bctntlvn (24).pdf

1,146 views

Published on

  • Be the first to comment

  • Be the first to like this

bctntlvn (24).pdf

  1. 1. Báo cáo tốt nghiệpVấn đề an ninh an toàn mạngmáy tính và các giải pháp xác thực người dùng
  2. 2. LỜI NÓI ĐẦU Hiện nay vấn đề toàn cầu hoá và nền kinh tế thị trường mở cửa đã mang lạinhiều cơ hội làm ăn hợp tác kinh doanh và phát triển. Các ngành công nghiệp máy tínhvà truyền thông phát triển đã đưa thế giới chuyển sang thời đại mới: thời đại côngnghệ thông tin. Việc nắm bắt và ứng dụng Công nghệ thông tin trong các lĩnh vựckhoa học, kinh tế, xã hội đã đem lại cho các doanh nghiệp và các tổ chức những thànhtựu và lợi ích to lớn. Máy tính đã trở thành công cụ đắc lực và không thể thiếu của conngười, con người có thể ngồi tại chỗ mà vẫn nắm bắt được các thông tin trên thế giớihàng ngày đó là nhờ vào sự phát triển mạnh mẽ của Internet. Các tổ chức, công ty haycác cơ quan đều phải (tính đến) xây dựng hệ thống tài nguyên chung để có thể phục vụcho nhu cầu của các nhân viên và khách hàng. Và một nhu cầu tất yếu sẽ nảy sinh làngười quản lý hệ thống phải kiểm soát được việc truy nhập sử dụng các tài nguyên đó.Một vài người có nhiều quyền hơn một vài người khác. Ngoài ra, người quản lý cũngmuốn rằng những người khác nhau không thể truy nhập được vào các tài nguyên nàođó của nhau. Để thực hiện được các nhu cầu truy nhập trên, chúng ta phải xác địnhđược người dùng hệ thống là ai để có thể phục vụ một cách chính xác nhất, đó chính làviệc xác thực người dùng. Đây là một vấn đề nóng bỏng và đang được quan tâm hiệnnay. Đó là một trong những nguyên nhân khiến em chọn đề tài "Giải pháp xác thựcngười dùng bằng công nghệ Captive Portal”. Với công nghệ Captive Portal sẽ bắt buộc một máy muốn sử dụng Internettrong mạng thì trước tiên phải sử dụng trình duyệt để “được” tới một trang đặc biệt(thường dùng cho mục đích xác thực). Captive Portal sẽ chuyển hướng trình duyệt tớithiết bị xác thực an ninh. Điều này được thực hiện bằng cách bắt tất cả các gói tin, kểcả địa chỉ và cổng, đến khi người dùng mở một trình duyệt và thử truy cập Internet.Tại thời điểm đó, trình duyệt sẽ được chuyển hướng tới trang Web đặc biệt yêu cầuxác thực (đăng nhập) hoặc thanh toán, hoặc đơn giản chỉ là hiện một bảng thông báovề các quy định mà người dùng sẽ phải tuân theo và yêu cầu người dùng phải chấpnhận các quy định đó trước khi truy cập Internet. Captive Portal thường được triểnkhai ở hầu hết các điểm truy nhập Wi-Fi và nó cũng có thể được dùng để điều khiểnmạng có dây.
  3. 3. Giải pháp xác thực người dùng Lê Thị Thùy Lương Đề tài gồm phần mở đầu, bốn chương và kết luậnChương 1: Vấn đề an ninh an toàn mạng máy tính và các giải pháp xác thựcngười dùng Trình bày tổng quan về vấn đề an ninh trong mạng máy tính, các nguy cơ vàvấn đề bảo mật hệ thống mạng. Tìm hiểu khái niệm xác thực người dùng và các giải pháp xác thực người dùngphổ biến. Qua đó đưa ra được các ưu điểm và nhược điểm của các giải pháp đó.Chương II: Mạng không dây và các chính sách bảo mật Chương này tìm hiểu khái quát về mạng không dây và các chính sách bảo mật.Chương III: Công nghệ Captive Portal và sử dụng Radius xác thực trong WLAN Chương này đi vào khảo sát một công nghệ xác thực người dùng. Đó là xácthực người dùng bằng công nghệ Captive Portal.Chương IV: Cài đặt và thử nghiệm phân mềm ChilliSpot Chương này sẽ trình bày về cách cấu hình; cách triển khai cài đặt và sử dụngchương trình.Phần kết luận: Phần này tóm tắt kết quả đạt được, đưa ra những hạn chế của và hướng khaithác hệ thống trên thực tế. 2
  4. 4. Giải pháp xác thực người dùng Lê Thị Thùy Lương Chương 1: VẤN ĐỀ AN NINH AN TOÀN MẠNG MÁY TÍNH VÀ CÁC GIẢI PHÁP XÁC THỰC NGƯỜI DÙNG 1.1. Tổng quan về vấn đề an ninh an toàn mạng máy tính 1.1.1. Đe dọa an ninh từ đâu? Trong xã hội, cái thiện và cái ác luôn song song tồn tại như hai mặt không táchrời, chúng luôn phủ định nhau. Có biết bao nhiêu người muốn hướng tới cái chânthiện, cái tốt đẹp, thì cũng có không ít kẻ vì mục đích này hay mục đích khác lại làmcho cái ác nảy sinh, lấn lướt cái thiện. Sự giằng co giữa cái thiện và cái ác ấy luôn làvấn đề bức xúc của xã hội, cần phải loại trừ cái ác, thế nhưng cái ác lại luôn nảy sinhtheo thời gian. Mạng máy tính cũng vậy, có những người phải mất biết bao nhiêu côngsức nghiên cứu ra các biện pháp bảo vệ cho an ninh của tổ chức mình, thì cũng lại cókẻ tìm mọi cách phá vỡ lớp bảo vệ đó với nhiều ý đồ khác nhau. Mục đích của người lương thiện là luôn muốn tạo ra các khả năng bảo vệ anninh cho tổ chức rất rõ ràng. Ngược lại, ý đồ của kẻ xấu lại ở nhiều góc độ, cung bậckhác nhau. Có kẻ muốn phá vỡ lớp vỏ an ninh để chứng tỏ khả năng của mình, để thoảmãn thói hư ích kỷ. Loại người này thường làm hại người khác bằng cách phá hoại cáctài nguyên trên mạng, xâm phạm quyền riêng tư hoặc bôi nhọ danh dự của họ. Nguyhiểm hơn, có những kẻ lại muốn đoạt không các nguồn lợi của người khác như việclấy cắp các thông tin mật của các công ty, đột nhập vào ngân hàng để chuyển trộmtiền... Bởi trên thực tế, hầu hết các tổ chức công ty tham gia vào mạng máy tính toàncầu đều có một lượng lớn các thông tin kết nối trực tuyến. Trong lượng lớn các thôngtin ấy, có các thông tin bí mật như: các bí mật thương mại, các kế hoạch phát triển sảnphẩm, chiến lược maketing, phân tích tài chính... hay các thông tin về nhân sự, bí mậtriêng tư... Các thông tin này hết sức quan trọng, việc để lộ ra các thông tin cho các đốithủ cạnh tranh sẽ dẫn đến một hậu quả hết sức nghiêm trọng. Tuy nhiên, không phải bất cứ khi nào muốn những kẻ xấu cũng có thể thực hiệnđược mục đích của mình. Chúng cần phải có thời gian, những sơ hở, yếu kém củachính những hệ thống bảo vệ an ninh mạng. Và để thực hiện được điều đó, chúng cũngphải có trí tuệ thông minh cộng với cả một chuỗi dài kinh nghiệm. Còn để xây dựngđược các biện pháp đảm bảo an ninh, đòi hỏi ở người xây dựng cũng không kém về trítuệ và kinh nghiệm thực tiễn. Như thế, cả hai mặt tích cực và tiêu cực ấy đều được 3
  5. 5. Giải pháp xác thực người dùng Lê Thị Thùy Lươngthực hiện bởi bàn tay khối óc của con người, không có máy móc nào có thể thay thếđược. Vậy, vấn đề an ninh an toàn mạng máy tính hoàn toàn mang tính con người. Ban đầu, những trò phá hoại chỉ mang tính chất là trò chơi của những người cótrí tuệ không nhằm mục đích vụ lợi, xấu xa. Tuy nhiên, khi mạng máy tính trở nên phổdụng, có sự kết nối của nhiều tổ chức, công ty, cá nhân với nhiều thông tin bí mật, thìnhững trò phá hoại ấy lại không ngừng gia tăng. Sự phá hoại ấy đã gây ra nhiều hậuquả nghiêm trọng, nó đã trở thành một loại tội phạm. Theo số liệu thống kê của CERT(Computer Emegency Response Team) thì số lượng các vụ tấn công trên Internet đượcthông báo cho tổ chức này là ít hơn 200 vào năm 1989, khoảng 400 vào năm 1991,1400 năm 1993 và 2241 năm 1994. Những vụ tấn công này nhằm vào tất cả các máytính có mặt trên Internet, từ các máy tính của các công ty lớn như AT & T, IBM, cáctrường đại học, các cơ quan nhà nước, các nhà băng... Những con số đưa ra này, trênthực tế chỉ là phần nổi của tảng băng. Một phần lớn các vụ tấn công không được thôngbáo vì nhiều lý do khác nhau, như sự mất uy tín, hoặc chỉ đơn giản là họ không hề biếtmình bị tấn công. Thực tế, đe doạ an ninh không chỉ ở bên ngoài tổ chức, mà bên trong tổ chứcvấn đề cũng hết sức nghiêm trọng. Đe dọa bên trong tổ chức xẩy ra lớn hơn bên ngoài,nguyên nhân chính là do các nhân viên có quyền truy nhập hệ thống gây ra. Vì họ cóquyền truy nhập hệ thống nên họ có thể tìm được các điểm yếu của hệ thống, hoặc vôtình họ cũng có thể phá hủy hay tạo cơ hội cho những kẻ khác xâm nhập hệ thống. Vànguy hiểm hơn, một khi họ là kẻ bất mãn hay phản bội thì hậu quả không thể lườngtrước được. Tóm lại, vấn đề an ninh an toàn mạng máy tính hoàn toàn là vấn đề con ngườivà không ngừng gia tăng, nó có thể bị đe doạ từ bên ngoài hoặc bên trong tổ chức. Vấnđề này đã trở thành mối lo ngại lớn cho bất kì chủ thể nào tham gia vào mạng máy tínhtoàn cầu. Và như vậy, để đảm bảo việc trao đổi thông tin an toàn và an ninh cho mạngmáy tính, buộc các tổ chức đó phải triển khai các biện pháp bảo vệ đảm bảo an ninh,mà trước hết là cho chính mình. 1.1.2. Các giải pháp cơ bản đảm bảo an ninh Như trên ta đã thấy, an ninh an toàn mạng máy tính có thể bị đe doạ từ rất nhiềugóc độ và nguyên nhân khác nhau. Đe doạ an ninh có thể xuất phát từ bên ngoài mạngnội bộ hoặc cũng có thể xuất phát từ ngay bên trong tổ chức. Do đó, việc đảm bảo anninh an toàn cho mạng máy tính cần phải có nhiều giải pháp cụ thể khác nhau. Tuynhiên, tổng quan nhất có ba giải pháp cơ bản sau: 4
