Xây dựng giải pháp bảo mật mạng không dây bằng phương pháp xác thực radius server

Từ viết tắt Nghĩa tiếng anh Nghĩa tiếng ViệtRADIUS Remote AuthenticationDial-In User Service Xác thực người dùng sửdụng dịch vụ từ xaACL Access Control List Danh sách điều khiển truy n

LỜI CẢM ƠN

Trước tiên em xin gửi lời cảm ơn chân thành tới các thầy cô giáo trongkhoa Công nghệ thông tin trường Đại học Công nghệ thông tin và truyền thôngnói chung, bộ môn mạng và truyền thông nói riêng đã tận tình truyền đạt, giảngdạy cho em những kiến thức, kinh nghiệm quý báu trong suốt các năm học tập vàrèn luyện tại trường

Đặc biệt em xin gửi lời cảm ơn đến cô giáo Phạm Bích Trà, bộ môn các hệthông thông tin đã tận tình hướng dẫn, trực tiếp chỉ bảo em trong suốt thời gianlàm đồ án tốt nghiệp Trong thời gian làm việc với cô, em không những tiếp thuthêm nhiều kiến thức bổ ích mà còn học được tinh thần làm việc, thái độ nghiêncứu khoa học nghiêm túc, hiệu quả Đây là những điều rất cần thiết cho em trongquá trình học tập và công tác sau này

Sau cùng xin gửi lời cảm ơn chân thành tới gia đình, các anh chị, bạn bè

đã động viên, đóng góp ý kiến và giúp đỡ em trong quá trình học tâp, nghiên cứu

và hoàn thành đề tài này

Thái Nguyên, tháng 06, năm 2012

Sinh viên Nguyễn Thế Yên

LỜI CAM ĐOAN

Em xin cam đoan đồ án là sản phẩm của sự tìm tòi, nghiên cứu các tài liệumột cách nghiêm túc dưới sự hướng dẫn của giáo viên hướng dẫn Nội dung đồ

án không có sự sao chép ở các đồ án khác mà có ý tưởng, sự sáng tạo của bảnthân Nếu có thông tin sai lệch e xin hoàn toàn chịu trách nhiệm trước hội đồng

và nhà trường

Sinh viên Nguyễn Thế Yên

LỜI CẢM ƠN 1

LỜI CAM ĐOAN 2

DANH MỤC HÌNH ẢNH 4

DANH MỤC TỪ VIẾT TẮT 6

LỜI NÓI ĐẦU 7

CHƯƠNG I: TỔNG QUAN AN NINH MẠNG VÀ MẠNG KHÔNG DÂY 8

1.1 Mục tiêu của việc bảo mật 8

1.2 Một số nguy cơ và các hình thức tấn công trên mạng 8

1.3 Một số chính sách an ninh và các công nghệ kỹ thuật bảo mật 14

1.4 Tổng quan về mạng không dây 22

1.4.1 Một số đặc điểm của mạng không dây 22

1.4.2 Cơ sở hạ tầng mạng WLAN 24

1.5 Các hình thức tấn công phổ biến trong WLAN 30

CHƯƠNG II : MỘT SỐ GIẢI PHÁP BẢO MẬT VÀ XÂY DỰNG GIẢI PHÁP RADIUS SERVER 35

2.1 Một số giải pháp bảo mật mạng WLAN 35

2.2 Một số phương pháp bảo mật 35

2.2.1 WEP 35

2.2.2 WLAN VPN 36

2.2.3 TKIP(Temporal Key Integrity Protocol) 36

2.2.4 AES 37

2.2.5 802.1X và EAP 37

2.2.6 WPA 38

2.2.7 WPA2 39

2.2.8 Lọc 39

2.3 Tổng quan về RADIUS 42

2.3.1 Mô hình chung của RADIUS 42

2.3.2 Các đặc điểm chính của kiến trúc RADIUS 44

2.3.3 Giao thức sử sụng trong RADIUS 47

2.3.4 Kiến trúc RADIUS 48

2.3.5 Hoạt động của RADIUS 59

2.3.6 RFCs 62

2.3.7 Áp dụng RADIUS SERVER cho mạng không dây 68

CHƯƠNG III: MÔ PHỎNG 70

3.1 Một số thiết bị sử dụng 70

3.2 Thực hiện mô phỏng 70

KẾT LUẬN 78

TÀI LIỆU THAM KHẢO 79

DANH MỤC HÌNH ẢNH

Hình 1-1 Minh họa các lớp của tường lửa 15

Hình 1-2 Chứng thực bằng user và password 18

Hình 1-3 Mô hình tổng quát firewall 19

Hình 1-4 Bảo mật bằng VPN 19

Hình 1-5 Hệ thống chống xâm nhập IDS 20

Hình 1-6 Thư điện tử 21

Hình 1-7 Cấu trúc cơ bản của WLAN 25

Hình 1-8 Thiết bị Wireless Access Point 25

Hình 1-9 AP hoạt động ở Root Mode 26

Hình 1-10 Chế độ cầu nối 26

Hình 1-11 Chế độ lặp 27

Hình 1-12 Wireless Router 27

Hình 1-13 Wireless NICs 28

Hình 1-14 Mô hình mạng Ad-hoc 28

Hình 1-15 Mô hình mạng cơ sở 29

Hình 1-16 Mô hình mạng mở rộng 30

Hình 1-17 Tấn công Man-In-The-Middle 32

Hình 1-18 Tấn công yêu cầu xác thực lại 32

Hình 1-19 Face Access Point 33

Hình 2-1 Mô hình WLAN VPN 36

Hình 2-2 Mô hình hoạt động xác thực 802.1X 38

Hình 2-3 Tiến trình xác thực MAC 41

Hình 2-3 Lọc giao thức 41

Hình 2-4  Mô hình AAA chung 42

Hình 2-5 Mối quan hệ tin tưởng độc lập trong giao dịch HOP TO HOP 46

Hình 2-6 Mối quan hệ máy khách / máy chủ trong mô hình End To End 47

Hình 2-7 Giao thức sử dụng trong AAA 47

Hình 2-8 Cấu trúc gói tin RADIUS 50

Hình 2-9 Một gói tin Access-Request 53

Hình 2-10 Một gói tin Access-Accept 54

Hình 2-11 Gói tin Access-Reject điển hình 54

Hình 2-12 Gói tin Access-Challenge điển hình 55

Hình 2-13 Gói tin Accounting-Request điển hình 56

Hình 2-14 Gói tin Accounting-Response điển hình 57

Hình 2-15 Quá trình xác thực RADIUS đơn giản 61

Hình 2-16 Bảng RFCs 63

Hình 3-1 Sơ đồ mô phỏng 70

Hình 3-2 Nâng cấp lên Domain Controler 71

Hình 3-3  Cài đặt DHCP 71

Hình 3-4 Cài đặt Enterprise CA 72

Hình 3-5 Chuyển sang chế độ Native Mode 72

Hình 3-6 Cấu hình DHCP 73

Hình 3-7 Cấu hình Radius Server 73

Hình 3-8  Tạo User 74

Hình 3-9 Tạo Remote Access Policy 74

Hình 3-10 Xin chứng chỉ CA 75

Hình 3-11 Cấu hình Access Point 75

Hình 3-12 Giao diện đăng nhập 76

Hình 3-13 Kiểm tra kết nối 76

Hình 3-14 Kiểm tra gói tin xác thực bằng Wireshark trên Client 77

Hình 3-15 Kiểm tra gói tin xác thực trên Window Server 77

DANH MỤC TỪ VIẾT TẮT

Từ viết tắt Nghĩa tiếng anh Nghĩa tiếng ViệtRADIUS Remote Authentication

Dial-In User Service Xác thực người dùng sửdụng dịch vụ từ xaACL Access Control List Danh sách điều khiển

truy nhậpPKI Public Key Infrastructure Cơ sở hạ tầng khóa công

khai

System Hệ thống phát hiện xâmnhậpIEEE Institute of Electrical and

Electronics Engineers Hiệp hội kỹ sư điện vàđiện tử

SSID Services Set Indentifier Nhận dạng và thiết lập

dịch vụ

WEP Wired Equivalen Privacy Bảo mật tương đương

mạng có dâyIPsec Internet Protocol Security Các giao thức bảo mậtMIC Message Integity Check Kiểm tra tính nguyên vẹn

