đồ án: Bảo mật nhóm trong IP Multicast

đồ án:Bảo mật nhóm trong IP MulticastĐồ án tốt nghiệp với đề tài “Bảo mật nhóm trong IP Multicast” cung cấp những kiến thức cơ bản và sau đó đi sâu vào một số khía cạnh quan trọng liên quan đến vấn đề bảo mật nhóm trong Multicast. Đồ án được thực hiện với mong muốn tìm hiểu quá trình bảo mật nhóm trong Multicast.Đồ án được chia làm bốn chương như sau:Chương 1: Multicast và những thách thức về bảo mật nhómChương 2: Nhận thực dữ liệu MulticastChương 3: Quản lý khóa nhóm trong bảo mật nhómChương 4: Chính sách bảo mật nhómDo tính chất dàn trải và luôn thay đổi của vấn đề bảo mật cùng những hạn chế về hiểu biết của bản thân nên đồ án không tránh khỏi những thiếu sót. Vì vậy, em rất mong nhận được sự góp ý của các thầy cô để hoàn thiện hơn đồ án của mình trong tương lai

Đồ án tốt nghiệp đại học Mục lục MỤC LỤC MỤC LỤC i DANH SÁCH HÌNH VẼ iv THUẬT NGỮ VIẾT TẮT v LỜI NÓI ĐẦU viii CHƯƠNG 1 MULTICAST VÀ NHỮNG THÁCH THỨC VỀ BẢO MẬT NHÓM 1 1.2 Các phương pháp chuyển tiếp Multicast 2 1.2.1 Các cây nguồn 3 1.2.2 Các cây dùng chung 4 1.3 Định tuyến trong IP Multicast 5 1.3.1 IGMP 5 1.3.2 IGMPv1 6 1.3.3 IGMPv2 6 1.3.4 IGMPv3 7 1.3.5 Định tuyến Multicast 7 1.4 Multicast và những thách thức trong vấn đề bảo mật nhóm 9 1.5 Bảo vệ nội dung Multicast 12 1.5.1 Vấn đề điều khiển dữ liệu Multicast bảo mật 12 1.5.2 Vấn đề quản lý nguyên liệu tạo khóa 14 1.5.3 Vấn đề chính sách bảo mật Multicast 18 1.6 Bảo vệ kiến trúc hạ tầng 19 1.7 Kết luận chương 1 19 CHƯƠNG 2 NHẬN THỰC DỮ LIỆU MULTICAST 21 2.1 Các vấn đề trong nhận thực dữ liệu Multicast 21 2.1.1 Cung cấp nhận thực nhóm 23 2.1.2 Cung cấp nhận thực nguồn 23 2.2 Chữ ký số cho nhận thực nguồn 24 2.3 Chuỗi hàm băm cho nhận thực dữ liệu kiểu luồng 28 2.4 Nhận thực nguồn dựa trên MAC của các luồng không tin cậy 30 Vũ Bá Dũng D04VT2 i Đồ án tốt nghiệp đại học Mục lục 2.4.1 Quá trình khởi tạo TESLA 32 2.4.2 Nhận thực các gói ở bên gửi dựa trên MAC 33 2.4.3 Xử lý gói tại các bên nhận trong TESLA 33 2.4.4 TESLA mở rộng 35 2.5 Kết luận chương 2 35 CHƯƠNG 3: QUẢN LÝ KHÓA NHÓM TRONG BẢO MẬT NHÓM 37 3.1 Mô hình quản lý khóa nhóm 38 3.2 Các yêu cầu trong quản lý khóa nhóm 39 3.2.1 Các yêu cầu bảo mật cho quản lý khóa Unicast 40 3.2.2 Các yêu cầu bảo mật cho quản lý khóa nhóm 41 3.3 Quản lý GSA 43 3.3.1 Mô hình GSA 44 3.3.2 Định nghĩa GSA 45 3.4 Phân loại các vấn đề quản lý khóa nhóm 47 3.5 Kiến trúc và giao thức quản lý khóa nhóm 47 3.5.1 Vấn đề kiến trúc 49 3.5.1.1 IKAM 50 3.5.1.2 IOLUS 58 3.5.2 Các giao thức phân phối khóa 63 3.5.2.1 GKMP 63 3.5.2.2 GSAKMP 66 3.5.2.3 GDOI 70 3.6 Các thuật toán quản lý khóa nhóm 78 3.6.1 Chuyển khóa theo chu kỳ và theo đợt 80 3.6.2 Cân bằng trong chuyển khóa theo đợt 81 3.6.3 MARKS 82 3.6.4 LKH 84 3.7 Kết luận chương 3 89 CHƯƠNG 4 CHÍNH SÁCH BẢO MẬT NHÓM 90 4.1 Khung chính sách bảo mật nhóm 91 4.2 Phân loại chính sách bảo mật nhóm 94 Vũ Bá Dũng D04VT2 ii Đồ án tốt nghiệp đại