Cách thức phòng chống DDOS

1. Khi bạn phát hiện máy chủ mình bị tấn công hãy nhanh chóng truy tìm địa chỉ IP đó và cấm không cho gửi dữ liệu đến máy chủ.
2. Dùng tính năng lọc dữ liệu của router/firewall để loại bỏ các packet không mong muốn, giảm lượng lưu thông trên mạng và tải của máy chủ.
3. Sử dụng các tính năng cho phép đặt rate limit trên router/firewall để hạn chế số lượng packet vào hệ thống.
4. Nếu bị tấn công do lỗi của phần mềm hay thiết bị thì nhanh chóng cập nhật các bản sửa lỗi cho hệ thống đó hoặc thay thế.
5. Dùng một số cơ chế, công cụ, phần mềm để chống lại TCP SYN Flooding.
6. Tắt các dịch vụ khác nếu có trên máy chủ để giảm tải và có thể đáp ứng tốt hơn. Nếu được có thể nâng cấp các thiết bị phần cứng để nâng cao khả năng đáp ứng của hệ thống hay sử dụng thêm các máy chủ cùng tính năng khác để phân chia tải.
7. Tạm thời chuyển máy chủ sang một địa chỉ khác.
Flooding Data Attack ?

• Hoàn toàn khác với DDos về khả năng tấn công cũng như sự huy động tấn công rất dễ dàng để làm tràn ngập dữ liệu (Flood data attack !) được phát triển ở rất nhiều dạng nó dựa vào những lỗi của hầu hết các mã nguồn mở của ASP, PHP, JSP, CGI …..

• Với DDOS như chúng ta đã biết khi một số Hacker muốn mở những cuộc tấn công đều phải hội tụ những điều kiện, là phải dùng những máy chủ có đường truyền cao và thường thì phải @hắc vào server đó mới có thể huy động làm công cụ tấn công được, ngược lại với Flood data attack việc huy động quá dễ, nó chia ra làm 2 dạng tấn công như sau:

• Dạng 1: Được chạy trên trên môi trường Windonw, Unix, Linux …

Với kích thước từ 500 byte đến 1Kb các Hacker dễ dàng đính kèm vào một Website nào đó có nhiều người hiện đang có mặt truy cập trên Website đó. Với đọan mã trên ta có thể thấy Hacker đã đặt kích thước tập tin Flooddata.swf ở chế độ Chiều rộng (width) là bằng 0 và chiều cao (height) cũng bằng 0 như thế tập tin này sẽ không thể hiển thị được trên trên trang Web đó.

Khi người sử dụng vào Website này lập tức sẽ kích họat chương trình Flood Data Attack ! của Hacker tại địa chỉ là http://noitancong.com/filedata.swf và Hacker cũng dễ dàng điều khiển chương trình bằng 1 file nguồn ở 1 Website nào đó của Hacker trên mạng mà Hacker đó đặt ra trong chương trình Flooding data Attack.

Hacker có thể kiểm soát được số người hiện đang kích hoạt chương trình Flood data của mình trên Website đó và khi nào Hacker cảm thấy số lượng người đang kích hoạt chương trình đã đủ để việc tấn công một Website nào đó trên mạng thành công thì công việc đó có thể được bắt đầu.

Ví dụ như hacker vào một địa chỉ như http://www.vbuleetin.com để thực hiện công việc tấn công trang này hacker cần phải tìm những nơi có sự trao đổi dữ liệu cho nhau như Register, Search, Login, Sendmail ….. Sau khi đã thu thập được những thành phần trên Hacker bắt đầu thực hiện lấy những đầu vào(input) và gán nhửng giá trị đầu vào trên lên nơi điều khiển của chương trình Flood data attack!.

Ví dụ phần trên sẽ được gán với biến như sau :
Url=http://www.vbuleetin.com/register.php&username=user + random(999999999)&password = flood&passwordconfim=password&email=random(1000000 00)+@vbulleetin.com
Trong đó Url là giá trị của Website bị tấn công, Username với giá trị là một user nào đó do hacker đặt ra và cộng với biến ngẫu nhiên ở sau mỗi user mà hacker đặt ra là khác nhau. Một khi Website này bị tấn công, toàn bộ họat động của Server chứa Website đó sẽ bị hậu quả rất ngiêm trọng tùy theo số lượng người kích họat vào chương trình Flood data attack! Của hacker đó, Lúc này những phần bị ảnh hưởng sẽ là MailServer, MySQL, PHP, Apache, FTP….

• Đối với MySQL : Khi bị Flood data attack! Những yêu cầu sẽ được gửi liên tục đến Server và được chuyển qua MySQL xử lý với số lượng lớn và nối tiếp nhau cho đến khi quá tải chương trình MySQL sẽ hòan toàn bị vô tác dụng song song với việc ảnh hưởng đến MySQL là việc ảnh hưởng đến MailServer.

Với giá trị là random(100000000)+@vbuleetin.com thì khi thực thi nó sẽ gửi từ ‘1@vbuleetin.com’ cho đến ‘100000000@vbuleetin.com’ tất nhiên nhửng email này sẽ không có thực đối với trang chủ của Website ‘http://www.vbuleetin.com.

• Đối với sẽ những địa chỉ email này MailServer đưa vào danh sách "Msgs Failed" nhưng với giá trị là @vbulletin.com thì hầu hết một nhà cung cấp "domain" và "hosting" sẽ chuyển về một số email mặc định như là postmaster, admin, administrator, supervisor, hostmaster, webmaster.

Những Hacker có thể lợi dụng những Form mail trong việc trao đổi thông tin giữa khách hàng với chủ cung cấp dịch vụ để thực hiện những cuộc tấn công, những cuốc tấn công này thường rất nguy hiễm vì có thể trong 1 giây Hacker thực hiện từ 100 lần đến hàng nghìn lần với những yêu cầu SendEmail từ 1 user trên server đó đến MailServer.

• Dạng 2: Được đính kèm trên các Website và nhận lệnh tấn công từ một địa chỉ nào đó trên Mạng toàn cầu.

Được chạy dưới dạng file.exe với dạng thức này thì khả năng tấn công vẫn giống như cách tấn công nằm trên website nhưng khả năng tấn công được nâng thêm nhiều dạng như Ping, Flood Ftp, Flood Smtp… tùy vào khả năng phát triển của Hacker.
Cũng giống như chương trình Flood data attack! Được gắn trên website dạng .exe này cũng được điều khiển từ 1 Website. Thường thì nơi điều khiển được đặt chung 1 nơi để tiện cho việc điều khiển.

Với những phương thức tấn công như vậy ta cũng có thể thấy được tầm nguy hiểm của nó nếu như được đặt trên một server với số lượng người truy cập đông như Google hoặc 1 Website nổi tiếng nào đó thì sức phá hoại của nó là rất khủng khiếp.

• Với 1 client/1s có thể gửi từ 3 - 8 yêu cầu có thực đến máy chủ thực thi và xử lý thông qua đó nó có thể ảnh hưởng đến Php, Apache, Phpmail, MySQL, FTP …., Tùy theo những mã nguồn của ASP, PHP, JSP, CGI, PL hoặc chung quy là những mã nguồn có liên quan đến công việc xuất và nhập dữ liệu.

Nếu hacker huy động hoặc @hắc được những server hoặc Website nào đó có số lượng người Online khoảng 2000 thì trong 1 giây Server đó sẽ phải thực thi khoảng 6000 yêu cầu từ các client gửi đến Server đó.

Ví dụ : Có User nằm trên server X nào đó user đó có cài đặt mã nguồn mở như Forum IPB (Invision Power Boards) khi hacker sử dụng mục đăng ký làm nơi tấn công Flood data thì trong vòng một giây như phần trên đã nêu sẽ có khoãng 6000 nickname được khởi tạo đi kèm theo đó là 6000 yêu cầu đã được mã nguồn mử thiết lập khi đăng ký và sẽ kèm theo việc gửi email đến các địa chỉ đã đăng ký.

• Như vậy đi kèm với 6000 nickname trên, MailServer sẽ phải gửi đi 6000 yêu cầu trong vòng 1/s việc này nếu như bị kéo dài từ 5 - 10 phút thì Server đó hầu như sẽ không còn họat động được.

Bandwith lúc này có thể tăng 5 - 10 MB/s cộng thêm data khi được chuyển đến MySQL lúc này có thể đạt tới 5 -7 MB/s nữa khi đó toàn bộ các phần mềm như Apache, MailServer, PHP, MySQL, FTP đều bị ngưng họat động. Lúc đó server có thể sẽ bị reboot.
Vì Hacker sử dụng phương tiện tấn công Online trên Website và dựa vào lượng khách truy cập thông tin ở nhiều Website nên phương pháp này hầu như rất khó chống, mỗi ngày Hacker có thể dùng hàng ngàn địa chỉ IP trên khắp thế giới để thực hiện việc tấn công như thế ta có thể thấy nó đơn giản so với DDos rất nhiều nhưng sự nguy hiểm có lẽ hơn hẳn DDos. Vì Flooding Data Attack tấn công theo dạng địa chỉ ‘http://victim.com/data.php&bien1&bien2&bien3’ theo cổng GET hoặc POST vì vậy, cho dù bất cứ lý do gì khi tấn công cũng phải đi qua hướng này.

Do lỗi được xuất hiện ở các mã nguốn ASP hay PHP nên cách tốt nhất là sửa và xem lại những mã nguồn mà người sử dụng muốn đưa lên mạng. Để tránh bị Flood data Attack! Thì cách phòng chống tạm thời vẫn là thêm một chuỗi ngẫu nhiên trên mỗi Form có sự xuất và nhập dữ liệu tuy nhiên những cách trên chưa phải là những cách hòan thiện để chống lại nhửng cuộc tấn công tràn ngập dữ liệu (Flooding Data Attack).

Tấn công DDOS sẽ luôn là mối đe dọa hàng đầu đến các hệ thống trên thế giới. Về kỹ thuật, hầu như chúng ta có thể hy vọng attacker sử dụng những công cụ v cĩ hiểu biết kém cỏi về các protocol để có thể nhận biết và lọai trừ các traffic gây nên cuộc sống. Một điều mà các chuyên gia ai cũng thừa nhận, đó là nếu DDOS được thực hiện bởi một hacker có trình độ, thì việc chống đỡ là không thể. Cách đây 4 năm, giới hacker chính quy thế giới đ khai tứ kỹ thuật tấn công này và chấm dứt mọi hoạt động nghiên cứu-trình diễn hay pht tn công cụ do chính bản thân họ cũng nhìn thấy mức độ nguy hiểm và không công bằng của kiểu tấn công này. Đối với hacker đẳng cấp thì “Hacking is get root”.
Với một hạ tầng mạng hết sức yếu kém, cùng với nền thương mại [w]điện[/w] tử mới được hình thành, DDOS sẽ là một mối nguy hại rất lớn cho Internet Việt Nam. Commaz ku gọi sự hợp tác với hỗ trợ của tất cả thành viên cộng đồng Internet Việt Nam, hy cĩ một cái nhìn với hành động thật chín chắn, DDOS là một hành động hết sức vô ý nghĩa về mọi mặt.

Tấn công từ chối dịch vụ (DoS) là các cuộc tấn công trên hệ thống mạng nhằm ngăn cản những truy xuất tới một dịch vụ. Tấn công DoS phá hủy dịch vụ mạng bằng cách làm tràn ngập số lượng kết nối, quá tải server hoặc chương trình chạy trên server, tiêu tốn tài nguyên của server, hoặc ngăn chặn người dùng hợp lệ truy nhập tới dịch vụ mạng.

Có rất nhiều các phương cách để thực hiện các cuộc tấn công từ chối dịch vụ, vì thế cũng có rất nhiều cách phân loại DoS.

Cách phân loại phổ biến thường dùng dựa vào giao thức trong hình thức tấn công của DoS, ví dụ như tràn ngập ICMP với Smurf, Ping of Death, khai thác điểm yếu của TCP trong hoạt động của giao thức và phân mảnh gói tin với SYN flood, LanD attacks, TearDrop hay trên mức dịch vụ như với Flash Crowds (ở Việt Nam thường biết đến với tên X-flash).

Phân loại theo phương thức tấn công, DoS có thể được thực hiện bằng một vài gói tin đơn lẻ gửi thẳng tới server gây rối loạn hoạt động (như slammer worm), hoặc kích hoạt để gửi từ nhiều nguồn (từ chối dịch vụ phân tán DdoS). Tấn công có thể thực hiện trên mạng Internet (sử dụng ngay các web server), hoặc broadcast trong mạng bên trong (insider attacks như với Blaster worm), trên mạng P2P (P2P index poinsioning) hay Wireless (WLAN authentication rejection attack- spoof sender). Tuy nhiên, có thể thấy các cách phân loại trên dựa chủ yếu vào cách nhìn từ sự phát sinh tấn công, và vì thế, không hệ thống hóa được phương thức phòng tránh.

Một cách chung nhất, có 7 phạm trù các tổ chức cần xem xét khi đối phó với các mối đe dọa về DoS như sau:

1. Phòng ngừa các điểm yếu của ứng dụng (Application Vulnerabilities)

Các điểm yếu trong tầng ứng dụng có thể bị khai thác gây lỗi tràn bộ đệm dẫn đến dịch vụ bị chấm đứt. Lỗi chủ yếu được tìm thấy trên các ứng dụng mạng nội bộ của Windows, trên các chương trình webserver, DNS, hay SQL database. Cập nhật bản vá (patching) là một trong những yêu cầu quan trọng cho việc phòng ngừa. Trong thời gian chưa
thể cập nhật toàn bộ mạng, hệ thống phải được bảo vệ bằng bản vá ảo (virtual patch). Ngoài ra, hệ thống cần đặc biệt xem xét những yêu cầu trao đổi nội dung giữa client và server, nhằm tránh cho server chịu tấn công qua các thành phần gián tiếp (ví dụ SQL injection).

2. Phòng ngừa việc tuyển mộ zombie

Zombie là các đối tượng được lợi dụng trở thành thành phần phát sinh tấn công. Một số trường hợp điển hình như thông qua rootkit (Sony hay Symantec), hay các thành phần hoạt động đính kèm trong mail, hoặc trang web, ví dụ như sử dụng các file jpeg khai thác lỗi của phần mềm xử lý ảnh, các đoạn mã đính kèm theo file flash, hoặc trojan cài đặt theo phishing, hay thông qua việc lây lan worm (Netsky, MyDoom, Sophos). Để phòng chống, hệ thống mạng cần có những công cụ theo dõi và lọc bỏ nội dung (content filtering) nhằm ngăn việc tuyển mộ zombie của hacker.

3. Ngăn ngừa kênh phát động tấn công sử dụng công cụ

Có rất nhiều các công cụ tự động tấn công DoS, chủ yếu là tấn công phân tán DDoS như TFN, TFN2000 (Tribe Flood Network) tấn công dựa trên nguyên lý Smurf, UDP, SYN, hay ICMP; Trinoo cho UDP flood; Stacheldraht cho TCP ACK, TCP NULL, HAVOC, DNS flood, hoặc tràn ngập TCP với packets headers ngẫu nhiên. Các công cụ này có đặc điểm cần phải có các kênh phát động để zombie thực hiện tấn công tới một đích cụ thể. Hệ thống cần phải có sự giám sát và ngăn ngừa các kênh phát động đó.

4. Ngăn chặn tấn công trên băng thông.

Khi một cuộc tấn công DdoS được phát động, nó thường được phát hiện dựa trên sự thay đổi đáng kể trong thành phần của lưu lượng hệ thống mạng. Ví dụ một hệ thống mạng điển hình có thể có 80% TCP và 20% UDP và ICMP. Thống kê này nếu có thay đổi rõ rệt có thể là dấu hiệu của một cuộc tấn công. Slammer worm sẽ làm tăng lưu lượng UDP, trong khi Welchi worm sẽ tạo ra ICMP flood. Việc phân tán lưu lượng gây ra bởi các worm đó gây tác hại lên router, firewall, hoặc cơ sở hạ tầng mạng. Hệ thống cần có những công cụ giám sát và điều phối băng thông nhằm giảm thiểu tác hại của tấn công dạng này.

5. Ngăn chặn tấn công qua SYN.

SYN flood là một trong những tấn công cổ nhất còn tồn tại được đến hiện tại, dù tác hại của nó không giảm. Điểm căn bản để phòng ngừa việc tấn công này là khả năng kiểm soát được số lượng yêu cầu SYN-ACK tới hệ thống mạng.

6. Phát hiện và ngăn chặn tấn công tới hạn số kết nối.

Bản thân các server có một số lượng tới hạn đáp ứng các kết nối tới nó. Ngay bản thân firewall (đặc biệt với các firewall có tính năng stateful inspection), các kết nối luôn được gắn liền với bảng trạng thái có giới hạn dung lượng. Đa phần các cuộc tấn công đều sinh số lượng kết nối ảo thông qua việc giả mạo. Để phòng ngừa tấn công dạng này, hệ thống cần phân tích và chống được spoofing. Giới hạn số lượng kết nối từ một nguồn cụ thể tới server (quota).

7. Phát hiện và ngăn chặn tấn công tới hạntốc độ thiết lập kết nối.

Một trong những điểm các server thường bị lợi dụng là khả năng các bộ đệm giới hạn giành cho tốc độ thiết lập kết nối, dẫn đến quá tải phải chịu sự thay đổi đột ngột về số lượng sinh kết nối. Ở đây việc áp dụng bộ lọc để giới hạn số lượng kết nối trung bình rất quan trọng. Một bộ lọc sẽ xác định ngưỡng tốc độ kết nối cho từng đối tượng mạng. Thông thường, việc này được đo bằng số lượng kết nối trong thời gian nhất định để cho phép sự dao động trong lưu lượng.

Các phân tích ở trên được dựa trên những ngầm định cơ bản sau trong việc bảo vệ hệ thống.

1. Đó là các thiết bị bảo vệ cần được đặt trên luồng thông tin và thực hiện trực tiếp việc ngăn ngừa. Điều này xuất phát từ lý do cho tốc độ của một cuộc tấn công (ví dụ khoảng 10.000 đăng ký thành viên trên 1s hướng tới 1 server, hoặc phát tán worm với tốc độ 200s trên hệ thống mạng Ethernet 100M). Với tốc độ như vậy, cách thức phòng ngừa dạng phát hiện thông báo ngăn chặn (Host Shun và TCP Reset) không còn phù hợp.

2. Các cuộc tấn công từ chối dịch vụ chủ yếu nhắm tới khả năng xử lý của hệ thống mạng mà đầu tiên là các thiết bị an ninh thông tin. Năng lực xử lý của IPS hoặc các thành phần content filtering là một trong những điểm cần chú ý, đặc biệt ở sự ổn định trong việc xử lý đồng thời các loại lưu lượng hỗn tạp với kích thước gói tin thay đổi.

3. Các cuộc tấn công luôn được tích hợp (blend attacks) với sự tổng hợp các phương thức khác nhau. Chính vì vậy, tầm quan trọng của việc phòng ngừa những dấu hiệu lây nhiễm đơn giản là bước đầu tiên để ngăn chặn những cuộc tấn công từ chối dịch vụ.
Trong hệ thống tổng thể về security, để đối phó với các cuộc tấn công từ chối dịch vụ, thì thành phần IPS được coi là quan trọng nhất ở tính trong suốt với người dùng, nên việc phân tích các luồng thông tin trao đổi giữa server và người dùng không bị ảnh hưởng bởi các luồng tấn công hướng thẳng đến nó.

Denial of Service (DoS)

Còn đây là tài liệu module 8:
Ethical HackinG

Module 8: Denial of Service (DoS)



O. Tổng quan :
Trong phần này chúng ta sẽ tìm hiểu về nhiều khía cạnh của tấn công từ chối dịch vụ .Thảo luận với những chủ đề giống như tấn công từ chối dịch vụ là gì ? Điều gì là sự phân tán trong tấn công từ chối dịch vụ? Những kiểu tấn công từ chối dịch vụ ,các công cụ cho các cuộc tấn công và những biện pháp đối phó. [ Mr. Neo – Vietnam Internet Security System ]



DoS – Tấn công từ chối dịch vụ.

Tài liệu gồm các ý chính:

Định nghĩa tấn công từ chối dịch vụ ?
Thế nào là phát tán tấn công từ chối dịch vụ ?
Các loại tấn công từ chối dịch vụ
Công cụ tấn công từ chối dịch vụ
Công cụ DDOS attack
Trả đũa


Thực tế cho thấy: 6/6/2000. Trang chủ Yahoo đã ngưng hoạt động trong 3h, tiếp đó là tới BUY.COM, AMAZON, EBAY, CNN .. cũng lần lượt die ..

Theo tính toán của Yankee Group, thiệt hại ước tính là 1,2 tỷ $. Cuộc tấn công DDoS được ghi nhận đầu tiên là vào năm 1988 (CERT). Cuộc tấn công vào T6/2000 là do 1 cậu nhóc 15 tuổi người Canada – Mafia Boy – với công cụ Trinoo (Tribe Flood Network)

Tháng 1 năm 2001, Microsoft, MSN, expedia.com là nạn nhân của tấn công từ chối dịch vụ trong nhiều giờ đồng hồ. Theo CERT ước tính thiệt hại là 100000 $.

I. Định nghĩa tấn công từ chối dịch vụ:

Denial of Service (DoS) là cuộc tấn công được tạo nên để hoàn trả cho 1 máy tính hay 1 mạng máy tính không đủ lực để hoạt động. DoS attacks hay được sử dụng nhằm mục tiêu vào băng thông hoặc phạm vi kết nối. Việc flood băng thông của 1 hệ thống mạng với lưu lượng cao, sẽ làm sự tồn tại của hệ thống mạng bị phá huỷ (nuốt – luộc – nghĩa bong) và làm hợp pháp việc ng` sử dụng yêu cầu lấy thông tin ( chắc đây là cannot display page )

Tấn công flood phạm vi kết nối của 1 computer với liều cao của yêu cầu kết nối khiến hệ thống điều hành bị phá huỷ và chiếc computer không thể hoạt động theo yêu cầu người sử dụng

Một cuộc tấn công tấn công từ chối dịch vụ có đặc điểm là sự cố gắng muốn chiếm đoạt của attackers. Một số đặc điểm:

• Cố gắng "flood" a hệ thống mạng, để rồi ngăn ngừa sự hợp pháp của lưu luợng (traffic) trên hệ thống

• Cố gắng phá vỡ kết nối giữa 2 máy

• Cố gắng xâm nhập của 1 cá nhân

• Cố gắng phá vỡ 1 dịch vụ của một hệ thống trở nên rõ rang



Không phải tất cả dịch vụ sẽ ngưng hoạt động, nhưng những hành động trên luôn mang tính huỷ hoại và là cơ sở của tấn công từ chối dịch vụ. Một số loại tấn công khác cũng coi tấn công từ chối dịch vụ như là 1 thành phần, nhưng chính tấn công từ chối dịch vụ là một phần của một cuộc tấn công mang tính quy mô. Một sô người dung bất hợp pháp có thể lợi dụng tấn công từ chối dịch vụ. Ví dụ, kể xâm nhập có thể sử dụng phân vùng anonymous ftp làm nơi để lưu giữ bản copy bất hợp pháp của môt phần mềm thương mại , chiếm ổ dữ liệu rồi tạo nên một hệ thống lưu lượng mạng.



Trong thế giới Internet, một cuộc tấn công từ chối dịch vụ thường gắn liền với ngưới sử dụng hay một tổ chức thiếu thốn về bảo mật. Điển hình như, việc 1 trang web khi có khoảng hàng ngàn lượt truy câp cũng có thể gây lụt server. Tấn công từ chối dịch vụ còn có thể huỷ diệt toàn bộ dữ liệu của máy chủ. Thông thường, tấn công từ chối dịch vụ hay nhằm vào lỗ hổng bảo mật, đó chính là một trong những loại tấn công từ chối dịch vụ nguy hiểm . Và là, mỗi cuộc tấn công gây thiệt hại lớn về thời gian và tiền bạc của nạn nhân …


II. Phân loại tấn công từ chối dịch vụ:


1. Bandwidth/Throughput Attacks:



Tấn công vào băng thông are thực sự khá đơn giản, đó là việc cố gắng sử dụng những nguồn như network bandwidth hoặc trang bị thong lượng (throughput) . Cuộc tấn công nguy hiểm là nó có thể luộc cả băng thông khiến. Hoặc có thể khiến lưu lượng thông tin trở nên chậm chạp.

Timeouts may occur, causing retransmission, generating even more traffic.

Kể tấn công có thể luộc bandwidth bằng cách truyêng tải những lưu lựợng thônh tin trên toang bộ các kết nối của toàn hệ thống

Cuộc tấn công flood cơ bản là sử dụng UDP or gói ICMP để dễ dàng tiêu thụ bandwidth.

For that matter, an attack could consist of TCP or raw IP packets, as long as the traffic is routed to

your network.

Một cuộc tấn công tàn phá bandwidth đơn giản có thể khai thác qua giới hạn thông lượng của servers hoặc hệ thống bởi tỷ lệ các gói tệp tin cao—gửi nhiều gói nhỏ. Highpacket-rate tấn công tiểu biểu làm chon vùi hệ thống trứơc khi lưu luợng đạt tới đỉnh điểm của bandwidth. Routers (bộ định tuyến), servers, và firewalls hay những rang buộc khác liên quan tới input/output làm hư hỏng bộ xử lý, CPU và bộ nhớ. Hệ thống sẽ đọc đầu gói tin (header packet) theo đúng cách với khối lưu luợng lớn khiến việc đó trở nên “stress”. Trong thực tế, tấn công từ chối dịch vụ thường xuyên phải hoàn tất một khối lượng gói tin lớn.


2. Protocol Attacks:

Cuộc tấn công flood cơ bản là tấn công các giao thức hệ thống mạng. Những cuộc tấn công đó không trực tiếp khai thác những tình trạng yếu kém trong TCP/IP(giao thức diièu khiến sự truyền phát/ nghi thức internet – tạm dịch) stacks hoặc ứng dụng network mà sử dụng các giao thức như TCP, UDP, và ICMP. Một số các vị dụ như sau:

• SYN flood is cách sử dụng nguồn bất đối xứng sẽ flood thông qua TCP SYN gói tin và chỉ định nạn nhân phải chấp nhận nhiều kết nối. Và sau đó, ng` ta tạo ra Host Identity Payload and Protocol (HIP mục đích để làm dịu bớt các cuộc tấn công SYN flood. Kỹ thuật khác đó là SYN Cookies (xem http://cr.yp.to/syncookies.html), sử dụng giao thức TCP/IP stacks.

• SMURF tấn công vào chỗ yếu của hệ thống broadcast (truyền thông) address với gói ICMP ECHO REQUEST rồi sẽ lừa nạn nhân(xem http://www.cert.org/advisories/CA-1998-01.html).

• FRAGGLE là biến thể của smurf, nó gửi các gói UDP để báo hiệu lại broadcast addresses rồi sẽ lừa nạn nhân.



3. Một số software DDoS :



Khác với flooding và protocol attacks, nó tìm kiếm để phá vỡ hệ thống mạng hoặc trạng thái tài nguyên, tấn công logic để khai thác những lỗi thông qua các chương trình hệ thống, như web server, hoặc dưới hình thức TCP/IP stack. Một vài vuln được tạo ra nhờ các packet dị hình.

• teardrop (bonk, boink) thâm nhập qua TCP/IP - IP stacks mà chồng chéo không thực hiện thật đúng đắn IP(xem http://www.cert.org/advisories/CA-1997-28.html).

• land thực hiện các mánh khoé qua IP packets với các nguồn address và port rồi cài nó trùng với address and port đích(xem http://www.cert.org/advisories/CA-1997-28.html).

• ping of death gửi một lượng lớn ICMP ECHO REQUEST packet tới mục tiêu.

• Naptha như một cuộc tấn công resource-starvation thông qua việc thâm nhập lỗi TCP/IP stacks - TCP packets. (xem http://www.cert.org/advisories/CA-2000-21.html).



III. Định nghĩa DDoS:



DDoS attacks bao hàm cả việc phá vỡ hang trăm hoặc hang ngàn chiếc máy sử fụng hệ thống Internet. Sau đõ attacker cài trình DDoS lên, cho phép chúng điều khiển chúng tần công vào victim sites. Cuộc tấn công này làm phá huỷ bandwidth nhanh chóng, router chạy hết công suất, hoặc phá huỷ các kết nối tới victim.

