Giải pháp đảm bảo an toàn mạng kho

Tuy nhiên, trong hệ thống mạng không dây lại tồn tại những nguy cơ rất lớn từ bảo mật, những lỗ hổng có thể cho phép kẻ tấn công xâm nhập vào hệ thống để lấy cắp thông tin hay thực hiện

HỌC VIỆN KỸ THUẬT MẬT MÃ KHOA AN TOÀN THÔNG TIN

MỤC LỤC

DANH MỤC TỪ VIẾT TẮT

Kí hiệu Thuật ngữ

2G Second Generation Technology

3G Third Generation Technology

AES Advanced Encryption Standard

BSS Basic Services Set

CCK Complementary Code Keying

CCMP Counter Mode with CBC-MAC Protocol

CRC Cyclic Redundancy Check

DoS Denied of Service

DS Distribution System

DSSS Direct Sequence Spread Spectrum

EAP Extensible Authentication Protocol

ETSI European Telecommunications Standards Institute

EAP-TLS EAP Transport Layer Security

FCC Federal Communications Commission

FMS Fluhrer, Mantin, Shamir

GPRS General Packet Radio Service

GSM Global System for Mobile

GTK Group Transient Key

HIPERLAN HIgh PERformance LAN

IV Initialization Vector

ICV Integrity Check Value

ISM Industrial, Scientific, Medical

IEEE Institute of Electrical and Electronics Engineers

LAN Local Area Network

MAC Media Access Control

MIC Message Integrity Protocol

MIMO Multiple Input and Multiple Output

OFDM Orthogonal Frequency Division Multiplexing

PCMCIA Personal Computer Memory Card International AssociationPDA Personal Digital Assistant

PSK Pre-share Key

QPSK Quadrature Phase Shift Keying

QoS Quality of Service

SSID Service Set Identifier

TEK Temporal Encryption Key

TSC TKIP Sequence Counter

TKIP Temporal Key Integrity Protocol

UNII Unlicense National Information Infrastructure WEP Wired Equivalent Privacy

WLAN Wireless Local Area Network

WPA/WPA2 Wi-Fi Protected Access

DANH MỤC HÌNH VẼ

LỜI MỞ ĐẦU

Sự phát triển mạnh mẽ của những thiết bị điện toán di động như máy tính xách tay, thiết bị xử lý cá nhân PDA, điện thoại di động và một số thiết bị khác thì nhu cầu kết nối mạng không dây đã gần như tất yếu Mạng không dây mang lại cho người dùng sự tiện lợi bởi tính linh động cao, không phụ thuộc vào dây nối mạng mà vẫn có thể truy cập mạng tại bất cứ vị trí nào chỉ cần có điểm truy nhập

Tuy nhiên, trong hệ thống mạng không dây lại tồn tại những nguy cơ rất lớn từ bảo mật, những lỗ hổng có thể cho phép kẻ tấn công xâm nhập vào hệ thống để lấy cắp thông tin hay thực hiện các hành vi phá hoại Vì thế, vấn đề bảo mật hệ thống mạng không dây luôn là vấn đề nóng bỏng, luôn cần phải đặt lên hàng đầu, bởi lẽ chỉ cần một sự rò rỉ nhỏ cũng dẫn tới một nguy cơ cực

kỳ lớn, tổn thất khó thể lường trước được Chính vì thế tôi đã quyết định chọn

đề tài “Giải pháp đảm bảo an toàn mạng không dây theo chuẩn 802.11i” để

làm đồ án tốt nghiệp nhằm tìm hiểu, nghiên cứu và ứng dụng giải pháp an ninh này trong môi trường thực tế

Bố cục đồ án tốt nghiệp gồm 3 chương:

• Chương 1 Tổng quan về mạng không dây Trình bày khái niệm

cơ bản về mạng không dây, các chuẩn, các thành phần và chỉ rõ ưu điểm, nhươc điểm của mạng không dây

• Chương 2 Giải pháp đảm bảo an ninh an toàn cho mạng không dây Đưa ra đánh giá chung về vai trò của bảo mật mạng

không dây, một số hình thức tấn công phổ biến Đồng thời đưa ra một số giải pháp đảm bảo an toàn cho mạng không dây

• Chương 3 Giao thức bảo mật mạng không dây chuẩn 802.11i

Tìm hiểu chung về chuẩn 802.11i, xác thực dựa trên 802.11x; các quá trình phân cấp, quản lý khóa, thuật toán mã hóa AES trong 802.11i Và xây dựng hệ thống WLAN an toàn theo chuẩn 802.11i.Với hiểu biết và kinh nghiệm còn hạn chế nên báo cáo không thể tránh khỏi những thiếu sót Tôi rất mong nhận được sự cảm thông và những chỉ dẫn

thêm của thầy cô, cũng như của các bạn để có thể trang bị thêm nhiều kiến thức bổ ích và đạt kết quả tốt hơn trong thực tiễn làm việc.

Tôi xin cảm ơn các thầy, cô giáo trong Trường Học viện Kỹ thuật Mật mã nói chung và các thầy cô giáo trong Khoa An toàn thông tin nói riêng đã tận tình giảng dạy, hướng dẫn và truyền đạt cho tôi những kiến thức, kinh nghiệm quý báu trong suốt 5 năm học tập và rèn luyện tại trường, để từ đó đã tạo điều kiện tốt nhất cho tôi thực hiện đồ án tốt nghiệp này Tôi cũng xin được gửi lời cảm ơn đến bố mẹ, gia đình và bạn bè đã động viên, cổ vũ rất nhiều để tôi có được sự quyết tâm, nỗ lực thực hiện mục tiêu của mình

Đặc biệt, tôi xin chân thành cảm ơn thầy giáo TS Đỗ Quang Trung – Giảng viên Khoa Mật Mã đã tận tình giúp đỡ và hướng dẫn tôi hoàn thành Đồ

án Tốt nghiệp này

Hà Nội, ngày 30/05/2015

CHƯƠNG 1 TỔNG QUAN VỀ MẠNG KHÔNG DÂY

1.1 Giới thiệu chung về mạng không dây

Mạng máy tính từ lâu đã trở thành một thành phần không thể thiếu đối với nhiều lĩnh vực đời sống xã hội, từ các hệ thống mạng cục bộ dùng để chia

sẻ tài nguyên trong đơn vị cho đến hệ thống mạng toàn cầu như Internet Các

hệ thống mạng có dây và không dây đang ngày càng phát triển và phát huy vai trò của mình

Mặc dù mạng không dây đã xuất hiện từ nhiều thập niên nhưng cho đến những năm gần đây, với sự bùng nổ các thiết bị di động thì nhu cầu nghiên cứu và phát triển các hệ thống mạng không dây ngày càng trở nên cấp thiết

1.1.1 Khái niệm mạng không dây

Công nghệ không dây hiểu theo nghĩa đơn giản nhất là công nghệ cho phép các thiết bị giao tiếp với nhau mà không cần sử dụng đến dây dẫn Phương tiện truyền dẫn ở đây chính là sóng điện từ truyền qua không khí Mạng không dây về cơ bản là mạng đóng vai trò phương tiện vận chuyển thông tin giữa các thiết bị và mạng có dây truyền thống (mạng xí nghiệp, internet) [17]

1.1.2 Phân loại mạng không dây

Đối với hệ thống mạng không dây, chúng ta cũng có sự phân loại theo quy mô và phạm vi triển khai tương tự như hệ thống mạng có dây:

• Wireless Personal Area Network – WPAN

• Wireless Local Area Network – WLAN

• Wireless Metropolitan Area Network – WMAN

• Wide Wireless Area Network – WWAN

1.1.2.1 Mạng không dây cá nhân – WPAN

Cùng với sự phát triển mạnh mẽ của khoa học công nghệ, sự ra đời của các thiết bị ngoại vi cho máy tính, các thiết bị hỗ trợ cá nhân thì nhu cầu trao

đổi, chia sẻ thông tin giữa chúng ngày càng trở nên cần thiết Đặc điểm chung của các thiết bị này là đơn giản, chuyên dụng và không đòi hỏi tốc độ quá cao,

vì vậy công nghệ mạng PAN ra đời nhằm đáp ứng những đòi hỏi đó

Mạng không dây cá nhân được sử dụng để kết nối các thiết bị trong phạm

vi hẹp, băng thông nhỏ, ví dụ kết nối giữa các thiết bị ngoại vi như tai nghe, đồng hồ, máy in, bàn phím, chuột,… với máy tính cá nhân, điện thoại di động,… Sự kết nối vô tuyến trong mạng PAN có thể dùng các công nghệ như Bluetooth Đây là mô hình mạng khá phổ biến trong hệ thống mạng không dây

1.1.2.2 Mạng không dây nội bộ – WLAN

Wireless LAN (Wireless Local Area Network) sử dụng sóng điện từ (thường là sóng radio hay tia hồng ngoại) để liên lạc giữa các thiết bị trong phạm vi trung bình So với Bluetooth, Wireless LAN có khả năng kết nối phạm vi rộng hơn với nhiều vùng phủ sóng khác nhau, do đó các thiết bị di động có thể tự do di chuyển giữa các vùng với nhau Phạm vi hoạt động từ 100m đến 500m với tốc độ truyền dữ liệu trong khoảng 11 Mbps – 54 Mbps.Một số lợi ích của WLAN là dễ cấu hình và cài đặt mạng, cho phép thay đổi, di chuyển, thu hẹp hay mở rộng mạng một cách đơn giản, tiết kiệm, có thể thiết lập một mạng có tính chất tạm thời với khả năng cơ động cao, thiết lập mạng ở những khu vực khó nối dây, tiết kiệm chi phí đi dây tốn kém