học Mục lục 4.2.1 Chính sách thông báo 94 4.2.2 Chính sách thành viên 95 4.2.3 Chính sách ủy quyền hay điều khiển truy nhập 95 4.2.4 Chính sách bảo vệ dữ liệu 96 4.2.5 Chính sách ủy quyền quản lý nhóm 96 4.2.6 Chính sách phân phối khóa 97 4.2.7 Chính sách khôi phục tổn hại 98 4.3 Thực thi chính sách bảo mật nhóm 98 4.4 Kết luận chương 4 99 KẾT LUẬN 100 TÀI LIỆU THAM KHẢO 102 Vũ Bá Dũng D04VT2 iii Đồ án tốt nghiệp đại học Thuật ngữ viết tắt DANH SÁCH HÌNH VẼ Hình 1.1 Truyền dẫn Multicast 2 Hình 1.2 Cây nguồn 3 Hình 1.3 Cây phân phối dùng chung 4 Hình 2.1 hàm băm kiểu sao 26 Hình 2.2 Hàm băm kiểu cây 27 Hình 2.3 Chuỗi hàm băm 28 Hình 2.4 Giản đồ chuỗi hàm băm 29 Hình 2.5 Chuỗi khóa và dẫn xuất khóa MAC 31 Hình 2.6 Thông tin nhận thực cùng gói dữ liệu trong TESLA 33 Hình 2.7 Các khoảng thời gian trong TESLA 34 Hình 3.1 Các đối tượng trong quản lý khóa nhóm 38 Hình 3.2 Định nghĩa GSA 45 Hình 3.3 Phân chia vùng miền 51 Hình 3.4 Ví dụ về kiến trúc IKAM 52 Hình 3.5 bố trí IKAM các khóa cho các nhóm dữ liệu và điều khiển 54 Hình 3.6 Các nhóm con trong kiến trúc Iolus 60 Hình 3.7 Chuyển tiếp khóa / dữ liệu trong Iolus 62 Hình 3.8 Tiến trình GSAKMP 68 Hình 3.9 Trao đổi bước 2 GDOI 76 Hình 3.10 Bản tin ấn định GDOI 77 Hình 3. 11 Sơ đồ khối chức năng của GDOI 78 Hình 3.12 Các loại hình chuyển khóa 81 Hình 3.13 Chuyển khóa theo đợt và điều khiển truy nhập chuyển tiếp 82 Hình 3.14 Phân phối khóa trong MARKS 83 Hình 3.15 Ví dụ về phân cấp khóa trong LKH 85 Hình 3.16 Minh họa khởi tạo cây khóa LKH 86 Hình 3.17 Chuyển khóa gia nhập trong LKH 87 Hình 3.18 Chuyển khóa rời nhóm trong LKH 89 Hình 4.1 Khung phân phối chính sách bảo mật nhóm 93 Vũ Bá Dũng D04VT2 iv Đồ án tốt nghiệp đại học Thuật ngữ viết tắt THUẬT NGỮ VIẾT TẮT ACL Access Control List Danh sách điều khiển truy nhập AGK Area- Group- Key Khóa nhóm vùng AKD Area Key Distributor Bộ phân phối khóa vùng AMAAE Area Multicast address allocation entity Đối tượng cấp phát địa chỉ Mutlicast vùng AMESP Application Mutlicast Encapsulating Security Payload Ứng dụng Multicast đóng gói bảo mật tải tin CRL Compromise Recovery List Danh sách khôi phục tổn hại DKD Domain Key Distributor Bộ phân phối khóa miền DMAAE Domain Multicasst address allocation entity Đối tượng cấp phát địa chỉ Multicast miền DVMRP Distance Vector Multicasst Routing Protocol Giao thức định tuyến Multicast Vectơ khoảng cách ESP Encapsulating Security Payload Đóng gói bảo mật tải tin FEC Forward error correction Sửa lỗi trước GC Group Controller Bộ điều khiển nhóm GCKS Group Controller/ Key Server Bộ điều khiển nhóm/ Server khóa GDOI Group Domain Of Interpretation Miền biên dịch nhóm GID Group Identificaion Nhận dạng nhóm GKD Group Key Distributor Bộ phân phối khóa nhóm GKMP Group Key Management Protocol Giao thức quản lý khóa nhóm GKP Group Key Packet Gói khóa nhóm GM Group Member Thành viên nhóm Vũ Bá Dũng D04VT2 v Đồ án tốt nghiệp đại học Thuật ngữ viết tắt GOC