Nghiên cứu và triển khai giải pháp bảo mật mạng VPN nguồn mở tại công an tỉnh hậu giang

bất đối xứng, chữ ký số, chứng thực số, cũng như các giải thuật băm message digestalgorithm để đảm bảo các đặc tính bí mật, xác thực và toàn vẹn dữ liệu.. Trong [13], tác giả đãnghiên cứ

Mục lục

1.1 Tính cấp thiết của đề tài 1

1.1.1 Bảo mật là yêu cầu cần thiết cho tổ chức, doanh nghiệp 1

1.1.2 Chi phí đầu tư lớn cho giải pháp bảo mật 1

1.1.3 Vấn đề bị động, phụ thuộc nhà cung cấp 2

1.1.4 Chủ trương, chính sách của Đảng và nhà nước 3

1.1.5 Thực trạng công an tỉnh Hậu Giang 3

1.2 Mục đích nghiên cứu 4

1.3 Tình hình nghiên cứu trong và ngoài nước 4

1.3.1 Trong nước 4

1.3.2 Ngoài nước 6

1.4 Khách thể và đối tượng nghiên cứu 14

1.5 Phạm vi nghiên cứu 15

1.6 Nhiệm vụ nghiên cứu 15

1.7 Phương pháp nghiên cứu 16

1.8 Những đóng góp mới của đề tài 16

1.9 Cấu trúc đề tài 17

2.1 Các nguy cơ xâm nhập dữ liệu khi truyền 19

2.1.1 Xâm nhập thụ động 19

2.1.2 Xâm nhập chủ động 20

2.2 Công nghệ mật mã 21

2.2.1 Mật mã đối xứng 22

2.2.2 Mật mã bất đối xứng 23

2.2.3 Hàm băm 28

2.3 Kiểm tra nhận dạng 29

2.4 Xác thực 29

2.5 Cơ sở hạ tầng khóa công khai (PKI) 30

2.5.1 CA (Certificate Authority) 30

2.5.2 Chứng chỉ số (digital certificate) 30

2.6 Mạng riêng ảo (VPN) 33

2.6.1 IPSEC VPN 34

2.6.2 OpenVPN (SSL VPN nguồn mở) 36

2.7 Smart Token (SafeNet iKey 1032) 41

3 GIẢI PHÁP 44 3.1 Đặt vấn đề 44

3.2 Yêu cầu giải pháp 44

3.3 Thiết kế mô hình giải pháp 46

3.3.1 Cấp phát chứng chỉ số (2) 46

3.3.2 Quá trình tạo chữ ký số CA (1) 50

3.3.3 Quá trình xác thực chứng chỉ số (5) 50

3.3.4 Trao đổi khóa DH và tạo đường hầm bảo mật (6) 51

3.4 Kiến trúc giải pháp 53

3.5 Ưu điểm và tính mới của giải pháp 55

3.6 Phát triển giải pháp 55

3.6.1 Mô hình sản phẩm bảo mật tích hợp FVS 55

3.6.2 Thiết kế phần cứng FVS 56

3.6.3 Kiến trúc phần mềm 56

3.7 Thiết kế mô hình hệ thống mạng VPN 58

4 THỬ NGHIỆM HỆ THỐNG 60 4.1 Thử nghiệm trên hệ thống thực 60

4.1.1 Cấu hình OpenVPN Server 60

4.1.2 Cấu hình OpenVPN client trên Linux 63

4.1.3 Cài đặt, cấu hình SafeNet iKey 1032 64

4.2 Kiểm tra tính xác thực của hệ thống 64

4.3 Thử nghiệm trên hệ thống ảo 65

4.3.1 Cấu hình địa chỉ IP 66

4.3.2 Kiểm tra tính bí mật của thông tin truyền 68

4.4 Nhận xét, đánh giá kết quả thử nghiệm 70

5 KẾT LUẬN 72 5.1 Các kết quả đã thực hiện được 72

5.2 Công việc tương lai 73

5.3 Đề xuất 74

5.4 Kết luận 74

Danh sách hình vẽ

1.1 Rủi ro bảo mật tăng trong thời kỳ thương mại điện tử 2

1.2 Bảo mật kết nối trong hệ thống ATM sử dụng công nghệ VPN 5

1.3 Mô hình Ipsec VPN của tác giả Trần Quốc Thư 6

1.4 Mô hình Ipsec VPN của tác giả Nguyễn Quốc Cường 7

1.5 Mô hình Ipsec VPN của Cisco [1, 2] 10

1.6 Dữ liệu chưa mã hóa bảo mật Ipsec VPN Cisco 11

1.7 Dữ liệu đã mã hóa bảo mật Ipsec VPN Cisco 11

1.8 Mô hình SSL VPN của Cisco, [3] 12

1.9 Mô hình OpenVPN 12

1.10 Mô hình TFA trên Cisco 12

1.11 Mô hình thử nghiệm TFA trên Cisco 13

1.12 Mô hình Ipsec VPN nguồn mở 13

2.1 Các hình thức xâm nhập phổ biến 20

2.2 Giải thuật mã hóa đối xứng và bất đối xứng 22

2.3 Thuật toán Diffie-Hellman 24

2.4 Chữ ký số 26

2.5 Trao đổi dữ liệu sử dụng thuật toán RSA 27

2.6 HMAC 28

2.7 Chứng chỉ số X.509 31

2.8 Giao thức ESP và AH 35

2.9 Giao thức SSL 37

2.10 Thủ tục bắt tay OpenVPN 40

3.1 Sự tấn công của hacker lên kênh truyền không an toàn 45

3.2 Mô hình giải pháp 47

3.3 Cơ chế hoạt động của giải pháp 48

3.4 Quá trình cấp phát chứng chỉ số X.509 của CA 49

3.5 Quá trình tạo và xác thực chữ ký số của CA 50

3.6 Trao đổi khóa Diffie-Hellman 52

3.7 Các module chính của giải pháp 53

3.8 Dòng dữ liệu đi từ client đến Server 54

3.9 Phần cứng thiết bị FVS 57

3.10 Kiến trúc phần mềm FVS 57

3.11 Sơ đồ hệ thống mạng VPN Công an tỉnh Hậu Giang 59

4.1 Xây dựng CA 61

4.2 Tạo khóa Diffie-Hellman 62

4.3 Tạo khóa bí mật và chứng chỉ cho Server 63

4.4 Tạo khóa bí mật và chứng chỉ cho client 64

4.5 Cài đặt SafeNet iKey 1032 65

4.6 Quá trình xác thực máy trạm 66

4.7 Sơ đồ hệ thống thử nghiệm 67

4.8 Kết quả kiểm tra 67

4.9 Dữ liệu bắt được khi chưa thiết lập tunnel OpenVPN 69

4.10 Dữ liệu bắt được khi tunnel OpenVPN đã thiết lập 69

Danh sách bảng

3.1 Thông số cấu hình thiết bị FVS 584.1 Kết quả thử nghiệm OpenVPN khi chưa thiết lập tunnel 684.2 Kết quả thử nghiệm OpenVPN khi đã thiết lập tunnel 70

Chương 1

TỔNG QUAN

1.1 Tính cấp thiết của đề tài

1.1.1 Bảo mật là yêu cầu cần thiết cho tổ chức, doanh nghiệp

Với sự phát triển của Internet và thương mại điện tử, nhu cầu truyền thông và thươngmại thông qua mạng Internet ngày càng gia tăng và nguy cơ mất an ninh, an toànthông tin, lộ lọt bí mật (thương mại, nhà nước ) sẽ ngày càng nghiêm trọng nếukhông có giải pháp phòng chống hữu hiệu vì không chỉ đơn thuần nhằm mục đích thuthập thông tin bí mật, ngưng trệ hoạt động mà còn mang mục đích kinh tế, chínhtrị, bí mật thương mại, sở hữu trí tuệ, thậm chí trở thành những loại vũ khí nguyhiểm có nguy cơ xâm phạm đến an ninh quốc gia Vấn đề bảo mật thông tin bâygiờ đã trở thành một nhu cầu lớn và là yếu tố rất quan trọng đối với tổ chức, doanhnghiệp Biểu đồ 1.1 minh họa các rủi ro an ninh tăng lên khi một tổ chức mở rộnghoạt động ra mạng Internet, thương mại điện tử

