Bảo mật nhóm hệ thống viễn thông

HỌC VIỆN CÔNG NGHỆ BƯU CHÍNH VIỄN THÔNG Nguyễn Khắc Cửu ĐỀ TÀI: Bảo mật nhóm hệ thống viễn thông Chuyênngành: Kỹ thuật điện tử Mãsố: 60.52.70 TÓM TẮT LUẬN VĂN THẠC SĨ HÀ NỘI – 2012 Luậnvănđượchoànthànhtại: HỌC VIỆN CÔNG NGHỆ BƯU CHÍNH VIỄN THÔNG Ngườihướngdẫnkhoahọc: TS. LÊ NHẬT THĂNG Phảnbiện 1: ………………………………………………………… ………………………………………………………… ………………………………………………………… Phảnbiện 2: ………………………………………………………… ………………………………………………………… ………………………………………………………… LuậnvănsẽđượcbảovệtrướcHộiđồngchấmluậnvănthạcsĩ tạiHọcviệnCôngnghệBưuchínhViễnthông Vàolúc: giờ ngày tháng năm…… Cóthểtìmhiểuluậnvăntại: - ThưviệncủaHọcviệnCôngnghệBưuchínhViễnthông MỞ ĐẦU 1. Lý do chọn đề tài: Máy tính, Internet cũng như mạng viễn thông nói chung đã trở thành phương tiện dùng để phá hoại, cũng là đích nhắm của các cuộc phá hoại. Những kiểu tấn công hiện nay (tấn công từ chối dịch vụ DOS, sâu Internet ), được phân tán ở mức độ cao có khả năng phối hợp để tấn công vào những dịch vụ, các máy chủ và hạ tầng mạng Internet. Chúng có thể gây ra những ảnh hưởng xã hội nghiêm trọng như một loạt các cuộc tấn công gần đây phá hoại các trang web của Chính phủ, các công ty cao cấp (Microsoft và Sco.com[2]), tấn công đánh sập các trang web lớn (Yahoo, Ebay, Buy.com [2]) làm thiệt hại khoảng 110 tỷ USD mỗi năm [21], chúng trở thành một trong các loại tội phạm bậc nhất. Các cuộc tấn công mạng dựa chủ yếu vào những lỗ hổng của phần mềm, giao thức mạng và cơ sở hạ tầng. (lỗ hổng phần mềm là do lỗi trong cài đặt các phần mềm mạng; lỗ hổng giao thức mạng là loại lỗ hổng về logic trong các mô hình trạng thái của giao thức; lỗ hổng cơ sở hạ tầng do tính phụ thuộc của thành phần tạo thành các tài nguyên mạng). Trong khi, một cuộc tấn công DOS được hiểu là nỗ lực ngăn những người sử dụng dịch vụ hợp pháp. Một cuộc tấn công DOS lên một ứng dụng dịch vụ Internet có thể thực hiện bằng cách tiêu thụ các nguồn tài nguyên (băng thông mạng, bộ nhớ máy chủ, không gian ổ đĩa, thời gian xử lý CPU và truy cập đến những mạng, máy tính khác) cung cấp cho ứng dụng. Thì, sâu Internet thường dùng các phương pháp quét để thăm dò những lỗ hổng của dịch vụ Internet, tự truyền bá một cách nhanh chóng. Hiện nay có nhiều kỹ thuật phòng, chống tấn công, tự phát hiện sự lây nhiễm, kể cả giải pháp phân cấp sử dụng các tường lửa khác nhau tại các mạng truy nhập để chống lại 1 sâu Internet. Bảo vệ hạ tầng mạng, máy tính khỏi các cuộc tấn công đã trở thành một vấn đề quan trọng cần được nghiên cứu giải quyết ở nhiều phương thức bảo vệ, ở cấp độ khác nhau (sử dụng tường lửa, danh sách đen, dùng bộ lọc nội dung, lọc ở bộ định tuyến v.v ). Trong bối cảnh của truyền thông đa phương tiện trên Internet, Multicast vừa là giải pháp hứa hẹn do tính ưu việt của cách truyền dữ liệu (tiết kiệm băng thông) "từ một đến nhiều"[9], nhưng cũng là thách thức trước vấn đề phòng chống tấn công, lây nhiễm và bảo mật hệ thống thông tin đối với các nhà cung cấp dịch