tiểu luận môn an ninh mạng thông tin đề tài giao thức ssltls

HỌC VIỆN CƠNG NGHỆ BƯU CHÍNH VIỄN THƠNG KHOA VIỄN THƠNG I Bài Tiểu Luận Mơn: An Ninh Mạng Thơng Tin Đề tài: Giao thức SSL/TLS Giảng viên hướng dẫn: TS.Hồng Trọng Minh Nhóm thực (12): Nguyễn Đức Tùng Bùi Trọng Long Chu Đức Long Nhật - B17DCVT397 B17DCVT221 B17DCVT269 Nhóm mơn học: 02 Hà Nội, 2021 Bài tập tiểu luận môn ANM Mục lục Mục lục PHÂN CÔNG CÔNG VIỆC Danh mục thuật ngữ viết tắt Danh mục bảng biểu hình vẽ Danh mục bảng biểu: Lời nói đầu PHẦN I Tổng quan SSL/TLS Khái niệm SSL/TLS 1.1 Khái niệm 1.2 Lịch sử đời SSL/TLS Các lợi ích kết nối SSL / TLS bao gồm: Phần II Cấu trúc, đặc điểm hoạt động giao thức SSL/TLS 10 Cấu trúc, đặc điểm hoạt động SSL/TLS 10 Các giao thức SSL 12 2.1 Giao thức bắt tay 12 2.2 Giao thức ghi 19 2.3 Các giao thức khác 20 Các thuật toán sử dụng SSL/TLS 21 Ứng dụng 22 PHẦN III Cải tiến giao thức TLS so với giao thức SSL 22 Phần IV: Một số vấn đề bảo mật Tấn công và cách phòng chống 25 Một số vấn đề bảo mật 25 1.1 Sơ lược an ninh mạng 25 1.2 Một số lỗ hổng bảo mật phổ biến 25 Quá trình tấn công 26 2.1 Nhóm 12 Quá trình truyền thông HTTPS 26 Bài tập tiểu luận môn ANM 2.2 Quá trình tấn công 28 Biện pháp phòng chống 31 3.1 Cảnh giác với các điểm truy cập Wi-Fi mở tại các nơi công cộng 31 3.2 Tất các trang web bật SSL 31 3.3 Bật HSTS (Bảo mật truyền tải nghiêm ngặt HTTP) 31 3.4 Cách bảo vệ trước các cuộc tấn công từ kẻ trung gian 31 Kết luận 32 Tài liệu tham khảo 33 Nhóm 12 Bài tập tiểu luận mơn ANM PHÂN CƠNG CƠNG VIỆC Tên Công việc Bùi Trọng Long Phần I, III Nguyễn Đức Tùng Phần II Chu Đức Long Nhật Phần IV Nhóm 12 Bài tập tiểu luận mơn ANM Danh mục thuật ngữ viết tắt Tên viết tắt Tên đầy đủ Dịch nghĩa SSL Secure Sockets Layer Lớp khe cắm an toàn TLS Transport Layer Security Bảo mật tầng giao vận TCP Transmission Control Protocol Giao thức điều khiển truyền dẫn HTTPS Hyper Text Transfer Protocol Secure Giao thức truyền tải siêu văn IETF Internet Engineering Task Force Lực lượng Chuyên trách Kỹ thuật Liên mạng MAC Media Access Control Kiểm soát truy cập phương tiện URL Uniform Resource Locato Định vị tài nguyên thống nhất HSTS HTTP Strict Transport Security Bảo mật truyền tải nghiêm ngặt HTTP LDAP Lightweight Directory Access Protocol Phương thức đăng nhập trực tiếp Lightweight CA Certificate Authority Tổ chức cấp chứng Nhóm 12 Bài tập tiểu luận mơn ANM Danh mục bảng biểu hình vẽ Danh mục bảng biểu: Bảng Giá trị kiểu chứng chấp nhận…………………………………….17 Bảng Các thuật toán sử dụng SSL/TLS…………………………………………22 Danh mục hình vẽ: Hình Lịch sử đời SSL/TLS………………………………………………… ….8 Hình Cấu trúc SSL…………………… ….………………………………………11 Hình Hoạt đợng SSL/TLS…………………………………………………………12 Hình Vị trí giao thức bắt tay……………………… …………………………………13 Hình Q trình bắt tay SSL/TLS…………………………………………….……14 Hình Thơng điệp Certificate……………………… …………………………………15 Hình Thông điệp ServerKeyExchange mang tham số Diffie-Hellman, RSA Fortezza………………………………………………………………………………… 16 Hình Thông điệp CertificateRequest………………………………………… ………16 Hình Thông điệp ServerHelloDone……………………………………………………17 Hình 10 Thông điệp ClientKeyExchange với RSA, Diffie-Hellman Fortezza………18 Hình 11 Tạo thơng điệp CertificateVerity……………….………………………………18 Hình 12: Thơng điệp Finished……………………………………………………………19 Hình 13: Vị trí giao thức ghi SSL……… ……………………………………20 Hình 14 Các giai đoạn giao thức ghi……………………………………………20 Hình 15 Thông điệp ChangeCipherSpec……………………………………………… 21 Hình 16 Định dạng thông điệp Alert ……………………………………………………21 Hình 17 Máy khách máy chủ thực bắt tay SSL / TLS TLS 1.3 ….