chớnh là gateway (thiết bị điều khiển giao dịch giữa cỏc mạng dựa trờn địa chỉ mạng) và bộ lọc cỏc gúi thụng tin (packet filter). Một số sản phẩm phối hợp cả hai tiờu chuẩn trờn. Bản thõn gateway cũng cú nhiều hỡnh thức khỏc nhau như cổng ứng dụng hạn chế người dựng truy cập vào một ứng dụng nào đú. Tuy cú độ an toàn cao nhưng điểm yếu của gateway khú cấu hỡnh và tốc độ chậm. Vỡ toàn bộ lưu thụng cả trong và ngoài luồng đều phải đi qua một điểm kiểm soỏt là gateway sẽ gõy ra cỏc tắc nghẽn dữ liệu nghiờm trọng. Vỡ vậy người ta thường trộn lẫn kỹ thuật này với bộ lọc gúi thụng tin. Bộ lọc gúi thụng tin kộm an toàn hơn. Nú gửi đi những gúi giao thức Internet Protocol (IP) theo địa chỉ khởi đầu của gúi thụng tin. Một gúi chỉ được chấp nhận khi nú gửi đi từ 1 điểm đó đuợc đăng ký. Điều đú đảm bảo rằng cỏc gúi thụng tin từ những người dựng hợp phỏp sẽ cú thể đi vào mạng được, cũn cỏc nguồn khỏc thỡ khụng. Tuy nhiờn, do cấu trỳc khụng phức tạp, vớ dụ như loại chuẩn với nhiều loại router khỏc nhau, nờn bộ lọc cỏc gúi thụng tin cú thể bị dễ dàng thay đổi để trở thành như một gúi thụng tin đến từ một hệ thống hợp phỏp. Một cỏch tiếp cận an toàn hơn đũi hỏi phải cú bộ lọc gúi thụng tin kiểm tra tớnh hợp phỏp của gúi thụng tin đú và cũng để đọc dữ liệu trong nú. Kỹ thuật này cho phộp firewall thực hiện những động tỏc đặc biệt trờn cơ sở thụng tin nú đó được đọc (vớ dụ như ngắt kết nối FTP khi giao dịch hoàn tất). Nhiều bộ lọc gúi thụng cũn phõn tớch được đến từng packet riờng để đảm bảo rằng nguyờn bản về mặt vật lý phự hợp với địa chỉ IP của nú. Trong hai lựa chọn về firewall trờn, bộ lọc gúi thụng tin cú vẻ ưu thế hơn, nhất là những sản phẩm cú cài đặt sẵn “trớ tuệ”. Bộ lọc gúi thụng tin này hiện nay đang trở thành một tiờu chuẩn trong lĩnh vực an toàn trờn Internet. Bờn cạnh việc giỳp chống lại những tờn trộm chương trỡnh và người dựng bất hợp phỏp, firewall cũn cú tỏc dụng trong việc ngăn chặn virus tin học và cỏc mó lạ, mặc dự việc sử dụng khớa cạnh cụng nghệ này cũn chưa được phổ biến. Cỏc cụng cụ cú thể quột được virus khi dữ liệu đến firewall hiện đang bắt đầu cú trờn thị trường. Frend Micro Inc. chẳng hạn đưa ra InterScan VirusWall. Sản phẩm này chạy trờn cỏc hệ thống của Sun Solaris và cú thể quột được một số virus trờn e-mail và FTP, gồm cả unencode, base64, binhex và PKZIP đối với cỏc loại virus cú thể. Người ta cú thể làm cho nú cú khả năng thụng bỏo đến cho nhiều người về một nguy cơ cú thể xảy ra, lưu file đe doạ bị hỏng vào vựng an toàn hay xoỏ hẳn nú đi. Giỏ khởi điểm là 20USD cho 50 người sử dụng và tất nhiờn cho nhiều người dựng thỡ giỏ rẻ hơn nữa. Ngoài ra, firewall cũn giỳp chống cỏc loại virus bằng cỏch hạn chế truy cập tới người dựng hợp phỏp. Tuy nhiờn, cú người lại phản đối việc sử dụng firewall như một cụng cụ phũng chống virus, bởi đối với một tờn trộm chương trỡnh chuyờn nghiệp, việc “trốo qua” firewall bằng những thủ thuật dấu hoặc nộn mó quả là dễ dàng. 2. Cụng nghệ tunnell Trong khi cỏc loại firewall đang đảm đương nhiệm vụ bảo vệ an ninh mạng cho Internet thỡ nhiều tổ chức vẫn tiếp tục tỡm kiếm một cụng