1.1.2.3 Mạng không dây đô thị – WMAN

Mạng không dây đô thị được triển khai bởi các nhà cung cấp dịch vụ truyền thông Công nghệ được sử dụng nhiều nhất là WiMAX, dựa trên chuẩn IEEE 802.16 Băng tần sử dụng từ 2 Ghz tới 11 Ghz Tốc độ truyền dữ liệu cao, có thể lên tới 70 Mbps, khu vực phủ sóng rộng tới 50km

Công nghệ này thích hợp cho triển khai các ứng dụng trong một thành phố hay vùng ngoại ô và đặc biệt có ý nghĩa trong việc đưa thông tin đến các vùng sâu, vùng xa hoặc những nơi mà việc đi cáp đến thực sự khó khăn vì không phải triển khai hạ tầng mạng tốn kém

1.1.2.4 Mạng không dây diện rộng – WWAN

Đặc điểm của mạng không dây diện rộng là khả năng bao phủ của nó trên một vùng địa lý rộng lớn Có thể là một khu vực rộng, một quốc gia hay thậm chí là toàn cầu Mạng WWAN ra đời với mục đích xây dựng nên các hệ thống thông tin di động, các công nghệ mạng được sử dụng như 2G, 3G, GPRS, GSM…

Một số lợi ích của mạng WWAN là tránh được các giới hạn của việc dùng cáp và các thiết bị phần cứng khác, khả năng cơ động cao, các thiết bị có thể di chuyển trong phạm vi rộng Mặt trái, đó là dễ bị ảnh hưởng bởi những tác động của môi trường, không an toàn, thông tin dễ bị mất hoặc thất lạc, chất lượng mạng chưa được cao trong khi chi phí tốn kém trong việc thiết lập

hạ tầng

1.1.3 Ưu điểm và nhược điểm của mạng không dây

1.1.3.1 Ưu điểm

Mạng không dây đã trở nên phổ biến và trở thành mạng cốt lõi Dưới dây

là những ưu điểm vượt trội của mạng không dây

• Sự tiện lợi: Mạng không dây cũng như hệ thống mạng thông thường

Nó cho phép người dùng truy xuất tài nguyên mạng ở bất kỳ nơi đâu trong khu vực được triển khai (nhà hay văn phòng) Với sự gia tăng số người sử dụng máy tính xách tay, đó là một điều rất thuận lợi

• Khả năng di động: Với sự phát triển của các mạng không dây công

cộng, người dùng có thể truy cập Internet ở bất cứ đâu Chẳng hạn ở các quán Cafe, người dùng có thể truy cập Internet không dây miễn phí

• Hiệu quả: Người dùng có thể duy trì kết nối mạng khi họ đi từ nơi này

đến nơi khác

• Triển khai: Việc thiết lập hệ thống mạng không dây ban đầu chỉ cần ít

nhất một Access Point Với mạng dùng cáp, phải tốn thêm nhiều chi phí

và có thể gặp khó khăn trong việc triển khai hệ thống cáp ở nhiều nơi trong tòa nhà

• Khả năng mở rộng: Mạng không dây có thể đáp ứng tức thì khi gia

tăng số lượng người dùng Với hệ thống mạng dùng cáp thì phải gắn thêm cáp

1.1.3.2 Nhược điểm

Bên cạnh những thuận lợi mà mạng không dây đem lại cho chúng ta thì

nó cũng mắc phải những nhược điểm Đây là sự hạn chế của các công nghệ nói chung

• Bảo mật: Môi trường kết nối không dây là sóng vô tuyến nên khả năng

bị tấn công của người dùng là rất cao

• Phạm vi hoạt động: Một mạng chuẩn 802.11g với các thiết bị chuẩn chỉ

có thể hoạt động tốt trong phạm vi vài chục mét nên chỉ phù hợp cho một không gian hẹp Để đáp ứng yêu cầu cần phải mua thêm Repeater hay Access Point, dẫn đến chi phí gia tăng

• Nhiễu: Vì sử dụng sóng vô tuyến để truyền thông nên việc bị nhiễu, tín

hiệu bị giảm do tác động của các thiết bị khác (sử dụng cùng tần số) là không tránh khỏi Làm giảm đáng kể hoạt động của mạng

• Tốc độ: Tốc độ của mạng không dây hiện nay có thể lên đến 600 Mbps

nhưng vẫn chậm hơn rất nhiều so với các mạng cáp thông thường (có thể lên tới hàng Gbps)

1.2 Các chuẩn của IEEE 802.11

Viện kỹ thuật điện, điện tử Mỹ (Institute of Electrical and Electronics Engineers) là tổ chức nghiên cứu, phát triển và cho ra đời nhiều chuẩn khác nhau liên quan đến mạng LAN như: 802.3 cho Ethernet, 802.5 Token Ring,… IEEE được chia thành các nhóm phát triển khác nhau: 802.1, 802.2, 802.3,… Mỗi nhóm đảm nhận nghiên cứu về một lĩnh vực riêng Cuối những năm

1980, khi mà mạng không dây bắt đầu được phát triển, nhóm 802.4 của IEEE nhận thấy phương thức truy cập token của chuẩn LAN không có hiệu quả khi

áp dụng cho mạng không dây Nhóm này đã đề nghị xây dựng một chuẩn khác để áp dụng cho mạng không dây Kết quả là IEEE đã quyết định thành lập nhóm 802.11 có nhiệm vụ định nghĩa tiêu chuẩn lớp vật lý PHY (Physical

Layer) và lớp liên kết dữ liệu MAC (Medium Access Control) cho Wireless LAN.

Chuẩn đầu tiên mà IEEE cho ra đời là IEEE 802.11 vào năm 1997 Tốc

độ đạt được là 2 Mbps sử dụng phương pháp trải phổ trong băng tần ISM (băng tần dành cho công nghiệp, khoa học và y học) Tiếp sau đó là các chuẩn IEEE 802.11a, IEEE 802.11b, IEEE 802.11g, IEEE 802.11i, IEEE 8802.11n

1.2.1 IEEE 802.11b

Kiến trúc, đặc trưng và các dịch vụ cung cấp cơ bản của 802.11b giống với chuẩn ban đầu 802.11 Và 802.11b cung cấp khả năng trao đổi dữ liệu cao hơn và kết nối hiệu quả hơn Sự khác biệt chính là 801.11b đạt đến hai tốc độ truyền dữ liệu mới là 5.5 Mbps và 11MBps so với 2 Mbps của chuẩn đầu tiên.IEEE 802.11b sử dụng phương pháp trải phổ trực tiếp DSSS Tiêu chuẩn 802.11b được xây dựng ở 2 lớp dưới cùng của mô hình OSI: PHY và lớp con MAC thuộc lớp liên kết dữ liệu

IEEE 802.11b đạt được tốc độ cao hơn các chuẩn 802.11 trước đó nhờ sử dụng CCK (Complementary Code Keying) CCK là một chuỗi các mã mà có thể sử dụng mã hoá tín hiệu, cần 6 bit để có thể miêu tả một từ mã hoá Từ mã hoá theo CCK sau đó được điều chỉnh với kỹ thuật điều chế pha trực giao QPSK (Quadrature Phase Shift Keying) sử dụng DSSS (Direct Sequence Spread Spectrum) 2 Mbps Điều này cho phép thêm 2 bit để mã hoá kí tự Một trong những nhược điểm của IEEE 802.11b là băng tần dễ bị nghẽn

và hệ thống dễ bị nhiễu bởi các hệ thống mạng khác, lò vi ba, các loại điện thoại hoạt động ở tần số 2.4 GHz và các mạng BlueTooth Đồng thời IEEE 802.11b cũng có những hạn chế như: thiếu khả năng kết nối giữa các thiết bị truyền giọng nói, không cung cấp dịch vụ QoS (Quality of Service) cho các phương tiện truyền thông

Mặc dù vẫn còn một vài hạn chế và nhược điểm nhưng chuẩn 802.11b (thường gọi là Wifi) là chuẩn thông dụng nhất hiện nay bởi sự phù hợp của nó trong các môi trường sử dụng mạng không dây (các doanh nghiệp, gia đình hay các văn phòng nhỏ)

1.2.2 IEEE 802.11a

Chuẩn 802.11a mô tả các thiết bị WLAN hoạt động trong băng tần 5 GHz UNII Việc hoạt động trong băng tần UNII làm cho thiết bị 802.11a không thể tương tác được các thiết bị theo chuẩn 802.11 khác Lý do của sự không tương thích này chính là một hệ thống 5 GHz sẽ không giao tiếp được với một

hệ thống 2.4 GHz

Sử dụng băng tần UNII nên hầu hết các thiết bị có thể đạt được tốc độ 6,

9, 12, 18, 24, 36, 48, 54 Mbps Một số thiết bị có thể đạt được tốc độ lên đến

108 Mbps sử dụng những công nghệ độc quyền Tốc độ cao này là kết quả của các công nghệ mới không nằm trong chuẩn 802.11a IEEE 802.11a chỉ yêu cầu các tốc độ 6, 12 và 24 Mbps Một thiết bị WLAN phải hỗ trợ ít nhất các tốc độ này trong băng tần UNII để có thể được gọi là tương thích chuẩn 802.11a Tốc độ tối đa được chỉ định trong chuẩn 802.11a là 54 Mbps

Chuẩn 802.11a sử dụng kỹ thuật điều chế OFDM (Orthogonal Frequency Division Multiplexing) cho phép đạt được tốc độ dữ liệu cao hơn và không bị nhiễu bởi các vật dụng, thiết bị gia đình Đây cũng là chuẩn đã được triển khai

sử dụng rộng rãi trong hệ thống mạng trên toàn thế giới

1.2.3 IEEE 802.11g

Mặc dù chuẩn 802.11a có tốc độ nhanh (54 Mbps), hoạt động tại băng tần cao (5 GHz ) nhưng nhược điểm lớn nhất của nó là không tương thích với chuẩn 802.11b Vì thế sẽ không thể thay thế hệ thống đang dùng 802.11b mà không phải tốn kém quá nhiều Tháng 7/2003, IEEE phê chuẩn 802.11g nhằm cải tiến 801.11b về tốc độ truyền cũng như băng thông

IEEE 802.11g có hai đặc tính chính sau đây:

• Sử dụng kỹ thuật trải phổ OFDM, để có thể cung cấp các dịch vụ

có tốc độ lên tới 54 Mbps Trước đây, FCC (Federal Communications Commission – USA) có cấm sử dụng OFDM tại 2.4 GHz Nhưng hiện nay FCC đã cho phép sử dụng OFDM tại cả hai băng tần 2.4 GHz và 5 GHz

• Tương thích với các hệ thống 802.11b tồn tại trước Do đó, 802.11g cũng có hỗ trợ CCK và thiết bị 802.11g cũng có thể giao tiếp với thiết bị 802.11b có sẵn.

Một thuận lợi rõ ràng của 802.11g là tương thích với 802.11b (được sử dụng rất rộng rãi) và có được tốc độ truyền cao như 802.11a Tuy nhiên số kênh tối đa mà 802.11g được sử dụng vẫn là 3 như 802.11b Bên cạnh đó, do hoạt động ở tần số 2.4 GHz như 802.11b, hệ thống sử dụng 802.11g cũng dễ

bị nhiễu như 802.11b

1.2.4 IEEE 802.11i

Đây là chuẩn bổ sung cho các chuẩn 802.11a, 802.11b về vấn đề bảo mật

Nó mô tả cách mã hóa dữ liệu truyền giữa các hệ thống sử dụng 2 chuẩn này 802.11i định nghĩa một phương thức mã hoá mới gồm Temporal Key Integrity Protocol (TKIP) và Advanced Encryption Standard (AES) TKIP là một giải pháp ngắn hạn mà định nghĩa phần mềm vá cho WEP để cung cấp một mức riêng tư dữ liệu thích hợp tối thiểu AES là một sơ đồ riêng tư dữ liệu mạnh

mẽ và là một giải pháp thời hạn lâu hơn

Trên thực tế, chuẩn này được tách ra từ IEEE 802.11e Và WPA là một trong những thành phần được mô tả trong 802.11i ở dạng bản thảo và khi 802.11i được thông qua thì chuyển thành WPA2

1.2.5 IEEE 802.11n

Chuẩn 802.11n đã được IEEE phê duyệt đưa vào sử dụng chính thức và cũng đã được Hiệp hội Wi-Fi kiểm định và cấp chứng nhận cho các sản phẩm đạt chuẩn Chứng nhận chuẩn Wi-Fi 802.11n là bước cập nhật thêm một số tính năng tùy chọn cho 802.11n, dự thảo 2.0 được Wi-Fi Alliance bắt đầu từ tháng 6/2007 Các yêu cầu cơ bản như băng tần, tốc độ, các định dạng khung hay khả năng tương thích ngược không thay đổi

Về mặt lý thuyết, chuẩn 802.11n cho phép kết nối với tốc độ 300 Mbps (có thể lên tới 600 Mbps), tức là nhanh hơn khoảng 6 lần tốc độ đỉnh theo lý thuyết của các chuẩn trước đó như 802.11g/a (54 Mbps) và mở rộng vùng phủ sóng 802.11n là mạng Wi-Fi đầu tiên có thể cạnh tranh về mặt hiệu suất với

mạng có dây 100 Mbps Chuẩn 802.11n hoạt động ở cả 2 tần số 2.4 GHz và 5 GHz với kì vọng có thể giảm bớt được tình trạng quá tải ở các chuẩn trước đây.

Với đặc tả kỹ thuật được phê chuẩn, MIMO (Multiple Input, Multiple Output) là công nghệ bắt buộc phải có trong các sản phẩm Wi-Fi 802.11n, thường được dùng chung với kỹ thuật ghép kênh phân chia theo tần số trực giao OFDM MIMO có thể làm tăng tốc độ cao hơn bằng cách sử dụng hai angten ở mỗi đầu của tín hiệu (một để truyền, một để nhận) thay vì một angten ở mỗi đầu như vậy Ngoài ra, MIMO còn giúp cải thiện vùng phủ sóng

và độ tin cậy của thiết bị Điều này giúp việc sử dụng các ứng dụng trong môi trường mạng Wi-Fi được cải tiến đáng kể, phục vụ tốt cho nhu cầu giải trí đa phương tiện, nhiều người dùng có thể xem phim chất lượng cao (HD, Full

HD, Full HD 3D ), gọi điện thoại qua mạng Internet (VoIP), tải tập tin dung lượng lớn đồng thời, v.v… mà chất lượng dịch vụ và độ tin cậy vẫn luôn đạt mức cao

1.1.1 Một số chuẩn 802.11 khác

Ngoài các chuẩn phổ biến trên, IEEE còn lập các nhóm làm việc độc lập

để bổ sung các quy định vào các chuẩn 802.11a, 802.11b và 802.11g nhằm nâng cao tính hiệu quả, khả năng bảo mật:

• IEEE 802.11c: Bổ sung việc truyền thông và trao đổi thông tin giữa các LAN qua cầu nối lớp MAC với nhau

• IEEE 802.11d: Chuẩn này được đặt ra nhằm giải quyết vấn đề là băng tần 2.4 GHz không khả dụng ở một số quốc gia trên thế giới Ngoài ra còn bổ sung các đặc tính hoạt động cho một số vùng địa

lý khác nhau

• IEEE 802.11e: Nguồn gốc chuẩn 802.11 không cung cấp việc quản

lý chất lượng dịch vụ Phiên bản này cung cấp chức năng QoS Theo kế hoạch, chuẩn này sẽ được ban hành vào cuối năm 2001, nhưng do không tích hợp trong thiết kế cấu trúc mà nó đã không được hoàn thành đúng theo thời gian dự kiến

• IEEE 802.11F: Hỗ trợ tính di động, tương tự mạng di động tế bào

• IEEE 802.11h: Hướng tới việc cải tiến công suất phát và lựa chọn kênh của chuẩn 802.11a, nhằm đáp ứng các tiêu chuẩn của thị trường châu Âu.

• IEEE 802.11j: Sự hợp nhất trong việc đưa ra phiên bản tiêu chuẩn chung của 2 tổ chức IEEE và ETSI trên nền IEEE 802.11a và HIPERLAN 2

• IEEE 802.11k: Cung cấp khả năng đo lường mạng và sóng vô tuyến thích hợp cho các lớp cao hơn

• IEEE 802.11p: Hình thức kết nối mở rộng sử dụng trên các phương tiện giao thông (ví dụ sử dụng Wi-Fi trên xe bus)

• IEEE 802.11r: Mở rộng của 802.11d, cho phép nâng cấp khả năng chuyển vùng

• IEEE 802.11T: Chứng thực cho VoIP để quy định cách thức ưu tiên băng thông cho giọng nói hoặc video

• IEEE 802.11u: Quy định cách thức tương tác với các thiết bị không tương thích 802 (ví dụ như các mạng điện thoại di động)

• IEEE 802.11w: Là nâng cấp của các tiêu chuẩn bảo mật được mô

tả ở 802.11i

Các chuẩn IEEE 802.11T và 802.11F được viết hoa chữ cái cuối dùng để phân biệt đây là 2 chuẩn dựa trên các tài liệu độc lập, thay vì sự mở rộng, nâng cấp của 802.11 và do đó chúng có thể được ứng dụng vào các môi trường khác 802.11 (chẳng hạn WiMAX – 802.16)

Trong khi đó 802.11x sẽ không được dùng như một tiêu chuẩn độc lập

mà sẽ bỏ trống để trỏ đến các chuẩn kết nối 802.11 bất kì Nói cách khác, 802.11 có ý nghĩa là “mạng cục bộ không dây” và 802.11x mang ý nghĩa

“mạng cục bộ không dây theo hình thức kết nối nào đó (a/b/g/n)”

Chúng ta có thể dễ dàng tạo một mạng Wi-Fi với lẫn lộn các thiết bị theo chuẩn IEEE 802.11b với IEEE 802.11g Tất nhiên là tốc độ và khoảng cách hiệu dụng sẽ là của IEEE 802.11b Một trở ngại với các mạng 802.11b/g và có

lẽ cả với 802.11n là việc sử dụng tần số 2.4 GHz, vốn đã quá “chật chội” khi

đó cũng là tần số hoạt động của máy bộ đàm, tai nghe và loa không dây… cũng sử dụng tần số này và công suất quá lớn của thiết bị này có thể gây ra

1.3 Các thành phần cơ bản của IEEE 802.11

Hình 1 Thành phần cơ bản của 802.11

Có 4 thành phần chính trong các loại mạng không dây sử dụng chuẩn 802.11 [11]:

• Hệ thống phân phối (Distribution System)

• Điểm truy cập (Access Point)

