III.3.5.1. Mó hoỏ dữ liệu trong suốt
Mục đớch của hệ thống an toàn và bảo mật là chuyển đổi những dữ liệu tƣờng minh sang dữ liệu mó hoỏ khụng tƣờng minh dựa trờn một khúa, Rất khú cú thể chuyển bản dữ liệu đó đƣợc mó hoỏ sang dữ liệu rừ ràng và tƣờng minh mà khụng sử dụng đỳng khoỏ. Trong hệ thống mó hoỏ đối xứng, cựng một khoỏ cú thể sử dụng cho cả quỏ trỡnh mó hoỏ và giải mó trờn cựng một dữ liệu.Hệ bảo mật Oracle nõng cao cung cấp cỏc phƣơng phỏp mó húa đối xứng là AES, DES, 3DES, và RC4 để bảo vệ tớnh bảo mật của hệ thống Oracle Net Service.
III.3.5.2. Toàn vẹn dữ liệu
Hệ bảo mật nõng cao ORACLE cũn cung cấp cụng cụ kiểm tra tớnh toàn vẹn của dữ liệu để chống lại hai loại tấn cụng là tấn cụng thay đổi dữ liệu và tấn cụng chuyển tiếp
III.3.5.2.1. Cỏc thuật toỏn toàn vẹn dữ liệu đƣợc cung cấp:
Hệ bảo mật ORACLE nõng cao yờu cầu ngƣời dựng chọn một khoỏ, rồi thực thi cỏc thuật toỏn MD5 hoặc SHA-1 để bảo vệ chống lại hai kiểu tấn cụng trờn. Cả hai thuật toỏn này đều tạo ra một checksum nú sẽ thay đổi khi cú bất kỳ sự thay đổi trờn dữ liệu gốc. Thao tỏc bảo vệ này độc lập với tiến trỡnh mó hoỏ. Ta cú thể kớch hoạt chức năng kiểm tra toàn vẹn dữ liệu mà khụng bắt buộc phải sử dụng thuật toỏn mó hoỏ
- 62 -
III.3.5.2.2. Quản lý khoỏ dựa trờn Diffie-Hellman
Tớnh bảo mật của cỏc dữ liệu mó hoỏ phụ thuộc trờn tỡnh trạng của cỏc khoỏ đƣợc chia sẻ giữa cỏc nhúm giao tiếp với nhau. Một khoỏ là một bớ mật dựng để chia sẻ riờng bởi cỏc thành viờn ở hai đầu của một kết nối. Khụng cú khoỏ, sẽ vụ cựng khú khăn (gần nhƣ là khụng thể) để giải mó thụng điệp mó hoỏ hoặc thay đổi bản mó hoỏ, checksum thụng điệp mà khụng bị phỏt hiện. Cung cấp và duy trỡ khoỏ bớ mật là nhiệm vụ của việc quản lý khoỏ.
Sự phõn bổ khoỏ an toàn là rất khú khăn trong mụi trƣờng đa ngƣời dựng. Hệ bảo mật nõng cao Oracle sử dụng thuật toỏn dàn xếp khoỏ nổi tiếng Diffie- Hellman để thực hiện sự phõn phối khoỏ bớ mật cho cả việc mó hoỏ và toàn vẹn dữ liệu. Đõy là phƣơng phỏp yờu cầu hai thành viờn giao tiếp với nhau trờn một kờnh khụng an toàn chấp nhận một con số ngẫu nhiờn mà chỉ họ biết. Dự cỏc thành viờn trao đổi thụng tin qua 1 kờnh khụng an toàn trong suốt quỏ trỡnh thực hiện thuật toỏn giàn xếp khoỏ Diffie-Hellman thỡ gần nhƣ khụng xảy ra khả năng ngƣời tấn cụng cú thể suy luận ra một số ngẫu nhiờn bằng cỏch phõn tớch cỏc giao tiếp trờn mạng. Oracle sử dụng thuật toỏn Diffie- Hellman để thay đổi khoỏ tại mỗi phiờn làm việc.Việc thay đổi khoỏ thƣờng xuyờn này làm giảm nguy cơ bị phỏt hiện ra khoỏ.
Mỏy trạm và mỏy chủ bắt đầu giao tiếp sử dụng khoỏ phiờn đƣợc tạo ra từ Diffie-Hellman. Khi mỏy trạm xỏc nhận đến mỏy chủ, chỳng sẽ thiết lập một bớ mật mà chỉ hai đầu của kết nối đƣợc biết. Hệ bảo mật nõng cao Oracle kết hợp với khoỏ bớ mật và khoỏ phiờn Diffie-Hellman để tạo ra một khoỏ phiờn mạnh đƣợc thiết kế để chống lại sự tấn cụng của bờn thứ ba.
III.3.5.2.3. Cơ chế hoạt động mó hoỏ và toàn vẹn dữ liệu trờn mạng
Thụng thƣờng, mỏy chủ hoặc mỏy trạm đƣợc cung cấp nhiều hơn một thuật toỏn mó hoỏ và kiểm tra toàn vẹn của dữ liệu . Khi một kết nối đƣợc tạo ra,
- 63 -
mỏy chủ sẽ lựa chọn một thụõt toỏn để sử dụng, nú sẽ là một trong những thuật toỏn đƣợc chỉ ra trong file sqlnet.ora.
Sau đú mỏy chủ sẽ tỡm kiếm danh sỏch cỏc thụõt toỏn phự hợp đang sẵn sàng trờn cả mỏy trạm và mỏy chủ và sẽ lựa chọn thụõt toỏn đầu tiờn trong danh sỏch của nú mà cũng cú trờn danh sỏch của mỏy trạm. Nếu một đầu của kết nối khụng đƣa ra đƣợc danh sỏch cỏc thụõt toỏn, tất cả cỏc thụõt toỏn đang đƣợc cài đặt trờn đầu kết nối kia đều đƣợc chấp nhận.
Cỏc tham số mó hoỏ và toàn vẹn dữ liệu đƣợc lƣu trong file sqlnet.ora trờn mỏy chủ và mỏy trạm. Tất cả cỏc thuật toỏn mó hoỏ và kiểm tra tớnh toàn vẹn của hệ bảo mật nõng cao Oracle đều sẵn sàng nhƣng chỉ cú duy nhất một thuật toỏn mó hoỏ và một thuật toỏn kiểm tra tớnh toàn vẹn dữ liệu đƣợc sử dụng cho mỗi phiờn kết nối.Oracle cung cấp bốn chế độ cấu hỡnh mó hoỏ và kiểm tra tỡnh toàn vẹn dữ liệu (mặc định là chế độ ACCEPTED):
- REJECTED
- ACCEPTED
- REQUESTED
- REQUIRED
Chế độ REJECTED cung cấp mức độ bảo mật thấp nhất khi giao tiếp giữa mỏy chỉ và mỏy trạm và chế độ REQUIRED cung cấp mức độ bảo mật mạnh nhất của hệ thống mạng:
STT Thiết lập tại mỏy trạm Thiết lập tại mỏy chủ Chế độ
1 REJECTED REJECTED Tắt
2 ACCEPTED REJECTED Tắt
3 REQUESTED REJECTED Tắt
4 REQUIRED REJECTED Kết nối thất bại
5 REJECTED ACCEPTED Tắt
- 64 - 7 REQUESTED ACCEPTED Bật 8 REQUIRED ACCEPTED Bật 9 REJECTED REQUESTED Tắt 10 ACCEPTED REQUESTED Bật 11 REQUESTED REQUESTED Bật
12 REJECTED REQUIRED Kết nối thất bại
13 ACCEPTED REQUIRED Bật
14 REQUESTED REQUIRED Bật
15 REQUIRED REQUIRED Bật
16 REQUIRED REQUESTED Bật
Bảng 3.3: Mụ tả cơ chế bảo mật giữa hai đầu kết nối đƣợc thiết lập
III.4. Xỏc thực [9]
Xỏc thực đƣợc sử dụng để chứng minh định danh của một ngƣời dựng. Quỏ trỡnh xỏc thực một ngƣời dựng là rất cần thiết trong mụi trƣờng phõn tỏn. Hệ bảo mật nõng cao ORACLE cho phộp xỏc thực với Oracle authentication adapter nú cung cấp cỏc dịch vụ xỏc thực của bờn thứ ba khỏc nhau bao gồm cả SSL với cỏc chứng chỉ số.
III.4.1Cơ chế làm việc của một dịch vụ xỏc thực trờn mạng
1. Một ngƣời dựng (mỏy trạm) yờu cầu dịch vụ xỏc thực và cung cấp cỏc
thụng tin định danh của mỡnh cú thể là một thẻ thụng bỏo hoặc mật khẩu.
2. Dịch vụ xỏc thực xỏc nhận tớnh hợp lệ của thụng tin nhận dạng ngƣời
dựng và chuyển một giấy phộp hoặc giấy chứng nhận trở lại cho ngƣời dựng, những giấy này bao gồm thụng tin về thời gian hết hạn
3. Mỏy trạm chuyển giấy chứng nhận đú cựng với yờu cầu dịch vụ tới mỏy
chủ ORACLE, cú thể là một kết nối tới CSDL.
- 65 -
Hỡnh 3.7: Cỏch thức Dịch vụ xỏc thực trờn mạng xỏc thực một ngƣời dựng
5.Nếu mỏy chủ xỏc thực chấp nhận giấy chứng nhận, sau đú nú sẽ bỏo tin
cho mỏy chủ ORACLE và xỏc thực ngƣời dựng
6.Nếu mỏy chủ xỏc thực khụng chấp nhận giấy chứng nhận, xỏc thực thất
bại và yờu cầu dịch vụ bị từ chối
III.4.1.1 Xỏc thực RADIUS
RADIUS là một giao thức bảo mật giữa mỏy chủ và mỏy trạm đƣợc sử dụng khỏ phổ biến cho phộp truy cập và xỏc thực từ xa. Hệ bảo mật Oracle nõng cao sử dụng chuẩn cụng nghệ này trong mụi trƣờng mạng mỏy chủ/ mỏy trạm cho phộp sử dụng bất kỳ phƣơng phỏp xỏc thực nào hỗ trợ giao thức RADIUS. RADIUS cú thể đƣợc sử dụng với nhiều cơ chế xỏc thực khỏc nhau bao gồm thẻ thụng bỏo hoặc thẻ thụng minh.
Khi sử dụng RADIUS ngƣời dựng cú thể thay đổi phƣơng phỏp xỏc thực mà khụng phải thay đổi bất cứ cỏi gỡ trờn mỏy chủ Oracle và mỏy trạm oracle. Trờn gúc độ ngƣời dựng, toàn bộ tiến trỡnh xỏc thực là trong suốt. Khi ngƣời dựng cố gắng truy cập vào mỏy chủ CSDL, mỏy chủ CSDL Oracle hoạt động
- 66 -
nhƣ một mỏy trạm RADIUS thụng bỏo cho mỏy chủ RADIUS. Mỏy chủ RADIUS :
Tra cứu những thụng tin bảo mật của ngƣời dựng
Chuyển thụng tin xỏc thực và thẩm quyền giữa một một(nhiều) mỏy
chủ xỏc thực tƣơng ứng và mỏy chủ CSDL oracle
Gỏn quyền truy cập của ngƣời dựng vào mỏy chủ CSDL oracle
Ghi nhận lại thụng tin phiờn làm việc bao gồm thời gian nào, bao nhiờu
lần,bao lõu khi ngƣời dựng kết nối tới mỏy chủ CSDL oracle.
Hỡnh 3.8: RADIUS trong mụi trƣờng ORACLE
Mỏy chủ CSDL Oracle hoạt động nhƣ một mỏy trạm Radius, chuyển thụng tin giữa mỏy trạm oracle và mỏy chủ Radius. Tƣơng tự nhƣ mỏy chủ RADIUS chuyển thụng tin giữa mỏy chủ CSDL oracle và những mỏy chủ xỏc thực thớch hợp.
III.4.1.2 Cỏc chế độ xỏc thực của RADIUS
III.4.1.2.1 Chế độ xỏc thực đồng bộ
Trong chế độ xỏc thực đồng bộ, RADIUS cho phộp ngƣời dựng cú thể sử dụng rất nhiều phƣơng phỏp xỏc thực khỏc nhau bao gồm mật khẩu và thẻ thụng bỏo. Trỡnh tự xỏc thực đồng bộ nhƣ sau:
1.Ngƣời dựng đăng nhập bằng cỏch nhập vào một chuỗi kết nối, mó và
một số giỏ trị khỏc. Hệ thống trờn mỏy trạm sẽ chuyển cỏc thụng tin đến mỏy chủ CSDL oracle.
- 67 -
2.Mỏy chủ CSDL oracle hoạt động nhƣ một mỏy trạm radius, đẩy thụng
tin từ mỏy trạm oracle lờn mỏy chủ RADIUS
3.Mỏy chủ RADIUS sẽ đẩy những thụng tin này tới mỏy chủ xỏc thực
nhƣ Smart Card hoặc SecurID ACE để xỏc nhận tớnh hợp lệ
4.Mỏy chủ xỏc thực sẽ gửi một trong những thụng điệp chấp nhận truy
cập hoặctừ chối truy cập trở lại mỏy chủ RADIUS
5.Mỏy chủ RADIUS chuyển lại thụng điệp đƣợc trả lời từ mỏy chủ xỏc
thực đến mỏy chủ CSDL oracle/ mỏy trạm RADIUS
6.Mỏy chủ Oracle dựa trờn thụng tin nhận đƣợc trả lời cú hoặc khụng cho
phộp truy cập tới nú của mỏy trạm.
