Tin học văn phòng - Chương 5: Cơ sở dữ liệu

uả khôn lường. Nhiều virus cài đặt kỹ thuật đặt bẫy, để chức năng của virus chỉ thực sự hoạt động khi một số điều kiện cụ thể được thỏa mãn, chẳng hạn như virus Doodle Yankee đúng 17h là hát quốc ca. - Thực hiện tìm kiếm các tệp tin trên hệ thống máy tính, tạo ra các nhân bản của nó và bám vào các tệp tin được lựa chọn. Cơ chế nhân bản có thể đơn giản là tạo ra một bản sao của chính bản thân virus, cũng có thể vô cùng phức tạp nhằm giúp cho mỗi lần nhân bản có được những khác biệt nhất định so với virus ban đầu. Thuật ngữ Virus máy tính lần đầu tiên được đưa ra trong bài báo của Fred Cohen năm 1984 với tiêu đề Computer Viruses – Theory and experiments. Sau hơn 30 năm, virus máy tính cũng có sự phát triển mạnh mẽ về số lượng song hành cùng sự phát triển của phần mềm độc hại nói chung. Để phân loại virus máy tính cũng có nhiều cách khác nhau. Ở đây, ta phân loại virus thành 2 nhóm chính là virus biên dịch (compiled virus) và virus thông dịch (interpreted virus). Virus biên dịch: Virus biên dịch là loại virus có thể được thi hành trực tiếp bởi hệ điều hành. Để làm được điều đó, mã lệnh của virus biên dịch phải được biên dịch thành tệp tin có thể được thi hành bởi hệ điều hành. Với đặc trưng này, virus biên dịch chỉ có thể lây nhiễm trên một dòng hệ điều hành nhất định với một kiến trúc vi xử lý nhất định. Virus biên dịch lại có thể chia là ba nhóm chính là virus tệp tin (file virus), virus khởi động (boot virus) và virus đa năng (multipartite virus). - Virus tệp tin là những loại virus biên dịch lây nhiễm tới các tệp tin thi hành trên hệ thống máy tính như ứng dụng soạn thảo văn bản, bảng tính hay các chương trình trò chơi, các chương trình chát trên mạng... Virus tệp tin lây lan đơn giản bằng cách gắn vào tệp tin thi hành. Khi tệp tin thi hành bị nhiễm virus tệp tin được kích hoạt để thực hiện, virus cũng sẽ thi hành, thực hiện chức năng của nó và lây lan sang các tệp tin thi hành khác. Hai ví dụ tiêu biểu cho virus tệp tin là Jerusalem và Cascade. Jerusalem là virus được phát hiện tại Jerusalem năm 1987, lây nhiễm các tệp tin thi hành trong môi trường DOS, nó có thể đơn giản là in ra các thông điệp hoặc xóa các tệp tin. Cascade là virus lây nhiễm rộng rãi suốt thập kỷ 1980 và những năm đầu của thập kỷ 1990. Cải tiến quan trọng của virus Cascade là việc sử dụng thuật toán mã hóa để lẩn tránh các phần mềm diệt virus. - Virus khởi động là loại virus biên dịch lây nhiễm vào phân vùng khởi động của các thiết bị lưu trữ. Như ta đã biết, phân vùng khởi động lưu trữ những thông tin về thiết bị lữu trữ, nó sẽ được các chương trình khởi động đọc để khởi tạo hệ điều hành hoặc để hệ điều hành lấy thông tin về thiết bị. Điểm mạnh của virus khởi động là nó có thể được kích hoạt tự động bởi các chương trình khởi động mà không cần chờ người sử dụng kích hoạt. Michelangelo và Stoned là những ví dụ tiêu biểu cho virus khởi động. Virus Michelangelo được phát hiện ngày mùng 4 tháng 2 năm 1991 và nó đã khiến thế giới máy tính nín thở chờ đợi ngày mùng 6 tháng 3 năm 1992 (ngày sinh của nghệ sĩ Michelangelo) - ngày virus Michelangelo sẽ hủy diệt thế giới máy tính. Tuy nhiên trên thực tế, theo thống kê chỉ khoảng 20.000 trường hợp xuất hiện sự cố mất dữ liệu được ghi nhận vào ngày 6 tháng 3 năm 1992. - Virus đa năng là loại virus biên dịch sử dụng nhiều phương thức lây nhiễm, thường bao gồm cả lây nhiễm theo tệp tin và lây nhiễm trên phân vùng khởi động. Virus đa năng tổ hợp 125 những thuộc tính của virus tệp tin và virus khởi động. Những ví dụ tiêu biểu cho loại virus này là Flip và Invader. Ngoài ra, các virus biên dịch có thể cư trú trong bộ nhớ thi hành của hệ thống máy tính đã bị lây nhiễm và chiếm quyền điều khiển tệp tin của hệ điều hành. Do đó, khi hệ điều hành chạy một chương trình chưa bị lây nhiễm, hệ điều hành do bị virus chiếm quyền từ trước sẽ không thi hành ngay chương trình mà tiến hành lây nhiễm lên tệp tin thi hành đó trước. Với cách hoạt động như vậy, virus biên dịch còn được gọi là virus cư trú trong bộ nhớ (memory resident virus). Virus thông dịch: Trái ngược với virus biên dịch, virus thông dịch chứa đựng mã nguồn chương trình và chỉ được thi hành bởi một ứng dụng hay dịch vụ cụ thể nào đó. Do vậy, virus thông dịch trở nên phổ biến bởi đặc tính rất dễ để viết và sửa chữa. Một tin tặc với ít kỹ năng cũng có thể tìm kiếm trên mạng một virus thông dịch, đọc, sửa chữa và phát tán. Do đó, trên mạng có thể có hàng tá những biến thể khác nhau của cùng một virus thông dịch, hầu hết những khác biệt là rất nhỏ. Các virus thông dịch có thể được chia làm hai loại chính là virus macro và virus script. Virus macro là loại virus thông dịch khá phổ biến. Virus macro bám vào các tệp tin tài liệu chẳng hạn như các tệp tin văn bản, các bảng tính và sử dụng các trình thông dịch ngôn ngữ macro của ứng dụng để thi hành và lây lan. Một số loại phần mềm thường hỗ trợ người dùng viết các macro đơn giản để tự động hóa những nhiệm vụ phức tạp có tính chất lặp, đây chính là cơ sở cho các virus macro hoạt động. Một ví dụ tiêu biểu là ứng dụng Microsoft Office, một phần mềm được sử dụng rộng rãi và cho phép người sử dụng tạo các macro bằng ngôn ngữ VB.Script. Hơn nữa, đặc tính thường xuyên chia sẻ các tài liệu ứng dụng chính là cơ sở cho phép các virus macro lây lan nhanh chóng. Ngoài ra, trong trường hợp ứng dụng hỗ trợ template (template là một khuôn mẫu được trình ứng dụng sử dụng để mở hoặc tạo mới tệp tin), virus macro thường lây nhiễm các tệp tin template. Một khi tệp tin template đã bị lây nhiễm, mọi tài liệu được tạo hoặc mở với template sẽ bị lây nhiễm. Một số virus macro tiêu biểu có thể kể tới là Cocept, Marker và Melissa. Virus script về cơ bản không có gì khác biệt nhiều với virus macro. Sự khác biệt chính yếu là virus macro được biết bởi ngôn ngữ được hiểu bởi một ứng dụng cụ thể, do đó tính lây lan chỉ hạn chế trong phạm vi ứng dụng đó, ngược lại virus script lại được viết bởi những ngôn ngữ được hiểu bởi một dịch vụ nào đó, chạy bởi hệ điều hành. Chẳng hạn Windows Scripting Host là một dịch vụ của một vài phiên bản hệ điều hành Microsoft