DDoS là sự phối hợp của các giai đoạn DoS attacks hoặc tiến phối hợp nhiều host khác nhau để tấn công mục tiêu từ những câu lệnh ở các máy rất xa. DDoS không thể ngăn chặn với việc chặn IP một cách đơn thuần khi mà nó được thực thi trên nhiều máy khác nhau. Một số dụng cụ DDoS được biết đến như Mstream, Trinoo, TFN2K (Tribe Flood Network), Stacheldraht and Shaft. DDoS attack là ví dụ của cuộc tấn công bandwidth.



===== The WWW Security FAQ (viết tắt của Frequently Aked Ques. thì phải) định nghĩa Distributed Denial of Service (tấn công phân phát từ chối dịch vụ):

A Distributed Denial of Service (DDoS) attack sử dụng rất nhiều máy tính để chạy những trình gây tấn công mục tiêu. Sử dụng công client/server, kẻ tấn công có thể nhân lên nhiều lần các tính trạng của Denial of Service tạo thành một thức trình có độ phá hoại cao rồi tấn công vào một hệ thống kể cả nó có bảo mật. Cuộc tấn công DDoS điển hình là cài trên một computer sử dụng account bị đánh cắp. Chương trình đó, tại một thời điểm xác định rõ, sẽ truyền đạt thông tin để cài các chương trình “agent” vào các máy khác khắp nơi trên hệ thống mạng. Khi những tên gián điệp ấy nhận được những lệnh, sẽ bắt đầu tấn công. Sử dụng công client/server, chương trình ấy có thể diều khiển hàng trăm và có thể hang nghìn “agent programs” sau vài giây.


Ping of death là một cuộc tấn công tùe chối dịch vụ, kẻ tấn công sử dụng nó theo thuật toán gửi 1 IP packet lớn hơn 65,536 bytes qua giao thức IP (IP protocol). Tính năng của TCP/IP là sự tan rã. Nó cho phép một gói IP đơn làm vỡ ra từng mảnh. Năm 1996, vài kẻ tấn công đã nhận thấy việc gửi các gói IP > 65536 bytes. Khi một gói ICMP lớn được gửi đi bởi một kẻ phá hoại tới mục tiêu, victim sẽ tiếp nhận ping trong tình trạng bị phân mảnh và bắt đầu tập hợp các gói ấy lại. Tuy vậy, việc tập hợp một số lượng lớn như vậy khiến gây tình trạng tràn bộ đệm. Khiến chúng bị đóng băng,phá huỷ hoặc reboot. Tấn công Ping of death đặc biệt nguy hiểm bởi khi ping attacker cũng nhận được 1 gói tin tương đương với số lượng đã gửi, nhưng cúng sẽ làm “crash” victim. Windows 95 và Windows NT có thể gửi gói tin như vậy một các đơn giản là "ping [target] –l 65500".

Cuối 1997, hầu như các hệ thống đều được cảnh bảo và vá lỗi để ngăn chặn ping of death. Tuy nhiên, một số Web sites vẫn tiếp tục “blok” Internet Control Message Protocol (ICMP) ping messages tại hệ thống tường lửa của họ để ngăn chặn các loại tấn công denial of service. Ping of death còn được biết dưới tên "long ICMP". Một số loại khác giống nó có thể kể đến như : jolt, sPING, ICMP bug, và IceNewk.


Một số các TOOLS khác liệt kê dưới đây, vì nó đều đã cũ nên mình không tiện dịch :


Smurf là phần mềm nguy hiểm, để hiểu rõ nó, các bạn đọc vài giới thiệu sơ lược như sau:

================================================== =============



smurf is a simple yet effective DDoS attack technique that takes advantage of the ICMP

(Internet Control Message Protocol). ICMP is normally used on the internet for error handling

and for passing control messages. One of its capabilities is to contact a host to see if it is "up" by

sending an "echo request" packet. The common "ping" program uses this functionality. smurf is

installed on a computer using a stolen account, and then continuously "pings" one or more

networks of computers using a forged source address. This causes all the computers to respond to

a different computer than actually sent the packet. The forged source address, which is the actual

target of the attack, is then overwhelmed by response traffic. The computer networks that respond

to the forged ("spoofed") packet serve as unwitting accomplices to the attack.

��The "smurf" attack, named after its exploit program, is one in the category of network-level

attacks against hosts. A perpetrator sends a large amount of ICMP echo (ping) traffic at IP

broadcast addresses, all of it having a spoofed source address of a victim. If the routing device

delivering traffic to those broadcast addresses performs the IP broadcast to layer 2 broadcast

function, most hosts on that IP network will take the ICMP echo request and reply to it with an

echo reply each, multiplying the traffic by the number of hosts responding. On a multi-access

broadcast network, there could potentially be hundreds of machines to reply to each packet.

The "smurf" attack's cousin is called "fraggle", which uses UDP echo packets in the same fashion

as the ICMP echo packets; it was a simple re-write of "smurf". There are two parties who are hurt

by this attack... the intermediary (broadcast) devices--let's call them "amplifiers", and the

spoofed address target, or the "victim". The victim is the target of a large amount of traffic that

the amplifiers generate.

Let's look at a scenario to see the nature of this attack. Assume a co-location switched network

with 250 hosts, and that the attacker has a T1. The attacker sends, say, a 234b/s stream of ICMP

echo (ping) packets, with a spoofed source address of the victim, to the broadcast address of the

"bounce site". These ping packets hit the bounce site's broadcast network of 250 hosts; each of

them takes the packet and responds to it, creating 250 ping replies out-bound. If you multiply the

bandwidth, 58.5 Mbps is used outbound from the "bounce site" after the traffic is multiplied. This

is then sent to the victim (the spoofed source of the originating packets). The perpetrators of these

attacks rely on the ability to source spoofed packets to the "amplifiers" in order to generate the

traffic which causes the denial of service.

In the case of the smurf or fraggle attack, each host which supports this behavior on a broadcast

LAN will happily reply with an ICMP or UDP (smurf or fraggle, respectively) echo-reply packet

toward the spoofed source address, the victim. The amount of bandwidth and packets per second

(pps) that can be generated by this attack is quite large. Many hosts cannot process this many

packets per second; many hosts are connected to 10 Mbps Ethernet LANs where more traffic than

wire speed is sent. Therefore, the ability to drop these packets at the network border, or even

before it flows down the ingress pipes, is desired.








Đây có lẽ là kiểu tấn công đáng sợ do tác động của mạng khuếch đại.khi bạn gửi ping request (ICMP ECHO REQUEST)đến một máy tính hoặc một hệ thống mạng, máy tính or hệ thống đó sẽ gửi lại cho bạn ping reply(ICMP ECHO REPLY), dựa vào điều này kẻ tấn công sẽ giả mạo địa chỉ IP nguồn là nạn nhân và gửi các packet đến mạng khuếch đại ,lúc đó mạng khuếch đại sẽ gửi các packet trả lời như thế cho nạn nhân ( vì kể tấn công đã giả mạo địa chỉ IP là nạn nhân )

ping request
-attacker------------------------------------------->mạng khuếch đại-IP spoofing

- victim - <------------------------------------------ - mạng khuếch đại -ping reply

Smurf attack tận dụng directed broadcast và yêu cầu tối thiểu là 3 nhân tố:
- attacker
- victim
- mạng khuếch đại (càng lớn cành tốt)



================================================== =============


[ Gửi các gói SYN-ACK lớn gây lụt hệ thống

Khi hai hệ thống kết nối TCP với nhau,chúng sẽ qua 3 bước:


client 1. ------------ SYN gửi từ client ----------------> sever
client 2. <---- SYN/ACK gửi từ sever ---------------- sever
client 3. ----------------- ACK gửi từ clien ----------------> sever

Sau 3 bước trên kết nối mới được thiệt lập giữa hai hệ thống.Trong hoàn cảnh bình thường ,SYN packet từ một công cụ thể trên hệ thông A đến một cổng cụ thể trên hệ thống B trong tình trang LISTEN.Vào thời điểm này kết nối trên hệ thông B ở tình trạng SYN_RECV. Vào giai đoạn này hệ thống B sẽ tìm cách gửi packet SYN/ACK về cho hệ thống A. Nếu mọi sự ổn thỏa hệ thông A sẽ gửi trả packet ACK,và kết nối truyển sang tình trạng ESTABLISHED.

Dù có nhiêu lúc cơ chế này chẳng có vấn đề gì ,nhưng trong hệ thống có những chỗ yếu cỗ hữu để kẻ tân công có thể lơi dụng để DOS .Vấn đề là đa số hệ thông phân phối số lượng tài nguyên định khi thiết lập kết nối tiềm tàng hoặc kết nối chưa được thiết lập hẳn ( SYN_RECV).Tuy rằng 1 hệ thống chấp nhân hàng trăm kết nối vào một cổng cụ thể ( ví dụ như cổng 80 ) nhưng chỉ lấy một chục yêu cầu kết nối là hết sạch tài nguyên phân phối cho thiết lập kết nối. Đây chính là điểm mà kẻ tấn công sẽ lợi dụng để vô hiệu hóa hệ thống. Attacker (hệ thống A ) sẽ gửi SYN packet đến Victim ( hệ thống B) và giả mạo địa chỉ IP của hệ thống C ( hệ thống C này không tồn tại trên thực tế nha) Lúc đó hệ thống B sẽ sử lí như thế nào ? hệ thống B sẽ gửi packet SYN/ACK đến hệ thống C. Giả sử rằng hệ thống C tồn tại ,nó sẽ gửi packet RST cho hệ thống B (vì nó không khởi đông kết nối).Nhưng chăng đời nào ATTACKER giả mạo IP của một hệ thông tồn tại ,chính vì thế mà hệ thống B sẽ chẳng bao giờ nhận được packet RST từ hệ thông C.Và lúc đó hệ thống B sẽ đặt kết nối này vào hàng đợi ( SYN_RECV).Do hàng đợi kết nối thường rất nhỏ attacker chỉ cần gửi vài packet SYN ( sau 10 giây thì có thể vô hiệu hóa hoàn toàn một cổng ).

======

Muốn biết mình có bị tấn công SYN flood không ban có thể dùng lênh :
Netstat -a
nếu thấy nhiều kết nối trong tình trạng SYN_RECV thì có nghĩa bạn đang bi tấn công.
Một số giải pháp :
- Tăng kích thước hàng đợi kết nối
-Giảm khoảng thời gian thiết lập kết nối
-tránh né tấn công syn flood bằng phần mềm
-IDS mạng<<< Reference : Ratholy@yahoo.co.uk]

======




[Gửi các gói OutOfBand qua cổng 139 – WinNuke còn gọi là “blue bomb” – bomb xanh hoặc bomb “buồn” …]


[Là một dạng của Ping Of Death, gửi một gói tin bị phân mảnh lớn tới hệ thống Win 2000 hoặc NT4 sử dụng qua lệnh jolt2 [IP bịp] -p 80 [IP victim], để khi victim nhận đc. sẽ bị lừa trả lại các gói ấy cho [IP bịp] kia …]


[Thông qua việc gửi các gói giao thức TCP, khiến crash hệ thống - ///error code: STOP 0x00000041 (0x00001000, 0x00001279, 0x000042A, 0x00000001) MUST_SUCCEED_POOL_EMPTY ///]


[Khiến hệ thống chạy hết công suất memory]


[Chạy 8 cuộc tấn công từ chối dịch vụ khác nhau là:

• Jolt bởi Jeff W. Roberson (sửa chữa bởi Mixter thêm tính năng overdrop)

• Land bởi m3lt

• Winnuke bởi _eci

• Nestea bởi humble và ttol - Nestea thâm nhập "off by one IP header" bug trong gói tin Linux IP bị phân mảnh. Nestea gây “crash” <= Linux 2.0.33 và vài bản Windows.

• Syndrop bởi PineKoan - Syndrop là sự hỗn hợp của teardrop và TCP SYN flooding.

• Teardrop bởi route|daemon9

• Bonk bởi route|daemon9 & klepto

• NewTear bởi route|daemon9 - NewTear là biến thể khác của teardrop.c … ]

IV. DDoS Tools:

a. Giới thiệu chung:


• Trinoo

o Gói UDP flood

o Không có address giả mạo

o Some bugs, nhưng điều khiển được đầy đủ tính năng

• TFN

o Some bugs, các tính năng điều khiển hạn chế

o Gói UDP flood ("trinoo emulation")

o Gói TCP SYN flood

o ICMP Echo flood

o Smurf

o Chọn ngẫu nhiên các IP address 32 bits ,hoặc 8 bits


• TFN2K


o Gần giống TFN, nhưng có thể ngẫu nhiên sử dụng tất cả vào 1 lúc

o Mã hoá hệ thống DDoS

o Điều khiển lưu lượng sử dụng UDP/TCP/ICMP

o Các nguồn address giả mạo cũng như TFN

• Stacheldraht/StacheldrahtV4



o Có bugs, nhưng điều khiển được đầy đủ tính năng

o Gần giống TFN .

o Các nguồn address giả mạo cũng như TFN/TFN2K

• Stacheldraht v2.666

o Có bugs

o Tấn công giống Stacheldraht

o Thêm TCP ACK flood

o Thêm TCP NUL (no flags) flood attack

o Thêm Smurf attack với bộ khuyếch đại 16,702.

o Các nguồn address giả mạo cũng như TFN/TFN2K



• Shaft

o Có bugs, nhưng điều khiển được đầy đủ tính năng

o Thêm phần thống kê

o UDP flood attack

o TCP SYN flood attack

o ICMP flood attack

o Chọn ngẫu nhiên 3 attacks

• Mstream

o “Many” bugs, các tính năng điều khiển hạn chế

o TCP ACK flood (rất hiệu quả)

o Ngẫu nhiên 32 bits IP address




Các cuộc tấn công DDoS đều đi theo trình tự:
[ Figure 1]

Daemon là các trình hoạt động kín (thường trong hệ thống UNIX), thực hiện các nhiệm vụ cần thiết ( như tiếp nhận các gói mail từ server hay gửi mail đi) mà người sử dụng hầu như không ý thức được nó.

b. Tools:




[ Là công cụ đầu tiên được biết đến đầu tiên, làm việc theo cách điều khiển từ xa, Attacker( dùng trương trình ) sẽ gọi đến chương trình Master và nó chỉ dẫn cho Daemon (đã giải thích ở trên) đồng loạt tấn công Victim.

