(Tóm tắt luận văn thạc sĩ) nghiên cứu cải thiện hiệu năng giải thuật tạo cga trong ipv6

HỌC VIỆN CƠNG NGHỆ BƯU CHÍNH VIỄN THƠNG - CAO THỊ MỸ HẠNH NGHIÊN CỨU CẢI THIỆN HIỆU NĂNG GIẢI THUẬT TẠO CRYTOGRAPHICALLY GENERATED ADDRESSES TRONG IPV6 Chuyên ngành: KỸ THUẬT VIỄN THƠNG Mã số: 8.52.02.08 TĨM TẮT ĐỀ ÁN TỐT NGHIỆP THẠC SĨ HÀ NỘI - NĂM 2023 Đề án tốt nghiệp hồn thành tại: HỌC VIỆN CƠNG NGHỆ BƯU CHÍNH VIỄN THƠNG Người hướng dẫn khoa học: TS VŨ THỊ THÚY HÀ Phản biện 1: PGS.TS Bạch Nhật Hồng Phản biện 2: TS Nguyễn Ngọc Minh Đề án tốt nghiệp bảo vệ trước Hội đồng chấm đề án tốt nghiệp thạc sĩ Học viện Công nghệ Bưu Viễn thơng Vào lúc: 10 30 ngày 29 tháng 07 năm 2023 Có thể tìm hiểu đề án tốt nghiệp tại: - Thư viện Học viện Cơng nghệ Bưu Viễn thơng MỞ ĐẦU Giao thức IPv6 (Internet Protocol version 6) có cải tiến đáng kể, giải nhiều vấn đề tồn mặt bảo mật giao thức IPv4 (Internet Protocol version 4) cũ Việc tích hợp giao thức bảo mật IP (IP security - IP sec) bắt buộc IPv6, trở nên an tồn so với IPv4 Bên cạnh tính mềm dẻo, IPv6 đặt số vấn đề liên quan tới bảo mật Giao thức IP di động (Mobile IP) xây dựng giao thức IPv6 giải pháp cho vấn đề bảo mật giao thức nghiên cứu phát triển Hơn nữa, tính mềm dẻo việc cấu hình động gây vấn đề bảo mật nghiêm trọng thiết lập cấu hình khơng Mặc dù mặt tổng quan, giao thức IPv6 tăng cường bảo mật cho toàn hệ thống mạng dựa TCP/IP kẻ công có khả khai thác phần khác giao thức IPv6 bao gồm 128 bit so với 32 bit IPv4 Với trợ giúp địa IPv6, hỗ trợ 2128 địa IP Các tính giao thức IPv6 cải thiện, nâng cao bảo mật so với IPv4 Trong IPv6, tạo khóa dùng làm chữ ký điện tử (Public signature key) cho địa IP Địa gọi địa tạo giải thuật mã hóa (CGA-Cryptographically Generated Address) CGA địa chứa thông tin chủ sở hữu địa sử dụng để xác minh tính tồn vẹn tính hợp lệ địa IP CGA cung cấp cách an toàn gia tăng mức độ bảo vệ, dùng chế phát định tuyến lân cận cho phép người dùng cuối cung cấp chứng sở hữu địa IP Tính hồn tồn phiên IPv6 đem lại nhiều ưu điểm CGA cốt lõi giao thức khám phá nút lân cận an toàn (Secure Neighbor Discovery - SEND), thiết kế để ngăn chặn việc đánh cắp địa IPv6 cách ràng buộc địa tạo vào khóa cơng khai để xác minh quyền sở hữu địa Mặc dù kỹ thuật CGA kỹ thuật đầy hứa hẹn cung cấp mức độ bảo mật đáng kể Tuy nhiên môi trường di động, giảm thiểu thời gian tạo xác minh thuật toán tạo CGA quan trọng 2 Do đó, điều quan trọng phải xem lại tất công việc liên quan đến yếu tố ảnh hưởng đến thời gian thực thuật toán tạo CGA Các yếu tố bao gồm giá trị Sec (Sec value), hàm băm (có thời gian ngắn thời gian xử lý) Kết cấu đề án chia làm chương:  Chương 1: Các vấn đề bảo mật IPv6  Chương 2: Nghiên cứu giải thuật tạo CGA IPv6  Chương 3: Đề xuất giải pháp cải thiện hiệu giải thuật tạo CGA Đề án phân tích phương pháp mà qua CGA bị cơng Khi tiến hành phân tích, công từ chối dịch vụ (DoS) xác định phương pháp q trình xác minh CGA, làm ảnh hưởng đe dọa tính riêng tư CGA Học