BỘ GIÁO DỤC VÀ ĐÀO TẠO
TRƯỜNG ĐẠI HỌC BÁCH KHOA HÀ NỘI
--------------------------------------ĐẶNG VÂN ANH

ĐẶNG VÂN ANH

CƠNG NGHỆ THƠNG TIN

AN TỒN VÀ BẢO MẬT THÔNG TIN TRONG THƯƠNG
MẠI ĐIỆN TỬ

LUẬN VĂN THẠC SĨ KỸ THUẬT
NGÀNH CÔNG NGHỆ THÔNG TIN

2011-2013
Hà Nội - Năm 2013


BỘ GIÁO DỤC VÀ ĐÀO TẠO
TRƯỜNG ĐẠI HỌC BÁCH KHOA HÀ NỘI
--------------------------------------ĐẶNG VÂN ANH

AN TỒN VÀ BẢO MẬT THƠNG TIN TRONG THƯƠNG MẠI ĐIỆN
TỬ

CHUYÊN NGÀNH: CÔNG NGHỆ THÔNG TIN

LUẬN VĂN THẠC SĨ KỸ THUẬT
CÔNG NGHỆ THÔNG TIN

NGƯỜI HƯỚNG DẪN KHOA HỌC:

PGS. TS. NGUYỄN LINH GIANG


Hà Nội – Năm 2013


LỜI CẢM ƠN
Trong thời gian thực hiện luận văn này, tơi ln đƣợc sự quan tâm, góp ý
kiến của thầy giáo PGS.TS. Nguyễn Linh Giang. Nhân dịp này tôi xin bày tỏ lời
cảm ơn chân thành tới thầy giáo PGS. TS. Nguyễn Linh Giang, ngƣời đã trực tiếp
hƣớng dẫn và dành nhiều thời gian để sửa chữa, bổ sung vào từng trang bản thảo
của luận văn.
Tôi xin chân thành cảm ơn các thầy cô giáo viện Công nghệ Thông tin Trƣờng ĐH Bách khoa Hà Nội, các giảng viên đã truyền đạt những kiến thức, kỹ
năng, kinh nghiệm nghề nghiệp.... Tôi xin chân thành cảm ơn Ban giám hiệu, tập
thể giáo viên khoa Công nghệ Thông tin trƣờng Đại học Sƣ phạm Kỹ thuật Hƣng
Yên, gia đình cùng các bạn trong lớp cao học Cơng nghệ Thơng tin khố 20112013 đã tạo mọi điều kiện giúp đỡ, động viên, chia sẻ để tơi hồn thành bản luận
văn này.
Bản luận văn chắc cịn nhiều thiếu sót, rất mong đƣợc các thầy cơ giáo trong
hội đồng chấm luận văn xem xét, góp ý kiến để luận văn đƣợc hồn thiện hơn.
Tơi xin chân thành cảm ơn!
Hà Nội, tháng 3 năm 2013.

4


LỜI CAM ĐOAN
Tơi xin cam đoan, những gì tơi viết trong luận văn này là do tìm hiểu và
nghiên cứu của bản thân. Mọi kết quả nghiên cứu cũng nhƣ ý tƣởng của các tác giả
khác nếu có đều đƣợc trích dẫn nguồn gốc cụ thể.
Luận văn này cho đến nay chƣa đƣợc bảo vệ tại bất kỳ một hội đồng bảo vệ

luận văn thạc sĩ nào trên toàn quốc cũng nhƣ ở nƣớc ngoài và cho đến nay chƣa
đƣợc công bố trên bất kỳ một phƣơng tiện thông tin nào.
Tơi xin hồn tồn chịu trách nhiệm về những gì mà tôi đã cam đoan trên đây.
Hà Nội, ngày 02 tháng 3 năm 2013
Tác giả

Đặng Vân Anh

3


MỤC LỤC
LỜI CAM ĐOAN .................................................................................................................. 3
LỜI CẢM ƠN ........................................................................................................................ 4
DANH MỤC CÁC KÝ HIỆU, CÁC CHỮ VIẾT TẮT ........................................................ 5
DANH MỤC CÁC BẢNG, SƠ ĐỒ ...................................................................................... 6
MỞ ĐẦU ............................................................................................................................... 7
NỘI DUNG .......................................................................................................................... 10
CHƢƠNG I. CÁC GIAO DỊCH TRONG THƢƠNG MẠI ĐIỆN TỬ ............................... 10
1.1. Các hình thức hoạt động thƣơng mại điện tử ........................................................... 10
1.1.1. Thư tín điện tử: ................................................................................................ 10
1.1.2. Thanh toán điện tử ............................................................................................ 10
1.1.3. Trao đổi dữ liệu điện tử..................................................................................... 11
1.1.4. Giao gửi số hóa của các dung liệu .................................................................... 11
1.1.5. Bán lẻ hàng hóa hữu hình ................................................................................. 12
1.2. Giao dịch thƣơng mại điện tử .................................................................................. 13
1.3. Các bên tham gia thƣơng mại điện tử ...................................................................... 13
CHƢƠNG II. AN TOÀN BẢO MẬT TRONG THƢƠNG MẠI ĐIỆN TỬ ..................... 15
2.1. Các cách tấn công trong thƣơng mại điện tử ............................................................ 15
2.1.1. Thăm dò ............................................................................................................. 15

2.1.2. Truy cập ............................................................................................................. 15
2.1.3. Kiểu tấn công từ chối dịch vụ DoS .................................................................... 16
2.2. Các biện pháp bảo vệ hệ thống thƣơng mại điện tử.................................................. 19
2.2.1. Cơ chế mã hóa ................................................................................................... 19
2.2.2. Chứng thực số hóa ............................................................................................. 20
2.2.3. Giao thức thỏa thuận mã khóa ........................................................................... 22
2.2.4. Chữ ký điện tử ................................................................................................... 22
2.2.5. An ninh mạng và bức tƣờng lửa ........................................................................ 25
2.3. Một số giao thức bảo mật thông dụng trong ứng dụng Web .................................... 26
2.3.1. Cơ chế bảo mật SSL (Secure Socket Layer) ..................................................... 27
2.3.2. Cơ chế bảo mật SET .......................................................................................... 30
2.4. Một số kỹ thuật tấn công và bảo mật ứng dụng web ................................................ 31
2.4.1. Kỹ thuật tấn công bằng SQL Injection và cách phòng chống ........................... 31