của tin báo

Stadar Tiêu chuẩn mã hóa tiêntiếnWPA Wi-Fi Protected Access Giao thức bảo mật mạng

không dây theo chuẩn

802.11iNIST National Institute of

Standards andTechnology

Viện tiêu chuẩn và công

nghệ

Controller AccessControl System

Hệ thống điều khiển truycập thiết bị đầu cuối

Standanrd Tiêu chuẩn kỹ thuật sốhóa

LỜI NÓI ĐẦU

Với sự phát triển nhanh chóng của mạng internet và đặt biệt là các côngnghệ mạng, kèm theo đó là vấn đề bảo vệ các tài nguyên thông tin trên mạng,tránh sự mất mát, xâm phạm là việc cần thiết và cấp bách Bảo mật mạng có thểhiểu là cách bảo vệ, đảm bảo an toàn cho các thành phần mạng bao gồm dữ liệu,thiết bị, cơ sở hạ tầng mạng và đảm bảo mọi tài nguyên trên mạng tránh đượcviệc đánh cắp thông tin, đồng thời tăng tính bảo mật thông tin cho mạng đượccao hơn.

Vấn đề bảo mật luôn làm đau đầu các nhà sản xuất, các tổ chức và cá nhânngười sử dụng Các nhà quản trị mạng ngày nay phải điều khiển việc truy cậpcũng như giám sát thông tin mà người dùng đầu cuối đang thao tác Những việclàm đó có thể đưa đến thành công hay thất bại của công ty Và AAA là cách thứctốt nhất để giám sát những gì mà người dùng đầu cuối có thể làm trên mạng mộtcách bảo mật và tiện lợi Chúng ta có thể xác thực (authentication) người dùng,cấp quyền (authorization) cho người dùng, cũng như kiểm toán để tập hợp đượcthông tin như thời gian bắt đầu hay kết thúc của người dùng (accounting)

Vì vậy, em đã lựa chọn đề tài ‘’Xây dựng giải pháp bảo mật mạng không dây bằng phương pháp xác thực RADIUS SERVER’’ để làm đồ án tốt

nghiệp

Trong quá trình làm đồ án chắc chắn không tránh khỏi thiếu sót Mong cácthầy cô và các bạn đóng góp ý kiến để đồ án được hoàn thiện hơn Em xin chânthành cảm ơn!

Thái Nguyên, tháng 06 năm 2012

Nguyễn Thế Yên

CHƯƠNG I TỔNG QUAN AN NINH MẠNG VÀ MẠNG KHÔNG DÂY

1.1 Mục tiêu của việc bảo mật

Việc phát triển ngày càng cao của mạng Internet đã đem lại rất nhiều sựthuận tiện cho con người Tuy nhiên nó cũng mang lại rất nhiều mối nguy hiểm

từ các hacker Đảm bảo cho người dùng và hệ thống mạng hoạt động một cách antoàn là mục tiêu hàng đầu của việc bảo mật:

 Đảm bảo cho mạng nội bộ không bị xâm nhập trái phép

 Các tài liệu và thông tin quan trọng không bị đánh cắp

 Các dịch vụ được thực hiện một cách nhanh chóng, không bị ngưng trệhoặc không được thực hiện

 Người dung làm việc trên mạng không bị mạo danh, lừa đảo…

1.2 Một số nguy cơ và các hình thức tấn công trên mạng

a) Một số nguy cơ

Những nguy cơ bảo mật đe dọa mất mát dữ liệu nhạy cảm luôn là mối longại của những doanh nghiệp vừa và nhỏ Sau đây là 10 nguy cơ bảo mật đượcđánh giá là nguy hiểm nhất mà các doanh nghiệp phải đối mặt

 Nhân viên bất mãn với công ty

Trong một số doanh nghiệp vừa và nhỏ, những dữ liệu kinh doanh quantrọng hay thông tin khách hàng thường được giao phó cho một cá nhân Điềunày tạo nên tình trạng "lệ thuộc quyền hạn" nguy hiểm Khi cá nhân đó bất mã vìmột lý do nào đó với công ty và ban điều hành công ty Lúc này vấn đề chỉ còn làthời gian và quyền hạn kiểm soát thông tin của cá nhân đó mà thôi

 Không có kế hoạch xử lý rủi ro

Hệ thống máy tính, mạng của doanh nghiệp luôn phải đối mặt với nhiềunguy cơ bảo mật, từ việc hư hỏng vật lý cho đến các trường hợp bị tấn công từ tintặc hay virus đều có khả năng gây tổn hại cho dữ liệu Khá nhiều doanh nghiệpvừa và nhỏ thiếu hẳn chính sách phản ứng với việc thất thoát dữ liệu hay kế

hoạch khắc phục sự cố Đại đa số đều lúng túng và bắt đầu các hoạt động mangtính ứng phó

 Những thiết lập mặc định không được thay đổi

Tin tặc hiện nay thường dùng các tập tin chứa đựng hàng trăm ngàn tàikhoản mặc định (username và password) của các thiết bị kết nối mạng để dò tìmquyền hạn truy xuất khả năng đăng nhập vào hệ thống mạng Nếu các tài khoản,thiết lập mặc định không được thay đổi, tin tặc sẽ dễ dàng chiếm quyền điểukhiển tài nguyên mạng

 Môi trường mạng tại nhà không an toàn

Đối với một vài doanh nghiệp nhỏ, các nhân viên thường đem máy tínhxách tay (laptop) của mình đến văn phòng để làm việc Trong môi trường mạngtại gia đình, chế độ bảo mật thường rất kém hay thậm chí không có những thiếtlập bảo vệ Do đó, những chiếc laptop của nhân viên có thể là nguồn gốc phát tánvirus, malware hay trở thành zombie trung gian để tin tặc tấn công vào hệ thốngmạng của doanh nghiệp

 Thiếu cảnh giác với mạng công cộng

Một thủ đoạn chung tin tặc hay sử dụng để dẫn dụ những nạn nhân là đặtmột thiết bị trung chuyển wireless access-point không cài đặt mật khẩu(unsecured) rồi gán một cái nhãn như "Mạng Wi-Fi miễn phí" và ngồi chờ nhữngkết nối rơi vào bẫy Tin tặc sẽ dùng các công cụ thâu tóm gói dữ liệu mạng giúpnhận biết cả những văn bản hay bất kỳ những gì mà nhân viên doanh nghiệp gõrồi gửi ra ngoài

 Mất mát thiết bị di động

Rất nhiều doanh nghiệp, thậm chí gần đây còn có cả một vài hãng lớn bịthất thoát dữ liệu quan trọng do mất cắp máy tính xách tay, thất lạc điện thoại diđộng hay các đĩa flash USB lưu trữ Dữ liệu trong các thiết bị này thường ít được

mã hóa hay bảo vệ bằng mật khẩu, rất dễ dàng xử lý một khi đã sở hữu chúng

 Lỗi từ máy chủ web

Hiện còn khá nhiều doanh nghiệp không coi trọng việc đặt website củamình tại máy chủ nào, mức độ bảo mật ra sao Do đó, website kinh doanh củadoanh nghiệp sẽ là mồi ngon của các đợt tấn công SQL Injection hay botnet.

