1. Khái niệm về thương mại điện
tử
TMĐT là dùng phương tiện điện tử để làm thương mại
mà thương mại điện tử rẻ và phổ biến nhất hiện nay
chính là internet. Với TMĐT thì hàng hóa từ người sx
đến NTD không phải qua một khâu trung gian nào
nữa.nhà sản xuất chỉ cần đưa hình ảnh,thông số kĩ
thuật và giá thành sản phẩm lên một website NTD truy
cập vào đó đặt lệnh mua hàng. Nhà sx trực tiếp đưa
hàng đến NTD. Ở thương mại điện tử hàng hóa không
phải qua một khâu trung gian nào nữa nên giá cả
không bị đội lên vì vậy NTD mua hàng ở đấy sẽ mua
được giá rẻ hơn,không phải qua một khâu trung gian
nào nên hàng hóa không bị tráo đổi

2. 2.2 Những nguy cơ đe dọa an ninh
thương mại điện tử.
• Các đoạn mã nguy hiểm.
• Tin tặc và các chương trình phá hoại.
• Gian lận thẻ tín dụng.
• Sự lừa đảo.
• Sự khước từ phục vụ.
• Kẻ trộm trên mạng
• Sự tấn công từ bên trong doanh nghiệp.

3. Các đoạn mã nguy hiểm.
• Các đoạn mã nguy hiểm bao gồm nhiều
mối đe dọa khác nhau:
- Virus.
- Worm.
- Những con ngựa thành tơ roa.
- Bad applet.

4. Virus: là một chương trình máy tính, nó có
khả năng nhân bản hoặc tự tạo các bản
sao của chính mình và lây lan sang các
chương trình, các tệp dữ liệu khác trên
máy tính nhằm thực hiện một “mưu đồ”
nào đó.

5. • Macro virus: chiếm 75% đến 80% các loại
virus được phát hiện. Nó chỉ nhiễm vào các
tệp ứng dụng được soạn thảo như: MS
Word, MS Excel, MS PowerPoint.
• Virus tệp: là những virus lây nhiễm vào các
tệp tin có thể thực thi như: *.exe, *.com,
*.dll... Nó hoạt động khi chúng ta thực thi các
tệp tin bị lây nhiễm bằng cách tự tạo các bản
sao của chình mình ở trong các tệp tin khác
đang được thực thi tại thời điểm đó trên hệ
thống.

6. • Virus script: là một tập các chỉ lệnh trong
các ngôn ngữ lập trình như VBScript hay
JavaScript. Nó sẽ hoạt động khi ta chạy
những tệp chương trình dạng *.vbs hay
*.js. Ví dụ: virus I LOVE YOU.
• Trên thực tế, các loại virus này thường kết
nối với các worm.

7. • Worm: là một loại virus chuyên tìm kiếm
mọi dữ liệu trong bộ nhớ hoặc trong đĩa
làm thay đổi nội dung bất kỳ dữ liệu nào
mà nó gặp.
• Ví dụ: chuyển ký tự → số hoặc tráo đổi
các byte được lưu trữ trong bộ nhớ.

8. • Con ngựa thành tơ roa: bản thân nó
không có khả năng nhân bản, nhưng nó
tạo cơ hội cho các virus khác xâm nhập
vào máy tính.

9. • Bad Applet là một chương trình ứng dụng
nhỏ được nhúng trong một phần mềm
thực hiện một nhiệm vụ cụ thể làm tăng
khả năng tương tác của website.
• Các bad applet là đoạn mã di động nguy
hiểm. Người sử dụng tìm kiếm thông tin
hoặc tải các chương trình từ website có
chứa bad applet sẽ lây lan sang hệ thống
của người sử dụng..

10. Tin tặc và chuơng trình phá hoại.
• Tin tặc (Hacker): là người có thể viết hay
chỉnh sửa phần mềm, phần cứng máy tính
bao gồm lập trình, quản trị và bảo mật.
Những người này hiểu rõ hoạt động của
hệ thống máy tính, mạng máy tính và
dùng kiến thức bản thân để làm thay đổi,
chỉnh sửa nó với nhiều mục đích tốt xấu
khác nhau.

11. • Chương trình phá hoại:
- 1/4/2001 tin tặc sử dụng chương trình phá
hoại nhằm phá hoại tấn công vào các máy
chủ có sử dụng phần mềm Internet
Information Server nhằm giảm uy tín của
phần mềm như hãng hoạt hình walt
disney, nhật báo phố wall…
- 4/2001 vụ tấn công của tin tặc Hàn Quốc
vào website của bộ giáo dục Nhật Bản.