………24 Hình 18 Quá trình bắt tay TLS 1.3………………………………………………………24 Hình 19 Quá trình mã hóa liệu HTTP, HTTPS ………………… ……………26 Hình 20 TLS Handshake, FYI………………………………………… ……………27 Hình 21 Cuộc tấn công SSL Strip………………………………….…………………28 Hình 22 Cuộc tấn công MitM……………………………………………………………29 Nhóm 12 Bài tập tiểu luận mơn ANM Lời nói đầu Được thiết kế bởi Netscape bao gồm các chế bảo mật sản phẩm trình duyệt để tạo truyền thơng an tồn mạng, SSL (Secure Sockets Layer) là giao thức bảo mật sử dụng phổ biến Internet nhất hoạt động thương mại điện tử Ban đầu, SSL thiết kế kết hợp với giao thức HTTP sử dụng bởi các Web server và browser, đã là mợt thành phần quan trọng loại truyền thông Internet bảo mật Việt Nam đường hội nhập với công nghệ thông tin giới, hoạt động giao dịch mạng ở Việt Nam diễn sôi nổi, vấn đề bảo mật trở nên quan trọng, việc triển khai SSL là điều cần thiết Tuy nhiên đến hầu hết website ở Việt Nam chưa sử dụng SSL giao dịch Trong tiểu luận này, em tiến hành nghiên cứu chi tiết giao thức bảo mật SSL/TLS Chúng em hy vọng với khoá luận đem đến nhìn cụ thể SSL/TLS bảo mật mạng, tầm quan trọng ứng dụng thực tế Nhóm 12 Bài tập tiểu luận mơn ANM PHẦN I Tổng quan SSL/TLS Khái niệm SSL/TLS 1.1 Khái niệm SSL (Lớp cổng bảo mật) và người kế nhiệm nó, TLS (Bảo mật lớp truyền tải), là các giao thức để thiết lập các liên kết xác thực và mã hóa các máy tính nối mạng Mặc dù giao thức SSL đã không chấp nhận phát hành TLS 1.0 vào năm 1999, người ta thường gọi các công nghệ liên quan này là “SSL” “SSL / TLS” SSL là một loại bảo mật kỹ thuật số cho phép giao tiếp mã hóa trang web và trình duyệt web Công nghệ này không dùng và đã thay hoàn toàn TLS TLS (Bảo mật tầng truyền tải) là một phiên SSL cập nhật, an toàn Mục tiêu SSL / TLS là làm cho việc truyền thông tin nhạy cảm bao gồm liệu cá nhân, toán thông tin đăng nhập trở nên an toàn và bảo mật Đây là một giải pháp thay cho truyền liệu văn túy kết nối bạn với máy chủ không mã hóa và điều này khiến kẻ gian và tin tặc khó dò tìm kết nối và lấy cắp liệu bạn TLS gì? (Transport Layer Security) TLS (Bảo mật lớp truyền tải), phát hành vào năm 1999, là kế thừa giao thức SSL (Lớp cổng bảo mật) để xác thực và mã hóa TLS 1.3 định nghĩa RFC 8446 (tháng năm 2018) TLS đảm bảo quyền riêng tư liệu giống cách SSL làm Vì SSL thực khơng còn sử dụng nữa, là thuật ngữ xác mà người nên bắt đầu sử dụng - TLS bao gồm hai phần: +) Lớp bắt tay TLS quản lý mật mã (loại thuật tốn mã hóa) sử dụng, xác thực (sử dụng chứng dành riêng cho tên miền tổ chức bạn) và trao đổi khóa (dựa cặp khóa cơng khai-riêng tư từ chứng chỉ) Quá trình bắt tay thực một lần để thiết lập kết nối mạng an toàn cho hai bên +) Lớp ghi TLS lấy liệu từ các ứng dụng người dùng, mã hóa nó, phân mảnh thành mợt kích thước thích hợp (do mật mã xác định) và gửi đến lớp truyền tải mạng Hầu hết người quen thuộc với chứng SSL / TLS, quản trị viên web sử dụng để bảo mật trang web họ và cung cấp một cách an toàn cho người thực giao dịch - Chứng SSL gì? (Secure Sockets Layer) +) Mợt giấy chứng nhận SSL (còn gọi TLS chứng SSL / TLS) một tài liệu kỹ thuật số mà gắn bó với sắc mợt trang web để mợt cặp khóa mã hóa bao gồm mợt khóa cơng khai khóa bí mật Khóa cơng khai, có chứng chỉ, cho phép Nhóm 12 Bài tập tiểu luận mơn ANM trình duyệt web bắt đầu phiên giao tiếp mã hóa với máy chủ web thơng qua giao thức TLS và HTTPS Khóa riêng tư giữ an toàn máy chủ và sử dụng để ký kỹ thuật số trang web tài liệu khác (chẳng hạn hình ảnh tệp JavaScript) +) Chứng SSL bao gồm thông tin nhận dạng một trang