Home » Công nghệ thông tin » Áp dụng các giao thức quân sự vào thực tiễn Tốt nhất trong an ninh mạng

Áp dụng các giao thức quân sự vào thực tiễn Tốt nhất trong an ninh mạng

Thế giới đã suýt phải đối diện với thảm họa hạt nhân vào năm 1983 và đã được cứu bởi Stanislav Petrov, một sĩ quan chỉ huy tại trung tâm chỉ huy hệ thống cảnh báo sớm hạt nhân Oko của Liên Xô.

Petrov đã quyết định không truyền thông tin về một cuộc tấn công hạt nhân của Hoa Kỳ xuất hiện trong hệ thống cảnh báo sớm của ông, bởi vì ông cảm thấy nó không chính xác. Có 5 tên lửa được cho là đã được phóng, và hệ thống cảnh báo sớm là đủ mới để Petrov có thể không tin vào nó, ông nói với BBC trong một cuộc phỏng vấn gần đây.
Dựa vào một biện pháp an ninh duy nhất – cho dù đó là phóng tên lửa hạt nhân hoặc để bảo vệ cơ sở hạ tầng CNTT – là nguy hiểm, đó là lý do tại sao quân đội từ lâu đã thiết lập “nguyên tắc hai người” để ngăn chặn việc vô tình hoặc cố ý phóng vũ khí hạt nhân. Để khởi động một tên lửa hạt nhân theo chương trình hai người, hai người vận hành phải cùng đồng ý rằng mệnh lệnh được đưa ra là có hiệu lực bằng cách so sánh mã ủy quyền trong mệnh lệnh với một mã trong phong bì được niêm phong, giữ trong két sắt được mở bởi cả hai. Nếu mã khớp, cả hai người vận hành phải tự đưa chìa khóa của họ vào bảng điều khiển phóng tên lửa.

Điều hữu hiệu để ngăn chiến tranh hạt nhân và hành vi kinh doanh đúng đắn cũng hữu hiệu cho an ninh mạng. Phần lớn các hệ thống bảo vệ chỉ dựa vào mật khẩu. Nếu một hacker bằng cách nào đó nắm được các mật mã đó thông qua lừa đảo, ví dụ như những điều xảy ra trong các sự kiện chính trị gần đây đã thể hiện khá rõ ràng.

Tốt hơn là xác thực hai yếu tố, trong đó người dùng phải gửi mật khẩu cũng như đáp ứng với một thử thách thứ hai – chẳng hạn như nhập mã được gửi bằng tin nhắn văn bản – để tiến hành các công việc nhạy cảm, chẳng hạn như truy cập tài khoản ngân hàng trực tuyến.

Tại đây, an toàn không được đảm bảo – có rất nhiều tình huống và hoàn cảnh trong đó các vi phạm bảo mật có thể gây hại cho các thông báo như vậy. Thậm chí những người dùng làm đúng mọi thứ và có sử dụng bảo mật hai yếu tố, vẫn bị xâm phạm. Một tổ chức bảo mật có ý thức cần phải làm gì?

Sử dụng xác thực ba yếu tố? Trên giấy tờ, nghe có vẻ tốt hơn, nhưng trong thực tế, người dùng thấy rằng mức độ an ninh là quá nặng nề; Các ngân hàng muốn người dùng thực hiện dịch vụ ngân hàng trực tuyến của họ chắc chắn sẽ cản trở bất cứ điều gì vượt quá việc xác thực hai yếu tố, để không gây quá tải cho khách hàng. Thực tế là ngay từ đầu, những lo ngại về trải nghiệm của người dùng đang hạn chế ngay cả việc sử dụng hai yếu tố.

Như vậy, quy tắc hai người (yếu tố) tại các cơ sở quân sự. Có chăng khả năng các điệp viên của phe đối địch có được cả hai chìa khóa và tiến hành phóng tên lửa một mình? Để ngăn chặn điều đó, các cơ sở hạt nhân vượt xa sự bảo mật hai nhân tố (hoặc con người, trong trường hợp này), và sử dụng “chia sẻ bí mật”.

Ngoài việc yêu cầu hai phím vật lý, cơ sở vật chất yêu cầu hai bộ thông tin để khởi động tên lửa – thông tin được giữ bởi hai người riêng biệt. Mỗi người chỉ có một phần thông tin cần thiết để phóng tên lửa, vì vậy không có cuộc tấn công nào có thể diễn ra trừ khi thông tin được tập hợp và xác nhận đầy đủ. Không biết phần thông tin mà bên kia có, và nếu nó không khớp với thông tin trong phong bì niêm phong, tên lửa không thể được phóng.

Ngay cả khi một điệp viên có thể có được cả hai chìa khóa, họ sẽ thiếu thông tin bí mật cần thiết – và do đó không thể phóng tên lửa. Bởi vì toàn bộ thông tin không được biết đến với cả hai bên, các điệp có thể ‘hack’ hệ thống hai người, nhưng họ vẫn không thể kiểm soát hệ thống khởi động.

Một chương trình chia sẻ bí mật cho người sử dụng thiết bị di động sẽ làm việc theo cách tương tự. Thông tin trong điện thoại sẽ được kết hợp với thông tin được gửi bởi một trang web từ xa. Khi người dùng đăng nhập có hoặc không có mật khẩu của họ – và thậm chí vượt qua thách thức xác thực thứ hai, thiết bị này đang giao tiếp với trang web từ xa một cách vô hình, sử dụng một số kênh để xác minh danh tính.

Các phương pháp chứng thực có thể được tạo ra một cách tự động và minh bạch từ một số yếu tố ngẫu nhiên. Nếu tất cả đều khớp, chúng ta có thể chắc chắn rằng người cố gắng đăng nhập vào tài khoản hoặc thực hiện giao dịch đúng là chủ của tài khỏa đó. Và có vẻ là không thể để một hacker để sao chép toàn bộ mảng thông tin đang được sử dụng trong việc xác thực.

Theo kinh nghiệm đã dạy chúng ta, bất kỳ phương pháp cố định nào về xác thực – mật khẩu, tin nhắn văn bản, sinh trắc học, vv – có thể sẽ bị tổn hại vì hacker liên tục làm việc để tìm ra cách vượt qua các chương trình xác thực.

Một hệ thống an ninh dựa trên phương pháp chia sẻ để kiểm tra dữ liệu ngẫu nhiên theo cách này sẽ đảm bảo an ninh, ngay cả khi một hacker có thể tìm ra cách giả mạo một số phương pháp chứng thực minh bạch, hệ thống chỉ cần phải sử dụng các kênh xác thực khác.