vụ cũng như bảo mật thông tin đối với khách hàng. Điều đó dẫn đến nhu cầu bảo vệ nhóm trong quá trình cung cấp dịch vụ cho khách hàng. 2. Đối tợng, phạm vi, mục đích nghiên cứu: + Đối tượng nghiên cứu: Hệ thống viễn thông (hạ tầng cơ sở mạng. máy tính). + Phạm vi nghiên cứu: Bảo vệ tính toàn vẹn và nhận thực dữ liệu thông qua truy nhập. + Mục đích: Nghiên cứu, tìm hiểu và áp dụng giải pháp kỹ thuật (mã hoá) tạo thành các mức chặn khác nhau tại giao thức truy nhập. 3. Phơng pháp nghiên cứu: Nghiên cứu lý thuyết và minh chứng qua các ví dụ mô phỏng minh hoạ. 4. Những nhiệm vụ phải triển khai: + Nghiên cứu về chống xâm nhập bằng cách xây dựng các mức độ ưu tiên truy nhập khác nhau. + Nghiên cứu về những vấn đề đe doạ kỹ thuật Multicast. + Nghiên cứu về các kỹ thuật bảo mật trong truyền thông nhóm. + Nghiên cứu kỹ thuật mô phỏng. 2 Nội dung nghiên cứu được chương mục hoá trong luận văn có tiêu đề như sau: CHƠNG 1: TRUYỀN THÔNG ĐA PHƠNG TIỆN VÀ AN NINH 1.1 Giới thiệu chung. Truyền thông đa phương tiện (Muticasting) là cách hữu hiệu để truyền văn bản, âm thanh, video dữ liệu đến một nhóm người trên mạng Internet hoặc mạng nội bộ. Thay vì phải gửi thông tin đến từng cá nhân, thông tin sẽ được gửi cho cả nhóm multicast. Multicasting giảm số lượng gói lưu thông trên Internet bằng cách gửi gói đến người sử dụng có yêu cầu và do vậy tiết kiệm được băng thông cho mạng. Nhằm đáp nhu cầu về dịch vụ đa phương tiện với một số lượng lớn người dùng qua mạng Internet, nhu cầu về bảo mật thông tin hệ thống của nhiều nhà cung cấp, nhu cầu đáp ứng dịch vụ của mạng viễn thông với xã hội. Tôi tin tưởng rằng đề tài sẽ phần nào có ích cho các nhà quản lý, các nhà khai thác hệ thống, hơn nữa là đáp ứng một cách nhìn toàn diện về dịch vụ mạng Multicasting. 1.2 Kỹ thuật multicasting và những vấn đề liên quan 1.2.1 Kỹ thuật Multicasting, sự khác biệt với những kỹ thuật khác . Kỹ thuật Multicasting là phần kỹ thuật chính nhằm mô tả và thực hiện những vấn đề của truyền thông nhóm do vậy đề tài sẽ tìm hiểu cụ thể về kỹ thuật này làm sáng tỏ những nội dung liên quan về bảo mật trong dịch vụ Multicast. 1.2.1.1 Truyền dẫn Unicast. Truyền dẫn Unicast, hay còn gọi là truyền dẫn điểm- điểm. Trong hình thức truyền dẫn này, nhiều host muốn nhận thông tin từ một bên gửi thì bên gửi đó phải truyền nhiều gói tin đến các bên nhận. Điều này sẽ dẫn đến gia tăng băng thông khi có quá nhiều bên 3 nhận và không hiệu quả về nguồn và bộ đệm. 1.2.1.2 Truyền dẫn Broadcast. Kiểu truyền dẫn này cho phép truyền gói tin từ một địa điểm tới tất cả các host trên một mạng con mà không quan tâm đến việc một số host không có nhu cầu nhận nó. Kiểu truyền dẫn này được coi là một sát thủ băng thông do việc sử dụng tài nguyên băng thông không hềhiệu quả. 1.2.1.3 Truyền dẫn Multicast. Một địa chỉ Multicast cho phép phân phối dữ liệu tới một tập hợp các host đã được cấu hình như những thành viên của một nhóm Multicast trong các mạng con phân tán khác