Qua [Figure1] ta có thể giải thích ví dụ như sau trên Trin00 :

Attacker to Master(s): Port 27665/tcp
Master to daemon(s): Port 27444/udp
Daemon to Master(s): Port 31335/udp




-Việc Điều khiển từ xa Trinoo master thông qua công 27665/TCP .Sau khi kết nối attacker phải nhập vào password mặc định ("betaalmostdone").

-Liên lạc từ Trinoo Master đến Daemon thông qua công 27444/UDP
Command lines : arg1 password arg2
password mặc định sẽ là: "gOrave"
-Liên lạc giữa Daemon và Master thông qua cổng 31355/UDP
-Khi Daemon khởi động, trước tiên nó sẽ gửi "*HELLO*" tới cho Master,trong khi trờ sự điều khiển cua Master. (packet captured using "sniffit") -> Điều khiển daemons flood UDP.

Password mặc định giữa master và broadcast daemon là "l44adsl".

Dưới đây là 6 gửi đến master:

- - mtimer:

Chỉnh thời gian tấn công từ chối dịch vụ mục tiêu. Master gửi lệnh "bbb" tới broadcast. Như sau: "bbb l44adsl 300". (giá trị từ 1-> 1999 giây)

- - dos:

Tấn công 1 địa chỉ IP xác định. Như sau "aaa l44adsl 127.0.0.1"

- - mdie:

Vô hiệu hoá broadcasts nếu sai password. Như sau: "d1e l44adsl".

- - mping:

Gửi ping tới broadcasts. Master gửi lệnh "png" tới broadcast, và broadcast

Gửi trở lại gói "PONG" tới UDP port 31335 của master. Như sau: "png l44 adsl".

- - mdos:

Send nhiều lênh tấn công từ chối dịch vụ. Master gửi lệnh "xyz" tới broadcast. Như sau :"xyz l44adsl 123:10.1.1.1:10.1.1.2:10.1.1.3:".

- - msize:

Đặt kích thước đệm cho những gói tin được gửi đi trong thời gian tấn công từ chối dịch vụ trên mục tiêu. Như sau: "rsz l44adsl 300".

====

Lệnh trên daemons:

aaa pass IP----------------------------------------------------Tấn công đến địa chỉ IP đã xác định . GửI gói tin UDP (0-65534) đến cổng của UDP của địa chỉ IP đã xác định trong một khoảng thời gian xác định được mặc định là 120s hay từ 1-->1999 s .
bbb pass N-----------------------------------------------------Đặt thờI gian giới hạn cho các cuộc tấn công DOS .
Shi pass--------------------------------------------------------Gửi chuỗi “*HELLO*” tới dánh sách Master Server đã được biên dịch trong chương trình trên cổng 31335/UDP.
png pass-------------------------------------------------------Send chuỗi “Pong” tớI Master Server phát hành các lệnh điều khiển trên cổng 31335/UDP.
die pass--------------------------------------------------------Shutdown Trinoo.
rsz N------------------------------------------------------------Là kích thước của bộ đệm được dùng để tấn công , nó được tính bằng byte .
xyz pass 123:ip1:ip3----------------------------------------tấn công DOS nhiều mục tiêu cùng lúc .

<<Tham khảo>>

=====


Là một dạng của Trin00. Hoạt động giống theo [fig. 1]

-Điều khiển và thức thi trương trình của TFN đều dựa vào Command Line.
-Không đòi hỏi phải có password khi chạy client, dù phải cần thiết để lấy "IPLIST".
-Liên lạc từ TFN clien đến Daemon thông qua các packet ICMP_ECHO Reply

Cả client và daemon đều phải chạy trên root, và đều mở gói AF_INET trong chế độ

SOCK_RAW
-Khi chạy trương trình sẽ hiện bảng help cua TFN như sau :

tribe flood network (c) 1999 by Mixter

usage: ./tfn [ip] [port]
contains a list of numerical hosts that are ready to flood
-1 for spoofmask type (specify 0-3), -2 for packet size,
is 0 for stop/status, 1 for udp, 2 for syn, 3 for icmp,
4 to bind a rootshell (specify port)
5 to smurf, first ip is target, further ips are broadcasts
[ip] target ip[s], separated by @ if more than one
[port] must be given for a syn flood, 0 = RANDOM

================================================== =======

2 tools DDoS trên đều là cơ bản , trong bản Ethical Haking còn giới thiệu thêm

về TFN2K và Stacheldraht/StacheldrahtV4, tuy vậy đều không còn cần thiết, bản gốc không giới thiệu gì thêm về shaft và mstream.
----------------



V. Giải pháp phòng chống:


a. Thường xuyên cập nhật các bản vá lỗi và update hệ thống vd: update và bảo dưỡng bộ BIND trên DNS servers.

b. Triển khai thật cẩn thận những dịch vụ hệ thống mạng cần thiết.

c. Tìm, tách ra các hệ thống xâm nhập.

d. Tường lửa

e. Chống virus

f. Chính sách sử dụng, quản lý password.

g. Sử dụng các trình bảo mật để bảo vệ các tài liệu, tập tin quan trọng

h. Chú ý tới “Top 20” vulnerability và đánh giá các nguy cơ về hệ thống bảo mật.

i. Thường xuyên back-up

j. Nếu hệ thống bảo mật bằng các liên kết lỏng lẻo, cố gắng bảo vệ các máy từ xa bằng các trình tuờng lửa hoặc personal firewall/intrusion detection software.




IDS :


Sử dụng các trình Scan :


a. Find_DDoS

Phát hiện các trình tấn công từ chối dịch vụ sau:

* mstream master

* mstream server

* stacheldraht client

* stacheldraht daemon

* stacheldraht master

* tfn-rush client

* tfn client

* tfn daemon

* tfn2k client

* tfn2k daemon

* trinoo daemon

* trinoo master

Command như sau :

./find_ddos [-g grabdir] [-l logfile] [-p] [-v] [-V] [-x exclude1] [scandir]



b. SARA : Security Auditor's Research Assistant

primary_targets(s) can specify a:

host (e.g., www.microsoft.com),

range (e.g., 192.168.0.12-192.168.0.223)

subnet (e.g., 192.168.0.0/23)



Các trình còn lại, các bạn có thể tham khảo ở các đường link bên trên.









VI. Tổng kết:




Tấn công từ chối dịch vụ là phương pháp thường được sử dụng.

DDoS sử dụng nhiều các hệ thống máy (bị ma nhập – tức là attacker đã có thể điều khiển), là một phương pháp thường được sử dụng.

Các tools khác nhau trên thường dùng cho các hacker sử dụng vào mục đích xấu – tấn công từ chối dịch vụ có mục đích xấu.

Chống lại tấn công từ chối dịch vụ là khá khó khăn.

Nhiều chương trình quét khác nhau để chống lại tấn công từ chối dịch vụ đã đựợc dựng lên để viện trợ và bịt kín các lỗ hổng …

Giải pháp xác thực mạnh 2 yếu tố cho các dịch vụ trực tuyến trên Internet

I. ĐẶT VẤN ĐỀ
I.1 Xác thực danh tính trực tuyến

Trong thời đại bùng nổ các dịch vụ trên Internet như hiện nay, các tổ chức tài chính, ngân hàng, chứng khoán, bảo hiểm ngày càng cung cấp đa dạng các sản phẩm, dịch vụ trực tuyến của mình tới đông đảo khách hàng qua mạng Internet. Tuy vậy, bên cạnh những lợi ích mà các dịch vụ trực tuyến đem lại, các tổ chức tài chính phải đau đầu để tìm ra một giải pháp bảo mật tốt nhất và với chi phí hợp lý nhất mà vẫn bảo vệ được thông tin đăng kí của khách hàng khi họ tham gia vào các dịch vụ trực tuyến. Đây được coi là quyền lợi chính đáng của khách hàng và cũng là trách nhiệm không thể coi nhẹ của nhà cung cấp dịch vụ tài chính.

Một trong những thông tin quan trọng nhất của khách hàng để họ có thể truy cập dịch vụ và giao dịch tài chính là
Danh tính trực tuyến (Online Identity). Thông tin này được sử dụng để chứng thực một người đúng là khách hàng đã đăng kí với nhà cung cấp dịch vụ trước khi họ có thể truy cập và sử dụng bất cứ loại sản phẩm dịch vụ trực tuyến nào.Với mức độ quan trọng của Danh tính trực tuyến như vậy nên phần lớn các tấn công của Hacker đều nhằm vào việc là tìm cách để lấy cắp hoặc chiếm đoạt danh tính. Các tấn công có thể ở nhiều dạng như Phishing (hacker gửi một bức thư giả mạo nhà cung cấp để lừa khách hàng truy cập vào một Web site và từ đó khách hàng sẽ bị lộ thông tin cá nhân khi nhập các giá trị như Tên đăng nhập/Mật khẩu, Số tài khoản/Mật khẩu hoặc số thẻ tín dụng). Hoặc một số dạng tấn công khác như Brute force, Keylogger (Hacker ghi lại tất cả những gì khác hàng gõ lên bàn phím để từ đó lần ra mật khẩu, số tài khoản của họ). Thực tế cho thấy rằng các tấn công đánh cắp danh tính và hành vi lừa đảo trực tuyến đã thực sự gây lo ngại cho khách hàng và đã không ít lần gây là những tổn thất và hậu quả vô cùng nghiêm trọng cho những nhà cung cấp dịch vụ tài chính trực
tuyến.
Cho đến nay, hầu hết các ngân hàng, tổ chức tài chính, chứng khoán có các dịch vụ trực tuyến đã triển khai các hệ thống xác thực người dùng bằng UserName/Password được gọi là xác thực 1 yếu tố. Và họ cũng đã nhanh chóng nhận ra rằng các hệ thống xác thực 1 yếu tố đã không còn đủ mạnh để bảo vệ thông tin của khách hàng trước các tấn công ngày càng tinh vi của kẻ xấu. Bên cạnh đó, các yêu cầu về phát hiện, ngăn chặn những hành vi lừa đảo trực tuyến để giảm thiểu các rủi ro cho cả khách hàng và nhà cung cấp cũng đã được các tổ chức quản lý và giám sát hoạt động tài chính ép buộc phải thực thi.
Thực tế là hiện nay có rất nhiều công nghệ và phương pháp để xác thực danh tính trong giao dịch điện tử. Những phương pháp đó sử dụng mật khẩu, số định danh cá nhân, chứng chỉ số sử dụng PKI, các thiết bị bảo mật vật lý như Smart Card, mật khẩu dùng 1 lần (OTP), USB, yếu tố sinh trắc học để bảo vệ danh tính. Mức độ bảo mật phụ thuộc vào từng nhóm công nghệ và đối tượng hay những giao dịch cụ thể cần được bảo vệ. Tính đảm bảo của phương pháp xác thực dựa trên 3 yếu tố cơ bản sau:

1. Something a person knows: Thường được sử dụng là số PIN, mật khẩu
2. Something a person has: Được hiểu như các thiết bị vật lý: SmartCard, Token…
3. Something a person is: Được hiểu là những đặc tính sinh trắc học: Vân tay, mống mắt

Phương pháp xác thực nhiều yếu tố sẽ đảm bảo an toàn hơn phương pháp xác thực 1 yếu tố để chống lại nguy cơ lừa đảo. Sử dụng từ 2 yếu tố trở nên được gọi là Xác thực mạnh. Chi phí của việc đầu tư vào những hệ thống xác thực cũng tăng dần theo mức độ bảo mật của hệ thống. Mặc dù vậy, một hệ thống xác thực thành công không chỉ dựa vào yếu tố công nghệ mà còn phụ thuộc và rất nhiều những thành phần khác như: Các chính sách bảo mật, các hướng dẫn thực thi an toàn thông tin, khả năng quản lý và giám sát hệ thống. Và đặc biệt một hệ thống có hiệu quả thì phải được người dùng chấp nhận (tính dễ sử dụng/giá thành), đảm bảo tốt tính bảo
mật, tính mở rộng và tương thích với hệ thống ứng dụng hiện tại và tương lai.

I.2 Lựa chọn phương pháp xác thực phù hợp

Với sự bùng phát ngày càng tăng nguy cơ lừa đảo và mức độ rủi ro trong các giao dịch thương mại trực tuyến trên Internet, Hội đồng Kiểm toán Tài Chính Liên bang (FFIEC) được sự hỗ trợ của một loạt các ngân hàng hàng đầu trên thế giới đã soạn thảo một ấn phẩm vào năm 2001 có tên “Xác thực trong môi trường giao dịch ngân hàng điện tử, chứng khoán, bảo hiểm trực tuyến”. Mục tiêu của ấn phẩm này là để hướng dẫn thực thi những chính sách xác thực mạnh cho những tổ chức tài chính tham gia vào các dịch vụ và giao dịch điện tử. Nội dung của ấn phẩm đề cập đến những hậu quả khi mất cắp danh tính và các chỉ dẫn lựa chọn công nghệ xác thực mạnh phù hợp cho tổ chức tài chính:
“ Những kẻ lừa đảo đang khai thác điểm yểu bảo mật của khách hàng khi họ hoàn toàn tin tưởng và việc xác thực 1 yếu tố khi truy cập vào các dịch vụ trực tuyến của ngân hàng, chứng khoán, email và những website giao dịch điện tử. Các tổ chức tài chính nên cân nhắc từng yếu tố sau đề nâng cao tính đảm bảo cho các giao dịch trực tuyến chống lại nguy cơ đánh cắp danh tính:”

1. Nâng cấp hệ thống xác thực 1 yếu tố dựa trên Mật khẩu lên xác thực 2 yếu tố.
2. Sử dụng chương trình dò quét để xác định và ngăn chặn tấn công lừa đảo (phishing) lấy cấp thông tin nhạy cảm như mật khẩu, số thẻ tín dụng…
3. Đào tạo khách hàng để họ nhận thức thấu đáo về tính quan trọng và cần thiết của xác thực danh tính trong môi trường điện tử.
4. Nhấn mạnh tầm quan trọng trong việc chia sẻ thông tin và cộng tác giữa ngành công nghiệp dịch vụ tài chính, chính phủ với những nhà cung cấp công nghệ.

Trong bốn đề xuất ở trên, nếu chúng ta làm tốt được đề xuất thứ nhất thì khối lượng công việc được thực hiện trong đề xuất thứ 2 và thứ 3 được giảm đi rất nhiều.Theo hướng dẫn của FFIEC nhằm nâng tính bảo mật và đảm bảo tính khả thi khi đưa vào ứng dụng, xác thực 2 yếu tố là sự lựa chọn tối ưu cho các giao dịch và truy cập trực tuyến của ngành tài chính, ngân hàng, chứng khoán và bảo hiểm.

I.3 Xác thực 2 yếu tố

Xác thực 2 yếu tố (Two-factor authentication) là phương pháp xác thực yêu cầu 2 yếu tố phụ thuộc vào nhau để chứng minh tính đúng đắn của một danh tính. Xác thực 2 yếu tố dựa trên những thông tin mà người dùng biết (số PIN, mật khẩu) cùng với những gì mà người dùng có (SmartCard, USB, Token, Grid Card…) để chứng minh danh tính. Với hai yếu tố kết hợp đồng thời, tin tặc sẽ gặp rất nhiều khó khăn để đánh cắp đầy đủ các thông tin này. Nếu 1 trong 2 yếu tố bị đánh cắp cũng chưa đủ để tin tặc sử dụng. Phương pháp này đảm bảo an toàn hơn rất nhiều so với phương pháp xác thực truyền thống dựa trên 1 yếu tố là Mật khẩu/Số Pin.Ích lợi của việc chuyển từ hệ thống xác thực 1 yếu tố sang xác thực 2 yếu tố được mô tả như sau:
“ Hiếm khi trong lĩnh vực bảo mật, bạn chỉ cần làm một sự thay đổi mà có thể giải quyết được rất nhiều vấn đề liên quan tới điểm yếu bảo mật. Việc chuyển đổi sang hệ thống xác thực 2 yếu tố có khả năng giúp bạn làm được điều đó”
• Tấn công Phishing đã có những thành công nhất định trong việc đánh cắp Mật khẩu tĩnh của khách hàng. Nếu sử dụng xác thực 2 yếu tố thì việc đánh cắp mật khẩu tĩnh là vô nghĩa.
• Ắn cắp danh tính trong môi trường giao dịch trực tuyến sẽ trở lên khó khăn hơn khi danh tính đó được bảo vệ bằng 2 yếu tố thay vì 1 yếu tố (mật khẩu/số PIN) như trước đây.
• Trong giao dịch trực tuyến, tính chống từ chối và tính bí mật là một trong những yêu cầu cần thiết của khách hàng. Rất nhiều tổ chức tài chính đã sử dụng Chữ kí số được tạo ra từ hệ thống xác thực 2 yếu tố để đảm bảo cho các giao dịch.
• Xác thực 1 yếu tố trước đây mới chỉ đáp ứng được xác thực giữa nhà cung cấp dịch vụ với khách hàng mà không có khả năng ngược lại. Hệ thống xác thực 2 yếu tố sẽ giúp cho quá trình xác thực là tương tác 2 chiều, đảm bảo tối đa tính an toàn cho các giao dịch trực tuyến.
• Cuối cùng, cân nhắc tới việc giải thoát người dùng khỏi việc phải nhớ rất nhiều mật khẩu, phải nhớ thay đổi mật khẩu theo định kì và rất nhiều rắc rối khác khi chúng ta quên chúng. Một số dạng của xác thực 2 yếu tố có khả năng giúp ta thực hiện điều đó.
Đứng trước nhu cầu đó, rất nhiều công ty bảo mật đã phối hợp cùng các ngân hàng, tổ chức tài chính để phát triển những giải pháp, sản phẩm để bảo vệ thông tin có liên quan tới các hoạt động giao dịch trực tuyến. Công ty Entrust, công ty phần mềm chuyên trong lĩnh vực bảo mật và mã hoá thông tin, đã là một trong các công ty hiếm hoi trên thế giới giúp cho các ngân hàng đáp ứng được đầy đủ yêu cầu về bảo vệ danh tính và chống lại các hành vi lừa đảo trực tuyến. Bên cạnh đó, giải pháp bảo mật của Entrust đã được đánh giá là có chi phí đầu tư thấp nhất so với các giải pháp của một số hãng như RSA Security, Aladdin, ActiveCard, VASCO… và đặc biệt rất phù hợp cho triển khai với số lượng người dùng lớn như trong lĩnh vực ngân hàng, chứng khoán.

Dưới đây là đánh giá của Công ty Forrester Research (www.forrester.com), một công ty toàn cầu chuyên nghiên cứu thị trường và đánh giá các sản phẩm công nghệ

Điều gì đã làm nên sự thành công của Entrust, đó là Entrust đã nhanh chóng cung cấp các giải pháp bảo mật đáp ứng kịp thời các yêu cầu cụ thể cho những tổ chức tài chính, ngân hàng, chứng khoán trong việc bảo vệ thông tin khi giao dịch trực tuyến. Đặc biệt, giải pháp của Entrust có mức chi phí đầu tư tối ưu và dễ sử dụng nhất khi triển khai cho số lượng người dùng rất lớn là những khách hàng đang sử dụng các dịch vụ ngân hàng, tài chính, chứng khoán, bảo hiểm, …

Công ty Entrust đưa ra 2 bộ sản phẩm phần mềm Strong Authentication Platform và eFraud Detection để giải quyết 2 vấn đề:
• Xác thực mạnh 2 yếu tố để bảo vệ danh tính trực tuyến.
• Giám sát và ngăn chặn các hình thức lừa đảo trực tuyến để giảm thiểu rủi ro cho các giao dịch.
Entrust IdentityGuard là một sản phẩm phần mềm xác thực mạnh 2 yếu tố trong bộ giải pháp của Entrust được cấp bằng phát minh và đã giành được nhiều giải thưởng có uy tín trong lĩnh vực CNTT, bảo mật. Phần mềm này được coi là phần mềm nền tảng cho nhiều phương pháp xác thực mạnh có khả năng kết hợp với nhau nhằm vào đối tượng là khách hàng và doanh nghiệp sử dụng dịch vụ tài chính, chứng khoán trực tuyến. Entrust IdentityGuard hỗ trợ xác thực mạnh theo phân lớp cho từng nhóm đối tượng khách hàng hoặc cho từng loại giao dịch trong khi không làm gia tăng chi phí đầu tư triển khai.

II. ENTRUST IDENTITYGUARD – XÁC THỰC MẠNH 2 YẾU TỐ
II.1 Xác thực mạnh kết hợp nhiều phương pháp
Entrust IdentityGuard là một sản phẩm phần mềm xác thực mạnh trong bộ giải pháp của Entrust được cấp bằng phát minh và đã giành được nhiều giải thưởng có uy tín trong lĩnh vực CNTT, bảo mật. Phần mềm này được coi là phần mềm nền tảng cho nhiều phương pháp xác thực mạnh có khả năng kết hợp với nhau nhằm vào đối tượng là khách hàng và doanh nghiệp sử dụng dịch vụ tài chính trực tuyến. Entrust IdentityGuard hỗ trợ xác thực mạnh theo phân lớp cho từng nhóm đối tượng khách hàng hoặc cho từng loại giao dịch trong khi không làm gia tăng chi phí đầu tư triển khai.
Hình dưới đây mô tả được phần nào cái nhìn tổng quan về các tính năng và ích lợi của phần mềm Entrust IdentityGuard.

Có thể coi Entrust IdentityGuard là giải pháp phần mềm duy nhất hiện nay trên thế giới có khả năng kết hợp được nhiều phương pháp xác thực đồng thời trong cùng một phần mềm. Các phương pháp xác thực của Entrust IdentityGuard không những cho phép nhà cung cấp dịch vụ xác thực mạnh người dùng, mà còn giúp cho khách hàng có thể kiểm tra tính chân thật của các Web site trước khi họ nhập các thông tin cá nhân. Chính vì các khả năng đó, Entrust IdentityGuard đã nâng mức độ đảm bảo của giải pháp vượt xa các giải pháp xác thực hiện có trên thị trường, trong khi chi phí đầu tư không phát sinh và đặc biệt là rất phù hợp khi triển khai với số lượng người sử dụng lớn cho nhiều đối tượng khách hàng.Entrust IdentityGuard có thể cung cấp hai loại xác thực đồng thời là:
• Các phương pháp xác thực mạnh người dùng khi truy cập dịch vụ.
• Các phương pháp xác thực 2 chiều giúp người dùng có thể kiểm tra tính chân thật của các Web site dịch vụ trực tuyến.Chúng ta sẽ đi sâu hơn vào từng loại xác thực, đầu tiên là các phương pháp xác thực mạnh người dùng khi truy cập dịch vụ. Entrust hỗ trợ 6 lựa chọn phương pháp xác thực có thể thực hiện riêng lẻ hoặc kết hợp đồng thời, bao gồm:
• Xác thực người dùng bằng ma trận lưới ngẫu nhiên. Mỗi khách hàng sẽ được cấp một thẻ bảo mật trên đó in một ma trận hàng/cột với các giá trị trong các ô là chữ hoặc số ngẫu nhiên. Mỗi lần xác thực, khách hàng sẽ phải nhập một số giá trị trong ma trận theo các toạ độ, ví dụ A2, C4, F3 của ứng dụng yêu cầu. Các yêu cầu toạ độ này được thay đổi sau mỗi lần xác thực thành công và thay đổi ngẫu nhiên sao cho các giá trị mật khẩu là không bao giờ trùng nhau. Khách hàng sẽ tra trên thẻ bảo mật của mình sở hữu để nhập các giá trị tương ứng theo toạ độ được yêu cầu.
Kích thước hàng/cột của ma trận và độ dài của mật khẩu cho mỗi lần xác thực có thể thay đổi để phù hợp với từng chính sách bảo mật cụ thể. Với một ma trận hàng cột kích thước 5x10, và độ dài của mật khẩu là 3, khách hàng có thể dùng đến 19,600 mật khẩu động không trùng nhau. Ma trận hàng/cột có thể được in trên các thẻ ATM và được phát cho khách hàng.

• Xác thực người dùng bằng One-Time-Password Tokens: Entrust IdentityGuard cho phép các khách hàng sử dụng Entrust OTP Tokens (hoặc Vasco OTP Token – Token của hãng Vasco – www.vasco.com) để xác thực dựa trên mật khẩu động được tạo ra từ Token mà không phải mua thêm bất cứ phần mềm xử lý nào bổ sung.
• Xác thực theo thông tin cấu hình của các thiết bị cá nhân: Entrust IdentityGuard hỗ trợ xác thực dựa trên những thông tin cấu hình của các thiết bị như PC, Notebook, Server cho lần đầu tiên khi truy cập tới dịch vụ. Khi đó các thông tin cấu hình sẽ được lưu giữ trên Server xác thực và các lần sau đó khách hàng khi sử dụng thiết bị cá nhân đã đăng kí của mình sẽ không phải xác thực lại.
• Xác thực thông qua gửi OTP bằng SMS tới thiết bị mobile: Đây là một phương pháp tương đối phổ biến trong các giao dịch điện tử. Trước khi khách hàng xác nhận thực hiện một giao dịch, ví dụ như chuyển tiền…, hệ thống sẽ tạo ra một dãy chữ số và gửi tới số mobile của khách hàng đã đăng kí trước đó bằng một tin nhắn SMS. Sau khi nhận được, khách hàng sẽ nhập dãy số đó cùng với giao dịch để đảm bảo việc chuyển tiền đúng là của khách hàng.Phương pháp này giảm thiểu rủi ro khi khách hàng bị hacker chiếm quyền điều khiển.
• Xác thực dựa trên các thông tin cá nhân: Phương pháp này giúp các ứng dụng kiểm tra tính đúng đắn của khách hàng bằng những câu hỏi, câu trả lời mà khách hàng đã đăng kí với nhà cung cấp dịch vụ. Đây là thông tin cá nhân bí mật mà chỉ có khách hàng và nhà cung cấp mới có thể biết.
• Xác thực bằng số PIN tạm thời: Phương pháp xác thực này được sử dụng trong trường hợp khách hàng quên không mang thẻ lưới (phương pháp xác thực bằng thẻ lưới). Khi đó khách hàng có thể sử dụng một số PIN tạm thời để sử dụng. Số PIN tạm thời này có thể được sử dụng lại nhiều lần trong một khoảng thời gian do hệ thống xác thực đặt trước (ví dụ thời gian sử dụng số PIN tạm thời là 1 ngày). Số PIN tạm thời này cũng sẽ tự động hết hiệu lực sử dụng ngay khi khách hàng sử dụng lại thẻ lưới.

II.2 Xác thực mạnh 2 chiều chống Phishing, Pharming

Trong các dịch vụ trực tuyến, nhà cung cấp dịch vụ thường sử dụng cơ chế xác thực để đảm bảo tính đúng đắn về danh tính của khách hàng. Đối với giao dịch trực tuyến, xác thực một chiều đối với khách hàng là chưa đủ. Khách hàng cũng cần phải biết chắc chắn là nhà cung cấp dịch vụ mà họ đang giao dịch là đúng và không bị giả mạo. Để giải quyết được vấn đề này, Entrust IdentityGuard cung cấp một phương thức xác thực tính đúng đắn của website hoặc ứng dụng mà nhà cung cấp dịch vụ bằng cách đưa ra các thông tin để người dùng xác nhận đó là những thông tin mà chỉ có khách hàng và nhà cung cấp dịch vụ biết. Những thông tin này có thể là:
• Số Serial của thẻ lưới mà khách hàng đang sở hữu.
• Số Serial của thẻ cùng với một số các giá trị ngẫu nhiên trong ma trận thẻ lưới. Nếu các thông tin của Web site trả về hoàn toàn khớp với thông tin trên thẻ bảo mật, khách hàng có thể yên tâm về tính chân thực của Web site.

• Những thông điệp bí mật/hình ảnh đặc trưng mà chỉ có khách hàng và nhà cung cấp dịch vụ biết. Khách hàng phải cung cấp các thông tin này khi đăng kí sử dụng dịch vụ cả nhà cung cấp.

II.3 Khả năng tích hợp của Entrust IdentityGuard

Entrust IdentityGuard là một phần mềm Server cung cấp các dịch vụ xác thực để tích hợp vào các nhóm ứng dụng sau:
• Nhóm các ứng dụng truy cập từ xa (Remote Access, SSL VPN) qua RADIUS Protocol
• Nhóm các ứng dụng Windows (Windows Login, Outlook Web Access, Internet Authentication Services)
• Nhóm các ứng dụng Web qua các hàm API cho Java, C#, (.NET)
Hình dưới là mô hình tổng quát triển khai Entrust IdentityGuard

Chúng ta có thể thấy với một thành phần xác thực Server tập trung có thể quản lý và xử lý xác thực cho rất nhiều ứng dụng, phương tiện xác thực đồng thời. Entrust IdentityGuard Server được cài đặt trên Server, quản lý và xác thực tập trung cho 3 nhóm ứng dụng của các tổ chức tài chính và ngân hàng. Các ứng dụng truy cập từ xa hoặc nhóm ứng dụng trên Windows sẽ được cấu hình để chuyển các yêu cầu xác thực tới Entrust IdentityGuard Server. Đối với các ứng dụng Web, lập trình viên hoặc các nhà phát triển sẽ sử dụng các API do Entrust cung cấp để thực hiện chức năng xác thực và truy vấn thông tin trong Entrust IdentityGuard Server thông qua Web services.

