Bảo mật WLAN bằng RADIUS Server và WPA2

Bảo mật WLAN bằng RADIUS Server và WPA2

Bảo mật WLAN bằng RADIUS Server và WPA2MỞ ĐẦU Công nghệ không dây là một phương pháp chuyển giao từ điểm này đến điểm khác sử dụng sóng vô tuyến. Mạng không dây ngày nay bắt nguồn từ nhiều giai đoạn phát triển của thông tin vô tuyến, những ứng dụng điện báo và radio. Mặc dầu một vài phát minh xuất hiện từ những năm 1800, nhưng sự phát triển nổi bật đạt được vào kỷ nguyên của công nghệ điện tử và chịu ảnh hưởng lớn của nền kinh tế học hiện đại, cũng như các khám phá trong lĩnh vực vật lý. Cho đến nay, mạng không dây đã đạt được những bước phát triển đáng kể. Tại một số nước có nền công nghệ thông tin phát triển, mạng không dây thực sự đi vào cuộc sống. Chỉ cần một laptop, PDA hoặc một phương tiện truy nhập mạng không dây bất kỳ, chúng ta có thể truy nhập vào mạng ở bất cứ nơi đâu, trên cơ quan, trong nhà, ngoài đường, trong quán cafe, trên máy bay v.v, bất cứ nơi đâu nằm trong phạm vi phủ sóng của WLAN. Tuy nhiên chính sự hỗ trợ truy nhập công cộng, các phương tiện truy nhập lại đa dạng, đơn giản, cũng như phức tạp, kích cỡ cũng có nhiều loại, đã đem lại sự đau đầu cho các nhà quản trị trong vấn đề bảo mật. Làm thế nào để tích hợp được các biện pháp bảo mật vào các phương tiện truy nhập, mà vẫn đảm bảo những tiện ích như nhỏ gọn, giá thành, hoặc vẫn đảm bảo hỗ trợ truy cập công cộng v.v. Cũng chính vì lý do này mà tôi đã chọn đề tài “Bảo mật WLAN bằng RADIUS Server và WPA2” cho khóa luận của mình. Trong phạm vi khóa luận tôi sẽ trình bày một cái nhìn tổng quan về WLAN, lịch sử phát triển, chuẩn thực hiện, một số đặc tính kỹ thuật, các khuyến cáo về bảo mật, các phương pháp bảo mật vốn có và các giải pháp được đề nghị. Trong suốt thời gian thực hiện khóa luận tốt nghiệp, tôi đã nhận được sự giúp đỡ, chỉ bảo tận tình của thầy cô khoa CNTT, trường Đại học Duy Tân. Vậy cho phép tôi được bày tỏ lòng biết ơn sâu sắc tới sự giúp đỡ đó. Đặt biệt tôi xin chân thành cảm ơn thầy Nhuyễn Gia Như – Trưởng Khoa CNTT, người đã trực tiếp hướng dẫn và tạo mọi điều kiện thuận lợi giúp đỡ tôi hoàn thành khóa luận này.SVTH: Đặng Ngọc Cường, K10-101-0003 Trang 2 Bảo mật WLAN bằng RADIUS Server và WPA2 Qua đây tôi cũng xin cảm ơn gia đình và bạn bè đã tạo điều kiện, giúp đỡ và động viên tôi hoàn thành khóa luận đúng thời hạn. Khóa luận này được chia làm 4 chương:• Chương 1 Trình bày một cái nhìn tổng quan về WLAN, công nghệ sử dụng, các chuẩn, các đặt tính kỹ thuật và thực trạng bảo mật Wlan ở Việt Nam.• Chương 2 Trình bày về các hình thức tấn công Wlan phổ biến hiện nay như: Rogue Access point, De-Authentication Flood Attack, Fake Access point, tấn công dựa trên sự cảm nhận lớp vật lý, Disassociation Flood Attack …• Chương 3 Trình bày về các giải pháp bảo mật phổ biến hiện nay như: Wep, Wlan VPN, 802.1x, WPA, WPA2, Filtering … và các ưu nhược điểm của chúng như thế nào.• Chương 4 Trình bày về việc sử dụng RADIUS Server và WPA2 cho quá trình xác thực trong WLAN. Trong quá trình làm khóa luận sẽ không tránh khỏi những thiếu sót. Rất mong sự góp ý kiến của quý thầy cô và bạn bè để khóa luận này được hoàn chỉnh hơn.Đà Nẵng, ngày 09 tháng 5 năm 2008Sinh viên thực hiệnĐặng Ngọc Cường SVTH: Đặng Ngọc Cường, K10-101-0003 Trang 3 Bảo mật WLAN bằng RADIUS Server và WPA2MỤC LỤCMỞ ĐẦU .2MỤC LỤC .4DANH MỤC CÁC HÌNH VẼ 6DANH MỤC CÁC BẢNG BIỂU .8DANH MỤC CÁC CỤM TỪ VIẾT TẮT 9TÀI LIỆU THAM KHẢO 11CHƯƠNG 1. MẠNG CỤC BỘ KHÔNG DÂY 121.1 TỔNG QUAN VỀ WLAN 121.1.1 Lịch sử hình thành và phát triển .121.1.2 Ưu điểm của WLAN 131.1.3 Nhược điểm của WLAN 131.2 CÁC CHUẨN THÔNG DỤNG CỦA WLAN 141.2.1 Chuẩn IEEE 802.11b .151.2.2 Chuẩn IEEE 802.11a 151.2.3 IEEE 802.11g 161.2.4 Chuẩn IEEE 802.11n .171.2.5 So sánh các chuẩn IEEE 802.11x .181.3 CẤU TRÚC VÀ CÁC MÔ HÌNH WLAN 231.3.1 Cấu trúc cơ bản của WirelessLAN 231.3.2 Các thiết bị hạ tầng mạng không dây .241.3.2 Các mô hình WLAN 281.4 THỰC TRẠNG VỀ BẢO MẬT WLAN HIỆN NAY .30CHƯƠNG 2. CÁC HÌNH THỨC TẤN CÔNG WLAN .322.1 ROGUE ACCESS POINT 322.2 TẤN CÔNG YÊU CẦU XÁC THỰC LẠI .342.3 FAKE ACCESS POINT .352.4 TẤN CÔNG DỰA TRÊN SỰ CẢM NHẬN SÓNG MANG LỚP VẬT LÝ .352.5 TẤN CÔNG NGẮT KẾT NỐI 36CHƯƠNG 3. CÁC GIẢI PHÁP BẢO MẬT WLAN .383.1 TẠI SAO PHẢI BẢO MẬT WLAN? .383.2 WEP .39 3.3 WLAN VPN 403.4 TKIP (TEMPORAL KEY INTEGRITY PROTOCOL) 413.5 AES 413.6 802.1X VÀ EAP .413.7 WPA (WI-FI PROTECTED ACCESS) .433.8 WPA2 .443.9 LỌC (FILTERING) 443.10 KẾT LUẬN 47CHƯƠNG 4. BẢO MẬT WLAN BẰNG PHƯƠNG PHÁP XÁC THỰC RADIUS SERVER VÀ WPA2 49 4.1 GIỚI THIỆU TỔNG QUAN 49SVTH: Đặng Ngọc Cường, K10-101-0003 Trang 4 Bảo mật WLAN bằng RADIUS Server và WPA24.1.1 Xác thực, cấp phép và kiểm toán 494.1.2 Sự bảo mật và tính mở rộng .514.1.3 Áp dụng RADIUS cho WLAN 524.1.4 Các tùy chọn bổ sung .534.1.5 Chúng ta sẽ lựa chọn máy chủ RADIUS như thế nào là hợp lý? .544.2 MÔ TẢ HỆ THỐNG 564.3 QUY TRÌNH CÀI ĐẶT .574.3.1 Bước 1: Cài DHCP 574.3.2 Bước 2: Cài Enterprise CA 574.3.3 Bước 3: Cài Radius 584.3.4 Bước 4: Chuyển sang Native Mode 584.3.5 Bước 5: Cấu hình DHCP 584.3.6 Bước 6: Cấu hình Radius .594.3.7 Bước 7: Tạo users, cấp quyền Remote access cho users và cho computer 604.3.8 Bước 8: Tạo Remote Access Policy .614.3.9 Bước 9: Cấu hình AP và khai báo địa chỉ máy RADIUS 634.3.10 Bước 10: Cấu hình Wireless Client 644.4 DEMO 66KẾT LUẬN VÀ HƯỚNG MỞ .70SVTH: Đặng Ngọc Cường, K10-101-0003 Trang 5 Bảo mật WLAN bằng RADIUS Server và WPA2DANH MỤC CÁC HÌNH VẼHình 1.1 Phạm vi của WLAN trong mô hình OSI 15Hình 1.2 Logo Wi-fi 18Hình 1.3 Tốc độ truyền tải so với các chuẩn khác 19Hình 1.4 Cấu trúc WLAN 22Hình 1.5 Access Points 25Hình 1.6 ROOT MODE .26Hình 1.7 BRIDGE MODE .27Hình 1.8 REPEATER MODE 27Hình 1.9 Card PCI Wireless .28Hình 1.10 Card PCMCIA Wireless 28Hình 1.11 Card USB Wireless .29Hình 1.12 Mô hình mạng AD HOC .29Hình 1.13 Mô hình mạng cơ sở .30Hình 1.14 Mô hình mạng mở rộng .31Hình 2.1 Mô hình tấn công “yêu cầu xác thực lại” .35Hình 2.2 Mô hình tấn công Fake Access Point .36Hình 2.3 Mô hình tấn công ngắt