nghệ khỏc tốt hơn và hiện nay tunnelling – khỏi niệm về việc sử dụng gúi IP được mó hoỏ để tạo nờn một mạng riờng biệt ảo (VPN – Vitual Private Network), đang bắt đầu được chấp nhận. Hy vọng chi phớ thấp cho mạng là lớ do chớnh yếu của những ai đang quan tõm đến tunnell, đặc biệt là những cụng ty cần kết nối nhiều mạng hoặc nhiều nhõn viờn làm việc ở xa mạng. Hay cụ thể hơn nữa là những cụng ty cần kết nối hai mạng LAN riờng biệt đặt xa nhau bằng một đường dõy riờng tạo thành một mạng WAN. Với tunnell, cỏc mạng được nối với nhau qua Internet, từ firewall này đến firewall kia, và dữ liệu được gửi qua những gúi IP được mó hoỏ. Về bản chất đõy là sự chuyển từ việc sử dụng đường dõy thuờ bao (leased-line) đắt tiền sang một Internet rẻ hơn. Cụng nghệ Tunnell cũn cú thể được sử dụng để bảo vệ cho những mạng riờng biệt trong một cụng ty. Vớ dụ, firewall cú thể ngăn chặn những nhõn viờn khụng hợp phỏp thuộc phũng kế toỏn của cụng ty muốn truy cập file trờn mạng của phũng quản lớ nhõn sự. Thụng tin gửi qua cỏc tunnell Internet được đảm bảo an toàn đến từng bit như phương phỏp truyền bằng đường thuờ bao. Việc kết nối từ một PC đến mạng khi một nhõn viờn ở xa văn phũng muốn thực hiện cũng dễ như kết nối giữa hai mạng với nhau. Tuy nhiờn tunnell cũng thể hiện một vài điểm yếu, đặc biệt là về khả năng tương thớch. Thực tế là cỏc cụng nghệ tunnell hiện nay do nhiều nhà sản xuất khỏc nhau cung cấp, điều đú cú nghĩa là tất cả cỏc điểm cuối của một mạng (cả về phớa mạng và người sử dụng từ xa) phải được xem xột và phối hợp với nhau chặt chẽ. Một nhược điểm khỏc là những người ủng hộ cho tunnell lại bị hạn chế “tớnh tuyệt đối”, điều mà họ nghiễm nhiờn cú được khi sử dụng cỏc đường thuờ bao. Nhưng theo kinh nghiệm của Digital thỡ tunnell cú tốc độ cao hơn một đường thuờ bao 56Kbps. 3. Những hạn chế về mặt an toàn Mặc cho firewall và tunnel phụ trương sức mạnh của mỡnh, người ta vẫn khuyờn chỉ nờn coi chỳng những chiếc hũm cú khoỏ chứ khụng khụng phải hầm cất tiền kiờn cố của nhà băng. Và đặc biệt là firewall khụng thể đảm bảo cho toàn bộ nhu cầu an toàn đối với đường nối vào Internet của một cụng ty. Điều này giống như bạn phải xõy dựng một bức tường bao xung quanh thành phố vỡ khụng muốn mỗi gia đỡnh trong thành phố phải khoỏ cửa nhà họ. Để đạt được hiệu quả tối đa, firewall phải được thiết kế một cỏch sỏng tạo và thụng minh mới đỏp ứng được nhu cầu của người sở hữu nú. Điều đú cú thể là cất những file khụng thể sử dụng cụng khai vào một server riờng được vảo vệ kĩ càng hay hạn chế bớt một vài tớnh năng của server. Nhưng firewall hay tunnel gỡ thỡ cũng chỉ tốt như kế hoạch an toàn mà nú hỗ trợ. Firewall thương khong được sử dụng một cỏch đỳng đắn. Cú thể cú rất nhiều lỗ hổng trờn firewall nếu đú là cụng cụ bảo toàn duy nhất. Điều đú cũng giống như việc xõy một cổng khổng lồ bằng đó giữa sa mạc. Những nhõn viờn trung thực nhưng khụng được hướng dẫn đầy đủ cũng cú thể gõy hại cho tớnh an toàn của Internet bất cứ lỳc nào. Giỏ modem bõy giờ rất rẻ vỡ thế người ta cú thể cài đặt chỳng trức tiếp lờn mỏy tớnh của họ và quay số vào buổi tối để