ĐỒ ÁN HỆ THỐNG MẠNG BẢO MẬT TRONG WLAN chương 2_2 pptx

ĐỒ ÁN HỆ THỐNG MẠNG Đề tài: BẢO MẬT TRONG WLAN CHƯƠNG II BẢO MẬT MẠNG VÀ INTERNET 2.3.3.2. I&A dựa trên sở hữu của người sử dụng Các thẻ nhớ : Hầu hết dạng phổ biến của thẻ nhớ là một Card mã vạch, trong đó một vạch mỏng chất từ được dán vào mặt thẻ. Một ứng dụng phổ biến của thẻ nhớ là các thẻ ATM (Automatic teller machine). Một số công nghệ nhận thực hệ thống máy tính chỉ đơn thuần dựa trên việc sở hữu thẻ. Các hệ thống chỉ dùng thẻ thích hợp hơn cho sử dụng trong các ứng dụng khác, như là truy cập vật lý. Những thuận lợi của hệ thống thẻ nhớ : Các thẻ nhớ khi sử dụng với các PIN cung cấp khả năng bảo mật cao hơn các mật khẩu. Hơn nữa, các Card rất rẻ khi sản xuất. Một hacker muốn truy nhập mạng trái phép phải có đồng thời cả thẻ nhớ và PIN tương ứng. Điều này khó khăn hơn rất nhiều việc có mật khẩu hợp lệ và ID người sử dụng. Các vấn đề đối với thẻ nhớ: Mặc dù vậy tấn cống với kĩ thuật tinh vi có thể chống lại các hệ thống thẻ nhớ, các vấn đền về giá cả, mất thẻ, quản lý thẻ, sự không bằng lòng của người sử dụng… . Hầu hết các kĩ thuật làm tăng tính bảo mật của các hệ thống thẻ nhớ đều liên quan đến bảo vệ các PIN. 1. Các yêu cầu bộ đọc đặc biệt : Sự cần thiết có một bộ đọc đặc biệt làm tăng chi phí cho việc sử dụng các thẻ nhớ. Bộ đọc sử dụng các thẻ nhớ phải bao gồm khối vật lý để đọc Card và một bộ xử lý để xác định tính hợp lệ của Card hoặc PIN nhập vào. Nếu các PIN hoặc thẻ được xác nhận bằng một bộ xử lý mà không được định vị vật lý bằng bộ đọc, thì khi đó dữ liệu nhận thực là dễ bị tấn công do kiểm tra điện tử (mặc dù mật mã có thể được sử dụng để giải quyết vấn đề này). 2. Sự mất thẻ : Việc mất thẻ có thể ngăn cản người sử dụng nhập mạng cho đến khi được cung cấp thẻ thay thế. Điều này có thể làm tăng chi phí quản lý. Một ai đó có thể tìm thấy thẻ và nhập mạng lấy cắp tài nguyên. 3. Sự không hài lòng của người sử dụng: Nói chung người sử dụng muốn các máy tính phải dễ sử dụng. Nhiều người sử dụng cảm thấy bất tiện khi mang và xuất trình thẻ. Tuy nhiên, sự không hài lòng của họ có thể giảm đi nếu họ thấy sự cần thiết phải bảo mật. 4. Thẻ bài thông minh Một thẻ bài thông minh mở rộng chức năng của thẻ nhớ bằng việc kết hợp với một hay nhiều các vi mạch tích hợp trong thẻ nhớ. Khi sử dụng để nhận thực, một thẻ thông minh dựa trên những thuộc tính sở hữu của người sử dụng. Một loại thẻ thông minh yêu cầu một người sử dụng cung cấp cái gì mà người người sử dụng biết (ví dụ PIN hoặc mật khẩu) Có nhiều loại thẻ thông minh khác nhau. Nói chung, các thẻ thông minh có thể được phân chia ba loại khác nhau dựa trên các đặc trưng vật lý, giao diện, và giao thức sử dụng.  Các đặc trưng vật lý : Các thẻ thông minh có thể được phân chia thành hai nhóm : Các Card thông minh và các loại thẻ khác. Một Card thông minh nhìn giống như một thẻ tín dụng, nhưng nó được kết hợp với một bộ vi xử lý. Các Card thông minh được định nghĩa như một tiểu chuẩn ISO. Nhóm thẻ bài thông minh còn lại nhìn giống các máy tính bỏ túi, khóa, hoặc các đối tượng có khả năng di động nhỏ.  Giao diện : các thẻ bài thông minh hoặc có một giao diện nhân công hoặc có một giao diện điện tử. Giao diện nhân công hoặc giao diện người dùng có phần hiển thị hoặc vùng phím số cho phép người dùng giao tiếp với Card. Các thẻ bài thông minh với giao diện điện tử phải được đọc bởi bộ đọc/bộ ghi đặc biệt. Các thẻ bài thông minh nhìn giống máy tính bỏ túi thường có một giao diện hướng dẫn.  