Oracle UnWrapping – chuyện một thời mang gươm đi mở cõi

Hi cả nhà, lâu lắm rồi chưa viết gì liên quan đén IT. Hôm nay nhân dịp dọn dẹp máy tính ngày nghỉ lễ, viết một chút để hồi tưởng và kể câu chuyện về một thời đã qua.

Chả là đã cũng có một thời gian tôi được mang danh CIO, mang gươm đi tiếp quản hệ thống từ tay một người khác. Tất nhiên, tôi nói mang gươm là vì cuộc tiếp quản đó không bình thường như cân đường hộp sữa mà là một cuộc chiến đấu nhẹ nhẹ để giành lại quyền kiểm soát (tất nhiên nói vui thế, chứ gươm không dùng, chứ dùng thì lên phường mất rồi).

Trong quá trình chiến đấu, có một món mà tôi khá đau đầu đó là:

  • Hệ thống không có documents cho bất cứ việc gì, cái gì
  • Toàn bộ hệ thống mã nguồn STORED PROCEDURE và PACKAGE đã lâu không cập nhật, mã nguồn trên server thì đã được mã hoá (mà về sau tôi biết là bị WRAPPED), không thể đọc nổi.

Cũng ban căng phết, không thể sửa chữa bất cứ hàm nào, không thể thêm mới bất cứ chức năng nào trừ khi đập đi xây lại ;(.

Thế rồi cái khó ló cái khôn, chả hiểu sao, bâng quơ như nào lại kiếm được cái Tool UNWRAPPING ngon vãi lúa. Và mọi thứ lại đẹp như chưa hề có cuộc chia ly =))

Tranh thủ ngày nhàn rỗi chia sẻ cùng cả nhà cái tool này.

Ví dụ : Đây là một hàm chưa mã hoá:

CREATE OR REPLACE FUNCTION fibonacci (
n PLS_INTEGER
) RETURN PLS_INTEGER
AUTHID DEFINER
IS
fib_1 PLS_INTEGER := 0;
fib_2 PLS_INTEGER := 1;
BEGIN
IF n = 1 THEN — terminating condition
RETURN fib_1;
ELSIF n = 2 THEN
RETURN fib_2; — terminating condition
ELSE
RETURN fibonacci(n-2) + fibonacci(n-1); — recursive invocations
END IF;
END;

Và sau khi mã hoá thì nó như này đây, khóc tiếng mán 😦

1 CREATE OR REPLACE FUNCTION fibonacci wrapped
2 a000000
3 b2
4 abcd
5 abcd
6 abcd
7 abcd
8 abcd
9 abcd
10 abcd
11 abcd
12 abcd
13 abcd
14 abcd
15 abcd
16 abcd
17 abcd
18 abcd
19 8
20 14a fb
21 e1Yq3QQJoEoNKIeJlbgLoLdSgogwgxDcf8vWfHSKbuowFOXFKoj9MqYGqWyRxeeCUVqNVIO1
22 ICqJa3yPr6e7z8GZpMH3J0Cx0uQ0B1JuysymdNDlzfTvb7QWsrLU4jGs3h8Mm49/L9nyO4Xh
23 Ae06nawFpOJIAYpBf9wBVC+ZrjU/nuEtokBqCce6HWIoF6rYgz0V0W/47x5KpOnQ2i7X3kFe
24 FR8K7jT7X58k8xK9uYlZv5LhV71a7A==

Tuy nhiên vỏ quýt dày có móng tay nhọn, dùng thuốc tải tại link này là xong con ong hết:

 

. Connect vào DB (nếu sợ thì backup DB ra một server test cho yên cái bụng) và giải mã thôi. Giờ thì các thánh bất hợp tác với mình cũng phải chào thua 😀

Thôi yên bụng rồi thì chúc cả nhà nghỉ lễ vui vẻ nhé!!!

Advertisements

[CAFE SÁNG] Đi lên từ kỹ thuật – nhìn lại và suy ngẫm…

Thấm thoắt nhìn lại cũng đã 01 năm kể từ ngày rời bỏ một cách chính thức các công cụ lập trình,- mình đã chuyển sang vị trí quản lý nghiệp vụ, rời bỏ vị trí kỹ thuật IT đúng 01 năm. Và mình đã ngẫm được nhiều điều về sự khác biệt giữa hai vị trí cán bộ kỹ thuật và cán bộ quản lý về đặc điểm hành vi công việc, về hoài bão về động lực làm việc, về giá trị mang lại….và từ đó từng bước điều chỉnh, khắc phục để thích nghi với môi trường mới.

