Đồ án Nghiên cứu kiểm soát các “lỗ hổng an ninh” trên cổng điện tử

mềm hoặc là cấu hình lại hệ thống nhằm bảo đảm an toàn thông tin. Trong một số trường hợp Hacker không muốn cho truy suất hệ thống bằng cách xây dựng một loạt các thủ tục nhằm mục đích đưa ra thông báo “từ chối dịch vụ”. Việc tấn công vào mạng sử dụng thông báo từ chối truy cập được thực hiện bằng cách khiến cho phần mềm dịch vụ bị quá tải bởi phải xử lý quá nhiều yêu cầu. Khi đó hệ thống sẽ trở nên rất bận và sẽ thiếu thời gian để làm việc khác do đó buộc phải từ chối truy cập dịch vụ. Tuy có nhiều cách để xâm nhập vào mạng nhưng một trong những cách dễ dàng nhất là chặn dòng dữ liệu trao đổi giữa các thành viên trong mạng. Do thông tin được truyền trong mạng dưới dạng văn bản thuần tuý nên việc rình bắt thông tin sẽ giúp cho Hacker lấy được mật khẩu của mạng một cách dễ dàng. Còn kiểu tiến công mạng nữa hay được sử dụng là giả dạng bằng cách giả vờ là một người sử dụng có thẩm quyền của mạng thông qua việc giả lập địa chỉ IP. Điều đáng nói ở đây là trong hầu hết các trường hợp, việc bảo đảm độ tin cậy chỉ dựa trên một phía (qua password, hoặc PIN) mà những thông tin này lại rất dễ bị sao chép. Do vậy để đảm bảo độ tin cậy, việc thiết lập độ tin cậy phải được thực hiện từ hai phía bằng việc sử dụng một thẻ thông minh (smart card) kết hợp với PIN (Personal Identity Number) nhằm tăng mức độ an toàn của mạng. Một cách khác là tạo ra những phần mềm thông minh để truy xuất đến một mạng đích nào đó thông qua việc lấy các thông tin thải loại ở trong sọt rác hoặc trong đĩa mềm bỏ đi của người quản trị mạng. Kiểu này chỉ được áp dụng khi mà Hacker liên quan khá mật thiết đến người điều hành mạng và do đó cũng rất dễ truy tìm ra Hacker khi mạng bị tấn công. Còn một cách để Hacker xâm nhập vào mạng là sử dụng một tập hợp các thông tin dễ ghi nhớ. Rất nhiều mạng sử dụng tên miền rất dễ nhớ như: System01.Domain.Org. Bằng việc truy xuất qua server quản lý hệ tên miền (DNS: Domain Name System), Hacker có thể thâm nhập vào mạng rất dễ dàng bằng cách hướng yêu cầu của người sử dụng đến một server khác và lấy trộm những thông tin cần thiết. Do đó để đảm bảo rằng người sử dụng truy xuất đúng server cần phải bổ xung cả việc kiểm tra độ tin cậy đối với server. Điều này được thực hiện bằng cách sử dụng chứng chỉ số trên server. Để tránh việc gói tin bị thay thế khi truyền trên mạng, bắt buộc gói tin phải được tích hợp trước khi truyền thông qua việc bổ xung một thông điệp băm. Việc mã hoá của thông điệp này giúp cho thông điệp bảo đảm được độ chính xác. Trong hầu hết các trường hợp những cuộc tiến công vào mạng thành công không phải do kỹ thuật mà do con người. Thay cho sử dụng kỹ thuật để đột phá vào mạng, Hacker sẽ thử liên hệ với người nắm giữ thông tin mà họ cần,điều khiển họ thông qua việc khai thác những thói quen của họ và như thế những người này sẽ không thông báo về những thông tin bị giò gỉ bởi chính họ cho cấp có thẩm quyền. Một số mối đe dọa an ninh trên mạng Internet Lấy trộm thông tin Nhiều người cho rằng không ai quan tâm đến những thông tin cá nhân của mình. Nhưng việc thu thập thông tin riêng tư vẫn