web, bao gồm tên miền và, tùy chọn, thơng tin nhận dạng chủ sở hữu trang web Nếu chứng SSL máy chủ web ký bởi tổ chức phát hành chứng tin cậy công khai (CA), chẳng hạn SSL.com, nội dung ký kỹ thuật số từ máy chủ trình duyệt web hệ điều hành người dùng cuối tin tưởng xác thực SSL công nghệ tiêu chuẩn để giữ kết nối internet an toàn bảo vệ bất kỳ liệu nhạy cảm nào gửi hai hệ thống, ngăn chặn tội phạm đọc sửa đổi bất kỳ thông tin nào truyền, bao gồm chi tiết cá nhân tiềm ẩn Hai hệ thống máy chủ máy khách (ví dụ: trang web mua sắm trình duyệt) máy chủ đến máy chủ (ví dụ: ứng dụng có thơng tin nhận dạng cá nhân thơng tin bảng lương) Nó thực điều cách đảm bảo liệu truyền người dùng trang web, hai hệ thống khơng thể đọc Nó sử dụng thuật toán mã hóa để xáo trợn liệu q trình truyền tải, ngăn khơng cho tin tặc đọc nó gửi qua kết nối Thơng tin bất kỳ thơng tin nhạy cảm cá nhân bao gồm số thẻ tín dụng và thơng tin tài chính, tên và địa khác Chứng SSL một loại chứng X.509 (X.509 định dạng tiêu chuẩn cho chứng khóa cơng khai, tài liệu kỹ thuật số liên kết an tồn cặp khóa mật mã với danh tính trang web, cá nhân tổ chức) 1.2 Lịch sử đời SSL/TLS Vì SSL v1.0 Netscape chưa phát hành, nhiều phiên SSL sau TLS đã phát hành để tăng khả bảo mật Hình Lịch sử đời SSL/TLS Nhóm 12 Bài tập tiểu luận môn ANM Giao thức Secure Sockets Layer (SSL) Netscape giới thiệu lần vào năm 1994 Internet ngày phát triển nhu cầu bảo mật truyền tải cho trình duyệt web giao thức TCP khác Phiên 1.0 SSL chưa phát hành có lỡi bảo mật nghiêm trọng Bản phát hành thức SSL, phiên 2.0, đời vào năm 1995 Phiên cuối giao thức SSL, SSL 3.0, phát hành vào tháng 11 năm 1996 Năm 2011, IETF đã thông báo SSL phiên 2.0 khơng dùng IETF khuyến nghị nên bỏ hồn tồn SSL v2 theo mợt tài liệu mà họ đã phát hành thì giao thức có mợt số thiếu sót lớn Chúng bao gồm việc sử dụng MD5 để xác thực tin nhắn, thiếu bảo vệ bắt tay, sử dụng mợt khóa để mã hóa toàn vẹn tin nhắn kết thúc phiên dễ dàng Vào tháng năm 2015, IETF đã thông báo SSL 3.0 không dùng Như đã nêu tài liệu IETF phát, bất kỳ phiên TLS an toàn tất phiên SSL SSL sử dụng các tính giao thức TLS chẳng hạn Mã hóa xác thực với liệu bổ sung (AEAD), Elliptic Curve Diffie-Hellman (ECDH) Elliptic Curve Digital Signature Algorithm (ECDSA), vé phiên không trạng thái, chế độ hoạt động theo sơ đồ liệu (DTLS) và thương lượng giao thức tầng ứng dụng Giao thức Bảo mật tầng truyền tải (TLS) giới thiệu lần vào năm 1999 một nâng cấp lên SSL v3 Tài liệu TLS 1.0 nói khác biệt TLS 1.0 SSL 3.0 là đáng kể, chúng đủ đáng kể để loại trừ khả tương tác TLS 1.1 một cập nhật nhỏ cho TLS 1.0 phát hành vào tháng năm 2006 Một số khác biệt phiên bao gồm biện pháp bảo vệ chống lại cuộc tấn công Cipher Block Chaining (CBC) TLS 1.2 phát hành vào tháng năm 2008 Các thay đổi bao gồm thêm hàm giả ngẫu nhiên định bởi bộ mật mã (PRF), thêm bộ mật mã AES, loại bỏ bộ mật mã IDEA DES, một số cải tiến khác Phiên tại TLS, TLS 1.3, phát hành vào tháng năm 2018 Lần này, giao thức đã trải qua một số thay đổi lớn với trọng tâm đơn giản Một số công nghệ không an toàn đã bị loại bỏ Giao thức đã xếp hợp lý để có hiệu suất tốt hơn: việc bắt tay yêu cầu một chuyến (trong mợt số trường hợp chí khơng) Các thay đổi khác bao gồm mã hóa thông tin SNI để bảo mật tốt và tiêu chuẩn chữ ký (RSA-PSS) Tất trình duyệt đại hỗ trợ TLS v1.3 Các lợi ích kết nối SSL / TLS bao gồm: - Quyền riêng tư - Giao tiếp hai mạng kết nối bảo mật mợt khóa nhất mà bên thứ ba lấy Xác thực - Danh tính bên giao tiếp xác minh cách sử dụng mật mã khóa cơng khai - Tính tồn vẹn - Mợt thuật tốn xác thực xác định xem mợt thơng báo có bị thay đổi hay khơng Nhóm 12 Bài tập tiểu luận mơn ANM B11: Thông điệp ChangeCipherSpec gửi bởi Client sau CertificateVerify chép trạng thái CipherSpec chờ vào trạng thái tại thể một thoogn điệp nhận các thông điệp handshake và các thông điệp kết thúc B12: Thông điệp Finished gửi sau thơng điệp CipherSpec để kiểm tra lại tiến trình xác thực và trao đổi khóa đã thành cơng Hình 12: Thông điệp Finished Sau thông điệp này gửi quá trình bắt tay hồn thành mợt phiên SL thiết lập Mọi truyền thông hai bên mã hóa kết thúc một phiên kể từ lúc trở 2.2 Giao thức ghi SSL sử dụng giao thức ghi để đóng gói tất các thơng điệp Nhóm 12 19 Bài tập tiểu luận mơn ANM Hình 13: Vị trí giao thức ghi SSL Giao thức ghi một tầng giao thức Đối với mỗi tầng giao thức nói chung, mợt gói liệu bao gồm các trường độ dài, mô tả nội dung liệu Giao thức ghi nhận liệu cần gửi từ tầng phân nhỏ thành từng khối (block), nén liệu, bổ sung liệu kiểm tra, mã hóa gửi Sau nhận liệu tiến trình thực ngược lại: giải mã, kiểm tra, gõ nén xếp lại gửi lên tầng Hình 14 Các giai đoạn giao thức ghi B1: fragmentation Mỗi thông điệp chia thành khối 214 (16384) byte nhỏ B2: Compress (nén) Nén tùy chọn, không làm mất liệu và khơng gia tang kích thước liệu 1024 byte B3: MAC Fini Mã xác thực nén biến đổi SSLCompressed thành SSLCiphertex B4: Thêm vào phần đầu một header bao gồm các trường: Protocol, version, Length, Protocol Message Bốn giao thức tầng cao khác mà Lớp ghi hỡ trợ là: ChangeCipherSpec protocol, Alert protocol, Handshake protocol, Application protocol data 2.3 Các giao thức khác 2.3.1 Giao thức ChangeCiperSpec Nhóm 12 20 Bài tập tiểu luận mơn ANM Là q trình chuyển tiếp tín hiệu chiến lược mật mã bao gồm một thông điệp mã hóa né theo CipherSpec tại Hình 15 Thông điệp ChangeCipherSpec 2.3.2 Giao thức Alert Protocol Giao thức Alert báo hiệu một cảnh báo một lỗi xảy q trình truyền thơng SSL gán cho kiểu giao thức cảnh báo 21 Alert Protocol sử dụng Record Layer định dạng thông điệp tất giao thức SSL khác Trong một phiên liên lạc, các thơng điệp cảnh báo mã hóa nén truyền tải trạng thái lỗi hay cảnh báo trình thiết lập trao đổi liệu Hình 16 Định dạng thơng điệp Alert Các kiểu Alert: - Kiểu Closure Alert - Kiểu Error Alert Các thuật tốn sử dụng SSL/TLS Tên thuật tốn Nợi dung DES Có chiều dài khóa 56 bit 3-DES Có đợ dài khóa gấp lần đợ dài khóa DES DSA Một phần chuẩn xác thực số Mỹ sử dụng KEA Là một thuật toán trao đổi khóa MD5 Được phát triển bởi Rivest Nhóm 12 21 Bài tập tiểu luận mơn ANM RSA Thuật tốn mã hóa cơng khai dùng cho q trình xác thực mã hóa liệu phát triển bởi Rivest, Shamir, Adleman RSA key exchange Thuật toán trao đổi khóa dựa RSA RC2 & RC4 Thuật tốn mã hóa dung cho RSA Data Security SHA-1 Thuật toán băm Mỹ sử dụng Bảng Các thuật toán sử dụng SSL/TLS Ứng dụng SSL/TLS cung cấp chức cho các giao thức lớp ứng dụng nói nhiều nhất HTTP Khi truy cập vào mạng, bất trang web truy cập có sử dụng https:// ở URL (Uniform Resource Locator) thì có nghĩa trang web này sử dụng HTTP giao thức SSL/TLS hỗ trợ (HTTPS = HTTP + SSL/TLS) Các ứng dụng web kích hoạt SSL / TLS (Secure Socket Layer / Transport Layer Security) cung cấp xác thực dựa chứng khóa cơng khai, thiết lập khóa phiên bảo mật bảo mật lưu lượng dựa khóa đối xứng Mợt số lượng lớn ứng dụng thương mại điện tử, chẳng hạn giao dịch chứng khoán, ngân hàng, mua sắm và chơi game dựa vào sức mạnh bảo mật giao thức SSL / TLS Giao thức SSL cịn bảo vệ với bên thứ Đó là các client xâm nhập bất hợp