 Duyệt web tràn lan

Không phải nhân viên văn phòng nào cũng đủ am hiểu tường tận vềnhững hiểm họa rình rập trên mạng Internet như malware, spyware, virus,trojan Họ cứ vô tư truy cập vào các website không xác định hoặc bị dẫn dụclick vào những website được tin tặc chào đón và thế là máy tính của nhân viên

sẽ là cánh cửa giúp tin tặc xâm nhập vào trong mạng của doanh nghiệp

 Email chứa những mã độc

Những cuộc giội bom thư rác sẽ làm tràn ngập hộp thư của bạn với nhữngtiêu đề hấp dẫn hay các lời mời chào kinh doanh chỉ một cú nhấp chuột sai lầmthì ngay lập tức máy tính sẽ tải về các đoạn mã độc làm tiền đề cho hàng loạtphần mềm độc hại đi sau xâm nhập vào máy tính

 Không vá lỗi bảo mật

Hơn 90% các cuộc tấn công vào hệ thống mạng đều cố gắng khai thác cáclỗi bảo mật đã được biết đến Mặc dù các bản vá lỗi vẫn thường xuyên đượcnhững hãng sản xuất cung cấp ngay sau khi lỗi được phát hiện nhưng một vàidoanh nghiệp lại không coi trọng việc cập nhật lỗi thường nhật dẫn đến việc cáclỗi bảo mật mở toang cổng chào đón những cuộc tấn công

b) Một số hình thức tấn công

Trong khoa học máy tính, virus máy tính (thường được người sử dụng gọitắt là virus) là những chương trình hay đoạn mã được thiết kế để tự nhân bản vàsao chép chính nó vào các đối tượng lây nhiễm khác (file, ổ đĩa, máy tính ).Trước đây, virus thường được viết bởi một số người am hiểu về lập trình muốnchứng tỏ khả năng của mình nên thường virus có các hành động như: cho mộtchương trình không hoạt động đúng, xóa dữ liệu, làm hỏng ổ cứng, hoặc gây ranhững trò đùa khó chịu Những virus mới được viết trong thời gian gần đâykhông còn thực hiện các trò đùa hay sự phá hoại đối máy tính của nạn nhân bị lây

(các mã số thẻ tín dụng) mở cửa sau cho tin tặc đột nhập chiếm quyền điều khiểnhoặc các hành động khác nhằm có lợi cho người phát tán virus Chiếm trên 90%

số virus đã được phát hiện là nhắm vào hệ thống sử dụng hệ điều hành họWindows chỉ đơn giản bởi hệ điều hành này được sử dụng nhiều nhất trên thếngiới Do tính thông dụng của Windows nên các tin tặc thường tập trung hướngvào chúng nhiều hơn là các hệ điều hành khác (Cũng có quan điểm cho rằngWindows có tính bảo mật không tốt bằng các hệ điều hành khác (như Linux) nên

có nhiều virus hơn, tuy nhiên nếu các hệ điều hành khác cũng thông dụng nhưWindows hoặc thị phần các hệ điều hành ngang bằng nhau thì cũng lượng virusxuất hiện có lẽ cũng tương đương nhau)

 Virus

Một virus máy tính được thiết kế để tấn công một máy tính và thường phácác máy tính khác và các thiết bị mạng. Một virus thường có thể là một tập tinđính kèm trong e-mail, và chọn các tập tin đính kèm có thể gây ra các mã thực thi

để chạy và tái tạo virus. Một virus phải được thực hiện hoặc chạy trong bộ nhớ

để chạy và tìm kiếm các chương trình khác hoặc máy chủ để lây nhiễm và nhânrộng. Như tên của nó, virus cần một máy chủ như là một bảng tính hoặc e-mail

để đính kèm, lây nhiễm, và nhân rộng Có một số hiệu ứng chung của vi rút. Một

số virus lành tính, và chỉ cần thông báo cho nạn nhân của họ rằng họ đã bị nhiễmbệnh. Các virus ác tính tạo ra sự hủy hoại bằng cách xóa các tập tin và nếu khôngthì gây ra lỗi cho các máy tính bị nhiễm có chứa tài sản kỹ thuật số, chẳng hạnnhư hình ảnh, tài liệu, mật khẩu, và các bản báo cáo tài chính

Worm là một chương trình phá hoại quét các điểm yếu hoặc lỗ hổng bảomật trên các máy tính khác để khai thác các điểm yếu và nhân rộng.Worm có thểtái tạo độc lập và rất nhanh chóng

Worm khác với virus trong hai cách chính:

Virus cần một máy chủ để đính kèm và thực hiện, và sâu không yêu cầu mộtmáy chủ.Virus và sâu thường gây ra các loại khác nhau của sự hủy diệt Virus,một khi chúng đang cư trú trong bộ nhớ, thường xóa và sửa đổi các tập tin quantrọng trên máy tính bị nhiễm bệnh Tuy nhiên, Worms có xu hướng mạng trungtâm hơn so với máy tính trung tâm Worms có thể tái tạo một cách nhanh chóngbằng cách bắt đầu kết nối mạng để nhân rộng và gửi số lượng lớn dữ liệu Wormscũng có thể chứa một hành khách mang theo, hoặc trọng tải dữ liệu, mà có thểgiao một máy tính mục tiêu cho các trạng thái của một zombie Zombie là mộtmáy tính có bị xâm phạm và hiện đang được kiểm soát bởi những kẻ tấn côngmạng Zombies thường được sử dụng để khởi động các cuộc tấn công mạngkhác Một bộ sưu tập lớn các zombie dưới sự điều khiển của kẻ tấn công đượcgọi là một "botnet" Botnets có thể phát triển được khá lớn Botnet được xác định

đã lớn hơn 100.000 máy tính zombie

 Trojan horse

Là phần mềm nguy hại tìm cách ngụy trang chính nó như là một ứng dụngđáng tin cậy như là một trò chơi hoặc trình bảo vệ màn hình Một khi người dùngtin cậy cố gắng để truy cập những gì có vẻ là một trò chơi vô thưởng vô phạthoặc trình bảo vệ màn hình, các Trojan có thể bắt đầu các hoạt động gây tổn hạinhư xóa các tập tin hoặc định dạng lại một ổ đĩa cứng Trojan thường không tựsao chép.Những kẻ tấn công mạng cố gắng sử dụng các ứng dụng phổ biến,chẳng hạn như iTunes của Apple, để triển khai một Trojan Ví dụ, một cuộc tấncông mạng sẽ gửi một e-mail với một liên kết có mục đích để tải về một bài hátiTunes miễn phí Trojan này sau đó sẽ bắt đầu một kết nối đến một máy chủ webbên ngoài và bắt đầu một cuộc tấn công một khi người dùng cố gắng để tải về cácbài hát miễn phí rõ ràng

 Từ chối dịch vụ

Một cuộc tấn công từ chối dịch vụ (DoS) là một cuộc tấn công mạng có kếtquả trong việc từ chối dịch vụ bằng một ứng dụng yêu cầu như là một máy chủ

giản nhất là tạo ra một lượng lớn những gì xuất hiện để được giao thông mạnghợp lệ Đây là loại tấn công DoS mạng cố gắng để làm nghẽn các ống dẫn lưulượng truy cập mạng để sử dụng hợp lệ không thể có được thông qua kết nốimạng Tuy nhiên, loại DoS thông thường cần phải được phân phối bởi vì nóthường đòi hỏi nhiều hơn một nguồn để tạo ra các cuộc tấn công.Một cuộc tấncông DoS lợi dụng thực tế là hệ thống mục tiêu như các máy chủ phải duy trìthông tin trạng thái và có thể có kích thước bộ đệm và dự kiến nội dung gói tinmạng cho các ứng dụng cụ thể Một cuộc tấn công DoS có thể khai thác lỗ hổngnày bằng cách gửi các gói có giá trị kích cỡ và dữ liệu mà không như mong đợicủa các ứng dụng nhận được.Một số loại tấn công DoS tồn tại, bao gồm các cuộctấn công Teardrop và Ping of Death, mà gửi các gói thủ công mạng khác nhau từnhững ứng dụng dự kiến và có thể gây ra sụp đổ các ứng dụng và máy chủ.Những cuộc tấn công DoS trên một máy chủ không được bảo vệ, chẳng hạn nhưmột máy chủ thương mại điện tử, có thể gây ra các máy chủ bị lỗi và ngăn chặnngười dùng bổ sung thêm hàng vào giỏ mua sắm của họ.

