Đồ án nghiên cứu về tường lửa (firewall)

Nghiên cứu khoa học EBOOKBKMT.COM PHẦN I: TỔNG QUAN VỀ AN TỒN THƠNG TIN TRÊN MẠNG An tồn thơng tin nhu cầu quan trọng cá nhân xã hội quốc gia giới Mạng máy tính an tồn thơng tin tiến hành thông qua cá phương pháp vật lý hành Từ đời mạng máy tính đem lại hiệu vơ to lớn tất lĩnh vực đời sống Bên cạnh người sử dụng phải đối mặt với hiểm họa thông tin mạng họ bị cơng An tồn thơng tin mạng máy tính bao gồm phương pháp nhằm bảo vệ thông tin lưu giữ truyền mạng An tồn thơng tin mạng máy tính lĩnh vực quan tâm đặc biệt đồng thời cơng việc khó khăn phức tạp Thực tế chứng tỏ có tình trạng đáng lo ngại bị công thông tin trình xử lý, truyền lưu giữ thông tin Những tác động bất hợp pháp lên thông tin với mục đích làm tổn thất, sai lạc, lấy cắp tệp lưu giữ tin, chép thông tin mật, giả mạo người phép sử dụng thông tin mạng máy tính Sau vài ví dụ điển hình tác động bất hợp pháp vào mạng máy tính: Các sinh viên trường Đại học Tổng hợp Mỹ lập cài đặt vào máy tính chương trình bắt chước làm việc với người sử dụng xa Bằng chương trình họ nắm trước nhu cầu người sử dụng hỏi mật họ Đến bị phát sinh viên kịp lấy mật 100 người sử dụng hợp pháp hệ thống máy tính Các nhân viên hãng CDC(Mỹ) “xâm nhập” vào trung tâm tính tốn hãng sản xuất hóa phẩm phá hủy liệu lưu giữ băng từ gây thiệt hại cho hãng tới 100.000$ Giáo viên hướng dẫn: TS Nguyễn Mạnh Hùng Sinh viên thực hiện: Trần Thị Hạnh_Mã sinh viên:5417123 Nghiên cứu khoa học EBOOKBKMT.COM Hãng bách khoa toàn thư Anh đưa tịa kĩ thuật viên trung tâm máy tính với lời buộc tội họ chép từ ổ đĩa máy chủ tên tuổi gần triệu khách hàng đáng giá hãng để bán cho hãng khác Chiếm vị trí đáng kể số hành động phi pháp công mạng máy tính hành vi xâm nhập vào hệ thống, phá hoại ngầm, gây nổ, làm hỏng đường cáp kết nối hệ thống mã hóa Song phổ biến việc phá hủy phần mềm xử lý thơng tin tự động, hành vi thường gây thiệt hại vô lớn lao Cùng với gia tăng nguy đe dọa thông tin mạng máy tính, vấn đề bảo vệ thơng tin quan tâm nhiều Sau kết nghiên cứu điều tra của viện Stendfooc (Mỹ), tình hình bảo vệ thơng tin có thay đổi đáng kể Đến năm 1985 nhiều chuyên gia Mỹ đến kết luận tác động phi pháp hệ thống thơng tin tính tốn trở thành tai họa quốc gia.Khi có đủ tài liệu nghiên cứu, hiệp hội luật gia Mỹ tiến hành nghiên cứu đặc biệt Kết gần nửa số ý kiến thăm dị thơng báo năm 1984 họ nạn nhân hành động tội phạm thực máy tính, nhiều số nạn nhân thơng báo cho quyền tội phạm., 39% số nạn nhân có thông báo lại không mục tiêu mà nghi vấn Đặc biệt nhiểu vụ phạm pháp xảy mạng máy tính quan kinh doanh nhà băng Theo chuyên gia, tính đến trước năm 1990 Mỹ lợi lộc thu từ việc thâm nhập phi pháp vào hệ thống thông tin lên tới gần 10 triệu la Tổn thất trung bình mà nạn nhân phải trả vụ phạm pháp từ 400.000 đến 1.5 triệu la Có hãng phải tun bố phá sản nhân viên cố ý phá bỏ tất tài liệu kế toán chứa nhớ máy tính số nợ nợ Giáo viên hướng dẫn: TS Nguyễn Mạnh Hùng Sinh viên thực hiện: Trần Thị Hạnh_Mã