pháp liệu đường truyền Client xâm nhập giả mạo client server, SSL ngăn chặn giả mạo cách sử dụng khoá riêng server sử dụng chứng số Phương thức bắt tay TLS Tuy nhiên, TLS tăng cường bảo mật cách cho phép truyền phiên giao thức, số hiệu phiên làm việc, hệ mã hoá cách thức nén sử dụng TLS bổ xung thêm hai thuật toán băm khơng có SSL PHẦN III Cải tiến giao thức TLS so với giao thức SSL TLS hỗ trợ thuật toán và an toàn TLS - đặc biệt phiên - hồn thành q trình bắt tay nhanh nhiều so với SSL Do đó, đợ trễ giao tiếp thấp từ góc đợ người dùng cuối là đáng chú ý Phương thức bắt tay TLS tương tự Tuy nhiên, TLS tăng cường bảo mật cách cho phép truyền phiên giao thức, số hiệu phiên làm việc, hệ mã hoá cách thức nén sử dụng TLS bổ xung thêm hai thuật toán băm SSL TLS v2.0 dễ bị tấn cơng BEAST & POODLE và an toàn Các phiên SSL an toàn - Lưu lượng truy cập trang web bạn hưởng lợi từ bảo mật TLS theo hai cách: +) Ngăn chặn kẻ xâm nhập giả mạo thông tin liên lạc trang web bạn Nhóm 12 22 Bài tập tiểu luận mơn ANM trình duyệt web Những kẻ xâm nhập kẻ tấn cơng đợc hại kẻ xâm lược lành tính ISP khách sạn đưa quảng cáo vào trang Dữ liệu nhạy cảm, chẳng hạn thông tin xác thực đăng nhập, chi tiết thẻ tín dụng thơng tin email người dùng, không tiết lộ qua mạng +) Ngăn kẻ xâm nhập nghe thụ động thông tin liên lạc với máy chủ bạn Đây là một mối đe dọa an ninh khó nắm bắt, ngày càng tăng (cũng xác nhận bởi rò rỉ Snowden) - Để đơn giản hóa và để tránh hiểu sai TLS v1.3, ciphersuite chỉ định hai thuật toán: +) Thuật toán mã hóa liệu: phương pháp sử dụng để mã hóa giải mã liệu bảo mật, sử dụng khóa có nguồn gốc từ bí mật chủ đã thỏa thuận +) Thuật tốn tồn vẹn liệu: phương pháp sử dụng để phát lỗi liệu nỗ lực giả mạo liệu các thơng điệp mã hóa và sử dụng để lấy tài liệu từ bí mật - TLS 1.3 nhanh vì bắt tay đã tinh chỉnh, TLS 1.3 cần một chuyến để hồn thành mợt lần bắt tay Nhóm 12 23 Bài tập tiểu luận mơn ANM Hình 17 Máy khách máy chủ thực bắt tay SSL / TLS TLS 1.3 Hình 18 Quá trình bắt tay TLS 1.3 Nhóm 12 24 Bài tập tiểu luận môn ANM Phần IV: Một số vấn đề bảo mật Tấn công cách phòng chống Một số vấn đề bảo mật 1.1 Sơ lược an ninh mạng Chúng ta thường gặp phải nhầm lần xác thực và ủy quyền an ninh mạng Nên hãy làm rõ sư khác biệt hai thuật ngữ này: ❖ Xác thực: Là quá trình xác định người dùng và xác thực họ là Một yếu tố phổ biến và rõ ràng nhất để xác thực danh tính là mật Nếu người dùng đưa thông tin đăng nhập mật trùng khớp với tên người dùng thì có nghĩa là danh tính hợp lệ và hệ thống cấp quyền truy cập cho người dùng ❖ Ủy quyền: Sảy sau danh tính người dùng đã xác thực là đã thành công Ủy quyền là việc cung cấp toàn bộ một phần vào các tài nguyên các thông tin quan trọng, quỹ và sở liệu để hoàn thành công việc 1.2 Một số lỗ hổng bảo mật phổ biến ❖ Lỗi tiêm: - Xảy chuyển liệu chưa lọc tới máy chủ SQL, tới trình duyệt, tới máy chủ LDAP bất kì nơi nào khác Vấn đề là kẻ tấn cơng đưa lệnh cho các thực thể này, đẫn đến mất liệu và chiếm quyền điều khiển trình duyệt khách hàng - Các phòng ngừa: Lọc đầu vào đúng cách và xem đầu vào có tin cậy khơng Tất đầu vào lọc đúng cách, trừ tin cậy mợt cách chắn ❖ Xác thức bị hỏng: sảy mợt số vấn đề như: - URL chứa ip phiên và làm rò rỉ tiêu đề giới thiệu tiêu đề cho người khác - Mật khơng mã hóa lưu trữ chuyển tiếp - IP phiên dự doán được, việc giành lại quyền truy cập là rất nhỏ - Có thể cố định phiên - Có thể xảyt xâm nhập phiên, hết thời gian chờ không triển khai đúng cách sử dụng HTTP(khơng có bảo mật SSL),… Nhóm 12 25 Bài tập tiểu luận mơn ANM Phòng