nhau. Đây là phương pháp truyền dẫn đa điểm, trong đó chỉ các host có nhu cầu nhận dữ liệu mới tham gia vào nhóm. Điều này hạn chế tối đa sự lãng phí băng thông trên mạng, hơn nữa còn nhờ cơ chế gửi gói dữ liệu Multicast mà băng thông được tiết kiệm triệt để. 1.2.2 IP Multicast. IP Multicast là một chuẩn mở của IETF dùng để truyền dẫn các gói dữ liệu IP từ một nguồn đến nhiều đích trong một mạng LAN hay WAN. Các host tham gia vào một nhóm Multicast và các ứng dụng chỉ gửi một bản sao của thông tin cho một địa chỉ nhóm. Thông tin này chỉ gửi đến những điểm muốn nhận được lưu lượng đó. Một đặc điểm quan trọng của IP Multicast là nhóm Multicast. Việc xây dựng một nhóm Multicast bắt đầu với một server đang chạy một ứng dụng Multicast như audio, video Khi một server được xây dựng, một địa chỉ Multicast lớp D được gán cho ứng dụng đó và tất cả các thành viên của nó. Một nhóm Multicast được cấp phát cho một địa chỉ lớp D đại diện cho nhóm đó. Số lượng thành viên của nhóm có thể là 0, 1 hay nhiều thành viên. Các thành viên có thể nằm tại các 4 mạng con khác nhau. Khi một host muốn gia nhập một nhóm, nó gửi một bản tin IGMP chứa địa chỉ lớp D của nhóm mong muốn tới Mrouter cục bộ của nó. Sau khi Mrouter nhận bản tin IGMP từ các host, nó chuyển tiếp tất cả lưu lượng Multicast cho nhóm các host đó. Các host có thể gia nhập nhóm hoặc rời bỏ khỏi nhóm bất cứ lúc nào. 1.2.3 Đờng hầm Multicast. Khi chưa có nhiều router hỗ trợ Multicast được triển khai trên mạng thì đường hầm Multicast là một giải pháp hợp lý để triển khai Multicast. Giả sử khi số lượng Mrouter trên mạng là rất ít, ta có thể coi mỗi Mrouter như một hòn đảo giữa rất nhiều router Unicast. Hai đảo này có thể kết nối trực tiếp bằng một đường link vật lý hoặc một đường hầm logic. Nếu một đường hầm kết nối 2 Mrouter, khi đó nó đại diện cho một liên kết ảo điểm- điểm giữa chúng. Trong các đường hầm là các router Unicast. Khi một gói tiến vào đường hầm, nó được đóng gói trong một gói IP Unicast với một địa chỉ đích của Mrouter ở phía kia của đường hầm. Khi rời khỏi đường hầm, nó được tháo gói và được xử lý tại các Mrouter. Do đó, một đường hầm cho phép lưu lượng Multicast truyền liên tục giữa 2 Mrouter thông qua các router Unicast. 1.2.4 Biên dịch địa chỉ Multicast. Khi một router cục bộ trên một subnet nhận một gói multicast lớp 3, nó có thể chuyển đổi địa chỉ IP multicast tới một địa chỉ multicast lớp 2, như một địa chỉ MAC Ethernet. Do đó phần cứng giao diện LAN của host thu có thể đọc địa chỉ lớp 2 này. 1.2.5 Chuyển tiếp lu lợng multicast. Có một vài phương pháp để chuyển tiếp lưu lượng IP multicast từ các nguồn đến các host thu. Đầu tiên ta sắp xếp một nhóm bao gồm các host thu với một địa chỉ lớp D chung để đạt được sự phân 5 phối lưu lượng multicast hiệu quả. Bước tiếp theo là tạo ra một tập hợp các đường phân phối multicast cho các router sử dụng. Các giao thức được xây dựng trong các router giúp xây dựng cây phân phối multicast để chuyển tiếp các gói. Giao thức chuyển tiếp multicast chủ yếu sử dụng một trong hai kỹ thuật sau: 1.2.5.1 Cây nguồn (source tree). Dạng đơn giản nhất của cây phân phối multicast là cây nguồn có gốc là nguồn multicast và các nhánh của nó có dạng cây mở rộng dọc theo mạng đến các điểm thu. Nó là một cây đường ngắn nhất (SPT). 