Giao thức : nhiều loại giao thức có thể được sử dụng để nhận thực. Nói chung, chúng có thể được phân chia thành ba loại : trao đổi mật khẩu tĩnh, các bộ tạo mật khẩu động, và yêu cầu – trả lời.  Các thẻ bài tĩnh làm việc giống như các thẻ bài nhớ, ngoài ra người sử dụng phải nhận thực họ với thẻ bài và sau đó thẻ bài nhận thực người sử dụng với máy tính.  Một thẻ bài sử dụng một giao thức tạo mật khẩu động để tạo một giá trị duy nhất, ví dụ, một số 8 chữ số, và thay đổi định kỳ. Nếu thẻ bài có một giao diện hướng dẫn, người sử dụng đọc giá trị và sau đó nhập nó vào trong hệ thống máy tính để nhận thực. Nếu thẻ bài có một giao diện điện tử, truyền phát được thực hiện tự động. Nếu giá trị đúng được cung cấp, đăng nhập được chấp nhận, và người sử dụng được phép truy nhập hệ thống.  Các thẻ bài sử dụng một giao thức challenge-response dùng máy tính phát một challenge, là một chuỗi số ngẫu nhiên. Khi đó, thẻ bài thông minh sẽ phát một respone dựa trên challenge đã nhận. Thông báo này gửi lại máy tính, máy tính nhận thực người sử dụng dựa trên respone. Giao thức challenge-response dựa trên mật mã. Các thẻ bài challenge- response có thể sử dụng các giao diện điện tử hoặc các giao diện nhân công.  Có ba loại giao thức khác nhau, một số phức tạp hơn và một số đơn giản hơn. Ba loai giao thức đã mô tả trên là là phổ biến nhất. Những thuận lợi của các thẻ bài thông minh : Các thẻ bài thông minh có tính linh động cao và có thể được sử dụng để giải quyết những khó khăn nhận thực. Những thuận lợi của các thẻ bài thông minh rất đa dạng, tùy thuộc vào loại sử dụng. Nói chung, nó có thể cung cấp bảo mật lớn hơn các Card nhớ. Các thẻ bài thông minh có thể giải quyết các vấn đề kiểm tra điện tử thậm chí nếu nhận thực được thực hiện qua một mạng mở bằng sử dụng các mật khẩu một lần.  Các mật khẩu một lần : Các thẻ bài thông minh sử dụng tạo mật khẩu động hoặc sử dụng các giao thức challenge-response có thể tạo các mật khẩu một lần. Kiểm tra điện tử không còn là vấn đề đối với các mật khẩu sử dụng một lần bởi vì mỗi lần người sử dụng được nhận thực với máy tính, một mật khẩu khác được sử dụng. (một hacker có thể học được mật khẩu một lần qua kiểm tra điện tử nhưng se không có giá trị).  Giảm bớt nguy hiểm do giả mạo : nói chung, bộ nhớ trên một thẻ bài thông minh là không thể đọc trừ khi PIN được nhập. Thêm vào đó, các thẻ bài phức tạp hơn và khó làm giả hơn.  Đa ứng dụng: Các thẻ bài thông minh với các giao diện điện tử, như là các Card thông minh, cung cấp một phương pháp cho những người sử dụng truy cập vào nhiều máy tính sử dụng nhiều mạng chỉ với một log – in. Thêm vào đó, một Card thông minh đơn có thể được sử dụng đa chức năng, như truy nhập vật lý hoặc Card ghi. Những khó khăn đối với thẻ bài thông minh: Cũng như các thẻ bài nhớ, hầu hết các vấn đề với thẻ bài thông minh liên quan tới hao phí của nó, quản lý hệ thống, và sự không hài lòng của người sử dụng. Nói chung các thẻ bài thông minh ít bị nguy hiểm hơn khi thỏa hiệp với các PIN bởi vì nhận thực thường được thực hiện trên Card. Các thẻ bài thông minh chi phí cao hơn các Card nhớ bởi vì chúng phúc tạp hơn, các tính toán challenge – respone riêng biệt. Sự cần thiết bộ đọc/bộ ghi hoặc sự can thiệp của con người : Các thẻ bài thông minh có thể sử dụng hoặc giao diện điện tử hoặc giao diện người dùng. Một giao diện điện tử yêu cầu một bộ đọc. Giao diện người dùng yêu cầu nhiều hoạt động hơn từ phía người sử