WLAN Security.doc

WLAN Security

C, Các kiểu tấn công an ninh vô tuyến điển hình 6

C1, WEP Cracking - bẻ gẫy WEP 6

C2, Tấn công địa chỉ MAC 7

C3, Các tấn công gây ra bởi một người ở vị trí trung gian 7

C4, Các tấn công dạng từ điển 8

C5, Tấn công phiên 8

C6, Từ chối dịch vụ (DoS) 8

C7, Các giải pháp tương lai ngăn chặn các tấn công vào mạng WLAN 8

C7.1, Bảo vệ quyền truy nhập Wi-Fi (WPA) 8

C7.2, Giao thức mã hoá khoá theo thời gian (TKIP) 9

D, An ninh trong thực tế 9

D1, Home and SOHO – (Khu vực nhà ở và văn phòng nhỏ) – Yêu cầu an ninh mức thấp 9

D2, Văn phòng nhỏ và người dùng ở xa – Yêu cầu an ninh mức độ trung bình 10

D3, Người sử dụng của các tổ chức/tập đoàn – Yêu cầu an ninh mức cao 11

D4, An ninh truy nhập công cộng 12

E, Các hướng phát triển trong tương lai 12

G10, Điều khiển truy nhập môi trường (MAC) 15

G11, Giao thức nhận thực mở rộng được bảo vệ (PEAP) 15

G12, Hạ tầng khoá chung (PKI) 15

G13, Dịch vụ người sử dụng quay số nhận thực từ xa (RADIUS) 15

G14, Bộ nhận dạng tập dịch vụ (SSID) 16

G15, An ninh lớp truyền tải (TLS) 16 G16, An ninh lớp truyền tải đường ống (TTLS) 16

An ninh mạng WLAN

A, Giới thiệu

Hiện nay có hàng triệu thiết bị mạng vô tuyến sử dụng công nghệ 802.11 đã và đang được sử dụng cho các tổ chức thương mại, giáo dục và nhà nước Từ văn phòng cho tới trường học, quyền sở hữu tổng chi phí thấp, triển khai dễ dàng, và độ lợi sản xuất là những nhân tố quan trọng dẫn đến những hiểu biết về các lợi ích của việc thiết lập mạng không dây Người sử dụng có thể truy nhập mạng hầu như từ mọi vị trí, khả năng truy nhập di động đặt ra các vấn đề an ninh mạng mà chúng thường được quan tâm, mặc dù những khả năng an ninh mạng là sẵn có trong các sản phẩm hiện nay theo chuẩn 802.11a/b/g Những khảo sát gần đây ở New York và thung lũng Silicon đã chỉ ra rằng có hàng trăm điểm truy nhập mạng WLAN đã được phát hiện, dưới 50% sử dụng WEP để mạng rộng mở đối với mọi người dùng không được phép trong vùng phủ có thể truy nhập vào mạng.

Trong phần này trình bày chủ yếu các khái niệm về an ninh mạng, một vài phương pháp tấn công mạng WLAN mà các hacker có thể sử dụng, cũng như các cơ chế và khái niệm về an ninh mạng có thể được sử dụng để bảo vệ mạng chống lại các hacker Ngoài ra, sẽ có một phần thảo luận về phương pháp điểu khiển an ninh được sử dụng trong các trường hợp người dùng khác nhau.

Thước đo an ninh mạng cho phép bảo đảm tốt nhất chống lại các hacker truy nhập vào mạng, nhưng việc bảo vệ bổ sung cho mạng có thể là tốn kém và khó khăn khi sử dụng Khi hiểu được các nguy cơ có liên quan, các khái niệm và các công nghệ hiện có, các tổ chức thương mại, giáo dục, và các tổ chức nhà nước có thể chọn lựa các chính sách và khả năng đảm bảo an ninh mạng ở mức độ hợp lý để thực hiện bảo vệ mạng một cách tối ưu.

B, Các tập giải pháp an ninh mạng cho WLAN

Hiện nay có rất nhiều công nghệ an ninh mạng Quá trình mật mã hoá dữ liệu sử dụng một mã riêng, làm cho dữ liệu thành bí mật với tất cả người sử dụng ngoại trừ một người sử dụng có một máy thu định trước Quá trình nhận thực nhận dạng người sử dụng và máy tính – nó là quá trình thẩm tra độ tin cậy của một vài người sử dụng hoặc một vài thành phần mạng Có nhiều tiêu chuẩn và phương pháp áp dụng được đối với mỗi một trong số các công nghệ nói trên với các mức độ bảo vệ và tương hỗ thay đổi theo từng loại Chúng có thể được sử dụng như là các khối kiến trúc cơ sở trong cơ sở hạ tầng an ninh mạng.

Một ứng dụng an ninh mạng hiệu quả là sử dụng mạng riêng ảo (VPN), VPN kết hợp mã hoá và nhận thực cùng với các giao thức bổ sung Các mạng VPN xây dựng một “bức tường” giữa mạng riêng và thế giới bên ngoài, ẩn đi thông tin và bảo vệ mạng vì thế mà người sử dụng không được phép không có khả năng đọc hay sửa đổi thông tin Các

ứng dụng VPN cho phép bảo vệ hiệu quả trong môi trường mạng WLAN và mạng công cộng.

Khi không có các cơ chế an ninh mạng thích hợp, người sử dụng không thể chắc chắn là ai đang đọc dữ liệu của họ hoặc đang điều tra về mạng nội bộ của họ NETGEAR hỗ trợ tất cả các khả năng an ninh mạng với khả năng hỗ trợ phần cứng khi thích hợp, cho phép một vài trong số hầu hết các lựa chọ an ninh mạng và hiệu năng cao để đảm bảo an ninh cho mạng WLAN.

B1, Mã hoá

Quá trình mã hoá đảm bảo dữ liệu bí mật và làm cho dữ liệu trở nên vô nghĩa đối với bất cứ ai không có quyền đọc Quá trình mã hoá là việc chuyển đổi dữ liệu và một khuôn dạng mà người sử dụng không được phép thì không thể hiểu được một cách dễ dàng Dữ liêu được mã hoá bằng một thuật toán hay một khóa

Quá trình giải mã là việc biến đổi dữ liệu đã mã hoá trở lại dạng ban đầu vì thế nó trở nên dễ hiểu đối với người sử dụng Để phục hồi nội dung dữ liệu đã được mã hoá, yêu cầu có một khoá giải mã chính xác Hầu hết các quá trình mã hoá sử dụng trên các mạng máy tính được thực hiện bằng một mã khóa dùng chung.

Mỗi người sử dụng có một khoá chung, khoá này là chung cho tất cả các người sử dụng khác, và một khoá riêng được giữ bí mật Các cặp khoá (chung-riêng) này được kết nối với nhau về mặt toán học, cho phép người sử dụng mã hoá và giải mã dữ liệu, trong khi giấu kín dữ liệu đối với những người sử dụng khác Thuật toán mã hoá càng phức tạp thì khả năng bị nghe trộm càng khó khi người sử dụng không truy nhập vào khoá được Để việc mã hóa hiệu quả, chức năng an ninh mạng phải tối thiểu hoá việc tái sử dụng các khoá mật mã bằng cách thường xuyên thay đổi chúng – một vài sơ đồ mã hoá thay đổi khoá 30s một lần.

B2, Giao thức WEP

Giao thức bảo mật tương ứng hữu tuyến WEP cung cấp hầu hết khả năng an ninh thông qua quá trình mật mã hoá vô tuyến cơ sở Trong một số trường hợp, WEP đủ để bảo vệ quyền truy nhập mạng vô tuyến trong phạm vi một căn nhà hoặc các người sử dụng thương mại quy mô nhỏ Giao thức WEP được xác định để đạt được ba mục tiêu an ninh mạng:

• Tính bí mật: quá trình mã hoá ngăn ngừa khả năng nghe trộm ngẫu nhiên; • Điều khiển truy nhập: nhận thực và bảo vệ quyền truy nhập tới một cơ sở

hạ tầng mạng WLAN;

• Tính toàn vẹn dữ liệu: quá trình tổng kiểm tra ngăn ngừa việc xâm phạm các bản tin phát đi.

WEP cho phép các mức độ mã hoá khác nhau, từ 40 đến 128 bit đối với 802.11b và 802.11g, và lên đến 152 bit đối với 802.11a Nhiều bit tương ứng với mức độ an ninh tốt hơn bởi vì một khoá dài hơn cần nhiều cố gắng hơn để phá khoá WEP không hỗ trợ quản lý khoá, là khả năng chuyển đổi tự động của các khoá mật mã hoá giữa khách hàng (người dùng) và các điểm truy nhập AP Để duy trì khả năng an ninh hiệu quả, WEP yêu

cầu các khoá phải được thay đổi bằng tay Quá trình này rất mất thời gian nhất là trong các môi trường lớn Các cơ chế an ninh mạnh hơn như IPSec và VPN hỗ trợ khả năng quản lý khoá tự động.

B3, Các tiêu chuẩn mã hoá dữ liệu

Một số kỹ thuật mã hoá dựa trên chuẩn IPSec:

• Chuẩn mã hoá dữ liệu DES: DES là một tiêu chuẩn mã hoá đã có từ lâu, nhưng hiện nay nó được xem là kém hiệu quả Để trở nên hiệu quả hơn nó phải có độ dài khoá là 56 bit (tức là có một khoá 64 bit với 8 bit chẵn lẻ).

• DES 3 lần 3DES: là việc sử dụng DES 3 lần với 3 khóa khác nhau Trong thực tế, 3DES gần gấp đôi độ dài khoá hiệu quả của DES Kích thước khoá là 192 bit.

• Tiêu chuẩn mã hoá tiên tiến AES: Kích thước khóa AES có thể đặt là 128, 192 hay 256 bit Trong khi chiều dài khoá lớn hơn có nghĩa là an ninh tốt hơn, song chúng cũng yêu cầu công suất xử lý nhiều hơn Người ta muốn chuẩn 802.11i có chứa giao thức AES Điểm mạnh của AES là có thể yêu cầu một bộ đồng xử lý hoạt động thật hiệu quả Viện nghiên cứu quốc gia về các tiêu chuẩn và công nghệ thuộc Bộ Thương mại Mỹ (NIST) chọn AES để thay thế cho DES đã có từ lâu Hiện nay AES là bản công bố về tiêu chuẩn xử lý thông tin liên bang FIPS 197 nó xác định một thuật toán mã hoá sử dụng cho các tổ chức nhà nước ở Mỹ để bảo vệ các thông tin nhạy cảm và các thông tin thông thường Phòng thương mại đã phê chuẩn việc lựa chon AES như là một chuẩn nhà nước chính thức vào tháng 5/2002.

B4, Nhận thực

Nhận thực là một cơ chế nhận dạng người sử dụng hoặc dịch vụ dựa trên một tiêu chí cho trước Đó là quá trình xác định ai hay cái gì có đúng như chúng được khai báo hay không Các hệ thống nhận thực biến đổi từ hệ thống có cặp tên người sử dụng – mật khẩu đơn giản, cho đến hệ thống dò tìm – đáp ứng phức tạp hơn như là các card thông minh và các thiết bị sinh trắc học Các giao dịch trên mạng thường yêu cầu một quá trình nhận thực chặt chẽ hơn cách nhận thực theo tên người sử dụng và mật khẩu đơn giản Việc sử dụng các “chứng chỉ” số được công bố và kiểm tra bởi CA nội bộ hoặc CA phần 3 khi một phần trong hạ tầng khoá công cộng PKI được chấp nhận để sử dụng như một phương pháp thực hành an ninh mạng hiệu quả.

B5, Lớp khe cắm an ninh SSL

SSL cho phép các quá trình nhận thực, không từ chối khách hàng và server, bảo vệ tính toàn vẹn dữ liệu, mật mã hoá quá trình truyền dẫn Khách hàng và server thảo thuận và thiết lập một mức mã hoá có thể chấp nhận được lên đến 128 bit Không giống như IPSec, SSL không yêu cầu phần tiêu đề xác định mức an ninh giống như quản lý khoá và mật mã hoá dữ liệu đối với mọi lưu lượng, SSL rất phù hợp cho các phiên Ad-Hoc (các phiên độc lập).

SSL nằm giữa lớp ứng dụng và lớp TCP/IP trong ngăn xếp giao thức mạng, cung cấp khả năng ứng dụng trong suốt hỗ trợ cho SSL và các đặc tính của nó SSL là một

chuẩn sử dụng trong các trình duyệt Web, và nhiều Website sử dụng giao thức này để đảm bảo bí mật thông tin của người sử dụng ví dụ như số thẻ tín dụng.