xảy ra. Và thường thì việc thu thập thông tin này diễn ra khéo léo đến mức các nhà quản trị hệ thống không nhận ra để kịp thời thiết lập các biện pháp bảo vệ cần thiết. Có nhiều chương trình dùng để đoán mật khẩu đăng nhập mạng. Các chương trình này cho phép đoán từ của nhiều ngôn ngữ nhờ vào từ điển tổng hợp các thứ tiếng. Chúng thực hiện mã hoá các từ trong từ điển, so sánh các mật khẩu cho đến khi tìm được từ đúng. Các chương trình này còn được gọi là “phần mềm bẻ khoá”. Chiến tranh thông tin Hiện nay chiến tranh thông tin vẫn chưa xuất hiện nhưng các chính phủ vẫn đang xây dựng cơ chế bảo mật dữ liệu đề phòng trường hợp bị tấn công. Cũng như phát triển các công cụ để thực hiện chiến tranh thông tin. Các “chiến binh thông tin” cố gắng lấy phá huỷ hệ thống lưu trữ, xử lý của kẻ thù trong khi thực hiện bảo vệ dữ liệu trên mạng của mình. Chiến tranh thông tin có ba mức độ: cá nhân, tập đoàn và toàn cầu. Ở ba mức độ này, phương pháp tiến hành nói chung giống nhau là cố gắng xâm nhập để lấy các thông tin của mỗi người, mỗi công ty, mỗi quốc gia, Các thông tin bị lấy trộm thường được lưu trữ trên nhiều cơ sở dữ liệu khác nhau của đối phương gồm các thông tin về tài chính, y tế, khoa học công nghệ, Để phân biệt ba kiểu chiến tranh này người ta căn cứ vào mức độ phá hoại của chúng. Có rất nhiều vũ khí có thể sử dụng trong chiến tranh thông tin. Ví dụ như: BOM: phá hủy phần điện tử của máy tính thông qua các vụ nổ hạt nhân hoặc không hạt nhân. Chipping: thay thế chip chuẩn. Human Engineering: giả mạo thông tin qua điện thoại, Fax, E-mail, Jamming: để ngăn chặn liên lạc của kẻ địch bằng cách tạo tiếng ồn điện tử. Nano machines: robot nhỏ có thể tiến công phần cứng của kẻ địch. Spoofing: thư điện tử giả mạo các bó TCP/IP có thể xuyên qua tường lửa và các hệ thống bảo mật khác. Trap Door: cơ chế cho phép tiến công xâm nhập hệ thống mà không cần chú ý đến loại xác lập bảo mật. Trojan Horse: đoạn mã chương trình co thể chứa bên trong các chương trình và thực hiện các lệnh không mong muốn. Worm: một chương trình độc lập có khả năng tự sao chép chính mình từ máy tính này sang máy tính khác. Do việc truyền thông và trao đổi dữ liệu điện tử ngày càng được sử dụng nhiều nên việc phá hoại thông tin liên lạc có thể gây nên những hầu quả nghiêm trọng hơn so với các hậu quả xảy ra trong các cuộc chiến tranh thông thường. Khủng bố trên không gian điều khiển Khủng bố điều khiển đe doạ mọi người sử dụng nối vào Internet, những kẻ khủng bố sử dụng những phương thức ép buộc khác nhau để đạt những mục tiêu về chính trị hoặc kinh tế. Chúng sử dụng hiểu biết về máy tính để đe doạ người khác. Những kẻ “khủng bố điều khiển” có khả năng phá hoại những công việc kinh doanh của nhiều tập đoàn lớn nếu như những nơi này không có những biện pháp để ngăn chặn những hành động khiêu khích của những kẻ phá hoại. Những ngân hàng kết nối cơ sở dữ liệu của mình với mạng Internet cũng có khả năng bị tấn công khi thực hiện các giao dịch điện tử ở trên mạng. Khi mà ta hạn chế truy cập nhờ tường lửa và chỉ cho một số ít những người sử dụng đặc biệt có quyền sử dụng truy xuất dữ liệu thì cũng là lúc làm giảm