dụng. Điều này đặc biệt đúng với các thẻ bài challenge – response với một giao diện nhân công, giao diện này yêu cầu người sử dụng nhập challenge vào thẻ bài thông minh và reponse vào máy tính. Điều này có thể làm tăng sự khó chịu của người sử dụng. Quản lý thực sự : Các thẻ bài thông minh, cũng như các mật khẩu và các thẻ nhớ, yêu cầu sự quản lý chắc chắn. Đối với các thẻ bài sử dụng mật mã, điều này bao gồm quản lý khóa 2.3.3.3 I&A dựa trên việc xác định cái gì thuộc về người sử dụng Các công nghệ nhận thực trắc nghiệm sinh học sử dụng các đặc trưng duy nhất (thuộc tính) của một cá nhân để nhận thực. Những đặc trưng này bao gồm các thuộc tính sinh lý học (như dấu vân tay, hình bàn tay, hình dạng võng mạc) hoặc các thuộc tính khác như giọng nói, chữ kí …Các công nghệ trắc nghiệm sinh học đã được phát triển cho các ứng dụng đăng nhập máy tính. Nhận thực trắc nghiệm sinh học là kĩ thuật phức tạp, và người sử dụng có thể rất khó khăn khi chấp nhận nó. Tuy nhiên, những ưu điểm của nó làm cho công nghệ này được tin tưởng hơn, ít chi phí và thân thiện với người sử dung. Các hệ thống trắc nghiệm sinh học có khả năng cung cấp mức độ bảo mật cao cho các hệ thống máy tính, nhưng công nghệ này lại không hoàn thiện hơn thẻ nhớ và thẻ bài thông minh. Sự không hoàn hảo trong các thiết bị nhận thực xuất hiện từ những khó khăn kỹ thuật gặp phải khi thực hiện đo lường và định hình các thuộc tính vật lý. Vì những điều này có thể thay đổi tùy thuộc vào những hoàn cảnh khác nhau. Ví dụ như mẫu thoại của một người có thể thay đổi theo do điều kiện căng thẳng hoặc khi bị đau cổ do viêm họng hoặc bị thương. Các hệ thống trắc nghiệm sinh học là loại sử dụng nhiều phương pháp nhận thực khác nhau trong các môi trường đòi hỏi bảo mật cao. Sự thực thi các hệ thống I&A Một số thực thi quan trọng đưa ra cho các hệ thống I&A bao gồm quản lý, duy trì nhận thực, và đăng nhập riêng lẻ. Quản lý : Quản lí dữ liệu nhận thực là một yếu tố then chốt cho tất cả các loại hệ thống nhận thực. Các hệ thống I&A cần tạo, phân phối, và lưu trữ dữ liệu nhận thực. Đối với các mật khẩu, điều này bao gồm việc tạo các mật khẩu, phân phát chúng làm dấu hiệu người sử dụng, và duy trì một file mật khẩu. Các hệ thống thẻ bài bao gồm việc tạo và phân phối các Thẻ bài/PIN và dữ liệu để thông báo với máy tính các Thẻ bài/PIN như nào gọi là hợp lệ. Đối với các hệ thống trắc nghiệm sinh học, điều này bao gồm việc tạo và lưu trữ những mô tả sơ lược. Các tác vụ tạo và phân phối dữ liệu nhận thực và các thẻ bài có thể rất quan trọng. Dữ liệu nhận thực phải được ổn định ở trạng thái hiện thời bằng việc bổ sung những người sử dụng mới và xóa bỏ những người sử dụng cũ. Nếu việc phân phối các mật khẩu và các thẻ bài không được điều khiển, các nhà quản lý hệ thống sẽ không biết nếu họ đã định sẵn một ai đó không phải người sử dụng hợp pháp. Các hệ thống nhận thực phải đảm bảo rằng dữ liệu nhận thực phải được liên kết vững chắc với một cá nhân nhât định. Hơn nữa, các tác vụ quản lý I&A nên đánh địa chỉ các mật khẩu hoặc các thẻ bài đã mất hoặc bị đánh cắp. Thông thường, điều này là cần thiết để các hệ thống kiểm tra tìm kiếm dễ dàng hoặc chia sẻ các trường mục Dữ liệu nhận thực cần phải được lưu trữ cẩn thận. Giá trị của dữ liệu nhận thực là không trung thực trong độ tin cậy, tính toàn vẹn và tính hiệu lực của dữ liệu. Nếu độ tin cậy bị thỏa hiệp, một người nào đó có thể sử dụng thông tin để giả mạo một người sử dụng hợp pháp. Nếu các nhà quản