Danh sách các phần mềm, thiết bị đã hỗ trợ tích hợp Entrust IdentityGuard

Về phía người sử dụng, mỗi khách hàng sẽ được phát thẻ bảo mật hoặc Token…và các phương tiện đó là duy nhất với mỗi người để sử dụng cho mỗi lần truy cập. Không một phần mềm nào được cài thêm trên các máy tính của khách hàng.

II.3.1 Mô hình tích hợp Entrust IdentityGuard cho công ty Chứng khoán

Việc tích hợp Entrust IdentityGuard cho công ty Chứng khoán chính là tích hợp vào các dịch vụ (ứng dụng Web) mà công ty Chứng khoán cung cấp tới Nhà đầu tư thông qua mạng Internet. Trong mô hình này, chúng tôi đưa ra ba phương pháp xác thực mà Entrust IdentityGuard hỗ trợ. Những phương pháp này dễ dàng trong việc tích hợp cho các lập trình viên, tăng mức độ bảo mật cho các dịch và thuận tiện cho Nhà đầu tư khi sử dụng. Đó là:
• Xác thực bằng thẻ lưới áp dụng cho quá trình đăng nhập vào Web site của công ty Chứng khoán.
• Xác thực bằng OTP Token (sử dụng Entrust OTP Token hoặc Vasco OTP Token Go6) áp dụng cho dịch vụ giao dịch chứng khoán (dịch vụ mua và bán Cổ phiếu) qua Internet.
• Xác thực bằng OTP gửi bằng tin nhắn SMS tới thiết bị mobile (điện thoại di động) của Nhà đầu tư áp dụng cho dịch vụ giao dịch chứng khoán (dịch vụ mua và bán Cổ phiếu) qua Internet.

Tùy thuộc vào qui mô của từng công ty Chứng khoán, mức độ rủi ro của từng dịch vụ mà công ty Chứng khoán có thể triển khai phương pháp xác thực thẻ lưới + OTP Token hoặc thẻ lưới + OTP gửi qua SMS hoặc cả ba phương pháp.

Các thành phần trong mô hình
• Nhà đầu tư: Nhà đầu tư có thể sử dụng các phương pháp xác thực thẻ lưới, OTP Token, OTP gửi bằng SMS để xác thực trước khi sử dụng một dịch vụ nào đó của công ty Chứng khoán.
• Nhà cung cấp dịch vụ:
o Gửi nhận tin nhắn SMS: có trách nhiệm gửi và nhận tin nhắn giữa Nhà đầu tư và công ty Chứng khoán.
o Internet: nơi đặt máy chủ Web của công ty Chứng khoán.
• Công ty Chứng khoán: nơi cung cấp các dịch vụ về chứng khoán cho Nhà đầu tư qua mạng Internet, mạng di động,…
o Máy chủ dịch vụ: cung cấp các dịch vụ giá trị gia tăng như: vấn tin, xem bảng giá, giao dịch chứng khoán, tư vấn,…
o Hệ thống core chứng khoán: là hệ thống phần mềm chuyên dụng trong lĩnh vực chứng khoán.
o Máy chủ xác thực: hệ thống này có trách nhiệm xác thực Nhà đầu tư trước khi họ tham ra vào một dịch vụ nào đó của công ty Chứng khoán.

II.3.2 Qui trình xử lý thông tin trong các phương pháp xác thực

Entrust IdentityGuard đóng vai trò tích hợp bổ sung yếu tố xác thực thứ 2 vào các ứng dụng cần xác thực mạnh. Đối với mỗi loại ứng dụng sẽ có những cơ chế tích hợp khác nhau. Đối với ứng dụng Web việc tích hợp sẽ thông qua các Web Services và hàm API xác thực của IdentityGuard cung cấp. Các lập trình viên sẽ customize bổ sung xác thực mạnh mà không làm thay đổi đến cấu trúc của ứng dụng. Sau khi đã tích hợp thành công, cơ chế làm việc sẽ như sau:

Qui trình sử dụng thẻ lưới khi đăng nhập vào Web site của công ty Chứng khoán:

• Nhà đầu tư sử dụng trình duyệt Web (FireFox hoặc IE) truy cập vào Web site của công ty Chứng khoán (được host trên Máy chủ Web), họ sẽ được ứng dụng yêu cầu nhập Mã tài khoản/Mật khẩu.

• Thông tin về Mã tài khoản/Mật khẩu được gửi về Máy chủ dịch vụ. Tại đây, dịch vụ xác thực có chức năng kiểm tra tính chính xác của thông tin này. Nếu Mã tài khoản/Mật khẩu của Nhà đầu tư là chính xác, dịch vụ xác thực sẽ gửi Mã tài khoản tới Máy chủ xác thực.

• Máy chủ xác thực sẽ sinh ra các câu hỏi về thẻ lưới tương ứng với Mã tài khoản nhận được và gửi câu hỏi về Máy chủ dịch vụ.

• Máy chủ dịch vụ sẽ chuyển câu hỏi tới máy chủ Web.
• Máy chủ Web sẽ thể hiện các câu hỏi đó trên màn hình ứng dụng (Ví dụ: [A1], [D3], [J3]). Việc ứng dụng đưa ra các giá trị này chính là việc ứng dụng của công ty Chứng khoán đang xác thực Nhà đầu tư
• Nhà đầu tư, trước khi trả lời những câu hỏi đó, họ cần phải xác thực lại ứng dụng của công ty Chứng khoán có phải là ứng dụng thật hay không bằng cách kiểm tra số serial trên thẻ lưới của mình với số serial trên màn hình ứng dụng. Nếu chúng giống nhau thì đó chính là ứng dụng thật được cung cấp bởi công ty Chứng khoán.
Khi đó Nhà đầu tư sẽ nhập giá trị tọa độ tương ứng. (Ví dụ: [A1]=P, [D3]=8, [J3]=9).

• Câu trả lời của Nhà đâu tư sẽ được chuyển tới Máy chủ xác thực. Sau khi kiểm tra, Máy chủ xác thực sẽ trả lại kết quả tới Nhà đầu tư thông qua Máy chủ dịch vụ và Máy chủ Web.
• Nếu kết quả kiểm tra đúng thì Nhà đầu tư sẽ đăng nhập thành công và có thể sử dụng các dịch vụ của công ty Chứng khoán (ví dụ: vấn tin tài khoản, thông tin về các công ty niêm yết cổ phiếu,…). Nếu sai thì Nhà đầu tư sẽ nhận được thông báo và nguyên nhân sai.

Qui trình sử dụng OTP Token khi đặt lệnh qua Web của công ty Chứng khoán:

• Trước khi sử dụng dịch vụ đặt lênh qua Web, Nhà đầu tư đã phải đăng nhập thành công vào Web site của công ty Chứng khoán.
• Nhà đầu tư nhập các thông tin cần thiết trong giao dịch đặt lệnh.

• Các thông tin này sẽ được gửi tới Máy chủ dịch vụ. Tại đây, dịch vụ đặt lệnh sẽ kiểm tra tính hợp lệ của các thông tin đó. Nếu các thông tin đều hợp lệ, Máy chủ dịch vụ sẽ gửi Mã tài khoản tới Máy chủ xác thực.
• Máy chủ xác thực sẽ lấy ra số serial Token tương ứng với Mã tài khoản và gửi tới Máy chủ dịch vụ.

• Máy chủ dịch vụ sẽ gửi thông tin này tới máy chủ Web.
• Máy chủ Web sẽ hiển thị số serial Token trên màn hình. Và yêu cầu nhà đầu tư nhập số OTP Token vào ô Số OTP Token• Nhà đầu tư sẽ kiểm tra số serial Token trên màn hình với Token của mình. Nếu chúng giống nhau. Nhà đầu tư sẽ bấm vào nút ở mặt trước Token để lấy số OTP.

• Nhà đầu tư nhập số OTP đó vào ô Số OTP Token trên màn hình.
• Giá trị này sẽ được gửi về Máy chủ xác thực thông qua Máy chủ dịch vụ để kiểm tra.

• Nếu kết quả kiểm tra đúng thì thông tin về phiên giao dịch đó sẽ được chuyển tới hệ thống core chứng khoán để xử lý. Nếu sai thì Nhà đầu tư sẽ nhận được thông báo và nguyên nhân sai.

Qui trình sử dụng OTP gửi bằng SMS khi đặt lệnh qua Web của công ty Chứng khoán:

• Trước khi sử dụng dịch vụ đặt lênh qua Web, Nhà đầu tư đã phải đăng nhập thành công vào Web site của công ty Chứng khoán. Nhà đầu tư phải đăng kí số di động cho công ty Chứng khoán.

• Nhà đầu tư nhập các thông tin cần thiết trong giao dịch đặt lệnh.
• Các thông tin này sẽ được gửi tới Máy chủ dịch vụ. Tại đây, dịch vụ đặt lệnh sẽ kiểm tra tính hợp lệ của các thông tin đó. Nếu các thông tin đều hợp lệ, Máy chủ dịch vụ sẽ gửi yêu cầu nhập số OTP gửi bằng SMS tới Máy chủ Web.

• Máy chủ Web sẽ đưa ra một giao diện Web, yêu cầu Nhà đầu tư nhập số OTP gửi bằng SMS. Và một nút Sinh OTP có chức năng sinh ra OTP gửi tới mobile phone của Nhà đầu tư.
• Nếu Nhà đầu tư chưa nhận được số OTP cho phiên giao dịch đó, họ bấm nút sinh OTP để lấy số OTP sẽ được gửi tới mobile phone của họ từ công ty Chứng khoán.

• Khi Nhà đầu tư bấm nút sinh OTP, yêu cầu này sẽ được gửi tới Máy chủ dịch vụ.
• Tại đây, dịch vụ xác thực sẽ gửi Mã tài khoản và yêu cầu đó tới Máy chủ xác thực. Máy chủ xác thực sẽ sinh ra một số OTP (thời hạn sử dụng, độ dài số OTP này được hệ thống xác thực thiết lập từ đầu ví dụ: thời hạn sử dụng là 5 phút, độ dài là 4 kí tự) và gửi tới Máy chủ dịch vụ.
• Tại Máy chủ dịch vụ, số OTP này sẽ được dịch vụ gửi tin nhắn SMS gửi tới nhà cung cấp dịch vụ SMS. Qua SMS Gateway, mạng di động, số OTP này sẽ tới mobile phone của Nhà đầu tư. Đồng thời dịch vụ xác thực cũng gửi yêu cầu tới máy chủ Web yêu câu Nhà đầu tư nhập số OTP đó vào ô Số OTP gửi qua SMS
• Nhà đầu tư sau khi nhận được số OTP dưới dạng một tin nhắn SMS sẽ nhập giá trị đó
vào ô Số OTP gửi qua SMS
• Giá trị này sẽ được gửi về Máy chủ xác thực thông qua Máy chủ dịch vụ để kiểm tra.
• Nếu kết quả kiểm tra đúng thì thông tin về phiên giao dịch đó sẽ được chuyển tới hệ thống core chứng khoán để xử lý. Nếu sai thì Nhà đầu tư sẽ nhận được thông báo và nguyên nhân sai.
Entrust IdentityGuard đóng vai trò tích hợp yếu tố xác thực thứ 2 để đưa hệ thống xác thực hiện có trở thành xác thực mạnh 2 yếu tố.

II.4 Các thành phần chính trong IdentityGuard Server

Entrust IdentityGuard Server chạy trên Server cài hệ điều hành Microsoft Windows Server 2003 hoặc RedHat Linux Advance Server 3.0 trở lên. Cơ sở dữ liệu sử dụng để lưu trữ các thông tin xác thực tuân theo các chuẩn LDAP như MS Active Directory hoặc DBMS như Oracle, IBM DB2 hoặc MS SQL 2000 Server. Tích hợp vào các ứng dụng phát triển được thực hiện thông qua các Web service và hàm API cho ngôn ngữ Java, C# .NET.
Với khả năng tương thích như vậy, Entrust IdentityGuard dễ dàng áp dụng triển khai vào các mô hình ứng dụng CNTT của tổ chức tài chính, chứng khoán và ngân hàng hiện nay.

Hình dưới mô tả các thành phần chính trong Entrust IdentityGuard Server bao gồm

Một số đặc điểm kĩ thuật của Entrust Token (AT Token):
• Tạo Mật khẩu dùng một lần (OTP) theo chuẩn DES (Data Encrytion Standard) và 3DES (triple DES).
• OTP được tạo theo yếu tố thời gian, sự kiện hoặc tổ hợp cả thời gian và sự kiện. Đảm bảo tính duy nhất của mật khẩu.
• Thời gian thay đổi mật khẩu 60s.
• Thời gian sử dụng Token từ 6 năm
• Mật khẩu OTP có độ dài là 8 kí tự số và được hiện thị trên màn hình LCD của thiết bị.
• Độc lập với hệ thống máy tính. Loại bỏ các nguy cơ bị phá hoại từ các hệ thống máy tính
• Trọng lượng rất nhỏ, 25 grams bao gồm cả pin. Kích thước 45 : 38 :11 mm (L:W:H)
• Thiết kế một nút bấm
• Trọng lượng và hình thức phù hợp với việc phải sử dụng thường xuyên và có khả năng mang bên mình như có thể dễ dàng đeo vào cổ, chùm chìa khoá.
• Có khả năng chống nước (độ sâu 1 mét).