viên tập trung nghiên cứu số mơ hình giải thuật sửa đổi thuật toán xác minh tiêu chuẩn CGA (CGA standard) để giảm thiểu công DoS , giảm thiểu thời gian xử lý CGA với mục đích tăng tính bảo mật cho IPv6 mà đảm bảo tính thời gian thực triển khai ứng dụng IPv6 mạng di động Tuy nhiên, việc tìm hiểu vấn đề giải pháp địi hỏi phải có kiến thức sâu rộng, lâu dài Vì thế, đề án khơng tránh khỏi sai sót, kính mong nhận phê bình, góp ý thầy Chương - CÁC VẤN ĐỀ BẢO MẬT IPV6 Ngày nay, nhiều người nói quyền riêng tư bảo mật Internet, đặc biệt từ triển khai IPv6, hệ IPv4 Trong địa IPv6, 64 bit từ bên trái địa 128 bit tạo thành tiền tố mạng 64 bit từ bên phải tạo thành định danh giao diện Ln có đánh đổi quyền riêng tư mức độ an ninh mong muốn cho người dùng internet giới mạng đại Sự xuất IPv6 cung cấp hy vọng để giải đánh đổi cách hài lòng Trong IPv6 suite, có phương pháp cho thiết bị tự động cấu hình địa cách an tồn Kỹ thuật gọi địa tạo mật mã (CGA) CGA cung cấp chứng sở hữu cần thiết cho địa IPv6 mà dựa quan tin cậy Tuy nhiên, thời gian tính tốn liên quan đến CGA cao, đặc biệt mức độ an ninh cao xác định tham số an ninh (Sec) Chi phí lớn gây yếu tố ức chế cho người dùng để tiếp tục với chế độ an ninh khiến họ khơng muốn thay đổi địa cách thường xuyên 3 1.1 Tổng quan IPv6 IPv6 (Internet Protocol version 6) phiên giao thức Internet Protocol sử dụng để kết nối thiết bị Internet IPv6 coi phiên IPv4 IPv4 đạt đến giới hạn địa IP sử dụng IPv6 cung cấp số lượng địa IP lớn gấp trăm lần so với IPv4, từ giúp giải vấn đề cạn kiệt địa IPv4 IPv6 cịn hỗ trợ nhiều tính cải tiến so với IPv4, bao gồm việc tự động cấu hình địa IP (Autoconfiguration), hỗ trợ chất lượng dịch vụ QoS (Quality of Service), tích hợp truyền thông đa phương tiện hỗ trợ bảo mật tốt Tuy nhiên, việc chuyển đổi từ IPv4 sang IPv6 đòi hỏi số thay đổi quan trọng cấu trúc mạng thiết bị kết nối với Internet Vì vậy, việc triển khai IPv6 toàn cầu thực chậm rãi 1.1.1 Các ưu điểm IPv6 Ipv4 có nhiều nhược điểm, quan trọng khơng gian địa Ipv4 cạn kiện Điều dẫn đến tất yếu phải đời hệ địa giải nhược điểm tồn IPv6 phiên giao thức Internet Protocol (IP), mang đến nhiều cải tiến tính hiệu suất so với Ipv4:  Không gian địa gần vơ hạn  Khả tự động cấu hình (Plug and Play)  Khả bảo mật kết nối từ thiết bị gửi đến thiết bị nhận (đầu cuối – đầu cuối)  Quản lý định tuyến tốt  Dễ dàng thực Multicast  Hỗ trợ cho quản lý chất lượng mạng 1.1.2 Cấu trúc IPv6 Các địa IPv6 biểu diễn dạng 128-bit, phân chia thành nhóm gọi “hextet”, nhóm chứa 16 bit viết dạng số thập lục phân Giữa nhóm hextet sử dụng ký hiệu dấu hai chấm để phân tách Ví dụ: 2000:0db7:85a3:0000:0000:8f2e:0370:7334 1.1.3 Các tính IPv6 IPv6 có 128 bit so với IPv4 có 32 bit Nhờ địa IPv6, hỗ trợ tối đa 2¹² địa IP Các tính giao thức IPv6 liệt kê sau: - Kích thước header tối giản hóa - Khơng gian địa lớn - Cơ sở hạ tầng địa định tuyến hiệu có hệ thống phân cấp - Bảo mật tích hợp sẵn - Giao thức cho tương tác với nút láng