LỜI NĨI ĐẦU
Khố luận trình bày về bảo đảm ATTT trong kiểm soát truy nhập. Khoá
luận tập trung vào một số phương pháp kiểm sốt truy nhập, một số chính sách
truy cập, và một số kĩ thuật kiểm soát truy nhập.
Nội dung của khoá luận gồm:
Chương 1: Tập trung vào trình bày một số khái niệm cơ bản liên quan đến
ATTT như: hệ mã hố, chữ kí điện tử, hàm băm. Ngồi ra, cũng trình bày một
cách tổng quan về vấn đề ATTT như: các yêu cầu và giải pháp bảo đảm ATTT.
Đồng thời cũng nêu ra các bài toán ATTT.
Chương 2: Cho chúng ta những hiểu biết chung về vấn đề kiểm soát truy
nhập. Phần này, tập trung vào trình bày một số phương pháp kiểm sốt truy
nhập, chính sách truy nhập, và kĩ thuật kiểm sốt truy nhập.
Trình bày 2 phương pháp thường được sử dụng trong kiểm sốt truy nhập,
đó là kiểm sốt truy nhập “trực tiếp” và kiểm sốt truy nhập “tự động”.
Trình bày một số chính sách kiểm sốt truy nhập. Ở phần này, cho chúng
ta cái nhìn tổng quan về các chính sách kiểm sốt truy nhập.
Tiếp theo, khố luận trình bày 5 kĩ thuật kiểm sốt truy nhập. Đó là, hệ
thống nhận dạng và xác thực, tường lửa, mạng riêng ảo, hệ thống phát hiện và
ngăn chặn xâm nhập, và tường lửa ứng dụng web. Ở phần này, ngồi việc cho
chúng ta có những khái niệm cơ bản, còn chỉ ra những ưu nhược điểm của từng
kĩ thuật.
Trong q trình hồn thành đồ án tốt nghiệp, người viết khơng tránh khỏi
thiếu sót. Rất mong nhận được sự đóng góp ý kiến của thấy cô và các bạn.

LUAN VAN CHAT LUONG download : add
1


Bảng danh mục các từ, thuật ngữ
ACL (Access Control List)

Danh sách kiểm sốt truy cập.

ATTT

An tồn thơng tin.

CA (Certificate Authourity)

Tổ chức cấp chứng chỉ

Cisco ACL

Danh sách kiểm soát truy cập của
Cisco

CSDL

Cơ sở dữ liệu

DAC (Discretionary Access Control)

Kiểm soát truy cập tuỳ quyền.

DDoS (Distrubuted DoS)

Từ chối dịch vụ phân tán.

DES (Data Encrytion Standard)
DoS ( Denial of Service)


Từ chối dịch vụ.

DSS (Digital Signature Standard)
FTP (File Transfer Protocol)

Giao thức truyền file.

gcd (greatest common divion)

Ước số chung lớn nhất

HIDS (Host IDS)
HTTP (Hypertext Transfer Protocol)
ICMP

(Internet

Control

Giao thức truyền siêu văn bản.

Message Giao thức kiểm sốt thơng điệp mạng.

Protocol)
IDS (Intrustion Detect System)
IETF

(Internet

Engineering


Hệ thống phát hiện xâm nhập.
Task

Force)
IPS (Intrustion Prevent System)

Hệ thống ngăn chặn xâm nhập.

LUAN VAN CHAT LUONG download : add
2


ISP (Internet Service Providers)

Nhà quản lí thiết bị mạng.

LBAC (Lattice Based Access Control)

Kiểm soát truy cập dùng lưới.

MAC (Mandatory Access Control)

Kiểm soát truy cập bắt buộc.

NIC (Network Interface Card)

Card giao tiếp mạng.

NIDS (Network base IDS)

PIN (Personal Identification Number )

Số định danh cá nhân

PKI (Public Key Infrastructure)

Hạ tầng cơ sở khoá cơng khai.

RBAC (Role Base Access Control)

Kiểm sốt truy cập trên cơ sở vai trò.

SNMP (Simple Network Managerment Giao thức quản lí mạng.
Protocol)
SSL (Secure Socket Layer)

Khe cắm an tồn.

SYN (Synchronize)

Đồng bộ.

TA (Trusted Authority)

Cơ quan uỷ thác cấp chứng thực.

TCP (Transmission Control Protocol)
TCP/ IP (Transfer Control Protocol/
Internet Protocol)
UDP (User Datagram Protocol)

URL (Uniform Resource Locator)
WAF (Web Application Firewall)

Tường lửa ứng dụng web.

LUAN VAN CHAT LUONG download : add
3


CHƯƠNG 1: MỘT SỐ KHÁI NIỆM CƠ SỞ
1.1 KHÁI NIỆM MÃ HỐ.
1.1.1 Hệ mã hóa.
Hệ mã hóa là bộ gồm 5 thành phần (P, C, K, E, D) trong đó:
P (Plaintext): tập hữu hạn các bản rõ có thể.
C (Ciphertext): tập hữu hạn các bản mã có thể.
K (Key): tập hữu hạn các khóa có thể.
E (Encrytion): tập các hàm lập mã có thể.
D (Decrytion): tập các hàm giải mã có thể.
Với mỗi k ∈ K, có hàm lập mã ek ∈ E, ek : P → C và hàm giải mã dk∈ D,
dk: C → P sao cho dk(ek(x)) = x , ∀ x ∈ P.
Mã hóa cho ta bản mã ek(P)= C.
Giải mã cho ta bản rõ dk(C)= P.