Mình chia sẻ dành tặng cho bạn bè, anh em vẫn đang làm kỹ thuật có nhu cầu ĐI LÊN một chút kinh nghiệm bản thân. Mời cả nhà cùng ngẫm :D.

HAI LOẠI CÁN BỘ

Well, như chúng ta vẫn thấy, các máy móc hiện đại như máy bay, oto được lắp ghép từ hàng ngìn, hàng chục nghìn linh kiện và để chúng hoạt động được thì cả mớ linh kiện đó phải hoạt động, phối hợp hoàn hảo và nhịp nhàng, không được phép phát sinh sự cố tại bất kì linh kiện nào. Để có được điều đó, ngoài việc cần cán bộ kỹ thuật cao tại từng khâu lắp ráp thì cũng cần phải có một thiết kế hệ thống tổng thể hợp lý  của cán bộ quản lý.

Cán bộ quản lý phải vừa hiểu kỹ thuật phải vừa giỏi công tác quản lý. Cán bộ quản lý nhiều khi không phải là người đứng đầu về kỹ thuật, có thể chỉ là người đứng thứ hai, thứ ba về kỹ thuật nhưng phải giỏi về trình độ và kỹ năng tổ chức, quản lý. Có một câu nói của một cán bộ quản lý của một công ty công nghệ rằng “Chúng tôi không sử dụng kỹ thuật nào đặc biệt, chưa ai sử dụng. Kỹ thuật của chúng tôi chính là quản lý và tổ chức một cách khoa học“.

SỰ KHÁC BIỆT

  • Thứ nhất về hành vi công việc hàng ngày.
    – Cán bộ kỹ thuật sẽ nhìn nhận vấn đề theo quan điểm kỹ thuật, dùng kỹ thuật để xử lý vấn đề dưới góc độ kỹ thuật với một mục tiêu là TỰ MÌNH LÀM TỐT CÔNG VIỆC. Cán bộ kỹ thuật thường chú ý vào chi tiết hơn là tổng thể hệ thống.
    – Cán bộ quản lý thì lại khác, họ nhìn tổng thể hệ thống, chú trọng tới nhu cầu của hệ thống, đầu ra của hệ thống, sự hài hòa giữa hệ thống và môi trường xung quanh. Nói cách khác, họ quản lý hệ thống một cách toàn diện với 04 nhân tố: tổ chức, kết cấu, vận hành và môi trường. Công việc của bán bộ quản lý là làm sao sử dụng hiệu quả nhất resource của tổ chức (bao gồm cả cán bộ kỹ thuật) vào mục tiêu chung.Cái này đi lên nhiều người mắc vì đã là chức danh quản lý nhưng vẫn đam mê làm chi tiết và không yên tâm bất kì việc gì khi giao cho nhân viên. Anh em chú trọng để khắc phục sớm điểm này. Hãy chọn mặt gửi vàng để phó thác công việc (delegate) và dành thời gian cho quản lý.
  • Thứ hai về khả năng phán đoán, kế hoạch
    – Cán bộ kỹ thuật chỉ có thể đưa ra phán đoán sau khi có đầy đủ thông tin một cách chính xác. Ví dụ, với IT, báo cáo in ra phải chính xác đến từng con số, báo cáo tháng 5 là phải lấy hết từ 01/05 đến hết 31/05 mới “yên lòng” :D.
    – Cán bộ quản lý thì lại khác, họ đưa ra phán đoán khi chưa có đủ thông tin hoặc thậm chí chưa có thông tin (cái này ai pro mới dám làm). Ví dụ báo cáo 06 tháng, chỉ cần lấy hết tháng 5 và tốc độ tăng trưởng 5 tháng đầu năm là cán bộ quản lý sẽ “yên lòng” và đưa ra dự báo cho tháng 6 một cách dễ dàng.
  • Thứ ba về mục tiêu và tiêu chuẩn đánh giá công việc
    – Cán bộ kỹ thuật thiên về xử lý chi tiết kỹ thuật và đưa ra quyết định, Sức sáng tạo của cán bộ kỹ thuật là hành vi cá thể, mang tính hướng nội,
    – Cán bộ quản lý thì lại thiên về việc phải làm gì, làm thế nào, lúc nào, ra sao và những ai tham gia vào việc đó. Sức sáng tạo của cán bộ quản lý vì thế là hành vi hướng ngoại của một tập thể.Do đó, tiêu chí đánh giá của cán bộ kỹ thuật là tổng hợp các kết quả, vấn đề liên quan đến chính cán bộ đó. Trong khi đó, tiêu chí đánh giá một cán bộ quản lý không phản ánh trên bản thân anh ta mà được đánh giá thông qua thành tích của các đối tượng mà anh ta quản lý :D. Chả ai đánh giá ông quản lý A giỏi vì lập trình tốt hoặc quản trị CSDL tài tình cả 😀
  • Thứ tư, về động lực công việc hâng ngày
    Chúng ta hãy xem hai vị trí này có hứng khởi gì trong công việc để tìm cách tạo ra hứng khởi nếu ta là quản lý hoặc tự tạo hứng khởi cho mình nếu ta đang tự ĐI LÊN TỪ KỸ THUẬT :).
    – Cán bộ kỹ thuật thì thích công nghệ, thích kỹ thuật mới, thích làm chủ kỹ thuật và từ đó show được kiến thức chuyên môn để có chỗ đứng tại tổ chức và được đồng nghiệp xung quanh công nhận là sướng nhất rồi.
    – Thế nhưng cán bộ quản lý thì lại thích thể hiện ra bên ngoài khả năng lãnh đạo, xây dựng kế hoạch và đặc biệt là thích kết giao với những người chung chí hướng, sở thích, vị trí ở các tổ chức khác. Họ thích được là người đưa ra quyết sách và thích nhìn tổ chức phát triển dựa trên những quyết sách họ đưa ra. Đó là động lực công việc của họ.

