Bài giảng về mã hóa và an toàn mạng

• Việc sử dụng mạng và các kết nối giao tiếp đòi hỏi giải pháp để bảo vệ dữ liệu trong suốt quá trình truyền Có một số các định nghĩa cần nắm rõ: • An toàn máy tính Computer Security – L

TRƯỜNG ĐẠI HỌC DUY TÂN KHOA CÔNG NGHỆ THÔNG TIN

BÀI GIẢNG

MÃ HÓA VÀ AN TOÀN MẠNG

Biên Soạn NGUYỄN MINH NHẬT

“We use computers for everything from banking and investing

to shopping and communicating with others through email or chat programs Although you may not consider your communications "top secret," you probably do not want

strangers reading your email, using your computer to attack other systems, sending forged email from your computer, or examining personal information stored on your computer (such

as financial statements).” - by CERT

• Biện pháp truyền thống là sử dụng các máy móc quản lý và các trang thiết bị hỗ trợ

• Máy tính được sử dụng như một công cụ tự động hoá để bảo vệ dữ liệu và những những thông tin lưu trữ khác

• Việc sử dụng mạng và các kết nối giao tiếp đòi hỏi giải pháp để bảo vệ dữ liệu trong suốt quá trình truyền

Có một số các định nghĩa cần nắm rõ:

• An toàn máy tính (Computer Security) – Là một tiến trình ngăn chặn và phát hiện sử dụng không hợp pháp vào máy tính của bạn bằng cách lựa chọn các công cụ thiết kế để bảo vệ dữ liệu

và tấn công của hackers ( hầu hết là các

• An toàn mạng (Network Security) – Là các phương pháp để bảo vệ dữ liệu trong suốt quá trình chuyển động của chúng

• An toàn Internet (Internet Security) – Là các phương pháp để bảo vệ dữ liệu trong suốt quá trình vận chuyển của chúng ra ngoài đến kết nối internet

Các tiêu điểm chính

• Trọng tâm của bài giảng này về bảo mật mạng (Internet Security)

• Bao gồm các giải pháp để ngăn chặn, phòng ngừa, phát hiện và hiệu chỉnh các vi phạm bảo mật mà có liên quan đến trao đổi thông tin

1.2 Nguy cơ ảnh hưởng đến an toàn mạng

1.2.1 Nguy cơ và lỗ hổng

Sự an toàn thông tin được liên quan với 3 vấn đề chính : Thông tin - bí mật : Thông tin chỉ cung cấp tới những người một cách chính đáng khi có sự truy nhập hợp pháp tới nó

Thông tin - Toàn vẹn : Thông tin chỉ được điểu khiển (sửa đổi, thay thế v.v…) bởi những người được quyền ủy thác

Thông tin - sẵn sàng : Thông tin có thể tiếp cận đối với những người mà cần nó khi có yêu cầu

Những khái niệm này ứng dụng cho những người sử dụng Internet tại nhà hay ở bất kỳ tập đoàn mạng hay chính phủ nào Thông thường, chúng ta không cho phép một người lạ mặt xuyên qua những tài liệu quan trọng của mình, muốn giữ những công việc của mình thực hiện trên máy tính một cách bí mật Đồng thời, cần phải có bảo đảm rằng các thông tin trên máy tính của mình không bị sứt mẻ … và sẵn sàng khi bạn cần

nó

Một số nguy cơ an ninh xuất hiện từ khả năng :

- Sự lạm dụng của máy tính của các bạn bởi những người làm phiền qua Internet

- Đối mặt thường xuyên khi làm việc trên Internet

- Sự ngẫu nhiên do khi cài đặt các phần mềm hay sử dụng các dịch vụ không chính thống v.v…

Chính các nguy cơ này làm bộc lỗ những điểm trong các hệ thống máy tính ( chẳng hạn như các lỗ hỗng) mà kẻ xấu có thể lợi dụng để truy cập bất hợp pháp hoặc hợp pháp vào máy tính của bạn Các lỗ hỗng này trên mạng là các yếu điểm quan trọng mà người dùng, hacker dựa đó để tấn công vào mạng Các hiện tượng sinh ra trên mạng do các lỗ hổng này mang lại thường là : sự ngưng trệ của dịch vụ, cấp thêm quyền đối với các user hoặc cho phép truy nhập không hợp pháp vào hệ thống

Hiện nay trên thế giới có nhiều cách phân lọai khác nhau về lỗ hổng của hệ thống mạng Dưới đây là cách phân loại sau đây được sử dụng phổ biến theo mức

độ tác hại hệ thống, do Bộ quốc phòng Mỹ công bố năm 1994

DoS là hình thức tấn công sử dụng các giao thức ở tầng Internet trong bộ giao thức TCP/IP để làm hệ thống ngưng trệ dẫn đến tình trạng từ chối người sử dụng hợp pháp truy nhập hay sử dụng hệ thống Một

số lượng lớn các gói tin được gửi tới server trong khoảng thời gian liên tục làm cho hệ thống trở nên

quá tải, kết quả là server đáp ứng chậm hoặc không thể đáp ứng các yêu cầu từ client gửi tới.Một ví dụ điển hình của phương thức tấn công DoS là vào một

số Web Site lớn làm ngưng trệ hoạt động của web site này: như www.google.com, www.ebay.com, www.yahoo.com v.v…

Tuy nhiên, mức độ nguy hiểm của các lỗ hổng loại này được xếp loại C; ít nguy hiểm vì chúng chỉ làm gián đoạn cung cấp dịch vụ của hệ thống trong một thời gian mà không làm nguy hại đến dữ liệu và những kẻ tấn công cũng không đạt được quyền truy nhập bất hợp pháp vào hệ thống

b Các lỗ hổng loại B

Các lỗ hổng cho phép người sử dụng có thêm các quyền trên hệ thống mà không cần thực hiện kiểm tra tính hợp lệ Đối với dạng lỗ hổng này, mức độ nguy hiểm ở mức độ trung bình Những lỗ hổng này thường có trong các ứng dụng trên hệ thống; có thể dẫn đến mất hoặc lộ thông tin yêu cầu bảo mật

Các lỗ hổng loại B có mức độ nguy hiểm hơn lỗ hổng loại C, cho phép người sử dụng nội bộ có thể chiếm được quyền cao hơn hoặc truy nhập không hợp pháp Những lỗ hổng loại này thường xuất hiện trong các dịch vụ trên hệ thống Người sử dụng cục bộ được hiểu là người đã có quyền truy nhập vào hệ thống với một số quyền hạn nhất định

Một số lỗ hổng loại B thường xuất hiện trong các ứng dụng như lỗ hổng của trình SendMail trong hệ điều hành Unix, Linux hay lỗi tràn bộ đệm trong các chương trình viết bằng C Những chương trình viết bằng C thường sử dụng một vùng đệm, là một vùng trong bộ nhớ sử dụng để lưu dữ liệu trước khi

xử lý Những người lập trình thường sử dụng vùng đệm trong bộ nhớ trước khi gán một khoảng không gian bộ nhớ cho từng khối dữ liệu Ví dụ, người sử dụng viết chương trình nhập trường tên người sử dụng; qui định trường này dài 20 ký tự

Do đó họ sẽ khai báo:

char first_name [20];

Với khai báo này, cho phép người sử dụng nhập vào tối đa 20 ký tự Khi nhập dữ liệu, trước tiên dữ liệu được lưu ở vùng đệm; nếu người sử dụng nhập vào 35 ký tự; sẽ xảy ra hiện tượng tràn vùng đệm và kết quả 15 ký tự dư thừa sẽ nằm ở một vị trí không kiểm soát được trong bộ nhớ Đối với những kẻ tấn công, có thể lợi dụng lỗ hổng này để nhập vào những

ký tự đặc biệt, để thực thi một số lệnh đặc biệt trên hệ thống Thông thường, lỗ hổng này thường được lợi dụng bởi những người sử dụng trên hệ thống để đạt được quyền root không hợp lệ

Việc kiểm soát chặt chẽ cấu hình hệ thống và các chương trình sẽ hạn chế được các lỗ hổng loại B

c Các lỗ hổng loại A

Các lỗ hổng này cho phép người sử dụng ở ngoài có thể truy nhập vào hệ thống bất hợp pháp Lỗ hổng này rất nguy hiểm, có thể làm phá hủy toàn bộ hệ thống Các lỗ hổng loại A có mức độ rất nguy hiểm;