kết nối 37Hình 3.1 Truy cập trái phép mạng không dây 39Hình 3.2 Mô hình WLAN VPN .41Hình 3.3 Mô hình hoạt động xác thực 802.1x 43Hình 3.4 Tiến trình xác thực MAC 46Hình 3.5 Lọc giao thức 47Hình 4.1 Mô hình xác thực giữa Wireless Clients và RADIUS Server .50Hình 4.2 Wireless Clients, AP và RADIUS Server 57SVTH: Đặng Ngọc Cường, K10-101-0003 Trang 6 Bảo mật WLAN bằng RADIUS Server và WPA2Hình 4.3 Enterprise CA .58Hình 4.4 Raise domain functional level .59Hình 4.5 Kết quả cấu hình DHCP 60Hình 4.6 Register Server in Active Directory .60Hình 4.7 Khai báo radius client .61Hình 4.8 Active Directory Users and Computers .62Hình 4.9 New Remote Access Policy .62Hình 4.10 Access mode là “Wireless” .63Hình 4.11 User or Group Access .63Hình 4.12 EAP type .64Hình 4.13 Kết quả tạo Remote Access Policy 64Hình 4.14 Cấu hình Access Point 65Hình 4.15 Wireless Network Connection Properties 66Hình 4.16 Cấu hình Network Authentication và Data Encryption 66Hình 4.17 Cấu hình EAP type 67Hình 4.18 Kết quả sau khi đăng nhập vào hệ thống .67Hình 4.19 Trạng thái kết nối 68Hình 4.20 Các thông số được cấp bởi DHCP server như IP, DNS server, Default Gateway … 68Hình 4.21 Event Viewer 69Hình 4.22 Information Properties 69SVTH: Đặng Ngọc Cường, K10-101-0003 Trang 7 Bảo mật WLAN bằng RADIUS Server và WPA2DANH MỤC CÁC BẢNG BIỂUBảng 1.1 Một số thông số kỹ thuật của chuẩn IEEE 802.11b .16Bảng 1.2 Một số thông số kỹ thuật của chuẩn IEEE 802.11a .17Bảng 1.3 Một số thông số kỹ thuật của chuẩn IEEE 802.11g .17Bảng 1.4 Một số thông số kỹ thuật của chuẩn IEEE 802.11n .18Bảng 1.5 So sánh các chuẩn IEEE 802.11x 19Bảng 3.1 Escalating Security .48SVTH: Đặng Ngọc Cường, K10-101-0003 Trang 8 Bảo mật WLAN bằng RADIUS Server và WPA2DANH MỤC CÁC CỤM TỪ VIẾT TẮTAP Access Point Điểm truy cậpAAA Authentication, Authorization, và Access ControlXác thực, cấp phép và kiểm toánAES Advanced Encryption Standard Tiêu chuẩn mã hóa tiên tiếnBSSs Basic Service Sets Mô hình mạng cơ sởCHAP Challenge-handshake authentication protocolGiao thức xác thực yêu cầu bắt tayDES Data Encryption Standard Tiêu chuẩn mã hóa dữ liệuDS Distribution system Hệ thống phân phốiDSSS Direct sequence spread spectrumTrải phổ trực tiếpEAP Extensible Authentication ProtocolGiao thức xác thực mở rộngESSs Extended Service Sets Mô hình mạng mở rộngFCC Federal Communications CommissionỦy ban truyền thông Liên bang Hoa KỳFHSS Frequency-hopping spread spectrumTrải phổ nhảy tầnIBSSs Independent Basic Service Sets Mô hình mạng độc lập hay còn gọi là mạng Ad hocIDS Intrusion Detection System Hệ thống phát hiện xâm nhậpIEEE Institute of Electrical and Electronics EngineersViện kỹ thuật điện và điện tử của MỹIPSec Internet Protocol Security Tập hợp các chuẩn chung nhất (industry-defined set) trong việc kiểm tra, xác thực và mã hóa các dữ liệu dạng packet trên tầng Network (IPISM Industrial, scientific and medicalBăng tầng dành cho công nghiệp, khoa học và y họcISP Internet service provider Nhà cung cấp dịch vụ InternetLAN