Nghiên cứu mã hóa bảo mật open SSH

Một hệ thống mạng được kết nối với Internet sẽ có rất nhiều nguy cơ bị tấn công. Khi dữ liệu được truyền đi trên mạng, nhiều khả năng sẽ bị Hacker( là những người có hiểu biết sâu về tin học và có những kỹ năng tốt nhưng lại có những hành vi làm tổn hại người khác) đọc trộm dữ liệu. Khi một hệ thống liên lạc với nhau thông qua địa chỉ để truyền nhận dữ liệu cũng dễ bị Hacker giả danh để lấy dữ liệu hoặc những vấn đề về Virus,…có còn nhiều nguy cơ khác nữa khiến cho một hệ thống mạng của chúng ta trở nên không an toàn nghĩa là hệ thống của chúng ta có thể bị tấn công bằng nhiều hình thức khác nhauSSH (Secure Shel) ra đời là lời giải đáp cho bài toán làm thế nào để thiết lập kết nối mạng một cách bảo mật

MỤC LỤC LỜI NÓI ĐẦU Một hệ thống mạng kết nối với Internet có nhiều nguy bị công Khi liệu truyền mạng, nhiều khả bị Hacker( người có hiểu biết sâu tin học có kỹ tốt lại có hành vi làm tổn hại người khác) đọc trộm liệu Khi hệ thống liên lạc với thông qua địa để truyền nhận liệu dễ bị Hacker giả danh để lấy liệu vấn đề Virus,…có nhiều nguy khác khiến cho hệ thống mạng trở nên không an toàn nghĩa hệ thống bị công nhiều hình thức khác SSH (Secure Shel) đời lời giải đáp cho toán làm để thiết lập kết nối mạng cách bảo mật CHƯƠNG 1: LÝ THUYẾT AN TOÀN MẠNG 1.1.Các rủi ro hệ thống mạng Một hệ thống mạng kết nối với Internet có nhiều nguy bị công Khi liệu truyền mạng, nhiều khả bị Hacker( người có hiểu biết sâu tin học có kỹ tốt lại có hành vi làm tổn hại người khác) đọc trộm liệu Khi hệ thống liên lạc với thông qua địa để truyền nhận liệu dễ bị Hacker giả danh để lấy liệu vấn đề Virus,…có nhiều nguy khác khiến cho hệ thống mạng trở nên không an toàn nghĩa hệ thống bị công nhiều hình thức khác nhau.Sau số hình thức công thường gặp: §Giả địa - kiểu công mà kẻ công đóng vai hệ thống hợp pháp cách đánh cấp địa sau giả làm nạn nhân bị đánh cắp để lấy liệu mà đầu liên lạc phía bên gứi tới §Adware – phần mềm tích hợp quảng cáo Nó hại, mà thu thập liệu người sử dụng hay máy tính người sử dụng chuyển cho người quảng cáo §Sự xác nhận – hành động để bảo đảm người hay hệ thống cố gắng truy cập hệ thống xác nhận quyền §Cracker – người thâm nhập vào máy tính, thường thích thú hay ý đồ trị lý tài Cracking hành động thâm nhập vào máy tính §Mật mã hóa – tiếntrình chuyển đổi thông tin sang mã bí mật, gọi cipher text, giải thuật mã hóa Dịch vụ mật mã hóa cung cấp tính bảo mật, toàn vẹn, xác thực từ chối §Cybercrime – thuật ngữ tổng hợp dùng để mô tả dãy công tạo để chống lại tổ chức phương tiện điện tử §Từ chối dịch vụ - tiến trình mà qua người sử dụng hợp pháp, khách hàng, client hay máy tính khác bị ngăn chặn khỏi việc truy cập tài nguyên máy tính thành phần thứ không xác nhận Điều thực cách làm tràn ngặp máy tính yêu cầu giả, hay giả yêu cầu hợp pháp.( Ví dụ DDoS) §Hacker – nguồn gốc để mô tả người có hiểu biết sâu máy tính kỹ tốt khả lập trình §Mã độc – thuật ngữ cho virus, applet hostile đoạn mã tải từ web server hay gửi trực tiếp từ hệ thống đến hệ thống khác §Spyware – phần mềm để giám sát máy tính sử dụng gửi báo cáo đến máy tính khác qua internet Các chương trình spyware tạo để ghi lại số thẻ tín dụng hay toàn username password Spyware dùng để khởi động công từ chối dịch vụ §Trojan – dạng virus, chương trình chạy âm thầm để xóa file hay làm xáo trộn nội dung chúng Hơn chúng cho phép máy tính bị điều khiển từ xa, việc cung cấp cho truy cập file hay ứng dụng §Worm – virus túy mạng Chúng thiết kế để khám phá phát điểm yếu mạng máy tính để lan truyền chúng từ máy sang máy khác 1.2.Các bước công vào hệ thống mạng Thông thường, trình công vào hệ thống mạng trải qua bước: vThu thập thông tin vTruy cập ban đầu vThực leo quyền vPhi tang dấu vết 1.2.1.Tiến trình thu thập thông tin: Bước thu thập thông tin kiếm đích để công Một hacker chọn người hay công ty để công, tìm kiếm đối tượng không bảo vệ internet mà dễ dàng công Số lượng thông tin có giá trị người sử dụng internet có liên quan đến mức độ ta sử dụng internet Nghĩa lướt web nhiều dễ bị công Nếu ta có tên miền hay web site, hay địa mail cho mục đích công cộng Nếu không tìm đích rõ ràng hacker có nhiều công cụ hỗ trợ cho việc quét đích ngắm có internet Các đơn giản làm sử dụng lệnh ping, quét nhanh hàng ngàn máy tính Đều cho biết máy tính có tồn mạng không üPort Scan nâng cao thường thực máy tính riêng lẽ Một Port Scan cho hacker biết dịch vụ hoạt động, HTTP hay FTP Mỗi dịch vụ hoạt động cung cấp điểm vào 1.2.2.Tiến trình truy cập ban đầu Các hacker khai thác tối đa sơ hở tìm thấy giai đoạn thu thập thông tin thiết lập điểm “đi vào” vào máy tính 1.2.3.Leo thang phân quyền Một kết nối đến máy tính, bước đạt điều khiển nhiều tốt Các hacker cố gắng đạt quyền quản trị đến máy tính Điểm mấu chốt thu thập quyền quản trị - thường mật Hacker cố gắng tải file chứa mật giải mã Một cách khác đặt trojan horse vào máy tính Nếu hacker đặt chương trình Back Orifice, Subseven, hay NetBus máy tính chạy Các trojan horse khác ghi lại keystroke để bắt mật liệu nhạy cảm NPF cung cấp mức bảo vệ để chống lại trojan horse 1.2.4.Tiến trình che đậy dấu vết: Khi hacker chiếm điều khiển máy tính mức đó, nhiệm vụ che dấu dấu vết Nếu ta chưa phát hacker thỏa hiệp máy tính rồi, ta bước ngừng hành động Trên máy sử dụng hệ điều hành Windows 2000/XP, haker cố tắt việc kiểm tra thay đổi xóa log file ghi kiện Trên hệ điều hành, hacker ẩn file để truy cập lần sau Trong trường hợp cực đoan, hacker format ổ đĩa cứng để tránh bị nhận dạng 1.3.Các nguy bị công sử dụng TELNET Ngày nhiều người có nhiều tài khoản máy tính Nếu bạn hiểu biết user, bạn phải có tài khoản cá nhân với nhà cung cấp dịch vụ Internet (ISP), tài khoản làm việc mạng nội chủ, nhiều máy tính cá nhân nhà Bạn phải cho phép sử dụng tài khoản khác gia đình bạn bè bạn Nếu bạn có nhiều tài khoản, tự nhiên bạn muốn kết nối chúng Ví dụ bạn muốn chép file nhiều máy tính thông qua mạng, đăng nhập vào tài khoản xa từ máy khác, truyền dòng lệnh đến máy tính xa để thực Có nhiều chương trình khác tồn để phục vụ cho mục đích FTP RCP để truyền file, TELNET RLOGIN để đăng nhập từ xa, RSH để thực lệnh từ xa TELNET tiềm ẩn cho hacker Trên máy tính không bảo vệ, port không dùng đáp ứng chúng bị đóng, điều cho hacker biết máy tính tồn giao thức mạng (network protocol) dùng kết nối với Internet kết nối mạng máy tính cục LAN TELNET thường dùng để cung cấp phiên giao dịch đăng nhập, máy mạng Internet, dùng dòng lệnh có tính định hướng người dùng Tên có nguồn gốc từ hai chữ tiếng Anh "telephone network" (mạng điện thoại), chương trình phần mềm thiết kế, tạo cảm giác thiết bị cuối gắn vào máy tính khác Đối với mở rộng giao thức, chữ "telnet" ám đến chương trình ứng dụng, phần người dùng giao thức - hay gọi trình khách (clients) Trong năm qua, TELNET vốn cài đặt sẵn hầu hết hệ điều hành Unix Window Trên nhiều hệ thống, chương trình ứng dụng "telnet" dùng phiên giao dịch tương tác TCP dạng sơ đẳng (interactive rawTCP sessions), dùng để thông nối với dịch vụ máy chủ POP3, mà không cần đến trình khách chuyên dụng Cụm từ tiếng Anh "to telnet" dùng động từ, có nghĩa "thành lập" "sử dụng", kết nối dùng giao thức TELNET Nếu bạn truyền file nhạy cảm thông qua Internet, có khả kẻ xấu chặn lại đọc liệu Thậm chí, bạn đăng nhập vào máy tính từ xa khác việc sử dụng chương trình TELNET, username password bạn bị lộ chúng truyền mạng Làm để ngăn chặn vấn đề nghiêm trọng đó? Bạn cài firewall, bạn dùng nhiều giải pháp khác với độ phức tạp giá thành khác có lẽ phương pháp hiệu an toàn Bạn dùng chương trình mã hoá để chuyển liệu thành đoạn code bí mật mà không đọc SSH đời để thực công việc CHƯƠNG 2: GIỚI THIỆU SSH 2.1.Giao thức SSH gì? SSH (tiếng Anh: Secure Shell) giao thức mạng dùng để thiết lập kết nối mạng cách bảo mật SSH hoạt động lớp mô hình phân lớp TCP/IP Các công cụ SSH (như OpenSSH, PuTTy, ) cung cấp cho người dùng cách thức để thiết lập kết nối mạng mã hoá để tạo kênh kết nối riêng tư Hơn tính tunneling (hoặc gọi port forwarding) công cụ cho phép chuyển tải giao vận theo giao thức khác Do thấy xây dựng hệ thống mạng dựa SSH, có hệ thống mạng riêng ảo VPN đơn giản Mỗi liệu gửi máy tính vào mạng, SSH tự động mã hoá Khi liệu nhận vào, SSH tự động giải mã Kết việc mã hoá thực suốt: người dùng làm việc bình thường, việc truyền thông họ mã hoá an toàn mạng 2.2.Lịch sử phát triển phiên SSH SSH1 giao thức SSH-1 trình bày năm 1995 Tatu Ylõnen, nhà nghiên cứu trường đại học kĩ thuật Helsinki Phần Lan Sau mạng trường đại học ông ta nạn nhân công đánh cắp password vào đầu năm Tháng năm 1995, SSH1 phát hành rộng rãi dạng phần mềm miễn phí có source code, cho phép người chép sử dụng mà không thu phí Vào cuối năm đó, ước tính có khoảng 20.000 người dùng 50 quốc gia sử dụng SSH1, ngày Ylõnen nhận 150 mail yêu cầu hỗ trợ Để đáp lại, Ylõnen thành lập SSH Communications Security vào tháng 12 năm 1995 để trì, thương nghiệp hoá tiếp tục phát triển SSH Cũng năm 1995, Ylõnen soạn thảo giao thức SSH-1 gọi Internet Engineering Task Force (IETF), diễn tả hoạt động phần mềm SSH1 thực tế Nó giao thức có phần quảng cáo số lỗi giới hạn phổ biến Năm 1996, SCS giới thiệu phiên phiên giao thức, SSH 2.0 hay SSH-2, phiên kết hợp chặt chẽ thuật toán không hợp với SSH-1 Trong lúc đó, IETF thành lập nhóm làm việc gọi SECSH (Secure Shell) để chuẩn hoá giao thức đạo phát triển lợi ích chung Nhóm làm việc SECSH trình bày phác thảo Internet giao thức SSH-2 vào tháng năm 1997 Năm 1998, SCS phát hành sản phẩm phần mềm “SSH Secure Shell” (SSH2), dựa giao thức SSH-2 Tuy nhiên, SSH2 không thay SSH1 số lĩnh vực, có lí Thứ nhất, SSH2 số tiện ích, đặc điểm có ích cấu hình tuỳ chọn SSH1 Thứ hai, SSH2 có nhiều giới hạn việc đăng kí Bản SSH1 có sẵn miễn phí từ Ylõnen trường đại học kĩ thuật Helsinki Phiên SSH1 từ SCS có sẵn miễn phí cho hầu hết người dùng, chí cấu hình thương mại miễn phí cần phần mềm không trực tiếp bán cho việc thu lợi nhuận tặng dịch vụ cho khách hàng Vì thế, SSH2 xuất hiện, hầu hết người sử dụng SSH1 nhận vài ưu điểm SSH1 so với SSH2 tiếp tục sử dụng SSH1, ba năm sau SSH2 đời SSH1 phiên sử dụng phổ biến Internet vượt qua SSH2 giao thức tốt bảo mật Tuy nhiên, SSH2 có hai phát triển hưa hẹn, nới lỏng SSH2 quyền xuất SSH-2 bổ sung Năm 2000, SCS mở rộng SSH2 quyền phép sử dụng làm việc riêng lẻ tổ chức hoạt động phi lợi nhuận Nó mở rộng cho phép dùng miễn phí Linux, NetBSD, FreeBSD hệ điều hành OpenBSD Cùng thời gian đó, OpenSSH phát triển bật SSH bổ sung, phát triển hoạt động dự án OpenBSD miễn phí sẵn bên OpenBSD có đăng kí OpenSH hỗ trợ SSH-1 SSH-2 chương trình Tuy OpenSSH phát triển OpenBSD hoạt động Linux, Solais, AIX hệ điều hành khác Mặc dù OpenSSH tương đối vài đặc điểm có SSH1 SSH2 đà phát triển nhanh chóng hứa hẹn trở thành SSH tương lai không xa CHƯƠNG 3: BÊN TRONG GIAO THỨC SSH 3.1.Tổng quan đặc điểm SSH Các đặc điểm giao thức SSH là: -Tính bí mật (Privacy) liệu thông qua việc mã hoá mạnh mẽ -Tính toàn vẹn (integrity) thông tin truyền, đảm bảo chúng không bị biến đổi -Chứng minh xác thực (authentication) nghĩa chứng để nhận dạng bên gửi bên nhận -Giấy phép (authorization) :dùng để điều khiển truy cập đến tài khoản -Chuyển tiếp (forwarding) tạo đường hầm (tunneling) để mã hoá phiên khác dựa giao thức TCP/IP 3.1.1 Tính bí mật (Privacy) Tính bí mật có nghĩa bảo vệ liệu không bị phơi bày Mạng máy tính bình thường không bảo đảm tính bí mật, truy cập đến phần cứng mạng đến host kết nối với mạng đọc tất liệu qua mạng Mặc dù mạng chuyển mạch đại giảm vấn đề mạng vùng cục vấn đề nghiêm trọng mật dễ bị kẻ xấu đánh cắp SSH cung cấp tính bí mật việc mã hoá liệu qua mạng Đó việc mã hoá hai đầu dựa khoá ngẫu nhiên (sinh để phục vụ cho phiên kết nối huỷ phiên kết nối thành công) SSH hỗ trợ nhiều thuật toán mã hoá phiên liệu, thuật toán mã hoá chuẩn như: AES, ARCFOUR, Blowfish, Twofish, IDEA, DES triple-DES (3DES) 3.1.2.Tính toàn vẹn (Integrity) Tính toàn vẹn nghĩa bảo đảm liệu truyền từ đầu đến đầu mạng không bị thay đổi Giao thức SSH sử dụng phương pháp kiểm tra toàn vẹn mật mã, phương pháp kiểm tra việc liệu có bị biến đổi hay không liệu đến có đầu gửi hay không Nó sử dụng thuật toán băm khoá MD5 SHA-1 10 3.3.4.Giao thức kết nối SSH-CONN Khi yêu cầu xác thực thành công, client se có dịch vụ tên “ssh-con” không hiển thị client mà hiển thị server sau:debug1: userauth-request for user res service ssh-connection method publickeyServer bắt đầu chạy dịch vụ hai bên đến giao thức kết nối SSH 3.3.4.1.Kênh (channels) Dịch vụ SSH-CONN cung cấp multilexing SSH-CONN điều khiển kênh đơn, bảo đảm, luồng byte đôi cung cấp SSHTRANS cho phép client tạo kênh luận lý SSH-CONN khác chạy qua Kênh nhận dạng số kênh tạo huỷ bỏ client server Kênh điều khiển lưu lượng riêng lẻ kênh có kiểu kênh định nghĩa theo mục đích sử dụng Kiểu định nghĩa sau:§session: Đơn mở kênh phiên không bắt đầu chạy chuơng trình.Một phiên SSH-CONN có nhiều kênh phiên, hỗ trợ đồng thời, ví dụ chạy giao thức truyền file thực thi chương trình phiên SSH-CONN.