Những khái niệm căn bản về an ninh mạng máy tính

0999_03F8_c2 NW98_US_407 đảm cho mạng hoạt động tho ả mãn hai mục tiêu cơ bản sau:  Bảo đảm điều kiện thuận lợi cho những người sử dụng hợp pháp trong quá trình khai thác và sử dụng tà

III Các mô hình kiểm soát truy cập

Nội dung trình bày (2)

VIII Các hạn chế và điểm yếu trong hệ

thống bảo mật

trọng của kiểm định và theo dõi hệ thống

Bảo mật thông tin

An toàn mạng là công tác bảo đảm sao cho mạng có thể hoạt động

trong các điều kiện môi trường khác nhau.

0999_03F8_c2

NW98_US_407

đảm cho mạng hoạt động tho ả mãn hai mục tiêu cơ bản sau:

 Bảo đảm điều kiện thuận lợi cho

những người sử dụng hợp pháp trong quá trình khai thác và sử dụng tài nguyên trên mạng;

Ngăn chặn có hiệu quả những kẻ truy cập và khai thác, phá hoạt các tài nguyên bất hợp pháp

0999_03F8_c2

NW98_US_407

Về bản chất nguy cơ các vi phạm bất hợp pháp

đ ợc chia làm hai loại: vi phạm thụ động và vi phạm chủ động Vi phạm thụ động đôi khi do vô tình hoặc không cố ý, còn vi phạm chủ động

có mục đích phá hoại rõ ràng và hậu quả khôn l ờng.

Ngày nay cỏc nguy c v an ninh trờn m ng ơ ề ạ cũn phỏt tri n lờn thành khỏi ni m chi n tranh ể ệ ế thụng tin trờn m ng, đ ạ ượ c đ u t cụng s c và ầ ư ứ

ti n b c ngày càng l n ề ạ ớ

3- TÝnh b¶o mËt Nh÷ng th«ng tin cã gi¸ trÞ vÒ kinh tÕ, qu©n sù, chÝnh s¸ch v.v cÇn ® îc gi÷ kÝn

0999_03F8_c2

NW98_US_407

II Mụ hỡnh an toàn và bảo mật

1 Mô hình phân lớp sao l u phục hồi tài nguyên

Có rất nhiều khả năng mất an toàn xảy ra với tài nguyên thông tin trên mạng: hỏng đĩa, mất

điện, quá tải, Làm cho hệ thống bị đình trệ hay không thể đáp ứng đ ợc nhu cầu của ng ời sử dụng Để đảm bảo hệ thống mạng có thể hoạt

động trong mọi tình huống cần phải thực hiện việc sao l u và phục hồi dữ liệu

 Giá trị tài nguyên Chi phí để có tài nguyên đó

 Chu kỳ cập nhật, thay đổi Tài nguyên đ ợc cập nhật thay đổi nhanh hoặc chậm

2 Một số giải pháp sao l u phục hồi tài nguyên .

Có rất nhiều giải pháp sao l u và phục hồi dữ liệu trên mạng:

 Chụp hình ổ đĩa Tạo ra các ổ đĩa g ơng th ờng xuyên chụp lại các dữ liệu trên ổ đia chính

 Các thiết bị sao l u chuyên dụng Tổ chức sao l u theo chu kỳ thời gian đối với từng lớp dữ liệu tự động hoặc thủ công.

 Dùng các công nghệ backup chuyên nghiệp Hiện nay các công ty, các hãng nổi tiếng trên thế giới đã xây dựng các giải pháp đồng bộ các thiết bị bao gồm cả phần cứng, phần mềm

Để bảo đảm an ninh mạng tốt, chúng ta phải l ờng tr

ớc hết mọi khả năng vi phạm có thể xảy ra Có hai loại vi phạm th ờng xảy ra là thụ động và bị động

Vi phạm thụ động đôi khi do vô tình hoặc không cố ý, còn vi phạm chủ động có mục đích phá hoại rõ ràng

và hậu quả khôn l ờng.

Data encryption - m· ho¸

Physical protection B¶o vÖ vËt lý

Fire wall - bøc t êng löa

0999_03F8_c2

NW98_US_407

1 Lớp quyền truy cập – Right Acces

Nhằm kiểm soát các tài nguyên thông tin của mạng

và quyền hạn sử dụng tài nguyên đó Việc kiểm soát càng chi tiết càng tốt

2 Lớp đăng nhập tên/mật khẩu Login Password

Nhằm kiểm soát quyền truy cập ở mức hệ thống Mỗi

ng ời sử dụng muốn vào đ ợc mạng để sử dụng tài nguyên đều phải đăng ký tên và mật khẩu Ng ời quản trị mạng có trách nhiệm quả lý, kiểm soát mọi hoạt động của mạng và xác định quyền truy nhập của ng ời sử dụng khác tuỳ theo không gian và thời gian

4 Lớp bảo vệ vật lý Physical Protection

Th ờng dùng các biện pháp truyền thống nh ngăn

cấm tuyệt đối ng ời không phận sự vào phòng đặt

máy mạng, quy định chặt chẽ các chế độ khai thác

và sử dụng mạng,

3 Lớp mã hoá thông tin Data Encryption.

Để bảo mật thông tin truyền trên mạng ng ời ta còn

sử dụng các ph ơng pháp mã hoá thông tin trên đ ờng

truyền Có hai ph ơng pháp cơ bản: mã hoá đối xứng

và bất đối xứng, ng ời ta đã xây dựng nhiều ph ơng

pháp mã hoá khác nhau

0999_03F8_c2

NW98_US_407

5 Lớp bảo vệ bức t ờng lửa

Để bảo vệ từ xa một mạng máy tính hoặc cho cả một mạng nội bộ ng ời ta dùng một hệ thống đặc biệt là bức t ờng lửa để ngăn chặn các thâm nhập trái phép, lọc bỏ các gói tin không cho gửi hoặc nhận từ trong ra ngoài hoặc ng ợc lại.

III Cỏc mụ hỡnh kiểm soỏt truy cập

1 Kiểm soát truy cập bắt buộc (Mandatory Access Control - MAC)

Tất cả các truy cập đều chịu sự kiểm soát bắt buộc bằng việc ghi lại nhật ký khai thác sử dụng không phụ thuộc vào ý muốn của ng ời sử dụng

1- Mô hình Clark-Winlson

Hai tác giả đ a ra mô hình này trong môi tr ờng th ơng mại điện tử cho hai đối t ợng cơ bản gồm tài khoản thanh toán và nhận tiền

0999_03F8_c2

NW98_US_407

-Để kiểm soát truy cập cần khởi tạo và phân phối

các địa chỉ một cách rõ ràng minh bạch Mô hình đ

ợc xây dựa trên hai nguyên tắc độc lập sau:

Có cấu trúc thực hiện tốt (Wel-formed transactions) Phân nhiệm rõ ràng (Separation of duties).

Với mỗi lần giao dịch, tài khoản thanh toán và nhận tiền đều cần thực hiện các trách nhiệm rõ ràng và minh bạch Mỗi bên phải tự bảo vệ quyền lợi của mình

0999_03F8_c2

NW98_US_407

-Mô hình này hỗ trợ rất tốt cho các mô hình MAC và

DAC đ ợc mô tả ở trên Mô hình xây dựng dựa trên hai nguyên tắc sau:

Mỗi ng ời sử dụng chỉ có quyền đọc các thông tin

có độ mật nhỏ hơn hoặc bằng quyền mà họ có.

Mỗi ng ời sử dụng chỉ có quyền ghi thông tin vào các file có độ mật lớn hơn hoặc bằng quyền mà họ

đ ợc phép.

Các chính sách dựa trên các luật sau:

*-property (Star property) Với đặc tính này ng ời dùng chỉ có thể ghi vào các files nếu độ mật của

đối t ợng lớn hơn hoặc bằng quyền mà ng ời dùng

có Đặc tính này cho phép dữ liệu có độ mật cao hơn bị thay đổi bởi ng ời dùng có quyền thấp hơn.

-Simple property Với đặc tính ng ời dùng chỉ có thể

đọc các file với độ mật t ơng ứng với quyền của họ Transquility property - đặc tính bình lặng Đặc tính này bảo đảm cho độ mật của đối t ợng không bị

thay đổi trong quá trình hoạt động của hệ thống máy tính.

