Câu hỏi: CSI106 - Phần 8: An toàn thông tin

Đáp án đúng: "Availability". Mục tiêu sẵn dùng đòi dữ liệu và dịch vụ phải tới được tay người có quyền ngay khi họ cần; tình huống trong câu nói về việc nhân viên đã được cấp quyền phải đọc và cập nhật được dữ liệu mà không bị chậm trễ, nên đó đúng là mục tiêu sẵn dùng. Mục tiêu "Confidentiality" lo việc giữ kín dữ liệu trước người không có quyền, nó không nói gì tới việc người có quyền tiếp cận nhanh hay chậm. Mục tiêu "Integrity" lo việc dữ liệu không bị thay đổi sai lệch hay hỏng, tức tính đúng đắn của nội dung chứ không phải khả năng tiếp cận. Từ "Encryption" là một kỹ thuật bảo vệ, không phải một trong ba mục tiêu an toàn thông tin.

Đáp án đúng: "To keep data secret from unauthorized users." Tính bí mật nhằm bảo đảm chỉ người được phép mới đọc được nội dung, nên nó được thực hiện bằng kiểm soát truy cập và mã hoá; dữ liệu có bị chặn lấy trên đường truyền thì kẻ lấy cũng không hiểu được. Mục đích "To ensure data can be accessed by everyone for maximum transparency at all times regardless of user permission." trái hẳn, vì mở dữ liệu cho mọi người bất kể quyền hạn chính là phá tính bí mật. Mục đích "To allow users to modify data freely without any controls or logging." nói về quyền ghi không kiểm soát, nó phá tính toàn vẹn chứ cũng chẳng bảo vệ điều gì. Mục đích "To speed up encryption processes significantly even if it compromises data safety." lấy tốc độ đánh đổi an toàn, ngược với mục tiêu bảo vệ.

Đáp án đúng: "The same secret key for both operations." Khi chỉ có một thông tin mật duy nhất điều khiển cả việc mã hoá lẫn việc giải mã thì đó là mật mã khoá đối xứng: hai bên dùng chung một khoá, bên gửi khoá lại bản tin và bên nhận mở ra bằng đúng khoá ấy. Cơ chế "Public and private keys exchanged via secured network to ensure trustworthiness." mô tả hệ bất đối xứng với hai khoá khác nhau, và hệ đó cũng không cần mạng an toàn để chuyển khoá công khai. Cơ chế "No key at all." thì không còn gì để kiểm soát ai đọc được bản tin, nên không phải một hệ mật mã. Cơ chế "Public and private keys." cũng là hệ bất đối xứng, ở đó khoá dùng để mã hoá khác khoá dùng để giải mã nên không khớp với mô tả một thông tin mật duy nhất.

Đáp án đúng: "Red Hat". Nhóm tin tặc mũ đỏ tự nhận vai trừng phạt: thay vì báo lỗ hổng cho chủ hệ thống, họ phản công trực tiếp vào hạ tầng của kẻ tấn công, có thể làm tê liệt hoặc phá huỷ máy của đối tượng, nên hành động của họ nằm ngoài khuôn khổ hợp pháp dù nhắm vào kẻ xấu. Nhóm "White Hat" kiểm thử xâm nhập khi đã được chủ hệ thống cho phép và báo lại lỗ hổng để vá, họ không tấn công ai. Nhóm "Black Hat" chính là bên tấn công vì mục đích xấu, tức đối tượng bị phản công trong câu hỏi. Nhóm "Gray Hat" ở giữa hai thái cực, có thể dò lỗ hổng mà không xin phép nhưng không chủ trương đánh phá hệ thống của người khác.

Đáp án đúng: "It is slower for encrypting large messages." Mật mã khoá bất đối xứng dựa trên các phép toán số học trên số rất lớn, như lũy thừa theo modulo, nên mỗi khối dữ liệu tốn nhiều tính toán hơn mật mã đối xứng tới hàng trăm lần; vì thế trong thực tế nó được dùng để trao khoá phiên hoặc để ký số, còn khối dữ liệu lớn thì giao cho thuật toán đối xứng. Nhận định "It requires no keys but only lucky guesses to decrypt." sai hoàn toàn, vì hệ này dùng một cặp khoá công khai và riêng, giải mã bằng khoá riêng chứ không bằng phỏng đoán. Nhận định "It can never be implemented on mobile devices." trái thực tế, điện thoại vẫn chạy các giao thức bảo mật web dùng chính loại mật mã này. Nhận định "It automatically deletes messages after 10 seconds to improve secrecy." nói về một tính năng của ứng dụng, không phải thuộc tính của thuật toán.