  6. 6. Giải pháp xác thực người dùng Lê Thị Thùy Lương o Giải pháp về phần cứng. o Giải pháp về phần mềm. o Giải pháp về con người. Đây là ba giải pháp tổng quát nhất mà bất kì một nhà quản trị an ninh nào cũngphải tính đến trong công tác đảm bảo an ninh an toàn mạng máy tính. Mỗi giải pháp cómột ưu nhược điểm riêng mà người quản trị an ninh cần phải biết phân tích, tổng hợpvà chọn lựa để tạo khả năng đảm bảo an ninh tối ưu nhất cho tổ chức mình. Giải pháp phần cứng là giải pháp sử dụng các thiết bị vật lý như các hệ thốngmáy chuyên dụng, cũng có thể là các thiết lập trong mô hình mạng (thiết lập kênhtruyền riêng, mạng riêng)... Giải pháp phần cứng thông thường đi kèm với nó là hệthống phần mềm điều khiển tương ứng. Đây là một giải pháp không phổ biến, vìkhông linh hoạt trong việc đáp ứng với các tiến bộ của các dịch vụ mới xuất hiện, vàchi phí rất cao. Khác với giải pháp phần cứng, giải pháp về phần mềm hết sức đa dạng. Giảipháp phần mềm có thể phụ thuộc hay không phụ thuộc vào phần cứng. Cụ thể các giảipháp về phần mềm như: các phương pháp xác thực, các phương pháp mã hoá, mạngriêng ảo, các hệ thống bức tường lửa,... Các phương pháp xác thực và mã hoá đảm bảocho thông tin truyền trên mạng một cách an toàn nhất. Vì với cách thức làm việc củanó, thông tin thật trên đường truyền được mã hoá dưới dạng mà những kẻ “nhòmtrộm” không thể thấy được, hoặc nếu thông tin bị sửa đổi thì tại nơi nhận sẽ có cơ chếphát hiện sự sửa đổi đó. Còn phương pháp sử dụng hệ thống bức tường lửa lại đảm bảoan ninh ở góc độ khác. Bằng cách thiết lập các luật tại một điểm đặc biệt (thường gọilà điểm nghẹt) giữa hệ thống mạng bên trong (mạng cần bảo vệ) với hệ thống mạngbên ngoài (mạng được coi là không an toàn về bảo mật - hay là Internet), hệ thống bứctường lửa hoàn toàn có thể kiểm soát các kết nối trao đổi thông tin giữa hai mạng. Vớicách thức này, hệ thống tường lửa đảm bảo an ninh khá tốt cho hệ thống mạng cần bảovệ. Như thế, giải pháp về phần mềm gần như hoàn toàn gồm các chương trình máytính, do đó chi phí cho giải pháp này sẽ ít hơn so với giải pháp về phần cứng. Bên cạnh hai giải pháp trên, giải pháp về chính sách con người là một giải pháphết sức cơ bản và không thể thiếu được. Vì như phần trên đã thấy, vấn đề an ninh antoàn mạng máy tính hoàn toàn là vấn đề con người, do đó việc đưa ra một hành langpháp lý và các quy nguyên tắc làm việc cụ thể là cần thiết. Ở đây, hành lang pháp lý cóthể gồm: các điều khoản trong bộ luật của nhà nước, các văn bản dưới luật,... Còn cácquy định có thể do từng tổ chức đặt ra cho phù hợp với từng đặc điểm riêng. Các quy 5
  7. 7. Giải pháp xác thực người dùng Lê Thị Thùy Lươngđịnh có thể như: quy định về nhân sự, việc sử dụng máy, sử dụng phần mềm,... Và nhưvậy, sẽ hiệu quả nhất trong việc đảm bảo an ninh an toàn cho hệ thống mạng máy tínhmột khi ta thực hiện triệt để giải pháp về chính sách con người. Tóm lại, vấn đề an ninh an toàn mạng máy tính là một vấn đề lớn, nó yêu cầucần phải có một giải pháp tổng thể, không chỉ phần mềm, phần cứng máy tính mà nóđòi hỏi cả vấn đề chính sách về con người. Và vấn đề này cần phải được thực hiện mộtcách thường xuyên liên tục, không bao giờ triệt để được vì nó luôn nảy sinh theo thờigian. Tuy nhiên, bằng các giải pháp tổng thể hợp lý, đặc biệt là giải quyết tốt vấn đềchính sách về con người ta có thể tạo ra cho mình sự an toàn chắc chắn hơn. 1.2. Vấn đề bảo mật hệ thống và mạng 1.2.1. Các vấn dề chung về bảo mật hệ thống và mạng Đặc điểm chung của một hệ thống mạng là có nhiều người sử dụng chung vàphân tán về mặt địa lý nên việc bảo vệ tài nguyên phức tạp hơn nhiều so với việc môitrường một máy tính đơn lẻ, hoặc một người sử dụng. Hoạt động của người quản trị hệ thống mạng phải đảm bảo các thông tin trênmạng là tin cậy và sử dụng đúng mục đích, đối tượng đồng thời đảm bảo mạng hoạtđộng ổn định không bị tấn công bởi những kẻ phá hoại. Nhưng trên thực tế là không một mạng nào đảm bảo là an toàn tuyệt đối, một hệthống dù được bảo vệ chắc chắn đến mức nào thì cũng có lúc bị vô hiệu hóa bởi nhữngkẻ có ý đồ xấu. 1.2.2. Một số khái niệm và lịch sử bảo mật hệ thống a. Đối tượng tấn công mạng (intruder) Đối tượng là những cá nhân hoặc tổ chức sử dụng những kiến thức về mạng vàcác công cụ phá hoại (gồm phần cứng hoặc phần mềm) để dò tìm các điểm yếu và cáclỗ hổng bảo mật trên hệ thống, thực hiện các hoạt động xâm nhập và chiếm đoạt tàinguyên trái phép. Một số đối tượng tấn công mạng như: Hacker: là những kẻ xâm nhập vào mạng trái phép bằng cách sử dụng các côngcụ phá mật khẩu hoặc khai thác các điểm yếu của thành phần truy nhập trên hệ thống Masquerader: Là những kẻ giả mạo thông tin trên mạng như giả mạo địa chỉ IP,tên miền, định danh người dùng… 6
  8. 8. Giải pháp xác thực người dùng Lê Thị Thùy Lương Eavesdropping: Là những đối tượng nghe trộm thông tin trên mạng, sử dụngcác công cụ Sniffer, sau đó dùng các công cụ phân tích và debug để lấy được cácthông tin có giá trị. Những đối tượng tấn công mạng có thể nhằm nhiều mục đích khác nhau như ăncắp các thông tin có giá trị về kinh tế, phá hoại hệ thống mạng có chủ định, hoặc có thểđó là những hành động vô ý thức… b. Các lỗ hổng bảo mật Các lỗ hổng bảo mật là những điểm yếu trên hệ thống hoặc ẩn chứa trong mộtdịch vụ mà dựa vào đó kẻ tấn công có thể xâm nhập trái phép vào hệ thống để thựchiện những hành động phá hoại chiếm đoạt tài nguyên bất hợp pháp. Có nhiều nguyên nhân gây ra những lỗ hổng bảo mật: có thể do lỗi của bản thânhệ thống, hoặc phần mềm cung cấp hoặc người quản trị yếu kém không hiểu sâu vềcác dịch vụ cung cấp… Mức độ ảnh hưởng của các lỗ hổng tới hệ thống là khác nhau. Có lỗ hổng chỉảnh hưởng tới chất lượng dịch vụ cung cấp, có lỗ hổng ảnh hưởng tới toàn bộ hệ thốnghoặc phá hủy hệ thống. c. Chính sách bảo mật Chính sách bảo mật là tập hợp các quy tắc áp dụng cho những người tham giaquản trị mạng, có sử dụng các tài nguyên và các dịch vụ mạng. Đối với từng trường hợp phải có chính sách bảo mật khác nhau. Chính sách bảomật giúp người sử dụng biết trách nhiệm của mình trong việc bảo vệ các tài nguyêntrên mạng, đồng thời còn giúp cho nhà quản trị mạng thiết lập các biện pháp đảm bảohữu hiệu trong quá trình trang bị, cấu hình và kiểm soát hoạt động của hệ thống vàmạng. 1.3. Các kiến thức cơ bản về xác thực người dùng Khi người sử dụng muốn truy nhập vào một hệ thống máy tính, thông thường,người sử dụng cần cung cấp các thông tin nhận dạng cho máy tính. Khi nhận được cácthông tin ấy, máy tính kiểm tra xem người sử dụng có quyền truy nhập vào hệ thốngkhông. Đây cũng là một nguyên tắc cơ bản được áp dụng cho một người khi muốn traođổi thông tin với người khác: Trước tiên cần phải xác định người tham gia trao đổithông tin có đúng là người muốn trao đổi không. Do đó cần phải có một phương thức 7
  9. 9. Giải pháp xác thực người dùng Lê Thị Thùy Lươngđể cung cấp đặc điểm nhận dạng nhằm đảm bảo người trao đổi thông tin là hợp lệ. Quátrình này được gọi là xác thực người sử dụng. Trên thế giới cũng như ở Việt Nam, vấn đề xác thực người dùng đang đượcquan tâm và đã có nhiều giải pháp được sử dụng và nghiên cứu. Có rất nhiều cách đểxác thực: người sử dụng có thể cung cấp các thông tin mà chỉ có người đó mới biết: vídụ mật khẩu, mã số cá nhân,… hoặc người đó có thể cung cấp các thông tin riêng khácnhư số chứng minh thư, thẻ từ, thẻ thông minh… Trong đó, mỗi giải pháp lại có nhữngưu điểm và nhược điểm riêng khác nhau. 1.3.1. Khái niệm về xác thực người dùng Xác thực người dùng là một quá trình qua đó hệ thống có thể xác minh rằngmột ai đó thực sự là họ. Quá trình xác thực sẽ xác định xem một người có phải làngười được sử dụng hệ thống không. Nó thường đi kèm với quá trình xác định quyềnhạn của người đó trong hệ thống. 1.3.2. Các giải pháp xác thực người dùng phổ biến a. Giải pháp sử dụng tên và mật khẩu Mô tả Đây là giải pháp truyền thống hay được sử dụng nhất, là giải pháp sử dụng tàikhoản của hệ thống. Mỗi tài khoản bao gồm tên truy nhập (uername) và mật khẩu(password). Tên truy nhập dùng để phân biệt các người dùng khác nhau (thường là duynhất trong hệ thống), còn mật khẩu để xác thực lại người sử dụng tên đó có đúng làngười dùng thật sự không. Mật khẩu thường do người sở hữu tên truy nhập tương ứngđặt và được giữ bí mật chỉ có người đó biết. Khi người dùng muốn đăng nhập và sử dụng tài nguyên hệ thống thì phải đăngnhập bằng cách nhập tên và mật khẩu của mình. Trước hết, hệ thống sẽ đối chiếu têntruy nhập của người dùng đưa vào với cơ sở dữ liệu tên người dùng, nếu tồn tại tênngười dùng như vậy thì hệ thống tiếp tục đối chiếu mật khẩu được đưa vào tương ứngvới tên truy nhập trong cơ sở dữ liệu. Qua 2 lần đối chiếu nếu thỏa mãn thì người đăngnhập là người dùng hợp lệ của hệ thống. Ưu điềm Thiết kế và sử dụng đơn giản, tốn ít tài nguyên. Hệ thống chỉ gồm một cơ sở dữliệu người dùng với 2 thông tin chủ yếu là tên truy nhập và mật khẩu. Tương ứng với 8
  10. 10. Giải pháp xác thực người dùng Lê Thị Thùy Lươngmỗi tên truy nhập là quyền sử dụng của người đó trong hệ thống. Do đó các thông tinnày không chiếm nhiều tài nguyên. Người dùng dễ hiểu và dễ sử dụng. Chi phí để thực hiện giải pháp này là rẻ so với các giải pháp khác. Nó khôngphụ thuộc vào các thiết bị phần cứng mà chỉ dựa trên phần mềm. Giải pháp này có khảnăng làm việc trên mọi hệ điều hành. Do đó, việc thực hiện giải pháp này khá dễ dàngvà không tốn kém. Nhược điểm Giải pháp này có nhược điểm lớn nhất là không có được sự bảo mật cao. Vìngười dùng thường có tên đăng nhập nhiều người dùng có. Mặt khác, người dùngthường chọn mật khẩu dễ nhớ hoặc không cẩn thận khi gõ mật khẩu, do vậy dễ bị tấncông. Kẻ tấn công có nhiều phương pháp để đạt được mật khẩu như thâm nhập vào hệthống đọc file mật khẩu, dự đoán mật khẩu, vét cạn các từ trong từ điển để tìm mậtkhẩu, hoặc có thể lừa người dùng để lộ mật khẩu. Một số biện pháp để tăng thêm tính bảo mật cho giải pháp này: Đặt mật khẩu phức tạp: mật khẩu phải chứa tối thiểu 6 ký tự, không trùng vớitên đăng nhập, chứa các loại ký tự là chữ cái, chữ số, ký tự đặc biệt. Nếu đặt như vậythì kẻ muốn tấn công cũng sẽ rất khó đoán được mật khẩu. Thay đổi mật khẩu: quy định sau một thời gian nhất định mật khẩu sẽ khôngcòn tác dụng đối với hệ thống và người dùng phải đặt lại mật khẩu khác. Mật khẩu sẽđược thay đổi nên khả năng kiểm soát tình trạng an toàn của mật khẩu cao hơn. Mã hóa thông tin: Trong môi trường làm việc là mạng, những nhà thiết kếthường dùng biện pháp mã hóa thông tin đăng nhập từ một máy khách nào đó trướckhi chúng được gửi đi tới máy chủ của hệ thống. Do đó, khả năng bị mất cắp mật khẩusẽ giảm đi rất nhiều khi kẻ xấu bắt gói tin đăng nhập trên đường truyền. Hiện nay, giải pháp mật khẩu sử dụng một lần (one-time password) được sửdụng rất nhiều trong các ứng dụng. Các mật khẩu trong danh sách chỉ có thể sử dụngmột lần duy nhất mà không thể sử dụng lại trong những lần đăng nhập sau. Có 2 cáchđể hệ thống mật khẩu sử dụng một lần có thể làm việc là: Danh sách các mật khẩu được tạo ra một cách ngẫu nhiên bởi hệ thống và đượcsao làm 2 bản, một bản cho người dùng và một bản cho hệ thống. Danh sách mật khẩu được tạo ra theo yêu cầu của người sử dụng và được hệthống công nhận. 9
  11. 11. Giải pháp xác thực người dùng Lê Thị Thùy Lương Quá trình thực hiện: Sử dụng thuật toán MD4 (hiện nay là MD5) từ một giá trịcho trước (do người dùng hoặc do máy ngẫu nhiên tạo ra) để tạo ra khóa đầu tiên, tiếptục áp dụng thuật toán MD4 cho khóa đầu tiên để được khóa thứ 2 …và cứ áp dụngliên tục thuật toán MD4 để sinh ra các khóa nối tiếp nhau. Khi xác thực người dùng, hệthống phải biết một trong các khóa (khóa thứ n) , nó sẽ hỏi người dùng khóa trước đó(khóa thứ n-1). Nếu người dùng nhập đúng khóa n-1 thì hệ thống sẽ cho người dùngđăng nhập và ghi lại khóa n-1 vào bộ nhớ. Đến lần đăng nhập sau, hệ thống sẽ hỏingười dùng khóa thứ n-2 … Khi dùng thuật toán MD4 để sinh ra kết quả thì từ kết quả hầu như không thểsuy ngược lại giá trị đầu vào nên hệ thống không thể tìm ra được khóa thứ n-1 là gì,mặc dù khi biết cả khóa thứ n. Tuy nhiên, theo cách này kẻ xấu vẫn có thể tấn công. Nếu người dùng tự thiếtlập giá trị đầu vào để xây dựng hệ thống khóa thì rất có thể nó sẽ được đoán ra theocác cách giống như khi đoán các mật khẩu thông thường. Đối với những từ đoán được,kẻ tấn công sẽ áp dụng thuật toán MD4 để sinh ra các khóa và sẽ thử hết các khóa nàycho đến khi tìm được khóa người dùng đang sử dụng. Còn trong trường hợp hệ thốngsẽ tự sinh ra giá trị ban đầu và một lượng mật khẩu đủ dùng trong một thời gian nàođó, người dùng sẽ có một danh sách các mật khẩu được đánh thứ tự. Về phía ngườidùng, họ sẽ không thích phải dùng nhiều mật khẩu. Điều này gây phiền toái cho ngườidùng và khả năng bị mất cắp danh sách khóa là rất cao. Ngoài ra, kẻ tấn công còn cóthể dùng phương pháp bắt gói tin đăng nhập của người dùng để lấy mật khẩu. Ứng dụng Giải pháp này đã và đang được sử dụng rất nhiều trong các ứng dụng. Nó đượcứng dụng trên một máy tính và đặc biệt được ứng dụng cả trên mạng. Kể cả các cơquan, tổ chức không có điều kiện kinh tế để có thể trang bị cho hệ thống mạng củamình các đường truyền tốc độ cao thì vẫn có thể sử dụng giải pháp này. Bởi vì, thôngtin truyền và lưu trữ chỉ bao gồm tên đăng nhập và mật khẩu. Dung lượng truyền đitrên đường truyền nhỏ nên dù đường truyền có băng thông không lớn thì thông tin nàycũng được truyền đi trong một khoảng thời gian chấp nhận được. Các ứng dụng tiêu biểu hiện nay đang sử dụng giải pháp xác thực bằng mậtkhẩu như: Hệ điều hành (Windows, Unix…), các dịch vụ thư điện tử, thương mại điệntử… 10
  12. 12. Giải pháp xác thực người dùng Lê Thị Thùy Lương b. Giải pháp dùng thẻ thông minh Mô tả Thẻ thông minh (smart cart) là một thẻ plastic có kích cỡ như thẻ tín dụng đượctrang bị một vi mạch dùng để chứa bộ nhớ và một mạch xử lý với hệ điều hành đểkiểm soát bộ nhớ. Nó có thể lưu trữ dữ liệu về thông tin cá nhân, tiền hoặc một số thông tin khácmà sự thay đổi của chúng cần được kiểm soát chặt chẽ. Ngoài ra, nó có thể lưu trữ cáckhóa mã hóa để người dùng có thể nhận dạng qua mạng, chữ ký điện tử … Đặc biệt,hiện nay thẻ thông minh có hỗ trợ chứng nhận số. Nó mã hóa dữ liệu và kiểm tra tínhhợp lệ của các giao dịch qua mạng. Đây là một giải pháp rất hiệu quả và linh động chocác vấn đề về xác thực người dùng. Hiện nay, các cơ quan tổ chức dùng thẻ rầt nhiều. Đầu tiên, những thông tin cầnthiết cho việc nhận dạng các nhân viên trong cơ quan, tổ chức sẽ được lưu vào bộ nhớcủa thẻ. Sau đó, nó được cung cấp cho các nhân viên tương ứng với các thông tin đó.Mỗi cơ quan, tổ chức khác nhau sẽ có các yêu cầu về thông tin xác thực khác nhaunhưng thường là các thông tin như tên truy nhập, mật khẩu và một số thông tin cá nhânkhác. Trong hệ thống thông tin đòi hỏi phải có xác thực người dùng, nhân viên trongtổ chức chỉ cần đưa thẻ vào thiết bị đọc thẻ và nhập vào một mã số bí mật nào đó đểxác nhận với hệ thống là chính họ là người sở hữu chiếc thẻ đó. Khi đã nhập đúng mãnày, thiết bị đọc thẻ sẽ đọc các thông tin nhận dạng được ghi trong thẻ và chuyển cácthông tin này đến hệ thống, sau đó hệ thống sẽ kiểm tra chúng với cơ sở dữ liệu ngườidùng. Ưu điểm Nhờ vào kiến trúc vật lý và logic của thẻ mà đã giảm được rất nhiều các nguycơ gây mất an toàn thông tin. Mọi hoạt động của thẻ đều được kiểm soát bởi hệ điềuhành nên các thông tin cần giữ bí mật sẽ không thể lấy ra được từ thẻ. Các thông tinbên trong thẻ không thể bị kẻ xấu lấy cắp như các thông tin được lưu trữ trong cácphần mềm hệ quản trị cơ sở dữ liệu thông thường. Các khóa bí mật dùng cho chữ ký điện tử và nhận dạng đều được lưu trữ bêntrong thẻ. Nhà sản xuất thẻ cũng như người sở hữu thẻ đều không thể biết được cáckhóa này. Vì vậy, chúng không thể bị lấy cắp hay bị sao chép. 11
  13. 13. Giải pháp xác thực người dùng Lê Thị Thùy Lương Mỗi chiếc thẻ đều có số nhận dạng PIN để tránh việc đánh cắp và bị kẻ xấu sửdụng. Trước khi sử dụng thẻ, người dùng phải nhập vào số PIN của thẻ. Cơ chế quảnlý số PIN của thẻ cũng rất an toàn bởi vì số PIN gần như không thể đoán ra được. Mặtkhác, thẻ quy định số lần nhập tối đa, nếu số lần nhập không chính xác liên tục đếncon số quy định thì thẻ sẽ tự động khóa. Muốn mở khóa thì người dùng phải nhập vàomột số dùng để mở khóa của thẻ. Tương tự, nếu nhập không chính xác liên tiếp đếnmột số nào đó thẻ sẽ bị khóa vĩnh viễn và không thể sử dụng lại nữa. Như vậy, việc sửdụng thẻ là rất an toàn và thuận tiện. Giờ đây người dùng thay vì phải nhớ nhiều số màchỉ phải nhớ một số, còn các thông tin nhận dạng đều ở trong thẻ. Trong trường hợpthẻ bị mất cắp, kẻ lấy cắp cũng không thể sử dụng được thẻ vì không có số PIN. Nhược điểm Tuy giải pháp này đã hạn chế được sự mất cắp thẻ bằng cách kết hợp thẻ vớimột số PIN nhưng vẫn có thể bị đánh cắp cả thẻ và cả số PIN. Vẫn bắt người dùngphải nhớ số PIN và phải thêm một chiếc thẻ mới có thể thực hiện việc xác thực. Để áp dụng giải pháp này, các cơ quan phải trang bị thêm các thiết bị như thiếtbị đọc thẻ, thiết bị ghi, các phần mềm hỗ trợ …Số lượng và giá thành của các thiết bịnày không phải là nhỏ, do đó khá là tốn kém. Các dịch vụ hỗ trợ phổ biến cho việc xác thực bằng thẻ là chưa đầy đủ. Cácdịch vụ thư điện tử, các dịch vụ thương mại …cần đến xác thực trên Internet đều chưahỗ trợ xác thực bằng thẻ. Hiện nay, hầu như các nhà cung cấp giải pháp xác thực bằngthẻ đều phát triển các dịch vụ theo mô hình riêng của mình, sử dụng các thiết bị riêngchưa thống nhất, do đó khả năng liên hệ giữa các hệ thống hầu như không có. Ứng dụng Đây được coi là giải pháp tương đối hoàn chỉnh và được nhận định là có tiềmnăng lớn. Hiện nay, trên thế giới có rất nhiều công ty lớn đang phát triển những giảipháp xác thực hoàn thiện hơn về cả mức độ an toàn và khả năng linh động trong việcsử dụng thẻ. Có rất nhiều quốc gia đã sử dụng công nghệ này để làm chưng minh thư,thẻ rút tiền ngân hàng… Giải pháp này ngày càng được sử dụng nhiều hơn do sự pháttriển về khoa học công nghệ, giá thành của thẻ cũng như của các thiết bị có liên quangiảm đi rất nhiều trong thời gian vừa qua. Tổ chức chuẩn hóa quốc tế ISO đã và đangđưa ra những tiêu chuẩn thống nhất trong việc xây dựng và phát triển thẻ. 12