tránh: Cách đơn giản nhất là sử dụng mợt framework Bạn thưc điều này mợt cách xác, các trước dễ dàng Q trình tấn cơng 2.1 Q trình truyền thơng HTTPS - Cần HTTPS vì lí do: • Quyền riêng tư • Tính toàn vẹn • Nhận dạng - Để bảo mật kết nối và xác minh trang web truy cập là hợp pháp, HTTPS sử dụng chứng bảo mật từ nhà cung cấp bên thứ ba Chứng này gọi là chứng SSL SSL tạo nên một kết nối an toàn, mã hóa để bảo vệ lớp giao tiếp hai bên trình duyệt và máy chủ - Chứng SSL mã hóa kêt nối với cập độ bảo vệ định ở thời điểm ta mua chứng SSL Chứng này cung cấp một lớp bảo mật bổ sung cho liệu nhạy cảm mà ta không muốn cho kẻ tấn công bên thứ ba truy cập vào Việc bảo mật bổ sung này vơ quan trọng chạy các trang web thương mại điện tử Mợt số ví dụ: - Khi ta muốn bảo mật việc truyền liệu thẻ tín dụng, địa và danh tính thực một người thông tin nhạy cảm khác - Khi ta chạy trang web khách hàng tiềm dựa thơng tin thực đó, trường hợp đó, ta muốn sử dụng HTTPS để bảo vệ chống lại các cuộc tấn công độc hại vào liệu người dùng HTTPS đem lại rất nhiều lợi ích giá trị với chi phí nhỏ Nếu khơng có chỉ, bên thứ ba dễ dàng quét kết nối để tìm liệu nhạy cảm Hình 19 Quá trình mã hóa liệu HTTP, HTTPS Nhóm 12 26 Bài tập tiểu luận môn ANM - TLS giúp mã hóa HTTPS và sử dụng để bảo mật Gmail và các giao thức khác, TLS sử dụng các kỹ thuật mật mã để đảm bảo cho liệu khơng bị giả mạo từ thời điểm gửi đi, giao tiếp là với người thực mà thông tin liên lạc đến và để ngăn không cho liệu riêng tư này bị phát - Mọi thứ bắt đầu bắt tay TLS, quá trình bắt đầu một phiên giao tiếp sử dụng mã hóa TLS Đây là nơi quá trình xác thực diễn và khóa phiên tạo nên Khi hai thiết bị giao tiếp với các khóa phiên hoàn toàn tạo, từ hai khóa khác hoạt đợng Kết quá trình này là việc giao tiếp sâu hơn, mã hóa nhiều • Khóa riêng tư: Khóa riêng tư kiểm soát bởi chủ sở hữu mợt trang web và giữ Khóa này nằm máy chủ web và sử dụng để giải mã thơng tin mã hóa bởi khóa cơng khai • Khóa cơng khai: Khóa cơng khai khả dụng cho tất muốn tương tác với máy chủ theo một cách an toàn Thông tin mã hóa khóa này gải mã khóa riêng tư Hình 20 TLS Handshake, FYI - Bước quan trọng nhất kết nối bảo mật HTTPS là đàm bảo máy chủ web là người mà họ nói Nhóm 12 27 Bài tập tiểu luận mơn ANM - Đó là lí chứng SSL là phần quan trọng nhất thiết lập này, đảm bảo chủ sở hữu máy chủ web là người mà họ nói chứng nói Nó hoạt đợng giống cách hoạt đợng lái xe, xác nhận danh tính chủ sở hữu máy chủ - Một lớp bảo vệ khỏi một số loại tấn công nhất định ta triển khai HTTPS, điều này làm cho trang web ta trở thành yếu tố có giá trị 2.2 Q trình tấn công 2.2.1 Các tấn công SSL Strip Người tọa lỗ hổng dải SSL là Moxie Marlinspike, một nhà nghiên cứu bảo mật máy tính tiếng người Mỹ Năm 2009, Moxie đã nói điểm yếu SSL tại kiện bảo mật thông tin Black Hat Theo anh, việc khai thác lỗi hổng dải SSL là mối đe dọa lớn quyền riêng tư thông tin đăng nhập vì xảy thời gian thực ❖ Cách thức hoạt động Để mà “srip” SSL, kẻ tấn công can thiệp vào quá trình chuyển hướng từ HTTP sang HTTPS an toàn và chặn yêu cầu từ người dùng đến máy chủ Sau đó, kẻ tấn cơng tiếp tục thiết lập kết nối HTTPS kẻ tấn cơng và máy chủ, kết nối HTTP không an toàn với người dùng, hành động một “cầu nối” chúng Hình 21 Cuộc tấn công SSL Strip SSL stripping tận dụng cách mà hầu hết người dùng truy cập vào các trang web SSL Phần lớn khách truy cập kết nối với trang trang Nhóm 12 28 Bài tập tiểu luận mơn ANM web chuyển hướng quá đường 302 họ đến trang SSL thông qua liên kết từ trang web SSL 2.2.2 Các tấn cơng