§x11: kết nối X11 client.§orward-tcpip: kết nối bên để chuyển tiếp cổng xa Khi kết nối đến cổng TCP chuyển tiếp xa, server mở kênh trở lại client để mang kết nối.§direct-tcpip: kết nối TCP bên Kết nối trực tiếp đến mở kết nối TCP socket định sẵn thêm kênh đến kết nối Socket dùng tên miền địa IP 3.3.4.2.Yêu cầu (request) Thêm vào dãy kênh hoạt động- mở, đóng, gủi liệu, gửi liệu khẩn cấp,…SSH-CONN định nghĩa thiết lập cho yêu cầu với tính đầy đủ kênh phận Một yêu cầu đầy đủ ảnh hưởng đến toàn trạng thái kết nối yêu cầu kênh (bộ phận) mở kênh cụ thể.Yêu cầu dầy đủ là:§tcpip-forward: yêu cầu cổng chuyển tiếp TCP đằng xa cancel-tcpip-forward: huỷ bỏ chuyển tiếp từ xa§pty-req: định pty, bao gồm kích cỡ cửa sổ kiểu thiết bị đầu cuối.§x11-req: cài đặt chuyển tiếp x11§env: thiết lập biến điều kiện § shell, exec, subsystem: chạy tiện ích tài mặc định tài khoản, chương trình tuỳ ý, dịch vụ đơn giản.§ window-change: thay đổi kích thước cửa sổ thiết bị đầu cuối§xon-xoff: dùng điều khiển bên client §signal: gửi tín hiệu đặc biệt đến tiến trình xa.§exit-signal: trả tín hiệu kết thúc chương trình.Khi SSH-CONN chạy, client gửi yêu cầu mở kênh phiên Sau gửi số yêu cầu muốn thực thông qua kênh…Bây client đăng nhập thành công vào máy chủ SHH từ xa 26 3.4.Bên SSH-1 SSH-1 tương tự SSH-2 có số điểm khác,chúng ta so sánh đặc điểm với SSH-2 để hình dung SSH-1:v non-modular: SSH-1 định nghĩa giao thức nguyên đơn, SSH-2 thiết kế modul hoá.vless negotiation: SSH-1 có nhiều tham số cố định, thực ra, có kích thước mã hoá thương lượng Thuật toán nhận dạng, kiểu khoá host, phương thức trao đổi khoá,…tất cố định.vad hoc naming: SSH-1 cú pháp định nghĩa tên linh hoạt SSH-2 phần mở rộng bổ sung rõ ràng.vSingle authentication: Quá trình xác thực user SSH-1 cho phép phương thức hoạt động thành công, Server yêu cầu nhiều phương thức.vRhostsRSA authentication: Xác thực RhostsRSA SSH-1 tương tự xác thực dựa host có giới hạn sử dụng địa mạng làm định danh máy client.vLess flexible remote forwarding: SSH-1 rõ chuyển tiếp từ xa cổng, đưa nhiều địa khác đến server.vweaker integrity checking: SSH-1 sử dụng phương thức kiểm tra toàn vẹn không mạnh lắm, thuật toán CRC-32.verver keys: Tiến trình trao đổi khoá cố định SSH-1 giao cho khoá bất đối xứng gọi server key, server key cặp khoá public/private tạm thời, sau lại phục hồi sử dụng để cung cấp tính kín đáo chuyển tiếp cho khoá phiên Kín đáo chuyển tiếp nghĩa chí việc bảo mật thời gian dài khoá bí mật host user thoả hiệp trễ, không dùng mã hoá phiên SSH bước trước đó, sử dụng khoá không ghi lên đĩa Thuật toán Diffe-Hellman dùng tất ứua trình trao đổi khoá SSH-2 cung cấp tính bí mật chuyển tiếp không cần server key.vweak key exchange: Tiến trình trao đổi khoá SSH-1 bảo mật không cao client chọn khoá phiên gửi đến server 3.5.Giới thiệu thuật toán sử dụng SSH 3.5.1.Những thuật toán khoá công khai 3.5.1.1Rivest-Shamir-Adleman (RSA) Thuật toán khóa public RSA kiểu tính toán không đối xứng sử dụng rộng rãi Nó bắt nguồn từ phân tích thành thừa số nhiều số nguyên tích số nguyên tố gần Sự phân tích thành thừa số tin dùng rộng rãi phức tạp, chưa chứng minh RSA dùng cho việc mã hóa chữ ký 27 Đến tháng năm 2000, RSA yêu cầu cấp sáng chế Mỹ Public Key Partners Inc (PKP) , công ty mà RSA Security Inc đối tác Khi sáng chế có hiệu lực, PKP muốn kiểm soát việc sử dụng thuật toán RAS Mỹ, việc sử dụng trái phép phạm luật Đến năm 1990, RSA Security cung cấp miễn phí RSAref, với quyền cho phép ngành giáo dục thương mại sử dụng (cũng phần mềm bán phi lợi nhuận) Từ RSA trở nên phổ biến, RSAref không tồn Giao thức SSH-1 sử dụng RSA SSH-2 sử dụng nhiều thuật toán public-key, mặc định thuật toán DSA Nhóm SECSH thêm thuật toán RAS vào SSH-2 không lâu sau sáng chế hết hiệu lực 3.5.1.2Thuật toán chữ kí số (DSA) Thuật toán chữ ký số phát triển quan an ninh quốc gia Mỹ (NSA) công bố viện tiêu chuẩn công nghệ quốc gia Hoa Kỳ trở thành chuẩn chữ ký số (DSS) DSS đưa chuẩn xử lý thông tin liên bang, FIPS-186 vào tháng năm 1994 Nó thuật toán public-key phụ thuộc vào phương pháp Schnorr ElGamal, dựa vào độ khó việc tính toán riêng rẽ logarit trường có giới hạn Nó thiết kế chữ ký không dùng cho mã hóa, bổ xung đầy đủ thực thi dễ dàng với loại mã hóa RSA ElGarmal DSA bị vào tranh cãi kể từ đời Ban đầu, NIST cho họ thiết kế DSA, sau họ tiết lộ NSA tạo Rất nhiều câu hỏi xoay quanh NSA Researcher Gus Simmons phát 28 phần DSA cho phép tạo lỗ hổng rò rỉ thông tin, ví dụ bit khóa bí mật kèm theo chữ ký Khi thuật toán dùng trong thẻ thông minh chương trình Capstone phủ, nhiều người nghi ngờ Cuối NIST dành DSA miễn phí cho người dùng Đến sau cùng, sáng chế David Kravitz (sáng chế #5,231,668), sau nhân viên NSA chuyển sáng chế cho phủ Mỹ Tuy nhiên, có yêu cầu, DSA xâm phạm sáng chế, bao gồm sáng chế Shnorr Cho đến chưa có thay đổi từ tòa án Giao thức SSH-2 cần phải sử dụng DSA để xác nhận host 3.5.1.3Thuật toán thoả thuận khoá Diffie-Hellman Thuật toán Diffie-Hellman giới thiệu lần thư viện mở, sáng tạo Whitfield Diffie, Martin Hellman va Ralph Merkle vào năm 1976, cấp sáng chế năm 1977 (phát hành vào năm 1980, số #4,200,770) sáng chế hết hạn Cũng giống DSA, dựa vào rời rạc toán logarit, cho phép bên lấy khóa chia sẻ an toàn kênh mở Các phần trao đổi thông điệp với nhau, sau chúng chia sẻ khóa bí mật kẻ rình mò lấy thông tin từ trình Giao thức SSH-2 cần phải dùng thuật toán Diffie-Hellman phương thức trao đổi khóa 3.5.2.Những thuật toán khoá bí mật 3.5.2.1.Thuật toán mã hoá liệu bí mật quốc tế (IDE) IDEA thiết kế năm 1990 Xuejis Lai James Massey trải qua nhiều lần sửa chữa, cải tiến đổi tên trước có dạng Mặc dù tương đối thuật toán bảo mật tốt 3.5.2.2.Chuẩn mã hoá tiên tiến (AES) Năm 1997, NIST bắt đầu chương trình thay thuật toán mã hoá đối xứng chuẩn có DES Thuật toán thiết kế Joan Daemen Vincent Rijmen ban đầu gọi Rijndael sau trở thành Advanced Encryption Standard (AES) AES thuật toán mã hoá khối bí mật với chiều dài khoá 128, 192, hoăc 256 bits 3.5.2.3.Chuẩn mã hoá liệu (DES) Chuẩn mã hoá liệu cũ thuật toán mã hoá bí mật thay AES DES thiết kế nhà nghiên cứu IBM vào đầu năm 1970 với tên la Lucifer 29 3.5.2.4.Trible-DES (3DES) Trible DES 3DES dạng khác DES dùng để tăng tính bảo mật việc tăng chiều dài khoá Làm tăng tính bảo mật thuật toán DES việc mã hoá nhiều lần khoá độc lập Là thuật toán mã hoá dạng plantext với lặp lại thuật toán DES lần Chiều dài khoá 3DES 112 bit lớn nhều so với 56 bit DES 3.5.2.5.ARCFFOUR (RC4) Ron Rivest thiết kế thuật mã hoá RC4 năm 1987 cho bảo mật liệu RSA Lúc có tên RSADSI Năm 1994, biết đến với tên RC4 hay ARCFOUR RC4 mã hoá nhanh không bảo mật thuật toán khác Nó sử dụng kích thước khoá biến đổi SSH-1 áp dụng RC4 với chiều dài khoá 128 bit 3.5.2.6.Blowfish Blowfish thiết kế Bruce Schneier năm 1993, bước thay thuật toán DES Nó nhanh DES IDEA nhiều không RC4, Blowfish thuật toán mã hoá miễn phí không đăng kí quyền Chiều dài khoá Blowfish thay đổi từ 32 đến 448 bit SSH-2 sử dụng Blowfish với chiều dài khoá 128 bit 3.5.2.7.Twofish Twofish thuật toán mã hoá Bruce Schneier thiết kế với J.Kelsey, D.Wagner, C.Hall N Ferguson Nó đón nhận năm 1998 thay DES Mỹ Đây thuật toán mã hoá miễn phí cho người Twofish mã hoá với chiều dài khoá 128, 192, 256 bít SSH-2 sử dụng 256 bit Nó nhanh có tính bảo mật cao 3.5.2.8.CAST CAST thiết kế vào đầu năm 1990 Carlisle Adams Stafforf Tavares CAST sử dụng chiều dài khoá 128 256 bit Trong SSH-2, CAST sử dụng với chiều dài khoá 128 bit 3.5.3.Những hàm băm 3.5.3.1.CRC-32 Thuật toán 32-bit Redundancy Check (CRC-32) định nghĩa ISO 3309, hàm băm không mã hoá việc dò tìm lỗi thay đổi liệu Giao thức SSH-1 sử dụng CRC-32 cho việc kiểm tra toàn vẹn liệu đề phòng hình thức công “insertion attack” (tấn công cách chèn mã độc vào liệu) 30 3.5.3.2.MD5 MD5 (Message Digest algorithm number 5) thuật mã hoá mạnh, thuật toán băm 128 bit thiết kế Ron Rivest năm 1991, MD5 thuật toán công cộng không đăng kí quyền 3.5.3.3.SHA-1 SHA-1 (Secure Hash Algorithm 1) thiết kết NSA NIST Cũng giống MD5, cải tiến từ MD4 cải cách khác Nó cung cấp hàm băm 160 bit Xét bảo mật mạnh MD5 giá trị băm dài SSH-2 sử dụng SHA-1 để băm MAC SSH-1 sử dụng MD5 3.5.3.4.RIPEMD-160 RIPEMD-160 khác MD4, đựợc phát triển Hans Dobbertin, Antôn Boselaers Bart Preneel phần dự án RIPE truyền thông Châu Âu từ tháng năm 1987 đến tháng 12 năm 1995 RIPEMD-160 không định nghĩa giao thức SSH dùng bổ sung OpenSSH, RIPEMD-160 thuật toán phiễn phí cho người 3.5.3.5.Thuật toán nén: Zlib Zlib thuật toán nén kiệu định nghĩa cho SSH 3.6.Các mối đe doạ mà SSH đánh trả Cũng giống công cụ bảo nào, SSH có mối đe dọa chống lại ảnh hưởng chương trình khác không định địa Chúng ta thảo luận hình thức 3.6.1.Eavesdropping Một eavesdropper người rình mò mạng, biết giao thông mạng mà không làm ảnh hưởng đến đường truyền Hình thức mã hóa SSH chống lại eavesdropping Nội dung session SSH , bị chặn, bị giải mã “kẻ rình mò” 3.6.2.Dịch vụ đặt tên giả mạo IP Nếu kẻ công phá hoại dịch vụ đặt tên (DNS, NIS, …), chương trình liên quan đến mạng bị ép buộc kết nối đến máy tính khác Cũng tương tự, kẻ công giả mạo host cách đánh cắp địa IP dùng Trong trường hợp khác, bạn gặp rắc rối: chương trình máy khách kết nối sai đến máy chủ, đánh cắp mật 31 mà bạn cung cấp Trình bảo vệ SSH chống lại kiểu công cách kiểm tra mã hóa nhận dạng máy chủ Khi cài đặt session, máy khách SSH kiểm tra tính hợp lệ khóa máy chủ dựa vào danh sách cục kết hợp với tên máy chủ địa với khóa chúng Nếu khóa mà Host cung cấp không với danh sách, SSH cảnh báo Tính bị vô hiệu hóa số thiết lập an ninh mà thông báo cảnh báo gây khó chịu Giao thức SSH-2 cho phép bao gồm chứng nhận PKI với khóa Trong tương lai, hi vọng bổ xung tính vào sản phẩm SSH với nhiều triển khai phổ biến PKI xóa gánh nặng quản trị khóa giảm bớt cần thiết cho thỏa hiệp an ninh nói riêng 3.6.3.Chiếm đoạt kết nối Một kẻ công lanh lợi không theo dõi giao thông mạng, mà xen vào, chiếm đoạt kết nối TCP, đánh cắp theo nghĩa đen từ điểm cuối hợp pháp Đây tai hại rõ ràng: phương thức xác nhận bạn có tốt nữa, kẻ công đơn giản đợi bạn đăng nhập, sau đánh cắp kết nối chèn lệnh bất vào session bạn SSH chống lại kiểu chiếm quyền điều khiển này, từ trở trở thành điểm yếu TCP hoạt động bên SSH Tuy nhiên, SSH đáp trả không hiệu (trừ kiểu công từ chối dịch vụ) Trình kiểm tra tính toàn vẹn SSH phát session có bị sửa đổi hay không, ngắt kết nối mà không sử dụng liệu bị sửa đổi 3.6.4.Các kiểu công Man-in-the-Middle Kiểu công người dùng kiểu công chủ động đặc biệt không dễ bị phát mô tả phần 3-5 Một đối thủ ngồi bạn người ngang hàng thực (ví dụ máy khách SSH máy chủ), chặn tất qua lại thay đổi xóa thông báo Hãy tưởng tượng bạn cố gắng kết nối đến máy chủ SSH, Mary “hiểm độc” chặn kết nối bạn Cô cư xử giống máy chủ SSH, bạn không để ý, cô kết thúc chia sẻ khóa session với bạn Đồng thời, cô bắt đầu tạo kết nối cô đến máy chủ mong đợi bạn, thu khóa session riêng biệt với máy chủ Cô đăng nhập giống bạn bạn sử dụng password hợp lệ đưa cho co password bạn Bạn máy chủ nghĩ kết nối đến nhau, thực tế kết nối đến Mary Sau cô cần ngồi giữa, truyền liệu ngược lại tới lui bạn máy 32 chủ (giải mã bên với khóa mã hóa lại với khác dùng để truyền lại) Tất nhiên, cô đọc thứ qua sửa lại theo ý muốn SSH chống lại kiểu công theo cách Đầu tiên xác nhận máy chủ Nếu Mary không chặn bên máy chủ, cô mạo nhận, cô khóa riêng máy chủ Lưu ý rằng, để bảo vệ hoạt động, thực tế máy khách phải kiểm tra khóa public mà máy chủ cung cấp dựa vào danh sách host mà biết, không bảo đảm máy chủ thật Nếu bạn kết nối lần đến máy chủ SSH chấp nhận khóa host, thực tế bạn mở kiểu công “Người giữa” Tuy nhiên, cho bạn không bị lừa vào lúc này, kết nối tương lai đến máy chủ an toàn khóa host server bị đánh cắp Khả bảo vệ SSH thứ qua phương thức người dùng xác thực Phương pháp password hiển nhiên dễ bị công, khóa public xác thực dựa máy chủ chống lại kiểu công MITM Mary phát khóa session cách dễ dàng thông qua việc trao đổi khóa, cô phải thực công