CHƯƠNG 3: CƠ CHẾ ĐẢM BẢO CHẤT LƯỢNG DỊCH VỤ TRONG MẠNG WIMAX
3.1 Các vấn đề về bảo mật
Bảo mật là một chủ đề rộng và phức tạp. Ở phần này chỉ đƣa ra một giới thiệu ngắn gọn về bảo mật. Chúng ta sẽ tìm hiểu những vấn đề đang tồn tại, một số cơ chế bảo mật và sử dụng một số ví dụ liên quan tới các dịch vụ không dây băng rộng đặc biệt là WiMax. Một kiến trúc bảo mật đƣợc coi là tốt cho hệ thống thông tin vô tuyến nếu nhƣ nó hỗ trợ đƣợc các yêu cầu cơ bản sau.
- Tính riêng tư: Cung cấp sự bảo vệ khỏi việc nghe trộm khi dữ liệu của người sử dụng đi ngang qua mạng từ nguồn tới đích.
- Tính toàn vẹn dữ liệu: Đảm bảo được dữ liệu người sử dụng và các bản tin điều khiển, bản tin quản lý không bị can thiệp, sửa đổi khi truyền đi.
- Sự chứng thực: Có một cơ chế xác nhận ra rằng một người sử dụng (hoặc một thiết bị) là chính nó như khai báo ban đầu. Ngược lại một người sử dụng hoặc một thiết bị cũng có thể kiểm tra việc chứng thực của mạng mà nó kết nối tới. Hai quá trình trên kết hợp với nhau cho ta một sự chứng thực tương trợ lẫn nhau.
- Sự cho phép: Có một cơ chế để có thể xác nhận rằng một người sử dụng bất kỳ có đƣợc cho phép để nhận một dịch vụ nào đó hay không.
Bảo mật thường được thực hiện tại nhiều lớp trong hệ thống . Mỗi lớp dùng các khía cạnh khác nhau của bảo mật. Tuy nhiên trong một số trường hợp, người ta sẽ dùng các cơ chế dƣ thừa. Một nguyên lý cơ bản của bảo mật đó là sử dụng nhiều hơn một cơ chế bảo vệ. Sở dĩ điều này tốt bởi vì tính bảo mật vẫn được đảm bảo trong trường hợp có một cơ chế bị đổ vì.
Bảng 3.1 Cơ chế bảo mật tại các lớp khác nhau của ngăn xếp IP
Lớp Cơ chế bảo mật Chú ý
Liên kết Mã hoá AES, chứng thực thiết bị, chứng thực công (802.1x)
Thường chỉ được dùng trên các đường liên kết vô tuyến
Mạng Firewall, IPsec, cơ sở hạ tầng AAA (RADIUS, DIAMETER)
Bảo vệ mạng và thông tin đi qua mạng
Ứng dụng
Chữ ký điện tử, chứng nhận, điều khiển bảo mật điện tử (SET)
quản lý các quyền số (DRM)
Có thể cung cấp cả tính riêng tƣ và chứng thực, chủ yếu dựa trên cơ sở hạ tầng khoá cộng cộng.
Tại lớp liên kết, mã hoá hiệu quả nên đƣợc sử dụng cho các hệ thống không dây để bảo vệ việc nghe trộm trong không gian. Ở lớp liên kết cũng cần có điều khiển truy nhập để không cho những thuê bao không đƣợc phép sử dụng các tài nguyên mạng.
Mã hoá lớp liên kết thường không được sử dụng trong các đường liên kết có dây bởi vì rất khó có thể thực hiện được việc nghe trộm. Trong những trường hợp đó, tính riêng tƣ đƣợc đảm bảo bởi các cơ chế bảo mật đầu cuối tới đầu cuối ở các lớp cao hơn. Tại lớp mạng có một số phương thức cung cấp tính bảo mật ví dụ như IPsec cung cấp các dịch vụ chứng thực và mã hoá. Tự mạng cũng có thể đƣợc bảo vệ khỏi các cuộc tấn công nguy hiểm nhờ sử dụng tường lửa. Việc chứng thực, cho phép đƣợc thực hiện thông qua sử dụng giao thức AAA (chứng thực, cho phép và tính cước) như là RADIUS (dịch vụ người dùng quay số truy cập từ xa) và DIAMETER. Tại lớp truyền tải, TLS - tiêu chuẩn của nó đƣợc gọi là lớp socket bảo mật SSL - tăng thêm tính bảo mật cho các gói và các giao thức lớp truyền tải. Tại lớp ứng dụng thì chữ ký điện tử, chứng nhận, quản lý quyền số sẽ đƣợc thực thi tuỳ thuộc vào tính nhạy cảm của ứng dụng. Trong những phần sau, chúng ta sẽ nhắc lại một số cơ chế bảo mật thích hợp cho WiMax.
