Tìm hiểu về internet security & accelration server 2006

Đồ án tốt nghiệp đại học CHƯƠNG 1 TỔNG QUAN VỀ AN TOÀN THÔNG TIN TRÊN MẠNG 1.1. Mạng máy tính và vấn đề an toàn mạng Ngày nay, Internet đã trở thành mạng dữ liệu công cộng làm cho việc liên lạc cá nhân, công việc trở nên thuận tiện hơn nhiều. Khối lượng trao đổi qua Internet được tăng theo số mũ mỗi ngày. Ngày càng nhiều các công ty, các chi nhánh ngân hàng thông qua mạng Internet để liên lạc với nhau. Cùng với sự phát triển không ngừng của Internet và các dịch vụ trên Internet, số lượng các vụ tấn công trên Internet cũng tăng theo cấp số nhân. Trong khi các phương tiện thông tin đại chúng ngày càng nhắc nhiều đến Internet với những khả năng truy nhập thông tin dường như đến vô tận của nó, thì các tài liệu chuyên môn bắt đầu đề cập nhiều đến vấn đề bảo đảm và an toàn dữ liệu cho các máy tính được kết nối vào mạng Internet. Rõ ràng rằng mạng Internet đã làm thay đổi cuộc sống của con người, làm thay đổi công việc kinh doanh làm cho nó trở nên dễ dàng hơn. Nhưng đồng thời với lợi ích to lớn của nó, mạng Internet cùng với các công nghệ liên quan đã mở ra một cánh cửa làm tăng số lượng các vụ tấn công vào những công ty , Doanh nghiệp và cả những cá nhân, nơi lưu giữ những dữ liệu nhạy cảm như bí mật Quốc gia, số liệu tài chính, số liệu cá nhân . Hậu quả của các cuộc tấn công này có thể chỉ là phiền phức nhỏ, nhưng cũng có thể làm suy yếu hoàn toàn, các dữ liệu quan trọng bị xóa, sự riêng tư bị xâm phạm, và chỉ sau vài ngày, thậm chí vài giờ sau, toàn bộ hệ thống có thể bị tê liệt hoàn toàn. Song song với việc xây dựng nền tảng về công nghệ thông tin, cũng như phát triển các ứng dụng máy tính trong sản xuất, kinh doanh, khoa học, giáo dục, xã hội, . thì việc bảo vệ những thành quả đó là một điều không thể thiếu. Sử dụng các bức tường lửa (Firewall) để bảo vệ mạng nội bộ (Intranet), tránh sự tấn công từ bên ngoài là một giải pháp hữu hiệu, đảm bảo được các yếu tố: An toàn cho sự hoạt động của toàn bộ hệ thống mạng Bảo mật cao trên nhiều phương diện 1 VIENGNAKONE XAYYASAVANH 49K-CNTT TRƯỜNG ĐẠI HỌC VINH KHOA CÔNG NGHỆ THÔNG TIN VIENGNAKONE XAYYASAVANH ĐỒ ÁN TỐT NGHIỆP TÌM HIỂU INTERNET SECURITY ACCELRATION SERVER 2006 1 Đồ án tốt nghiệp đại học Khả năng kiểm soát cao Đảm bảo tốc độ nhanh Mềm dẻo và dễ sử dụng Trong suốt với người sử dụng Đảm bảo kiến trúc mở 1.2. Tình hình thực tế Theo số liệu của CERT (Computer Emergency Response Team - "Đội cấp cứu máy tính"), số lượng các vụ tấn công trên Internet được thông báo cho tổ chức này là ít hơn 200 vào năm 1989, khoảng 400 vào năm 1991, 1400 vào năm 1993, và 2241 vào năm 1994. Những vụ tấn công này nhằm vào tất cả các máy tính có mặt trên Internet, các máy tính của tất cả các công ty lớn như AT&T, IBM, các trường đại học, các cơ quan nhà nước, các tổ chức quân sự, nhà băng . Một số vụ tấn công có quy mô khổng lồ (có tới 100.000 máy tính bị tấn công). Hơn nữa, những con số này chỉ là phần nổi của tảng băng. Một phần rất lớn các vụ tấn công không được thông báo, vì nhiều lý do, trong đó có thể kể đến nỗi lo bị mất uy tín, hoặc đơn giản những người quản trị hệ thống không hề hay biết những cuộc tấn công nhằm vào hệ thống của họ. Không chỉ số lượng các cuộc tấn công tăng lên nhanh