1.1.2 Chi phí đầu tư lớn cho giải pháp bảo mật

Hiện nay hầu hết các tổ chức, doanh nghiệp sử dụng các sản phẩm an ninh nhậpkhẩu từ nước ngoài trong giải pháp bảo mật của mình Giải pháp này đòi hỏi phảiđầu tư chi phí lớn cho giải pháp bảo mật của mình

Việc đầu tư một hệ thống bảo mật đồ sộ, kinh phí lớn với các nhà cung cấp giải

" #$

%& $ '$

Hình 1.1: Rủi ro bảo mật tăng trong thời kỳ thương mại điện tử

pháp bảo mật hàng đầu như Cisco, Checkpoint, Juniper là điều không thể với cácdoanh nghiệp vừa và nhỏ mặc dù họ có nhu cầu lớn cho việc triển khai giải pháp bảomật cho tổ chức của mình

1.1.3 Vấn đề bị động, phụ thuộc nhà cung cấp

Việc phụ thuộc vào nhà cung cấp có thể dẫn tới tình trạng bị ép buộc phải nângcấp phần mềm hay trang bị những tính năng mà người sử dụng không có nhu cầu sửdụng đến Ngoài việc giá thành cao, những thiết bị này khiến chúng ta không thểchủ động trong việc ứng dụng, ta hoàn toàn không biết các mô hình sử dụng cho càiđặt cụ thể mà chỉ biết các ứng dụng do thiết bị cung cấp Hơn nữa, các phần mềmứng dụng đa phần là các sản phẩm đóng gói, do đó việc nhúng các cơ chế bảo mật

do người dùng tạo ra vào hệ thống đó là hầu như không thể thực hiện được

1.1.4 Chủ trương, chính sách của Đảng và nhà nước

Quyết định số 235/2004/QĐ-TTg về phê duyệt tổng thể “Ứng dụng và phát triểnphần mềm nguồn mở ở Việt Nam giai đoạn 2004-2008”

Chỉ thị 07/2008/CT-BTTTT ngày 30 tháng 12 năm 2008 về đẩy mạnh sử dụngphần mềm nguồn mở trong hoạt động cơ quan, tổ chức Nhà nước

Quyết định số 1605/QĐ-TTg ngày 27 tháng 8 năm 2010 Chương trình quốc gia

về ứng dụng công nghệ thông tin trong hoạt động của cơ quan nhà nước giai đoạn

2011 - 2015

Chỉ thị 15/CT-TTg ngày 22 tháng 5 năm 2012 về việc tăng cường sử dụng vănbản điện tử trong hoạt động của cơ quan nhà nước và đảm bảo an toàn thông tinqua mạng

Chỉ thị số 28-CT/TW, ngày 16-9-2013 của Ban Bí thư Trung ương Đảng (khóaXI) về tăng cường công tác bảo đảm an toàn thông tin mạng

1.1.5 Thực trạng công an tỉnh Hậu Giang

Được thành lập vào tháng 01 năm 2004, gồm 01 Trung tâm chỉ huy và trên 30 phòngban, 07 công an huyện, thị, thành phố, 74 công an phường xã, thị trấn và được bốtrí đều trên địa bàn tỉnh Hậu Giang Do mới thành lập, nên cơ sở vật chất, hạ tầngviễn thông, hệ thống thông tin còn gặp nhiều khó khăn, chưa đáp ứng tốt theo yêucầu đặt ra Trong khi đó còn một số cán bộ, đảng viên chưa nhận thức đúng về tầmquan trọng và hiệu quả của việc ứng dụng công nghệ thông tin vào hoạt động côngtác, chưa thấy được tầm quan trọng của vấn đề bảo đảm an toàn thông tin và xem

nó là vấn đề sống còn của đất nước

Hiện nay trong Công an tỉnh Hậu Giang, việc trao đổi thông tin dữ liệu từ Công

an tỉnh xuống các huyện, thị, thành phố trên địa bàn và ngược lại đang thực hiệnbằng con đường giao liên hoặc Fax Việc này tốn rất nhiều thời gian, chi phí và khôngđảm bảo được độ an toàn và bảo mật thông tin Hệ thống hiện tại vẫn còn nhiều mặt

hạn chế, mô hình kết nối mạng chỉ là kết nối mạng LAN ở phạm vi hẹp, thậm chí

ở một số phòng ban, huyện, thị, thành phố chưa có kết nối mạng, việc truyền nhậnthông tin dữ liệu chưa được mã hóa, chưa xây dựng giải pháp an ninh, chưa thựchiện phân cấp phân quyền, chưa đặt ra tính an toàn và bảo mật thông tin

Để khắc phục thực trạng này, việc đưa ra một mô hình giải pháp bảo mật, môhình tương tự như các hệ thống bảo mật của các nhà cung cấp dịch vụ như Cisco,Checkpoint, Juniper nhưng ở quy mô nhỏ hơn, phù hợp với điều kiện thực tế củacông an tỉnh Do vậy em đã mạnh dạn chọn đề tài: “Nghiên cứu và triển khai giảipháp bảo mật mạng VPN nguồn mở tại Công an tỉnh Hậu Giang”

Nghiên cứu công nghệ mạng riêng ảo (VPN) là để bảo mật dữ liệu trên đườngtruyền, nguồn mở (cung cấp dưới cả dạng mã và nguồn) là để có thể tùy biến, chủđộng trong việc ứng dụng như sửa đổi, cải tiến, phát triển hay nâng cấp

1.2 Mục đích nghiên cứu

Nghiên cứu giải pháp xây dựng từng bước mạng riêng ảo trên cơ sở sử dụng côngnghệ nguồn mở OpenVPN sẵn có của cộng đồng cho việc bảo mật dữ liệu truyền trênmạng

1.3 Tình hình nghiên cứu trong và ngoài nước

1.3.1 Trong nước

(1) Các cơ quan, doanh nghiệp, trường học ở Việt Nam đã và đang nghiên cứu ứngdụng và phát triển giải pháp bảo mật dữ liệu trên đường truyền dùng công nghệ VPNphục vụ tốt trong hoạt động công tác của mình như Viễn thông VNPT, FPT, ngânhàng Sacombank, Vietinbank dùng giải pháp VPN của Cisco; Bảo hiểm Bảo Việtdùng giải pháp VPN của Juniper và một số tỉnh thành phố như Hà Nội, Đà Nẵng,

TP Hồ Chí Minh, TP Cần Thơ, Đồng Nai, Phú Yên, Long An Đặc biệt hệ thống

ATM của các ngân hàng (Vietinbank, BIDV, Agribank, MHB, Sacombank ) đều sửdụng công nghệ mạng riêng ảo (VPN) để thực hiện các kết nối bảo mật của mình.Quá trình kết nối bảo mật trong hệ thống ATM được minh họa cụ thể ở hình 1.2.Theo cơ chế quản lý các giao dịch với ngân hàng qua thẻ ATM, nếu muốn rút được

Hình 1.2: Bảo mật kết nối trong hệ thống ATM sử dụng công nghệ VPNtiền thì bắt buộc phải có đủ cả hai yếu tố thẻ ATM và mã số cá nhân (mã PIN) Đây

là một giải pháp xác thực người dùng hai yếu tố (cái mà bạn có (thẻ ATM) và cái

mà chỉ có bạn biết (mã PIN), nhưng ta có thể thấy việc xác thực người dùng bằngmật khẩu hiện nay là không an toàn Đây cũng là khẳng định của Bill Gate (chủ tịchMicrosoft) trong một hội thảo về an ninh mạng do hãng RSA tổ chức vào tháng 2năm 2004 Hiện nay không ít xảy ra các vụ việc khách hàng bị mất tiền trong tài tàikhoản tới hàng tỷ đồng mà không rõ nguyên do Điều này xảy ra là do hệ thống xácthực trong ATM chưa đủ mạnh vì khi hacker đánh cắp thông tin (mã PIN, thông tin

cá nhân), sau đó làm giả thẻ ATM thì hacker có thể kết nối vào hệ thống để rút tiền.Vậy yêu cầu đặt ra, xây dựng theo một lớp bảo mật nữa ngoài việc xác thực ngườidùng hai yếu tố (Thẻ ATM + Mã PIN)