2.4.2. Chèn mã lệnh thực thi trên trình duyệt nạn nhân ............................................... 36
2.4.3. Thao tác trên tham số truyền URL..................................................................... 38
CHƢƠNG III. MƠ HÌNH THANH TỐN TRONG THƢƠNG MẠI ĐIỆN TỬ .............. 40
3.1. Thanh toán qua Planet Payment................................................................................ 40
3.2. Thanh tốn thẻ tín dụng ............................................................................................ 41
3.3. Thanh tốn thơng qua Ngân Lƣợng .......................................................................... 42
3.3.1. Giới thiệu chung về ví điện tử ........................................................................... 42
3.3.2. Giới thiệu về Ngân Lƣợng ................................................................................. 42
3.3.3. Đặc trƣng của hình thức thanh tốn bằng Ngân Lƣợng ..................................... 44
3.4. Thanh toán qua Paypal .............................................................................................. 47
3.4.1. Giới thiệu về Paypal........................................................................................... 47
3.4.2. Tại sao lại lựa chọn Paypal? .............................................................................. 47
3.4.3. Đặc điểm của Paypal.......................................................................................... 47
3.4.3. Đăng ký tài khoản trên Paypal ........................................................................... 50
3.4.4. Chi tiết các bƣớc thanh toán trên PayPal ........................................................... 50

CHƢƠNG IV. THỰC NGHIỆM BẢO MẬT THANH TOÁN TRÊN WEBSITE ............. 51
4.1. Tổng quan hệ thống website ..................................................................................... 51
4.1.1. Chức năng của hệ thống..................................................................................... 51
4.1.2. Ngƣời sử dụng ................................................................................................... 51
4.1.3. Yêu cầu chức năng ............................................................................................. 52
4.1.4. Yêu cầu phi chức năng ....................................................................................... 52
4.2. Các rủi ro thƣờng gặp trong giao dịch điện tử và biện pháp bảo vệ của website ..... 54
4.2.1. Đăng nhập .......................................................................................................... 56
4.2.2. Thông tin sản phẩm............................................................................................ 57
4.2.3. Quá trình đặt hàng và thanh toán ....................................................................... 58
4.3. Ƣu điểm, hạn chế và các giải pháp thanh toán bằng Ngân Lƣợng ........................... 61
4.3.1. Ƣu điểm ............................................................................................................. 61
4.3.2. Khó khăn và hạn chế .......................................................................................... 64
4.3.3. Một số giải pháp ................................................................................................ 65
KẾT LUẬN.......................................................................................................................... 67
TÀI LIỆU THAM KHẢO ................................................................................................... 69
PHỤ LỤC ............................................................................................................................ 70
2


DANH MỤC CÁC KÝ HIỆU, CÁC CHỮ VIẾT TẮT
Viết tắt

Viết đầy đủ

Ý nghĩa

DOS

Denail of Service


Tấn công từ chối dịch vụ

DDOS

Distributed Denial of Service

Tấn công từ chối dịch vụ phân phối

TMĐT

Thƣơng mại điện tử

Thƣơng mại điện tử

LAN

Local Area Network

Mạng cục bộ

TCP/IP

Transmission
Control Bộ giao thức truyền thông
Protocol/ Internet Protocol

SSL

Secure Sockets Layer


Giao thức bảo mật lớp vận chuyển

TLS

Transport Layer Sercurity

Giao thức bảo mật lớp vận chuyển.

IANA

Internet Assigned
Authority

SET

Secure Electronic Transaction

RSA

RonRivest, AdiSHamir& Len Thuật toán mã hóa cơng khai ( viết
Adleman
tắt tên của 2 nhà sáng lập)

SHA-1
SQL

Sercure Hash Algorithm
Structured Query Language


API
URL

Application
Interface
Uniform Resource Locator

Siêu liên kết

NM

Ngƣời mua

Ngƣời mua

NB

Ngƣời bán

Ngƣời bán

NL

Ngân lƣợng

Ngân lƣợng

SNAD
INR


Significautly
Not
Described
Item Not Received

TTTT

Thanh toán trực tuyến

Thanh toán trực tuyến

EDI

Electronic Data Interchange

Trao đổi dữ liệu điện tử

CSS

Cross- Site Scripting

Kỹ thuật tấn công bằng thẻ HTML
hoăc các mã script.

Number Tổ chức cấp phát số liệu Internet
Giao dịch điện tử an tồn

Giải thuật băm an tồn
Ngơn ngữ truy vấn mang tính cấu
trúc

Programming Giao diện lập trình ứng dụng

As Hàng đến nhƣng khác so với mô tả
Hàng không nhận đƣợc

5


DANH MỤC CÁC BẢNG, SƠ ĐỒ
TT

Nội dung

Tên

Trang

1.

Hình 2.1

Sơ đồ mã hóa dùng khóa riêng

21

2.

Hình 2.2

Ví dụ về chứng thực số hóa


22

3.

Hình 2.3

Các bƣớc mã hóa bằng chữ ký số

24

4.

Hình 2.4

Các bƣớc kiểm tra thơng điệp ký

24

5.

Hình 2.5

Mơ hình hoạt động của chữ ký điện tử

25

6.

Hình 2.6


7.

Hình 2.7

8.

Bảng 2.1

9.

Hình 3.1

10. Hình 3.2
11. Hình 3.3

Vị trí cảu các phƣơng tiện bảo mật trong cấu trúc
của giao thức TCP/IP
Kiến trúc của SSL

