dây(WLAN)
Không giống như hệ thống mạng có dây thông thường, ở các yếu tố bảo mật về mặt vật lý đã được đảm bảo, trong hệ thống mạng không dây có khả năng bảo mật của lớp vật lý không được đảm bảo như trong mạng có dây, môi trường sóng radio của các AP không bị hạn chế bởi khuôn viên toà nhà. Một thiết bị cầm tay với sử dụng anten thích hợp có thể kết nối ở khoảng cách lên tới 300m. Điều này khiến cho mạng WLAN không thể tránh khỏi những nguy cơ tấn công vốn có từ lớp vật lý. Điều này rất nguy hiểm cho các mạng WLAN không sử dụng cơ chế bảo mật nào. Vì thế chúng ta sẽ tìm hiểu sơ qua về một số
phương pháp bảo mật cho mạng không dây cơ bản như SSID, WEP, phương pháp chặn địa chỉ MAC…
a. SSID
Là một chuỗi 32 ký tự xác định vùng roaming của AP trong số nhiều AP. SSID được coi như là một loại password mà không có nó không thể kết nối vào mạng.
AP quảng bá SSID nhiều lần trong 1s nên bất kỳ tool nào cũng có thể đọc được nó. Vì vậy nên đổi SSID khác giá trị mặc định. SSID không phải là một phương pháp bảo mật mạnh nên cần kết hợp với WAP hay WPA.
b. WEP
WEP dùng để chứng thực và mã hóa. Có 4 tùy chọn:
Không dùng WEP
Dùng WEP chỉ để mã hóa
Dùng WEP chỉ để chứng thực
Dùng WEP để mã hóa và chứng thực
WEP mã hóa bằng RC4, khóa 40 bit kết hợp với 24 bit ngẫu nhiên của vector khởi tạo để hình thành chuỗi RC4, sau đó XOR với plain text sẽ tạo ra cipher text.
AP và client phải có cùng khóa WEP. Hầu hết các nhà cung cấp hiện nay dùng.
WEP 128 bit, mạnh hơn, khó khăn hơn đối với việc nghe lén. 128 bit WEP dùng chuỗi 26 kí tự (A-Z và 0-9), mỗi kí tự 4 bit, 26x4=104 bit và 24 bit vector khởi tạo. 256 bit WEP dùng 56 kí tự Hexa.
Có hai cách WEP chứng thực: chứng thực hệ thống mở và khóa chung
Hệ thống mở: thực chất không có quá trình chứng thực diễn ra giữa client và AP. Nó có thể dùng WEP mã hóa luôn dữ liệu.
Khóa chung: Bắt tay 4 bên
AP gửi yêu cầu chứng thực tới client. Client mã hóa yêu cầu bằng khóa chung và gửi lại AP. Nếu AP giải mã thành công thì cho phép kết nối
.
Hình 3- 17: Quá trình bắt tay 4 bên
c. Lọc địa chỉ MAC
Bộ lọc địa chỉ MAC sẽ lọc địa chỉ MAC của các NIC không dây. Cách này không mang hiệu quả cao vì dễ dàng biết được địa chỉ MAC bằng các tool sniff.
d. Mô hình bảo mật WLAN
Có 4 loại tấn công: chặn, giả dạng, thêm thông tin và gián đoạn.
Kiếu tấn công Ảnh hưởng Giải pháp
Interception Tính tin cậy và riêng
tư Mã hóa/giải mã
Fabrication Tính xác thực Chứng thực Modification Tính toàn vẹn
Interruption Tính sẵn sàng Repudiation Không chối cãi
Bảng 3- : Các hình thức tấn công
Hình 3- 18: Kiến trúc WLAN
Hình 3- 19: Kiến trúc WLAN có thêm wireless authentication firewall
Hình 3-20: Đánh giá độ bảo mật của WLAN
WPA dùng TKIP (Temportal Key Integrity Protocol) mã hóa bảo mật hơn so với WEP. TKIP dùng keyhashing (KeyMix) và MIC (Message Integrity Check) phi tuyến, rapid-keying (RaKey) cứ 10.000 gói thì thay đổi khóa.
WPA làm việc ở hai chế độ: preshared key mode và managed mode - Preshared key mode: chỉ cần nhập khóa là có thể truy cập mạng.
- Managed mode: có server chứng thực, có hỗ trợ 802.1x/EAP cho phép
thương lượng thông qua một AP với một server chứng thực, trong đó có mã hóa các phiên trao đổi khóa.
Phần lớn WPA có hỗ trợ các thuật toán như trong WEP, ngoài ra còn có thêm thuật toán mới AES (Advanced Encryption Standard) thay thế cho RC4.
Chứng thực user một cách tập trung. Thuật toán chứng thực có thể là dùng certificate như là EAP-TLS, dùng password như EAP-MD5, smartcard như EAP-SIM.
Hình 3- 21: Quá trình chứng thực 802.1x
EAP-TLS: dùng PKI (Public Key Infrastructure), được hỗ trợ trong Win XP và Win 2000.
EAP-SIM: thiết kế bởi Nokia, chứng thực phần cứng cho chip SIM.
EAP MD5: chứng thực dựa trên user name và password. g. VPN và 802.11
Phần mềm VPN client phải cài đặt trên tất cả các máy trong mạng LAN. Một VPN gateway được đặt giữa AP và WLAN. Một đường hầm mã hóa từ máy tính qua wireless gateway và kết thúc tại VPN gateway. Đường hầm VPN cung cấp chứng thực, tin tưởng và toàn vẹn dữ liệu, không cần đến các công cụ mã hóa khác như WEP nữa.
Giải pháp VPN cho phép người truy nhập từ xa có thể truy nhập mạng. Đường hầm bảo mật bắt đầu từ máy tính của user qua Internet, qua VPN gateway, đến VPN server và đi vào trong mạng.
Chứng thực một chiều nên dễ bị tấn công theo kiểu man-in-the-middle- attack.
Triển khai VPN trong một tổ chức lớn đòi hỏi cài đặt và bảo trì các phần mềm client. Ngoài ra, các nhà cung cấp khác nhau có những giải pháp VPN khác nhau, do đó phải đồng bộ về phần mềm và thiết bị.
KẾT LUẬN
Sau một thời gian tìm hiểu đề tài “Bảo mật VoIP”, em đã hoàn thành đề tài với các nội dung chính sau:
• Tìm hiểu tổng quan về VoIP
• Tìm hiểu các bộ giao thức được sử dụng trong VoIP • Tìm hiểu các kỹ thuật bảo mật cho VoIP
Do hạn chế về kiến thức nên em mới chỉ nêu ra được một số giải pháp bảo mật áp dụng cho mạng VoIP. Mặc dù các giải pháp đề ra ở đây chưa phải là tối ưu nhưng cũng đã giải quyết các vấn đề có bản còn tồn tại trong mạng VoIP hiện nay.
Với những cải tiến về công nghệ bảo mật, đồng thời chất lượng dịch vụ thoại được nâng cao, VoIP sẽ ngày càng được chú ý và hoàn thiện hơn, sẽ bổ xung những dịch vụ mới cùng với sự hiện diện của mạng điện thoại chuyển mạch công cộng PSTN truyền thống.
Đồ án này được hoàn thành đúng hạn là nhờ công lao dạy dỗ của các thầy cô giáo khoa CNTT trường ĐH Phương Đông, đặc biệt là thầy giáo Phạm Minh Nghĩa đã hướng dẫn giúp đỡ em trong quá trình học tập cùng với sự giúp đỡ của gia đình và bè bạn. Em xin gửi lời cảm ơn chân thành tới các thầy cô giáo và gia đình, bạn bè đã giúp đỡ em trong suốt thời gian làm đồ án.
Em xin chân thành cảm ơn
MỤC LỤC
LỜI NÓI ĐẦU...
CHƯƠNG I: TỔNG QUAN VoIP...
1.1. Điện thoại IP...
1.1.1. Giới thiệu...
1.1.2. Lợi ích của điện thoại IP...
1.1.3. Ưu điểm và nhược điểm của điện thoại IP...
1.2. Kết nối mạng VoIP...
1.2.1. Kết nối PC - PC...
1.2.2. Kết nối PC - máy thoại...
1.2.3. Kết nối máy thoại - máy thoại...
1.3. Đặc điểm của điện thoại IP...
1.4. Các ứng dụng của VoIP...
1.4.1. Dịch vụ thoại qua Internet...
1.4.2. Thoại thông minh...
1.4.3. Dịch vụ tính cước cho bị gọi...
1.4.4. Dịch vụ Callback Web...
1.4.5. Dịch vụ fax qua IP...
1.4.6. Dịch vụ Call center...
CHƯƠNG II: CÁC GIAO THỨC TRONG HỆ THỐNG VoIP...
2.1. Giao thức H323...
2.1.1. Giới thiệu giao thức H323...
2.1.2. Kiến trúc của H323...
2.2. Báo hiệu trong H323...
2.2.1. Thiết lập cuộc gọi...
2.2.2. Thiết lập kênh điều khiển...
2.2.3. Thiết lập kênh truyền thông...
2.2.5. Kết thúc cuộc gọi...
2.3. Giao thức H225...
2.3.1. RAS (Registration, Admission, Status)...
2.3.2. Q.931...
2.4. Giao thức H245...
2.5. Giao thức SIP...
2.5.1. Kiến trúc của SIP...
2.5.2. Giao thức mô tả phiên (SDP)...
2.5.3. Quá trình trao đổi bản tin của SIP...
2.5.4. Các giao thức vận chuyển của SIP...
2.6. So sánh H323 và SIP...
2.7. Giao thức MGCP...
2.8. MEGACO/H248...
CHƯƠNG III: KỸ THUẬT BẢO MẬT CHO VoIP...
3.1. Các điểm yếu về bảo mật VoIP...
3.1.1.Điểm yếu về bảo mật của giao thức H323...
3.1.2. Điểm yếu về bảo mật của giao thức SIP...
3.2. Kỹ thuật bức tường lửa áp dụng cho VoIP...
3.3. Kỹ thuật NAT áp dụng cho VoIP...
3.4. Kỹ thuật VPN áp dụng cho VoIP...
3.5. Một số giải pháp kỹ thuật bổ trợ cho bảo mật VoIP...
3.5.1. Giải pháp "Khu phi quân sự" - DMZ bổ trợ cho bức tường lửa...
3.5.2. Giải pháp đường viền bổ trợ cho NAT...
3.5.3. Hệ thống phát hiện xâm nhập IDS...
3.6. Bảo mật cho VoIP khi truyền qua mạng cục bộ không dây (WLAN)...
KẾT LUẬN... TÀI LIỆU THAM KHẢO