Chương 4 THỰC NGHIỆM
1. Triển khai Lightweight-IDS trên Access Point
1.3. Tấn công netstumbler
Hacker trước khi tấn công vào hệ thống mạng không dây thường quét qua hệ thống. Có nhiều cơng cụ qt mạng khơng dây, nhưng được sử dụng phổ biến nhất là netstumbler14 (hình 1.1).
Hình 4.1.1: Scan ssid với netstumbler
14
Hình 4.1.2 minh họa khả năng phát hiện trên Access Point.
Hình 4. 1.2: Phát hiện Netstumbler trên Access Point
1.4. Tấn công netstumbler
Tấn công Macspoof là dạng tấn công mà hacker tạo nhiều SSID (hình 4.1.3) làm cho người dùng khơng biết được SSID nào là thật để kết nối (hình 4.1.4).
Hình 4.1.4: Client phát hiện quá nhiều SSID
Dùng Wireshark (hình 4.1.5) được cài đặt trên máy Ubuntu kiểm tra Macspoof.
Vào log (hình 4.1.6) của Snort-wireless được cài đặt trên máy Desktop.
Hình 4.1.6: Macspoof.log trên máy Desktop
Snort-wireless trên Access Point (hình 4.1.7) cũng phát hiện tấn cơng Macspoof.
Hình 4.1.7: Macspoof trên Access Point
1.5. Tấn cơng Authen
Ngồi các kiểu tấn cơng như Macspoof hay scan SSID, cịn có kiểu tấn cơng phổ biến khác trên mạng khơng dây là tấn cơng authen. Một Access Point có thể cho phép kết nối khoảng 50 kết nối,
nhưng trên thực tế một AP chỉ có thể chịu tải tối đa cho khoảng 20 kết nối. Một hacker sẽ tạo nhiều kết nối giả tới AP làm cho AP tưởng là đã đạt tới ngưỡng cho phép. Do đó, khi một STA thật kết nối tới AP thì bị từ chối vì AP tưởng đã quá tải. Đây là một dạng tấn công từ chối dịch vụ trên mạng khơng dây (hình 4.1.8).
Hình 4.1.8: tấn cơng Authen với MDK3
Kiểm tra trên wireshark (hình 4.1.9) ta thấy nhiều STA authen tới AP.
Hình 4.1.9: Kiểm tra Authen với Wireshark
alert wifi any -> 00:23:69:6C:62:D5 (msg:"Authen Attack"; type:!TYPE_CONTROL; stype:STYPE_AUTH; )
Hình 4.1.10: Snort trên AP phát hiện và cảnh báo
Snort trên Desktop (hình 4.1.11) phát hiện tấn cơng và cũng phát cảnh báo.
Hình 4.1.11: Snort trên Desktop cảnh báo tấn công Authen
1.6. Tấn công ngắt kết nối Dis’ing
Tấn công ngắt kết nối, cũng là dạng tấn công từ chối dịch vụ trên mạng khơng dây, ngắt kết nối dựa vào gói deauthen và disassociation. Đây là dạng tấn công rất phổ biến trên mạng không dây.
Kiểm tra khả năng snort phát hiện ra tấn công ngắt kết nối, ta sử dụng công cụ MDK3 tấn cơng (hình 4.1.12).
Hình 4.1.12: MDK3 tấn cơng Disconnect
Kiểm tra với wireshark (hình 4.1.13).
Để Snort cảnh báo tấn công Disconnect ta cũng cần tạo rule cho snort.
alert wifi any -> 00:23:69:6C:62:D5 (msg:"Disauthentication Attack"; type:!TYPE_CONTROL; stype:STYPE_DEAUTH; )
alert wifi any -> 00:23:69:6C:62:D5 (msg:" Disassociation Attack"; type:!TYPE_CONTROL; stype:STYPE_DISASSOC; )
Snort trên Desktop (hình 4.1.14) cảnh báo có tấn cơng Disconnect.
Hình 1.14: Snort trên Desktop cảnh báo tấn công Disconnect
Trên AP (hình 4.1.15) Snort cũng phát hiện và cảnh báo tấn công Disconnect.
2. Triển khai Letter-Envelop protocol với SHA
Để triển khai được trên AP, điều đầu tiên cần thực hiện là viết trình điều khiển (driver) mới cho thiết bị Access Point và máy trạm.