B6, Lọc địa chỉ MAC (hay danh sách điều khiển truy nhập)

Chuẩn 802.11 xác định một thiết bị có số địa chỉ MAC (điều khiển truy nhập mổi trường) cho bởi nhà sản xuất Định dang MACID là một thành phần sử dụng để nhận thực một người dùng khi đi vào mạng – nó nhận dạng dịch vụ khách hàng của người sử dụng Các nhà quản trị hệ thống có thể thiết lập một bảng kết nối với điểm truy nhập chỉ chấp nhận các địa chỉ MAC nhất đinh và lọc bỏ các địa chỉ khác ra khỏi mạng Tuy nhiên, việc lập trình các địa chỉ MAC của những người sử dụng hợp lệ vào trong các điểm truy nhập của một công ty lớn là một việc làm khó khăn và nó không được sử dụng để duy trì trong các mạng biến đổi liên tục Khi áp dụng cho các mạng quy mô nhỏ nó tỏ ra rất hiệu quả.

B7, Giao thức nhận thực mở rộng (EAP)

EAP là cơ sở để cung cấp khả năng nhận thực tập trung hoá và phân bố khóa động Nó cho phép các bộ thích ứng khách hàng vô tuyến, các bộ thích ứng này hỗ trợ các kiểu nhận thực khác nhau, truyền thông với các server kết cuối khác nhau giống như RADIUS - dịch vụ người sử dụng quay số nhận thực từ xa EAP là một giao thức tổng quát sử dụng cho nhận thực có thể hỗ trợ các phương pháp nhận thực khác nhau, và các card thông minh Khi sử dụng cùng với 802.1x, nó cho phép nhận thực từ đầu cuối – đến – đầu cuối, một khách hàng vô tuyến kết hợp với một điểm truy nhập có thể đạt được quyền truy nhập vào mạng cho đến khi người sử dụng thực hiện quá trình đăng nhập vào mạng Trong các quá trình truyền thông vô tuyến sử dụng EAP, một người sử dụng yêu cầu kết nối tới một mạng WLAN thông qua một điểm truy nhập, điểm truy nhập này sau đó yêu cầu định danh người sử dụng và phát thông tin định danh tới một server nhận thực, như là RADIUS chẳng hạn Server này hỏi điểm truy nhập về nguồn gốc của quá trình định danh mà điểm truy nhập thu được từ người sử dụng và sau đó gửi trở lại cho server để hoàn tất một quá trình nhận thực.

EAP thực hiện nhận thực hai chiều-mỗi một phía được nhận thực cần chứng tỏ định danh của nó với phía kia sử dụng chứng chỉ và khoá riêng của nó Khi cả khách hàng và server nhận thực được mỗi bên an ninh mạng sẽ được đảm bảo hơn Ví dụ, EAP bảo vệ chống lại các tấn công bởi con người và tấn công theo kiểu dò tìm.

B8, 802.1x

802.1x cho phép các khả năng đăng nhập vào mạng giữa các PC và hạ tầng mạng bên ngoài Nó cho phép một kiến trúc cơ sở thực hiện các sơ đồ nhận thực khác nhau 802.1x cung cấp khả năng mã hoá, và nó không phải là lựa chọn thay thế cho WEP, 3DES, AES, hay bất cứ quá trình mã hoá nào khác 802.1x không tập trung vào việc nhận thực và quản lý khoá, vì thế nó có thể được sử dụng khi kết hợp với một mã khác 802.1x không phải là phương pháp nhận thực đơn lẻ mà hơn thế nó sử dụng EAP như là cơ sở nhận thực của nó Điều này có nghĩa là 802.1x cho phép các chuyển mạch và điểm

truy nhập có thể hỗ trợ một số lượng lớn các phương pháp nhận thực, bao gồm nhận thực dựa trên chứng chỉ, các card thông minh, các thẻ (token), các mật khẩu dùng một lần,… 802.1x hỗ trợ các tiêu chuẩn mở rộng sử dụng cho nhận thực, cấp phép và thanh toán (bao gồm RADIUS và LDAP) vì thế nó hoạt động cùng với hạ tầng hiện có để quản lý người sử dụng từ xa và người sử dụng di động Khi kết hợp với một giao thức nhận thực như EAP-TLS, LEAP, hay EAP-TTLS, 802.1x cho phép khả năng điều khiển truy nhập và nhận thực hai chiều thực hiện trên các cổng giữa khách hàng và điểm truy nhập thông qua một server nhận thực

Microsoft hỗ trợ 802.1x trong Windows XP, và trong tất cả các sản phẩm WLAN của NETGEAR.

B9, Nhận thực

VPN là ứng dụng nổi bật nhất hiện nay cho an ninh mạng WLAN bởi vì nó kết hợp được hai quá trình mã hóa và nhận thực Người sử dụng thiết lập một đường ống an ninh tới điểm truy nhập vô tuyến với một thủ tục đăng nhập sử dụng mật khẩu và tên người sử dụng Tất cả các sản phẩm không dây của NETGEAR đều hỗ trợ VPN.

B10, Mạng riêng ảo

Một mạng VPN tạo ra một mạng riêng trong một môi trường truy nhập chung giống như một mạng WLAN Nó cho phép truyền thông riêng biệt giữa những người sử dụng, các văn phòng ở xa, và các tổ chức thương mại Một mạng VPN hoạt động bằng cách duy trì khả năng bảo mật thông qua các thủ tục đảm bảo an ninh bao gồm mật mã hoá, khoá, nhận thực và các giao thức tạo đường ống Các giao thức này kiểm tra người sử dụng và server, mã hoá dữ liệu ở phía phát và giải mã nó ở phía thu VPN tạo ra một đường ống mà các dữ liệu hoặc người sử dụng không được mã hoá và nhận thực một cách hợp lệ không thể đi vào đường ống này VPN sử dụng các giao thức an ninh giống như IPSec, giao thức đường ống lớp 2 (L2TP) và giao thức đường ống từ điểm- đến- điểm (PPTP) VPN sử dụng các giao thức mã hoá giống như 3DES và AES, các giao thức này tỏ ra hiệu quả hơn khi sử dụng trong WEP.

VPN là một giải pháp hiệu quả, nó cho phép người sử dụng vô tuyến hợp lệ kết nối an toàn từ mọi vị trí Nó trong suốt với các ứng dụng.

C, Các kiểu tấn công an ninh vô tuyến điển hình

Các kỹ thuật đạt quyền truy nhập trái phép vào mạng WLAN là những vấn đề an ninh nổi bật nhất trong các môi trường mạng LAN hữu tuyến Vì mạng WLAN hoạt động trong môi trường không gian mà không có một kết nối vật lý nào nên chúng dễ bị tấn công hơn.

C1, WEP Cracking - bẻ gẫy WEP

WEP đã là một phần trong chuẩn 802.11 từ khi nó được phê chuẩn vào năm 1999 Ở thời điểm này, uỷ ban 802.11 đã nhận ra một vài giới hạn của WEP; Tuy nhiên, WEP

được xem là lựa chọn tốt nhất khi thực hiện trên toàn thế giới Ngược lại, WEP đã phải trải qua những chỉ trích và khảo sát kỹ lưỡng trơng hơn 2 năm qua.

WEP dễ bị tấn công vì các khoá mật mã của nó là không thay đổi Khoá mật mã sử dụng cho WEP, bất chấp độ dài khoá đều không thay đổi trừ khi nó được người quản trị thay đổi định kỳ bằng tay ở tất cả các thiết bị Điều này là khá nặng nề và ít khi được thực hiện.

Một kẻ tấn công sử dụng một bộ dò tìm gói tin vô tuyến tương đối rẻ tiền để thâm nhập vào các gói dữ liệu Sau khi thu thập được từ 5 đến 10 triệu gói dữ liệu, kẻ tấn công sử dụng các công cụ sẵn có (giống như WEP Crack và AirSnort mã nguồn mở) Các công cụ này có thể xác định các khoá mật mã trong thời gian ngắn (vài phút), cho phép kẻ tấn công giải mã và đọc được tất cả dữ liệu truyền qua giữa khách hàng (người cung cấp) và điểm truy nhập.

Giải pháp: VPN hay các cơ chế nhận thực hiện nay cho phép bảo vệ chống lại

chống lại quá trình bẻ gãy WEP AES là một giải pháp mã hoá tiên tiến không có các điểm yếu như ở WEP.

C2, Tấn công địa chỉ MAC

Các địa chỉ MAC có thể bị bẻ gãy theo nhiều cách khác nhau giống như ở trường hợp các khoá mật mã WEP Một khi khoá mật mã được giải mã, tất cả các dữ liệu dạng gói bao gồm cả nhận dạng địa chỉ MAC (MACID) đều bị lộ Tất nhiên là khi không sử dụng mật mã có thể thu được MACID từ môi trường không gian Một khi thu được một địa chỉ MAC có hiệu lực, các hacker có thể lập trình cho máy tính của họ ‘đánh lừa’ người sử dụng hợp lệ bằng cách lập trình cho một máy tính phát quảng bá vào địa chỉ MACID vừa thu được.

Giải pháp: Các tấn công vào địa chỉ MAC có thể được ngăn ngừa bằng cách sử

dụng các cơ chế nhận thực như 802.1x hay VPN.

C3, Các tấn công gây ra bởi một người ở vị trí trung gian

Kiểu tấn công này được xác địng bởi một hacker ở giữa một khách hàng và điểm truy nhập, hacker này chặn lại tất cả mọi lưu lượng dữ liệu Các hacker thu giữ và giải mã các khung dữ liệu gửi ngược và xuôi giữa một card giao diện mạng vô tuyến (NIC) của người sử dụng và điểm truy nhập trong suốt quá trình kết hợp Việc làm này đem lại các thông tin cần thiết về NIC và điểm truy nhập như các địa chỉ IP cho các thiết bị và các nhận dạng kết hợp của các NIC và các nhận dạng SSID của mạng Với những thông tin này, một ai đó có thể thiết lập một điểm truy nhập bí mật (trên một kênh vô tuyến khác) nagy cạnh một người sử dụng xác định, để ép buộc card giao diện mạng vô tuyến của người sử dụng tái kết hợp với điểm truy nhập giả này Cả khách hàng và server đều tin rằng họ đã được kết nối trực tiếp với nhau nhưng thay vào đó là kết nối tới một người trung gian Kẻ tấn công truy nhập vào tất cả dữ liệu truyền qua lại giữa 2 thực thể (khách hàng và server), bao gồm cả thông tin đăng nhập.

Giải pháp: VPN và các cơ chế nhận thực có thể ngăn chặn kiểu tấn công này.

C4, Các tấn công dạng từ điển

Kiển tấn công này tuỳ thuộc vào các tên sử dụng và các từ truyền thống như tên đăng nhập và mật khẩu Kẻ tấn công thu thập các thông tin dò tìm và đáp ứng nhờ các giao thức mật khẩu cơ sở Việc sử dụng các công cụ mã nguồn mở dựa trên từ điển chứa hàng trăm nghìn từ, tên, cụm từ, một máy tính không kết nối có thể tiến hành thử nghiệm mỗi liên kết tên người sử dụng – mật khẩu cần thiết cho đến khi giải mã được thông tin đăng nhập Khi tên người sử dụng và mật khẩu bị bẻ gãy kẻ tấn công có quyền truy nhập vào mạng WLAN với tất cả quyền và đặc quyền của người sử dụng hợp lệ.

Giải pháp: Sử dụng các mật khẩu kết hợp chữ và số, cũng như quy định số ký tự

tối thiểu của mật khẩu (thông thường là 8) có thể giúp chống lại kiểu tấn công này Các cơ chế nhận thực như 802.1x và VPN cũng cho phép khả năng bảo vệ tốt.

C5, Tấn công phiên

Khi một kẻ tấn công có khả năng lắng nghe lưu lượng truyền trong mạng và có thể đưa vào mạng thông tin của riêng kẻ đó, thì một phiên sau đó rất dễ bị tấn công – định hướng phiên theo hướng ngược trở lại điểm đầu cuối hợp lệ Một kẻ tấn công có thể thiết lập một điểm truy nhập, và các khách hàng vô tuyến không hợp lệ sẽ cố kết nối tới nó bằng cách gửi đi thông tin nhận thực của họ.

Giải pháp: Các cơ chế nhận thực 802.1x và VPN cho phép bảo vệ hiệu quả chống

lại kiểu tấn công này.

C6, Từ chối dịch vụ (DoS)

Các tấn công DoS áp dụng cho các mạng vô tuyến Một kẻ tấn công có thể làm tràn lụt các điểm truy nhập với lưu lượng không thích hợp, làm tràn ngập băng thông hiện có, làm chậm hay dừng hẳn khả năng truy nhập vào mạng của người sử dụng hợp lệ.

Giải pháp: Việc lọc địa chỉ MAC có thể giúp chống lại kiểu tấn công này một

cách hiệu quả Trong các mạng hữu tuyến, các tường lửa với khả năng kiểm tra trạng thái gói có thể ngăn chặn kiểu tấn công DoS đối với các nguồn tài nguyên của mạng LAN đi đến từ điểm truy nhập.