đe dọa tính toàn vẹn và bảo mật của hệ thống Các lỗ hổng loại này thường xuất hiện ở những hệ thống quản trị yếu kém hoặc không kiểm soát được cấu hình mạng

Những lỗ hổng loại này hết sức nguy hiểm vì nó đã tồn tại sẵn có trên phần mềm sử dụng; người quản trị nếu không hiểu sâu về dịch vụ và phần mềm sử dụng

sẽ có thể bỏ qua những điểm yếu này

Đối với những hệ thống cũ, thường xuyên phải kiểm tra các thông báo của các nhóm tin về bảo mật trên mạng để phát hiện những lỗ hổng loại này Một loạt các chương trình phiên bản cũ thường sử dụng có những lỗ hổng loại A như: FTP, Gopher, Telnet, Sendmail, ARP, finger

Ảnh hưởng của các lỗ hổng bảo mật trên mạng Internet

Phần trên chúng ta đã phân tích một số trường hợp

có những lỗ hổng bảo mật, những kẻ tấn công có thể lợi dụng những lỗ hổng này để tạo ra những lỗ hổng khác tạo thành một chuỗi mắt xích những lỗ hổng Ví

dụ, một kẻ phá hoại muốn xâm nhập vào hệ thống mà

anh ta không có tài khoản truy nhập hợp lệ trên hệ thống đó Trong trường hợp này, trước tiên kẻ phá hoại sẽ tìm ra các điểm yếu trên hệ thống, hoặc từ các chính sách bảo mật, hoặc sử dụng các công cụ dò xét thông tin (như SATAN, ISS) trên hệ thống đó để đạt được quyền truy nhập vào hệ thống Sau khi mục tiêu thứ nhất đã đạt được; kẻ phá hoại có thể tiếp tục tìm hiểu các dịch vụ trên hệ thống, nắm bắt được các điểm yếu và thực hiện các hành động phá hoại tinh vi hơn

Tuy nhiên, không phải bất kỳ lỗ hổng bảo mật nào cùng nguy hiểm đến hệ thống Có rất nhiều thông báo liên quan đến lỗ hổng bảo mật trên mạng Internet, hầu hết trong số đó là các lỗ hổng loại C, và không đặc biệt nguy hiểm đối với hệ thống Ví dụ, khi những lỗ hổng về sendmail được thông báo trên mạng, không phải ngay lập tức ảnh hưởng trên toàn

bộ hệ thống Khi những thông báo về lỗ hổng được khẳng định chắc chắn, các nhóm tin sẽ đưa ra một số phương pháp để khắc phục hệ thống

Dựa vào kẻ hở của các lỗ hỗng này, kẻ xấu sẽ xây dựng các hình thức tấn công khác nhau nhằm không chế và nắm quyền kiểm soát trên mạng Cho đến nay, các hacker đã nghĩ ra không biết bao nhiêu kiểu tấn công từ xa qua mạng khác nhau Mỗi cuộc tấn công thường mở đầu bằng việc trực tiếp hoặc gián tiếp chui vào một hoặc nhiều máy tính đang nối mạng của

người khác Sau khi đã vào được hệ thống mạng, hacker có thể đi đến các bước khác như xem trộm, lấy cắp, thay đổi và thậm chí phá huỷ dữ liệu hoặc làm treo các hoạt động của một hệ thống thông tin điện tử.Các hacker cũng có thể gài bẫy những người

sử dụng thiếu cảnh giác hoặc đánh lừa những hệ thống thông tin kém phòng bị Chẳng hạn, chúng sưu tầm các địa chỉ email và gửi thư kèm virus đến đó hoặc làm nghẽn tắc mạng bằng cách gửi thật nhiều các bức thư điện tử đến cùng một địa chỉ Đôi khi các hacker xâm nhập vào một mạng máy tính nào mà nó phát hiện ra lỗi và để lại thông báo cho người quản trị mạng, tệ hơn nữa là chúng cài virus hoặc phần mềm nào đó để theo dõi và lấy đi những thông tin nội bộ Dưới đây là một số kỹ thuật tấn công mạng chủ yếu