sinh viên:5417123 Nghiên cứu khoa học EBOOKBKMT.COM I CÁC HÌNH THỨC TẤN CƠNG 1.1 Tấn công trực tiếp: Những công trực tiếp thông thường sử dụng giai đoạn đầu để chiếm quyền truy nhập bên Một phương pháp cơng cổ điển dị tìm tên ngời sử dụng mật Đây phương pháp đơn giản, dễ thực khơng địi hỏi điều kiện đặc biệt để bắt đầu Kẻ công sử dụng thơng tin tên người dùng, ngày sinh, địa chỉ, số nhà vv để đoán mật Trong trường hợp có danh sách người sử dụng thông tin môi trường làm việc, có trương trình tự động hố việc dị tìm mật Một chương trình dễ dàng lấy từ Internet để giải mật mã hố hệ thống unix có tên crack, có khả thử tổ hợp từ từ điển lớn, theo quy tắc người dùng tự định nghĩa Trong số trường hợp, khả thành công phương pháp lên tới 30% Phương pháp sử dụng lỗi chương trình ứng dụng thân hệ điều hành sử dụng từ vụ công tiếp tục để chiếm quyền truy nhập Trong số trường hợp phương pháp cho phép kẻ cơng có quyền người quản trị hệ thống (root hay administrator) Hai ví dụ thường xuyên đưa để minh hoạ cho phương pháp ví dụ với chương trình sendmail chương trình rlogin hệ điều hành UNIX Sendmail chương trình phức tạp, với mã nguồn bao gồm hàng ngàn dịng lệnh ngơn ngữ C Sendmail chạy với quyền ưu tiên người quản trị hệ thống, chương trình phải có quyền ghi vào hộp thư Giáo viên hướng dẫn: TS Nguyễn Mạnh Hùng Sinh viên thực hiện: Trần Thị Hạnh_Mã sinh viên:5417123 Nghiên cứu khoa học EBOOKBKMT.COM người sử dụng máy Và Sendmail trực tiếp nhận yêu cầu thư tín mạng bên ngồi Đây yếu tố làm cho sendmail trở thành nguồn cung cấp lỗ hổng bảo mật để truy nhập hệ thống Rlogin cho phép người sử dụng từ máy mạng truy nhập từ xa vào máy khác sử dụng tài nguyên máy Trong trình nhận tên mật người sử dụng, rlogin khơng kiểm tra độ dài dịng nhập, kẻ cơng đưa vào xâu tính tốn trước để ghi đè lên mã chương trình rlogin, qua chiếm quyền truy nhập 1.2 Nghe trộm: Việc nghe trộm thông tin mạng đưa lại thơng tin có ích tên, mật người sử dụng, thông tin mật chuyển qua mạng Việc nghe trộm thường tiến hành sau kẻ công chiếm quyền truy nhập hệ thống, thông qua chương trình cho phép bắt gói tin vào chế độ nhận tồn thơng tin lưu truyền mạng Những thơng tin dễ dàng lấy Internet 1.3 Giả mạo địa chỉ: Việc giả mạo địa IP thực thơng qua việc sử dụng khả dẫn đường trực tiếp (source-routing) Với cách công này, kẻ công gửi gói tin IP tới mạng bên với địa IP giả mạo (thông thường địa mạng máy coi an toàn mạng bên trong), đồng thời rõ đường dẫn mà gói tin IP phải gửi Giáo viên hướng dẫn: TS Nguyễn Mạnh Hùng Sinh viên thực hiện: Trần Thị Hạnh_Mã sinh viên:5417123 Nghiên cứu khoa học EBOOKBKMT.COM 1.4 Vô hiệu chức hệ thống (DoS, DDoS): Đây kểu công nhằm tê liệt hệ thống, khơng cho thực chức mà thiết kế Kiểu cơng khơng thể ngăn chặn được, phương tiện đợc tổ chức cơng phương tiện để làm việc truy nhập thơng tin mạng Ví dụ sử dụng lệnh ping với tốc độ cao có thể, buộc hệ thống tiêu hao tồn tốc độ tính tốn khả mạng để trả lời lệnh này, khơng cịn tài ngun để thực cơng việc