giềng - Khả mở rộng 1.2 Bảo mật IPv6 IPv6 phiên giao thức Internet Protocol (IP) có vấn đề bảo mật riêng Một số vấn đề bảo mật phổ biến IP6 như: - Tấn công địa IPv6 - Quản lý địa IPv6 - Chế độ vận hành cấu hình - Tấn cơng giao thức - Chứng thực ủy quyền Các tính bảo mật mà IPSec cung cấp bao gồm chứng thực, mã hóa bảo vệ tính tồn vẹn liệu IPSec sử dụng để thiết lập kết nối mạng riêng ảo VPN (Virtual Private Network) mạng Các tính bảo mật IPSec IPv6 giúp tăng cường đáng kể an toàn bảo mật việc truyền tải liệu mạng IPSec cung cấp giao thức thứ ba trao đổi khóa Internet Nó trì thơng tin liệu truyền thơng có an tồn hay khơng Phân chia vị trí IPv6 thành đoạn định dạng cụ thể định danh giao diện gây vấn đề IPv6 phần sửa đổi địa IPv6 (tức định danh giao diện) chứa định danh không đổi phần định dạng cấu trúc địa thay đổi (ví dụ kết nối đến phần khác internet) [4] Một cách tiếp cận để tránh việc có địa cố định không thay đổi thay đổi phần định danh giao diện địa thời gian dài tạo địa từ phần định danh giao diện cho số phạm vi địa Một cách tiếp cận Cryptographically Generated Addresses (CGAs), RFC3972, định danh ngẫu nhiên tạo dựa khóa cơng khai nút 5 1.3 Giao thức SEND Giao thức khám phá nút lân cận bảo mật Secure Neighbor Discovery Protocol (SEND Protocol) phần mở rộng tính bảo mật Neighbor Discovery Protocol (NDP) Mục đích SEND cung cấp chế thay để đảm bảo NDP phương pháp mật mã độc lập với IPsec, phương pháp gốc sẵn có việc đảm bảo truyền thơng IPv6 Mào đầu xác thực IPsec tin Tải bảo mật đóng gói sử dụng để bảo vệ giao thức khám phá nút mạng lân cận SEND tăng cường bảo mật cho giao thức khơng an tồn cách sử dụng địa tạo mật mã (CGA) để mã hóa tin NDP Phương pháp độc lập với IPSec, thường sử dụng để bảo mật việc truyền IPv6 Việc giới thiệu CGA giúp vơ hiệu hóa hành vi giả mạo hàng xóm/gạ gẫm/quảng bá, lỗi phát truy cập hàng xóm, cơng DoS, quảng bá định tuyến công quảng bá phát lại SeND thiết kế để chống lại mối đe dọa có giao thức ND SeND xác định tập hợp tùy chọn ND hai thông báo ND SeND định nghĩa chế cấu hình tự động để thiết lập quyền sở hữu địa 1.3.1 Điều kiện tiên IPv6 SEND Cấu sau trước triển khai SEND máy chủ: - Một cặp khóa Rivest, Shamir Adelman (RSA) sử dụng để tạo địa tạo mật mã (CGA) giao diện - Cơng cụ sửa đổi SEND tính cặp khóa RSA - Một khóa giao dện SEND - CGA giao diện SEND - PKI có nội dung tối thiểu, chẳng hạn URL Certificate servers Chứng neo tin cập phải cung cấp host Hồn thành tác vụ sau trước cấu hình SEND máy chủ thiết bị: - Cấu hình máy chủ với nhiều neo tin cậy - Cấu hình máy cặp khóa RSA định cấu hình host có khả tạo cặp khóa RSA cục Đối với máy chủ không thiết lập quyền hạn riêng sử dụng neo tin cậy, khóa khơng chứng nhận bở tổ chức phát hành chứng (CA) nào, Cấu hình thiết bị khóa RSA chuỗi chứng tương ứng khả lấy chuỗi chứng khớp với điểm neo tin cậy máy chủ số cấp độ chuỗi 1.3.2 Thông tin IPv6 SEND a) Các mơ hình tin cậy mối đe dọa SEND IPv6 b) Giao thức SEND c) Các mơ hình SEND 1.3.3 Cài đặt SEND Các bước cài đặt SEND: B1 Cấu hình Certificate Servers để kích hoạt SEND B2: Cấu hình Host để kích hoạt SEND B3: Cấu hình Device để kích hoạt SEND B4: Tạo cặp khóa RSA cơng cụ sửa đổi CGA cho cặp khóa B5: Cấu hình Certificate Enrollment cho PKI B6: Cấu hình CGA B7: Cấu hình tham số SEND 1.4 Kỹ thuật CGA IPv6 Trong lĩnh vực mạng, việc sử dụng IPv6 cải thiện địa tự xác nhận giao thức SEND, tạo địa chuẩn 64-bit với ký hiệu đáng ý Hơn nữa, tự xác minh mà khơng cần sở hạ tầng khóa cơng khai để tạo địa IPv6 Trong định dạng địa IPv6, ngữ nghĩa đặc biệt số tham số sử dụng trình tự giao diện Bộ tham số bao gồm bit "u" "g", đặt bit thứ bảy thứ tám trình tự giao diện Kết hợp u = g = giữ khơng sử dụng cho mục đích khác, sử dụng CGA Giá trị khác trình tự giao diện tham số bảo mật "sec", tham số định nghĩa người dùng với bit Trong CGA, tham số sử dụng liên quan đến phần mở rộng băm, ký hiệu cần thiết sử dụng trình tạo CGA, trình bày bảng 1.1 Bảng 1.1 Các ký hiệu tạo mã CGA Dữ liệu Tiền tố mạng Bộ nhận dạng giao diện Khóa cơng khai Khóa riêng tư Chữ ký số Bộ thay đổi Số lần va chạm Tham số bảo mật Cờ u,g Ký hiệu SP Interface ID K_pub K_priv Sign m/M CC sec u,g Độ dài 64 bit 64 bit Độ dài thay đổi Độ dài thay đổi Độ dài thay đổi 128 bit bit bit bit loại cờ CGA sử dụng phương pháp mở rộng băm, trao quyền tham số bảo mật SEC Phương pháp bao gồm phần mở rộng băm tuyến tính cách thực thi số bit 16 sec 0, gọi Hash2 Mục đích cải thiện bảo mật CGA Để tạo địa chỉ, máy tính phải thực số tham số, chẳng hạn phần mở rộng băm, làm chậm q trình tạo địa sử dụng với giá trị SEC lớn 1.4.1 Định dạng tham số CGA Trong đề án đề cập đến địa IPv6 64 bit bên trái địa 128 bit tạo thành tiền tố mạng 64 bit bên phải địa tạo thành nhận dạng giao diện [RFC3513] Ta thực đánh số bit nhận dạng giao diện bit số “0” bên trái Một địa tạo giải thuật mã hóa (CGA) có tham số bảo mật Sec xác định độ mạnh chống lại cơng dị mật (brute-force attacks) Tham số bảo mật số nguyên không dấu ba bit mã hóa ba bit bên trái (tức bit 0, 1, 2) nhận dạng giao diện Điều viết sau: Sec = (bộ nhận dạng giao diện & 0xe000000000000000) >> 61 (1.1) CGA liên kết với tập tham số bao gồm khóa cơng khai (public key) tham số bổ sung Hai giá trị băm Hash1 (64 bit) Hash2 (112 bit) tính từ tham số Một CGA xác định địa IPv6 thỏa mãn hai điều kiện sau:  Giá trị băm Hash1 với nhận dạng giao diện địa Các bit 0, 1, 2, (tức bit mã hóa tham số bảo mật Sec bit “u”, “g” từ định dạng kiến trúc địa IPv6 tiêu chuẩn nhận dạng giao diện) bỏ qua trinh so sánh 8  16*Sec bit bên trái giá trị băm thứ hai Hash2 “0” Có thể phát biểu hai bit masks sau: Mask1 (64 bits) = 0x1cffffffffffffff Mask2 (112 bits) = 0x0000000000000000000000000000 if Sec=0, 0xffff000000000000000000000000 if Sec=1, 0xffffffff00000000000000000000 if Sec=2, 0xffffffffffff0000000000000000 if Sec=3, 0xffffffffffffffff000000000000 if Sec=4, 0xffffffffffffffffffff00000000 if Sec=5, 