Đáp án đúng: "Confidentiality". Tính bí mật đúng nghĩa là thông tin chỉ người có quyền mới đọc được, nên nó là nguyên tắc chống tiết lộ, thực thi bằng mã hoá và kiểm soát truy cập. Mục "Integrity" lo chuyện khác: bảo đảm dữ liệu không bị sửa đổi hay xoá trái phép, một tệp có thể bị người ngoài đọc mất mà vẫn còn nguyên vẹn. Mục "Availability" bảo đảm hệ thống và dữ liệu dùng được khi cần, nó bị phá khi có tấn công từ chối dịch vụ, chẳng dính đến việc giữ kín nội dung. Mục "Authentication" là cơ chế xác minh danh tính của người hay tiến trình, nó hỗ trợ việc giữ bí mật nhưng bản thân không phải mục tiêu không tiết lộ thông tin.

Đáp án đúng: "Integrity". Hàm băm biến một khối dữ liệu dài thành giá trị rút gọn có độ dài cố định, và chỉ cần đổi một bit trong dữ liệu thì giá trị băm đã khác hẳn, nên người nhận so lại hai giá trị băm là phát hiện được dữ liệu có bị sửa trên đường truyền hay khi lưu. Mục "Confidentiality" không đạt được, vì dữ liệu gốc vẫn đi kèm ở dạng rõ, muốn giữ kín nội dung phải mã hoá. Mục "Availability" nói về việc dịch vụ luôn dùng được, hàm băm không ngăn được gián đoạn hay quá tải. Mục "Authentication" cần thêm khoá bí mật như trong mã xác thực bản tin hoặc chữ ký số; giá trị băm trần không gắn với danh tính nào nên không chứng minh được ai là người gửi.

Đáp án đúng: "3". Các cuộc tấn công được xếp theo mục tiêu an toàn mà chúng nhắm vào, và vì chỉ có ba mục tiêu nền là giữ bí mật, giữ toàn vẹn và giữ khả dụng, nên tấn công cũng chia thành ba nhóm: nhóm làm lộ thông tin, nhóm sửa đổi thông tin, nhóm làm hệ thống không dùng được. Mục "2" bỏ sót một mục tiêu, chẳng hạn gộp việc làm lộ dữ liệu với việc đánh sập dịch vụ thì mất hẳn nhóm sửa đổi dữ liệu. Mục "4" thêm một nhóm không ứng với mục tiêu an toàn nào trong ba mục tiêu nền. Mục "5" càng xa cách chia này; chia nhỏ hơn thì thành liệt kê từng kiểu tấn công cụ thể như nghe trộm hay từ chối dịch vụ, chứ không còn là số nhóm.

Đáp án đúng: "Substitution cipher". Mật mã thay thế giữ nguyên vị trí các ký tự và đổi từng ký tự thành ký tự khác theo một quy tắc cố định, ví dụ dịch mỗi chữ đi đúng một số bước trong bảng chữ cái. "Transposition cipher" không đổi bản thân ký tự mà chỉ đảo lại vị trí của chúng theo một khuôn hoán vị. "Stream cipher" là cách phân loại theo lượng dữ liệu xử lý mỗi lần, tức mã hoá từng ký tự hoặc từng bit một, và khoá thường biến thiên theo từng ký tự chứ không phải một quy tắc cố định. "Block cipher" cũng thuộc cách phân loại theo lượng dữ liệu: nó lấy trọn một khối gồm nhiều ký tự rồi mã hoá cả khối trong một lần.

Đáp án đúng: "integrity". Tính toàn vẹn nghĩa là thông điệp phải đến đúng như lúc được gửi, không bị thêm, bớt hay sửa đổi dọc đường; đây chính là mục tiêu mà các cơ chế như hàm băm, mã xác thực thông điệp và chữ ký số phục vụ. "confidentiality" bảo vệ ở khía cạnh khác, là giữ nội dung kín với người không được phép, nên kẻ chặn được bản mã vẫn không đọc ra nghĩa nhưng có thể vẫn can thiệp được vào nội dung. "availability" nói về việc thông tin và dịch vụ luôn sẵn sàng cho người dùng hợp pháp, thứ bị phá bởi tấn công từ chối dịch vụ chứ không bởi hành vi sửa đổi. "None of these above" không dùng được, vì yêu cầu chống sửa đổi thông điệp đã có tên riêng là toàn vẹn.