Windows có thể thi hành các kịch bản được viết bằng VBScript, do đó một virus script viết bằng VBScript có thể lây nhiễm trên mọi hệ thống máy tính cài đặt hệ điều hành Windows có hỗ trợ Windows Scripting Host. First và Love Stages là những ví dụ tiêu biểu cho virus script. b. Sâu máy tính Khác với virus là những chương trình, những đoạn mã lệnh sống bám trên một tệp tin nào đó và chỉ hoạt động khi tệp tin đó hoạt động, sâu máy tính (worm, thường được gọi tắt là sâu) là một chương trình hoàn chỉnh độc lập có khả năng nhân bản và di chuyển từ hệ thống máy tính này sang hệ thống máy tính khác. Do là một chương trình độc lập, sâu có thể tự nhân bản mà không cần chờ đợi sự kích hoạt của vật chủ như cơ chế nhân bản và lây lan của virus, chính ưu điểm này đã cho phép sâu lây lan với tốc độ nhanh hơn và được các tin tặc ưa chuộng hơn. Các sâu máy tính tận dụng mạng Internet để lây lan trên phạm vi lớn. Thông thường các sâu khai thác những lỗ hổng đã được biết, những điểm yếu trong cấu hình, các hệ thống thư điện tử và các hệ thống chia sẻ tệp tin để lây lan. 126 Hầu hết các sâu máy tính được định hướng để tiêu thụ tài nguyên của máy tính và tài nguyên mạng. Tuy nhiên, một số sâu được sử dụng để cài đặt backdoor (chi tiết được đưa ra trong mục c) cho phép thực hiện một tấn công từ chối dịch vụ từ xa tới một máy chủ nào đó, hoặc xử lý những hoạt động nguy hiểm khác trên hệ thống máy tính. Các sâu máy tính được chia làm hai loại chính là sâu dịch vụ mạng (network service worm) và sâu thư điện tử (mass mailing worm), tương ứng với hai hình thức lan truyền chính của sâu. - Sâu dịch vụ mạng là những sâu máy tính lan truyền bằng cách khai thác những lỗ hổng trong một dịch vụ mạng gắn kết với hệ điều hành hoặc một ứng dụng nào đó. Sau khi sâu lây nhiễm vào hệ thống, nó thường sử dụng hệ thống đó để tìm kiếm những hệ thống khác đang chạy dịch vụ tương tự và tìm cách lây nhiễm vào các hệ thống đó. Hình thức lan truyền này hoàn toàn không cần bất kỳ sự tác động nào của người sử dụng, nên sâu dịch vụ mạng thường lan truyền nhanh hơn các loại phần mềm độc hại khác. Sasser và Witty là hai ví dụ cho sâu dịch vụ mạng. Sasser xuất hiện trong tháng 4 năm 2004, khai thác lỗ hổng tràn bộ đệm trong dịch vụ LSASS (Local Security Authority Subsystem Service) trên các hệ điều hành Windows (XP và 2000). Cũng trong năm 2004, sâu Witty lại khai thác lỗ hổng trên một loạt sản phẩm bảo mật mạng cụ thể là Internet Security Systems (hiện tại lấy tên là IBM Internet Security Systems). Witty có tốc độ lan truyền một cách khủng khiếp, chỉ với nửa giờ đã lây lan sang 12 ngàn máy tính và sinh ra lưu thông mạng lên tới 90 Gbits/s. - Sâu thư điện tử là những sâu máy tính thực hiện lan truyền dựa trên cơ chế phát tán thư điện tử. Về cơ bản, sâu thư điện tử có cơ chế lan truyền giống với những virus phát tán qua thư điện tử. Tuy nhiên, với virus thì tệp tin đính kèm trong thư điện tử đã bị nhiễm virus nhưng với sâu thì tệp tin đính kèm là một chương trình sâu hoàn chỉnh. Một khi sâu thư điện tử đã lây nhiễm một hệ thống, nó sẽ tự động tìm kiếm trên hệ thống những địa chỉ thư điện tử và sau đó gửi một bản copy của nó tới những địa chỉ đó. Để gửi thư, nó có thể sử dụng hệ thống thư điện tử trên máy nạn nhân hoặc sử dụng một chức năng gửi thư đơn giản được chứa sẵn trong bản thân nó. Các sâu thư điện tử thường gửi một bản copy của nó tới nhiều người nhận một lần. Bên cạnh việc làm tràn ngập các hệ thống máy chủ thư điện tử và mạng bằng một lượng lớn các thư điện tử được gửi qua lại, các sâu thư điện tử cũng có thể là nguyên nhân gây nên những vấn đề hiệu năng cho hệ thống bị lây nhiễm. Beagle là một sâu thư điện tử xuất hiện năm 2004 có thể lây nhiễm trên tất cả các phiên bản của hệ điều hành Windows. Chủng đầu tiên Beagle.A không lây nhiễm rộng rãi. Tuy nhiên, một biến thể có nó là Beagle.B lại lây lan rộng rãi và rất nguy hiểm. Beagle chứa trong nó một cài đặt giao thức SMTP riêng để gửi thư tới các địa chỉ mà nó thu thập được trên máy tính đã bị lây nhiễm. Beagle cũng mở một backdoor trên cổng 6777 (Beagle.A) và 8866 (Beagle.B). Ngoài ra, Mydoom và Nestky cũng là những sâu thư điện tử tiêu biểu. c. Trojan Trojan được lấy tên theo tên con ngựa gỗ trong truyền thuyết Trojan Horse (Con ngựa thành Troa) trong thần thoại Hy Lạp. Trojan sử dụng một chiến lược khác biệt hoàn toàn với virus và sâu, đó là nó hoàn toàn không có khả năng nhân bản, Trojan thường tỏ ra vô hại, thậm chí là có lợi cho người dùng nhưng ẩn trong nó là những mục đích xấu. Trojan là một phần mềm hoàn chỉnh có thể được cài đặt theo các lỗ hổng an ninh vào máy tính do sự sơ suất của người dùng khi truy cập mạng máy tính. Trojan cũng có thể núp danh một phần mềm tiện ích và được người dùng cài đặt một cách bình thường. Việc sử dụng các phần mềm không bản quyền, được download từ những nguồn không rõ xuất xứ là nơi cư ngụ của rất nhiều Trojan. Khi được cài đặt vào hệ thống máy tính, các chức năng xấu được tiến hành một cách âm thầm bên dưới sự hoạt động bình thường của các tiện ích thông thường mà nó cung cấp. Nhiều Trojan được định hướng để thay thế những tệp tin thi hành tồn tại trên hệ thống bằng những 127 phiên bản độc hại (hoặc có lỗ hổng hoặc bị nhiễm virus), hoặc tự động cài đặt những ứng dụng khác tới hệ thống. Tuy nhiên, phần lớn Trojan đóng vai trò như một gián điệp trong hệ thống máy tính. Tùy theo mục đích khác nhau mà các Trojan có tên khác nhau, dưới đây là một số loại Trojan thường gặp: - Spyware (phần mềm gián điệp) đóng vai trò là gián điệp, nó thu thập những thông tin cần thiết trên hệ thống bị lây nhiễm và gửi thông tin đó tới một hệ thống nào đó. - Adware (phần mềm quảng cáo) đóng vai trò quảng cáo, nó thường hoạt động bằng cách bật những quảng cáo trên hệ thống bị lây nhiễm. - Key logger có nhiệm vụ ghi lại các phím đã được gõ trên bàn phím và gửi tới hệ thống phân tích nào đó bên ngoài. - Backdoor (cửa hậu) có nhiệm vụ mở ra một cổng sau để tin tặc có thể khai thác hệ thống máy tính bị lây nhiễm. - Rootkit được sử dụng để thu thập các tệp tin được cài đặt lên hệ thống và thay thế chúng, việc thay thế các tệp tin của rootkit đôi khi gây