CHƯƠNG I : TỔNG QUAN VỀ CÔNG NGHỆ TRUYỀN THÔNG KHÔNG DÂY BĂNG THÔNG RỘNG
2.2. Vấn đề đảm bảo an ninh trong mạng di động băng thông rộng
Từ những lỗ hổng an ninh và các hạn chế về công nghệ đã chỉ ra ở trên, ta có thể sử dụng một số giải pháp nâng cao tính bảo mật cho mạng WiMAX, bao gồm các giải pháp phần mềm và cả phần cứng.
2.2.1. Mô hình kiến trúc an ninh mạng di động băng thông rộng
Kiến trúc an ninh mạng di động băng thông rộng được xây dựng trên 3 nguyên lý sau.
2.2.1.1. Nhận thực
Nhận thực để xác nhận nhận dạng của một thực thể. Một nút muốn nhận thực đến một người nào đó phải trình diện số nhận dạng của mình. Quá trình này có thể được thực hiện bằng cách chỉ ra sự hiểu biết về một bí mật mà chỉ hai nút liên quan mới biết hoặc một nút thứ ba được cả hai nút tin tưởng, để xác nhận các số nhận dạng của chúng.
Nhận thực trong di động băng thông rộng được chia làm hai phần: mạng nhận thực người sử dụng và người sử dụng nhận thực mạng. Cả hai thủ tục này đều xảy ra trong cùng một trao đổi bản tin giữa mạng và người sử dụng, thủ tục này gọi là “nhận thực một lần gửi” để giảm các bản tin cần truyền. Sau các thủ tục này, người sử dụng sẽ tin tưởng rằng mạng mà nó nối đến được tin tưởng, để phục vụ thay cho mạng nhà của nó. Đồng thời, mạng cũng tin tưởng nhận dạng của người sử dụng là hợp lệ. Mạng lõi rất cần biết số nhận dạng thực sự của người sử dụng để tin tưởng rằng người sử dụng này sẽ trả tiền cho các dịch vụ mà nó cung cấp. Mặt khác người sử dụng cũng muốn nhận thực để tin tưởng rằng các dịch vụ mà nó trả tiền sẽ được cung cấp
2.2.1.2. Bảo mật
Bảo mật để đảm bảo an ninh thông tin, đối phó với các cuộc tấn công của những kẻ không được phép. Khi số lượng thuê bao không ngừng tăng cho cả các cuộc gọi cá nhân lẫn kinh doanh (ví dụ các dịch vụ trực tuyến như trao đổi ngân hàng) thì nhu cầu bảo mật thông tin ngày càng trở nên bức thiết.
Bảo mật trong UMTS đạt được bằng cách mật mã hóa các cuộc truyền thông giữa thuê bao và mạng bằng cách sử dụng nhận dạng tạm thời (địa phương) thay cho sử dụng nhận dạng toàn cầu, IMSI. Mật mã hóa được thực hiện giữa thuê bao (USIM) và RNC và bảo mật người sử dụng được thực hiện giữa thuê bao và VLR/SGSN.
Các thuộc tính cần bảo mật là: - Nhận dạng thuê bao
- Vị trí hiện thời của thuê bao
- Số liệu người sử dụng (cả truyền thoại lẫn số liệu đều được giữ bí mật) - Số liệu báo hiệu
2.2.1.3. Toàn vẹn
Đôi khi chúng ta cần kiểm tra bản tin gốc, mặc dù bản tin này có thể được nhận từ một phía đã được nhận thực, xong nó vẫn có thể bị giả mạo. Để khắc phục vấn đề này cần có bảo vệ toàn vẹn, không chỉ bảo mật bản tin mà cần phải đảm bảo rằng đây là bản tin chính thống.
Phương pháp để bảo vệ toàn vẹn trong mạng di động băng thông rộng là tạo ra các con dấu bổ sung cho các bản tin. Các con dấu này có thể được tạo ra tại các nút biết được các khóa, được rút ra từ một khóa chủ biết trước (K). Các khóa này được lưu trong USIM và AuC. Bảo vệ toàn vẹn đặc biệt cần thiết, vì mạng phục vụ thường được khai thác bởi một nhà khai thác khác với nhà khai thác của thuê bao.
Thuộc tính cần được bảo vệ toàn vẹn là các bản tin báo hiệu.
Cần lưu ý rằng tại lớp vật lý, các bit được kiểm tra tính toàn vẹn bằng cách kiểm tra tổng CRC _ Cyclic Redundancy Check (kiểm tra vòng dư). Xong các biện pháp này chỉ được thực hiện để đạt được các cuộc truyền thông số liệu không mắc lỗi trên giao diện vô tuyến, chứ không giống như toàn vẹn mức truyền tải.