có ích khác Hình Mơ hình cơng DdoS Giáo viên hướng dẫn: TS Nguyễn Mạnh Hùng Sinh viên thực hiện: Trần Thị Hạnh_Mã sinh viên:5417123 Nghiên cứu khoa học EBOOKBKMT.COM  Client attacker xếp công  Handler host thỏa hiệp để chạy chương trình đặc biệt dùng đê cơng  Mỗi handler có khả điều khiển nhiều agent  Mỗi agent có trách nhiệm gửi stream data tới victim 1.5 Lỗi người quản trị hệ thống: Đây kiểu công kẻ đột nhập, nhiên lỗi người quản trị hệ thống thờng tạo lỗ hổng cho phép kẻ công sử dụng để truy nhập vào mạng nội 1.6 Tấn công vào yếu tố người: Kẻ cơng liên lạc với ngời quản trị hệ thống, giả làm người sử dụng để yêu cầu thay đổi mật khẩu, thay đổi quyền truy nhập hệ thống, chí thay đổi số cấu hình hệ thống để thực phương pháp công khác Với kiểu cơng khơng thiết bị ngăn chặn cách hữu hiệu, có cách giáo dục người sử dụng mạng nội yêu cầu bảo mật để đề cao cảnh giác với tượng đáng nghi Nói chung yếu tố ngời điểm yếu hệ thống bảo vệ nào, có giáo dục cộng với tinh thần hợp tác từ phía người sử dụng nâng cao độ an tồn hệ thống bảo vệ Giáo viên hướng dẫn: TS Nguyễn Mạnh Hùng Sinh viên thực hiện: Trần Thị Hạnh_Mã sinh viên:5417123 Nghiên cứu khoa học EBOOKBKMT.COM II CÁC DỊCH VỤ BẢO VỆ THÔNG TIN TRÊN MẠNG Chúng ta coi dịch vụ bảo vệ thơng tin “bản sao” thao tác bảo vệ tài liệu vật lý Các tài liệu vật lý có chữ kí thơng tin ngày tạo Chúng bảo vệ nhằm chống lại việc đọc trộm, giả mạo, phá hủy… Chúng cơng chứng, chứng thực, ghi âm, chụp ảnh… Tuy nhiên có điểm khác tài liệu điện tử tài liệu giấy: - Ta phân biệt tài liệu giấy nguyên tài liệu chép Nhưng tài liệu điện tử dãy bit nên phân đâu tài liệu “nguyên bản” đâu tài liệu chép - Một thay đổi tài liệu giấy để lại dấu vết vết xóa, tẩy… Tuy nhiên thay đổi tài liệu điện tử hồn tồn khơng để lại dấu vết Dưới dịch vụ bảo vệ thơng tin mạng máy tính 2.1 Dịch vụ bí mật (Confidentiality) Dịch vụ bí mật bảo đảm thơng tin hệ thống máy tính thơng tin truyền đọc bên ủy Thao tác đọc bao gồm in, hiển thị,…Nói cách khác, dịch vụ bí mật bảo vệ liệu truyền chống lại công bị động nhằm khám phá nội dung thông báo Thông tin bảo vệ tất liệu truyền hai người dùng khoảng thời gian thông báo lẻ hay số trường thông báo Giáo viên hướng dẫn: TS Nguyễn Mạnh Hùng Sinh viên thực hiện: Trần Thị Hạnh_Mã sinh viên:5417123 Nghiên cứu khoa học EBOOKBKMT.COM Dịch vụ cung cấp khả bảo vệ luồng thông tin khỏi bị cơng phân tích tình 2.2 Dịch vụ xác thực (Authentication) Dịch vụ xác thực đảm bảo việc truyền thông xác thực nghĩa người gửi người nhận khơng bị mạo danh Trong trường hợp có thơng báo đơn tín hiệu cảnh báo, tín hiệu chng, dịch vụ xác thực đảm bảo với bên nhận thông báo đến từ bên nêu danh Trong trường hợp có giao dịch xảy ra, dịch vụ xác thực đảm bảo hai bên giao dịch xác thực khơng có kẻ giả danh làm bên trao đổi Nói cách khác, dịch vụ xác thực yêu cầu nguồn gốc thông báo nhận dạng với định danh 2.3 Dịch vụ toàn vẹn (Integrity) Dịch vụ tồn vẹn địi hỏi tài ngun hệ thống máy tính thơng tin truyền khơng bị sử đổi