trỏnh những bất tiện do firewall gõy ra. Ngoài ra, cũn một số khụng nhỏ cỏc nhõn viờn đó để cho password, địa chỉ IP và khoỏ mó của họ rơi vào tay người lạ. Cụng nghệ là một thứ cụng cụ tuyệt vời nhưng nú khụng thể thay thế nhưng nguyờn tắc bảo mật truyền thống như việc thay đổi thường xuyờn password, giải thớch cho cỏc nhõn viờn hiểu rừ những đe doạ an ninh cú thể xảy ra. Thậm chớ với cụng nghệ Tunnel, việc quản lớ an ninh luộm thuộm cú thể gõy ra những rắc rối đau đầu. Cỏc cụng ty cũng cần phải xem xột tớnh an toàn trờn Internet từ bờn ngoài. Việc giảm bớt những gỡ đi ra từ Internet cũng quan trọng như hạn chế những gỡ đi vào đú. 4. Việc quản lớ an ninh Người ta đó nhận thấy việc thực hiện, định cấu hỡnh hay quản lớ firewall hoặc tunnel là cụng việc phức tạp và khú khăn với nhiều cụng ty. Từ khi cỏc firewall điển hỡnh hay phối họp firewall-tunnel được cấu thành bởi nhiều cụng cụ, thường là từ những nhà sản xuất khỏc nhau, việc đưa cụng nghệ vào thực hiện những gỡ cú thể là rất đơn giản. Mặc dự hầu hết cỏc sản phẩm đều đưa ra giao diện sử dụng đồ hoạ (GUI), cũn những tớnh năng khỏc được thiết kế theo hướng dễ sử dụng thỡ thỏch thức vẫn cũn đú. Cụng nghệ tunnel cú thể trở nờn đặc biệt rối rắm. Đõy khụng phải là loại cụng nghệ mà một ai đú cú thể đọc bảng hướng dẫn rồi cú thể mua ngay nú. Cỏc cụng ty và cỏc nhà quản lớ cũng nờn phải theo sỏt thị trường để cú thể chọn ra cỏc giải phỏp an ninh cho Internet. Nếu chỉ cú một sản phẩm duy nhất được tung ra trờn thị trường, tất cả mọi người sẽ dựng nú. Sự lựa chọn phải được dựa trờn cơ sở mụi trường và giỏ cả cuối cựng đối với cụng ty của bạn nếu những thụng tin quan trọng lại đi lạc địa chỉ. 5. Cấu hỡnh an ninh cho mạng doanh nghiệp Trờn cơ sở cấu hỡnh mặc định, bạn cú thể sử dụng tiện ớch Local sercurity Policy (cho mạng Workgroup) hoặc Domain Sercurity Policy (cho mạng domain) để chỉnh sửa cỏc tham số nhằm tăng cường bảo mật. Nếu như mạng thụng suốt, mọi phần mềm đều chạy tốt thỡ bạn cú thể an tõm sử dụng nú trong một thời gian khỏ dài. Nếu như bạn khụng thay đổi, tức là vẫn giữ cấu hỡnh mặt định, hệ thống của bạn chưa chắc đó an toàn. Bởi cấu hỡnh mặc định thực chất là cấu hỡnh 0, nghĩa là khụng bảo mật. Windows cú hàn trăm tham số an ninh. Những chỉnh sửa cũng chỉ cú thể thay đổi cỡ 10% số tham số, cỏc service pack và hotfix thay đổi cỡ 1%, tổng cộng là 11%, nghĩa là khụng cú thay đổi đỏng kể gỡ trong cấu hỡnh an ninh. Trong khi lắp đặt, bạn nờn biết rằng bảo mật tỉ lệ nghịch với chức năng. Khi bắt đầu tăng cường bảo mật thỡ bạn phải hạn chế dịch vụ của mỏy, hạn chế quyền sử dụng của người dựng. Việc này sẽ khiến người dựng mất tiện nghi, một số ứng dụng ngừng hoạt động, mạng khụng cũn thụng suốt nữa. Mặt khỏc tăng cường bảo mật đi đụi với kiểm định, tức là ghi lại nhiều hành động của người dựng. Việc này khiến hệ thống chạy chậm lại. Khi quỏ trỡnh này ghi lại quỏ nhiều đến mức khụng thể ghi được nữa, để đảm bảo an ninh mạng, hệ thống sẽ từ chối dịch vụ (tự shutdown). Khi đú, bạn đó tự giết mỡnh một cỏch hoàn hảo. Do đú, khi thiết kế hệ thụng ở bất cứ chỗ nào cú thể đỏnh đổi