khả năng bảo mật. Những kẻ khủng bố sử dụng nhiều cách để tiến công các trụ sở đầu não của nhiều tổ chức tuỳ vào mỗi cơ quan đầu não mà chúng sử dụng một phương pháp tấn công riêng như: tấn công bằng virus, đánh tráo thông tin, làm gián đoạn liên lạc, tiêu diệt từ xa hay làm thất lạc thông tin. Để bảo vệ chống các tổ chức khủng bố tấn công qua Internet, cần phải : Đặt mật khẩu: không có hệ thống máy tính nào lại có mật khẩu mà có thể đoán được hay tìm thấy trong từ điển. Nguyên tắc đặt mật khẩu phải được kiểm tra xem có vi phạm không? Network: thay đổi cấu hình mạng ngay sau khi tổn thương và cần kiểm tra mạng theo những nguyên tắc nhất định. Giải quyết tạm thời: giao cho các cán bộ bảo mật nhiệm vụ mô tả danh sách các thư mật quan trọng, thông báo cho mọi người về sự giò gỉ bí mật mới nhất. Kiểm tra: tất cả các hệ thống cần được kiểm tra theo các nguyên tắc nội bộ và các tệp log cần được phân tích theo các nguyên tắc cơ sở. Yêu cầu bảo mật thông tin trên Internet Ngày nay có rất nhiều kỹ thuật phục vụ cho việc bảo mật hệ thống. Vấn đề quan trọng của Internet là nhận dạng người sử dụng vì trên Internet thì mọi người đều giống nhau, dẫn đến khả năng rằng việc giả dạng người khác rất dễ dàng. Như vậy việc bảo vệ thông tin trên Internet là rất quan trọng nhưng rất khó thực hiện. Mọi tổ chức và cá nhân muốn bảo mật thông tin đều mong muốn: Độ tin cậy: rất cần thiết cho việc kiểm tra ai là người có quyền đọc thông tin và chuyển thông tin cho người khác. Tích hợp: là để đảm bảo mọi dữ liệu chỉ có thể bị thay đổi do những người có đủ thẩm quyền và dữ liệu không bị thay thế trong quá trình truyền trên mạng. Sẵn có: bảo đảm người dùng có thể truy suất liên tục các nguồn lực mạng. Không nhầm lẫn bảo đảm nguồn lực của mạng không bị chia sẻ cho những người không đủ thẩm quyền truy cập. Một số vấn đề liên quan đến thực trạng an ninh trên “cổng điện tử” Hạn chế thông tin Đây là một chiến lược lớn, được áp dụng ở rất nhiều nơi. Bằng việc hạn chế thông tin các nhà quản trị hy vọng rằng không ai phát hiện được điểm yếu của họ để mà khai thác chúng. Các phần mềm trên “cổng điện tử” đều sử dụng thuật toán sẵn có nên Hacker có thể tìm ra cách làm việc của các thuật toán hoặc sử dụng các phần mềm trung gian để xem mã và cách thức bảo mật. Điều này buộc các nhà phát triển phần mềm nguồn mở phải luôn phát triển thuật toán, cung cấp các thuật toán mã hoá mạnh. Cấp quyền Để đảm bảo an ninh cho cổng điện tử khi tham gia Internet, cần xác định xem ai là người có quyền truy xuất thông tin thông qua một danh sách quyền. Để thiết lập danh sách này cần xây dựng và xác lập một tập hợp các quyền được cấp cho những người dùng. Danh sách thẩm quyền giúp tránh việc truy xuất và sử dụng dịch vụ mà không được phân quyền. Bằng cách sử dụng các quy luật ràng buộc nó cho phép người dùng được phép hoặc không được phép dùng các quyền căn cứ vào độ tin cậy của họ. Hầu như mọi trình ứng dụng đều có cách thức cấp quyền của nó. Hiện nay, cổng điện tử đang sử dụng nghi thức LDAP (Lightweight Directory Apprication Protocol). Tuy nhiên điều quan trọng không phải là sử dụng giải pháp nào trong phân quyền mà