  14. 14. Giải pháp xác thực người dùng Lê Thị Thùy Lương c. Giải pháp xác thực sử dụng các kỹ thuật sinh trắc học Mô tả Tuy giải pháp xác thực sử dụng thẻ thông minh khá an toàn và linh hoạt nhưngtrong những lĩnh vực quan trọng cần sự an toàn chặt chẽ như ngân hàng, quân sự …đòi hỏi phải có giải pháp khác an toàn hơn. Và các nhà nghiên cứu đã đưa ra giải phápxác thực sử dụng các kỹ thuật sinh trắc học để giải quyết những vấn đề đó. Giải pháp này dựa vào một số bộ phận của con người như dấu vân tay, hìnhdạng lòng bàn tay, mắt, giọng nói…Đây là những đặc điểm đặc trưng mà không củangười nào hoàn toàn giống của người nào. Để xác thực trong máy tính, chúng ta phảisố hóa và lưu trữ các đặc điểm này vào một cơ sở dữ liệu. Ngoài ra còn phải có cácthiết bị để ghi nhận các thông tin và chuyển về để đối chiếu với cơ sở dữ liệu đã cótrong hệ thống. Ở phía máy khách, người dùng sử dụng một thiết bị đầu cuối có hỗ trợ biểumẫu dùng cho việc đăng nhập vào hệ thống hoặc trong môi trường Internet thì sử dụngtrình duyệt để mở trang đăng nhập. Người dùng sẽ phải điền vào biểu mẫu mật khẩu hay một thông tin nhận dạngtương tự và cung cấp mẫu sinh trắc học như dấu vân tay, hình dạng lòng bàn tay, mắt,giọng nói, chữ ký …thông qua các thiết bị nhận dạng được tích hợp trong đó. Sau đó,các thông tin này sẽ được chuyển về trung tâm xác thực của hệ thống để kiểm tra.Trung tâm sẽ phân tích mẫu thu được và đối chiếu xem mẫu tương ứng với mật khẩuđược lưu trong cơ sở dữ liệu có trùng hay không, nếu trùng thì người dùng đăng nhậplà hợp lệ. Và hệ thống sẽ đưa ra các quyền hạn, tài nguyên phù hợp cho người sử dụng. Ưu điểm Người dùng hầu như không thể thay đổi được đặc điểm các bộ phận như dấuvân tay, mắt …để dùng trong xác thực. Người dùng cũng không thể đưa những đặc điểm này cho người khác sử dụngnhư thẻ hay mật khẩu được. Các đặc điểm sinh trắc học này thì không thể bị mất cắp. Ngày nay với trình độkhoa học công nghệ phát triển, việc nhận biết các thông tin sinh trắc học đã có thểphân biệt được thông tin sinh trắc học của người sống và của người chết. Nhược điểm 13
  15. 15. Giải pháp xác thực người dùng Lê Thị Thùy Lương Khi mà các dữ liệu sinh trắc học khó có sự thay đổi như dấu vân tay, mắt đượcsử dụng trong các ứng dụng khác nhau thì rất dễ bị đánh cắp. Trên thế giới vẫn chưa có một chuẩn chung nào cho việc số hóa các mẫu sinhtrắc học. Mặt khác, các nhà sản xuất khác nhau cung cấp các thiết bị xác thực mẫu sinhtrắc học theo các chuẩn khác nhau không có sự thống nhất. Do đó, việc trang bị hệthống xác thực này không có tính linh động cao. Có một số thông tin có thể bị thay đổi vì nhiều lý do. Ví dụ: Dấu vân tay bị thayđối do bị chấn thương, giọng nói bị méo do bị viêm họng …Do đó, việc xác thực đúngcác thông tin này thường rất thấp. Ở nhiều nơi việc đưa giải pháp này vào các ứng dụng trên Internet là khôngthực tế. Các thông tin xác thực sinh trắc học thường khá lớn trong khi băng thôngđường truyền không phải ở đâu cũng đủ rộng. Dẫn đến kết quả phản hồi lại rất chậm. Ứng dụng Đây là một giải pháp có mức độ an toàn cao nhất và được đánh giá là có khảnăng phát triển rộng rãi. Khoa học công nghệ ngày càng phát triển hiện đại sẽ làm tăngthêm sự an toàn, tính tiện lợi và giảm giá thành của các thiết bị liên quan đến. Một số hãng phần mềm lớn đã hỗ trợ giải pháp xác thực bằng sinh trắc học nhưhãng Microsoft với các phiên bản hệ điều hành Windows NT, Windows 2000… NướcAnh cũng đã bắt đầu nghiên cứu và đưa vào triển khai kế hoạch sử dụng các thông tinsinh trắc học trong công việc quản lý như các thẻ dịch vụ, chứng minh thư … 1.3.3. Các giao thức xác thực Dịch vụ xác thực đặc biệt quan trọng trong việc đảm bảo cho một hệ thống hoạtđộng an toàn. Một hệ thống thường phải xác thực một thực thể trước khi tiến hànhtruyền thông với thực thể đó. Nhận dạng của thực thể sau đó được sử dụng để xác địnhquyền truy cập hay để thực hiện chống chối bỏ. Trong giao thức xác thực, hai bênthường đồng ý chia sẻ một bí mật để đảm bảo tính toàn vẹn và tính bí mật. Các kỹ thuật xác thực thường dựa trên ba mô hình: bạn-có-cái-gì-đó, bạn-biết-cái-gì-đó và bạn-là-cái-gì-đó. Trong mô hình xác thực bạn-biết-cái-gì-đó, người sửdụng đưa ra tri thức về một cái gì đó ví dụ như password hoặc một số định danh cánhân. Trong hướng tiếp cận bạn-có-cái-gì-đó, người sử dụng chứng minh sự chiếmhữu một vật gì đó ví dụ như một khóa vật lý, một dấu hiệu, một card tự nhận dạnghoặc một khóa bí mật được lưu trữ trên smart card. Mô hình bạn-là-cái-gì-đấy dựa trên 14
  16. 16. Giải pháp xác thực người dùng Lê Thị Thùy Lươngmột đặc điểm không thể thay đổi của người sử dụng như giọng nói, dấu vân tay hayvõng mạc. Vì các kỹ thuật này không cung cấp đủ sự đảm bảo về nhận dạng nếu được sửdụng đơn lẻ, nên các hệ thống kết hợp cả ba mô hình có thể được sử dụng. Các hệthống này yêu cầu người sử dụng đưa ra hơn một loại bằng chứng để chứng minh nhậndạng của mình. Ví dụ như một máy ATM (Asynchronous Transfer Mode) yêu cầu mộtngười chứng minh cả tri thức về số nhận dạng cá nhân và sự sở hữu một card để truycập được đến account của mình. Hệ thống xác thực có thể thực hiện các giao thức xác thực phức tạp với các thiếtbị kiểm tra nhận dạng của người sử dụng. Các giao thức này có thể sử dụng các thaotác mã hóa phức tạp và sử dụng các khóa mã hóa dài để ngăn cản nhiều loại tấn côngtruyền thống. Sau đây là một số giao thức xác thực phổ biến: Giao thức thử thách và trả lời: Giao thức thử thách và trả lời cho phép ngườitruy nhập tự xác thực mình với hệ thống bằng cách chứng minh hiểu biết của mình vềgiá trị mật mã bí mật mà không yêu cầu người truy nhập tiết lộ bí mật. Hệ thống xácthực đưa ra cho người truy nhập một số được tạo ra một cách ngẫu nhiên được gọi làthử thách. Người truy nhập nhập số thử thách và giá trị mật để hàm mật mã tính ra câutrả lời. Hệ thống xác thực nét nhận dạng của người truy nhập nếu câu trả lời là giá trịmong đợi. Bởi vì thử thách là một số ngẫu nhiên, giao thức thử thách – trả lời cung cấpmột lá chắn có hiệu quả chống lại sự tấn công lặp lại. Giao thức xác thực không tiết lộ bí mật: cho phép người sử dụng tự xác thựcvới một hệ thống bằng cách chứng minh tri thức về một giá trị bí mật mà không yêucầu người sử dụng tiết lộ bí mật. Hệ thống xác thực gửi cho người sử dụng một số bấtkỳ. Người sử dụng sử dụng giá trị bất kỳ đó và bí mật để tính toán một giá trị trả lời.Hệ thống xác nhận nhận dạng của người sử dụng nếu giá trị trả lời đúng. Giao thức biến đổi mật khẩu: một người sử dụng xử lý mật khẩu của mìnhthông qua một hàm băm và gửi kết quả cho hệ thống xác thực. Hệ thống so sánh giá trịbăm với giá trị băm đúng mà nó lưu trữ, người sử dụng sẽ được xác thực nếu hai giá trịnày giống nhau. Nếu hệ thống lưu trữ mật khẩu thay vì lưu trữ các giá trị băm của nó,nó phải tính toán giá trị băm trước khi thực hiện so sánh. Các giao thức này ngăn chặnviệc ăn cắp mật khẩu trên đường truyền nhưng lại dễ bị đánh lừa bởi các cuộc tấn cônglặp lại. Giao thức sử dụng mật khẩu một lần: là cải tiến của phương pháp biến đổimật khẩu để chống lại các cuộc tấn công lặp lại. Giao thức này yêu cầu người sử dụng 15
  17. 17. Giải pháp xác thực người dùng Lê Thị Thùy Lươngvà hệ thống xác thực chia sẻ một số bí mật nhỏ n. Người sử dụng băm mật khẩu củamình n lần để tạo ra mật khẩu sử dụng một lần và gửi nó tới hệ thống, trong khi đó hệthống cũng thực hiện băm giá trị mật khẩu của người sử dụng mà nó lưu trữ n lần và sẽxác thực người sử dụng nếu hai giá trị này trùng nhau. Các cuộc tấn công lặp lại khôngthể thực hiện được bởi mật khẩu lần sau không xác định được từ mật khẩu của lần truynhập trước. Giao thức sử dụng chứng chỉ số: là một dạng khác của giao thức xác thựckhông tiết lộ bí mật trong đó giá trị mã hóa bí mật là một khóa riêng và hệ thống xácthực sử dụng khóa công khai tương ứng để kiểm tra trả lời. 1.3.4. Nhận xét Giải pháp xác thực sử dụng tên và mật khẩu là giải pháp truyền thống được sửdụng phổ biến nhất hiện nay. Nó có hiệu quả, đơn giản, nhanh gọn và giá thành thấp.Song, giải pháp này còn tồn tại khá nhiều bất cập, nguy cơ bị đánh cắp cao. Khi ứngdụng trên Internet, các thông tin này cũng rất dễ bị lấy cắp trong quá trình truyền thôngtin đi. Hiện nay, để hạn chế các nhược điểm này, có nhiều cơ chế bảo mật được sửdụng như mật khẩu dùng một lần. Giải pháp xác thực sử dụng thẻ đã hạn chế một số nhược điểm của giải phápdùng tên và mật khẩu. Các thông tin cần thiết của người dùng được lưu trữ ngay trênthẻ. Các thẻ hầu như đều yêu cầu người sử dụng phải nhập vào một số nhận dạng PINlàm tăng thêm mức độ an toàn. Đây là giải pháp khá hoàn chỉnh và an toàn nhưng chiphí cho việc áp dụng giải pháp này lại cao. Các nước phát triển trên thế giới sử dụngnhiều. Giải pháp xác thực sử dụng kỹ thuật trong sinh trắc học cung cấp một cơ chếđặc biệt an toàn. Người dùng sẽ được xác thực thông qua những gì của chính mình.Nhưng việc áp dụng giải pháp này trong các ứng dụng trên Internet là không khả quanvì đường truyền băng thông không đủ lớn so với lượng thông tin cần truyền. Mặt khác,giải pháp này đòi hỏi phải có các trang thiết bị với công nghệ cao và hiện đại nên việcáp dụng giải pháp này còn gặp nhiều khó khăn. Hiện nay, trên thế giới để nâng cao tính an toàn, một số nhà sản xuất đã cungcấp những giải pháp kết hợp các giải pháp khác nhau. Tuy nhiên, nó đòi hỏi các trangthiết bị hiện đại và giá thành rất cao. Và thực tế hiện nay, sự kết hợp này chưa được sửdụng nhiều. 16