Group Owner/ Creator Chủ/ Bộ tạo nhóm GSA Group Security Association Liên kết bảo mật nhóm GSAKMP Group Security Association Key Management Protocol Giao thức quản lý khóa liên kết bảo mật nhóm GSC Group Key Controller Bộ điều khiển khóa nhóm GSI Group Security Intermediarie Trung gian bảo mật nhóm GSPT Group Security Policy Token Thẻ bài chính sách bảo mật nhóm GT Group Token Thẻ bài nhóm IGMP Internet Group Management Protocol Giao thức quản lý khóa Internet IKAM Internet Key Architecture for Mutlicast Kiến trúc khóa Internet cho Multicast IKE Internet Key Exchange Trao đổi khóa Internet ISA Internet Security Association Liên kết bảo mật Internet ISAKMP Internet Security Association Key Management Protocol Giao thức quản lý khóa liên kết bảo mật Internet KEK Key Encryption Key Khóa mã hóa khóa KD Key Distributor Bộ phân phối khóa LKH Logical Key Hierarchical Phân cấp khóa logic MAAS Multicast Address Allocation Server Server cấp phát địa chỉ Multicast MAC Message Authentication Code Mã hóa nhận thực bản tin MOSPF Multicast Open Shortest Path First Ưu tiên đường ngắn nhất mở rộng cho multicast PIM-DM Protocol Independent Multicast- Dense Mode Giao thức multicast độc lập-Chế độ tập trung Vũ Bá Dũng D04VT2 vi Đồ án tốt nghiệp đại học Thuật ngữ viết tắt PIM-SM Protocol Independent Multicast- Spare Mode Giao thức multicast độc lập -Chế độ phân tán PKI Public Key Infrastructure Cấu trúc hạ tầng khóa công khai RTJ Request To Join Truy vấn gia nhập SGM Subgroup Manage Quản lý nhóm con SPI Security Parameter Index Chỉ số tham số bảo mật SPT Shortest Path Tree Cây đường ngắn nhất TEK Traffic Encryption Key Khóa mã hóa lưu lượng TESLA The Timed Efficien Stream Loss Tolerant Authentication Giao thức nhận thực cho phép- tổn thất luồng hiệu quả về mặt thời gian Vũ Bá Dũng D04VT2 vii Đồ án tốt nghiệp đại học Lời nói đầu LỜI NÓI ĐẦU Sự phát triển không ngừng của Internet đã thúc đẩy các ứng dụng mạng và các dịch vụ mới. Do đó số lượng khách hàng muốn đồng thời truy cập tăng lên rất lớn trong mạng Internet. Nó đặt ra yêu cầu cung cấp truy nhập dữ liệu trong khi tối ưu hóa băng thông. Multicast được phát triển như một phương pháp phân phối dữ liệu từ một máy phát tới nhiều máy thu một cách hiệu quả, đảm bảo tối ưu hóa băng thông, giảm tải mạng. Mặc dù với những ưu thế vượt trội về băng thông như thế nhưng khi nhìn vào thực tế chúng ta thấy rằng sau rất nhiều các công trình nghiên cứu và phát triển các giao thức Multicast trong thập kỷ trước, việc triển khai các ứng dụng của Multicast vẫn rất chậm chạp. Nguyên nhân chính là do các dịch vụ Multicast thiếu hỗ trợ về quản lý lưu lượng, độ tin cậy và bảo mật. Bảo mật nhóm trong Multicast là một trong những vấn đề quan trọng nhất để giải quyết việc triển khai các ứng dụng thông tin nhóm. Ví dụ, nhà đầu tư muốn một sự đảm bảo rằng các báo giá chứng khoán phân phát qua Multicast được nhận thực. Tương tự như vậy, các nhà cung cấp dịch vụ muốn giới hạn nội dung phân phối tới các thuê bao đã trả tiền cho dịch vụ. Ở một khía cạnh khác, bảo mật là một yêu cầu của các ứng dụng hội thảo quan trọng. Tóm lại là các ứng dụng phổ biến của Multicast rất có nhu cầu về tính toàn vẹn dữ liệu, điều khiển truy nhập và tính riêng tư. Đồ án tốt nghiệp với đề tài “Bảo mật nhóm trong IP Multicast” cung cấp những kiến thức cơ bản và sau đó đi sâu vào một số khía cạnh quan trọng liên quan đến vấn đề bảo mật nhóm trong Multicast. Đồ án được thực hiện với mong muốn tìm hiểu quá trình bảo mật nhóm trong Multicast. Đồ án được chia làm bốn chương như sau: Chương 1: Multicast và những thách thức về bảo mật nhóm Chương 2: Nhận thực dữ liệu Multicast Chương 3: Quản lý khóa nhóm trong bảo mật nhóm Chương 4: Chính sách bảo mật nhóm Do tính chất dàn trải và luôn thay đổi của vấn đề bảo mật cùng những hạn chế về hiểu biết của bản thân nên đồ án không tránh khỏi những thiếu sót. Vì vậy, em rất mong nhận được sự góp ý của các thầy cô để hoàn thiện hơn đồ án của mình trong tương lai. Sinh viên Vũ Bá Dũng Vũ Bá Dũng D04VT2 viii Đồ án tốt nghiệp đại học Chương1 Multicast và những thách thức CHƯƠNG 1 MULTICAST VÀ NHỮNG THÁCH THỨC VỀ BẢO MẬT NHÓM Cùng với sự phát triển của các mạng tốc độ cao và sự bùng nổ về kỹ thuật nén, các ứng dụng đa phương tiện trở thành nhu cầu tất yếu. Tuy nhiên các ứng dụng này không phù hợp với kiểu truyền Unicast truyền thống. Trong khi đó Multicast truyền luồng dữ liệu tới nhiều điểm đích có nhu cầu nhận. Cơ chế này giúp giảm tải cho mạng đến mức nhỏ nhất do bản tin chỉ thực hiện nhân gói tại những điểm rẽ nhánh tại một bộ định tuyến. 1.1 Giới thiệu chung về IP Multicast IP Multicast là một chuẩn mở của IETF dùng để truyền dẫn các gói dữ liệu IP từ một nguồn đến nhiều đích trong một mạng LAN hay WAN. Các máy thu tham gia vào một nhóm Multicast. Với IP Multicast, các ứng dụng chỉ gửi một bản sao của thông tin cho một địa chỉ nhóm. Thông tin này chỉ gửi đến những điểm muốn nhận được lưu lượng đó. Các nút có khả năng Multicast chạy bộ giao thức TCP/IP có thể nhận được bản tin Multicast. Việc gửi bản tin Unicast và Broadcast là các trường hợp đặc biệt của phương pháp Multicast. Truyền Multicast cải thiện đáng kể về hiệu suất, thường sử dụng băng thông nhỏ hơn truyền điểm- điểm trên mạng, và cho phép xây dựng các ứng dụng phân tán hợp lý. Việc truyền IP Multicast sử dụng phương pháp đa hướng bao gồm ba hoạt động riêng biệt: quyết định địa chỉ nhóm cho các nhóm, đăng kí thành viên nhóm, định tuyến các bản tin. Một địa chỉ Multicast cho phép phân phát một luồng dữ liệu đơn tới một tập hợp các máy trạm đã được cấu hình như những thành viên của một nhóm Multicast trong các mạng con phân tán khác nhau. Đây là phương pháp truyền dẫn đa điểm. Các nút nhận ra các gói Multicast tại mức phần cứng. Các nhóm Multicast linh động với các điểm thu có thể được tạo ra và loại bỏ nhanh chóng. Một khái niệm quan trọng của IP