(2) Nghiên cứu về giải pháp bảo mật thông tin truyền trên mạng sử dụng côngnghệ VPN, được tác giả tác giả Trần Quốc Thư (Luận văn thạc sĩ năm 2013, Họcviện công nghệ Bưu chính Viễn Thông), minh họa ở hình 1.3 và Nguyễn Quốc Cường(Luận văn thạc sĩ năm 2011, Học viện công nghệ Bưu chính Viễn Thông), minh họa

ở hình 1.4 Tác giả đã triển khai công nghệ Ipsec VPN để tạo nối bảo mật từ xa

Hình 1.3: Mô hình Ipsec VPN của tác giả Trần Quốc ThưCác giải pháp trên đều dùng giải pháp bảo mật của các nhà cung cấp, chi phí đầu

tư lớn, phụ thuộc hoàn toàn vào công nghệ, chưa tự phát triển giải pháp riêng Hơnnữa, phương pháp xác thực trong giải pháp này chỉ có một yếu tố và ta không thểnhúng thêm các cơ chế bảo mật vào hệ thống

1.3.2 Ngoài nước

Trong những năm gần đây, không ít các nghiên cứu ứng dụng giải pháp bảo mật VPN

đã được đề xuất Trong các bài báo [4–6], tác giả đã đề xuất giải pháp ứng dụng côngnghệ VPN trong việc xây dựng hệ thống mạng truyền dữ liệu một cách hiệu quả và

an toàn cho các trường cao đẳng và đại học Nó có thể cung cấp các chức năng đáng

Hình 1.4: Mô hình Ipsec VPN của tác giả Nguyễn Quốc Cường

tin cậy cho việc truy cập từ xa cho các giáo viên, sinh viên, chi nhánh của trường

và giữa các trường với nhau Giải pháp trao đổi dữ liệu an toàn, nhanh chóng, hiệuquả trong cơ quan chính phủ nhằm bảo mật các dữ liệu liên quan đến an ninh quốcgia dựa trên công nghệ VPN cũng được nêu trong [7]

Các nghiên cứu [1, 2, 8], tác giả đã dùng IPSEC trong giải pháp bảo mật VPN.Trong [1, 2], tác giả đã trình bày việc triển khai IPSEC cho mục đích trao đổi dữliệu an toàn trong môi trường mạng không an toàn như Internet Việc nghiên cứuxây dựng một hệ thống mạng truyền dữ liệu an toàn trong các trường đại học dùngIPSEC được đề xuất tại [8]

Việc dùng SSL trong giải pháp bảo mật VPN qua các nghiên cứu [3, 9–13] Tácgiả trong [3,9,11] nghiên cứu và triển khai một Gateway bảo mật VPN dựa trên giaothức bảo mật SSL Gateway bảo mật này có thể chống lại một số cuộc tấn công phổbiến như giám sát, thu thập, chỉnh sửa, gián đoạn dữ liệu trên đường truyền SSLVPN sử dụng một chuỗi các kỹ thuật mật mã, bao gồm mã hóa đối xứng, mã hóa

bất đối xứng, chữ ký số, chứng thực số, cũng như các giải thuật băm (message digestalgorithm) để đảm bảo các đặc tính bí mật, xác thực và toàn vẹn dữ liệu Việc đảmbảo an toàn cho việc truy cập từ xa trong mạng không dây là một vấn đề đặc biệtquan tâm hiện nay, thiết kế và triển khai một hệ thống mạng không dây truy cập antoàn dựa trên giao thức SSL được tác giả đề xuất trong [10,12] Trong [13], tác giả đãnghiên cứu các ưu điểm và triển khai giải pháp bảo mật SSL VPN trong các trườngđại học, đảm bảo an toàn dữ liệu trong quá trình trao đổi

Chính sách lựa chọn giải pháp bảo mật VPN dựa trên công nghệ IPSEC và SSLđược đưa ra trong [14–16] Trong [15] tác giả đã nghiên cứu sự khác biệt giữa haicông nghệ IPSEC VPN và SSL VPN và các tiêu chuẩn được đưa ra để quyết địnhchính xác công nghệ nào sẽ phù hợp hơn với nhu cầu bảo mật cho ứng dụng thực tế

là mã hóa, xác thực và toàn vẹn dữ liệu, tường lửa, IP Public, NAT, Port, điều khiểntruy cập Việc phân tích, so sánh các ưu khuyết điểm giữa hai công nghệ IPSECVPN và SSL VPN cũng được nghiên cứu trong [14,16], trong đó tác giả đã phân tíchcác đặc tính an toàn hai công nghệ này (xác thực, mã hóa, toàn vẹn dữ liệu) Hơnnữa, các bài viết này đã giới thiệu chi tiết về các nguyên tắc làm việc, cơ chế bảo mậtcủa SSL VPN và IPSec VPN, sau đó phân tích những lợi thế và bất lợi (phạm vi ứngdụng, cơ chế bảo mật, sự phức tạp trong hoạt động, chi phí triển khai, khả năng mởrộng và các khía cạnh khác ) và cuối cùng tác giả đã đưa ra chính sách lựa chọntham khảo cho giải pháp bảo mật VPN phù hợp với ứng dụng thực tế

Giải pháp bảo mật VPN nguồn mở được giới thiệu trong [17–20] Có hai vấn đềchính trong công nghệ VPN, đó là vấn đề an toàn và tính tiện lợi khác (chi phí thấp,

dễ cài đặt và sử dụng ) Hiện nay có nhiều giải pháp VPN nhưng đa số chỉ đáp ứngđược một trong hai vấn đề trên IPSEC triển khai khó khăn (khó cài đặt và sử dụng,chi phí cao) nhưng đáp ứng được vấn đề an ninh Tuy nhiên, cấu trúc phức tạp của

nó đã làm cho nó dễ bị tấn công, lỗi, và lỗ hổng bảo mật Giải pháp OpenVPN cungcấp một sự pha trộn lý tưởng của cả hai vấn đề trên

Trong [20] tác giả đã phân tích đặc tính an toàn OpenVPN (bảo mật, toàn vẹn

dữ liệu, xác thực ), những thuận lợi và một số điểm yếu trong OpenVPN như thuậnlợi về vấn đề an toàn, thuận tiện trong triển khai, chi phí thấp nhưng điểm yếu làkhông tương thích với IPSEC VPN, ít người biết cách sử dụng, không có giao diện đồhọa thân thiện Bên cạnh đó, tác giả đã phân tích so sánh OpenVPN với giải phápIPSEC VPN về vấn đề bảo mật, khả năng sử dụng, mở rộng và triển khai

Nghiên cứu và triển khai giải pháp bảo mật OpenVPN trên hệ điều hành nguồn mởLinux (Ubuntu, Android), trong đó thiết lập OpenVPN trên hệ điều hành Ubuntu làmGateway (OpenVPN Server) và OpenVPN trên hệ điều hành Android (làm OpenVPNClient) được tác giả đề xuất trong [18, 19] Trong bài báo này, tác giả đã phân tíchvấn đề an toàn và hiệu suất mạng OpenVPN chạy hệ điều hành Android trên máytính bảng và các thông số cấu hình OpenVPN

Tác giả trong [17, 21] đã đề xuất một giải pháp bảo mật VPN nguồn mở dùngIPSEC để đảm bảo an toàn dữ liệu trong khi truyền Trong [21] công nghệ IPSECVPN nguồn mở được triển khai dựa trên phần mềm Frees/WAN dưới hệ nhúng Linux

Vì tính chất đặc thù của sản phẩm bảo mật, tác giả cũng đã gợi ý hướng phát triểncủa bài báo là phát triển giải pháp bảo mật IPSEC VPN nguồn mở thành sản phẩmbảo mật VPN phục vụ cho các ứng dụng cụ thể, đáp ứng được nhu cầu sử dụng riêngcho từng cơ quan, doanh nghiệp Trong [17] tác giả đã giới thiệu công nghệ IPSECVPN nguồn mở được triển khai dựa trên phần mềm OpenSwan dưới hệ nhúng Linux.Thiết kế và triển khai thiết bị an ninh với một Firewall thế hệ mới dựa trênNetfilter được thể hiện qua [22, 23] Giải pháp này dựa trên công nghệ nhúng vàFirewall nguồn mở Linux, giúp tăng cường an ninh mạng LAN, ngăn chặn các cuộctấn công có thể, kiểm soát lưu lượng của mỗi máy chủ và đồng thời tiết kiệm chi phítriển khai, thích hợp cho các doanh nghiệp nhỏ vừa, vốn đầu tư kém

Trong các bài báo [1–3], tác giả đã nghiên cứu giải pháp bảo mật dữ liệu trênđường truyền dùng công nghệ Ipsec VPN ( [1, 2], minh họa cụ thể ở hình 1.5, 1.6,1.7), công nghệ SSL ( [3], minh họa cụ thể ở hình 1.8) trên giải pháp bảo mật củaCisco, chi phí đầu tư cao Phương pháp xác thực trong giải pháp này chỉ có một yếu

Hình 1.5: Mô hình Ipsec VPN của Cisco [1, 2]

tố và ta không thể nhúng thêm các cơ chế bảo mật vào hệ thống

Tác giả trong các bài báo [18, 19, 24] dùng công nghệ OpenVPN để bảo mật dữliệu trên đường truyền Trong các bài báo này, tác giả chỉ triển khai trên mô hìnhmạng Host-to-Host và phương pháp xác thực chỉ một yếu tố, không kết hợp với phầncứng bảo mật thông minh Smart Token để tăng cường tính bảo mật, minh họa cụthể ở hình 1.9

Tác giả trong các bài báo [25,26] đã đề xuất giải pháp bảo mật dữ liệu trên đườngtruyền dùng công nghệ Ipsec với phương pháp xác thực hai yếu tố Nhưng các tácgiả đã triển khai giải pháp trên thiết bị của Cisco, chi phí đầu tư cao, phụ thuộc vàocông nghệ, minh họa cụ thể ở hình 1.10, 1.11

Giải pháp nghiên cứu Ipsec VPN nguồn mở (FreeSwan) trong bài báo [21] choviệc bảo mật dữ liệu trên đường truyền, giải pháp này cấu hình cài đặt khó khăn

và phức tạp nếu các site (mạng LAN chi nhánh từ xa) tăng lên Hơn nữa, giải phápnày xác thực bằng phương pháp khóa chia sẽ trước RSA (pre-shared key) có mức độ

an toàn thấp hơn phương pháp xác thực bằng chứng chỉ số Thêm vào đó, giải phápnày chỉ xác thực bảo mật một yếu tố (khóa RSA) và không thể mở rộng và bổ sungthêm yếu tố xác thực để tăng cường tính bảo mật của hệ thống Các kết quả nghiên

Hình 1.6: Dữ liệu chưa mã hóa bảo mật Ipsec VPN Cisco

Hình 1.7: Dữ liệu đã mã hóa bảo mật Ipsec VPN Cisco

SSL VPN products

Figure 3 Solution of SSL VPN

Hình 1.8: Mô hình SSL VPN của Cisco, [3]

Hình 1.9: Mô hình OpenVPN

Figure 1 Components of TFAS system

Hình 1.10: Mô hình TFA trên Cisco

Figure 3 Simulation with GNS3

Hình 1.11: Mô hình thử nghiệm TFA trên Cisco

Hình 1.12: Mô hình Ipsec VPN nguồn mởcứu trong [14, 15] cũng đã chứng minh rằng Ipsec VPN phức tạp trong triển khai và

hoạt động và đây là nguyên nhân dễ gây ra lỗ hỏng bảo mật hơn giải pháp SSL VPN,

minh họa ở hình 1.12

Trong các kết quả nghiên cứu trên, hầu hết dùng giải pháp bảo mật từ các sản

phẩm của nước ngoài như Cisco, Checkpoint, Juniper và có sẵn các công cụ phần

mềm thử nghiệm do nhà sản xuất cung cấp Không chỉ là giảm sự chủ động trong

việc ứng dụng (phụ thuộc hoàn toàn và công nghệ nhà cung cấp, việc nhúng các cơ

chế bảo mật do người dùng tạo ra vào hệ thống là điều không thể thực hiện được)

mà đòi hỏi đầu tư chi phí cao và là điều không thể đối với các doanh nghiệp vừa và

nhỏ

Trên cơ sở phân tích, tổng hợp các kết quả ứng dụng, nghiên cứu trên Để các tổ

chức, doanh nghiệp nhỏ và vừa có khả năng triển khai giải pháp bảo mật phù hợpvới nhu cầu và ứng dụng của mình, vừa tiết kiệm chi phí vừa chủ động trong việcứng dụng cũng Nhiệm vụ nghiên cứu của đề tài sẽ từng bước xây dựng mạng VPNdựa trên công nghệ nguồn mở OpenVPN Giải pháp này vừa tiết kiệm chi phí, vừa cóthể tùy biến trong việc nhúng thêm các cơ chế bảo mật do người dùng tạo ra (nhúngthêm công nghệ bảo mật Smart Token vào hệ thống để tăng cường bảo mật) Đồngthời phát triển giải pháp thành sản phẩm bảo mật VPN, một giải pháp giúp chúng

ta hoàn toàn có thể chủ động trong việc ứng dụng cũng như kiểm soát bảo mật trướctình hình tội phạm công nghệ cao, tội phạm gián điệp diễn biến phức tạp như hiệnnay

Những kết quả nghiên cứu có liên quan trên giúp cho em tham khảo, kế thừa ýtưởng, nội dung và phương pháp trong quá trình nghiên cứu đề tài Giải pháp bảomật đề tài nghiên cứu là giải pháp tự phát triển Do sử dụng công nghệ mở nên dễdàng nhúng thêm các cơ chế bảo mật vào hệ thống do người dùng tạo ra và chủ động

sở hữu phần mềm bảo mật trên cơ sở chỉnh sửa mã và nguồn công nghệ mở sẵn cócho phù hợp với ứng dụng thực tế

Cho đến nay chưa có một công trình khoa học nào nghiên cứu và triển khai giảipháp bảo mật mạng VPN nguồn mở tại Công an tỉnh Hậu Giang

1.4 Khách thể và đối tượng nghiên cứu

ˆ Đối tượng: Nghiên cứu và triển khai giải pháp bảo mật mạng VPN nguồn mởtại Công an tỉnh Hậu Giang

ˆ Khách thể: Mạng VPN nguồn mở tại Công an tỉnh Hậu Giang

1.5 Phạm vi nghiên cứu

Trong phạm vi nghiên cứu đề tài em chỉ tập trung nghiên cứu giải pháp xây dựngtừng bước mạng riêng ảo dựa trên công nghệ nguồn mở OpenVPN cho việc bảo vệthông tin truyền trên mạng

1.6 Nhiệm vụ nghiên cứu

ˆ Nghiên cứu các nguy cơ mất an ninh trong quá trình trao đổi thông tin dữ liệuqua mạng

ˆ Nghiên cứu về công nghệ mật mã, công nghệ bảo mật dùng trong VPN

ˆ Nghiên cứu giải pháp bảo mật dữ liệu trên đường truyền dùng công nghệ mạngriêng ảo nguồn mở OpenVPN và công nghệ bảo mật Smart Token (SafeNet iKey1032)

ˆ Đánh giá thực trạng về sự cần thiết của việc nghiên cứu đề xuất giải pháp bảomật riêng, mang tính đặc thù của lĩnh vực an ninh khi triển khai một mạngtruyền dữ liệu an toàn trong nội bộ công an tỉnh

ˆ Đề xuất phát triển giải pháp thành sản phẩm bảo mật tích hợp FVS (MultiSafeVPN Firewall) bao gồm giải pháp VPN, Firewall và có thể tích hợp các giải phápbảo mật mở rộng khác như IDS/IPS (Intrusion Detection/Prevention System)

ˆ Đề xuất mô hình hệ thống mạng truyền dữ liệu cho Công an tỉnh trên cơ sởthực trạng và giải pháp bảo mật đề xuất