  18. 18. Giải pháp xác thực người dùng Lê Thị Thùy Lương Chương 2: MẠNG KHÔNG DÂY VÀ CÁC CHÍNH SÁCH BẢO MẬT Mạng không dây là một công nghệ sử dụng sóng điện từ để truyền tin. Hiệnnay mạng không dây được ứng dụng trong rất nhiều thiết bị, đặc biệt là các thiết bịcầm tay ví dụ như: Pocket PC, điện thoại di động thế hệ mới … Mục đích chính củacông nghệ không dây là cung cấp cho người sử dụng khả năng truy cập thông tin ở bấtcứ đâu và tại bất kì thời điểm nào với các thiết bị có vị trí liên tục thay đổi. 2.1. Giới thiệu chung về mạng không dây Ngày nay sự phát triển công nghệ đã diễn ra với một tốc độ chóng mặt, khôngthể đoán trước. Công nghệ Internet cũng không nằm ngoài xu hướng đó, chỉ cách đâymột thời gian ngắn khi các modem 56Kbps đang còn phổ biến và được nhiều ngườichấp nhận, nhưng đến nay với công nghệ DSL thì người dùng có thể truy cập Internettốc độ cao ngay tại chính nhà mình với đường kết nối có thể lên tới 6Mbps. Chưa baogiờ người dùng có thể truy nhập miễn phí rất nhiều thông tin một cách nhanh chóng vàthuận tiện. Con người có thể ngồi nhà và tìm kiếm trao đổi thông tin với tốc độ tải dữliệu lên tới hàng megabit. Nhưng thực sự thì chi phí cho DSL là không rẻ, điều đó làmcho nó không phải là một giải pháp tối ưu đối với người dùng. Với sự phát triển mạnhmẽ của các thiết bị cầm tay và các thiết bị hỗ trợ không dây đã đưa đến một công nghệmới chính là công nghệ mạng không dây, dùng sóng điện từ để thực hiện các giao thứctruyền tin không cần qua dây hoặc cáp nối. Giao tiếp qua mạng không dây hiện nayđược cung cấp rất dễ dàng, giá rẻ, dịch vụ mạng băng thông rộng. Cùng với các thiếtbị hỗ trợ như là bluetooth, mạng không dây đang được áp dụng rộng rãi, đặc biệt vớicác thiết bị cầm tay như là: mobile, PDA, pocketPC, … Công nghệ không dây - đúng với tên gọi của nó - là công nghệ cho phép mộthoặc nhiều thiết bị giao tiếp được với nhau mà không cần những kết nối vật lí hay nóicách khác là kết nối mà không cần đến cable mạng. Công nghệ không dây sử dụngsóng radio trong khi các công nghệ truyền thống sử dụng các loại cable làm phươngtiện truyền dữ liệu. Phạm vị của công nghệ không dây là rất lớn, kể từ những hệ thốngmạng trên diện rộng và phức tạp như mạng WLAN, mạng điện thoại di động cho tớinhững hệ thống, thiết bị cực kì đơn giản như tai nghe, micro không dây và một loạt cácthiết bị không có nhiệm vụ lưu trữ và xử lí thông tin khác. Nó cũng bao gồm các thiếtbị hồng ngoại như các loại điều khiển từ xa, một số loại chuột và bàn phím không dâyvà tai nghe stereo không dây, các thiết bị loại này đều cần một không gian không bị 17
  19. 19. Giải pháp xác thực người dùng Lê Thị Thùy Lươngchắn giữa hai thiết bị truyền và nhận tín hiệu để đóng đường kết nối. Mục đích chínhcủa công nghệ không dây là cung cấp cho người sử dụng khả năng truy cập thông tin ởbất cứ đâu và tại bất kì thời điểm nào với các thiết bị có vị trí liên tục thay đổi. Tronglĩnh vực phát triển ứng dụng cho công nghệ không dây, điều đầu tiên phải nhắc tớichính là các ứng dụng phục vụ cho việc đàm thoại bằng các thiết bị điện thoại di động.Nhưng ngày nay, với sự phát triển liên tục của các thiết bị di động, nền tảng mạng diđộng và cả nhu cầu của người sử dụng, lĩnh vực phát triển ứng dụng cho công nghệkhông dây đã được mở ra nhiều hướng đầy tiềm năng như truy cập Internet, truy cậptới các tài nguyên đa phương tiện và các trò chơi . 2.2. Lịch sử phát triển và sự phát triển của mạng không dây 2.2.1. Lịch sử phát triển của mạng không dây Sau đây là những thông tin cơ bản dẫn đến sự ra đời của hệ thống truyền thôngkhông dây hiện nay: Năm 1928: Lần đầu tiên John Baird đã sử dụng bộ biến điệu biên độ trong côngnghệ không dây để thu phát tín hiệu Tivi qua thái bình dương. Năm 1933: Amstrong phát minh ra bộ biến điệu tần số Năm 1958: Hệ thống mạng không dây đầu tiên ở Đức ra đời, đó là hệ thống A-Netz, theo công nghệ tương tự sử dụng tần số 160MHz. Đến năm 1971 mức độ phủsóng đạt 80% diện tích lãnh thổ, phục vụ hơn 11.000 khách hàng. Năm 1982: Hệ thống mới ra đời, sử dụng dải tần 900MHz, cho phép truyền âmthanh và dữ liệu, đó là hệ thống GSM (Groupe Speciale Mobile) (sau này thuật ngữnày viết tắt cho Global System for Mobile communication). Năm 1983: Mỹ đưa ra hệ thống AMPS và đến năm 1989 hệ thống này đượcphát triển thành hệ thống điện thoại di động tương tự làm việc ở dải tần 850 MHz. Đầu năm 1990: Đánh dấu sự khởi đầu của hệ thống kỹ thuật số hoàn chỉnh.Năm 1991, cơ quan Tiêu chuẩn truyền thông Châu Âu ETSI phát triển chuẩn DECTcho hệ thống điện thoại không dây kỹ thuật số, làm việc ở dải tần 1880-1900 MHz vớiphạm vi liên lạc 100-500m, gồm 120 kênh khác nhau, có thể chuyển tải được 2Mbit/s.Hệ thống có khả năng hỗ trợ 10.000 người sử dụng trên 1 km² và sau đó đã được sửdụng ở hơn 40 nước. Năm 1991: GSM được chuẩn hoá, phiên bản đầu tiên của GSM được gọi là hệthống toàn cầu cho truyền thông di động, hoạt động ở tần số 900MHz, sử dụng 124 18
  20. 20. Giải pháp xác thực người dùng Lê Thị Thùy Lươngkênh song công. GSM có thể cung cấp dịch vụ trên phạm vi quốc tế, tự động định vịnhững dịch vụ, nhận dạng, mã hoá, nhắn tin ngắn với 160 ký tự, fax. Hiện nay, trên thếgiới có khoảng 130 nước sử dụng các hệ thống truyền thông theo chuẩn GSM. Năm 1996: Chuẩn ESTI được chuẩn hoá thành HYPERLAN (HighPerformance Radio Local Area Network) hoạt động ở tần số 5.2GHz, băng thôngđường truyền lên tới 23,5Mbit/s. Năm 1997: Chuẩn IEEE 802.11 ra đời, hoạt động ở dải tần 2,4 GHz và băngthông 2Mbit/s (có thể nâng lên 10Mbit/s) Năm 1998: Đánh dấu sự bắt đầu của truyền thông di động bằng việc sử dụng vệtinh với hệ thống Iridium. Hệ thống này bao gồm 66 vệ tinh quay quanh trái đất ở tầngthấp và sử dụng dải tần 1.6GHz cho việc kết nối với điện thoại di động . 2.2.2. Sự phát triển của mạng không dây Mạng không dây có tuổi đời còn rẩt trẻ, tuy nhiên trên thể giới đã có tới hàngtriệu người sử dụng Web phone và các thiết bị cầm tay không dây để truy cập Internet.Các quốc gia và các tập đoàn đa quốc gia đang nỗ lực rất lớn để thiết lập một cơ sở hạtầng không dây vững chắc. Để thấy được sự phát triển của mạng không dây chúng tasẽ so sánh mạng không dây và mạng có dây và các ứng dụng của chúng với nhau. Hình 1. Mạng không dây có dây và các ứng dụng của nó Mạng không dây bắt đầu phát triển vào năm 1990 nhưng mãi cho tới năm2000 nó mới thực sự phát triển. 19
  21. 21. Giải pháp xác thực người dùng Lê Thị Thùy Lương Công nghệ truy cập không dây thế hệ 2G truyền với tốc độ: từ 9,6 -> 19,2kbps, tốc độ này thấp hơn nhiều so với di-up Destop Pc kết nối Internet. Tuy nhiên, ởthế hệ 2.5G tốc độ này đã lên tới100 kbps, thế hệ 3G tốc độ đạt 2 -> 4Mbps. Với tốcđộ này cho phép kết nối không dây chạy nhanh hơn nhiều so với kết nối có dây và cácdịch vụ DSL. Hình vẽ trên cho thấy: ở thế hệ 2G, các thông điệp được truyền đi chủ yếudưới dạng tiếng nói và văn bản. Nhưng thế hệ 2.5G đặc biệt là 3G đã mở ra một cánhcửa mới cho nhiều ứng dụng không dây mới ví dụ như hội thảo qua mạng … Một so sánh nữa mà chúng tôi muốn đưa ra đó là: số lượng thuê bao(Subscrible) không dây và có dây truy cập Internet. Từ năm 2003 trở về trước sốlượng thuê bao có dây cao hơn nhiều so với không dây. Theo dự đoán của ôngEricson, thì đến năm 2006 số thuê bao không dây sẽ cao hơn nhiều. (Minh họa Hình 2) Hình 2: Truy cập internet di động 2.2.3. Các thế hệ phát triển của mạng không dây Các thế hệ phát triển của mạng không dây được phân chia dựa vào công nghệtruy cập không dây(Wireless Access Technology). 1G. Hệ thống mạng không dây thế hệ thứ nhất ra đời vào cuối những năm 70đầu những năm 80. Hệ thống được xây dựng với mục đích duy nhất truyền tiếng nóidựa trên công nghệ FDMA. Với công nghệ này, mỗi người gọi sẽ có một kênh tần sốriêng . 2G. Thế hệ thứ 2 ra đời vào cuối những năm 80 đầu những năm 90. Hệ thốngđã được số hóa, chất lượng đường truyền được cải thiện đáng kể, dung lượng hệ thống 20