1.1.2 Một số hệ mã hóa thường dùng.
Hệ mã hóa đối xứng là hệ mã mà khi ta biết khóa lập mã, “dễ” tính được
khóa giải mã và ngược lại. Trong nhiều trường hợp khóa lập mã và giải mã là
giống nhau. Hệ mã hóa đối xứng yêu cầu người nhận và gửi phải thỏa thuận
khóa trước khi thơng tin được gửi đi. Khóa này phải được giữ bí mật, độ an tồn
của hệ phụ thuộc vào khóa. Nếu khóa bị lộ thì rất dễ giải mã.
Một số hệ mã hóa đối xứng: DES, RC2, RC4, RC5, IDEA, ...


LUAN VAN CHAT LUONG download : add
4


Hệ mã hóa phi đối xứng là hệ mã mà khi biết khóa lập mã, khó” tính được
khố giải mã và ngược lại .
Hệ trên còn được gọi là hệ mã hóa khóa cơng khai vì khóa để mã hóa là
cơng khai. Ta dùng khóa cơng khai này để mã hóa thơng điệp, nhưng chỉ người
có khóa giải mã mới có thể đọc được thơng điệp.
Một số hệ mã hố phi đối xứng: RSA, Elgamal, ...
Ví dụ:
Hệ mã RSA (Rivest, Shamir, Adleman ).
Mã RSA được đề xuất năm 1977, bài tốn dựa trên tính “khó giải” của bài
tốn phân tích một số ra các thừa số nguyên tố.
Để xây dựng hệ mật mã khố cơng khai RSA, ta chọn trước một số
nguyên n = p.q, với p và q là 2 số nguyên tố lớn.
Chọn số a nguyên tố cùng nhau với Ф(n), với Ф(n) = (p-1). (q-1).
Tính b sao cho b.a ≡ 1 mod Ф(n).
Sơ đồ mã hoá RSA : là bộ 5 thành phần (P, C, K, E, D), các kí hiệu như
mục 1.1.1.
Mỗi khố k = (k’, k’’), trong đó k’ là khố cơng khai dành cho việc lập
mã, k’’ là khố bí mật dành cho việc giải mã.
Chọn n = p.q với p, q là số nguyên tố lớn.
Đặt P = C = Zn.
Chọn a nguyên tố cùng nhau với Ф(n) = (p-1)(q-1).
Ta định nghĩa k = {(n, b, a): a.b ≡ 1 mod Ф(n)}
trong đó k (k’, k’’) với k’ = (n, b ) là cơng khai, k’’ = a là bí mật.
x ∈ P, y ∈ C, định nghĩa:
Hàm mã hoá: ek’(x) = xa mod n.

Hàm giải mã: dk ‘’(y) = yb mod n.

LUAN VAN CHAT LUONG download : add
5


1.2 SƠ ĐỒ CHỮ KÍ ĐIỆN TỬ.
Chữ kí điện tử là thông tin đi kèm theo một tài liệu khác như văn bản,
hình ảnh, .... nhằm mục đích xác định người chủ của dữ liệu và đảm bảo tính
tồn vẹn của dữ liệu đó. Đồng thời nó cịn cung cấp chức năng chống chối bỏ
của người gửi thông tin.
Sơ đồ kí điện tử gồm 5 thành phần (P, A, K, S, V) trong đó:
P là tập hữu hạn các văn bản có thể.
A là tập hữu hạn các chữ kí có thể.
K là tập hữu hạn các khóa có thể.
Với k ∈ K, k = (k’, k’’), k’ là khoá bí mật để kí, và
k’’ là khố cơng khai để kiểm thử chữ kí.
S là tập các thuật tốn kí có thể.
V là tập các thuật tốn kiểm thử.
Với mỗi k ∈ K, có thuật tốn ký sig k’ ∈ S, sig k: P → A và
thuật toán kiểm thử ver k’’ ∈ V, ver k’’: P x A → {đúng, sai}, thoả mãn điều kiện
sau đây với mọi x ∈ P, y ∈ A:
ver k’’ (x,y) =

đúng, nếu y = sig k’(x)
sai, nếu y ≠ sig k’(x)

Một số chữ kí điện tử: RSA, Elgamal, DSS, ....

LUAN VAN CHAT LUONG download : add

6


1.3 HÀM BĂM (HASH FUNCTION).
Giả sử D là tập các văn bản có thể. X là tập các văn bản tóm lược (đại
diện) có thể. Việc tìm cho mỗi văn bản một tóm lược tương ứng xác định một
hàm h: D→ X. Hàm h như vậy được gọi là hàm băm.
Hàm băm là một hàm với đầu vào là một văn bản có độ dài thay đổi, và
đầu ra là một văn bản tóm lược có độ dài cố định và đủ nhỏ.
Hàm băm thường phải thỏa mãn các điều kiện sau:
+ Hàm băm phải là hàm không va chạm mạnh:
Khơng có thuật tốn tính trong thời gian đa thức để có thể tìm được x1, x2 ∈D
sao cho x1 ≠ x2 và h(x1 ) = h(x2 ).
Tức là tìm 2 văn bản khác nhau có cùng đại diện là rất “khó”.
+ Hàm băm là hàm một phía:
Tức là cho x tính z = h(x) thì “dễ”, nhưng biết z tính x là “khó”.
+ Hàm băm phải là hàm khơng va chạm yếu:
Tức là cho x ∈ D, khó tìm được x’ ∈ D, x’ ≠ x và h(x) = h(x’).

LUAN VAN CHAT LUONG download : add
7


1.4 TỔNG QUAN VỀ ATTT.
1.4.1 Một số khái niệm.
Hacker: là kẻ xâm nhập vào mạng trái phép bằng cách sử dụng các công
cụ phá mật khẩu hoặc khai thác các điểm yếu của các thành phần truy nhập trên
hệ thống.
Masquerader: là kẻ giả mạo thông tin trên mạng. Một số hình thức giả
mạo như giả mạo địa chỉ IP, tên miền.

Eavesdropping: là đối tượng nghe trộm thông tin trên mạng, chúng sử
dụng các cơng cụ sniffer, sau đó dùng các cơng cụ phân tích và debug để lấy
được các thơng tin có giá trị.
Sniffer:
Trong bảo mật hệ thống sniffer được hiểu là cơng cụ (có thể là phần mềm
hoặc phấn cứng) “bắt” thông tin lưu chuyển trên mạng. Dùng thông tin đã thu
được, để “đánh hơi” lấy được thông tin có giá trị trao đổi trên mạng. Hoạt động
của sniffer giống như chương trình “bắt” thơng tin gõ từ bàn phím (key capture).
Tuy nhiên, các tiện ích của key capture chỉ thực hiện trên một trạm làm việc cụ
thể. Còn sniffer thì có thể “bắt” được các thơng tin trao đổi giữa nhiều trạm làm
việc với nhau.

1.4.2 Một số bài tốn trong ATTT.
Bài tốn bảo mật: giữ bí mật đối với những người khơng có thẩm quyền.
Bài tốn tồn vẹn dữ liệu: kiểm chứng tính tồn vẹn của thơng tin.
Bài tốn xác nhận thực thể: xác định danh tính của một chủ thể.
Bài tốn chữ kí: dùng để gắn một thông tin với một chủ thể xác định.

LUAN VAN CHAT LUONG download : add
8


Bài tốn khơng chối bỏ: ngăn ngừa việc chối bỏ trách nhiệm đối với một
cam kết đã có.

1.4.3 Các yêu cầu về đảm bảo ATTT.
1) Yêu cầu bảo mật thông tin.
Theo tổ chức quốc tế về chuẩn (International Organization for
Standardization – IOS) tính bí mật là thơng tin chỉ được phép truy nhập bởi
người có quyền truy nhập. Đây là một trong ba đặc tính quan trọng nhất của

ATTT. Tính bí mật là một trong những mục tiêu của các hệ mã hố.
Ví dụ: Hệ thống bán hàng qua mạng phải đảm bảo bí mật về thơng tin tài
khoản của khách hàng.
2) u cầu bảo tồn thơng tin.
Trong lĩnh vực ATTT, tính bảo tồn (tồn vẹn) bảo đảm các mục tiêu sau:
ngăn ngừa việc thay đổi thông tin trái phép của người dùng khơng có thẩm
quyền, ngăn ngừa việc vơ ý thay đổi thơng tin của người dùng có thẩm quyền,
duy trì tính nhất qn của thơng tin.
Ví dụ: Bảng báo giá hay thơng tin chỉ số chứng khốn khơng cần tính bí
mật nhưng cần chính xác và sự quản lí chặt chẽ các thay đổi trên thơng tin này.
3) Yêu cầu sẵn sàng.
Tính sẵn sàng được thể hiện là thông tin được đưa đến người dùng kịp
thời, không bị gián đoạn. Mọi hành vi làm gián đoạn quá trình truyền thông tin,
khiến thông tin không đến được người dùng, chính là đang tấn cơng vào tính sẵn
sàng của hệ thống đó.
Ví dụ: Hệ thống phịng thủ tên lửa đạn đạo của Mỹ phải đảm bảo tính sẵn
sàng, để ngăn chặn các cuộc tấn công.
4) Yêu cầu xác thực.

LUAN VAN CHAT LUONG download : add
9


Ngồi 3 đặc tính trên, người ta cịn đưa ra tính xác thực. Tính xác thực là
đảm bảo thơng tin cần được xác thực nguồn gốc. Tính xác thực thường đi kèm
với tính chống chối cãi, khơng cho phép người dùng chối bỏ thông tin của họ

1.4.4 Một số giải pháp chung bảo đảm ATTT.
1) Chính sách bảo đảm ATTT.
Là tập hợp các qui tắc áp dụng cho mọi đối tượng có tham gia quản lí, sử

dụng tài ngun và dịch vụ mạng. Với mục tiêu là giúp người dùng biết được
trách nhiệm của mình trong việc bảo vệ các thông tin, đồng thời giúp nhà quản
trị thiết lập các biện pháp bảo đảm hữu hiệu trong quá trình trang bị, cấu hình
kiểm sốt hoạt động của hệ thống và mạng.
Một chính sách bảo mật được coi là hồn hảo nếu nó gồm các văn bản
pháp qui, kèm theo các cơng cụ bảo mật hữu hiệu và nhanh chóng giúp người
quản trị phát hiện, ngăn chặn các truy nhập trái phép.
2) Giải pháp bảo đảm ATTT.
Là tập hợp các biện pháp nhằm bảo đảm ATTT.
Ví dụ:
Để bảo đảm ATTT có 3 giải pháp chính :
(1) Kiểm sốt truy nhập.
(2) “Che giấu thơng tin”.
(3) Kiểm sốt, xử lí “lỗ hỏng” thiếu an ninh.
Ví dụ:
Để kiểm sốt truy nhập có 2 giải pháp chính:
Kiểm sốt truy nhập “trực tiếp”.
Kiểm sốt truy nhập “tự động”.

LUAN VAN CHAT LUONG download : add
10


CHƯƠNG 2: VẤN ĐỀ KIỂM SOÁT TRUY NHẬP.
2.1 MỘT SỐ PHƯƠNG PHÁP KIỂM SỐT TRUY NHẬP.
Kiểm sốt truy nhập thường sử dụng 2 phương pháp sau:
Kiểm soát truy cập trực tiếp vào hệ thống thơng tin (kiểm sốt truy nhập
“thủ công”).
Hệ thống tự động phát hiện và ngăn chặn xâm nhập vào\ ra hệ thống
thơng tin (kiểm sốt truy nhập “tự động”).