27
28

Các số cổng đƣợc gán cho các giao thức ứng dụng
chạy trên TLS/SSL

29

Quy trình thanh tốn bằng thẻ tín dụng


41

Ví điện tử

42

Mơ hình cổng thanh tốn trung gian, hỗ trợ ngƣời
bán TMĐT vừa và nhỏ

46

12. Hình 4.1

Sơ đồ quá trình mua hàng trực tuyến

55

13. Hình 4.2

Mơ hình hoạt động thanh tốn trực tuyến của NL

61

14. Hình 4.3

Sơ đồ các bƣớc thanh tốn qua NL

61

15. Hình 4.4


Sơ đồ tổng quan các bƣớc xử lý khiếu nại

63

16. Bảng 4.1

Bảng phí các giao dịch hiện hành

64

6


MỞ ĐẦU
1. Lý do chọn đề tài
Với sự phát triển mang tính tồn cầu của mạng Internet và TMĐT con ngƣời
có thể mua bán hàng hóa và dịch vụ thơng qua mạng máy tính một cách dễ dàng
trong mọi lĩnh vực thƣơng mại rộng lớn. Tuy nhiên đối với các giao dịch mang tính
nhạy cảm này cần phải có những cơ chế đảm bảo an toàn và bảo mật.
Ngày nay chúng ta thấy việc xây dựng các website TMĐT không còn là mới
mẻ với ngƣời sử dụng Internet, đặc biệt là những nhà kinh doanh và khách hàng
trong lĩnh vực TMĐT. Trƣớc thói quen và tâm lý mua hàng của khách hàng Việt
Nam là thiếu niềm tin vào các giao dịch trên mạng, lo lắng vì sợ mất mát thơng tin
về tài khoản, thơng tin cá nhân, thanh tốn trực tuyến...Việc xây dựng một website
bán hàng phong phú về chủng loại mặt hàng, đa dạng về mẫu mã sản phẩm, an tồn,
nhanh chóng trong q trình mua sắm và thanh tốn là vấn đề cấp bách hiện nay.
Đó là yếu tố quan trọng để phát triển TMĐT Việt Nam.
Vấn đề an tồn và bảo mật thơng tin trong TMĐT phải đảm bảo bốn yêu cầu
sau đây:

- Đảm bảo tin cậy: Các nội dung thông tin không bị theo dõi hoặc sao chép
bởi những thực thể không đƣợc ủy thác.
- Đảm bảo tồn vẹn: Các nội dung thơng tin khơng bị thay đổi bởi những
thực thể không đƣợc ủy thác.
- Sự chứng minh xác thực: Khơng ai có thể trá hình nhƣ là bên hợp pháp
trong q trình trao đổi thơng tin.
- Khơng thể thối thác trách nhiệm: Ngƣời gửi tin khơng thể thối thác về
những nội dung thơng tin thực tế đã gửi đi.
Xuất phát từ những khả năng ứng dụng trong thực tế và những ứng dụng đã
có từ các kết quả của nghiên cứu trƣớc đây về lĩnh vực An toàn và Bảo mật trong
TMĐT. Đề tài sẽ đi sâu nghiên cứu các kỹ thuật chính của lĩnh vực an tồn và bảo
mật thơng tin trong giao dịch thƣơng mại điện tử thơng qua mơ hình của một
website bán hàng.

7


2. Mục đích nghiên cứu
- Nghiên cứu các mơ hình thanh toán trong TMĐT để bảo mật thanh toán
trên website bán hàng.
- Sử dụng một số kỹ thuật bảo mật web để áp dụng vào website bán hàng.
- Áp dụng các kết quả nghiên cứu để triển khai hệ thống an tồn và bảo mật
q trình thanh tốn trong thƣơng mại điện tử.
3. Đối tƣợng và phạm vi nghiên cứu
3.1. Đối tượng nghiên cứu
- Các giao dịch trong thƣơng mại điện tử.
- Các kỹ thuật an toàn và bảo mật trong thƣơng mại điện tử, đặc biệt các kỹ
thuật bảo mật ứng dụng web.
- Các mơ hình thanh tốn trong thƣơng mại điện tử cụ thể: mơ hình của
Ngân Lƣợng và PayPal.

3.2. Phạm vi nghiên cứu
Áp dụng mơ hình thanh toán của Ngân Lƣợng và PayPal vào website bán
hàng trên mạng.
4. Nhiệm vụ nghiên cứu
- Nghiên cứu các giao dịch trong thƣơng mại điện tử để tìm hiểu quá trình
mua bán trên mạng.
- Nghiên cứu các kỹ thuật tấn công, biện pháp bảo mật trong thƣơng mại
điện tử, đặc biệt các biện pháp bảo mật website.
- Nghiên cứu các kỹ thuật để thực hiện thanh tốn an tồn trong thƣơng mại
điện tử.
- Nghiên cứu các mơ hình thanh tốn trong thƣơng mại điện tử, chọn mơ
hình thanh tốn tin cậy để tích hợp vào website bán hàng giúp q trình thanh toán
đƣợc bảo mật.
5. Phƣơng pháp nghiên cứu
- Về lý thuyết: Tìm hiểu các giao dịch trong TMĐT của một số Website
trong và ngồi nƣớc, thu thập các thơng tin về bảo mật các giao dịch thƣơng mại

8


điện tử đã có. Nghiên cứu các cách thức tấn cơng trên website, thanh tốn an tồn
trên mạng, các khái niệm chung về mã hóa, chứng thực số hóa, chữ ký số...
- Về thực nghiệm: Ứng dụng xây dựng website TMĐT có tích hợp thanh
tốn qua cổng thanh tốn, các kỹ thuật bảo mật để triển khai hệ thống an toàn và
bảo mật trên website bán hàng.
6. Cấu trúc luận văn
Ngoài phần mở đầu, kết luận, kiến nghị và các danh mục tài liệu tham khảo,
các phụ lục của luận văn, nội dung của luận văn bao gồm 4 chƣơng:
- Chương 1: Giao dịch trong thƣơng mại điện tử.
- Chương 2: An toàn và bảo mật trong thƣơng mại điện tử.

- Chương 3: Một số mơ hình thanh tốn trong thƣơng mại điện tử.
- Chương 4: Thực nghiệm bảo mật thanh toán trên website.