  22. 22. Giải pháp xác thực người dùng Lê Thị Thùy Lươngtăng lên, phạm vi của khu vực phủ sóng tăng lên. Công nghệ đa truy nhập chính đượcsử dụng cho thế hệ 2G đó là TDMA và CDMA. 3G. Thế hệ 3G là thế hệ của tiếng nói kỹ thuật số và dữ liệu. Hệ thống có thểtruyền được tiếng nói, dữ liệu , hình ảnh, audio và video. Công nghệ sử dụng chính làW-CDMA and CDMA 2000. W-CDMA(Wideband CDMA): có băng thông 5MHz,cùng hoạt động với GSM, có thể chuyển giao với cell của GSM, thúc đẩy bởi UMTS(Universal Mobile Telecommunication System) của châu Âu. CDMA 2000: được đưara bởi Qualcomm của US, băng thông 5MHz, không cùng hoạt động với GSM, khôngthể chuyển giao với cell của GSM. 2.5G. Băng thông 100 kbps, lớn hơn nhiều so với thế hệ 2G nhưng thấp hơnnhiều so với thế hệ 3G. 4G. Thế hệ 4G gắn liền với sự phát triển của mạng LAN không dây. 2.3. Công nghệ phổ biến của mạng không dây 2.3.1. Công nghệ TDMA Hệ thống sử dụng TDMA hoạt động theo kênh tần số, trong đó các caller sửdụng chế độ chia sẻ thời gian theo kênh tấn số này, mỗi caller sẽ sử dụng một khe thờigian trong cả chuỗi khe thời gian. Ưu điểm của hệ thống TDMA: tăng hiệu quả truyền dữ liệu. Công nghệTDMA phân chia người sử dụng theo thời gian vì vậy đảm bảo cho các sự truyềnthông diễn ra đồng thời không gây ra xung đột. Bên cạnh đó, một nhược điểm của TDMA là mỗi một caller có một khe thờigian được định nghĩa trước, kết quả là khi mà một caller đang đi lang thang từ khốinày sang khối khác thì tất cả khe thời gian của khối tiếp theo đã bị chiếm dữ, vì vậy cóthể bị ngừng kết nối. 2.3.2. Công nghệ GSM GSM(Group Special Mobile hoặc Global System for Mobile Communication)Công nghệ này trước kia phát triển chủ yếu ở Châu Âu và Mĩ. Tuy nhiên, ngày nayGSM đã phổ biến ở nhiều nước trên thế giới. Hệ thống triển khai GSM là DECT(digital enhanced cordless telephony), dùng chuẩn IS – 136 và iDEN(integrated DigitalEnhanced Network). 21
  23. 23. Giải pháp xác thực người dùng Lê Thị Thùy Lương 2.3.3. Công nghệ CDMA CDMA và GSM thuộc thế hệ 2G. Công nghệ CDMA hoạt động ở dải tần1.25MHz, được đặc tả trong chuẩn IS – 95. CDMA cho sử dụng toàn bộ phổ tần số, cókhả năng đồng bộ người dùng tuy nhiên mức độ điện năng của toàn bộ người dùngphải như nhau, tại trạm cơ sở biết mọi người dùng. Tín hiệu truyền đi với chất lượngtốt, giao tiếp an toàn. Ngày nay có khá nhiều các chuẩn mobile phone đang được pháttriển dựa trên công nghệ CDMA. 2.3.4. Công nghệ WiFi Wifi - Wireless Fidelity là tên gọi mà các nhà sản xuất đặt cho một chuẩn kếtnối không dây (IEEE 802.11), công nghệ sử dụng sóng radio để thiết lập hệ thống kếtnối mạng không dây. Công nghệ WiFi cho phép kết nối Internet vô tuyến với tốc độcực nhanh, có thể sử dụng trong vòng bán kính từ vài chục mét trở lên. Bằng cách thiếtlập nhiều điểm truy cập hay còn gọi là “điểm nóng” (hot spots). Đây là công nghệmạng được thương mại hóa tiên tiến nhất thế giới hiện nay. Một mạng Internet khôngdây Wifi thường gồm ba bộ phận cơ bản: điểm truy cập (Access Point); card giao tiếpmạng (Network Interface Card - NIC); và bộ phận thu phát, kết nối thông tin tại cácnút mạng gọi là Wireless CPE (Customer Premier Equipment). Trong đó, Access Pointđóng vai trò trung tâm của toàn mạng, là điểm phát và thu sóng, trao đổi thông tin vớitất cả các máy trạm trong mạng, cho phép duy trì kết nối hoặc ngăn chặn các máy trạmtham gia vào mạng. Một Access Point có thể cho phép tới hàng nghìn máy tính trongvùng phủ sóng truy cập mạng cùng lúc. Đến nay, Viện Kỹ thuật điện và Điện tử của Mỹ (Institute of Electrical andElectronic Engineers - IEEE) đã phát triển ba chỉ tiêu kỹ thuật cho mạng LAN khôngdây gồm: chuẩn 802.11a ở tần số 5,lGHz, tốc độ 54Mbps; chuẩn 802.11b ở tần số 2,4GHz, tốc độ 11 Mbps; và chuẩn 802.11g ở tần số 2,4GHz, tốc độ 54Mbps. Các ứngdụng mạng LAN, hệ điều hành hoặc giao thức mạng, bao gồm cả TCP/IP, có thể chạytrên mạng không dây WLAN (Wireless Local Area Network) tương thích chuẩn802.11 dễ dàng mà không cần tới hệ thống cáp dẫn lằng nhằng. Wifi đặc biệt thích hợp cho nhu cầu sử dụng di động và các điểm truy cậpđông người dùng. Nó cho phép người sử dụng truy cập mạng giống như khi sử dụngcông nghệ mạng máy tính truyền thống tại bất cứ thời điểm nào trong vùng phủ sóng.Thêm vào đó, Wifi có độ linh hoạt và khả năng phát triển mạng lớn do không bị ảnhhưởng bởi việc thay đổi lại vị trí, thiết kế lại mang máy tính. Cũng vì là mạng không 22
  24. 24. Giải pháp xác thực người dùng Lê Thị Thùy Lươngdây nên Wifi khắc phục được những hạn chế về đường cáp vật lý, giảm được nhiều chiphí triển khai thi công dây mạng và không phải tác động nhiều tới cơ sở hạ tầng. 2.3.5. Công Nghệ WiMax WiMax cũng tương tự như WiFi. Cả hai đều tạo ra các điểm nóng truy nhập,tức là vùng xung quanh một ăngten trung tâm để mọi người có thể chia sẻ thông tin vàtruy nhập Internet chỉ bằng một chiếc laptop đã cài đặt. Trong khi Wi-Fi chỉ bao phủtrong vùng rộng vài trăm feet (1 feet = 0,3048m), WiMax có thể bao phủ vùng rộng 25đến 30 dặm. Như vậy, WiMax có thể được dùng để thay thế cả các công nghệ băngthông rộng truyền thống, sử dụng đường điện thoại cố định và dây cáp. Công nghệWiMax sử dụng băng tần 10 MHz hứa hẹn tốc độ truyền 30 Mb/giây trong phạm vi 1km ở khu vực đông dân và 5 km ở vùng hẻo lánh. WiMax sử dụng chuẩn OFDM(Phân chia tần số trực giao) với khả năng tiêu thụ năng lượng thấp hơn WiFi. OFDMcó thể thu hẹp băng thông khi kết nối mạng và chỉ áp dụng tốc độ cao nhất trong quátrình truyền thông tin. Khi gói dữ liệu đã tới nơi, hệ thống chuyển sang chế độ khônghoạt động trong khi WiFi không thể thực hiện được điều này."Wimax là tiềm năng lớncho công nghệ mạng di động thế hệ 4 (4G)". 2.3.6. Công nghệ GPRS GPRS đã được nhắc đến nhiều trong khoảng 3-4 năm trở lại đây. GPRS(General Packet Radio Service) là công nghệ chuyển mạch gói được phát triển trênnền tảng công nghệ thông tin di động toàn cầu (GSM: Global System for Mobile) sửdụng đa truy nhập phân chia theo thời gian (TDMA: Time Division Multiple Access).Với công nghệ GPRS, tốc độ đường truyền có thể đạt tới 150 Kbp/s, gấp tới 15 lầnđường truyền hiện nay (GSM mới chỉ đạt tốc độ 9,6kbp/s). Người sử dụng có thể truycập Internet từ điện thoại di động có tính năng WAP để gửi tin nhắn hình ảnh và âmthanh; chia sẻ các kênh truyền số liệu tốc độ cao và ứng dụng đa phương tiện; truyềnảnh, truyền dữ liệu tốc độ cao, thương mại điện tử... GPRS là bước quan trọng hộinhập tới các mạng thông tin thế hệ ba (3G). 2.4. Các chuẩn phổ biến của mạng không dây Chuẩn 802.1. Là chuẩn không dây đầu tiên được đưa ra trong “802 family”,được đề xuất bởi IEEE năm 1997, và định nghĩa ba công nghệ được sử dụng trongtầng vật lý: FHSS ở 2.4Ghz, DSSS ở 2.4 Ghz, và Infrared. Các mạng radio 802.11b và802.11g sử dụng DSSS có thể đạt được tốc độ truyền dữ liệu là 1 hoặc 2Mbps trongkhi có mạng radio sử dụng truyền thông FHSS và hồng ngoại không đạt được như vậy. 23
  25. 25. Giải pháp xác thực người dùng Lê Thị Thùy Lương Chuẩn 802.11a. Theo tài liệu có trên IEEE cả 802.11a và 802.11b đều đượcphê chuẩn vào 16/09/1999. Trước đó, 802.11a được biết đến như là sự chấm hết cho802.11b, như là nó không chỉ truyền dữ liệu nhanh hơn (lên tới 54Mbs) mà còn thựchiện ở một phổ hoàn toàn khác, 5Ghz UNII band. Nó sử dụng công nghệ mã hoá gọi làOFDM ( Orthogonal Frequency Division Multiplexing ). Với những hứa hẹn về tốc độthực thi cao hơn, không bị nhiễu với các thiết bị 2.4GHz, 802.11có vẻ đầy tiềm năngvà nó được đưa ra thị trường chậm hơn 802.11b. 802.11a cũng phải trải qua một sốvấn đề: tại cùng điều kiện mức năng lượng như nhau, các tín hiệu tại 5GHz chỉ đượctruyền đi với khoảng cách bằng một nửa so với các tín hiệu cùng loại ở 2.5Ghz, đâythực sự là rào cản công nghệ với các nhà thiết kế và thực thi. Kết quả là 802.11a khôngđược sử dụng rộng rãi như 802.11b cũng như giá thành vẫn ở mức cao dù giá thiết bịđã giảm xuống theo thời gian. Chuẩn 802.11b. Đây là chuẩn phố biến (được thừa nhận do thực tế sản xuất)trong một vài năm trở lại đây. Nó đem lại khả năng truyền cũng như thông lượngtruyền dữ liệu đáng nể (trong khi sóng radio có thể gửi frames với tốc độ có thể lên tới11Mbps, chi phí giao thức làm cho tốc độ dữ liệu chỉ khoảng 5 tới 6 Mbps ngang vớichuẩn Ethernet 10baseT). Nó sử dụng DSSS ở 2.4Ghz, và tự động lựa chọn tốc độ tốcđộ truyền dữ liệu tốt nhất (1, 2, 5.5, hoặc 11Mbps), phụ thuộc vào năng lượng tín hiệuhiện thời.. Ưu điểm lớn nhất của nó chính là tính phổ biến: hàng triệu các thiết bị802.11b đã được mang đến các vùng trên thế giới, giá cả của các thiết bị cũng tươngđối rẻ mà không chỉ có thế rât nhiều các máy tính xách tay cũng như các thiết bị cầmtay bây giờ đã được kèm theo với khả năng kết nối dựa trên chuẩn 802.11b. Chuẩn 802.11g. Sử dụng mã hóa OFDM của 802.11a ở dải tần 2.4Ghz, vàcũng hạ xuống tới DSSS để tương thích ngược với các sóng radio của 802.11b. Điềuđó có nghĩa là các tốc độ thuộc dòng 54Mbps theo lí thuyết có thể đạt được ở dải tần2.4Ghz, trong khi tất cả vẫn được giữ lại để tương thích với các thiết bị 802.11b đanghiện có. Điều đó thực sự rất hứa hẹn, các thiết bị được bán ra giờ đây có thể nâng cấpthành 802.11g thông qua nâng cấp các firmware, 802.11g thực sự sẽ hưa hẹn trở thànhcông nghệ chính phổ biến trong thời gian tới với sự khắc phục các nhước điểm về kĩthuật, giá cả, sự tương thích của 802.11a. Chuẩn 802.16. Được đưa ra vào năm 2001, 802.16 hứa hẹn sẽ khắc phụcđược tất cả các thiếu sót của những ứng dụng khoảng cách xa so với các chuẩn 802.11.Do họ gia đình chuẩn 802.11 chỉ áp dụng trong các mạng LAN, không được sử dụngtrong các khoảng cách xa nên 802.16 được thiết kế như một chuẩn cung cấp một cơ sở 24