Đáp án đúng: "SSL/TLS". HTTPS chính là HTTP chạy bên trên lớp bảo mật SSL/TLS: giao thức này lo bắt tay để xác thực máy chủ bằng chứng thư số, thương lượng bộ thuật toán và khoá phiên, rồi mã hoá cùng kiểm toàn vẹn cho mọi dữ liệu trao đổi sau đó. "RSA" là thuật toán khoá công khai được dùng bên trong quá trình bắt tay để xác thực hoặc trao khoá, tức một mảnh ghép chứ không phải cả giao thức. "AES" là mật mã khoá đối xứng dùng để mã hoá dữ liệu sau khi hai bên đã có khoá phiên. "SHA-256" là hàm băm phục vụ kiểm toàn vẹn và chữ ký, bản thân nó không mã hoá và không thiết lập kênh an toàn nào.

Đáp án đúng: "To verify the integrity and authenticity of the message". Mã xác thực thông điệp được tính từ nội dung thông điệp cộng với một khoá bí mật mà hai bên cùng giữ; bên nhận tính lại giá trị đó rồi so sánh, trùng nhau nghĩa là thông điệp không bị sửa trên đường truyền và đúng do người giữ khoá tạo ra. "To encrypt the message for secure transmission" sai vì che giấu nội dung là việc của mã hoá; thông điệp đi kèm mã xác thực vẫn có thể ở dạng rõ, ai bắt được cũng đọc được. "To compress the message for efficient storage" sai vì tuy mã xác thực ngắn và có độ dài cố định, không cách nào khôi phục thông điệp gốc từ nó, nên nó không phải một dạng nén. "To generate a unique identifier for the message" sai vì mục đích ở đây không phải đặt tên hay định danh thông điệp; một hàm băm không khoá cũng tạo được dấu vân tay, nhưng khi đó kẻ sửa thông điệp sẽ tính lại được dấu vân tay mới, điều mà khoá bí mật ngăn lại.

Đáp án đúng: "Proxy firewall". Tường lửa dạng proxy làm trung gian ở tầng ứng dụng: nó thay máy bên trong mở kết nối ra ngoài, đọc hiểu nội dung giao thức ứng dụng như yêu cầu web hay lệnh truyền tệp, nên lọc được theo luật đặc thù của từng ứng dụng, chẳng hạn chặn một đường dẫn hoặc một loại tệp. "Packet-filtering firewall" sai vì nó chỉ xét phần đầu của gói, dựa vào địa chỉ nguồn, địa chỉ đích và số hiệu cổng ở tầng mạng cùng tầng giao vận. "Stateful inspection firewall" sai vì nó theo dõi thêm trạng thái của từng kết nối để biết gói có thuộc phiên hợp lệ hay không, nhưng vẫn không đọc nội dung ứng dụng. "Network address translation (NAT) firewall" sai vì dịch địa chỉ mạng chủ yếu che và đổi địa chỉ, không phân tích dữ liệu ứng dụng.

Đáp án đúng: "DAY". Mật mã đơn bảng kiểu dịch vòng với khoá 19 nghĩa là mỗi chữ bản rõ bị đẩy tiến 19 bước trong bảng chữ cái, nên giải mã là lùi lại 19 bước theo phép modulo 26. Chữ thứ nhất ở vị trí 22 lùi 19 còn 3, cho chữ cái thứ tư; chữ thứ hai ở vị trí 19 lùi 19 còn 0, cho chữ cái đầu bảng; chữ thứ ba ở vị trí 17 lùi 19 cho số âm, cộng thêm 26 thành 24, cho chữ cái gần cuối bảng; ghép lại thành "DAY". Phương án "EAR" không khớp, vì mã hoá chuỗi này với cùng khoá sẽ ra ba chữ X, T, K. Phương án "FAN" cũng vậy, mã hoá lên sẽ ra Y, T, G chứ không phải chuỗi mã đã cho. Phương án "CAR" mã hoá lên thành V, T, K, lệch ở chữ đầu và chữ cuối nên bị loại.

Đáp án đúng: "45". Mã đối xứng dùng chung một khoá cho mỗi cặp bên giao tiếp, nên số khoá cần bằng số cặp khác nhau lấy từ 10 máy, tức 10 nhân 9 rồi chia 2 vì cặp gồm hai máy bị đếm hai lần, cho ra 45 khoá. Phương án "46" là 45 cộng thêm một khoá, có lẽ do cộng thêm một khoá dùng chung cho cả nhóm, nhưng khoá đó không gắn với cặp máy nào nên không thuộc số khoá tối thiểu. Phương án "47" dư hai khoá so với số cặp thực có; không có cách đếm cặp nào trên 10 máy cho ra con số này. Phương án "48" dư ba khoá, cũng không ứng với công thức nào; nếu quên chia đôi thì kết quả sẽ là 90, còn nếu tính thêm cả khoá tự nối với chính mình thì ra 55, không phải 48.