• Tầng liên lạc vô tuyến (Wireless Medium)

• Trạm (Stations)

1.3.1 Hệ thống phân phối – Distribution System

Hệ thống phân phối DS là thành phần kiến trúc dùng để kết nối các nhóm dịch vụ với nhau và để tích hợp với các mạng LAN để tạo thành một mạng

mở rộng Hay nói cách khác, DS sử dụng để kết nối các BSS với nhau để điều phối thông tin đến các trạm đích

Một DS cho phép hỗ trợ các thiết bị di động bằng cách cung cấp các dịch

vụ logic cần thiết giám sát địa chỉ để chuyển đổi đích và tích hợp nhiều BSS

Dữ liệu di chuyển giữa một BSS và DS qua một AP Các địa chỉ được AP sử dụng để trao đổi thông tin trên môi trường vô tuyến và trên môi trường hệ thống phân phối không nhất thiết phải giống nhau

Thực tế, hệ thống phân phối được xem như sự kết hợp giữa cầu nối và môi trường hệ thống phân phối, nó là các mạng backbone sử dụng để chuyển các gói tin giữa các điểm truy nhập

1.3.2 Điểm truy nhập – Access Point

Điểm truy nhập thực chất là một thiết bị phần cứng cố định thực hiện chức năng cầu nối giữa mạng không dây và có dây, thực hiện việc chuyển tiếp gói tin cho các trạm không dây Vùng phủ sóng của điểm truy cập cho phép các trạm tham gia trao đổi thông tin

1.1.1 Môi trường vô tuyến – Wireless Medium

Môi trường vô tuyến là môi trường truyền các sóng điện từ mang thông tin từ trạm này đến trạm khác Đây chính là môi trường không khí

1.1.1 Các trạm – Stations

Mạng không dây được thiết kế và xây dựng nhằm kết nối các trạm với nhau, có thể là những thiết bị như máy tính, điện thoại cầm tay hay bất cứ thiết bị nào có giao diện vô tuyến

1.4 Kết chương 1

Nội dung chương này đã trình bày các kiến thức tổng quan về mạng không dây, các công nghệ mạng cũng như các chuẩn IEEE 802.11 và các thành phần cơ bản của một mạng không dây Việc áp dụng rộng rãi mạng WLAN 802.11 trong nhiều lĩnh vực đã chứng tỏ được tính ưu việt và hiệu quả của nó

Cũng giống như mọi công nghệ mạng khác, vấn đề an ninh trong WLAN 802.11 cũng được đặt ra và đặc biệt trong hoàn cảnh được sử dụng rộng rãi như hiện nay thì vấn đề an ninh cho WLAN trở nên một vấn đề nóng hổi trong lĩnh vực điện toán Do đó, nội dung chương tiếp theo sẽ đi giới thiệu các giải pháp an ninh cho mạng WLAN 802.11 và nghiên cứu chi tiết phương thức bảo mật và đảm bảo toàn vẹn dữ liệu trong các giải pháp đó

CHƯƠNG 2 GIẢI PHÁP ĐẢM BẢO AN NINH AN TOÀN

CHO MẠNG KHÔNG DÂY

2.1 Vai trò của bảo mật mạng không dây

Bất cứ một hệ thống mạng có dây lẫn không dây đều tồn tại những lỗ hổng về mặt kỹ thuật cho phép tin tặc có thể xâm nhập vào hệ thống để ăn cắp thông tin hay phá hoại, do đó trên thực tế không có một mạng nào được xem

là bảo mật tuyệt đối Vì vậy, người ta thường phải sử dụng nhiều kỹ thuật bảo mật đi kèm với các mạng để đảm bảo tính an toàn cho mạng Đối với mạng không dây có thể sử dụng các phương pháp mã hóa để đảm bảo tính bí mật của thông tin, sử dụng các cơ chế chứng thực để kiểm tra tính hợp pháp của người dùng

Hơn nữa, mạng không dây truyền và nhận dữ liệu dựa trên sóng vô tuyến

và vì AP phát sóng lan truyền trong bán kính cho phép nên bất cứ thiết bị nào

có hỗ trợ truy cập đều có thể bắt sóng này Cho nên rủi ro thông tin bị đánh cắp hoặc nghe trộm rất cao Do vậy, để đảm bảo tính bảo mật của mạng không dây cần giải quyết các vấn đề sau:

• Ngăn chặn thông tin người dùng bị tấn công khi thực hiện quá trình đàm phán xác thực thông tin truy cập vào mạng

• Sau khi chứng thực hoàn tất, phải đảm bảo an toàn riêng tư dữ liệu được truyền đi giữa máy khách và điểm truy cập

• Kiểm tra chắc chắn rằng người dùng được phép truy cập vào mạng

2.2 Các nguy cơ mất an toàn đối với mạng không dây

Môi trường không dây là một môi trường sóng, vì vậy vấn đề bảo mật vật

lý là một vấn đề làm đau đầu các nhà quản lý Bất kì một mạng không dây nào đều có thể gặp phải các mối đe dọa, có thể đem lại thiệt hại to lớn Một sự tấn công có chủ đích có thể gây vô hiệu hóa hoặc có thể truy cập trái phép vào

hệ thống Sau đây là một số hình thức tấn công phổ biến:

• Tấn công bị động – Passive attacks

• Tấn công chủ động – Active attacks

• Tấn công theo kiểu chèn ép – Jamming attacks

• Tấn công theo kiểu thu hút – Man in the middle attacks

• Tấn công bằng phương pháp dò từ điển – Dictionary attack

• Tấn công từ chối dịch vụ – Denied of Service

Nghe trộm (Sniffing) là phương pháp tấn công đơn giản nhất nhưng vẫn hiệu quả, nó được thực hiện bằng cách đặt một thiết bị thu nằm trong hoặc gần vùng phủ sóng

Phân tích đường truyền là phương pháp tấn công theo một cách tinh vi hơn, thu thập thông tin nhờ theo dõi những luồng thông tin của bên gửi Một lượng thông tin đáng kể đạt được trong luồng thông tin giữa những bên gửi.Phương pháp này không để lại một dấu vết nào chứng tỏ đã có sự hiện diện của kẻ tấn công trong mạng vì khi tấn công kẻ đó không gửi bất kỳ gói tin nào mà chỉ lắng nghe mọi dữ liệu lưu thông trên mạng

Hình 2 Tấn công bị động

Kết quả là kẻ tấn công có thể thu thập được các thông tin quan trọng, mật khẩu,… từ các quá trình trao đổi thông tin trên máy người dùng với các site HTTP, Email, các phiên FTP, telnet nếu những thông tin trao đổi đó không được mã hóa Hoặc có thể lấy được mật khẩu trên mạng không dây của quá trình trao đổi giữa Client và Server khi đang thực hiện quá trình nhập mật khẩu để đăng nhập Tác hại là không thể lường trước được nếu như kẻ tấn công có thể đăng nhập vào mạng bằng thông tin của người dùng nào đó và cố tình gây ra những thiệt hại cho mạng.

Phương thức tấn công kiểu bị động này rất khó phát hiện và do đặc điểm truyền sóng trong không gian nên không thể phòng ngừa việc nghe trộm của

kẻ tấn công Giải pháp đề ra ở đây là nâng cao khả năng mã hóa thông tin sao cho kẻ tấn công không thể giải mã được, khi đó thông tin lấy được sẽ không

có giá trị đối với kẻ tấn công

và có thể thâm nhập vào hệ thống mạng của tổ chức thực hiện các điều mà kẻ tấn công muốn như thay đổi các thông số dữ liệu, lấy cắp thông tin cá nhân cũng như của tổ chức hoặc đơn giản chỉ là gửi spam có chứa virus

2.2.3 Tấn công theo kiểu chèn ép

Tấn công theo kiểu chèn ép là một kỹ thuật đơn giản để làm mạng ngừng hoạt động Phương thức của kiểu tấn công này là sử dụng thiết bị có phát tín hiệu có cùng tần số và công suất phát lớn để áp đảo làm mạng bị nhiễu, bị ngừng hoạt động Tín hiệu RF đó có thể di chuyển hoặc cố định

Đôi khi, vấn đề này xảy ra hoàn toàn vô tình do vấn đề quản lý không được tốt Hình thức tấn công này không phải là sự đe dọa nghiêm trọng, nó khó có thể được thực hiện phổ biến do vấn đề của thiết bị, nó quá đắt trong khi kẻ tấn công chỉ tạm thời vô hiệu hóa được hệ thống mạng

Hình 2 Tấn công gây nhiễu

Hiện nay, chống lại việc gây nhiễu này là điều không thể Chúng ta chỉ có thể kiểm tra hệ thống có bị nhiễu hay không bằng các công cụ hỗ trợ

2.2.4 Tấn công theo kiểu thu hút

Tấn công theo kiểu thu hút là trường hợp trong đó kẻ tấn công sử dụng một AP để đánh cắp các node di động bằng cách gửi tín hiệu vô tuyến mạnh hơn của AP thực đến các node đó Các node di động nhận thấy có AP phát tín hiệu vô tuyến tốt hơn nên sẽ kết nối đến AP giả mạo này, truyền dữ liệu có thể

là những dữ liệu nhạy cảm đến AP giả mạo và kẻ tấn công có toàn quyền xử

lý Đơn giản là kẻ đóng vai trò là một AP giả mạo đứng giữa tất cả các Client

và AP thực sự, thậm chí cả Client và AP thực sự không nhận thấy sự hiện diện của AP giả mạo này

Để làm cho Client kết nối đến AP giả mạo thì công suất phát của AP giả mạo phải cao hơn nhiều so với AP thực trong vùng phủ sóng của nó Việc kết nối lại với AP giả mạo được xem như một việc tình cờ trong quá trình vào mạng và một vài Client sẽ kết nối tới AP giả mạo này một cách ngẫu nhiên

Kẻ tấn công muốn tấn công theo cách này, trước tiên phải biết được giá trị của SSID mà Client đang sử dụng (giá trị này rất dễ dàng có được bằng các công cụ quét mạng WLAN) Sau đó, kẻ tấn công phải biết được WEB Key nếu mạng có sử dụng WEB Kết nối với mạng trục có dây từ AP giả mạo được điều khiển thông qua một thiết bị Client như PC card hay Workgroup Bridge Nhiều khi, kiểu tấn công này chỉ được thực hiện với một Labtop và 2 PCMCIA card Phần mềm AP chạy trên máy Laptop nơi PC card được sử

dụng như là một AP và một PC card thứ 2 được sử dụng để kết nối Laptop đến AP thực gần đó Trong cấu hình này, Laptop chính là “người đứng giữa”, hoạt động giữa AP và Client thực Từ đó, kẻ tấn công có thể lấy được những thông tin giá trị bằng cách sử dụng các chương trình phân tích mạng trên máy Laptop.

Hình 2 Tấn công theo kiểu thu hút

Điểm cốt yếu trong kiểu tấn công này là người dùng không thể nhận biết được Vì thế, số lượng thông tin mà kẻ tấn công có thể thu được phụ thuộc vào thời gian mà kẻ tấn công có thể duy trì trạng thái này trước khi bị phát hiện Bảo vệ vật lý là phương pháp tốt nhất để chống lại kiểu tấn công này

2.2.5 Tấn công bằng phương pháp dò từ điển

Việc dò mật khẩu dựa trên nguyên lý quét tất cả các trường hợp có thể sinh ra từ tổ hợp của các ký tự Nguyên lý này có thể được thực thi bằng những phương pháp khác nhau như quét từ trên xuống dưới, từ dưới lên trên,

từ số đến chữ, v.v… Việc quét thế này tốn nhiều thời gian ngay cả trên những thế hệ máy tính tiên tiến bởi vì số trường hợp tổ hợp ra cực kì nhiều Thực tế

là khi đặt một mật mã, nhiều người thường dùng các từ có ý nghĩa liên quan tới mình, ví dụ như ngày sinh, tên riêng… Trên cơ sở đó, một nguyên lý mới được đưa ra là sẽ quét mật khẩu theo các trường hợp theo các từ ngữ trên một

bộ từ điển có sẵn, nếu không tìm ra lúc đấy mới quét tổ hợp các trường hợp

Bộ từ điển này gồm những từ ngữ được sử dụng trong cuộc sống, trong xã

hội, v.v… và nó luôn được cập nhật bổ sung để tăng “thông minh” của bộ phá mã.

Để ngăn chặn với kiểu dò mật khẩu này, cần xây dựng một quy trình đặt mật khẩu phức tạp hơn, đa dạng hơn để tránh những tổ hợp từ và gây khó khăn cho việc quét tổ hợp các trường hợp Ví dụ quy trình đặt mật khẩu phải như sau:

• Mật khẩu dài tối thiểu 10 ký tự

có thể loại bỏ được hay không loại bỏ được Khi một kẻ tấn công chủ động tấn công DoS, nó có thể sử dụng một thiết bị WLAN đặc biệt, thiết bị này là

bộ phát tín hiệu RF công suất cao hay thiết bị chuyên dụng khác

Để loại bỏ kiểu tấn công này thì yêu cầu đầu tiên là phải xác định được nguồn tín hiệu RF Việc này có thể làm bằng cách sử dụng một Spectrum Analyzer (máy phân tích phổ)

Khi nguồn gây ra DoS là không thể di chuyển được và không gây hại như

nên xem xét sử dụng các tần số khác nhau cho mạng WLAN Ví dụ, nếu người quản trị chịu trách nhiệm thiết kế và cài đặt WLAN cho môi trường mạng rộng lớn, phức tạp thì cần phải xem xét kỹ càng Nếu như nguồn nhiễu

RF trải rộng hơn 2.4 GHz như bộ đàm, lò vi sóng thì cần sử dụng những thiết

bị chuẩn 802.11a hoạt động ở băng tần 5 GHz thay vì sử dụng những thiết bị chuẩn 802.11b/g hoạt động ở băng tần 2.4 GHz sẽ dễ bị nhiễu

DoS do vô ý xuất hiện, thường do nhiều các thiết bị khác nhau chia sẻ chung băng tần 2.4 ISM với mạng WLAN DoS một cách chủ động thường không phổ biến lắm, lý do là bởi vì để thực hiện được DoS thì rất tốn kém, giá của thiết bị rất đắt tiền, kết quả đạt được chỉ là tạm thời shutdown mạng trong thời gian ngắn

2.3 Giải pháp an toàn mạng không dây

Giống như mạng có dây, mạng 802.11 cũng kế thừa những yêu cầu về an ninh cần có từ mạng có dây Tuy nhiên, nếu ở mạng có dây môi trường truyền dẫn là mở có hạn chế (nghĩa là các thiết bị có thể truy cập nhưng yêu cầu phải

có kết nối vật lý vào đường dẫn) thì ở mạng 802.11, môi trường truyền dẫn (sóng điện từ trong không khí) là hoàn toàn mở Điều này có nghĩa là các thiết

bị không dây đều có thể truy cập không hạn chế vào môi trường này Vì đặc điểm đó, mạng không dây cần có những phương pháp đảm bảo an ninh riêng bên cạnh những phương pháp truyền thống Như đã trình bày, chuẩn 802.11 chỉ đặc tả cho hai tầng là: PHY và MAC Do đó, các phương pháp an ninh cho chuẩn 802.11 chủ yếu được xây dựng ở tầng con MAC thuộc tầng Liên kết dữ liệu trong mô hình OSI

Chuẩn IEEE 802.11 quy định ba mục tiêu an ninh [17] cần có cho mạng 802.11 bao gồm:

• Tính xác thực (Authentication): Nhằm đảm bảo chỉ những thiết bị được phép (đã xác thực) mới có thể truy cập vào điểm truy cập và

• Tính toàn vẹn (Integrity): Đảm bảo dữ liệu được giữ nguyên vẹn, không bị sửa đổi trong quá trình truyền qua mạng.

Với ba mục tiêu này, chuẩn 802.11 sử dụng ba phương pháp là xác thực,

mã hóa và kiểm tra tính toàn vẹn nhằm đảm bảo tính an toàn cho môi trường mạng Phần này sẽ tập trung trình bày các phương pháp mã hóa được áp dụng

để đảm bảo an ninh cho mạng WLAN 802.11 cũng như những hạn chế còn tồn tại của phương pháp này

2.3.1 Giải pháp an ninh WEP

WEP (Wired Equivalent Privacy – Tính bí mật tương đương mạng có dây) là cơ chế bảo mật đầu tiên khi chuẩn 802.11 ra đời Thực tế ứng dụng đã cho thấy WEP có nhiều lỗ hổng an ninh cần khắc phục Tuy nhiên, việc hiểu

rõ cơ chế WEP cũng như những lỗ hổng của cơ chế này giúp ta có được cái nhìn tổng thể về những yêu cầu an ninh cần áp dụng cho mạng không dây

2.3.1.1 Mục tiêu bảo mật chính của WEP

Ba mục tiêu bảo mật chính của WEP Error: Reference source not found:

• Tính bí mật: Chống nghe/xem trộm trên mạng

• Điều khiển truy cập: Chống truy cập bất hợp pháp

• Tính toàn vẹn dữ liệu gốc: Phát hiện được sự thay đổi dữ liệu

2.3.1.2 Phương pháp chứng thực

Có hai vấn đề cần quan tâm đến WEP, đầu tiên là vấn đề chứng thực và thứ hai là mã hóa Phương pháp chứng thực của WEP cũng phải qua các bước trao đổi giữa Client và AP, nhưng nó có thêm mã hóa và phức tạp hơn

Hình 2 Quá trình chứng thực giữa Client và AP

Các bước chứng thực cụ thể như sau:

Bước 1: Client sẽ gửi đến AP yêu cầu xin chứng thực

Bước 2: AP sẽ tạo ra một chuỗi ngẫu nhiên dạng rõ (challenge text) và gửi đến Client

Bước 3: Client nhận được chuỗi ngẫu nhiên này sẽ mã hóa chuỗi bằng thuật toán RC4 theo mã khóa mà Client được cấp, sau đó gửi lại cho AP

Bước 4: AP sau khi nhận được chuỗi mã hóa của Client, nó sẽ giải mã lại bằng thuật toán RC4 theo mã hóa đã cấp cho Client, nếu kết quả giống với chuỗi ban đầu mà nó gửi cho Client thì có nghĩa là Client đã có mã khóa đúng

và AP sẽ chấp nhận quá trình chứng thực của Client và cho phép thực hiện kết nối

2.3.1.3 Phương pháp mã hóa

Chức năng chính của WEP là dựa trên khóa, là yếu tố cơ bản cho thuật toán mã hóa Khóa WEP được cài đặt vào Client và vào các thiết bị hạ tầng trong mạng WLAN Khóa WEP là một chuỗi ký tự và số được sử dụng theo 2 cách:

• Sử dụng để kiểm tra định danh xác thực Client

• Sử dụng để mã hóa dữ liệu

Thuật toán mã hóa mà WEP sử dụng là RC4 [15] cho phép chiều dài của khóa thay đổi và có thể lên 256 bit cùng với một số ngẫu nhiên 24 bit để mã hóa dữ liệu Chuẩn 802.11 đòi hỏi bắt buộc các thiết bị WEP phải hỗ trợ chiều dài khóa tối tiểu là 40 bit, đồng thời đảm bảo tùy chọn hỗ trợ cho các khóa dài hơn Hiện nay, đa số các thiết bị không dây hỗ trợ WEP với ba chiều dài khóa:

40 bit, 60 bit và 128 bit Với phương thức mã hóa RC4, WEP cung cấp tính bảo mật và toàn vẹn của thông tin trên mạng không dây, đồng thời được xem như một phương thức kiểm soát truy cập

Để tránh trùng lặp khóa WEP trong quá trình mã hóa, WEP sử dụng 24 bit IV (Initialization Vector), nó được kết nối vào khóa WEB trước khi được

xử lý bởi RC4 Và WEP chỉ mã hóa phần dữ liệu (payload) còn tất cả các trường khác được truyền mà không mã hóa

• Quy trình mã hóa:

Hình 2 Lược đồ mã hóa WEP sử dụng RC4

Khóa WEP dùng chung và vector khởi tạo IV là hai nguồn dữ liệu đầu vào của bộ tạo mã dùng thuật toán RC4 để tạo ra chuỗi khóa (key stream) giả ngẫu nhiên một cách liên tục Mặt khác, một phần nội dung bản tin được bổ sung thêm phần kiểm tra CRC để tạo thành gói tin mới, CRC [4] ở đây được

sử dụng để kiểm tra tính toàn vẹn của dữ liệu (ICV – Intergrity Check Value), chiều dài của CRC là 32 bit Gói tin mới vẫn có nội dung ở dạng chưa mã hóa (plaint text), sẽ được kết hợp với chuỗi các khóa key stream theo thuật toán

XOR để tạo ra một bản tin được mã hóa (cipher text) Bản tin này và chuỗi IV đóng thành gói tin gửi đi.

• Quy trình giải mã:

Hình 2 Lược đồ giải mã WEP sử dụng RC4

Quy trình giải mã của WEP được thực hiện tương tự, chỉ khác dữ liệu đầu vào và đầu ra Bên nhận dùng khóa WEP dùng chung và giá trị IV tách ra từ bản mã rồi kết hợp với RC4 tạo ra chuỗi khóa kết hợp XOR với Cipher Text

để tạo ra Payload (dữ liệu gốc) là dữ liệu ban đầu gửi đi

2.3.1.4 Ưu điểm và nhược điểm của WEP

• Dùng lại IV: WEP sử dụng khóa cố định chia sẻ giữa AP và nhiều Client cùng với một IV ngẫu nhiên 24 bit Do đó, cùng một IV sẽ được sử dụng lại nhiều lần Bằng cách thu thập thông tin truyền đi,

kẻ tấn công có thể có đủ thông tin cần thiết để có thể bẻ khóa WEP đang dùng

• Không hỗ trợ quản lý khóa, nghĩa là không có cơ chế sinh khóa và phân phát khóa tự động và không có cơ chế ngăn chặn truyền lại

• Khóa WEP dễ bị tấn công bởi khóa được sử dụng cố định bởi người dùng và ít được thay đổi (tự động thay đổi)

• Không đảm bảo tính riêng tư và tính toàn vẹn, nếu khóa WEP đã được biết thì kẻ tấn công có thể giải mã thông tin truyền đi và có thể thay đổi nội dung của thông tin truyền đi

2.3.2 Giải pháp an ninh WPA/WPA2

Những vấn đề an toàn trong chuẩn 802.11 và WEP dẫn đến sự ra đời của chuẩn 802.11i Tháng 10/2003, WiFi Alliance đã công bố WPA để giải quyết tất cả những lỗ hổng được biết đến trong WEP Đây là một giải pháp tạm thời

để khắc phục những lỗ hổng của chuẩn 802.11 ở thời điểm đó Sự thúc đẩy phát triển WPA tập trung vào những lỗ hổng an toàn trong 802.11 WPA được thiết kế là một giải pháp mạnh và tương thích với chuẩn 802.11i Đến năm

2004, tất cả các sản phẩm phải tích hợp WPA sẽ được xác nhận WiFi

WPA thực hiện những cải tiến chính đối với mã hóa, xác thực, toàn vẹn, quản lý khóa và bổ sung một yếu tố xác định khả năng an toàn mạng WPA đưa ra một công nghệ mã hóa mới, TKIP (Temporal Key Integrity Protocol) với kiểm tra tính toàn vẹn MIC (Message Integrity Protocol) để thay thế WEP

và cung cấp tin cậy dữ liệu và toàn vẹn dữ liệu mạng WiFi Alliance thực thi xác thực lẫn nhau trong WPA bằng phương tiện xác thực IEEE 802.11X/EAP, cung cấp một xác thực mạnh giữa một Client không dây và máy chủ xác thực thông qua một AP Ngoài ra, WPA mở đường cho sử dụng phương pháp xác thực mở Quản lý khóa, một trong những vấn đề lớn nhất trong 802.11 đã được giải quyết và thực thi trong 802.11i và WPA, cung cấp một quá trình xác thực tách biệt để phân phối khóa Yếu tố xác định an toàn mạng tích hợp những yếu tố thông tin WPA trong những khung 802.11 (báo hiệu, thăm dò,

đáp ứng và thách thức tái kết hợp) để xác định mã hóa và xác thực nào là phù hợp cho sử dụng.

2.3.2.1 Mã hóa TKIP trong WPA

TKIP được thiết kế để giải quyết những lỗ hổng của WEP, không cần phải thay thế phần cứng cũ Vì lý do này, TKIP duy trì những cơ chế căn bản của WEP: IV, thuật toán RC4, ICV Tuy nhiên, sơ đồ mã hóa RC4 được tăng cường sử dụng một khóa trên mỗi gói tin 128 bit và một IV 48 bit dài hơn Không giống như WEP, TKIP mã hóa mỗi gói dữ liệu được gửi bằng khóa mã hóa duy nhất của chính nó Những khóa này được tạo ra một cách tự động, cung cấp khả năng an toàn cao hơn chống lại những kẻ xâm phạm dựa vào việc dự đoán trước những khóa tĩnh trong WEP Ngoài ra, WPA còn bao gồm một kiểm tra tính toàn vẹn tin MIC (Micheal) để ngăn chặn biến đổi tin

Có ba giao thức kết hợp với TKIP: MIC, một thuật toán trộn khóa và một tăng cường IV Thuật toán đầu tiên, MIC là một thuật toán toàn vẹn tin mật

mã để ngăn chặn bất kì biến đổi nào tới một gói tin Nó sử dụng một hàm băm thay cho tổng kiểm tra tuyến tính, giải quyết những lỗ hổng trong ICV Thuật toán băm, được gọi là Micheal được thiết kế để đảm bảo nội dung của gói dữ liệu chỉ được gửi bởi những Client hợp pháp và không có sự biến đổi dữ liệu nào trong suốt quá trình truyền gói tin Micheal tạo ra một hàm băm 64 bit, sau đó được so sánh với cả hai bên nhận/gửi Giá trị MIC phải phù hợp với dữ liệu sẽ được chấp nhận Nếu không, gói tin bị bỏ qua vì nó được giả định rằng tính toàn vẹn gói tin đã bị gây hại, trừ phi những biện pháp đối phó được thực hiện Trong trường hợp này, tất cả những lần truyền và nhận gói tin đều bị vô hiệu hóa và tất cả các Client phải xác thực và những kết hợp mới bị dừng trong vòng 60 giây

Giao thức thứ 2, IV 24 bit được thay thế bằng một bộ đếm chuỗi TKIP TSC (TKIP Sequence Counter) 48 bit để giải quyết những vấn đề sử dụng lại

IV trong WEP TSC là một bộ đếm 48 bit bắt đầu bằng 0 và tăng thêm 1 giá trị cho mỗi gói tin, cung cấp cho bên nhận phương tiện duy trì dấu vết của giá trị cao nhất cho mỗi địa chỉ MAC để đảm bảo gói tin đến theo chuỗi Một gói tin bị bỏ qua nếu như giá trị TSC ít hơn hoặc bằng gói tin vừa nhận được để

ngăn chặn tấn công dùng lại bởi hàm TSC cho phép một chuỗi khóa không bao giờ bị dùng lại với khóa Giao thức này ngăn chặn một kẻ tấn công thực hiện một cuộc tấn công dùng lại, được biết đến là những tấn công bản rõ đã biết và những tấn công dựa trên cơ sở từ điển sau khi khôi phục một dòng khóa.

