CHƯƠNG 4: CÁC GIẢI PHÁP BẢO MẬT CHO HỆ THỐNG
Thông thường, mỗi phiên được thiết lập sẽ cần ít nhất 6 khóa phiên – 2 bộ 3
khóa (Encryption Key, Authentication Key và Salt Key), 1bộ khóa dành cho SRTP, bộ còn lại dành cho SRTCP (Secure Real Time Control Protocol). Các khóa này chỉ có giá trị trong một phiên làm việc. Vì số lượng gói tin RTP và RTCP trong một
cuộc gọi VoIP là rất nhiều, nên việc sinh ra nhiều khóa như vậy là cần thiết để chống lại kiểu tấn công từ điển hay giải thuật.
Các gói tin SRTCP cũng được tạo ra từ các gói RTCP như cách thức các gói
SRTP được tạo ra từ gói RTP.
Ưu điểm của SRTP:
Cung cấp biện pháp đảm bảo tính tin cậy, tồn vẹn và xác thực của các gói playload trong mơi trường truyền thông đa phương tiện.
Cung cấp biện pháp chống lại kiểu tấn cơng chuyển tiếp gói tin (Man In The Miđle) cho cả RTP và RTCP.
Sử dụng mã hóa AES cho phép q trình được thực hiện liên tục ngay cả khi
các gói tin đến khơng đúng thứ tự.
Phương pháp dẫn xuất khóa có tác dụng chống lại các loại tấn công như từ điển hay giải thuật.
Nhược điểm của SRTP:
Bỏ qua việc bảo mật header cho gói tin, tạo điều kiện cho attacker có thể thu thập thông tin từ các trường không được mã hóa nàỵ
Khi mơi trường truyền dẫn là giữa mạng IP và mạng báo hiệu SS7 (PSTN),
giao thức này khơng thể đảm bảo tính tồn vẹn và xác thực từ đầu cuối tới
đầu cuốị
Việc chuyển đổi các khóa phiên (session keys) làm tiêu tốn khả năng xử lý và tài nguyên của thiết bị, nhất là các thiết bị bị giới hạn về khả năng xử lý
như các thiết bị di động.
4.4 Giải pháp bảo mật tránh khỏi Sql Injection
Lỗi SQL injection là khai thác những bất cẩn của các lập trình viên phát triển
ứng dụng web khi xử lí các dữ liệu nhập vào để xây dựng câu lệnh SQL. Tác hại từ
lỗi SQL injection tùy thuộc vào môi trường và cách cấu hình hệ thống. Nếu ứng
dụng sử dụng quyền “dbo” (quyền của người sở hữu cơ sở dữ liệu – owner) khi thao tác dữ liệu, nó có thể xóa tồn bộ các bảng dữ liệu, tạo các bảng dữ liệu mới, … Nếu ứng dụng sử dụng quyền “sa” (quyền quản trị hệ thống), nó có thể điều
khiển toàn bộ hệ quản trị cơ sở dữ liệu và với quyền hạn rộng lớn như vậy nó có thể tạo ra các tài khoản người dùng bất hợp pháp để điều khiển hệ thống. Để phịng
tránh, có thể thực hiện ở hai mức:
4.4.1 Kiểm soát chặt chẽ dữ liệu nhập vào
- Để phịng tránh các nguy cơ có thể xảy ra, hãy bảo vệ các câu lệnh SQL là bằng cách kiểm soát chặt chẽ tất cả các dữ liệu nhập nhận được từ đối tượng Request
(Request, Request. QueryString, Request.Form, Request.Cookies, and Request.ServerVariables).
CHƯƠNG 4: CÁC GIẢI PHÁP BẢO MẬT CHO HỆ THỐNG
Ví dụ: Có thể giới hạn chiều dài của chuỗi nhập liệu, hoặc thay thế các dấu nháy
đơn bằng 2 dấu nháy đơn như:
<%
var account = '' + Request.Form("AccountID"); var password = '' + Request.Form("Password"); account = account.replace("'","''");
password = password.replace("'","''"); %>
- Trong trường hợp dữ liệu nhập vào là số, lỗi xuất phát từ việc thay thế một giá trị
được tiên đoán là dữ liệu số bằng chuỗi chứa câu lệnh SQL bất hợp pháp. Để tránh điều này, đơn giản hãy kiểm tra dữ liệu có đúng kiểu hay không bằng hàm
IsNumeric().
- Ngồi ra có thể xây dựng hàm loại bỏ một số kí tự và từ khóa nguy hiểm như:;, –,
select, insert, xp_, … ra khỏi chuỗi dữ liệu nhập từ phía người dùng để hạn chế các
tấn công dạng này: <% function KillChars(sInput) { var badChars; var newChars;
badChars = mew array("select", "drop", ";", "--", "insert", "delete", "xp_"); newChars = sInput;
for (var i=0; i<badChars.length; i++) { newChars = newChars.replace(badChars, ""); } return newChars; } %>
4.4.2 Thiết lập cấu hình an tồn cho hệ quản trị cơ sở dữ liệu
Cần có cơ chế kiểm soát chặt chẽ và giới hạn quyền xử lí dữ liệu đến tài khoản người dùng mà ứng dụng web đang sử dụng. Các ứng dụng thông thường nên tránh dùng đến các quyền như dbo hay sạ
Quyền càng bị hạn chế, thiệt hại càng ít.
Ngồi ra để tránh các nguy cơ từ SQL Injection attack, nên chú ý loại bỏ bất
kì thơng tin kĩ thuật nào chứa trong thông điệp chuyển xuống cho người dùng khi ứng dụng có lỗị Các thơng báo lỗi thơng thường tiết lộ các chi tiết kĩ thuật có thể cho phép kẻ tấn công biết được điểm yếu của hệ thống.
CHƯƠNG 4: CÁC GIẢI PHÁP BẢO MẬT CHO HỆ THỐNG
4.5 Giải pháp bảo mật hệ thống sử dụng kết hợp Fail2ban và IP Tables 4.5.1 IPTABLES 4.5.1 IPTABLES
Trong hệ thống Unix/Linux có rất nhiều FIREWALL. Trong đó có một
Firewall được cấu hình và hoạt động trên nền Console rất nhỏ và tiện dụng đó là
Iptablẹ Thơng qua nó bạn có thể dễ dàng hiểu được nguyên lý hoạt động của một hệ thống firewall nói chung.
4.5.1.1 Giới thiệu về iptables