Trong 4G ngay cả khi thực hiện cuộc gọi khẩn cũng cần thực hiện thủ tục nhận thực. Nhưng nếu nhận thực bị sự cố (do không có USIM hoặc do không có thỏa thuận chuyển mạng) kết nối vẫn sẽ được thiết lập. Cuộc gọi sẽ chỉ bị hủy nếu tính bảo mật và
2.2.2. Vấn đề cần bảo mật
Vấn đề này được thực hiện trong mọi dạng cấu hình di động băng rộng, bao gồm các dạng truyền dẫn khác nhau và xử lý các nguy cơ sau đây:
- Từ chối dịch vụ: Nguy cơ này tấn công vào các thành phần mạng truyền dẫn bằng cách liên tục đưa dồn dập dữ liệu làm cho khách hàng khác không thể sử dụng tài nguyên mạng.
- Nghe trộm: Nguy cơ này ảnh hưởng đến tính riêng tư của các cuộc nói chuyện bằng cách chặn giữa đường truyền giữa người gửi và người nhận.
- Giả dạng: Thủ phạm sử dụng một mặt nạ để tạo ra các đặc tính giả, ví dụ anh ta có thế thu được một đặc tính giả bằng cách theo dõi mật mã và ID của khách hàng bằng cách thao tác khỏi tạo tin nhắn hay thao tác địa chỉ vào/ra của mạng.
- Truy nhập trái phép: Truy nhập vào các thực thể mạng phải được hạn chế và phủ hợp với chính sách bảo mật.Nếu kẻ tấn công truy nhập trái phép vào các thực thể mạng thì các dạng tấn công khác từ chối dịch vụ, nghe trộm hay giả dang cũng có thể xảy ra. Truy nhập trái phép cũng là kết quả của nguy cơ kể trên.
- Sửa đổi thông tin: Dữ liệu bị phá hỏng hay làm cho không thể sử dụng được do sự can thiệp của hacker. Một hậu quả của hành động này là khách hàng hợp pháp không truy xuất được vào tài nguyên mạng được. Trên nguyên tắc ngăn chặn khách hàng thao tác trên dữ liệu hay phá hủy một cơ sở dữ liệu trong phạm vi truy nhập cho phép của họ.
- Từ chối khách hàng: Một hay nhiều khách hàng trong mạng có thể bị từ chối tham gia vào một phần hay toàn bộ mạng với các khách hàng/ dịch vụ/ server khác. Phương pháp tấn công có thể là tác động lên đường truyền, truy nhập dữ liệu hay sửa đổi dữ liệu. Dạng tấn công này gây hậu quả là mất niềm tin ở khách hàng dấn đến mất doanh thu.
2.2.3. Các biện pháp bảo vệ an ninh.
Các biện pháp đối phó có thể chia thành hai loại sau: phòng chống và dò tìm. Sau đây là các biện pháp tiêu biểu:
¤ Nhận thực ¤ Chữ ký số
¤ Điều khiển truy nhập ¤ Mạng riêng ảo
¤ Phát hiện xâm nhập ¤ Ghi nhật ký và kiểm toán ¤ Mã hóa
Trong mọi trường hợp cần lưu ý rằng các hệ thống vận hành trong các thành phần của mạng di động băng thông rộng cần phải bảo vệ cấu hình như một biện pháp đối phó cơ bản:
− Tất cả các thành phần không quan trọng (chẳng hạn như các cổng TCP/UDP) phải ở tình trạng thụ động.
− Các đặc tính truy nhập từ xa cho truy nhập trong và truy nhập ngoài cũng phải thụ động. Nếu các đặc tính này được đăng nhập, tất cả các hoạt động cần được kiểm tra.
− Bảng điều khiển server để điều khiển tất cả các đặc tính vận hành của hệ thống cần được bảo vệ. Tất cả các hệ thống vận hành có một vài đặc tính đặc biệt để bảo vệ bảng điều khiển này.
− Hệ thống hoàn chỉnh có thể đăng nhập và kiểm tra. Các log file cần phải được giám sát thường xuyên.
Thêm vào đó, cần phải nhấn mạnh rằng mạng tự nó phải có cách bảo vệ cấu hình. Ví dụ như nhà vận hành phải thực hiện các công việc sau:
− Thay đổi password đã lộ.
− Làm cho các cổng (port) không dùng phải không hoạt động được. − Duy trì một nhất ký password.
− Sử dụng sự nhận thực các thực thể. − Bảo vệ điều khiển cấu hình.
2.3. Phân tích và đánh giá một số kỹ thuật, công nghệ đảm bảo an ninh mạng di động băng thông rộng
2.3.1. Xử lý các gói dữ liệu ở eNodeB
eNodeB là một BS có tác dụng giống như Access Point của WIFI.