trái phép Việc sửa đổi bao gồm thao tác viết, thay đổi, thay đổi trạng thái, xóa thơng báo, tạo thông báo, làm trể dùng lại thơng báo truyền Dịch vụ tồn vẹn áp dụng cho thông báo, luồng thông báo hay số trường thông báo Dịch vụ toàn vẹn định hướng kết nối (connection-oriented) áp dụng cho luồng thơng báo bảo đảm thơng báo nhận có nội dung giống gửi, không bị nhân bản, chèn, sửa đổi, thay đổi trật tự hay dùng lại kể hủy hoại số liệu Như dịch vụ toàn vẹn định hướng kết nối quan tâm đến việc thay đổi thông báo từ chối dịch vụ Mặt khác, dịch vụ Giáo viên hướng dẫn: TS Nguyễn Mạnh Hùng Sinh viên thực hiện: Trần Thị Hạnh_Mã sinh viên:5417123 Nghiên cứu khoa học EBOOKBKMT.COM toàn vẹn phi kết nối quan tâm đến việc sử đổi thơng báo Dịch vụ tồn vẹn thiên phát ngăn chặn 2.4 Không thể chối bỏ (Nonrepudiation) Dịch vụ chối bỏ ngăn chặn người gửi hay người nhận chối bỏ thông báo truyền Khi thông báo gửi người nhận chứng minh người gửi nêu danh gửi Khi thơng báo nhận được, người gửi chứng minh thơng báo nhận người nhận hợp pháp 2.5 Kiểm soát truy nhập (Access control) Kiểm soát truy nhập khả hạn chế kiểm soát truy nhập đến hệ thống máy tính ứng dụng theo đường truyền thông Mỗi thực thể muốn truy nhập đuề phải định danh hay xác nhận có quyền truy nhập phù hợp 2.6 Sẵn sàng phục vụ (Availability) Sẵn sàng phục vụ đòi hỏi tài nguyên hệ thống máy tính ln sẵn sàng bên ủy quyền cần thiết Các cơng làm giảm khả sẵn sàng phục vụ chương trình phần mềm tài nguyên phần cứng mạng máy tính Các phần mềm hoạt động sai chức gây hậu khơng lường trước Các mối đe dọa chủ yếu tới an toàn hệ thống mạng xuất phát từ tính mở kênh truyền thơng (chúng cổng dùng cho truyền thông hợp pháp tiến trình client, server) hậu làm cho hệ thống bị công Chúng ta phải thừa nhận kênh truyền thông, tất Giáo viên hướng dẫn: TS Nguyễn Mạnh Hùng Sinh viên thực hiện: Trần Thị Hạnh_Mã sinh viên:5417123 Nghiên cứu khoa học EBOOKBKMT.COM mức phần cứng phần mềm hệ thống chịu nguy hiểm mối đe dọa Biện pháp để ngăn chặn kiểu công là: - Xây dựng kênh truyền thơng an tồn để tránh việc nghe trộm - Thiết kế giao thức xác nhận lẫn máy khách hàng máy chủ: + Các máy chủ phải đảm bảo máy khách hàng máy người dùng mà chúng đòi hỏi + Các máy khách hàng phải đảm bảo máy chủ cung cấp dịch vụ đặc trưng máy chủ ủy quyền cho dịch vụ + Đảm bảo kênh truyền thơng “tươi” nhằm tránh việc dùng lại thông báo III CÁC KỸ THUẬT BẢO VỆ THÔNG TIN TRÊN MẠNG Mã hóa Việc mã hóa thơng báo có vai trị sau: Nó dùng để che dấu thơng tin mật đặt hệ thống Như biết, kênh truyền thông vật lý bị công nghe trộm xuyên tạc thông báo Theo truyền thống, việc trao đổi thư từ mật mã dùng hoạt động quân sự, tình báo Điều dựa nguyên tắc thông báo mã hóa với khóa mã xác định giải mã người biết khóa ngược tương ứng Nó dùng để hỗ trợ cho chế truyền thông xác thực cặp người dùng hợp pháp mà ta gọi người ủy nhiệm (Principal) Một người ủy 10 Giáo viên hướng dẫn: TS Nguyễn Mạnh Hùng Sinh viên thực hiện: Trần Thị Hạnh_Mã sinh viên:5417123