Các lỗ hổng bảo mật trong triển khai hệ thống mạng dịch vụ IPTV hiện nay

Kiến trúc hệ thống IPTV

Các khối chức năng chính trên hô hình trên gồm: Khối cung cấp nội dung - Content provisioning, Khối truyền tải nội dung- content delivery, Hệ thống điều khiển mạng dịch vụ IPTV - IPTV control, Khối IPTV transport, Khối người dùng cuối - subscriber và khối thực hiện chức năng bảo mật – security. - Home–End: Bao gồm thiết bị thu nhận dữ liệu như Modem, và các thiết bị giải mã và hiển thị nội dung như STB (Set Top Box) hay Computer. Tại khu vực này, các nội dung chứa DRM được giải mã và hiển thị cho người xem. - Hệ thống mạng truyền dẫn IPTV: Bao gồm hạ tầng trang thiết bị mạng cho truyền dẫn nội dung chương trình, điều khiểu mạng IPTV từ nhà cung cấp dịch vụ đến người dùng cuối. Sơ đồ tổng thể một hệ thống IPTV với những thành phần cơ bản có thể biểu diễn như Hình 2.4 sau đây:. Hình 2.4: Cấu trúc tổng thể hệ thống IPTV. Hệ thống thiết bị Head-end. Head-end là phần thiết bị trung tâm của hệ thống IPTV. Head-end bao gồm nhiều loại thiết bị khác nhau gồm: Các thiết bị thu nhận nội dung; các thiết bị mã hóa chỉnh sửa nội dung, các thiết bị phân phối nội dung đến các thuê bao của mạng. Trong mạng IPTV, các Head-end được xây dựng tại trung tâm dịch vụ và các điểm phân phối khu vực/vùng miền tại các khu vực khác nhau trong toàn hệ thống. Head-end cũng có nhiệm vụ thu nhận các yêu cầu của thuê bao để đưa nội dung yêu cầu đến Set top boxes của các thuê bao. Sau đây là một số loại thiết bị chính phần Head-end. *) Đầu vào nội dung chương trình – Content Input.

Giới thiệu về các nguy cơ đối với mạng IPTV

• Các nguy cơ cụ thể trong hệ thống Head-end
• Các nguy cơ trong hệ thống mạng truyền dẫn 1. Các lỗ hổng trong giao thức
• Các nguy cơ trong hệ thống thiết bị đầu cuối thuê bao – Home end 1. Set top box

• Các đầu cuối không thể thực hiện được các gói tin hợp lệ - Tấn công DOS tại đầu cuối dịch vụ (ví dụ STB, Video server) bằng cách gửi đi một số lượng các gói tin không hợp lệ cũng có thể làm cho các đầu cuối bị lỗi, khởi động lại hoặc làm suy kiệt tài nguyên hệ thống;. • Giả mạo các gói tin điều khiển, đưa ra các điều khiển có hại xem vào trong đuwongf truyền dẫn, dẫn đến Video server hay các ứng dụng sẽ hoạt động sai chức năng hoặc nội dung sẽ được truyền đến đích không mong muốn; thay đổi các gói tin điều khiển có thể làm thay đổi cấu trúc cây của việc phân phối các dòng video quảng bá; các gói tin điều khiển giả mạo có thể làm hệ thống tưởng mạng đang bị nghẽn và tự động giảm giải thông truyền, do đó gây ảnh hưởng đến các thuê bao khác;. Các công cụ có thể được sử dụng để tìm ra các thông tin về nhà sản xuất và version của DSLAM, sau đó các thông tin này có thể được sử dụng để tìm kiếm các lỗ hổng bảo mật đã được phát hiện, kẻ tấn công sau đó có thể tận dụng các lỗ hổng này để tấn công và truy cập đến các thông tin về sự sử dụng của người dùng dịch vụ.

Tổng hợp

Quá trình chỉnh sửa hoặc giả mạo các thông tin EGP cũng có thể thực hiện trên đường truyền dẫn bằng cách thực hiện trích các gói tin vào trong đường truyền giữ STB và Middleware server hoặc thông quá quá trình tấn công MITM. Head-end, Transport và Home-end; theo cách này, các nhóm khác nhau có thể chủ động thực hiện kiểm tra và triển khai các phương thức phòng ngừa, giải quyết khi có vấn đề bảo mật xảy ra.

