An toàn thông tin

Ba yếu tố của an toàn thông tin là tính bảo mật (Confidentiality), tính toàn vẹn (Integrity), tính sẵn sàng (Availability), gọi là CIA. Tính xác thực, tính truy vết trách nhiệm, tính tin cậy, chống chối bỏ là các yếu tố được xem xét bổ sung thêm, không nằm trong bản thân 3 yếu tố.

Tính toàn vẹn là tính chất thông tin được giữ ở trạng thái chính xác và đầy đủ, không bị giả mạo, xóa, phá hủy. Chỉ người được phép truy cập là tính bảo mật, sử dụng được khi cần là tính sẵn sàng, là thật là mô tả về tính xác thực; đều khác với tính toàn vẹn.

Tính sẵn sàng là tính chất có thể sử dụng hệ thống khi cần, được nâng cao bằng thiết kế chịu lỗi như nhân đôi, dự phòng, sao lưu. Mã hóa là biện pháp cho tính bảo mật, phát hiện giả mạo bằng giá trị băm là cho tính toàn vẹn, chữ ký số là biện pháp cho tính xác thực - chống chối bỏ, không trực tiếp nâng cao tính sẵn sàng.

Chống chối bỏ là tính chất khiến chính chủ đã thực hiện các hành vi như gửi hay phê duyệt không thể phủ nhận về sau là "không làm"; được thực hiện bằng chữ ký số v.v. Hoạt động nhất quán là tính tin cậy, truy vết truy cập là tính truy vết trách nhiệm, chỉ người được phép sử dụng là mô tả về tính bảo mật.

Mua bảo hiểm là chuyển gánh nặng tổn thất khi rủi ro hiện thực hóa sang bên thứ ba là công ty bảo hiểm, nên thuộc "chuyển giao rủi ro". Né tránh là dừng chính hoạt động gây ra rủi ro, giảm thiểu là dùng biện pháp làm nhỏ khả năng xảy ra và ảnh hưởng, giữ rủi ro (chấp nhận) là không có biện pháp mà chấp nhận rủi ro.

Ransomware là malware làm hệ thống không dùng được, chẳng hạn bằng mã hóa dữ liệu, và đòi tiền chuộc (ransom) để đổi lấy việc khôi phục; tại các cơ sở y tế cũng đã có báo cáo thiệt hại làm bệnh án điện tử ngừng hoạt động. Đánh cắp thao tác bàn phím là keylogger, cài cửa hậu là backdoor, lợi dụng chức năng macro là virus macro.

Tấn công có chủ đích là tấn công nhắm vào tổ chức hoặc cá nhân cụ thể, dùng email tinh vi giả dạng đối tác hay liên lạc công việc để dụ mở tập tin đính kèm, lây nhiễm malware và xâm nhập. Gửi hàng loạt đến vô số địa chỉ là thư rác, tấn công đồng loạt từ nhiều bàn đạp là mô tả về DDoS, lây nhiễm không phân biệt khác với bản chất "nhắm đối tượng cụ thể" của tấn công có chủ đích.

Phishing là thủ đoạn dùng email mạo danh tổ chức tài chính hay dịch vụ có thật để dẫn dụ đến trang giả, bắt nhập ID, mật khẩu, số thẻ v.v. rồi đánh cắp. Quá tải bằng truyền thông khối lượng lớn là tấn công DoS, nghe trộm gói tin là sniffing, chiếm quyền qua lỗ hổng là mô tả về truy cập trái phép.

Tấn công DDoS (từ chối dịch vụ phân tán) khác DoS ở chỗ lợi dụng nhiều thiết bị đã nhiễm bot làm bàn đạp, gửi đồng loạt lượng truyền thông lớn từ các nguồn phân tán. Vì nguồn phát nhiều nên khó chặn. Mã hóa và đòi tiền chuộc là ransomware, dẫn dụ đến trang giả là phishing; xâm nhập từ một máy không phải đặc trưng của DDoS.

Quy tắc 3-2-1 là cách nghĩ: giữ 3 bản sao dữ liệu (bản gốc + 2 bản), lưu trên 2 loại phương tiện khác nhau, trong đó 1 bản bảo quản offsite như ở nơi xa. Việc giữ bản sao tách khỏi mạng giúp đề phòng tình huống ransomware mã hóa cả bản sao lưu. Các lựa chọn khác nói về chu kỳ sao lưu hay cấu hình nguồn điện, không phải nội dung quy tắc này.

Phương thức mã hóa khóa đối xứng dùng cùng một khóa cho mã hóa và giải mã, nên cần chia sẻ khóa an toàn với đối tượng truyền thông (bài toán phân phối khóa). Dùng cặp khóa công khai - bí mật là phương thức mã hóa khóa công khai; chứng thư khóa công khai là cơ chế của PKI. Về tốc độ, mã hóa khóa đối xứng nhanh hơn; mô tả chậm hơn là ngược.