Multicast là nhóm Multicast.Việc xây dựng một nhóm Multicast bắt đầu với một server đang chạy một ứng dụng Multicast như audio, video Khi một server được xây dựng, một địa chỉ Multicast Lớp D được gán cho ứng dụng đó và tất cả các thành viên của nó. Một nhóm Multicast được cấp phát cho một địa chỉ lớp D đại diện cho nhóm đó. Số lượng thành viên của nhóm có thể là 0, 1 hay nhiều thành viên. Các thành viên có thể nằm tại các mạng con khác nhau. Một máy Vũ Bá Dũng D04VT2 1 Đồ án tốt nghiệp đại học Chương1 Multicast và những thách thức trạm bất kì có thể trở thành nguồn Multicast khi nó muốn truyền lưu lượng cho các máy trạm khác trong mạng. Hình 1.1 Truyền dẫn Multicast Khi một máy thu muốn gia nhập một nhóm, nó gửi một bản tin IGMP chứa địa chỉ lớp D của nhóm mong muốn tới Bộ định tuyến Multicast cục bộ của nó. Từ điểm đó, các bản tin nhóm gửi trực tiếp tới mạng của thiết bị thu. Các máy thu có thể gia nhập nhóm hoặc rời bỏ khỏi nhóm bất cứ lúc nào. Một Bộ định tuyến Multicast phải có mặt trong mỗi mạng con có chứa máy thu Multicast. Một trong những chức năng của bộ định tuyến này là giúp các máy thu trên các mạng gắn liền với nó truy nhập hệ thống phân phát Multicast. Sau khi bộ định tuyến nhận bản tin IGMP từ phía thu, nó chuyển tiếp tất cả lưu lượng Multicast cho nhóm - mạng của thiết bị thu. 1.2 Các phương pháp chuyển tiếp Multicast Có một vài phương pháp để chuyển tiếp lưu lượng IP Multicast từ các máy trạm nguồn đến các máy thu. Đầu tiên ta sắp xếp một nhóm bao gồm các máy trạm thu với một địa chỉ lớp D chung để đạt được sự phân phối lưu lượng Multicast hiệu quả. Bước Vũ Bá Dũng D04VT2 2 Server Các gói tin cho nhóm Multicast Máy trạm A Máy trạm B Máy trạm C Máy trạm D Máy trạm E Bên nhận Bên nhận Bên nhận [...]... Multicast Nhóm nghiên cứu SMuG IRTF và nhóm làm việc MSec IETF đã nêu rõ ba vấn đề trong việc cung cấp bảo mật truyền thông nhóm: điều khiển dữ liệu Multicast bảo mật, quản lý nguyên liệu tạo khóa, và các chính sách bảo mật Multicast 1.5.1 Vấn đề điều khiển dữ liệu Multicast bảo mật Phần này trình bày vấn đề bảo mật truyền dẫn dữ liệu Multicast Chính xác hơn là sự biến đổi dữ liệu cho bảo mật dữ liệu Multicast. .. ký SA bảo vệ quá trình tải khóa trong giao thức đăng ký Quá trình tải khóa bao gồm một SA chuyển khóa và một SA bảo mật dữ liệu SA chuyển khóa bảo vệ các cập nhật SA chuyển khóa hiện thời hay SA bảo mật dữ liệu SA bảo mật dữ liệu chính nó bảo vệ quá trình truyền dẫn Multicast Ví dụ về một SA bảo mật dữ liệu bao gồm IPsec ESP, MESP và AMESP Các giao thức, kiến trúc và thuật toán phân phối khóa nhóm Ta... vấn đề bảo mật điều khiển dữ liệu Multicast, đây là một trong ba vấn đề được đưa ra bởi nhóm nghiên cứu SMuG và được thông qua bởi nhóm làm việc IETF MSec Các ứng dụng khác nhau có những yêu cầu bảo mật khác nhau cho bảo mật truyền dẫn dữ liệu Ví dụ, trong một số trường hợp, nhận thực nguồn dữ liệu và bảo vệ tính toàn vẹn có thể ở mức độ thấp