0xffffffffffffffffffffffff0000 if Sec=6, 0xffffffffffffffffffffffffffff if Sec=7 Một địa tạo phương pháp mã hóa mật mã địa IPv6 mà thỏa mãn hai phương trình sau: Hash1 & Mask1 == nhận dạng giao diện & Mask1 Hash1 & Mask1 == 0x0000000000000000000000000000 (1.2) 1.4.2 Tham số CGA giá trị băm Mỗi CGA liên kết với cấu trúc liệu tham số CGA, có định dạng sau: Hình 1.10 Định dạng cấu trúc liệu tham số CGA Thuật toán băm SHA – áp dụng cho tham số CGA  Khi tính tốn Hash1, đầu vào thuật toán SHA-1 cấu trúc liệu tham số CGA Giá trị Hash1 64 bit lấy cách lấy 64 bit bên trái giá trị băm SHA-1 160 bit  Khi tính tốn Hash2, đầu vào cấu trúc liệu Tham số CGA trừ subnet prefix collision count đặt thành Giá trị Hash2 112 bit lấy cách lấy 112 bit bên trái giá trị băm SHA-1 160 bit Lưu ý giá trị băm tính tốn tồn cấu trúc liệu Tham số CGA, bao gồm trường mở rộng không công nhận 1.5 Khảo sát số nghiên cứu cải thiện hiệu giải thuật tạo CGA CGAs giới thiệu IPv6 phần cấu hình địa động không trạng thái SLAAC Điều cho phép nút tham gia mạng tạo địa IPv6 Mặc dù CGA có số lợi thế, thiếu sót kỹ thuật chi phí tính cao Chính học viên khảo sát số nghiên cứu cải thiện hiệu giải thuật tạo CGA CGA nên cung cấp cho người dùng tùy chọn để tăng chi phí trước tăng trưởng mũ khả tính tốn nhớ Cơ chế mở rộng băm giới thiệu để giải điều Cơ chế sửa đổi đầu vào Hash2 16*sec bit bên trái băm giá trị [4] Điều hiệu tăng chi phí cho cơng mạo danh lên đến O(259+16∗sec ) Tuy nhiên, chế có tác động tiêu cực đến chi phí việc tạo CGA lên đến O(216∗sec ) Thực tế, số nghiên cứu xác nhận đóng góp lớn vào chi phí tính tốn thuật tốn sinh CGA giá trị Sec Đề án có khảo sát số yếu tố ảnh hưởng đến hiệu giải thuật tạo CGA, số giải pháp khả thi để cải thiện hiệu thuật toán tạo CGA Những nghiên cứu tóm tắt Bảng 2.1 10 Bảng 1.1 Các yếu tố ảnh hưởng đến hiệu suất thuật tốn tạo CGA cải tiến Nguồn tính tốn Mục tiêu chế (tầm quan trọng Các giải pháp Nguồn đề xuất tài liệu bảo mật) Người dùng sử dụng giá trị sec nhỏ (0 [15, 17] 1) Bất lợi Bảo mật tính tốn < O(280 ) Các bước 1-3 thực máy mạnh mẽ [16, 17] Dựa vào mơ hình tập trung trước Giới hạn thời gian dựa ứng dụng Tăng mức độ bảo mật CGA chống Cơ chế mở rộng hàm băm lại cơng (chỉ có 59 bit băm [9] tốc độ CPU Điều kiện kết thúc dựa thời gian [15] xác suất sử dụng làm Sử dụng mật mã / đồ mã định danh giao họa thẻ tăng tốc diện) Giảm đáng kể việc tạo CGA thời [18] gian đặc biệt cho giá trị sec cao Tận dụng lợi tương đồng để tăng tốc độ tạo CGA, đặc biệt [2] thiết bị có nhiều lõi Tạo cặp khóa Cặp khóa sử Ủy quyền cho dụng việc tạo khóa mạnh mẽ [7, 16, Dựa vào mơ 11 Nguồn tính tốn Mục tiêu chế (tầm quan trọng Các giải pháp Nguồn đề xuất tài liệu bảo mật) máy chủ để tạo cặp khóa xác minh Chữ ký CGA 17] Bất lợi hình tập trung Sử dụng hệ thống mật mã khóa cơng khai với thời gian [6, 18] tạo khóa nhanh (ví dụ: ECC) Thay SHA-1 Hàm băm Tạo hàm băm tiêu hàm băm thụ thay nhanh [8, 18] MD-5 bị hỏng (ví dụ: MD-5) 1.6 Kết luận