ra những hậu quả rất lớn. Tuy nhiên, nhiều trường hợp những thay đổi này nhằm che dấu một cuộc tấn công hay sự hoạt động của một phần mềm độc hại nào đó hay xóa bỏ những bằng chứng về sự hiện diện của chính bản thân rootkit. Những rootkit tiêu biểu có thể kể tới như LRK5, Knark, Adore và Hacker Defender. Trojan thường khó để phát hiện, bởi vì chúng được thiết kế để che dấu sự tồn tại trên hệ thống và xử lý những chức năng có vẻ hợp lý, nên người sử dụng và quản trị hệ thống thường không phát hiện ra. 7.2.3. Tấn công từ chối dịch vụ Ngày nay Internet được sử dụng trong hầu hết mọi khía cạnh của đời sống, nó trở thành một tài nguyên quan trọng có sức ảnh hưởng lớn. Do vậy việc phá hỏng nguồn tài nguyên Internet tạm thời dù chỉ là trong ít phút cũng có thể gây mất mát to lớn về tài chính, thậm chí gây xáo động đời sống con người. Cũng bởi thế nó nhanh chóng trở thành đối tượng đặc biệt quan tâm của giới tin tặc cũng như giới tội phạm. Sự thật là đã có nhiều đợt tấn công vào nguồn tài nguyên này trên phạm vi quốc gia và thế giới. Ngày 7 tháng 2 năm 2000, một hacker tuổi thiếu niên với nickname “mafiaboy” đã làm tê liệt website của yahoo trong gần 3 tiếng đồng hồ. Hai ngày sau, sáu website thương mại nổi tiếng khác như Amazon, CNN, Ebay, E*Trade và ZDNet cũng trở thành nạn nhân của mafiaboy. Năm 2001, sâu máy tính Code Red tấn công website của Nhà Trắng làm ảnh hưởng tới an ninh quốc gia của Mỹ, hay năm 2003, một đợt tấn công đã hạ gục Houston port system ở Texas đe dọa an ninh công cộng. Gần đây nhất, trong tháng 3 năm 2013, Spamhaus – tổ chức vốn chịu trách nhiệm duy trì danh sách đen các máy chủ chuyên gửi thư rác trên toàn cầu đang phải hứng chịu cuộc tấn công từ chối dịch vụ lớn chưa từng có với lưu lượng ở mức đỉnh lên tới 300 Gbits/s. Cuộc tấn công này đã làm trì trệ đường truyền mạng toàn thế giới trong đó khu vực châu Âu chịu ảnh hưởng nặng nề nhất. Những tấn công với mục tiêu là làm tê liệt các hệ thống máy tính hay các dịch vụ được gọi là tấn công từ chối dịch vụ - Denial of Service (DoS). Tấn công từ chối dịch vụ có thể được phân thành hai kiểu chính là tấn công dựa trên lỗ hổng phần mềm (vulnerability-based attack) và tấn công làm ngập lụt (flooding attack). - Tấn công dựa trên lỗ hổng phần mềm, hay còn gọi là tấn công ngữ nghĩa (semantic attack), là hình thức tấn công khai thác một hoặc nhiều lỗ hổng trong chính sách an ninh hoặc trong kỹ thuật nhằm hiệu lực chính sách đó, hoặc những lỗi tiềm ẩn trong phần mềm. Lợi dụng những lỗ hổng này, tin tặc chỉ cần gửi tới hệ thống một vài yêu cầu đặc biệt, những yêu cầu này 128 sẽ tiêu thụ một lượng lớn tài nguyên của hệ thống và khiến hệ thống tê liệt. Ví dụ tiêu biểu của hình thức tấn công này là Ping-of-Death xuất hiện trong năm 1996, tin tặc đơn giản gửi tới hệ điều hành một yêu cầu theo giao thức ICMP (Internet Control Message Protocol) với kích thước lớn vượt mức cho phép. - Tấn công làm ngập lụt, hay còn gọi là brute-force attack, là hình thức tấn công từ chối dịch vụ bằng cách tạo ra một một lượng lớn yêu cầu hợp lệ (thường là giống nhau) nhằm tiêu thụ một tài nguyên mục tiêu nào đó trên hệ thống khiến tài nguyên đó bị quá tải không thể đáp ứng những yêu cầu đến từ những người dùng hợp lệ khác. Một ví dụ tiêu biểu là tấn công UDP (User Datagram Protocol), tin tặc sẽ gửi một lượng lớn gói tin UDP tới các cổng ngẫu nhiên của một máy chủ nào đó, điều này dẫn tới tiêu thụ hết băng thông của máy chủ, do đó người sử dụng bình thường sẽ không thể truy cập được vào máy chủ đó. Để thực hiện một cuộc tấn công từ chối dịch vụ, tin tặc có thể sử dụng một hoặc nhiều máy chủ để tấn công. Khi những yêu cầu nhằm mục đích tấn công của tin tặc đến từ nhiều máy tính khác nhau được phân tán trên mạng, thì được gọi là tấn công từ chối dịch vụ phân tán – distributed denial of service (DDoS). Ngược lại, khi những yêu cầu nhằm mục đích tấn công này đến từ cùng một máy chủ thì được gọi là tấn công từ chối dịch vụ đơn nguồn - single-source denial of service (SDoS). Trong hầu hết các tài liệu, thuật ngữ DoS được sử dụng thay thế cho SDoS. Tấn công lưu lượng mạng Ra lệnh & Điều khiển Hình 7.1. Mô hình tấn công từ chối dịch vụ phân tán Thông thường các tấn công DDoS sử dụng hai kiểu thành phần là agent (máy tác tử) và handler (máy điều khiển) như mô tả trong hình 7.1. Các Agent đơn giản là các máy tính có thể được điều khiển bởi handler để sinh ra các yêu cầu tấn công và gửi yêu cầu tấn công tới máy chủ nạn nhân. Các handler đơn giản là các máy tính có cài đặt chương trình nhằm điều khiển các agent. Handler có nhiệm vụ thông báo cho các agent biết khi nào thực hiện tấn công, tấn công 129 mục tiêu nào và tấn công như thế nào. Các Agent cũng còn được gọi là các bot hay zombie (âm binh) và một tập hợp các agent được điều khiển bởi cùng một tin tặc được gọi là botnet (mạng ma). Ở Việt Nam, tấn công từ chối dịch vụ cũng nổi lên mạnh mẽ trong khoảng thời gian gần đây. Tháng 4 năm 2006, lần đầu tiên Cục C15 của Bộ Công an đã bắt giữ một tin tặc tấn công từ chối dịch vụ làm tê liệt nhiều website thương mại của Việt Nam. Năm 2010-2011, Vietnamnet đã phải liên tục hứng chịu các cuộc tấn công từ chối dịch vụ quy mô lớn, đợt đầu từ cuối năm 2010 tới đầu năm 2011 và đợt 2 trong khoảng tháng 8 và 9 của năm 2011. Đỉnh điểm là ngày 27 tháng 1 năm 2011, Vietnamnet phải xử lý 1,5 triệu kết nối vào cùng một thời điểm. Gần đây nhất, trong tháng 7 năm 2013, các báo điện tử của Việt Nam như Dân trí, Vietnamnet, Tuổi trẻ cũng bị tấn công từ chối dịch vụ khiến dịch vụ thi thoảng bị ngắt quãng. 