Xin chao cả nhà !

Xin cho mình hỏi là khi triển khai ebanking, thì phần hệ thống ebanking bao gồm những gì và triển khai những kỹ thuật gì. theo như suy nghĩ của mình thì hệ thống bao gồm :

- Xây dựng hệ thống CA cấp phát cho web server
 

- Web server thi hành truy xuất vào database
 

- client khi sử dụng ebanking thì sẽ dùng https .
 

Những kỹ thuật bảo mật như Out-Of-Band Authentication không biết sẽ triển khai như thế nào,và triển khai tại đâu.

Mong sự thảo luận và chỉ dẫn từ tất cả mọi người. Em đang chuẩn bị xem ngươì ta làm nên cần nắm một it
thân!  

Chào anh conmale và cả nhà.

- Theo em nghĩ thỉ hiện nay giao dịch qua internet tại việt nam chắc không ai dám dùng nhất là các doanh nghiệp.Giai đoạn đầu mới triển khai thì ta dùng hàng local tự xây dựng sẽ tiết kiệm đươc chi phí . Khi có môt lượng khách hàng nhất định thì mới mua cert của bên thứ 3. Vì thể em mới nghĩ cần xây dưng hệ thống CA.
 

- Sáng nay mới đi tham gia buổi trainning của sunguard thì đúng như anh conmale nói , tụi nó xây dựng application viết bằng java để truy xuất vào hệ thống. Và tụi nó chỉ cung cấp giải pháp ở mức application .
 

- Khái niệm "Out-Of-Band Authentication" em đọc từ một tài liệu về ebanking do một anh trong nhóm sunguard cho, tài liẹu giới thiệu có vài trang. Đại loại như username và pass đươc truyền trên 2 kênh khác nhau. pass sẽ đươc quản lý bởi một máy chủ , và máy chủ này sẽ tương tác với webserver.

 

Anh gợi ý cho em vài điểm để em tìm hiểu thêm về e-banking.

1. E-banking là gì? Nó khác với bannking bình thường chỗ nào?
2. Ứng dụng e-banking sẽ có những chức năng gì, phục vụ cho nhu cầu nào?
3. Đối tượng sử dụng e-banking là ai, biên độ, vị trí sử dụng của họ như thế nào?
4. Ưu tiên bảo mật nằm ở đâu, có một biện pháp trải dài (từ thiết bị đến coding) cho bảo mật hay không?
5. Bảo trì, nâng cấp, mở rộng sẽ gồm những gì, chúng sẽ đòi hỏi trực tiếp đến kế hoạch khai triển e-banking ra làm sao?
6. Kinh phí dự trù là bao nhiêu, thời gian cho phép triển khai là bao lâu?
7. Nếu dự tưởng không trùng khớp với quy trình thi công, các biện pháp cụ thể sẽ là những gì?
8. Hệ thống e-banking này sẽ đi về đâu (trong 1 năm tới, 5 năm tới, 10 năm tới)?
9. Hệ thống e-banking này đòi hỏi những yếu tố ngoại vi thế nào (ví dụ các nhà băng khác, phương pháp chuyển ngân, đòi hỏi chậm trễ....).

Còn vài điểm nữa nhưng anh không liệt kê ở đây vì nó hơi sâu vào chuyện thiết kế tổng quát và quản lý công trình.

Em cứ tìm hiểu đi, có gì thắc mắc, cho anh biết. Anh sẽ cố gắng giải thích cho em (vì anh đã triển khai khá nhiều cái 'e-banking' này ).

Thân. 

+ triển khai mua và áp dụng CA của Verisign như thế nào.
+ các biện pháp triển khai security như thế nào ...
 

- Theo em nghĩ thỉ hiện nay giao dịch qua internet tại việt nam chắc không ai dám dùng nhất là các doanh nghiệp.
 