12. Gian lận thẻ tín dụng.
• Gian lận thẻ tín dụng xảy ra trong trường
hợp thẻ tín dụng bị mất, bị đánh cắp, các
thông tin về số thẻ, mã số định danh cá
nhân (mã PIN), các thông tin về khách
hàng bị tiết lộ và sử dụng bất hợp pháp.
• Trong TMĐT, các hành vi gian lận thẻ tín
dụng xảy ra đa dạng và phức tạp hơn.

13. • Mối đe dọa lớn nhất trong TMĐT là việc bị
mất các thông tin liên quan đến thẻ hoặc
các thông tin về sử dụng thẻ trong quá
trình diễn ra giao dịch.

14. Sự lừa đảo.
• Là việc các tin tặc sử dụng các địa chỉ
email hoặc mạo danh 1 người nào đó
nhằm thực hiện những hành động phi
pháp.
• Sự lừa đảo còn liên quan đến việc thay
đổi hoặc làm chệch hướng đến website
khác.

15. Sự khước từ dịch vụ.
• Sự khước từ dịch vụ của 1 website là hậu
quả của việc các hacker sử dụng những
giao thông vô ích làm tràn ngập hoặc tắt
nghẽn mạng truyền thông hoặc sử dụng 1
số lượng lớn máy tính tấn công vào 1
mạng (dưới dạng các yêu cầu phân bố
dịch vụ)

16. Kẻ trộm trên mạng.
• Là 1 dạng của chương trình nghe trộm,
giám sát sự di chuyển thông tin từ trên
mạng.
• Xem lén thư điện tử: Sử dụng các đoạn
mã ẩn bí mật gắn vào thông điệp thư điện
tử, cho phép người xem lén có thể giám
sát toàn bộ các thông điệp chuyển tiếp
được gửi đi cùng với thông điệp ban đầu.

17. Sự tấn công từ bên trong doanh
nghiệp.
• Là nguy cơ mất an toàn thông tin từ chính
bên trong nội bộ doanh nghiệp hay tổ
chức.

18. 3.
ng.
• Giải pháp về công nghệ.
• Giải pháp về chính sách bảo mật.

19. 3.1 Giải pháp về công nghệ
• Mã hóa thông tin
• Chữ ký điện tử
• Chứng thực điện tử
• An toàn mạng – tường lửa
• Bảo vệ máy tính

20. 3.1.1 Kỹ thuật mã hóa thông tin.
• Khái niệm: là quá trình chuyển văn bản hay
các tài liệu gốc thành các văn bản dưới dạng
mật mã để bất cứ ai ngoài người gửi và
người nhận, đều không thể đọc được.
• Mục đích của kỹ thuật mã hóa là đảm bảo an
ninh thông tin khi truyền phát.
• Là kỹ thuật khá phổ biến, có khả năng đảm
bảo 4 trong 6 khía cạnh an ninh của thương
mại điện tử: đảm bảo tính toàn vẹn của thông
điệp, chống phủ định, đảm bảo tính xác thực,
đảm bảo tính bí mật của thông tin

21. • Kỹ thuật mã hóa được sử dụng từ thời Ai
cập cổ đại. Theo kỹ thuật cổ truyền, thông
điệp được mã hóa bằng tay, sử dụng
phương pháp dựa trên các chữ cái của
thông điệp.
• Gồm 2 phương pháp:
- Kỹ thuật thay thế.
- Kỹ thuật hoán vị.

22. • Mã hóa: Giai đoạn chuyển thông tin
nguyên gốc ban đầu thành các dạng thông
tin được mã hóa (gọi là bản mã).
• Giải mã: Thực hiện biến đổi bản mã để thu
lại thông tin nguyên gốc như trước khi mã
hóa.

23. • Để mã hóa và giải mã cần một giá trị đặc
biệt gọi là khóa (key).
• Giải mã văn bản khi không biết khóa gọi là
phá mã.
• Các thuật toán mã hóa phải đảm bảo việc
phá mã là không thể hoặc cực kỳ khó
khăn.

