Nghiên cứu phát triển các giải pháp kiểm soát truy nhập đảm bảo an toàn an ninh cho mạng máy tính

Bộ giáo dục đào tạo Trường đại học Bách khoa hà nội lê Nghiên cứu phát triển giải pháp KIểM SOáT TRUY NHậP đảm bảo an toàn an ninh cho mạng máy tính Chuyên ngành : bảo Đảm toán học cho máy tính hƯ thèng tÝnh to¸n M· sè : 62.46.35.01 ln ¸n tiÕn sÜ to¸n häc Ng­êi h­íng dÉn khoa häc : GS.TS Nguyễn Thúc Hải TS Nguyễn Văn Ngọc Hà Nội 2009 a Lời cam đoan Tôi xin cam đoan công trình nghiên cứu riêng Các kết đạt đề tài nghiên cứu luận án trung thực chưa công bố công trình Người cam đoan Lê Thanh b lời cảm ơn Tôi xin trân trọng cảm ơn Trường Đại học Sư phạm Thể dục Thể thao Hà Nội, nơi công tác, Khoa Công nghệ Thông tin (nay Viện Công nghệ Thông tin Truyền thông), Viện Đào tạo Sau Đại học, Trường Đại học Bách khoa Hà Nội đà tạo điều kiện thuận lợi để hoàn thành luận án Tôi xin bày tỏ lòng biết ơn sâu sắc GS TS Nguyễn Thúc Hải TS Nguyễn Văn Ngọc Những người Thầy đà hướng dẫn tận tình giúp đỡ nhiều trình nghiên cứu Tôi xin chân thành cám ơn Thầy Cô Hội đồng Khoa học Đào tạo Khoa Công nghệ Thông tin, Trường Đại học Bách khoa Hà Nội, Thầy Cô Hội đồng chấm Luận án Tiến sĩ Tôi xin cảm ơn Thầy Cô Khoa Công nghệ Thông tin, Viện Đào tạo Sau Đại học, Trường Đại học Bách khoa Hà Nội, đặc biệt PGS TS Đặng Văn Chuyết, PGS TS Nguyễn Thị Hoàng Lan, PGS TS Nguyễn Thanh Thuỷ, PGS TS Trần Đình Khang, TS Hà Quốc Trung đà góp ý cho nhiều ý kiến quý báu Tôi chân thành biết ơn góp ý quý báu PGS TS Đỗ Trung Tuấn, PGS TS Nguyễn Đình Việt, Đại häc Qc gia Hµ Néi, TS Vâ Thanh Tó, Khoa Công nghệ Thông tin, Đại học Khoa học Huế, TS Trần Ngọc Hà, Viện Công nghệ Xạ hiếm, TS Nguyễn Đăng Khoa, Học viện Hành Quốc gia PGS TS Nguyễn Gia Hiểu, TS Vũ Như Lân, Viện Công nghệ Thông tin Đặc biệt xin bày tỏ lòng biết ơn đến NGƯT PGS TS Phạm Khắc Học, NGƯT Đào Ngọc Dũng TS Phạm Xuân Thành, nơi công tác, đà tạo điều kiện, động viên trình nghiên cứu Với lòng biết ơn đến Thầy Cô, Nhà Khoa học, đồng nghiệp bạn bè thân hữu đà giúp đỡ trình nghiên cứu Kính gửi đến Hương hồn Bố, Mẹ lòng biết ơn sâu nặng Vợ người thân gia tộc nguồn động viên to lớn cho Lê Thanh i Danh mục thuật ngữ An toàn an ninh BiĨu thøc kÝch ho¹t sù kiƯn BiĨu thøc thêi gian chu kỳ Các giấy phép mâu thuẫn Các người dùng mâu thuẫn Các vai mâu thuẫn Cấp quyền Chính sách Chuẩn mật mà liệu Dịch vụ cấp phát vé Dịch vụ xác thực Điều kiện tiên Định danh hệ thống Đối tượng Gán giấy phép cho vai Gán người dùng vào vai Giao thức Giao thức liƯu ng­êi dïng Giao thøc ®iỊu khiĨn trun Giao thøc lớp cổng bảo mật Giao thức liên mạng Giao thức phân giải địa Giao thức xác thực Giấy chứng nhËn GiÊy phÐp GiÊy ủ nhiƯm HƯ thèng ph¸t hiƯn xâm nhập Linux Hệ thống quản lý tài nguyên Kế thừa giấy phép Kế thừa kích hoạt Khoá bí mật Khoá công khai Khoá phiên Khoá riêng Kiểm soát truy nhập Kiểm soát truy nhập bắt buộc Security Trigger Periodic time expression Conflicting permissions Conflicting users Conflicting roles Authorization Policy Data encryption standard Ticket granting service Authentication service Prerequisite condition Principal Object Permission-role assignment User-role assignment Protocol User datagram protocol Transmission control protocol Secure socket layer protocol Internet protocol Address resolution protocol Authentication protocol Certificate Permission Credentials Linux Intrusion Detection System Resource management system Permission inheritance Activation inheritance Secret key Public key Session key Private key Access control Mandatory access control ii Kiểm soát truy nhập dựa vai Kiểm soát truy nhập dựa vai ràng buộc thời gian Kiểm soát truy nhập dựa vai ràng buộc thời gian tỉng qu¸t KiĨm so¸t truy nhËp t ý KiĨm toán Lớp cổng bảo mật Luật thực thi phủ nhËn tr­íc M¸y chđ M¸y kh¸ch MËt m· dïng kho¸ bí mật Mật mà dùng khoá công khai Người dùng Người dùng quyền hạn cao Phát xâm nhập Phân cấp vai Phân ly trách nhiệm Phân ly trách nhiệm động Phân ly trách nhiệm tĩnh Phần đầu gói tin Phiên Quan hệ suy diễn Ràng buộc kích hoạt Ràng buộc phân ly trách nhiệm Ràng buộc số lượng Ràng buộc tạo khả Tác tử tự trị Thao tác Tiêu chuẩn Tin tặc Trạm chủ Trung tâm phân phối khoá Trung tâm phân phối khoá uỷ nhiệm Tường lửa Vai Vị từ trạng thái Xác thực Role-based access control Temporal role-based access control Generalized temporal role-based access control Discretionary access control Audit Secure socket layer Denials-take-precedence rule Server Client Secret key encryption Public key encryption User Super-user Intrusion detection Role hierarchy Separation of duty Dynamic separation of duty Static separation of duty Header Session Derived relation Activation constraint Separation of duty constraint Cardinality constraint Enable constraint Autonomous agent Operation Criterion Hacker Host Key distribution center Proxy Key distribution center Firewall Role Status predicate Authentication iii B¶ng viÕt tắt cụm từ, thuật ngữ * Các định danh vai : vaiCBCT vai C¸n bé coi thi vaiCBDT vai Cán đề thi vaiGKNK vai Giám khảo khiếu vaiNVMT vai Nhân viên máy tính vaiPTMT vai Phụ trách máy tính vaiTBCNK vai Trưởng ban chấm thi khiếu vaiTBCT vai Tr­ëng ban coi thi vaiTBDT vai Tr­ëng ban ®Ò thi vaiTBTK vai Tr­ëng ban th­ ký vaiTRDT vai Trưởng điểm thi vaiTTGK vai Tổ trưởng giám khảo vaiUVTK vai Uỷ viên thư ký * Các cụm từ, thuật ng÷: ARP Address Resolution Protocol BAN Logic Michael Burrows, Martin Abadi and Roger Needham ®Ị xt BNF Backus-Naur Form (ngữ pháp John Backus Peter Naur đề xuất) DAC Discretionary Access Control DES Data Encryption Standard DNS Domain Name System DSD Dynamic Separation of Duty GTRBAC Generalized Temporal Role-Based Access Control https hypertext transfer protocol over secure socket layer IP Internet Protocol KDC Key Distribution Center LIDS Linux Intrusion Detection System MAC Media Access Control (ví dụ: địa chØ MAC) iv MAC Mandatory Access Control NIST National Institute of Standards and Technology PA Permission-role Assignment PKDC Proxy Key Distribution Center RBAC Role-Based Access Control RH Role Hierarchy RMS Resource Management System RSA Thuật toán mà hoá khoá công khai Rivest, Shamir Adelman đề xuất SAML Security Assertion Markup Language SoD Separation of Duty SSD Static Separation of Duty SSL Secure Socket Layer TCP Transmission Control Protocol TRBAC Temporal Role-Based Access Control UA User-role Assignment UDP User Datagram Protocol XACML eXtensible Access Control Markup Language XML eXtensible Markup Language v Danh mục bảng Bảng 3.1 Các tiêu chuẩn người dùng hệ thống tuyển sinh 110 B¶ng 3.2 – Mét tËp ng­êi dïng víi tiªu chn ng­êi dïng hƯ thèng tuyÓn sinh 110 Bảng 3.3 Một tập vai yêu cầu tiêu chuẩn người dùng phép gán người dùng vào vai hệ thống tuyển sinh 111 Bảng 3.4 Một tập người dùng vai gán cho người dùng hệ thống tuyển sinh 113 B¶ng 3.5 – Mét tËp giÊy phÐp hÖ thèng tun sinh 114 B¶ng 3.6 – Một tập vai giấy phép gán cho vai hƯ thèng tun sinh 116 vi Danh mơc c¸c hình vẽ Hình 1.1 Kiểm soát truy nhập dịch vụ an toàn an ninh khác Hình 1.2 Hệ thống an toàn an ninh nhiều lớp cho mạng nội (Intranet) 19 Hình 1.3 – X¸c thùc ba b­íc Kerberos 25 H×nh 1.4 – Minh ho¹ giao thøc Kerberos theo thêi gian 26 Hình 1.5 Kiểm soát luồng thông tin đảm bảo tính bảo mật 30 Hình 1.6 Kiểm soát luồng thông tin đảm bảo tính toàn vẹn 31 Hình 1.7 Mô hình kiểm soát truy nhập dựa vai RBAC96 33 Hình 2.1 Xác thùc hai b­íc Kerberos-role 42 Hình 2.2 Minh hoạ giao thức Kerberos-role theo thêi gian 43 H×nh 2.3 – Minh hoạ giao thức đăng ký định danh 45 Hình 2.4 Minh hoạ giao thøc lÊy vÐ dÞch vơ 46 Hình 2.5 Minh hoạ giao thức yêu cầu dịch vụ 48 Hình 2.6 Minh hoạ giao thức cập nhật định danh 49 Hình 2.7 Biểu diễn thời gian có khả vai quan hệ phân cấp 65 Hình 3.1 Các thành phần RBAC mèi quan hƯ cđa chóng 103 H×nh 3.2 Một phần ngữ pháp X-BNF dùng cho ngôn ngữ đặc tả ATRBAC-XML 106 Hình 3.3 Phân cấp vai chức hệ thống tuyển sinh 109 H×nh 3.4 – Ng­êi dïng víi tiêu chuẩn gán người dùng vào vai 117 Hình 3.5 Thông tin vai gán giấy phÐp cho vai 117 H×nh 3.6 – KiĨm so¸t truy nhËp cđa ng­êi dïng tíi tài nguyên hệ thống 118 vii Mục lục Trang Danh mục thuật ngữ i B¶ng viÕt tắt cụm từ, thuật ngữ iii Danh mục bảng v Danh mục hình vẽ vi Môc lôc .vii PhÇn mở đầu Chương phương pháp kiểm soát truy nhập áp dụng cho mạng máy tính 1.1 Mối quan hệ dịch vụ an toàn an ninh mạng máy tính 1.1.1 Xác thực, phát xâm nhập kiểm soát truy nhËp 1.1.2 KiĨm so¸t truy nhập dịch vụ an toàn an ninh khác 1.2 Phát xâm nhập 10 1.2.1 Phân tích hệ thống phát xâm nhập theo chức 11 1.2.1.1 Phát xâm nhập mức mạng 11 1.2.1.2 Phát xâm nhập mức máy 14 1.2.1.3 Ph¸t hiƯn x©m nhËp møc nh©n 16 1.2.2 ưu nhược điểm loại hệ thống phát xâm nhập 17 1.2.2.1 Hệ thống phát xâm nhập mức mạng 17 1.2.2.2 Hệ thống phát xâm nhËp møc m¸y 17 1.2.3 Mô hình an toàn an ninh mạng Intranet với nhiều lớp bảo vệ 18 1.3 Xác thực logic x¸c thùc 19 1.3.1 Các phương pháp xác thực 19 1.3.2 Logic x¸c thùc BAN 22 1.3.2.1 C¸c kh¸i niƯm ký pháp logic BAN 22 1.3.2.2 C¸c lt suy diƠn cđa logic BAN 23 1.3.3 HƯ thèng x¸c thùc Kerberos 23 ... tượng Kiểm soát truy nhập Kiểm toán, phát xâm nhập Hình 1.1 Kiểm soát truy nhập dịch vụ an toàn an ninh khác Kiểm soát truy nhập dựa dịch vụ an toàn an ninh khác tồn với chúng hệ thống máy tính. .. soát truy nhập, hình thành sở hạ tầng an toàn an ninh cho mạng máy tính Đặc biệt quan hệ tách rời xác thực kiểm soát truy nhập: xác thực điều kiện tiên kiểm soát truy nhập; kiểm soát truy nhập công... gian 7 Chương phương pháp kiểm soát truy nhập áp dụng cho mạng máy tính Chương đưa nhìn tổng quan mối quan hệ mật thiết dịch vụ an toàn an ninh chủ yếu: xác thực, phát xâm nhập kiểm soát truy