Các nền tảng cơ bản của giải pháp bảo mật 1. Kiên cố hóa hệ điều hành

Không phụ thuộc vào vào số lượng các lớp bảo mật đã được triển khai trong hệ thống IPTV, hay mức đầu tư cho bảo mật được thực hiện nhiều hay ít, hệ thống bảo mật vẫn sẽ bị phá vỡ nếu hệ điều hành và các chương trình ứng dụng không được bảo dưỡng và vá lỗi thường xuyên. Khóa và các thành phần thiết yếu từ hệ thống DRM phải được bảo đảm an toàn trong các hệ thống băng dữ liệu backup hoặc trên phương tiện lưu trữ nào đó phù hợp, sử dụng các phương thức mã khóa để bảo vệ khỏi các truy cập trái phép trong trường hợp các băng bị đánh cắp hoặc bị lẫn.

Hệ thống Head-end của nhà cung cấp dịch vụ IPTV

• Các đầu vào nội dung – Content input

Các tài nguyên nội dung có thể dưới các dạnh lưu trữ khác nhau với các định dạng khác nhau trong hệ thống Head-end, và mỗi loại nội dung có các nguy cơ bảo mật khác nhau và cách khắc phục những điểm yếu cho chúng cũng khác nhau. Làm gián đoạn dịch vụ Phương pháp này sẽ giảm thiểu cơ hội tấn công chỉnh sửa hoặc làm mất khóa thu nhận nội dung qua đường truyền vệ tinh, nếu khóa bị mất, hệ thống không thể thu được tín hiệu và hệ thống tạm dừng cung cấp dịch vụ.

Mạng truyền dẫn dịch vụ IPTV 1. DSLAM

Với chức năng chống giả mạo địa chỉ IP, các điểm truy cập mạng sẽ khóa tất cả các dải thông từ thuê bao trước khi có yêu cầu DHCP và gói tin trả lời về sự hợp lệ của người truy cập, điều này đảm bảo các người dùng không được chứng thực bởi DHCP sẽ không thể truy cập được dịch vụ. VLAN hoặc VPNs có thể được sử dụng để chia tách các giải thông truyền dẫn giữa các dịch vụ khác nhau như: IPTV, VoIP, Internet access, control, … Trong mỗi mạch vòng thuê bao, các quy tắc và các cơ chế bảo mật khác nhau có thể được triển khai, các dải thông nhất định có thể bị khóa và giảm thiểu các nhiễu trong mạng.

Hệ thống thiết bị đấu cuối home-end

• Residential Gateway
• Set top box

Các PC cho phép truy cập dễ dàng hơn đến các khóa và nội dung, khi kẻ tấn công có quyền điều khiển toàn bộ hệ thống và chỉ cần thực hiện các thao tác đơn giản trên STB là có thể lấy được các khóa được lưu trữ trong bộ nhớ hoặc các nội dung ghi nhớ đệm trong quá trình giải mã. DRM client cũng tham dự vào quá trình kiểm tra trao đổi khóa PKI, bao gồm quá trình đưa ra chứng thực số của STB, các thông tin kiểm tra mã khóa (thông qua bộ xử lý bảo mật) và quá trình kiểm tra các thông tin về tính hợp lệ từ DRM server và Middleware server.

Tổng hợp

Các hệ điều hành và các ứng dụng có thể mang đến một số lượng lớn các điểm yếu bảo mật, và thông thường các điểm yếu này không thường xuyên được vá lỗi bởi các nhà cung cấp mà cần đến sự thực hiện của đội ngũ làm việc vận hành để đảm bảo bảo vệ hệ thống dịch vụ này. Với khả năng và sự khéo léo trong xử lý của các kẻ tấn công và các điểm yếu liên quan đến các công nghệ mới ra đời, bảo mật trong hệ thống IPTV sẽ thay đổi và sự phát triển nhanh chóng của các hệ thống mới trong khi các công nghệ bảo mật không được cập nhập kịp thời làm tăng khả năng của các kẻ tấn công trong việc xâm nhập các hệ thống.