phải sẵn sàng thay đổi các phần của trình ứng dụng đang tồn tại nhằm tập trung trong quản trị và bảo trì. “Lưu vết” trên mạng Bất kỳ ai khi vào mạng đều để lại “vết”. Các trình duyệt Web ngày nay thường cung cấp khá nhiều thông tin về khách hàng thông qua các Website. Những thông tin về người sử dụng như địa chỉ IP, tên Domain được gửi một cách tự động cho server nhờ vào các trình điều khiển Javarscrip tích hợp trong mỗi trang Web. Mặc dù những thông tin được gửi đến server nói chung không ảnh hưởng đến mạng nhưng việc biết tên Domain có thể biết được vùng mà bạn sống, kiểu khách hàng. “Cookies” là một hình thức mà cổng điện tử thường dùng để thu thập thông tin về người sử dụng. Đó là một tệp ở trên máy khách và chứa các thông tin nhạy cảm về người sử dụng mà các chủ quản lý Website muốn thu thập. Tăng cường “tính vô danh” trên mạng Việc truy xuất thông tin trên Internet luôn để lại “vết”. E–mail để lại vết trên Mail Server và các server trung gian trên đường truyền làm cho khả năng dò ngược theo vết để tìm đến người gửi E–mail là rất dễ thông qua việc server kiểm tra địa chỉ IP của máy khách. Để giải quyết vấn đề này một server dấu tên đã được thiết lập. Những thông điệp mà gửi đi sẽ được gỡ bỏ những thông tin liên quan đến người gửi và được thay bằng thông tin của server dấu tên đó. Để thực hiện thành công việc dấu tên thì cần phải bảo đảm sự bảo mật hệ thống sao cho không Hacker nào có thể xâm nhập để lấy thông tin về người sử dụng. Server dấu tên giúp bảo đảm sự riêng tư nhưng nó sẽ làm giảm tốc độ truy xuất khi sử dụng. Mã hóa Mã hoá là một nghệ thuật nhằm bảo đảm sự bí mật thông tin, làm cho những nghười khác không thể đọc được do không tìm được chìa khoá mã hoá. Thuật toán mã hoá đã được sử dụng từ xa xưa nhằm bảo vệ sự bí mật thông tin. Trong chiến tranh thế giới lần thứ II máy tính đầu tiên dùng để mã hoá các thông điệp đã được người Đức sử dụng (máy Ezigma). Việc mã hóa phải tuân theo các quy tắc nhất định gọi là hệ mật mã. Hiện nay có hai loại là mật mã khóa bí mật và mật mã khóa công khai. Tùy vào yêu cầu bảo mật cụ thể, người ta sử dụng các thuật toán mã hóa phù hợp hoặc kết hợp nhiều thuật toán mã hóa. Chữ ký điện tử (electronic signature) Khái niệm chữ ký điện tử cũng giống như chữ viết tay. Chúng ta có thể dùng nó để xác nhận cam kết của mình và sau đó không thể rút lại được. Chữ ký điện tử không đòi hỏi phải sử dụng giấy mực, nó là đoạn dữ liệu ngắn đính kèm với văn bản gốc để chứng thực tác giả của văn bản và giúp người nhận kiểm tra tính toàn vẹn của nội dung văn bản gốc. Chữ ký điện tử sử dụng kỹ thuật mã bằng khoá công khai (thường là RSA) theo một quy trình khác tức là thay cho việc mã hoá bằng khoá công khai của người nhận, thông điệp được mã hoá bằng khoá riêng và sau đó được giải mã bằng khoá công khai của người gửi mà người nhận có. Chỉ những ai có khoá riêng mới có khả năng mã hoá thông điệp để nó có thể giải mã được bằng khoá công khai. Có hai lý do khi sử dụng mã băm trong chữ ký điện tử là: việc mã hoá cả thông điệp rất lâu và không phải ai cũng muốn mã hoá các thông điệp đã được ký. Hiện nay, chữ ký điện tử có thể bao hàm các cam kết