Một địa tạo mật mã (CGA) địa IPv6 tạo nút sử dụng thuật toán tạo CGA định nghĩa RFC 3972 Đầu vào thuật tốn khóa cơng khai nút số thông số phụ trợ Đầu thuật toán CGA CGA giới thiệu IPv6 phần cấu hình địa tự động (SLAAC) không trạng thái Điều cho phép nút tham gia vào mạng tạo địa IPv6 cục Mặc dù CGA có nhiều lợi thế, nhiên hạn chế chúng chi phí tính tốn cao Mục đích đề án thực phân tích tính bảo mật hiệu suất thuật tốn tạo CGA Điều quan trọng nhiều lý Từ khảo sát Bảng 1.2, đề án đưa hướng cải thiện sau:  Hướng thứ nhất: tạo CGA thích ứng với thời gian cách điều chỉnh tham số sec, chuyển từ 16 thành  Hướng thứ hai: Thay hàm băm SHA1 SHA512 để tăng tính bảo mật  Hướng thứ ba: Thay kỹ thuật tạo khóa RSA kỹ thuật đường cong elip ECC 12 Tuy nhiên, thời gian nghiên cứu có hạn, đề án đưa hướng cải thiện chọn giá trị Sec dựa thời gian để tính giá trị final Modifier thời gian cho phép, để thích ứng với băng thông khác Chương - NGHIÊN CỨU GIẢI THUẬT TẠO CGA TRONG IPV6 2.1 Giới thiệu chương Chương mô tả phương pháp để liên kết khóa chữ ký cơng khai với địa IPv6 giao thức khám phá nút lân cận an toàn (Secure Neighbor Discovery SEND) [RFC3971] Địa IPv6 tạo cách tính hàm băm chiều mật mã từ khóa cơng khai tham số phụ trợ khác Sự liên kết khóa cơng khai địa xác minh cách tính lại giá trị hàm băm so sánh với định danh giao diện (interface identifier) Các thông điệp gửi từ địa IPv6 bảo vệ cách đính kèm khóa cơng khai tham số phụ trợ ký vào thông điệp khóa riêng tương ứng Bảo vệ hoạt động mà không cần quan chứng nhận sở hạ tầng bảo mật Ý tưởng tạo định danh giao diện (tức 64 bit bên phải nhất) địa IPv6 cách tính tốn hàm băm mật mã khóa cơng khai Địa IPv6 kết gọi địa tạo mật mã (CGA) Khóa riêng tương ứng sử dụng để ký thông điệp gửi từ địa Để xác minh liên kết địa khóa cơng khai, người xác minh cần biết địa nó, khóa cơng khai giá trị tham số phụ trợ Người xác minh tiếp tục xác minh thơng điệp ký chủ sở hữu khóa công khai (tức chủ sở hữu địa chỉ) Không cần sử dụng sở hạ tầng bảo mật bổ sung nào, chẳng hạn sở hạ tầng khóa cơng khai (PKI), quan chứng nhận máy chủ đáng tin cậy khác Vì CGA khơng chứng nhận, kẻ cơng tạo CGA từ tiền tố mạng khóa cơng khai riêng (hoặc khác) Tuy nhiên, kẻ công lấy CGA tạo người khác gửi tin ký chủ sở hữu địa gửi 13 2.2 Quá trình xác thực tạo CGA 2.2.1 Các bước để tạo địa IPv6 sử dụng CGA Hình 2.1 Lưu đồ thuật tốn tạo CGA Để điều chỉnh Modifier ngẫu nhiên thành giá trị 128 bit, chọn giá trị bảo mật khởi tạo Collision counter 14 Thêm Modifier với 64+8 không bits Public-key Sau đó, chạy thuật tốn băm hash chuỗi ký tự tham gia Kết Hash2 với 112 bit bên trái Các bit 16_SEC phải khớp với bit bên trái không Nếu tất không, tiến hành bước Nếu không, tăng Modifier quay trở lại bước Thêm Modifier với ký hiệu mạng con, Public-key Collision counter Sau đó, chạy Modifier với thuật tốn băm H chuỗi ký tự tham gia Kết Hash1 với 64 bit phía bên trái Hai bit đặc biệt, tức “u” “g”, thiết lập trước để