  • Thứ năm, về góc nhìn giá trị bản thân
    – Cán bộ kỹ thuật thì thể hiện giá trị bản thân qua trình độ kỹ thuật, cao thấp, hoàn thành nhiệm vụ được giao, được mọi người nhìn nhận…
    – Cán bộ quản lý thì thể hiện giá trị bản thân qua việc thực hiện mục tiêu chung của tổ chức, có uy tín, có vị trí và được tham gia vào nhiều hoạt động mang tính chiến lược của tổ chức.

Túm tất cả lại, trên đây là 5 vấn đề GAP khác biệt mà các anh em kỹ thuật muốn đi lên cần nhận diện, để đưa ra những sách lược cho bản thân để phấn đấu và cũng là dành cho các cán bộ quản lý muốn “nâng lon” cho nhân viên của mình nhìn nhận và quyết định.

Câu chốt “Kiến thức uyên bác là điều kiện tiên quyết để có thể quản lý hiệu quả, nhưng không đủ để tạo thành một tài năng lãnh đạo và quản lý“. Hãy trang bị cho mình các kỹ năng mềm cần thiết trước khi định BAY nhé các bạn 🙂

Chấp nhận thanh toán thẻ trên thiết bị di động (mPOS) – là gì, vì sao và khó khăn khi triển khai tại Việt Nam

Mình bắt đầu biết đến khái niệm về Chấp nhận thẻ trên thiết bị di động từ năm 2010, khi nghe đến Square (squareup.com) – một giải pháp chấp nhận thẻ đã khá phổ biến ở bển. Từ đó đến nay vẫn ấp ủ mang món này ra thị trường Việt mình nhưng mà vẫn còn vướng víu quá nhiều thứ mà chưa thể thực hiện được. Gần đây có nhiều bạn gọi hỏi mình về món này, về mấy Bank triển khai mPOS tại Việt Nam nên sẵn tiện làm một bài chia sẻ cùng cả nhà.

Vậy mPOS là gì ?

Trước khi tìm hiểu về mPOS chắc có lẽ chúng ta phải đi qua khái niệm về thiết bị POS (Point Of Sale). Đó là một thiết bị mà các bạn thường thấy ở các nhà hàng, siêu thị với các thương hiệu và hình dạng khác nhau nhưng đại khái là nó sẽ giống với cái hình bên. Thế rồi khi bạn mua hàng, dùng bữa ăn xong, thay vì dùng tiền mặt, bạn sẽ cà thẻ (debit hay còn gọi là thẻ ATM, credit, prepaid…) vào máy để thanh toán.

Thế còn mPOS lại khác, mPOS là một giải pháp bao gồm: một đầu đọc thẻ và một phần mềm cài đặt trên điện thoại di động. Đầu đọc thẻ sẽ cắm vào điện thoại và kết nối với phần mềm trong điện thoại (qua nhiều cách thức khác nhau, mình sẽ nói sau) để đóng vai trò như một POS truyền thống. Khách hàng sẽ cà thẻ (hoắc cắm thẻ nếu là thẻ CHIP) vào đầu đọc thẻ và cũng tiến hành các thao tác như bình thường. Tuy nhiên, có 2 điểm khác biệt đặc trưng của mPOS đó là: bạn sẽ ký tên trên màn hình điện thoại (hoặc máy tính bảng) thay vì ký trên giấy và hóa đơn sẽ không in ra giấy mà sẽ gửi trực tiếp qua SMS/Email tới cho bạn (vừa tiết kiệm vừa bảo vệ môi trường, quá tuyệt!!!)