* Mã hoá và chuẩn mã hoá tiên tiến (AES)
AES là chuẩn mã hoá dữ liệu mới đƣợc chấp nhận bởi viện tiêu chuẩn quốc gia Mỹ. Nó là phương pháp mã hoá lớp liên kết được sử dụng trong WiMax. AES dựa trên thuật toán Rijndael, đó là phương pháp lập mã khối có những đặc tính lập mã và giải mã rất mạnh. Bên cạnh đó AES thực hiện dễ dàng, nhanh chóng bằng phần cứng hoặc phần mềm. Nó yêu cầu ít bộ nhớ hơn các sơ đồ mã hoá tương ứng khác. Hiệu suất tính toán của AES là một lý do cơ bản làm cho nó đƣợc chấp nhận rộng rãi một cách nhanh chóng. Thuật toán AES hoạt động trên khối dữ liệu có kích thước là 128 bit, được tổ chức trong một mảng có kích thước 4x4 byte và được gọi là một state. Khoá mã hoá có thể dài là 128, 192 hoặc 256 bit. WiMax dùng các từ khoá 128 bit.
Để sử dụng một mã khối nhƣ AES, ta cần có một cơ chế có tính chất thuận nghịch để chuyển đổi một bản tin có chiều dài tuỳ ý, vào trong một chuỗi liên tiếp các khối với kích thước cố định trước khi mã hoá. Phương pháp để chuyển đổi giữa
các bản tin và các khối đƣợc xem nhƣ là kiểu vận hành của mã hoá. Có rất nhiều kiểu vận hành đã đƣợc đề xuất cho AES, ta cần phải lựa chọn kiểu vận hành một cách cẩn thận để không tạo ra bất kỳ lỗ hổng về bảo mật nào. Chế độ đƣợc dùng trong WiMax đƣợc gọi là chế độ bộ đếm.
Trong chế độ bộ đếm, thay vì mã hoá trực tiếp văn bản gốc ta sẽ tiến hành tạo ra một bộ đếm. Bộ đếm này là một khối tuỳ ý đƣợc mã hoá sử dụng thuật toán AES.
Sau đó, ta thực hiện phép toán XOR giữa văn bản gốc và bộ đếm để thu đƣợc văn bản mã. Khối tuỳ ý đƣợc gọi là bộ đếm bởi vì nói chung nó sẽ tăng lên 1 cho mỗi khối đƣợc xử lý thành công. Trong lý thuyết, bộ đếm khởi đầu là 1 nhƣng trong thực tế nó có thể là bất kỳ giá trị tuỳ ý nào cũng đƣợc. Bằng cách thay đổi giá trị của bộ đếm đối với một khối văn bản mã sẽ không bao giờ giống nhau, đối với hai đầu vào giống hệt nhau. Do vậy, bộ đếm cung cấp thêm khả năng bảo vệ văn bản mã khỏi những sự quan sát đặc điểm lặp lại trong văn bản mã nhằm giải mã. Bên cạnh việc cung cấp thêm các đặc điểm bảo vệ, chế độ bộ đếm có một đặc tính rất đáng quan tâm. Nó làm cho quá trình giải mã giống hệt nhƣ quá trình lập mã do vậy làm cho quá trình thực hiện dễ dàng hơn. Phía giải mã tiến hành thuật toán XOR với giá trị tương tự lần thứ hai để thu lại giá trị ban đầu. Chế độ bộ đếm cũng thích hợp cho mã hoá song song nhiều khối. Hơn thế nữa, nếu nhƣ bản tin không đƣợc chia ra thành một số lƣợng chính xác các khối thì chế độ này cho phép lấy khối ngắn hơn cuối cùng XOR với khối đã đƣợc mã hoá và đơn giản gửi đi số lƣợng các bit đƣợc yêu cầu từ đầu ra.
Những đặc tính ƣu việt trên đã làm cho chế độ bộ đếm trở thành một sự lựa chọn phổ biến với AES. Cả hệ thống Wifi và WiMax đều sử dụng AES trong chế độ bộ đếm với mã hoá khối kết hợp mã bản tin chứng thực (CBC - MAC). CBC - MAC là một giao thức đƣợc định nghĩa trong RFC 3610, sử dụng khoá mã hoá tương tự để tạo ra giá trị kiểm tra tính nguyên vẹn bản tin.
* Cấu trúc hạ tầng khoá công cộng.
Khi sử dụng mã hoá khoá đối xứng thì bên phát và bên thu cần sử dụng cùng khoá. Điều này đặt ra vấn đề là làm thế nào để khoá có thể truyền đi đƣợc một cách an toàn. Một cách để làm điều đó là thiết lập một khoá bí mật chia sẻ trước bằng cơ chế ngoài băng. Ví dụ một mật khẩu bí mật chia sẻ đƣợc mã hoá cứng ở trong phía
phát và phía thu hoặc nhà cung cấp dịch vụ cấp khoá cho một thuê bao tại thời điểm đăng ký dịch vụ. Tuy nhiên cách này không khả thi cho việc sử dụng rộng rãi bởi vì sẽ không thể tạo ra hàng triệu khoá riêng và phân phối khoá tới từng người. Việc dùng các cơ chế ngoài băng gây sự cồng kềnh, dễ xảy ra lỗi và thường không thực tế.