đã được sử dụng nhiều trên thực tế

1.2.2 Các kỹ thuật tấn công trên mạng

a.Virus

Virus tin học là một phần mềm máy tính mang tính lây lan (ký sinh) và có thể phá hoại dữ liệu Tính lây lan của Virus là khả năng tự sao chép của Virus từ đối tượng bị nhiễm sang đối tượng khác và làm cho

nó nhân bản nhanh chóng Đối tượng bị nhiễm là các tệp ( như chương trình, dữ liệu, thư điện tử, văn bản, macro…) và môi trường lan truyền bao gồm mạng, đường truyền và các loại bộ nhớ (RAM, đĩa cứng, đĩa mềm, băng từ, đĩa CD, đĩa ZIP, đĩa ĐV, đĩa

Flash…).Virus có nhiều cách lây lan và tất nhiên cũng có nhiều cách phá hoại khác nhau Virus máy tính có nhiều chủng họ, chẳng hạn như Boot, File, Macro, Trojan, Worm, Polymorphic, Hoaxes

Tấn công mạng sử dụng Virus là một phương pháp tấn công khá phổ biến hiện nay Mọi loại hệ điều hành đều thường xuyên bị tấn công bởi virus và tác hại gây ra bởi virus là rất lớn và thật khó lường

b.Treo cứng hệ thống

Kỹ thuật này làm treo cứng hệ thống của nạn nhân bằng cách tấn công qua những giao thức tiêu chuẩn, chẳng hạn "dội bom thư" (mail bombing) qua giao thức SMTP, hoặc tấn công "ngập lụt" (flooding) qua giao thức TCP Trong đó, tấn công "ngập lụt" là kiểu tấn công phổ biến

Kiểu tấn công "ngập lụt " (flooding) hay còn gọi là ngăn cản đồng bộ kết nối (SYN Defender) có thể được mô tả như sau Hai máy tính nối mạng IP muốn làm việc với nhau theo giao thức TCP thì thủ tục đầu tiên là phải "bắt tay" (handshaking) Giả sử A là máy nói trước, nó sẽ đưa ra yêu cầu đồng bộ tới B (SYN)

B nhận được yêu cầu thì sẽ đáp ứng lại bằng câu trả lời "SYN/ACK" và cấp phát tài nguyên để đối thoại với A Đến lượt A khi thấy B đáp lại thì phải khẳng định một lần nữa là thực sự muốn làm việc (trả lời

đồng ý bằng "ACK") Chỉ sau khi A đồng ý như vậy thì phiên làm việc mới bắt đầu

Các Hacker đã tìm ra kẻ hở bên trong thủ tục "bắt tay" trên và lợi dụng để tấn công "ngập lụt" Một cuộc tấn công "ngập lụt" được tiến hành như sau:

- Máy tính của tin tặc sẽ đóng vai trò của A, còn máy tính bị tấn công là B A sẽ gửi yêu cầu "SYN" muốn đối thoại với B, nhưng nó sẽ tự xưng là A' chứ không phải là A, trong đó, A' là một địa chỉ giả không tồn tại trong thực tế

- B nhận được yêu cầu thì đáp lại bằng câu trả lời

"SYN/ACK" Tuy nhiên, câu trả lời này sẽ dẫn đến địa chỉ A' chứ không phải A ( do B hoàn toàn không biết địa chỉ A đã bị tin tặc mạo danh là A' ở trên" Vì A' lại là một địa chỉ không tồn tại trong thực tế nên sẽ không có thể có "ACK" như lẽ ra phải trả lời theo qui định từ A' đến B

- Không có trả lời, nhưng theo thủ tục thì máy B vẫn phải chờ đợi, đó chính là một kẻ hở của hệ thống Nếu A cứ gửi liên tiếp những yêu cầu giả mạo như vậy thì B sẽ phải dành hết tài nguyên này đến tài nguyên khác của mình ra để đối thoại, cuối cùng, B

sẽ hết sạch tài nguyên và không thể đáp ứng được các yêu cầu khác nữa, nghĩa là B bị "ngập lụt" bởi các yêu cầu đồng bộ và phải "từ chối phục vụ" chỉ vì bận

"bắt tay"

c Từ chối phục vụ (Denial of Service-DoS)

Kỹ thuật "từ chối phục vụ" làm cho hệ thống máy chủ bị nhận quá nhiều yêu cầu giả và không thể đáp ứng được nữa Kỹ thuật này còn được cải tiến thành