ˆ Mô hình hóa và mô phỏng hệ thống mạng VPN đã đề xuất

1.7 Phương pháp nghiên cứu

ˆ Phân tích và tổng hợp lý thuyết, kinh nghiệm thực tiễn và các bài báo khoahọc được công bố trên thư viện số IEEE Xplore, ACM về lĩnh vực viễn thông,khoa học máy tính ; các luận văn, công trình nghiên cứu, tạp chí, sách khoahọc chuyên ngành

ˆ Phương pháp chuyên gia, mô hình hóa và mô phỏng

ˆ Các phương pháp hỗ trợ khác như sử dụng các công cụ phần mềm giả lập, môphỏng, phân tích và bắt gói tin như VMWARE, NetCat, Tcpdump, WireShark,OpenVPN, Openswan, hệ điều hành nhúng Linux, Unix, phần cứng thiết bị bảomật Smart Token (SafeNet iKey 1032)

1.8 Những đóng góp mới của đề tài

Góp phần giảm dần gánh nặng chi phí đầu tư và phụ thuộc vào công nghệ nhà cungcấp khi các tổ chức, doanh nghiệp triển khai một giải pháp bảo mật, đặc biệt là đốivới Công an tỉnh Hậu Giang

Góp phần từng bước hình thành và phát triển tiềm lực công nghệ thông tin truyền thông trong nước tới một mức độ đủ mạnh, đủ để ta làm chủ công nghệ, đủđiều kiện tiếp nhận lợi ích thực sự mà lĩnh vực công nghệ cao này đem lại cho đấtnước Tạo cơ hội phát triển các sản phẩm trong nước, giảm dần tình trạng nước taphải mua các sản phẩm phần mềm của nước ngoài với chi phí khá cao, là gánh năngđáng kể cho nền kinh tế còn non yếu

-Bước đầu trong giải pháp chỉ sở hữu được phần mềm mạng riêng ảo được tíchhợp trên phần cứng chuyên dụng Nếu được triển khai cho Công an Hậu Giang sẽgóp phần nâng cao hiệu quả hoạt động công tác, giúp cho việc trao đổi thông tingiữa Trung tâm chỉ huy và các đơn vị trực thuộc (các phòng ban, công an huyện, thị,thành phố trên địa bàn) được an toàn, bảo mật, nhanh chóng, kịp thời, giảm khối

lượng công việc, tạo nên một môi trường làm việc điện tử hiện đại, minh bạch, tiếtkiệm thời gian, chi phí hành chính (giấy tờ, mực in ) Đồng thời cũng quán triệt,thực hiện tốt theo các nghị quyết, chỉ thị của Đảng, Nhà nước và Bộ Công an về việcứng dụng và phát triển công nghệ thông tin, sử dụng phần mềm nguồn mở trong cơquan nhà nước và đảm bảo an ninh, an toàn thông tin qua mạng, phù hợp với nhucầu ứng dụng hiện tại, tạo môi trường làm việc điện tử hiện đại, an toàn, bảo mật,giảm giấy tờ, tiết kiệm nguồn nhân lực, chi phí và thời gian, nâng cao hiệu quả hoạtđộng công tác trong Công an Hậu Giang.

Giải pháp giúp nâng cao nhận thức của cán bộ, chiến sĩ Công an Hậu Giang vềtầm quan trọng của việc ứng dụng, phát triển công nghệ thông tin trong hoạt độngcông tác và đảm bảo an toàn thông tin qua mạng để công an tỉnh cần có những quyếtsách và đầu tư thích hợp cho việc triển khai các chiến lược bảo mật trong thực tế.Mỗi quốc gia, mỗi tổ chức khi lưu trữ, xử lý và trao đổi thông tin rất cần cácchuẩn mực riêng, đặc thù Nếu phải sử dụng phần mềm độc quyền cho chuẩn xử lý

và lưu trữ dữ liệu riêng thì quả là bất cập Đề tài này góp phần từng bước biến cáichung sẵn có thành cái riêng mang tính đặc thù của một quốc gia, tổ chức, doanhnghiệp trên cơ sở ứng dụng công nghệ mở sẵn có của cộng đồng

1.9 Cấu trúc đề tài

Ngoài phần danh mục tài liệu tham khảo, nội dung của đề tài gồm 5 chương

Chương 2, trình bày cơ sở lý thuyết cho hướng nghiên cứu như công nghệ mật

mã, các công cụ mật mã, công nghệ VPN

Chương 3, Trình bày giải pháp bảo mật dữ liệu trên đường đường truyền dùngcông nghệ OpenVPN nguồn mở kết hợp với công nghệ bảo mật tiên tiến USB SmartToken (SafeNet iKey 1032) Phân tích, đánh giá so sánh với các kết quả nghiên cứukhác liên quan từ các bài báo trên thư viện số IEEE Xplore, ACM; các luận vănnghiên cứu liên quan

Chương 4, Thử nghiệm mô hình giải pháp.

Chương 5, Kết luận và hướng phát triển giải pháp

Chương 2

CƠ SỞ LÝ THUYẾT

2.1 Các nguy cơ xâm nhập dữ liệu khi truyền

Để bảo vệ an toàn thông tin dữ liệu trên đường truyền có hiệu quả thì điều trướctiên là phải lường trước hoặc dự đoán trước các khả năng xâm phạm, các sự cố rủi ro

có thể xảy ra đối với thông tin dữ liệu được trao đổi trên đường truyền tin cũng nhưtrên mạng Xác định các chính xác các nguy cơ nói trên thì càng quyết định được tốtcác giải pháp để giảm thiểu các thiệt hại, [27, 28]

2.1.1 Xâm nhập thụ động

Xâm nhập thụ động nhằm mục đích cuối cùng là lấy được thông tin trên đường truyềnnhư nghe trộm (eavesdropping), theo dõi (monitoring), phân tích, thu giữ thông tintrao đổi Loại xâm nhập này không làm ảnh hưởng (sai lệch hoặc hủy) đến tài nguyên

hệ thống

Trong trường hợp này Hacker chặn các thông điệp A gửi cho B, và xem được nộidung của thông điệp, phân tích dòng thông tin, có thể xác định vị trí của các máytham gia vào quá trình truyền tin, giám sát tần suất và kích thước thông điệp, ngay

cả việc mã hóa để suy đoán được nội dung thông điệp truyền Tác nhân của cáchành vi xâm nhập này có thể là một người, một phần mềm hay một máy tính làm

Hình 2.1: Các hình thức xâm nhập phổ biếnviệc bằng cách giám sát dòng thông tin nhưng không làm thay đổi thông tin gốc.Hình thức xâm nhâp này tác động vào đặc tính bí mật của thông tin, tham khảohình 2.1(a).

Mã hóa là giải pháp hiệu quả để chống lại các cuộc tấn công thụ động

Chỉnh sửa thông điệp (Modification of messages)

Nội dung thông điệp hoặc dữ liệu được chặn lấy, chỉnh sửa trước khi đến đích Hackerchặn các thông điệp A gửi cho B và ngăn không cho các thông điệp này đến đích.Sau đó Hacker chỉnh sửa, thay đổi nội dung của thông điệp và gửi tiếp cho B B nghĩrằng nhận được thông điệp nguyên bản ban đầu của A mà không biết rằng chúng đã

bị sửa đổi Hình thức xâm nhập này tác động vào tính toàn vẹn của thông tin, nhưđược trình bày trong hình 2.1(c)

Gián đoạn truyền tin

Cấm hoặc ngăn chặn sử dụng các dịch vụ, các khả năng truyền thông Tấn công nàythường không gây tiết lộ thông tin hay mất mát dữ liệu mà chỉ nhắm vào tính khảdụng của hệ thống Tuy nhiên, do tính phổ biến của từ chối dịch vụ và đặc biệt làhiện nay chưa có một giải pháp hữu hiệu cho việc ngăn chặn các tấn công loại nàynên từ chối dịch vụ được xem là một nguy cơ rất lớn đối với sự an toàn của các hệthống thông tin Hình thức xâm nhập này tác động vào tính sẵn sàng của hệ thống,như được trình bày trong hình 2.1(d)

