- L2TP cũng nâng cao bảo mật do sử dụng mã hóa đường truyền tải dựa trên IPSec trong khi tạo lập đường hầm và thực thi khả năng xác thực trên từng gói của IPSec.. So sánh các giao thức đ
Trang 1Stop-Control-Connection-Reply
Phản hồi ngược lại từ thực thể cuối đối với thông điệp Stop-Control-Connection-Request
Stop-Control-Connection-Notification
Phản hồi ngược lại từ thực thể cuối để cho biết đường hầm bị kết thúc
2.2.3.6 Bảo mật L2TP
L2TP sử dụng phương thức xác thực PPP để xác thực người dùng Sơ đồ xác thực bao gồm:
- PAP và SPAP
- EAP
- CHAP
Ngoài các cơ chế xác thực đã nói ở trên L2TP còn sử dụng IPSec để xác thực các gói dữ liệu riêng Mặc dù điều này làm giảm đáng kể tốc độ giao dịch Dùng IPSec để xác thực từng gói đảm bảo rằng Hacker và Cracker không thể thay đổi được dữ liệu và đường hầm của bạn
2.2.3.7 Những ưu và nhược điểm của L2TP
Những thuận lợi chính của L2TP được liệt kê như sau:
- L2TP là giải pháp chung Trong nhiều trường hợp khác, nó độc lập với Platform, nó cũng hỗ trợ nhiều công nghệ mạng Hơn nữa, nó cũng hỗ trợ giao dịch qua liên kết WAN Non-IP mà không cần một IP
- Đường hầm L2TP là trong suốt đối với ISP cũng như với người dùng từ xa
Vì vậy không cần phải cấu hình thêm tại ISP hoặc người dùng cuối cùng
- L2TP cho phép một tổ chức kiểm soát xác thực người dùng thay cho ISP
- L2TP cung cấp kiểm soát luồng và kết quả là các gói dữ liệu có thể bị loại
bỏ một cách tuỳ ý nếu đường hầm bị đầy Điều này làm cho các giao dịch L2TP nhanh hơn các giao dịch dựa trên L2F
- L2TP cho phép người dùng từ xa chưa đăng ký địa chỉ IP truy cập tới một mạng từ xa qua một mạng công cộng
Trang 2- L2TP cũng nâng cao bảo mật do sử dụng mã hóa đường truyền tải dựa trên IPSec trong khi tạo lập đường hầm và thực thi khả năng xác thực trên từng gói của IPSec
Tuy nhiên nó cũng có một số nhược điểm Đó là:
- L2TP chậm hơn PPP hoặc L2F vì nó sử dụng IPSec để xác thực từng gói tin nhận được
2.2.4 So sánh các giao thức đường hầm truy cập từ xa
Bảng sau đưa ra một sự so sánh giữa 3 giao thức đường hầm truy cập từ xa nổi bật, L2F, PPTP, L2TP
Bảng 2.3 Tổng hợp so sánh 3 giao thức VPN được tích hợp với tầng 2
Hỗ trợ nhiều kết nối trên
đường hầm
Các chế độ hoạt động
được hỗ trợ
Incoming &
Outgoing
Các chế độ đường hầm
được hỗ trợ
Voluntary Voluntary & Compulsory Voluntary &
Compulsory Giao thức Carrier IP/GRE IP/UDP, IP/FR, IP/ATM IP/UDP, IP/FR,
IP/ATM Giao thức kiểm soát TCP, Port:
1723
UDP, Port: 1701 UDP, Port: 1701
Các cơ chế xác thực MS-CHAP,
PAP
CHAP, PAP, SPAP, EAP, IPSec, RADIUS RADIUS
& & TACACS
CHAP, PAP, SPAP, EAP, IPSec,
TACACS Các cơ chế mã hoá MPPE MPPE, IPSec MPPE, IPSec, ECP
2.5 Lập mã và xác thực trong các giao thức đường hầm tại tầng 2
Phần này chúng ta sẽ thảo luận về các tùy chọn xác thực và mã hóa được sử dụng cho các giao thức đường hầm tại tầng 2 đã đề cập ở trên
2.5.1 Các tùy chọn xác thực
Trang 3Xác thực là một trong những yêu cầu then chốt với các giải pháp VPN, một số
kỹ thuật xác thực truy cập từ xa thường được sử dụng và sự thích hợp của chúng cho các giải pháp VPN
2.5.1.1 Giao thức xác thực mật khẩu (Password Authentication Protocol - PAP)