RSA là thuật toán tiêu biểu của mã hóa khóa công khai, dựa trên độ khó của việc phân tích thừa số nguyên tố các số lớn, được dùng cho cả mã hóa lẫn chữ ký số. AES, DES, 3DES đều là thuật toán mã hóa khóa đối xứng dùng cùng một khóa cho mã hóa và giải mã.

Khi mục đích là bảo đảm tính bảo mật, mã hóa bằng "khóa công khai của người nhận (anh B)" để chỉ người nhận giải mã được. Người giải mã được chỉ có anh B — người giữ khóa bí mật tạo thành cặp. Xử lý bằng khóa bí mật của anh A là trường hợp chữ ký số; khóa bí mật của anh B là khóa không ai ngoài anh B được giữ nên không thể dùng để mã hóa.

Bản mã đã được mã hóa bằng khóa công khai của người nhận B, nên giải mã dùng "khóa bí mật của anh B" tạo thành cặp. Khóa bí mật chỉ mình anh B giữ nên người khác không giải mã được. Khóa công khai của người gửi là khóa dùng để kiểm chứng chữ ký số; thứ đã mã hóa bằng khóa công khai của B thì không thể giải mã bằng chính khóa công khai của B.

Chữ ký số được tạo bằng cách xử lý giá trị băm của văn bản bằng "khóa bí mật của người gửi"; người nhận kiểm chứng bằng "khóa công khai của người gửi". Khóa bí mật chỉ chính chủ giữ, nên kiểm chứng được nghĩa là xác nhận được chính chủ đã tạo. Khóa công khai của người nhận là khóa dùng mã hóa để bảo mật; cần chú ý chiều của chữ ký ngược với chiều mã hóa.

Chữ ký số thực hiện việc phát hiện giả mạo bằng so sánh giá trị băm (tính toàn vẹn) và xác nhận người tạo nhờ chỉ khóa bí mật của người gửi mới tạo được (tính xác thực - chống chối bỏ). Bản thân văn bản không được mã hóa nên không bảo đảm chống nghe trộm (tính bảo mật), cũng không liên quan tính sẵn sàng hay tăng tốc truyền thông.

Hàm băm là hàm một chiều sinh bản tóm lược thông điệp (giá trị băm) độ dài cố định từ dữ liệu độ dài bất kỳ; việc khôi phục dữ liệu gốc từ giá trị băm là thực chất không thể. Cùng đầu vào luôn cho cùng giá trị băm (chính vì thế mới dùng phát hiện giả mạo được); độ dài giá trị băm cố định theo từng thuật toán, không tỷ lệ với độ dài dữ liệu gốc.

Phương thức lai kết hợp ưu điểm của hai phương thức: dữ liệu khối lượng lớn được mã hóa bằng mã hóa khóa đối xứng tốc độ cao, còn mã hóa khóa công khai chỉ dùng để chia sẻ khóa đối xứng — nơi tồn tại bài toán phân phối khóa. Tổ hợp ngược lại sẽ phải xử lý dữ liệu chính bằng mã hóa khóa công khai chậm chạp, không hợp lý. Mã hóa kép bằng khóa đối xứng hay dùng lại cặp khóa không phải mô tả về phương thức lai.

Cơ quan chứng thực (CA) xác minh danh tính người đăng ký rồi phát hành chứng thư khóa công khai (chứng thư điện tử) bảo đảm sự đối ứng giữa khóa công khai và chủ nhân, đồng thời quản lý việc thu hồi. Nhờ đó ngăn việc mạo danh khóa công khai. Mã hóa dữ liệu là xử lý phía người dùng, quản lý tập trung mật khẩu là máy chủ xác thực, phát hiện - chặn xâm nhập là vai trò của IDS/IPS.

HPKI là hạ tầng khóa công khai của lĩnh vực bảo hiểm y tế - phúc lợi, có thể chứng minh bằng chứng thư điện tử các chứng chỉ quốc gia như bác sĩ, dược sĩ và tư cách người quản lý cơ sở, được dùng cho chữ ký điện tử v.v. Hạ tầng chứng thực chính phủ là GPKI; chứng thư máy chủ SSL là cơ chế khác dùng chứng minh máy chủ Web; phương thức mã hóa LAN không dây là WPA2 v.v.; đều không phải mô tả về HPKI.

HTTPS là giao thức bảo vệ truyền thông Web bằng cách mã hóa HTTP bằng SSL/TLS, thực hiện xác nhận đối tượng truyền thông bằng chứng thư máy chủ và mã hóa nội dung truyền thông. SMTP là gửi thư, DHCP là tự động cấp địa chỉ IP, FTP là giao thức truyền tập tin; đều không nhằm mục đích bảo vệ truyền thông Web.