0999_03F8_c2

NW98_US_407

3- Mô hình bảo đảm tính toàn vẹn Biba

Nh trên đã xét mô hình Bell La-Padula đảm bảo tính bảo mật nh ng ch a bảo đảm tính toàn vẹn của thông tin do ng ời dùng có thể ghi vào các dữ liệu có độ mật cao hơn Nh ng họ lại không đ ợc đọc các file đó.

Mô hình Biba thực hiện việc phân loại theo nhãn

đảm bảo tính toàn vẹn của file dữ liệu Chế độ bảo

đảm này chỉ thực hiện cho những đối t ợng có quyền cao đ ợc phép ghi và theo thứ tự u tiên của file.

V i xác th c m t chi u ng ớ ự ộ ề ườ i dùng truy c p t xa ậ ừ

đ ượ c xác th c qua password và username, ch Server ự ỉ

m i xác th c ng ớ ự ườ i dùng X ác thực hai chiều là cả server lẫn client đều thực hiện xác thực

0999_03F8_c2

và PAP (Password Authentication Protocol)

1- User authentication chuyển thông báo thách đố đến máy tính NAS

2- Máy NAS tính toán một giá trị theo theo thuật toán hàm Băm và gửi một thông báo MD5 (Message Digest 5) trả lại.

3- User authentication kiểm tra và xác nhận tương ứng giá trị mong muốn nếu đúng thì xác lập kết nối.

dữ liêêu truyền thông trên, mạng và cung cấp các dịch vụ xác nhâên mâêt khẩu cho các client truy xuất vào server

Kerberos thường được gọi là giao thức xác nhâên dựa vào thành phần thứ ba được ủy thác (trusted third-party authentication protocol), có nghĩa là nó chạy trong môêt máy tính tách rời với client hay server Máy tính này được gọi là

AS (authentication server)

0999_03F8_c2

NW98_US_407

Kerberos cung cấp an toàn cho viêêc đăng nhâêp

từ xa, và có giải pháp cho phép người dùng chỉ cần đăng nhâêp môêt lần cho các server cần truy câêp AS lưu trữ mâêt khẩu người dùng trong môêt cơ sở dữ liêêu trung tâm Nó cấp các ủy nhiêêm cho client dùng để truy xuất vào các server thuôêc phạm vi an toàn của môêt AS AS server được bảo vêê về măêt vâêt lý và được điều hành bởi môêt nhân viên quản trị duy nhất Nhờ

AS, các server ứng dụng được giảm bớt nhiêêm

vụ bảo mâêt Chúng “tin tưởng” vào các ủy nhiêêm do AS phát hành cho client.

Hệ thống mật khẩu một lần trong đó loại S/Key

là loại xác thực điển hình Hệ thống S/Key tạo

ra một cách tự động danh sách mật khẩu cho mỗi phiên làm việc của ng ời dùng.

Nh ợc điểm của ph ơng pháp này là khó quản trị danh sách mật khẩu cho một số l ợng lớn ng ời dùng.

4 S d ng Password m t l n ử ụ ộ ầ

A- Smart card và PC card

Card thông minh (Smart card) là thiết bị có kích th ớc giống

nh thẻ tín dụng bao gồm: 01 bộ vi xử lý và 01 bộ nhớ Để đọc các thông tin từ Smart card cần 01 đầu đọc Smart card có thể l u trữ một khoá riêng của từng ng ời dùng cùng với bất kỳ ứng dụng nào đ ợc gài đặt nhằm đơn giản hoá quá trình xác thực, đặc biệt đối với ng ời dùng di động Hiện nay xuất hiện một số SC gồm một bộ đồng xử lý mã hoá và giải mã, khi

đó việc mã và giải mã dễ dàng và nhanh chóng.

0999_03F8_c2

NW98_US_407

Các hệ thống chứng nhận điện tử đơn giản nhất yêu cầu ng

ời nhập vào số nhận diện cá nhân PIN để hoàn tất tiến trình xác thực Trong rất nhiều hệ thống ng ời ta kết hợp giữa PIN của SC và các thông tin về sinh trắc học của ng ời dùng nh vân tay Để dùng hệ thống này ng ời ta trang bị 1 máy quét vân tay, sau đó so sánh với dữ liệu đ ợc l u trên SC.