có định danh cho giao diện Hash1 với bit phía bên trái đến sec-6 Một địa IPv6 128-bit thu cách thêm ký hiệu mạng định danh giao diện Trong tình mà địa IP có xung đột với máy mạng con, thực tăng Collision counter quay lại bước Quá trình tránh ba xung đột ban đầu Nếu cịn xung đột, dừng q trình chuyển tiếp ERROR 2.2.2 Quá trình xác thực CGA Xác thực CGA nhận đầu vào địa IPv6 cấu trúc liệu CGA Parameters CGA Parameters bao gồm kết hợp modifier, subnet prefix, collision count, public key trường mở rộng tùy chọn Việc xác thực thành công thất bại Các bước để xác thực CGA: Kiểm tra collision count cấu trúc CGA Parameters = 0, Xác thực CGA thất bại collision count không nằm khoảng giá trị hợp lệ Kiểm tra subnet prefix cấu trúc CGA Parameters với subnet prefix (tức 64 bit bên trái) địa Xác thực CGA thất bại giá trị prefix khác Thực thuật toán SHA-1 cấu trúc CGA Parameters Lấy 64 bit bên trái giá trị băm SHA-1 Kết Hash1 So sánh Hash1 với interface identifier (tức 64 bit bên phải) địa Các khác biệt ba bit bên trái bit (tức bit "u" "g") bỏ qua Nếu giá trị 64 bit khác (ngoại trừ bit bị bỏ qua), xác thực CGA thất bại 15 Đọc tham số bảo mật Sec từ ba bit bên trái interface identifier 64 bit địa (Sec số nguyên bit không dấu.) Kết hợp modifier, octet giá trị 0, public key trường mở rộng theo sau public key cấu trúc CGA Parameters từ trái sang phải Thực thuật toán SHA-1 kết hợp Lấy 112 bit bên trái giá trị băm SHA-1 Kết Hash2 So sánh 16 * Sec bit bên trái Hash2 với giá trị Nếu giá trị số chúng không 0, xác thực CGA thất bại Nếu không, việc xác thực thành công (Nếu Sec=0, xác thực CGA không thất bại bước này) Nếu trình xác minh thất bại bước nào, việc thực thi thuật toán PHẢI ngừng Ngược lại, việc xác minh thành cơng, người xác minh biết khóa cơng khai CGA Parameters khóa cơng khai xác thực chủ sở hữu địa Người xác minh trích xuất khóa cơng khai cách loại bỏ 25 octet đầu CGA Parameters giải mã cấu trúc liệu SubjectPublicKeyInfo sau 2.3 Các kiểu cơng vào CGA 2.3.1 Một kẻ công cố gắng phá vỡ khả chống hàm băm trước 2.3.2 Phát khóa riêng nút nạn nhân 2.3.3 Cuộc cơng TMTO tồn cầu 2.3.4 Cuộc cơng DoS chống lại tiến trình xác thực CGA Trong tiến trình xác thực CGA, công từ chối dịch vụ DoS thực bước cụ thể DAD xác thực tham số CGA a) Các công DoS chống lại DAD-CGA b) Tấn công DoS cách phát lại thông số CGA người gửi c) Tấn công DoS để tiêu diệt nút CGA 2.4 Cài đặt CGA Học viên tiến hành cài đặt thiết bị Cisco:  Cài đặt tham số CGA chung  Tạo địa CGA giao diện 16 2.5 Kết luận chương Trong chương trình bày giải thuật tạo q trình xác thực CGA IPv6 mơ tả phương pháp để liên kết khóa chữ ký cơng khai với địa IPv6 giao thức khám phá nút lân cận an tồn Bên cạnh đó, cịn trình bày kiểu cơng CGA cách cài đặt SEND, CGA Chương - ĐỀ XUẤT GIẢI PHÁP CẢI THIỆN HIỆU NĂNG CỦA GIẢI THUẬT TẠO CGA 3.1 Giới thiệu chương Chương bắt đầu việc phân tích vấn đề ảnh hưởng tới hiệu triển khai CGA mạng IPv6 Đề xuất giải pháp để cải thiện hiệu