lý hệ thống có thể đọc các tệp tin nhận thực, họ có thể giả mạo một người sử dụng khác. Nhiều hệ thống sử dụng mật mã để dấu dữ liệu nhận thực với các nhà quản lý hệ thống. Nếu tính toàn vẹn bị thỏa hiệp, dữ liệu nhận thực có thể bị thêm vào hoặc hệ thống có thể bị phá vỡ. Nếu tính hiệu lực bị thỏa hiệp, hệ thống không thể nhận thực người sử dụng, và người sử dụng không thể thực hiện công việc. Duy trì nhận thực : Đến bây giờ, chương này chỉ đề cập đến nhận thực ban đầu. Rất có thể một người nào đó sau khi nhận thực sử dụng một tài khoản hợp pháp của ai đó. Nhiều hệ thống máy tính sử lý vấn đề này bằng cách trục xuất một người sử hoặc khóa phần hiển thị hoặc phiên làm việc sau một khoảng thời gian ngừng hoạt động cố đinh. Tuy nhiên, các phương thức này có thể ảnh hưởng tới hiệu quả và làm cho máy tính kém thân thiệt với người sử dụng. Đăng nhập đơn lẻ : Xét từ góc độ hiệu quả, những người sử dụng mong muốn việc nhận thực họ chỉ thực hiện một lần và sau đó có thể truy nhập vào một phạm vi rộng lớn các ứng dụng khác nhau và dữ liệu sẵn có trong các hệ thống nội hạt và các hệ thống xa, thậm chí nếu các hệ thống này yêu cầu sử dụng thẻ bài nhận thực họ. Việc này được gọi là đăng nhập riêng lẻ. Nếu truy nhập đi qua nhiều lớp, khi đó tạo ra nhiều phức tạp. Có ba kĩ thuật chính có thể cung cấp đăng nhập riêng lẻ qua nhiều máy tính : Nhận thực Host – tới – Host, Nhận thực Server, và Nhận thực người sử dụng – tới - Host  Nhận thực Host – tới - Host : Theo phương pháp này, người sử dụng nhận thực bản thân họ tới một máy tính một lần. Sau đó, máy tính này nhận thực nó tới các máy khác và xác nhận người sử dụng cụ thể. Nhận thực Host – tới – Host có thể được thực hiện bằng cách thông qua một thông tin nhận dạng, một mật khẩu, hoặc bằng cơ chế challenge – response hoặc cơ chế mật khẩu một lần. Theo phương pháp này điều cần thiết cho các máy tính là công nhận và tin cậy lẫn nhau.  Nhận thực Server: Khi sử dụng nhận thực server, người sử dụng nhận thực họ tới một máy chủ đặc biệt (nhận thực server). Sau đó, máy tính này nhận thực tới các máy chủ khác mà người sử dụng muốn truy nhập. Theo phương pháp này, điều cần thiết là các máy tính phải tin tưởng Server nhận thực (server nhận thực không cần phải là một máy tính riêng biệt, mặc dù trong một số [...]... đơn giản là một router, hệ thống host, hay tập hợp các hệ thống cung cấp bảo mật cho một mạng Đúng hơn, một tường lửa là một phương pháp để bảo mật; nó giúp thực hiện một chính sách bảo mật để xác định các dịch vụ và truy nhập được phép, và nó là một sự thực thi chính sách bảo mật trong phạm vi một cấu hình mạng, một hay nhiều các hệ thống host và router, và nhiều biện pháp bảo mật khác như là phương... bằng cách chạy một chương trình Cracking mật khẩu tự động, chương trình này sử dụng một từ điển lớn chống lại tệp tin mật khẩu của hệ thống Chỉ có duy nhất một phương pháp bảo vệ khỏi bị lộ mật khẩu trong trường hợp này bằng cách lựa chọn cẩn thận các mật khẩu không thể đoán nhận dễ dàng ( Ví dụ kết hợp các số, kí tự và các kí tự trống ) Các mật khẩu nên dài bằng độ dài mật khẩu hệ thống cho phép mà... vẹn của hệ thống và các mạng nên loại bỏ tính qui tắc và các mật khẩu dùng lại Đã có nhiều chương trình Trojan (đây là một chương trình thực hiện một chức năng có ích, nhưng đồng thời có chứa các mã hoặc các lệnh ẩn có khả năng gây hại cho hệ thống - ví dụ như telnet và rlogin ) và các chương trình sniffer (tên chương trình phân tích