"từ chối phục vụ phân tán" ( Distributed DoS- DDoS) khi các cuộc tấn công đồng loạt xuất phát từ nhiều nơi trên mạng và được hứa hẹn trước vào cùng một thời điểm nên rất khó chống đỡ

Đặc điểm lớn nhất của tấn công kiểu DoS là nó không lấy cắp thông tin, mà thường chỉ làm cho hệ thống dịch vụ của nơi bị tấn công không thể hoạt động được nữa, thậm chí còn gây sai lệch hoặc phá huỷ thông tin có trên hệ thống Việc ngừng hoạt động trong một thời gian nhất định của các hệ thống đó thường gây thiệt hại không thể tính chính xác ( tiền bạc, uy tín của nhà cung cấp dịch vụ và thiệt hại gián tiếp đối với khách hàng sử dụng dịch vụ) Đôi khi tấn công DoS không làm tê liệt hệ thống nhưng làm chậm hoặc giảm khả năng phục vụ của hệ thống và

do đó, cũng dẫn đến thiệt hại đáng kể

Có hai thủ thuật tấn công DoS phổ biến dựa trên nguyên lý hoạt động hoặc các kẽ hở của những hệ thống Web Thứ nhất là gây quá tải Web, khiến cho

hệ thống mất khả năng phục vụ người dùng Thứ hai

là dựa vào một vài kẻ hở riêng của phần mềm hoặc sai sót về an ninh dữ liệu để từ đó làm cho hệ thống

bị tê liệt

Với thủ thuật thứ nhất, việc gây quá tải Web có thể thực hiện được nếu như tin tặc gửi nhiều yêu cầu giống như có quá đông người sử dụng đang yêu cầu những dịch vụ thực sự của hệ thống Để giải quyết một yêu cầu dịch vụ, hệ thống phải tốn một phần tài nguyên của mình (CPU, bộ nhớ, đường truyền…) Mỗi hệ thống dịch vụ được thiết kế với một số lượng tài nguyên có giới hạn Khi nhận được quá nhiều yêu cầu của tin tặc, hệ thống sẽ sử dụng hết toàn bộ tài nguyên của mình để đáp ứng những yêu cầu đó và không còn gì để đáp ứng yêu cầu của người dùng thật

sự, làm cho họ không thể truy cập tiếp Hình thức phổ biến nhất của thủ thuật gây quá tải gọi là phân tán tấn công; nó tạo ra các yêu cầu dịch vụ từ nhiều địa chỉ máy tính khác nhau, sao cho nhà quản trị hệ thống không phân biệt được đó có phải là một cuộc tấn công kiểu DoS hay không Tuy nhiên, để thực hiện được vụ tấn công kiểu này, tin tặc phải có khả năng đầy đủ về tài nguyên riêng, đặc biệt khi muốn tấn công các hệ thống dịch vụ có tài nguyên mạnh và được thiết kế để chịu tải lớn

Thủ thuật tấn cộng kiểu DoS thứ hai khác với kiểu thứ nhất Tin tặc sẽ lợi dụng một số kẻ hở an ninh dữ liệu của hệ thống, gửi các yêu cầu hoặc gói tin bất hợp lệ (không đúng theo qui định) một cách có chủ ý khiến cho hệ thống bị tấn công khi nhận được những yêu cầu hay gói tin đó sẽ xử lý không đúng hoặc

không theo trình tự đã được thiết kế, dẫn đến sự sụp

đổ cho chính hệ thống đó Phần lớn những kẻ hở này xuất phát từ các sai sót của phần mềm, nhà sản xuất phần mềm đã không thể lường trước được hết các tình huống sẽ xảy ra Do đó, khi tin tặc gửi những thứ nằm ngoài các trường hợp đã dự tính, phần mềm dễ

bị lúng túng và gây tắc Ngoài ra, còn có các kẻ hở trong các giao thức hoạt động của hệ thống, đặc biệt

là giao thức TCP/IP Điển hình của kiểu lợi dụng này

e Giả mạo IP

Kỹ thuật "giả dạng" ( masquerade) hay còn gọi là

"giả mạo IP" (IP spoofing) cho phép hacker gửi vào một máy tính những gói dữ liệu có vẻ đi đến từ một địa chỉ IP khác với địa chỉ của hacker nhằm che đậy dấu vết Kỹ thuật này kết hợp với các kiểu tấn công