  26. 26. Giải pháp xác thực người dùng Lê Thị Thùy Lươnghạ tầng cho mạng không dây cho các thành phố, với khoảng cách được tính bằng km.Nó sử dụng tần số từ 10 đến 66Ghz để cung cấp các dịch vụ thương mại chất lượng tớicác trạm, các toà nhà … Các thiết bị cho 802.16 đã có trên thị trường và giá cả sẽ tốthơn theo thời gian. Chuẩn 802.1x. Phương thức 802.1x không chỉ là phương thức của mạngkhông dây. Nó được mô tả như là một phương pháp cho xác thực cổng và có thể ápdụng cho bất kì mạng nào, cả không dây lẫn có dây. Chuẩn Bluetooth. Ngày nay, Bluetooth là chuẩn khá phổ biến của mạng AdHoc. Chuẩn Bluetooth là một đặc điểm kĩ thuật của tính toán và giao tiếp từ xa. ChuẩnBluetooth hoạt động ở băng thông radio 2.45GHz và hỗ trợ tốc độ truyền dữ liệu lêntới 720 kbps. Trong tương lai nó có thể hỗ trợ đồng thời ba kênh tiếng nói cùng diễn ramột lúc, nó có thể làm giảm xung đột bên trong của các thiết bị khác nhau hoạt động ởcùng một băng thông tần số. Chuẩn IEEE 802.15 dựa trên các đặc điểm của BluetoothVersion1.1. Các ứng dụng mạng của chuẩn Bluetooth bao gồm: sự đồng bộ hóa khôngdây, truy cập Internet, Intranet, e-mail bằng cách sử dụng kết nối máy tính cá nhân cụcbộ, có thể tính toán ẩn thông qua các ứng dụng tính toán tự động . 2.6. Công nghệ tấn công và cách phòng thủ 2.6.1. Phương pháp tấn công bằng Rogue Access Point Thuật ngữ “Rogue Access Point” là để chỉ những Access Point được triển khaitrái phép nhằm những mục đích xấu. Nhưng trên thực tế nó dùng để chỉ tất cả các thiếtbị được triển khai trái phép bất kể mục đích thực là gì. a. Các nhân viên triển khai Access Point trái phép Do sự tiện dụng của các thiết bị mạng không dây tại gia đình nên một vài nhânviên đã gắn những Access Point rẻ tiền vào mạng WLAN nội bộ. Chính những hànhđộng không cố ý này của người dùng đã vô tình tạo nên một lỗ hổng lớn có thể dẫn tớiviệc dò rỉ các thông tin quan trọng ra ngoài. Những Access Point rẻ tiền này có thểkhông tuân theo các thủ tục tiêu chuẩn triển khai do đó tạo nên nhiều vấn đề bảo mậttrong mạng không dây và có dây. Những vị khách bên trong tòa nhà và các hacker bênngoài tòa nhà có thể kết nối tới các Access Point này để ăn cắp băng thông, gửi nhìêunội dung xấu tới người khác, lấy các dữ liệu quan trọng, tấn công các tài sản của côngty, hoặc sử dụng mạng đó để tấn công các mạng khác. 25
  27. 27. Giải pháp xác thực người dùng Lê Thị Thùy Lương b. Các Access Point không được cấu hình đúng cách Thình thoảng một cái Access Point có thể bỗng nhiên trở thành một thiết bịthâm nhập trái phép chỉ bởi một lỗi cấu hình rất nhỏ. Thay đổi trong việc thiết lập xácđịnh dịch vụ, thiết lập xác nhận, thiết lập mã hóa …, có thể diễn ra nghiêm trọng bởi vìchúng có thể cho phép sự kết hợp trái phép nếu không được cấu hình đúng cách. Lấyví dụ, trong chế độ xác thực mở, bất cứ thiết bị không dây ở máy khách nào trongtrạng thái 1 (chưa được xác thực và chưa được liên kết) đều có thể gửi những yêu cầuxác thực tới một Access Point và nếu xác thực thành công thì có thể chuyển sang trạngthái 2 (được xác thực và chưa được liên kết). Nếu như một Access Point không xácđịnh đúng người dùng bởi những lối cấu hình thì kẻ tấn công có thể gửi rất nhiều yêucầu xác thực là tràn bảng chứa thông tin xác thực người dùng của Access Point, và làmcho nó không thể phục vụ được những người dùng hợp pháp khác. c. Rogue Access Point từ những mạng WLAN lân cận Những máy tính sử dụng chuẩn 802.11 ngày nay đều tự động chọn cái AccessPoint gần nhất và kết nối với chúng. Ví dụ, Window XP tự động kết nối tới liên kếtgần nhất có thể ở trong vùng lân cận. Chính bởi vì đặc tính này mà các máy tính củamột tổ chức có thể kết nối tới những Access Point của một tổ chức lân cận. Mặc dù làcác Access Point lân cận này không phải chủ ý muốn lôi kéo các máy tính đó, nhưngchính sự liên kết này có thể làm lộ các thông tin nhạy cảm. Trong mạng ad-hoc, cácthiết bị không dây có thể liên lạc trực tiếp giữa chúng mà không cần một thiết bị tạomạng LAN như là Access Point. Mặc dù các thiết bị này về bản chất có thể tự chia sẻdữ liệu tuy nhiên chúng có thể gây ra những đe dọa nguy hiểm cho cả tổ chức bởi vìchúng thiếu những biện pháp bảo mật cần thiết như là việc xác thực người dùng802.1x, và mã hóa khóa động. Kết quả là mạng ad-hoc có thể gây ra nhiều mối nguyhiểm cho dữ liệu (khi dữ liệu không được mã hóa). Thêm vào đó, việc xác thực ngườidùng yếu cũng có thể cho phép các thiết bị truy cập bất hợp pháp. Nếu như các thiết bịtrong mạng ad-hoc có kết nối với mạng có dây thì toàn bộ hệ thống mạng có dây đềubị đặt trong tình trạng nguy hiểm. d. Các Rogue Access Point không áp dụng đúng các chính sách bảo mật Các tổ chức có thể thiết lập các chính sách bảo mật lên trên các Access Pointtham gia truy nhập vào mạng không dây. Chính sách cơ bản nhất là dựa trên việc phânloại các địa chỉ MAC. Các tổ chức có thể cấu hình trước cho phép một loạt các địa chỉMAC hợp lệ và định danh của một số các thiết bị khác ngoài danh sách địa chỉ MAC 26
  28. 28. Giải pháp xác thực người dùng Lê Thị Thùy Lươngđể nhằm ngăn chặn việc xâm nhập trái phép của các thiết bi khác. Hoặc giả như một tổchức chỉ hoàn toàn dùng các Access Point của hãng Cisco thì một chiếc Access Pointcủa một hãng khác chắc chắn là chiếc không hợp lệ rồi. Một cách đơn giản, các tổchức có thể thiết lập hàng loạt các chính sách sử dụng SSID, loại sóng truyền thông, vàkênh. Bất cứ khi nào một chiếc Access Point bị phát hiện là không tuân theo các chínhsách đã được thiết lập trước này thì nó đều bị coi là Access Point trái phép. e. Các Rogue Access Point được điều khiển bới kẻ tấn công Các mạng LAN không dây phải chịu rất nhiều cuộc tấn công. Thêm vào đócác công cụ tấn công mã nguồn mở đã làm cho công việc của những kẻ tấn công dễdàng hơn. Những kẻ tấn công có thể cài đặt những Access Point với cùng chỉ số SSIDnhư những chiếc Access Point hợp lệ khác. Khi các máy tính nhận được tín hiệu mạnhhơn từ chiếc Access Point mà kẻ tấn công điều khiển thì chúng sẽ tự động kết nối vớichiếc Access Point đó. Sau đó thì kẻ tấn công có thể thực hiện một cuộc tấn công.Những kẻ tấn công sẽ điều khiển các máy tính truy cập vào Access Point bằng cách sửdụng một chiếc laptop dùng mạng không dây và một vài thiết bị khác, kẻ tấn công cóthể phá hoại thành công những dịch vụ không dây ở xung quanh đó. Phần lớn các cuộctấn công từ chối dịch vụ là đều nhằm vào việc làm cạn kiệt những tài nguyên củaAccess Point như là bảng chứa thông tin xác thực người dùng. Tóm lại, một rogue Access Point là một Access Point không đáng tin cậy hoặcchưa được xác định đang chạy trong hệ thống WLAN của bạn. Việc dò tìm các AccessPoint bất hợp pháp này là bước đầu tiên để phòng vệ cho hệ thống WLAN của bạn. 2.6.2. Tổng hợp các phương pháp tấn công khác a. Tấn công Duration Các thiết bị không dây có một bộ cảm biến để ưu tiên việc dùng sóng RF. Bộcảm biến này làm giảm khả năng 2 thiết bị cùng truyền phát một lúc. Những nút khôngdây dành quyền sử dụng kênh truyền sóng trong một khoảng thời gian nhất định quyđịnh trong gói tin. Thông thường một gói tin 802.11 có định dạng như sau: 27