9


NỘI DUNG
CHƢƠNG I. CÁC GIAO DỊCH TRONG THƢƠNG MẠI ĐIỆN TỬ
1.1. Các hình thức hoạt động thƣơng mại điện tử
1.1.1. Thư tín điện tử:
Các đối tác (ngƣời tiêu thụ, doanh nghiệp, các cơ quan chính phủ) sử dụng
hịm thƣ điện tử để gửi thƣ cho nhau một cách ―trực tuyến‖ thơng qua mạng, gọi là
thƣ tín điện tử (electronic mail, gọi tắt là e-mail). Đây là một thứ thông tin dƣới
dạng ―phi cấu trúc‖, nghĩa là thông tin phải tuân thủ một cấu trúc đã thỏa thuận (là
điều khác với ―trao đổi dữ liệu điện tử‖ sẽ nói dƣới đây).
1.1.2. Thanh toán điện tử
Thanh toán điện tử là việc thanh tốn tiền thơng qua thơng điệp điện tử thay
cho việc trao tay tiền mặt, việc trả lƣơng bằng cách chuyển tiền trực tiếp vào tài
khoản, trả tiền mua hàng bằng thẻ mua hàng, thẻ tín dụng v.v.. đã quen thuộc lâu
nay thực chất đều là các dạng thanh toán điện tử.
- Trao đổi dữ liệu điện tử tài chính (Finacial Electronic Data Interchange,
gọi tắt là FEDI) chuyên phục vụ cho việc thanh tốn điện tử giữa các cơng ty giao
dịch với nhau bằng điện tử.
- Tiền mặt Internet là tiền mặt đƣợc mua từ một nơi phát hành (ngân hàng
hoặc tổ chức tín dụng), sau đó đƣợc chuyển đổi tự do sang các đồng tiền khác thông
qua Internet, áp dụng trong phạm vi cả một nƣớc cũng nhƣ các quốc gia. Tất cả đều
đƣợc thực hiện bằng kỹ thuật số hóa, vì thế tiền mặt này cịn có tên gọi là ―tiền mặt
số hóa‖. Cơng nghệ đặc thù chun phục vụ mục đích này có tên gọi là ―mã hóa
khóa cơng khai/ bí mật‖ (Public/Private Key Cryptography). Tiền mặt Internet đƣợc
ngƣời mua hàng mua bằng nội tệ, rồi dùng Internet để chuyển cho ngƣời bán hàng.

- Túi tiền điện tử (electronic purse; cịn gọi tắt là ―ví điện tử‖) nói đơn giản
là nơi để tiền mặt Internet mà chủ yếu là thẻ thông minh. Tiền đƣợc trả cho bất cứ ai
đọc đƣợc thẻ đó. Kỹ thuật của túi tiền về cơ bản là kỹ thuật ―mã hóa khóa cơng
khai/ bí mật‖ tƣơng tự nhƣ kỹ thuật áp dụng cho ―tiền mặt Internet‖.

10


- Thẻ thơng minh nhìn bề ngồi tƣơng tự nhƣ thẻ tín dụng, nhƣng ở mặt sau
của thẻ, thay vì cho dải từ, lại là một chip máy tính điện tử có một bộ nhớ nhỏ để
lƣu trữ tiền số hóa. Tiền ấy chỉ đƣợc ―chi trả‖ khi ngƣời sử dụng và thơng điệp (ví
dụ nhƣ xác nhận thanh tốn hóa đơn) đƣợc xác thực là ―đúng‖.
- Giao dịch ngân hàng số hóa và giao dịch chứng khốn số hóa. Hệ thống
thanh toán điện tử của ngân hàng là một đại hệ thống, gồm nhiều tiểu hệ thống: (1)
thanh toán giữa ngân hàng với khách hàng (qua điện thoại, các điểm bán lẻ, các kiốt, giao dịch cá nhân tại nhà, giao dịch tại trụ sở khách hàng, giao dịch qua Internet,
chuyển tiền điện tử, thẻ tín dụng, vấn tin...), (2) thanh toán giữa ngân hàng với các
đại lý thanh toán (nhà hàng, siêu thị...), (3) thanh toán trong nội bộ một hệ thống
ngân hàng, (4) thanh toán giữa hệ thống ngân hàng này với hệ thống ngân hàng
khác.
1.1.3. Trao đổi dữ liệu điện tử
Trao đổi dữ liệu điện tử (electronic data interchange, gọi tắt là EDI) là việc
trao đổi các dữ liệu dƣới dạng ―có cấu trúc‖ (structured form) từ máy tính điện tử
này sang máy tính điện tử khác, giữa các công ty hay tổ chức đã thỏa thuận buôn
bán với nhau theo cách này một cách tự động mà khơng cần có sự can thiệp của con
ngƣời (gọi là dữ liệu có cấu trúc, vì các bên đối tác phải thỏa thuận từ trƣớc khuôn
dạng cấu trúc của các thông tin).
Thƣơng mại điện tử qua biên giới (Cross- border electronic commerce) về
bản chất chính là trao đổi dữ liệu điện tử giữa các doanh nghiệp mà đƣợc thực hiện
giữa các đối tác ở các quốc gia khác nhau, với các nội dung:
-


Giao dịch kết nối.

-

Đặt hàng.

-

Giao dịch gửi hàng (shipping).

-

Thanh tốn.

1.1.4. Giao gửi số hóa của các dung liệu

11


Dung liệu (content) là các hàng hóa mà ngƣời ta cần đến nội dung của nó
(chính nội dung là hàng hóa). Các ý kiến tƣ vấn, vé máy bay, vé xem phim, xem
hát, hợp đồng bảo hiểm v.v... nay cũng đƣợc đƣa vào danh mục các dung liệu.
Trƣớc đây dung liệu cũng đƣợc trao đổi dƣới dạng hiện vật (physical form)
bằng cách đƣa vào đĩa, vào băng, in thành sách báo, thành văn bản, đóng gói bao bì
chuyển đến tay ngƣời sử dụng, hoặc đến điểm phân phối (nhƣ cửa hàng, quầy báo
v.v...) để ngƣời sử dụng đến mua và nhận trực tiếp. Ngày nay, dung liệu đƣợc số
hóa và truyền gửi theo mạng, gọi là ―giao gửi số hóa‖ (digital delivery). Ở Mỹ hiện
nay 90% dân số dùng Web/ Internet để thu nhận tin tức và thông tin, khoảng 80,5%
sử dụng Web/Internet làm công cụ phục vụ cho nghiên cứu.