MITM (Man-in-the-Middle) Các cuộc tấn công mạng MitM (Man-in-the-Miđle) cho phép tội phạm bí mật chặn thơng tin liên lạc thay đổi nội dung họ Tấn công MitM là kẻ tấn công ngăn chặn giao tiếp hai bên để bí mật nghe trợm sửa đổi lưu lượng truy cập họ Những kẻ tấn cơng sử dụng MitM để lấy cắp thông tin đăng nhập thông tin cá nhân, theo dõi nạn nhân phá hoại thông tin liên lạc và phá hoại liệu ❖ Cách thức hoạt động Hình 22 Cuộc tấn công MitM Như tên MitM yêu cầu hâu có mặt các kết nối hai bên để quan sát nạn nhân thao túng lưu lượng truy cập Điều này đạt thông qua việc can thiệp vào các mạng hợp pháp tạo mạng giả mạo mà kẻ tấn cơng tùy ý kiếm soát MitM thực thông qua việc đánh chặn và giải mã Đầu tiên, kẻ tấn công chặn mạng người dùng trước đến đích Để kẻ tấn cơng thực mợt c̣c tấn công thu động làm cho các điểm truy cập Wi-Fi độc hại cung cấp cho người là phương pháp phổ biến nhất để thực bước nói Khi có nạn nhân đã kết nối với một điểm phát xong Wi-Fi độc hại, kẻ tấn công có quyền truy cập vào bất kỳ loại trao dổi liệu trưc tuyến nào Sau quá trình đánh chặn, bất kỳ lưu lượng truy cập TLS hai chiều đêì dược giải mã mà khơng cần cảnh báo cho người dùng và ứng dụng ❖ Các loại tấn công MitM MitM gồm nhiều loại kỹ thuật tấn công và mỗi loại đem kết tiềm năng, tùy thuộc mục tiêu nhắm tới Một số kiểu tấn công MitM: Nhóm 12 29 Bài tập tiểu luận mơn ANM • Giả mạo IP: Các thiết bị kết nối với internet có địa giao thức internet (IP), địa IP tương tự địa nhà, đường phố bạn Bằng cách này, kẻ tấn công lừa bạn nghĩ bạn tương tác với mợt mợt trang web mà khơng nghi ngờ người khác mạo danh bạn để thực tương tác, từ tấn cơng truy cập vào thơng tin, liệu nhạy cảm • Giả mạo DNS: Là một kỹ thuật buộc người dùng truy cập vào một trang web giả mạo trang web thật mà người dùng định vào Nan nhân nghĩ truy cạp vào trang web đáng tin, an toan tương tác với kẻ tấn công, Mục tiêu kẻ tấn công là chuyển lưu lượng truy cập từ trang web thực chiếm thơng tin đăng nhập người dùng • Giả mạo HTTPS: Khi kinh doanh mạng internet, URL có HTTPS cho thấy trang web an toàn tin cậy Từ kẻ tấn cơng đánh lừa trình duyệt bạn tin trình duyệt truy cập vào một trang web đáng tin cậy Bằng cách chuyển hướng trình duyệt bạn đến mợt trang web khơng an toàn, kẻ tấn cơng theo dõi các tương tác bạn với trang web và đánh cắp thơng tin mà bạn chia sẻ • Đánh cắp SSL: Kẻ tấn cơng sử dụng máy tính và máy chủ bảo mật khác và chặn tất thông tin truyền máy chủ và máy tình người dùng tương tác với • Đánh cặp Email: Đôi lúc kẻ tấn công nhắm vào các tài khoản email các ngân hàng và các tổ chức tài khác, mục đích là theo dõi các giao dịch tổ chức và khác hàng họ Sau có thông tin khác hàng, kẻ tấn công giả mạo địa email ngân hàng và gửi các hướng dẫn riêng chúng cho khác hàng Kết là một số khác hàng không chú ý và đưa tiền vào tay chúng • Nghe trợm Wi-FI: Tợi phạm thiết lập kết nối Wi-Fi với nhiều cái tên hợp pháp và miễn phí, Khi người dùng kết nối với Wi-Fi đó, kẻ tấn cơng theo dõi hoặt đợng trực tuyến người dùng và chặn thơng tin đăng nhập Thẻ tín dụng • Đánh cắp cookie trình duyệt: Cooker có chưa mợt phần thông tin nhỏ mà trang web lưa trữ máy tính Tợi phạm chiếm đoạn cookie trình duyệt Những kẻ tấn cơng có Nhóm 12 30 Bài tập tiểu luận mơn ANM thể có tài khoản mật khẩu, địa và thông tin nhạy cảm khác tại Biện pháp phòng chống Từ các phương thức tấn cơng mạng ta nên đưa các biện pháp phòng chống giảm thiểu nguy tấn công 3.1 Cảnh giác với điểm truy cập Wi-Fi mở nơi công cộng Các cuộc tấn công SSL strip, phương pháp phổ biến nhất