Là giao thức đơn giản nhất và là giao thức xác thực kết nối đường quay số tới ISP thông dụng nhất Nó cũng được dùng để xác thực các kết nối dựa trên PPP, xác thực người dùng PPP trước khi một kết nối được thiết lập Tuy nhiên nó gửi ID và mật khẩu của người dùng qua liên kết mà không mã hoá Và như vậy, nó không đưa ra được sự bảo vệ từ việc phát lại hay thử lặp và các tấn công lỗi PAP có các
lỗ hỗng khác là các thực thể truyền thông cuối chỉ được xác thực một lần khi khởi tạo kết nối Vì vậy, nếu kẻ tấn công vượt qua được một lần thì không còn phải lo lắng về vấn đề xác thực trong tương lai nữa! Vì lý do này, PAP được xem như là một giao thức xác thực ít phức tạp nhất và không phải là cơ chế xác thực được ưa thích trong VPN
2.5.1.2 Giao thức xác thực có thăm dò trước (Challenge Handshake Authentication Protocol - CHAP)
CHAP được phát triển để nhằm vào việc giải quyết vấn đề gửi mật khẩu dạng
rõ trong khi sử dụng PAP Trong CHAP khi một Client thay đổi định danh, nó đáp lại bằng một giá trị hàm băm nhận được qua hàm băm MD5 Nếu giống với giá trị tại Server cuối sử dụng cùng thủ tục như ở Client thì Client được xác thực thành công, không có mật khẩu rõ được trao đổi trong tiến trình Vấn đề khác thường tích hợp với PAP là thực thể truyền thông cuối chỉ được xác thực một lần trong một tiến trình trao đổi thông tin Vì CHAP xác thực nhiều lần trong một phiên, nó tạo
ra khó khăn cho kẻ tấn công muốn phá vỡ quá trình truyền thông
2.5.1.3 Giao thức xác thực có thăm dò trước của Microsoft (Microsoft CHAP)
MS-CHAP là phiên bản thương mại của Microsoft và được dùng cho xác thực dựa trên PPP Vì sự tương đồng cao với CHAP, các chức năng của MS-CHAP khá giống với CHAP Điểm khác nhau chính giữa chúng là trong khi CHAP dựa trên RSA và thuật toán MD5 thì MS-CHAP dựa trên RSA RCA và DES Mục đích là
Trang 4MS-CHAP được phát triển chỉ cho các sản phẩm Microsoft, nó không được hỗ trợ bởi các nền khác
2.5.1.4 Giao thức xác thực mật khẩu Shiva (Shiva Password Authentication Protocol - SPAP)
SPAP là một phương pháp độc quyền cho việc xác thực các Client quay số và một số Client Microsoft Nó cung cấp một giao thức thăm dò trước 2 bước giữa Client và Server với một Password đã mã hóa Trong một số kịch bản, SPAP có thể cung cấp thêm một số chức năng như CallBack, đổi mật khẩu và tạo các kết nối ảo
2.5.1.5 Giao thực xác thực mở rộng (Extensible Authentication Protocol - EAP)
Không giống như các phương pháp PAP và CHAP, chúng được thực thi tại thời gian cấu hình LCP, trong khi thiết lập kết nối PPP EAP được thực hiện sau pha LCP, lúc xác thực PPP được thực hiện Vì lý do đó, EAP cho phép xác thực phạm vi rộng vì tăng số lượng các tham số kết nối có thể được dùng tuỳ chọn như thông tin xác thực
2.5.1.6 Kiến trúc bảo mật IP (IP Security)
Kiến trúc IPSec bao gồm 2 giao thức: Giao thức xác thực tiêu đề (Authentication Header - AH) và giao thức bao gói tải bảo mật(Encapsulating Security Payload - ESP) Cả 2 giao thức đều xác thực trên từng gói dữ liệu trong một phiên làm việc, thay cho trên từng người dùng tại thời điểm thiết lập phiên làm việc hay nhiều lần trong một phiên AH và ESP cũng cung cấp sự bảo vệ lại Điều này làm cho xác thực IPSecurity an toàn hơn nhiều so với các tùy chọn xác thực PPP truyền thống, nhưng nó cũng phát sinh một quá trình xử lý Overhead khá cao tại các thiết bị thực hiện IPSec là giao thức bảo mật được khuyến cáo cho L2TP và