PC card là một bo mạch nhỏ đ ợc cắm vào slot mở rộng trên bo mạch chủ của máy tính Các PC card kém linh hoạt hơn nh ng có bộ nhớ lớn hơn SC nên có thể l u trữ l ợng thông tin xác thực lớn hơn.

0999_03F8_c2

Tr ớc khi ng ời dùng đ ợc xác thực, các thiết bị thẻ yêu cầu một PIN, sau đó sử dụng một trong ba cơ chế sau:

1- Cơ chế đáp ứng thách đố, máy chủ bảo mật phát

ra một con số ngẫu nhiên khi ng ời dùng đăng nhập vào mạng Một con số thách đố xuất hiện trên màn hình, ng ời dùng nhập vào số các số trong thẻ bài Thẻ bài mã hoá các con số thách đố này với mã khoá bí mật của nó và hiển thị lên màn hình LCD, sau đó ng ời dùng nhập kết quả này vào máy tính Trong khi đó, máy chủ mã hoá con số thách đố với cùng một khoá và nếu nh hai kết quả này phù hợp thì ng ời dùng sẽ đ ợc phép vào mạng

ời dùng bằng cách giải mã con số thẻ và so sánh kết quả.

3- Cơ chế đồng bộ sự kiện ở đây, một bộ đếm ghi lại số lần vào mạng của ng ời dùng Sau mỗi lần vào mạng, bộ đếm đ ợc cập nhật và một mã nhận dạng khác đ ợc tạo ra cho lần đăng nhập kế tiếp.

0999_03F8_c2

6- Xác th c đ ng b nhi ự ồ ộ ều s ki n ự ệ

SMTP (Simple Mail Transfer protocol) là giao thức dùng để kết nối, yêu cầu và gửi thư từ máy chủ Mail Server đến người nhận SMTP sử dụng giao thức TCP và cổng 25 để thực hiện các giao dịch SMTP là giao thức khá hiệu quả nhưng

nó tồn tại lỗ hổng bảo mật mà hacker có thể lợi dụng

POP3 (Post Office Protocol ver 3.0) là giao thức dùng để nhận thư.POP3 sử dụng giao thức TCP và cổng 110 để thực hiện.

0999_03F8_c2

NW98_US_407

Giao th c MIME ứ MIME (Multipurpose Internet Mail Extensions) là giao thức chuẩn hiện thị nội dung thông điệp thư điện tử giống như xử lý với hệ thống đối tác

E-Mail được hiện thị thông qua giao thức MIME giống như văn bản (Text) gốc, tuy nhiên nhu cầu hiện nay người ta muốn đưa vào thư điện tử cả hình ảnh, âm thanh và các dạng file khác không đơn giản là các file đính kèm Giao thức MIME cho phép một lần thay đổi để các chương trình đọc thư có thể mở rộng các dạng nội dung Điều này cho phép quan sát đa dạng hơn các kiểu dữ liệu khác như màu sắc âm thanh cùng các hiệu ứng khác nữa.

0999_03F8_c2

NW98_US_407

Giao th c S/MIME ứ S/MIME là giao thức MIME có bảo đảm an ninh cho thư điện tử.

S/MIME cho phộp bảo mật thư, cung cấp khả năng xỏc thực thư, bảo đảm tớnh toàn vẹn Không từ chối, có cơ chế bảo đảm tính riêng

t bằng ph ơng pháp mã hoá th

Sử dụng S/MIME là biện pháp cần thiết khi gửi th điện tử qua mạng Internet hoặc trong các mạng có độ an toàn không cao.