  29. 29. Giải pháp xác thực người dùng Lê Thị Thùy Lương Giá trị Duration trong gói tin này là để chỉ khoảng chờ tính theo mini giây màkênh sẽ dành để phục vụ cho thiết bị truyền gói tin này tới. Véctơ định vị mạng sẽ lưugiữ thông tin về khoảng chờ này và định ra cho mỗi nút. Quy luật cơ bản nhất là bất cứnút nào cũng có thể truyền tin chỉ khi véctơ định vị mạng đang ở số 0 hay nói cáchkhác tức là không có nút nào đang chiếm giữ kênh tại thời điểm đó. Những kẻ tấncông đã lợi dụng đặc điểm này của véctơ định vị mạng. Một kẻ tấn công có thể gửimột gói tin với một giá trị khoảng đợi rất lớn. Điều này buộc cho tất cả các nút khác sẽphải đợi cho đến khi giá trị đó trở về 0. Nếu như kẻ tấn công thành công trong việc gửiliên tục nhìều gói tin với khoảng đợi lớn, thì nó sẽ ngăn cản các nút khác hoạt độngtrong một thời gian dài và do đó gây ra từ chối dịch vụ. Chương trình WiFi Manager có thể cảnh báo khi nó phát hiện ra những thôngsố thời gian Duration không bình thường được gửi đi. Các nhà quản trị mạng WLANngay lập tức phải phân tích xem thông số Duration đó là vô tình hay là cố ý được gửibởi kẻ tấn công. b. Tấn công tràn kết nối Tấn công tràn kết nối là một kiểu tấn công từ chối dịch vụ mà kẻ tấn công cốgắng lấp đầy bảng kết nối của Access Point bằng cách làm tràn Access Point bởi mộtloạt các thông tin yêu cầu kết nối giả. Theo chuẩn 802.11 thì chứng thực dùng khóachia sẻ gặp nhiều khiếm quyết và rất ít khi được sử dụng. Cách duy nhất là sử dụngchứng thực mở một thủ tục dựa trên sự chứng thực cao hơn từ 802.1x hoặc VPN.Chứng thực mở cho phép bất cứ máy khách nào được chứng thực sau đó kết nối. Mộtkẻ tấn công có thể làm tràn bảng kết nối của Access Point bằng cách tạo ra nhiều máykhách đạt tới trạng thái được chứng thực và được kết nối. Một khi bảng kết nối đã trànthì các máy khách khác sẽ không thể kết nối được với Access Point và lúc này tấncông từ chối dịch vụ đã thành công. Khi WiFi tìm kiếm các địa chỉ MAC giả và lần theo những hoạt động của802.1x và việc truyền dữ liệu sau khi một kết nối máy khách thành công để ngăn chặnkiểu tấn công từ chối dịch vụ này. c. Tấn công tràn phân tách Tấn công phân tách là một dạng của tấn công từ chối dịch vụ để buộc các máykhách luôn ở trạng thái được chứng thực nhưng chưa được kết nối bằng cách lừa gửinhững gói tin phân tách từ Access Point tới các máy khách. Cứ mỗi khi máy khách yêucầu dịch vụ kết nối thì kẻ tấn công lại gửi một gói tin phân tách đến cho máy khách 28
  30. 30. Giải pháp xác thực người dùng Lê Thị Thùy Lươnglàm cho máy khách không thể nào kết nối thành công được và không thể đạt đượctrạng thái được chứng thực và được kết nối. WiFi manager phát hiện ra kiểu tấn công từ chối dịch vụ này bằng cách dò tìmcác gói tin phân tách giả và lần theo tình trạng chứng thực và kết nối của các máykhách. Một khi được cảnh báo, các Access Point và máy khách bị tấn công sẽ bị pháthiện và người quản trị mạng WLAN có thể giải quyết vấn đề này. d. Tấn công ngăn cản chứng thực Tấn công ngăn cản chứng thực là một dạng của tấn công từ chối dịch vụ bằngcách cố tình tạo ra các gói tin chứng thực với các thông số sai (thông số dịch vụ chứngthực và mã trạng thái) từ các máy khách ở trạng thái được chứng thực và được kết nốiđến một Access Point. Khi nhận được các gói tin chứng thực sai này, Access Point sẽchuyển máy khách về trạng thái chưa được chứng thực và chưa được kết nối làmngưng kết nối đường truyền. Công cụ để thực hiện kiểu tấn công này gọi là Fata-jack –một phiên bản nâng cấp của Wlan-jack víêt bởi Mark Osbourne. WiFi manager sẽ phát hiện ra dạng tấn công từ chối dịch vụ này bằng cách quansát các địa chỉ MAC giả và các chứng thực thất bại. Những cảnh báo này cũng ám chỉcác nỗ lực xâm nhập vào hệ thống. Mỗi khi một thiết bị không dây thất bại nhiều lầntrong việc chứng thực với một Access Point thì WiFi manager sẽ đưa ra một lời cảnhbáo về việc có một kẻ tấn công tiềm tàng đang cố gắng chọc thủng hệ thống bảo mật.Chú ý rằng những cảnh báo này chỉ chú trọng và phương thức chứng thực 802.11 (Hệthống mở và chia sẻ khóa). Chứng thực 802.1x và EAP sẽ dựa trên những cảnh báocủa WiFi manager khác. e. Tấn công tràn chứng thực Tấn công tràn chứng thực là một kiểu tấn công từ chối dịch vụ nhằm mục đíchlàm tràn ngập bảng lưu trữ dữ liệu truy cập của Access Point bằng cách dùng nhiềumáy khách gửi rất nhiều yêu cầu chứng thực tới Access Point. Bảng lưu dữ liệu truycập của Access Point là nơi mà Access Point lưu trữ thông tin về tình trạng máy kháchvà nó có kích cỡ giới hạn phụ thuộc vào bộ nhớ vật lý. Mỗi khi nhận được một yêu cầu chứng thực thì Access Point đều tạo ra mộtbảng lưu lại đầu vào ở trạng thái chưa chứng thực và chưa kết nối trong bảng kết nối Khi bảng kết nối này đã bị đầy tràn, các máy khách khách sẽ không thể đượcchứng thực và kết nối với Access Point, do đó cuộc tấn công từ chối dịch vụ này đãthành công. 29
  31. 31. Giải pháp xác thực người dùng Lê Thị Thùy Lương WiFi manager sẽ phát hiện ra kiểu tấn công từ chối dịch vụ này bằng cách dòtìm các tình trạng chứng thực và kết nối trong bảng tình trạng máy khách. Một khi cócảnh báo thì Access Point và máy khách bị tấn công sẽ được phát hiện và người quảntrị mạng WLAN sẽ được báo. f. Tấn công tràn gây từ chối xác nhận Tấn công tràn gây ra từ chối xác thực là một dạng tấn công từ chối dịch vụnhằm mục đích đưa các máy khách tới trạng thái chưa chứng thực và chưa kết nốibằng cách giả truyền các gói tin từ chối xác thực tới địa chỉ unicast của máy khách.Với những sự bổ sung của các máy khách hiện nay thì dạng tấn công này là rất hiệuquả và ngay lập tức gây ra sự chia cắt giữa Access Point và máy khách. Điển hình, cácmáy khách sẽ phải chứng thực lại và kết nối lặp đi lặp lại đến dịch vụ cho đến khi nàokẻ tấn công gửi một gói tin từ chối xác thực khác. Kẻ tấn công sẽ sử dụng các gói tingiả từ chối xác thực này tới tất cả các máy khách trong dịch vụ. g. Tấn công tràn Access Point Access Point lưu trữ bảng thông tin tình trạng máy khách ở trong bảng liên kếtmáy khách. Mỗi khi bảng liên kết máy khách đạt tới mức cho phép của các máy kháchkết nối, Access Point sẽ bắt đầu từ chối các yêu cầu kết nối mới. Tình trạng này củaAccess Point gọi là tình trạng quá tải. WiFi manager sẽ từ chối các yêu cầu kết nối và cảnh bảo tới người quản trị.Một Access Point có thể bị quá tải vì một trong các lý do sau: Thực sự bị quá tải bởi lượng người truy cập quá đông: Các Access Point ởtrong các vùng có mật độ truy cập đông thường bị quá tải. Đây là chuyện hết sức bìnhthường. Việc này có thể được giải quyết bằng cách thêm nhiều Access Point nữa vàovùng đó. Kiểu tấn công từ chối dịch vụ sử dụng sự kết nối giả: Nếu như Access Pointkhông thực sự bị quá tải nhưng vẫn từ chối các máy khách thì nó chính là đã bị tấncông từ chối dịch vụ. Những kẻ tấn công sử dụng máy laptop có WiFi và các công cụmã nguồn mở để gây ra vấn đề này. Nếu có quá nhiều cảnh báo về tấn công từ chốidịch vụ vào một Access Point thì phải khoanh vùng và tìm kẻ tấn công để làm choAccess Point này hoạt động bình thường trở lại. 30
  32. 32. Giải pháp xác thực người dùng Lê Thị Thùy Lương 2.7. Chính sách bảo mật mạng không dây 2.7.1. Đánh giá về hệ thống bảo mật của WLAN Một mạng WLAN là cách hoàn hảo để chúng ta kết nối dữ liệu trong một tòanhà mà không cần phải thiết đặt hàng đống dây rợ trong văn phòng. Tuy nhiên đi kèmvới sự tiện lợi đó là rất nhiều vấn đề về an ninh đang còn tồn tại ở WLAN. Trong phầnlớn các mạng LAN, hệ thống dây nằm ở trong văn phòng, vì thế nếu muốn phá hoại thìtrước tiên kẻ tấn công phải đánh bại hệ thống phòng thủ vật lý. Tuy nhiên sóng radiotrong mạng không dây lại có thể đi xuyên ra ngòai tòa nhà làm gây nên rất nhiều nguyhiểm cho hệ thống mạng WLAN. Nói tóm lại hệ thống bảo mật của WLAN còn rất nhiều lỗ hổ và các nhà quảntrị mạng WLAN cần tuân theo các chính sách bảo mật nghiêm ngặt. 2.7.2. Chính sách bảo mật WLAN Với bất cứ mạng WLAN nào bạn cũng nên xem xét việc áp dụng các chínhsách này đối với những tài nguyên để tránh những kẻ xâm nhập bất hợp pháp. o Kích hoạt bảo vệ WEP ít thôi. Thực tế thì WEP rất yếu, nó không đủ để bảo vệ các thông tin quý giá ở trong mạng. Vấn đề của chuẩn 802.11b là nó không hỗ trợ việc thay đổi WEP động nên làm cho việc mã hóa yếu đi từng ngày. o Tận dụng các cơ chế trao đổi khóa tĩnh. Hiện nay với chuẩn 802.11i bạn có thể dùng cơ chế WiFi Protected Access để tăng cường khả năng an ninh cho mạng. o Đảm bảo rằng các card mạng và các phần cứng Access Point đều được cập nhật. Các nhà sản xuất thường xuyên đưa các bản patch mới để tăng cường khả năng bảo mật của các thiết bị này. o Đảm bảo rằng không có người lạ nào có thể reset Access Point. Đừng để Access Point ở nơi dễ dàng chạm tới nếu không thì bạn sẽ phải hối tiếc đó. o Hãy cấu hình Access Point đúng cách. Điều này là rất quan trọng nhưng nhiều khi các nhà quản trị quá chủ quan vì nó quá là đơn giản. o Hãy đặt các Password thật mạnh cho Access Point. Để đảm bảo rằng chỉ có admin mới có thể kiểm soát chiếc Access Point. o Đừng sử dụng các tên SSID mặc định. Đặt tên mặc định thì bạn dễ nhớ nhưng điều này cũng làm cho kẻ tấn công cảm thấy dễ dàng hơn. 31
  33. 33. Giải pháp xác thực người dùng Lê Thị Thùy Lương o Hãy hạn chết sóng radio lan ra bên ngoài. Việc này có thể khắc phục bằng cách điều chỉnh mức độ phát sóng của các Access Point để đảm bảo sóng chỉ ở trong tòa nhà. o Hãy cài đặt các tường lửa cá nhân. Sẽ khó hơn cho các hacker khi gặp phải tường lửa tốt. o Tận dụng hệ thống mạng ảo ở các máy khách để tăng cường khả năng bảo mật của WLAN. o Quan sát kỹ lưỡng khi có những tình huống khả nghi để có thể xử lý kịp thời. 32

×