Slide bài giảng môn an ninh mạng: CHƯƠNG 7

TRƯỜNG ĐẠI HỌC SÀI GÒN CHƯƠNG 7: AN NINH TẦNG GIAO VẬN GV: LƯƠNG MINH HUẤN NỘI DUNG I Một số vấn đề an ninh tầng transport II SSL III TLS IV.SSH I MỘT SỐ VẤN ĐỀ VỀ AN NINH TẦNG TRANSPORT ➢Nhắc lại TCP: ▪ Hướng liên kết (connection-oriented), tin cậy: • Thiết lập liên kết: bắt tay bước ▪ Truyền liệu ▪ Kết thúc liên kết ▪ Báo nhận, phát lại ▪ Điều khiển luồng ▪ Điều khiển tắc nghẽn I MỘT SỐ VẤN ĐỀ VỀ AN NINH TẦNG TRANSPORT ➢Nguy với TCP tính sẵn sàng ➢Tấn cơng DoS – SYN Flooding ▪ Kẻ cơng gửi hàng loạt gói tin SYN với địa nguồn địa IP giả ▪ Server gửi lại SYN/ACK, chuẩn bị tài nguyên để trao đổi liệu, chờ ACK thời gian time-out ▪ Tấn công thành công thời gian time-out làm cạn kiệt tài nguyên ứng dụng, máy chủ vật lý I MỘT SỐ VẤN ĐỀ VỀ AN NINH TẦNG TRANSPORT I MỘT SỐ VẤN ĐỀ VỀ AN NINH TẦNG TRANSPORT ➢Tấn công can thiệp vào kết nối TCP ▪ Quá trình trao đổi liệu kết thúc bình thường: giao thức TCP cho phép bên đóng liên kết cách độc lập (gửi gói tin FIN) • Tin cậy: chờ nhận ACK • Liên kết thực hủy bên đóng I MỘT SỐ VẤN ĐỀ VỀ AN NINH TẦNG TRANSPORT ▪ Ngược lại, q trình trao đổi liệu khơng thể kết thúc bình thường (tiến trình ứng dụng kết thúc đột ngột, gói tin lỗi), gói tin RST (reset) gửi đi: • Việc đóng liên kết xuất phát từ bên • Khơng cần chờ ACK • Liên kết hủy Sequence Number phù hợp ➢Kẻ cơng ngắt kết nối đột ngột người dùng biết thông tin số hiệu cổng, Sequence Number RST INJECTION DATA INJECTION I MỘT SỐ VẤN ĐỀ VỀ AN NINH TẦNG TRANSPORT ➢Nhận xét: kịch công trên, kẻ công cần phải theo dõi thông số kết nối (cổng, Sequence Number ) ➢Trong trường hợp khơng có thơng tin này, kẻ cơng thực cách đoán nhận → blind spoofing ➢Hoặc đơn giản hơn: giả mạo kết nối TCP II SSL ➢Wildcard SSL Certificate: sản phẩm lý tưởng dành cho cổng thương mại điện tử ▪ Các website dạng thường tạo trang e-store dành cho chủ cửa hàng trực tuyến, e-store sub domains chia sẻ địa IP ▪ Khi đó, để triển khai giải pháp bảo bảo mật giao dịch trực tuyến (khi đặt hàng, toán, đăng ký & đăng nhập tài khoản, ) SSL, dùng chứng số Wildcard cho tên miền website dùng chung địa IP để chia sẻ cho tất sub domains III TLS ➢TLS (Transport Layer Security: Bảo mật tầng giao vận) phát triển SSL (Secure Sockets Layer: Tầng socket bảo mật) giao thức mật mã thiết kế để cung cấp truyền thơng an tồn qua mạng máy tính ➢Một số phiên giao thức sử dụng rộng rãi ứng dụng trình duyệt Web, thư điện tử, tin nhắn nhanh, VoIP III TLS ➢Ưu điểm ➢Mã hóa bảo mật ➢Ẩn liệu máy tính trang web ➢Thực trình handshake tốt với giao tiếp mã hóa ➢Nhược điểm ➢Khơng có mã hóa hồn hảo ➢Khơng tự động bảo mật DNS ➢Khơng hồn tồn tương thích với phiên cũ III TLS IV SSH ➢Secure shell, thường gọi SSH, cách để giao tiếp an tồn với máy tính từ xa SSH sử dụng để thực lệnh từ xa cách tương tác với hệ điều hành hệ thống khác ➢Ban đầu tạo cho máy tính dựa UNIX, SSH có sẵn dễ dàng Windows ➢Giao thức SSH tạo để thay giao thức khơng an