có thể được sử dụng cùng với L2F cũng như với PPTP về mặt lý thuyết
2.5.1.7 RADIUS and TACACS
RADIUS và TACACS cung cấp một trung tâm xác thực với người dùng truy cập từ xa Cả 2 công nghệ làm việc theo cách tương tự nhau Một Server truy cập
từ xa thực thi một RADIUS hay TACACS Client để chuyển tiếp các yêu cầu xác thực tới một Server trung tâm, nơi yêu cầu được xử lý và được cấp quyền truy cập
Trang 5hoặc từ chối truy cập RADIUS và TACACS cũng cho phép chuyển thông tin cấu hình từ Client tới một cơ sở dữ liêu trung tâm RADIUS có thể được kết nối vào một hệ thống xác thực trung tâm khác như Kerberos, DCE và RACF
2.5.1.8 ID bảo mật
ID bảo mật được phát triển bởi công ty Security Dynamic, dựa trên khả năng xác thực 2 nhân tố Người dùng không chỉ yêu cầu một Password để xác thực thành công mà còn cả một mã PIN bí mật dưới dạng một số ngẫu nhiên có thể thay đổi qua mỗi lần Password được lưu trữ trong một cơ sở dữ liệu tại Server và được
so sánh với Password do người dùng nhập vào khi đăng nhập Số ngẫu nhiên được tạo cho mỗi người dùng tại Server và được thay đổi trong mỗi một khoảng thời gian nhất định Người dùng được cung cấp một thiết bị dưới dạng một thẻ bài chứa khoá (key chain token) hoặc một thẻ thông minh (smart card), trong đó có một con chip vi xử lý thực hiện việc tính toán số ngẫu nhiên giống như là Server Chip đó
có một đồng hồ đồng bộ hoàn toàn với Server vì vậy người dùng có khả năng đăng nhập thành công bằng việc nhập vào Password và PIN đã có trên thiết bị thẻ SecureID dựa trên mô hình Client/Server tương tự với RADIUS và TACACS, trong đó một Server truy cập hoạt động như một Client/Proxy SecureID để chuyển tiếp yêu cầu xác thực tới Server trung tâm, Server này thường được gọi là ACE/Server SecureID cũng được dùng như một hệ thống xác thực thứ cấp với RADIUS
2.5.2 Tuỳ chọn mã hoá
Mã hoá và trao đổi khoá là 2 yêu cầu then chốt với VPN, trong phần sau ta sẽ thảo luận về một số kỹ thuật mã hoá truy cập từ xa thường được sử dụng và sự thích hợp của chúng với VPN
2.5.2.1 Mã hoá điểm tới điểm của Microsoft(Microsoft Point-to-Point Encryption - MPPE)
MPPE sử dụng hàm băm MD4 được tạo khi xác thực bằng phương pháp MS-CHAP để nhận được khóa mật cho một kết nối PPP Đây là một phương pháp mã hoá điển hình được dùng cho PPTP với các Client Microsoft Thuật toán mã hoá dùng cho MPPE là RC4 với khoá 40bit, nó được xem là rất yếu với những kỹ thuật
Trang 6Hacker tiên tiến ngày nay Microsoft cũng đưa ra một phiên bản với khoá 128bit cho thị trường Mỹ Microsoft thực thi PPTP theo cách thức là cứ sau 256 gói dữ liệu được mã hóa thì Refresh lại khóa
2.5.2.2 Giao thức kiểm soát mã hóa(Encryption Control Protocol - ECP)
ECP có thể được dùng để thương lượng mã hóa với một kết nối PPP, làmột kết nối đã được thiết lập và xác thực ECP cho phép sử dụng các thuật toán mã hóa khác nhau trong mỗi chỉ thị nhưng không cung cấp khả năng Refresh khóa Thuật toán mã hóa chuẩn là DES nhưng khách hàng có thể tự chọn thuật toán mà họ ưa thích để thực hiện
2.5.2.3 IPSec
IPSec mang lại chức năng mã hóa với giao thức đóng gói tải bảo mật và sử dụng giao thức trao đổi khóa Internet cho việc sinh khóa và làm tươi khóa ESP