chủ động để trao đổi riêng biệt với bên, thu khóa riêng biệt riêng cô với máy khách máy chủ Trong giao thức SSH-1 SSH-2, trao đổi khóa 33 thiết kế cho cô thực điều này, nhận dạng session phía khác (Điều giao thức SSH-1 cũ) Nếu bạn không xác nhận tên/khóa máy chủ tương ứng, Mary thực kiểu công “người giữa”, chí dù cô đăng nhập bạn phía máy chủ Cô đăng nhập vào tài khoản cô người khác mà cô lấy Với lanh lợi, cô đánh lừa bạn đủ lâu để phá hoại 3.7 Các mối đe doạ mà SSH ngăn cản SSH giải pháp an ninh tổng thể Bây giới thiệu vài ví dụ cách công mà SSH không thiết kế để chống lại 3.7.1 Phá mật SSH cải tiến trình an toàn mật cách mã hóa truyền qua mạng Tuy nhiên, mật điểm yếu trình xác thực, bạn phải cẩn thận với điều Bạn phải chọn mật an toàn, dễ nhớ bạn lại khó đoán với người khác Bạn phải tránh bị đánh cắp mật khẩu, tốt bạn biết cách truy cập vào tài khoản Vì vậy, cẩn thận, gã ngồi kế bên bạn bí mật nhìn trộm bạn gõ bàn phím Máy tính mà bạn sử dụng bị cài chương trình ghi lại cú gõ phím chuyển “Trung Tâm” Và sau đó, gã với giọng nói “dễ thương” gọi điện đến từ công ty Công Nghệ Thông Tin, yêu cầu mật bạn để “sửa lại tài khoản” người tống tiền Cần cân nhắc xác thực khóa public bao gồm nhân tố: mật không hữu dụng tập tin khóa riêng, kẻ công cần phải “trộm” Tất nhiên, SSH client máy tính mà bạn dùng bị lừa lưu lại khóa sau bạn vô tình cung cấp mật để giải mã Nếu bạn lo lắng điều đó, bạn không nên sử dụng máy tính lạ Trong tương lai, ta hi vọng thẻ smartcard mã hóa máy đọc thể có mặt khắp nơi hỗ trợ SSH, bạn mang theo khóa bên cách thuận tiện sử dụng chúng máy tính khác mà không lo bị lộ khóa Nếu phải sử dụng “sự xác minh mật khẩu” tính tiện lợi nó, cần cân nhắc việc sử dụng mật theo kiểu lần S/Key để giảm bớt rủi ro 34 3.7.2 IP kiểu công TCP SSH hoạt động TCP, dễ trở thành điểm yếu để công vào TCP IP Các đảm bảo tính riêng tư, tính toàn vẹn, tính xác thực SSH hạn chế rủi ro công từ chối dịch vụ TCP/IP chịu cố mạng tắc nghẽn hỏng liên kết Nếu kẻ thù công vào Router, IP định tuyến xung quanh Tuy nhiên, không thiết kế để chống lại gói liệu ảo mà kẻ thù đưa vào mạng TCP IP điều khiển thông báo không xác thực Và kết trả về, TCP/IP có số điểm yếu cố hữu khai thác được, : SYN flood: SYN có nghĩa “đồng hóa”, thuộc tính gói liệu TCP Trong trường hợp này, đề cập tới gói liệu ban đầu gửi đến để bắt đấu thiết lập kết nối TCP Gói thường bên nhận dùng vào việc chuẩn bị tài nguyên cho kết nối đến Nếu kẻ công gửi số lượng lớn gói này, ngăn xếp TCP bị đầy chấp nhận kết nối hợp pháp TCP RST, ICMP không thật Các kiểu gói khác TCP RST, dùng cho việc “khởi động lại” Một bên kết nối TCP gửi gói RST thời điểm bất kỳ, nguyên nhân làm hỏng kết nối Các gói RST bị can thiệp cách dễ dàng mạng, làm ngắt kết nối TCP Cũng tương tự, ICMP, giao thức điều khiển thông báo mạng internet ICMP cho phép IP host định tuyến giao tiếp thông tin tình trạng mạng host tới Nhưng lại lần nữa, xác thực, can thiệp vào gói ICMP ảo gây ảnh hưởng mạnh mẽ Ví dụ, thông báo ICMP host riêng biệt cổng TCP kết nối được, giả mạo gói để làm hỏng kết nối Các thông báo ICMP giao tiếp với thông tin lộ trình (gửi qua lại tìm 35 định tuyến); giả mạo thông báo làm cho liệu nhạy cảm truyền không định hướng làm tổn hại hệ thống TCP bất đồng chiếm quyền Bằng cách vận dụng khéo léo giao thức TCP, kẻ công bất đồng hóa phía kết nối TCP Trong tình trạng vậy, chèn vào gói chấp nhận phần hợp lệ kết nối, cho phép kẻ công đưa thông tin tùy ý vào luồng liệu TCP SSH chống lại kiểu công bẻ gãy chống lại thiết lập kết nối TCP Nhưng mặt khác, mã hóa SSH xác thực host có hiệu chống lại kiểu công bao gồm việc định tuyến sai Cũng vậy, công theo kiểu đánh cắp thay liệu TCP thất bại, SSH phát được, chúng bẻ gãy kết nối SSH, SSH phản hồi lại lỗi cách kết thúc phiên làm việc 3.7.3 Phân tích đường truyền Ngay kẻ công đọc đường truyền mạng bạn, thu luợm lượng lớn thông tin hữu dụng đơn giản cách theo dõi – ghi lại liệu, địa nguồn nơi đến thời gian Sự gia tăng đột ngột đường truyền với công ty khác gợi ý thỏa thuận kinh doanh bị chết Mẫu lưu thông cho biết kế hoạch dự phòng thời điểm ngày dễ bị công để công từ chối dịch vụ SSH không bị công phân tích lưu lượng dựa vào địa mà kết nối SSH dẽ bị nhận dạng chúng đến cổng nhiều người biết giao thức SSH bị công phân tích lưu lượng thông qua port 3.7.4 Convert Channels (kênh biến đổi) Một Convert channel hình thức công dựa vào thông tin tín hiệu kiểu bất ngờ không quan sát trước Giả sử ngày đó, người quản trị tắt email thông báo khẩn cấp user không chat Trong trường hợp đó, user muốn chat với phải đưa thông báo cho user khác cách dán chúng lên bảng thông báo công ty, nơi mà user kiểm tra ngày để nhận thông báo Cơ chế truyền thông bất ngờ covert channel SSH không cố gắng để loại trừ convert channel Phân tích điều khiển chúng phần chung 36 hệ thống bảo mật cao, thiết kế để điều khiển an toàn thông tin mức bảo mật khkác hệ thống 3.7.5 Sự cẩu thả Các tiện ích bảo mật không bảo mật thứ, chúng giúp người ta làm theo cách cách khác Phương pháp mã hoá tốt đến đâu bảo mật bạn làm lộ mật mã cẩu thả SSH tiện ích tốt phải phần trình bảo mật toàn cài đặt SSH vào nghĩ hệ thống bạn an toàn 37 CHƯƠNG 4: CẤU HÌNH SSH TRÊN CISCO ROUTER Cấu hình SSH Cisco Router Cisco triển khai SSH vào thiết bị biện pháp để thay Telnet Việc sử dụng Telnet để truy cập quản trị thiết bị không an toàn, nhiều thông tin bị đánh cắp dẫn đến số nguy hiểm xảy hệ thống Cisco bắt đầu quan tâm triển khai vào thiết bị với SSH-2 Nhà sản xuất cung cấp SSH-1 IPSec triển khai phiên cho phép người quản trị truy cập vào thiết bị cách an toàn Thiết lập SSH tương tự trình cho phép Router sử dụng “digital certificates” (xác thực số) IPSec Trước bắt đầu phải xác thực Router Nó không 30 phút để xử lý cố liên quan đến việc cấu hình Một việc phải tạo cặp khoá public/private Trước thực phải cấu hình Router với domain lệnh sau: (config)#ip domain-name abccompany.com (config)#crypto key generate rsa Dòng để Router thành viên domain abccompany.com dòng thứ hai bắt đầu tạo cặp khoá public/private Khi thực hiện, phải khai báo độ dài cặp khoá mà sử dụng Và buộc chúng phải có độ lớn client Router Độ lớn khoá tự động tạo ví dụ Router 2500, khoá 512 bit tạo khoảng 45 giây lần Dưới câu lệnh để quản trị SSH (config)#ip time-out 30 38 (config)#ip ssh authentication-retires (config-line)#transport input ssh Dòng giới hạn thời gian không thực phút bị ngắt kết nối Chúng ta thiết lập thời gian ngắn Nhưng thiết lập phần để yên tâm kết nối đảm bảo thời gian đủ để giải lao Dòng lệnh thứ hai giới hạn số lần cố gắng xác thực người dùng Dòng lệnh thứ ba làm việc với mode VTY, giới hạn dạng kết nối cổng VTY để nhận thông tin Và dòng lệnh ý nhĩa cho phép cổng VTY cho phép phiên làm việc với SSH Lưu ý sử dụng SSH IOS Router có khả mã hoá “encryption capable” Router phải có khả trình truyền tin mã hoá dạng DES hay 3DES Rất nhiều SSH client có khả mã hoá liệu sử dụng thuật toán mã hoá khác Nhưng Router Cisco mã hoá phiên làm việc SSH sử dụng DES 3DES 39 KẾT LUẬN Các ứng dụng sử dụng giao thức SSH hoạt động tốt có tính bảo mật cao Một ưu điểm khác hầu hết chúng miễn phí nên thuận tiện để có hệ thống bảo mật với SSH Có nhiều phần mềm client server khác hỗ trợ tốt cho hệ điều hành sử dụng rộng rãi Window, Linux, Macintosh Tuy nhiên, SSH mẻ hệ thống mạng Việt Nam, phần vấn đề ngôn ngữ Hơn nữa, ứng dụng SSH phần lớn miễn phí miễn phí với client số server chạy Linux, server chạy Window thường thương mại nên khó khăn muốn có hệ thống mạng có ứng dụng bảo mật SSH Window vốn quen thuộc với người từ lâu Từ nhận xét đó, Tôi có ý tưởng nghiên cứu xây dựng phần mềm Remote Login dựa giao thức SSH có giao diện tiếng Việt chạy Window client lẫn server 40 ... động thâm nhập vào máy tính Mật mã hóa – tiếntrình chuyển đổi thông tin sang mã bí mật, gọi cipher text, giải thuật mã hóa Dịch vụ mật mã hóa cung cấp tính bảo mật, toàn vẹn, xác thực từ chối... hành OpenBSD Cùng thời gian đó, OpenSSH phát triển bật SSH bổ sung, phát triển hoạt động dự án OpenBSD miễn phí sẵn bên OpenBSD có đăng kí OpenSH hỗ trợ SSH- 1 SSH- 2 chương trình Tuy OpenSSH phát... thế, SSH2 xuất hiện, hầu hết người sử dụng SSH1 nhận vài ưu điểm SSH1 so với SSH2 tiếp tục sử dụng SSH1 , ba năm sau SSH2 đời SSH1 phiên sử dụng phổ biến Internet vượt qua SSH2 giao thức tốt bảo mật