Các tờ báo, các tƣ liệu công ty, cataloge sản phẩm lần lƣợt đƣợc đƣa lên Web
(gọi chung là ―xuất bản điện tử‖). Các chƣơng trình phát thanh, truyền hình, giáo
dục, ca nhạc, kể truyện v.v... đƣợc số hóa, truyền qua Internet để ngƣời tiêu thụ sử
dụng thông qua màn hình và thiết bị âm thanh của máy tính điện tử (hoặc của ―sách
điện tử‖ chuyên dụng). Các chƣơng trình phần mềm đƣợc chuyển qua mạng, rồi
đƣợc ngƣời sử dụng tải xuống (download). Đặt chỗ trên máy bay, rạp hát qua
Internet (gọi là vé điện tử: electronic ticket) ở Mỹ đã chiếm tỷ trọng tới 70%. Ngƣời
tiêu thụ dùng Internet để liên lạc trực tuyến với các cơ quan tín dụng ngân hàng để
biết các thông tin về bảo hiểm và số liệu phút chót về tài chính của mình (tiền tiết
kiệm, tiền gửi, tiền sắp phải trả v.v...).
Trên góc độ kinh tế thƣơng mại, các loại thông tin kinh tế và kinh doanh trên
Internet đều có mức phong phú, và một nhiệm vụ quan trọng của công tác thông tin
ngày nay là khai thác Web và phân tích tổng hợp.
1.1.5. Bán lẻ hàng hóa hữu hình
Cho tới năm 1994 - 1995, hình thức bán hàng này cịn chƣa phát triển, ngay
ở Mỹ cũng chỉ có vài cửa hàng có mặt trên Internet, chủ yếu là các cửa hàng bán đồ
chơi, thiết bị tin học, sách, rƣợu. Ngày nay, danh sách các hàng hóa bán lẻ qua
mạng đã mở rộng ra, từ hoa tới quần áo, ô tô và xuất hiện hẳn một loại hoạt động
gọi là ―mua hàng điện tử‖ (electronic shopping), hay ―mua hàng trên mạng‖. Ở một
12


số nƣớc Internet đã bắt đầu trở thành công cụ để cạnh tranh bán lẻ hàng hóa hữu
hình (Retail of tangible goods). Tận dụng tính đa phƣơng tiện (multimedia) của môi
trƣờng Web và Java, ngƣời bán hàng xây dựng trên mạng các ―cửa hàng ảo‖ (virtual
shop) để thực hiện việc bán hàng. Ngƣời sử dụng Internet/Web tìm trang Web của
cửa hàng, xem hàng hóa hiển thị trên màn hình, xác nhận mua hàng, và trả tiền bằng
thanh tốn điện tử.
Vì là hàng hóa hữu hình, nên tất yếu sau đó các cửa hàng phải dùng tới các
phƣơng tiện gửi hàng truyền thống để đƣa hàng tới tay khách. Điều quan trọng nhất

là : khách hàng có thể mua hàng tại nhà (home shopping), mà khơng phải đích thân
đi tới cửa hàng.
1.2. Giao dịch thƣơng mại điện tử
Giao dịch thƣơng mại điện tử (electronic commerce transaction), với chữ
―thƣơng mại‖ đƣợc hiểu với đầy đủ các nội dung nhƣ đã ghi trong Đạo luật mẫu về
thƣơng mại điện tử của Liên hiệp quốc, bao gồm bốn kiểu:
-

Ngƣời với ngƣời: qua điện thoại, máy Fax, và thƣ điện tử (electronic

-

Ngƣời với máy tính điện tử: trực tiếp hoặc qua các mẫu biểu điện tử

mail).

(electronic form), qua world wide web.
-

Máy tính điện tử với ngƣời (qua fax, thƣ điện tử).

-

Máy tính điện tử với máy tính điện tử (qua trao đổi dữ liệu có cấu trúc,

thẻ thông minh, mã vạch).
1.3. Các bên tham gia thƣơng mại điện tử
Giao dịch thƣơng mại điện tử (electronic commerce transaction) diễn ra bên
trong và giữa ba nhóm tham gia chủ yếu: (1) doanh nghiệp; (2) chính phủ; và (3)
ngƣời tiêu thụ. Các giao dịch này đƣợc tiến hành ở nhiều cấp độ khác nhau, bao

gồm:
- Giữa các doanh nghiệp với ngƣời tiêu thụ: mục đích cuối cùng là dẫn tới
việc ngƣời tiêu thụ có thể mua hàng tại nhà mà không cần tới cửa hàng (home
shopping).

13


- Giữa các doanh nghiệp với nhau: trao đổi dữ liệu, mua bán, thanh tốn
hàng hóa và dịch vụ, mục đích cuối cùng là đạt đƣợc hiệu quả cao trong sản xuất và
kinh doanh.
- Giữa các doanh nghiệp với các cơ quan chính phủ: nhằm vào các mục
đích: (1) mua sắm chính phủ theo kiểu trực tuyến (online goverment procurement),
(2) các mục đích quản lý (thuế, hải quan v.v...), (3) thông tin.
- Giữa ngƣời tiêu thụ với các cơ quan chính phủ: các vấn đề về (1) thuế, (2)
dịch vụ hải quan, phịng dịch v.v...,(3) thơng tin.
- Giữa các chính phủ: trao đổi thông tin.
Trong bốn cấp độ giao dịch nói trên, giao dịch giữa các doanh nghiệp với
nhau là dạng chủ yếu của giao dịch thƣơng mại điện tử, và giao dịch giữa các doanh
nghiệp với nhau chủ yếu dùng phƣơng thức trao đổi dữ liệu điện tử, tức EDI.

14


CHƢƠNG II. AN TOÀN BẢO MẬT TRONG THƢƠNG MẠI ĐIỆN
TỬ
2.1. Các cách tấn công trong thƣơng mại điện tử
Các cách tấn cơng có thể đƣợc chia thành 3 kiểu và 3 giai đoạn. Có 3 kiểu
tấn cơng là:
- Thăm dị.

- Truy cập.
- Từ chối dịch vụ DoS.
Tùy theo từng giai đoạn mà cách tấn công cũng sẽ thay đổi theo.
2.1.1. Thăm dò
Thăm dò vừa là một giai đoạn, vừa là một kiểu tấn cơng.
Thăm dị là việc thu thập dữ liệu trái phép về tài nguyên, các lổ hổng hoặc
dịch vụ của hệ thống. Các cách tấn công truy cập hay DoS thƣờng đƣợc tiến hành
bởi kiểu tấn công thăm dị. Hiển nhiên, các hacker phải biết có thể tấn cơng cái gì
trƣớc khi xâm nhập. Thăm dị giống nhƣ một kẻ trộm nhà băng muốn biết có bao
nhiêu bảo vệ đang làm nhiệm vụ, bao nhiêu camera, vị trí của chúng và đƣờng thốt
hiểm. Thăm dị là một kiểu tấn cơng, nó cũng là một giai đoạn tấn cơng.
2.1.2. Truy cập
Truy cập là một thuật ngữ rộng miêu tả bất kỳ kiểu tấn cơng nào địi hỏi
ngƣời xâm nhập lấy đƣợc quyền truy cập trái phép của một hệ thống bảo mật với
mục đích thao túng dữ liệu, nâng cao đặc quyền, hay đơn giản chỉ là truy cập vào hệ
thống.
Tấn công truy cập hệ thống : truy cập hệ thống là hành động nhằm đạt đƣợc
quyền truy cập bất hợp pháp đến một hệ thống mà ở đó hacker khơng có tài khoản
sử dụng. Hacker thƣờng tìm kiếm quyền truy cập đến một thiết bị bằng cách chạy
một đoạn mã hay bằng những công cụ hack (hacking tool), hay là khai thác một yếu
điểm của ứng dụng hoặc một dịch vụ đang chạy trên máy chủ.
Tấn công truy cập thao túng dữ liệu: thao túng dữ liệu xuất hiện khi kẻ xâm
nhập đọc, viết, xóa, sao chép hay thay đổi dữ liệu. Nó có thể đơn giản nhƣ việc tìm