Mã hoá khoá bất đối xứng là giải pháp tối ƣu cho vấn đề phân phối khoá. Mã hoá khoá bất đối xứng sử dụng hai khoá: khoá chung và khoá riêng. Khi một văn bản đã đƣợc mã hoá bằng một trong hai khoá thì nó chỉ có thể đƣợc giải mã nhờ khoá còn lại. Cả hai khoá đƣợc tạo ra một cách đồng thời nhờ sử dụng cùng thuật toán RSA. Khoá chung đƣợc tiết lộ rộng rãi còn khoá riêng đƣợc giữ bí mật. PKI (cấu trúc hạ tầng khoá chung) đƣợc dùng rộng rãi để bảo mật cho nhiều giao dịch Internet. PKI được xây dựng trên ý tưởng sử dụng khoá bất đối xứng.
Khoá bất đối xứng có ích cho nhiều ứng dụng bảo mật nhƣ:
Việc chứng thực: Chúng ta cần một cơ chế để đảm bảo rằng một người sử dụng hoặc một thiết bị là chính nó. Ví dụ để đảm bảo rằng dữ liệu nhận đƣợc thực sự là từ người sử dụng B, người sử dụng A có thể sử dụng khoá riêng, khoá chung và một số ngẫu nhiên. Nếu B gửi trở lại số ngẫu nhiên của A, A biết rằng bản tin đã được gửi tới B chứ không phải là người khác. Một cách tương tự B cũng có thể biết rằng A đã nhận đƣợc bản tin một cách chính xác. Bản tin sẽ không đƣợc đọc bởi bất kỳ ai khác, cũng không thể được tạo ra bởi người khác bởi vì không có người sử dụng nào có đƣợc khoá riêng hoặc số ngẫu nhiên chính xác.
Phân phối khoá bí mật chia sẻ để bảo mật khi gửi dữ liệu tới người sử dụng B, người A có thể tiến hành tương tự bằng cách sử dụng khoá chung của người B để mã hoá dữ liệu. Vì lúc này chỉ có thể tiến hành giải mã đƣợc bằng khoá riêng của người sử dụng B nên quá trình trao đổi sẽ được bảo mật khỏi những người khác. Quá trình trao đổi an toàn này đƣợc dùng để phân phối khoá bí mật chia sẻ sử dụng thuật toán khoá đối xứng nhƣ là AES. Khoá bí mật chia sẻ này sau đó đƣợc dùng để mã hoá phần còn lại của quá trình thông tin.
* Sự chứng thực và điều khiển truy nhập:
Điều khiển truy nhập là cơ chế bảo mật đảm bảo rằng chỉ có những người sử dụng hợp pháp mới được truy nhập tới mạng. Trong nhiều trường hợp, thông thường hệ thống điều khiển truy nhập gồm có ba thành phần: phần tử cần truy nhập
một thực thể có nhu cầu cần truy nhập; bộ phận chứng thực là thực thể quyết định xem có cho phép thực thể truy nhập hay không; bộ phận chứng thực là thực thể điều khiển cổng truy nhập. Hình vẽ 3.1 dưới đây cho ta thấy cấu trúc điều khiển truy nhập điển hình đƣợc sử dụng bởi những nhà cung cấp dịch vụ.
Các hệ thống điều khiển truy cập đƣợc phát triển đầu tiên cho các modem quay số và sau đó đƣợc thay đổi thích ứng cho các dịch vụ băng rộng. Các giao thức cơ bản đã đƣợc phát triển cho các dịch vụ quay số là PPP (giao thức điểm tới điểm) và dịch vụ người sử dụng quay số vào từ xa (RADIUS). PPP được sử dụng giữa thực thể cần truy nhập và bộ phận chứng thực. Các bộ chứng thực trong hầu hết các trường hợp là router ở biên mạng hoặc các server truy cập mạng (NAS). RADIUS đƣợc sử dụng giữa bộ phận chứng thực và bộ phận phục vụ chứng thực. Ban đầu PPP chỉ hỗ trợ hai kiểu sơ đồ chứng thực là PAP – giao thức chứng thực mật khẩu và CHAP - giao thức chứng thực bắt tay thách đố. Cả hai sơ đồ này không đủ mạnh để sử dụng trong các hệ thống không dây. Nhiều sơ đồ nhận thực bảo mật hơn đã đƣợc PPP hỗ trợ sử dụng giao thức nhận thực mở rộng (EAP).
Hình 3.1 Cấu trúc điều khiển truy cập