Một số đặc điểm kĩ thuật của Vasco Token (Go6):
• Tạo Mật khẩu dùng một lần (OTP) theo chuẩn DES (Data Encrytion Standard), 3DES (triple DES) và AES
• OTP được tạo theo yếu tố thời gian có thể thiết lập theo yêu cầu của công ty Chứng khoán (từ 8s đến vài giờ, mặc định là 36s).
• Thời gian sử dụng 7 năm.
• Màn hình LCD hiển thị 8 kí tự số
• Độc lập với hệ thống máy tính. Loại bỏ các nguy cơ bị phá hoại từ các hệ thống máy tính
• Trọng lượng 14gram, Kích thước 62,7 : 25,9 : 9,8 mm (L:W:H)
• Thiết kế một nút bấm
• Trọng lượng và hình thức phù hợp với việc phải sử dụng thường xuyên và có khả năng mang bên mình như có thể dễ dàng đeo vào cổ, chùm chìa khoá
• Có khả năng chống nước (độ sâu 1 mét).
• Có khả năng chịu rơi (độ cao 1 mét).

II.5 Lập kế hoach triển khai Entrust IdentityGuard
II.5.1 Các công việc cần xem xét và thực thi

Trước khi lựa chọn mô hình triển khai phù hợp cho xác thực mạnh 2 yếu tố của Entrust IdentityGuard, chúng ta cần phải xem xét tới những yêu cầu thực tế của hệ thống như:
• Đánh giá mức độ quan trọng của các ứng dụng để cân bằng chi phí đầu tư.
• Xác định loại ứng dụng nào mà Entrust IdentityGuard sẽ bảo vệ?
o Ứng dụng Web.
o Truy cập Windows.
o Ứng dụng truy cập từ xa.
• Hạ tầng CNTT hiện có của tổ chức:
o Hạ tầng các thiết bị phần cứng, mạng.
o Các phần mềm ứng dụng hiện có, cơ sở dữ liệu…
• Số lượng người dùng cần quản lý cho các truy cập?
• Sử dụng mô hình phân phối thẻ bảo mật nào tới khách hàng? Entrust IdentityGuard hỗ trợ 2 mô hình cấp phát thẻ sau:
o Mô hình sản xuất thẻ trước khi khách hàng đăng kí.
o Mô hình cung cấp thẻ theo yêu cầu đăng kí của khách hàng.
• Xác định mô hình in ấn và bảo mật thẻ.

Thực thi:
• Xây dựng chính sách bảo mật và các hướng dẫn cụ thể để thực thi chính sách
o Những chích sách về bảo mật, xác thực.
o Hướng dẫn cụ thể những vấn đề về bảo mật đối với thẻ Entrust IdentityGuard
+ Sử dụng giao thức trao đổi dữ liệu nào khi giao dịch.
+ Kích thước của ma trân in trên thẻ là bao nhiêu. Độ lớn của mật khẩu như thế nào, số lần nhập sai mật khẩu tối đa là bao nhiêu.…
• Hướng dẫn cụ thể các yêu cầu kĩ thuật khi vận hành hệ thống
o Phân tách các nhóm máy PC, máy tính.
o Sử dụng máy chủ sao lưu dự phòng, máy chủ chia tải…
o Xây dựng hệ thống mạng (LAN, Intranet, VPN, Internet) đáp ứng yêu cầu của ứng dụng.
• Quản trị
o Có kế hoạch kiểm tra người dùng đến thời hạn phải thay thế thẻ.
o Rà soát các dữ liệu thẻ, người dùng không tồn tại trong quản lý của dịch vụ..
o Quản lý và cấp những số PIN tạm thời cho khách hàng truy cập dịch vụ khi
không có thẻ…
• Lập kế hoạch phân bổ con người.
o Nhóm quản trị hệ thống.
o Nhóm quản trị Cơ sở dữ liệu.
o Nhóm phát triển phần mềm (Lập trình trên Java, C#, .NET)
o Nhóm triển khai và hỗ trợ khách hàng.
• Từng bước triển khai thử nghiệm hệ thống.

III. DỰ TOÁN KINH PHÍ

Dự toán tổng kinh phí để triển khai và vận hành hệ thống xác thực mạnh Entrust IdentityGuard sẽ phụ thuộc vào các yếu tố sau:
• Loại ứng dụng nào sẽ được tích hợp xác thực
o Ứng dụng Web: Tích hợp Xác thực mạnh vào Code của ứng dụng
o Truy cập từ xa: VPN
o Login Windows…
Loại tích hợp vào ứng dụng Web yêu cầu phải có đội ngũ phát triển ứng dụng, họ sẽ sử dụng các Web Serivce và hàm API cho Java, C#, .NET của Entrust để thực hiện các công đoạn yêu cầu xác thực 2 yếu tố và xử lý những dữ liệu người dùng nhập.
Sau đó xác định ra phiên bản IdentityGuard Server nào sẽ được mua.
• Phương tiện xác thực nào sẽ được sử dụng. Nếu là sử dụng thẻ bảo mật thì các chi phí sau sẽ được cân nhắc:
o Chi phí các dịch vụ in ấn thẻ bảo mật
o Chi phí thay thế và cấp mới thẻ• Nếu phương tiện là các One-Time-Password Token. Chi phí sẽ phụ thuộc vào số
lượng Token dự kiến sẽ sử dụng.
• Ngoài ra còn một số các chi phí khác, cụ thể bao gồm:
o Chi phí tư vấn và xây dựng các chính sách bảo mật trong quá trình vận hành và sử dụng các phương tiện xác thực mạnh.
o Chi phí triển khai, cài đặt và thiết lập các chính sách bảo mật vào hệ thống.
o Chi phí đào tạo quản trị và hướng dẫn sử dụng
o Chi phí về phát triển tích hợp Xác thực mạnh vào code của các ứng dụng Web.
o Chi phí hỗ trợ trực tiếp của hãng được tính theo định kì hàng năm.
Đối với các dịch vụ ngân hàng trực tuyến như Internet Banking hoặc trong lĩnh vực chứng khoán, quá trình tích hợp xác thực mạnh sẽ bao gồm các công việc đầu tư như sau:
• Mua Entrust IdentityGuard Server for Consumer: Tính theo License Server
• Mua License cho từng users
• Xác định chi phí tích hợp Xác thực mạnh vào Code của ứng dụng Web: Dùng Java, C#, .NET
• Chi phí mua OTP Token nếu có yêu cầu.
• Chi phí in ấn thẻ ban đầu.
• Các chi phí dịch vụ hỗ trợ triển khai, đào tạo

IV. KẾT LUẬN

Sự phát triển nhanh chóng của các dịch vụ trực tuyến cũng như các giao dịch thương mại điện tử luôn kéo theo nguy cơ mất cắp thông tin và rủi ro trong giao dịch cho khách hàng và nhà cung cấp dịch vụ. Các hình thức tấn công, lừa đảo đánh cắp danh tính trực tuyến trên Internet ngày càng trở nên phong phú và tính vi dưới sự hỗ trợ của máy móc và công nghệ. Để bảo vệ quyền lợi cũng như giá trị tài sản của khách hàng, các nhà cung cấp dịch vụ tài chính sẽ phải thực thi những chính sách an toàn thông tin trước khi cung cấp dịch vụ tới khách hàng. Yêu cầu về xác thực trong các giao dịch điện tử cũng nằm trong những vấn đề cần ưu tiên hàng đầu.Ngày nay, xác thực 1 yếu tố đã trở nên không đảm bảo để chống lại những tấn công, giả mạo ăn cắp thông tin trực tuyến. Xác thực dựa trên 3 yếu tố thì đảm bảo tối đa tính bảo mật nhưng chi phí đầu tư vào các hệ thống này là rất cao. Trong khi đó, xác thức 2 yếu tố ngày càng trở nên phổ biến và được sử dụng rộng rãi do đảm bảo được tính bảo mật cùng với chi phí đầu tư phù hợp. Entrust IdentityGuard được coi là sự lựa chọn tối ưu khi xây dựng hệ thống xác thực mạnh 2 yếu tố cho các giao dịch thương mại trực tuyến.
Entrust IdentityGuard đảm bảo tính an toàn để chống lại các tấn công ăn cắp danh tính trực tuyến. Hỗ trợ xác thực mạnh cho cả phía khách hàng và nhà cung cấp dịch vụ. Có khả năng mở rộng, tích hợp cao, dễ sử dụng và với chi phí hợp lý. Cùng với công nghệ và chất lượng dịch vụ, Entrust và các sản phẩm bảo mật của mình đảm
bảo sẽ cung cấp những giải pháp tốt nhất để cho giao dịch thương mại điện tử trực tuyến.Hiện nay, Công ty Entrust đang hợp tác với nhà cung cấp các giải pháp bảo mật hàng đầu của Việt Nam là Công ty Phát triển Phần mềm và Hỗ trợ Công nghệ - MISOFT để cung cấp dịch vụ tư vấn, giải pháp cũng như sản phẩm xác thực tới Ngân hàng, tổ chức tài chính, chứng khoán và doanh nghiệp ở Việt Nam

Giải pháp an ninh bảo mật của Token RSA

0

Internet và mô hình thương mại điện tử
Với sự phát triển của mạng Internet hiện nay, các doanh nghiệp nhanh chóng nhận thấy lợi ích của việc sử dụng mạng Internet để mở rộng thêm mạng doanh nghiệp bao gồm cả các đối tác, nhà cung cấp và nhất là thông qua Internet, các doanh nghiệp có thể cung cấp các dịch vụ của mình đến với khách hàng thông qua các ứng dụng web.

Tuy nhiên, với việc mở rộng mạng doanh nghiệp đến nhiều đối tượng, doanh nghiệp bắt buộc phải cung cấp dữ liệu thông tin của mình cho các đối tượng đó. Do vậy, vấn đề đặt ra ở đây là khả năng đảm bảo an ninh mạng là một trong những yếu tố sống còn cho một doanh nghiệp khi áp dụng mô hình thương mại điện tử. An ninh mạng bao gồm rất nhiều các khía cạnh khác nhau. Một trong những khía cạnh được quan tâm nhất khi xem xét một hệ thống an ninh mạng là giải pháp xác thực (Authentication) người dùng. Xác thực là một quá trình mà đảm bảo cho một thực thể rằng phía đầu bên kia của kết nối đúng là đối tượng mà thực thể đó cần giao tiếp. Trong thế giới thực, chúng ta hoàn toàn có thể nhận biết một ai đó thông qua các đặc điểm sinh học như khuôn mặt, giọng nói hoặc thậm chí chỉ là hình dáng hay những dấu hiệu khác. Tuy nhiên, xác thực trên mạng lại là một vấn đề hoàn toàn khác bởi vì hai người làm việc với nhau trên mạng qua một khoảng cách lớn về địa lý, do vậy cần có những giải pháp xác thực trên mạng.

Các doanh nghiệp khi mở rộng hệ thống mạng của mình đến với nhiều đối tượng thì cần phải có khả năng phân quyền (Authorization) một cách thích hợp và chính xác. Phân quyền là các quy định về khả năng truy cập dữ liệu của một tổ chức hay nối cách khác là các quy định về việc những đối tượng nào sẽ được truy cập vào những thông tin nào. Ở đây, chúng ta lại thấy vai trò của vấn đề xác thực. Nếu không có một giải pháp xác thực đảm bảo thì việc phân quyền cũng sẽ không thể thực hiện được một cách đúng đắn.

Giải pháp xác thực bằng mật khẩu

Có lẽ hầu hết trong số chúng ta đều đã từng sử dụng Internet, E-Mail hoặc đăng nhập (Login) và một hệ thống mạng nào đó. Khi đăng nhập vào các hệ thống trên, tất cả những cái mà chúng ta cần là một Tên truy cập (Username) và một Mật khẩu (Password) gắn với tên truy cập đó. Để đăng nhập vào hệ thống, chúng ta chỉ cần cung cấp cho hệ thống tên truy cập và mật khẩu là đủ. Tên truy cập là hoàn toàn công khai trong khi mật khẩu nhất thiết phải được giữ kín. Giải pháp xác thực này có những ưu nhược điểm của nó. Ưu điểm của nó là:

· Đơn giản, dễ sử dụng.

· Không cần thêm bất cứ một phần mềm hoặc phần cứng nào.

Tuy nhiên, giải pháp xác thực này cũng có những nhược điểm như sau:

· Dễ bị giả mạo: chỉ cần biết được mật khẩu của ai đó, hacker hoàn toàn có thể mạo danh người đó để thực hiện các giao dịch trên mạng hoặc đăng nhập vào hệ thống để tiến hành phá hoại hay đánh cắp thông tin.

· Dễ bị đánh cắp: một mật khẩu thông thường là được dùng nhiều lần, do vậy chỉ cần những phần mềm đơn giản (có thể tải được một cách dễ dàng từ Internet), một hacker có thể chặn bắt được các gói tin trên mạng và lấy cắp được mật khẩu người sử dụng. Người dùng cũng hay có xu hướng là sử dụng những mật khẩu đơn giản, dễ nhớ và cũng chỉ có một vài mật khẩu để sử dụng quay vòng và kết quả là rất dễ bị đoán biết. Các phần mềm spyware hiện nay rất phổ biến và được nguỵ trang rất kỹ nên đa số người sử dụng khó có thể nhận biết được. Những chương trình như Keyboard logging sẽ ghi lại những gì người dùng gõ từ bàn phím và gửi đến cho chủ nhân của nó.

· Quản lý khó khăn: với nhiều hệ thống, người sử dụng phải sử dụng nhiều mật khẩu, do vậy, vấn đề quản lý mật khẩu trở nên phức tạp. Một hệ thống mạng hiện nay bao gồm rất nhiều các ứng dụng và dịch vụ chạy trên nó (VD: các phần mềm kế toán, quản lý,..., các dịch vụ E-Mail, nhắn tin,...). Với mỗi một ứng dụng hoặc dịch vụ đó, thường là người sử dụng lại cần phải có thêm một mật khẩu để sử dụng. Do vậy, với số lượng mật khẩu nhiều, người sử dụng sẽ hay ghi lại (save password) ngay trong máy tính, viết ra giấy hoặc thậm chí không sử dụng mật khẩu. Điều này đặc biệt nguy hiểm trong môi trường sử dụng chung máy tính.