24. • Độ an toàn của giải thuật mã hóa:
- An toàn vô điều kiện: bản mã không chứa đủ
thông tin để xác định duy nhất nguyên bản
tương ứng. Tức là không thể giải mã được
cho dù có máy tính có tốc độ nhanh thế nào
đi chăng nữa. (Chỉ duy nhất thuật toán mã
hóa độn một lần thỏa mãn an toàn vô điều
kiện).
- An toàn tính toán: thỏa mãn một trong hai
điều kiện
+ Chi phí phá mã vượt quá giá trị thông tin.
+ Thời gian phá mã vượt quá tuổi thọ thông tin.

25. • Lợi ích của Mã hóa thông tin:
- Mã hoá có lợi cho việc bảo vệ và xác
nhận.
- Mã hoá cung cấp các công cụ để nhận
dạng người gửi, xác nhận nội dung thư
tín, ngăn chặn tình trạng phủ nhận quyền
sở hữu thư tín và bảo đảm bí mật.

26. • Hiện nay có hai phương pháp mã hóa:
- Mã hóa đối xứng (bí mật).
- Mã hóa khóa công khai (bất đối xứng).
-

27. • Mã hóa khóa đối xứng:
- Mã hóa đối xứng hay còn gọi là mã hóa
khóa bí mật là phương pháp mã hóa chỉ
sử dụng 1 khóa cho cả quá trình mã hóa
và quá trình giải mã.
- Người gửi mã khóa 1 thông điệp sau đó
gửi thông điệp đã mã hóa và khóa bí mật
đối xứng cho người nhận.
- Là phương pháp mã hóa duy nhất trước
những năm 70.

28. Quá trình truyền tin sử dụng mã khóa đối
xứng:
Mật mã gửi Mật mã nhận
(=mật mã nhận)
Thông
điệp
ban
đầu
Thông
điệp đã
đổi mã
Internet
Thông
điệp đã
đổi mã
Thông
điệp
ban
đầu

29. • Quá trình truyền tin sử dụng mã khóa đối
xứng:
- Mã hóa Ceasar.
- Mã hóa Vigenere.
- Mã hóa hàng rào.
- Mã hóa DES.
- …

30. • Nhược điểm của mã hóa đối xứng:
- Trao đổi khóa rất khó khăn.
- Không kiểm tra được gian lận ở một trong hai bên.
- Chỉ phù hợp với việc trao đổi thông tin diễn ra ở 2
người, không phù hợp với hệ thống lớn.
- Tính toàn vẹn và bí mật của thông điệp có thể bị vi
phạm nếu mậ mã bị lộ trong quá trình chuyển giữa
người gửi và người nhận.
- Số lượng khóa lớn do phải tạo ra các mật mã
riêng cho từng người nhận.

31. • Công thức tính mã hóa khóa bí mật:
K = n(n-1)/2
- K: số khóa trong mã hóa khóa bí mật.
- n: số người liên lạc.

32. • Mã hóa khóa công khai:
- Là phương pháp sử dụng 2 mã khóa
trong quá trình mã hóa. 1 khóa dùng để
mã hóa và 1 khóa dùng để giải mã2 khóa
này có quan hệ về mặt thuật toán sao cho
dữ liệu được mã hóa bằng khóa này sẽ
được giải mã bằng khóa kia.

33. Quá trình truyền tin sử dụng mã khóa công
khai:
Mật mã gửi Mật mã nhận
(=mật mã nhận)
Người gửi Người nhận
Thông
điệp
ban
đầu
Thông
điệp đã
đổi mã
Internet
Thông
điệp đã
đổi mã
Thông
điệp
ban
đầu

34. • Mã hóa khóa công khai:
- Mỗi người sử dụng có một cặp gồm 2
khóa, một khóa công khai và một khóa bí
mật.
+ Khóa công khai:
* Được thông báo rộng rãi cho những
người sử dụng khác trong hệ thống.
* Dùng để mã hóa thông điệp hoặc kiểm tra
chữ ký.
+ Khóa bí mật:
* Chỉ nơi giữ được biết.
* Để giải mã thông điệp hoặc tạo chữ ký.

35. Mã khóa sử dụng công khai
Khóa công khai của New
Các khóa
công khai
Kufc
New
Tan
Nguyên
bản
đầu
vào
Giải thuật
mã hóa
Khóa riêng
của New
Giải thuật
giải mã
Nguyên
bản
đầu ra

36. Xác thực bằng khóa công khai
Khóa công khai của New
Các khóa
công khai
Kufc
New
Tan
Nguyên
bản
đầu
vào
Giải thuật
mã hóa
Khóa riêng
của New
Giải thuật
giải mã
Nguyên
bản
đầu ra

37. • Ứng dụng của mã hóa công khai:
- Mã hóa/ giải mã:
+ Đảm bảo sự bí mật của thông tin.
- Chữ ký số:
+ Hỗ trợ xác thực văn bản.
- Trao đổi số:
+ Cho phép chia sẻ khóa phiên trong mã
hóa đối xứng.

38. • Ưu điểm của mã hóa khóa công khai:
- Khóa để mã hóa và giải mã riêng biệt nên
khó bị lộ (Chỉ 1 người biết khóa bí mật).
- Không cần phải trao đổi khóa.

39. • Nhược điểm của mã hóa khóa công khai:
- Tốc độ xử lý rất chậm.
- Việc xác thực khóa cũng tương đối khó
khăn.

40. • Hệ mã hóa RSA:
- Đề xuất bởi Ron Rivest, Adi Shamir và
Len Adleman (MIT) vào năm 1977.
- Hệ mã hóa công khai phổ dụng nhất.
- Là hệ mã hóa khối với mỗi khối là một số
nguyên < n (Thường kích cỡ n là 1024
bit).

41. * Mã hóa khóa đối xứng:
- Ưu điểm: + Nhanh.
+ Dễ bổ sung vào phần cứng.
- Nhược điểm: + Khó phân phát khóa.
+ Không hỗ trợ sử dụng chữ ký số.
+ Chậm và thiên về tính toán.
* Mã hóa khóa công khai:
- Ưu điểm: + Dùng hai khóa khác nhau.
+ Tương đối dễ phân phát khóa.
+ Hỗ trợ tính toàn vẹn (nhât quán) và tính
không từ chối khi sử dụng chữ ký số.
- Nhược điểm: giống với mã hóa khóa đối xứng.

42. • Lựa chọn Mã hóa:
- Xác định rõ mức độ cần thiết của dữ liệu
và sự cần thiết đó kéo dài trong bao lâu.
- Xác định rõ mức độ cần thiết của dữ liệu;
- Xác định rõ thời gian mà trong đó dữ liệu
cần được bảo vệ an toàn, hay nói cách
khác là sự cần thiết của dữ liệu đó cần
trong bao lâu (sau đó có thể hết giá trị).

43. • Giao thức thỏa thuận mã hóa:
- Giao thức thỏa thuận mã hóa là quá trình các
bên tham gia giao dịch trao đổi mã khóa, giao
thức đặt ra qui tắc thông tin: loại thuật toán
nào được sử dụng trong liên lạc.
- Phong bì số hóa (digital envelope): là
phương pháp mà thông điệp được mã hóa
bằng mã khóa bí mật sau đó mã khóa bí mật
được mã hóa bằng mã khóa công cộng. Sau
đó sẽ được gửi toàn bộ cho người nhận.

44. 3.1.2 Chữ ký điện tử
• Chữ ký điện tử là bất cứ âm thanh điện tử,
ký hiệu hay quá trình điện tử gắn với hoặc
liên quan 1 cách logic với 1 văn bản điện
tử khác theo 1 nguyên tắc nhất định và
được người ký (hoặc có ý định ký) văn
bản đó thực thi hoặc áp dụng.
• Chữ ký điện tử là 1 phương pháp mã khóa
công cộng được sử dụng phổ biến trong
thương mại điện tử.

45. • Chữ ký điện tử là bằng chứng hợp pháp
dùng để và đủ để khẳng định trách nhiệm
của người ký văn bản điện tử về nội dung
của nó, tính nguyên gốc của văn bản điện tử
sau khi chuyển khỏi người ký nó.
• Thực hiện chức năng giống như chữ ký
thông thường: là điều kiện cần và đủ để qui
định tính duy nhất của văn bản điện tử và xác
định rõ ai là người trách nhiệm trong việc tại
ra văn bản đó.

46. Mô hình hoạt động của chữ ký
điện tử
Sign Sign
Khóa chung
của người
nhận
Thông
điệp
gốc
Thông
điệp
gốc
Thông
điệp
mã
hóa
Mã hóa
Sign
Khóa riêng
của người
nhận
Thông
điệp
mã
hóa
Thông
điệp
gốc
Giải mã
Thông
điệp
gốc
Xác nhận
chữ kí
Khóa chung
của người kí

47. 3.1.3 Chứng thực điện tử
• Các bên giao dịch TMĐT đều muốn chắc chắn
rằng đối tác của mình là xác thực, khóa công khai
và chữ ký điện tử đúng là của đối tác, không ai có
thể giả danh đối tác để thực hiện giao dịch.
• Các cơ quan chứng nhận (Certificate Authority –
CA) sẽ đứng ra xác thực chữ ký điện tử (hay khóa
công khai) là của cá nhân hay tổ chức cụ thể và
duy nhất.
• Để được xác thực, cá nhân hay tổ chức phải cung
cấp cho cơ quan chứng nhận chứng cớ định danh
của mình.

48. • Cơ quan chứng nhận căn cứ vào đó tạo một
thông điệp gọi là chứng thực điện tử (digital
certificate) bao gồm các thông tin:
- Tên của cá nhân hoặc tổ chức.
- Khóa công khai.
- Số định danh của chứng thực điện tử.
- Thời hạn hiệu lực.
- Ngày cấp.
- Chữ ký của cơ quan chứng nhận.
- Các thông tin nhận dạng khác.

49. • Các chứng thực điện tử là cơ sở của giao
thức an toàn giao dịch điện tử.
• Tập hợp hệ thống các cơ quan chứng
nhận và các thủ tục chứng thực điện tử
được tất cả các đối tượng tham gia TMĐT
chấp nhận hình thành cơ sở hạ tầng khóa
công khai (Public Key Infrastructure –
PKI).

50. Tổ chức,
cá nhân Yêu cầu
cấp chứng
nhận
Nhận
chứng
nhận
Cơ
quan
chứng
nhậnTham gia giao
dịch mua bán
trực tuyến

51. • Phân loại:
- Loại 1, đơn giản nhất vì nó bao gồm các thông tin
kiểm tra tối thiểu như tên, địa chỉ và địa chỉ email. Sau
khi được kiểm tra, sẽ nhận được một giấy chứng nhận
số hoá.
- Loại 2, bao gồm các thông tin về bằng lái xe, sổ bảo
hiểm xã hội và ngày sinh.
- Loại 3, bao gồm các thông tin của loại 2 và séc tín
dụng.
- Loại 4 bao gồm các thông tin về chức vụ của cá nhân
trong tổ chức, đồng thời việc xác nhận không nhất
thiết chấm dứt chỉ với các thông tin này.

52. 3.1.4 An Ninh mạng – Bức tường
lửa
• An ninh mạng:
- Mục tiêu của an ninh mạng là chỉ cho
phép người sử dụng được phép truy cập
thông tin và dịch vụ đồng thời ngăn cản
người sử dụng không được phép truy cập
vào hệ thống.

53. • Bức tường lửa:
- Là phương pháp căn bản áp dụng trong an
ninh hệ thống.
- Bảo vệ mạng lan khỏi những người xâm
nhập từ bên ngoài.
- Là 1 phần mềm hoặc phần cứng cho phép
người sử dụng mạng máy tính của 1 tổ chức
có thể truy cập tài nguyên của một mạng
khác những đồng thời ngăn cản những
người sử dụng khác truy cập vào mạng máy
tính.

54. • Đặc điểm của bức tường lửa:
- Tất cả các giao thông bên trong mạng
máy tính đi ra ngoài và ngược lại đều phải
đi qua.
- Chỉ các giao thông được phép, theo qui
định an ninh của mạng máy tính mới được
đi qua.
- Không được phép thâm nhập vào chính
hệ thống này.

55. • Phân loại:
- Tường lửa lọc gói.
- Cổng ứng dụng.
- Cổng mức mạch.

56. 3.1.5 Bảo vệ máy tính
• Chức năng tự bảo vệ của hệ điều hành:
- Authentication: kiểm tra username, password của user đăng
nhập.
- Authorization: cấp phép sử dụng các tài nguyên cho user.
- Accounting: ghi lại nhật ký truy cập của user.
• Phần mềm diệt virus:
- Nhận biết và tiêu diệt hầu hết các loại virus thông thường
ngay khi chúng xâm nhập vào máy tính hoặc ẩn nấp trên đĩa
cứng.
- Phải được cập nhật thường xuyên mới có khả năng phát hiện
và tiêu diệt các loại virus mới liên tục xuất hiện.
• Phần mềm hệ thống phát hiện xâm nhập:
- Dò tìm và nhận biết những công cụ mà tin tặc thường dùng
hoặc các hành động khả nghi.

57. 3.2 Chính sách bảo mật
• Sự cần thiết.
• Một số chính sách.
• Triển khai.