Chương 6: Vấn đề bảo mật trong thương mại điện tử

1.     An toàn trong thanh toán điện tử

Các vấn đề về an toàn trong giao dịch thanh toán truyền thống:

-         Tiền giả

-         Giả mạo chữ ký

-         Séc không hợp lệ

Hệ thống thanh toán điện tử cũng có những mối quan tâm đó kèm theo:

-         Tài liệu điện tử có thể bị đánh cắp và sao chép sử dụng trái phép

-         Chữ ký điện tử có thể bị giả mạo hoặc bị lộ

-         Double spending

Các mối hiểm họa đe dọa tới an toàn trong thanh toán điện tử

-         Nghe lén - Outsiders eavesdropping: đánh cắp thông tin trên đường truyển giao tiếp giữa các đối tượng tham gia thanh toán

-         Giả mạo các đối tượng thanh toán lừa đảo chiếm đoạt sản phẩm và dịch vụ

-         Trojan host: là hình thức đột nhập trái phép vào hệ thống đánh cắp các thông tin về bảo mật như password và thông tin cá nhân…

          Các yêu cầu cho một hệ thống thanh toán điện tử

-         Xác thực thanh toán (Payment Authentication) giúp cho việc nhận diện các đối tượng tham gia giao dịch.

-         Tính toàn vẹn trong thanh toán: Thông tin giao dịch truyền tải không bị chỉnh sửa.

-         Ủy quyền thanh toán (payment authorization) khi không có sự ủy quyền rõ ràng thi không thể thực hiện rút tiền từ tài khoản của khách hàng hay thẻ thông minh

-         Tính bí mật của giao dich: Đảm bảo các thông tin cá nhân được thực hiện bí mật và không bị đánh cắp để lộ.

2.     Các dịch vụ an toàn thanh toán

Các dịch vụ an toàn (bảo mật) thanh toán được chia ra làm 3 nhóm phụ thuộc vào công cụ sử dụng thanh toán.

Nhóm thứ nhất liên quan tới tất cả các kiểu hệ thống thanh toán điện tử và tất cả các công cụ thực hiện thanh toán, được biết đến là an toàn trong giao dịch thanh toán

-         Giấu tên người sử dụng – User anonimity

-         Che giấu Địa điểm hay vị trí của giao dịch – Location untraceability

-         Payer anonymity: Chống tiết lộ danh tính hay thông tin cá nhân của người mua.

-         Payment transaction untraceability: Ngăn cản truy tìm nguồn gốc thanh toán.

-         Tính bí mật của các thông tin giao dịch thanh toán

-         Chống chối bỏ các thông điệp giao dịch thanh toán.

-         Không cho phép cập nhật các thông tin giao dịch thanh toán

Nhóm thứ 2 là được áp dụng cho bảo mật trong thanh toán tiền số

-         Double Spending

-         Giả mạo tiền xu

-         Đánh cắp tiền xu

Nhóm thứ 3 được áp dụng dựa trên các ký thuật chi tiết với công cụ thanh toán là Sec điện tử

-         Payment authorization transfer (proxy): Chuyền ủy quyền thanh toán giữa các bên.

2.1.         An toàn trong giao dịch thanh toán

Có một điều dễ nhận thấy rằng khi người dùng có thể dùng tên nặc danh thay cho tên thật của mình, hoặc khai báo giả thông tin về vị trí thì trên hệ thống mạng có thể dùng các kỹ thuật gán về hostname và địa chỉ IP của thiết bị điện tử, tuy nhiên hệ thống phải đảm bảo yêu cầu các thiết bị hoạt động một cách minh bạch không giả danh, nếu không các thông tin từ nguồn vẫn sẽ là giả danh.

Chain of Mix

Cơ chế của người dùng nặc danh và che giấu vị trí dựa trên ý tưởng sử dụng chuỗi các host trong hệ thống mạng nặc danh được đưa ra bởi D. Chaum.

Ý tưởng:

Thông tin gửi từ phía A, B, C (thay thê cho khách hàng nặc danh) gửi cho Mix và từ Mix sẽ được gửi tới X, Y, Z.

Giả sử A muốn gửi thông tin cho Y:

Bước 1: A gửi cho Mix thông tin được mã hóa bằng public key của Mix thu được Ciphertext M

                   Bước 2: Ciphertext M tiếp tục được mã hóa bằng public key của Y

Ở đây có thể biểu diễn như sau;

First Virtual Payment System

1)    Đầu tiên khách hàng gửi thông tin đặt hàng cho NCC kèm theo mã PIN ảo

2)    NCC gửi yêu cầu ủy quyền thanh toán tới nhà cung cấp hệ thống FV

3)    Nếu mã pin ảo này được xác thực

4)    NCC tiến hành cung cấp dịch vụ cho khách hàng.

5)    NCC gửi thông tin giao dịch cho FV

6)    Fv gửi thông báo tới khách hàng về viêc chấp nhận thanh toán co 3 lựa chọn cho khách hàng:

-         Không: Khi việc cung cấp dịch vụ không như mong đợi

-         Fraud: Khi có sự giả mạo tài khoản

-         Chấp nhận:

7)    Nếu chấp nhận

8)    FV kết nối tới Issuer vư Acquirer thức hiện rút tiền từ tài khoản khách hàng và chuyển sang tài khoản của NCC

9)    Kèm theo quá trình thanh toán ghi nhận giao dịch của 2 ngân hàng

Digital Signature

Để đảm bảo an toàn trong giao dịch thương mại điện tử (Secure Electronic Transaction) người ta sử dụng đến chữ ký số - Digital Signature.

Ngoài ra để đảm bảo tính bí mật tránh bị nghe lén, hay trường hợp gian lận ở phía NCC người ta sử dụng Dual Signature. Trong đó thông tin yêu cầu thanh toán bao gồm 2 phần:

Thông tin đặt hàng Order Information OI: Chỉ được xử lý tại phía NCC

Thông tin thanh toán Payment Information PI chỉ được xử lý tại Payment Gateway.

Nonrepudiation

Trong quá trình xử lý mua bán và xác thức của giao dịch thẻ tín dụng thông tin thanh toán được gửi từ phía khách hàng cho NCC sau đó NCC yêu cầu ủy quyển thanh toán tới Payment Gateway và sau khi nhận được thông tin phản hồi từ Payment Gateway thì NCC gửi hóa đơn lại cho khách hàng

Trong quá trình ủy quyền thanh toán: Thông tin thanh toán của khách hàng được chuyển tiếp tới payment gateway cùng với thông tin ủy quyền thanht toán của NCC.

NCC cần một bằng chứng để chứng mình người trả tiền đồng ý thanh toán một khoản tiền nhất định, bằng chứng này nằm trong thông tin thanh toán PI của khách hàng được NCC gửi lên Payment gateway, Issuer và Acquirer cũng cần bằng chứng này để thực hiện việc chuyển tiền từ tài khoản của khách hàng sang tài khoản của NCC. Bằng chứng này là căn cứ chống từ chối thanh toán.

2.2.   An toàn trong thanh toán tiền điện tử

-         Blind Signature

-         Double Spending

2.3.   An toàn trong thanh toán bằng Séc điện tử

-         Proxy

-         Kerberos