1.2.5.2 Cây chia sẻ (shared-tree). Phương pháp chuyển tiếp cây chia sẻ có nhiều ưu thế nhất trong phân phối multicast. Phương pháp chuyển tiếp này là một sự lựa chọn tốt hơn so với phương pháp cây chung gốc khi môi trường multicast bao gồm các nhóm multicast phân bố rải rác với những kết nối bậc thấp. Các SPT có ưu điểm trong việc tạo ra đường dẫn tối ưu nguồn và các máy thu. Điều này đảm bảo trễ chuyển tiếp lưu lượng multicast thấp nhất cho mạng. Trong một mạng có nhiều nguồn và hàng nghìn điểm nhận thì điều này nhanh chóng trở thành vấn đề về tài nguyên trên các router. 1.2.6 Những thách thức trong vấn đề bảo mật nhóm. Bảo mật trong multicast đưa ra những thách thức về kỹ thuật, sử dụng multicast để phân phối nội dung dữ liệu một cách đồng thời tới một số luợng lớn các bên nhận. Nếu chỉ các máy trạm đó được phép nhìn thấy nội dung, nội dung dữ liệu ấy phải được mã hoá. Nhưng một khoá mã hoá có thể làm thế nào để được phân phối hiệu quả tới nhiều bên nhận. Hơn nữa, một khoá mã cho một dữ liệu mã hoá nên được thay đổi theo chu kỳ, vì chúng ta không chấp nhận mã hoá dữ 6 liệu cho nhiều dữ liệu chỉ cùng một chìa khoá, và có lẽ nó sẽ được thay đổi khi thành viên của nhóm thay đổi. Trong bảo mật thông tin là bảo vệ sự toàn vẹn và nhận thực dữ liệu. Với một mẫu khóa bí mật, ai đó đang kiểm tra dữ liệu phải biết cùng một bí mật mà được sử dụng để tạo trường kiểm tra tính toàn vẹn. 1.2.6.1 Bảo vệ nội dung multicast. 1.2.6.1.1 Điều khiển dữ liệu multicast bảo mật. Trong đa số các ứng dụng, các bên nhận phải có khả năng thiết lập nguồn dữ liệu, ít nhất là cho chính chúng. Nói cách khác, chúng ta cần thiết nhận thực nguồn dữ liệu. Một phiên bản mạnh hơn các tính chất trên, được gọi là không- từ chối, cho phép bên nhận xác nhận nguồn gốc dữ liệu tới bất kỳ bên thứ ba nào. 1.2.6.1.2 Quản lý nguyên liệu tạo khóa. Điều khiển truy nhập nhóm, tính riêng tư, và nhận thực nhóm của dữ liệu Multicast yêu cầu một khóa chung được phân phối tới các thành viên hiện tại của nhóm bảo mật. Các giao thức đàm phán bảo mật unicast như là IKE dẫn đến kết quả là mỗi khóa riêng biệt cho mỗi phiên, và không thể trực tiếp được sử dụng cho truyền thông nhóm. Thay vào đó, một đối tượng trung tâm như là GCKS cần thiết để tải các khóa nhóm riêng biệt tới mỗi thành viên thông qua một kênh bảo mật. 1.2.6.1.3 Đăng ký thành viên. Mỗi thành viên liên lạc với GCKS để đăng ký và gia nhập nhóm. Sau khi nhận thực lẫn nhau, GCKS kiểm tra tư cách thành viên của máy trạm, thiết lập một kênh bảo mật, và tải các khóa nhóm và chính sách tới thành viên. 7 1.2.6.1.4 Chuyển khóa nhóm. Do các khóa mật mã có thời gian sống, GCKS