 Spyware

Spyware là một lớp các ứng dụng phần mềm có thể tham gia vào một cuộctấn công mạng Spyware là một ứng dụng cài đặt và vẫn còn để ẩn trên máy tínhhoặc máy tính xách tay mục tiêu Một khi các ứng dụng phần mềm gián điệp đãđược bí mật cài đặt, phần mềm gián điệp bắt thông tin về những gì người dùngđang làm với máy tính của họ Một số thông tin bị bắt bao gồm các trang webtruy cập, e-mail gửi đi, và mật khẩu sử dụng Những kẻ tấn công có thể sử dụngcác mật khẩu và thông tin bắt được để đi vào được mạng để khởi động một cuộctấn công mạng

Ngoài việc được sử dụng để trực tiếp tham gia vào một cuộc tấn công mạng,phần mềm gián điệp cũng có thể được sử dụng để thu thập thông tin có thể đượcbán một cách bí mật Thông tin này, một lần mua, có thể được sử dụng bởi một

kẻ tấn công khác đó là "khai thác dữ liệu" để sử dụng trong việc lập kế hoạch cho

 Phishing

Phishing là một kiểu tấn công mạng thường bắt đầu bằng cách gửi e-mail đểngười dùng không nghi ngờ Các e-mail lừa đảo cố gắng để trông giống như mộtthư điện tử hợp pháp từ một tổ chức được biết đến và đáng tin cậy như là mộttrang web ngân hàng, thương mại điện tử E-mail giả này cố gắng thuyết phụcngười dùng rằng một việc gì đó đã xảy ra, chẳng hạn như hoạt động đáng ngờ vềtài khoản của họ, và người sử dụng phải thực hiện theo các liên kết trong e-mail

và đăng nhập vào trang web để xem thông tin người dùng của họ Các liên kếttrong e-mail này thường là một bản sao giả của ngân hàng hoặc trang webthương mại điện tử thực sự và các tính năng tương tự nhìn-và-cảm nhận các trangweb thực sự Các cuộc tấn công lừa đảo được thiết kế để lừa người dùng cungcấp thông tin có giá trị như tên người dùng và mật khẩu của họ

 Tấn công dựa vào yếu tố con người

Kẻ tấn công có thể liên lạc với một người quản trị hệ thống, giả làm mộtngười sử dụng để yêu cầu thay đổi mật khẩu, thay đổi quyền truy nhập của mìnhđối với hệ thống, hoặc thậm chí thay đổi một số cấu hình của hệ thống để thựchiện các phương pháp tấn công khác.Với kiểu tấn công này không một thiết bịnào có thể ngăn chặn một cách hữu hiệu, và chỉ có một cách giáo dục người sửdụng mạng nội bộ về những yêu cầu bảo mật để đề cao cảnh giác với những hiệntượng đáng nghi Nói chung yếu tố con người là một điểm yếu trong bất kỳ một

hệ thống bảo vệ nào, và chỉ có sự giáo dục cộng với tinh thần hợp tác từ phíangười sử dụng có thể nâng cao được độ an toàn của hệ thống bảo vệ

1.3 Một số chính sách an ninh và các công nghệ kỹ thuật bảo mật

a) Một số chính sách an ninh

 Các chính sách an ninh văn bản

Mục tiêu của một chính sách an ninh là xác định những gì cần phải được bảo

vệ, những người có trách nhiệm bảo vệ, và trong một số trường hợp như thế nàobảo vệ sẽ xảy ra Chức năng này cuối cùng thường tách ra thành một tài liệu thủ

bảo mật đơn giản và chính xác nên vạch ra những yêu cầu cụ thể, quy tắc, vàmục tiêu đó phải được đáp ứng, để cung cấp một phương pháp đo lường của đặcđiểm an ninh được chứng thực của tổ chức

Để giúp đảm bảo rằng các chính sách bảo mật sẽ làm được điều này, suy nghĩcủa tường lửa trong điều khoản của các lớp bảo mật, với mỗi lớp có một lĩnh vựccụ thể của hoạt động Hình 1-1 minh họa các lớp của tường lửa Như hình bêndưới cho thấy, các bức tường lửa được chia thành bốn thành phần riêng biệt

Hình 1-1 Minh họa các lớp của tường lửa

Tại trung tâm là các lớp toàn vẹn vật lý của tường lửa, mà chủ yếu là liênquan tới các quyền truy cập vật lý vào tường lửa, để đảm bảo quyền truy cập vật

lý vào thiết bị, chẳng hạn như thông qua một kết nối cứng là cổng console

Lớp tiếp theo là cấu hình tường lửa tĩnh, mà chủ yếu là liên quan tới truycập vào các phần mềm tường lửa được cấu hình tĩnh đang chạy (ví dụ, các hệđiều hành PIX và cấu hình khởi động) Tại lớp này, chính sách bảo mật cần tậptrung vào việc xác định các hạn chế sẽ được yêu cầu để hạn chế truy cập quản trị,bao gồm cả bản cập nhật phần mềm thực hiện và cấu hình tường lửa

Lớp thứ ba là cấu hình tường lửa động, trong đó bổ sung các cấu hình tĩnhbằng việc có liên quan tới cấu hình động của tường lửa thông qua việc sử dụngcác công nghệ như giao thức định tuyến, lệnh ARP, giao diện và tình trạng thiết

bị, kiểm toán, nhật ký, và các lệnh tránh Mục tiêu của chính sách an ninh tại

điểm này là để xác định các yêu cầu xung quanh những gì các loại cấu hình động

sẽ được cho phép

Cuối cùng là lưu lượng mạng qua tường lửa, mà là thực sự những gì màtường lửa tồn tại để bảo vệ tài nguyên Lớp này là có liên quan tới chức năng nhưACL và thông tin dịch vụ proxy Các chính sách an ninh ở lớp này có tráchnhiệm xác định các yêu cầu như chúng liên quan đến lưu lượng đi qua tường lửa

 Chính sách quản lý truy cập

Chính sách quản lý truy cập tồn tại để xác định các phương pháp cho phép

và cách truy cập quản lý tường lửa Chính sách này có xu hướng giải quyết sựtoàn vẹn vật lý tường lửa và lớp bảo mật cấu hình tường lửa tĩnh Các chính sáchquản lý truy cập cần phải định nghĩa cho cả hai giao thức quản lý từ xa và cục bộ

sẽ được cho phép, cũng như đó người dùng có thể kết nối với tường lửa và cóquyền truy cập để thực hiện những tác vụ

 Chính sách lọc

Thay vì định nghĩa bộ quy tắc thực tế tường lửa sẽ sử dụng, các chính sáchlọc cần phải chỉ và xác định chính xác các loại lọc mà phải được sử dụng và nơilọc được áp dụng Chính sách này có xu hướng để giải quyết cấu hình tường lửatĩnh và chi tiết trong lớp lưu lượng mạng qua tường lửa Ví dụ, một chính sáchlọc tốt cần phải yêu cầu cả hai lối vào và đi ra bộ lọc được thực hiện với các bứctường lửa Các chính sách lọc cũng cần xác định các yêu cầu chung trong việckết nối mạng cấp độ bảo mật và nguồn khác nhau

 Chính sách định tuyến

Các chính sách định tuyến cần phải có một phần có quy định cụ thể baogồm một tường lửa trong các cơ sở hạ tầng định tuyến và định nghĩa các phươngthức trong đó các định tuyến sẽ xảy ra Chính sách này có xu hướng để giải quyếtcác lớp cấu hình tường tĩnh lửa và cấu hình động tường lửa Trong hầu hếttrường hợp, các chính sách định tuyến nên ngăn cấm firewall một cách rõ ràng từ

như vậy, các chính sách định tuyến cần xác định các trường hợp trong đó cácgiao thức định tuyến động và tuyến đường tĩnh là phù hợp Các chính sách cũngnên xác định bất kỳ cơ chế bảo mật giao thức cụ thể cần phải được cấu hình

 Chính sách Remote access / VPN

Các chính sách remote-access/VPN cũng cần xác định các giao thức sẽđược sử dụng: IP Security (IPsec), Layer 2 Tunneling Protocol (L2TP), hoặcPoint-to-Point Tunneling Protocol (PPTP) Trong hầu hết trường hợp, IPsec được

sử dụng riêng biệt Giả sử IPsec, chính sách remote-access/VPN cần phải yêu cầu

sử dụng của các preshared keys, chứng thực mở rộng, với việc sử dụng giấychứng nhận, mật khẩu một lần, và Public Key Infrastructure (PKI) cho môitrường an toàn nhất Tương tự như vậy, các chính sách remote-access/VPN nênxác định những khách hàng sẽ được sử dụng (có nghĩa là, trong xây dựng-Microsoft VPN Client, Cisco Secure VPN Client, vv)