mạng) - một chương trình dò tìm Các chương trình này đánh cắp tên... các hệ thống dễ bị tấn công  Phân tách lương lượng tới mạng riêng  Che dấu thông tin như là tên hệ thống, cấu hình mạng, các loại thiết bị mạng, và ID người sử dụng Cũng như bất kỳ cơ chế bảo vệ an toàn nào, có sự cân bằng giữa sự tiện lợi và bảo mật Tính trong suốt là sự nhìn thấy được của tường lửa cho cả những người sử dụng bên trong và người bên ngoài sẽ đi qua một tường lửa Một tường lửa là trong. .. chuyển sang sử dụng các công nghệ tiên tiến hơn Những hướng dẫn sau đây giúp lựa chọn và duy trì các mật khẩu truyền thống 1 Điều quan trọng của các mật khẩu an toàn - Trong nhiều trường hợp ( Nếu không phải hầu hết ) xâm nhập hệ thống, kẻ đột nhập cần phải lấy được quyền truy nhập tới một tài khoản trong hệ thống Một phương pháp mà mục đích là thực hiện việc đoán chính xác mật khẩu của một người sử dụng... lửa để mà truy nhập mạng Thông thường, các tường lửa được xác định là trong suốt đối với những người sử dụng nội mạng; mặt khác, các tường lửa được định là không trong suốt với sự đến từ ngoài mạng đi qua tường lửa Nói chung nó cung cấp mức độ bảo mật cao nhất không gây trở ngại lớn cho người sử dụng nội mạng 2.4.3.2 Bảo mật tường lửa và các khái niệm  Tầm quan trọng của nhu cầu bảo mật cho một thực... thay cho các mật khẩu tĩnh Mục đích chính của một hệ thống tường lửa là điều khiển truy nhập và bảo vệ mạng Nó thực hiện chính sách truy nhập mạng bằng các kết nối cưỡng bức phải đi qua tường lửa, ở đây chúng có thể bị kiểm tra và đánh giá Một hệ thống tường lửa có thể là một router, một máy tính cá nhân, một host, hay một tập hợp các host, thiết lập để bảo vệ một site hay một subnet tránh khỏi các... lựa chọn các mã bí mật cũng như các mật khẩu Yêu cầu đặt ra là chúng phải có khả năng chống lại các chương trình dò tìm mật khả năng Trong một lựa chọn, việc bảo vệ các mã bí mật rất quan trọng Một số được sử dụng như là PIN cho các thiết bị phần cứng (giống mã thẻ) và các mã này không nên được viết hoặc đặt cùng vị trí cũng như một thiết bị Cũng như khóa bí mật PGP, nên được bảo vệ tránh truy nhập trái... mật khẩu bóng (shadow), ở đây trường mật khẩu của tệp tin tiêu chuẩn bao gồm một “bù nhìn” hoặc mật khẩu giả Còn tệp tin chứa mật khẩu hợp lệ được bảo vệ ở chỗ khác trong hệ thống 4 Chặn tài khoản /mật khẩu – Một vài vị trí có thể hữu ích khi không cho phép đăng nhập tài khoản nếu sau khi một số lần định trước việc thử mật khẩu thất bại Sau khi từ chối, ngay cả khi mật khẩu hợp lệ được đưa ra thì thông... sử dụng không biết về những nguy hiểm đe dọa các hệ thống Intranet, sẽ rất khó khăn để bảo vệ môi trường đúng cách và toàn bộ các hệ thống liên kết nối  Công nghệ chuyển mạch là một giúp đỡ lớn, nhưng nó không nói cho người sử dụng biết ai sẽ đi đâu và tại sao Những nguyên nhân chính cho các hệ thống và các máy tính không được bảo vệ là :  Thiếu các mật khẩu mã hóa  Thiếu nhân viên có kinh nghiệm . ĐỒ ÁN HỆ THỐNG MẠNG Đề tài: BẢO MẬT TRONG WLAN CHƯƠNG II BẢO MẬT MẠNG VÀ INTERNET 2. 3.3 .2. I&A dựa trên sở hữu của người sử dụng . một chương trình Cracking mật khẩu tự động, chương trình này sử dụng một từ điển lớn chống lại tệp tin mật khẩu của hệ thống. Chỉ có duy nhất một phương pháp bảo vệ khỏi bị lộ mật khẩu trong. định bởi sự ủy quyền. 2. 3.4 Tường lửa 2. 3.4.1. Giới thiệu Một tường lửa không đơn giản là một router, hệ thống host, hay tập hợp các hệ thống cung cấp bảo mật cho một mạng. Đúng hơn, một tường