Hỡnh 3.9: Trỡnh tự xỏc thực đồng bộ
III.4.1.2.2 Chế độ xỏc thực khụng đồng bộ
Khi ngƣời dựng sử dụng chế độ xỏc thực khụng đồng bộ, ngƣời dựng khụng cần đăng nhập tờn đăng nhập và mật khẩu tại chuỗi kết nối SQL*Plus. Thay vào đú một giao diện đồ hoạ với ngƣời dựng sẽ hỏi những thụng tin này sau trong tiến trỡnh xử lý.
- 68 -
1. Một ngƣời dựng cố gắng kết nối đến mỏy chủ CSDL oracle. Hệ thống
mỏy trạm sẽ đẩy những dữ liệu đến mỏy chủ ORACLE
2. Mỏy chủ CSDL Oracle hoạt động nhƣ một mỏy trạm radius, đẩy thụng
tin từ mỏy trạm oracle lờn mỏy chủ RADIUS
3. Mỏy chủ RADIUS sẽ đẩy những thụng tin này tới mỏy chủ xỏc thực
nhƣ Smart Card hoặc SecurID ACE hoặc token card server
4. Mỏy chủ xỏc thực sẽ gửi lại 1 thử thỏch, cú thể là một số ngẫu nhiờn tới
mỏy chủ RADIUS
5. Mỏy chủ RADIUS sẽ chuyển thử thỏch này đến mỏy chủ CSDL oracle/
mỏy trạm RADIUS.
6. Mỏy chủ CSDL Oracle/ mỏy trạm RADIUS sau khi nhận đƣợc yờu cầu
sẽ chuyển lại cho mỏy trạm oracle. Một giao diện đồ hoạ sẽ hiển thị yờu cầu cho ngƣời dựng.
7. Ngƣời dựng trả lời những thụng tin yờu cầu. Để cú thể trỡnh bày đƣợc
cõu trả lời , ngƣời dựng vớ dụ cú thể nhập yờu cầu nhận đƣợc vào token card. Token card sẽ cung cấp một mật khẩu động để nhập vào giao diện đồ họa giao tiếp với ngƣời dựng. Mỏy trạm oracle sẽ chuyển cõu trả lời của ngƣời dựng đến mỏy chủ CSDL oracle/ mỏy trạm RADIUS
8. Mỏy chủ CSDL oracle/ mỏy trạm RADIUS sẽ chuyển cõu trả lời lờn
cho mỏy chủ RADIUS.
9. Mỏy chủ RADIUS lại chuyển những thụng tin này lờn mỏy chủ xỏc
thực để xỏc nhận thụng tin.
10.Mỏy chủ xỏc thực sẽ gửi một trong những thụng điệp chấp nhận truy
cập và từ chối truy cập trờ lại mỏy chủ RADIUS
11.Mỏy chủ RADIUS chuyển lại thụng điệp đƣợc trả lời từ mỏy chủ xỏc
- 69 -
12.Mỏy chủ Oracle dựa trờn thụng tin nhận đƣợc trả lời cú hoặc khụng cho
phộp truy cập tới nú của mỏy trạm.
Hỡnh 3.10: Trỡnh tự xỏc thực khụng đồng bộ
III.4.1.3 Xỏc thực Kerberos
Hệ bảo mật ORACLE nõng cao hỗ trợ Kerberos cung cấp chế độ truy cập một lần và trung tõm xỏc thực cho ngƣời dựng ORACLE. Kerberos là một hệ thống xỏc thực ba lớp mà ta cú thể tin tƣởng để chia sẻ bớ mật. Cung cấp khả năng truy cập 1 lần duy nhất, lƣu trữ mật khẩu tập chung, xỏc thực liờn kết dữ liệu, đề cao bảo mật mỏy tớnh cỏ nhõn. Nú làm việc thụng qua mỏy chủ xỏc thực Kerberos.
III.4.1.4 SSL
III.4.1.4.1 SSL trong mụi trƣờng Oracle
Hệ bảo mật nõng cao Oracle hỗ trợ xỏc thực bằng cỏch sử dụng chứng chỉ số trờn SSL. Sử dụng chức năng SSL của hệ bảo mật nõng cao Oracle trong giao tiếp giữa mỏy chủ và mỏy trạm ngƣời dựng cú thể:
- 70 -
Sử dụng SSL để mó hoỏ cỏc kết nối giữa mỏy chủ và mỏy trạm
Xỏc thực bất kỳ mỏy chủ, mỏy trạm nào đến bất kỳ mỏy chủ CSDL nào
đƣợc cấu hỡnh giao tiếp thụng qua SSL.