2.1.1 Kiểm soát truy cập trực tiếp.
2.1.1.1 Hệ thống kiểm soát truy cập trực tiếp.
Hệ thống kiểm soát truy cập trực tiếp cung cấp các dịch vụ sau: nhận dạng
và xác thực (Indentification and Authentication), ủy quyền (Authorization), qui
trách nhiệm (Accountability).
1) Dịch vụ nhận dạng và xác thực:
Xác định ai là người được đăng nhập vào hệ thống.
Nhận dạng và xác thực: là qui trình gồm 2 bước nhằm xác thực người truy
nhập vào hệ thống.
a) Nhận dạng là phương pháp người dùng báo cho hệ thống biết họ là ai. Và hệ
thống xác nhận có đúng là người đó khơng. Những u cầu nhận dạng địi hỏi
các chỉ danh dùng để nhận dạng:
+ Phải có định danh duy nhất để chỉ định hay nhận dạng người dùng.
+ Không thể dùng để xác định địa vị hay tầm quan trọng của người dùng
trong một tổ chức.
+ Tránh việc sử dụng các chương mục chung hoặc dùng chung bởi nhiều
người như root, admin, ….

LUAN VAN CHAT LUONG download : add
11


+ Không nên dùng các chương mục không hỗ trợ việc qui trách nhiệm và
chúng có thể trở thành đối tượng cho kẻ xâm nhập hệ thống bất hợp pháp.

b) Xác thực là qui trình xác minh danh hiệu của người dùng. Quá trình xác thực
phải dựa vào 1 trong 3 yếu tố:
+ Những chi tiết mà người dùng biết trước như: mật khẩu, số định danh
cá nhân (PIN). Việc này cần thiết cho việc truy cập chương mục.

+ Những gì người dùng đã có như thẻ thơng minh (smart card) hoặc một
dấu hiệu nào đó. Điều này dùng để mở khố chương mục.
+ Những gì người dùng sở hữu bẩm sinh như vân tay, giọng nói, ...
( phương pháp “sinh trắc học”).
2) Dịch vụ ủy quyền:
Xác định những gì mà một người dùng đã được xác thực có thể thi hành.
Sự ủy quyền: (sự hợp thức hóa (establishment) ) định nghĩa “quyền” và
“phép” của người dùng trong một hệ thống. Sau khi người dùng đã được chứng
thực, thì việc ủy quyền chỉ định những cái gì mà người dùng đó có thể thi hành
trên hệ thống.
Đa số các hệ điều hành đều định nghĩa các loại quyền và phép. Chúng
thường là mở rộng của 3 loại quyền truy cập chính sau: quyền đọc, quyền viết và
quyền thi hành.
+ Quyền đọc (R): người dùng có thể đọc nội dung tập tin, liệt kê danh
sách thư mục.
+ Quyền viết (W): người dùng có thể thay đổi nội dung của bản tin bằng
việc thi hành những thao tác sau: cộng thêm, tạo cái mới, xoá bỏ, đổi tên.
+ Quyền thi hành (E): nếu tập tin là chương trình ứng dụng, người dùng
có thể thi hành chương trình đó.
3) Dịch vụ qui trách nhiệm:

LUAN VAN CHAT LUONG download : add
12


Nhận dạng và chứng thực những hành vi, hoạt động mà người dùng đã
thi hành trong khi họ đang sử dụng hệ thống.

2.1.1.2 Mật khẩu.
1) Tiêu chuẩn mật khẩu an tồn.

Sử dụng tối thiểu 8 kí tự, nói chung mật khẩu dài thì độ an tồn cao hơn.
Mật khẩu gồm 3 trong 4 nhóm kí tự sau:
+ Kí tự “số”.
+ Chữ in.
+ Chữ thường.
+ Kí tự đặc biệt trên bàn phím như @, &, #, ….
Ghép 2 từ khơng hiệu chỉnh, cắt bỏ (n-1) vị trí của kết quả, chèn thêm vào
đó 1 kí tự đặc biệt (n là độ dài mật khẩu được chấp nhận).
Chọn tiếng nước ngoài.
Chọn thuật ngữ gợi nhớ về thói quen hoặc mơn thể thao u thích. Ln
chọn thuật ngữ dễ nhớ.
Lưu ý: trong mật khẩu của CMOS máy tính, số kí tự tối đa là 8 và khơng
sử dụng các kí hiệu đặc biệt.
2) Phương pháp tạo mật khẩu.
Mật khẩu do người dùng tạo ra:
Là mật khẩu do người dùng tạo ra cho mục đích riêng của họ. Do vậy,
người dùng sẽ ln nhớ được mật khẩu này mà không cần phải ghi lại, điều đó
tránh việc truy tìm mật khẩu từ các ghi chép. Tuy nhiên, điều trên lại nảy sinh
vấn đề là do người dùng chọn mật khẩu dễ nhớ nên chúng thường là các thông
tin cá nhân như tên người thân, con vật, ngày sinh, …. hoặc dùng cùng một mật
khẩu ưa thích trên nhiều máy, các mật khẩu này dễ bị người khác đoán được.
Mật khẩu do máy tạo ra:

LUAN VAN CHAT LUONG download : add
13


Mật khẩu này thường là khó đốn do sử dụng chương trình tạo mật khẩu
cho người dùng, những mật khẩu tồi có thể bị loại khỏi hệ thống. Chương trình
này thường đưa ra cho người dùng một số mật khẩu để họ lựa chọn, người dùng

quyết định bằng cách gõ lại mật khẩu đã chọn.
Chương trình trên hoạt động theo chu kì, để nếu mật khẩu bị lộ cũng chỉ
có hiệu lực trong thời gian nhất định (gọi là tuổi của mật khẩu). Tuy vậy, các
mật khẩu này thường không dễ nhớ, nên phải ghi lại. Các nghiên cứu cho thấy
người dùng thích dùng mật khẩu tự tạo hơn là các mật khẩu do máy tạo vì lí do
nhớ mật khẩu.
Những mật khẩu có thể hiệu chỉnh:
Đây là hướng thoả hiệp nhằm tận dụng ưu điểm của hai loại mật khẩu đã
nêu, mà khơng có các nhược điểm liên quan. Sơ đồ tạo mật khẩu có thể hiệu
chỉnh cho phép người quản trị hệ thống cung cấp cho người dùng một phần mật
khẩu, trên cơ sở đó người dùng có thể xây dựng mật khẩu mới theo tiêu chuẩn
đã đề ra. Sơ đồ được gọi là hiệu chỉnh vì người quản trị có thể thay đổi độ dài và
những thuộc tính khác của xâu kí tự được tạo ra.
Ví dụ: Giả sử người dùng được cung cấp xâu “t1h” và qui tắc là các kí tự
“t”, “1”, “h” phải xuất hiện trong mật khẩu sẽ được tạo ra theo đúng trật tự đã
cho. Người dùng có thể tạo mật khẩu: the1997hpu10, trong1hiep5, … Khi đó
mật khẩu mà người dùng tạo nên, thường có tính chất gợi nhớ đối với họ, vì vậy
họ có thể nhớ được. Đồng thời, nó cũng loại bỏ được những mật khẩu tồi.

LUAN VAN CHAT LUONG download : add
14


3) Các tấn cơng dị tìm mật khẩu.
a) Tấn cơng tồn diện.
Trong tấn cơng tồn diện, người tấn cơng thử mọi khả năng mà mật khẩu
có thể được người dùng sử dụng. Số mật khẩu được tạo tuỳ thuộc vào hệ thống
nhất định.
Rõ ràng việc tấn cơng tồn diện gặp khó khăn khi mật khẩu có độ dài lớn
và theo đúng tiêu chuẩn chọn mật khẩu. Tuy nhiên, để tìm mật khẩu cụ thể

khơng cần thử tồn bộ mật khẩu có thể. Do mật khẩu phải nhớ được nên người
dùng thường chọn mật khẩu đơn giản. Để đơn giản mật khẩu sẽ không dài.
Đối với người dùng, mật khẩu thường liên quan đến các thông tin cá nhân
nên những mật khẩu có thể khơng nhiều lắm. Việc tìm hiểu các thông tin cá
nhân của người dùng cụ thể sẽ tạo điều kiện cho việc dị tìm đạt được xác suất
thành cơng cao.
Ngồi ra cịn có thể dị tìm mật khẩu dựa trên thói quen sử dụng bàn phím
với các phím ở các vị trí đặc biệt như zqpm, aqlp, ….
b) Tìm file mật khẩu của hệ thống.
Cách dị tìm như trên dựa theo việc suy đốn các khả năng có thể. Do các
mật khẩu được lưu trên máy, nên việc tìm các file này để đọc là hướng hiệu quả.
Các file chứa mật khẩu, nếu khơng được mã hố, thì việc đọc chúng là
đơn giản. Nhưng thường chúng được mã hố, file đọc được là bản mã. Như vậy
có thể dùng các thuật tốn mã hố để tìm ra bản rõ tương ứng.
Tương tự, có thể tìm các ghi chép lưu mật khẩu của người dùng tại nơi
thường truy nhập.
c) Các biện pháp dị tìm thơng minh.

LUAN VAN CHAT LUONG download : add
15


Sử dụng các virus dạng “Trojan Horse” để lấy cắp mật khẩu. Các virus
này có thể ghi lại mật khẩu khi khởi động máy hoặc làm giả thủ tục đăng nhập,
đánh lừa người dùng để lấy cắp mật khẩu, hoặc chứa từ điển để dị tìm mật khẩu.
4) Các biện pháp bảo vệ mật khẩu.
a) Bảo vệ mật khẩu đối với người dùng.
Người dùng cần tuân thủ các tiêu chuẩn lựa chọn mật khẩu; Khơng sử
dụng các từ có trong từ điển; Khơng ghi lại mật khẩu (điều này khó thực hiện
khi một người dùng có nhiều tài khoản trên máy, hoặc thẻ tín dụng cần phải nhớ

mật khẩu truy nhập); Không tiết lộ mật khẩu; Thường xuyên thay đổi mật khẩu,
ngay cả khi khơng có nghi ngờ rằng mật khẩu đã bị lộ.
b) Mật khẩu dùng một lần.
Là loại mật khẩu thay đổi mỗi lần sử dụng, thực chất đây là hệ thống xác
định người dùng bằng hỏi đáp. Hàm cho từng người là cố định nhưng các tham
số của mỗi lần xác nhận là khác nhau. Vì vậy câu trả lời của người dùng là khác
nhau, đồng nghĩa với việc mật khẩu là khác nhau.
c) Bảo vệ mật khẩu lưu trong máy.
File mật khẩu lưu trong máy cần được mã hoá để chống lại việc truy nhập
và lấy cắp thông tin về mật khẩu. Thường sử dụng hai cách để bảo vệ là mã hoá
truyền thống và mã hố một chiều.
Mã hố truyền thống:
Tồn bộ file hoặc chỉ có trường mật khẩu được mã hố. Khi nhận được
mật khẩu của người dùng, thì mật khẩu lưu trữ được giải mã và so sánh. Theo
cách này, tại thời điểm mật khẩu ở dạng rõ trong bộ nhớ, thì nó để lộ cho bất cứ
ai được quyền truy nhập bộ nhớ.
Mã hoá một chiều:
Khắc phục được điểm yếu trên. Các mật khẩu đăng kí được mã hố một
chiều và lưu giữ, khi người dùng nhập mật khẩu nó sẽ được mã hoá và so sánh