15


phần mềm chia sẻ (share) trên máy tính Window 9x hay NT, hay khó hơn nhƣ việc
cố gắng xâm nhập một hệ thống tín dụng của cục thơng tin (credit bureau‘s
information).

Tấn công truy cập nâng cao đặc quyền : nâng cao đặc quyền là một dạng tấn
công phổ biến. Bằng cách nâng cao đặc quyền, kẻ xâm nhập có thể truy cập vào các
files hay folder dữ liệu mà tài khoản ngƣời sử dụng ban đầu không đƣợc cho phép
truy cập. Khi hacker đạt đƣợc mức độ quyền truy cập đủ cao, họ có thể cài đặt phần
mềm nhƣ là backdoors và Trojan horses, cũng nhƣ cho phép truy cập sâu hơn và
thăm dị. Mục đích chung của hacker là chiếm đƣợc quyền truy cập ở mức độ quản
trị. Khi đã đạt đƣợc mục đích đó, họ có tồn quyền điều khiển hệ thống mạng.
2.1.3. Kiểu tấn công từ chối dịch vụ DoS
Kiểu tấn công DoS đƣợc thực hiện nhằm làm vơ hiệu hóa, làm hƣ hỏng , hay
gây tổn hại đến tài nguyên mạng với mục đích cản trở việc sử dụng những hệ thống
này của ngƣời dùng. Dạng phạm tội điện tử này là dạng tấn công tồi tệ nhất mà các
công ty TMĐT phải đối mặt bởi vì mục đích duy nhất của hacker là ngăn chặn
ngƣời dùng sử dụng các dịch vụ điện tử của các công ty. Ý định của dạng tấn công
này chỉ đơn giản nhằm gây tổn hại và chống lại một công ty trong việc buôn bán.
Một hacker với một PC ở nhà phải mất một lƣợng lớn thời gian tạo ra đủ lƣu
lƣợng mạng để làm quá tải một nhóm máy chủ Internet . Để tấn công DoS hiệu quả
hacker sử dụng nhiều hệ thống máy tính khác nhau nhằm lấn át máy chủ (đích). Sử
dụng nhiều hệ thống máy tính để tấn công máy chủ hay mạng đƣợc gọi là tấn công
từ chối dịch vụ phân phối (DDoS). Dạng tấn công này đã từng thành công khi tấn
công web site của Yahoo!, ebay và CNN.com. Một hacker liên quan sau đó bị bắt
và bị truy tố.
Các giai đoạn tấn cơng:
Giai đoạn đầu tiên
Mục tiêu: Là giai đoạn định nghĩa đối tƣợng. Điều đầu tiên cần làm rõ trong
mọi hoạt động cũng nhƣ việc hacking là xác định đƣợc mục tiêu. Kết quả của việc
xác lập mục tiêu của kiểu tấn cơng dẫn đến việc hình thành, chọn lựa những cơng cụ

16



và phƣơng pháp phù hợp. Mục tiêu đơn giản là tồn bộ mục đích của ngƣời xâm
nhập. Nếu kẻ xâm nhập có động cơ trả thù thì kiểu tấn cơng DoS phù hợp với nhu
cầu đó. Nếu kẻ tấn cơng là một đối thủ thì xâm nhập hệ thống và thao túng dữ liệu
mới là mục tiêu. Khi kẻ xâm nhập tiến hành những bƣớc của một kiểu tấn công, thì
mục tiêu có thể và thƣờng thay đổi. Một yếu tố quan trọng khác nữa trong việc xác
định mục tiêu là động cơ đằng sau sự xâm nhập. Hầu hết những script kiddies
(hacker mới vào nghề) bị thúc đẩy bởi sự hồi hộp, gay cấn trong khi đó những
hacker cao cấp bị thúc đẩy bởi những động cơ nhƣ thử thách trí tuệ, trả thù, kiếm
tiền bất hợp pháp.
Giai đoạn hai thăm dị
Giai đoạn thăm dị, nhƣ chính tựa đề của nó, là giai đoạn mà hacker sử dụng
nhiều nguồn tài nguyên để thu thập thông tin về hệ thống đối tƣợng. Thơng thƣờng
những hacker có kinh nghiệm thƣờng thu thập những thông tin về công ty đối
tƣợng, nhƣ là vị trí của cơng ty, số điện thoại, tên của những nhân viên, địa chỉ email, tất cả đều hữu dụng với ngƣời xâm nhập có kinh nghiệm.
Thăm dị thơng tin công cộng
Tên nhân viên, địa chỉ e_mail là điểm khởi đầu thuận lợi cho các hacker có
thể đốn nhận user name của tài khoản nhân viên. Thông thƣờng họ sử dụng tên hay
họ của nhân viên để làm tài khoản máy tính trong mạng của họ. Địa chỉ e_mail cũng
là một dạng user name thông thƣờng cho tài khoản máy tính của họ. Những cơng ty
lớn thƣờng ấn định số phone của họ trong công ty điên thoại cục bộ cũng nhƣ nhiều
tập đồn có tiếp đầu ngữ quay số cho riêng họ. Những cơng cụ bẻ khóa mạnh thì
ln có sẵn trên Internet. Khi đã đốn đƣợc username, thì vấn đề cịn lại chỉ là thời
gian để bẻ gãy những password yếu kém.
Thăm dò điện tử: kẻ tấn cơng phải tiến hành thăm dị để tìm tài ngun hay
hệ thống nào đó có trên mạng. Nếu ngƣời tấn cơng khơng có những hiểu biết về
mạng đối tƣợng, họ phải tìm nguồn tài ngun của cơng ty đƣợc đặt ở đâu một cách
logic. Khi đã có đƣợc địa chỉ IP của cơng ty, ngƣời tấn cơng có thể bắt đầu dị tìm

