Nghiên cứu xây dựng giải pháp bảo mật mạng riêng ảo VPN dựa trên công nghệ mở

Để đảm bảo an toàn thông tin dữ liệu trên đường truyền tin và trên mạng máy tính có hiệu quả thì điều trước tiên là phải lường trước hoặc dự đoán trước các khả năng không an toàn, khả nă

1

ĐẠI HỌC QUỐC GIA HÀ NỘI

TRƯỜNG ĐẠI HỌC CÔNG NGHỆ

NGUYỄN ANH ĐOÀN

NGHIÊN CỨU XÂY DỰNG GIẢI PHÁP BẢO MẬT MẠNG RIÊNG ẢO VPN DỰA TRÊN

CÔNG NGHỆ MỞ

Ngành:Công nghệ thông tin

Chuyên ngành: Truyền dữ liệu và Mạng máy tính

Mã số: 60 48 15

TÓM TẮT LUẬN VĂN THẠC SĨ CÔNG NGHỆ THÔNG TIN

HÀ NỘI – 2012

5

MỤC LỤC

MỤC LỤC 5

BẢNG KÝ HIỆU CÁC CHỮ VIẾT TẮT 8

DANH MỤC CÁC BẢNG BIỂU, HÌNH VẼ 9

CHƯƠNG 1 TỔNG QUAN 12

1.1 Tổng quan về an toàn bảo mật thông tin 12

1.1.1 Giới thiệu về bảo mật thông tin 12

1.1.2 Một số giải pháp an toàn thông tin 12

1.2 Tổng quan về mạng riêng ảo VPN 15

1.2.1 Định nghĩa về mạng riêng ảo 15

1.2.2 Lợi ích của mạng riêng ảo 15

1.2.3 Mô hình mạng riêng ảo thông dụng 16

1.2.4 Một số giao thức mạng riêng ảo 20

1.3 Công nghệ mã nguồn mở 23

1.3.1 Phần mềm mã nguồn mở là gì? 23

1.3.3 Đánh giá 24

1.4 Tổng kết 25

CHƯƠNG 2 BẢO MẬT MẠNG RIÊNG ẢO 27

2.1 Những vấn đề bảo mật trong mạng riêng ảo 27

2.1.1 Tấn công các thành phần mạng riêng ảo 27

2.1.2 Tấn công giao thức mạng riêng ảo 29

2.1.3 Tấn công mật mã 31

2.1.4 Tấn công từ chối dịch vụ 34

2.2 Công nghệ bảo mật mạng riêng ảo 38

2.2.1 Tính xác thực 38

6

2.2.2 Tính toàn vẹn 42

2.2.3 Tính bảo mật 50

2.2.4 Hạ tầng PKI 58

2.2.5 Một số công nghệ bảo mật bổ xung 62

2.3 Tổng kết 66

CHƯƠNG 3 ĐỀ XUẤT GIẢI PHÁP VÀ TRIỂN KHAI ỨNG DỤNG 67

3.1 Nghiên cứu đề xuất giải pháp 67

3.1.1 Hiện trạng 67

3.1.2 Yêu cầu 68

3.2 Đề xuất giải pháp 69

3.2.1 Giải pháp phần mềm VPN mã nguồn mở 69

3.2.1.1 Giải pháp kernel space 69

3.2.1.2 Giải pháp user space 70

3.2.1.3 Đánh giá và lựa chọn 74

3.2.2 Kiến trúc Openvpn 75

3.2.2.3 Các mô hình bảo mật OpenVPN 76

3.2.2.4 Các kênh dữ liệu OpenVPN 77

3.2.2.5 Ping và giao thức OCC 80

3.2.2.6 Kênh điều khiển 81

3.2.2.7 OpenVPN và các ứng dụng 86

3.2.3 Giải pháp bảo mật 86

3.2.3.3 Tích hợp PKI 86

3.2.3.4 Sử dụng xác thực 2 thành tố 87

3.2.3.5 Tích hợp tường lửa 87

3.2.4 Giải pháp quản trị 87

7

3.2.5 Mô hình triển khai 88

3.3 Triển khai ứng dụng 89

3.3.1 Mô hình site to site 89

3.3.2 Triển khai mô hình remote access 99

3.3.3 Triển khai phần mềm quản trị 106

3.4 Tổng kết 108

CHƯƠNG 4 KẾT LUẬN 109

TÀI LIỆU THAM KHẢO 110

8

BẢNG KÝ HIỆU CÁC CHỮ VIẾT TẮT

AH (Authentication Header ) Xác thực tiêu đề

DH (DH Diffie-Hellman) Thuật toán trao đổi khóa DH ESP (Encapsulation Security Payload) Giao thức đóng gói an toàn tải tin HMAC (Hashed-keyed Message

Authenticaiton Code)

Mã nhận thực bản tin băm

IKE (Internet Key Exchange) Giao thức trao đổi khóa

L2F (Layer 2 Forwarding) Giao thức chuyển tiếp lớp 2

L2TP ( Layer 2 Tunneling Protocol) Giao thức đường ngầm lớp 2 MAC (Message Authentication Code) Mã xác thực thông điệp

OSI (Open Systems Interconnection ) Mô hình liên kết các hệ thống mở PAP (Password Authentication Protocol) Giao thức xác thực mật mã

PKI (Public Key Infastructure) Hạ tầng khóa công khai

PPTP( Point To Point Tunneling Protocol) Giao thức đường hầm điểm – điểm QoS (Quanlity of Service) Chất lượng dịch vụ

VPN (Virtual Private Network) Mạng riêng ảo

9

DANH MỤC CÁC BẢNG BIỂU, HÌNH VẼ

Hình 1 1: Thiết lập truy cập từ xa không có VPN 17

Hình 1 2: Thiết lập VPN truy cập từ xa 17

Hình 1 3: Thiết lập VPN dựa trên VPN 18

Hình 1 4: Mạng Extranet dựa trên VPN 19

Hình 2 1: Các yếu tố của một thiết lập dựa trên VPN 27

Hình 2 2: Sự giả mạo của một ISP trong việc truyền dữ liệu có hại cho mạng nội bộ của một tổ chức 28

Hình 2 3: Bộ định tuyến được cấu hình với mục đích kiểm duyệt dữ liệu trên kênh truyền 29

Hình 2 4: Tin tặc gây nghẽn mạng 34

Hình 2 5: Quá trình bắt tay 3 bước 36

Hình 2 6: Máy chủ chờ SYN/ACK 36

Hình 2 7: Hệ thống đáp ứng thách thức người dùng 39

Hình 2 8: Xác thực mẫu tin MAC 43

Hình 2 9: Mô hình hàm Hash 45

Hình 2 10: Mã hoá khoá bí mật hay đối xứng 50

Hình 2 11: Chế độ chính sách mã điện tử ECB 51

Hình 2 12: Thuật toán mật mã khối ở chế độ CBC 52

Hình 2 13: Sơ đồ thuật toán DES 53

Hình 2 14: Mạng Fiesel 54

Hình 2 15: Thuật toán mã hoá khoá công cộng 55

Hình 2 16: Các thành phần PKI 59

Hình 2 17: SSL – So sánh giữa chuẩn và phiên SSL 63

10

Hình 2 18: Các đường hầm mật mã dựa trên SSL 64

Hình 3 1: Mô hình lưu khóa sử dụng Openvpn 77

Hình 3 2: Các OpenVPN kênh dữ liệu Đóng gói 78

Hình 3 3: The OpenVPN Packet Header 78

Hình 3 4: Giá trị OpenVPN Op Codes 79

Hình 3 5: The OpenVPN Data Packet 79

Hình 3 6: Định dạng thông điệp OpenVPN OCC 81

Hình 3 7: OCC giao thức Op Mã(OCC Protocol Op Codes) 81

Hình 3 8: Gói điều khiển kênh OpenVPN 82

Hình 3 9: Thông điệp trao đổi khóa OpenVpn-Phương thức khóa 1 83

Hình 3 10: Thông điệp trao đổi hóa OpenVPN-Phương pháp khóa 2 84

Hình 3 11: Mô hình triển khai 88

Hình 3 12: Mô hình VPN site to site 89

Hình 3 13: Định dạng thiết bị epass3003 95

Hình 3 14: Lưu khóa vào thiết bị epass3003 97

Hình 3 15: Sử dụng thiết bị epass3003 98

Hình 3 16: Mô hình remote access 99

Hình 3 17: Mô hình phần mềm quản trị 106

Hình 3 18: Giao diện chương trình quản trị 107

11

MỞ ĐẦU

Cùng với sự phát triển của công nghệ thông tin, công nghệ mạng máy tính và đặc biệt là mạng Internet ngày càng phát triển đa dạng và phong phú Các dịch vụ trên mạng Internet đã xâm nhập vào hầu hết các lĩnh vực trong đời sống xã hội Các thông tin trao đổi trên Internet cũng đa dạng cả về nội dung và hình thức, trong đó có rất nhiều thông tin cần bảo mật cao bởi tính kinh tế, tính chính xác và tin cậy của nó

Bên cạnh đó, những dịch vụ mạng ngày càng có giá trị, yêu cầu phải đảm bảo tính

ổn định và an toàn cao Tuy nhiên, các hình thức phá hoại mạng cũng trở nên tinh vi và phức tạp hơn, do đó đối với mỗi hệ thống, nhiệm vụ bảo mật đặt ra cho người quản trị là hết sức quan trọng và cần thiết

Xuất phát từ những thực tế nêu trên, hiện nay trên thế giới đã xuất hiện rất nhiều công nghệ liên quan đến bảo mật hệ thống và mạng máy tính, việc nắm bắt những công nghệ này là hết sức cần thiết

Chính vì vậy, thông qua việc nghiên cứu một cách tổng quan về bảo mật hệ thống

và một công nghệ cụ thể liên quan đến bảo mật hệ thống, đó là công nghệ Mạng Riêng Ảo (VPN-Virtual Private Network) trong luận văn này tập trung vào nghiên cứu, đánh giá các vấn đề bảo mật của công nghệ VPN, công nghệ bảo mật VPN Trên cơ sở đánh giá lựa chọn xây dựng giải pháp VPN dựa trên công nghệ mã nguồn mở Giải pháp đảm bảo các yêu cầu bảo mật, khả năng triển khai Xuất phát từ yêu cầu thực tế và triển khai tại Bộ Ngoại giao

Nội dụng luận văn được chia thành 4 chương:

Chương 1: Nghiên cứu tổng quan về an ninh bảo mật thông tin; một số khái niệm,

mô hình, giao thức của VPN; Tìm hiểu về công nghệ mã nguồn mở

Chương 2: Nghiên cứu, đánh giá một số vấn đề bảo mật của các giao thức VPN hiện nay; Tìm hiểu một số công nghệ bảo mật VPN

Chương 3: Nghiên cứu, đề xuất giải pháp VPN mã nguồn mở trên nền tảng Openvpn Giải pháp triển khai thực tế cho mô hình kết nối của Bộ Ngoại giao

Chương 4: Kết luận

12

CHƯƠNG 1 TỔNG QUAN 1.1 Tổng quan về an toàn bảo mật thông tin

1.1.1 Giới thiệu về bảo mật thông tin

Khi nhu cầu trao đổi thông tin dữ liệu ngày càng lớn và đa dạng, các tiến bộ về công nghệ thông tin không ngừng được phát triển ứng dụng để nâng cao chất lượng và lưu lượng truyền tin thì các quan niệm ý tưởng và biện pháp bảo vệ thông tin dữ liệu cũng được đổi mới Bảo vệ an toàn thông tin dữ liệu là một chủ đề rộng, có liên quan đến nhiều lĩnh vực và trong thực tế có thể có rất nhiều phương pháp được thực hiện để bảo vệ an toàn thông tin dữ liệu Các phương pháp bảo vệ an toàn thông tin dữ liệu có thể được quy

tụ vào ba nhóm sau:

+ Bảo vệ an toàn thông tin bằng các biện pháp hành chính

+ Bảo vệ an toàn thông tin bằng các biện pháp kỹ thuật (phần cứng)

+ Bảo vệ an toàn thông tin bằng các biện pháp thuật toán (phần mềm)

Ba nhóm trên có thể được ứng dụng riêng rẽ hoặc phối kết hợp Môi trường khó bảo vệ an toàn thông tin nhất và cũng là môi trường đối phương dễ xâm nhập nhất đó là môi trường mạng và truyền tin Biện pháp hiệu quả nhất và kinh tế nhất hiện nay trên mạng truyền tin và mạng máy tính là biện pháp thuật toán

An toàn thông tin bao gồm các nội dung sau:

+ Tính bí mật: tính kín đáo riêng tư của thông tin

+ Tính xác thực của thông tin, bao gồm xác thực đối tác, xác thực thông tin trao đổi

+ Tính trách nhiệm: đảm bảo người gửi thông tin không thể thoái thác trách nhiệm

về thông tin mà mình đã gửi

Để đảm bảo an toàn thông tin dữ liệu trên đường truyền tin và trên mạng máy tính

có hiệu quả thì điều trước tiên là phải lường trước hoặc dự đoán trước các khả năng không

an toàn, khả năng xâm phạm, các sự cố rủi ro có thể xảy ra đối với thông tin dữ liệu được lưu trữ và trao đổi trên đường truyền tin cũng như trên mạng Xác định càng chính xác các nguy cơ nói trên thì càng quyết định được tốt các giải pháp để giảm thiểu các thiệt hại

1.1.2 Một số giải pháp an toàn thông tin

Các chiến lượt an toàn hệ thống:

Giới hạn quyền hạn tối thiểu: Đây là chiến lược cơ bản nhất theo nguyên tắc này bất kỳ một đối tượng nào cùng chỉ có những quyền hạn nhất định đối với tài nguyên

Nút thắt: Tạo ra một “cửa khẩu” hẹp, và chỉ cho phép thông tin đi vào hệ thống của mình bằng con đường duy nhất chính là “cửa khẩu” này, phải tổ chức một cơ cấu kiểm soát và điều khiển thông tin đi qua cửa này

Điểm nối yếu nhất: Kẻ phá hoại thường tìm những chỗ yếu nhất của hệ thống để tấn công, do đó ta cần phải gia cố các yếu điểm của hệ thống Thông thường chúng ta chỉ quan tâm đến kẻ tấn công trên mạng hơn là kẻ tiếp cận hệ thống, do đó an toàn vật lý được coi là yếu điểm nhất trong hệ thống của chúng ta

Tính toàn cục: Các hệ thống an toàn đòi hỏi phải có tính toàn cục của các hệ thống cục bộ Nếu có một kẻ nào đó có thể bẻ gãy một cơ chế an toàn thì chúng có thể thành công bằng cách tấn công hệ thống tự do của ai đó và sau đó tấn công hệ thống từ nội bộ bên trong

Tính đa dạng bảo vệ :Cần phải sử dụng nhiều biện pháp bảo vệ khác nhau cho hệ thống khác nhau, nếu không có kẻ tấn công vào được một hệ thống thì chúng cũng dễ dàng tấn công vào các hệ thống khác

Các mức bảo vệ trên mạng:

Vì không thể có một giải pháp an toàn tuyệt đối nên người ta thường phải sử dụng đồng thời nhiều mức bảo vệ khác nhau tạo thành nhiều hàng rào chắn đối với các hoạt động xâm phạm Việc bảo vệ thông tin trên mạng chủ yếu là bảo vệ thông tin cất giữ trong máy tính, đặc biệt là các máy chủ trên mạng Bởi thế ngoài một số biện pháp nhằm chống thất thoát thông tin trên đường truyền mọi cố gắng tập trung vào việc xây dựng các mức rào chắn từ ngoài vào trong cho các hệ thống kết nối vào mạng Thông thường bao gồm các mức bảo vệ sau:

Quyền truy nhập: Lớp bảo vệ trong cùng là quyền truy nhập nhằm kiểm soát các tài nguyên của mạng và quyền hạn trên tài nguyên đó Dĩ nhiên là kiểm soát được các cấu trúc dữ liệu càng chi tiết càng tốt Hiện tại việc kiểm soát thường ở mức tệp

Đăng ký tên / mật khẩu: Thực ra đây cũng là kiểm soát quyền truy nhập, nhưng không phải truy nhập ở mức thông tin mà ở mức hệ thống Đây là phương pháp bảo vệ phổ biến nhất vì nó đơn giản ít phí tổn và cũng rất hiệu quả Mỗi người sử dụng muốn được tham gia vào mạng để sử dụng tài nguyên đều phải có đăng ký tên và mật khẩu

Bảo vệ vật lý: Ngăn cản các truy nhập vật lý vào hệ thống Thường dùng các biện pháp truyền thống như ngăn cấm tuyệt đối người không phận sự vào phòng đặt máy mạng, dùng ổ khoá trên máy tính hoặc các máy trạm không có ổ mềm

Tường lửa: Ngăn chặn thâm nhập trái phép và lọc bỏ các gói tin không muốn gửi hoặc nhận vì các lý do nào đó để bảo vệ một máy tính hoặc cả mạng nội bộ

Quản trị mạng: Trong thời đại phát triển của công nghệ thông tin, mạng máy tính quyết định toàn bộ hoạt động của một tổ chức Vì vậy việc bảo đảm cho hệ thống mạng máy tính hoạt động một cách an toàn, không xảy ra sự cố là một công việc cấp thiết hàng đầu

An toàn thông tin bằng mật mã:

Mật mã là một ngành khoa học chuyên nghiên cứu các phương pháp truyền tin bí mật Mật mã bao gồm: lập mã và phá mã Lập mã bao gồm hai quá trình: mã hóa và giải

mã

Để bảo vệ thông tin trên đường truyền người ta thường biến đổi nó từ dạng nhận thức được sang dạng không nhận thức được trước khi truyền đi trên mạng, quá trình này được gọi là mã hoá thông tin (encryption), ở trạm nhận phải thực hiện quá trình ngược lại, tức là biến đổi thông tin từ dạng không nhận thức được (dữ liệu đã được mã hoá) về dạng nhận thức được (dạng gốc), quá trình này được gọi là giải mã Đây là một lớp bảo vệ thông tin rất quan trọng và được sử dụng rộng rãi trong môi trường mạng

Để bảo vệ thông tin bằng mật mã người ta thường tiếp cận theo hai hướng:

+ Theo đường truyền (Link_Oriented_Security)

+ Từ nút đến nút (End_to_End)

Theo cách thứ nhất thông tin được mã hoá để bảo vệ trên đường truyền giữa hai nút

mà không quan tâm đến nguồn và đích của thông tin đó Ở đây ta lưu ý rằng thông tin chỉ được bảo vệ trên đường truyền, tức là ở mỗi nút đều có quá trình giải mã sau đó mã hoá

để truyền đi tiếp, do đó các nút cần phải được bảo vệ tốt

15

Ngược lại theo cách thứ hai thông tin trên mạng được bảo vệ trên toàn đường truyền từ nguồn đến đích Thông tin sẽ được mã hoá ngay sau khi mới tạo ra và chỉ được giải mã khi về đến đích Cách này mắc phải nhược điểm là chỉ có dữ liệu của người dùng thì mới có thể mã hóa được còn dữ liệu điều khiển thì giữ nguyên để có thể xử lý tại các nút

1.2 Tổng quan về mạng riêng ảo VPN

1.2.1 Định nghĩa về mạng riêng ảo

Mạng riêng ảo, có tên tiếng Anh là Virtual Private Network, viết tắt là VPN Theo VPN Consortium, VPN là mạng sử dụng mạng công cộng làm cơ sở hạ tầng để truyền thông tin nhưng vẫn đảm bảo là một mạng riêng và kiểm soát được truy nhập Nói cách khác, VPN được định nghĩa là liên kết của khách hàng được triển khai trên một hạ tầng công cộng với các chính sách như là trong một mạng riêng Hạ tầng công cộng này có thể

là mạng IP, Frame Relay, ATM hay Internet

1.2.2 Lợi ích của mạng riêng ảo

VPN mang lại nhiều lợi ích, những lợi ích này bao gồm:

Giảm chi phí thực thi: Việc sử dụng một VPN sẽ giúp các tổ chức giảm được chi phí đầu tư và chi phí thường xuyên Tổng giá thành của việc sở hữu một mạng VPN sẽ được thu nhỏ, do chỉ phải trả ít hơn cho việc thuê băng thông đường truyền, các thiết bị mạng đường trục và duy trì hoạt động của hệ thống Giá thành cho việc kết nối LAN-to-LAN giảm từ 20 tới 30% so với việc sử dụng đường thuê riêng truyền thống Còn đối với việc truy cập từ xa giảm từ 60 tới 80%

Nâng cao khả năng kết nối: VPN tận dụng Internet để kết nối giữa các phần tử ở xa của một Intranet Vì Internet có thể được truy cập toàn cầu, nên hầu hết các nhánh văn phòng, người dùng, người dùng di động từ xa đều có thể dễ dàng kết nối tới Intranet của

tổ chức của mình

Bảo mật các giao dịch: VPN dùng công nghệ đường hầm để truyền dữ liệu qua mạng công cộng không an toàn Dữ liệu đang truyền được bảo mật ở một mức độ nhất định, Thêm vào đó, công nghệ đường hầm sử dụng các biện pháp bảo mật như: Mã hoá, xác thực và cấp quyền để bảo đảm an toàn, tính tin cậy, tính xác thực của dữ liệu được truyền, Kết quả là VPN mang lại mức độ bảo mật cao cho việc truyền tin

Sử dụng hiệu quả băng thông: Trong kết nối Internet dựa trên đường Lease-Line, băng thông hoàn toàn không được sử dụng trong một kết nối Internet không hoạt động Các VPN, chỉ tạo các đường hầm logic đề truyền dữ liệu khi được yêu cầu, kết quả là băng thông mạng chỉ được sử dụng khi có một kết nối Internet hoạt động Vì vậy làm giảm đáng kể nguy cơ lãng phí băng thông mạng

16

Nâng cao khả năng mở rộng: Vì VPN dựa trên Internet, nên cho phép Intranet của một công ty có thể mở rộng và phát triển khi công việc kinh doanh cần phải thay đổi với phí tổn tối thiểu cho việc thêm các phương tiện, thiết bị Điều này làm cho Intranet dựa trên VPN có khả năng mở rộng cao và dễ dàng tương thích với sự phát triển trong tương lai

Trên đây là một số lợi ích cơ bản mà giải pháp VPN mang lại Tuy nhiên bên cạnh

đó, nó cũng không tránh khỏi một số bất lợi như: Phụ thuộc nhiều vào Internet Sự thực thi của một mạng dựa trên VPN phụ thuộc nhiều vào sự thực thi của Internet

1.2.3 Mô hình mạng riêng ảo thông dụng

Mục tiêu của công nghệ VPN là quan tâm đến ba yêu cầu cơ bản sau:

+ Các nhân viên liên lạc từ xa, người dùng di động, người dùng từ xa của một Công ty có thể truy cập vào tài nguyên mạng của công ty họ bất cứ lúc nào

+ Có khả năng kết nối từ xa giữa các nhánh văn phòng

+ Kiểm soát được truy cập của các khách hàng, nhà cung cấp là đối tác quan trọng đối với giao dịch thương mại của công ty

Với các yêu cầu cơ bản như trên, ngày nay, VPN được phát triển và phân thành 2 loại như sau: VPN truy cập từ xa (Remote Access VPN), VPN Site – to – Site (Bao gồm 2

mô hình: VPN Cục bộ (Intranet VPN), VPN mở rộng (Extranet VPN))

VPN truy cập từ xa (Remote Access VPN):

Cung cấp các dịch vụ truy nhập VPN từ xa đến một mạng Intranet hay Extranet của một tổ chức trên nền hạ tầng mạng công cộng Dịch vụ này cho phép người dùng truy xuất tài nguyên mạng của Công ty họ như là họ đang kết nối trực tiếp vào mạng đó

Giống như tên gọi của nó, VPN truy cập từ xa cho phép người dùng từ xa, người dùng di động của một tổ chức có thể truy cập tới các tài nguyên mạng của tổng công ty Điển hình, các yêu cầu truy cập từ xa này được đưa ra bởi người dùng đang di chuyển hoặc các nhánh văn phòng từ xa mà không có một kết nối cố định tới Intranet của tổng công ty

17

Hình 1 1: Thiết lập truy cập từ xa không có VPN

Bằng việc thực thi giải pháp VPN truy cập từ xa, các nhánh văn phòng và người dùng từ xa chỉ cần thiết lập kết nối Dial-up cục bộ tới ISP và thông qua đó để kết nối tới mạng của công ty qua Internet Thiết lập VPN truy cập từ xa tương ứng được mô tả như trong hình 1.2

Hình 1 2: Thiết lập VPN truy cập từ xa

18

VPN Cục bộ (Intranet VPN):

Intranet VPN mở rộng các dịch vụ của mạng nội bộ tới các trụ sở ở xa, đây là một

mô hình liên mạng hướng phi kết nối qua một mạng WAN dùng chung Yêu cầu ở đây là phải thực hiện được tất cả các dịch vụ mạng đã được thực hiện ở mạng trung tâm, bao gồm các dịch vụ về an ninh, VoIP, chất lượng dịch vụ cũng như các dịch vụ đa phương tiện (Multimedia) Mục đích của Intranet VPN là giảm thời gian cũng như chi phí lắp đặt,

hỗ trợ các đường dây thuê riêng theo các cách kết nối WAN truyền thống

Intranet VPN thường được dùng để kết nối các nhánh Văn phòng từ xa của một tổ chức với Intranet trung tâm của tổ chức đó, nên còn được gọi là mạng riêng ảo chi nhánh Một giải pháp Intranet VPN điển hình được mô tả như trong hình 1.3

Hình 1 3: Thiết lập VPN dựa trên VPN

Ưu điểm của việc thiếp lập dựa trên VPN như trong hình là:

+ Vì Internet hoạt động như một phương tiện kết nối, nó dễ dàng cung cấp các liên kết ngang hàng mới

+ Với việc loại trừ các dịch vụ đường dài giúp cho tổ chức giảm được chi phí của hoạt động Intranet

Tuy nhiên cũng có một số nhược điểm:

19

+ Vì dữ liệu được định đường hầm qua một mạng chia sẽ công cộng nên các tấn công mạng như: từ chối dịch vụ vẫn đe doạ nghiêm trọng đến an ninh mạng

+ Khả năng mất các gói dữ liệu khi truyền vẫn còn cao

+ Vì sự hiện diện của kết nối Internet sự thực thi có thể bị gián đoạn và QoS có thể không được đảm bảo

Mạng riêng ảo mở rộng (Extranet VPN):

Liên kết các khách hàng, các nhà cung cấp, hay cộng đồng người sử dụng vào mạng Intranet của một tổ chức trên nền hạ tầng mạng công cộng sử dụng các đường truyền thuê bao Giải pháp này cũng cung cấp các chính sách như trong mạng riêng của một tổ chức như đảm bảo tính bảo mật, tính ổn định Tương tự như Intranet VPN, Extranet VPN cũng có kiến trúc tương tự, tuy nhiên điểm khác biệt giữa chúng là phạm vi các ứng dụng cho phép các đối tác Extranet VPN sử dụng So với Intranet VPN thì vấn đề tiết kiệm chi phí không rõ bằng nhưng điều quan trọng là khả năng cộng tác với các đối tác, khách hàng hay các nhà cung cấp sản phẩm Việc để cho khách hàng nhập trực tiếp

dữ liệu về các hợp đồng vào hệ thống sẽ tiết kiệm được rất nhiều thời gian cũng như các lỗi không đáng có, tuy nhiên việc này rất khó thực hiện với công nghệ WAN truyền thống Extranet VPN thường sử dụng các kết nối dành riêng và thêm vào các lớp bảo mật

để xác thực và giới hạn truy nhập trên hệ thống

Thực thi giải pháp VPN làm cho công việc thiết lập một Extranet trở nên dễ dàng

và giảm chi phí đáng kể

Hình 1 4: Mạng Extranet dựa trên VPN

20

Ưu điểm chính của Extranet VPN là:

+ Chi phí rất nhỏ so với cách thức truyền thống

+ Dễ thực thi, duy trì và dễ thay đổi

+ Dưới sự hiện diện của Internet, ta có thể chọn các đại lý lớn

+ Vì một phần kết nối Internet được duy trì bởi ISP nên số lượng nhân viên hỗ trợ

có thể giảm xuống

Tuy nhiên cũng có một số nhược điểm:

+ Các nguy cơ an ninh như tấn công DOS vẫn còn tồn tại

+ Tăng rủi ro vì các xâm nhập vào Intranet của tổ chức

+ Độ trễ truyền thông vẫn lớn và thông lượng bị giảm xuống rất thấp với các ứng dụng Multimedia

+ Sự thực thi có thể bị gián đoạn và QoS cũng có thể không được bảo đảm

Tuy có một số nhược điểm như đã mô tả, nhưng các ưu điểm của giải pháp VPN vẫn vượt trội, “Mạng riêng ảo - ưu thế của công nghệ, chi phí và bảo mật”

1.2.4 Một số giao thức mạng riêng ảo

Tính bảo mật trong VPN đạt được thông qua "đường hầm" (tunneling) bằng cách đóng gói thông tin trong một gói IP khi truyền qua Internet Thông tin sẽ được giải mã tại đích đến bằng cách loại bỏ gói IP để lấy ra thông tin ban đầu

Có bốn giao thức đường hầm (tunneling protocols) phổ biến thường được sử dụng trong VPN, mỗi một trong chúng có ưu điểm và nhược điểm riêng Chúng ta sẽ xem xét

và so sánh chúng dựa trên mục đích sử dụng

+ Point-to-Point Tunneling Protocol (PPTP)

+ Layer2 Tunneling Protocol (L2TP)

+ Secure Socket Layer (SSL)

+ Internet Protocol Security (IPSec)

PPTP (Point-to-Point Tunneling):

Giao thức PPTP được phát triển bởi Microsoft và một số công ty công nghệ khác,

là phương pháp VPN được hỗ trợ rộng rãi nhất giữa các máy trạm chạy Windows PPTP

là sự mở rộng của giao thức Internet chuẩn Point-to-Point (PPP) và sử dụng cùng kiểu xác thực như PPP (PAP, SPAP, CHAP, MS-CHAP, EAP)

21

PPTP thiết lập đường hầm (tunnel) nhưng không mã hóa Nó sử dụng cùng với giao thức Microsoft Point-to-Point Encryption (MPPE) để tạo ra VPN bảo mật PPTP cũng chạy nhanh hơn các phương pháp kết nối VPN khác

Do phần mềm kết nỗ hỗ trợ PPTP được tích hợp trong hầu hết các hệ điều hành, triển khai PPTP Server trở nên dễ dàng hơn vì không phải cài đặt phần mềm hỗ trợ trên máy trạm PPTP client cũng sẵn dùng trên Linux, Macintosh Các PPTP VPN cũng được

hỗ trợ bởi các thiết bị phần cứng hoặc phần mềm tường lửa, bao gồm ISA Server, Cisco PIX, SonicWall và một vài model của WatchGuard

PPTP đã từng bị chỉ trích nhiều vì nhiều khiếm khuyết về bảo mật và rất nhiều các lỗi này đã được chỉ ra trong các phiên bản hiện thời của giao thức này Sử dụng xác thực EAP sẽ tăng cường đáng kể khả năng bảo mật của PPTP VPN vì EAP sử dụng chứng chỉ

số (digital certificates) để xác thực lẫn nhau giữa máy khách và máy chủ Một trong các

ưu điểm của sử dụng PPTP là nó không yêu cầu hạ tầng mã khóa công cộng (Public Key Infrastructure)

L2TP (Layer 2 Tunneling Protocol):

Giao thức L2TP được cộng tác cùng phát triển bởi Cisco và Microsoft, kết hợp các đặc điểm của cả PPTP và giao thức Layer 2 Forwarding (L2F) thuộc sở hữu của Cisco Một trong các ưu việt của L2TP so với PPTP là có có thể sử dụng trên các mạng non-IP networks ví dụ như ATM, frame relay và X.25 Giống như PPTP, L2TP hoạt động tại lớp liên kết dữ liệu (data link layer) của mô hình mạng OSI L2TP VPN được hỗ trợ bởi rất nhiều các hãng sản xuất thiết bị phần cứng và phần mềm tường lửa như ISA Server, CheckPoint, Cisco PIX và WatchGuard Chương trình L2TP VPN client được tích hợp trong các phiên bản từ Windows 2000, XP and 2003 trở đi

Giao thức IP Security (IPSec) và một giao thức đặc biệt của nó là Encapsulating Security Payload (ESP) protocol, cung cấp khả năng mã hóa cho L2TP tunnels

L2TP yêu cầu sử dụng chứng chỉ số (digital certificates) Xác thực người dùng có thể được thực hiện thông qua cùng cơ chế xác thực PPP tương tự như PPTP, nhưng L2TP cũng cung cấp cách xác thực máy tính (computer authentication) Điều này bổ sung thêm mức độ bảo mật cho L2TP

L2TP có một vài ưu điểm so với PPTP PPTP cho bạn khả năng bảo mật dữ liệu, nhưng L2TP còn tiến xa hơn khi cung cấp thêm khả năng đảm bảo tính toàn vẹn dữ liệu (bảo vệ chống lại việc sửa đổi dữ liệu trong khoảng thời gian nó di chuyển từ người gửi đến người nhận, khả năng xác thực nguồn gốc (xác định người dùng đã gửi dữ liệu có thực sự đúng người), và khả năng bảo vệ chống gửi lại – replay protection (chống lại việc hacker chặn dữ liệu đã được gửi, ví dụ thông tin quyền đăng nhập (credentials), rồi sau đó

22

gửi lại (replay) chính thông tin đó để bẫy máy chủ Mặt khác, do liên quan đến cung cấp các khả năng bảo mật mở rộng làm cho L2TP chạy chậm hơn chút ít so với PPTP

IPSec:

Các quản trị mạng Windows thường biết đến IPsec như là một giao thức sử dụng

để mã hóa sử dụng cùng với giao thức L2TP Tuy nhiên, IPsec bản thân nó cũng có thể được sử dụng như là một giao thức đường hầm độc lập, và trên thực tế nó được tích hợp trong rất nhiều giải pháp VPN "tiêu chuẩn", đặc biệt trong các giải pháp VPN gateway-to-gateway (site-to-site) để nối 2 mạng LAN với nhau IPsec hoạt động tại network layer (Layer 3) trong mô hình OSI

Rất nhiều thiết bị phần cứng VPN sử dụng IPsec Ví dụ, Cisco's VPN Concentrators và PIX firewalls hỗ trợ IPSec, cũng như các thiết bị của NetScreen, SonicWall, và WatchGuard Các phần mềm tường lửa như ISA Server, CheckPoint và Symantec Enterprise Firewall cũng hỗ trợ IPSec VPN

IPSec trong chế độ đường hầm bảo mật các gói tin trao đổi giữa hai gateway hoặc giữa máy tính trạm và gateway Như tên của nó, IPsec chỉ hoạt động với các mạng và ứng dụng dựa trên nền tảng IP (IP-based network) Giống như PPTP và L2TP, IPsec yêu cầu các máy tính trạm VPN phải được cài đặt sẵn phần mềm VPN client

Việc xác thực được thực hiện thông qua giao thức Internet Key Exchange (IKE) hoặc với chứng chỉ số (digital certificates) đây là phương thức bảo mật hơn hoặc thông qua khóa mã chia sẻ (preshared key) IPSec VPN có thể bảo vệ chống lại hầu hết các phương pháp tấn công thông dụng bao gồm Denial of Service (DoS), replay, và "man-in-the-middle"

Hỗ trợ IPSec được tích hợp trong Windows 2000/XP/20 trở đi Cisco and CheckPoint cũng cung cấp các phần mềm máy khách cho các sản phẩm IPSec-based VPN của họ Chú ý rằng có thể bạn sẽ cần phải mua bản quyền cho các phần mềm máy khách này

SSL:

Một công nghệ VPN đang phát triển nhanh chóng và trở nên phổ biến là Secure Sockets Layer (SSL) VPN Một tiện lợi đáng kể của SSL VPN là nó không yêu cầu phần mềm VPN client trên các máy khách VPN Điều đó bởi vì SSL VPN sử dụng trình duyệt web như là ứng dụng máy khách Do đó, SSL VPN còn được gọi là giải pháp "clientless" Điều này cũng có nghĩa là các giao thức có thể được xử lý bởi SSL VPN sẽ bị hạn chế nhiều hơn Dù sao, điều này cũng đem lại một lợi thế về bảo mật Với SSL VPN, thay vì cho phép VPN client truy xuất vào toàn bộ mạng hoặc một mạng con (subnet) như với IPsec, có thể hạn chế chỉ cho phép truy xuất tới một số ứng dụng cụ thể Nếu một ứng

23

dụng mà bạn muốn họ truy cập không phải là là loại ứng dụng dựa trên trình duyệt (browser-based), thì cần phải tạo ra một plug-ins Java hoặc Active-X để làm cho ứng dụng đó có thể truy xuất được qua trình duyệt Việc này lại phát sinh một bất tiện khác là

để sử dụng các plug-ins đó, thiết lập trên trình duyệt của người dùng phải cho phép cài đặt chúng - khiến cho trình duyệt có thể khi khai thác bởi các applets nguy hiểm Để giảm nguy cơ, người dùng phải thiết lập chặn các nội dung động chưa được chứng nhận và chỉ cho phép các plug-ins đã được chứng nhận số

SSL VPN hoạt động ở session layer – cao hơn IPsec trong mô hình OSI Điều này cho nó khả năng điều khiển truy cập theo khối tốt hơn SSL VPN sử dụng chứng chỉ số (digital certificates) để xác thực server Mặc dù các phương pháp khác cũng có thể áp dụng, nhưng sử dụng chứng chỉ số được ưa chuộng vì khả năng bảo mật cao nhất

1.3 Công nghệ mã nguồn mở

1.3.1 Phần mềm mã nguồn mở là gì?

Phần mềm nguồn mở (PMNM) là phần mềm với mã nguồn được công bố và sử

dụng một giấy phép nguồn mở Giấy phép này cho phép bất cứ ai cũng có thể nghiên cứu, thay đổi và cải tiến phần mềm, và phân phối phần mềm ở dạng chưa thay đổi hoặc đã thay đổi

1.3.2 Phương pháp xây dựng phần mềm mã nguồn mở

Mô hình xây dựng phần mềm nguồn mở là một mô hình độc đáo và nó được hiện thực hoá chỉ với sự ra đời của Internet và sự bùng nổ thông tin do Internet mang lại việc xây dựng phần mềm nguồn mở khởi đầu một cách rất phi cấu trúc Những người lập trình đầu tiên chỉ đưa ra với công chúng một số mã chức năng tối thiểu, rồi chỉnh sửa dần trên

cơ sở các ý kiến phản hồi Rồi có thể có thêm những nhà lập trình khác tới, thay đổi hoặc xây thêm trên cơ sở những mã nguồn có sẵn Cứ thế theo thời gian, cả một hệ điều hành hay bộ ứng dụng sẽ định hình và không ngừng phát triển

Phương thức xây dựng phần mềm mã nguồn mở trên đã chứng tỏ tính ưu việt của mình trên một số khía cạnh sau:

Giảm sự trùng lặp nguồn lực: Bằng cách công bố sớm phần mềm và trao cho

người sử dụng quyền chỉnh sửa cũng như lưu hành mã nguồn, các nhà lập trình sẽ được

sử dụng kết quả làm việc của đồng sự Tính kinh tế của quy mô trở nên rất lớn Thay vì việc năm nhà lập trình ở mỗi trong số 10 công ty cùng viết một ứng dụng mạng, triển vọng là sẽ kết hợp được công sức của cả 50 người Việc giảm sự trùng lặp trong phân bổ nguồn lực cho phép quá trình xây dựng một phần mềm đạt tới quy mô đại chúng chưa từng có trong lịch sử, liên kết hàng ngàn nhà lập trình trên toàn thế giới

24

Tiếp thu kế thừa: Với việc có sẵn mã nguồn để xây tiếp lên trên, thời gian xây sẽ

giảm đi đáng kể Nhiều dự án phần mềm nguồn mở dựa trên các phần mềm là kết quả của những dự án khác để cung cấp những chức năng cần thiết Ví dụ, thay vì viết mã bảo mật riêng cho mình, dự án máy chủ Apache đã sử dụng lại chương trình của dự án OpenSSL,

do đó mà tiết kiệm được hàng ngàn giờ viết mã hoá và thử nghiệm Ngay cả trong trường hợp mã nguồn không thể tích hợp trực tiếp, thì việc có sẵn các mã nguồn tự do cũng cho phép nhà lập trình nghiên cứu cách thức những dự án khác giải quyết một vấn đề phát sinh tương tự

Quản lý chất lượng tốt hơn: Nếu có đủ một lực lượng những nhà lập trình giỏi

tham gia sử dụng và kiểm tra mã nguồn, thì các lỗi chương trình sẽ được phát hiện và sửa nhanh hơn Các ứng dụng đóng cũng nhận báo lỗi, nhưng do người sử dụng không có quyền tiếp cận mã nguồn, họ chỉ có thể báo các triệu chứng lỗi chứ không thể chỉ ra nguồn gốc Các nhà lập trình phần mềm nguồn mở đa kết luận rằng khi người sử dụng có quyền tiếp cận mã nguồn thì họ không những thông báo các trục trặc mà còn chỉ ra đích xác nguyên do, và trong một số trường hợp, cung cấp luôn giải pháp Điều này giúp giảm đáng kể thời gian lập trình và kiểm tra chất lượng

Giảm chi phí duy trì: Việc duy trì mọi phần mềm đều đòi hỏi một chi phí bằng

hoặc lớn hơn chi phí lập trình ban đầu Khi một tổ chức tự bỏ tiền ra nuôi phần mềm, việc này có thể trở nên gánh nặng chi phí cực lớn Tuy nhiên, với mô hình phát triển phần mềm nguồn mở, phí duy trì sẽ được san đều ra cho hàng ngàn người sử dụng tiềm năng, làm giảm chi phí của từng tổ chức riêng lẻ

1.3.3 Đánh giá

Ưu điểm:

Bên cạnh yếu tố chi phí thấp, còn nhiều lý do khác khiến các tổ chức nhà nước và

tư nhân ngày càng ứng dụng Phần mềm nguồn mở một cách sâu rộng Những lý do này bao gồm:

+ Tính an toàn

+ Tính ổn định/đáng tin cậy

+ Các chuẩn mở và việc không phải lệ thuộc nhà cung cấp

+ Giảm phụ thuộc vào nhập khẩu

+ Phát triển năng lực của ngành công nghiệp phần mềm địa phương

+ Vấn đề vi phạm bản quyền, quyền sở hữu trí tuệ, và tính tuân thủ WTO

+ Nội địa hoá

25

Với các chính phủ thì bốn điểm cuối cùng đặc biệt quan trọng vì chúng phù hợp với những tiêu chí hoạt động riêng của khu vực nhà nước Các công ty và người sử dụng cuối cùng thường không phải bận tâm đến những vấn đề này

Nhược điểm:

Mặc dù có rất nhiều ích lợi như đa nêu trên, phần mềm nguồn mở không phải là giải pháp phù hợp cho mọi tình huống Vẫn còn những khía cạnh mà phần mềm nguồn

mở cần phải tiếp tục cải tiến

+ Thiếu các ứng dụng kinh doanh đặc thù: Mặc dù có rất nhiều dự án Phần mềm nguồn mở đang được tiến hành, vẫn còn nhiều lĩnh vực hoạt động chưa có được một sản phẩm phần mềm hoàn thiện, đặc biệt là trong kinh doanh Phát sinh vấn đề như vậy một phần là do thiếu những người vừa giỏi về kỹ thuật vừa thạo về kinh doanh Đa số các phần mềm nguồn mở hiện hành được tạo ra bởi những người có chuyên môn về mặt kỹ thuật, bức xúc khi gặp phải vấn đề nào đó trong quá trình phát triển phần mềm, phải tìm cách khắc phục bằng một giải pháp mới Những giải pháp như thế thường mang nặng tính

kỹ thuật, chằng hạn như server mạng, ngôn ngữ/môi trường lập trình và các tiện ích phục

vụ kết nối mạng Hiếm khi một kỹ thuật viên lập trình, nói ví dụ, gặp phải những vấn đề

về kế toán và lại có đủ kiến thức kinh doanh để tạo ra được giải pháp kỹ thuật cho vấn đề

+ Tính tương hỗ với các hệ thống phần mềm đóng: Các phần mềm nguồn mở, nhất

là khi cài trên máy để bàn, thường không hoàn toàn tương thích với phần mềm đóng Với những tổ chức đã đầu tư nhiều cho việc thiết lập các định dạng lưu trữ dữ liệu và ứng dụng phần mềm đóng, việc cố gắng tích hợp những giải pháp phần mềm nguồn mở có thể

sẽ rất tốn kém Thay đổi các chuẩn đóng đã được xây dựng với mục đích ngăn chặn tích hợp những giải pháp thay thế sẽ chỉ càng làm trầm trọng thêm vấn đề Đến lúc nào đó, khi các công ty đã chuyển từ hệ thống chuẩn đóng sang chuẩn mở, thì vấn đề này sẽ dần dần được khắc phục

+ Trình bày và “đánh bóng” ứng dụng: Phần mềm nguồn mở thường thiếu mất tính tiện dụng vốn là đặc trưng của những phần mềm thương mại Các nhà lập trình phần mềm nguồn mở xưa nay vốn chỉ quan tâm chủ yếu đến tính năng hoạt động của phần mềm Tạo

ra một chương trình hoạt động ổn định và có hiệu quả là ưu tiên quan trọng hơn nhiều so với tính dễ sử dụng

1.4 Tổng kết

Chương 1 trình bầy một cách tổng quan về an ninh bảo mật, cách tiếp cận một số phương pháp tăng cường an ninh bảo mật Trong đó giải pháp dùng thuật toán được đánh giá khả thi về mặt kinh tế và triển khai Một trong những giải pháp dùng thuật toán mã

26

hóa đường truyền, tạo các kênh ảo được mã hóa là VPN Phần này trình những khái niệm

cơ bản về VPN, các giao thức VPN, các mô hình chủ yếu khi triển khai

Mã nguồn mở là một xu thế đang được phát triển khá mạnh mẽ hiện nay Xuất phát

từ những ưu việt của nó Việc sử dụng giải pháp VPN mã nguồn mở là lựa chọn mạng lại nhiều lợi ích to lớn và khả thi về mặt kinh tế khi triển khai cho các tổ chức

+ Các mối đe dọa an ninh cho các thành phần VPN

+ Các cuộc tấn công các giao thức VPN

+ Các cuộc tấn công mật mã

+ Các cuộc tấn công từ chối dịch vụ

2.1.1 Tấn công các thành phần mạng riêng ảo

Như thể hiện trong hình 2.1, các yếu tố quan trọng nhất của một thiết lập VPN bao gồm:

+ Người dùng truy cập từ xa

+ Kêt nối trong phân đoạn ISP

+ Internet công cộng

+ Gateway của mạng

Hình 2 1: Các yếu tố của một thiết lập dựa trên VPN

VPN-client (người dùng đầu cuối hoặc người dùng từ xa), chẳng hạn như người sử dụng một máy tính, là điểm khởi đầu của một giao dịch dựa trên VPN Các mối đe dọa an ninh lớn nhất đối với Vpn-client là các thông tin bí mật của người sử dụng như ID và mật khẩu của mình Vì vậy, người dùng đầu cuối phải bảo vệ ID và mật khẩu của mình khỏi rơi vào tay kẻ xấu Việc làm thay đổi mật khẩu thường xuyên làm giảm xác suất mà một người sử dụng trái phép sẽ đoán mật khẩu chính xác Ngoài ra, khách hàng quay số cũng phải thực hiện các bước để bảo vệ vật lý các nút, khi máy tính không được sử dụng, thậm chí thiết lập mật khẩu bảo vệ màn hình và đặt mật khẩu cho máy trạm là những biện pháp bảo mật nên được dùng

28

Kết nối trong phân đoạn ISP là thành phần dễ bị tổn thương thứ hai trong một thiết lập VPN Phân đoạn này cung cấp dữ liệu người sử dụng máy chủ mạng của ISP (NAS) Nếu dữ liệu này không được mã hóa, có nguy cơ cao mà các dữ liệu có thể được đọc vào cuối ISP Ngoài ra, khả năng các dữ liệu sẽ được đọc trong quá trình giao dịch giữa người dùng cuối và mạng nội bộ của ISP là khá cao Các cơ hội nghe trộm bởi các thực thể bên ngoài có thể được loại bỏ bằng cách mã hóa dữ liệu người dùng từ xa trước khi gửi nó đến ISP Tuy nhiên, nếu các thuật toán mã hóa yếu, mã hóa không cung cấp bảo vệ đầy đủ chống lại các nhà cung cấp dịch vụ Internet muốn lấy thông tin của khách hàng có thể giải

mã dữ liệu và sử dụng nó cho lợi nhuận của họ

Như chúng ta đã biết, kết nối Internet và đường hầm phụ thuộc vào một ISP Tuy nhiên, nếu những ý định của nhà cung cấp dịch vụ là không tốt, họ có thể thiết lập một đường hầm lừa đảo và một gateway giả mạo (Đây là loại thiết lập giả mạo được minh họa trong hình 2.2.) Trong trường hợp này, người sử dụng các dữ liệu nhạy cảm sẽ được tạo đường hầm với gateway giả mạo, mà lần lượt có thể lấy và kiểm tra các dữ liệu để sử dụng cho mục đích riêng của họ và gateway giả mạo cũng có thể làm thay đổi các dữ liệu

và chuyển tiếp đến gateway thực Các gateway đích sẽ chấp nhận các dữ liệu giả định rằng nó là từ nguồn đáng tin cậy gốc Theo cách này, dữ liệu không mong muốn và độc hại có thể xâm nhập vào mạng

Hình 2 2: Sự giả mạo của một ISP trong việc truyền dữ liệu có hại cho mạng

nội bộ của một tổ chức

Một điểm của mối đe dọa bảo mật dữ liệu là khi gói tin đi qua các đường hầm qua mạng Internet công cộng Đường hầm dữ liệu được thiết lập qua nhiều thiết bị định tuyến, như mô tả trong hình 2.3 Là một phần của đường hầm, các bộ định tuyến trung gian có thể kiểm tra dữ liệu Nếu có bộ định tuyến được cấu hình với mục đích xấu, các bộ định tuyến có thể không chỉ kiểm tra dữ liệu mà cũng có thể sửa đổi nó, ngay cả khi các gói dữ liệu được mã hóa

Các điểm đến cuối cùng của một gói dữ liệu đường hầm là gateway Các gói dữ liệu

dễ bị tấn công nếu gateway không sử dụng các cơ chế xác thực mật mã bởi vì các cuộc tấn công, chẳng hạn như giả mạo địa chỉ và bắt gói tin, có thể truy cập các thông tin dạng cleartext rằng các cổng này sử dụng Mặt khác, cơ chế xác thực mật mã cung cấp một số mức độ bảo mật, vì nó mất nhiều thời gian cho một kẻ tấn công hoặc một tin tặc đột nhập vào các thuật toán này Tuy nhiên, kẻ tấn công nội bộ vẫn có thể truy cập các thông tin dạng cleartext được gửi vào mạng nội bộ bởi gateway

2.1.2 Tấn công giao thức mạng riêng ảo

Các giao thức VPN chính, PPTP, L2TP, và IPSec, cũng dễ bị tổn thương các mối đe dọa an ninh Những phần sau mô tả về các cuộc tấn công trên các giao thức VPN

Tấn công trên PPTP

PPTP là dễ bị tổn thương trên hai khía cạnh Chúng bao gồm:

+ Generic Routing Encapsulation (GRE)

+ Mật khẩu trao đổi trong quá trình xác thực

Như chúng ta đã biết, an ninh của các dữ liệu thông qua đường hầm là nhiệm vụ của các cơ chế đóng gói dữ liệu cơ bản GRE là một giao thức đường hầm mà chỉ đơn giản là đóng gói dữ liệu dạng cleartext Nó không chịu trách nhiệm cho việc cung cấp một phương pháp an toàn vận chuyển dữ liệu Kết quả là, bất kỳ kẻ tấn công có thể dễ dàng nắm bắt các gói tin đóng gói GRE Trừ khi tải được đóng gói bằng các gói tin GRE đã được mã hóa, những kẻ tấn công cũng có thể đọc dữ liệu đang được vận chuyển Điều này

30

cho phép kẻ tấn công để lấy thông tin (chẳng hạn như địa chỉ IP hợp lệ nội bộ được sử dụng trong mạng nội bộ) giúp kẻ tấn công dữ liệu của tổ chức và các nguồn tài nguyên nằm bên trong mạng riêng Ngoài ra, những kẻ xâm nhập có thể định hướng các tuyến đường lừa đảo và làm gián đoạn lưu lượng mạng Ví dụ, một kẻ xâm nhập thực sự có thể thực hiện như một GRE đầu cuối và có quyền truy cập đầy đủ không chỉ là các dữ liệu được truyền đi

Lưu ý các đường hầm GRE được thiết lập một cách mà định tuyến được thực hiện

tự động, điều này có thể là một nguy cơ đối với VPN Để ngăn chặn các gói dữ liệu được định tuyến tự động, nên sử dụng định tuyến tĩnh trên các đường hầm Một gợi ý để đối phó với kiểu tấn công này là dữ liệu đi qua qua một bức tường lửa sau khi tiêu đề GRE được loại bỏ

Một điểm yếu của GRE là các gói tin GRE sử dụng một chuỗi số # cho đồng bộ của đường hầm Tuy nhiên, các thông số kỹ thuật GRE không thực hiện một so sánh cho nút đích đáp ứng trùng lặp hoặc không hợp lệ (hoặc giả mạo) số thứ tự Kết quả là, các nút đích có thể bỏ qua các số thứ tự của gói tin và xử lý phần còn lại của gói tin Sử dụng phương thức này, một kẻ xâm nhập có thể dễ dàng đưa các gói tin không hợp lệ có chứa

dữ liệu độc hại vào mạng nội bộ của tổ chức

Ngoài ra các lỗ hổng nói trên, PPTP cũng mở cửa cho các cuộc tấn công kiểu từ điển Một cuộc tấn công từ điển đề cập đến một cuộc tấn công tìm mật khẩu trong một danh sách cụ thể, chẳng hạn như một cuốn từ điển tiếng Anh PPTP là dễ bị tổn thương để tấn công từ điển vì PPTP sử dụng Microsoft Point-to-Point Encryption (MPPE), mà có xu hướng để gửi mật khẩu ở dạng rõ ràng Nếu kẻ xâm nhập có được một phần của các thông tin nhạy cảm liên quan đến mật khẩu, chẳng hạn như là một thuật toán băm mật khẩu hoặc thực hiện một loạt các tính toán sử dụng tất cả các hoán vị có thể, mật khẩu chính xác có thể được xác định

Hiện nay, mật khẩu thường yếu tố bảo mật thấp theo tiêu chuẩn mật mã Tùy thuộc vào hệ thống, mật khẩu, và các kỹ năng của kẻ tấn công, chẳng hạn một cuộc tấn công brute-force có thể được hoàn thành trong ngày, giờ, hoặc chỉ một vài giây

Tấn công trên IPSec

Như chúng ta biết IPSec không phải là thuật toán mã hóa thuần túy cũng không phải một cơ chế xác thực Trong thực tế, IPSec là một sự kết hợp của cả hai và giúp các thuật toán khác bảo vệ dữ liệu Tuy nhiên, IPSec cũng có thể bị tấn công:

+ Các cuộc tấn công chống lại thực hiện IPSec

+ Tấn công chống lại quản lý khóa

31

+ Các cuộc tấn công quản trị và ký tự đại diện

Những kẻ xâm nhập và kẻ tấn công khai thác hai điểm yếu của IPSec thực hiện việc

sử dụng các thuật toán NULL và đàm phán của một khóa yếu hơn nếu một trong những kết thúc giao tiếp không hỗ trợ các khóa mạnh hơn

Như ta biết, IPSec sử dụng DES-CBC cho các mục đích mã hóa và HMAC-MD5 và HMAC-SHA-1 cho các mục đích xác thực Ngoài ra, việc sử dụng các giao thức IPSec ESP và AH là tùy chọn Kết quả là, IPSec cũng cho phép sử dụng các thuật toán NULL Cách sử dụng các thuật toán NULL cho phép một phiên kết thúc mà không sử dụng DES-CBC để giao tiếp với bên kia Kết quả là, các nhà cung cấp đã thực hiện một thuật toán NULL có thể làm cho các thiết lập dễ bị tổn thương các mối đe dọa an ninh Vấn đề này thường xảy ra khi bạn đang sử dụng các sản phẩm bởi các nhà cung cấp khác nhau

IPSec cũng cho phép kết thúc giao tiếp để đàm phán các khóa mã hóa Kết quả là, nếu một đầu hỗ trợ khóa yếu (40-bit), đầu kia cũng sẽ phải sử dụng khóa yếu (40-bit) mặc

dù thực tế là nó hỗ trợ một khóa mạnh hơn (56-bit và 128-bit ) Với kịch bản hiện tại, các khóa 56-bit có thể bị phá trong vòng vài tháng nếu không phải là một vài ngày Do đó, một khóa 40-bit dễ dàng hơn nhiều để phá vỡ

IPSec sử dụng IKE cho mục đích của quản lý khóa Các cuộc tấn công chống lại quản lý khóa khai thác một điểm yếu của IKE: Nếu một trong các bên giao tiếp chấm dứt phiên hiện tại, không có cách nào cho đầu bên kia khi biết rằng phiên đã được chấm dứt Điều này sẽ mở ra một lỗ hổng bảo mật mà một kẻ xâm nhập bên thứ ba có thể sử dụng

để giả mạo danh tính của các bên chấm dứt và tiếp tục trao đổi dữ liệu

Loại thứ ba của IPSec tấn công không phải là một thực tế, nhưng hiện đang được thảo luận IPSec cung cấp một giao diện quản trị SA Điều này làm tăng cơ hội đó các thông số SA có thể bị tấn công bằng cách sử dụng kết hợp ký tự đại diện

Lưu ý L2TP là dễ bị tổn thương tấn công từ điển, các cuộc tấn công Brute Force, và các cuộc tấn công Spoofing Tuy nhiên, L2TP là hiếm khi thực hiện riêng Nó thường được thực hiện trong IPSec Vì vậy, các cuộc tấn công L2TP không được nghiên cứu một cách riêng biệt

2.1.3 Tấn công mật mã

Mật mã như là một trong các thành phần bảo mật của một VPN Tùy thuộc vào các

kỹ thuật mật mã và các thuật toán khác nhau, các cuộc tấn công giải mã được biết là tồn tại Những phần sau tìm hiểu về một số cách thức tấn công giải mã nổi tiếng

Chỉ có bản mã (ciphertext-Only)

32

Trong tấn công bản mã, các tin tặc không có quyền truy cập đến nội dung gói dữ liệu ban đầu, nhưng có quyền truy cập đến bản mã Kết quả là, kẻ xâm nhập có thể thực hiện kỹ thuật đảo ngược để đi đến mẫu tin gốc trên cơ sở của mẫu tin được mã hóa Cuộc tấn công này, mất nhiều thời gian và ít tác dụng với các thuật toán mã hóa hiện đại

Giả thiết : C1 = Ek(P1), C2= Ek(P2), Ci = Ek(Pi) Suy luận : Mỗi P1,P2, Pi, k hoặc thuật toán kết luận Pi+1 từ Ci+1 = Ek(Pi+1)

Kỹ thuật dịch ngược là quá trình chặn thông tin được mã hóa và cố gắng để tìm ra thông báo ban đầu từ thông điệp được mã hóa này Điều này về cơ bản là một phương pháp "đoán và bỏ qua", phương pháp đòi hỏi rất nhiều thời gian và công sức

Sự thành công của kiểu tấn công này là do thực tế là hầu hết các loại thông báo tương tự sử dụng tiêu đề định dạng cố định Ngoài ra, tần số phân tích của các bản mã cho phép kẻ tấn công để xác định một số lượng lớn của các ký tự ban đầu Kết quả là, phần còn lại của thông báo có thể được đoán một cách dễ dàng

Thuật toán mã hóa hiện đại đã được thiết kế và phát triển khắc phục kiểu tấn công này Vì vậy hầu hết các mã hóa hiện đại không đễ bị phá trước các cuộc tấn công

Tấn công biết bản rõ (know plaintext attacks)

Trong cuộc tấn biết bản rõ, kẻ xâm nhập không chỉ truy cập được một vài bản mã mặt khác còn biết được bản rõ Công việc là suy luận ra khoá để sử dụng giải mã hoặc thuật toán giải mã để giải mã cho bất kỳ bản mã nào khác với cùng khoá như vậy

Giả thiết : P1, C1 = Ek(P1), P2, C2= Ek(P2), Pi, Ci = Ek(Pi) Suy luận : Mỗi k hoặc thuật toán kết luận Pi+1 từ Ci+1 = Ek(Pi+1)

Tấn công lựa chọn bản rõ

Trong cuộc tấn công lựa chọn bản rõ, Tin tặc không chỉ truy cập được bản mã và kết hợp bản rõ cho một vài bản tin, nhưng mặt khác lựa chọn bản rõ đã mã hoá Phương pháp này tỏ ra có khả năng hơn phương pháp biết bản rõ bởi vì người phân tích có thể chọn cụ thể khối bản rõ cho mã hoá, một điều khác có thể là sản lượng thông tin về khoá nhiều hơn

Giả thiết : P1, C1 = Ek(P1), P2, C2= Ek(P2), Pi, Ci = Ek(Pi) tại đây người phân tích chọn P1, P2, Pi Suy luận : Mỗi k hoặc thuật toán kết luận Pi+1 từ Ci+1 = Ek(Pi+1) Thuật toán mã hóa, chẳng hạn như RSA, dễ bị tổn thương để tấn công bản rõ lựa chọn Vì vậy, khi các thuật toán đó được sử dụng, cần được chú ý đến việc thực hiện trong việc phát triển các ứng dụng hoặc giao thức để các kẻ tấn công không thể lựa chọn

mã hóa bản rõ

33

Tấn công trung gian (Man-in-the-Middle)

Tấn công Man-in-the-Middle có thể xảy ra khi các thuật toán được sử dụng sử dụng truyền thông mã hóa và trao đổi khóa, chẳng hạn như Diffie-Hellman Trong kiểu tấn công này, trước khi hai thực thể có thẩm quyền trao đổi dữ liệu Một bên thứ ba không đáng tin cậy chặn việc trao đổi khóa và chuyển tiếp các khóa riêng của mình để cả hai kết thúc giao tiếp ủy quyền Kết quả là, các kết thúc giao tiếp ban đầu không nhận được chìa khóa hợp pháp và thay vào đó, kết thúc với một khóa khác Sau khi chứng thực và được

ủy quyền và bắt đầu sử dụng khóa để mã hóa và giải mã cho phiên hiện tại Theo cách này, các bên thứ ba truy cập vào toàn bộ các thông tin liên lạc mà không cần biết thông tin của nút gốc

Lưu ý trong các cuộc tấn công trung gian có thể được ngăn ngừa bằng việc sử dụng chữ ký số Chữ ký số được trao đổi sau khi hai bên kết thúc trao đổi khóa và tạo ra các bí mật chia sẻ Mặc dù các khóa có thể là giả mạo do bên thứ ba, chữ ký số là duy nhất và không thể là giả mạo

Tấn công duyệt toàn bộ (Brute Force)

Trong trường hợp tấn công Brute Force kẻ xâm nhập tạo ngẫu nhiên khóa và áp dụng chúng vào các bản mã cho đến khi khóa thực sự là phát hiện ra Chìa khóa tạo ra, sau đó có thể được sử dụng để giải mã dữ liệu và phục hồi các thông tin ban đầu

Như chúng thấy chiều dài của khóa mã hóa là một vấn đề lớn trong các cuộc tấn công Brute Force Còn chiều dài khóa càng cao càng khó khăn để đoán và do đó, an toàn hơn Ví dụ, một khóa 32-bit đòi hỏi ít nhất 2^32 trường hợp, một khóa 40-bit đòi hỏi phải

có 2^40 trường hợp, và một khóa 56-bit đòi hỏi 2^56 trường hợp để phá khóa Với công nghệ có sẵn, một chìa khóa 40-bit có thể bị phá vỡ trong vòng một tuần và khóa 56-bit có thể bị phá vỡ trong vòng vài tháng Do đó, một khóa 128-bit được coi là an toàn

Ban đầu, các cuộc tấn công Brute Force đã vượt ra ngoài phạm vi của tin tặc hàng ngày bởi vì yêu cầu một số lượng lớn các máy tính đắt tiền và hiệu suất cao để phá vỡ chìa khóa Tuy nhiên, với sự tiến bộ nhanh chóng của công nghệ điện toán, máy tính đó đều trong tầm với của người sử dụng bình thường bao gồm các tin tặc

Tấn công thời gian (Timing attacks)

Các cuộc tấn công thời gian là một loại tương đối mới của các cuộc tấn công giải

mã Với loại hình này, cơ chế tấn công khoảng thời gian thực hiện của các hoạt động lũy thừa kiểu mô-đun được sử dụng bởi các thuật toán mã hóa được đo Khoảng thời gian này cho phép những kẻ xâm nhập và tin tặc đoán về các thuật toán mật mã và các khóa mã hóa được sử dụng

34

Trong những năm qua, một kiểu mới của các cuộc tấn công giải mã đã nảy sinh Các cuộc tấn công loại này thực hiện trên phần cứng của các mật mã, thay vì bản thân các thuật toán mã hóa Các tham số mật mã thời gian, điện năng tiêu thụ, và các mẫu bức xạ, nếu có, liên quan đến các mã hóa được đo chính xác Trên cơ sở các thông tin này, các khóa mã hóa được tạo ra Bởi vì các cuộc tấn công phụ thuộc nhiều hơn vào phần cứng,

nó đang trở nên rất độc lập của các thuật toán được sử dụng Kết quả là, một kẻ xâm nhập

có thể sử dụng các cuộc tấn công nhắm mục tiêu hầu như bất kỳ mật mã, bất kể các thuật toán mã hóa nó sử dụng

2.1.4 Tấn công từ chối dịch vụ

Tấn công từ chối dịch vụ là một hình thức khác của các loại tấn công mạng Một kẻ xâm nhập có thể sử dụng các cuộc tấn công mạng khác chẳng hạn như mạo danh, phần mềm độc hại, và virus truy cập tài nguyên Cuộc tấn công DoS được sử dụng để thực hiện tấn công một số dịch vụ hoặc máy tính mục tiêu không thể tiếp cận

Các cuộc tấn công DoS đang trở nên khá phổ biến ngày này vì nó không yêu cầu bất

kỳ phần mềm đặc biệt hoặc truy cập vào mạng mục tiêu Chúng được dựa trên khái niệm của sự tắc nghẽn mạng Bất kỳ kẻ xâm nhập có thể gây ra tắc nghẽn mạng bằng cách gửi các tải các dữ liệu rác vào mạng Điều này làm cho các máy tính mục tiêu không thể được truy cập trong một khoảng thời gian bởi đường truyền bị quá tải hoặc máy tính mục tiêu không thể phục vụ do quá tải Tình trạng quá tải thông tin thậm chí có thể dẫn đến việc sụp đổ của máy tính mục tiêu

Hình 2.4 minh họa làm thế nào tin tặc có thể gây ra tắc nghẽn mạng bằng cách gửi các dữ liệu giả vào mạng

Hình 2 4: Tin tặc gây nghẽn mạng

35

Các cuộc tấn công DoS có rất nhiều lợi thế Thứ nhất, cuộc tấn công DoS trong một loạt các hình thức và có thể nhắm mục tiêu nhiều dịch vụ mạng Thứ hai, một kẻ xâm nhập có thể bắt đầu một cuộc tấn công DoS trong một số cách, chẳng hạn như gửi một số lượng lớn các thư rác hoặc gửi một số lượng lớn các gói tin yêu cầu IP Và thứ ba, kẻ tấn công DoS có thể dễ dàng được ẩn danh Thật không may, không có biện pháp duy nhất để luôn xác định danh tính của kẻ xâm nhập Những kẻ xâm nhập sử dụng các cuộc tấn công DoS bằng việc sử dụng một số sai sót cố hữu trong công nghệ truyền thông và giao thức

IP Trong thực tế, một cuộc tấn công DoS thành công có thể được thực hiện đơn giản là giả mạo với kích thước của các gói tin IP được gửi đến mạng

Một số phương pháp thường được sử dụng để bắt đầu cuộc tấn công DoS như sau: + SYN Floods (lụt gói SYN)

+ Broadcast Storm (bão gói tin quảng bá)

+ Smurf DoS

+ Ping of Death

+ Mail bomb (bom thư)

SYN Floods (lụt gói SYN)

Trong một trận lụt SYN, tất cả các kết nối TCP của bạn được sử dụng, do đó ngăn cản người dùng có thẩm quyền truy cập tài nguyên thông qua những kết nối Để hiểu cách làm việc này, bạn cần phải hiểu làm thế nào một kết nối TCP

Để bắt đầu một phiên, TCP sử dụng một cơ chế bắt tay ba bước Các bước liên quan trong việc thiết lập một kết nối TCP như sau:

1.Một máy sẽ gửi một gói dữ liệu đến một máy khác trên mạng Gói dữ liệu này chứa các ID được gọi là là số thứ tự đồng bộ hóa (SYN)

2.Các máy nhận xác nhận đã nhận của dữ liệu bằng cách gửi một gói dữ liệu được gọi là Acknowledgement (ACK)

3.Các máy nhận cũng sẽ gửi lại gói SYN nhận được

4.Khi nhận được dữ liệu từ các máy nhận, các máy đầu tiên sẽ gửi lại các gói dữ liệu thứ ba hoặc ACK

36

Hình 2 5: Quá trình bắt tay 3 bước

Quá trình hoàn tất liên quan đến việc trao đổi chỉ có ba gói dữ liệu (do đó gọi là bắt tay 3 bước)

Một kết nối TCP có thể dẫn đến tắc nghẽn mạng nếu ai đó gửi một ID giả mạo trong gói SYN Nếu một ID giả mạo được gửi đi, các máy chủ nhận được sẽ không bao giờ nhận được acknowledgement Cuối cùng, thời gian kết nối kết thúc và kênh đến trở thành rỗi để nhận được một yêu cầu khác Một lũ lụt SYN gửi nhiều các gói dữ liệu với ID giả làm tất cả các kênh đến phải chờ đợi acknowledgement

Hình 2 6: Máy chủ chờ SYN/ACK

37

Bằng cách này, tất cả các kênh đến phải đợi nhận được acknowledgement Để khắc phục lũ lụt SYN, có một số công cụ có sẵn, chẳng hạn như phần mềm Cisco IOS và Cisco PIX Firewall

Broadcast Storm

Broadcast Storm có thể được sử dụng khi kẻ xâm nhập dùng chương trình phát một

số lượng lớn các gói tin có chứa địa chỉ đích giả vào mạng của bạn Mỗi máy tính sẽ cố gắng để chuyển tiếp các gói tin đến địa chỉ đích giả Bởi vì địa chỉ không tồn tại, các gói

dữ liệu vẫn còn trong mạng, di chuyển từ nút này sang nút khác, cho đến khi họ hoàn toàn nghẽn mạng Các công cụ như asping và sendmail có thể được sử dụng để bắt đầu phát Broadcast Storm có thể được ngăn chặn có hiệu quả bằng cách ngăn chặn các tin nhắn quảng bá bất hợp pháp trong mạng

Smurf DoS

Các cuộc tấn công Smurf được đặt tên sau khi chương trình được sử dụng để kích động các cuộc tấn công Những cuộc tấn công đôi khi cũng được gọi là các cuộc tấn công đột biến gói ICMP

Trong các cuộc tấn công, kẻ xâm nhập sử dụng một địa chỉ IP giả mạo và gửi một số lượng lớn ICMP (ping - echo requests) đến địa chỉ quảng bá IP Các máy tính mạng khác gửi tin nhắn ICMP echo reply tới IP nguồn giả mạo để đáp quảng bá IP echo request Điều này dẫn đến một số lượng lớn lưu lượng truy cập dẫn đến tắc nghẽn mạng

Mail bomb (bom thư)

Tấn công bom thư nhắm mục tiêu vào máy chủ mail Trong tấn công này, các bản sao giống hệt nhau của một e-mail được gửi đến các máy chủ mục tiêu Ngoài ra, đôi khi thư được gửi có khả năng tự sao chép nó vào máy chủ cuối Các máy chủ thư có thể không có khả năng xử lý một lượng lớn lưu lượng truy cập do băng thông thấp, không gian đĩa thấp, hoặc hạn chế khác Điều này đặt máy chủ mail trong một quá trình vòng lặp

và có thể dẫn đến dừng dịch vụ

Chống tấn công DoS

38

Các cuộc tấn công DoS nhanh chóng trở thành vũ khí của sự lựa chọn cho các tin tặc Tuy nhiên, bạn có thể tiến hành các biện pháp sau để chống lại các cuộc tấn công: + Vô hiệu hoá các dịch vụ mạng không sử dụng hoặc không cần thiết

+ Duy trì thường xuyên sao lưu

+ Tạo, duy trì, và theo dõi các log hàng ngày

+ Tạo chính sách mật khẩu thích hợp

+ Thực hiện một hệ thống phát hiện xâm phạm

+ Thực hiện bộ lọc định tuyến để lọc các gói tin ICMP bị phân mảnh

+ Bảo mật nghiêm ngặt các tài nguyên vật lý của mạng

+ Cấu hình các bộ lọc cho các gói tin giả mạo IP

+ Cài đặt bản vá lỗi và bản sửa lỗi cho các cuộc tấn công TCP SYN

+ Phân vùng tập tin hệ thống riêng biệt các tập tin ứng dụng cụ thể từ dữ liệu thường xuyên

+ Triển khai các công cụ như Tripwire phát hiện những thay đổi trong thông tin cấu hình hoặc các tập tin khác

2.2 Công nghệ bảo mật mạng riêng ảo

39

Giao thức mật khẩu PAP

Giao thức xác thực mật khẩu PAP (Passwork Authentication Protocol) được thiết

kế một các đơn giản cho một máy tính tự xác thực đến một máy tính khác khi giao thức điểm-điểm PPP được sử dụng làm giao thức truyền thông PAP là một giao thức bắt tay hai chiều; đó là, máy tính chủ tạo kết nối gửi nhận dạng người dùng và mật khẩu kép (passwork pair) đến hệ thống đích mà nó cố gắng thiết lập một kết nối và sau đó hệ thống đích xác thực rằng máy tính đó được xác thực đúng và được chấp nhận cho việc truyền thông Xác thực PAP có thể được dùng khi bắt đầu của kết nối PPP, cũng như trong suốt một phiên làm việc của PPP để xác thực kết nối

Khi một kết nối PPP được thiết lập, xác thực PAP có thể có thể được diễn ra trong kết nối đó Điểm ngang hàng gửi một nhận dnạg người dùng và mật khẩu đến bộ xác thực cho đến khi bộ xác thực chấp nhận kết nối hay kết nối bị huỷ bỏ PAP không bảo mật bởi

vì thông tin xác thực được truyền đi rõ ràng và không có khả năng bảo mật chống lại tấn công trở lại hay lặp lại quá nhiều bởi những người tấn công nhằm cố gắng dò ra mật khẩu đúng hay một cặp nhận dạng người dùng

2.2.1.2 Giao thức xác thực yêu cầu bắt tay CHAP

Giao thức xác thực mật khẩu yêu cầu bắt tay CHAP (Challenge Handshake Authentication Protocol) được thiết kế cho việc sử dụng tương tự như PAP nhưng là một phương pháp bảo mật tốt hơn đối với xác thực các kết nối PPP

Người dùng

Máy tính xác thực

Yêu cầu truy cập Thách đố Đáp ứng Cho phép

1

3 2

Hình 2 7: Hệ thống đáp ứng thách thức người dùng

CHAP là một giao thức bắt tay ba chiều bởi vì nó bao gồm ba bước để thực hiện kiểm tra một kết nối, sau khi kết nối được khởi tạo đầu tiên hay tại bất kỳ thời điểm nào sau khi kết nối được thiết lập Thay vì dùng một mật khẩu hay tiến trình chấp nhận giống như trong PAP, CHAP sử dụng một hàm băm một chiều (one-way hashing function)

1 Máy tính xác thực gửi một bản tin thách thức (challenge massage) đến máy tính ngang cấp (peer)

PAP và CHAP có nhược điểm giống nhau, đó là:

Đều phụ thuộc vào một mật khẩu bí mật được lưu trữ trên máy tính của người dùng

ở xa và máy tính nội bộ Nếu bất kỳ một máy tính nào chịu sự điều khiển của một kẻ tấn công mạng và bị thay đổi mật khẩu bí mật thì không thể xác thực được

Không thể đăng ký chỉ định những đặc quyền truy cập mạng khác nhau đến những người dùng ở xa khác nhau sử dụng cùng một máy chủ

CHAP là một phương pháp mạnh hơn PAP cho việc xác thực người dùng quay số nhưng CHAP không thể đáp ứng những yêu cầu mang tính mở rộng mạng Cho dù khi không có bí mật nào truyền qua mạng thì phương pháp này vẫn yêu cầu một lượng lớn các bí mật dùng chung chạy qua hàm băm, nên yêu cầu băng thông lớn nhưng hiệu suất mạng lại thấp

2.2.1.3 Hệ thống điều khiển truy cập TASCAS

TACACS (Terminal Access Controler Access Control System) là hệ thống được phát triển để không chỉ cung cấp cơ chế xác thực mà còn thực hiện chức năng: cho phép (authorization) và tính cước (accouting) TACACS được thiế kế như một hệ thống client/server mềm dẻo hơn và đặc biệt trong việc quản lý bảo mật mạng Trung tâm hoạt động của TACACS là một máy chủ xác thực TACACS

Máy chủ xác thực TACACS giữ các yêu cầu xác thực từ phần mềm client được cài đặt tại một gateway hay một điểm truy cập mạng Máy chủ duy trì một cơ sở dữ liệu nhận dạng người dùng, mật khẩu, PIN và các khoá bí mật được sử dụng để được chấp nhận hay

bị từ chối các yêu cầu truy cập mạng.Tất cả xác thực, cấp quyền và dữ liệu tính cước được hướng đến máy chủ trung tâm khi một người dùng truy nhập mạng

Ưu điểm của TACACS là nó hoạt động như một máy chủ Proxy đối với những hệ thống xác thực khác Các khả năng của Proxy làm cho việc chia sẻ dữ liệu bảo mật của VPN với ISP được dễ dàng hơn, điều này cần thiết khi một VPN là nguồn xuất

2.2.1.4 Hệ thống xác thực người dụng quay số RADIUS

41

RADIUS (Remote Authentication Dial-In Use Service) cũng sử dụng kiểu client/server để chứng nhận một cách bảo mật và quản trị các kết nối mạng từ xa của các người dùng với các phiên làm việc RADIUS giúp cho việc điều khiển truy cập dễ quản lý hơn và nó có thể hỗ trợ các kiểu xác thực người dùng khác nhau bao gồm PAP, CHAP

Kiểu RADIUS client/server dùng một máy chủ truy cập mạng NAS để quản lý các kết nối người dùng NAS có trách nhiệm chấp nhận các yêu cầu kết nối của người dùng, thu thập các thông tin nhận dạng người dùng, mật khẩu đồng thời chuyển thông tin này một cách bảo mật tới máy chủ RADIUS Máy chủ RADIUS thực hiện xác thực để chấp nhận hay từ chối cũng như khi có bất kỳ dữ liệu cấu hình nào được yêu cầu để NAS cung cấp các dịch vụ đến đầu cuối người dùng Các client RADIUS và máy chủ RADIUS truyền thông với nhau thông với nhau một cách bảo mật bằng việc sử dụng các bí mật dùng chung cho việc xác thực và mã hoá trong truyền mật khẩu người dùng

RADIUS tạo cơ sở dữ liệu đơn và tập trung và được lưu giữ tại máy chủ RADIUS nhằm quản lý việc xác thực người dùng và các dịch vụ Một người dùng ở xa sử dụng RADIUS client sẽ có quyền truy cập đến các dịch vụ như nhau từ bất kỳ một máy chủ nào đang truyền thông với máy chủ RADIUS

2.2.1.5 Sử dụng phần cứng

Smart card

Card thông minh (Smart card) là thiết bị có kích thước giống như một thẻ tín dụng, bao gồm: một bộ vi xử lý được gắn chặt vào card và một bộ nhớ Một thiết bị đọc tương đương cho Smart card được yêu cầu để giao tiếp với Smart Card Smart Card có thể lưu giữ một khoá riêng của người dùng cùng với một số ứng dụng nhằm đơn giản hoá tiến trình xác thực Một số Smart Card hiện nay gồm một bộ đồng xử lý mã hoá và giải mã làm cho việc mã hoá dữ liệu dễ dàng hơn và nhanh hơn

Các hệ thống chứng nhận điện tử được sử dụng trong Smart Card, nó yêu cầu người dùng nhập vào một số nhận dạng cá nhân PIN để tiến hành quá trình xác thực, thường thì số PIN được lưu trên Smart Card

Các thiết bị thẻ bài (Token Devices)

Các hệ thống thẻ bài thường được dựa trên các phần cứng riêng biệt dùng để hiển thị các mã nhận dạng (passcode) thay đổi mà người dùng sau đó phải nhập vào máy tính

để thực hiện việc xác thực

Cơ chế hoạt động của thẻ bài: một bộ xử lý bên trong thẻ bài lưu giữ một tập các khoá mã hoá bí mật được dùng để phát cho các mã nhận dạng một lần Các mã nhận dạng náy chuyển đến một máy chủ bảo mật trên mạng, máy chủ này kiển tra tính hợp lệ từ đó

Cơ chế đáp ứng thách thức (Challenge response): là cơ chế thông dụng nhất, theo

cơ chế này thì máy chủ sẽ phát ra một con số ngẫu nhiên khi người dùng đăng nhập vào mạng Một số thách thức xuất hiện trên màn hình của người dùng và người dùng nhập vào các con số trong thẻ bài Thẻ bài mã hoá con số thách thức này với khoá bí mật của nó và hiển thị kết quả lên màn hình và sau đó người dùng nhập kết quả đó vào trong máy tính Trong khi đó, máy chủ mã hoá con số thách thức với cùng một khoá và nếu như hai kết quả này phù hợp thì người dùng sẽ được phép truy cập vào mạng

Cơ chế sử dụng sự đồng bộ thời gian (Time Synchronization), cơ chế này thẻ hiển thị một số được mã hoá với khoá bí mật mà khoá này sẽ thay đổi sau 60 giây Người dùng được nhắc cho con số khi cố gắng đăng nhập vào máy chủ Do các đồnghồ trên máy chủ

và thẻ được đồng bộ nên máy chủ có thẻ xác thực người dùng bằng cách giải mã con số thẻ và so sánh các kết quả

Cơ chế đồng bộ sự kiên (event Synchronzation); theo cơ chế này, một bộ đếm ghi lại số lần vào mạng được thực hiện bởi người dùng Sau đó mỗi lần vào mạng, bộ đếm được cập nhật và một mã nhận dạng khác được tạo ra cho lần đăng nhập sau

2.2.1.6 Xác thực sinh trắc

Hệ thống sinh trắc học dựa vào một số dấu vết cá nhân duy nhất để xác thực người dùng như: vân tay, giọng nói, võng mạc…Tuy nhiên hệ thống được sử dụng rộng rãi trong thực tế bởi vì giá thành đắt và các hệ thống bảo mật này thường tích hợp trong một, làm cho chúng khó khăn trong việc giao tiếp với các hệ thống khác Hệ thống sinh trắc học chỉ phù hợp cho những nơi cần độ bảo mật cao nhất và trong một phạm vi nhỏ

2.2.2 Tính toàn vẹn

Xác thực tính toàn vẹn liên quan đến các khía cạnh sau khi truyền tin trên mạng: Bảo vệ tính toàn vẹn của mẩu tin: bảo vệ mẩu tin không bị thay đổi hoặc có các biện pháp phát hiện nếu mẩu tin bị thay đổi trên đường truyền

Kiểm chứng danh tính và nguồn gốc: xem xét mẩu tin có đúng do người xưng tên gửi không hay một kẻ mạo danh nào khác gửi

Không chối từ bản gốc: trong trường hợp cần thiết, bản thân mẩu tin chứa các thông tin chứng tỏ chỉ có người xưng danh gửi, không một ai khác có thể làm điều đó

+ Mã mẩu tin bằng mã đối xứng hoặc mã công khai

+ Mã xác thực mẩu tin (MAC): dùng khoá và một hàm nén mẩu tin cần gửi để nhận được một đặc trưng đính kèm với mẩu tin và người gửi đó

+ Hàm hash (hàm băm) là hàm nén mẩu tin tạo thành “dấu vân tay” cho mẩu tin

2.2.2.1 Mã xác thực mẫu tin MAC

+ Sinh ra bởi một thuật toán mà tạo ra một khối thông tin nhỏ có kích thước cố định

o Phụ thuộc vào cả mẩu tin và khoá nào đó

o Giống như mã nhưng không cần phải giải mã

+ Bổ sung vào mẩu tin như chữ ký để gửi kèm theo làm bằng chứng xác thực + Người nhận thực hiện tính toán nào đó trên mẩu tin và kiểm tra xem nó có phù hợp với MAC đính kèm không

Tạo niềm tin rằng mẩu tin không bị thay đổi và đến từ người gửi

Hình 2 8: Xác thực mẫu tin MAC

Các mã xác thực mẩu tin MAC cung cấp sự tin cậy cho người nhận là mẩu tin không bị thay đổi và từ đích danh người gửi Cũng có thể sử dụng mã xác thực MAC kèm theo với việc mã hoá để bảo mật Nói chung người ta sử dụng các khoá riêng biệt cho mỗi MAC và có thể tính MAC trước hoặc sau mã hoá, tốt hơn là thực hiện MAC trước và mã hoá sau