2.1. Các thiết bị và công cụ sử dụng cho máy trạm và Access Point
Madwifi-0.9.3.315. Là một trình điều khiển thiết bị mã nguồn mở dành cho các card mạng không dây có chip Atheros chạy trên các hệ điều hành Unix. Bản thân nó là một mã nguồn mở, tuy nhiên nó hoạt động phụ thuộc vào lớp Hardware Abstraction Layer (HAL) do nhà sản xuất chip cung cấp ở dạng binary.
Từ cơng trình gốc [TDB08], chúng tơi lập trình lại trình điều khiển này thành AP theo giao thức 802.11 mở rộng đã đề xuất để chống lại tấn cơng Dis‟ing. Tuy nhiên có một số hạn chế trên giải pháp này, Madwifi chỉ hoạt động trên chip Atheros với chuẩn 802.11 b/g chưa hỗ trợ chuẩn 802.11n. Ngoài ra trong giải pháp này, tác giả đưa ra chỉ triển khai trên máy Desktop, chưa triển khai được trên AP. Trong khi giải pháp đề tài này nhắm đến là hoạt động trên nhiều chip khác nhau và triển khai được trên AP.
Với giải pháp trong này, đề tài cần phải viết chương trình dùng hardware, ios, driver độc lập. May mắn là có một số cơng cụ và ios có thể hỗ trợ cho đề tài như: OpenWrt, Wpa_supplicant, Hostapd, và các thiết bị AP.
Access Point Linksys Wrt160nl. Linksys Wrt160nl16 là thiết bị mạng khơng dây phổ biến, nó hoạt động như là Access Point và giao tiếp với các chuẩn 802.11b, 802.11g và 802.11n.
15
www.madwifi.org.
16
Nó có 4 Port lan, 1 cổng internet và 1 cổng Usb. Cấu hình khá mạnh với 8M flash, 32MB Ram và Cpu 400Mhz. Đặc biệt Wrt160nl có thể cài đặt firmware open source linux như DD-Wrt hay OpenWrt.
OpenWrt.
Hostapd17. Hostapd (hình 2.1) là một phần mềm trung gian cho người sử dụng giữa Access Point và các giao thức chứng thực. Nó thực hiện chức năng quản lý giao thức chuẩn IEEE 802.11. Thực hiện các chứng thực IEEE 802.11/WPA/WPA2/EAP, Radius Client. Nó hỗ trợ các Driver Linux như: Hostap, Madwifi, Prism54, và một số driver dùng kernel mac 80211. Hostapd được thiết kế như là một chương trình chạy ngầm định trong background, hỗ trợ các hoạt động điều khiển các thành phần chứng thực. Trong đề tài này Hostapd được sử dụng với phiên bản v.7.0.1.
Hình 4.2.1: Hostapd Module
17
Wpa_Supplicant4. Wpa_Supplicant (hình 4.2.2) là phần mềm nguồn mở thực hiện chức năng IEEE 80211 cho các STA kết nối tới các AP, hỗ trợ các hệ điều hành Linux, FreeBSD, NetBSD, Window. Nó hỗ trợ đầy đủ chức năng WPA2, ngồi ra nó cũng hỗ trợ chứng thực WPA và các giao thức bảo mật cũ của WLAN.
Các tính năng hỗ trợ
WPA and full IEEE 802.11i/RSN/WPA2
WPA-PSK and WPA2-PSK (pre-shared key) ("WPA-Personal")
WPA with EAP (e.g., with RADIUS authentication server) ("WPA-Enterprise") Key management for CCMP, TKIP, WEP (both 104/128 and 40/64 bit)
Hình 4.2.2: Wpa_Supplicant Module
SHA. Hàm băm mật mã.
PC1 (CPU: Inter Core 2 duo 2.4GHz, Ram: 2 GB, IOS: Linux Ubuntu), sử dụng làm máy trạm cài đặt Wpa_supplicant với SHA và cài đặt công cụ tấn công mdk3. Máy trạm sẽ gởi lệnh ping ICMP tới AP để kiểm tra trạng thái kết nối.
PC2 (CPU: Core Dual 1.6GHz, Ram: 1GB, IOS: linux ubuntu), cài đặt Wpa_supplicant với SHA.