Công nghệ PGP (Pretty Good Privacy Topologies) PGP là công nghệ đ ợc Phil R Zimmerman khởi x ớng năm 1991, công nghệ này dựa trên thuật toán mã hoá công khai RSA

0999_03F8_c2

NW98_US_407

Diffie-Hellman

Public Key Exchange

Alice Secret Value, X X A Bob

X B

(Shared Secret)

Y B X A mod p = g mod p = Y X A X B Y A X B mod p

2 TÊn c«ng E-mail

điều này cần sử dụng các giao thức MIME

và công nghệ PGP.Các hình thức tấn công :

hộp th bởi nhiều phiên bản copy từ một thông điệp và gửi các thông điệp cho những ng ời nhận mà họ không mong muốn Đa số các Spam là các quảng cáo th

ơng mại cho các sản phẩm không rõ ràng, chi phí để thực hiện các Spam rẻ hơn rất nhiều so với chi phí quảng cáo thông th ờng

cá nhân nào đó quét hộp thư trên mạng hoặc tìm kiếm một địa chỉ Web, từ đó nhiều công ty sẽ gửi các thông điệp quảng cáo đến khách hàng và đối tác của mình

0999_03F8_c2

NW98_US_407

3 Hoaxes (ch ơ i kh m) ă

4 HTML, HTTP va HTTPS

0999_03F8_c2

NW98_US_407

HTTPS

5 Secure Sockets Layer (SSL) L p an ninh ớ socket

sẽ thương lượng về phương thức mã hoá

Có thể hiểu như sau Web Browse là client còn Website là server Trong SSL sử dụng các biện pháp an ninh sau:

- Bảo mật kết nối bằng PP mã hoá đối xứng (DES,RC4,…)

- Xác thực bằng PP mã hoá không đối xứng hoặc mã hoá công khai (RSA, DSS, )

- Kiểm tra tính toàn vẹn bằng thuật toán Băm (SHA, MD5,…)

SSL dựa trên các thành phần được bảo mật bởi mã hoá, chữ ký điện tử và chứng thực.

6 Transport Layer Security (TLS) L p v n ớ ậ chuy n an ninh ể

nhiên Pseudo với tính toán giá trị được mã hoá, còn SSL dựa vào thuật toán hàm băm là chủ yếu.

VI Nhận dạng và ngăn chặn hiểm hoạ

1 Virus Virus máy tính là một ch ơng trình có thể tự

động nhân bản và lây truyền từ máy tính này sang máy tính khác bất chấp sự cho phép của ng ời dùng Ch ơng trình nguồn Virus và các bản copy của nó có thể tự biến thể Virus chỉ có thể lây nhiễm từ máy này sang máy khác khi máy tính có giao tiếp với nguồn gây bệnh thông qua các ph

ơng thức trao đổi dữ liệu nh qua đĩa mềm, CD hoặc USB, đặc biệt trong tr ờng hợp trao đổi qua

hệ thống mạng

0999_03F8_c2

NW98_US_407

2 Con ngựa thành Troya (Trojan Horse) Trojan là một file xuất hiện một cách vô hại tr ớc khi thi hành Trái ng ợc với Virus Trojan không chèn các

đoạn mã lệnh vào các file khác Trojan th ờng đ ợc gắn vào các ch ơng trình trò chơi hoặc phần mềm miễn phí, vô th ởng vô phạt Khi một ứng dụng đ ợc thực thi thì Trojan cũng đồng thời thực hiện nhiệm

vụ của nó Nhiều máy tính cá nhân khi kết nối Internet là điều kiện thuận lợi để bị lây nhiễm Trojan Ngày nay Trojan đ ợc cài đặt nh là một bộ phận của phần mềm thâm nhập vào cửa sau của

hệ thống và từ đó phát hiện các lỗ hổng bảo mật.

0999_03F8_c2

NW98_US_407

3 Con sâu-Worm Con sâu Worm có thể lây nhiễm tự

động từ máy này sang máy khác không nhất thiết phải dịch chuyển nh là một bộ phận của host Worm là ch ơng trình có thể tự tái tạo thông qua giao dịch tìm kiếm các file đã bị lây nhiễm của hệ

điều hành Hiện nay Worm th ờng lây nhiễm qua đ ờng th điện tử, Worm tự động nhân bản và gửi đến các địa chỉ trong danh mục địa chỉ th của ng ời dùng Worm cũng có thể lây nhiễm thông qua việc download file, sự nguy hiểm của Worm là nó có thể làm vô hiệu hoá các ch ơng trình diệt virus và các biện pháp an ninh nh là việc ăn cắp mật khẩu,