T ng quan xác th c đi n t Digital signature certificateổ ự ệ ử
Các yêu c u c a m t d án xác th c đi n tầ ủ ộ ự ự ệ ử
Gi i pháp đ xu t c a công ty h th ng thông tin FPT (FIS)ả ề ấ ủ ệ ố
Case Study
Th o lu nả ậ
Nguyen van Ba
IT Lead Architect
FPT Information System; 101 Lang ha-Dong da-Ha noi
http://fis.com.vn; banv@fpt.com.vn
Le Viet Cuong
PKI Architect
FPT Information System; 101 Lang ha-Dong da-Ha noi
http://fis.com.vn; CuongLV2@fpt.com.vn
Công ty Hệ thống thông tin FPT (FPT-IS) PKI workshop
T ng quan CAổYêu c u ầGiải pháp FPT Case Study
Page 2
Digital
Authentication
là một quá trình kiểm tra tính hợp lệ của
các giao dịch được thực hiện trong môi
trường điện tử dựa trên các công nghệ xác
thực một hoặc nhiều yếu tố.
One Time Password
Biometric
Hạ tầng khóa công khai PKI
Công ty Hệ thống thông tin FPT (FPT-IS) PKI workshop
Traditional
Authentication
method
3
T ng quan CAổYêu c u ầGiải pháp FPT Case Study
Dễ dàng bị
đánh cắp
Dễ đoán
Khó
nhớ
Dễ bị bẻ khóa
Ghi ra giấy
Công ty Hệ thống thông tin FPT (FPT-IS) PKI workshop
Sự cần thiết của một hệ thống xác thực điện tử dùng CA
Các ứng dụng truyền
thống dựa trên giấy tờ
đang chiếm rất nhiều
thời gian, tiền bạc của
doanh nghiệp
Xác thực ứng dụng:
dùng user name và
password, chưa đủ
mạnh.
Giao dịch truyền
đi:Không gắn với định
danh (ID). Điều này có
thể gây khó khăn trong
việc xác định trách nhiệm
nếu xảy ra sự cố.
Tình trạng/thách thức
Nâng cao bảo mật của
các ứng dụng điện tử.
Ký số lên thông điệp
đảm bảo tính chống từ
chối ở mức ứng dụng
Đưa ra cơ chế lưu lại
thời điểm thông điệp được
ký.
Áp dụng cho các ứng
dụng nội bộ khác của tổ
chức: email…
Định hướng/yêu cầu
Giải
pháp
xác
thực
điện tử
dựa
trên
công
nghệ
PKI
T ng quan CAổYêu c u ầGiải pháp FPT Case Study
Công ty Hệ thống thông tin FPT (FPT-IS) PKI workshop
Page 5
PASSWORD POLICY
+
Một yếu tố
PIN
++
PIN
Hai yếu tố
+
PIN +
Ba yếu tố
Yếu hơn Mạnh hơn
T ng quan CAổYêu c u ầGiải pháp FPT Case Study
Lựa chọn nào cho giải pháp xác thực điện tử?
không còn phù hợp trong môi trường điện tử do có
thể bị tấn công bằng rất nhiều cách khác nhau:
keylogger, brute force, phishing…
Rất phù hợp để triển cho xác thực điện tử do khả
năng tích hợp ứng dụng, bảo mật cũng như phù
hợp luật giao dịch điện tử
Chỉ phù hợp cho các ứng dụng nội bộ do giá thành
triển khai lớn cũng như quản lý định danh của
người sử dụng phức tạp