LUAN VAN CHAT LUONG download : add
16


với bản mã lưu trữ. Thuật toán mã hoá đảm bảo khơng có hai bản rõ khác nhau
cho cùng một bản mã.

d) Muối mật khẩu.
Có thể xảy ra trường hợp hai người khác nhau cùng dùng chung một mật
khẩu. Khi đó trong bản mã hố sẽ có hai bản mã như nhau và đó là kẽ hở để có

thể dị tìm mật khẩu đã mã hố.
Để khắc phục tình trạng trên, HĐH Unix sử dụng một cơ chế mở rộng mật
khẩu gọi là “muối” mật khẩu. Muối là một số 12 bit hình thành từ ngày hệ thống
và số hiệu tiến trình được thêm vào mật khẩu

Muối

Mật khẩu

DES

Mã mật khẩu

Muối

Mã mật khẩu

Muối

File mật khẩu

Muối mật khẩu

Mã mật khẩu

DES
Bản mã mật khẩu

Hình 2.1 Cơ chế muối mật khẩu.
So sánh


Cơ chế muối mật khẩu như sau: mật khẩu và muối được mã hoá, bản mã
và muối tương ứng cùng được lưu trong file mật khẩu.

LUAN VAN CHAT LUONG download : add
17


Khi người dùng nhập mật khẩu, nó sẽ được mã hoá cùng với muối, kết
quả được so sánh với bản mã đã lưu trữ.
Ngoài ra cơ chế xác thực bằng mật khẩu không cho phép nhập sai mật
khẩu quá 3 lần, để giảm khả năng dị tìm thơng thường.

2.2.2 Kiểm soát truy nhập “tự động”.
Để kiểm soát truy nhập “tự động”, hiện nay người ta dùng các giải pháp:
+ Tường lửa (Firewall).
|+ Mạng riêng ảo (VPN).
+ Hạ tầng cơ sở khố cơng khai (PKI).
Tường lửa:
Là thiết bị nhằm ngăn chặn sự truy nhập khơng hợp lệ từ ngồi vào mạng
bên trong. Nó thường gồm cả phần cứng và phần mềm. Tường lửa thường được
dùng theo phương thức ngăn chặn hay tạo các luật đối với các địa chỉ khác nhau.
Tường lửa là tường chắn đầu tiên bảo vệ giữa mạng bên trong với mạng
bên ngồi. Nó là cơng cụ cơ sở được dùng theo một chính sách an tồn, để ngăn
ngừa truy nhập không được phép giữa các mạng.
Mạng riêng ảo:
Là một mạng riêng sử dụng hệ thống mạng công cộng (thường là Internet)
để kết nối các địa điểm hoặc người dùng từ xa với một mạng LAN ở trụ sở trung
tâm. Thay vì dùng kết nối phức tạp như đường dây thuê bao số, VPN tạo ra các
liên kết ảo được truyền qua Internet giữa mạng riêng của một tổ chức với địa

điểm hoặc người dùng ở xa.
Hạ tầng cơ sở khố cơng khai:
Là hệ thống cung cấp và quản lí chứng chỉ số, thực hiện xác thực định
danh các bên tham gia vào q trình trao đổi thơng tin. Cơ chế này gán cho mỗi
người dùng trong hệ thống một cặp khố cơng khai /khố bí mật. Các quá trình
này thường được thực hiện bởi một phần mềm đặt tại trung tâm và các phần

LUAN VAN CHAT LUONG download : add
18


mềm phối hợp khác tại các địa điểm của người dùng. Khố cơng khai thường
được phân phối trong chứng chỉ khố cơng khai.
PKI có thể được định nghĩa như một hạ tầng cơ sở sử dụng công nghệ
thông tin để cung cấp dịch vụ mã hố khố cơng khai và chữ ký số. Ngồi ra,
PKI cịn quản lý khố và chứng chỉ được dùng trong hệ thống.

2.2 MỘT SỐ CHÍNH SÁCH TRUY CẬP.
2.2.1 Kiểm soát truy cập tuỳ quyền
(Discretionary Access Control- DAC).
Là chính sách truy cập mà chủ nhân thơng tin hay tài nguyên tự quyết
định xem ai là người được phép truy cập nó, và những quyền nào mà người đó
được phép thi hành.
Hai khái niệm trong truy cập tuỳ quyền là: sở hữu thông tin, quyền và
phép truy cập thơng tin.
Sở hữu thơng tin nghĩa là chính sách truy cập các đối tượng do chủ nhân
tài nguyên quyết định.
Quyền và phép truy cập là quyền khống chế những tài nguyên, do chủ
nhân tài nguyên chỉ định cho mỗi người hoặc nhóm người.
Kĩ thuật được dùng trong kiểm sốt truy cập tùy quyền là danh sách kiểm

soát truy cập (Access Control List- ACL):
Định danh các quyền và phép được chỉ định cho 1 chủ thể hoặc 1 đối tượng.
Đây là phương pháp linh hoạt để áp dụng DAC.