Xác thực đa yếu tố là xác thực kết hợp từ 2 yếu tố khác nhau trở lên trong các yếu tố: tri thức (mật khẩu), sở hữu (thẻ IC v.v.), sinh trắc (vân tay v.v.); việc dùng kèm thẻ IC (sở hữu) và mật khẩu (tri thức) thuộc loại này. Hai loại mật khẩu hay 2 câu hỏi bí mật đều chỉ là lặp lại cùng yếu tố tri thức, không thành đa yếu tố.

Xác thực sinh trắc dùng đặc điểm cơ thể như vân tay, tĩnh mạch, mống mắt nên không lo quên hay mất, nhưng không thể loại bỏ hoàn toàn sai sót từ chối nhầm chính chủ và chấp nhận nhầm người khác. Đặc điểm cơ thể không thể cấp lại như mật khẩu, cũng không thể cho người khác mượn; các lựa chọn khác đều sai về đặc điểm của xác thực sinh trắc.

Xác thực mật khẩu dùng một lần sử dụng mật khẩu chỉ dùng được một lần, nên dù truyền thông bị nghe trộm cũng không thể đăng nhập lại bằng cùng giá trị. Xác thực challenge/response cũng có hiệu quả tương tự. Gửi mật khẩu cố định bản rõ hay xác thực chỉ bằng ID thì yếu trước nghe trộm và đoán mò; lưu bản rõ trong thẻ sẽ bị lợi dụng ngay khi rò rỉ.

Đăng nhập một lần là cơ chế cho phép dùng nhiều hệ thống liên kết mà không cần xác thực thêm sau một lần xác thực; tăng tiện lợi và giảm gánh nặng quản lý mật khẩu. Mặt khác, nếu thông tin xác thực bị phá thì phạm vi ảnh hưởng lan rộng, nên việc bảo vệ nền tảng xác thực rất quan trọng. Giới hạn đăng nhập đồng thời, đổi mật khẩu định kỳ, dùng chung thiết bị đều không phải mô tả về SSO.

Nguyên tắc cơ bản của kiểm soát truy cập là tư tưởng quyền hạn tối thiểu — chỉ cấp quyền trong phạm vi cần thiết cho công việc — và việc lưu lại bản ghi truy cập dưới dạng nhật ký kiểm toán. Nhật ký là điều không thể thiếu để răn đe gian lận và truy vết sau này. Việc cấp quyền quản trị cho tất cả mọi người hay để nguyên tài khoản người nghỉ việc là mầm mống của truy cập trái phép; vận hành không thu thập nhật ký kiểm toán làm mất khả năng truy trách nhiệm.

Máy chủ công khai ra bên ngoài cần được đặt trong DMZ — vùng đệm được tường lửa tách biệt khỏi cả bên ngoài lẫn bên trong. Mục đích là để dù máy chủ công khai bị tấn công và xâm nhập, kẻ tấn công cũng không thể tiếp cận trực tiếp vào mạng nội bộ. Việc lắp đặt trong mạng nội bộ hay cùng phân đoạn với thiết bị đầu cuối sẽ khiến thiệt hại lan rộng vào bên trong khi bị xâm nhập; kết nối trực tiếp không qua tường lửa là hoàn toàn không được bảo vệ.

IDS dừng ở việc phát hiện dấu hiệu xâm nhập trái phép trong thông tin liên lạc và thông báo cho quản trị viên, còn IPS ngoài việc phát hiện còn tự động thực hiện các biện pháp phòng vệ như chặn đứng thông tin liên lạc đó. Lựa chọn cho rằng vai trò ngược lại là sai, và đây cũng không phải là sự phân chia theo có dây/không dây. Diệt virus là việc của phần mềm diệt virus, mã hóa là công nghệ mã hóa; đều không phải chức năng của IDS/IPS.

VPN là công nghệ xây dựng đường truyền riêng ảo trên mạng công cộng bằng mã hóa và xác thực, có các loại như IPsec-VPN, SSL-VPN, được dùng để bảo vệ đường truyền khi kết nối giữa các cơ sở hoặc truy cập từ xa. DNS là đối chiếu tên miền với địa chỉ IP, NTP là đồng bộ thời gian, DHCP là tự động cấp phát địa chỉ IP; đều không phải là công nghệ bảo vệ đường truyền.

Biện pháp đối phó trực tiếp với các cuộc tấn công khai thác lỗ hổng bảo mật là nhanh chóng áp dụng bản vá (chương trình sửa lỗi) do nhà cung cấp phát hành để loại bỏ chính lỗ hổng đó. Phần lớn các cuộc tấn công khai thác lỗ hổng đã biết mà chưa được vá. Sao lưu là để phục hồi sau thiệt hại, tăng cường mật khẩu là biện pháp xác thực, tấm chắn màn hình là biện pháp vật lý; không loại bỏ được lỗ hổng.