giải thuật tạo CGA Phân tích so sánh hiệu mơ hình giải thuật tạo CGA 3.2 Phân tích vấn đề ảnh hưởng tới hiệu IPv6 triển khai CGA Triển khai CGA mạng IPv6 gặp số vấn đề ảnh hưởng đến hiệu - Tính tốn phức tạp - Băng thơng mạng - Tấn công DoS 3.3 Cải thiện hiệu giải thuật tạo CGA ứng dụng cho mạng IPv6 di động (Mobile IPv6 Networks) 3.3.1 Giải thuật tạo CGA tiêu chuẩn Giải thuật tạo CGA tiêu chuẩn mô tả RFC3972 phương pháp để tạo địa IPv6 tồn vẹn từ khóa cơng khai địa IPv6 Trong CGA, phần định danh giao diện địa IPv6 tạo từ hàm băm mật mã khóa cơng khai chủ sở hữu địa tham số phụ trợ khác Do 64-bit không đủ để cung cấp bảo mật chống lại công brute-force, nên CGA tiêu chuẩn sử dụng phần mở rộng Hash để tăng cường độ bảo mật 64-bit Thuật toán tạo CGA phải đáp ứng hai điều kiện: 17  64-bit bên trái Hash1 mã định danh giao diện Các bit Sec, “u” “g” bị bỏ qua so sánh  Các bit ngồi bên trái 16×S Hash2 Sơ đồ thuật toán tạo CGA hiển thị Hình 3.1 Hình 3.1 Thuật tốn tạo CGA tiêu chuẩn 3.3.2 Phân tích số vấn đề triển khai CGA tiêu chuẩn Thuật toán CGA làm tăng chi phí tính tốn cho hai kẻ cơng người tạo địa (chủ sở hữu) Quá trình dị tìm địa bị cơng brute force O(216xSec) để đáp ứng điều kiện Hash2 tìm Modifie cuối Kẻ công cần phải thực công brute force chống lại giá trị băm (16×Sec+59)-bit chi phí O(216xSec+59) Để thỏa mãn điều kiện Hash2 phần tính tốn đắt tiền trình tạo CGA Chủ sở hữu địa khơng có máy tính đủ mạnh để tính toán CGA khoảng thời gian cho phép Chọn giá trị Sec cao gây thời gian trễ lớn việc tạo địa Đối với giá trị Sec lớn 0, khơng có đảm bảo trình tạo CGA dừng lại sau số vịng lặp định Do đó, tốt buộc thuật toán tạo CGA dừng sau thời gian định Có số nghiên cứu chọn tham số Hash Extension tự động thay cấu hình thủ cơng để có thuật tốn thực tế Nhưng ý tưởng khơng chuẩn hóa cho CGA Ngồi ra, dựa kiến thức học viên, không hợp lý triển khai ý tưởng 18 cho địa CGA Do đó, học viên định sửa đổi CGA tiêu chuẩn thực dựa thời gian dừng 3.3.3 Đề xuất giải pháp tạo CGA thích ứng theo thời gian Dựa phân tích thực tế trình cài đặt CGA thiết bị Cisco, học viên đề xuất CGA sửa đổi với thời gian kết thúc để buộc trình tạo CGA dừng sau thời gian định người dùng định tạo địa Mục đích học viên để đạt CGA bảo mật mà không tiêu tốn thời gian tài nguyên hệ thống với giá trị Sec lớn Thuật toán tạo CGA sửa đổi lấy thời gian kết thúc làm đầu vào sau xác định giá trị Sec đầu để tính tốn CGA Học viên đề xuất sửa đổi sau CGA tiêu chuẩn, thuật toán chỉnh sửa tạo CGA bao gồm bước: * Bước 1: Chọn tham số thời gian làm đầu vào thay giá trị Sec.Tham số thời gian đặt để đảm bảo CGA dừng sau thời gian định Giá trị Sec xác định làm trịn xuống số khơng thành lập tốt giá trị Hash2 thành bội số gần “8” * Bước 2: Thay hệ số chi tiết tiêu chuẩn “16” “8” điều kiện Hash2 để có mức bảo mật tối ưu thời gian dừng giảm số lượng lặp lặp lại lãng phí để tìm giá trị Sec tốt Q rõ ràng hội có đầu hàm băm với “8” số khơng liên tiếp cao với “16”