LUAN VAN CHAT LUONG download : add
19


2.2.2 Kiểm sốt truy cập trên cơ sở vai trị
(Role Base Access Control - RBAC).
Chỉ định tư cách nhóm người dùng dựa trên vai trò của tổ chức hoặc chức
năng của vai trị. Chính sách này giúp tối giảm việc điều hành quản lí quyền và
phép truy cập. Nó sẽ hạn chế người dùng bất hợp pháp truy cập hệ thống.
Trong an ninh với hệ thống máy tính, kiểm sốt truy cập trên cơ sở vai trò
là một trong số các chính sách kiểm sốt và đảm bảo quyền sử dụng cho người
dùng.
Trong nội bộ tổ chức, các vai trò (roles) được kiến tạo để đảm nhận các
chức năng công việc khác nhau. Mỗi vai trò được gắn liền với một số quyền hạn
cho phép nó thao tác một số hoạt động (permissions). Mỗi người dùng trong hệ
thống được phân phối một vai trò riêng, và qua việc phân phối đó họ tiếp thu
được một số quyền hạn, cho phép họ thi hành những chức năng cụ thể trong hệ
thống.
Do người dùng không được cấp phép một cách trực tiếp, họ chỉ tiếp thu
được những quyền hạn thông qua vai trị của mình. Vì vậy, việc quản lí quyền
hạn người dùng trở nên đơn giản, và chỉ cần chỉ định những vai trị thích hợp
cho người dùng. Việc chỉ định các vai trị này đơn giản hố những cơng việc
thơng thường như thêm một người dùng vào hệ thống.
RBAC khác với các danh sách kiểm soát truy cập (ACLs) được dùng
trong DAC, nó chỉ định các quyền hạn tới từng hoạt động cụ thể với ý nghĩa
trong cơ quan tổ chức, thay vì tới các đối tượng dữ liệu hạ tầng. Ví dụ, ACL có

thể cho phép hoặc từ chối quyền truy cập viết một tập tin hệ thống (system file),
song nó khơng cho ta biết phương cách cụ thể để thay đổi tập tin đó. Trong hệ
thống dùng RBAC, một thao tác có thể là việc một chương trình ứng dụng tài

LUAN VAN CHAT LUONG download : add
20


chính kiến tạo một giao dịch trong “tài khoản tín dụng” (credit account
transaction).

2.2.3 Kiểm soát truy cập bắt buộc
(Mandatory Access Control - MAC).
Là chính sách truy cập do hệ thống quyết định, không phải do cá nhân sở
hữu tài nguyên quyết định.
Nó được sử dụng trong các hệ thống đa tầng, tức là những hệ thống xử lí
các loại dữ liệu nhạy cảm như các thông tin được phân hạng về mức độ bảo mật
trong chính phủ hay quân đội.
+ Nhãn hiệu nhạy cảm (sensitivity label):
Chỉ định một nhãn hiệu cho mỗi chủ thể và mỗi đối tượng trong hệ thống. Nhãn
hiệu nhạy cảm của một chủ thể xác định mức tin cẩn cần thiết để truy cập. Để
truy cập một đối tượng nào đấy, chủ thể phải có một mức độ nhạy cảm tương
đồng hoặc cao hơn mức độ của đối tượng yêu cầu.
+ Xuất và nhập dữ liệu (Data import and export):
Kiểm sốt việc nhập thơng tin từ hệ thống khác, và xuất thông tin sang hệ thống
khác (bao gồm cả các máy in), là một chức năng trọng yếu trong các hệ thống sử
dụng kiểm soát truy cập bắt buộc. Nhiệm vụ của việc xuất, nhập thông tin phải
đảm bảo các nhãn hiệu nhạy cảm được giữ gìn một cách đúng đắn, các thơng tin
nhạy cảm phải được bảo vệ trong bất kỳ tình huống nào.
Các phương pháp thường dùng để áp dụng kiểm soát truy cập bắt buộc là:

kiểm soát truy cập dùng theo luật (Rule Base Access Control) và kiểm soát truy
cập dùng lưới (Lattice Base Access Control).
+ Kiểm soát truy cập dùng theo luật:
Định nghĩa thêm điều kiện cụ thể đối với việc truy cập một đối tượng, nhằm
quyết định cho phép hay từ chối yêu cầu truy cập, bằng cách đối chiếu: nhãn
hiệu nhạy cảm của đối tượng, nhãn hiệu nhạy cảm của chủ thể
+ Kiểm soát truy cập dùng lưới (lattice):

LUAN VAN CHAT LUONG download : add
21


Mơ hình lưới là một cấu trúc tốn học, nó định nghĩa giá trị cận dưới lớn nhất và
cận trên nhỏ nhất cho những cặp nguyên tố, chẳng hạn như cặp nguyên tố gồm
1 chủ thể và 1 đối tượng.

2.3 MỘT SỐ KĨ THUẬT KIỂM SOÁT TRUY NHẬP.
2.3.1 Hệ thống nhận dạng và xác thực.
Tiền đề của hệ thống an ninh là nhận dạng đúng người dùng. Với mục tiêu đó,
cơ chế xác thực người dùng qua một vài sở hữu riêng hoặc liên kết các mơ hình.
Hệ thống xác thực dùng thông tin để nhận biết người dùng:
+ Hệ thống mật khẩu:
Người dùng được nhận dạng qua chuỗi kí tự bí mật, chỉ riêng người dùng và hệ
thống biết.
+ Hệ thống hỏi - đáp:
Người dùng được nhận dạng qua việc trả lời các câu hỏi mà hệ thống đưa ra.
Câu hỏi là khác nhau cho mỗi người dùng, và thường là các hàm toán học.
+ Hệ thống xác thực kép (bắt tay):
Hệ thống tự giới thiệu với người dùng, người dùng tự xác thực lại với hệ thống.
Việc xác thực của hệ thống xuất hiện qua thông tin chỉ người dùng biết, có thể là

ngày, giờ của phiên làm việc cuối cùng. Người dùng xác thực là mật khẩu.
Hệ thống xác thực dùng thông tin sở hữu của người dùng:
Về cơ bản là hệ thống thẻ:
Thẻ từ chứa mã vạch hoặc mã từ hoặc bộ vi xử lí. Việc xác thực xuất hiện lúc
chấp nhận thẻ đưa vào đọc, đơi khi kèm theo mã bí mật.