7.2.4. Lừa đảo Lừa đảo (Phishing) là hình thức trong đó kẻ tấn công (hay kẻ lừa đảo – phisher) tìm cách để chiếm đoạt thông tin bí mật hoặc những ủy nhiệm nhạy cảm của người sử dụng một cách khéo léo. Thuật ngữ phishing lần đầu tiên xuất hiện vào năm 1995, khi những kẻ lừa đảo trên mạng Internet sử dụng thư điện tử làm mồi nhử để chiếm đoạt username, password và các thông tin tài chính từ hàng triệu người sử dụng dịch vụ mail trên Internet. Một ví dụ tiêu biểu là vụ lừa đảo dựa trên website AOL (AOL là một website thương mại lớn của Mỹ), những kẻ lừa đảo đã tạo ra một trang web giả danh AOL và gửi một loạt thư hoặc tin nhắn lừa đảo nhằm dụ người nhận mở một liên kết tới trang AOL giả nhằm chiếm đoạt username và password. Sự phát triển của thương mại điện tử, đã khiến phishing trở thành tâm điểm của giới tội phạm tài chính trên mạng. Theo báo cáo của RSA Anti-Fraud Command Center (AFCC) đầu năm 2013, tổng số cuộc tấn công lừa đảo của năm 2012 là 445.004, cao hơn năm 2011 (258.461 cuộc) tới 59% và tổng thiệt hại khoảng 1,5 tỉ đô la. Song song với sự phát triển về số lượng, là sự đa dạng và tinh xảo của các kỹ thuật phishing. Ngày nay Phishing không chỉ thực hiện qua thư điện tử mà còn được thực hiện trên nhiều hình thức khác như VOIP, SMS, instant messaging, các trang mạng xã hội và những trò chơi trực tuyến nhiều người chơi. Ở đây ta xem xét một vài loại phishing phổ biến. a. Lừa đảo dùng bản sao (Clone phishing) Trong phương thức này, kẻ lừa đảo tạo ra một thư nhân bản từ một bức thư hợp lệ nào đó. Nội dung bức thư hợp lệ này chứa đựng nội dung và địa chỉ người nhận, đơn giản nó là một bức thư hợp lệ được gửi trước đó, sau đó kẻ lừa đảo tiến hành thay thế các liên kết trong mail, để trỏ tới một địa chỉ giả nào đó với mục đích lừa đảo. Cuối cùng bức thư nhân bản được gửi bằng địa chỉ giả, do đó người nhận sẽ thấy thư được gửi đến từ người gửi hợp lệ nào đó. Ngoài ra nội dung thư có thể đề cập tới thông tin như việc gửi lại hoặc một phiên bản cập nhật của thư ban đầu, như một chiến thuật để lừa người nhận. b. Lừa đảo hướng đối tượng (Spear Phishing) Lừa đảo hướng đối tượng khác với hình thức lừa đảo thông thường là nó nhắm tới một nhóm cụ thể. Thay vì tiến hành gửi thư cho các mục tiêu ngẫu nhiên, Lừa đảo hướng đối tượng sẽ lựa chọn các nhóm người với một số điểm chung nào đó chẳng hạn những người thuộc cùng một tổ chức. Kẻ lừa đảo cũng lợi dụng những thông tin chung đó để tạo lòng tin với người nhận. Cuối năm 2010 và đầu năm 2011, nạn nhân của lừa đảo hướng đối tượng là Văn phòng thủ tướng chính phủ Úc, Chính phủ Canda, HBGary Federal và Thư viện quốc gia Oak Ridge. 130 c. Lừa đảo dùng điện thoại (Phone Phishing) Đối với hình thức tấn công này, kẻ lừa đảo gửi tin nhắn thông báo với nội dung ngân hàng yêu cầu người sử dụng gọi điện tới một số máy cụ thể để giải quyết một vài vấn đề gì đó về tài khoản của họ. Kẻ lừa đảo sẽ tận dụng kỹ thuật VOIP (Voice over IP) để nắm bắt cuộc gọi và tiến hành lừa đảo. 7.3. SỞ HỮU TRÍ TUỆ Những sản phẩm của ngành công nghệ thông tin là những sản phẩm đặc biệt, chúng là những sản phẩm trí tuệ và rất dễ để sao chép, nhân bản. Do đó, để tạo ra một môi trường công nghiệp công nghệ thông tin một cách lành mạnh cũng như thúc đẩy những sáng tạo cá nhân trong lĩnh vực này rất cần những điều luật nhằm đảm bảo quyền lợi cho các tác giả của những sản phẩm công nghệ thông tin. Những điều luật này được đặt trong hệ thống các điều luật về sở hữu trí tuệ. Mục này sẽ giới thiệu những khái niệm cơ bản về sở hữu trí tuệ và vấn đề vi phạm sở hữu trí tuệ trong ngành công nghệ thông tin. 7.3.1. Tài sản trí tuệ Tài sản trí tuệ là các thành quả sáng tạo của cá nhân hoặc tổ chức. Theo tổ chức Sở hữu Trí tuệ Thế giới (WIPO), các tài sản trí tuệ được chia thành 2 loại chính: - Tác phẩm: tác phẩm mang tính văn chương (thơ, tiểu thuyết, kịch, truyện, sách tham khảo, báo), tác phẩm nghệ thuật (tranh, ảnh, phim, ca khúc, điêu khắc, vở múa, quảng cáo), bản vẽ kiến trúc, phần mềm, cơ sở dữ liệu, chương trình ti vi, radio... - Tài sản trí tuệ trong công nghiệp: sáng chế, thiết kế kiểu dáng công nghiệp, thương hiệu, bí mật kinh doanh, mạch tích hợp, chỉ dẫn địa lí... Mỗi tài sản trí tuệ đều được thể hiện thông qua một phương tiện vật lí cụ thể nào đó. Chẳng hạn một tiểu thuyết có thể được thể hiện thông qua một bản thảo viết tay, một tệp tin văn bản trên máy tính, hay giọng đọc của phát thanh viên trên đài... Giá trị cốt lõi của tài sản trí tuệ không nằm ở phương tiện vật lí thể hiện mà ở ý tưởng sáng tạo chứa đựng trong nó. Do đó, cần phải có sự phân biệt rõ ràng giữa một tài sản trí tuệ với những biểu hiện vật lí cụ thể của tài sản trí tuệ đó. 7.3.2. Quyền sở hữu trí tuệ Mỗi tài sản đều gắn với chủ sở hữu nhất định. Quyền sở hữu khẳng định những quyền lợi của chủ sở hữu với tài sản, bao gồm quyền sử dụng, quyền sửa đổi, quyền chuyển nhượng... Quyền sở hữu đối với tài sản trí tuệ được gọi là quyền sở hữu trí tuệ. Như đã chỉ ra trong mục 7.3.1, tài sản trí tuệ được chia là hai loại là tác phẩm và tài sản trí tuệ công nghiệp. Quyền sở hữu đối với tác phẩm còn được gọi với thuật ngữ khác là quyền tác giả hay bản quyền. Quyền sở hữu đối với tài sản trí tuệ công nghiệp được gọi là quyền sở hữu công nghiệp. 7.3.3. Luật sở hữu trí tuệ a. Vì sao phải bảo hộ quyền sở hữu trí tuệ Tài sản trí tuệ được tạo ra thông những qua hoạt động của cá nhân hoặc tổ chức, do đó trước hết nó phải dưới sự sở hữu của cá nhân hoặc tổ chức đó. Ngoài ra, các tài sản trí tuệ rất dễ bị xâm phạm vì chúng dễ bị sao chép và đánh cắp. Do đó, bảo hộ quyền sở hữu trí tuệ là rất cần thiết. 131 Bảo hộ quyền sở hữu trí tuệ sẽ giúp đảm bảo quyền lợi cho các cá nhân hoặc tổ chức trong việc tạo ra các sản phẩm trí tuệ. Điều này giúp tạo môi trường cạnh tranh bình đẳng cho các tổ chức cũng như lợi ích và động lực cho các cá nhân. Từ đó thúc đẩy hoạt động sáng tạo, tạo đà cho việc phát triển những sản phẩm trí tuệ mới phục vụ nhu cầu ngày càng cao của con người. Ví dụ, trong ngành công nghệ thông tin, một sản phẩm phần mềm có thể là kết tinh của rất nhiều thành viên trong đội phát triển phần mềm, dưới sự hỗ trợ về tài chính của một công ty hay tổ chức nào đó. Nếu như sản phẩm phần mềm đó không được bảo hộ, mà bị sao chép một cách trái phép, sẽ khiến tổ chức hoặc công ty gặp khó khăn về tài chính, hậu quả là sẽ không có những đầu tư để nghiên cứu phát triển sản phẩm mới cũng như cải tiến sản phẩm cũ. b. Luật Sở hữu trí tuệ Luật Sở hữu trí tuệ là văn bản pháp lý được đề ra nhằm bảo hộ cho quyền sở hữu trí tuệ. Ở Việt Nam, Luật Sở hữu trí tuệ được ban hành vào năm 2005 và chính thức có hiệu lực từ ngày 1/7/2006. Bất kỳ cá nhân hoặc tổ chức nào xâm phạm quyền sở hữu trí tuệ của một cá nhân hoặc tổ chức khác, nếu có khiếu kiện sẽ được xử lý theo luật định. Tuy nhiên, một văn bản luật được ban hành chỉ có giá trị trong phạm vị một quốc gia, nên chỉ đảm bảo được quyền lợi cho chủ sở hữu trong phạm vị quốc gia đó. Nếu sự vi phạm xảy ra ngoài phạm vi của quốc gia đó thì luật sở hữu trí tuệ không can thiệp được. Vì lý do đó, những hiệu ước và công ước quốc tế được thành lập. Việt Nam hiện tại đã ra nhập Công ước Berne và Hiệp định TRIPS (Hiệp định về các khía cạnh thương mại của sở hữu trí tuệ - Trade Related Aspects of Intellectual Property Rights). Việc bảo hộ quyền sở hữu rõ ràng đem lại ích lợi to lớn cho các chủ sở hữu, tuy nhiên nếu quản lý quá chặt và không hợp lý có thể làm cho tài sản trí tuệ không tiếp cận được với cộng đồng, không phát huy được sức mạnh vốn có của tài sản trí tuệ. Để khắc phục nhược điểm này khái niệm sở hữu công và ngoại lệ (fair use) được đưa ra. Thường thì quyền sở hữu trí tuệ quy định quyền lợi của cá nhân hoặc tổ chức đối với tài sản trí tuệ, tài sản trí tuệ lúc này được hiểu như một tài sản riêng của cá nhân hoặc tổ chức cụ thể. Tuy nhiên, có một số tài sản trí tuệ lại thuộc quyền sở hữu của tất cả mọi người mà không thuộc về riêng cá nhân hay tổ chức nào, được gọi là sở hữu công (public domain). Một tài sản trí tuệ được liệt vào mục sở hữu công nếu: - Tài sản trí tuệ đó được tạo ra bởi cộng đồng chẳng hạn như Tiếng Anh, dân ca quan họ Bắc Ninh. - Tài sản trí tuệ là chân lí, sự thật tuy được khám phá bởi cá nhân nhưng không thể đặt quyền sở hữu cá nhân lên được vì sẽ cản trở sự phát triển của nhân loại. Ví dụ: định luật Newton, thuyết tiến hóa Darwin. - Tài sản trí tuệ thuộc sở hữu cá nhân nhưng đã hết hạn, chẳng hạn như kịch Shakespeare, nhạc Beethoven, đèn điện Edison. Việc giới hạn thời gian hiệu lực của quyền sở hữu cá nhân có ý nghĩa vô cùng quan trọng giúp tài sản trí tuệ dễ dàng được tiếp cận với cộng đồng, tạo điều kiện cho cộng đồng khai thác và gia tăng giá trị cho tài sản trí tuệ đó. Trong một số trường hợp, việc xin phép hoặc mua bản quyền thay vì đem lại lợi ích nó có thể gây phiền phức cho cả người khai thác lẫn chủ sở hữu của tài sản trí tuệ. Ví dụ như để trích dẫn một câu nói hay một đoạn văn bản trong một tác phẩm nào đó cho bài giảng của mình mà giảng viên lại phải đi xin phép hay mua lại của chủ sở hữu thì sẽ trở nên quá phức tạp. Với những trường hợp như vậy, ngoại lệ fair use (sử dụng hợp lý) có thể được áp dụng. Ngoại lệ fair use cho phép mọi người khai thác tài sản trí tuệ của người khác mà không cần xin phép với điều kiện: 132 - Có mục đích đẹp: Người dùng sử dụng/trích dẫn tác phẩm vào mục đích giáo dục, nghiên cứu, nhân văn hoặc đưa tin thời sự, bình luận nhưng không được lạm dụng bằng cách sử dụng quá nhiều hoặc dùng để thu lời tài chính. - Biết ơn tác giả: Khi sử dụng, trích dẫn phải nêu lại tên người giữ bản quyền/tác giả và tên tác phẩm. 7.4. CÁC QUY ĐỊNH, ĐIỀU LUẬT VỀ AN TOÀN THÔNG TIN VÀ SỞ HỮU TRÍ TUỆ Khi xuất hiện những hình thức cư xử, những hành vi có thể gây hại tới đời sống bình thường của cộng đồng, những chế tài pháp luật sẽ được đưa ra nhằm hạn chế và loại bỏ những hành vi, cư xử này. Tương tự như vậy, với các hình thức phạm tội mới liên quan tới tin học và hạ tầng công nghệ thông tin, một số chế tài pháp luật cụ thể phải được ban hành. 7.4.1. Các điều trong Bộ luật hình sự Dưới đây là một số điều luật chống tội phạm tin học được đưa ra trong Bộ luật hình sự của Việt Nam năm 1999, được sửa đổi năm 2009. Điều 224. Tội phát tán vi rút, chương trình tin học có tính năng gây hại cho hoạt động của mạng máy tính, mạng viễn thông, mạng Internet, thiết bị số 1. Người nào cố ý phát tán vi rút, chương trình tin học có tính năng gây hại cho mạng máy tính, mạng viễn thông, mạng Internet, thiết bị số gây hậu quả nghiêm trọng, thì bị phạt tiền từ hai mươi triệu đồng đến hai trăm triệu đồng hoặc phạt tù từ một năm đến năm năm. 2. Phạm tội thuộc một trong các trường hợp sau đây, thì bị phạt tù từ ba năm đến bảy năm: a) Có tổ chức; b) Gây hậu quả rất nghiêm trọng; c) Tái phạm nguy hiểm. 3. Phạm tội thuộc một trong các trường hợp sau đây, thì bị phạt tù từ năm năm đến mười hai năm: a) Đối với hệ thống dữ liệu thuộc bí mật nhà nước; hệ thống thông tin phục vụ an ninh, quốc phòng; b) Đối với cơ sở hạ tầng thông tin quốc gia; hệ thống thông tin điều hành lưới điện quốc gia; hệ thống thông tin tài chính, ngân hàng; hệ thống thông tin điều khiển giao thông; c) Gây hậu quả đặc biệt nghiêm trọng. 4. Người phạm tội còn có thể bị phạt tiền từ năm triệu đồng đến năm mươi triệu đồng, cấm đảm nhiệm chức vụ, cấm hành nghề hoặc làm công việc nhất định từ một năm đến năm năm. Điều 225. Tội cản trở hoặc gây rối loạn hoạt động của mạng máy tính, mạng viễn thông, mạng Internet, thiết bị số 1. Người nào thực hiện một trong các hành vi sau đây gây hậu quả nghiêm trọng nếu không thuộc trường hợp quy định tại Điều 224 và Điều 226a của Bộ luật này, thì bị phạt tiền từ hai mươi triệu đồng đến hai trăm triệu đồng hoặc phạt tù từ một năm đến năm năm: a) Tự ý xoá, làm tổn hại hoặc thay đổi phần mềm, dữ liệu thiết bị số; b) Ngăn chặn trái phép việc truyền tải dữ liệu của mạng máy tính, mạng viễn thông, mạng Internet, thiết bị số; 133 c) Hành vi khác cản trở hoặc gây rối loạn hoạt động của mạng máy tính, mạng viễn thông, mạng Internet, thiết bị số. 2. Phạm tội thuộc một trong các trường hợp sau đây, thì bị phạt tù từ ba năm đến bảy năm: a) Có tổ chức; b) Lợi dụng quyền quản trị mạng máy tính, mạng viễn thông, mạng Internet; c) Gây hậu quả rất nghiêm trọng. 3. Phạm tội thuộc một trong các trường hợp sau đây, thì bị phạt tù từ năm năm đến mười hai năm: a) Đối với hệ thống dữ liệu thuộc bí mật nhà nước; hệ thống thông tin phục vụ an ninh, quốc phòng; b) Đối với cơ sở hạ tầng thông tin quốc gia; hệ thống thông tin điều hành lưới điện quốc gia; hệ thống thông tin tài chính, ngân hàng; hệ thống thông tin điều khiển giao thông; c) Gây hậu quả đặc biệt nghiêm trọng. 4. Người phạm tội còn có thể bị phạt tiền từ năm triệu đồng đến năm mươi triệu đồng, cấm đảm nhiệm chức vụ, cấm hành nghề hoặc làm công việc nhất định từ một năm đến năm năm.” Điều 226. Tội đưa hoặc sử dụng trái phép thông tin trên mạng máy tính, mạng viễn thông, mạng Internet 1. Người nào thực hiện một trong các hành vi sau đây xâm phạm lợi ích của cơ quan, tổ chức, cá nhân, xâm phạm trật tự, an toàn xã hội gây hậu quả nghiêm trọng, thì bị phạt tiền từ mười triệu đồng đến một trăm triệu đồng, cải tạo không giam giữ đến ba năm hoặc bị phạt tù từ sáu tháng đến ba năm: a) Đưa lên mạng máy tính, mạng viễn thông, mạng Internet những thông tin trái với quy định của pháp luật, nếu không thuộc trường hợp quy định tại Điều 88 và Điều 253 của Bộ luật này; b) Mua bán, trao đổi, tặng cho, sửa chữa, thay đổi hoặc công khai hoá những thông tin riêng hợp pháp của cơ quan, tổ chức, cá nhân khác trên mạng máy tính, mạng viễn thông, mạng Internet mà không được phép của chủ sở hữu thông tin đó; c) Hành vi khác sử dụng trái phép thông tin trên mạng máy tính, mạng viễn thông, mạng Internet. 2. Phạm tội thuộc một trong các trường hợp sau đây, thì bị phạt tù từ hai năm đến bảy năm: a) Có tổ chức; b) Lợi dụng quyền quản trị mạng máy tính, mạng viễn thông, mạng Internet; c) Thu lợi bất chính từ một trăm triệu đồng trở lên; d) Gây hậu quả rất nghiêm trọng hoặc đặc biệt nghiêm trọng. 3. Người phạm tội còn có thể bị phạt tiền từ hai mươi triệu đồng đến hai trăm triệu đồng, cấm đảm nhiệm chức vụ, cấm hành nghề hoặc làm công việc nhất định từ một năm đến năm năm. Điều 226a. Tội truy cập bất hợp pháp vào mạng máy tính, mạng viễn thông, mạng Internet hoặc thiết bị số của người khác 134 1. Người nào cố ý vượt qua cảnh báo, mã truy cập, tường lửa, sử dụng quyền quản trị của người khác hoặc bằng phương thức khác truy cập bất hợp pháp vào mạng máy tính, mạng viễn thông, mạng Internet hoặc thiết bị số của người khác chiếm quyền điều khiển; can thiệp vào chức năng hoạt động của thiết bị số; lấy cắp, thay đổi, hủy hoại, làm giả dữ liệu hoặc sử dụng trái phép các dịch vụ, thì bị phạt tiền từ hai mươi triệu đồng đến hai trăm triệu đồng hoặc phạt tù từ một năm đến năm năm. 2. Phạm tội thuộc một trong các trường hợp sau đây, thì bị phạt tù từ ba năm đến bảy năm: a) Có tổ chức; b) Lợi dụng chức vụ, quyền hạn; c) Thu lợi bất chính lớn; d) Gây hậu quả nghiêm trọng; đ) Tái phạm nguy hiểm. 3. Phạm tội thuộc một trong các trường hợp sau đây, thì bị phạt tù từ năm năm đến mười hai năm: a) Đối với hệ thống dữ liệu thuộc bí mật nhà nước; hệ thống thông tin phục vụ an ninh, quốc phòng; b) Đối với cơ sở hạ tầng thông tin quốc gia; hệ thống thông tin điều hành lưới điện quốc gia; hệ thống thông tin tài chính, ngân hàng; hệ thống thông tin điều khiển giao thông; c) Thu lợi bất chính rất lớn hoặc đặc biệt lớn; d) Gây hậu quả rất nghiêm trọng hoặc đặc biệt nghiêm trọng. 4. Người phạm tội còn có thể bị phạt tiền từ năm triệu đồng đến năm mươi triệu đồng, cấm đảm nhiệm chức vụ, cấm hành nghề hoặc làm công việc nhất định từ một năm đến năm năm. Điều 226b. Tội sử dụng mạng máy tính, mạng viễn thông, mạng Internet hoặc thiết bị số thực hiện hành vi chiếm đoạt tài sản 1. Người nào sử dụng mạng máy tính, mạng viễn thông, mạng Internet hoặc thiết bị số thực hiện một trong những hành vi sau đây, thì bị phạt tiền từ mười triệu đồng đến một trăm triệu đồng hoặc phạt tù từ một năm đến năm năm: a) Sử dụng thông tin về tài khoản, thẻ ngân hàng của cơ quan, tổ chức, cá nhân để chiếm đoạt hoặc làm giả thẻ ngân hàng nhằm chiếm đoạt tài sản của chủ thẻ hoặc thanh toán hàng hoá, dịch vụ; b) Truy cập bất hợp pháp vào tài khoản của cơ quan, tổ chức, cá nhân nhằm chiếm đoạt tài sản; c) Lừa đảo trong thương mại điện tử, kinh doanh tiền tệ, huy động vốn tín dụng, mua bán và thanh toán cổ phiếu qua mạng nhằm chiếm đoạt tài sản của cơ quan, tổ chức, cá nhân; d) Hành vi khác nhằm chiếm đoạt tài sản của cơ quan, tổ chức, cá nhân. 2. Phạm tội thuộc một trong các trường hợp sau đây, thì bị phạt tù từ ba năm đến bảy năm: a) Có tổ chức; b) Phạm tội nhiều lần; c) Có tính chất chuyên nghiệp; 135 d) Chiếm đoạt tài sản có giá trị từ năm mươi triệu đồng đến dưới hai trăm triệu đồng; đ) Gây hậu quả nghiêm trọng; e) Tái phạm nguy hiểm. 3. Phạm tội thuộc một trong các trường hợp sau đây, thì bị phạt tù từ bảy năm đến mười lăm năm: a) Chiếm đoạt tài sản có giá trị từ hai trăm triệu đồng đến dưới năm trăm triệu đồng; b) Gây hậu quả rất nghiêm trọng. 4. Phạm tội thuộc một trong các trường hợp sau đây, thì bị phạt tù từ mười hai năm đến hai mươi năm hoặc tù chung thân: a) Chiếm đoạt tài sản có giá trị từ năm trăm triệu đồng trở lên; b) Gây hậu quả đặc biệt nghiêm trọng. 5. Người phạm tội còn có thể bị phạt tiền từ năm triệu đồng đến một trăm triệu đồng, tịch thu một phần hoặc toàn bộ tài sản, cấm đảm nhiệm chức vụ, cấm hành nghề hoặc làm công việc nhất định từ một năm đến năm năm. 7.4.2. Điều trong Nghị định Chính phủ Về chế tài xử phạt với các hành vi phạm tội liên quan tới tin học và hạ tầng công nghệ thông tin, ngày 23/8/2001 Chính phủ đã ban hành nghị định 55/2001/NĐ-CP với nội dung như sau: Điều 41. Các hành vi vi phạm, hình thức và mức xử phạt vi phạm hành chính về Internet được quy định như sau: 1. Phạt cảnh cáo hoặc phạt tiền từ 50.000 đồng đến 200.000 đồng đối với hành vi không khai báo làm thủ tục cấp lại khi giấy phép cung cấp dịch vụ Internet bị mất, hoặc bị hư hỏng. 2. Phạt tiền từ 200.000 đồng đến 1.000.000 đồng đối với một trong các hành vi vi phạm sau đây: a) Sử dụng mật khẩu, khoá mật mã, thông tin riêng của người khác để truy nhập, sử dụng dịch vụ Internet trái phép. b) Sử dụng các công cụ phần mềm để truy nhập, sử dụng dịch vụ Internet trái phép. 3. Phạt tiền từ 1.000.000 đồng đến 5.000.000 đồng đối với một trong các hành vi vi phạm sau đây: a) Vi phạm các quy định của Nhà nước về tiêu chuẩn, chất lượng trong việc sử dụng dịch vụ Internet. b) Vi phạm các quy định của Nhà nước về giá, cước trong việc sử dụng dịch vụ Internet. c) Vi phạm các quy định của Nhà nước về quản lý tài nguyên Internet trong việc sử dụng dịch vụ Internet. d) Vi phạm các quy định của Nhà nước về quản lý truy nhập, kết nối Internet trong việc sử dụng dịch vụ Internet. đ) Vi phạm các quy định của Nhà nước về mã hoá và giải mã thông tin trên Internet trong việc sử dụng dịch vụ Internet. 136 e) Vi phạm các quy định của Nhà nước về an toàn, an ninh thông tin trên Internet trong việc sử dụng dịch vụ Internet. 4. Phạt tiền từ 5.000.000 đồng đến 10.000.000 đồng đối với một trong các hành vi vi phạm sau đây: a) Ngừng hoặc tạm ngừng cung cấp dịch vụ Internet mà không thông báo cho người sử dụng dịch vụ Internet biết trước, trừ trường hợp bất khả kháng. b) Sửa chữa, tẩy xóa làm thay đổi nội dung giấy phép cung cấp dịch vụ Internet. c) Sử dụng quá hạn giấy phép cung cấp dịch vụ Internet. 5. Phạt tiền từ 10.000.000 đồng đến 20.000.000 đồng đối với một trong các hành vi vi phạm sau đây: a) Vi phạm các quy định của Nhà nước về tiêu chuẩn, chất lượng dịch vụ Internet trong việc cung cấp dịch vụ Internet. b) Vi phạm các quy định của Nhà nước về giá, cước dịch vụ Internet trong việc cung cấp dịch vụ Internet. c) Vi phạm các quy định của Nhà nước về quản lý tài nguyên Internet trong việc cung cấp dịch vụ Internet. d) Vi phạm các quy định của Nhà nước về quản lý truy nhập, kết nối Internet trong việc cung cấp dịch vụ Internet. đ) Vi phạm các quy định của Nhà nước về mã hoá và giải mã thông tin trên Internet trong việc cung cấp dịch vụ Internet. e) Vi phạm các quy định của Nhà nước về an toàn, an ninh thông tin trên Internet trong việc cung cấp dịch vụ Internet. g) Sử dụng Internet để nhằm mục đích đe dọa, quấy rối, xúc phạm đến danh dự, nhân phẩm người khác mà chưa đến mức truy cứu trách nhiệm hình sự. h) Đưa vào Internet hoặc lợi dụng Internet để truyền bá các thông tin, hình ảnh đồi trụy, hoặc những thông tin khác trái với quy định của pháp luật về nội dung thông tin trên Internet, mà chưa đến mức truy cứu trách nhiệm hình sự. i) Đánh cắp mật khẩu, khoá mật mã, thông tin riêng của tổ chức, cá nhân và phổ biến cho người khác sử dụng. k) Vi phạm các quy định về vận hành, khai thác và sử dụng máy tính gây rối loạn hoạt động, phong toả hoặc làm biến dạng, làm hủy hoại các dữ liệu trên Internet mà chưa đến mức truy cứu trách nhiệm hình sự. 6. Phạt tiền từ 20.000.000 đồng đến 50.000.000 đồng đối với một trong các hành vi vi phạm sau đây: a) Thiết lập hệ thống thiết bị và cung cấp dịch vụ Internet không đúng với các quy định ghi trong giấy phép. b) Tạo ra và cố ý lan truyền, phát tán các chương trình vi rút trên Internet mà chưa đến mức truy cứu trách nhiệm hình sự. 7. Phạt tiền từ 50.000.000 đồng đến 70.000.000 đồng đối với hành vi thiết lập hệ thống thiết bị và cung cấp dịch vụ Internet khi không có giấy phép. 137 8. Ngoài các hình thức xử phạt chính, tùy theo tính chất, mức độ vi phạm mà tổ chức, cá nhân còn có thể bị áp dụng một hay nhiều hình thức xử phạt bổ sung hoặc biện pháp khắc phục hậu quả sau đây: a) Tạm đình chỉ hoặc đình chỉ việc cung cấp và sử dụng dịch vụ Internet đối với các hành vi vi phạm tại điểm a khoản 2, điểm b khoản 2, các điểm tại khoản 3, các điểm tại khoản 5 và điểm b khoản 6 Điều 41. b) Tước quyền sử dụng giấy phép có thời hạn hoặc không thời hạn đối với hành vi vi phạm quy định tại điểm b khoản 4 và điểm a khoản 6 Điều 41. c) Tịch thu tang vật, phương tiện được sử dụng để vi phạm hành chính đối với hành vi vi phạm quy định tại điểm b khoản 4, điểm a khoản 6 và khoản 7 Điều 41. d) Buộc khôi phục lại tình trạng ban đầu đã bị thay đổi do vi phạm hành chính gây ra đối với hành vi vi phạm quy định tại điểm k khoản 5, điểm b khoản 6 Điều 41. 7.4.3. Các điều trong Luật Công nghệ thông tin Năm 2006, Quốc hội Việt Nam ban hành Luật 67/2006/QH11: Luật Công nghệ thông tin bao gồm 79 điều. Dưới đây là một số điều có liên quan đến nghĩa vụ của công dân đối với các hoạt động công nghệ thông tin. Điều 12. Các hành vi bị nghiêm cấm 1. Cản trở hoạt động hợp pháp hoặc hỗ trợ hoạt động bất hợp pháp về ứng dụng và phát triển công nghệ thông tin; cản trở bất hợp pháp hoạt động của hệ thống máy chủ tên miền quốc gia; phá hoại cơ sở hạ tầng thông tin, phá hoại thông tin trên môi trường mạng. 2. Cung cấp, trao đổi, truyền đưa, lưu trữ, sử dụng thông tin số nhằm mục đích sau đây: a) Chống Nhà nước Cộng hoà xã hội chủ nghĩa Việt Nam, phá hoại khối đoàn kết toàn dân; b) Kích động bạo lực, tuyên truyền chiến tranh xâm lược, gây hận thù giữa các dân tộc và nhân dân các nước, kích động dâm ô, đồi trụy, tội ác, tệ nạn xã hội, mê tín dị đoan, phá hoại thuần phong mỹ tục của dân tộc; c) Tiết lộ bí mật nhà nước, bí mật quân sự, an ninh, kinh tế, đối ngoại và những bí mật khác đã được pháp luật quy định; d) Xuyên tạc, vu khống, xúc phạm uy tín của tổ chức, danh dự, nhân phẩm, uy tín của công dân; đ) Quảng cáo, tuyên truyền hàng hoá, dịch vụ thuộc danh mục cấm đã được pháp luật quy định. 3. Xâm phạm quyền sở hữu trí tuệ trong hoạt động công nghệ thông tin; sản xuất, lưu hành sản phẩm công nghệ thông tin trái pháp luật; giả mạo trang thông tin điện tử của tổ chức, cá nhân khác; tạo đường dẫn trái phép đối với tên miền của tổ chức, cá nhân sử dụng hợp pháp tên miền đó. Điều 69. Bảo vệ quyền sở hữu trí tuệ trong lĩnh vực công nghệ thông tin Việc bảo vệ quyền sở hữu trí tuệ trong lĩnh vực công nghệ thông tin phải thực hiện theo quy định của pháp luật về sở hữu trí tuệ và các quy định sau đây: 1. Tổ chức, cá nhân truyền đưa thông tin trên môi trường mạng có quyền tạo ra bản sao tạm thời một tác phẩm được bảo hộ do yêu cầu kỹ thuật của hoạt động truyền đưa thông tin và bản sao tạm thời được lưu trữ trong khoảng thời gian đủ để thực hiện việc truyền đưa thông tin; 138 2. Người sử dụng hợp pháp phần mềm được bảo hộ có quyền sao chép phần mềm đó để lưu trữ dự phòng và thay thế phần mềm bị phá hỏng mà không phải xin phép, không phải trả tiền bản quyền. Điều 70. Chống thư rác 1. Tổ chức, cá nhân không được che giấu tên của mình hoặc giả mạo tên của tổ chức, cá nhân khác khi gửi thông tin trên môi trường mạng. 2. Tổ chức, cá nhân gửi thông tin quảng cáo trên môi trường mạng phải bảo đảm cho người tiêu dùng khả năng từ chối nhận thông tin quảng cáo. 3. Tổ chức, cá nhân không được tiếp tục gửi thông tin quảng cáo trên môi trường mạng đến người tiêu dùng nếu người tiêu dùng đó thông báo không đồng ý nhận thông tin quảng cáo. Điều 71. Chống vi-rút máy tính và phần mềm gây hại Tổ chức, cá nhân không được tạo ra, cài đặt, phát tán vi-rút máy tính, phần mềm gây hại vào thiết bị số của người khác để thực hiện một trong những hành vi sau đây: 1. Thay đổi các tham số cài đặt của thiết bị số; 2. Thu thập thông tin của người khác; 3. Xóa bỏ, làm mất tác dụng của các phần mềm bảo đảm an toàn, an ninh thông tin được cài đặt trên thiết bị số; 4. Ngăn chặn khả năng của người sử dụng xóa bỏ hoặc hạn chế sử dụng những phần mềm không cần thiết; 5. Chiếm đoạt quyền điều khiển thiết bị số; 6. Thay đổi, xóa bỏ thông tin lưu trữ trên thiết bị số; 7. Các hành vi khác xâm hại quyền, lợi ích hợp pháp của người sử dụng. Điều 72. Bảo đảm an toàn, bí mật thông tin 1. Thông tin riêng hợp pháp của tổ chức, cá nhân trao đổi, truyền đưa, lưu trữ trên môi trường mạng được bảo đảm bí mật theo quy định của pháp luật. 2. Tổ chức, cá nhân không được thực hiện một trong những hành vi sau đây: a) Xâm nhập, sửa đổi, xóa bỏ nội dung thông tin của tổ chức, cá nhân khác trên môi trường mạng; b) Cản trở hoạt động cung cấp dịch vụ của hệ thống thông tin; c) Ngăn chặn việc truy nhập đến thông tin của tổ chức, cá nhân khác trên môi trường mạng, trừ trường hợp pháp luật cho phép; d) Bẻ khóa, trộm cắp, sử dụng mật khẩu, khóa mật mã và thông tin của tổ chức, cá nhân khác trên môi trường mạng; đ) Hành vi khác làm mất an toàn, bí mật thông tin của tổ chức, cá nhân khác được trao đổi, truyền đưa, lưu trữ trên môi trường mạng. Điều 73. Trách nhiệm bảo vệ trẻ em 1. Nhà nước, xã hội và nhà trường có trách nhiệm sau đây: a) Bảo vệ trẻ em không bị tác động tiêu cực của thông tin trên môi trường mạng; 139 b) Tiến hành các biện pháp phòng, chống các ứng dụng công nghệ thông tin có nội dung kích động bạo lực và khiêu dâm. 2. Gia đình có trách nhiệm ngăn chặn trẻ em truy nhập thông tin không có lợi cho trẻ em. 3. Cơ quan nhà nước có thẩm quyền tiến hành những biện pháp sau đây để ngăn ngừa trẻ em truy nhập thông tin không có lợi trên môi trường mạng: a) Tổ chức xây dựng và phổ biến sử dụng phần mềm lọc nội dung; b) Tổ chức xây dựng và phổ biến công cụ ngăn chặn trẻ em truy nhập thông tin không có lợi cho trẻ em; c) Hướng dẫn thiết lập và quản lý trang thông tin điện tử dành cho trẻ em nhằm mục đích thúc đẩy việc thiết lập các trang thông tin điện tử có nội dung thông tin phù hợp với trẻ em, không gây hại cho trẻ em; tăng cường khả năng quản lý nội dung thông tin trên môi trường mạng phù hợp với trẻ em, không gây hại cho trẻ em. 4. Nhà cung cấp dịch vụ có biện pháp ngăn ngừa trẻ em truy nhập trên môi trường mạng thông tin không có lợi đối với trẻ em. 5. Sản phẩm, dịch vụ công nghệ thông tin mang nội dung không có lợi cho trẻ em phải có dấu hiệu cảnh báo. CÂU HỎI VÀ BÀI TẬP 1. Lỗ hổng phần mềm là gì? 2. Nêu các hình thức tấn công vào các tài nguyên thông tin hiện nay? 3. Virus máy tính là gì? Phân biệt giữa 2 nhóm virus: virus biên dịch và virus thông dịch? Kể tên một số loại virus máy tính. 4. Sâu máy tính là gì? Trình bày sự khác nhau giữa 2 sâu máy tính: sâu dịch vụ mạng và sâu thư điện tử? Kể tên một số loại sâu máy tính. 5. Trojan máy tính là gì? Kể tên và nêu cơ chế hoạt động của một số loại trojan máy tính. 6. Trình bày sự khác nhau về cơ chế hoạt động giữa 3 loại phần mềm độc hại: virus máy tính, sâu máy tính và trojan? 7. Tấn công từ chối dịch vụ - Denial of Service (DoS) là gì? Phân biệt 2 kiểu tấn công từ chối dịch vụ: dựa trên lỗ hổng phần mềm và làm ngập lụt? 8. Tấn công từ chối dịch vụ phân tán – distributed denial of service (DDoS) là gì? So sánh DDoS với DoS? 9. Phân biệt 3 loại hình thức lừa đảo: dùng bản sao, hướng đối tượng, dùng điện thoại? 10. Tài sản trí tuệ là gì? Quyền sở hữu trí tuệ là gì? Vì sao phải bảo hộ quyền sở hữu trí tuệ? 140 TÀI LIỆU THAM KHẢO I. Sách 1. Carl Reynolds and Paul Tymannn (2008). Schaum's Outline of Principles of Computer Science. McGraw-Hill Companies, Inc. 2. Donald Ervin Knuth (1997). The Art of Computer Programming, third edition, Volume 1/ Fundamental Algorithms. Addison-Wesley Professional. 3. Đào Kiến Quốc, Bùi Thế Duy (2006). Giáo trình Tin học cơ sở. NXB Đại học Quốc gia Hà Nội. 5. Đào Kiến Quốc, Trương Ninh Thuận (2011), Các khái niệm cơ bản của Tin học, NXB Đại học Quốc gia Hà Nội. 6. Đỗ Thanh Liên Ngân, Hồ Văn Tú (2005).Giáo trình môn học Tin học căn bản, Đại học Cần Thơ. 7. Đỗ Thị Mơ và đồng nghiệp (2007). Tin học đại cương. NXB Nông nghiệp. 8. Đỗ Xuân Lôi (2004). Cấu trúc dữ liệu và giải thuật. NXB ĐH Quốc Gia Hà Nội. 9. Ian Sommerville (2010), Software Engineering. Addison-Wesley; 9th edition. 10. Hoàng Thị Hà (2011), Bài giảng cơ sở dữ liệu 1. NXB Khoa học Tự nhiên và Công nghệ 11. Hồ Thuần, Hồ Cẩm Hà (2004). Các hệ cơ sở dữ liệu: Lí thuyết &thực hành; tập một. NXB Giáo dục. 12. June Jamrich Parsons, Dan Oja (2013), Computer Concepts, 15th edition. Cengage Learning. 13. J. Glenn Brookshear (2012). Computer science – An overview, 11thedition. Pearson Education, Inc., publishing as Addison-Wesley. 14. June Jamrich Parsons, Dan Oja (2013). New Perspectives on Computer Concepts, 15th edition. Cengage Learning. 15. Nguyễn Đình Hóa (2004). Giáo trình Cấu trúc dữ liệu và giải thuật. NXB ĐH Quốc gia Hà Nội. 16. Nguyễn Thị Khiêm Hòa (2013), Giáo trình Tin học đại cương, Khoa CNTT Đại học Ngân Hàng TP.HCM. 17. Nguyễn Văn Linh (2003). Giáo trình Ngôn ngữ lập trình, Khoa CNTT Đại học Cần Thơ. 18. Phan Thị Thanh Hà (2008), Bài giảng tóm tắt Internet và dịch vụ, Đại học Đà Lạt. 19. V. ANTON SPRAUL (2012), Computer Science Made Simple, Broadway. 20. Viện Công nghệ thông tin và Truyền thông (2010), Giáo trình Tin học đại cương, Đại học Bách khoa Hà Nội. 21. Võ Thanh Tú, Hoàng Hữu Hạnh, Giáo trình mạng máy tính (2003), Đại học Khoa học Huế - Đại học Huế. II. Internet 1. Nguyễn Hoài Tưởng, Cách sử dụng hiệu quả các dịch vụ lưu trữ đám mây, trích dẫn 4/8/2013 2. Nguyễn Hứa Phùng (2006). Ngôn ngữ lập trình/Chương1: Giới thiệu, trích dẫn ngày 10/04/2014. 3. Nguyễn Việt Anh. Ngôn ngữ lập trình và chương trình dịch, trích dẫn ngày 10/04/2014. 4. NIIT (2007). Bài giảng Ngôn ngữ lập trình – Các khái niệm, Giải thuật và Lưu đồ, trích dẫn ngày 10/04/2014.