phải chuyển khóa khóa nhóm trước khi nó hết hiệu lực. Nói cách khác, đa phần nếu không muốn nói là tất cả các thành viên có thể gửi một yêu cầu tới GCKS để đồng bộ khóa mới, dẫn đến sự bùng nổ yêu cầu chuyển khóa trong các nhóm lớn. Điều khiển truy nhập chuyển tiếp và chuyển ngược. Lưu ý tới việc phân phối khóa nhóm tới một nhóm linh động và rộng lớn. Trong phần lớn các ứng dụng, trong khi nhiều thành viên gia nhập tại thời điểm bắt đầu của phiên và rời bỏ nhóm tại thời điểm kết thúc, các thành viên khác có thể gia nhập và rời bỏ tại bất kỳ thời điểm nào trong phiên. Nói cách khác, nhiều thành viên có thể được chấp nhận tham gia một nhóm bảo mật chỉ trong một thời gian giới hạn. Các bản tin chuyển khóa có thể được gửi qua Unicast hay Multicast để phân phối hiệu quả. Tương tự như các bản tin đăng ký, các bản tin chuyển khóa cũng phải được bảo vệ khỏi tấn công phát lại, và phải được đánh dấu bởi GCKS cho việc nhận thực. 1.2.6.1.5 Liên kết bảo mật nhóm. Đối với bảo mật Unicast, hai bên truyền thông ngang hàng đàm phán các tham số bảo mật để thiết lập một liên kết bảo mật Internet (Internet security association-ISA) và giao thức quản lý khóa bảo mật Internet (Internet security association key management protocol- ISAKMP), là giao thức bảo vệ đàm phán của một IPsec SA cho bảo mật truyền dẫn dữ liệu. Một mô hình tương tự là liên kết bảo mật nhóm (Group security association-GSA) đã được tiêu chuẩn hóa tại IETF. 1.2.7 Chính sách bảo mật multicast. Các chính sách bảo mật multicast cung cấp các quy tắc hoạt 8 [...]... nhập vào hệ thống có thể là một kết nối hay một sự can thiệp vào hệ thống gây ảnh hưởng tới hệ thống Authentication là sự xác thực từ hệ thống đối với người dùng truy cập vào hệ thống Bất kỳ người dùng nào truy cập vào hệ thống đều phải trả lời các câu hỏi mà hệ thống đưa ra nếu đúng hệ thống sẽ cho truy cập nếu sai hệ thống sẽ cấm truy cập Authentication sử dụng các phương pháp mã hóa để đảm bảo thông. .. lớn đối với vấn đề bảo đảm an toàn thông tin, hiện nay, khái niệm bảo đảm thông tin (Information Assurance) được đề xuất như một giải pháp toàn diện hơn cho bảo mật thông tin Theo đó, vấn đề an toàn của thông tin không còn chỉ giới hạn trong việc đảm bảo tính bí mật và tính toàn vẹn của thông tin, phạm vi bảo vệ không còn giới hạn trong các hệ thống máy tính làm chức năng xử lý thông tin nữa, mà diễn... trình bày cụ thể về phần bảo mật với truyền thông nhóm nói chung nhằm đưa ra cách nhìn mới về dịch vụ đa phương tiện cũng như các dịch vụ khác có sử dụng kỹ thuật truyền thông nhóm CH ƠNG 2: BẢO MẬT TRUYỀN THÔNG NHÓM 2.1 Định nghĩa và những yêu cầu 2.1.1 Tính bảo mật dữ liệu Khi máy tính được sử dụng để xử lý thông tin, hiệu quả xử lý thông tin được nâng cao lên, khối lượng thông tin được xử lý càng... Khả năng giữ bí mật thông tin về mã hóa, giải mã không sử dụng các thuật toán mã hóa mật mã, được biết đến rộng rãi 10 trên một mẩu thông tin bí mật được gọi là chìa khóa Mục đích