An toàn mạng không dây

DECT Digital Enhanced Cordless Viễn thông cố định Telecommunications không dây kỹ thuật số nâng caoDOS Denial Of Service Từ chối dịch vụ DSSS Direct Sequence Spread Spectrum Trải phổ dãy

HỌC VIỆN KỸ THUẬT MẬT MÃ

KHOA AN TOÀN THÔNG TIN



BÁO CÁO BÀI TẬP LỚN MÔN HỌC

PHÂN TÍCH HỆ THỐNG AN TOÀN THÔNG TIN

Đề tài: Tìm hiểu các giải pháp đảm bảo an toàn cho mạng không dây và ứng dụng vào đảm bảo an toàn cho

mạng không dây thuộc cơ sở 1

Giáo viên hướng dẫn : Vũ Thị Vân

Nhóm 12 : Nguyễn Văn Minh Khánh Dương

Lê Hải Anh

Phùng Văn Dương

Bùi Thị Hoài

HÀ NỘI, 2015

MỤC LỤC

Mục lục Trang Danh mục các chữ viết tắt 3

Danh mục các bảng …….5

Danh mục các hình vẽ .6

MỞ ĐẦU .…… 8

CHƯƠNG 1: TỔNG QUAN VỀ MẠNG KHÔNG DÂY …….10

1.1. TỔNG QUAN VỀ MẠNG KHÔNG DÂY VÀ CÁC CÔNG NGHỆ ỨNG

1.1.1 Sự phát triển của mạng không dây 10

1.1.2 Các công nghệ ứng dụng trong mạng không dây 19

1.1.3 Các kỹ thuật điều chế trải phổ 20

1.2 MÔ HÌNH MẠNG WLAN 23

1.2.1 Giới thiệu 23

1.2.2 Ưu điểm của mạng WLAN 23

1.2.3 Hoạt động của mạng WLAN 24

1.2.4 Các mô hình của mạng WLAN 24

1.2.5 Cự ly truyền sóng, tốc độ truyền dữ liệu 25

1.3 CHUẨN IEEE 802.11 CHO MẠNG WLAN 25

1.3.1 Giới thiệu 25

1.3.2 Nhóm lớp vật lý PHY 26

1.3.3 Nhóm lớp liên kết dữ liệu MAC 27

1.3.4 Các kiến trúc cơ bản của chuẩn 802.11 28

1.3.5 Các quá trình cơ bản diễn ra trong mô hình Infrastructure 30

CHƯƠNG 2: MỘT SỐ GIẢI PHÁP ĐẢM BẢO AN NINH AN TOÀN CHO MẠNG KHÔNG DÂY 33

2.1 THỰC TRẠNG MẤT AN NINH AN TOÀN CỦA MẠNG KHÔNG DÂY 2.1.1 Khái niệm an ninh an toàn thông tin 33

2.1.2 Đánh giá vấn đề an toàn, bảo mật hệ thống 33

2.1.3 Các nguy cơ mất an ninh an toàn trong mạng không dây 35

2.2 CƠ SỞ KHOA HỌC CỦA MẬT MÃ ỨNG DỤNG TRONG VIỆC ĐẢM

BẢO AN TOÀN VÀ BẢO MẬT MẠNG KHÔNG DÂY 41

2.2.1 Giới thiệu chung 41

2.2.2 Hệ mật mã khóa đối xứng 41

2.2.3 Hệ mật mã khóa công khai 42

2.3 NGHIÊN CỨU MỘT SỐ GIẢI PHÁP ĐẢM BẢO AN NINH AN TOÀN CHO MẠNG WLAN 44

2.3.1 Phương pháp bảo mật dựa trên WEP 44

2.3.2 Phương pháp bảo mật dựa trên TKIP 53

2.3.3 Phương pháp bảo mật dựa trên AES-CCMP 61

2.4 VNP………

2.5 LỌC ………

CHƯƠNG 3: CÁCH THỨC CÀI ĐẶT ÁP DỤNG CHO CÁC GIẢI PHÁP ĐƯỢC LỰA CHỌN CHO CS1……… 74

CHƯƠNG 4: DEMO GIẢI PHÁP LỰA CHỌN KẾT LUẬN

TÀI LIỆU THAM KHẢO

DANH MỤC CÁC CHỮ VIẾT TẮT

Từ viết tắt Từ gốc Nghĩa tiếng Việt

AES Advanced Encryption Standard Chuẩn mã hóa tiên tiến AMPS Advanced Mobile Phone System Hệ thống điện thoại di động tiên tiến

AP Access Point Điểm truy cập

BS Base Station Trạm cơ sở

BSS Basic Service Set Tập dịch vụ cơ bản CCM Counter Mode - CBC MAC Mode mã hóa CBC CCMP Counter Mode - CBC MAC Protocol Giao thức mã hóa CCM CDMA Code Division Multiple Access Đa truy nhập phân chia theo mã

CRC Cyclic Redundancy Check Kiểm tra dư thừa vòng

DECT Digital Enhanced Cordless Viễn thông cố định Telecommunications không dây kỹ thuật số nâng cao

DOS Denial Of Service Từ chối dịch vụ

DSSS Direct Sequence Spread Spectrum Trải phổ dãy trực tiếpESS Extended Service Set Tập dịch vụ mở rộng FHSS Frequency Hopping Spread Spectrum Trải phổ nhảy tần GPRS General Packet Radio Service Dịch vụ vô tuyến gói chungGSM Group Special Mobile Nhóm đặc biệt về di động HSCSD High Speed Circuit Switched Data Mạch chuyển dữ liệu tốc

độ cao

IBSS Independent Basic Service Set Tập dịch vụ cơ bản độc lậpICV Integrity Check Value Giá trị kiểm tra tính toàn vẹn IEEE Institute of Electrical and Viện Công nghệ Electronics Engineers điện và điện tửIETF Internet Engineering Task Force Hiệp hội kỹ sư tham gia phát triển về internet IMTS Improved Mobile Telephone System Hệ thống điện thoại di động cải tiến

MAC Message Authentication Code Mã chứng thực gói tin

MIC Message Integrity Code Mã toàn vẹn gói tin 4

PDU MAC Protocol Data Unit Đơn vị dữ liệu giao thức MACMSC Mobile Switching Center Trung tâm chuyển mạch di độngMSDU MAC Service Data Unit Đơn vị dữ liệu dịch vụ

MAC MTS Mobile Telephone System Hệ thống điện thoại di động

NMT Nordic Mobile Telephony Hệ thống điện thoại di động Bắc ÂuOFDM Orthogonal Frequency Ghép kênh phân chia