Local Area Network Mạng cục bộMAC Medium Access Control Điều khiển truy cập môi trườngSVTH: Đặng Ngọc Cường, K10-101-0003 Trang 9 Bảo mật WLAN bằng RADIUS Server và WPA2MAN Metropolitan Area Network Mạng đô thịMIC Message integrity check Phương thức kiểm tra tính toàn vẹn của thông điệpN/A Not Applicable Chưa sử dụngNAS Network access server Máy chủ truy cập mạngNIST Nation Instutute of Standard and TechnologyViện nghiên cứu tiêu chuẩn và công nghệ quốc giaOFDM Orthogonal frequency division multiplexingTrải phổ trực giaoPC Persional Computer Máy tính cá nhânPDA Persional Digital Assistant Máy trợ lý cá nhân dùng kỹ thuật sốPEAP Protected Extensible Authentication ProtocolGiao thức xác thực mở rộng được bảo vệPPP Point-to-Point Protocol Giao thức liên kết điểm điểmPSK Preshared Keys Khóa chia sẻRADIUS Remote Authentication Dial In User ServiceDịch vụ truy cập bằng điện thoại xác nhận từ xaRF Radio frequency Tần số vô tuyếnSLIP Serial Line Internet Protocol Giao thức internet đơn tuyếnSSID Service set identifier Bộ nhận dạng dịch vụTKIP Temporal Key Integrity ProtocolGiao thức toàn vẹn khóa thời gianUDP User Datagram Protocol Là một giao thức truyền tảiVLAN Virtual Local Area Network Mạng LAN ảoVPN Virtual Private Network Mạng riêng ảoWEP Wired Equivalent Privacy Bảo mật tương đương mạng đi dâyWI-FI Wireless Fidelity Hệ thống mạng không dây sử dụng sóng vô tuyếnWLAN Wireless Local Area Network Mạng cục bộ không dâyWPA/WPA2 Wi-fi Protected Access Bảo vệ truy cập Wi-fiSVTH: Đặng Ngọc Cường, K10-101-0003 Trang 10 [...]... K10-101-0003 Trang 19 Bảo mật WLAN bằng RADIUS Server và WPA2 WPA2 Enterprise Bảo mật Nâng cấp của WPA Dựa trên 802.11i Enterprise với việc dùng mã hóa AES WPA2 Personal Bảo mật Nâng cấp của WPA Dựa trên 802.11i Personal với việc dùng mã hóa AES EAP-TLS Bảo mật Extensible Authentication Sử dụng cho Protocol Transport Layer WPA Enterprise Security EAP- Bảo mật Sử dụng cho TLS/Microsoft Challenge WPA /WPA2 Authentication... một AP và kết nối với upstream AP như là một client Hình 1.8 REPEATER MODE SVTH: Đặng Ngọc Cường, K10-101-0003 Trang 26 Bảo mật WLAN bằng RADIUS Server và WPA2 • Các thiết bị máy khách trong WLAN Là những thiết bị WLAN được các máy khách sử dụng để kết nối vào WLAN a Card PCI Wireless: Là thành phần phổ biến nhất trong WLAN Dùng để kết nối các máy khách vào hệ thống mạng không dây Được cắm vào khe... thay đổi mật khẩu của nhà sản xuất Khi lần đầu tiên cài đặt router không dây, chúng ta rất dễ quên thay đổi mật khẩu mặc định của nhà sản xuất Nếu không thay đổi, có thể người khác sẽ dùng mật khẩu mặc định truy cập SVTH: Đặng Ngọc Cường, K10-101-0003 Trang 30 Bảo mật WLAN bằng RADIUS Server và WPA2 vào Router và thay đổi các thiết lập để thoải mái truy cập vào mạng Kinh nghiệm: Luôn thay mật khẩu... chẳng hạn và mạng sẽ chạy chậm như rùa Kinh nghiệm: Mạng không dây giúp chia sẻ kết nối Internet dễ dàng, tuy nhiên, đừng bỏ ngõ vì sẽ có người lạm dụng SVTH: Đặng Ngọc Cường, K10-101-0003 Trang 31 Bảo mật WLAN bằng RADIUS Server và WPA2 CHƯƠNG 2 CÁC HÌNH THỨC TẤN CÔNG WLAN Tấn công và phòng chống trong mạng WLAN là vấn đề được quan tâm rất nhiều hiện nay bởi các chuyên gia trong lĩnh vực bảo mật Nhiều... Trang 35 Bảo mật WLAN bằng RADIUS Server và WPA2 ở trạng thái chờ đợi kẻ tấn công ấy truyền dữ liệu xong  dẫn đến tình trạng nghẽn trong mạng Tần số là một nhược điểm bảo mật trong mạng không dây Mức độ nguy hiểm thay đổi phụ thuộc vào giao diện của lớp vật lý Có một vài tham số quyết định sự chịu đựng của mạng là: năng lượng máy phát, độ nhạy của máy thu, tần số RF (Radio Frequency), băng thông và sự... [17]http://en.wikipedia.org SVTH: Đặng Ngọc Cường, K10-101-0003 Trang 11 Bảo mật WLAN bằng RADIUS Server và WPA2 CHƯƠNG 1 MẠNG CỤC BỘ KHÔNG DÂY 1.1 TỔNG QUAN VỀ WLAN 1.1.1 Lịch sử hình thành và phát triển Mạng LAN không dây viết tắt là WLAN (Wireless Local Area Network), là một mạng dùng để kết nối hai hay nhiều máy tính với nhau mà không sử dụng dây dẫn WLAN dùng công nghệ trải phổ, sử dụng sóng vô tuyến cho phép... thay vào đó, cầu nối được sử dụng để kết nối 2 hoặc nhiều đoạn mạng có dây lại với nhau bằng kết nối không dây SVTH: Đặng Ngọc Cường, K10-101-0003 Trang 25 Bảo mật WLAN bằng RADIUS Server và WPA2 Hình 1.7 BRIDGE MODE  Chế độ lặp(repeater mode): AP có khả năng cung cấp một đường kết nối không dây upstream vào mạng có dây thay vì một kết nối có dây bình thường Một AP hoạt động như là một root AP và AP... chóng trở thành công nghệ không dây vượt trội Các thiết bị WLAN 802.11b truyền phát ở tần số 2.4Ghz, cung cấp tốc độ truyền dữ liệu có thể lên tới 11Mbps IEEE 802.11b được tạo ra nhằm cung cấp SVTH: Đặng Ngọc Cường, K10-101-0003 Trang 12 Bảo mật WLAN bằng RADIUS Server và WPA2 những đặc điểm về tính hiệu dụng, thông lượng (throughput) và bảo mật để so sánh với mạng có dây Năm 2003, IEEE công bố thêm... chúng phải làm việc với những giới hạn vốn có của công nghệ • Bảo mật: Môi trường kết nối không dây là không khí nên khả năng bị tấn công của người dùng là rất cao SVTH: Đặng Ngọc Cường, K10-101-0003 Trang 13 Bảo mật WLAN bằng RADIUS Server và WPA2 • Phạm vi: Một mạng chuẩn 802.11g với các thiết bị chuẩn chỉ có thể hoạt động tốt trong phạm vi vài chục mét Nó phù hợp trong 1 căn nhà, nhưngvới một tòa nhà... Ngọc Cường, K10-101-0003 Trang 27 Bảo mật WLAN bằng RADIUS Server và WPA2 Loại rất được ưu chuộng hiện nay dành cho các thiết bị kết nối vào mạng không dây vì tính năng di động và nhỏ gọn Có chức năng tương tự như Card PCI Wireless, nhưng hỗ trợ chuẩn cắm là USB (Universal Serial Bus) Có thể tháo lắp nhanh chóng (không cần phải cắm cố định như Card PCI Wireless) và hỗ trợ cắm khi máy tính đang hoạt . K10-101-0003 Trang 12 Bảo mật WLAN bằng RADIUS Server và WPA2những đặc điểm về tính hiệu dụng, thông lượng (throughput) và bảo mật để so sánh với mạng. mật Sử dụng khóa chia sẻ với mã hóa TKIP Xem thêm WPA2 Personal SVTH: Đặng Ngọc Cường, K10-101-0003 Trang 19 Bảo mật WLAN bằng RADIUS Server và WPA2WPA2