hiệu năng cụng việc để đổi lấy mức bảo mật, người thiết kế phải đặt ra tham số an ninh, và đặt cho tham số một giỏ trị mặc định nào đú. Giỏ trị mặt định đú tương ứng với hiệu năng cụng việc cực đại mức bảo mật cực tiểu. Cấu hỡnh an ninh là tập hợp cỏc tham số an ninh. Một tham số an ninh là một tham số cú ảnh hưởng mạnh đến an ninh của hệ thống như độ dài tối thiểu cho phộp của mật khẩu. Cấu hỡnh an ninh khụng phải là toàn bộ mà chỉ là một phần của chớnh sỏch an ninh. Chẳng hạn xột chớnh sỏch an ninh sau đõy: Người dựng khụng được bỏ trống mật khẩu Người dựng khụng được thay đổi/xoỏ bỏ cỏc tập tin chương trỡnh Người dựng khụng được khụng được nhận và gửi cỏc tập tin cú virus Người dựng khụng được sao chộp dữ liệu của cụng ty Người dựng khụng được giải trớ qua Internet quỏ nhiều trong giờ làm việc. Điều 1 ỏp đặt bằng cấu hỡnh an ninh. Điều 2 cú thể ỏp đặt bằng cấu hỡnh an ninh. Cỏc điều cũn lại chỉ cú thể ỏp đặt bằng những phương tiện khỏc. Trong Windows 2000/XP/2003, khi chạy chương trỡnh Local sercurity Policy ta sẽ nhỡn thấy toàn bộ cấu hỡnh an ninh mạng. Cú thể mở rộng cấu hỡnh an ninh, nghĩa là thờm vào đú cỏc tham số an ninh. Những tham số thờm này khụng phải từ trờn trời rơi xuống mà chỳng cú sẵn trong hệ thống. Bạn chỉ đơn giản đưa chỳng vào danh sỏch cỏc tham số an ninh mà thụi. Giỏ trị tham số an ninh cú thể khụng xỏc định. Chương trỡnh Local sercurity Policy dựng để sửa đổi cấu hỡnh an ninh nội bộ. Trong domain bạn cú thờm va cụng cụ là Domain Sercurity Policy, Domain Controller Sercurity Policy, Group Policy Edit để sửa đổi cấu hỡnh Domain. Trong Windowsgroup khụng tồn tại cụng cụ nào tương tự. Cấu hỡnh domain xỏc định vài tham số chung cho mọi mỏy, mọi người trong domain. Domain cú thể trải ra trờn nhiều site. Trường hợp này gặp ở doanh nghiệp với vài cơ sở rải rỏc trờn địa bàn rộng. Mỗi site cú cấu hỡnh riờng, mỗi cấu hỡnh site xỏc định cỏc tham số chung cho mọi mỏy trong site. Domain chứa cỏc organisation units (OU), chẳng hạn Domain Controller, Servers, Workstations, Users Khi nhấp chuột vào OU Properties/Group Policy, bạn sẽ thấy mỗi OU đều cú thể cú cấu hỡnh riờng. Mỗi cấu hỡnh OU xỏc định tham số chung cho mọi mỏy (hoặc người dựng trong OU). Đối với một mỏy, một người cụ thể thỡ cỏc cấu hỡnh được ỏp dụng chồng nhất; nghĩa là cỏi sau bổ sung cho cỏi trước hoặc đố lờn cỏi trước đú, theo trỡnh tự local, site, domain, OU. Thực chất, cấu hỡnh an ninh nằm trong tiện ớch Registry và những chương trỡnh núi trờn đều là những chương trỡnh biờn tập Registry; nghĩa là mọi sửa đổi được ỏp dụng ngay và cú tỏc dụng sau vài giõy đến vài giờ kể từ khi ỏp dụng. Nhưng thường bạn khụng muốn ỏp dụng ngay mà muốn nghiờn cứu, chỉnh sửa cẩn thận trước khi ap dụng. Hơn nữa, trong Workgroup, bạn muốn ỏp dụng một cấu hỡnh mẫu cho nhiều mỏy. Như vậy, cần phải cú phương tiện. Hóy thực hiện như sau: Xuất cấu hỡnh từ registry ra file Nhập file cấu hỡnh vào registry Biờn tập file cấu hỡnh Microsoft cú phỏt hành sỏch giải thớch ý nghĩa của từng tham số an ninh và ảnh hưởng của chỳng đến bảo mật hệ thụng Windows 2000, Windows XP và Windows Server2003. Kốm theo mỗi sỏch là cấu hỡnh an ninh mẫu cho từng loại mỏy như domain controller, member server, member workstation, member laptopĐối với Windows 2000, mẫu cấu hỡnh mỏy chỉ cú một cấu hỡnh mẫu. Đối với Windows XP mỗi loại mỏy cú hai cấu hỡnh mẫu tương ứng với hai mức bảo mật Enterprise và High Secure. Đối với Windows Server2003 mỗi mỏy cũng cú 2 cấu hỡnh như vậy. Như ở trờn đó núi, cấu hỡnh mặc định là cấu hỡnh khụng, và cấu hỡnh dẫn xuất từ mặt định sau khi chỉnh sửa bằng tay và patch bằng cỏc service pack/hotfix là cấu hỡnh chỉnh sửa chỉ 11% của toàn bộ tham số cú thể cấu hịnh. Sau khi đó xem xột, so sỏnh và chấm điểm thỡ cỏc cấu hỡnh mẫu của Microsoft và NSA được điểm như sau: Microsoft Enterprise Client: 0.9 Microsoft High Secure: 1 NSA: 1 So với cấu hỡnh Enterprise Client, High Secure tắt đi một số dịch vụ và bật thờm một vài audit. Đõy là điểm khỏc biệt quan trọng nhất. Ngoài ra, nhiều tham số bảo mật cũng thay đổi mức bảo mật tăng lờn đỏng kể và hiệu năng cụng việc giảm đi khụng đỏng kể. Cấu hỡnh Microsoft High Secure và cấu hỡnh NSA gần như trựng nhau, thể hiện cựng một quan điểm thiết kế, nờn được chấm điểm ngang nhau. Tuy vậy, khi so sỏnh chỳng với nhau, cú thể thấy chỗ khỏc biệt quan trọng: Cấu hỡnh NSA loại trừ nhúm Power Users cũn cấu hỡnh Microsoft thỡ khụng loại trừ nhúm này. Nờn biết rằng khỏc với Users, Power User cú quyền thay đổi cỏc file/thư mục trong một chương trỡnh và nhiều nơi nhạy cảm trong registry, cựng một vài đặc quyền khỏc. Cấu hỡnh NSA xỏc lập thuộc tớnh bảo mật cho registry và cỏc file/thư mục chương trỡnh, cũn cấu hỡnh Microsoft thỡ khụng cú phần này. Nờn biết rằng cho đến nay, rất nhiều chương trỡnh vẫn lưu dữ liệu trong thư mục làm việc của mỡnh trong program files và nhiều nơi nhạy cảm registry. Cho người dựng đặc quyền Users thỡ an toàn hơn Power Users rất nhiều. Tuy nhiờn, đối với những phần mềm như legacy, Power Users thỡ chỳng cú thể sẽ là một giải phỏp khả thi hơn. Thuộc tớnh bảo mật cho registry và cỏc file chương trỡnh đó được xỏc lập đỳng đắn ngay sau khi cài đặt Windows, nờn chỉ cú thể bị làm yếu đi do Admin tự tay thay đổi, hoặc do virus/spyware chạy bằng quyền admin. Thuộc tớnh bảo mật sẽ được phục hồi lại như cũ khi được cập nhật định kỡ theo cấu hỡnh an ninh (nghĩa là khoảng vài giờ sau đú) nếu dựng cấu hỡnh NSA, hoặc khi tỡnh cờ phỏt hiện ra thay đổi nếu dựng Microsoft. Trường hợp nào cũng là quỏ muộn để ngăn chặn tỏc hại của virus/spy. Mặt khỏc, một phần mềm khi cài đặtcú thể làm yếu cỏc thuộc tớnh vảo mật của một vài file dữ liệu nào đú để nhúm Users cú thể ghi vào. Việc cập nhật thuộc tớnh bảo mật theo cấu hỡnh NSA làm phần mềm đú ngưng hoạt động. Trong khi mọi phần mềm ứng dụng thụng thường, kể cả phần mềm legacy đều thớch ứng tốt với NSA, hầu hết phần mềm hệ thống, kể cả những phẫn mềm mới nhất, đều tỏ ra di ứng với NSA. Mcafee Active VirusScan, Sygate Prosonal Firewall khi được cài đặt thỡ đều khụng thể boot mỏy. Kasperky, Antivirus/ Firewall, F Secure Client Security thỡ xung đột với cỏc chương trỡnh sử dụng Internet và làm treo mỏy. Symantec Antiv