BÁO CÁO BÀI TẬP LỚN MÔN HỌC BẢO MẬT THÔNG TIN TRÊN MẠNG MÁY TÍNH , Chủ đề số 07, XÂY DỰNG HỆ THỐNG MINH HỌA TẤN CÔNG PADDINGORACLE LÊN CHẾ ĐỘ CBC CỦA MÃ KHỐI, HỌC VIỆN MẬT MÃ

BÁO CÁO BÀI TẬP LỚN,MÔN HỌC BẢO MẬT,THÔNG TIN TRÊN MẠNG MÁY TÍNH , Chủ đề số 07, XÂY DỰNG HỆ THỐNG ,MINH HỌA TẤN CÔNG ,PADDINGORACLE LÊN CHẾ ĐỘ, CBC CỦA MÃ KHỐI, HỌC VIỆN MẬT MÃ

HỌC VIỆN KỸ THUẬT MẬT MÃ KHOA MẬT MÃ  BÁO CÁO BÀI TẬP LỚN MÔN HỌC BẢO MẬT THÔNG TIN TRÊN MẠNG MÁY TÍNH Chủ đề số 07 XÂY DỰNG HỆ THỐNG MINH HỌA TẤN CÔNG PADDING ORACLE LÊN CHẾ ĐỘ CBC CỦA MÃ KHỐI Giảng viên: KS Nguyễn Văn Nghị Thực hiện: Sinh viên lớp AT8B 1 Nguyễn Văn A 2 Trần Thị B HÀ NỘI, 2015 Ý KIẾN CỦA GIẢNG VIÊN MỤC LỤC Danh mục kí hiệu và từ viết tắt 1 Danh mục CÁC BẢNG 2 DANH MỤC CÁC HÌNH VẼ .3 Lời nói đầu .4 Chương 1 Tổng quan về kiểm soát truy cập tài nguyên website 6 1.1 Khái niệm tài nguyên của website 6 1.2 Kiểm soát truy cập tài nguyên của website .6 Chương 2 Phân tích cơ chế kiểm soát truy cập tài nguyên của website 7 2.1 Cơ chế định danh người dùng 7 2.2 Mô hình kiểm soát truy cập .7 Kết luận 8 Tài liệu tham khảo 10 DANH MỤC KÍ HIỆU VÀ TỪ VIẾT TẮT Các từ viết tắt phải được liệt kê theo thứ tự trong bảng chữ cái Các từ viết tắt tiếng Việt liệt kê trước, các từ viết tắt tiếng nước ngoài liệt kê sau Viết tắt Giải thích ABAC Attribute Based Access Control ACL Access Control List ACM Access Control Matrix CGI Common Gateway Interface CSV Comma Separated Value DAC Discretionary Access Control HMAC Hash-based Message Authentication Code HTTP HyperText Transfer Protocol IANA Internet Assigned Numbers Authority ISP Internet Service Provider MAC Mandatory Access Control MIME Multipurpose Internet Mail Extensions O Object PBAC Policy-based Access Control QoS Quality of Service RBAC Role-based Access Control RIR Regional Internet Registry RAdAC Risk-adaptive Access Control S Subject SEO Search Engine Optimization Xây dựng hệ thống minh họa tấn công Padding Oracle lên chế độ CBC của mã khối Tr.1 DANH MỤC CÁC BẢNG Bảng 1.1: Bảng biểu diễn …………………………………………………5 (danh mục làm tự động giống mục lục) Xây dựng hệ thống minh họa tấn công Padding Oracle lên chế độ CBC của mã khối Tr.2 DANH MỤC CÁC HÌNH VẼ Hình 1.1: Hình biểu diễn …………………………………………………5 (danh mục làm tự động giống mục lục) Xây dựng hệ thống minh họa tấn công Padding Oracle lên chế độ CBC của mã khối Tr.3 LỜI NÓI ĐẦU Trong thời đại công nghệ thông tin, khả năng truy cập, tiếp cận thông tin một cách nhanh chóng, kịp thời sẽ quyết định sự thành bại của nhiều hoạt động, từ hoạt động kinh doanh đến hoạt động quân sự Trong nghiên cứu khoa học, sự thuận tiện trong tìm kiếm, tra cứu thông tin sẽ giúp nhà khoa học rút ngắn thời gian nghiên cứu, sớm đạt được kết quả Ngày nay, khi mạng Internet đã phát triển một cách vượt bậc, khi những thành tựu của công nghệ thông tin đã cho phép lưu trữ thông tin với lượng lớn hơn, truyền thông tin với tốc độ cao hơn, thì nhu cầu chia sẻ và được chia sẻ thông tin là tất yếu Trong lĩnh vực đào tạo và nghiên cứu khoa học thì nhu cầu này càng thể hiện rõ Thế nhưng, mọi tài nguyên đề có giới hạn Dù công nghệ phát triển nhưng khả năng xử lý của máy tính, băng thông của đường truyền vẫn