Cú thể sử dụng những tớnh năng của chớnh SSL kết hợp với một số phƣơng phỏp xỏc thực khỏc đƣợc hỗ trợ bởi hệ bảo mật nõng cao Oracle. SSL cung cấp một trong những chế độ xỏc thực sau đõy:
Mỏy chủ tự xỏc thực tới mỏy trạm
Mỏy chủ và mỏy trạm đều xỏc thực với nhau
Khụng mỏy chủ mỏy trạm nào xỏc thực tới nhau do đú sử dụng những
tớnh năng mó hoỏ SSL của chớnh bản thõn nú
III.4.1.4.2 Hoạt động của SSL trong mụi trƣờng Oracle
Khi một kết nối trờn mạng qua SSL đƣợc khởi tạo, mỏy chủ và mỏy trạm phải thực hiện một cỏi bắt tay SSL bao gồm những bƣớc sau đõy:
Mỏy chủ và mỏy trạm thụng qua việc sử dụng loại mó hoỏ nào. Nú bao
gồm thuật toỏn mó hoỏ đƣợc sử dụng trong quỏ trỡnh truyền dữ liệu
Mỏy chủ gửi chứng chỉ của nú đến mỏy trạm và mỏy trạm sẽ xỏc minh
chứng chỉ của mỏy chủ thụng qua trung tõm chứng thực CA. Bƣớc này nhằm xỏc minh định danh của mỏy chủ.
Tƣơng tự nhƣ vậy nếu mỏy trạm bắt buộc phải xỏc thực, mỏy trạm sẽ
gửi giấy chứng chỉ của nú tới mỏy chủ và mỏy chủ sẽ xỏc minh giấy chứng thực của mỏy trạm qua trung tõm chứng thực CA
Mỏy chủ và mỏy trạm trao đổi thụng tin bằng cỏch khoỏ sử dụng mó
hoỏ khoỏ cụng khai. Dựa trờn những thụng tin này mỗi bờn sẽ tạo ra một khoỏ phiờn. Tất cả cỏc giao tiếp sau này giữa mỏy chủ và mỏy trạm sẽ đƣợc mó hoỏ và giải mó bằng cỏch sử dụng cỏc khoỏ phiờn này theo thuật toỏn đó đƣợc thoả thuận
- 71 -
Trờn một mỏy trạm ngƣời dựng khởi tạo một kết nối Oracle net đến
mỏy chủ bằng cỏch sử dụng SSL
SSL sẽ thực hiện 1 cỏi bắt tay giữa mỏy chủ và mỏy trạm
Nếu quỏ trỡnh bắt tay thành cụng thỡ mỏy chủ xỏc nhận ngƣời dựng cú
quyền truy cập vào những dữ liệu mỡnh cú thẩm quyền.
III.4.1.4.3 Cỏc loại mó hoỏ SSL trờn mỏy chủ
Một bộ mó hoỏ là một nhúm cỏc thụõt toỏn mó hoỏ, toàn vẹn, và xỏc thực sử dụng cho việc trao đổi thụng điệp giữa cỏc thành viờn trờn mạng. Trong suốt quỏ trỡnh bắt tay SSL, hai thực thể giàn xếp để chọn cựng một bộ mó hoỏ khi chuyển thụng điệp qua lại.
Oracle cho phộp đỏnh độ ƣu tiờn cho cỏc bộ mó hoỏ. Khi mỏy trạm đồng ý với những mỏy chủ rằng bộ mó hoỏ này đƣợc sử dụng nú chấp nhận độ ƣu tiờn vừa đặt. Đặt chế độ ƣu tiờn cho những bộ mó hoỏ tuõn theo những tiờu chớ sau:
Tớnh tƣơng thớch. Mỏy chủ và mỏy trạm phải đƣợc cấu hỡnh để sử dụng
bộ mó hoỏ tƣơng thớch cho một kết nối thành cụng
Sức mạnh và tớnh ƣu thế của mó hoỏ. Bộ mó hoỏ ƣu tiờn bắt đầu với
bằng thuật toỏn mó hoỏ tốt nhất và loại bỏ thuật toỏn yếu để chắc chắn rằng cú mức độ bảo mật cao nhất cú thể
Cỏc mức bảo mật ngƣời dựng muốn sử dụng.
Phƣơng diện thực thi.
Đối với xỏc thực khụng đồng bộ Diffie-Hellman: