giáo trình mạng wireless LAN

WLAN là một loại mạng máy tính nhưng việc kết nối giữa các thành phần trong mạng không sử dụng các loại cáp như một mạng thông thường, môi trường truyền thông của các thành phần trong mạ

I GIỚI THIỆU VỀ WIRELESS LAN(WLAN):

I.1 Wireless LAN là gì?

WLAN là một loại mạng máy tính nhưng việc kết nối giữa các thành phần trong mạng không sử dụng các loại cáp như một mạng thông thường, môi trường truyền thông của các thành phần trong mạng là không khí Các thành phần trong mạng sử dụng sóng điện từ để truyền thông với nhau

I.2 Lịch sử ra đời:

Công nghệ WLAN lần đầu tiên xuất hiện vào cuối năm 1990, khi những nhà sản xuất giới thiệu những sản phẩm hoạt động trong băng tần 900Mhz Những giải pháp này (không được thống nhất giữa các nhà sản xuất) cung cấp tốc độ truyền dữ liệu 1Mbps, thấp hơn nhiều so với tốc độ 10Mbps của hầu hết các mạng sử dụng cáp hiện thời

Năm 1992, những nhà sản xuất bắt đầu bán những sản phẩm WLAN sử dụng băng tần 2.4Ghz Mặc dầu những sản phẩm này đã có tốc độ truyền dữ liệu cao hơn nhưng chúng vẫn là những giải pháp riêng của mỗi nhà sản xuất không được công bố rộng rãi Sự cần thiết cho việc hoạt động thống nhất giữa các thiết bị ở những dãy tần số khác nhau dẫn đến một số tổ chức bắt đầu phát triển ra những chuẩn mạng không dây chung

Năm 1997, Institute of Electrical and Electronics Engineers(IEEE) đã phê chuẩn sự ra đời của chuẩn 802.11, và cũng được biết với tên gọi WIFI (Wireless Fidelity) cho các mạng WLAN Chuẩn 802.11 hỗ trợ ba phương pháp truyền tín hiệu, trong đó có bao gồm phương pháp truyền tín hiệu vô tuyến ở tần số 2.4Ghz

Năm 1999, IEEE thông qua hai sự bổ sung cho chuẩn 802.11 là các chuẩn 802.11a và 802.11b (định nghĩa ra những phương pháp truyền tín hiệu) Và những thiết bị WLAN dựa trên chuẩn 802.11b đã nhanh chóng trở thành công nghệ không dây vượt trội Các thiết bị WLAN 802.11b truyền phát ở tần số 2.4Ghz, cung cấp tốc độ truyền dữ liệu có thể lên tới 11Mbps IEEE 802.11b được tạo ra nhằm cung cấp những đặc điểm về tính hiệu dụng, thông lượng (throughput) và bảo mật để so sánh với mạng có dây

Năm 2003, IEEE công bố thêm một sự cải tiến là chuẩn 802.11g mà có thể truyền nhận thông tin ở cả hai dãy tần 2.4Ghz và 5Ghz và có thể nâng tốc độ truyền dữ liệu lên đến 54Mbps Thêm vào đó, những sản phẩm áp dụng 802.11g cũng có thể tương thích ngược với các thiết bị chuẩn 802.11b Hiện nay chuẩn 802.11g đã đạt đến tốc độ 108Mbps-300Mbps

II.CÁC MÔ HÌNH WLAN:

Mạng 802.11 linh hoạt về thiết kế, gồm 3 mô hình mạng sau:

· Mô hình mạng độc lập(IBSSs) hay còn gọi là mạng Ad hoc

· Mô hình mạng cơ sở (BSSs)

ht.destiny@gmail.com - ĐVT- ĐHKTCN - Thái Nguyên Sưu tầm

II.1 MÔ HÌNH MẠNG AD HOC(Independent Basic Service sets (BSSs) ):

Adhoc : wireless clients communicate directly with each other without the use of a wireless AP or a wired network

Ad hoc mode is also called peer-to-peer mode Wireless clients in ad hoc mode form an Independent Basic Service Set (IBSS), which is two or more wireless clients who communicate directly without the use of a wireless AP

Các nút di động(máy tính có hỗ trợ card mạng không dây) tập trung lại trong một không gian nhỏ để hình thành nên kết nối ngang cấp (peer-to-peer) giữa chúng Các nút di động có card mạng wireless là chúng có thể trao đổi thông tin trực tiếp với nhau , không cần phải quản trị mạng Vì các mạng ad-hoc này

có thể thực hiện nhanh và dễ dàng nên chúng thường được thiết lập mà không cần một công cụ hay kỹ năng đặc biệt nào vì vậy nó rất thích hợp để sử dụng trong các hội nghị thương mại hoặc trong các nhóm làm việc tạm thời Tuy nhiên chúng có thể có những nhược điểm về vùng phủ sóng bị giới hạn, mọi người

sử dụng đều phải nghe được lẫn nhau

II.2 MÔ HÌNH MẠNG CƠ SỞ (Basic service sets (BSSs) )

Bao gồm các điểm truy nhập AP (Access Point) gắn với mạng đường trục hữu tuyến và giao tiếp với các thiết bị di động trong vùng phủ sóng của một cell AP đóng vai trò điều khiển cell và điều khiển lưu lượng tới mạng Các thiết bị di động không giao tiếp trực tiếp với nhau mà giao tiếp với các AP.Các cell

có thể chồng lấn lên nhau khoảng 10-15 % cho phép các trạm di động có thể di chuyển mà không bị mất kết nối vô tuyến và cung cấp vùng phủ sóng với chi phí thấp nhất Các trạm di động sẽ chọn AP tốt nhất

để kết nối Một điểm truy nhập nằm ở trung tâm có thể điều khiển và phân phối truy nhập cho các nút tranh chấp, cung cấp truy nhập phù hợp với mạng đường trục, ấn định các địa chỉ và các mức ưu tiên, giám sát lưu lượng mạng, quản lý chuyển đi các gói và duy trì theo dõi cấu hình mạng Tuy nhiên giao thức đa truy nhập tập trung không cho phép các nút di động truyền trực tiếp tới nút khác nằm trong cùng vùng với điểm truy nhập như trong cấu hình mạng WLAN độc lập Trong trường hợp này, mỗi gói sẽ

phải được phát đi 2 lần (từ nút phát gốc và sau đó là điểm truy nhập) trước khi nó tới nút đích, quá trình này sẽ làm giảm hiệu quả truyền dẫn và tăng trễ truyền dẫn

II.3 MÔ HÌNH MẠNG MỞ RỘNG( Extended Service Set (ESSs))

A set of two or more wireless APs connected to the same wired network is known as an Extended Service Set (ESS)

An ESS is a single logical network segment (also known as a subnet), and is identified by its SSID Mạng 802.11 mở rộng phạm vi di động tới một phạm vi bất kì thông qua ESS Một ESSs là một tập hợp các BSSs nơi mà các Access Point giao tiếp với nhau để chuyển lưu lượng từ một BSS này đến một BSS khác để làm cho việc di chuyển dễ dàng của các trạm giữa các BSS, Access Point thực hiện việc giao tiếp thông qua hệ thống phân phối Hệ thống phân phối là một lớp mỏng trong mỗi Access Point mà nó xác định đích đến cho một lưu lượng được nhận từ một BSS Hệ thống phân phối được tiếp sóng trở lại một đích trong cùng một BSS, chuyển tiếp trên hệ thống phân phối tới một Access Point khác, hoặc gởi tới một mạng có dây tới đích không nằm trong ESS Các thông tin nhận bởi Access Point từ hệ thống phân phối được truyền tới BSS sẽ được nhận bởi trạm đích

ht.destiny@gmail.com - ĐVT- ĐHKTCN - Thái Nguyên Sưu tầm

II.4 Ưu điểm của WLAN:

Sự tiện lợi: Mạng không dây cũng như hệ thống mạng thông thường Nó cho phép người dùng truy xuất tài nguyên mạng ở bất kỳ nơi đâu trong khu vực được triển khai(nhà hay văn phòng) Với sự gia tăng

số người sử dụng máy tính xách tay(laptop), đó là một điều rất thuận lợi

Khả năng di động: Với sự phát triển của các mạng không dây công cộng, người dùng có thể truy cập Internet ở bất cứ đâu Chẳng hạn ở các quán Cafe, người dùng có thể truy cập Internet không dây miễn phí

Hiệu quả: Người dùng có thể duy trì kết nối mạng khi họ đi từ nơi này đến nơi khác

Triển khai: Việc thiết lập hệ thống mạng không dây ban đầu chỉ cần ít nhất 1 access point Với mạng dùng cáp, phải tốn thêm chi phí và có thể gặp khó khăn trong việc triển khai hệ thống cáp ở nhiều nơi trong tòa nhà

Khả năng mở rộng: Mạng không dây có thể đáp ứng tức thì khi gia tăng số lượng người dùng Với hệ thống mạng dùng cáp cần phải gắn thêm cáp

II.5 Nhược điểm của WLAN:

-Bảo mật: Môi trường kết nối không dây là không khí nên khả năng bị tấn công của người dùng là rất cao

-Phạm vi: Một mạng chuẩn 802.11g với các thiết bị chuẩn chỉ có thể hoạt động tốt trong phạm vi vài chục mét Nó phù hợp trong 1 căn nhà, nhưngvới một tòa nhà lớn thì không đáp ứng được nhu cầu Để đáp ứng cần phải mua thêm Repeater hay access point, dẫn đến chi phí gia tăng

Độ tin cậy: Vì sử dụng sóng vô tuyến để truyền thông nên việc bị nhiễu, tín hiệu bị giảm do tác động của các thiết bị khác(lò vi sóng,….) là không tránh khỏi Làm giảm đáng kể hiệu quả hoạt động của mạng

-Tốc độ: Tốc độ của mạng không dây (1- 125 Mbps) rất chậm so với mạng sử dụng cáp(100Mbps đến hàng Gbps)

Chương 2

CÁC THIẾT BỊ HẠ TẦNG MẠNG KHÔNG DÂY

I.Các thiết bị hạ tầng mạng không dây(WLAN)

I.1 Điểm truy cập: AP(access point)

Cung cấp cho các máy khách(client) một điểm truy cập vào mạng "Nơi mà các máy tính dùng wireless

có thể vào mạng nội bộ của công ty" AP là một thiết bị song công(Full duplex) có mức độ thông minh tương đương với một chuyển mạch Ethernet phức tạp(Switch)

I.2 Các chế độ hoạt động của AP:

AP có thể giao tiếp với các máy không dây, với mạng có dây truyền thống và với các AP khác Có 3 Mode hoạt động chính của AP:

-Chế độ gốc (Root mode): Root mode được sử dụng khi AP được kết nối với mạng backbone có dây thông qua giao diện có dây (thường là Ethernet) của nó Hầu hết các AP sẽ hỗ trợ các mode khác ngoài root mode, tuy nhiên root mode là cấu hình mặc định Khi một AP được kết nối với phân đoạn có dây thông qua cổng Ethernet của nó, nó sẽ được cấu hình để hoạt động trong root mode Khi ở trong root mode, các AP được kết nối với cùng một hệ thống phân phối có dây có thể nói chuyện được với nhau thông qua phân đoạn có dây Các client không dây có thể giao tiếp với các client không dây khác nằm trong những cell (ô tế bào, hay vùng phủ sóng của AP) khác nhau thông qua AP tương ứng mà chúng kết nối vào, sau đó các AP này sẽ giao tiếp với nhau thông qua phân đoạn có dây như ví dụ trong hình 2-3

ht.destiny@gmail.com - ĐVT- ĐHKTCN - Thái Nguyên Sưu tầm

Chế độ cầu nối(bridge Mode): Trong Bridge mode, AP hoạt động hoàn toàn giống với một cầu nối không dây AP sẽ trở thành một cầu nối không dây khi được cấu hình theo cách này Chỉ một số ít các AP trên thị trường có hỗ trợ chức năng Bridge, điều này sẽ làm cho thiết bị có giá cao hơn đáng kể Chúng ta

sẽ giải thích một cách ngắn gọn cầu nối không dây hoạt động như thế nào,

từ hình 4-3 Client không kết nối với cầu nối, nhưng thay vào đó, cầu nối được sử dụng để kết nối 2 hoặc nhiều đoạn mạng có dây lại với nhau bằng kết nối không dây

Chế độ lặp(repeater mode): AP có khả năng cung cấp một đường kết nối không dây upstream vào mạng có dây thay vì một kết nối có dây bình thường Một AP hoạt động như là một root AP và AP còn lại hoạt động như là một Repeater không dây AP trong repeater mode kết nối với các client như là một AP

và kết nối với upstream AP như là một client

ht.destiny@gmail.com - ĐVT- ĐHKTCN - Thái Nguyên Sưu tầm

I.3 Các thiết bị máy khách trong WLAN:

Là những thiết bị WLAN được các máy khách sử dụng để kết nối vào WLAN

I.3.a.Card PCI Wireless:

Là thành phần phổ biến nhất trong WLAN Dùng để kết nối các máy khách vào hệ thống mạng không dây Được cắm vào khe PCI trên máy tính Loại này được sử dụng phổ biến cho các máy tính để bàn(desktop) kết nối vào mạng không dây

I.3.b.Card PCMCIA Wireless:

Trước đây được sử dụng trong các máy tính xách tay(laptop) và cácthiết bị hỗ trợ cá nhân số PDA(Personal Digital Associasion) Hiện nay nhờ sự phát triển của công nghệ nên PCMCIA wireless ít được sử dụng vì máy tính xách tay và PDA,… đều được tích hợp sẵn Card Wireless bên trong thiết bị

I.3.c.Card USB Wireless:

Loại rất được ưu chuộng hiện nay dành cho các thiết bị kết nối vào mạng không dây vì tính năng di động và nhỏ gọn Có chức năng tương tự như Card PCI Wireless, nhưng hỗ trợ chuẩn cắm là USB (Universal ****** Bus) Có thể tháo lắp nhanh chóng (không cần phải cắm cố định như Card PCI Wireless) và hỗ trợ cắm khi máy tính đang hoạt động

ht.destiny@gmail.com - ĐVT- ĐHKTCN - Thái Nguyên Sưu tầm

BẢO MẬT MẠNG KHÔNG DÂY

I.Tại sao phải bảo mật mạng không dây(WLAN)

Để kết nối tới một mạng LAN hữu tuyến ta cần phải truy cập theo đường truyền bằng dây cáp, phải kết nối một PC vào một cổng mạng Với mạng không dây ta chỉ cần có máy của ta trong vùng sóng bao phủ của mạng không dây Điều khiển cho mạng có dây là đơn giản: đường truyền bằng cáp thông thường được đi trong các tòa nhà cao tầng và các port không sử dụng có thể làm cho nó disable bằng các ứng dụng quản lý Các mạng không dây (hay vô tuyến) sử dụng sóng vô tuyến xuyên qua vật liệu của các tòa nhà và như vậy sự bao phủ là không giới hạn ở bên trong một tòa nhà Sóng vô tuyến có thể xuất hiện trên đường phố, từ các trạm phát từ các mạng LAN này, và như vậy ai đó có thể truy cập nhờ thiết bị thích hợp Do đó mạng không dây của một công ty cũng có thể bị truy cập từ bên ngoài tòa nhà công ty của họ

Để cung cấp mức bảo mật tối thiểu cho mạng WLAN thì ta cần hai thành phần sau:

·Cách thức để xác định ai có quyền sử dụng WLAN - yêu cầu này được thỏa mãn bằng cơ chế xác thực( authentication)

·Một phương thức để cung cấp tính riêng tư cho các dữ liệu không dây – yêu cầu này được thỏa mãn bằng một thuật toán mã hóa ( encryption)

II.Bảo mật mạng không dây(WLAN)

Một WLAN gồm có 3 phần: Wireless Client, Access Points và Access Server

+ Wireless Client điển hình là một chiếc laptop với NIC (Network Interface Card) không dây được cài đặt để cho phép truy cập vào mạng không dây

+ Access Points (AP) cung cấp sự bao phủ của sóng vô tuyến trong một vùng nào đó (được biết đến như là các cell (tế bào)) và kết nối đến mạng không dây

+ Còn Access Server điều khiển việc truy cập Một Access Server (như là Enterprise Access Server (EAS) ) cung cấp sự điều khiển, quản lý, các đặc tính bảo mật tiên tiến cho mạng không dây Enterprise

Một bộ phận không dây có thể được kết nối đến các mạng không dây tồn tại theo một số cách Kiến trúc tổng thể sử dụng EAS trong “Gateway Mode” hay “Controller Mode”

Trong Gateway Mode ( hình 3-4) EAS được đặt ở giữa mạng AP và phần còn lại của mạng Enterprise

Vì vậy EAS điều khiển tất cả các luồng lưu lượng giữa các mạng không dây và có dây và thực hiện như một tường lửa

ht.destiny@gmail.com - ĐVT- ĐHKTCN - Thái Nguyên Sưu tầm

Trong Controll Mode (hình 3-3), EAS quản lý các AP và điều khiển việc truy cập đến mạng không dây, nhưng nó không liên quan đến việc truyền tải dữ liệu người dùng Trong chế độ này, mạng không dây có thể bị phân chia thành mạng dây với firewall thông thường hay tích hợp hoàn toàn trong mạng dây Enterprise Kiến trúc WLAN hỗ trợ một mô hình bảo mật được thể hiện trên hình 4 Mỗi một phần tử bên trong mô hình đều có thể cấu hình theo người quản lý mạng để thỏa mãn và phù hợp với những gì họ cần

1.Device Authorization: Các Client không dây có thể bị ngăn chặn theo địa chỉ phần cứng của họ (ví

dụ như địa chỉ MAC) EAS duy trì một cơ sở dữ liệu của các Client không dây được cho phép và các AP riêng biệt khóa hay lưu thông lưu lượng phù hợp

2.Encryption: WLAN cũng hỗ trợ WEP, 3DES và chuẩn TLS(Transport Layer Sercurity) sử dụng mã hóa để tránh người truy cập trộm Các khóa WEP có thể tạo trên một per-user, per session basic

3.Authentication: WLAN hỗ trợ sự ủy quyền lẫn nhau (bằng việc sử dụng 802.1x EAP-TLS) để bảo đảm chỉ có các Client không dây được ủy quyền mới được truy cập vào mạng EAS sử dụng một RADIUS server bên trong cho sự ủy quyền bằng việc sử dụng các chứng chỉ số Các chứng chỉ số này có thể đạt được từ quyền chứng nhận bên trong (CA) hay được nhập từ một CA bên ngoài Điều này đã tăng tối đa sự bảo mật và giảm tối thiểu các thủ tục hành chính

4.Firewall: EAS hợp nhất packet filtering và port blocking firewall dựa trên các chuỗi IP Việc cấu hình từ trước cho phép các loại lưu lượng chung được enable hay disable

5.VPN: EAS bao gồm một IPSec VPN server cho phép các Client không dây thiết lập các session VPN vững chắc trên mạng

III MÃ HÓA

Mã hóa là biến đổi dữ liệu để chỉ có các thành phần được xác nhận mới có thể giải mã được nó Quá trình mã hóa là kết hợp plaintext với một khóa để tạo thành văn bản mật (Ciphertext) Sự giải mã được bằng cách kết hợp Ciphertext với khóa để tái tạo lại plaintext gốc như hình 3-6 Quá trình xắp xếp và phân bố các khóa gọi là sự quản lý khóa

ht.destiny@gmail.com - ĐVT- ĐHKTCN - Thái Nguyên Sưu tầm

Có hai loại mật mã:

•Mật mã dòng (stream ciphers)

•Mật mã khối ( block ciphers)

Cả hai loại mật mã này hoạt động bằng cách sinh ra một chuỗi khóa ( key stream) từ một giá trị khóa

bí mật Chuỗi khóa sau đó sẽ được trộn với dữ liệu (plaintext) để sinh dữ liệu đã được mã hóa Hai loại mật mã này khác nhau về kích thước của dữ liệu mà chúng thao tác tại một thời điểm

Mật mã dòng phương thức mã hóa theo từng bit, mật mã dòng phát sinh chuỗi khóa liên tục dựa trên giá trị của khóa, ví dụ một mật mã dòng có thể sinh ra một chuỗi khóa dài 15 byte để mã hóa một frame

và môt chuỗi khóa khác dài 200 byte để mã hóa một frame khác

Mật mã dòng là một thuật toán mã hóa rất hiệu quả, ít tiêu tốn tài nguyên (CPU)

Ngược lại, mật mã khối sinh ra một chuỗi khóa duy nhất và có kích thước cố định(64 hoặc 128 bit) Chuỗi kí tự chưa được mã hóa( plaintext) sẽ được phân mảnh thành những khối(block) và mỗi khối sẽ được trộn với chuỗi khóa một cách độc lập Nếu như khối plaintext nhỏ hơn khối chuỗi khóa thì plaintext

sẽ được đệm thêm vào để có được kích thước thích hợp Tiến trình phân mảnh cùng với một số thao tác khác của mật mã khối sẽ làm tiêu tốn nhiều tài nguyên CPU

Tiến trình mã hóa dòng và mã hóa khối còn được gọi là chế độ mã hóa khối mã điện tử ECB ( Electronic Code Block) Chế độ mã hóa này có đặc điểm là cùng một đầu vào plaintext ( input plain) sẽ luôn luôn sinh ra cùng một đầu ra ciphertext (output ciphertext) Đây chính là yếu tố mà kẻ tấn công có thể lợi dụng để nhận dạng của ciphertext và đoán được plaintext ban đầu

ht.destiny@gmail.com - ĐVT- ĐHKTCN - Thái Nguyên Sưu tầm

Một số kỹ thuật mã hóa có thể khắc phục được vấn đề trên:

•Sử dụng vector khởi tạo IV ( Initialization Vector)

•Chế độ phản hồi (FeedBack)

a)Vector khởi tạo IV

Vector khởi tạo IV là một số được thêm vào khóa và làm thay đổi khóa IV được nối vào khóa trước khi chuỗi khóa được sinh ra, khi IV thay đổi thì chuỗi khóa cũng sẽ thay đổi theo và kết quả là ta sẽ có ciphertext khác nhau Ta nên thay đổi giá trị IV theo từng frame Theo cách này nếu một frame được truyền 2 lần thì chúng ta sẽ có 2 ciphertext hoàn toàn khác nhau cho từng frame

a)Chế độ phản hồi (Feedback Modes)

Chế độ phản hồi cải tiến quá trình mã hóa để tránh việc một plaintext sinh ra cùng một ciphertext trong suốt quá trình mã hóa Chế độ phản hồi thường được sử dụng với mật mã khối

b)Thuật toán WEP(Wired Equivalent Privacy )

Chuẩn 802.11 cung cấp tính riêng tư cho dữ liệu bằng thuật toán WEP WEP dựa trên mật mã dòng đối xứng RC4( Ron’s code 4) được Ron Rivest thuộc hãng RSA Security Inc phát triển

Thuật toán mã hóa RC4 là thuật toán mã hóa đối xứng( thuật toán sử dụng cùng một khóa cho việc mã hóa và giải mã) WEP là thuật toán mã hóa được sử dụng bởi tiến trình xác thực khóa chia sẻ để xác thực người dùng và mã hóa dữ liệu trên phân đoạn mạng không dây

Để tránh chế độ ECB(Electronic Code Block) trong quá trình mã hóa, WEP sử dụng 24 bit IV, nó được kết nối vào khóa WEP trước khi được xử lý bởi RC4 Giá trị IV phải được thay đổi theo từng frame

để tránh hiện tượng xung đột Hiện tượng xung đột IV xảy ra khi sử dụng cùng một IV và khóa WEP kết quả là cùng một chuỗi khóa được sử dụng để mã hóa frame

Chuẩn 802.11 yêu cầu khóa WEP phải được cấu hình trên cả client và AP khớp với nhau thì chúng mới có thể truyền thông được Mã hóa WEP chỉ được sử dụng cho các frame dữ liệu trong suốt tiến trình xác thực khóa chia sẻ WEP mã hóa những trường sau đây trong frame dữ liệu:

•Phần dữ liệu (payload)

•Giá trị kiểm tra tính toàn vẹn của dữ liệu ICV (Integrity Check value)

Tất cả các trường khác được truyền mà không được mã hóa Giá trị IV được truyền mà không cần mã hóa để cho trạm nhận sử dụng nó để giải mã phần dữ liệu và ICV

ht.destiny@gmail.com - ĐVT- ĐHKTCN - Thái Nguyên Sưu tầm

Ngoài việc mã hóa dữ liệu 802.11 cung cấp một giá trị 32 bit ICV có chức năng kiểm tra tính toàn vẹn của frame Việc kiểm tra này cho trạm thu biết rằng frame đã được truyền mà không có lỗi nào xảy ra trong suốt quá trình truyền

ICV được tính dựa vào phương pháp kiểm tra lỗi bits CRC-32( Cyclic Redundancy Check 32) Trạm phát sẽ tính toán giá trị và đặt kết quả vào trong trường ICV, ICV sẽ được mã hóa cùng với frame dữ liệu Trạm thu sau nhận frame sẽ thực hiện giải mã frame, tính toán lại giá trị ICV và so sánh với giá trị ICV

đã được trạm phát tính toán trong frame nhận được Nếu 2 giá trị trùng nhau thì frame xem như chưa bị thay đổi hay giả mạo, nếu giá trị không khớp nhau thì frame đó sẽ bị hủy bỏ

Do WEP sử dụng RC4, nếu RC4 được cài đặt không thích hợp thì sẽ tạo nên một giải pháp bảo mật kém Cả khóa WEP 64 bit và 128 bit đều có mức độ yếu kém như nhau trong việc cài đặt 24 bit IV và cùng sử dụng tiến trình mã hóa có nhiều lỗ hỏng Tiến trình này khởi tạo giá trị ban đầu cho IV là 0, sau