Đây,có thể tạm hình dung cái mPOS nó như này:

Vì sao cần triển khai mPOS

Lý do rất đơn giản. Chúng ta thấy POS thông thường cũng đáp ứng được nhu cầu thanh toán, nhưng do giá thành khá cao, và đặc biệt cao với các loại POS không dây (WIFI, GPRS…) nên dẫn đến không thể triển khai bừa bãi, đến cả các merchant (điểm chấp nhận thanh toán thẻ) nhỏ lẻ như cửa hàng tạp hóa, tiệm bán sim thẻ được. Nhưng với mPOS lại khác, tùy vào loại thiết bị đầu đọc, giá có thể tăng giảm khác nhau nhưng vẫn rẻ hơn POS. Đặc biệt với loại đầu đọc thẻ đơn giản nhất, chỉ hỗ trợ thẻ từ và không có PINPAD thì giá bán có khi chỉ là 1-2USD. Một cái giá quá phù hợp.

Các loại đầu đọc thẻ của mPOS

Nói về các loại đầu đọc thẻ thì muôn hình vạn trạng, đa dạng và phong phú đến từ các nhà cung cấp khác nhau. Từ  hàng dõm đến chính hãng, từ Tàu đến Tây… nhưng ta có thể phân loại theo từng khía cạnh như sau:

  • Thứ nhất, xét về phương thức kết nối của đầu đọc thẻ (DDT) với điện thoại (hay chính xác là phần mềm trong điện thoại) thì sẽ có 03 loại: kết nối qua cổng audio (headphone), kết nối qua cổng dữ liệu của iPhone và loại thứ ba là kết nối không dây với điện thoại qua Bluetooth (răng xanh 😀 ). Nhìn chung về cách nào đi nữa thì giữa đầu đọc thẻ và điện thoại sẽ truyền dẫn một số đoạn dữ liệu được mã hóa theo cấu trúc lệnh quy định sẵn nhằm mục đích điều khiển, truyền dữ liệu thẻ …
  • Thứ hai, xét về loại thẻ hỗ trợ thì cũng có 03 loại: loại đầu đọc thẻ chỉ hỗ trợ thẻ từ (giá rẻ nhất), loại đầu đọc hỗ trợ thẻ chip (giá cao hơn) và loại hỗ trợ cả từ cả chip thì tất nhiên là cao nhất rồi :). Thẻ từ thì cà, thẻ chip thì cắm vào đầu đọc.
  • Thứ ba, xét về khả năng nhập PIN trên đầu đọc thì có 02 loại: một loại đơn giản không có PINPAD và một loại có luôn PINPAD (thậm chí cả màn hình) trên đầu đọc thẻ để khách hàng có thể nhập PIN trên đó.

Do khuôn khổ bài viết, mình chỉ điểm mặt đặt tên vài loại đầu đọc bên dưới, các bạn có thể gúc gờ ra cả mớ 😀

Đây là loại đầu đọc cắm cổng Audio và chỉ hỗ trợ thẻ từ.

Còn đây là loại đầu đọc thẻ hỗ trợ thẻ chip và cắm vào cổng sạc của iPhone

Và đây, là loại đầu đọc thẻ két nối qua Bluetooth cò cả bàn phím để nhập PIN.

Các hướng triển khai mPOS

Hiện nay đang có 3 hướng triển khai chính đó là: mua thiết bị về và tự triển khai giải pháp phần mềm, mua giải pháp trọn gói từ đối tác và thứ ba là thuê giải pháp và chia sẻ phí. Mỗi phương án lại có ưu nhược riêng của nó, mình cũng chỉ xin đưa ra ý kiến chủ quan như sau:

  • Với giải pháp mua thiết bị và tự triển khai giải pháp phần mềm: món này chi phí triển khai rẻ, đầu đọc thẻ mua rẻ, customize thoải mái và hoàn toàn chủ động về giải pháp, không phải chia sẻ phí với bên nào khác. Nhưng nhược điểm là: sẽ cần certify giải pháp với VISA, MASTER để được công nhận là có chứng chỉ PCI DSS thì mới có thể triển khai với thẻ tín dụng được, còn với thẻ nội địa thì sẽ bàn ở phần sau.
  • Với các giải pháp thuê giải pháp của đối tác và chỉ mua đầu đọc thẻ  thì được cái chi phí đầu tư ban đầu không cao tuy nhiên nhược điểm là sẽ phụ thuộc và chia sẻ phí với đối tác forever. Chưa kể một số đối tấc còn route cái luồng giao dịch sang tận server của đối tác ở nước ngoài để xử lý sau đó mới vòng về Việt Nam và về bank, mà hình như điều này Ngân hàng nhà nước không chấp thuận thì phải 😉 hehe.
  • Phương án cuối là mua giải pháp của đối tác và đầu đọc thẻ: chủ động hơn, không cần chia sẻ phí nhưng chi phí sẽ cao hơn. Có rất nhiều hãng, nhiều đối tác cung cấp mPOS. Có thể nói chưa bao giờ mPOS nở rộ như thế,  nhưng có lẽ không tiện nêu tên ở đây ko lại bảo mình quảng cáo 😀

Việc lựa chọn phương án nào sẽ tùy vào cách nhìn, định hướng của mỗi ngân hàng cũng như tùy vào lực lượng IT làm developer mà bank đang có, sẽ có và mong muốn có.

Những khó khăn gặp phải khi triển khai mPOS tại Việt Nam

Nói chung là triển khai một cái gì mới ở Việt Nam cũng khó chứ không riêng “thằng cu” mPOS này =)). Thế còn khi vác thằng mPOS này về mình thì bị vướng mấy chỗ:

  • Thứ nhất, tâm lý ngại thay đổi, lấy cũ áp mới của một bộ phận không nhỏ các thánh. Không bao giờ sửa đổi quy trình để phục vụ khách hàng tốt hơn mà luôn có tâm lý “Tôi đang làm như này chuẩn rồi, cái mới vào phải tuân thủ quy trình tôi đã có”. Mà cái điều đó thì làm sao mà phù hợp được, mPOS thì phải khác POS thường chứ giống nhau thì sinh ra mPOS làm cái gì.
  • Thứ hai, thị trường Việt Nam đa phần là thẻ debit. Cả thị trường 74 triệu thẻ thì  hầu hết là thẻ ghi nợ (chiếm gần 92%), còn lại là thẻ tín dụng (chiếm gần 4%) và thẻ trả trước (trên 4%). Như vậy khi triển khai mPOS sẽ không thể bỏ lỡ thị trường to lớn này dẫn đến việc phải hỗ trợ thao tác nhập PIN. Nhập PIN trên điện thoại thì không được vì nguy cơ bị capture cao dẫn đến cần nhập PIN trên đầu đọc thẻ, tuy nhiên nhập trên đầu đọc thẻ thì hầu hết các đầu đọc thẻ hiện nay chỉ hỗ trợ mã hóa PIN theo 3DES chứ chưa tạo PINBLOCK dựa vào TMK, TPK… nên đều bị các thánh đã nói đến bên trên phán là không an toàn, không chấp nhận giải pháp này. Cũng có một số hướng đi là nhập mã xác thực SMS sau khi cà thẻ nhưng thế thì KH lại phải đăng ký trước và vô hình chung giới hạn số lượng thẻ sử dụng được mPOS.
  • Thứ ba, khách hàng chưa tin tưởng vì lo sợ  một kẻ nào đó làm một phần mềm y hệt, một đầu đọc thẻ y hệt thì sẽ thoải mái capture thông tin thẻ và PIN của khách hàng. Ngân hàng sẽ phải có biện pháp để khách hàng nhận diện và xác thực được đối tượng merchant.

Nói tóm lại, sẽ là tất yếu, nhưng sẽ phải dần dần. Một số bank ở VN (<=4) đã triển khai mPOS nhưng đa phần dừng lại ở mức chấp nhận thẻ tín dụng vì nó ko cần PIN. Tuy nhiên, triển khai lấy Brand thì tốt, nhưng chưa thực sự phổ biến, mình đang mong chờ một ngày được nhìn thấy và quẹt thẻ trên mPOS mà chưa gặp 😀

Tạm thời như vậy, nếu các bạn quan tâm, mình sẽ có một bài cụ thể, đi sâu hơn về công nghệ, về cách thức trao đổi tin giữa đầu đọc và phần mềm trên Mobile và demo làm thử vài giao dịch quẹt thẻ và đọc thông tin thẻ thử xem. Chúc cả nhà cuối tuần vui vẻ.

04 bước để có một hệ thống ip camera giám sát NGON – BỔ – RẺ

Trước giờ nói đến CAMERA giám sát thì thường chia thành 2 loại, một là giám sát analog qua TV, không truyền phát qua mạng, không lưu trữ vào HDD thì giá rẻ. Còn một loại nữa là muốn xem qua mạng, xem online vân vân thì giá không hề rẻ, đặc biệt trong thời kỳ kinh tế khó khăn như hiện nay.