Ngoài những công việc đặc trưng cho tài nguyên vô tuyến, eNodeB còn chịu trách nhiệm về vài công việc liên quan đến chính các gói dữ liệu trước khi chúng được truyền qua giao tiếp vô tuyến. Để phòng chống những cuộc tấn công sửa đổi dữ liệu như Man In The Middle Attacks, một mã tổng kiểm tra (checksum) tính toàn vẹn được tính toán cho mỗi gói dữ liệu rồi cho thêm vào gói đó trước khi nó được gửi qua giao tiếp vô tuyến.
Dữ liệu nhập cho giải thuật sinh mã tổng kiểm tra tính toàn vẹn (CRC) không phải chỉ có nội dung của gói, mà còn có một khóa kiểm tra tính toàn vẹn nữa, vốn được tính toán từ một khóa bí mật duy nhất và được chia sẻ dùng chung giữa các eNodeB và mỗi thiết bị di động. Nếu một thông điệp nào đó bị sửa đổi trên giao tiếp vô tuyến, thì kẻ gian cũng không thể cho thêm vào gói đó một một mã checksum hợp lệ bởi vì thiếu khóa bí mật này, và vì thế thông điệp đó không thể được bên nhận tiếp nhận. Việc kiểm tra tính toàn vẹn áp dụng cho các gói IP, cho các thông điệp kiểm soát tài nguyên vô tuyến được trao đổi với eNodeB, và cho cả các thông điệp quản lý phiên và quản lý tính di động được trao đổi với MME (Mobility Management Entity) nữa.
Ngoài việc kiểm tra tính toàn vẹn, các gói dữ liệu còn được mã hóa trước khi được truyền qua giao tiếp vô tuyến. Ở đây cũng có một khóa bí mật dùng cho cá nhân của thuê bao lưu trên thẻ SIM và HSS (Home Subscriber Server), được dùng để tính ra một chìa khóa mã hóa (ciphering key) ở cả hai phía của đường truyền. Vì vậy, những dữ liệu bị chặn lại trên giao tiếp vô tuyến có thể không giải mã được bởi vì kẻ tấn công không biết ciphering key. Việc mã hóa (ciphering) áp dụng cho các gói IP, cho các thông điệp điều khiển tài nguyên vô tuyến, và cho cả các thông điệp quản lý phiên và kiểm soát tính di động, hai thứ sau không dựa trên IP.
Một tác vụ mà chỉ được eNodeB thực hiện trên các gói IP dữ liệu người dùng trước khi chúng được truyền qua giao tiếp vô tuyến là nén phần mào đầu (header compression). Đối với các mạng LTE, tính năng này rất quan trọng, đặc biệt là đối với những ứng dụng thời gian thực như VoIP chẳng hạn. Bởi vì VoIP rất nhạy cảm với độ trễ, nên thông thường mỗi gói IP chỉ chứa 20ms dữ liệu thoại. Với một tốc độ truyền dữ liệu khoảng chứng 12 Kbit/s sinh ra bởi những bộ mã hóa/giải mã (codec) giọng
nói, chẳng hạn như codec AMR (Adaptive Multi-Rate) với chất lượng tiếng tốt, thì mỗi gói IP mang chừng 32 Byte dữ liệu. Ngoài ra, có một phụ phí là 40 Bytes cho header IPv4, header UDP và header RTP. Với IPv6 thì phụ phí thậm chí còn lớn hơn do việc sử dụng các địa chỉ IP 128 bit và do có thêm những trường mào đầu khác nữa. Như vậy là phụ phí mào đầu trên mỗi gói nhiều hơn là dữ liệu thoại. Điều này làm tăng yêu cầu về tốc độ truyền dữ liệu, và vì vậy, làm giảm đáng kể số lượng cuộc gọi đồng thời khả dĩ trên mỗi trạm cơ sở. Bởi vì gọi thoại nhiều khả năng sẽ là một tính năng quan trọng cho các mạng LTE, cho nên cần phải nén các header của gói IP trước khi truyền. Đối với LTE, người ta đã chọn kỹ thuật nén ROHC (Robust Header Compression). Có nhiều ưu điểm chẳng hạn như:
- Có một tỷ số nén tốt. Phần phụ phí mào đầu 40 Bytes của những giao thức khác nhau thường được giảm còn 6 Bytes.
- Phát hiện ra lỗi trong quá trình truyền tải để chỉnh lại cấu hình nén.
2.3.2. Xác minh thuê bao (Authentication):
Khi eNodeB nhận được thông điệp yêu cầu kết nối, nó gửi chuyển tiếp yêu cầu kết nối chứa trong đó đến MME (Mobility Management Entity). MME trích xuất mã nhận diện người dùng ra khỏi thông điệp đó, mã này có thể là một mã nhận diện thuê bao di động quốc tế (International Mobile Subscriber Identity – IMSI) hoặc một mã nhận diện tạm thời mà UE (User Equipment) đó đã được cấp phát trong một cuộc nối kết trước đó với mạng.