tồn cho kết nối từ xa SSH giao thức mật mã tạo đường hầm hai máy tính từ xa Khi đường hầm thiết lập, vỏ hệ thống từ xa hiển thị lệnh trình bao truyền cách an toàn qua kết nối IV SSH IV SSH ➢SSH SSL / TLS thường có mục đích khác ➢SSH thường quản trị viên mạng sử dụng cho tác vụ mà người dùng internet bình thường khơng phải xử lý ➢Mặt khác, SSL / TLS người dùng Internet trung bình sử dụng lúc Bất sử dụng trang web có URL bắt đầu HTTPS, người trang web có SSL / TLS SO SÁNH SSH VÀ SSL ➢ SSH chạy cổng 22 ➢ SSL chạy cổng 443 ➢ SSH để thực lệnh máy chủ cách an toàn ➢ SSL sử dụng để giao tiếp an tồn thơng tin cá nhân ➢ SSH sử dụng tên người dùng / mật khẩu, hệ thống xác thực để thiết lập kết nối an toàn ➢ SSL thường sử dụng chứng số X.509 để xác thực máy chủ máy khách ➢ SSH hoạt động dựa đường hầm mạng ➢ SSL hoạt động dựa chứng kỹ thuật số ➢ SSH giao thức từ xa ➢ SSL giao thức bảo mật SSH USER AUTHENTICATION PROTOCOL ➢B1: Client gửi thông điệp MSG_USERAUTH_REQUEST với thông tin tài khoản phương pháp xác thực đề nghị ➢B2: Server kiểm tra tài khoản người dùng Nếu không hợp lệ gửi thông điệp MSG_USERAUTH_FAILURE Ngược lại chuyển sang bước ➢B3: Server gửi MSG_USERAUTH_FAILURE không hỗ trợ phương pháp xác thực mà client yêu cầu kèm theo danh sách phương pháp mà server đề nghị SSH USER AUTHENTICATION PROTOCOL ➢B4: Client lựa chọn phương pháp xác thực mà server hỗ trợ gửi lại MSG_USERAUTH_REQUEST ➢B5: Nếu xác thực thành công cần thêm bước xác thực khác, quay lại bước ➢B6: Server gửi thông điệp MSG_USERAUTH_SUCCESS báo xác thực thành công SSH CONNECTION PROTOCOL BẢO MẬT TRONG SSH ➢Lỗ hổng: client không kiểm tra đầy đủ tính hợp lệ chứng mà server cung cấp ➢Nguy cơ: giả mạo sever công man-in-the-middle ▪ Tương tự nguy giao thức SSL/TLS HOẠT ĐỘNG CỦA SSH ➢Lệnh SSH có phần: ssh {user}@{host} ➢SSH có ý nghĩa người dùng muốn mở kết nối mã hoá Secure Shell Connection ▪ {user} tài khoản người dùng truy cập ▪ {host} đại diện cho máy tính địa IP (244.23.23.18) ➢Sau Enter, hệ thống yêu cầu người dùng nhập mật tương ứng cho tài khoản Khi nhập mật khẩu, khơng có dấu hiệu lên hình nhập mật click enter, sau tự động vào hệ thống đăng nhập hoàn tất HOẠT ĐỘNG CỦA SSH ➢SSH có ưu điểm vượt trội so với giao thức cũ khả truyền tải liệu bảo mật client - host khả mã hoá Để mã hoá, SSH sử dụng cách sau đây: 1.Hashing 2.Asymmetrical encryption 3.Symmetrical encryption ... thời gian time-out ▪ Tấn công thành công thời gian time-out làm cạn kiệt tài nguyên ứng dụng, máy chủ vật lý I MỘT SỐ VẤN ĐỀ VỀ AN NINH TẦNG TRANSPORT I MỘT SỐ VẤN ĐỀ VỀ AN NINH TẦNG TRANSPORT... Ephemeral Diffie-Hellman: phương pháp trao đổi khóa DiffieHellman bảo vệ mã hóa khóa cơng khai RSA Đây hình thức Diffie-Hellman an tồn ▪ Anonymous Diffie-Hellman: Diffie-Hellman thường, bị cơng...NỘI DUNG I Một số vấn đề an ninh tầng transport II SSL III TLS IV.SSH I MỘT SỐ VẤN ĐỀ VỀ AN NINH TẦNG TRANSPORT ➢Nhắc lại TCP: ▪ Hướng liên kết (connection-oriented),