Division Multiplexing theo tần số trực giao

PAN Personal Area Network Mạng vùng cá nhân

PBX Private Brach Exchange Tổng đài nhánh riêng

PHS Personal Handy-phone System Hệ thống điện thoại cầm tay cá nhânPSTN Packet Switched Telephone Network Mạng điện thoại chuyển mạch gói

RF Radio Frequency Tần số sóng vô tuyến

SMS Short Message Service Dịch vụ nhắn tin ngắn

STA Wireless Station Thiết bị có hỗ trợ mạng không dây

TACS Total Access Communication System Hệ thống truyền thông truy cập hoàn toàn

TDMA Time Division Multiple Access Đa truy nhập phân chia theo thời gian

TKIP Temporal Key Integrity Protocol Giao thức toàn vẹn khóa thời gianWEP Wired Equivalent Privacy Bảo mật tương đương mạng hữu tuyến

WLAN Wireless Local Area Network Mạng cục bộ không dây

WPA Wi-Fi Protected Access T ruy cập mạng Wifi an toàn

DANH MỤC CÁC BẢNG

Hình 1.1: Mô hình mạng Ad-hoc (hay mạng ngang hàng)

Hình 1.2: Mô hình Infrastructure Mode

Hình 2.1: Phần mềm bắt gói tin Ethereal

Hình 2.2: Phần mềm thu thập thông tin hệ thống mạng không dây NetStumbler Hình 2.3 : Mô tả quá trình tấn công theo kiểu chèn ép

Hình 2.4 : Mô tả quá trình tấn công theo kiểu thu hút

Hình 2.5: Mô hình hệ mật mã khóa đối xứng Hình

Hình 2.6 : Mô hình hệ mật mã khóa công khai

Hình 2.7: Quá trình chứng thực diễn ra trong WEP

Hình 2.8 : Thêm ICV

Hình 2.9 : Thêm IV và KeyID

LỜI MỞ ĐẦU

Cùng với các công nghệ mới thúc đẩy sự phát triển của mạng Internet thì mạngkhông dây cũng đã có một chuyển biến mạnh mẽ, trong đó có mạng WLAN Cácthiết bị trong mạng này kết nối với nhau không phải bằng các phương tiện truyềndẫn hữu tuyến mà là bằng sóng vô tuyến Ích lợi mà mạng này mang lại là khảnăng thiết lập kết nối tới các thiết bị không phụ thuộc vào hạ tầng dây dẫn Cũngnhờ vào đặc điểm của mạng không dây mà chi phí cho việc lắp đặt, duy trì, bảodưỡng hay thay đổi đường dây đã được giảm đi rất nhiều, đồng thời, tính linh hoạtđược áp dụng một cách khá hiệu quả, ở bất cứ đâu trong phạm vi phủ sóng củathiết bị chúng ta đều có thể kết nối vào mạng

Trong những năm gần đây, giới công nghệ thông tin đã chứng kiến sự bùng

nổ của nền công nghiệp mạng không dây Khả năng liên lạc không dây đã gần nhưtất yếu trong các thiết bị cầm tay, máy tính xách tay, điện thoại di động và các thiết

bị số khác Với các tính năng ưu việt về vùng phục vụ kết nối linh động, khả năngtriển khai nhanh chóng, giá thành ngày càng giảm, mạng WLAN đã trở thành mộttrong những giải pháp cạnh tranh có thể thay thế mạng Ethernet LAN truyền thống.Tuy nhiên, sự tiện lợi của mạng không dây cũng đặt ra một thử thách lớn về bảođảm an ninh an toàn cho mạng không dây đối với các nhà quản trị mạng Ưu thế về

sự tiện lợi của kết nối không dây có thể bị giảm sút do những khó khăn nảy sinhtrong bảo mật mạng

Vấn đề này càng ngày càng trở nên cấp thiết và cần nhận được sự quan tâm từnhiều phía

Vì vậy giải pháp đảm bảo an ninh an toàn cho mạng không dây là rất cần thiết

CHƯƠNG 1: TỔNG QUAN VỀ MẠNG KHÔNG DÂY

1.1 Tổng quan về mạng không dây và các công nghệ ứng dụng trong mạng không dây.

1.1.1 Sự phát triển của mạng không dây

Mặc dù mạng không dây đã có lịch sử hơn một thế kỷ, truyền dẫn khôngdây được sử dụng phổ biến trong các hệ thống truyền thông chỉ trong 15 – 20 nămgần đây Hiện nay lĩnh vực truyền thông không dây là một trong những phần pháttriển nhanh nhất của ngành công nghiệp viễn thông Các hệ thống truyền thôngkhông dây như điện thoại tổ ong, điện thoại cố định không dây và điện thoại vệtinh cũng như là WLAN được sử dụng phổ biến và trở thành công cụ thiết yếutrong cuộc sống hàng ngày của nhiều người, cả những người chuyên nghiệp vàkhông chuyên Sự phổ biến của các hệ thống truyền thông không dây là do các lợiích của nó so với các hệ thống có dây Những lợi ích quan trọng nhất của hệ thốngkhông dây là tính di động và sự tiết kiệm chi phí Có thể nói truyền dẫn không dây

đã bắt đầu từ xa xưa trong lịch sử nhân loại Tuy nhiên, như chúng ta hiểu về mạngkhông dây ngày nay sẽ là hợp logic hơn khi cho rằng nguồn gốc của mạng khôngdây bắt đầu cùng với sự truyền sóng vô tuyến lần đầu tiên

Sự phát triển của mạng không dây phát hoàn thiện từng giai đoạn

-Hệ thống điện thoại di động ban đầu

-Hệ thống điện thoại tế bào tương tự

-Hệ thống điện thoại tế bào số

-GSM

-HSCSD và GPRS

-D-AMPS

-IS-95

-Điện thoại cố định không dây

-Các hệ thống dữ liệu không dây

1.1.2 Các công nghệ ứng dụng trong mạng không dây

- Công nghệ sử dụng ánh sáng hồng ngoại

1.1.3 Các kỹ thuật điều chế trải phổ

Hầu hết các mạng WLAN sử dụng công nghệ trải phổ Điều chế trải phổ trảinăng lượng của tín hiệu trên một độ rộng băng tần truyền dẫn lớn hơn nhiều so với

độ rộng băng tần cần thiết tối thiểu Điều chế trải phổ không hiệu quả về độ rộngbăng tần khi được sử dụng bởi một người sử dụng Tuy nhiên, do nhiều người sửdụng có thể dùng chung cùng độ rộng băng tần phổ mà không gây nhiễu với nhau,các hệ thống trải phổ trở nên có hiệu quả về độ rộng băng tần trong môi trườngnhiều người sử dụng Điều chế trải phổ sử dụng hai phương pháp trải tín hiệu trênmột băng tần rộng hơn: DSSS và FHSS

