Bảo mật mạng truy nhậ p

Chức năng bảo mật mạng truy nhập cú thể được phõn chia thành cỏc phần: nhận thực thuờ bao, đảm bảo tớnh toàn vẹn và tin cậy của dữ liệu.

• Nhận thực người dựng : tớnh năng để mạng cho phộp cung cấp dịch vụ cho những người sử dụng đó được nhận dạng chớnh xỏc

• Nhận thực mạng : người sử dụng chứng thực rằng họ đó được kết nối vào mạng di động và được chứng nhận bởi mạng nhà của người dựng để cung cấp dịch vụ cho họ.

Cỏc tớnh năng bảo mật sau được thực hiện nhằm đảm bảo tớnh tin cậy của dữ liệu trong liờn kết mạng truy nhập:

• Thoả thuận thuật toỏn mó hoỏ : đảm bảo cho mỏy di động và mạng phục vụ cú thể thoả thuận một cỏch bớ mật cỏc thuật toỏn sẽđược sử dụng khi truyền thụng

• Thoả thuận khoỏ mật mó : đảm bảo cho mỏy di động và mạng phục sử dụng thống nhất khoỏ mó trong truyền thụng

• Tớnh tin cậy của dữ liệu người dựng : đảm bảo dữ liệu của người dựng khụng bị nghe lừm trờn giao diện vụ tuyến

• Tớnh tin cậy của số liệu bỏo hiệu : đảm bảo số liệu bỏo hiệu khụng bị nghe lừm trờn giao diện vụ tuyến

Cỏc tớnh năng được cung cấp nhằm đạt được tớnh toàn vẹn của bản tin trờn mạng truy nhập vụ tuyến bao gồm:

• Thoả thuận thuật toỏn về tớnh toàn vẹn : đảm bảo cho mỏy di động và mạng phục vụ cú thể thoả thuận một cỏch bớ mật cỏc thuật toỏn sẽđược sử dụng khi truyền thụng

• Thoả thuận khoỏ đảm bảo tớnh toàn vẹn : đảm bảo cho mỏy di động và mạng phục vụ sử dụng thống nhất khoỏ mó trong truyền thụng

• Tớnh toàn vẹn dữ liệu và nhận thực dữ liệu bỏo hiệu : cho phộp phớa thu (mỏy di động hay mạng phục vụ) cú thể kiểm tra xem thụng tin bỏo hiệu cú bị sửa đổi trỏi phộp hay khụng và nguồn gốc của bỏo hiệu đú cú chớnh xỏc hay khụng.

3.3.2 Thoả thuận khoỏ và nhận thực UMTS (UMTS AKA)

UMTS AKA là cơ chế bảo mật được sử dụng để thực hiện chức năng nhận thực cũng như cỏc thoả thuận về khoỏ đó trỡnh bày ở trờn. Cơ chế này dựa trờn cơ sở giao thức nhận thực yờu cầu / đỏp ứng, theo quan điểm nhằm đạt được tớnh tương thớch lớn nhất với hệ thống nhận thực thuờ bao và giao thức thiết lập khoỏ của GSM, cho phộp chuyển đổi dễ dàng hơn từ GSM/GPRS lờn UMTS. Giao thức yờu cầu / đỏp ứng là một biện phỏp bảo mật để kiểm tra nhận dạng của cỏc thành phần khỏc mà khụng lộ ra khoỏ bớ mật dựng để truyền thụng giữa hai bờn. Khỏi niệm khoỏ của mỗi bờn chứng tỏ mỗi bờn đều chia sẻ mật khẩu này mà khụng hềđể lộ ra hay truyền chỳng đi.

Quỏ trỡnh UMTS AKA như mụ tả trong phần trờn phải sử dụng đến mạng phục vụ sau khi thuờ bao đó đăng ký hoà mạng, sau khi yờu cầu dịch vụ, sau khi yờu cầu cập nhật vị trớ, yờu cầu nhập mạng hay rời mạng, hay yờu cầu thiết lập lại kết nối. Thờm vào đú, cỏc thụng tin liờn quan đến người dựng phải được

59 truyền từ mạng nhà thuờ bao đến mạng phục vụ để cú thể hoàn thiện cỏc quỏ trỡnh điều khiển. HLR/AuC của mạng nhà cung cấp cho VLR/SGSN của mạng phục vụ cỏc vộc tơ nhận thực (AV) , trong đú mỗi vec tơ cú chứa cỏc thụng tin như trong bảng 3.1 Bảng 3.1 Cấu trỳc của một vộc tơ nhận thực Trường thụng tin Mụ tả RAND Số ngẫu nhiờn CK Khoỏ mật mó IK Khoỏ nhận dạng AUTN Thẻ nhận thực

XRES Đỏp ứng được mong đợi (a) Cấu trỳc của một vec tơ nhận thực

Tờn trường Mụ tả

SQN Số tuần tự

AMF Trường quản lý nhận thực MAC-A Mó nhận thực bản tin

(b) Cấu trỳc trường AUTN trong vec tơ nhận thực

Thủ tục thoả thuận khoỏ và nhận thực được tổng kết trong cỏc thuật toỏn sau:

(1) VLR/SGSN của mạng khỏch yờu cầu cỏc vec tơ nhận thực từ HLR/AuC của mạng nhà thuờ bao

(2)HLR/AuC tớnh toỏn vec tơ AV từ cỏc thuật toỏn nhận thực và khoỏ bớ mật của thuờ bao K. K chỉ được lưu trữ trong HLR/AuC của mạng nhà và trờn USIM mỏy di động của thuờ bao.

(3) HLR/AuC của mạng nhà đỏp ứng lại bằng cỏch gửi đi n vộc tơ AV1- Avn tới cho VLR/SGSN của mạng khỏch.

60 (4) VLR/SGSN của mạng khỏch chọn một trong cỏc vộc tơ AV và yờu cầu tiếp tới USIM của mỏy di động bằng cỏch gửi đi RAND và AUTN trong vec tơ AV nhận được.

(5)USIM xử lý AUTN nhận được. Với sự trợ giỳp của khoỏ bớ mật K, người sử dụng cú thể kiểm tra xem dữ liệu yờu cầu vừa nhận cú đỳng là của người truy nhập với cựng khoỏ K hay khụng. USIm cũng kiểm tra hiệu lực của AV bằng cỏch kiểm ra lại trường số tuần tự (SEQ). Nếu AV do mạng cung cấp là hợp lệ và đó được nhận thực, USIM sẽ tiếp tục tạo khoỏ kiểm tra tớnh tin cậy (CK), khoỏ kiểm tra tớnh toàn vẹn (IK) và tạo đỏp ứng ngược trở lại cho mạng (RES).

(6) Người sử dụng đỏp ứng RES cho mạng khỏch.

(7) VLR/SGSN của mạng khỏch kiểm tra tớnh chớnh xỏc của đỏp ứng bằng cỏch so sỏnh đỏp ứng mong đợi (XRES) của vộc tơ AV với đỏp ứng RES nhận được từ USIM của mỏy di động

Quỏ trỡnh nhận thực lẫn nhau được thực hiện trong bước 5 của thuật toỏn trờn. Cả USIM và VLR/SGSN đều được nhận thực lẫn nhau sau khi thoả món hai điều kiện: trước hết USIM kiểm tra trường MAC trong AUTN cú bằng với giỏ trị tớnh toỏn được khi sử dụng khoỏ bớ mật K với SQN, RAND và AMF; tiếp theo VLR/SGSN kiểm tra giỏ trị RES do mỏy di động người dựng truyền đi với giỏ trị mong đợi XRES.

Hỡnh 3.5 Thoả thuận khoỏ và nhận thực

3.3.3 Thuật toỏn đảm bảo tớnh tin cậy và toàn vẹn của bản tin

Khi thụng tin điều khiển và bỏo hiệu được truyền trờn mạng giữa mỏy di động với mạng là rất quan trọng và nhạy cảm thỡ nú cần phải được đam bóo tớnh toàn vẹn. Cơ chếđảm bảo tớnh năng bảo mật này là thuật toỏn đảm bảo tớnh toàn vẹn UMTS (UIA), được cài đặt cả trờn mỏy di động và trờn khối kết cuối của UTRAN với mạng lừi, vớ dụ RNC, như trong hỡnh 3.2.

Thuật toỏn UIA được đề cập trong phần này là thuật toỏn f 9, được miờu tả như trong hỡnh 3.6. Thủ tục kiểm tra tớnh toàn vẹn của dữ liệu như sau:

62 - Trước hết, thuật toỏn f9 trong mỏy di động tớnh toỏn ra một mó nhận thực bản tin 32 bit (MAC-I) cho khối dữ liệu trờn cơ sở cỏc tham số đầu vào, trong đú cú cả số liệu bỏo hiệu (MESSAGE).

- Sau đú, mỏy di động đớnh kốm MAC-I vừa tớnh toỏn vào thụng tin bỏo hiệu và gửi qua giao diện vụ tuyến tới RNC.

- RNC nhận cỏc thụng tin bỏo hiệu và cả MAC-I. RNC cũng tớnh toỏn XMAC-I dựa vào cỏc số liệu bỏo hiệu nhận được theo cỏch tương tự như trong mỏy di động.

Cuối cựng, tớnh toàn vẹn của thụng tin bỏo hiệu được quyết định bằng cỏch so sỏnh giữa MAC-I và XMAC-I.

Hỡnh 3.7 trỡnh bày cấu trỳc của thuật toỏn f9 sử dụng để kiểm tra tớnh toàn vẹn dữ liệu trờn cơ sở cài đặt một chuỗi cỏc khối thuật toỏn mó hoỏ khối KASUMI. Đầu ra của thuật toỏn mó hoỏ khối này cú độ rộng là 64 bit, tuy nhiờn đầu ra của toàn bộ thuật toỏn chỉ là 32 bit.

Hỡnh 3.6: Sử dụng thuật toỏn f9 để tạo Mó nhận thực bản tin (MAC) từ số

Hỡnh 3.7: Thuật toỏn f9 đảm bảo tớnh toàn vẹn dữ liệu

Khỏc với thuật toỏn đảm bảo tớnh toàn vẹn chỉ hoạt động trờn cỏc thụng tin bỏo hiệu, cơ chế đảm bảo tớnh tin cậy phải hoạt động trờn cả dữ liệu người dựng và bỏo hiệu. Thuật toỏn nhằm đảm bảo tớnh tin cậy của dữ liệu cũn cú tờn là f8 và được chỉ ra trong hỡnh 3.8, nú hoạt động như sau:

- Trước hết, thuật toỏn f8 sử dụng khoỏ mật mó CK và cỏc tham số khỏc trong mỏy di động để tớnh toỏn một luồng bit đầu ra.

- Sau đú luồng bit này được xor từng bit với luồng dữ liệu ban đầu để tạo ra khối dữ liệu đó mó hoỏ.

- Khối dữ liệu mó hoỏ được truyền tới mạng qua giao diện vụ tuyến

64 - Thuật toỏn f8 trong RNC sử dụng cựng một đầu vào như trong mỏy di động, bao gồm cả khoỏ mó dựng chung CK để tạo ra chuỗi bit như trong mỏy di động Cuối cựng, chuỗi bit tạo ra trong RNC được xor với chuỗi bit thu được để tạo ra chuỗi bit dữ liệu ban đầu.

Hỡnh 3.8 Thuật toỏn f8 sử dụng để mó hoỏ số liệu người dựng và bỏo hiệu

Hỡnh 3.9 mụ tả cấu trỳc của thuật toỏn f8. Thuật toỏn này cũng được xõy dựng trờn cơ sở rất nhiều thuật toỏn mó hoỏ khối KASUMI, được kết nối với nhau theo kiểu hồi tiếp đầu ra. Mỗi khối tạo ra luồng 64 bit ở đầu ra và chuyển chỳng tới đầu vào của khối tiếp theo.

Hỡnh 3.9 Thuật toỏn f8 đảm bảo tớnh tin cậy của bản tin

3.3.4 Thuật toỏn mó hoỏ khối KASUMI

Nhưđó trỡnh bày trong cỏc phần trờn, mó hoỏ khối KASUMI là cốt lừi của cỏc cơ chế đảm bảo tớnh toàn vẹn và tin cậy của bản tin trong mạng UMTS. KASUMI là bộ mó hoỏ cú cấu trỳc Feistel, hoạt động trờn cỏc khối dữ liệu 64 bit và được điều khiển bởi khoỏ mó dài 128 bit. Do cú cấu trỳc Feistel, thuật toỏn KASUMI cú cỏc đặc điểm sau:

• Kiến trỳc tỏm vũng xử lý

• Đầu vào bản tin gốc là đầu vào của vũng đầu tiờn

• Khối dữ liệu được mó hoỏ là đầu ra của vũng cuối cựng

• Khoỏ mật mó K được dựng để tạo tập khoỏ vũng (KLi, KOi, KIi) cho mỗi vũng i

• Mỗi vũng tớnh toỏn theo một hàm khỏc nhau, phụ thuộc vào cỏc khoỏ vũng khỏc nhau

66 (a) Cấu trỳc Feistel (b) Hàm FO (c) Hàm FI

(d) Hàm FL

67 KASUMI được phỏt triển trờn cơ sở thuật toỏn mó hoỏ khối trước đú được gọi là MISTY1. 3GPP đó chọn thuật toỏn mó hoỏ khối đầu tiờn là MISTY1, do nú đảm bảo được tớnh bảo mật chống lại cỏc phương thức tiờn tiến nhằm bẻ góy bộ mó hoỏ. Hơn nữa, MISTY1 cũn cú tớnh tối ưu hoỏ cao trong cài đặt bằng phần cứng.

Hỡnh 3.10 trỡnh bày cấu trỳc của bộ mó hoỏ khối KASUMI. Cú thể nhận thấy là hàm f được tớnh trong mỗi vũng i được tạo từ hai hàm con là FLi và FOi , phụ thuộc vào đầu vào của vũng và tập khoỏ vũng tương ứng. Hỡnh vẽ cũng chỉ rừ cấu trỳc bờn trong của hai hàm con. Hàm FL cú cấu trỳc đơn giản, chỉ bao gồm cỏc khối logic và dịch bit đầu vào. Hàm FO phức tạp hơn và cũng cú cấu trỳc Feistel với ba vũng, mỗi vũng lại yờu cầu tớnh toỏn thờm hàm con FI.

3.4 Tổng kết chương III:

Chương này đó trỡnh bày về kiến trỳc cơ bản của IMT-2000 cũng như cấu trỳc của mạng UMTS W-CDMA. Kiến trỳc bảo mật của UMTS cho phộp cung cấp nhiều loại dịch vụ bảo mật hơn, sử dụng cỏc tớnh năng bảo mật, cỏc cơ chế bảo mật tiờn tiến nhất. Cỏc tớnh năng bảo mật quan trọng nhất là nhận thực, thoả thuận khoỏ và thuật toỏn mật mó, đảm bảo tớnh tin cậy cho cả số liệu người dựng và bỏo hiệu, thoả thuận khoỏ và thuật toỏn đảm bảo tớnh toàn vẹn cho thụng tin bỏo hiệu, thuật toỏn f8 sử dụng để đảm bảo tớnh tin cậy của cả dữ liệu người dựng và bỏo hiệu; và thuật toỏn f9 sử dụng đểđảm bảo tớnh toàn vẹn của thụng tin bỏo hiệu. Cả hai thuật toỏn này đều đợc xõy dựng trờn cơ sở khối mó hoỏ KASUMI và cú khả năng cài đặt trờn cả phần cứng lẫn phần mềm!

3.4.1 Nhận xột

Hệ thống bảo mật trờn truy cập vụ tuyến giữa cỏc thuờ bao và nhà mạng trong mạng 3G UMTS đó được hoàn thiện hơn so với trong mạng 2G GSM. Về thủ tục nhận thực, thủ tục nhận thực trong 3G UMTS là nhận thực 2 chiều, nhà

68 mạng nhận thực thuờ bao và ngược lại trong khi đú ở mạng 2G GSM chỉ là nhận thực 1 chiều từ nhà mạng. Đặc điểm này khắc phục lỗ hổng nhận thực trong 2G GSM. Về thủ tục đảm bảo toàn vẹn dữ liệu bỏo hiệu, thủ tục này được thờm vào trong mạng 3G UMTS nhằm đảm bảo thụng tin hiệu giữa cỏc thuờ bao và nhà mạng khụng bị sai lệch. Về thủ tục mật mó, chuỗi khúa mật mó trong 3G UMTS cú chiều dài 128 bit so với 64 bit (thực tế thỡ chỉ là 54 bit do 10 bit cú trọng số thấp luụn bằng 0) trong 2G do đú sức mạnh của thuật toỏn mật mó của mạng 3G UMTS mạnh hơn so với mạng 2G GSM.

3.4.2 Cỏc dạng tấn cụng và một số giải phỏp chống lại cỏc dạng tấn cụng cụ thể vào mạng di động 3G. tấn cụng cụ thể vào mạng di động 3G.

Cỏc dạng tấn cụng Mục tiờu Giải phỏp bảo vệ

Worm, Virus, Trojan, SMS/MMS spam Cỏc người sử dụng khỏc, cỏc phần tử mạng (cỏc server nội dung) Phần mềm diệt virus ở mạng và thiết bị; cụng nghệ quột nội dung Từ chối dịch vụ (DoS), SYNflood, cỏc tấn cụng vào lớp ứng dụng (tràn bộđệm, SIP flooding, RTP flooding...) HLR, AAA, cỏc server nội dung, cỏc node bỏo

hiệu Cỏc bức tường lửa, cỏc bức tường lửa bỏo hiệu và cỏc hệ thống phỏt hiện và ngăn ngừa xõm nhập (IDP) Tấn cụng Overbilling Cỏc phần tử quản lý của nhà khai thỏc (AAA, HLR, VLR...) Cỏc hệ thống phỏt hiện và ngăn ngừa xõm nhập (IDP)

69 Spoofed PDP context Cỏc phiờn của người sử

dụng Cỏc bức tường lửa bỏo hiệu Cỏc tấn cụng ở mức bỏo hiệu (SIGTRAN, SIP) gồm biến đổi, ngăn chặn, và DoS Cỏc node bỏo hiệu Cỏc bức tường lửa, cỏc bức tường lửa bỏo hiệu và cỏc hệ thống phỏt hiện và ngăn ngừa xõm nhập (IDP)

CHƯƠNG IV

BẢO MẬT AN NINH TRONG IP DI ĐỘNG (Mobile IP)

4.1. Tổng quan về Mobile IP

Trong kiến trỳc Internet hiện thời, giao thức Internet Version 4 hoặc IPv4, Mobile IP là một tuỳ chọn. Cỏc mạng cố gắng hỗ trợ tớnh toỏn di động cú thể bổ sung Mobile IP, trong khi đú cỏc mạng chỉ cung cấp cỏc dịch vụ cho cỏc mỏy tớnh cú dõy khụng cần thay đổi. Trong tương lai, IP Version 6 sẽ hỗ trợ tớnh di động như một phần của cỏc giao thức Internet chung với sự thừa nhận truy nhập Internet cú dõy cũng trở nờn rất quan trọng.

4.1.1 Cỏc thành phần logic của Mobile IP

Cỏc phần tử của kiến trỳc Mobile IP rất gần với cỏc khỏi niệm quen thuộc hiện nay trong mạng tổ ong số. Vớ dụ, dưới mobile IP, mỗi thiết bị tớnh toỏn di động cú một mạng nhà tuy rằng mỗi mỏy cầm tay tổ ong trong mụi trường GSM cũng cú một mạng nhà. Trờn mạng nhà này, trong thế giới Mobile IP là một hệ thống phần mềm được gọi là “Home Agent” (Tỏc nhõn nhà) chạy trờn một node mạng. Chức năng chớnh của Home Agent là để duy trỡ cỏc thụng tin, bao gồm cỏc khoỏ mật mó, thuộc về cỏc mỏy tớnh di động - được gọi là “Mobile Host” (MH) – Nú coi mạng đú như là mạng nhà của nú. Home Agent cũng bỏm cỏc vị trớ hiện thời của Mobile Host mà nú chịu trỏch nhiệm và vỡ vậy tại mức khỏi niệm nú phự hợp với tổ hợp Bộ ghi định vị thường trỳ/Trung tõm nhận thực (HLR/AuC) trong GSM. Hơn nữa, mỗi Mobile Host dưới Mobile IP cú một địa

Đặc điểm bảo mật của mạng GSM

Xỏc thực chủ thể thuờ bao