C7, Các giải pháp tương lai ngăn chặn các tấn công vào mạng WLAN

C7.1, Bảo vệ quyền truy nhập Wi-Fi (WPA)

WPA là nguyên tắc an ninh mạng mới công bố bởi liên minh Wi-Fi Mục tiêu là để tăng cường khả năng an ninh dựa trên các chuẩn WEP hiện tại bao gồm các cơ chế của tiêu chuẩn 802.11i để mã hoá dữ liệu và điều khiển truy nhập mạng Đối với quá trình mã hóa, WPA không chứa TKIP sử dụng thuật toán mã hoá giống như ở WEP nhưng xây dựng khoá theo một cách khác Đối với quá trình điều khiển truy nhập, WPA sử dụng giao thức IEEE 802.1x Liên minh Wi-Fi đã lên kế hoạch thực hiện các cơ chế an ninh mới này như là các đặc điểm tuỳ chọn bắt đầu vào giữa năm 2003, và yêu cầu chúng tuân theo Wi-Fi.

C7.2, Giao thức mã hoá khoá theo thời gian (TKIP)

TKIP là một phần của WPA, được thiết kế để khắc phục những điểm yếu cố hữu của WEP, đặc biệt là việc tái sử dụng các khoá mật mã Điều này dẫn đến trong các quá trình mã hoá khả năng bẻ gãy khoá là khó khăn hơn, vì thế TKIP cho phép tăng mức độ bảo vệ chống lại nghe trộm và các kiểu tấn công khác Bởi vì TKIP tăng cường khả năng mã hoá và cải thiện khả năng phát hiện xâm nhập trái phép, nó cho phép mức độ bảo vệ lớn hơn chống lại việc bẻ gãy lưu lượng dữ liệu và các tấn công xâm nhập trái phép khác.

Quá trình TKIP bắt đầu với 128 bit khoá thời gian dùng chung giữa khách hàng và điểm truy nhập TKIP kết nối khoá thời gian với một địa chỉ MAC của khách hàng và sau đó bổ sung thêm một vector khởi tạo tương đối lớn 16 octet để tạo ra một khoá, khoá này sẽ mã hoá dữ liệu Thủ tục này đảm bảo mỗi trạm sử dụng các luồng khoá thời gian khác nhau để mã hoá dữ liệu TKIP cho phép một cơ chế khoá tự động, thay đổi các khoá thời gian đối với mỗi cụm gồm 10000 gói Điều này cho phép khả năng phân bố động nâng cao đáng kể an ninh mạng TKIP cũng sử dụng trường kiểm tra tính toàn vẹn bản tin (MIC) MIC bổ sung cho việc kiểm tra tính toàn vẹn mạnh hơn trường kiểm tra CRC đơn giản để ngăn ngừa kẻ tấn công thay đổi các bản tin sau mỗi quá trình truyền dẫn Thiết bị WEP chỉ tương thích với TKIP khi TKIP cho phép thiết bị sử dụng WEP Tuy nhiên, TKIP chỉ là giải pháp tạm thời Hầu hết các chuyên gia tin rằng có một giải pháp mã hoá mạnh hơn giống như AES cần phải có để đảm bảo mức độ an ninh cao nhất cho người sử dụng.

D, An ninh trong thực tế

Một cách tổng quát, để có sự thoả hiệp giữa khả năng an ninh và giá thành sản phẩm, hiệu năng và cách sử dụng đơn giản Mạng có an ninh tốt hơn thì chi phí thực hiện sẽ lớn hơn, có khả năng là khó khăn hơn khi sử dụng và lo ngại về hiệu năng mạng thấp hơn Trong khi mỗi môi trường có những đòi hỏi nhất định về mức độ an ninh ở đây xem xét các khuyến nghị như sau đây.

D1, Home and SOHO – (Khu vực nhà ở và văn phòng nhỏ) – Yêu cầu an ninh mức thấp

Đối với người sử dụng trong phạm vi nhà ở và văn phòng nhỏ chi phí triển khai mạng là một vấn đề, người sử dụng có các server nhận thực trung tâm hoặc các thành phần hạ tầng trung tâm khác Họ thường không có nguồn tài nguyên thông tin nào khả dụng Các việc làm sau đây cho phép bảo vệ an ninh cấp 1:

• Phần mềm: Cập nhật các NIC và các điểm truy nhập tới phần mềm gần đây nhất Khởi động khi mua thiết bị và kiểm tra thường xuyên.

• Kích hoạt WEP: Thiết lập kích thước khoá mật mã cao nhất có thể được Trong khi vẫn tồn tại các điểm yếu thì đối với các hacker mức trung bình việc bẻ gãy WEP là tương đối khó khăn – nhất là trong các môi trường mà lưu lượng truyền tải thấp • Thay đổi tên mặc định SSID thành một tên duy nhất Không sử dụng các tên gọi có gợi ý như tên đường phố hay địa chỉ, công ty hay nhà riêng.

• Không kích hoạt SSID quảng bá: Windows XP và các công cụ giám sát khác sẽ tự động dò tìm các khung đèn hiệu 802.11 để thu được SSID Khi quá trình quảng bá SSID bị ngắt, điểm truy nhập sẽ không chứa SSID trong một khung đèn hiệu làm cho hầu hết các công cụ dò tìm trở nên vô dụng.

• Lọc địa chỉ MAC: Một vài điểm truy nhập có khả năng chấp nhận các kết nối chỉ đối với các địa chỉ MAC đáng tin cậy là các địa chỉ duy nhất trên mạng (không trùng khớp nhau) Thực hiện điều này là rất khó khăn trong một mối trường động với hơn 20 người sử dụng do việc thiết lập điểm truy nhập rất mất thời gian đối với tất cả các khách hàng tin cậy Tuy nhiên, nó có thể được thiết lập một cách đơn giản trong môi trường nhà ở và môi trường văn phòng nhỏ SOHO

• Các tường lửa cho các mạng LAN hữu tuyến: Bảo vệ các file trên cùng một mạng LAN sử dụng phần mềm hoặc tường lửa phần cứng để cô lập một mạng WLAN và giữ chúng tránh xa người sử dụng không được phép.

• Sử dụng WPA khi khả dụng Hầu hết các nhà cung cấp thiết bị sử dụng WPA thông qua quá trình nâng cấp phần mềm.

D2, Văn phòng nhỏ và người dùng ở xa – Yêu cầu an ninh mức độ trung bình

Các văn phòng nhỏ và người dùng ở xa có thể là một phần của một tổ chức lớn hơn Đảm bảo an ninh thông tin là vấn đề quan trọng và phải cân bằng với năng suất tổng và số liệu lớn hơn những người sử dụng.

• Phần mềm: Cập nhật NIC vì các điểm truy nhập tới phần mềm gần nhất Khởi động khi mua thiết bị và kiểm tra thường xuyên.

• Kích hoạt WEP: Thiết lập kích thước khoá mã hoá cao nhât có thẻ được Trong khi vẫn tồn tại những điểm yếu thì đối với các hacker mức trung bình việc bẻ gãy WEP vẫn còn khó khăn nhất là trong các môi trường lưu lượng dữ liệu thấp.

• VPN: Trong trường hợp có thể được sử dụng các điểm truy nhập kích hoạt IPSec hoặc các tường lửa mà chúng có thể thiết lập các đường ống VPN từ người dùng đầu cuối tới điểm truy nhập Phần mềm VPN cho phép quá trình nhận thực và mã hoá hiệu quả hơn trong mạng công cộng bao gồm các thành phần vô tuyến và hữu tuyến • Sử dụng WPA khi có thể.

• Các điểm truy nhập: Gán các mật khẩu hữu ích cho các điểm truy nhập, thay đổi mật khẩu mặc định của nhà sản xuất Chúng rất phổ biến nên người sử dụng có thể dễ dàng thay đổi các tham số cấu hình ở điểm truy nhập để thuận lợi khi sử dụng.

• Đảm bảo các mật khẩu được mã hoá trước khi truyền qua mạng Khi gửi mật khẩu tới người sử dụng, sử dụng một chương trình tương tự như PGP để đảm bảo rằng các mật khẩu không bao giờ được gửi đi một cách rõ ràng để có thể hiểu được bởi người sử dụng khác.

• Một cài điểm truy nhập sẽ trở lại các thiết lập mặc định (không có khả năng đảm bảo an ninh) khi có một ai đó nhấn vào nút “reset” ở điểm truy nhập Điều này làm cho điểm truy nhập dễ bị tấn công bởi các hacker, khi đó các hacker có thể mở rộng tầm với của họ vào trong mạng.