Cuối cùng, các chính sách remote-access/VPN cần xác định các loại truy cập vàcác nguồn lực sẽ được cung cấp để kết nối từ xa và các loại kết nối từ xa sẽ đượccho phép

 Chính sách giám sát / ghi nhận

Một trong những yếu tố quan trọng nhất đảm bảo rằng một tường lửa cungcấp mức bảo mật được mong đợi là thực hiện một hệ thống giám sát tường lửa.Chính sách giám sát / ghi nhận xác định các phương pháp và mức độ giám sát sẽđược thực hiện Tối thiểu, các chính sách giám sát / ghi nhận cần cung cấp một

cơ chế để theo dõi hiệu suất của tường lửa cũng như sự xuất hiện của tất cả các

sự kiện liên quan đến an ninh và các mục đăng nhập Chính sách này có xuhướng để giải quyết các lớp cấu hình tường lửa tĩnh

Chính sách giám sát / ghi nhận cũng nên xác định cách các thông tin phải đượcthu thập, duy trì, và báo cáo Trong nhiều trường hợp, thông tin này có thể được

sử dụng để xác định các yêu cầu quản lý của bên thứ ba và các ứng dụng theo dõi

 Chứng thực người dùng

Là quá trình thiết lập tính hợp lệ của người dùng trước khi truy cập thôngtin trong hệ thống Loại chứng thực thường được sử dụng nhiều nhất đó là Username / Password Kiểu chứng thực này username/password được giữ nguyêndạng chuyển đến Server

Hình 1-2 Chứng thực bằng user và password

Tuy nhiên giải pháp này xuất hiện vấn đề đó là dễ bị đánh cắp user name vàpassword trong khi chuyển lên server Để khắc phục vấn đề này ta phải đặt mậtkhẩu dài tối thiểu là tám kí tự, bao gồm chữ cái, số, biểu tượng, không nên đặtcùng password ở nhiều nơi…

b) Công nghệ và kỹ thuật bảo mật

 Bảo mật bằng Firewall

Là một hàng rào giữa hai mạng máy tính, nó bảo vệ mạng này tránh khỏi sựxâm nhập từ mạng kia, đối với những doang nghiệp cỡ vừa là lớn thì việc sửdụng firewall là rất cần thiết, chức năng chính là kiểm soát luồng thông tin giữamạng cần bảo vệ và Internet thông qua các chính sách truy cập đã được thiết lập.Firewall có thể là phần cứng, phần mềm hoặc cả hai Tất cả đều có chungmột thuộc tính là cho phép xử lý dựa trên địa chỉ nguồn, bên cạnh đó nó còn cócác tính năng như dự phòng trong trường hợp xảy ra lỗi hệ thống

Hình 1-3 Mô hình tổng quát firewall

Do đó việc lựa chọn firewall thích hợp cho một hệ thống không phải là dễdàng Các firewall đều phụ thuộc trên một môi trường, cấu hình mạng, ứng dụngcụ thể Khi xem xét lựa chọn một firewall cần tập trung tìm hiểu tập các chứcnăng của firewall như tính năng lọc địa chỉ, gói tin

 Bảo mật bằng VPN

VPN là một mạng riêng ảo được kết nối thông qua mạng công cộng cungcấp cơ chế bảo mật trong một môi trường mạng không an toàn Đặc điểm củaVPN là dữ liệu trong quá trình truyền được mã hóa, người sử dụng đầu xa đượcchứng thực, VPN sử dụng đa giao thức như IPSec, SSL nhằm tăng thêm tính bảomật của hệ thống, bên cạnh đó tiết kiệm được chi phí trong việc triển khai

Hình 1-4 Bảo mật bằng VPN

 Bảo mật bằng IDS

IDS (Intrusion Detection System) là hệ thống phát hiện xâm nhập, hệ thốngbảo mật bổ sung cho firewall với công nghệ cao tương đương với hệ thốngchuông báo động được cấu hình để giám sát các điểm truy cập có thể theo dõi,phát hiện sự xâm nhập của các attacker Có khả năng phát hiện ra các đoạn mãđộc hại hoạt động trong hệ thống mạng và có khả năng vượt qua được firewall.

Có hai dạng chính đó là network based và host based

Hình 1-5 Hệ thống chống xâm nhập IDS

 Bảo mật ứng dụng

 Hệ thống thư điện tử

Thư điện tử hay email là một hệ thống chuyển nhận thư từ qua các mạng

máy tính là một phương tiện thông tin rất nhanh Một mẫu thông tin (thư từ) cóthể được gửi đi ở dạng mã hoá hay dạng thông thường và được chuyển qua cácmạng máy tính đặc biệt là mạng Internet Nó có thể chuyển mẫu thông tin từ mộtmáy nguồn tới một hay rất nhiều máy nhận trong cùng lúc

Ngày nay, email chẳng những có thể truyền gửi được chữ, nó còn có thểtruyền được các dạng thông tin khác như hình ảnh, âm thanh, phim, và đặc biệtcác phần mềm thư điện tử kiểu mới còn có thể hiển thị các email dạng sống độngtương thích với kiểu tệp HTML.

Hình 1-6 Thư điện tử

Lợi ích của thư điện tử như tốc độ di chuyển cao, chi phí rẻ và tiện lợi Tuynhiên có những vấn đề về bảo mật, spam mail, sự lây lan của virus, trojan Web traffic: Sử dụng giao thức bảo mật SSL/TSL để mã hóa thông tin giữaClient và Server, hoạt động tầng Transport, sử dụng mã hóa không đối xứng vàMD5, sử dụng Public Key để chứng thực và mã hóa giao dịch giữa Client vàServer và TSL bảo mật tốt hơn

Vấn đề đặt ra là trong quá trình chứng thực cả Client và Server đều phải cần triểnkhai PKI, ảnh hưởng đến Performance, việc triển khai tiềm tàng một số vấn đề:phương thức triển khai, cấu hình hệ thống, lựa chọn phần mềm

Web Client: Trong mô hình client/server, máy client là một máy trạm màchỉ được sử dụng bởi 1 người dùng với để muốn thể hiện tính độc lập cho nó.Các điểm yếu của Client như JavaScript, ActiveX, Cookies, Applets

Web Server: Server cung cấp và điều khiển các tiến trình truy cập vào tàinguyên của hệ thống Vai trò của server như là một nhà cung cấp dịch vụ cho cácclients yêu cầu tới khi cần, các dịch vụ như cơ sở dữ liệu, in ấn, truyền file, hệthống Các lỗi thường xảy ra trong WEB Server: lỗi tràn bộ đệm, CGI/ ServerScript và HTTP, HTTPS

1.4 Tổng quan về mạng không dây

1.4.1 Một số đặc điểm của mạng không dây

 Mạng không dây là gì ?