chóng, mà các phương pháp tấn công cũng liên tục được hoàn thiện. Điều đó một phần do các nhân viên quản trị hệ thống được kết nối với Internet ngày càng đề cao cảnh giác. Cũng theo CERT, những cuộc tấn công thời kỳ 1988-1989 chủ yếu đoán tên người sử dụng-mật khẩu (UserID-password) hoặc sử dụng một số lỗi của các chương trình và hệ điều hành (security hole) làm vô hiệu hệ thống bảo vệ, tuy nhiên các cuộc tấn công vào thời gian gần đây bao gồm cả các thao tác như giả mạo địa chỉ IP, theo dõi thông tin truyền qua mạng, chiếm các phiên làm việc từ xa. Trước tình hình đó thì việc bảo vệ an toàn thông tin cho một hay một hệ thống máy tính trước nguy cơ bị tấn công từ bên ngoài khi kết nối vào Internet là một một vấn đề hết sức cấp bách. Nhu cầu bảo vệ thông tin trên Internet có thể 2 VIENGNAKONE XAYYASAVANH 49K-CNTT 2 Đồ án tốt nghiệp đại học chia thành ba loại gồm: bảo vệ dữ liệu, bảo vệ các tài nguyên sử dụng trên mạng và bảo vệ danh tiếng của cơ quan. Bảo vệ dữ liệu Những thông tin lưu trữ trên hệ thống máy tính cần được bảo vệ do các yêu cầu sau: Bảo mật: Những thông tin có giá trị về kinh tế, quân sự, chính sách… cần được giữ kín. Tính vẹn toàn: Thông tin không bị mất mát hoặc sửa đổi, đánh tráo. Tính kịp thời: Yêu cầu truy nhập thông tin vào đúng thời điểm cần thiết. Trong các yêu cầu này, thông thường yêu cầu về bảo mật được coi là yêu cầu số 1 đối với thông tin lưu trữ trên mạng. Tuy nhiên, ngay cả khi những thông tin này không được giữ bí mật, thì những yêu cầu về tính vẹn toàn cũng rất quan trọng. Không một cá nhân, một tổ chức nào lãng phí tài nguyên vật chất và thời gian để lưu trữ những thông tin mà không biết về tính đúng đắn của những thông tin đó. Bảo vệ các tài nguyên sử dụng trên mạng Trên thực tế, trong các cuộc tấn công trên Internet, kẻ tấn công, sau khi đã làm chủ được hệ thống bên trong, có thể sử dụng các máy này để phục vụ cho mục đích của mình như chạy các chương trình dò mật khẩu người sử dụng, sử dụng các liên kết mạng sẵn có để tiếp tục tấn công các hệ thống khác… Bảo vệ danh tiếng của cơ quan Phần lớn các cuộc tấn công không được thông báo rộng rãi, và một trong những nguyên nhân là nỗi lo bị mất uy tín của cơ quan, đặc biệt là các công ty lớn và các cơ quan quan trọng trong bộ máy nhà nước. Trong trường hợp người quản trị hệ thống chỉ được biết đến sau khi chính hệ thống của mình được dùng làm bàn đạp để tấn công các hệ thống khác, thì tổn thất về uy tín là rất lớn và có thể để lại hậu quả lâu dài. Để thực hiện các yêu cầu trên thì trên thế giới đã xuất hiện nhiều phần mềm với những tính năng khác nhau mà người ta gọi là Firewall. 3 VIENGNAKONE XAYYASAVANH 49K-CNTT 3 Đồ án tốt nghiệp đại học 1.3. Các kiểu tấn công mạng Có rất nhiều kiểu tấn công vào các hệ thống và cũng có nhiều cách để phân loại các kiểu tấn công này. Ở đây, chúng ta tạm chia các kiểu tấn công thành các loại sau: 1.3.1. Tấn công trực tiếp Phần lớn các cuộc tấn công vào hệ thống là trực tiếp. Những kẻ tấn công muốn sử dụng máy tính của chúng ta như là những người dùng hợp pháp và họ có hàng tá cách để chiếm được quyền truy nhập vào bên trong. Một phương pháp tấn công cổ điển là dò cặp tên người dùng và mật khẩu (username/password). Đây là phương pháp đơn giản, dễ thực hiện