Xác thực là giải pháp hiệu quả để chống lại các cuộc tấn công chủ động

2.2 Công nghệ mật mã

Để nghiên cứu về VPN, chúng ta phải biết về mật mã VPN chủ yếu dựa vào mật

mã để đảm bảo tính bí mật, tính toàn vẹn, xác thực, và không thoái thác của thôngtin Các loại mật mã liên quan về VPN là mật mã đối xứng (symmetric ciphers),mật mã bất đối xứng (asymmetric ciphers), hàm băm (hash), chữ ký số (digitalsignatures) [27–29]

Hình 2.2: Giải thuật mã hóa đối xứng và bất đối xứng

2.2.1 Mật mã đối xứng

Để đảm bảo an toàn dữ liệu từ những cặp mắt tò mò của người khác, ta phải mã hóa

nó Mật mã hóa (mã hóa) là một trong những yếu tố quan trọng nhất trong việc bảomật VPN và đóng một vai trò quan trọng trong việc bảo mật dữ liệu trong suốt quátrình truyền Nó là cơ chế chuyển đổi dữ liệu sang một định dạng không đọc đượchay còn gọi là văn bản mã hóa Nhờ vậy truy cập trái phép vào dữ liệu có thể đượcngăn chặn do dữ liệu được truyền qua một môi trường mạng không an toàn Giảimật mã hay giải mã là quá trình ngược lại, phục hồi lại văn bản thường từ văn bản

mã Mật mã là thuật toán để mật mã hóa và giải mật mã

Mã hóa đối xứng dựa trên một khóa đơn Khóa này là khóa riêng (hay khóa bímật), là một chuỗi bit có độ dài cố định và được sử dụng đễ mã hóa cũng như giải

mã Các thuật toán mã hóa đối xứng là các thuật toán mà các khóa mã hóa và giải

mã đều giống nhau Người gửi và người nhận phải chia sẻ khóa bí mật trước khi giaotiếp an toàn Sự an toàn của một thuật toán đối xứng nằm trong bí mật của khóađối xứng Mã hóa đối xứng thường được gọi là mã hóa khóa bí mật, được trình bày

ở hình 2.2(a) Bởi vì các thuật toán khóa đối xứng dựa trên các phép toán đơn giản,

họ là khá nhanh và thường được sử dụng cho các dịch vụ mã hóa, họ có thể dễ dàngtăng tốc bằng phần cứng Trong VPN, mật mã đối xứng đảm bảo tính bí mật củathông tin Một số thuật toán mã hóa đối xứng được sử dụng phổ biến trong giải phápVPN như: DES (Data Encryption Standard), 3DES (Triple DES), AES (AdvancedEncryption Standard), RC4 (Rivest Cipher or Ron’s Code)

Tuy nhiên, hệ thống mã hóa đối xứng đặt ra hai vấn đề chính Thứ nhất, nếu kẻxâm nhập biết được khóa bí mật thì tất cả các thông tin mã hóa sẽ bị nguy hiểm Do

đó, khóa phải được đổi định kỳ Thứ hai, nếu số kết nối quá nhiều thì việc quản lýkhóa trở thành một nhiệm vụ phức tạp Thêm vào đó, giai đoạn đầu tiên liên quanđến việc thiết lập cặp khóa, phân phối và sự thay đổi khóa định kỳ đều tốn kém vàmất thời gian Hệ thống mã hóa đối xứng giải quyết được hai vấn đề trên

2.2.2 Mật mã bất đối xứng

Để người gửi và người nhận nhận dạng chính xác nhau, là hai thực thể đích thực, taphải xác thực Ta sử dụng mật mã bất đối xứng (mã hóa bất đối xứng) hay mật mãkhóa công khai để giải quyết vấn đề này Mã hóa bất đối xứng được thiết kế theo mộtcách mà các khóa được sử dụng để mã hóa và giải mã là khác nhau Khóa bí mậtdùng cho giải mã, khóa công khai dùng cho mã hóa Mã hóa khóa công khai dựa chủyếu trên các hàm toán học, do đó thích hợp với thực thi bằng phần mềm và tốc độ

mã hoá thấp, hình 2.2(b)

Chiều dài chìa khóa thông thường cho các thuật toán bất đối xứng trong khoảng512-2048 bit Chiều dài thuật toán bất đối xứng không thể so sánh trực tiếp vớichiều dài giải thuật đối xứng bởi vì hai thuật toán này khác nhau cơ bản về thiết

kế Trong giải pháp VPN, hai thuật toán mã hóa bất đối xứng nổi tiếng nhất là: DH(Diffie-Hellman), RSA (Rivest Shamir Adleman)

Mật mã hóa dùng khóa công khai chỉ có ưu điểm khi nó có một cơ chế phân phốikhóa công khai một cách an toàn và hiệu quả cho các thực thể trong hệ thống Chứng

thực khóa công khai (Certificate) mà một cơ chế hiệu quả để thực hiện vấn đề này.Mỗi chứng thực khóa bao gồm nhận dạng thực thể đầu cuối, khóa công khai của thựcthể đầu cuối và xác nhận (bằng chữ ký số) của một thực thể thứ 3 Một hệ thốngcung cấp cơ chế tạo ra và quản lý chứng thực khóa được gọi là cơ sở hạ tầng khóacông khai PKI.

Mật mã dùng khóa công khai có nhiều ứng dụng khác nhau như: mật mã dữ liệu,tạo chữ ký số, trao đổi khóa bí mật của mật mã đối xứng,

Trong VPN, mật mã bất đối xứng đảm bảo được tính xác thực, tính toàn vẹn,không từ chối và trao đổi khóa

Thuật toán trao đổi khoá DH

Trong VPN, thuật toán DH (Diffie-Hellman) sử dụng cho việc trao đổi các khóa mộtcách bảo mật thông qua môi trường mạng không bảo mật DH trao đổi khóa trêntính toán các số Logarit phức tạp, thường dùng để chia sẽ khóa bí mật giữa các bên(các khóa bí mật này có thể sử dụng trong mã hóa đối xứng và hàm băm HMAC),hình 2.3 Những bất lợi chính của thuật toán khóa đối xứng là khóa phải được giữ

Hình 2.3: Thuật toán Diffie-Hellman

bí mật mọi lúc Đặc biệt là trao đổi khóa bí mật có thể khó khăn, dễ bị lộ Một giải

pháp cho vấn đề phân phối khóa là sử dụng một thuật toán trao đổi khóa mật mãDiffie-Hellman cho phép thỏa thuận khóa mà không thực sự tiết lộ chìa khóa trênmạng Tuy nhiên, Diffie-Hellman không đảm bảo danh tính của các bên với người màbạn đang trao đổi khóa Một số loại cơ chế xác thực là cần thiết để đảm bảo rằngbạn không vô tình trao đổi khóa với kẻ tấn công.

Thuật toán trao đổi khóa Diffie-Hellman dựa trên công nghệ khóa công khai và

có thể được sử dụng để đạt được ở các điểm cuối giống nhau bằng cách trao đổi khóađối xứng, được sử dụng để thực hiện mã hóa và giải mã dữ liệu Thuật toán DH hoạtđộng theo cách thức sau:

ˆ Bên gửi sử dụng khóa công khai của của bên nhận Khóa này sẵn có cho tất cảcác phía kết nối

ˆ Bên gửi sau đó thực hiện bước tính toán bao gồm khóa riêng của bên gửi vàkhóa công khai của bên nhận Kết quả tính toán cho ra khóa bí mật chia sẽ

ˆ Văn bản được mã hóa sử dụng khóa bí mật chia sẽ được tạo ra ở trên

ˆ Văn bản mã hóa sau đó được gửi tới bên nhận

ˆ Tại phía nhận văn bản mã hóa, người nhận tạo ra khóa bí mật chia sẽ bằngcách thực hiện một tính toán tượng tự gồm khóa riêng của chính nó và khóacông khai của bên gửi

Giả thiết cơ bản của thuật toán này là nếu một người nào đó chặn và xem được vănbản mã hóa thì người đó không thể nhận được thông tin ban đầu bởi vì không cókhóa riêng của người nhận

Quá trình trao đổi dữ liệu dựa trên thuật toán DH được coi như bảo mật bởi ít cókhả năng xảy ra rằng dữ liệu có thể bị xem trộm hoặc chỉnh trong quá trình truyền.Thêm vào đó, bởi không có quá trình trao đổi khóa bí mật trong suốt phiên VPNnên khả năng khóa bí mật của bất kỳ thực thể nào trong quá trình kết nối bị kẻ xâm

nhập biết được là rất thấp Hơn nữa, việc quản lý khóa không tốn nhiều thời giannhư với quá trình mã hóa đối xứng mặc dù một số lượng kết nối được tạo ra.

Tuy thuật toán DH cung cấp khả năng bảo mật hơn mã hóa đối xứng nhưng vẫncòn một vấn đề là đảm bảo rằng các khóa chung được trao đổi trước khi quá trìnhtruyền dữ liệu được tiến hành Ví dụ, nếu hai kết nối giao tiếp trao đổi khóa chungqua một môi trường không bảo mật như Internet thì rất dễ dàng bị kẻ xâm nhậpthay đổi yêu cầu cho các khóa chung và gửi khóa chung của nó tới cả hai kết nối.Trong trường hợp này, kẻ xâm nhập dễ dàng tấn công vào quá trình kết nối bởi haikết nối giờ sẽ trao đổi dữ liệu sử dụng khóa chung của kẻ xâm nhập Kiểu xâm nhậpnày là tấn công từ giữa (Man-in-the-Middle)

Thuật toán RSA

Trong VPN, RSA chủ yếu được sử dụng cho mục đích xác thực, chống từ chối (chữ

ký số RSA) và trao đổi khóa Chữ ký số hay còn gọi là chữ ký điện tử có thể đượchình dung tương tự như chữ ký viết tay Chữ ký số được sử dụng trong các giao dịchđiện tử, là thông tin đi kèm theo dữ liệu nhằm mục đích xác nhận người chủ của dữliệu đó, gắn với tập tin chứa chứng chỉ số Quá trình mã hóa bất đối xứng được sửdụng để tạo ra chữ ký số, hình 2.4

Hình 2.4: Chữ ký sốChữ ký số cung cấp ba tính năng an toàn trong truyền thông đó là xác thực, toàn

Hình 2.5: Trao đổi dữ liệu sử dụng thuật toán RSAvẹn và chống chối bỏ giao dịch Chữ ký số RSA kết hợp với hàm băm đảm bảo đượcvấn đề xác thực và toàn vẹn dữ liệu, trình bày trong hình 2.5 Thuật toán RSA giảiquyết hiệu quả hình thức tấn công Man-in-the-Middle vào điểm yếu của thuật toán

DH Chính vì vậy thuật toán RSA nổi lên như một trong những cơ chế mã hóa bấtđối xứng mạnh nhất Không giống như DH, bản tin ban đầu được mã hóa sử dụngkhóa chung của người gửi Người nhận có được bản tin ban đầu bằng cách sử dụngkhóa chung của người gửi Thuật toán RSA được sử dụng cho quá trình trao đổi dữliệu sử dụng chữ ký điện tử như sau:

ˆ Bước 1: Khóa công khai của người gửi được yêu cầu từ phía người nhận và sau

đó được chuyển đi

ˆ Bước 2: Người gửi sử dụng hàm băm hash để giảm kích cở của bản tin ban đầu.Bản tin nhận được là tập bản tin (Message digest)

ˆ Bước 3: Người gửi mã hóa bản tin bằng khóa riêng của mình Khóa riêng nàytạo ra một chữ ký điện tử duy nhất

ˆ Bước 4: Bản tin và chữ ký điện tử được kết hợp và chuyển tới người nhận

ˆ Bước 5: Khi người nhận được bản tin mã hóa, người nhận sẽ tái tạo lại bản tin

sử dụng cùng hàm băm giống như người gửi

ˆ Bước 6: Người nhận sau đó giải mã chữ ký điện tử sử dụng khóa chung củangười gửi.

ˆ Bước 7: Người nhận sau đó so sánh tập bản tin được tái tạo (bước 5) và tập tin

có được từ chữ ký điện tử Nếu khớp với nhau thì dữ liệu không bị thay đổi,chỉnh sửa trong suốt quá trình truyền Nếu không thì dữ liệu bị loại đi

Quá trình trao đổi dữ liệu dựa vào thuật toán RSA trên, RSA đảm bảo an toàn vàbảo mật quá trình truyền dữ liệu bởi người nhận kiểm tra tính chính xác của dữ liệu

ba lần (bước 5,6,7) RSA cũng đơn giản hóa nhiệm vụ của quản lý khóa

2.2.3 Hàm băm

Một trong những cơ chế được sử dụng để đảm bảo tính toàn vẹn dữ liệu là băm.Băm dựa trên hàm toán học một chiều Băm dữ liệu gốc thành chuỗi dữ liệu có chiềudài không đổi ở đầu ra được gọi là tóm tắt thông điệp (message digest) Không thểkhôi phục dữ liệu gốc từ giá trị băm và nếu dữ liệu gốc bị thay đổi chút ít thì giá trịbăm gần như thay đổi hoàn toàn Hàm băm không cung cấp mã hóa trong quá trìnhtruyền, dễ bị tấn công Man-in-the-middle Một số hàm băm phổ biến: MD5 với 128bits, SHA-1 với 160 bits

!

Hình 2.6: HMAC

HMAC (Hash Message Authentication Code): HMAC sử dụng thêm mộtkhóa bí mật như ngõ vào của hàm băm (băm cùng với dữ liệu gốc) Khóa bí mật chỉ

có bên gửi và bên nhận biết, tăng thêm tính xác thực cho sự toàn vẹn dữ liệu và vôhiệu hóa hoàn toàn các cuộc tấn công từ giữa

Phương pháp hàm băm và HMAC được sử dụng trong VPN để cung cấp toàn vẹn

dữ liệu và đảm bảo tính xác thực, tham khảo hình 2.6

2.3 Kiểm tra nhận dạng

Đối tượng tham gia truyền thông có thể được kiểm tra nhận dạng dưới một phươngthức nào đó Có thể kiểm tra nhận dạng một đối tượng (con người) nào đó thông quađiều mà đối tượng biết (mật khẩu); vật mà đối tượng đó có (hộ chiếu, CMND, thẻthông minh, chứng chỉ số ); đặc tính vật lý của đối tượng đó (vân tay, võng mạc,giọng nói ); kết quả của một hành động bộc phát của đối tượng đó (chữ ký)

2.4 Xác thực

Hai thực thể A và B có sự trao đổi dữ liệu với nhau, từ A đến B hoặc từ B đến A

Để cho việc trao đổi được đích xác thì A cần phải kiểm tra nhận dạng B và B cầnphải kiểm tra nhận dạng A, dữ liệu trao đổi phải đích thực là của phía bên đối tácgửi Mong muốn là B nhận được đoạn dữ liệu đích xác là của A gửi, không làm thayđổi nội dung trong quá trình truyền từ A đến B, hay nói cách khác đó đích thực làđoạn dữ liệu A gửi cho B

Việc xác thực là một thủ tục đảm bảo sự chính xác các thực thể tham gia truyềnthông, nó có chức năng xác minh, kiểm tra nhận dạng (identity) của một đối tượngtrước khi trao quyền truy xuất cho đối tượng này đến một tài nguyên nào đó Xácthực mô tả các phương thức mà các đối tác truyền tin sử dụng để kiểm tra nhận dạnglẫn nhau

2.5 Cơ sở hạ tầng khóa công khai (PKI)

PKI thường được dùng để chỉ toàn bộ hệ thống bao gồm nhà cung cấp chứng chỉ số(CA) cùng các cơ chế liên quan đồng thời với toàn bộ việc sử dụng các thuật toán

mã khoá công khai trong trao đổi thông tin

CA (Certificate Authority) và được CA đảm bảo tính xác thực của khoá công khai(chứng chỉ này được cung cấp bởi CA) Thường để có các chứng chỉ ta phải mua củacác tổ chức có uy tin như VeriSign chẳng hạn hoặc có thể tự xây dựng một CA nội

bộ để giao dịch trong một hệ thống đóng

Chứng chỉ số (chứng chỉ khoá công khai) là một file điện tử dùng để xác minhmột cá nhân, một công ty, một máy chủ, một trang web trên internet Nó giốngnhư bằng lái xe, hộ chiếu, chứng minh thư hay giấy tờ cá nhân của một người Cũngtương tự như chứng minh thư hay hộ chiếu, để có một chứng chỉ số bạn phải xin cấp