thường không đáp ứng đủ nhu cầu của người dùng Vì thế, vấn đề đặt ra là phải thực hiện việc chia sẻ thông tin như thế nào để đảm bảo hệ thống hoạt động ổn định, người dùng được phục vụ tốt nhất trong điều kiện hữu hạn về tài nguyên Có lẽ sẽ không có ai bàn cãi nếu kết luận rằng cách thức hiệu quả nhất hiện nay để chia sẻ thông tin cho một lượng lớn người dùng trên một không gian địa lí rộng lớn là sử dụng công nghệ web Đến nay trên Internet đã có nhiều website chia sẻ dữ liệu hoạt động ổn định qua nhiều năm, ví dụ như www.rapidshare.com, www.4share.com, Tin rằng những kỹ thuật được áp dụng trên đó sẽ hữu ích cho việc xây dựng một hệ thống tương tự nhằm mục đích chia sẻ thông tin trong Học viện Kỹ thuật mật mã Nhận thức được vấn đề đó, chúng tôi đã quyết định chọn đề tài nghiên cứu khoa học cấp cơ sở là "Nghiên cứ giải pháp kiểm soát truy cập tài nguyên của website và đề xuất ứng dụng" Mục tiêu đặt ra khi thực hiện đề tài này gồm:  Tìm hiểu tổng quan về việc kiểm soát tài nguyên được thực hiện trên các website trên Internet  Phân tích, làm rõ cơ chế thực hiện việc kiểm soát truy cập tài nguyên trên các website đó  Đề xuất một giải pháp kiểm soát truy cập tài nguyên phù hợp với việc chia sẻ thông tin trong môi trường Học viện  Xây dựng một hệ thống để minh họa việc ứng dụng giải pháp đã đề xuất trên đây vào việc kiểm soát truy cập tài nguyên Xây dựng hệ thống minh họa tấn công Padding Oracle lên chế độ CBC của mã khối Tr.4 Mục đích mà chúng tôi hướng đến khi đặt ra mục tiêu nghiên cứu như vậy là tìm kiếm một giải pháp hiệu quả để thực hiện việc kiểm soát tài nguyên khi thực hiện chia sẻ thông tin nhằm duy trì sự ổn định của hệ thống và phục vụ tốt nhất người dùng trong điều kiện hạn chế về tài nguyên tính toán và tài nguyên mạng Hiện nay trên thị trường có rất nhiều tài liệu về xây dựng ứng dụng web, từ thiết kế đến viết chương trình, nhưng lại không thấy có tài liệu nào trình bày một cách hệ thống về các giải pháp kiểm soát truy cập tài nguyên khi chia sẻ thông tin qua website Đó là một khó khăn lớn cho chúng tôi khi thực hiện đề tài này Chúng tôi đã phải vận dụng những kiến thức về lý thuyết kiểm soát truy cập, về giao thức HTTP, về web server, về ngôn ngữ lập trình web để phân tích, tìm ra cơ chế kiểm soát truy cập được sử dụng trên các website trên Internet, từ đó đạt tới mục tiêu đề ra Với cách tiếp cận mang nặng tính kinh nghiệm như thế, chắc chắn chúng tôi không thể tránh khỏi những thiếu sót Rất mong nhận được ý kiến đóng góp của đồng nghiệp và các chuyên gia khác có quan tâm để chúng tôi có thể hoàn thiện kết quả nghiên cứu của mình Xây dựng hệ thống minh họa tấn công Padding Oracle lên chế độ CBC của mã khối Tr.5 CHƯƠNG 1 TỔNG QUAN VỀ KIỂM SOÁT TRUY CẬP TÀI NGUYÊN WEBSITE 1.1 Khái niệm tài nguyên của website Chúng tôi đã phân tích và đi đến quyết định chỉ giới hạn phạm vi xem xét là những website được xây dựng để cho phép người dùng tải về (download) các tài liệu điện tử Các tài liệu đó có thể là sách điện tử, phần mềm, phim, nhạc hoặc các dạng tài liệu khác mà mục đích của chúng là cho phép người dùng web tải về để sử dụng mà không phải để hiển thị trên webpage 1.2 Kiểm soát truy cập tài nguyên của website Kiểm soát truy cập tài nguyên của website được hiểu là việc áp dụng các chính sách khác nhau đối với các nhóm người dùng khác nhau khi người dùng thực hiện truy cập tài nguyên của website nhằm đảm bảo website hoạt động ổn định, hiệu quả, đúng thiết kế ban đầu Trong Sách da cam ("Orange book") và các tài liệu truyền thống về an toàn thông tin [1], có 2 mô hình kiểm soát truy cập thường được xem xét là: Mô hình kiểm soát truy cập tùy chọn (DAC – Discretionary Access Control), Mô hình kiểm soát truy cập bắt buộc (MAC – Mandatory Access Control) Còn Viện Tiêu chuẩn và công nghệ quốc gia Hoa Kì (NIST: National Institute of Standards and Technology) [4] xem xét một tập hợp phong phú hơn các mô hình kiểm soát truy cập: Mô hình danh sách kiểm soát truy cập (ACL – Access Control List), Mô hình kiểm soát truy cập theo vai (RBAC –Role-based Access Control), Mô hình kiểm soát truy cập theo thuộc tính (ABAC – Attribute Based Access Control), Mô hình kiểm soát truy cập theo chính sách (PBAC – Policy-based Access Control), Mô hình kiểm soát truy cập thích ứng rủi ro (RAdAC – Risk-adaptive Access Control) Xây dựng hệ thống minh họa tấn công Padding Oracle lên chế độ CBC của mã khối Tr.6 CHƯƠNG 2 PHÂN TÍCH CƠ CHẾ KIỂM SOÁT TRUY CẬP TÀI NGUYÊN CỦA WEBSITE 1.3 Cơ chế định danh người dùng Nhóm đề tài đã khảo sát các website trên Internet và chỉ ra các phương án định danh người dùng, bao gồm:  Định danh người dùng bằng tài khoản  Định danh người dùng bằng phiên làm việc  Định danh người dùng bằng địa chỉ IP  Định danh người dùng bằng vị trí địa lý Nhóm cũng đã chỉ ra cơ chế để thực hiện các phương án định danh người dùng trên đây 1.4 Mô hình kiểm soát truy cập Phần này đã xem xét các mô hình kiểm soát truy cập gồm:  Mô hình kiểm soát truy cập tùy chọn (DAC),  Mô hình kiểm soát truy cập bắt buộc (MAC)  Mô hình danh sách kiểm soát truy cập (ACL),  Mô hình kiểm soát truy cập theo vai (RBAC),  Mô hình kiểm soát truy cập theo thuộc tính (ABAC),  Mô hình kiểm soát truy cập theo chính sách (PBAC),  Mô hình kiểm soát truy cập thích ứng rủi ro (RAdAC) Chúng tôi đã phân tích và chỉ ra những mô hình kiểm soát truy cập có thể cân nhắc lựa chọn khi xây dựng ứng dụng web là: MAC, RBAC và ABAC Xây dựng hệ thống minh họa tấn công Padding Oracle lên chế độ CBC của mã khối Tr.7 KẾT LUẬN Sau gần một năm nghiên cứu, thử nghiệm, nhóm đề tài đã đạt được tất cả các mục tiêu đề ra Cụ thể: Trong chương 1, nhóm đề tài đã chỉ ra giới hạn đối với đối tượng nghiên cứu là những website được xây dựng nhằm mục đích lưu trữ và chia sẻ dữ liệu, tức là những website thuộc nhóm 50 trong bảng phân loại của TrendMicro Nhóm đã chỉ rõ ý nghĩa của hai khái niệm căn bản nhất trong đề tài này, đó là "tài nguyên của website", "kiểm soát truy cập tài nguyên của website" Và trong phần cuối của chương 1, nhóm đề tài đã chỉ ra những hình thức kiểm soát truy cập tài nguyên được áp dụng trên các website trên Internet Trong chương 2, nhóm đề tài đã phân tích, làm rõ một số cơ chế kiểm soát truy cập tài nguyên được sử dụng trên các website trên Internet và đã được chỉ ra trong chương 1 Trong chương 3, trên cơ sở kết quả thu được ở chương 2, căn cứ vào việc phân tích đánh giá đặc điểm của hệ thống chia sẻ thông tin tiềm năng phục vụ nhu cầu của Học viện, nhóm đề tài đã đề xuất được giải pháp kiểm soát truy cập tài nguyên cho hệ thống đó Giải pháp đó bao gồm: cách thức định danh và phân nhóm người dùng, mô hình kiểm soát truy cập, chính sách truy cập và cách thức thực thi chính sách truy cập Trong chương 4 nhóm đã trình bày chi tiết về hệ thống cung cấp tài liệu điện tử có kiểm soát được xây dựng để minh họa cho việc ứng dụng một phần giải pháp kiểm soát truy cập tài nguyên đã được đề xuất ở chương 3 Hệ thống này tuy đơn giản nhưng đã cho thấy tính khả thi của giải pháp kiểm soát truy cập nêu trên Kết quả nghiên cứu đề tài có thể được ứng dụng theo hai hướng chính Thứ nhất là ứng dụng vào việc giảng dạy học phần "Xây dựng ứng dụng web an toàn" trong chương trình đào tạo kĩ sư chuyên ngành An toàn thông tin tại Học viện Thứ hai là ứng dụng vào việc xây dựng một hệ thống cung cấp tài liệu điện tử có kiểm soát để sử dụng cho Học viện nhằm đáp ứng nhu cầu tiếp cận thông tin của học viên, sinh viên và cán bộ, giảng viên Học viện Dù nhóm đề tài đã có sự nỗ lực trong nghiên cứu, nhưng vẫn còn tồn tại hạn chế trong kết quả nghiên cứu Các thông số trong giải pháp được đề xuất trong chương 3 chỉ mang tính chất định tính, nhóm đề tài chưa đủ khả năng để thực hiện nghiên cứu định lượng các thông số đó Xây dựng hệ thống minh họa tấn công Padding Oracle lên chế độ CBC của mã khối Tr.8 Như thế, hướng phát triển của đề tài là nghiên cứu, đánh giá các thông số của hệ thống cung cấp tài liệu điện tử tiềm năng của Học viên như: cơ sở hạ tầng mạng, cấu hình phần cứng máy chủ, số lượng người dùng từng nhóm, tập hợp tài nguyên được chia sẻ, mức độ ưu tiên giữa các nhóm người dùng, yêu cầu về tốc độ tối thiểu đối với từng nhóm người dùng Trên cơ sở đó thực hiện thí nghiệm, phân tích đánh giá để đưa ra các thông số định lượng cho giải pháp đã đề xuất Xây dựng hệ thống minh họa tấn công Padding Oracle lên chế độ CBC của mã khối Tr.9 TÀI LIỆU THAM KHẢO [1] Nguyễn Đình Vinh, Trần Đức Sự, Vũ Thị Vân, Giáo trình Cơ sở an toàn thông tin, Học viện Kỹ thuật mật mã, 2013 [2] Goyvaerts and Steven Levithan, Regular Expressions Cookbook, Second Edition, ISBN: 978-1-449-31943-4, 612pp., O'Reilly, 2012 [3] Jeffrey E F Friedl, Mastering Regular Expressions, Third Edition, ISBN: 978-0-59-652812-6, 542pp., O'Reilly, 2006 [4] NIST, A survey of access control models, http://csrc.nist.gov/news_events/privilege-management-workshop/PvMModel-Survey-Aug26-2009.pdf Xây dựng hệ thống minh họa tấn công Padding Oracle lên chế độ CBC của mã khối Tr.10 ... lên chế độ CBC mã khối Tr.8 Như th? ?, hướng phát triển đề tài nghiên cứu, đánh giá thông số hệ thống cung cấp tài liệu điện tử tiềm Học viên như: sở hạ tầng mạng, cấu hình phần cứng máy ch? ?, số. .. xuất Xây dựng hệ thống minh họa công Padding Oracle lên chế độ CBC mã khối Tr.9 TÀI LIỆU THAM KHẢO [1] Nguyễn Đình Vinh, Trần Đức S? ?, Vũ Thị Vân, Giáo trình Cơ sở an tồn thơng tin, Học viện Kỹ... sốt truy cập cân nhắc lựa chọn xây dựng ứng dụng web là: MAC, RBAC ABAC Xây dựng hệ thống minh họa công Padding Oracle lên chế độ CBC mã khối Tr.7 KẾT LUẬN Sau gần năm nghiên cứu, thử nghiệm,