1.2 Mô hình mạng WLAN

1.2.1 Giới thiệu

Thuật ngữ “mạng máy tính không dây” hay còn là mạng WLAN nói đến côngnghệ cho phép hai hay nhiều máy tính giao tiếp với nhau dùng những giao thứcmạng chuẩn nhưng không cần dây cáp mạng Các mạng máy tính không dây sửdụng các sóng điện từ không gian (sóng vô tuyến hoặc sóng ánh sáng) để thu,phát dữ liệu qua không khí, giảm thiểu nhu cầu về kết nối bằng dây Vì vậy, cácmạng WLAN kết hợp liên kết dữ liệu với tính di động của người sử dụng Côngnghệ này bắt nguồn từ một số chuẩn công nghiệp như là IEEE 802.11 đã tạo ramột số các giải pháp không dây có tính khả thi trong kinh doanh, công nghệ chếtạo, các trường đại học… khi mà ở đó mạng hữu tuyến là không thể thực hiệnđược Ngày nay, các mạng WLAN càng trở nên quen thuộc hơn, được công nhậnnhư một sự lựa chọn kết nối đa năng cho một phạm vi lớn các khách hàng kinhdoanh

1.2.2 Ưu điểm của mạng WLAN

Mạng WLAN đang nhanh chóng trở thành một mạng cốt lõi trong các mạngmáy tính và đang phát triển vượt trội Với công nghệ này, những người sử dụng

có thể truy cập thông tin dùng chung mà không phải tìm kiếm chỗ để nối dâymạng, chúng ta có thể mở rộng phạm vi mạng mà không cần lắp đặt hoặc dichuyển dây Các mạng WLAN có ưu điểm về hiệu suất, sự thuận lợi, cụ thể nhưsau:

- Tính di động

- Tính đơn giản

- Tính linh hoạt

- Tiết kiệm chi phí lâu dài

- Khả năng vô hướng

1.2.3 Hoạt động của mạng WLAN

Các mạng WLAN sử dụng các sóng điện từ không gian (vô tuyến hoặc ánh sáng)

để truyền thông tin từ một điểm tới điểm khác Các sóng vô tuyến thường đượcxem như các sóng mang vô tuyến do chúng chỉ thực hiện chức năng cung cấpnăng lượng cho một máy thu ở xa Dữ liệu đang được phát được điều chế trênsóng mang vô tuyến (thường được gọi là điều chế sóng mang nhờ thông tin đangđược phát) sao cho có thể được khôi phục chính xác tại máy thu Nhiễu sóngmang vô tuyến có thể tồn tại trong cùng không gian, tại cùng thời điểm mà khônggây nhiễu lẫn nhau nếu các sóng vô tuyến được phát trên các tần số vô tuyến khácnhau Để nhận lại dữ liệu, máy thu vô tuyến sẽ thu trên tần số vô tuyến của máyphát tương ứng Trong một cấu hình mạng WLAN tiêu chuẩn, một thiết bịthu/phát (bộ thu/phát) được gọi là một điểm truy cập, nối với mạng hữu tuyến từmột vị trí cố định sử dụng cáp tiêu chuẩn Chức năng tối thiểu của điểm truy cập

là thu, làm đệm, và phát dữ liệu giữa mạng WLAN và cơ sở hạ tầng mạng hữutuyến Một điểm truy cập đơn có thể hỗ trợ một nhóm nhỏ người sử dụng và cóthể thực hiện chức năng trong một phạm vi từ một trăm đến vài trăm feet Điểmtruy cập (hoặc anten được gắn vào điểm truy cập) thường được đặt cao nhưng về

cơ bản có thể được đặt ở bất kỳ chỗ nào miễn là đạt được vùng phủ sóng mong

muốn Những người sử dụng truy cập vào mạng WLAN thông qua các bộ thíchứng máy tính không dây như các Card mạng không dây trong các máy tính, cácmáy Palm, PDA Các bộ thích ứng máy tính không dây cung cấp một giao diệngiữa hệ thống điều hành mạng của máy khách và các sóng không gian qua mộtanten Bản chất của kết nối không dây là trong suốt đối với hệ điều hành mạng.

1.2.4 Các mô hình của mạng WLAN

1.2.4.1 Kiểu Ad-hoc

Trong kiểu Ad-hoc mỗi máy tính trong mạng giao tiếp trực tiếp với nhau thôngqua các thiết bị card mạng không dây mà không dùng đến các thiết bị định tuyếnhay thu phát không dây

Hình 1.2: Mô hình Infrastructure Mode

1.2.5 Cự ly truyền sóng, tốc độ truyền dữ liệu

Truyền sóng điện từ trong không gian sẽ gặp hiện tượng suy hao Vì thế đối vớikết nối không dây nói chung, khoảng cách càng xa thì khả năng thu tín hiệu càngkém, tỷ lệ lỗi sẽ tăng lên, dẫn đến tốc độ truyền dữ liệu sẽ phải giảm xuống Cáctốc độ của chuẩn không dây như 11 Mbps hay 54 Mbps không liên quan đến tốc

độ kết nối hay tốc độ download, vì những tốc độ này được quyết định bởi nhàcung cấp dịch vụ Internet Với một hệ thống mạng không dây, dữ liệu được gửiqua sóng radio nên tốc độ có thể bị ảnh hưởng bởi các tác nhân gây nhiễu hoặccác vật thể lớn Thiết bị định tuyến không dây sẽ tự động điều chỉnh xuống cácmức tốc độ thấp hơn, ví dụ như là từ 11 Mbps sẽ giảm xuống còn 5.5 Mbps và 2Mbps hoặc thậm chí là 1 Mbps

1.3 Chuẩn IEEE 802.11 cho mạng WLA

1.3.1 Giới thiệu

IEEE là tổ chức đi tiên phong trong lĩnh vực chuẩn hóa mạng LAN với đề

án IEEE 802 nổi tiếng bắt đầu triển khai từ năm 1980 và kết quả là hàng loạtchuẩn thuộc họ IEEE 802.x ra đời, tạo nên một sự hội tụ quan trọng cho việc thiết

kế và cài đặt các mạng LAN trong thời gian qua

1.3.2 Nhóm lớp vật lý PHY

1.3.2.1 Chuẩn 802.11b

Đây là chuẩn đã được chấp nhận rộng rãi trên thế giới và được triển khairất mạnh hiện nay do công nghệ này sử dụng dải tần không phải đăng ký cấp phépphục vụ cho công nghiệp, dịch vụ, y tế

1.3.2.2 Chuẩn 802.11a

Chuẩn 802.11a là phiên bản nâng cấp của 802.11b, hoạt động ở dải tần 5GHz, dùng công nghệ trải phổ OFDM Tốc độ tối đa từ 25 Mbps đến 54 Mbps trênmột kênh, tốc độ thực tế xấp xỉ 27 Mbps, dùng chuẩn này tối đa có 64 ngườidùng / điểm truy cập Đây cũng là chuẩn đã được chấp nhận rộng rãi trên thế giới 1.3.2.3 Chuẩn 802.11g

Các thiết bị thuộc chuẩn này hoạt động ở cùng tần số với chuẩn 802.11b là2.4 Ghz Tuy nhiên chúng hỗ trợ tốc độ truyền dữ liệu nhanh gấp 5 lần so vớichuẩn 802.11b với cùng một phạm vi phủ sóng, tức là tốc độ truyền dữ liệu tối đalên đến 54 Mbps, còn tốc độ thực tế là khoảng 7-16 Mbps.

1.3.3 Nhóm lớp liên kết dữ liệu MAC

Nhóm bao gồm các chuẩn sau:

1.3.4 Các kiến trúc cơ bản của chuẩn 802.11

Kiến trúc chuẩn bao gồm :

1.3.5.2 Thăm dò

Khi một thiết bị được bật lên, nó có thể lắng nghe các beacon và hy vọng sẽ tìmthấy một AP nào đó để thiết lập kết nối Ta có thể cho rằng là 10 beacon trong một

giây là quá nhiều và lãng phí Tuy nhiên, nên nhớ rằng có nhiều kênh tần số khácnhau và STA phải quét trên mỗi tần số và đợi 0,1 giây, như vậy là cũng phải mấtmột thời gian mới có thể quét hết được tất cả các kênh Thêm vào đó, nếu ta đã kếtnối và muốn tìm một AP mới vì tín hiệu của AP cũ quá yếu, ta phải làm sao tìm vàkết nối được càng nhanh càng tốt để không bị gián đoạn Vì vậy mà STA có mộtlựa chọn là gửi đi thông báo thăm dò Ta có thể hình dung nó như khi ta về nhà màchẳng nhìn thấy mọi người đâu, lúc đó ta sẽ hỏi: “Có ai ở nhà không?” Nếu bất kỳmột AP nào nhận được thông tin thăm dò đó, nó ngay lập tức gửi trả lại thông báogiống như dạng một beacon Nhờ đó mà một STA có thể nhanh chóng biết đượcthông tin về các AP xung quanh nó

1.3.5.3 Kết nối với một AP

Như chúng ta đã nói ở trên quá trình kết nối với một AP được gọi làassciation Khi muốn kết nối, thiết bị phải gửi yêu cầu kết nối, AP có thể đáp trảlại yêu cầu đó Nếu được chấp nhận, ta có kết nối thành công với AP

1.3.5.4 Roaming

Nếu có nhiều AP trong cùng một mạng, STA của ta có thể gặp trường hợpchuyển kết nối từ AP này sang AP khác Để làm được điều đó, trước hết nó phảingắt kết nối với AP cũ bằng thông báo hủy kết nối, rồi sau đó nó kết nối với APmới sử dụng thông báo tạo lại kết nối Thông báo này có chứa một vài thông tin về

AP cũ để giúp cho quá trình chuyển giao diễn ra dễ dàng hơn Thông tin này cũngcho phép AP mới trao đổi với AP cũ để đảm bảo rằng việc chuyển đổi vừa mớidiễn ra

1.3.5.5 Trao đổi dữ liệu

Khi đã kết nối thành công và sau khi chứng thực đã hoàn tất, đó chính là lúcbắt đầu gửi dữ liệu Trong phần lớn các trường hợp thì dữ liệu được trao đổi giữaSTA và AP Thực tế diễn ra đúng như vậy ngay cả khi ta muốn gửi dữ liệu đếnmột STA khác 32 Đầu tiên, ta phải gửi dữ liệu đến AP và sau đó AP gửi dữ liệuđến STA Thường dữ liệu được gửi đến AP và nó sẽ đẩy dữ liệu vào mạng LANhoặc tới Internet gateway Để làm được điều này, mỗi gói dữ liệu IEEE 802.11 đi

và đến AP đều có 3 địa chỉ Hai trong số đó là địa chỉ nguồn và đích thực sự, địa

chỉ còn lại là địa chỉ trung gian, đó chính là địa chỉ của AP Khi gửi dữ liệu từSTA tới AP thì chỉ có một địa chỉ nguồn, đó chính là địa chỉ của STA gửi thôngtin đi và có tới 2 địa chỉ đích Một địa chỉ đích là của AP và địa chỉ còn lại chính

là đích thực sự mà dữ liệu cần gửi đến Giống như dữ liệu từ AP đến STA cũng cómột địa chỉ đích nhưng lại có đến 2 địa chỉ nguồn, một là của AP và một của thiết

bị gửi dữ liệu đi

CHƯƠNG 2: MỘT SỐ GIẢI PHÁP ĐẢM BẢO AN NINH AN TOÀN CHO MẠNG KHÔNG DÂY

2.1 Thực trạng mất an ninh an toàn của mạng không dây

2.1.1 Khái niệm an ninh an toàn thông tin

An ninh an toàn thông tin (ANATTT) nghĩa là thông tin được bảo vệ, các hệthống và những dịch vụ có khả năng chống lại những hiểm họa, lỗi và sự tác độngkhông mong đợi, các thay đổi tác động đến độ an toàn của hệ thống là nhỏ nhất.Thực chất ANATTT không chỉ là những công cụ mà là cả một quá trình trong đóbao gồm những chính sách liên quan đến tổ chức, con người, môi trường bảo mật,các mối quan hệ và những công nghệ để đảm bảo an toàn hệ thống mạng

Hệ thống có một trong các đặc điểm sau là không an toàn: Các thông tin dữ liệutrong hệ thống bị người không có quyền truy nhập tìm cách lấy và sử dụng (thôngtin bị rò rỉ) Các thông tin trong hệ thống bị thay thế hoặc sửa đổi làm sai lệch nộidung (thông tin bị xáo trộn)…

Không thể đảm bảo ANATTT 100%, nhưng có thể giảm bớt các rủi ro khôngmong muốn Khi các tổ chức, đơn vị tiến hành đánh giá những rủi ro và cân nhắc

kỹ những biện pháp đối phó về mất ANATTT họ luôn luôn đi đến kết luận: Nhữnggiải pháp công nghệ (kỹ thuật) đơn lẻ không thể cung cấp đủ sự an toàn Nhữngsản phẩm Anti-virus, Firewall và các công cụ khác không thể cung cấp sự an toàncần thiết cho hầu hết các tổ chức ANATTT là một mắt xích liên kết hai yếu tố:yếu tố công nghệ và yếu tố con người

2.1.2 Đánh giá vấn đề an toàn, bảo mật hệ thống

Để đảm bảo an ninh cho mạng, cần phải xây dựng một số tiêu chuẩn đánh giámức độ an ninh an toàn mạng Một số tiêu chuẩn đã được thừa nhận là thước đomức độ an ninh mạng

2.1.2.1 Đánh giá trên phương diện vật lý

2.1.2.1.1 An toàn thiết bị

Các thiết bị sử dụng trong mạng cần đáp ứng được các yêu cầu sau: - Có thiết bị

dự phòng nóng cho các tình huống hỏng đột ngột Có khả năng thay thế nóng từngphần hoặc toàn phần (hot-plug, hot-swap) - Khả năng cập nhật, nâng cấp, bổ sungphần cứng và phần mềm - Yêu cầu đảm bảo nguồn điện, dự phòng trong tìnhhuống mất điện đột ngột - Các yêu cầu phù hợp với môi trường xung quanh: độ

ẩm, nhiệt độ, chống sét, phòng chống cháy nổ, vv

2.1.2.1.2 An toàn dữ liệu - Có các biện pháp sao lưu dữ liệu một cách định

kỳ và không định kỳ trong các tình huống phát sinh - Có biện pháp lưu trữ dữ liệutập trung và phân tán nhằm giảm bớt rủi ro trong các trường hợp đặc biệt như cháy

nổ, thiên tai, chiến tranh,

2.1.2.2 Đánh giá trên phương diện logic

Đánh giá theo phương diện này có thể chia thành các yếu tố cơ bản sau:

2.1.2.2.2 Tính xác thực

Liên quan tới việc đảm bảo rằng một cuộc trao đổi thông tin là đáng tin cậy.Trong trường hợp một bản tin đơn lẻ, ví dụ như một tín hiệu báo động hay cảnhbáo, chức năng của dịch vụ ủy quyền là đảm bảo với bên nhận rằng bản tin là từnguồn mà nó xác nhận là đúng Trong trường hợp một tương tác đang xảy ra, ví dụkết nối của một đầu cuối đến máy chủ, có hai vấn đề sau: thứ nhất tại thời điểmkhởi tạo kết nối, dịch vụ đảm bảo rằng hai thực thể là đáng tin Mỗi chúng là mộtthực thể được xác nhận Thứ hai, dịch vụ cần phải đảm bảo rằng kết nối là không

bị gây nhiễu do một thực thể thứ ba có thể giả mạo là một trong hai thực thể hợppháp để truyền tin hoặc nhận tin không được cho phép

2.1.2.2.3 Tính toàn vẹn 35 Cùng với tính bí mật, tính toàn vẹn có thể áp dụngcho một luồng các bản tin, một bản tin riêng biệt hoặc những trường lựa chọn trongbản tin Một lần nữa, phương thức có ích nhất và dễ dàng nhất là bảo vệ toàn bộluồng dữ liệu Một dịch vụ toàn vẹn hướng kết nối, liên quan tới luồng dữ liệu, đảmbảo rằng các bản tin nhận được cũng như gửi đi không có sự trùng lặp, chèn, sửa,hoán vị hoặc tái sử dụng Việc hủy dữ liệu này cũng được bao gồm trong dịch vụ

Vì vậy, dịch vụ toàn vẹn hướng kết nối phá hủy được cả sự thay đổi luồng dữ liệu

và cả từ chối dữ liệu Mặt khác, một dịch vụ toàn vẹn không kết nối, liên quan tớitừng bản tin riêng lẻ, không quan tâm tới bất kỳ một hoàn cảnh rộng nào, chỉ cungcấp sự bảo vệ chống lại sửa đổi bản tin

2.1.2.2.5 Khả năng điều khiển truy nhập

Trong hoàn cảnh của an ninh mạng, điều khiển truy nhập là khả năng hạn chếcác truy nhập với máy chủ thông qua đường truyền thông Để đạt được việc điềukhiển này, mỗi một thực thể cố gắng đạt được quyền truy nhập cần phải được nhậndiện, hoặc được xác nhận sao cho quyền truy nhập có thể được đáp ứng nhu cầuđối với từng người

2.1.2.2.6 Tính khả dụng, sẵn sàng

Một hệ thống đảm bảo tính sẵn sàng có nghĩa là có thể truy nhập dữ liệu bất cứlúc nào mong muốn trong vòng một khoảng thời gian cho phép Các cuộc tấn côngkhác nhau có thể tạo ra sự mất mát hoặc thiếu về sự sẵn sàng của dịch vụ Tính khảdụng của dịch vụ thể hiện khả năng ngăn chặn và khôi phục những tổn thất của hệthống do các cuộc tấn công gây ra

2.1.3 Các nguy cơ mất an ninh an toàn trong mạng không dây

2.1.3.1 Tấn công bị động

Tấn công bị động là kiểu tấn công không tác động trực tiếp vào thiết bị nào trênmạng, không làm cho các thiết bị trên mạng biết được hoạt động của nó vì thế kiểutấn công này nguy hiểm ở chỗ nó rất khó phát hiện

Các phương thức thường dùng trong tấn công bị động: nghe trộm (Sniffing,Eavesdropping), phân tích luồng thông tin (Traffic analysis)

Phương thức bắt gói tin:

Bắt gói tin – Sniffing là khái niệm cụ thể của khái niệm tổng quát “Nghe trộm –Eavesdropping” sử dụng trong mạng máy tính Có lẽ đây là phương pháp đơn giảnnhất, tuy nhiên nó vẫn có hiệu quả đối với việc tấn công WLAN Bắt gói tin có thểhiểu như là một phương thức lấy trộm thông tin khi đặt một thiết bị thu nằm tronghoặc nằm gần vùng phủ sóng Tấn công kiểu bắt gói tin sẽ khó bị phát hiện ra sự cómặt của thiết bị bắt gói dù thiết bị đó nằm trong hoặc nằm gần vùng phủ sóng nếuthiết bị không thực sự kết nối tới AP để thu các gói tin

Bắt gói tin ngoài việc trực tiếp giúp cho quá trình phá hoại, nó còn gián tiếp là tiền

đề cho các phương thức phá hoại khác Bắt gói tin là cơ sở của các phương thứctấn công như ăn trộm thông tin, thu thập thông tin phân bố mạng (wardriving), dò

mã, bẻ mã (Key crack),

Wardriving: là một thuật ngữ để chỉ thu thập thông tin về tình hình phân bố các

thiết bị, vùng phủ sóng, cấu hình của mạng không dây Với ý tưởng ban đầu dùngmột thiết bị dò sóng, bắt gói tin, kẻ tấn công ngồi trên xe ô tô và đi khắp các nơi đểthu thập thông tin chính vì thế mà có tên là wardriving

2.1.3.2 Tấn công chủ động

Tấn công chủ động là tấn công trực tiếp vào một hoặc nhiều thiết bị trên mạng ví

dụ như vào AP, STA Kiểu tấn công này dễ phát hiện nhưng khả năng phá hoại của

nó rất nhanh và nhiều, khi phát hiện ra chúng ta chưa kịp có phương pháp đối phóthì kẻ tấn công đã thực hiện xong quá trình phá hoại

Tấn công DOS:

Với mạng máy tính không dây và mạng có dây thì không có khác biệt cơ bản vềcác kiểu tấn công DOS ở các tầng ứng dụng và vận chuyển nhưng giữa các tầngmạng, liên kết dữ liệu và vật lý lại có sự khác biệt lớn Chính điều này làm tăng độnguy hiểm của kiểu tấn công DOS trong mạng máy tính không dây Trước khi thựchiện tấn công DOS, kẻ tấn công có thể sử dụng chương trình phân tích lưu lượngmạng để biết được chỗ nào đang tập trung nhiều lưu lượng, số lượng xử lý nhiều

và kẻ tấn công sẽ tập trung tấn công DOS vào những vị trí đó để nhanh đạt đượchiệu quả hơn

2.1.3.3 Tấn công theo kiểu chèn ép

Ngoài việc sử dụng phương pháp tấn công bị động, chủ động để lấy thông tin truycập tới mạng của người dùng, phương pháp tấn công theo kiểu chèn ép Jamming

40 là một kỹ thuật sử dụng đơn giản để làm mạng ngừng hoạt động Phương thứcJamming phổ biến nhất là sử dụng máy phát có tần số phát giống tần số mà mạng

sử dụng để áp đảo làm mạng bị nhiễu, bị ngừng làm việc Tín hiệu RF đó có thể dichuyển hoặc cố định

Hình 2.3 : Mô tả quá trình tấn công theo kiểu chèn ép

2.1.3.4 Tấn công theo kiểu thu hút

Tấn công theo kiểu thu hút có nghĩa là dùng một khả năng mạnh hơn chen vàogiữa hoạt động của các thiết bị và thu hút, giành lấy sự trao đổi thông tin của thiết

bị về mình Thiết bị chèn giữa đó phải có vị trí, khả năng thu phát trội hơn các thiết

bị sẵn có của mạng Một đặc điểm nổi bật của kiểu tấn công này là người sử dụngkhông thể phát hiện ra được cuộc tấn công, và lượng thông tin thu được bằng kiểutấn công này là giới hạn

Hình 2.4 : Mô tả quá trình tấn công theo kiểu thu hút

2.2 Cơ sở khoa học của mật mã ứng dụng trong việc đảm bảo an toàn và bảo mậtmạng không dây

2.2.1 Giới thiệu chung

Mật mã trước hết là một loại hoạt động thực tiễn, nội dung chính của nó là để giữ

bí mật thông tin Để thực hiện được một phép mật mã, cần có một thuật toán biếnbản rõ cùng với khóa mật mã thành bản mã mật và một thuật toán ngược lại biếnbản mật cùng với khóa mật mã thành bản rõ Các thuật toán đó được gọi tương ứng

là thuật toán lập mã và thuật toán giải mã Các thuật toán này thường không nhấtthiết phải giữ bí mật, cái luôn cần được giữ bí mật là khóa mật mã Trong thực tiễn

có những hoạt động ngược lại với hoạt động bảo mật là khám phá bí mật từ cácbản mã “lấy trộm” được, hoạt động này thường được gọi là mã thám hay phá khóa 2.2.2 Hệ mật mã khóa đối xứng

Trong các hệ mã đối xứng chỉ có một khóa được chia sẻ giữa các bên tham gia liênlạc Cứ mỗi lần truyền tin bảo mật, cả người gửi A và người nhận B cùng thoảthuận trước với nhau một khóa chung K, sau đó người gửi dùng giải thuật lập mã

để lập mã cho thông báo gửi đi và người nhận dùng giải thuật giải mã để giải mãbản mật mã nhận được Người gửi và người nhận có cùng một khóa chung K, khóanày được giữ bí mật dùng cho cả lập mã và giải mã Những hệ mật mã cổ điển vớicách sử dụng trên được gọi là mật mã khóa đối xứng hay còn gọi là mật mã khóa bímật Độ an toàn của hệ mật mã đối xứng phụ thuộc vào khóa Nếu để lộ khóa thìbất kỳ người nào cũng có thể mã hóa và giải mã thông điệp

Hình 2.5: Mô hình hệ mật mã khóa đối xứng

Ưu điểm nổi bật của các hệ mật mã khóa đối xứng là việc xây dựng một hệ mật mã

có độ bảo mật cao khá dễ dàng về mặt lý thuyết Nhưng như nếu không kể đến việccần có một nguồn sinh khóa ngẫu nhiên thì việc phân phối, lưu trữ bảo mật và thoảthuận khóa là một vấn đề khó chấp nhận được trong mạng truyền thông ngày nay.Trong một mạng có n người dùng, nếu cần khóa cho từng cặp thì cần n(n+1)/2khóa

Để khắc phục hiện tượng không thể lưu trữ một khối lượng khóa quá lớn đáp ứngđược nhu cầu mã dịch, người ta xem xét đến việc sử dụng các hệ mật mã khối với

độ dài không lớn lắm như DES… hoặc các hệ mật mã dòng mà khóa được sinh ra

từ một nguồn giả ngẫu nhiên bằng thuật toán

2.2.3 Hệ mật mã khóa công khai

Hệ mật mã khóa công khai hay còn được gọi là hệ mật mã phi đối xứng sử dụngmột cặp khóa, khóa mã hóa còn gọi là khóa công khai và khóa giải mã được gọi làkhóa bí mật hay khóa riêng Trong hệ mật này, khóa mã hóa khác với khóa giải

mã Về mặt toán học thì từ khóa công khai rất khó tính được khóa riêng Biết đượckhóa này không dễ dàng tìm được khóa kia Khóa giải mã được giữ bí mật trongkhi khóa mã hóa được công bố công khai Một người bất kỳ có thể sử dụng khóa

công khai để mã hoá tin tức, nhưng chỉ có người nào có đúng khóa giải mã mới cókhả năng xem được bản rõ.

