Xây dựng giải pháp đảm bảo an toàn cho các truy cập từ xa tới hệ thông truy nã tội phạm của c14

ĐẠI HỌC QUỐC GIA HÀ NỘI TRƯỜNG ĐẠI HỌC CÔNG NGHỆ TRẦN THỊ PHƯƠNG THẢO XÂY DỰNG GIẢI PHÁP ĐẢM BẢO AN TOÀN CHO CÁC TRUY CẬP TỪ XA TỚI HỆ THỐNG TRUY NÃ TỘI PHẠM CỦA C14 LUẬN VĂN THẠC SĨ Hà Nội - 2010 ĐẠI HỌC QUỐC GIA HÀ NỘI TRƯỜNG ĐẠI HỌC CÔNG NGHỆ TRẦN THỊ PHƯƠNG THẢO XÂY DỰNG GIẢI PHÁP ĐẢM BẢO AN TOÀN CHO CÁC TRUY CẬP TỪ XA TỚI HỆ THỐNG TRUY NÃ TỘI PHẠM CỦA C14 Ngành: Công Nghệ Thông Tin Chuyên ngành: Hệ thống Thông tin Mã số: 60.48.05 LUẬN VĂN THẠC SĨ NGƯỜI HƯỚNG DẪN KHOA HỌC: TS Hồ Văn Canh Hà Nội - 2010 Mục lục MỞ ĐẦU Chương – TỔNG QUAN VỀ GIAO THỨC SSL 1.1 Giới thiệu giao thức SSL: 1.1.1 Sự đời phát triển giao thức SSL: 1.1.2 Cấ u trúc giao thức SSLv3: 1.1.3 Các giao thức SSLv3: 13 1.1.3.1 Giao thức Bắt tay SSL: 13 1.1.3.2 Giao thức Bản ghi SSL: 13 1.1.3.3 Change cipher spec protocol: 14 1.1.3.4 Alert protocol: 15 1.2 Hoạt động giao thức SSL: 15 1.2.1 Thiết lập phiên làm việc: 15 1.2.2 Mã hóa liệu: 19 1.2.3 Kiểm tra tồn vẹn thơng tin 22 1.2.4 Tính an tồn SSL: 24 1.3 Mạng riêng ảo dựa giao thức SSL 25 1.3.1 VPN SSL hướng ứng dụng: 26 1.3.1.1 Nguyên lý hoạt động VPN SSL hướng ứng dụng: 26 1.3.1.2 Ưu điểm hạn chế của VPN SSL hướng ứng dụng: 28 1.3.2 VPN SSL kiểu gateway: 29 1.3.2.1 Nguyên lý hoạt động VPN SSL kiểu gateway: 29 1.3.2.2 Ưu điểm hạn chế VPN SSL theo kiểu gateway: 30 Chương - ỨNG DỤNG GIAO THỨC SSL ĐỂ ĐẢM BẢO AN TOÀN CHO CÁC TRUY NHẬP TỪ XA TỚI TRANG THÔNG TIN TRUY NÃ TỘI PHẠM 30 2.1 Mục tiêu, yêu cầu hệ thống bảo đảm an toàn cho truy nhập từ xa tới Trang thông tin truy nã tội phạm 30 2.1.1 Mục tiêu hệ thống 31 2.1.2 Yêu cầu hệ thống 31 2.2 Phân tích, thiết kế hệ thống bảo đảm an toàn cho truy nhập từ xa tới Trang thông tin truy nã tội phạm 32 2.2.1 Phân tích mơ hình kết nối hệ thống 32 2.2.2 Thiết kế mô-đun quản lý cấp phát chứng số cho người dùng điều khiển truy nhập, quyền thao tác chức hệ thống 34 2.2.2.1 Quản lý cấp phát tài khoản chứng số cho người dùng 34 2.2.2.2 Xác thực điều khiển truy nhập 41 2.3 Xây dựng chế phân quyền cho nhóm người dùng truy nhập từ xa tới Trang thông tin truy nã tội phạm 45 2.3.1 Phân chia nhóm người dùng 45 2.3.2 Cơ chế phân quyền cho nhóm người dùng 47 Chương - ĐẢM BẢO AN TOÀN CHO TRUY NHẬP TỪ XA TỚI TRANG THÔNG TIN TRUY NÃ TỘI PHẠM 48 3.1 Đăng ký cấp phát tài khoản, chứng cho người dùng 50 3.1.1 Đăng ký tài khoản người dùng 50 3.1.2 Ký duyệt người dùng 52 3.1.3 Quản trị người dùng kích hoạt tài khoản người 54 3.1.4 Người dùng đăng nhập lần đầu tải chứng để cài đặt 56 3.1.5 Cài đặt chứng vào trình duyệt 58 3.2 Xác thực người dùng truy nhập hệ thống thiết lập kênh riêng ảo 62 3.2.1 Cài đặt cấu hình hệ thống phép xác thực, thiết lập kênh riêng ảo dựa SSL 62 3.2.2 Xác thực người dùng tên mật đăng nhập 63 3.2.3 Xác thực người dùng dựa chứng số thiết lập kênh riêng ảo 64 3.3 Phân quyền điều khiển truy nhập người dùng 66 3.3.1 Điều khiển cấp quyền truy nhập người dùng 66 3.3.2 Hoạt động điều khiển truy nhập người dùng thông menu 67 KẾT LUẬN 70 TÀI LIỆU THAM KHẢO 71 BẢNG KÝ HIỆU CÁC CHỮ VIẾT TẮT CA CCS Certificate Authentication ChangeCipherSpec CSDL DNS FTP IP IPSec ISO LAN LDAP Cơ sở liệu Domain Name System File Transfer Protocol Internet Protocol Internet Protocol Security Open Systems Interconnection Local Area Network Lightweight Directory Access Protocol MAC NFS Message Authentication Code Network File System PCT Private communication Technology POP Post Office Protocol RAS RSA SHTTP Remote Access Services Rivest Shamir Adleman Secure HyperText Transfer Protocol SNMP Simple Network Management Protocol SSL SSL 1.0 SSL 2.0 SSL 3.0 SSLHP SSLRP SSLv3 TCP Secure Sockets Layer SSL version SSL version SSL version SSL Handshake Protocol SSL Record Protocol SSL version Transmission Control Protocol TLS UDP Transport Layer Security User DataGram Protocol URL Uniform Resource Locator Giấy chứng nhận xác thức thị cho thay đổi tham số bảo mật Dịch vụ tên miền Giao thức truyền tập tin Giao thức định tuyến Internet Giao thức bảo mật IP Kết nối hệ thống mở Mạng cục Giao thức ứng dụng truy cập cấu trúc thư mục Mã Xác thực Tin nhắn Giao thức cung cấp dịch vụ tệp từ xa Công nghệ truyền thông cá nhân Giao thức dùng để nhận mail từ mail server Dịch vụ truy cập từ xa Mã hóa RSA Giao thức bảo mật mức tài liệu liệu Tập giao thức quản lý thiết bị mạng từ xa Giao thức bảo mật tầng mạng SSL phiên 1.0 SSL phiên 2.0 SSL phiên 3.0 Giao thức bắt tay Giao thức ghi SSL phiên 3.0 Giao thức điều khiển truyền vận Bảo mật tầng giao vận Giao thức liệu người sử dụng Đường dẫn tham chiếu tới tài nguyên Internet VPN Virtual Private Networks Mạng riêng ảo DANH MỤC HÌNH Hình 1.1: Sơ đồ quan hệ giao thức SSL mơ hình tham chiếu ISO 10 Hình 1.2: Mơ hình phân tầng giao thức SSL 12 Hình 1.3 Sơ đồ cấu trúc ghi SSL 13 Hình 1.4: Quá trình bắt tay giao thức SSL Handshake 17 Hình 1.5: Quá trình hoạt động giao thức Record SSL 21 Hình 1.6: Bảng Các thành phần thông tin trạng thái Session SSL 22 Hình 1.7: Bảng thành phần thơng tin trạng thái nối kết SSL 22 Hình 1.8: Q trình đảm bảo tính tồn vẹn thơng tin 23 Hình 1.9: Sơ đồ nguyên lý hoạt động SSL VPN hướng ứng dụng 27 Hình 1.10: Mơ hình tham chiếu ISO SSL VPN hướng ứng dụng 28 Hình 1.11: Mơ hình tham chiếu ISO SSL VPN hướng gateway 30 Hình 2.1: Mơ hình kết nối mạng đến Trang thơng tin truy nã tội phạm 33 Hình 2.2: Quy trình cấp phát tài khoản chứng số cho người dùng 35 Hình 2.3: Lưu đồ nhập liệu để đăng ký thông tin người dùng 36 Hình 2.4: Lưu đồ hoạt động chức ký duyệt người dùng 38 Hình 2.5: Lưu đồ thuật tốn chức kích hoạt người dùng 39 Hình 2.6: Lưu đồ hoạt động chức tạo tải chứng dạng pkcs12 41 Hình 2.7: Lưu đồ chức xác thực người dùng 42 Hình 2.8: Lưu đồ thuật toán điều khiển truy nhập 44 Hình 2.9: Điều khiển truy nhập trường hợp truy nhập đường link trực tiếp 45 Hình 2.10: Biểu đồ chức nghiệp vụ Hệ thống Quản lý thông tin truy nã tội phạm 46 Hình 3.1: Giao diện Trang thông tin truy nã tội phạm chưa đăng nhập 49 Hình 3.2: Giao diện Đăng ký người dùng 51 Hình 3.3: Trang kiểm tra thơng tin đăng ký tài khoản người dùng 52 Hình 3.4: Màn hình thơng báo kết đăng ký tài khoản người dùng 52 Hình 3.5: Trang cá nhân người lãnh đạo có người dùng đợi ký 53 Hình 3.6: Danh sách tài khoản đăng ký mớ chờ ký duyệt 53 Hình 3.7: Thơng tin chi tiết người dùng chờ ký duyệt 54 Hình 3.8: Trang cá nhân người quản trị có người dùng đợi kích hoạt 55 Hình 3.9: Bảng danh sách người dùng đợi kích hoạt 55 Hình 3.10: Giao diện kích hoạt tài khoản người dùng 56 Hình 3.11: Giao diện người dùng đăng nhập lần đầu 57 Hình 3.12: Giao diện thông báo tạo chứng người dùng xong 57 Hình 3.14: Cài đặt chứng số từ tệp chứng 58 Hình 3.15: Giao diện cài đặt chứng số theo Winzard 59 Hình 3.16: Giao diện yêu cầu nhập mật bảo vệ chứng 59 Hình 3.17: Giao diện lựa chọn khu vực chứa chứng số 60 Hình 3.18: Giao diện hoàn thành việc cài đặt chứng số 60 Hình 3.19: Lựa chọn cấp độ bảo vệ khóa bí mật 61 Hình 3.20: Khởi tạo mật bảo vệ trình chứng số 61 Hình 3.21: Thơng báo tiến trình cài đặt chứng vào trình duyệt thành cơng 62 Hình 3.22: Giao diện đăng nhập yêu cầu trình chứng người dùng 64 Hình 3.23: Giao diện người dùng sau đăng nhập thành công 65 Hình 3.24: Giao thức https sử dụng để kết nối trình duyệt người dùng với hệ thống 65 Hình 3.25: Hiển thị trạng thái kết nối có bảo đảm an tồn dựa giao thức SSL 65 Hình 3.26: Menu hệ thống người dùng chưa đăng nhập 68 Hình 3.27: Menu hệ thống người dùng thuộc nhóm Quản trị hệ thống đăng nhập 68 MỞ ĐẦU Hiện có nhiều yêu cầu truy nhập từ xa tới trang thông tin điện tử mạng Internet để trao đổi thông tin, liệu ứng dụng chạy Web Server Để đảm bảo an toàn cho truy nhập từ xa, thơng tin, liệu xác tới trang thông tin điện tử Bộ, Ban, ngành nước ta việc làm cần thiết có ý nghĩa thực tiễn phù hợp với xu hướng ứng dụng phát triển công nghệ thông tin nước ta Trong ngành Cơng an, thơng tin xác phục vụ công tác nghiệp vụ quan trọng, đặc biệt thông tin truy nã tội phạm Thông tin truy nã tội phạm thơng tin có yếu tố pháp lý Nếu thơng tin bị sai lệnh ảnh hưởng đến quyền cơng dân Vì vậy, thơng tin, liệu lưu giữ Trang thông tin truy nã tội phạm phải đảm bảo an tồn có khả xác thực người cung cấp thông tin lên Trang thông tin truy nã tội phạm Trang thông tin truy nã tội phạm xây dựng nhằm tạo địa cung cấp thông tin đối tượng truy nã chung cho công an đơn vị, địa phương; cho phép công an đơn vị, địa phương chủ động cung cấp thơng tin đối tượng phát lệnh truy nã cho lực lượng cơng an tồn quốc Đồng thời, cho phép công an đơn vị, địa phương nhập thông tin đối tượng truy nã bị bắt có định đình nã Do mạng nội Bộ Công an kết nối tới công an tỉnh, thành phố số phòng, quận, huyện nên việc truy nhập đến Trang thông tin truy nã tội phạm phải sử dụng phương thức truy nhập qua đường dial-up qua kênh VPN mạng cơng cộng Vì vậy, việc đảm bảo u cầu an tồn thơng tin cho Trang thông tin truy nã tội phạm giải pháp an toàn cho kết nối từ xa tới Trang thông tin truy nã tội phạm cần thiết ngành Cơng an Với tính cấp thiết vậy, Học viên xin đăng ký với Nhà trường làm luận văn tốt nghiệp đề tài "Xây dựng giải pháp đảm bảo an toàn cho truy cập từ xa tới hệ thống truy nã tội phạm C14" Nhà trường chấp thuận Mục tiêu đề tài nghiên cứu, tìm hiểu cấu trúc, nguyên lý hoạt động giao thức SSL, nghiên cứu xác thực chứng thư số dựa giao thức SSL, mạng riêng ảo dựa giao thức SSL từ lựa chọn giải pháp thích hợp đảm bảo an toàn cho truy nhập từ xa tới hệ thống truy nã tội phạm C14 Cấu trúc Luận văn gồm có phần Mở đầu, Chương phần Kết luận Ngoài phần Mở đầu, phần kết luận, tài liệu tham khảo, Luận văn gồm: Chương 1: Nghiên cứu giao thức SSL, mạng riêng ảo dựa giao thức SSL Chương 2: Ứng dụng giao thức SSL để đảm bảo an toàn cho truy nhập từ xa tới trang thông tin truy nã tội phạm Chương 3: Hoạt động cấp chứng chỉ, xác thực điều khiển truy nhập trang thông tin truy nã tội phạm Xây dựng chức cấp phát chứng số cho người dùng mới, chức xác thực điều khiển truy nhập, từ xây dựng giải pháp sử dụng SSL VPN (sử dụng giao thức https) để đảm bảo an toàn cho truy nhập từ xa tới hệ thống truy nã tội phạm C14 số vào trình duyệt máy tính người dùng để dùng cho lần đăng nhập vào hệ thống lần Hình 3.11: Giao diện người dùng đăng nhập lần đầu Sau nhập mật xong kích chuột vào nút Chấp nhận, hệ thống kiểm tra mật hai lần nhập Nếu sai, hệ thống yêu cầu nhập lại Nếu đúng, hệ thống tiến hành tạo chứng dạng pkcs12 có chứa khóa riêng người dùng trả trình duyệt giao diện thơng báo Hình 3.12 Hình 3.12: Giao diện thơng báo tạo chứng người dùng xong Người dùng kích chuột vào nút Download để tải tệp chứng để ghi vào thư mục máy tính (Hình 3.13) Người dùng có trách nhiệm lưu giữ bảo vệ file chứng để sử dụng đăng nhập thao tác với hệ thống Hình 3.13: Tải chứng người dùng máy Đến đây, quy trình tạo tài khoản người dùng hoàn tất Người dùng phải cài đặt tệp chứng vừa tải lên máy từ lần đăng nhập tiếp theo, hệ thống yêu cầu người dùng trình chứng đăng nhập Nếu lý người dùng tệp chứng chỉ, người dùng phải liên lạc với người quản trị hệ thống biết phép tải lại tệp chứng 3.1.5 Cài đặt chứng vào trình duyệt Việc cài đặt chứng số phép thực kết nối có bảo đảm an tồn đến Hệ thống quản lý thông tin truy nã tội phạm thực cài đặt chứng vào trình duyệt Tại thư mục có chứa tệp chứng cần cài, người dùng việc kích chuột phải lên tệp chứng chọn Install PFX (Hình 3.14) Hình 3.14: Cài đặt chứng số từ tệp chứng Giao diện Certificate Import Wizard (Hình 3.15) xuất hiện, chọn Next để tiếp tục thực theo bước hướng dẫn Hình 3.15: Giao diện cài đặt chứng số theo Winzard Khi yêu cầu nhập mật bảo vệ chứng (Hình 3.16) Người dùng phải nhập mật cung cấp để khởi tạo tệp chứng pkcs12 Hình 3.16: Giao diện yêu cầu nhập mật bảo vệ chứng Trong giao diện này, người dùng lựa chọn bảo vệ mật xuất trình chứng số cách đánh dấu chọn vào hộp chọn “Enable strong private key ” Sau đó, kích chuột vào nút Next để tiếp tục Giao diện lựa chọn nơi lưu giữ chứng số xuất (Hình 3.17) Chọn “Automatically …” để máy tính tự động lựa chọn kích chuột vào nút Next để tiếp tục Giao diện thơng báo hồn thành việc cài đặt chứng số xuất (Hình 3.18) Hình 3.17: Giao diện lựa chọn khu vực chứa chứng số Hình 3.18: Giao diện hồn thành việc cài đặt chứng số Người dùng việc kích chuột vào nút Finish để kết thúc trình cài đặt chứng số Khi giao diện chọn cấp độ bảo vệ khóa bí mật xuất (Hình 3.19) Hình 3.19: Lựa chọn cấp độ bảo vệ khóa bí mật Nếu cần thiết lập chế độ an tồn khóa, chọn cấp độ “High” “Medium” kích chuột vào nút Next để tiếp tục Máy tính yêu cầu người dùng cung cấp mật để sử dụng trình duyệt phải trình chứng số (Hình 3.20) Hình 3.20: Khởi tạo mật bảo vệ trình chứng số Đến đây, việc cài đặt chứng vào trình duyệt hồn tất Để kết thúc việc cài đặt chứng chỉ, người dùng kích chuột vào nút “Finish” Thơng báo q trình cài đặt thành cơng xuất (Hình 3.21), người dùng kích vào nút “OK” để khỏi tiến trình cài đặt Hình 3.21: Thơng báo tiến trình cài đặt chứng vào trình duyệt thành cơng 3.2 Xác thực người dùng truy nhập hệ thống thiết lập kênh riêng ảo 3.2.1 Cài đặt cấu hình hệ thống phép xác thực, thiết lập kênh riêng ảo dựa SSL Trong vấn đề đảm bảo an toàn cho truy nhập từ xa, xác thực điều khiển truy nhập có vấn đề quan trọng mã hóa đường truyền bảo đảm tính tồn vẹn thơng tin Hai nhiệm vụ thực giao thức SSL Hệ thống Quản lý thông tin truy nã tội phạm sử dụng phần mềm Webserver Apache hỗ trợ giao thức SSL để cung cấp dịch vụ thực chế bảo vệ thông qua thiết lập mạng riêng ảo dựa SSL Việc cấu hình Webserver Apache để hoạt động với giao thức SSL thực cách đưa đoạn mã lệnh sau vào tệp httpd.conf: ================================================= # Config SSL Protocol # ================================================= Listen 443 NameVirtualHost *:443 SSLPassPhraseDialog builtin SSLOptions +StdEnvVars SSLVerifyClient optional SSLEngine on SSLCipherSuite ALL:!ADH:!EXPORT56:RC4+RSA:+HIGH:+MEDIUM:+LOW:+SSLv2:+EXP: +eNULL SSLCertificateFile "/opt/apache2/conf/server.crt" SSLCertificateKeyFile "/opt/apache2/conf/server.key" SSLCACertificateFile "/opt/apache2/conf/CA.crt" Trong đoạn mã cấu hình SSL trên, phần in đậm, nghiêng phần thiết lập đường dẫn đến tệp chứng số hệ thống Việc sử dụng chứng số riêng đảm bảo ngăn chặn công kiểu “man-in-the-middle” Với việc cấu trên, máy chủ cung cấp dịch vụ Web hỗ trợ giao thức SSL với cổng sử dụng cổng 443 Để bảo đảm an toàn, phần mềm Hệ thống thông tin truy nã tội phạm xây dựng thành hai phần:  Phần thông tin thông thường cho phép người dùng truy nhập cung cấp qua dịch vụ web thông thường sử dụng giao thức http với cổng 80, không yêu cầu xác thực người dùng mã hóa đường truyền  Phần thông tin sử dụng với chức liên quan đến thao tác với hệ thống Quản lý thông tin truy nã tội phạm cung cấp qua dịch vụ web có bảo đảm an tồn sử dụng giao thức https với cổng 443 Khi truy nhập có yêu cầu xuất trình chứng số thiết lập kênh riêng có mã hóa liệu đường truyền Việc mã hóa cài đặt thị SSLCipherSuite phần cấu hình server, thị định mức độ thuật tốn mã hóa, thuật tốn phân phối khóa, thuật tốn băm sử dụng thực giao dịch SSL an toàn Như vậy, hoạt động liên quan đến tác nghiệp với Hệ thống quản lý thông tin truy nã tội phạm sử dụng với cổng 443, bảo đảm an toàn liệu dựa giao thức SSL phân tích chương 3.2.2 Xác thực người dùng tên mật đăng nhập Mỗi người dùng truy nhập đến hệ thống yêu cầu đăng nhập, hệ thống yêu cầu cung cấp tên đăng nhập mật (Hình 3.22) Hình 3.22: Giao diện đăng nhập yêu cầu trình chứng người dùng Người dùng phải cung cấp mật tên đăng nhập theo tài khoản mà người dùng cấp, sau kích chuột vào nút đăng nhập Hệ thống kiểm tra, xác thực dựa tên đăng nhập mật khẩu, thấy hợp lệ, truy nhập người dùng đến hệ thống chuyển sang giao thức https người dùng yêu cầu trình chứng phía client (Hình 3.21) Người dùng phải trình chứng cấp cho tài khoản sử dụng để đăng nhập Khi nhận chứng số phía client, hệ thống tiến hành xác thực dựa chứng số 3.2.3 Xác thực người dùng dựa chứng số thiết lập kênh riêng ảo Trong trình xác thực chứng chỉ, hệ thống kiểm tra tính hợp lệ chứng chỉ, sau kiểm tra trùng khớp thông tin chứng thông tin người dùng sở liệu để đảm bảo người dùng xuất trình chứng Tránh trường hợp người dùng đăng nhập vào tài khoản lại sử dụng chứng người dùng khác Nếu chứng không hợp lệ thông tin không trùng khớp, hệ thống từ chối truy nhập người dùng Nếu chứng trình phù hợp, truy nhập người dùng chuyển hoàn toàn sang chế độ bảo vệ dựa SSL (Hình 3.23) Hình 3.23: Giao diện người dùng sau đăng nhập thành công Trên cửa sổ địa trình duyệt cho thấy giao thức đăng sử dụng giao thức https (Hình 3.24) Còn trạng thái trình duyệt có biểu tượng thị mã hóa kênh truyền dựa SSL Nếu chuột vào biểu tượng này, ta biết độ dài khóa mã hóa giao thức SSL sử dụng Trong trường hợp này, độ dài khóa mã hóa 128 bit (Hình 3.25) Hình 3.24: Giao thức https sử dụng để kết nối trình duyệt người dùng với hệ thống Hình 3.25: Hiển thị trạng thái kết nối có bảo đảm an tồn dựa giao thức SSL 3.3 Phân quyền điều khiển truy nhập người dùng Chức điều khiển truy nhập hoạt động dựa vào thông tin người dùng xác thực để cấp quyền cung cấp chức tương ứng hệ thống theo nhóm quyền người dùng Như Chương II trình bày, người dùng hệ thống phân chia thành nhóm người dùng có quyền tương ứng theo nhóm Quyền người dùng người lãnh đạo cấp ký duyện tài khoản người dùng Thông tin quyền truy nhập thao tác với hệ thống người dùng lưu giữ CSDL tài khoản 3.3.1 Điều khiển cấp quyền truy nhập người dùng Việc điều khiển cấp quyền truy nhập người dùng hệ thống thực thông qua việc điều khiển kích hoạt mục menu hệ thống Đoạn mã lệnh sử dụng để điều khiển menu hệ thống theo nhóm người dùng hệ thống if ($menunhom == 'SIGN_DATA'){ for ($i=0; $i