17



và quét mạng để tìm điểm yếu của máy chủ, ứng dụng, hay những thiết bị cơ sở hạ
tầng.
Một cách điển hình ngƣời ta thƣờng sử dụng tiện ích qt ping (ping sweep
utility), nhờ tiện ích này ngƣời ta có thể quét một khoảng lớn các địa chỉ IP. Mục
đích của việc này là tìm xem máy chủ nào đang trên mạng. Tiện ích quét ping xác
định những đối tƣợng đang có mặt trên mạng. Khi đã biết đƣợc IP của host tồn tại
trên mạng, ngƣời tấn cơng sau đó có thể bắt đầu dị tìm những máy chủ này để tìm
thêm thơng tin, nhƣ là hệ điều hành hay các chƣơng trình ứng dụng đang chạy trên
host. Thuật ngữ dị tìm (probing) đƣợc định nghĩa là những cố gắng nhằm khai thác
thông tin về máy chủ trên mạng. Probing đƣợc hồn thành bằng việc tìm thấy những
cổng mở trên những máy tính chủ. Cổng (port) giống nhƣ một con đƣờng ảo tới
máy tính. Một máy tính muốn đƣợc mời hay sử dụng các dịch vụ trên mạng ,trƣớc
hết nó phải có một cổng mở. Những máy chủ web thƣờng sử dụng cổng 80, trong
khi đó máy chủ FTP sử dụng cổng 21. Kẻ tấn cơng có thể xác định đƣợc dịch vụ
nào đang chạy trên máy bằng cách xác định những cổng nào đƣợc máy tính mở.
Những cơng cụ thăm dị:
Hầu hết những cơng cụ hack thơng thƣờng và phổ biến rộng rãi là cơng cụ
thăm dị. Mục đích chính của những cơng cụ này là giúp kỹ sƣ mạng trong xử lý lƣu
lƣợng hay bảo trì mạng, nhƣng hacker lại sử dụng những cơng cụ này để tìm kiếm
những nguồn tài nguyên mạng bất hợp pháp. Rất nhiều những công cụ này đƣợc chế
tạo cũng nhƣ cải tiến nhằm giúp hacker trong những hành động trái phép. Nhiều
công cụ đƣợc phát triển dƣới cái mác của những công cụ hợp pháp của các kỹ sƣ
mạng nhƣng thực chất nó đƣợc xây dựng nhằm làm trợ thủ cho những hacker.
Khi mà những công cụ phát hiện xâm nhập và bảo mật ngày càng trở nên
phức tạp thì những cơng cụ hack cũng nhƣ vậy. Hacker biết việc dị tìm cũng nhƣ
qt sẽ gây nghi ngờ, báo động. Chính vì điều này, các hacker bắt đầu phát triển
những phần mềm mới nhằm giấu đi mục đích chính của hành động. Những cơng cụ
thăm dị đƣợc sử dụng nhiều ngày nay là MAP WHOIS, SATAN Ping, Portscanner
Nslookup Strobe Trace.


18


Giai đoạn thứ ba: giai đoạn tấn công
Giai đoạn cuối cùng là giai đoạn tấn công. Trong giai đoạn tấn công kẻ xâm
nhập bắt đầu cố gắng xâm nhập mạng và tài nguyên hệ thống trên mạng. Bằng cách
sử dụng các thông tin đã thu thập đƣợc, một vài hacker có thể thực hiện việc tấn
cơng nhiều lần cho đến khi phát hiện đƣợc lỗi bảo mật để có thể khai thác.
Một khi hacker có đƣợc quyền xâm nhập hệ thống máy chủ trên mạng, thì máy chủ
đó đƣợc mơ tả nhƣ đang bị thỏa hiệp (compromised). Bất cứ hệ thống nào có mối
liên hệ tin tƣởng với máy chủ đã bị hại thì cũng có thể bị xem nhƣ đang bị hại.
2.2. Các biện pháp bảo vệ hệ thống thƣơng mại điện tử
2.2.1. Cơ chế mã hóa
Để đảm bảo an toàn bảo mật cho các giao dịch, ngƣời ta dùng hệ thống khoá
mã và kỹ thuật mã hoá cho các giao dịch TMĐT. Mã hố là q trình trộn văn bản
với khố mã tạo thành văn bản khơng thể đọc đƣợc truyền trên mạng. Khi nhận
đƣợc bản mã, phải dùng khóa mã để giải thành bản rõ. Mã hố và giải mã gồm 4
thành phần cơ bản: 1> Văn bản rõ – plaintext 2> Văn bản đã mã – Ciphertext 3>
Thuật toán mã hoá - Encryption algorithm 4> Khoá mã – Key — là khố bí mật
dùng nó để giải mã thơng thƣờng. Mã hố là tiền đề cho sự thiết lập các vấn đề liên
quan đến bảo mật và an ninh trên mạng.
Có hai phƣơng pháp mã hóa phổ biến nhất: phương pháp mã đối xứng (khóa
riêng): là mã hóa chỉ sử dụng một khóa cho cả quá trình mã hóa (đƣợc thực hiện bởi
ngƣời gửi thơng tin) và quá trình giải mã (đƣợc thực hiện bởi ngƣời nhận).
Các vấn đề đối với phương pháp mã hóa đối xứng:
- Phƣơng pháp mã hóa đối xứng địi hỏi ngƣời mã hóa và ngƣời giải mã
phải cùng chung một chìa khóa. Khi đó khóa phải đƣợc giữ bí mật tuyệt đối, do vậy
ta dễ dàng xác định một khóa nếu biết khóa kia.
- Hệ mã hóa đối xứng khơng an tồn vì khóa bị lộ với xác suất cao. Trong

hệ này, khóa phải đƣợc gửi đi trên kênh an tồn.
- Vấn đề quản lý và phân phối khóa là khó khăn và phức tạp. Ngƣời gửi và
nhận phải luôn thống nhất với nhau về khóa. Việc thay đổi khóa là khó và dễ bị lộ.
19


- Khuynh hƣớng cung cấp khóa dài và nó phải đƣợc thay đổi thƣờng xuyên
cho mọi ngƣời trong khi vẫn duy trì cả tính an tồn lẫn hiệu quả chi phí sẽ cản trở
rất nhiều tới hệ mật mã này.