là tạo điểm phát sóng và cho các nạn nhân tự kết nối với Chúng thường thiết lập các điểm truy cập giả mạo này với tên tương tự với điểm truy cập hợp pháp Kẻ tấn công sử dụng quyền kiểm soát mình điểm phát sóng để tấn công nạn nhân kết nối với máy chủ 3.2 Tất trang web bật SSL Bật HTTPS mã hóa kết nối trình duyệt và trang web nên đảm bảo việc truyền liệu quan trọng Không nên truy cập vào các trang web HTTPS chưa bật, vì HTTP không an toàn và cho phép bất kì thao túng lưu lượng tại bất kì thời điểm nào máy tính xách tay và trang web Nếu có cố nào, các trình duyệt web Chrome, Firebox, Coccoc, … hiển thị thông báo cảnh báo người dùng trình duyệt nào xác minh chứng TLS trang web 3.3 Bật HSTS (Bảo mật truyền tải nghiêm ngặt HTTP) Là chế sách bảo mật web giúp bảo vệ các trang web chông lại các tấn công mạng chiếm quyền điều khiển cookie và SSL stripping Cho phép các trang web tương tác vs HSTS các kết nối HTTPS an toàn, còn HTTP không an toàn thì không 3.4 Cách bảo vệ trước tấn công từ kẻ trung gian - Chắc chắn truy cập vào các trang web mà HTTPS ở URL - Nên cài đặt giải pháp bảo mật internet toàn diện, phần mềm Norton Security máy tính mình, ln cập nhật phần mềm đảm bảo an toàn cho máy tinh vì các cuộc tấn công MitM thường sử dụng các phần mềm độc hại để thực thi - Đảm bảo Wi-Fi tại nhà bảo mật, cập nhật thông tin bộ định tuyến và tất các thiết bị kết nối mật mạng và nhất Nhóm 12 31 Bài tập tiểu luận môn ANM Kết luận Qua nghiên cứu sử dụng công nghệ bảo mật SSL/TLS mạng Internet Những kết mà tiểu luận đã đạt là: Phần I chúng em đưa các khái niệm bản, lịch sử đời giao thức SSL/TLS Biết lợi ích giao thức truy nhập Internet Phần II chúng em đã tìm hiểu các đặc điểm cách hoạt động SSL/TLS nói chung giao thức bắt tay, ghi nói riêng Từ nắm phương thức ý nghĩa và ứng dụng giao thức SSL/TLS để biết cải tiến TLS so với SSL Trong phần IV, chúng em tìm hiểu một số vấn đề bảo mật, các cách tấn công và biện pháp phòng chống ngăn ngừa Trong phần một số vấn đề bảo mật thì em có tìm hiểu sơ lược an ninh mạng và một số lỗ hổng bảo mật phổ biến Các cách tấn công thì em có tìm hiểu SSL strip và MitM từ đưa các cách cách phòng chống giảm thiểu nguy bị tấn công Tổng kết lại từ kiến thức được giảng dạy tham khảo, tiểu luận đã giúp chúng em hiểu rõ Giao thức SSL/TLS Do hiểu biết hạn hẹp nên tiểu luận khơng tránh khỏi thiếu xót Chúng em rất mong thầy châm trước góp ý Chúng em chân thành cảm ơn! Nhóm 12 32 Bài tập tiểu luận môn ANM Tài liệu tham khảo References Gigicert (n.d.) From https://www.websecurity.digicert.com/security-topics/what-is-ssl-tls-https Schoen, S (24/03/2010) New Research Suggests That Governments May Fake SSL Certificates Singel, R (03/04/2010) Law Enforcement Appliance Subverts SSL Thomas, S (25/02/2000) SSL & TLS Essentials Viega, J., Matt Messier, & Pravir Chandra (17/06/2002) Network Security with OpenSSL Wikipedia (n.d.) From https://en.wikipedia.org/wiki/Transport_Layer_Security Nhóm 12 33 ... nén gói liệu để nhận gói tin hồn chỉnh * Hai giao thức SSL là: • Giao thức SSL bắt tay • Giao thức SSL ghi Các giao thức SSL 2.1 Giao thức bắt tay Giao thức bắt tay (Handshake protocol) cung cấp... tập tiểu luận mơn ANM Hình 13: Vị trí giao thức ghi SSL Giao thức ghi một tầng giao thức Đối với mỡi tầng giao thức nói chung, mợt gói liệu bao gồm các trường độ dài, mô tả nội dung liệu Giao. .. tập tiểu luận môn ANM Phần IV: Một số vấn đề bảo mật Tấn công cách phòng chống Một số vấn đề bảo mật 1.1 Sơ lược an ninh mạng Chúng ta thường gặp phải nhầm lần xác thực và ủy quyền an ninh