trong khi các ứng dụng khác có thể cần tính bảo mật nhiều... đưa ra các cấp độ bảo mật có thể lựa chọn/ cấu hình được 1.5.3 Vấn đề chính sách bảo mật Multicast Các chính sách bảo mật Multicast cung cấp các quy tắc hoạt động đối với hai vấn đề đã nêu trên: quản lý nguyên liệu tạo khóa và điều khiển dữ liệu Multicast Ta hãy chú ý tới hai loại khác nhau của nhóm, cụ thể là các nhóm tương tác nhỏ và các nhóm lớn với một hay một số bên gửi Trong các nhóm đơn bên gửi,... chính sách bảo mật Multicast, tập trung vào bộ điều khiển chính sách Quản lý chính sách bảo mật Multicast được mở rộng nội dung phát triển theo những hướng sau đây: Những chương tiếp theo sẽ trình bày cụ thể, đi sâu vào từng vấn đề để có cái nhìn sâu hơn về bảo mật nhóm trong Multicast Vũ Bá Dũng D04VT2 20 Đồ án tốt nghiệp đại học Chương2 Nhận thực dữ liệu Multicast CHƯƠNG 2 NHẬN THỰC DỮ LIỆU MULTICAST. .. cấp một cấp độ tùy chọn của bảo mật trong truyền thông Multicast Qua những cách tiếp cận vấn đề như đã trình bày ở trên, có thể xem như bảo mật Multicast được thực hiện bằng việc kết hợp sử dụng điều khiển truy nhập nhóm, tính bảo mật và nhận thực của truyền dẫn dữ liệu, và bảo mật của cơ cở hạ tầng mạng Ngoại trừ điều khiển truy nhập nhóm, những yêu cầu này đã được đưa vào trong truyền thông Unicast... chương 1 Chương 1 đã giới thiệu tổng quan về IPMulticast và những vấn đề liên quan cụ thể đến bảo mật nhóm trong Multicast Có thể tóm tắt các vấn đề đó như sau: Vũ Bá Dũng D04VT2 19 Đồ án tốt nghiệp đại học Chương1 Multicast và những thách thức Vấn đề điều khiển dữ liệu Multicast Phần này bao trùm các vấn đề liên quan tới các xử lý- bảo mật của dữ liệu Multicast của bên gửi và bên nhận Vấn đề quản... đổi trong môi trường hoạt động Cùng với bảo mật nội dung dữ liệu trong Multicast, chúng ta nhận ra bảo mật cơ sở hạ tầng Multicast là một yêu cầu quan trọng khác, bao gồm sự tác động của tấn công từ chối dịch vụ DoS trên mô hình dịch vụ phân phối số đông của Multicast Đặc biệt, các giao thức định tuyến Multicast, các giao thức Multicast tin cậy và giao thức quản lý nhóm internet IGMP cần thiết sự bảo. .. truyền thông ngang hàng đàm phán các tham số bảo mật để thiết lập một liên kết bảo mật Internet (Internet security association- ISA) và giao thức quản lý khóa bảo mật Internet (Internet security association key management protocol- ISAKMP), là giao thức bảo vệ đàm phán của một IPsec SA cho bảo mật truyền dẫn dữ liệu Một mô hình tương tự là liên kết bảo mật nhóm (Group security association- GSA) đã được... Multicast và bảo vệ tính toàn vẹn Đối với bảo mật dữ liệu, bên gửi cần thiết phải mã hóa dữ liệu với một khóa bí mật mà các thành viên nhóm đều biết: nghĩa là các thành viên được nhận thực để nhận dữ liệu Multicast Trong đó phân phối khả định cỡ và chuyển khóa của khóa nhóm là một vấn đề phức tạp Ta đã biết được rằng tính bảo mật của IPsec ESP thích hợp cho truyền thông Unicast ESP cũng hỗ trợ bảo vệ tính