Đáp án đúng: "To impersonate another entity". Tấn công giả danh xảy ra khi kẻ tấn công tự nhận mình là một thực thể khác, chẳng hạn dùng danh tính hoặc địa chỉ của người dùng hợp lệ, để được cấp quyền và thực hiện hành động dưới tên người đó; vì vậy nó là đòn tấn công vào xác thực và danh tính. Phương án "To delay or delete messages" mô tả việc làm chậm hoặc xoá thông điệp, đó là tấn công vào tính khả dụng và tính toàn vẹn của luồng tin, không dính tới danh tính. Phương án "To replay a previously sent message" là tấn công phát lại: ghi lại một thông điệp hợp lệ rồi gửi lần nữa để lặp lại hiệu lực của nó. Phương án "To deny sending or receiving a message" là sự phủ nhận, khi một bên chối đã gửi hoặc đã nhận, và biện pháp chống lại nó là chống phủ nhận bằng chữ ký số.

Đáp án đúng: "0101". Theo quy ước đã cho, dấu phẩy là chữ số 0 và dấu chấm là chữ số 1, nên chỉ cần đọc các dấu câu theo đúng thứ tự xuất hiện trong thông điệp. Trong câu đã cho, dấu phẩy sau human cho 0, dấu chấm sau student cho 1, dấu phẩy sau hard cho 0, dấu chấm cuối cùng cho 1, ghép lại thành 0101. Phương án "1010" là kết quả của việc đảo ngược quy ước, coi dấu phẩy là 1 và dấu chấm là 0. Phương án "0011" đến từ việc gom hai dấu phẩy lại rồi mới xét hai dấu chấm, làm mất trình tự xuất hiện thật trong câu, trong khi thông tin ẩn nằm đúng ở trình tự đó. Phương án "1100" vừa đảo quy ước vừa gộp nhóm, nên sai cả hai mặt.

Đáp án đúng: "Fraud and manipulation of data, leading to financial loss". Với một tổ chức tài chính, dữ liệu chính là tiền: sửa số dư, chỉnh bản ghi giao dịch hay tạo lệnh chuyển khoản giả đều biến đổi trực tiếp thành thiệt hại vật chất, cộng thêm mất uy tín và chi phí khắc phục, nên đây là tổn hại điển hình mà kẻ xâm nhập gây ra. Phương án "Enhancing system performance" nói về việc hệ thống chạy tốt hơn, điều đó không phải thiệt hại nên không trả lời được câu hỏi. Phương án "Installing new, unauthorized software." đúng là một hành vi xâm nhập, nhưng nó là phương tiện mở đường như cài cửa hậu hay mã độc, chứ chưa phải tổn hại cuối cùng mà tổ chức phải chịu. Phương án "Providing free services to customers" mô tả một chính sách kinh doanh, không phải hậu quả của tấn công.

Đáp án đúng: "Hackers who track down black hat hackers and work to stop their activities". Trong cách phân loại theo màu mũ, mũ đỏ là nhóm chủ động truy đuổi và vô hiệu hoá kẻ tấn công mũ đen, thậm chí phản công vào hạ tầng của chúng, tức hành động vì mục đích chặn tội phạm nhưng theo cách cứng rắn và thường vượt khuôn khổ cho phép. Phương án "Hackers who infiltrate computer networks with negative motives, such as monetary gain or reputation building" là định nghĩa của mũ đen, chính đối tượng mà mũ đỏ nhắm vào. Phương án "Hackers whose actions are often driven by revenge or personal agendas" mô tả động cơ tư thù cá nhân, thường được gán cho mũ xanh lam, khác hẳn mục đích triệt hạ tội phạm. Phương án "Hackers who expose large datasets online for the public good" gần với kiểu hành động vì lý tưởng hoặc tố giác, còn mũ đỏ không công bố dữ liệu mà tấn công vào chính kẻ gây hại.

Đáp án đúng: "Green hat is someone who just wants to learn to hack". Mũ xanh lá chỉ người mới bước vào lĩnh vực này: chưa có kỹ năng đáng kể, đang học hỏi công cụ và kỹ thuật, nên đặc điểm nhận dạng của họ là trình độ và ý muốn học, không phải mục đích thiện hay ác. Phương án "Green Hat is a bad guy" gán cho họ bản chất xấu, điều mà cách phân loại này không nói; kẻ tấn công vì mục đích xấu là mũ đen. Phương án "Green hat will find and destroy black hat hacker" là việc của mũ đỏ, nhóm có đủ năng lực truy đuổi kẻ tấn công. Phương án "Green hat will find and destroy white hat hacker" không ứng với nhóm nào, vì mũ trắng là người kiểm thử bảo mật hợp pháp và không ai được định nghĩa bằng việc triệt hạ họ. Phương án "None of the others" không chọn được vì đã có một mô tả đúng.