Mạng LAN không dây viết tắt là WLAN (Wireless Local Area Network)hay WIFI (Wireless Fidelity), là một mạng dùng để kết nối hai hay nhiều máytính với nhau mà không sử dụng dây dẫn WLAN dùng công nghệ trải phổ, sửdụng sóng vô tuyến cho phép truyền thông giữa các thiết bị trong một vùng nào

đó gọi là Basic Service Set

Đây là một giải pháp có rất nhiều ưu điểm so với kết nối mạng có dây(wireline) truyền thống Người dùng vẫn duy trì kết nối với mạng khi di chuyểntrong vùng phủ sóng

 Lịch sử hình thành và phát triển

Năm 1990, công nghệ WLAN lần đầu tiên xuất hiện, khi những nhà sảnxuất giới thiệu những sản phẩm hoạt động ở băng tần 900 Mhz Các giải phápnày (không có sự thống nhất của các nhà sản xuất) cung cấp tốc độ truyền dữ liệu1Mbs, thấp hơn rất nhiều so với tốc độ 10 Mbs của hầu hết các mạng sử dụng cáplúc đó

Năm 1992, các nhà sản xuất bắt đầu bán những sản phẩm WLAN sử dụngbăng tần 2.4GHz Mặc dù những sản phẩm này có tốc độ truyền cao hơn nhưngchúng vẫn chỉ là những giải pháp riêng của mỗi nhà sản xuất và không đượccông bố rộng rãi Sự cần thiết cho việc thống nhất hoạt động giữa các thiết bị ởnhững dãy tần số khác nhau dẫn đến một số tổ chức bắt đầu phát triển ra nhữngchuẩn mạng không dây

Năm 1997, IEEE (Institute of Electrical and Electronics Engineers) đãthông qua sự ra đời của chuẩn 802.11, và được biết đến với tên WIFI (WirelessFidelity) cho các mạng WLAN

Năm 1999, IEEE thông qua sự bổ sung cho chuẩn 802.11 là chuẩn802.11a và 802.11b (định nghĩa ra những phương pháp truyền tín hiệu) Và cácthiết bị WLAN dựa trên chuẩn 802.11b đã nhanh chóng trở thành công nghệkhông dây nổi trội.

Năm 2003, IEEE công bố thêm sự cải tiến là chuẩn 802.11g, chuẩn này cốgắng tích hợp tốt nhất các chuẩn 802.11a, 802.11b và 802.11g Sử dụng băng tần2.4Ghz cho phạm vi phủ sóng lớn hơn

Năm 2009, IEEE cuối cùng cũng thông qua chuẩn WIFI thế hệ mới802.11n sau 6 năm thử nghiệm Chuẩn 802.11n có khả năng truyền dữ liệu ở tốc

độ 300Mbps hay thậm chí cao hơn

 Ưu điểm của WLAN

 Sự tiện lợi: Mạng không dây cung cấp giải pháp cho phép người sử

dụng truy cập tài nguyên trên mạng ở bất kì nơi đâu trong khu vựcWLAN được triển khai (khách sạn, trường học, thư viện…) Với sựbùng nổ của máy tính xách tay và các thiết bị di động hỗ trợ wifi nhưhiện nay, điều đó thật sự rất tiện lợi

 Khả năng di động: Với sự phát triển vô cùng mạnh mẽ của viễn thông

di động, người sử dụng có thể truy cập internet ở bất cứ đâu Như:Quán café, thư viện, trường học và thậm chí là ở các công viên hay vỉa

hè Người sử dụng đều có thể truy cập internet miễn phí

 Tính hiệu quả: Người sử dụng có thể duy trì kết nối mạng khi họ di

chuyển từ nơi này tới nơi khác

 Triển khai: Rất dễ dàng cho việc triển khai mạng không dây, chúng ta

chỉ cần một đường truyền ADSL và một AP là được một mạng WLANđơn giản Với việc sử dụng cáp, sẽ rất tốn kém và khó khăn trong việctriển khai ở nhiều nơi trong tòa nhà

 Khả năng mở rộng: Mở rộng dễ dàng và có thể đáp ứng tức thì khi có

sự gia tăng lớn về số lượng người truy cập

 Nhược điểm

Bên cạnh những thuận lợi mà mạng không dây mang lại cho chúng ta thì

nó cũng mắc phải những nhược điểm Đây là sự hạn chế của các công nghệ nói chung

 Khả năng bảo mật: Đây có thể nói là nhược điểm lớn nhất của mạng

WLAN, bởi vì phương tiện truyền tín hiệu là song và môi trườngtruyền tín hiệu là không khí nên khả năng một mạng không dây bị tấncông là rất lớn

 Phạm vi phủ sóng: Như ta đã biết chuẩn IEEE 802.11n mới nhất hiện

nay cũng chỉ có thể hoạt động ở phạm vi tối đa là 150m, nên mạngkhông dây chỉ phù hợp cho một không gian hẹp

 Độ tin cậy: Do phương tiện truyền tín hiệu là sóng vô tuyến nên việc bị

nhiễu, suy giảm…là điều không thể tránh khỏi Điều này gây ảnhhưởng đến hiệu quả hoạt động của mạng

 Tốc độ: Tốc độ cao nhất hiện nay của WLAN có thể lên đến 600Mbps

nhưng vẫn chậm hơn rất nhiều so với các mạng cáp thông thường (cóthể lên đến hàng Gbps)

1.4.2 Cơ sở hạ tầng mạng WLAN

 Cấu trúc cơ bản của WLAN

Cấu trúc cơ bản của WLAN gồm 4 thành phần cơ bản: Distributionsystem, Access point, Wireless medium, Station

Distribution system(hệ thống phân phối): Đây là một thành phần logic sử

dụng để điều phối thông tin đến các station đích.Chuẩn 802.11 không đặc tảchính xác kỹ thuật cho DS

Access Point: chức năng chính chủa AP là mở rộng mạng Nó có khả năng

chuyển đổi các frame dữ liệu trong 802.11 thành các frame thông dụng để có thể

sử dụng trong mạng khác

Wireless Medium(tầng liên lạc vô tuyến): Chuẩn 802.11 sử dụng tần liên

lạc vô tuyến để chuyển đổi các frame dữ liệu giữa các máy trạm với nhau

Station(các máy trạm): Đây là các thiết bị ngoại vi có hỗ trợ kết nối vô

tuyến như: laptop, PDA, Palm…

Hình 1-7 Cấu trúc cơ bản của WLAN

 Thiết bị dành cho WLAN

 Wireless Access Point(AP): Là thiết bị có nhiệm vụ cung cấp cho các

client một điểm truy cập vào mạng

Hình 1-8 Thiết bị Wireless Access Point

 Các chế độ hoạt động của AP: Access Ponit có 3 chế độ hoạt động

chính, đó là:

Chế độ gốc(Root mode): Root mode được sử dụng khi AP kết nối với

mạng backbone có dây thông qua giao diện có dây (thường là Ethernet) của nó.Hầu hết các AP đều hoạt động ở chế độ mặc định là root mode

Hình 1-9 AP hoạt động ở Root Mode Chế độ cầu nối(bridge mode): Trong bridge mode, AP hoạt động hoàn

toàn như cầu mối không dây Với chế độ này, máy khách (client) sẽ không kếtnối trực tiếp với AP, nhưng thay vào đó, AP dùng để nối hai hay nhiều đoạnmạng có dây lại với nhau Hiện nay, hầu hết các thiết bị AP đều hỗ trợ chế độbridge

Hình 1-10 Chế độ cầu nối Chế độ lặp (Repeater mode): Ở chế độ Repeater, sẽ có ít nhất hai thiết bị

AP, một root AP và một AP hoạt động như một Repeater không dây AP trong

Repeater mode hoạt động như một máy khách khi kết nối với root AP và hoạtđộng như một AP khi kết nối với máy khách

Hình 1-11 Chế độ lặp

 Wireless Router

Ngày nay, với sự tiến bộ của công nghệ và kỹ thuật, sự ra đời của thiết bị

đa năng Wireless Router với sự kết hợp chức năng cửa ba thiết bị là WirelessAccesspoint, Ethernet Switch và Router

Hình 1-12 Wireless Router

 Wireless NICs: Là thiết bị được client dung để kết nối vào AP.