· Chi phí cao: trong một mạng doanh nghiệp lớn, sẽ có rất nhiều yêu cầu tới bộ phận hỗ trợ kỹ thuật về các vấn đề liên quan đến mật khẩu và hầu hết trong số đó sẽ là do người sử dụng quên mật khẩu, mật khẩu bị hết hạn sử dụng,...Trước khi bộ phận hỗ trợ kỹ thuật giải quyết được vấn đề, người sử dụng sẽ không thể đăng nhập được vào hệ thống và do vậy sẽ không thể làm việc được dẫn đến giảm năng suất lao động. Tất cả những điều này làm chi phí của giải pháp xác thực bằng mật khẩu trên thực tế là rất cao

Với tất cả những nhược điểm trên, chúng ta có thể thấy rằng xác thực bằng mật khẩu không thể đảm bảo được an toàn và độ tin cậy nhất là trong những lĩnh vực nhậy cảm như ngành ngân hàng, tài chính, bưu điện, dịch vụ y tế,... nơi mà những thông tin cần phải được giữ bí mật tuyệt đối . Người sử dụng thậm chí có thể khởi kiện những tổ chức cung cấp dịch vụ do những thông tin cá nhân của họ bị tiết lộ. Trong một hội thảo về an ninh mạng do hãng RSA tổ chức vào tháng 2 năm 2004, ngay cả chủ tịch Microsoft, Bill Gate cũng đã phát biểu là xác thực người dùng bằng mật khẩu hiện nay là không an toàn.

Giải pháp xác thực hai yếu tố SecurID của RSA (Two – Factors Authentication)

Với việc sử dụng giải pháp xác thực truyền thống là không an toàn, người ta cần những giải pháp xác thực tốt hơn trong môi trường kinh doanh hiện nay. Một giải pháp xác thực chỉ được gọi là tốt khi mà nó đáp ứng được những yêu cầu chủ yếu sau:

· Chi phí thấp

· Dễ dàng, thuận tiện cho người sử dụng và sử dụng được trong nhiều hệ thống
. Khả năng mở rộng và tương thích với các hệ thống khác tốt
Để đáp ứng được những yêu cầu mới về an ninh mạng hiện nay, RSA đã đưa ra một giải pháp xác thực người dùng được gọi là giải pháp xác thực dựa trên hai yếu tố SecurID.

Chúng ta hãy cùng xem xét một ví dụ sau (Hình 1): một ai đó muốn rút tiền từ một máy ATM, anh/chị ta cần phải có đủ hai yếu tố sau: (a) một thẻ ATM (ATM card) và (b) là một mã số cá nhân hay còn được gọi là PIN (Personal Identification Number). Ở đây, nếu một ai đó muốn rút được tiền của người khác thì bắt buộc phải có đủ cả hai yếu tố này là thẻ ATM và số PIN. Nếu chủ sở hữu có bị mất thẻ thì người cầm thẻ cũng không thể rút được tiền ra hay nếu có đánh cắp được số PIN thì cũng phải có thẻ ATM mới có thể tiến hành rút tiền được. Đây cũng là một giải pháp xác thực người dùng hai yếu tố. Hai yếu tố ở đây là: thẻ ATM (cái mà bạn có) và số PIN (cái mà chỉ có bạn biết). Giải pháp xác thực hai yếu tố SecurID của RSA cũng hoạt động theo nguyên tắc trên: để đăng nhập vào hệ thống, bạn phải có đủ hai yếu tố: cái mà bạn biết và cái mà bạn có.

Giải pháp RSA SecurID^® gồm có ba thành phần:

· RSA SecurID^® Authenticators: Là thiết bị được gắn với người sử dụng. Chúng có thể là phần cứng hoặc phần mềm và được gọi là các Token. Nếu là phần mềm, chúng có thể được cài đặt lên máy tính xách tay hoặc các thiết bị cầm thay khác như PDA, Wireless Phone, .... Các thiết bị này tạo ra các con số khác nhau trong một khoảng thời gian nhất định. Khách hàng có thể lựa chọn thiết bị phù hợp với nhu cầu của mình.

. RSA ACE/Agent Software: là phần mềm được cài lên trên các điểm truy cập vào mạng (Ví dụ: gateway, VPN, Remote Access Server,...), các máy chủ (server) và các tài nguyên thông tin cần được bảo vệ của doanh nghiệp. Nó hoạt động giống như là một người gác cửa. Khi có yêu cầu đăng nhập của người sử dụng gửi đến, nó sẽ tiếp nhận và chuyển những thông tin đăng nhập tới máy chủ có thành phần RSA ACE/Server để thực hiện xác thực. Hầu hết các sản phẩm router, remote access server, firewall, VPN, wireless access,... của các hãng sản xuất hàng đầu trên thế giới đều đã tích hợp sẵn thành phần này trong các sản phẩm của mình. Đây là một lợi ích vô cùng quan trọng cho giải pháp RSA SecurID.

· RSA ACE/Server: là thành phần quản trị của giải pháp RSA SecurID được sử dụng để kiểm tra các yêu cầu xác thực và quản trị tập trung chính sách xác thực của trên toàn mạng doanh nghiệp.RSA ACE/Server có thể được mở rộng theo bất cứ nhu cầu nào của doanh nghiệp. RSA ACE/Server có khả năng xác thực được hàng triệu người sử dụng, xác thực người dùng trong mạng cục bộ, người dùng truy cập từ xa, người dùng qua VPN,...RSA ACE/Server tương thích hoàn toàn với các thiết bị mạng, RAS, VPN, Access Point,... của tất cả các hãng sản xuất lớn trên thế giới. Do vậy, với giải pháp SecurID của RSA, người dùng hoàn toàn không phải lo lắng tới vấn đề tương thích.

Giải pháp xác thực RSA SecurID hoạt động như thế nào?

Như đã đề cập ở trên, SecurID bao gồm ba thành phần. Thành phần RSA SecurID Authenticator hay còn được gọi là Token sẽ được trao cho người sử dụng. Thành phần này có nhiều loại khác nhau (là hardware token hoặc software token) nhưng đều có một chức năng là tạo ra những chuỗi số khác nhau sau một khoảng thời gian nhất định (Thông thường là một phút).

Giả sử một người sử dụng trong hệ thống được cấp phát một Token, khi đăng nhập vào hệ thống, người sử dụng này sẽ được yêu cầu nhập tên đăng nhập (VD: JSMITH) và một dẫy số được gọi là Passcode. Dẫy số này gồm có hai thành phần là số PIN và dẫy số xuất hiện trên token (Token code) của người đó vào thời điểm đăng nhập. Tất cả các thông tin (Tên đăng nhập và Passcode) này được thành phần RSA ACE/Agent tiếp nhận và thành phần này sẽ lại gửi những thông tin này đến RSA ACE/Server. Server này sẽ có số PIN của người sử dụng trong cơ sở dữ liệu của nó. Ngoài ra, nó cũng có một cơ chế cho phép nó tính toán ra một dẫy số của nó. ACE/Server sẽ ghép số PIN trong cơ sở dữ liệu và dẫy số của nó với nhau sau đó .

so sánh với Passcode của người sử dụng cung cấp. Nếu hai dẫy số này giống nhau, người dùng được xác thực là hợp lệ và được quyền đăng nhập vào mạng. Trong trường hợp ngược lại, quyền truy cập sẽ bị từ chối. Hoặc được chấp nhận truy cập hoặc không, những thông tin này sẽ được RSA ACE/Server gửi đến người sử dụng thông qua thành phần RSA ACE/Agent.

Cơ chế để RSA ACE/Server tính toán được một dẫy số của nó để so khớp với dẫy số trên token của người sử dụng là tương đối đơn giản. Như được minh hoạ trên hình 4, để tạo ra được dẫy số thay đổi sau mỗi khoảng thời gian, một token sẽ có những thành phần sau:

· Một đồng hồ bên trong (Tính theo giờ UTC).

· Một số Seed có độ dài 64 hoặc 128 bits.

· Thuật toán tạo số giả ngẫu nhiên

Với hai yếu tố là thời gian và số seed, sau khi áp dụng thuật toán tạo số giả ngẫu nhiên, token sẽ có một con số xuất hiện trên màn hình của nó (token code) và sau một khoảng thời gian xác định, thuật toán này lại tạo ra được một con số khác ứng với thời gian đó. Thuật toán này luôn tạo được những con số thay đổi theo thời gian và không lặp lại. Do vậy, việc dự đoán trước con số sẽ xuất hiện tiếp theo hoặc con số sẽ xuất hiện tại một thời điểm nào đó trong tương lai là không thể (chỉ có thể thực hiện được khi có số seed và thuật toán).

Khi gán một token cho một người sử dụng, quản trị mạng cũng sẽ phải cập nhật số seed của token đó vào cơ sở dữ liệu của RSA ACE/Server tương ứng với người dùng. Trên RSA ACE/Server cũng có một chương trình chạy thuật toán tạo số giả ngẫu nhiên giống với trên token. Khi có yêu cầu đăng nhập của người sử dụng, căn cứ vào tên đăng nhập, căn cứ vào đồng hồ hệ thống, căn cứ vào số seed được lưu trong cơ sở dữ liệu, khi chạy thuật toán tạo số giả ngẫu nhiên, RSA ACE/Server cũng sẽ có được một dẫy số giống với dẫy số trên token của người sử dụng tại cùng một thời điểm. Dãy số này được ghép với số PIN của người sử dụng trong cơ sở dữ liệu, RSA ACE/Server có thể kiểm tra được người sử dụng này có hợp lệ hay không.

Điều gì sẽ xảy ra khi đồng hồ trên token và đồng hồ trên RSA ACE/Server không giống nhau? Trong thực tế thì điều này luôn luôn xảy ra. Tuy vậy, RSA ACE/Server luôn ghi nhận lại một sự sai lệch về thời gian giữa nó và từng token khi đăng nhập và RSA ACE/Server sẽ chấp nhận bất cứ passcode nào của người sử dụng nằm trong khoảng thời gian sai lệch đó. Ví dụ, nếu RSA ACE/Server ghi nhận sự sai lệch của một token với nó là một phút thì nó sẽ chấp nhận bất cứ passcode nào của người sử dụng mà rơi vào khoảng thời gian trước thời điểm đăng nhập một phút, tại đúng thời điểm và sau thời điểm đó một phút. Khoảng thời gian sai lệch tối đa cho phép có thể thay đổi được trên RSA ACE/Server.

Như được mô tả trên hình 2, token của người sử dụng có rất nhiều loại khác nhau. Căn cứ vào nhu cầu thực tế, một tổ chức khi triển khai giải pháp xác thực RSA SecurID có thể lựa chon thiết bị phù hợp nhất với yêu cầu của mình. Thành phần RSA ACE/Agent có thể được cài lên rất nhiều điểm khác nhau trong hệ thống. Nó có thể được cài lên các điểm truy cập vào mạng như gateway, RAS, VPN,... cũng như cài lên các server Windows, Novell,...và được tích hợp sẵn trong tất cả các sản phẩm của các hãng sản xuất lớn như Microsoft, Nokia, CheckPoint, Cisco, Nortel...Thành phần RSA ACE/Server thực sự là thành phần quan trọng nhất của giải pháp. Để có thể hoạt động được liên tục và thuận lợi cho quá trình xác thực người sử dụng, RSA ACE/Server có thể được cài lên trên nhiều server trong đó có một máy đóng vai trò chính (ACE/Server Primary ) và các máy còn lại đóng vai trò bản sao (ACE/Server Replica). Các máy bản sao có thể được đặt phân tán và luôn được đồng bộ với máy chính. Khi máy chính không thể hoạt động, một máy bản sao nào đó có thể được nâng cấp lên thành máy chính. Quá trình hoạt động không hề bị dán đoạn.

Qua cấu trúc cũng như nguyên lý hoạt động của giải pháp RSA SecurID, ta thấy nó có những ưu điểm sau:

· Độ an toàn cao: được xác thực dựa trên hai yếu tố (PIN + Token code) và luôn thay đổi, khi một ai đó có chặn bắt được passcode của người sử dụng thì cũng thể sử dụng nó để đăng nhập vào hệ thống. Do vậy, nó khắc phục được một nhược điểm rất lớn của xác thực bằng password là chỉ cần chặn bắt được password là có thể sử dụng để đăng nhập.

· Quản lý password: đây là một nhược điểm cố hữu của password. Nhưng đối với SercurID, do được xác thực tập trung trên RSA ACE/Server và ACE/Agent có thể được cài đặt tại rất nhiều điểm, chí cần sử dụng một token là người sử dụng có thể xác thực được tại bất cứ đâu trong mạng, tránh được việc phải sử dụng nhiều password.

· Thuận tiện: với nhiều lựa chọn cho thành phần RSA SecurID Authenticator, người sử dụng có thể lựa chọn được thành phần thích hợp nhất cho mình.

· Khả năng mở rộng: với việc được cài đặt RSA ACE/Server lên nhiều máy chủ, một tổ chức có nhiều chi nhánh có thể cung cấp khả năng xác thực thông qua một máy chủ bản sao được đặt ngay tại chi nhánh thay vì phải sử dụng những kết nối đắt tiền về trung tâm để xác thực. Người dùng SecurID của tổ chức này cũng có thể đăng nhập thông qua một tổ chức khác miễn là RSA ACE/Server của hai tổ chức này tin cậy (Trusted) lẫn nhau.

· Tích hợp với hệ điều hành MS Windows: không chỉ bảo vệ người dùng khi truy cập vào trong mạng, khi truy cập vào ngay trong máy tính cá nhân (Windows logon), RSA SecurID cũng được kích hoạt để bảo vệ máy tính người dùng. Giờ đây, password để truy cập vào máy tính cá nhân sẽ được thay bằng passcode. Đây là một trong những tính năng mới nhất của giải pháp này và điều này đảm bảo mọi tài nguyên thông tin trong doanh nghiệp đều được bảo vệ.

· Hoạt động liên tục: khi một máy chủ chính không thể hoạt động được, một máy chủ bản sao sẽ được nâng cấp lên thành máy chủ chính. Điều này đảm bảo hệ thống hoạt động được liên tục và ổn định.

· Chi phí thấp: với việc không phải sử dụng và quản lý quá nhiều password, người sử dụng sẽ không phải yêu cầu hỗ trợ từ bộ phận kỹ thuật, do vậy, chi phí cho hỗ trợ kỹ thuật giảm và năng suất lao động tăng lên.

Với các ưu điểm trên, chúng ta thấy rằng giải pháp xác thực người sử dụng RSA SecurID thực sự là một giải pháp rất tối ưu. Trong một hệ thống, với những cá nhân có quyền truy cập vào các thông tin quan trọng và nhậy cảm như lãnh đạo tổ chức, phòng kế toán, các quản trị hệ thống,... thì sử dụng giải pháp xác thực này sẽ giảm thiểu đến mức thấp nhất các nguy cơ như bị đánh cắp thông tin hay phá hoại xuống đến mức thấp nhất.