LUAN VAN CHAT LUONG download : add
22


Hệ thống xác thực dùng thông tin cá nhân của người dùng:
Thông tin cá nhân là những đặc thù chỉ có của người dùng như vân tay,
giọng nói, ảnh lưới võng mạc, …. Những thông tin này được sử dụng để nhận
dạng người dùng, hiện nay có các hệ thống sau:
+ Hệ thống fax- máy tính: ảnh của người dùng được lưu trữ, nhận dạng
bằng cách đối chiếu người với ảnh lưu trữ hiện trên màn hình.
+ Hệ thống vân tay: nhận dạng theo kết quả so sánh dấu vân tay người
dùng với vân tay lưu trữ.
+ Hệ thống ghi âm: giọng nói của người dùng được đối chiếu với mẫu
lưu trữ.
+ Hệ thống áp lực tay: nhận dạng trên cơ sở áp lực chữ kí hoặc chữ viết
trên thiết bị phù hợp.
+ Hệ thống lưới võng mạc: nhận dạng người dùng bằng cách kiểm tra lưới
võng mạc trong đáy mắt.
Các hệ thống trên có thể được dùng độc lập hoặc phối hợp nhiều hệ thống
cùng một lúc tuỳ thuộc vào mức độ an ninh cần thiết.
Các thông tin cá nhân, bằng cách thơng thường người khác khơng có
được, tuy nhiên với người chun nghiệp thì các thơng tin này có thể được lấy
và lưu trữ trước, sau đó làm giả, mà máy không phát hiện được.
Các hệ thống này có mức độ an ninh cao hơn so với các hệ thống trước

đó, vì phức tạp trong so sánh giữa các đặc điểm riêng được lưu trữ với các đặc
điểm đó trên thực tế. Việc ứng dụng cũng gặp khó khăn, qua nghiên cứu cho
thấy tỉ lệ từ chối người dùng cao. Ngồi ra, khi có sự thay đổi từ chính người
dùng đó với các thơng tin đã đăng kí (khi người dùng gặp tai nạn hoặc sự cố làm
sai lệch thơng tin), thì máy cũng khơng chấp nhận họ. Mặt khác, việc không uỷ
quyền cho người khác được khi gặp sự cố, dẫn đến có thể mất thơng tin vĩnh

LUAN VAN CHAT LUONG download : add
23


viễn. Bên cạnh đó, hệ thống trên có chi phí cao, nên chỉ được dùng trong những
trường hợp bảo mật đặc biệt.

2.3.2 Tường lửa (Firewall).
2.3.2.1 Khái niệm tường lửa.
Firewall là một kĩ thuật được tích hợp vào hệ thống, để chống lại sự truy
cập trái phép, nhằm bảo vệ các nguồn tin nội bộ cũng như hạn chế sự xâm nhập
vào hệ thống của một số thông tin khác không mong muốn.
Firewall quyết định những dịch vụ nào từ bên trong được phép truy cập
từ bên ngoài, những người nào từ bên ngoài được phép truy cập đến các dich vụ
bên trong, những dịch vụ nào bên ngoài được phép truy cập bởi những người
bên trong.
2.3.2.2 Phân loại tường lửa.
Có 2 loại tường lửa chính là:
Ủy quyền ứng dụng (Application proxies).
Cổng lọc gói tin (Packet filtering gateway).
2.3.2.3 Nhận dạng tường lửa.
Hầu hết các Firewall đều có các dạng đặc trưng. Chỉ cần thực hiện một số
thao tác như quét cổng, lập cầu lửa, nắm giữ biểu ngữ đơn giản là những kẻ tấn

cơng có thể xác định được loại tường lửa, phiên bản, và qui tắc của hầu hết các
tường lửa trên mạng.
Việc nhận dạng này là rất quan trọng, vì khi đã biết các thơng tin đích xác
về tường lửa, thì có thể khai thác được các điểm yếu của chúng.

LUAN VAN CHAT LUONG download : add
24


1) Quét trực tiếp: kĩ thuật “Noisy”.
Cách đơn giản nhất để tìm kiếm tường lửa là quét các cổng ngầm định cụ
thể. Một số tường lửa sẽ tự định danh duy nhất bằng các đợt quét cổng miễn là
ta cần biết nội dung cần tìm kiếm.
Ví dụ ProxyServer của Microsoft thường lắng nghe trên các cổng TCP
1080 và 1745. Quá trình tìm kiếm các kiểu tường lửa trên là khơng khó đối với
bộ quét cổng như nmap:
nmap -n -vv –p0 -p256,1080,1745 192.168.50.1 - 60.254
Dùng tham số –p0 để vô hiệu hóa tính năng “ping” ICMP trước khi qt. Điều
này là quan trọng vì hầu hết các Firewall khơng đáp ứng các yêu cầu “dội”
ICMP.
Hacker có thể dùng nhiều kĩ thuật để thoát khỏi sự giám sát của ta, bằng
cách gửi ngẫu nhiên hóa các gói tin, các cổng đích, các địa chỉ đích, các cổng
nguồn và thực hiện các đợt qt nguồn có phân phối.
Cách phịng chống:
Ta cần phải phong tỏa các kiểu quét này tại các bộ định tuyến biên, hoặc
dùng cơng cụ phát hiện đột nhập nào đó. Nếu sử dụng Real Secure 3.0 để phát
hiện tiến trình quét cổng, thì phải nâng cao độ nhạy cảm của nó và phải sử dụng
các thay đổi sau:
- Chọn Network Engine Policy.
- Tìm “ Port scan” và chọn Option.

- Thay đổi Ports thành 5 ports.
- Thay đổi Delta thành 60 seconds.
Để ngăn chặn các đợt quét cổng Firewall, ta cần phong tỏa các cổng này
trên các router đứng trước Firewall.

LUAN VAN CHAT LUONG download : add
25