Hình 2.1 : Mã hóa dùng khóa riêng
Mã khơng đối xứng (mã cơng cộng): sử dụng một cặp khố là cơng cộng và
riêng, khố cơng cộng để mã hố và khố riêng để giải mã. Khi mã hoá ngƣời ta
dùng hai khoá mã hoá riêng rẽ đƣợc sử dụng. Khoá đầu tiên đƣợc sử dụng để trộn
các thông điệp sao cho nó khơng thể đọc đƣợc gọi là khố cơng cộng. Khi giải mã
các thơng điệp cần một mã khố thứ hai, mã này chỉ có ngƣời có quyền giải mã giữ
hoặc nó đƣợc sử dụng chỉ bởi ngƣời nhận bức thơng điệp này, khố này gọi là khố
riêng.
Ðể thực hiện các cơng việc mã hố và giải mã, cần một cơ quan trung gian
giữ các khố riêng, đề phịng trƣờng hợp khoá này bị mất hoặc trong trƣờng hợp
cần xác định ngƣời gửi hoặc ngƣời nhận. Các công ty đƣa ra các khoá mã riêng sẽ
quản lý và bảo vệ các khố này và đóng vai trị nhƣ một cơ quan xác định thẩm
quyền cho các mã khoá bảo mật.
2.2.2. Chứng thực số hóa
Chứng thực số để xác nhận rằng ngƣời giữ các khố cơng cộng và khố riêng
là ai đã đăng ký. Cần có cơ quan trung gian để làm cơng việc xác thực. Chứng thực
có các cấp độ khác nhau.
20



Khơng phải tất cả các mã khố riêng hay các chứng chỉ số hoá đều đƣợc xây
dựng nhƣ nhau. Loại đơn giản nhất của giấy chứng chỉ hoá đƣợc gọi là chứng nhận
Class 1, loại này có thể dễ dàng nhận khi bất kỳ ngƣời mua nào truy nhập vào WEB
site của VeriSign (www.verisign.com) . Tất cả những cái mà doanh nghiệp phải làm
là cung cấp tên, địa chỉ và địa chỉ e-mail, sau khi địa chỉ e-mail đƣợc kiểm tra, sẽ
nhận đƣợc một giấy chứng nhận số hoá. Về mặt nào đó nó cũng giống nhƣ một thẻ
đọc thƣ viện.
Các chứng nhận Class 2 yêu cầu một sự kiểm chứng về địa chỉ vật lý của
doanh nghiệp. Ðể thực hiện điều này các công ty cung cấp chứng nhận sẽ tham
khảo cơ sở dữ liệu của Equifax hoặc Experian trong trƣờng hợp đó là một ngƣời
dùng cuối và Dun&Bradstreet trong trƣờng hợp đó là một doanh nghiệp. Q trình
này giống nhƣ là một thẻ tín dụng. Mức cao nhất của một giấy chứng nhận số hoá
đƣợc gọi là chứng nhận Class 3. Có thể xem nó nhƣ là một giấy phép lái xe. Ðể
nhận đƣợc nó doanh nghiệp phải chứng minh chính xác mình là ai và phải là ngƣời
chịu trách nhiệm. Các giấy phép lái xe thật có ảnh của ngƣời sở hữu và đƣợc in với
các công nghệ đặc biệt để tránh bị làm giả.
Các giấy chứng nhận Class 3 hiện chƣa đƣợc chào hàng, tuy nhiên các cơng ty
hoạt động trong lĩnh vực an tồn và bảo mật đã mƣờng tƣợng ra việc sử dụng nó
trong tƣơng lai gần cho các vấn đề quan trọng nhƣ việc đàm phán thuê bất động sản
qua WEB hoặc vay vốn trực tuyến. Nó cũng có thể đƣợc sử dụng nhƣ là các chứng
nhận định danh hợp pháp hỗ trợ việc phân phát các bản ghi tín dụng hoặc chuyển
các tài liệu của toà án. Hiện tại các biểu mẫu thu nhận thơng tin thanh tốn trên
WEB thƣờng đạt chứng nhận an toàn và bảo mật Class 1, nhƣng hiện tại một số cửa
hàng trên WEB cũng đã đạt mức an toàn và bảo mật Class 2 và khách hàng cũng đã
bắt đầu nhận đƣợc chúng thông qua một công nghệ đƣợc gọi là SET.

21


Hình 2.2 : Ví dụ về chứng thực số hóa

2.2.3. Giao thức thỏa thuận mã khóa
Một trong những hạn chế của mã hóa cơng cộng là khơng hiệu quả khi gửi số
lƣợng lớn thơng tin, dữ liệu vì nó địi hỏi máy tính có tốc độ nhanh, khả năng xử lý
mạnh. Do vậy phƣơng pháp mã hóa cơng cộng khó có thể coi là sự thay thế hồn
hảo cho mã hóa bí mật. Thay vào đó, mã hóa cơng cộng có thể đƣợc sử dụng để hai
bên tham gia giao dịch trao đổi mã khóa sử dụng trong mã khóa bí mật. Giao thức
thỏa thuận mã khóa là q trình các bên tham gia giao dịch trao đổi mã khóa. Giao
thức đặt ra quy tắc cho thông tin: loại thuật toán nào sẽ đƣợc sử dụng trong liên lạc.
Một trong những giao thức thỏa thuận mã khóa là phong bì số hóa (digital
envelope). Theo phƣơng pháp này, thơng điệp đƣợc mã hóa bằng mã khóa bí mật và
sau đó mã khóa bí mật đƣợc mã hóa sử dụng phƣơng pháp mã hóa cơng cộng.
Ngƣời gửi sẽ kèm thơng điệp đã đƣợc mã hóa (bằng khóa bí mật và khóa bí mật
đƣợc mã hóa bằng khóa cơng cộng) và gửi tồn bộ cho ngƣời nhận.
2.2.4. Chữ ký điện tử
Chữ ký điện tử là một phƣơng pháp mã hóa cơng cộng đƣợc sử dụng phổ
biến trong thƣơng mại điện tử. Các tài liệu và các văn bản gửi đi đều phải gắn liền
với trách nhiệm của ngƣời phát hành tài liệu đó và địi hỏi phải đƣợc đảm bảo an
ninh (khơng bị xâm phạm, thay đổi…). Giống nhƣ trong thƣơng mại truyền thống

22