PC3 (CPU: dual core 1.6 GHz, Ram 2Ghz, IOS: Window XP), sử dụng card wireless Atheros.
1 AP (Linksys Wrt160nl, CPU: 400Mhz, Ram: 32MB, flash: 8MB): cài đặt Hostapd với letter-envelop protocol sử dụng SHA.
Do hạn chế của các công cụ hỗ trợ, chẳng hạn như phiên bản hiện tại của Wpa_supplicant chỉ hỗ trợ kiểm sốt các gói tin authentication/deauthentication trong khi các gói tin assocication/disassocication thì khơng được hỗ trợ. Vì vậy, trong phần thử nghiệm này, chúng tơi sẽ chứng tỏ giải pháp hiệu quả trong với việc sử dụng thuật tốn SHA thay vì các số nguyên tố lớn.
So sánh thời gian tính tốn số nguyên tố (bảng 4.2.1) và thời gian tạo SHA (bảng 2.2). Thực nghiệm trên máy tính có cấu hình (CPU core 2 duo 2Ghz, Ram 2GB).
Bảng 4.2.2: Thời gian tạo chuỗi SHA
Trong bảng trên, phải mất nhiều thời gian để tạo ra số nguyên tố lớn hơn để có một chuỗi ngẫu nhiên và chuỗi băm của nó. Độ an tồn của thuật tốn là gần như giống nhau, nghĩa là rất khó khăn để tìm thấy số ngun tố p, q, N cũng như tìm ra chuỗi S ban đầu từ H. Vì vậy, giải pháp mới với các thuật toán băm là hiệu quả hơn.
Để kiểm tra hiệu quả của thuật toán Letter-envelop với SHA và cài đặt trên AP Linksys Wrt160nl. Chúng tôi sử dụng công cụ tấn công mdk3 để thực hiện tấn công ngắt kết nối với gói tin trung bình 16 packet/s. Các STA được cài đặt công cụ Wpa_supplicant với SHA sẽ chống được tấn công ngắt kết nối, cịn các STA cài đặt Wpa_supplicant khơng có thuật tốn hay các STA không dùng Wpa_supplicant sẽ bị ngắt kết nối khi bị tấn công. Kết quả đạt được (bảng 4.2.3):
No. Cài đặt letter-envelop với SHA Chống tấn công Dis‟ing
PC1 Yes Yes
PC2 Yes Yes
PC3 No No
2.2. Kết quả thực nghiệm Letter-Envelop protocol dùng SHA
Với Access Point được cài đặt gói Hostapd khơng sử dụng Letter-Envelop khi STA kết nối với AP, trong qua trình associated, AP sẽ khơng phát chuỗi SHA cho STA (hình 4.2.3), đây là kết nối thơng thường giữa STA và AP.
Hình 4.2.3: STA kết nối với AP không dùng letter-envelop.
Trong đề tài phiên bản hostapd v7.0.1 (hình 4.2.4)sử dụng cài đặt trên Access Point và phiên bản Wpa_supplicant v7.0.3 (hình 4.2.5) được cài đặt trên các STA.
Hình 4.2.4: Version Hostapd
Hình 4.2.5: Version Wpa_suplicant
Khi STA kết nối với AP, AP sẽ gởi gói Association kèm Letter-Envelop protocol với thuật tốn SHA (hình 4.2.6). STA nhận được chuỗi SHA từ AP (hình 4.2.7).
Hình 4.2.6: AP kết nối với STA
Để kiểm tra thuật toán chống Dis‟ing, đề tài sử dụng công cụ Mdk3 để tấn công, tốc độ trung bình gởi gói tin ngắt kết nối tới AP 16 packets/s (hình 4.2.8), AP sẽ phát hiện có tấn cơng, tuy nhiên do gói tin tấn cơng khơng chứa key SHA nên gói tin khơng hợp lệ, AP sẽ bỏ qua, tấn cơng thất bại (hình 4.2.9).
Hình 4.2.8: Tấn cơng với Mdk3
Hình 4.2.9: Nhận gói data associate chống Dos
3. Ứng dụng của giải pháp
Giải pháp của đề tài có thể ứng dụng trong nhiều mơ hình mạng khơng dây thực tế đang được sử dụng hiện nay. Ngoài các giải pháp đề xuất của đề tài, người sử dụng cịn có thể kết hợp với các ứng dụng hiện nay của mạng không dây nhằm đảm bảo hệ thống được sự an toàn khi sử dụng.
3.1. Triển khai một mạng khơng dây cho gia đình
Trong phạm vi gia đình, mạng wireless có thể được cấu hình theo một hai mơ hình: hoặc Ad-hoc, hoặc Access Point. Mỗi mơ hình hoạt động theo cách riêng và thích hợp với các điều kiện khác nhau.
Trong phần này ta chủ yếu tập trung vào triển khai mơ hình sử dụng Access Point. Mơ hình này địi hỏi các cấu hình phức tạp và phải có thiết bị phát sóng là AP. AP sẽ được cấu hình để trở thành thiết bị phát sóng cho tất cả các máy trạm trong mạng khơng dây. Các máy trạm sẽ kết nối với AP và mọi dữ liệu thu nhận đều thơng qua AP. Sơ đồ kết nối (hình 4.1).
Hình 4.3.1: Mạng wireless home
3.2. Triển khai mạng không dây cho công ty, trường học, hotspot
Hình 4.3.2: Mạng wireless cơng ty, HotSpot
Khi triển khai một hệ thống không dây cho một công ty, trường học, điểm truy cập công cộng (hotspot) địi hỏi nhiều thiết bị và cấu hình phức tạp. Để tấn cơng vào một hệ thống một công ty thông thường các đối tượng tấn cơng thơng qua hệ thống khơng dây. Chính vì vậy, việc bảo mật cho hệ thống không dây là cần thiết.
Ngoài các phuơng pháp bảo mật thơng thường có sẵn trong các AP, ta cịn kết hợp với các phương pháp bảo mật khác như: Radius Server, Domain Server, Firewall,…
3.3. Sơ đồ kết nối với Radius Server
Hình 4.3.3: Mơ hình kết nối với Radius Server
Trong mơ hình (hình 4.3.3) này khi một STA muốn truy cập được internet hay các dữ liệu của công ty trước tiên các STA cần được xác nhập chứng thực từ các Radius Server thông qua giao thức 802.1x.Việc chứng thực này sẽ đảm bảo cho hệ thống không bị xâm nhập từ các đối tượng từ bên ngoài, đảm bảo hệ thống được an tồn.
Trong mơ hình này có ba thành phần chính:
Client. Là các máy trạm, chẳng hạn các thiết bị như Laptop, PDA,… đựơc dùng để xác
thực để có thể sử dụng tài nguyên hệ thống.
Authenticator. Là các AP đóng vai trị như gateway, cho phép khóa hoặc cho phép truyền
thơng tin. Chỉ các thông tin liên quan đến xác thực (username, password) được truyền qua, cịn lại các thơng tin khác đều bị khóa cho đến khi có thơng tin xác thực về máy trạm được kiểm tra chính xác.
Authentication. Một máy chủ, đóng vai trị radius server được dùng để kiểm tra thông tin
xác thực do Authenticator gởi đến, đồng thời thông báo cho Authenticator rằng máy trạm đã được xác thực chính xác. Khi đó các user có quyền truy cập tài nguyên hệ thống.
Database hay Domain Server. Ngồi ra ta có thể kết hợp Radius với Database hay
Domain Server, để kiểm soát được các user đăng nhập vào hệ thống như: thời gian truy cập, lưu lượng truy cập, các policy cho các user,…Việc này là cần thiết cho hệ thống.
3.4. Mơ hình kết nối Radius + Database + Domain
Mơ hình (hình 4.3. 4) này được triển khai cho các nhà hàng, khách sạn, sân bay, các điểm truy cập cơng cộng, vì các nơi này người dùng khi sử dụng hệ thống mạng không dây sẽ phải trả chi phí.
Chương 5. KẾT QUẢ
1. Yêu cầu của đề tài
Xây dựng giải pháp triển khai một hotspot an ninh. Nghiên cứu các công cụ bảo vệ mạng nội bộ. Hỗ trợ người dùng mạng công cộng.
Xây dựng thuật toán an ninh mới.
2. Kết quả đạt được
Giải pháp tổng thể triển khai một hotspot an ninh.
Khảo sát và hướng dẫn chi tiết các công cụ phần mềm hỗ trợ người sử dụng mạng công cộng.
Xây dựng một firmware chống ngắt kết nối vào mạng không dây. Firmware sử dụng giao thức đề xuất Letter-Envelop Protocol. Bên cạnh đó, nhúng hệ snort vào AP như một Lightweight-IDS tinh gọn, hiệu quả.
Bài báo khoa học giới thiệu thuật toán và giao thức chống ngắt kết nối vào mạng không dây.
3. Sản phẩm cụ thể
Bản báo cáo tiếng Việt mô tả giải pháp triển khai một hotspot cơng cộng với các mơ hình ứng dụng cụ thể; mô tả và hướng dẫn chi tiết người dùng mạng công cộng sử dụng các cơng cụ có sẵn tự bảo vệ anh nính cho mình; mơ tả chi tiết giao thức cũng như thuật tốn cho phép bảo vệ hệ thống chống ngắt kết nối.
Một firmware chống ngắt kết nối và giám sát mạng nhúng trên Access Point. Hệ thống thi hành ổn định và hiệu quả.
Bài báo khoa học.
4. Kết luận và kiến nghị
Với kết quả như trên, đề tài hoàn thành các nội dung cũng như mục tiêu nghiên cứu đặt ra. Bằng cách hướng dẫn từng-bước-một, người dùng có thể tự sử dụng các cơng cụ phần mềm cung cấp sẵn (các phần mềm nguồn mở) để bảo vệ mình khi làm việc trong một mơi trường mạng cơng cộng nói chung. Giải pháp hotspot an ninh đề tài đề xuất có thể được triển khai dễ dàng với các ứng dụng cụ thể.
Bên cạnh đó, các đơn vị/cơ quan, có thể triển khai firmware chống kết nối cũng như hệ thống giám sát tinh gọn để nâng cao hiệu quả sử dụng mạng công cộng an ninh.
Các giải pháp đề xuất trong đề tài chỉ giải quyết các tấn công từ chối dịch vụ (DoS) dạng ngắt kết nối, chưa xem xét trong mối quan hệ với các tấn công DoS khác trên mạng khơng dây. Đây có thể là hướng nghiên cứu phát triển tiếp theo nhằm xây dựng một giao thức hoàn chỉnh hơn cho hệ thống mạng khơng dây an tồn.
TÀI LIỆU THAM KHẢO
[TDB08] Thuc D. Nguyen, Duc H.M. Nguyen, Bao N. Tran, A lightweight
solution for Wireless LAN: Letter-envelop protocol, in
Proceedings of ChinaCom 2008.
[JR12] Jatinder Singh and Rupinder Singh, A Logistic Metrics Scorecard
Based Approach to Intrusion Detection System Evaluation for Wireless Network, International Journal of Computer Networ ks
and Wireless Communications (IJCNWC), ISSN 2250-3501 Vol.2, No.3, June 2012.
[KP05] Kevin Beaver and Peter T. Davis, Hacking wireless networks for
Dummies, Wiley Publishing, 2005.
[Aslam06] B. Aslam, M. I., 802.11 Disassociation Dos Attack and Its Solution: A Survey. In Proceeding of the First Mobile Computing and Wireless Comuication Internation Conference, (pp. pp.221-
226). Amman, Jordan, 2006.
[SBRFA05] Shiguo Wan, Bo Zhu, Robert H.Deng, Feng Bao, and Akkihebbal Ananda, DoS-Resistant Access Control Protocol with Identity Confidentiality for Wireless Network, 2005.
[DD02] Daniel B. Faria and David R. Cheriton, DoS and Authentication in
Wireless Public Access Networks, WiSe‟02, September 28, 2002.
[BCPB04] Andrew R.Baker, Brian Caswell, Mike Poor, and Jay Beale, Snort 2.1 Intrusion Detection,
2nd ed. United States of America: Synress Publishing, 2004.
[MS07] Peter Mell, and Karen Scarfone, Guide to Intrusion Detection and Prevents System, National Institute of Standards and Technology, SP800-94, 02-2007.
Snort, Apche, Mysql, PHP, ACID, Bruce Perens' Open Source.: Prentice Hall PTR, 2003.
[WBC04] Paul Wolfe, Bert Hayes, and Charlie Scott, Snort For Dummies.: Wiley Publishing, 2004.