Hôm nay tôi xin hướng dẫn các bạn các thiết lập một hệ thống CAMERA giám sát với chi phí khá rẻ, chỉ bằng 1/10 chi phí đầu tư khi mua các hệ thống “xịn”. Tuy nhiên, có câu “tiền nào của nấy”, các bạn phải biết chấp nhận những yếu điểm có thể chấp nhận được của hệ thống made in tự tôi này.

Bước 1. Chuẩn bị:
– Vài chiếc máy điện thoại chạy Android đời cũ (Android từ 2.3 trở lên), chỉ cần có: camera tốt, bắt WIFI được, và nếu bạn cần nghe âm thanh thì phải chọn chiếc nào còn micro hoạt động tốt (nếu chỉ cần xem hình thì thôi cũng đc). Mua các máy nứt màn hình, cảm ứng hỏng 1 phần cũng giúp tiết kiệm khối chi phí. Theo như giá chung thì trên nhattao.com giá bán loại này thường 200-400K sau khi mặc cả, tùy máy. Có khi còn xin được trên otofun.net nếu bạn khéo mồm vì trên này toàn đại gia 😀
– Một máy tính bảng Android xịn dùng để quan sát các camera nói trên (chú ý: do hãng mới ra bản xem qua Internet cho máy tính bảng Android nên nếu dùng iÓS thì chỉ xem qua WIFI đc thôi).
– Một account google dùng để cài đặt phần mềm và kết nối các camera với nhau.
– Một mạng wifi sẵn có ở nhà và nên dùng loại trọn gói nếu ko muốn chít tiền NET cuối tháng.

Bước 2. Tiến hành
– Tải phần mềm Web of Cam Surveillance SpyCam (https://play.google.com/store/apps/details?id=com.ivuu)  nếu bạn muốn xem qua Internet. Còn tải phần mềm Free Wi-Fi Camera (Web of Cam) (https://play.google.com/store/apps/details?id=com.webofcam) nếu bạn chỉ muốn xem qua WIFI trong nhà. Mình thì recommend bản Internet hơn vì xem ở đâu cũng được cả.
– Cài vào các máy Android đời cũ kia, chú ý dùng chung 1 tài khoản Google và chọn chế độ CAMERA cho tất cả các máy này.
– Bây giờ hãy cài đặt phần mềm tương tự lên máy xịn dùng để quan sát, nhưng chú ý chọn chế đố Viewer (và dùng cùng tài khoản Google nhé)

Chi tiết tại đây:

Bước 3. Thưởng thức
– Lúc này trên máy xịn sẽ hiện ra danh sách các camera ta đã cài. Hãy mang các camera đó đặt vào các vị trí cần quat sát và nhớ cắm điện nhé.
– Xong roài, giờ thì chúng ta đã có 1 hệ thống IP Camera rồi đó

Bước 4. Ưu nhược điểm
– Ưu điểm: Giá rẻ, tiện lắp đặt, thay đổi vị trí và có cơ chế Talk 2 chiều rất tiện trao đổi với người được quan sát.
– Nhược điểm: Góc nhìn hẹp, có thể lắp lên lens mắt cá nếu muốn.

Chúc các bạn vui !!!

Quản trị mật khẩu – trăn trở của các CIO

Khi mình move sang vị trí CIO, có người hỏi mình có tự tin không? Mình nói mình tự tin như cái ngày mình được làm Trưởng nhóm cách đây 8 năm vậy.

Nhưng mình cũng chia sẻ luôn là vấn đề mình lăn tăn nhất trong những việc phải làm khi là BẢO MẬT THÔNG TIN TRUY CẬP. Hay nói đơn giản là bảo mật cái mớ tài khoản và mật khẩu truy cập vào hệ thống Production.


Mấy năm chinh chiến món IT, cũng có đôi nơi đã áp dụng vài ba cách cho vấn đề này:
– Có nơi thì sếp cầm hết, khi nào có sự cố thì sếp phi đến cơ quan nhập pass. Haizz, khổ các ông sếp nếu đêm hôm có sự cố ra phết. Không được!
– Có nơi thì phân mật khẩu ra làm 2 nửa. Nhân viên 1 nửa, sếp 1 nửa. Ấy rồi cái đêm hôm khuya khoắt ấy, sếp lại được mời đến nhập 1 nửa cái pass và thế rồi trong cơn buồn ngủ, sếp đã đọc ngay 1 nửa pass ấy cho nhân viên qua điện thoại để nó nhập cho nhanh còn đi nghỉ. Không được!
– Có nơi thì chơi cách khá hơn tý, đó là mật khẩu được niêm phong trong phong bì, cất vào két sắt, khi cần thì nhân viên lấy ra dùng, xong sếp lại change pass dán kín và cất vào tủ. Cũng có cái ngon là bảo mật, nhưng cái không ngon là sếp vẫn phải qua co quan mở két chứ, hehe, mà không thì giao cho nhân viên cái chìa khóa, lúc đó ông nhân viên mở ra lúc nào sếp cũng chả biết. Lại không được!!!

Trăn trở nhiều, rút kinh nghiệm nhiều từ các vị trí làm việc trước đây, hôm nay mình đã tự dựng xong hệ thống giải quyết được cái vấn đề đau đầu này. Gọi là tạm thôi nhé, còn nhiều thứ phải nâng cấp, chỉnh sửa. Hệ thống có tên là MPS sẽ gồm mấy chức năng chính rất đơn giản nhưng hiệu quả về quản lý:
– Khi nhân viên có nhu cầu truy cập DB hoặc OS. nhân viên đó vào hệ thống MPS, tạo một yêu cầu.
– Ông sếp sẽ nhận đc SMS/Email báo có yêu cầu truy cập, ông ta mở iPhone, iPad, Note2… hoặc thiết bị nào đó vào được internet và phê duyệt.
– Nhân viên sẽ nhận được một pass tạm dùng trong phiên làm việc đó, hết phiên thì pass lại được reset lại thành một mật khẩu ngẫu nhiên mà chả ai biết ngoài MPS.

Vậy là cũng tạm ổn. Từ mai mình tạm nhẹ đầu rồi 
Có ai có kinh nghiệm vụ này xin cho ít tư vấn nhé, mình chỉnh sửa cho tối ưu hơn.
Hệ thống này thật ra rất đơn giản, ai cũng có thể làm được, nhưng mình thấy nó khá hiệu quả cho các nhà quản lý 

08 ĐIỀU CẦN FOCUS CỦA KHI TRIỂN KHAI PCI DSS

1511554_771657962845586_758488967_n

1. Triệt để remove các sensitive card infomation (PIN, PINBLOCK, Tracks,…) khỏi DB, bởi vì chắc chắn rằng “Remove thì đơn giản gấp tỷ lần giữ lại nó và bảo vệ nó”. Nếu có lưu trữ Thông tin thẻ (ví dụ PAN) thì phải bảo mật và đảm bảo dữ liệu chỉ đến với những người need-to-know , không share public.

2. Triệt để remove các thành phần không liên quan (mà vô tình bị lôi vào) ra khỏi danh sách các thành phần phải xử lý GAP. Đơn cử ví dụ sau, cả 1 công ty có 1 mạng LAN văn phòng, sau đó máy chủ CSDL, máy chủ ứng dụng (có chứa thông tin thẻ) được cắm vào mạng LAN đó thì vô hình chung toàn bộ hệ thống mạng sẽ phải tham gia vào quá trình đánh giá và xử lý GAP (bởi có kết nối và có thể truy cập với Thông tin thẻ). Vì vậy tìm mọi cách phân chia sao cho các thành phần bắt buộc phải tham gia vào quá trình triển khai PCI DSS nhỏ nhất, để giảm công sức, giảm tiền bạc và thời gian cho việc này (ví dụ tống các server liên quan vào 1 VLAN là đã khác nhiều rồi).

3. Triệt để áp dụng bảo mật cho các ứng dụng liên quan đến thanh toán Thẻ, và hạn chế lưu trữ thông tin thẻ, nếu có chăng, hãy lưu allias của thẻ mà thôi.

4. Triệt để giám sát và kiểm soát tốt truy cập vào hệ thống. Bao gồm cả phần mềm, phần cứng (như ID riêng cho mỗi người, rules trên Firewall…) và cả chính sách (ví dụ ra vào DC, truy cập kho lưu trữ…). Và nên nhớ “Cô lập không phải là an toàn, theo dõi và ghi log mới là quan trọng” 

5. Triệt để ghi nhớ rằng chúng ta xin một chứng chỉ cho hệ thống mềm (ứng dụng thanh toán , ví điện tử, cổng thanh toán) nhưng yếu tố cứng (mạng, máy chủ, FW,…) lại chiếm tỷ trọng khá lớn. Đừng chủ quan rồi đến lúc ngập trong GAP!

6. Triệt để ghi nhớ rằng chúng ta thuê công ty đối tác nhưng không phải ta phó mặc cho họ và nghĩ rằng đã thuê rồi là sau vài tháng sẽ có chứng chỉ PCI DSS. Thực chất, được hay ko là ở chúng ta, họ chỉ là tư vấn và hỗ trợ, họ ko thể hiểu doanh nghiệp chúng ta bằng chính chúng ta được. PCI DSS không nên hiểu là một dự án, nên hiểu nó là 1 chương trình triển khai tổng thể với nhiều dự án con bên trong (ví dụ: dự án nâng cấp hệ thống FW, dự án quy hoạch mạng, dự án trang bị bảo mật vân tay,….) để hoàn thành chương trình đó. Hãy nghĩ vậy để thấy tầm quan trọng của nó.

7. Triệt để ghi nhớ rằng PCI DSS chỉ có 2 kết quả: đạt hoặc không đạt, không có kiểu gần đạt, sắp đạt và xin xỏ để làm tròn thành đạt  như những món khác ở VN 

8. Triệt để quán triệt với toàn bộ hệ thống rằng PCI DSS không phải chỉ tập trung vào validation vào thời điểm triển khai là xong mà cần duy trì nó một cách liên tục và thường xuyên. Nhiều tổ chức tổ chức triển khai PCI DSS với tư tưởng “chống đối”, làm qua loa sao cho khi QSA sang validation thì pass cho xong để lấy chứng chỉ nhưng sau 1,2 năm thì những qua loa đó sẽ gây ra những lỗ hổng nghiêm trọng và để thay đổi lại nhằm đạt PCI DSS thì tốn kém rất nhiều công sức và tiền bạc.

Tóm lại , làm PCI DSS cần phải nói thật, làm thật vì đâu phải chỉ làm để khoe khách hàng, khoe đối tác mà nó chính là làm vì sự an toàn của chính tổ chức của bạn đó:)

Good luck!

SINH TRẮC HỌC TRONG XÁC THỰC GIAO DỊCH ĐIỆN TỬ – ĐÃ BẮT ĐẦU CUỘC ĐUA

1981957_761603027184413_1480980116_n
Chắc bạn nào làm trong lĩnh vực dính đến mấy cái chữ “E” như ECOM, EBANK đều nghe đến món xác thực đa nhân tố rồi.

Và trong tất cả các giáo trình, tất cả các bài báo, tất cả các tham luận đều sẽ có đoạn sau:

“Xác thực đa nhân tố gồm các nhân tố You Know, You Have và You Are. Yếu tố You Know chính là mật khẩu tĩnh ở trong đầu của khách hàng. Yếu tố You Have là một thứ khách hàng phải có, ví dụ OTP qua SMS (phải có điện thoại), Token hoặc Thẻ ma trận… Còn You Are là yếu tố sinh trắc học và luôn kèm theo câu tuy nhiên hình thức này còn ít phổ biến vì khó khăn trong triển khai và giá thành quá đắt đỏ”.

Chắc có lẽ đã đến lúc phải thay đổi điều đó trong suy nghĩ, trong giáo trình giảng dạy cho sinh viên bởi giờ đây xác thực Sinh trắc học đã đến gần lắm rồi, giao dịch trên ECOM, EBANK sẽ có thể an toàn hơn với xác thực 3 yếu tố luôn nếu cần. Hết Apple đến Sky rồi đến SamSung thi nhau tích hợp nhận diện vân tay vào thiết bị của mình, hiện SamSung đã mở SDK cho lập trình viên, Apple và Sky thì chờ thêm time nữa xem 

Các Bank nhanh chóng mà áp dụng khẩn trương cho dịch vụ của mình đi thôi. Trước mắt là PR hình ảnh và độ an toàn của sản phẩm bởi mới chỉ có KH SamSung dùng được, nhưng sau thì sẽ là tạo ra thói quen sử dụng dịch vụ cho KH và sẽ thành ngân hàng tiên phong triển khai đó .

Về cách thức áp dụng thì có thể là:
1. Áp dụng vào hệ thống Mobile Banking để nâng độ an toàn và hạn mức giao dịch, có thể cho KH thoải mái nếu dùng sinh trắc học.
2. Áp dụng làm Mobile Token cho hệ thống Internet Banking, thế là KH khỏi phải chờ SMS (nghẽn mạch thường xuyên) hoặc phải mang theo thiết bị Token theo người vướng víu .

Và còn nhiều ý tưởng khác….đang ủ mưu 

// Link của SamSung : http://www.tinhte.vn/threads/samsung-cho-phep-lap-trinh-vien-ben-thu-ba-su-dung-cam-bien-van-tay-cua-galaxy-s5.2259355/