đó tăng lên 1 cho mỗi frame được truyền Trong một mạng thường xuyên bị nghẽn, những phân tích thống kê cho thấy rằng tất cả các giá trị IV(2 -24 )sẽ được sử dụng hết trong nửa ngày Điều này có nghĩa là sẽ khởi tạo lại giá trị IV ban đầu là 0 ít nhất một lần trong ngày Đây chính là lổ hỏng cho các hacker tấn công Khi WEP được sử dụng, IV sẽ được truyền đi mà không mã hóa cùng với mỗi gói tin đã được mã hóa cách làm này tạo ra những lỗ hỏng bảo mật sau:

• Tấn công bị động để giải mã lưu lượng, bằng cách sử dụng những phân tích thống kê, khóa WEP có thể bị giải mã

• Dùng các phần mềm miễn phí để tìm kiếm khóa WEP như là: AirCrack , AirSnort, dWepCrack, WepAttack, WepCrack, WepLab Khi khóa WEP đã bị ***** thì việc giải mã các gói tin có thể được thực hiện bằng cách lắng nghe các gói tin đã được quảng bá, sau đó dùng khóa WEP để giải mã chúng vKhóa WEP

Chức năng chính của WEP là dựa trên khóa, là yếu tố cơ bản cho thuật toán mã hóa Khóa WEP là một chuỗi kí tự và số được sử dụng theo 2 cách: -Khóa WEP được sử dụng để định danh xác thực client -Khóa WEP được dùng để mã hóa dữ liệu Khi client sử dụng WEP muốn kết nối với AP thì AP sẽ xác định xem client có giá trị khóa chính xác hay không? Chính xác ở đây có nghĩa là client đã có khóa là một phần của

hệ thống phân phát khóa WEP được cài đặt trong WLAN Khóa WEP phải khớp ở cả hai đầu xác thực client và AP Hầu hết các AP và client có khả năng lưu trữ 4 khóa WEP đồng thời Một lý do hữa ích của việc sử dụng nhiều khóa WEP chính là phân đoạn mạng Giả sử mạng có 80 client thì ta sử dụng 4 khóa WEP cho 4 nhóm khác nhau thay vì sử dụng 1 khóa Nếu khóa WEP bị ***** thì ta chỉ cần thay đổi khóa WEP cho 20 client thay vì phải thay đổi cho toàn bộ mạng.Một lí do khác để có nhiều khóa WEP là trong môi trường hỗn hợp có card hỗ trợ 128 bit và có card chỉ hỗ trợ 64 bit Trong trường hợp này chúng ta có thể phân ra hai nhóm người dùng

vGiải pháp WEP tối ưu:

Với những điểm yếu nghiêm trọng của WEP và sự phát tán rộng rãi của các công cụ dò tìm khóa WEP trên Internet, giao thức này không còn là giải pháp bảo mật được chọn cho các mạng có mức độ nhạy cảm thông tin cao Tuy nhiên, trong rất nhiều các thiết bị mạng không dây hiện nay, giải pháp bảo mật dữ liệu được hỗ trợ phổ biến vẫn là WEP Dù sao đi nữa, các lỗ hổng của WEP vẫn có thể được giảm thiểu nếu được cấu hình đúng, đồng thời sử dụng các biện pháp an ninh khác mang tính chất hỗ trợ Để gia tăng mức độ bảo mật cho WEP và gây khó khăn cho hacker, các biện pháp sau được đề nghị:

- Sử dụng khóa WEP có độ dài 128 bit: Thường các thiết bị WEP cho phép cấu hình khóa ở ba độ dài:

40 bit, 64 bit, 128 bit Sử dụng khóa với độ dài 128 bit gia tăng số lượng gói dữ liệu hacker cần phải có để phân tích IV, gây khó khăn và kéo dài thời gian giải mã khóa WEP

- Thực thi chính sách thay đổi khóa WEP định kỳ: Do WEP không hỗ trợ phương thức thay đổi khóa

tự động nên sự thay đổi khóa định kỳ sẽ gây khó khăn cho người sử dụng Tuy nhiên, nếu không đổi khóa WEP thường xuyên thì cũng nên thực hiện ít nhất một lần trong tháng hoặc khi nghi ngờ có khả năng bị

lộ khóa

ht.destiny@gmail.com - ĐVT- ĐHKTCN - Thái Nguyên Sưu tầm

- Sử dụng các công cụ theo dõi số liệu thống kê dữ liệu trên đường truyền không dây: Do các công cụ

dò khóa WEP cần bắt được số lượng lớn gói dữ liệu và hacker có thể phải sử dụng các công cụ phát sinh

dữ liệu nên sự đột biến về lưu lượng dữ liệu có thể là dấu hiệu của một cuộc tấn công WEP, đánh động người quản trị mạng phát hiện và áp dụng các biện pháp phòng chống kịp thời