Mà có chỗ này tôi không hiểu, sao làm e-banking mà lại đi kêu gọi đấu thầu nhỉ? Tự vì làm e-banking nó sẽ gắn trực tiếp với hệ thống core banking hiện có của ngân hàng, nếu mà người trong ngân hàng kô có khả năng làm, thì tôi e là người ngoài sẽ khó mà làm.

BTW, tranh thủ quảng cáo tí, nếu bên bồ cần người tư vấn làm cái này, tôi nghĩ tôi có thể giúp :p. Tôi từng triển khai một hệ thống e-banking cho hơn 300.000 khách hàng (and counting) với đầy đủ các nghiệp vụ/dịch vụ trên đó. Tôi hơn anh conmale ở chỗ tôi đang ở VN .


 

bên network của em chỉ hổ trợ về security mà thui 

...
+ các biện pháp triển khai security như thế nào ...

 

Ở phân mục "Bảo mật" anh có tạo ra một chủ đề thảo luận về tính bảo mật của firewall, không biết em có xem qua chưa? Mục đích của chủ đề này không chỉ nói về tính bảo mật của thiết bị firewall mà nó nhằm gợi ý cho sự dàn trải của tính bảo mật của hệ thống (không chỉ là firewall và các thiết bị bảo mật mà còn là sự bảo mật của trọn bộ cơ chế từ coding đến mọi ngõ ngách của hệ thống).

Theo anh, nếu cty em phân công cho một bộ phận nào đó lo chuyện "bảo mật" của e-banking nhưng bộ phận ấy không nắm rõ phần ứng dụng (coding) của e-banking thì đó là một thiếu sót lớn lao.

Những thứ như SSL signed certificates, server configurations, firewall, network... là infrastructure. Chúng cung cấp cái nền và môi trường cho e-banking. Bản thân chúng phải bảo mật. Tuy nhiên, cái nền này phải trải dài đến những thứ "chạy" trên nó thì mới gọi là kiện toàn bảo mật. Một giải pháp bảo mật không chỉ dừng lại ở cái nền "infrastructure" mà nó phải được xét từ cái thấp nhất đến cái cao nhất.

Để khai triển một cách cụ thể hơn, em thử liệt kê hết những thứ có trong "cái nền" và cơ chế làm việc của e-banking em muốn khai triển xem?

PS: ê, cu Thái giành "khách" của anh hả? (j/k). vikjava nên "bám" sát mrro vì mrro thật sự có kinh nghiệm "chiến trường" ở địa bàn VN đó. 

Chào mọi người :

Theo em biết CA chứng thực có đồng bộ thời gian ! Nếu khách hàng login bằng https mà thời gian của họ không đồng bộ với Server CA không thỏa điều kiện Trust thứ 2 thì sẽ ảnh hưởng như thế nào đến CA ạ ? Nghĩa là không thỏa 3 điều kiện mà co chế secure ?

Thanks !  

Chào anh conmale
Ý em nói ở đây là chuẩn mã hóa 3DES cung cấp khả năng mã hóa chứng thực thời gian ạ .

Thanks !  

Nếu khách hàng login bằng https mà thời gian của họ không đồng bộ với Server CA không thỏa điều kiện Trust thứ 2 thì sẽ ảnh hưởng như thế nào đến CA ạ ? Nghĩa là không thỏa 3 điều kiện mà co chế secure ?  

4. Ưu tiên bảo mật nằm ở đâu, có một biện pháp trải dài (từ thiết bị đến coding) cho bảo mật hay không?
@ Để khai triển một cách cụ thể hơn, em thử liệt kê hết những thứ có trong "cái nền" và cơ chế làm việc của e-banking em muốn khai triển xem?
Thân. 

Anh nói phần này ở trên để em tìm hiểu thêm mối liên hệ giữa web server, web application và bộ phận của web application. Em không nắm vững chức năng của chúng (và mối liên hệ của chúng) thì em không thể nào khai triển e-banking.