3. Ý NGHĨA KHOA HỌC CỦA ĐỀ TÀI
2.3. SƠ LƯỢC AN NINH VÔ TUYẾN TRONG CDMA2000
2.3.1. Mô hình an ninh giao diện vô tuyến cdma2000
Mô hình tổng quát an ninh giao diện vô tuyến trong cdma2000 được cho trong hình 2.3. Quá trình AKA (Authentication and Key Agreement: thỏa thuận khóa và nhận thực) và mật mã hóa ở cdma2000 diễn ra như sau:
AuC tạo số ngẫu nhiên RAND SSD 32 bit và các số liệu bí mật chia sẻ theo giải thuật CAVE (Cellular Authentication and Void Encryption)
SSD_A/B = CAVE(RAND SSD, A-Key, ESN)
AuC gửi RAND SSD cùng SSD_A/B được tạo ra từ số ngẫu nhiên này qua HLR đến VLR.
Qua giao diện vô tuyến, VLR gửi RAND SSD đến MS.
Nhận được RAND SSD, MS tạo ra các số liệu bí mật chia sẻ tương ứng bằng giải thuật CAVE
SSD_A/B = CAVE(RAND SSD, A_Key, ESN,…)
Bộ tạo RAND ở VLR tạo ra BROADCAST RAND 32 bit để nhận thực toàn cục. VLR gửi BROADCAST RAND qua giao diện vô tuyến cho MS.
Nhận được BROADCAST RAND, MS tạo ra chữ ký nhận thực 18 bit bằng giải thuật CAVE
AUTHR = CAVE(BROADCAST RAND, SSD_A, …)
MS gửi chữ ký nhận thực AUTHR cùng với RANDC (8 bit cao của BROADCAST RAND) và COUNT đến VLR qua giao diện vô tuyến.
VLR tính toán chữ ký nhận thực kỳ vọng bằng giải thuật CAVE XAUTHR = CAVE(BROADCAST RAND ,SSD_A,….) VLR so sánh RANDC, COUNT chữ ký nhận thực kỳ vọng XAUTHR của nó với các thông số tương ứng mà nó nhận được từ MS.
Nếu cả ba so sánh nói trên đều thành công, thì nhận thực MS thành công, MS và BSS chuyển vào chế độ mật mã.
Nếu một trong ba so sánh trên thất bại, VLR yêu cầu nhận thực lại. Chế độ mật mã được thực hiện ở MS và BSS.
Để mật mã cho thoại, số liệu và báo hiệu ba khóa tương ứng được tạo ra bằng giải thuật CAVE với thông số đầu vào SSD_B: (1) PLCM (Private Long Code Mask: Mặt chắn mã dài riêng), (2) khóa số liệu, (3) E-CMEA (Enhanced Cellular Message Encryption Algorithm: giải thuật mật mã hóa di động tăng cường).
Mật mã thoại không được thực hiện trực tiếp mà thông qua việc ngẫu nhiên hóa số liệu tiếng bằng mặt chắn mã dài được tạo ra trên cơ sở mặt chắn PLCM.
Mật mã số liệu được thực hiện bằng giải thuật ORYX dựa trên khóa số liệu.
Mật mã hóa báo hiệu được thực hiện bằng giải thuật CMEA dựa trên khóa E-CMEA.
Ta thấy rằng, an ninh truy nhập vô tuyến cdma2000 không cho phép nhận thực mạng và hỗ trợ bảo vệ toàn vẹn. Tuy nhiên an ninh cdma2000 cho phép nhận thực người sử dụng bằng CHAP dựa trên mật khẩu của người sử dụng với sự hỗ trợ của AAA.
Khác với UMTS, cdma2000 áp dụng MIP ngay từ đầu, vì thế cdma2000 phải áp dụng các biện pháp an ninh cho MIP.
2.3.2. Tăng cường an ninh cho cdma2000
Để đáp ứng nhu cầu an ninh 3G, cdma2000 sẽ cung cấp các tăng cường ESA (Enhanced Subscriber Authentication - Nhận thực thuê bao tăng cường) và ESP (Enhanced Subscriber Privacy – Bí mật thuê bao tăng cường) để bảo vệ dữ liệu người dùng. Tuy nhiên, các bước chi tiết để đạt được các tăng cường này còn đang được soạn thảo, mặc dù 3GPP2 đã thông qua các bước sau:
• Tiếp nhận các giải thuật mật mã đã được xem xét rộng rãi như giải thuật mật mã Rijindael, một giải thuật mã hóa được đặc tả trong AES (Advaced Encryption Standard) để xử lý các khối dữ liệu 128 bit được lựa chọn bởi Viện tiêu chuẩn và công nghệ quốc gia Hoa kỳ (NIST National Institute of Standards and Technology).
• Tiếp nhận 3GPP AKA (Authentication and Key Agreement) với SHA-1 (Secured Hash Standard - 1) và MAC (Message Authentication Code) làm hàm Hash và toàn vẹn cho các thao tác AKA. Điều này cho phép cdma2000 xử lý cả 2 kiểu nhận thực (UMTS và cdma2000).
Để cải thiện an ninh cho mạng truy nhập, an ninh mạng truy nhập cdma2000 đang được nghiên cứu cải tiến để có thể xử lý cả hai kiểu: Kiểu nhận thực và trao đổi khóa hoàn toàn được điều khiển bởi HLR như ở UMTS và kiểu nhận thực và trao đổi khóa được điều khiển tại chỗ bởi VLR.
An ninh tổng thể của cdma2000 có thể được thực hiện trên cơ sở kết hợp an ninh truy nhập vô tuyến và an ninh MIP, IP như sau:
- Trước tiên MSC-VLR với sự giúp đỡ của HLR/AuC nhận thực người sử dụng.
- MS và RAN thực hiện mật mã hóa số liệu (thoại, số liệu, báo hiệu) trên đường truyền vô tuyến
- Ngoài hai bước trên, để nhận thực người sử dụng cho các phiên cdma20001x và 1xEVDO, PDSN nhận thực và cho phép người sử dụng với sự hỗ trợ của AAA server thông qua kiểm tra mật khẩu bằng giao thức CHAP.
- Ngoài ba bước trên sau khi được nhận thực bởi AAA server, mạng lõi gói có thể áp dụng IPSec
Sau khi đã nối đến ứng dụng theo yêu cầu, cũng có thể áp dụng cơ chế nhận thực an ninh của các lớp trên IP (SSL, TLS cho ngân hàng trực tuyến chẳng hạn)
Hình 2.4. Kết hợp an ninh truy nhập vô tuyến và an ninh MIP, IP trong cdma2000
2.4. CÁC ĐỀ XUẤT TĂNG CƯỜNG CHO AN NINH
Trong các phần trên, ta đã xem xét các mô hình an ninh di động trong các hệ thống thông tin di động hiện tai, đặc biệt là các an ninh trong thông tin di động UMTS W-CDMA và cdma2000 cũng như các hướng nghiên cứu tăng cường an ninh trên giao diện vô tuyến về bản chất công nghệ cdma2000. Trong phần này ta sẽ xem xét đến tính an toàn thông tin cho các thao tác và dịch vụ di
động cũng như các đề xuất tăng cường an ninh khi thực hiện các giao tác di động.
2.4.1. Phân loại giao tác di động
• Giao tác vô danh: không có các thông tin nhận dạng được kèm theo, ví dụ như các truy vấn thông tin thời tiết, báo động…
• Giao tác không vô danh: có các thông tin nhận dạng được kèm theo, các nội dung giao tác chỉ có thể thấy bởi các người dùng được cấp phép, ví dụ như thay đổi các thông tin thư viện công cộng…
• Giao tác quan trọng: thông tin nhận thực và nhạy cảm được kèm theo và bí mật. Tính nhận thực và toàn vẹn của giáo tác phải được đảm bảo, ví dụ như các giao tác truy vấn điểm thi, đặt vé qua mạng có trả tiền… Trong các trường hợp này, mã hóa từ đầu cuối đến đầu cuối được yêu cầu để đảm bảo an toàn dữ liệu.
• Giao tác thanh toán: như đóng thuế qua mạng, giao dịch ngân hàng di động (mobile banking), chuyển tiền mua qua mạng…
• Giao tác xí nghiệp: như các tin nhắn di động, email, điều hành di động…
2.4.2. Các vấn đề và các đe dọa an ninh đối vối giao tác di động
- Các phần mềm Virus, spyware: tương tự các máy tính để bàn, các thiết bị di động cần phải cẩn thận trước các mã độc hại như sâu máy tính, virus, trojan…Các phần mềm chống virus cũng như tường lửa cá nhân sẽ giúp bảo vệ thiết bị di động trước các đe dọa này.
- Mất thiết bị di động: sẽ làm mất các dữ liệu cá nhân quan trọng được lưu trong nó. Do đó, việc sao lưu dữ liệu trên thiết bị di động là hết sức cần thiết.
- Dung lượng của các thiết bị di động: làm cho cơ chế an ninh của thiết bị di động khác hẳn so với các loại thiết bị cố định, ví dụ như các vấn đề về mật mã hóa/ giải mật mã hay chữ ký số…
2.4.3. Triển khai các mức an ninh của các giao tác di động
- Các ứng dụng dựa trên trình duyệt WEB: Đối với các ứng dụng này, SSL được triển khai để cung cấp mã hóa đầu cuối tới đầu cuối.
- Các ứng dụng dựa trên trình duyệt WAP: Đối với các thiết bị di động hỗ trợ WAP 2.0, mã hóa đầu cuối tới đầu cuối có thể được dùng với SSL. Đối với các giao tác không đòi hỏi mã hóa đầu cuối tới đầu cuối, WTLS (Wireless Transport Layer Security – An ninh lớp truyền tải vô tuyến) được dùng để bảo vệ các nội dung thông qua đường truyền giữa thiết bị di động và Wap gateway
với độ an toàn giống SSL. Kết nối giữa Wap gateway và server đầu cuối có thể dùng SSL hoặc VPN.
- Các giao tác dựa trên SMS/MMS: SMS và MMS không có tính năng an ninh, chúng chỉ phù hợp với các truy vấn thông tin hay thông báo.
2.4.4. Các công nghệ an ninh đề xuất áp dụng cho các giao tác di động
- Chứng nhận số: với sự cải tiến của nền tảng di động, các thiết bị di động cao cấp có thể hỗ trợ PKI (Publis Key Infrastructure – hạ tầng khóa công khai) với ứng dụng quản trị chứng nhận kèm theo. Từ đó, các yêu cầu an ninh nghiêm ngặt có thể đuợc thực hiện như: chữ ký số hay mã hóa đầu cuối tới đầu cuối. Cụ thể, một máy di động hỗ trợ Wap 1.2.1 có thể dùng phiên bản chứng nhận X.509 làm việc với Wap gateway.
- Mạng riêng ảo: IPsec VPN và SSL VPN có thể được dùng để đảm bảo cho một truy nhập từ xa tới mạng nội bộ của một công ty.
- Quản trị thiết bị di động: giải pháp này có thể được triển khai để cấu hình, quản lý và cập nhật các thiết bị di động ít tốn công sức nhất. Thêm vào đó là khả năng sao lưu dữ liệu.
- Dùng tường lửa cá nhân và các phần mềm chống virus.
- Dùng các trình duyệt có hỗ trợ SSL mã hóa đầu cuối tới đầu cuối, các chữ ký số…
2.5. ĐỀ XUẤT AN NINH ĐẦU CUỐI TỚI ĐẦU CUỐI CDMA CỦANORTEL NORTEL
Các triển khai an ninh di động được thực hiện nhằm giảm thiểu sự ngắt quãng các dịch vụ, tránh mất mát dữ liệu cũng như đảm bảo tối đa sự hài lòng của người dùng. Nortel đề xuất một mạng phân lớp đầu cuối tới đầu cuối để đảm bảo an ninh mạng và độ tin cậy mạng lười cho các ứng dụng thương mại.
2.5.1. An ninh vốn có của giao diện vô tuyến CDMA
An ninh vốn có của giao diện vô tuyến có được là do công nghệ trải phổ và dùng mã Walsh. Công nghệ trải phổ được dùng để tạo các mã kênh duy nhất cho các người khác nhau trên cả 2 hướng của kênh truyền. Vì tín hiệu của các cuộc gọi trong một vùng phủ sóng đều được trải phổ khiến cho chúng ảnh hưởng đến các cuộc gọi khác chỉ dưới dạng nhiễu và khó bị phát hiện bởi máy điện thoại hay các các thiết bị dò tìm.
CDMA có khả năng chuyển giao mềm cho phép một máy di động có khả năng kết nối tới tối đa 6 cell vô tuyến cùng lúc, đồng thới, nó cũng cho phép điều khiển công suất nhanh (800 lần/s) để duy trì kết nối vô tuyến. Điều này khiến cho việc can thiệp vào kênh thoại CDMA là rất khó khăn.
2.5.2. Giải pháp phòng thủ theo lớp
Với giao diện vô tuyến được bảo vệ, ta chỉ cần tập trung bảo vệ an ninh vào các miền khác như các mặt bằng quản lý, điều khiển và người dùng. Mặt bằng người dùng bao gồm tất cả các lưu lượng thoại/số liệu người dùng từ giao diện vô tuyến. Mặt bằng điều khiển bao gồm các bản tin báo hiệu, thiết lập và quản lý phiên, nhận thực thiết bị và người dùng. Mặt bằng quản lý bao gồm nền tảng OAM, các giao diện, điều khiển truy nhập, truy nhập từ xa. Mô hình phòng thủ theo lớp đã bổ sung thêm khả năng an ninh cho hệ thống CDMA.
Hình 2.5. Mô hình phòng thủ theo lớp
2.5.2.1. An ninh mạng lõi
- An ninh quản lý: Bảo vệ mặt bằng quản lý là một phần quan trọng của giải pháp an ninh từ đầu cuối tới đầu cuối. quản lý mạng bao gồm các chính sách quản lý và cơ sở dữ liệu quan trọng để vận hành mạng lưới. Để đảm bảo sự an toàn cho mặt bằng quản lý, cần phải chống lại được các đe dọa an ninh từ bên trong lẫn bên ngoài. CNM (CDMA Network Manager – hệ thống quản lý mạng CDMA) cần cung cấp các tính năng bảo mật như kiểm soát vận hành, truy nhập người dùng, nhận thực trung tâm, quản lý nhóm và người dùng, bảo vệ truy nhập từ xa với IPsec…
- Nhận thực thuê bao: là cơ chế chính để bảo vệ hạ tầng mạng và ngăn cản các truy nhập trái phép vào tài nguyên mạng. Đối với phiên dữ liệu CDMA2000
1X và EV-DO, người dùng được nhận thực bằng cách dùng giao thức nhận thực bắt tay thách thức (CHAP Challenge Handshake Authentication Protocol) bởi máy chủ PDSN-AAA (Packet Data Serving Node - Authentication Authorization Accounting – Điểm phục vụ số liệu gói- nhận thực, trao quyền, thanh toán).
- Mạng lõi gói: trong kiến trúc CDMA2000, mạng lõi gói vô tuyến phục vụ cho cả 1X và 1xEV-DO. Mạng lõi gói vô tuyến là nơi lý tưởng để áp dụng các dịch vụ IP, đặc biệt là các dịch vụ cần đảm bào an ninh, trong mạng tru nhập CDMA 2000. IP di động từ tác nhân ngoài FA (Foreign Agent) tới các tác nhân nhà HA (Home Agent) cần phải được bảo vệ. Các kết nối này có thể được bảo vệ thông quan IPsec qua mạng định tuyến riện ảo VPRN (Virtual Private Routed Network) trên FA và HA.
2.5.2.2. An ninh truyền tải
Bảo vệ người dùng di động hay các thông tin quản lý đóng một vai trò quan trọng của mô hình phòng thủ theo lớp. Giao thức VPN đang được dùng nhiều hiện nay, thêm vào đó là các giao thức IPsec và SSL (Secure Socket layer). IPsec VPN cung cấp mật mã hóa, bảo vệ nhận thực tại lớp IP do đó bảo vệ các lưu lượng úng dụng IP. SSL VPN cung cấp bảo mật truyền thông cho các ứng dụng Web, cung cấp an ninh bên trên lớp TCP/IP. SSL VPN là sự lựa chọn tốt cho các ứng dụng và dịch vụ di động.
2.5.2.3. An ninh vòng ngoài
Vòng ngoài thường được bảo vệ bởi tường lửa (Firewall) nhằm phát hiện và ngăn chặn các đe dọa an ninh từ ngoài.
2.5.2.4. An ninh điểm cuối
Các người dùng di động xí nghiệp dùng các thiết bị thông minh, PDA… ngày càng tăng với sự hỗ trợ của các mạng CDMA 3G. Những thiết bị đầu cuối này có thể sẽ là các nguồn đe dọa tới an ninh mạng. Để khắc phục, có thể dùng cơ chế bảo vệ đường hầm (Tunnel Guard). Tunnel Guard cho phép người quản trị VPN định nghĩa chính sách an ninh đầu cuối tại VPN gateway và đảm bảo mọi người dùng kết nối tới gateway sẽ bị kiểm tra và phải tuân theo các chính sách an ninh trong suốt phiên VPN.
2.6. AN NINH TRONG MẠNG 4G
Trong thập niên 90s của thế kỷ trước, thông tin di động đã có những bước phát triển vượt bậc, các thế hệ di động 2G (GSM, IS-95 CDMA, IS-136TDMA), 3G W-CDMA/UMTS, CDMA2000 (được chuẩn hóa bởi 3GPP, 3GPP2) lần lượt ra đời đáp ứng nhu cầu ngày càng cao của người dùng. 4G (fourth Generation communications system - hệ thống truyền thông thế hệ thứ 4) là là một hệ thống
có khả năng cung cấp một giải pháp IP toàn diện mang tới cho người dùng các dịch vụ thoại, số liệu và truyền thông đa phương tiện ở bất cứ đâu và bất kỳ lúc nào với tốc độ cao hơn nhiều so với các thế hệ trước. Các mục tiêu của 4G bao gồm: 4G sẽ là một hệ thống tích hợp hoàn toàn dựa trên IP, điều này đạt được sau khi hội tụ mạng cố định và không dây và có thể cung cấp dịch vụ truyền dữ liệu từ 100Mbps đến 1Gbps với độ an ninh cao và chất lượng tốt. Theo các nhóm nghiên cứu 4G thì hạ tầng mạng và các đầu cuối 4G sẽ chứa các chuẩn từ 2G tới 4G. Các công nghệ có thể xem xét cho 4G là: WiMax, WiBro, iBurst, 3GPP Long Term Evolution and 3GPP2 Ultra Mobile Broadband.
2.6.1. Các tính năng 4G
4G hiện tại chưa đạt được sự chuẩn hóa cũng như chưa được sản xuất thiết bị, tuy nhiên ta có thể xem xét kiến trúc dịch vụ 4G như minh họa trong hình 2.5. Để cung cấp các dịch vụ hướng kết nối một cách tốt nhất trong tương lai, các đặc tính quan trọng và các tính năng bao gồm: Kiến trúc mạng dựa trên toàn IP (băng thông cao hơn 3G, dựa trên các mạng hiện hữu 3G/UMTS, Wireless LAN, DVB-T,…); chất lượng dịch vụ, an ninh…
Các tiêu chuẩn 4G hiện vẫn đang được định nghĩa tại nhiều nước như