bảo mật đó là: (CIA) Cofidently, Intergrity, Avaibility trong đó Cofidently nghĩa là sự tin cậy Intergrity nghĩa là tính toàn vẹn Avaibility nghĩa là tính sẵn sàng 2.1.2 Tính bảo mật truyền thông nhóm Bảo mật AAA (Access... tất cả các hệ thống tự động (automated systems) Yêu cầu bảo vệ không còn chỉ tập t r ung ở vấn đề an toàn động (Security) nữa mà bao gồm cả vấn đề an toàn tĩnh (Safety) và vấn đề tin cậy của hệ thống (Reliability) Bảo mật dữ liệu là bảo đảm thông tin về dữ liệu không thể tiết lộ cho đối tượng không có thẩm quyền sử dụng dữ liệu Bảo mật được bảo đảm bằng các biện pháp mã hóa, đó là sự biến đổi mật mã của... các hệ thống phân tán làm thay đổi phạm vi tổ chức xử lý thông tin Thông tin được trao đổi giữa các thiết bị xử lý thông qua một khoảng cách vật lý rất lớn, gần như không giới hạn, làm xuất hiện thêm nhiều nguy cơ hơn đối với sự an toàn của thông tin Từ đó xuất hiện yêu cầu bảo vệ sự an toàn của hệ thống mạng (Network Security), gồm các cơ chế và kỹ thuật phù hợp với việc bảo vệ sự an toàn của thông. .. của thông tin trong đời sống xã hội cũng tăng lên Sự ứng dụng của máy tính trong việc xử lý thông tin làm thay đổi dạng lưu trữ của thông tin và phương thức xử lý thông tin Cần thiết phải xây dựng các cơ chế bảo vệ thông tin theo đặc thù hoạt động của máy tính Từ đây xuất hiện yêu cầu bảo vệ sự an toàn hoạt động của máy tính (Computer Security) tồn tại song song với yêu cầu bảo 9 vệ sự an toàn của thông. .. p p 1 G -1 SAKM agent 2p 1 2.3.5 Kết luận Bảo mật là một yêu cầu cấp bách đối với các bản tin multicast để đảm bảo sự an toàn và triển khai rộng lớn cho việc truyền thông nhóm bảo mật Các giao thức quản lý khóa đóng một vai trò trong việc đảm bảo cho toàn bộ kiến trúc multicast Trong các phiên multicast thực, các thành viên có thể tham gia hoặc rời khỏi nhóm một cách động trong suốt toàn bộ phiên... trên các gói dữ liệu lớn Kỹ thuật chuỗi băm RLH cho phép thu để hạn chế băng thông trên không xác thực thông tin đến tổng giá trị bắt buộc chỉ cho phép đến một tỉ lệ gói tin xác định KẾT LUẬN VÀ H ỚNG PHÁT TRIỂN CỦA ĐỀ TÀI Luận văn cung cấp những thông tin cập nhật về kỹ thuật bảo mật và an toàn thông tin trong truyền thông nhóm cũng như những bàn luận về khả năng áp dụng trong thực tiễn 31 ... các thành viên của nhóm Trong những gì sau chúng tôi trình bày một số giao thức dựa trên cách tiếp cận này 2.2.2 Độc lập TEK trên nhóm VT Để giảm thiểu hiện tượng ảnh hưởng từ 1 → n, chúng ta sẽ tổ chức các thành viên trong nhóm thành các tiểu nhóm Mỗi nhóm phụ thuộc vào TEK độc lập của nó Thật vậy, khi một thành viên trong phân nhóm thay đổi nó chỉ ảnh hưởng đến thành viên trong cùng nhóm Các giao thức . HỌC VIỆN CÔNG NGHỆ BƯU CHÍNH VIỄN THÔNG Nguyễn Khắc Cửu ĐỀ TÀI: Bảo mật nhóm hệ thống viễn thông Chuyênngành: Kỹ thuật điện. đề phòng chống tấn công, lây nhiễm và bảo mật hệ thống thông tin đối với các nhà cung cấp dịch vụ cũng như bảo mật thông tin đối với khách hàng. Điều