Giao thức thứ ba, TKIP tích hợp một hàm trộn khóa để đảm bảo những khóa mã thay đổi trên cơ sở mỗi gói tin Nó được thiết kế để bảo vệ mã hóa tạm thời TEK (Temporal Encryption Key) 128 bit, một khóa cơ sở tạm thời được sử dụng để tạo những khóa dùng duy nhất trên mỗi gói tin

2.3.2.2 Xác thực trong WPA

Trong WPA, xác thực lẫn nhau đạt được bằng khung 802.11X/EAP giúp đảm bảo những người sử dụng được quyền mới có thể đăng nhập mạng Nó là một quá trình khẳng định rằng một Client đang xác thực tới một máy chủ được quyền và không phải với một AP giả mạo

Cơ chế xác thực chia thành hai loại, bởi WPA phải giải quyết vấn đề ở hai thị trường rất khác nhau: WPA Personal và WPA Enterprise Cả hai lựa chọn này đều sử dụng giao thức TKIP và sự khác biệt chỉ là khóa khởi tạo lúc đầu WPA Personal thích hợp cho gia đình và mạng văn phòng nhỏ, khóa khởi tạo được chia sẽ trước và sử dụng tại các điểm truy cập và các thiết bị máy trạm Trong khi đó WPA Enterprise cần một máy chủ xác thực và 802.11x để cung cấp các khóa khởi tạo cho mỗi phiên làm việc

2.3.2.3 Quản lý khóa trong WPA

WPA kết hợp với một hệ thống quản lý khóa và tạo khóa, kết hợp quá trình xác thực và những hàm toàn vẹn dữ liệu Sử dụng giao thức 802.11X/EAP, một khóa chủ (PMK) được tạo một cách tự động Sau việc tạo PMK, quá trình trao đổi khóa được xem là quá trình bắt tay 4 chiều và bắt tay GTK Bắt tay 4 chiều và GTK là những bắt tay an toàn được sử dụng để thiết lập và cài đặt những khóa truyền được sử dụng giữa một Client không dây và một AP trong phiên, gồm những khóa mã TKIP Nó là một quá trình trao đổi 4 gói tin của những khóa EAPOL Những gói khóa EPAOL 802.11x được sử

được xác thực thành công Những khóa truyền này là tạm thời và chỉ kéo dài khi một Client không dây được kết hợp và xác thực tới một AP.

2.3.2.4 Đánh giá chung về giải pháp an ninh WPA

WPA được xây dựng nhằm cải thiện những hạn chế của WEP nên nó chứa đựng những đặc điểm vượt trội so với WEP Đầu tiên, nó sử dụng một khóa động được thay đổi một cách tự động nhờ vào giao thức TKIP Khóa sẽ thay đổi dựa trên người dùng, phiên trao đổi nhất thời và số lượng gói tin đã truyền Thứ hai là WPA cho phép kiểm tra xem thông tin có bị thay đổi trên đường truyền hay không nhờ vào bản tin MIC Và đặc điểm nổi bật nhất là nó cho phép nhận thực lẫn nhau bằng cách sử dụng giao thức 802.1x

Tuy nhiên, WPA vẫn không phải là một giải pháp hoàn hảo bởi nó vẫn bộc lộ một số giới hạn

• Điểm yếu đầu tiên là WPA vẫn không giải quyết được kiểu tấn công từ chối dịch vụ DoS Kẻ phá hoại có thể làm nhiễu mạng WPA bằng cách gửi hai gói dữ liệu có lỗi MIC trong một chu kì 60 giây Trong trường hợp này, AP cho rằng kẻ phá hoại đang tấn công mạng và AP sẽ cắt tất cả các kết nối mạng trong vòng 60 giây

để tránh hao tổn tài nguyên mạng Do đó, sự tiếp diễn của thông tin không được phép sẽ làm xáo trộn hoạt động của mạng và ngăn cản

sự kết nối của những người dùng hợp pháp

• Ngoài ra, WPA vẫn sử dụng thuật toán RC4 mà có thể dễ dàng bị

bẻ vỡ bởi tấn công FMS đã được đề xuất bởi những nhà nghiên cứu ở trường đại học Berkeley Hệ thống mã hóa RC4 chứa đựng những khóa yếu (weak keys) Những khóa yếu này cho phép truy

ra khóa mã Để có thể tìm ra khóa yếu của RC4, chỉ cần thu thập một số lượng đủ thông tin truyền trên kênh truyền không dây

• WPA-PSK (Pre-share Key) là một phiên bản yếu của WPA mà ở đó

nó gặp vấn đề về quản lý password hoặc chia sẻ bí mật giữa nhiều người dùng Khi một người trong nhóm (trong công ty) rời nhóm, một password/secret mới cần phải được thiết lập

2.3.2.5 Giải pháp an ninh WPA2

Trong khi Wi-Fi Alliance đưa ra WPA và được coi là loại trừ mọi lỗ hổng tấn công của WEP nhưng người sử dụng vẫn không thực sự tin tưởng vào WPA bởi nó vẫn còn tồn tại những hạn chế

Để khắc phục nhược điểm này của WPA, một giải pháp về lâu dài là nhanh chóng đưa một tiêu chuẩn bảo mật tốt hơn, bám sát hơn theo chuẩn 802.11i của IEEE là chuẩn WPA2 được Wi-Fi Alliance thông qua tháng 9/2004

Cũng giống WPA, WPA2 được thiết kế để bảo mật trên tất cả các phiên bản 802.11b, 802.11a, 802.11g và 802.11n hỗ trợ đa kênh, đa chế độ và cho phép thực hiện trên IEEE 802.11X/EAP hoặc PSK Nó tăng mức độ bảo mật

về dữ liệu, điều khiển truy cập mạng và khắc phục tất cả những điểm yếu của WEP và WPA Điểm khác biệt lớn nhất giữa WPA và WPA2 đó là trong khi WPA dùng TKIP cho việc mã hóa và thuật toán Micheal cho việc đảm bảo sự toàn vẹn trên từng gói dữ liệu thì WPA2 sử dụng chuẩn mã hóa cao cấp AES

để đảm bảo tính bảo mật, toàn vẹn dữ liệu và sử dụng CCMP/AES cho việc

mã hóa dữ liệu và kiểm tra tính toàn vẹn của gói tin

2.4 Kết chương 2

Chương này đã trình bày vai trò của bảo mật mạng không dây và các kiểu tấn công phổ biến vào mạng không dây Đồng thời cũng giới thiệu các giải pháp an ninh chủ yếu được áp dụng vào mạng 802.11 Việc tập trung đi sâu vào nghiên cứu các phương pháp mã hóa và đảm bảo tính toàn vẹn trong các phương pháp này nhằm đưa ra một cái nhìn tổng quát về quá trình phát triển cũng như cải tiến của các phương pháp này Trong đó, chuẩn an ninh WEP được coi như không đủ để đảm bảo an ninh cho mạng 802.11 và hiện nay thì WEP đã bị phá vỡ hoàn toàn Và chuẩn WPA được đưa ra và được coi là loại trừ mọi lỗ hổng tấn công của WEP nhưng người sử dụng vẫn không thực sự tin tưởng vào WPA bởi nó vẫn còn tồn tại những hạn chế Đề khắc phục nhược điểm này thì WPA2 bám sát hơn 802.11i được đưa ra

Ở chương tiếp theo, chúng ta sẽ đi sâu vào nghiên cứu chuẩn bảo mật

CHƯƠNG 3 GIAO THỨC BẢO MẬT MẠNG KHÔNG DÂY

CHUẨN IEEE 802.11I

3.1 Tổng quan về chuẩn 802.11i

3.1.1 Sự ra đời của chuẩn 802.11i

IEEE (Institute of Electrical and Electronics Engineers) tạo ra một nhóm được gọi là Hiệp hội các chuẩn (Standards Association – SA) IEEE-SA chịu trách nhiệm đưa ra họ các chuẩn IEEE 802, đó là các chuẩn dành cho mạng cục bộ và mạng đô thị (Local Area and Metropolitan Area Network) IEEE

802 lại được chia thành các nhóm làm việc, trong đó mỗi nhóm lại chia thành nhiều chuẩn khác nhau cho mỗi khu vực (Hình 3.) và “.11” là nhóm làm việc tạo ra các chuẩn cho mạng không dây

Hình 3 Tổ chức của các chuẩn 802

IEEE 802.11 là một chuẩn dài và phức tạp Không kể các ảnh hưởng tốt của toàn bộ chuẩn này, vẫn có những chỗ chưa rõ ràng và không được định nghĩa đầy đủ Một số đặc tính vẫn là tùy chọn, nên nhiều nhà sản xuất khác nhau có thể tạo ra các lựa chọn khác nhau trong thiết kế của họ Để tránh các vấn đề này, một liên minh “WiFi” đã được thành lập

Để được chứng nhận “WiFi”, một nhà sản xuất phải đệ trình sản phẩm của họ để kiểm tra Liên minh WiFi đưa ra một kế hoạch kiểm tra dựa trên IEEE 802.11 Một vài đặc điểm của IEEE 802.11 không được yêu cầu trong chứng nhận, nhưng ngược lại có một vài đặc điểm lại được thêm vào Như vậy, WiFi bao gồm một tập con của chuẩn 802.11 với một vài mở rộng như Hình 3.:

Hình 3 Mối quan hệ giữa Wi-Fi và chuẩn 802.11

IEEE 802.11i định nghĩa một kiểu mạng không dây mới được gọi là Robust Security Network (RSN – Mạng an toàn mạnh) Ở một vài khía cạnh nào đó, RSN hoạt động giống như là các mạng dựa trên WEP Tuy nhiên, để tham gia một RSN thì một thiết bị không dây phải có một số chức năng mới Trong một RSN thực sự, các AP chỉ cho phép các thiết bị không dây có chức năng thực sự kết nối đến nó Tuy vậy, trong quá trình cập nhật, để hỗ trợ các thiết bị cũ, IEEE 802.11i định nghĩa một mạng an toàn chuyển tiếp TSN (Transitional Security Network) cho phép cả hai hệ thống RSN và WEP cùng hoạt động song song

Các định nghĩa của WiFi đến sau khi các chuẩn IEEE 802.11 đã hoàn thành Tuy nhiên, các nhà sản xuất WiFi chính đã quyết định rằng độ an toàn

là rất quan trọng buộc người dùng cuối phải thay thế việc sử dụng WEP bằng một thuật toán an toàn hơn trong thời gian nhanh nhất có thể Hơn nữa, họ cũng kết luận rằng các khách hàng không thể ném bỏ tất cả các thiết bị WiFi

cũ để chuyển sang sử dụng RSN, họ chỉ muốn cập nhật sản phẩm thông qua phần mềm Để làm được điều này, Task Group I đã phát triển một giải pháp

an toàn dựa trên các chức năng đã có của sản phẩm cũ Điều này cho ra đời giao thức tích hợp khóa thời gian TKIP và nó được cho phép là một chế độ tùy chọn trong RSN

Sự phát triển của TKIP là một sự trợ giúp lớn để cho phép cập nhật các

hệ thống đã tồn tại, nhưng ngành công nghiệp không thể đợi cho đến khi các chuẩn được chấp nhận Vì vậy, liên minh WiFi đã thông qua một cách tiếp cận

an toàn mới dựa trên “draft RSN” (bản thảo của RSN) nhưng chỉ định rõ TKIP Tập con này của RSN được gọi là WiFi Protected Access (WPA)

3.1.2 Định nghĩa mạng an toàn mạnh - RSN

Robust Security Network – RSN về bản chất là định nghĩa cây phân cấp khóa và tập hợp các thủ tục sinh khóa bên cạnh các phương pháp mã hóa đã được lựa chọn

3.1.2.1 Sự khác nhau giữa RSN và WPA

WPA và RSN cùng chia sẻ chung một kiến trúc và cách tiếp cận RSN hỗ trợ thuật toán mã hóa AES và cả TKIP, trong khi đó WPA tập chung cho TKIP Kiến trúc này bao gồm các thủ tục như xác thực ở tầng trên, phân phối khóa bí mật và làm mới khóa bí mật Hầu hết, các mô tả RSN ở đây đều được giả sử rằng phải hoạt động ở chế độ Infrastructure và phải có một AP Và RSN

có thể hoạt động được ở chế độ Ad-hoc nhưng WPA thì không Error:Reference source not found

3.1.2.2 Ngữ cảnh an toàn trong RSN

IEEE 802.11 Task Group I có hai mục đích chính: để tạo ra một giải pháp

an toàn mới có thể “mở rộng” (scalable) và để cung cấp sự bảo vệ hiệu quả chống lại tấn công chủ động và thụ động đã biết Điều đầu tiên và cũng là thay đổi quan trọng nhất là sự tách biệt giữa tiến trình xác thực người dùng và tiến trình bảo vệ thông tin (bí mật và toàn vẹn) Sự tách biệt giữa hai tiến trình này, cho phép một giải pháp có thể mở rộng từ các hệ thống nhỏ đến các công

ty toàn cầu Tuy nhiên, hai phần này cần phải được liên kết với nhau trong một ngữ cảnh an toàn Xương sống của ngữ cảnh an toàn này là khóa bí mật.Trong ngữ cảnh an toàn của RSN đã định nghĩa các khóa thời gian sống giới hạn Không giống như WEP, trong RSN có rất nhiều khóa nằm trong một kiến trúc khóa và hầu hết chúng không được biết cho đến khi tiến trình xác thực thành công Trong thực tế, các khóa này được tạo trong thời gian thực sau tiến trình xác thực và vì vậy chúng được gọi là các khóa thời gian (temporal keys) hoặc khóa phiên (session key) Các khóa này phải được cập nhật theo thời gian và chúng cũng luôn luôn được hủy khi ngữ cảnh an toàn đóng lại

Việc xác thực được dựa trên một vài thông tin bí mật mà không thể được thực hiện một cách tự động Một khóa xác thực phải được tạo bởi một nguồn tin cậy và được gắn với một người dùng theo cách nào đó để nó không đơn giản để copy hoặc bị ăn cắp Khóa như vậy ở đây được gọi là khóa chính (master key).

Như vậy, RSN có hai kiểu khóa đó là: một khóa cố định (khóa chính) để cung cấp việc chứng minh định danh và một số khóa thời gian dùng trong các phiên

3.1.2.3 Các lớp an toàn trong RSN

RSN có ba lớp bảo mật Error: Reference source not found, đó là:

• Wireless LAN layer

• Access control layer

• Authentication layer

Wireless LAN layer tương ứng với tầng “Data link” trong mô hình OSI,

nó chịu trách nhiệm mã hóa và giải mã dữ liệu khi đã có một ngữ cảnh an toàn được thiết lập

Access control layer (tầng điều khiển truy nhập) là tầng quản lý trung gian, quản lý ngữ cảnh an toàn Nó phải dừng lại bất kể dữ liệu nào được đi

và đến từ một “enemy” (kẻ thù) Enemy ở đây được hiểu là một ai đó không

có một ngữ cảnh an toàn hiện tại đã thiết lập Tầng điều khiển truy nhập liên lạc với tầng xác thực để biết khi nào nó có thể mở ngữ cảnh an toàn và nó tham gia vào quá trình tạo các khóa thời gian

Authentication layer (tầng xác thực) là tầng cao nhất Tầng này tạo ra các quyết định về chính sách và các chứng minh về định danh được chấp nhận hay hủy bỏ Tầng xác thực cho phép người nào muốn truy nhập vào LAN và

ủy quyền cho tầng điều khiển truy nhập một khi nó chấp nhận một người nào

đó kết nối vào LAN

Các lớp này nằm trong các thiết bị không dây có trong AP và thường các lớp điều khiển truy cập (Access control layer) nằm hoàn trong các điểm truy cập (AP) Đối với các hệ thống nhỏ thì lớp xác thực (Authentication layer) có

thể nằm trên AP Trong các hệ thống lớn thì Authentication layer thường là các server xác thực tách rời AP.

Trên các máy trạm không dây di động cũng tương tự như vậy, Wireless LAN layer được cài đặt trong card mạng WiFi và nó được kết hợp với các trình điều khiển phần mềm Các lớp Access control và Authentication có thể được cài đặt trong hệ điều hành hoặc, hoặc trong phần mềm ứng dụng được cung cấp bởi nhà sản xuất đối với các hệ thống cũ Hình 3 sẽ cho chúng ta mối quan hệ giữa các security layer:

Hình 3 Mối quan hệ giữa các security layer

3.2 Xác thực sử dụng 802.11X

3.2.1 Chuẩn 802.11x

IEEE 802.1X là giao thức điều khiển truy cập dựa trên cổng (port-based) với mục đích là cho phép thực hiện việc điều khiển truy cập tại nơi người dùng liên kết vào mạng Mạng 802.1X điển hình bao gồm 3 thực thể tham gia vào quá trình xác thực:

• Người dùng (Supplicant): Thực thể muốn tham gia vào mạng

• Bộ xác thực (Authenticator): Thực thể thực hiện việc điều khiển truy cập.

• Máy chủ xác thực (Authentication Server): Thực thể thực hiện quá trình xác thực người dùng

Cổng (port) là khái niệm dùng để chỉ nơi người dùng kết nối vào mạng Một mạng có thể có nhiểu cổng khác nhau và các cổng này hoạt động hoàn toàn độc lập với nhau Ví dụ như Hub chuyển mạch LAN, máy trạm sẽ kết nối với một cổng và mỗi cổng lại kết nối với thiết bị nhận thực để kiểm soát tình hình của nó Mục đích chính của các cổng này là để bảo vệ các kết nối mạng, nhất là tại những điểm kết nối không an toàn

Về mặt hình thức, cách hoạt động của 802.11x tương đối đơn giản Các cổng ban đầu ở trạng thái mở (open) Mỗi khi người dùng kết nối vào một cổng, bộ xác thực sẽ kiểm tra và chuyển cổng sang trạng thái đóng (nếu người dùng được phép truy cập) Khi đó, người dùng mới có khả năng gửi gói tin xác thực tới máy chủ xác thực Máy chủ xác thực tiếp đó sẽ thực hiện việc xác thực người dùng Việc truyền thông giữa người dùng, bộ xác thực được thực hiện nhờ giao thức EAPOL (EAP over LAN) [13]

Giao thức EAPOL được định nghĩa trong chuẩn 802.1X nhằm định ra cách truyền thông các thông điệp EAP trên mạng LAN Về thực chất, EAPOL định nghĩa cách đóng gói thông điệp EAP trong các khung tin tầng liên kết dữ liệu Tuy vậy, chuẩn 802.1X không định nghĩa cách thức chuyển các thông điệp EAP giữa bộ xác thực và máy chủ xác thực Trong mạng LAN sử dụng giao thức TCP/IP, máy chủ xác thực RADIUS (dịch vụ người dùng quay số truy cập từ xa) được sử dụng rộng rãi và phổ biến Để gửi/nhận các thông điệp xác thực tới máy chủ RADIUS, bộ xác thực sử dụng giao thức EAP-over-Radius [13]

3.2.2 IEEE 802.11x trong mạng Wi-Fi LANs

Với ý tưởng thiết kế cho việc điều khiển các cổng LAN riêng biệt, vậy khi áp dụng vào mạng WLAN, nơi mà một điểm truy cập có thể hỗ trợ nhiều thiết bị truy nhập cùng một lúc như thế nào? Chúng ta có thể coi mỗi kết nối không dây từ AP đến thiết bị truy cập như là một kết nối độc lập Trong thực