IV Các giải pháp bảo mật nổi bật:

IV.1 WLAN VPN:

Mạng riêng ảo VPN bảo vệ mạng WLAN bằng cách tạo ra một kênh che chắn dữ liệu khỏi các truy cập trái phép VPN tạo ra một tin cậy cao thông qua việc sử dụng một cơ chế bảo mật như IPSec (Internet Protocol Security) IPSec dùng các thuật toán mạnh như Data Encryption Standard (DES) và Triple DES (3DES) để mã hóa dữ liệu, và dùng các thuật toán khác để xác thực gói dữ liệu IPSec cũng sử dụng thẻ xác nhận số để xác nhận khóa mã (public key) Khi được sử dụng trên mạng WLAN, cổng kết nối của VPN đảm nhận việc xác thực, đóng gói và mã hóa

IV.2 TKIP (Temporal Key Integrity Protocol)

Là giải pháp của IEEE được phát triển năm 2004 Là một nâng cấp cho WEP nhằm vá những vấn đề bảo mật trong cài đặt mã dòng RC4 trong WEP TKIP dùng hàm băm(hashing) IV để chống lại việc giả mạo gói tin, nó cũng cung cấp phương thức để kiểm tra tính toàn vẹn của thông điệp MIC(message integrity check ) để đảm bảo tính chính xác của gói tin TKIP sử dụng khóa động bằng cách đặt cho mỗi frame một chuỗi số riêng để chống lại dạng tấn công giả mạo

IV.3 AES(Advanced Encryption Standard)

Là một chức năng mã hóa được phê chuẩn bởi NIST(Nation Instutute of Standard and Technology) IEEE đã thiết kế một chế độ cho AES để đáp ứng nhu cầu của mạng WLAN Chế độ này được gọi là CBC-CTR(Cipher Block Chaining Counter Mode) với CBC-MAC(Cipher Block Chaining Message

Authenticity Check) Tổ hợp của chúng được gọi là AES-CCM Chế độ CCM là sự kết hợp của mã hóa CBC-CTR và thuật toán xác thực thông điệp CBC-MAC Sự kết hợp này cung cấp cả việc mã hóa cũng như kiểm tra tính toàn vẹn của dữ liệu gửi

Mã hóa CBC-CTR sử dụng một biến đếm để bổ sung cho chuỗi khóa Biến đếm sẽ tăng lên 1 sao khi

mã hóa cho mỗi khối(block) Tiến trình này đảm bảo chỉ có duy nhất một khóa cho mỗi khối Chuỗi ký tự chưa được mã hóa sẽ được phân mảnh ra thành các khối 16 byte

CBC-MAC hoạt động bằng cách sử dụng kết quả của mã hóa CBC cùng với chiều dài frame, địa chỉ nguồn, địa chỉ đích và dữ liệu Kết quả sẽ cho ra giá trị 128 bit và được cắt thành 64 bit để sử dụng lúc truyền thông

AES-CCM yêu cầu chi phí khá lớn cho cả quá trình mã hóa và kiểm tra tính toàn vẹn của dữ liệu gửi nên tiêu tốn rất nhiều năng lực xữ lý của CPU khá lớn

IV.4 802.1x và EAP

802.1x là chuẩn đặc tả cho việc truy cập dựa trên cổng(port-based) được định nghĩa bởi IEEE Hoạt động trên cả môi trường có dây truyền thống và không dây Việc điều khiển truy cập được thực hiện bằng cách:

Khi một người dùng cố gắng kết nối vào hệ thống mạng, kết nối của người dùng sẽ được đặt ở trạng thái bị chặn(blocking) và chờ cho việc kiểm tra định danh người dùng hoàn tất

EAP là phương thức xác thực bao gồm yêu cầu định danh người dùng(password, cetificate,…), giao thức được sử dụng(MD5, TLS_Transport Layer Security, OTP_ One Time Password,…) hỗ trợ tự động sinh khóa và xác thực lẫn nhau