4.2. Hệ thống WLAN an toàn
Dựa vào những nghiên cứu và phân tích có được về mức độ an ninh mạng WLAN 802.11 nói chung và của chuẩn an ninh 802.11i nói riêng, ở đây tơi đề xuất một mơ hình hệ thống WLAN an toàn với những cải tiến nhằm nâng cao mức độ an ninh của môi trường mạng cũng như cho phép xây dựng một hệ thống dựa trên chuẩn 802.11i sẵn có với những sửa đổi là ít nhất. Như đã trình bày, đảm bảo an ninh cho mạng WLAN 802.11 chính là đảm bảo bốn tiêu chí: tính bí mật, tính tồn vẹn, tính xác thực và tính sẵn sàng cho mạng này. Do vậy, hệ thống WLAN an toàn được đề xuất cũng nhằm đảm bảo bốn tiêu chí này.
Thứ nhất, về mặt mã hóa và đảm bảo tính tồn vẹn dữ liệu cho mạng, với giao thức CCMP, các phân tích và nghiên cứu cho đến nay đều chỉ ra rằng việc mã hóa và đảm bảo tính tồn vẹn trong 802.11i sử dụng khóa có độ dài 128 bit là hiệu quả, khó có thể tấn cơng vào được. Tính đến nay, chưa có rủi ro an ninh nào liên quan đến CCMP được cơng bố. Với lý do đó, hệ thống WLAN an tồn sẽ sử dụng CCMP như là phương pháp duy nhất để mã hóa và đảm bảo tính tồn vẹn cho dữ liệu mạng.
Thêm vào đó, kiểu tấn cơng quay lui dịch vụ lợi dụng việc hai khung tin dẫn đường và dị tìm là khơng được bảo vệ trong mạng WLAN. Việc mã hóa hay kiểm tra tính tồn vẹn của các khung tin này là rất khó bởi tại thời điểm này, giữa điểm truy cập và trạm chưa có khóa chia sẻ nào để áp dụng. Nếu áp dụng giải pháp khóa chia sẻ trước ở trường hợp này sẽ dẫn tới việc khó khăn trong quản lý khóa cũng như đảm bảo tính bí mật của khóa. Do đó, việc sử dụng duy nhất CCMP cũng để nhằm chống lại kiểu tấn công này bởi điểm truy cập chỉ chấp nhận một giải pháp mã hóa và tồn vẹn dữ liệu duy nhất là CCMP.
Thứ hai, việc áp dụng chuẩn 802.1X kết hợp EAP trong 802.11i vào quá trình xác thực giúp cho việc xác thực và phân phối khóa trở nên an tồn và hiệu quả. Tuy vậy 802.11i lại không đặc tả phương pháp xác thực EAP cụ thể được dùng mặc dù có rất nhiều phương pháp xác thực có thể sử dụng với EAP. Do đó hệ thống WLAN đề xuất sử dụng phương pháp xác thực EAP-TLS kết hợp với máy chủ xác thực RADIUS.
Cụ thể thì EAP-TLS là một chuẩn xác thực EAP mở được định nghĩa trong văn bản RFC 2716. Chuẩn xác thực này sử dụng giao thức TLS hay còn gọi là SSL (Secure Socket Layer). TLS sử dụng cơ sở hạ tầng khóa cơng khai (PKI) để đảm bảo để đảm bảo an toàn cho dữ liệu truyền thơng. PKI được xem là an tồn và có nhiều ứng dụng bao quanh như chứng chỉ số, SSL, SSH, mạng riêng ảo dựa trên SSL,… Cho đến nay, EAP-TLS vẫn được xem là một trong những giải pháp xác thực an toàn nhất và được hỗ trợ bởi mọi nhà sản xuất phần cứng và phần mềm. Còn máy chủ xác thực RADIUS sử dụng giao thức RADIUS phục vụ cho quá trình xác thực hiện được xem là hiệu quả và phổ dụng với các mạng hữu tuyến lẫn không dây.
Thứ ba, hệ thống WLAN an toàn đề xuất những sửa đổi cần thiết để giảm thiểu những rủi ro liên quan đến kiểu tấn công DoS - được xem là khá dễ dàng để tấn cơng vào mạng 802.11. Tuy nhiên, có nhiều dạng tấn cơng DoS có thể thực hiện được từ tầng vật lý cho đến tầng ứng dụng nên ở đây chỉ cố gắng đạt được khả năng phòng chống DoS ở tầng liên kết dữ liệu.
hủy xác thực, giải pháp được đưa ra là thay đổi mơ hình hoạt động của 802.11i trong đó bước xác thực 802.11X được đưa lên trước bước liên kết – khởi nguồn từ nghiên cứu [33], đồng thời loại bỏ bước xác thực mở trong mơ hình hoạt động của 802.11i. Cách làm này cũng không làm thay đổi nhiều mơ hình của q trình kết nối trong mạng WLAN 802.11, theo đó các trạm cần được xác thực trước khi có thể liên kết với điểm truy cập. Sau khi thực hiện xác thực nhờ 802.1X kết hợp EAP-TLS, bên cạnh khóa bí mật được gửi tới điểm truy cập và trạm, máy chủ xác thực sẽ thực hiện tạo thêm một khóa nữa nhằm đảm bảo tính tồn vẹn cho các thông điệp liên kết. Khóa này – được gọi là SMK- cũng được bảo vệ bởi EAP-TLS. Sau cùng, các thông điệp liên kết được đảm bảo tồn vẹn bởi khóa này sử dụng hàm băm HMAC- SHA-1 giống như trong quá trình bắt tay bốn bước.
Tiếp đó, để chống lại khả năng giả mạo các thơng điệp 1 trong q trình bắt tay bốn bước, khóa trên cũng được dùng để đảm bảo tồn vẹn cho thơng điệp này sử dụng hàm băm HMAC-SHA-1. Phía trạm khi kiểm tra giá trị tồn vẹn của thông điệp này, nếu phát hiện sai sẽ bỏ qua. Nhờ đó, loại bỏ được kiểu tấn cơng DoS vào q trình bắt tay này.
Cuối cùng, để chống lại kiểu tấn công bằng việc giả mạo các thông điệp EAPOL-Success, EAPOL-Failure và EAPOL-Logoff, hệ thống WLAN an toàn cũng thực hiện việc kiểm tra tồn vẹn các thơng điệp này nhờ khóa sinh ra ở bước xác thực kết hợp với hàm băm HMAC-SHA-1. Việc sử dụng lại khóa này nhằm giảm bớt việc sinh cũng như quản lý khóa ở điểm truy cập và trạm.
Với những sửa đổi và đề xuất đó, mơ hình hoạt động của hệ thống WLAN 802.11 an tồn được mơ tả bởi q trình gửi/nhận các thơng điệp như sau: