2. Cấu trúc của luận văn
3.3.3. Xác thực trong chế độ khóa chia sẻ trước
Bên cạnh việc sinh và phân phối khóa dựa trên 802.1X, kiến trúc RSN trong 802.11i định nghĩa một phương pháp khác gọi là khóa chia sẻ trước (PSK). Ở chế độ này, khóa cặp chính thay vì được sinh và phân phối bởi máy chủ xác thực, nó được cấu hình sẵn ở cả hai phía.
Trong chế độ này, sau khi quá trình thiết lập liên kết diễn ra, cả trạm và điểm truy cập sẽ tiến hành quá trình sinh và đồng bộ khóa dựa trên các thông điệp EAP- Key và khóa cặp chính (được sinh từ PSK) (hình 2-14). Sau đó, cả hai phía sẽ tiến hành truyền thông an toàn sử dụng cây phân cấp khóa đã được sinh.
3.4. Tổng kết
Chương này đã trình bày và giới thiệu các phương pháp xác thực được áp dụng trong mạng WLAN. Trong đó xác thực thông qua 802.1X cho phép thực hiện việc xác thực dựa trên người dùng, điều không có được ở các phương pháp trước đó trong chuẩn 802.11. Việc xác thực dựa trên người dùng là phương pháp xác thực được sử dụng phổ biến hiện nay bởi xác thực dựa trên thiết bị là có điểm yếu là thiết bị có những thông số cố định gắn liền rất dễ cho kẻ tấn công giả mạo.
Bên cạnh đó, cơ chế xác thực dựa trên 802.1X đã cung cấp một cách thức phân phối khóa bí mật tới điểm truy cập và trạm không dây một cách an toàn, giải quyết được vấn đề cấu hình tĩnh khóa như trong cơ chế WEP. Thêm vào đó, khóa được sinh ra bởi máy chủ xác thực là động với từng người dùng cụ thể sau khi đã được xác thực nên cho dù kẻ tấn công có thể tấn công được vào khóa của một người dùng thì cũng khó có thể tấn công vào dữ liệu gửi của người dùng khác.
Tuy vậy, chuẩn 802.11i lại không chỉ rõ trong đặc tả của mình là phương pháp xác thực EAP nào sẽ được dùng để phục vụ cho quá trình xác thực. Điều đó dẫn tới là các nhà sản xuất thiết bị có thể áp dụng các phương pháp xác thực khác nhau, và nếu như không xem xét cẩn thận trong quá trình xây dựng sẽ có thể dẫn tới những rủi ro an ninh từ quá trình xác thực này.
Bên cạnh đó, giải pháp xác thực dựa trên 802.1X cũng bị yếu điểm khi gặp kiểu tấn công từ chối dịch vụ (DoS). Nguyên nhân là do các đặc tả an ninh cho
mạng WLAN 802.11 đã bỏ qua việc đảm bảo tính sẵn sàng cho mạng.
Do vậy, mục đích và nội dung của chương cuối cùng là đi xem xét những vấn đề an ninh trong mạng WLAN 802.11 liên quan đến kiểu tấn công DoS, phân tích và so sánh các giải pháp xác thực EAP đang được sử dụng phổ biến để từ đó có cơ sở xây dựng một mô hình mạng WLAN an toàn có khả năng giảm thiểu rủi ro từ kiểu tấn công DoS cũng như đảm bảo được an toàn dữ liệu truyền thông.
CHƯƠNG 4. HỆ THỐNG WLAN AN TOÀN
Trong chương 2 và 3, chúng ta đã tìm hiểu và phân tích các giải pháp an ninh dành cho 802.11, đặc biệt là chuẩn an ninh mới 802.11i trên các khía cạnh: toàn vẹn dữ liệu, tính bí mật và xác thực. Đó cũng chính là ba tiêu chí được tổ chức IEEE đặt ra khi xây dựng giải pháp an ninh cho mạng WLAN.
Tuy nhiên, trong an toàn dữ liệu nói chung, còn một tính chất cũng quan trọng không kém là tính sẵn sàng (availability). Tính sẵn sàng dùng để chỉ mức độ sẵn sàng đáp ứng dịch vụ của mạng cũng như các trạm tham gia vào mạng. Liên kết mạng phải được duy trì cho đến khi một trong các bên tham gia (hợp lệ) thực hiện yêu cầu ngắt kết nối. Về tính chất này, các chuẩn an ninh cho 802.11 khi được đặc tả đều không đề cập tới.
Thêm vào đó, chuẩn 802.11i trong quá trình triển khai vẫn tồn tại những rủi ro an ninh tiềm ẩn như lỗ hổng tấn công quay lui dịch vụ. Việc không định rõ cơ chế xác thực EAP nào được sử dụng cũng dẫn tới nhiều vấn đề: thứ nhất là sự không đồng bộ giữa các nhà sản xuất thiết bị, thứ hai là nếu áp dụng cơ chế xác thực EAP yếu sẽ khiến cho những cố gắng an ninh sau bước xác thực sẽ bị đổ vỡ. Một ví dụ điển hình cho vấn đề này là nếu khóa bí mật bị lộ trong quá trình xác thực, quá trình mã hóa về sau sẽ không còn ý nghĩa nữa.