Giới thiệu giáo trình ” Giáo Trình Bảo Mật Thông Tin “
1.2. CÁC THÀNH PHẦN CỦA BẢO MẬT THÔNG TIN
Để có thể bảo đảm tính an toàn của thông tin, chúng ta cần khảo sát các đặc trưng cơ bản của thông tin, các yếu tố đe dọa đến an toàn thông tin và các phương pháp đảm bảo tính bảo mật của thông tin.
Các nguy cơ nào ảnh hưởng đến tính an toàn của thông tin? Các khảo sát thống kê cho thấy, khoảng 55% lượng thông tin mật bị “rò rỉ” là do các lỗi sơ ý của con người. Nhiều thống kê cho thấy, trong thông tin được phổ biến một cách công khai trên các phương tiện thông tin đại chúng như TV, radio, báo chí, Internet,… đều có chứa một lượng không nhỏ thông tin có mức độ bí mật nhất định. Khoảng 10% lượng thông tin bị mất bí mật là do sự bất bình của nhân viên trong tổ chức. Thông thường thì trong các tổ chức hay doanh nghiệp thường xuyên có sự không bằng lòng của nhân viên đối với lãnh đạo.
Và việc nhân viên tiết lộ những thông tin mật của đơn vị cũng là một trong những hình thức “trả thù” cấp trên. 10% lượng thông tin bị lộ tiếp theo là do sự gian dối hay sự tham lam của con người. Nhân viên của một công ty có thể tiết lộ những bí mật của công ty mình để đổi lấy một lợi ích vật chất nào đó. Tiếp theo, khoảng 10% lượng thông tin bị thất thoát là do kẻ gian cố tình đánh cắp từ bên ngoài. Thông thường, việc lấy cắp thông tin có thể được thực hiện bằng con đường trực tiếp; chẳng hạn, kẻ gian có thể đột nhập vào phòng máy tính và lấy đi ổ đĩa cứng chứa dữ liệu. Tuy nhiên, hình thức phổ biến hơn hiện nay là kẻ gian xâm nhập bằng đường mạng máy tính, truy cập vào cơ sở dữ liệu để sao chép hoặc phá huỷ chúng.
Lượng thông tin bị mất trong trường hợp ăn trộm không nhiều nhưng mức độ quan trọng của những thông tin này thường cao vì kẻ trộm là những người chuyên nghiệp. Cuối cùng, khoảng 15% lượng thông tin bị huỷ hoại do các yếu tố khó dự đoán trước như: hỏa hoạn, động đất, bão lụt, khủng bố,… Khi mà thiên tai ập đến thì thường xảy ra mất dữ liệu và khả năng phục hồi là rất nhỏ.
Để đối phó với các nguy cơ kể trên thì các biện pháp bảo mật được sửdụng rất khác nhau. Đối với ba nguy cơ đầu, các biện pháp cần được thực thi là xây dựng chính sách, quy chế về bảo mật cho đơn vị kèm với những biện pháp giáo dục, thưởng phạt cho nhân viên khi phát hiện thấy có những vi phạm về nội quy, quy chế. Đối với nguy cơ cuối, biện pháp áp dụng phổ biến nhất là xây dựng chính sách phòng ngừa rủi ro và quy định sao lưu dữ liệu tuỳ theo mức độ quan trọng của chúng.
Để phòng chống việc cố tình đánh cắp thông tin từ bên ngoài có thể sử dụng các biện pháp kỹ thuật khác nhau. Ví dụ như chính sách quản lý truy cập vào máy chủ chứa dữ liệu bằng cả hai con đường trực tiếp lẫn gián tiếp, chính sách ghi lại dấu vết truy cập, sử dụng tường lửa,… và một trong những biện pháp bảo mật hiệu quả là sửdụng các công cụ mật mã. Đó cũng chính là nội dung mà chúng ta sẽ xem xét kỹ hơn trong các chương sau.
Muốn phòng chống được các cuộc tấn công thì chúng ta cần phải khảo sát, xem xét và phân loại các tấn công. Có bốn kiểu tấn công phổ biến:
Tấn công làm gián đoạn dịch vụ (interruption hoặc deny of service): Đây là hình thức tấn công vào tính sẵn sàng (availability) của hệ thống. Tấn công này thường sẽ không làm cho hệ thống bị phá huỷ mà chỉ làm cho hệ thống không thể thực hiện được các chức năng của mình. Ví dụ: tấn công này có thể làm nghẽn băng thông của hệ thống; do đó, người sử dụng dịch vụ hợp pháp của hệ thống sẽ không thể truy cập được vào hệ thống.
Tấn công lấy trộm thông tin trên đường truyền (interception): Đây là hình thức tấn công vào tính bí mật (confidentiality) của thông tin. Thông tin trên đường truyền sẽ bị nghe lén, bị sao chép,… do đó, sẽ bị lộ bí mật. Trong trường hợp này, thường người bị nghe lén sẽ khó phát hiện được kẻ gian.
Tấn công làm thay đổi thông tin (modification): Đây là hình thức tấn công vào tính toàn vẹn (integrity) của thông tin. Thông tin trên đường truyền sẽ bị thay đổi, và do đó, thông tin nhận được tại đích sẽ không còn giống với thông tin truyền đi lúc ban đầu nữa.
Tấn công mạo danh (fabrication) để tạo ra thông tin giả: Đây là hình thức tấn công vào tính xác thực (authenticity) của chủ nhân thông tin. Trường hợp này, kẻ gian sẽ mạo danh một ai đó để tạo và gửi thông điệp đi. Người nhận được thông điệp sẽ có thông tin sai về chủ nhân thực sự của thông điệp.
Bốn kiểu tấn công kể trên là tấn công vào các đặc trưng cơ bản của thông tin, đó là: tính bí mật (confidentiality), tính toàn vẹn (integrity), tính sẵn sàng (availability) cùng với tính xác thực (authenticity) của chủ nhân thông tin.
Người ta cũng có thể phân loại các tấn công thành tấn công bị động (passive attacks) và tấn công chủ động (active attacks) tuỳ theo mức độ thay đổi của tấn công đối với thông tin bị tấn công.
Để phòng chống những cuộc tấn công, người ta đề xuất các mô hình bảo mật. Mô hình bảo mật được xây dựng dựa trên hai nội dung cơ bản của BMTT, đó là: BMTT trong một máy tính và BMTT trong khi truyền dữ liệu giữa các máy tính.