Hình 1-14 Mô hình mạng Ad-hoc

 Mô hình mạng cơ sở(BSSs)

The Basic Service Sets (BSS) là một topology nền tảng của mạng 802.11.Các thiết bị giao tiếp tạo nên một BSS với một AP duy nhất với một hoặc nhiềuclient Các máy trạm kết nối với sóng wireless của AP và bắt đầu giao tiếp thôngqua AP Các máy trạm là thành viên của BSS được gọi là “có liên kết”

Thông thương các AP được kết nối với một hệ thống phân phối trung bình(DSM), nhưng đó không phải là một yêu cầu cần thiết của một BSS Nếu một APphục vụ như là cổng để vào dịch vụ phân phối, các máy trạm có thể giao tiếp,thông qua AP, với nguồn tài nguyên mạng ở tại hệ thống phân phối trung bình

Nó cũng cần lưu ý là nếu các máy client muốn giao tiếp với nhau, chúng phảichuyển tiếp dữ liệu thông qua các AP Các client không thể truyền thông trực tiếpvới nhau, trừ khi thông qua các AP Hình sau mô tả mô hình một BSS chuẩn

Hình 1-15 Mô hình mạng cơ sở

 Mô hình mạng mở rộng(ESSs)

Trong khi một BSS được coi là nền tảng của mạng 802.11, một mô hìnhmạng mở rộng ESS (extended service set) của mạng 802.11 sẽ tương tự như làmột tòa nhà được xây dựng bằng đá Một ESS là hai hoặc nhiều BSS kết nối vớinhau thông qua hệ thống phân phối Một ESS là một sự hội tụ nhiều điểm truycập và sự liên kết các máy trạm của chúng Tất cả chỉ bằng một DS Một ví dụphổ biến của một ESS có các AP với mức độ một phần các tế bào chồng chéo lên

nhau Mục đích đằng sau của việc này là để cung cấp sự chuyển vùng liên tụccho các client.

Hình 1-16 Mô hình mạng mở rộng

1.5 Các hình thức tấn công phổ biến trong WLAN

Tấn công và phòng chống trong mạng WLAN là vấn đề được quan tâmđến rất nhiều hiện nay bởi các chuyên gia trong lĩnh vực bảo mật Nhiều giảipháp tấn công và phòng chống đã được đưa ra nhưng cho đến bây giờ chưa cógiải pháp nào được gọi là bảo mật an toàn, cho đến hiện nay mọi giải pháp phòngchống được đưa ra đều chỉ là tương đối (nghĩa là tính bảo mật trong mạngWLAN vẫn có thể bị phá vỡ bằng nhiều cách khác nhau) Vấn đề tấn công mộtmạng WLAN như thế nào? Và giải pháp phòng chống ra sao?

 Giả mạo Access Point (Rogue Access Point)

Access Point giả mạo được dùng để mô tả những Access Point được tạo ramột cách vô tình hay cố ý làm ảnh hưởng đến hệ thống mạng hiện có Nó đượcdùng để chỉ các thiết bị hoạt động không dây trái phép mà không quan tâm đếnmục đích sử dụng của chúng

 Access Point cấu hình không hoàn chỉnh

Một Access Point có thể bất ngờ trở thành thiết bị giả mạo do sai sót trongviệc cấu hình Sự thay đổi trong services set Indentifier (SSID), thiết lập xácthực, thiết lập mã hóa, điều nghiêm trọng nhất là chúng sẽ không thể xác thực

VD: Trong trạng thái xác thực mở (open mode authentication) các ngườidùng không dây ở trạng thái 1 (chưa xác thực và chưa kết nối) có thể gửi các yêucầu xác thực đến một Access Point và được xác thực thành công sẽ chuyển sangtrạng thái 2 (được xác thực nhưng chưa kết nối) Nếu một Access Point khôngxác nhận sự hợp lệ của một máy khách do lỗi trong cấu hình, kẻ tấn công có thểgửi một số lượng lớn yêu cầu xác thực, làm tràn bảng yêu cầu kết nối của cácmáy khách ở Access Point, làm cho Access Point từ chối truy cập của các ngườidùng khác bao gồm các người dùng được phép truy cập

 Access Point giả mạo từ các mạng WLAN lân cận

Các máy khách theo chuẩn 802.11 tự động chọn Access Point có sóngmạnh nhất mà nó phát hiện được để kết nối

VD: Windows XP tự động kết nối đến kết nối tốt nhất có thế xum quanh

nó Vì vậy, những người dùng được xác thực của một tổ chức có thể kết nối đếncác Access Point của các tổ chức khác lân cận Mặc dù các Access Point lân cậnkhông cố ý thu hút kết nối từ các người dùng, những kết nối đó để lộ những dữliệu nhạy cảm

 Access Point giả mạo do kẻ tấn công tạo ra

Giả mạo AP là kiểu tấn công “Man-In-The-Middle” cổ điển Đây là kiểutấn công mà tin tặc đứng ở giữa và trộm lưu lượng truyền giữa 2 nút Kiểu tấncông này rất mạnh vì tin tặc có thể lấy trộm tất cả lưu lượng đi qua mạng Rấtkhó khắn để tạo một cuộc tấn công “man in middle” trong mạng có dây bởi vìkiểu tấn công này yêu cầu truy cập thực sự đến đường truyền Trong mạng khôngdây thì lại rất dễ bị tấn công kiểu này Tin tặc phải tạo ra một AP thu hút nhiều sựlựa chọn hơn AP chính thống AP giả này có thể thiết lập bằng cách sao chép tất

cả các cấu hình của AP chính thống đó là: SSID, địa chỉ MAC…

Hình 1-17 Tấn công Man-In-The-Middle

 Tấn công yêu cầu xác thực lại

Hình 1-18 Tấn công yêu cầu xác thực lại

Bước 1: Kẻ tấn công xác định mục tiêu tấn công là các người dùng trongmạng wireless và các kết nối của họ (Access Point đến các kết nối của nó)

Bước 2: Chèn các frame yêu cầu xác thực lại vào mạng WLAN bằng cáchgiả mạo địa chỉ MAC nguồn và đích lần lượt của Access Point và các ngườidùng

Bước 3: Người dùng wireless khi nhận được frame yêu cầu xác thực lại thìnghĩ rằng chúng do Access Point gửi đến

Bước 4: Sau khi ngắt được một người dùng ra khỏi dịch vụ không dây, kẻtấn công tiếp tục thực hiện tương tự đối với các người dùng còn lại.Thông thườngthì người dùng sẽ kết nối lại để phục hồi dịch vụ, nhưng kẻ tấn công đã nhanhchóng gửi các gói yêu cầu xác thực lại cho người dùng.

 Face Access Point

Kẻ tấn công sử dụng công cụ có khả năng gửi các gói beacon với địa chỉ vật

lý (MAC) giả mạo và SSID giả để tạo ra vô số các Access Point giả lập Điều nàylàm xáo trộn tất cả các phần mềm điều khiển card mạng không dây của ngườidùng

Hình 1-19 Face Access Point

 Tấn công dựa trên sự cảm nhận sóng mang lớp vật lý

Kẻ tấn công lợi dụng giao thức chống đụng độ CSMA/CA, tức là nó sẽlàm cho tất cả người dùng nghĩ rằng lúc nào trong mạng cũng có một máy đangtruyền thông Điều này làm cho các máy tính khác luôn luôn ở trạng thái chờ đợi

kể tấn công ấy truyền dữ liệu xong, dẫn đến tình trạng nghẽn trong mạng

Tần số là một nhược điểm bảo mật trong mạng không dây Mức độ nguyhiểm thay đổi phụ thuộc vào giao diện của lớp vật lý Có một vài tham số quyếtđịnh sự chịu đựng của mạng là: năng lượng máy phát, độ nhạy của máy thu, tần

số RF (Radio Frequency), băng thông và sự định hướng của anten Trong 802.11

sử dụng thuật toán đa truy cập cảm nhận sóng mang (CSMA) để tránh va chạm.CSMA là một phần của lớp MAC CSMA được sử dụng để chắc chắn sẽ không

có va chạm dữ liệu trên đường truyền Kiểu tấn công này không sử dụng tạp âm

để tạo ra lỗi cho mạng nhưng nó sẽ lợi dụng chính chuẩn đó Có nhiều cách đểkhai thác giao thức cảm nhận sóng mang vật lý Cách đơn giản là làm cho các núttrong mạng đều tin tưởng rằng có một nút đang truyền tin tại thời điểm hiện tại.Cách dễ nhất để đạt được điều này là tạo ra một nút giả mạo để truyền tin mộtcách liên tục Một cách khác là sử dụng bộ tạo tín hiệu RF Một cách tấn công tin

vi hơn là làm cho card mạng chuyển vào chế độ kiểm tra mà ở đó nó truyền điliên tiếp một mẩu kiểm tra Tất cả các nút trong phạm vi của một nút giả là rấtnhạy với sóng mang và trong khi có một nút đang truyền thì sẽ không có nút nàođược truyền