Trong phần lớn trường hợp, một mã nhận diện tạm thời sẽ được MME gửi đi (và mã này sẽ được thay đổi sau khi thuê bao đó đã được xác minh) để làm giảm số lượng IMSI phải được truyền đi trước khi việc mã hóa được kích hoạt. Nếu MME không biết IMSI của thuê bao đó, nó sẽ tra vấn Trung tâm Xác minh (Authentication Center) trong HSS để biết thông tin xác minh. Nếu MME không biết mã nhận diện tạm thời được UE gửi đến, nó sẽ gửi một yêu cầu đến UE, bắt UE gửi lại IMSI thay vì mã nhận
mật vốn được lưu trữ trên cả thẻ SIM lẫn trong trung tâm xác minh, một bộ phận của HSS.
Sau khi thuê bao đã được xác minh là đúng, eNodeB và UE sẽ kích hoạt mạch mã hóa giao tiếp vô tuyến. Cùng lúc đó, MME tiếp tục thủ tục kết nối bằng cách gửi cho HSS (Home Subscriber Server) một thông điệp cập nhật vị trí (Update Location), báo rằng giờ thì thuê bao đã được xác minh đúng đắn rồi. Đến lượt nó, HSS gửi dữ liệu thuê bao của người dùng (ví dụ như kiểu kết nối và loại dịch vụ nào người dùng được phép sử dụng) cho MME trong một thông điệp Insert Subscriber Data. Tiếp đến, MME xác nhận là đã nhận được thông điệp đó bằng thông điệp Insert Subscriber Data Acknowledgement. Cuối cùng, HSS kết thúc thủ tục cập nhật vị trí ấy bằng một thông điệp Update Location Acknowledgement, như được minh họa trong hình dưới đây.
2.3.3. Một số giải pháp phần cứng cho mạng di động băng thông rộng
a, Thiết bị Radisys SEG-LTE
Hình 3.2. Thiết bị Radisys SEG-LTE đảm bảo an ninh tường lửa
- Đây là thiết bị cho phép tường lửa trong mạng không dây có thể hoạt động ở mức hiệu suất cao. SEG LTE cũng cung cấp một tường lửa trạng thái với các bộ lọc IP và cơ chế phòng chống tấn công mạnh mẽ để bảo vệ các phần tử mạng gói. Tăng cường Core từ mối đe dọa an ninh và các cuộc tấn công mạng. Nó hỗ trợ hơn 4.000.000 dòng IP đồng thời trên mỗi lưỡi dao, và cung cấp các bộ lọc được xác định trước và tùy chỉnh, kiểm tra tính nhất quán và từ chối dịch vụ phòng chống cơ chế (DoS).
Ngoài ra, SEG LTE cho phép các nhà khai thác để tăng cường 2G/3G hiện tại của mạng di động với các giải pháp truy cập khác - bao gồm cả các femtocell, I- WLAN, và UMA/GAN - được phát triển để làm việc với LTE. Các ứng dụng này sử dụng internet công cộng để truyền dẫn bằng giọng nói, dữ liệu và lưu lượng truy cập video, lộ cả hai thuê bao và mạng lưới các rủi ro bảo mật IP.
- Thiết bị mạng này cho phép bảo mật trong cơ sở hạ tầng không dây ở hiệu suất cao và cải thiện hiệu suất trong đường truyền an toàn gấp 5 lần các giải pháp hiện hành.
Để cải thiện an ninh trong các hình thức đóng gói dựa trên IPsec và Tunneling là cần thiết để đảm bảo lưu lượng truy cập dữ liệu di động. LTE Security Gateway (SEG- LTE) là một giải pháp mới cho phép truyền dẫn an toàn và bảo vệ mạng gói tin cho mạng 2G, 3G và 4G.
Hình 3.3. Công nghệ Firewall và Tunneling
Trong đó:
IPSec (Internet Protocol Security): là một tập hợp các chuẩn, các nguyên tắc đã được định nghĩa để kiểm tra, xác thực và mã hóa gói dữ liệu IP để cung cấp cho kênh truyền dẫn mạng bảo mật, có quan hệ tới một số bộ giao thức (AH, ESP, FIP-140-1, và một số chuẩn khác) được phát triển bởi Internet Engineering Task Force (IETF). Mục đích chính của việc phát triển IPSec là cung cấp một cơ cấu bảo mật ở tầng 3 (Network layer) của mô hình OSI.
Tunneling- Xuyên hầm: là những kỹ thuật cho phép ta mã hoá đường dây thông
tin liên lạc giữa máy của ta và máy khác.
Được thiết lập chỉ để mã hóa luồng thông tin của một ứng dụng nào đó. hoặc dựa vào sổ cổng dùng (port number) hoặc dựa vào đường hầm nào để