và không đòi hỏi một điều kiện đặc biệt nào để bắt đầu. Kẻ tấn công có thể sử dụng những thông tin như tên người dùng, ngày sinh, địa chỉ, số nhà… để đoán mật khẩu. Trong trường hợp có được danh sách người dùng và những thông tin về môi trường làm việc thì sẽ có những chương trình tự động hoá về việc dò tìm mật khẩu này. Một số chương trình có thể lấy được dễ dàng từ Internet để giải các mật khẩu đã mã hoá của hệ thống, chúng có khả năng như thử các tổ hợp các từ trong một từ điển lớn theo những nguyên tắc do người dùng tự định nghĩa. Trong một số trường hợp, khả năng của phương pháp này có thể lên tới 30%. Một phương pháp khác là sử dụng các lỗi của chương trình ứng dụng và bản thân hệ điều hành. Đây là phương pháp đã được sử dụng từ những vụ tấn công đầu tiên và vẫn tiếp tục được sử dụng để chiếm quyền truy nhập. Trong một số trường hợp, phương pháp này cho phép kẻ tấn công có được quyền của người quản trị hệ thống. 1.3.2. Nghe trộm Có một số kiểu tấn công cho phép kẻ tấn công lấy được thông tin mà không cần sử dụng máy tính một cách trực tiếp. Thông thường, những kẻ tấn công khai thác các dịch vụ Internet mà chúng có ý định lấy thông tin. Nhiều dịch vụ Internet được thiết kế cho các mạng cục bộ và chỉ được bảo mật ở mức độ thấp, điều này cho phép những mạng này được sử dụng một cách an toàn để đi 4 VIENGNAKONE XAYYASAVANH 49K-CNTT 4 Đồ án tốt nghiệp đại học ngang qua Internet. Cách dễ dàng nhất để lấy thông tin trên mạng là nghe trộm. Đặt một thiết bị nghe trộm là cách dễ dàng và đáng tin cậy để lấy được thông tin. Việc nghe trộm thường được tiến hành ngay sau khi kẻ tấn công đã chiếm được quyền truy nhập vào hệ thống thông qua các chương trình cho phép đưa card giao tiếp mạng (Network Interface Card) vào chế độ nhận toàn bộ thông tin lưu truyền trên mạng. 1.3.3. Giả mạo địa chỉ Việc giả mạo địa chỉ IP có thể được thực hiện thông qua việc sử dụng khả năng dẫn đường trực tiếp (source-routing). Với cách tấn công này, kẻ tấn công gửi các gói tin IP tới mạng bên trong với một địa chỉ IP giả mạo (thông thường là địa chỉ của một mạng hoặc một máy được coi là an toàn đối với mạng bên trong), đồng thời chỉ rõ đường dẫn mà các gói tin IP phải gửi đi. 1.3.4. Vô hiệu hoá các chức năng của hệ thống Đây là kiểu tấn công nhằm làm tê liệt hệ thống, không cho nó thực hiện chức năng mà nó thiết kế. Kiểu tấn công này không thể ngăn chặn được vì những phương tiện được tổ chức tấn công cũng chính là các phương tiện để làm việc và truy nhập thông tin trên mạng. Ví dụ sử dụng lệnh ping với tốc độ cao nhất có thể, buộc một hệ thống tiêu hao toàn bộ tốc độ tính toán và khả năng của mạng để trả lời các lệnh này, dẫn đến không còn các tài nguyên để thực hiện những công việc được yêu cầu khác. 1.3.5. Tấn công vào yếu tố con người Kẻ tấn công có thể liên lạc với người quản trị hệ thống, giả làm một người sử dụng để yêu cầu thay đổi mật khẩu, thay đổi quyền truy nhập của mình đối với hệ thống, hoặc thậm chí thay đổi một số cấu hình của hệ thống để thực hiện các phương pháp tấn công khác. Với kiểu tấn công này thì không một thiết bị nào có thể ngăn chặn được một cách hữu hiệu, và chỉ có một cách giáo dục người dùng mạng nội bộ về những yêu cầu bảo mật để đề cao cảnh giác với những hiện tượng đáng nghi. Nói chung, yếu tố con người luôn là một điểm yếu 5 VIENGNAKONE XAYYASAVANH 49K-CNTT 5 Đồ án tốt nghiệp đại học trong bất kỳ một hệ thống bảo vệ nào, và chỉ có sự giáo dục cộng với tinh thần hợp tác từ phía người sử dụng mới có thể nâng cao được độ an toàn của hệ thống bảo vệ. 1.4. Các giải pháp cho an ninh mạng 1.4.1. Giải pháp an ninh bằng giao thức Trong mô hình TCP/IP định nghĩa rất nhiều giao thức để đảm bảo tính an ninh cho mạng và dữ liệu truyền trên mạng, mỗi giao thức hoạt động ở mỗi tầng riêng biệt và thực hiện các chức năng khác nhau. Các phương thức dùng trong an ninh mạng trên từng lớp khác nhau Trong phần này chúng tôi xin được trình bày 2 giao thức điên hình là NAT và IPSec. NAT (Network Address Translation) Thông thường một gói tin truyền từ điểm nguồn đến điểm đích có thể phải qua rất nhiều nút mạng. Tuy nhiên hầu như không có nút nào trong các nút mạng này thay đổi nội dung của gói tin trừ các thông tin cần thiết như là địa chỉ IP đích, địa chỉ MAC. Nếu ta sử dụng cơ chế NAT trong mạng thì một số thông tin 6 VIENGNAKONE XAYYASAVANH 49K-CNTT 6 Đồ án tốt nghiệp đại học của gói tin IP sẽ bị thay đổi, chẳng hạn: IP nguồn, IP đích…Mặt khác, để đảm bảo việc trao đổi thông tin giữa các nút mạng thì các sự thay đổi này cần phải được lưu lại để phục vụ cho việc chuyển đổi ngược lại khi cần thiết. Tại sao phải dùng đến NAT ? Nếu ta kết nối vào Internet thông qua dial-up thì các ISP sẽ chỉ cung cấp cho ta một địa chỉ IP duy nhất, các gói tin gửi đi sẽ được reply nếu nó có đúng địa chỉ nguồn do ISP cung cấp. Trong trường hợp muốn dùng nhiều địa chỉ IP khác nhau trong mạng thì ta phải dùng đến cơ chế NAT. Theo đó trong mạng sẽ có một máy (máy multi-homed hoặc bộ định tuyến) chạy phần mềm NAT, có thể gọi máy tinh này là NAT box. Tất cả các gói tin gửi từ trong mạng ra ngoài sẽ phải qua NAT box và nó sẽ chịu trách nhiệm chuyển đổi địa chỉ IP nguồn (là địa chỉ không được chấp nhận ở mạng ngoài) thành địa chỉ hợp lệ mà ISP đã cung cấp. Khi gói tin đi vào mạng thì nó sẽ chỉ biết gửi thông tin cho NAT box. Như thế, theo quan điểm của máy bên ngoài, mỗi datagram đến từ NAT box và mỗi lời đáp cũng trả về cho NAT box. Bằng cách nào gói tin đến được đúng địa chỉ máy cần gửi trong mạng? Thực ra, NAT duy trì một bảng chuyển đổi, nó sẽ sử dụng để thực hiện việc ánh xa. Mỗi dòng trong bảng xác định 2 giá trị: địa chỉ IP của máy trên Internet và địa chỉ IP nội bộ của máy trong mạng. Để làm được điều này thì trong NAT box sẽ lưu lại trạng thái (state) của các gói tin tương ứng với từng máy trong mạng đã được gửi đi. Trạng thái này có thể là các port nguồn trong các dịch vụ đối với các dịch vụ hướng kết nối như TCP, và thông tin về Session đối với các dịch vụ không hướng kết nối như UDP. Vì thế, khi gói tin gửi cho NAT box thì nó sẽ tra bảng trạng thái mà nó đã lưu để chuyển đổi địa chỉ cho phù hợp với máy cần nhận trong mạng. Cơ chế này thường được áp dụng cho các ISP mà chỉ được cung cấp số ít địa chỉ IP trong khi có một số lượng lớn host. Ý nghĩa của việc dùng NAT trong bảo mật 7 VIENGNAKONE XAYYASAVANH 49K-CNTT 7 Đồ án tốt nghiệp đại học Với việc dùng NAT thì các máy bên trong mạng sẽ trở nên trong suốt với môi trường ngoài vì địa chỉ IP của nó không hợp lệ, vì thế việc tấn công vào một máy cụ thể nào đó trong mạng là điều khó khăn. Giới hạn của NAT NAT không biết về các thông tin tầng trên trong gói tin NAT thực hiện thay đổi địa chỉ IP nên không thực hiện được cơ chế authentication trong IPSec khi kết nối end-to-end. IPSec Với việc sử dụng NAT ta mới chỉ hạn chế được việc tấn công vào trong mạng chứ không đảm bảo được tính mật (secret) và xác thực (authentication) vì thông tin vẫn có thể bị nghe trộm. Vì vậy cần phải mã hoá thông tin. IPSec được thêm vào để tăng cường tính toàn vẹn, xác thực và mã hoá dữ liệu. IPSec kết nối End-to-End và tạo một đường hầm (tunnel) bảo mật trên đó. Giao thức IPSec bao gồm 2 phần: Authentication Header (AH) và Encapsulating Security Payload (ESP). Authentication Header (AH) Authentication Header (AH) cung cấp cơ chế xác thực và tính toàn vẹn cho các gói tin IP truyền giữa 2 hệ thống. Điều này có thể thực hiện được bằng cách áp dụng hàm băm một chiều đối với gói tin IP để tạo mẫu thông điệp (message digest). Nếu bất cứ phần nào của datagram bị thay đổi trong quá trình truyền thì nó sẽ bị phát hiện bởi người nhận khi nó thực hiện cùng một hàm băm một chiều trên gói tin đó và so sánh giá trị của mẫu thông điệp mà người gửi cung cấp. Trên thực tế hàm băm một chiều cũng bao gồm việc dùng chung khoá mật giữa 2 hệ thống. Điều đó có nghĩa là tính xác thực đã được bảo đảm. Khi một mẫu thông điệp được dùng để xác thực thì AH đồng thời đạt được 2 mục đích: Xác nhận tính hợp lệ của người gửi vì người gửi biết khoá mật được dùng để tạo mẫu thông điệp đã được tính toán. Cho biết dữ liệu không bị thay đổi trong quá trình truyền. 8 VIENGNAKONE XAYYASAVANH 49K-CNTT 8 Đồ án tốt nghiệp đại học AH có định dạng như sau: Next Header Length Reserved Security Parameters Index Authentication Data 8 bits 8 bits 16 bits Hình 1.4.3. Format of Authentication Header 9 VIENGNAKONE XAYYASAVANH 49K-CNTT 9 Đồ án tốt nghiệp đại học Phía người nhận sử dụng trường Security Parameters Index để kiểm tra giao thức xác thực và khoá xác thực (authentication protocol and authentication key). Sau đó, người nhận sử dụng khoá xác thực để thực hiện tính toán MD5. Xác thực MD5 được thực hiện trên tất cả các trường của gói tin IP mà không thay đổi trong quá trình truyền (các trường thay đổi như hop counter hay Ipv6 routing pointer được coi là có giá trị 0). Kết quả tính toán của người nhận sẽ được so sánh với giá trị trong trường Authentication Data. Nếu khác nhau thì gói tin này sẽ bị huỷ. 1.4.2. Giải pháp an ninh mạng bằng hệ thống 1.4.2.1. Firewall Firewall là một thiết bị (phần cứng + phần mềm) nằm giữa mạng của một tổ chức, một công ty hay một quốc gia (mạng Intranet) và mạng Internet bên ngoài. Vai trò chính của nó là bảo mật thông tin, ngăn chặn sự truy nhập không mong muốn từ bên ngoài (Internet) và cấm truy nhập từ bên trong (Intranet) tới một số địa chỉ nhất định trên Internet. Firewall là một thiết bị bảo vệ, vì vậy nó phải là một thiết bị có độ an toàn rất cao. Nếu được xây dựng trên hệ thống máy tính thì firewall phải được xây dựng trên những hệ thống máy tính mạnh, có khả năng chịu lỗi cao. Ngoài ra hệ điều hành dùng trên máy tính này phải là những phiên bản an toàn, ổn định. Mô hình tổng quan Firewall 10 VIENGNAKONE XAYYASAVANH 49K-CNTT 10