CHƯƠNG II  MỘT SỐ GIẢI PHÁP BẢO MẬT VÀ XÂY DỰNG GIẢI PHÁP RADIUS

SERVER

2.1 Một số giải pháp bảo mật mạng WLAN

Các mạng không dây sử dụng sóng vô tuyến để truyền dữ liệu Như vậysóng vô tuyến có thế xuất hiện ở bất kỳ đâu và chúng ta có thể truy cập nhờ mộtthiết bị phù hợp Do đó mạng không dây của một công ty cũng có thể truy cập từbên ngoài của công ty đó

Với việc mạng không dây ngày càng phát triển và có nhiều công ty sửdụng, vấn đề bảo mật càng được đặt lên hàng đầu Sau đây là một số giải phápbảo mật trong WLAN và từ đó chúng ta có thể chọn ra giải pháp bảo mật phùhợp từng mô hình mạng cụ thể

2.2 Một số phương pháp bảo mật

2.2.1 WEP

WEP (Wired Equivalen Privacy) có nghĩa là bảo mật không dây tươngđương với có dây Thực ra, WEP đã đưa cả xác thực người dùng và đảm bảo antoàn dữ liệu vào cùng một phương thức không an toàn WEP sử dụng một khó

mã hóa không thay đổi có đọ dài 64 bit hoặc 128 bit, (nhưng trừ đi 24 bit sử dụngcho vector khởi tạo khóa mã hóa, nên độ dài khóa chỉ còn 40 bit hoặc 104 bit)được sử dụng để xác thực các thiết bị được phép truy cập vào trong mạng vàcũng được sử dụng để mã hóa truyền dữ liệu

Rất đơn giản, các khóa mã hóa này dể dàng được “bẻ gãy” bởi thuật toánbrute-force và kiểu tấn công thử lỗi (tria-and-error) Các phần mềm miễn phí nhưAircrack-ng, Airsnort, hoặc WEP crack sẽ cho phép hacker có thể phá vỡ khóa

mã hóa nếu họ thu thập từ 5 đến 10 triệu gói tin trên một mạng không dây Vớinhững khóa mã hóa 128 bit cũng không khá hơn: 24 bit cho khởi tạo mã hóa nênchỉ có 104 bit được sử dụng

Dụng để mã hoá và cách thức cũng giống như mã hóa có độ dài 64 bit nên

vector khởi tạo khóa mã hoá giúp cho hacker có thể tìm ra mật khẩu nhanh hơnvới ít gói thông tin hơn rất nhiều.

Không dự đoán được những lỗi trong khóa mã hóa WEP có thể được tao

ra cách bảo mật mạnh mẽ hơn niếu sử dụng một giao thức xác thực mà cung cấpmỗi khóa mã hóa mới cho mỗi phiên làm việt khóa mã hóa sẽ thay đổi trên mỗiphiên làm việt Điều này sẽ gây khó khăn hơn cho hacker thu thập đủ các gói dựliệu cần thiết để có thể bẽ gãy khóa bảo mật

2.2.2 WLAN VPN

Mạng riêng VPN bảo vệ mạng WLAN bằng cách tạo ra một kênh chechắng dữ liệu khỏi các truy cập trái phép VPN tạo ra một tin cậy cao thông quaviệt sử dụng một cơ chế bảo mật như Ipsec (Internet Protocol Security) IPSec để

mã hóa dự liệu và dùng các thuật toán khác để các thực gói dự lieeuk Ípec cũng

sử dụng thẻ xác nhận số để xác nhận khóa mã (public key) Khi được sử dụngtrên mạng WLAN, công kết của VPN đảm nhận việt xác thực, đóng gói và mãhóa

Hình 2-1 Mô hình WLAN VPN

2.2.3 TKIP(Temporal Key Integrity Protocol)

Là giải pháp của IEEE được phát triển năm 2004 Là một nâng cấp choWED nhằm và những vấn đề bảo mật trong cài đặt mã dòng RC4 trong WEP.TKIP dùng hàm băm (hashing) IV để chống lại việc MIC (message integity

check) đẻ đảm bảo tính chính xác của gói tin TKIP và sử dụng khóa động bằngcách đặt cho mỗi frame một chuỗi sống lại dạng tấn công giả mạo.

2.2.4 AES

Trong mật mã học AES (viết tắt của từ tiếng Anh: Advanced EncryptionStadar, hay Tiêu chuẩn mã hóa tiên tiến) là một thuật toán mà hóa khối đượcchính phủ Hoa kỳ áp dụng làm tiêu chuẩn mã hóa Giống như tiêu chuẩn tiềnnhiệm DES, AES được kì vọng áp dụng trên phạm vi thế giới và đã được nghiêncứu rất kỹ lưỡng AES được chấp nhận làm tiêu chuẩn lien bang bởi viện tiêuchuẩn và công nghệ quốc gia Hoa kỳ (NIST) sau một quá trình tiêu chuẩn hóakéo dài 5 năm

Thuật toán được thiết kế bởi 2 nhà mật mã học người Bỉ: Joan Daemen vàVincent Rijmen (lấy tên chung là Rijndael khi tham gia cuộc thi thiết kế AES)

2.2.5 802.1X và EAP

Ngày nay các mạng 802.11 xác thực theo chuẩn 802.1x Chuẩn 802.1x xácđịnh giao thức mạng mở rộng (EAP) trực tiếp thông qua lớp kết nối EAP là giaothức truyền thông được sử dụng thông qua các loại cơ chế xác thực khác nhau.EAP là chuẩn của IETF đưa ra và tháng 3/1998 cho kết nối điểm điểm

802.1x là chuẩn đặc tả cho việc truy cập dựa trên cổng (port-based) đượcđịnh nghĩa bởi IEEE Hoạt động trên cả môi trường có dây truyền thống vàkhông dây Việc điều khiển truy cập được thực hiện bằng cách: Khi một ngườidùng cố gắng kết nối vào hệ thống mạng, kết nối của người dùng sẽ được đặt ởtrạng thái bị chặn (bloking) và chờ cho việc kiểm tra định danh người dùng hoàntất

EAP là phương thức xác thực bao gồm yêu cầu định danh người dùng(password, certificate,…), giao thức được sử dụng (MD5, TLI_Transport LayerSecurity, OTP_One Time Password,…) hỗ trợ tự động sinh khóa và xác thực lẫnnhau

Không những thế WPA còn bao gồm cả tính toàn vẹn của thông tin(Message Integrity check) Vì vậy, dữ liệu không thể bị thay đổi trong khi đang ởtrên đường truyền WPA có sẵn 2 lựa chọn: WPA Personal và WPA Enterprise.

Cả 2 lựa chọn đều sử dụng giáo thức TKIP, và sự khác biệt chỉ là khóa khởi tạo

mã hóa lúc đầu WPA Personal thích hợp cho gia đình và mạng văn phòng nhỏ,khóa khởi tạo sẽ được sử dụng tại các điểm truy cập và thiết bị máy trạm Trongkhi đó, WPA cho doanh nghiệp cần một máy chủ xác thực và 802.1x để cung cấp

Chuẩn mã hóa này được sử dụng cho các cơ quan chính phủ Mỹ để bảo vệcác thông tin nhạy cảm.

Trong khi AES được xem như là bảo mật tốt hơn rất nhiều so với WEP

128 bit hoặc 168 bit DES (Digital Encryption standanrd) Để đảm bảo về mặthiệu năng, quá trình mã hóa cần thực hiện trong các thiết bị phần cứng như tíchhợp vào chip Tuy nhiên, rất ít người sử dụng mạng không dây quan tâm tới vấn

đề này Hơn nữa, hầu hết các thiết bị cầm tay WI-FI và máy quét mã vạch đềukhông tương thích với chuẩn 802.11i

2.2.8 Lọc

Lọc là cơ chế bảo mật cơ bản có thể sử dụng cùng với WEP Lọc hoạtđộng giống access list trên router, cấm những cái không mông muốn và cho phépnhững cái mong muốn Có 3 kiểu lọc cơ bản có thể sử dụng trong wireless lan:

 Lọc SSID

 Lọc địa chỉ MAC

 Lọc giao thức