Hình : Mô hình hệ mật mã khóa công khai

2.3 Nghiên cứu một số giải pháp đảm bảo an ninh an toàn cho mạng WLAN

2.3.1 Phương pháp bảo mật dựa trên WEP

2.3.1.1 Vấn đề chứng thực

Một số hệ thống sử dụng kiểu chứng thực của chuẩn IEEE 802.11 ban đầu Chúng

ta đã biết rằng IEEE 802.11 sử dụng 3 kiểu gói tin là gói tin điều khiển, gói tinquản lý và gói tin dữ liệu Giai đoạn chứng thực sử dụng gói tin 45 quản lý, đểchứng thực trong trường hợp không có bảo mật STA gửi một gói tin yêu cầu chứngthực và AP gửi trả lại gói tin báo chứng thực thành công Đối với chứng thực dựatrên WEP có 4 gói tin được trao đổi Đầu tiên STA gửi yêu cầu chứng thực, sau đó

AP gửi trả lại một gói tin challenge STA đáp lại gói tin challenge đó để chứng tỏrằng nó biết khóa bảo mật và nếu được chấp nhận AP sẽ gửi lại gói tin báo chứngthực thành công

Hình 2.7: Quá trình chứng thực diễn ra trong WEP

Dưới đây là định dạng của gói tin chứng thực, cho dù nhiều gói tin được trao đổinhưng nó có chung một dạng:

Hình : Định dạng của gói tin chứng thực

Algorithm Num: chỉ kiểu chứng thực được sử dụng:•

o 0 – Không có bảo mật

o 1 – Có sử dụng khóa bảo mật (WEP)

Transaction Seq.: chỉ ra ta đang ở phần nào của quá trình chứng thực Gói tin thứnhất ứng với giá trị 1, gói tin thứ hai ứng với giá trị 2 và gói tin thứ 3 (chỉ dùng vớiWEP) có giá trị là 3

Status Code: được gửi cuối cùng để thông báo yêu cầu chứng thực có thành cônghay không

Challenge Text: là số ngẫu nhiên như đã được nói ở trên

2.3.1.2 Vấn đề mã hóa

Phương pháp chứng thực ở đây gần như không có ý nghĩa, nó đôi khi còn nguyhơn là không sử dụng Vì thế, hầu hết các hệ thống WLAN bỏ qua giai đoạn chứngthực và chuyển luôn sang mã hóa sau khi đã tạo được kết nối

Các hệ thống bảo mật có thể dựa vào việc mã hóa theo chuỗi hoặc mã hóa khối.WEP sử dụng thuật toán mã hóa chuỗi gọi là RC4 để mã hóa các gói dữ liệu RC4

là tên viết tắt của Rivest Cipher 4 do Ron Rivest thiết kế vào năm 1987 Ở mức độcao nhất, RC4 giống như là một hộp đen, nó lấy một byte từ chuỗi dữ liệu và tạomột byte khác tương ứng ở đầu ra Việc giải mã là quá trình ngược lại và vẫn sửdụng khóa như quá trình mã hóa

2.3.1.3 Cơ chế hoạt động của WEP

Nếu trong một mạng có kết nối WLAN thì dữ liệu bao giờ cũng phải đi qua tầngdịch vụ mạng IEEE 802.11 MAC Hay nói một cách khác, gói dữ liệu tới WLANcùng với những thông tin cần thiết để gửi gói tin đến đích, gói dữ liệu này được gọi

là một MSDU Nếu không gặp lỗi nào, MSDU này sẽ được gửi đến tầng dịch vụMAC của thiết bị đích và sẽ được hệ điều hành hay trình điều khiển đưa đến đúngứng dụng đang chạy Tuy nhiên, trước khi được chuyển thành dạng sóng điện từ,MSDU có thể được chia thành những phần nhỏ hơn, gọi là các phân mảnh(fragment) Mỗi một fragment được mã hóa bởi WEP Một MAC header được gắnvào phần đầu và từ kiểm tra được gắn vào phần cuối

Như vậy, từ một MSDU ban đầu sẽ được phân chia ra thành các phần dữ liệu nhỏhơn (fragment), đồng thời các byte thông tin khác cũng được thêm vào chứ khôngchỉ có mỗi phần dữ liệu được mã hóa Mỗi phần nhỏ đó được gọi là một MPDU.Quá trình này coi dữ liệu như một khối gồm các byte, độ lớn tùy theo MSDU banđầu cũng như việc chọn lựa độ lớn của fragment, nó thường có giá trị từ 10 đến

1500 byte Bước đầu tiên trong quá trình mã hóa là thêm giá trị kiểm tra tính toànvẹn ICV Mục đích của việc sử dụng ICV là để phát hiện sự thay đổi nội dung góitin trong quá trình nó được truyền đi Đối với cả các gói tin được mã và khôngđược mã, cần có một số kiểm tra nhằm phát hiện bit sai lệch trong quá trình truyềntin CRC là một số 4 byte được thêm vào cuối của khung ngay trước khi xử lý đểtruyền Nếu có một bit bị sai, bên thu sẽ phát hiện ra ngay dựa vào giá trị CRC vàhủy gói tin đó Có nhiều khi không phát hiện được sự thay đổi này do kẻ gian đãtính toán lại giá trị CRC và thay nó vào gói tin ICV cũng tương tự như CRC, chỉ

có điều nó được tính toán và thêm vào trước khi mã hóa, còn CRC thì về nguyên

tắc vẫn được thêm vào sau khi mã hóa Về mặt lý thuyết do ICV được mã hóa nênkhông có kẻ nào có thể tính toán lại nhằm thay đổi nội dung, nhưng thực tế lại làchuyện khác

Hình 2.8 : Thêm ICV

Sau khi ICV được thêm vào, khung này đã sẵn sàng để mã hóa Trước tiên, hệthống phải lựa chọn một IV và kết hợp nó với khóa, thực hiện việc mã hóa bằngthuật toán RC4, từng byte dữ liệu và khối ICV lần lượt được mã hóa Ứng với mộtbyte đầu vào thì tương ứng có một byte được mã hóa ở đầu ra, quá trình này diễn

ra liên tục cho đến khi toàn bộ dữ liệu được mã, đây chính là kiểu mã hóa chuỗi

Để bên thu có thể giải mã được, cả KeyID và IV cũng phải được thêm vào, nóchiếm tổng cộng 4 byte: 3 byte đối với IV (24 bit) và 1 byte với KeyID (0,1,2 hoặc3)

thực hiện quy trình như sau: nhờ vào một bit ở phần MAC header để biết gói dữliệu nhận được có mã hóa hay không, nếu có, nó đọc và lưu lại giá trị IV, tiếp đến

là đọc KeyID và chọn khóa giải mã, khởi tạo chương trình mã RC4 và thực hiệnquá trình giải mã Nếu ta thực hiện việc giải mã hai lần thì dữ liệu lại trở lại trạngthái mã hóa như ban đầu, do đặc điểm của thuật toán mã hóa mà việc mã hóa vàgiải mã là như nhau, tức là vẫn thuật toán ấy, nếu đầu vào là bản rõ thì đầu ra làbản mã và nếu đầu vào vẫn bản mã ấy thì đầu ra lại trở lại bản rõ ban đầu Sau khithu được bản rõ ban đầu, bước cuối cùng là tính ICV và đảm bảo rằng không có sựthay đổi nào đối với dữ liệu gốc Nếu mọi việc hoàn thành, chỉ riêng phần dữ liệumới được xử lý ở những công đoạn sau mà thôi, tất cả những phần thông tin thêmvào đến thời điểm này không còn cần thiết nữa