ở cơ quan có thẩm quyền đủ tin cậy xác minh những thông tin của bạn, cơ quan đóđược gọi là CA (Certificate Authority) CA chịu trách nhiệm về độ chính xác của cáctrường thông tin trên chứng chỉ

Khi một thực thể được chứng nhận, CA sẽ ký khóa công khai của thực thể đó với

khóa riêng của CA Để chứng minh rằng thực thể đó thực sự là thực thể ta muốntrao đổi, ta chỉ cần chứng minh rằng họ đã được phê duyệt bởi CA Để chứng minhrằng CA là tin cậy đối với thực thể đó, ta cần khóa công khai của CA Khi ta nhậnđược một chứng thực số (có chữ ký số được tạo bởi khóa riêng của CA), ta sử dụngkhóa công khai của CA giải mã chữ ký để đảm bảo giấy chứng nhận là hợp lệ Nếu

có 100 host được chứng thực bởi CA, ta có thể xác thực các host này bằng cách kiểmtra chữ ký CA trên chứng chỉ số của nó bằng khóa công khai của CA và chỉ cần giữmột khóa công khai của CA trên hệ thống

Chứng chỉ số X.509 Chứng chỉ khoá công khai X.509 được Hội viễn thông quốc

thiết phải có trong chứng chỉ Phần thứ hai chứa thêm một số trường phụ, nhữngtrường phụ này được gọi là trường mở rộng dùng để xác định và đáp ứng những yêucầu bổ sung của hệ thống, cụ thể như sau:

ˆ Version: Chỉ định phiên bản của chứng nhận X.509

ˆ Serial Number: Số loạt phát hành được gán bởi CA Mỗi CA nên gán một mã

số loạt duy nhất cho mỗi giấy chứng nhận mà nó phát hành

ˆ Signature Algorithm: Thuật toán chữ ký chỉ rõ thuật toán mã hóa được CA sửdụng để ký giấy chứng nhận Trong chứng nhận X.509 thường là sự kết hợpgiữa thuật toán băm (như MD5 hoặc SHA-1) và thuật toán khóa công khai(như RSA)

ˆ Issuer Name: Tên tổ chức CA phát hành giấy chứng nhận

ˆ Validity Period: Trường này bao gồm 2 giá trị chỉ định khoảng thời gian mà giấychứng nhận có hiệu lực Hai phần của trường này là not-before và not-after.Not-before chỉ định thời gian mà chứng nhận này bắt đầu có hiệu lực, Not-afterchỉ định thời gian mà chứng nhận hết hiệu lực Các giá trị thời gian này được

đo theo chuẩn thời gian Quốc tế, chính xác đến từng giây

ˆ Subject Name: xác định đối tượng sở hữu giấy chứng nhận mà cũng là sở hữucủa khóa công khai Một CA không thể phát hành 2 giấy chứng nhận có cùngmột Subject Name

ˆ Public key: Xác định thuật toán của khóa công khai (như RSA) và chứa khóacông khai được định dạng tùy vào kiểu của nó

ˆ Issuer Unique ID và Subject Unique ID: Hai trường này được giới thiệu trongX.509 phiên bản 2, được dùng để xác định hai tổ chức CA hoặc hai chủ thể khichúng có cùng DN RFC 2459 đề nghị không nên sử dụng 2 trường này

ˆ Extensions: Chứa các thông tin bổ sung cần thiết mà người thao tác CA muốnđặt vào chứng nhận Trường này được giới thiệu trong X.509 phiên bản 3.

ˆ Signature: Đây là chữ ký điện tử được tổ chức CA áp dụng Tổ chức CA sửdụng khóa bí mật có kiểu quy định trong trường thuật toán chữ ký Chữ ký baogồm tất cả các phần khác trong giấy chứng nhận Do đó, tổ chức CA chứngnhận cho tất cả các thông tin khác trong giấy chứng nhận chứ không chỉ chotên chủ thể và khóa công khai

2.6 Mạng riêng ảo (VPN)

VPN (Virtual Private Network) là một mạng riêng ảo trên mạng công cộng (có thể

là mạng Internet, cơ sở hạ tầng IP, mạng Frame Replay (RL) hoặc ATM Nó sử dụngcông nghệ mật mã để bảo đảm tính bí mật, xác thực và tính toàn vẹn của thôngtin dữ liệu trên đường truyền, đảm bảo an toàn kết nối point-to-point giữa hai hoặcnhiều điểm trên mạng không an toàn Các kết nối này được thiết lập bằng cách tạomột đường hầm giữa hai node được kết nối, sau đó mã hóa thông tin dữ liệu truyềnqua tunnel Công nghệ đường hầm này cho phép dữ liệu truyền được an toàn giữacác điểm cuối trên mạng [30–32]

VPN là sự mở rộng của một mạng nội bộ Nó có thể giúp người dùng từ xa, cácchi nhánh của công ty, các đối tác kinh doanh và các nhà cung cấp thiết lập kết nối

an toàn và tin cậy với mạng nội bộ của một công ty và đảm bảo việc truyền tải dữliệu được an toàn VPN là một giải pháp logic nhằm đảm bảo an toàn cho việc truycập từ xa, cho phép các điểm cuối để kết nối với nhau qua Internet như trong mạngLAN mà không cần phải các thuê đường thuê bao dành riêng đắt tiền (leased lines).Một trong những yếu tố chính của VPN là mã hóa Để bảo vệ các dữ liệu nhạycảm truyền qua mạng công cộng, chúng ta cần phải tạo ra một đường hầm riêng ảobằng cách mã hóa các packet hoặc frame trước khi truyền

VPN làm việc bằng cách tạo ra một đường hầm ảo qua Internet công cộng Để

tạo đường hầm này, mã hóa đối xứng được sử dụng Cả hai điểm cuối của đường hầmchia sẽ khóa bí mật cho việc mã hóa và giải mã và sử dụng chúng để mã hóa tất cảlưu lượng truyền giữa hai site Sử dụng mật mã bất đối xứng, hàm băm để xác thực,trao đổi khóa và đảm bảo toàn vẹn dữ liệu.

VPN là giải pháp hiệu quả chống lại các cuộc tấn công chủ động và thụ động

2.6.1 IPSEC VPN

IPSEC VPN là một công nghệ VPN sử dụng giao thức bảo mật IPSEC để đảm bảotính bí mật của dữ liệu, toàn vẹn thông điệp và xác thực các thực thể tham gia truyềnthông

IPSec (IP Security) là một tập hợp các tiêu chuẩn mở được phát triển bởi IETF,RFC 2401 và RFC (Request-For-Comments) liên quan cho phép tạo ra mạng VPN

Nó cung cấp cho việc mã hóa và xác thực tại lớp mạng để bảo vệ các gói tin IP giữacác thiết bị tương thích IPSec IPSec cho phép người gửi xác thực hoặc mã hóa góitin IP hoặc áp dụng cả hai hoạt động cho các gói tin Tách các ứng dụng xác thực

và mã hóa gói tin có dẫn đến hai phương pháp khác nhau của việc sử dụng IPSec,được gọi là chế độ Trong chế độ vận chuyển (transport mode), chỉ có segment lớpvận chuyển của một gói tin IP được xác thực hoặc mã hóa Trong chế độ đường hầm(tunnel mode), mã hóa toàn bộ gói tin IP, [29, 30] IPSec được xây dựng dựa trêncông nghệ mật mã để cung cấp tính bí mật, xác thực và toàn vẹn dữ liệu

IPSec tạo ra một đường hầm an toàn bằng cách đầu tiên sử dụng một giao thứcbắt tay được gọi là IKE (Internet Exchange Key) IKE xác thực giữa các điểm cuốiđường hầm, và sau đó là các thủ tục an toàn để tạo ra một đường hầm lâu dài hơnbằng cách sử dụng mã hóa đối xứng

Các giao thức bảo mật trong IPSEC

IPSec sử dụng ba giao thức chính để đảm bảo an toàn VPN