gửi bằng E–mail, nhập các số định dạng cá nhân (PIN) vào các máy ATM, ký bằng bút điện tử với thiết bị màn hình cảm ứng tại các quầy tính tiền, chấp nhận các điều khoản người dùng (EULA) khi cài đặt phần mềm máy tính, ký các hợp đồng điện tử online. Tuy nhiên, hiện nay chữ ký điện tử vẫn chưa được sử dụng trong cổng điện tử. Chương III: MỘT SỐ BIỆN PHÁP KIỂM SOÁT CÁC “LỖ HỔNG AN NINH” TRÊN CỔNG ĐIỆN TỬ Bảo mật là một trong những yêu cầu chủ yếu của cổng điện tử. Để thực hiện bảo mật cần phải mã hoá thông điệp (làm cho những người không có quyền truy suất không thể đọc được nội dung của thông điệp). Đối với mật khẩu Bảo mật không chỉ quan trọng trong mạng Internet mà còn đóng vai trò quan trọng đối với nhiều hệ thống máy tính. Ở server là nơi chứa dữ liệu và môi trường truy xuất thông tin chung của nhiều người. Các tệp được bảo vệ bằng mật khẩu bảo vệ, mật khẩu sẽ được lưu trữ sử dụng giá trị băm lấy từ mật khẩu nguồn. Chỉ có thể lấy mật khẩu khi kiểm tra giá trị băm. Khi người sử dụng nhập mật khẩu, giá trị băm của mật khẩu đó được tính và so sánh với giá trị băm gốc được lưu giữ, do đó chỉ những ai biết đúng mật khẩu mới có thể làm việc với các tệp đó được. Đối với E–mail E–mail chứa nội dung dưới dạng văn bản chuẩn để các máy tính trên mạng đều có thể đọc được. Nếu ta gửi đi một E–mail thì nó không được gửi trực tiếp đến máy đích mà được gửi lên một máy trung gian được sử dụng để lưu giữ mail (Mail server). Các máy khác muốn đọc thư sẽ truy suất đến Mail server đó để đọc. Mỗi máy tính khi tham gia vào quá trình truyền đều có thể dễ dàng kiểm tra sự sẵn sàng của máy gửi và máy nhận và có thể ghi những thông tin cần thiết lên ổ cứng cục bộ ở đó. Thường thì các Hacker cài đặt một chương trình thường trú lên Mail server, nó sẽ kiểm tra tất cả các thư có ở Mail server đó. Hiện nay cổng điện tử bảo vệ E–mail bằng vài cách. Phương pháp mã hoá E–mail bảo đảm nhất hiện nay có tên là PGP (Pretty Good Privacy). Thuật toán mã hoá ở đây dựa trên cơ sở của việc sử dụng khoá công khai. Nếu như người nhận E–mail có khoá riêng phù hợp thì họ sẽ có khả năng giải mã E–mail đó. PGP là một phần mềm máy tính dùng để mật mã hóa dữ liệu xác thực. Phiên bản PGP đầu tiên do Phil Zimmermann được công bố vào năm 1991. Kể từ đó phần mềm này đã có nhiều cải tiến và hiện nay tập đoàn PGP cung cấp nhiều phần mềm dựa trên nền tảng này. Với mục tiêu ban đầu là phục vụ cho mã hóa thư điện tử, PGP hiện nay đã trở thành một giải pháp mã hóa cho các công ty lớn, chính phủ cũng như các cá nhân. Các phần mềm dựa trên PGP được dùng để mã hóa và bảo vệ thông tin lưu trữ trên máy tính xách tay, máy tính để bàn, máy chủ và trong quá trình trao đổi thông qua E–mail, truyền file, S|MIME (Secure Multipurpose Internet Mail Extension) là một cách khác để mã hoá E–mail do cách này được hỗ trợ cho các trình duyệt của cả hãng Nestcape và Microsoft. S|MIME sử dụng phương pháp mã hóa giống như là PGP, nó sử dụng phương pháp mã hoá không đối xứng để mã các khoá dùng để mã dữ liệu. S|MIME không bảo đảm bằng PGP. Ngoài ra có thể mã hóa E–mail bằng một thuật toán mã hoá đối xứng mạnh (sử dụng khoá công khai để mã hoá và có thể truyền khoá công khai trên mạng khá an toàn) không được tích hợp sẵn trong phần phềm gửi thư. E–mail được viết dưới dạng văn bản chuẩn sau đó được mã hoá bằng kỹ thuật mã hoá nào đó và được gửi đi. Các chương trình giải mã E–mail này cần phải được cài đặt sẵn ở máy đích. Đối với máy khách (Client) Ở phía máy khách, ta có thể sử dụng một trong các biện pháp bảo mật sau: Chứng chỉ số Là cách thông dụng nhất để kết hợp một khoá mã hoá với một hoặc nhiều thuộc tính dữ liệu của người sử dụng. Nó cho phép người nhận thông điệp kiểm tra sự tin cậy trong qua trình truyền. Chứng chỉ số giúp đỡ rất đắc lực cho việc thiết lập độ tin tưởng khi thực hiện các giao dịch thương mại điện tử trên mạng Internet. Chứng chỉ số là một tệp được mã hoá và bảo vệ bằng mật khẩu chứa thông tin cá nhân về chủ sở hữu của chứng chỉ như: tên, địa chỉ E–mail, mã số bưu cục, số thẻ tín dụng, ... Một khoá công khai cũng được sử dụng để kiểm tra chữ ký điện tử của người gửi thông điệp, chứng chỉ số cũng bao gồm tên của nơi cấp chứng chỉ và thời hạn hiệu lực của chứng chỉ. Trước khi cấp chứng chỉ số một trong những nơi này sẽ kiểm tra thông tin cá nhân của người sử dụng bằng nhiều cách khác nhau tuỳ thuộc vào mức độ bảo mật được yêu cầu. Chứng chỉ số thường được sử dụng trong bảo mật truyền thông giữa trình duyệt và server (sử dụng mã hoá SSL) hoặc bảo vệ khách hàng và nơi cung cấp dịch vụ (sử dụng mã hoá thẻ tín dụng SET)... Client và server thực hiện kiểm tra độ tin cậy sử dung SSL như sau: chẳng hạn như khi xử lý một tác vụ ngân hàng, có vô số những thông điệp được trao đổi trước khi trang bảo mật được hiển thị. Trình duyệt sẽ kết nối đến server và server sẽ gửi trả lại một chứng chỉ số. Chứng chỉ này được sử dụng để nhận dạng server và khoá công khai trong chứng chỉ số sẽ được sử dụng để mã hoá khoá làm việc. Khoá làm việc chỉ được tạo ra khi chứng chỉ số được xác định là đúng. Khoá này sẽ dùng để mã hoá những thông tin truyền đi. Khi đó sẽ có một hộp thoại xuất hiện và yêu cầu người sử dụng chọn một chứng chỉ số thích hợp. Chứng chỉ số sẽ được gửi đến server để kiểm tra về tính đúng và thông tin về nơi cấp. Hầu hết các giao dịch trên Internet không đòi hỏi khách hàng phải có chứng chỉ số do việc cấp chứng chỉ với số lượng lớn khá phức tạp, với chi phí cao. Thẻ thông minh Ở châu Âu, việc đưa thẻ thông minh vào sử dụng trong các lĩnh vực như giao thông, chăm sóc sức khoẻ, giao dịch thương mại đã được thực hiện từ vài năm trước đây và đã mang lại hiệu quả rất cao. Có rất nhiều loại thẻ thông minh tuỳ thuộc vào mục đích sử dụng. Đối với thẻ thông minh dùng để lưu trữ dữ liệu, dữ liệu sẽ được ghi vào một chip ROM (Bộ nhớ chỉ đọc) trên thẻ. Nếu cần lưu trữ các thông tin tạm, một chip RAM (bộ nhớ xử lý ngẫu nhiên) sẽ được đưa vào thẻ (tất nhiên là khi gỡ bỏ thẻ thông minh ra khỏi thiết bị giao tiếp đầu cuối thì thông tin tạm sẽ bị mất). Trong một số trường hợp thẻ thông minh được tích hợp chip EEPROM (bộ nhớ chỉ đọc xoá bằng tín hiệu điện) cũng được dùng để lưu trữ dữ liệu và các chương trình ứng dụng. Như vậy dữ liệu và chương trình ứng dụng ghi trên thẻ này có thể được xoá bỏ dễ dàng khi cần thiết. Thẻ thông minh có gắn siêu chip được dùng thay cho thẻ từ. Chip này chứa toàn bộ các thông tin giống như thẻ từ nhưng nó có khả năng thao tác với đữ liệu và thực hiện các ứng dụng. Người ta chia thẻ thông minh thành ba dạng: thẻ tiếp xúc, thẻ không tiếp xúc và thẻ Combi. Ngày nay, tất cả các thẻ thông minh có trên thị trường đều sử dụng chip EEPROM. Tuy nhiên thẻ thông minh chỉ có thể lưu tữ đến 13 KB dữ liệu. Dung lượng này nhỏ hơn hàng ngàn lần so với dung lượng của một ổ cứng cỡ trung bình. Thẻ thông minh có nhiều hạn chế, do đó nó không được tích hợp một bộ nhớ quá lớn. Các chip ở trên thẻ thông minh đã được chuẩn hoá và không cần nguồn năng lượng nào khác trừ nguồn năng lượng của thiết bị đọc. Giá thành của một chip EEPROM vẫn rất cao nên các hệ thống máy tính vẫn sử dụng RAM là chủ yếu. Bảo mật là vấn để rất quan trọng đối với thẻ thông minh, chức năng bảo mật phải được thiết lập đối với tất cả các thẻ thông minh. Để chống lại việc sao chép thì phải bảo đảm xây dựng được một hệ thống bảo mật chắc chắn và một bảo mật phần cứng phải được thiết lập. Hệ thống bảo mật là cần thiết vì quá trình truyền thông trên hệ thống bảo mật sẽ được bảo đảm bằng mã hoá. Có bốn phương pháp khác nhau để truy cập thông tin trên thẻ thông minh. Việc sử dụng phương pháp nào là tùy thuộc vào dạng của ứng dụng mà người sử dụng muốn cung cấp và kiểu bộ nhớ đang được sử dụng. Các phương pháp đó là: Read Only, Add Only, Modify Or Delete và Execution Only. Mối đe doạ với các thẻ thông minh là sự mất đi độ tin cậy, tính tích hợp và tính riêng tư (không bảo đảm tính duy nhất của thẻ). Thẻ thông minh được bảo vệ bằng mã PIN, việc nhập mã PIN vào cần thực hiện qua bàn phím. Kỹ thuật này có thể nhận biết được sự trao đổi giữa bàn phím và các thiết bị đọc thẻ thông minh. Nhận dạng bằng sinh trắc học Nhận dạng dựa trên thuộc tính là phương pháp nhận dạng tự động dựa trên đặc điểm riêng của mỗi người, nó sẽ dần thay thế cho chứng chỉ số và thẻ thông minh. Mỗi người đều có các đặc điểm nhận dạng riêng: Dấu vân tay, mống mắt, giọng nói, chữ viết, những đặc điểm này thường không thể bắt chiếc được. Nhận dạng dựa trên đặc điểm riêng bao gồm dựa trên dấu vân tay, mống mắt, võng mạc... để xác định đối tượng việc phân tích chữ viết cũng là một phương pháp để giúp xác định nhận dạng. Kỹ thuật nhận dạng giọng nói và chữ viết đang được phát triển và gần đây đang trở thành một kỹ thuật đầy hứa hẹn, tuy nhiên những kỹ thuật này chưa được áp dụng rộng rãi vì lý do giá thành. Để đảm bảo an toàn phải phải sử dụng kết hợp nhiều kỹ thuật nhận dạng ví dụ như dấu vân tay có thể kết hợp với nhận dạng giọng nói để làm tăng độ tin cậy. Nhận dạng kiểu này đòi hỏi một máy tính có cấu hình rất mạnh nên giá thành rất cao. Việc nhận dạng thông qua các thuộc tính, đặc điểm riêng của mỗi người có nhiều ưu điểm hơn so với sử dụng mật khẩu hay giấy phép kỹ thuật số. Tuy nhiên nó cũng có một số hạn chế. Đó là: Sự thừa nhận: phương pháp này vẫn chưa có sự thừa nhận rộng rãi. Độ chính xác: do thiết kế không đạt độ chính xác hoàn toàn. Giá cả: chi phí cho việc thực hiện và bảo trì hệ thống nhân trắc cao hơn chi phí dựa trên hệ thống mật khẩu. Tính riêng tư: các thông tin cá nhân rất cần thiết để hệ nhân trắc làm việc. Cần phải giữ bí mật các thông tin này để tránh bị nhân bản hoặc bị lạm dụng. Các phương pháp nhận dạng trên đòi hỏi phải đăng ký vân tay, mống mắt, võng mạc từ trước. Những đặc điểm riêng này sẽ được số hoá và được dùng so sánh thông tin nhận dạng do người sử dụng đưa vào qua thiết bị nhận dạng. Bên cạnh việc áp dụng những cách bảo mật cổ điển nhiều nơi đã phát triển cách bảo mật mới như nhận dạng dựa trên mùi mồ hôi, mạch máu ở mu bàn tay... Đối với máy chủ (Server) Có rất nhiều cách bảo mật nhưng thông dụng nhất là tường lửa. Tường lửa là một hệ thống giúp bảo vệ an toàn của mạng bằng cách thực hiện điều khiển xử lý, nhằm kiểm soát khả năng của người sử dụng trong việc truy xuất các nguồn lực giữa mạng này với mạng khác. Tường lửa được thiết kế nhằm tránh việc truy xuất tự do các nguồn lực của mạng thông qua kết nối Internet, việc điều khiển này sẽ giúp bảo vệ an toàn dữ liệu và phần mềm. Khi hệ thống đựơc kết nối Internet và thực hiện trao đổi dịch vụ, để bảo vệ những dịch vụ này tường lửa có thể từ chối những yêu cầu từ những máy tính khác thiếu tin cậy. Để bảo vệ những dịch vụ này có một vài cách được áp dụng đó là sử dụng Proxy nhằm đảm bảo cho sự an toàn của dữ liệu truyền do không kết nối trực tiếp đến mạng nội bộ. Đây là cách bảo mật khá tốt nhưng dữ liệu không được cập nhật kịp thời. Một cách nữa là sử dụng tường lửa đa tầng. Tường lửa giữ vai trò trung tâm trong bảo mật hệ thống. Nó giúp cho người sử dụng truy xuất các nguồn lực qua Internet mà không cần phải lo ngại về sự an toàn khi kết nối. Khi kết nối với Internet mạng thành phần sẽ được xử lý như một máy cá nhân thông qua Proxy. Dấu hiệu để nhận ra có sự xâm nhập mạng là khi tệp đăng nhập của mật khẩu bị xoá hoặc khi tệp chứa mật khẩu gốc trên thư mục không tồn tại. Hacker cố gắng xâm nhập hệ thống bằng cách bẻ khoá mật khẩu của người sử dụng dùng để đăng nhập mạng. Điều này sẽ giúp Hacker dễ dàng xâm nhập mạng mà không gây nghi ngờ cho người quản trị hệ thống. Hầu hết mọi Hacker đều thành công bằng biện pháp trên do sai sót khi cấu hình hệ thống hoặc do lỗi của hệ điều hành. Việc tận dụng những lỗi này giúp Hacker mở toang hệ thống để truy xuất vào các nguồn lực. Một cách khác là tìm cách xâm nhập vào những hệ thống chưa thiết lập bảo mật dành cho các tệp dữ liệu quan trọng. Trước đây rất nhiều Hacker đã xâm nhập hệ thống thành công do chặn Password thông qua FTP hoặc HTTP. Mặc dù password đã được mã hoá nhưng việc thử phá mã có thể được Hacker thực hiện. Bởi vậy không nên sử dụng mật khẩu dễ đoán. Nếu giải mã thành công Hacker có thể sử dụng mật khẩu này để đăng nhập hệ thống như là một người dùng hợp pháp. Để bảo mật hệ thống cần xác định được những xâm nhập từ bên ngoài. Những đoạn mã do Hacker tích hợp vào trong phần mềm cũng là mối đe doạ đối với bảo mật, do vậy cần phải luôn chú ý. Bằng việc thực hiện kiểm tra hệ thống thường xuyên có thể dễ dàng nhận ra những sự thay đổi cấu hình của mạng. Điều này giúp nhà quản trị hệ thống có thể can thiệp kịp thời, hạn chế được thiệt hại. Để thực