2.3.1.4 Những điểm yếu của WEP

2.3.1.4.1 Điểm yếu trong chứng thực

Phương pháp nhận dạng không đủ mạnh

Không Có biện pháp lưu đặc điểm nhận dạng đối với một loạt các trao đổi Không chứng thực cả hai chiều

Các khóa dùng để chứng thực chưa khác với các khóa để mã

2.3.1.4.2 Điểm yếu trong bảo mật gói tin

Đây là một điểm quan trọng: tấn công vào phương pháp bảo mật của WEP Có haiđiểm quan trọng khi nói đến tấn công vào mã: đó là giải mã được thông tin hay lấyđược khóa Có 3 điểm yếu đối với cách mà RC4 được dùng trong WEP đó là: Việc sử dụng lại IV

Chính bản thân khóa RC4 yếu

Tấn công khóa một cách trực tiếp

2.3.2 Phương pháp bảo mật dựa trên TKIP

TKIP được tạo ra nhằm nâng cấp độ bảo mật cho WEP Khi WEP bị hack, ngaytức khắc toàn bộ hàng triệu hệ thống WLAN rơi vào tình trạng không an toàn Cầntìm một giải pháp làm sao nâng cấp được các hệ thống đang tồn tại để đảm bảo độ

an toàn cao hơn Và giải pháp đó chính là TKIP, yêu cầu đặt ra là TKIP vẫn hoạtđộng được trên các hệ thống sử dụng WEP đang tồn tại Trong trường hợp với

AES, đó là giải pháp được thiết kế từ đầu, các nhà thiết kế có thể tập trung vào giảipháp tốt nhất có thể, vừa 54 đảm bảo việc triển khai khả thi đồng thời thực hiện vớichi phí hợp lý Ở một vài khía cạnh nào đó, do được thiết kế từ đầu nên AES giảiquyết vấn đề một cách đơn giản hơn Nhưng TKIP thì khác, nó bị ràng buộc bởiphải làm sao đảm bảo an toàn dựa trên nền tảng WEP đã và đang sử dụng

2.3.3 Phương pháp bảo mật dựa trên AES-CCMP

AES-CCMP có độ an toàn cao nhất trong chuẩn IEEE 802.11i Các hệ thống bảomật sử dụng thuật toán AES cùng với một mode hoạt động nào đó, một số modeđơn giản và phổ biến nhất sẽ được nói đến ở đây Sau đó chúng ta sẽ tìm hiểuCCMP, giao thức được sử dụng trong IEEE 802.11 và tìm hiểu cách thức hoạtđộng của giao thức này Phần này cũng cho thấy làm thế nào mà CCMP lại phùhợp với IEEE 802.11 framework và cung cấp chế độ bảo mật hợp lý mà thỏa mãnhầu hết nhu cầu của người sử dụng

Khi nói đến RSN dựa trên AES thì AES không phải là một giao thức bảo mật, nóchỉ là thuật toán mã khối Trong RSN, giao thức bảo mật có sử dụng thuật toánAES được gọi là giao thức Counter Mode-CBC MAC hay CCMP CCMP bao gồmmột loạt các quy tắc trong đó có sử dụng thuật toán mã hóa khối AES để bảo vệcác khung dữ liệu IEEE 802.11 AES chỉ là thuật toán dùng trong CCMP giốngnhư RC4 là thuật toán dùng trong TKIP Một lý do mà CCMP được cho là mạnhhơn TKIP bởi nó được xây dựng từ đầu, tức là nó được tạo ra hoàn toàn mới vớinhững kỹ thuật tốt nhất Khác hoàn toàn với TKIP, bởi TKIP là một giải pháp tìnhthế được tạo ra nhằm khắc phục những điểm yếu của WEP

2.4 WLAN VPN

Mạng riêng VPN bảo vệ mạng WLAN bằng cách tạo ra một kênh che chắng dữ liệukhỏi các truy cập trái phép VPN tạo ra một tin cậy cao thông qua việt sử dụng một

cơ chế bảo mật như Ipsec ( internetProtocol Security) IPSec để mã hóa dự liệu và dùng các thuật toán khác để các thực gói dự lieeuk Ípec cũng sử dụng thẻ xác nhận

số để xác nhận khóa mã (public key) Khi được sử dụng trên mạng WLAN, công kết của VPN đảm nhận việt xác thực, đóng gói và mã hóa

Hình 1: Mô hình WLAN VPN

4.8 LỌC (Filltering)

Lọc là cơ chế bảo mật cơ bản có thể sử dụng cùng với WEP Lọc hoạt động

giống access list trên router, cấm những cái không mông muốn và cho phép những cái mong muốn Có 3 kiểu lọc cơ bản có thể sử dụng trong wireless lan:

– Lọc SSID

– Lọc địa chỉ MAC

– Lọc giao thức

a Lọc SSID

Lọc SSID là phương thức cơ bản của lọc và chỉ nên được sử dụng trong việc điều khiển truy cập cơ bản.

SSID của client phải khớp với SSID của AP để có thể xác thực và kết nối với tập dịc vụ SSID được quảng bá mà không được mã hóa trong các Beocon nên rất dễ

bị phát hiện bằng cách sử dung cac phần mềm Một số sai lầm mà người sử

dung WLAN mắc phải trong quản lí SSSID gồm:

– Sử dụng giá trị SSID mặc định tạo điều kirnj cho hacker dò tìm địa chỉ MAC củaAP

– Sử dụng SSID có liên qua đến công ty

– Sử dụng SSID như là phương thức bảo mật của công ty

– Quảng bá SSID một cách không cần thiết

c Lọc giao thức

Mạng Lan không dây có thể lọc các gói đi qua mạng dựa trên các giao thức từ lớp

2 đến lớp 7 Trong nhiều trường hợp người quản trị nên cài đặt lọc giao thức trong môi trường dùng chung,

Hình 3 Tiến trình xác thực MAC