Hợp đồng nghiên cứu xây dựng an toàn cho mạng không dây

Mạng Internet từ lâu đã trở thành một thành phần không thể thiếu đối vớinhiều lĩnh vực trong đời sống xã hội, từ các cá nhân hộ gia đình, đơn vị, doanhnghiệp dùng mạng Internet phục vụ c

HỢP ĐỒNG NGHIÊN CỨU XÂY DỰNG HƯỚNG DẪN SỬ DỤNG AN

TOÀN THÔNG TIN CHO MẠNG KHÔNG DÂY Mục lục

Mục lục 1

1.Tổng quan về an toàn thông tin cho mạng không dây 3

1.1 Giới thiệu công nghệ mạng Internet không dây 3

1.1.1 Ưu điểm của công nghệ mạng Internet không dây 4

1.1.2 Nhược điểm của công nghệ mạng Internet không dây 5

1.2 Thực trạng mất an ninh an toàn của mạng không dây 5

1.2.1 Khái niệm an ninh an toàn thông tin 5

1.2.2 Đánh giá vấn đề an toàn, bảo mật hệ thống 6

2.Nghiên cứu và phân tích về đe dọa an toàn thông tin của mạng không dây 9

2.1 Các nguy cơ mất an ninh an toàn trong mạng không dây 9

2.1.1 Tấn công thụ động - Passive attacks 10

2.1.2 Tấn công chủ động - Active attacks 13

2.1.3 Tấn công vào cơ chế phản ứng MIC 20

2.1.4 Tấn công vào quá trình bắt tay 4-bước 20

2.1.5 Tấn công dựa vào những lỗ hổng bảo mật trên mạng: 21

2.1.6 Sử dụng các công cụ để phá hoại: 25

2.1.7 Tấn công theo kiểu chèn ép - Jamming attacks 26

2.1.8 Tấn công theo kiểu thu hút - Man in the middle attacks 27

2.1.9 Tấn công vào các yếu tố con người 27

2.1.10 Một số kiểu tấn công khác 28

3.Nghiên cứu và hướng dẫn bảo mật dữ liệu trong mạng không dây 28

4.Nghiên cứu và Quản lý xác thực truy cập trong mạng không dây 28

5.Nghiên cứu và xây dựng hướng dẫn quản trị mạng không dây 28

6.An toàn trong mạng không dây có đa điểm truy cập 28

1.Tổng quan về an toàn thông tin cho mạng không dây

1.1 Giới thiệu công nghệ mạng Internet không dây.

Mạng Internet từ lâu đã trở thành một thành phần không thể thiếu đối vớinhiều lĩnh vực trong đời sống xã hội, từ các cá nhân hộ gia đình, đơn vị, doanhnghiệp dùng mạng Internet phục vụ cho công việc, học tập, hoạt động tổ chứckinh doanh, quảng bá v.v…cho đến hệ thống mạng Internet toàn cầu mà cả xãhội, cả thế giới đang hàng ngày hàng giờ sử dụng Các hệ thống mạng hữu tuyến

và vô tuyến đang ngày càng phát triển, phát huy vai trò của mình trong đó mạngInternet không dây nổi lên như một phương thức truy nhập Inetrnet phổ biến dầnthay thế cho mạng Internet có dây khó triển khai, lắp đặt

Mặc dù mạng Internet không dây đã xuất hiện từ nhiều thập niên nhưngcho đến những năm gần đây, với sự bùng nổ các thiết bị di động thì nhu cầunghiên cứu và phát triển các hệ thống mạng Internet không dây ngày càng trởnên cấp thiết Nhiều công nghệ, phần cứng, các giao thức, chuẩn lần lượt ra đời

và đang được tiếp tục nghiên cứu và phát triển

Mạng Internet không dây có tính linh hoạt, hỗ trợ các thiết bị di động nênkhông bị ràng buộc cố định và phân bố địa lý như trong mạng Internet hữutuyến Ngoài ra, ta còn có thể dễ dàng bổ sung hay thay thế các thiết bị tham giamạng Internet mà không cần phải cấu hình lại toàn bộ toplogy của mạng Tuynhiên, hạn chế lớn nhất của mạng Internet không dây là khả năng bị nhiễu vàmất gói tin so với mạng Internet hữu tuyến Bên cạnh đó, tốc độ truyền cũng làvấn đề rất đáng để chúng ta quan tâm

Hiện nay, những hạn chế trên đang dần được khắc phục Những nghiêncứu về mạng Internet không dây hiện đang thu hút các Viện nghiên cứu cũngnhư các Doanh nghiệp trên thế giới Với sự đầu tư đó, hiệu quả và chất lượngcủa hệ thống mạng Internet không dây sẽ ngày càng được nâng cao, hứa hẹnnhững bước phát triển trong tương lai

Trong các hệ thống mạng Internet hữu tuyến, dữ liệu nhận và truyền từcác máy chủ tới hệ thống các Website thông qua các dây cáp hoặc thiết bị trunggian Còn đối với mạng Internet không dây, các máy chủ truyền và nhận thôngtin từ Internet thông qua sóng điện từ, sóng radio.

Tín hiệu Internet được truyền trong không khí trong một khu vực gọi làvùng phủ sóng Internet Thiết bị nhận Internet chỉ cần nằm trong vùng phủ sóngInternet của thiết bị phát Internet thì sẽ nhận được tín hiệu

1.1.1 Ưu điểm của công nghệ mạng Internet không dây.

- Tính tiện lợi, di động: Cho phép người dùng truy xuất tài nguyên trên

mạng Internet ở bất kỳ nơi đâu trong khu vực được triển khai (công viên, nhàhay văn phòng), điều này rất khó đối với mạng Internet có dây vì khó triển khaingay lập tức, không cơ động, khó đối với nhiều khu vực không kéo dây được,mất nhiều thời gian, tiền của v.v Tính di động này sẽ tăng năng xuất và tínhkịp thời thỏa mãn những nhu cầu thông tin mà mạng Internet hữu tuyến khôngthể có được

- Tính hiệu quả: Người dùng có thể duy trì kết nối mạng Internet khi họ đi

từ nơi này đến nơi khác trong phạm vi vùng phủ sóng của mạng Internet khôngdây (trong một tòa nhà, một khu vực nhất định)

- Tiết kiệm chi phí lâu dài: Việc thiết lập hệ thống mạng Internet không

dây ban đầu chỉ cần 1 Accesspoint và Accesspoint này có kết nối với Internetthông qua Switch hoặc Modem Nhưng từ 1 Accesspoint này rất nhiều máy tính

có thể truy cập Internet, tiết kiệm chi phí rất nhiều so với phải kéo dây trongmạng Internet hữu tuyến, chi phí dài hạn có lợi nhất trong môi trường động cầnphải di chuyển và thay đổi thường xuyên, các chi phí về thời gian tồn tại củamạng Internet hữu tuyến có thể thấp hơn đáng kể so với mạng Internet khôngdây

- Khả năng mở rộng: Mạng Internet không dây có thể đáp ứng tức thì khi

gia tăng số lượng người dùng (điều không thể đối với mạng Internet có dây vìphải lắp đặt thêm thiết bị,…)

- Tính linh hoạt: Dễ dàng bổ xung hay thay thế các thiết bị tham gia mạng

mà không cần phải cấu hình lại toàn bộ topology mạng

1.1.2 Nhược điểm của công nghệ mạng Internet không dây.

- Bảo mật: Môi trường kết nối Internet không dây là không khí -> khả

năng bị tấn công của người dùng là rất cao

- Phạm vi: Một mạng chuẩn 802.11g với các thiết bị chuẩn chỉ có thể hoạt

động tốt trong phạm vi vài chục mét, ngoài phạm vi đó các thiết bị truy cậpInternet không thể nhận được tín hiệu hoặc nhận được tín hiệu thì rất yếu, ngắtquãng không đảm bảo

- Chất lượng: Vì mạng Internet không dây sử dụng sóng vô tuyến để

truyền thông nên việc bị nhiễu, tín hiệu bị giảm do tác động của các thiết bị khác( lò vi sóng ) là không tránh khỏi

- Tốc độ: Tốc độ của mạng Internet không dây (1 – 125 Mbps) rất chậm

so với mạng sử dụng cáp (100 Mbps đến hàng Gbps)

1.2 Thực trạng mất an ninh an toàn của mạng không dây

1.2.1 Khái niệm an ninh an toàn thông tin

An ninh an toàn thông tin (ANATTT) nghĩa là thông tin được bảo vệ, các

hệ thống và những dịch vụ có khả năng chống lại những hiểm họa, lỗi và sự tácđộng không mong đợi, các thay đổi tác động đến độ an toàn của hệ thống là nhỏnhất Thực chất ANATTT không chỉ là những công cụ mà là cả một quá trìnhtrong đó bao gồm những chính sách liên quan đến tổ chức, con người, môitrường bảo mật, các mối quan hệ và những công nghệ để đảm bảo an toàn hệthống mạng

Hệ thống có một trong các đặc điểm sau là không an toàn: Các thông tin

dữ liệu trong hệ thống bị người không có quyền truy nhập tìm cách lấy và sửdụng (thông tin bị rò rỉ) Các thông tin trong hệ thống bị thay thế hoặc sửa đổilàm sai lệch nội dung (thông tin bị xáo trộn)…

Không thể đảm bảo ANATTT 100%, nhưng có thể giảm bớt các rủi rokhông mong muốn Khi các tổ chức, đơn vị tiến hành đánh giá những rủi ro vàcân nhắc kỹ những biện pháp đối phó về mất ANATTT họ luôn luôn đi đến kếtluận: Những giải pháp công nghệ (kỹ thuật) đơn lẻ không thể cung cấp đủ sự antoàn Những sản phẩm Anti-virus, Firewall và các công cụ khác không thể cungcấp sự an toàn cần thiết cho hầu hết các tổ chức ANATTT là một mắt xích liênkết hai yếu tố: yếu tố công nghệ và yếu tố con người

- Yếu tố công nghệ: Bao gồm những sản phẩm của công nghệ nhưFirewall, phần mềm phòng chống virus, giải pháp mật mã, sản phẩm mạng, hệđiều hành và những ứng dụng như: trình duyệt Internet và phần mềm nhậnEmail từ máy trạm

- Yếu tố con người: Là những người sử dụng máy tính, những người làmviệc với thông tin và sử dụng máy tính trong công việc của mình Con người làkhâu yếu nhất trong toàn bộ quá trình đảm bảo ANATTT Hầu như phần lớn cácphương thức tấn công được hacker sử dụng là khai thác các điểm yếu của hệthống thông tin và đa phần các điểm yếu đó rất tiếc lại do con người tạo ra Việcnhận thức kém và không tuân thủ các chính sách về ANATTT là nguyên nhânchính gây ra tình trạng trên Đơn cử là vấn đề sử dụng mật khẩu kém chất lượng,không thay đổi mật khẩu định kỳ, quản lý lỏng lẻo là những khâu yếu nhất màhacker có thể lợi dụng để xâm nhập và tấn công

1.2.2 Đánh giá vấn đề an toàn, bảo mật hệ thống

Để đảm bảo an ninh cho mạng, cần phải xây dựng một số tiêu chuẩn

đánh giá mức độ an ninh an toàn mạng Một số tiêu chuẩn đã được thừa nhận làthước đo mức độ an ninh mạng.

1.2.2.1 Đánh giá trên phương diện vật lý

1.2.2.1.1 An toàn thiết bị

Các thiết bị sử dụng trong mạng cần đáp ứng được các yêu cầu sau:

- Có thiết bị dự phòng nóng cho các tình huống hỏng đột ngột Có khảnăng thay thế nóng từng phần hoặc toàn phần (hot-plug, hot-swap)

- Khả năng cập nhật, nâng cấp, bổ sung phần cứng và phần mềm

- Yêu cầu đảm bảo nguồn điện, dự phòng trong tình huống mất điện độtngột

- Các yêu cầu phù hợp với môi trường xung quanh: độ ẩm, nhiệt độ,chống sét, phòng chống cháy nổ, vv

1.2.2.2 Đánh giá trên phương diện logic

Đánh giá theo phương diện này có thể chia thành các yếu tố cơ bản sau:1.2.2.2.1 Tính bí mật, tin cậy

Là sự bảo vệ dữ liệu truyền đi khỏi những cuộc tấn công thụ động Có thểdùng vài mức bảo vệ để chống lại kiểu tấn công này Dịch vụ rộng nhất là bảo

vệ mọi dữ liệu của người sử dụng truyền giữa hai người dùng trong một khoảngthời gian Nếu một kênh ảo được thiết lập giữa hai hệ thống, mức bảo vệ rộng sẽngăn chặn sự rò rỉ của bất kỳ dữ liệu nào truyền trên kênh đó

Cấu trúc hẹp hơn của dịch vụ này bao gồm việc bảo vệ một bản tin riêng

lẻ hay những trường hợp cụ thể bên trong một bản tin Khía cạnh khác của tin bímật là việc bảo vệ lưu lượng khỏi sự phân tích Điều này làm cho những kẻ tấncông không thể quan sát được tần suất, những đặc điểm khác của lưu lượng trênmột phương tiện giao tiếp

1.2.2.2.2 Tính xác thực

Liên quan tới việc đảm bảo rằng một cuộc trao đổi thông tin là đáng tincậy Trong trường hợp một bản tin đơn lẻ, ví dụ như một tín hiệu báo động haycảnh báo, chức năng của dịch vụ ủy quyền là đảm bảo với bên nhận rằng bản tin

1.2.2.2.3 Tính toàn vẹn

Cùng với tính bí mật, tính toàn vẹn có thể áp dụng cho một luồng các bảntin, một bản tin riêng biệt hoặc những trường lựa chọn trong bản tin Một lầnnữa, phương thức có ích nhất và dễ dàng nhất là bảo vệ toàn bộ luồng dữ liệu

Một dịch vụ toàn vẹn hướng kết nối, liên quan tới luồng dữ liệu, đảm bảorằng các bản tin nhận được cũng như gửi đi không có sự trùng lặp, chèn, sửa,hoán vị hoặc tái sử dụng Việc hủy dữ liệu này cũng được bao gồm trong dịch

vụ Vì vậy, dịch vụ toàn vẹn hướng kết nối phá hủy được cả sự thay đổi luồng

dữ liệu và cả từ chối dữ liệu Mặt khác, một dịch vụ toàn vẹn không kết nối, liênquan tới từng bản tin riêng lẻ, không quan tâm tới bất kỳ một hoàn cảnh rộngnào, chỉ cung cấp sự bảo vệ chống lại sửa đổi bản tin

1.2.2.2.4 Tính không thể phủ nhận

Tính không thể phủ nhận bảo đảm rằng người gửi và người nhận khôngthể chối bỏ một bản tin đã được truyền Vì vậy, khi một bản tin được gửi đi, bênnhận có thể chứng minh được rằng bản tin đó thật sự được gửi từ người gửi hợppháp Hoàn toàn tương tự, khi một bản tin được nhận, bên gửi có thể chứngminh được bản tin đó đúng thật được nhận bởi người nhận hợp lệ

1.2.2.2.5 Khả năng điều khiển truy nhập

Trong hoàn cảnh của an ninh mạng, điều khiển truy nhập là khả năng hạnchế các truy nhập với máy chủ thông qua đường truyền thông Để đạt được việcđiều khiển này, mỗi một thực thể cố gắng đạt được quyền truy nhập cần phảiđược nhận diện, hoặc được xác nhận sao cho quyền truy nhập có thể được đápứng nhu cầu đối với từng người

1.2.2.2.6 Tính khả dụng, sẵn sàng

Một hệ thống đảm bảo tính sẵn sàng có nghĩa là có thể truy nhập dữ liệubất cứ lúc nào mong muốn trong vòng một khoảng thời gian cho phép Các cuộctấn công khác nhau có thể tạo ra sự mất mát hoặc thiếu về sự sẵn sàng của dịch

vụ Tính khả dụng của dịch vụ thể hiện khả năng ngăn chặn và khôi phục nhữngtổn thất của hệ thống do các cuộc tấn công gây ra

2.Nghiên cứu và phân tích về đe dọa an toàn thông tin của mạng không dây 2.1 Các nguy cơ mất an ninh an toàn trong mạng không dây

Mạng máy tính Internet không dây dễ dàng bị tấn công và truy cập tráiphép hơn so với môi trường mạng LAN hữu tuyến Khó có thể ngăn cản đượctruy cập tới một mạng không dây, bởi vì WLAN làm việc trong môi trường vôtruyến là không khí Bất kì ai đều có thể chặn bắt và truyền những tín hiệukhông dây nếu như họ đang trong vùng phủ sóng và có những công cụ tốt đểthách thức thực sự Nhiều tài liệu về những tổ chức về các nguy cơ an toàn cầnđược xem xét Hậu quả của một tấn công có thể dẫn đến những thiệt hại cho tổ

chức như mất mát thông tin độc quyền, mất mát dịch vụ mạng, tốn kém chi phíphục hồi.

Hình sau đây đưa ra phân loại chung những tấn công an toàn mạngWLAN

2.1.1 Tấn công thụ động - Passive attacks

mà không để bị phát hiện

Các phương thức thường dùng trong tấn công thụ động: nghe trộm(Sniffing, Eavesdropping), phân tích luồng thông tin (Traffic analysis)

2.1.1.2 Phương thức bắt gói tin:

Bắt gói tin – Sniffing là khái niệm cụ thể của khái niệm tổng quát “Nghetrộm – Eavesdropping” sử dụng trong mạng máy tính Có lẽ đây là phương phápđơn giản nhất, tuy nhiên nó vẫn có hiệu quả đối với việc tấn công WLAN Bắtgói tin có thể hiểu như là một phương thức lấy trộm thông tin khi đặt một thiết

bị thu nằm trong hoặc nằm gần vùng phủ sóng Tấn công kiểu bắt gói tin sẽ khó

bị phát hiện ra sự có mặt của thiết bị bắt gói dù thiết bị đó nằm trong hoặc nằmgần vùng phủ sóng nếu thiết bị không thực sự kết nối tới AP để thu các gói tin

Những chương trình bắt gói tin có khả năng lấy các thông tin quan trọng,mật khẩu, … từ các quá trình trao đổi thông tin trên máy người dùng với các siteHTTP, email, các instant messenger, các phiên FTP, các phiên telnet nếu nhữngthông tin trao đổi đó dưới dạng văn bản không mã hóa Có những chương trình

có thể lấy được mật khẩu trên mạng không dây của quá trình trao đổi giữa Client

và Server khi đang thực hiện quá trình nhập mật khẩu để đăng nhập

Bắt gói tin ngoài việc trực tiếp giúp cho quá trình phá hoại, nó còn giántiếp là tiền đề cho các phương thức phá hoại khác Bắt gói tin là cơ sở của cácphương thức tấn công như ăn trộm thông tin, thu thập thông tin phân bố mạng(wardriving), dò mã, bẻ mã (Key crack),

Hình 2.1: Phần mềm bắt gói tin EtherealWardriving: là một thuật ngữ để chỉ thu thập thông tin về tình hình phân

bố các thiết bị, vùng phủ sóng, cấu hình của mạng không dây Với ý tưởng banđầu dùng một thiết bị dò sóng, bắt gói tin, kẻ tấn công ngồi trên xe ô tô và đikhắp các nơi để thu thập thông tin chính vì thế mà có tên là wardriving

Hình 2.2: Phần mềm thu thập thông tin hệ thống mạng không dây NetStumblerBiện pháp đối phó: Vì “bắt gói tin” là phương thức tấn công kiểu thụ độngnên rất khó phát hiện và do đặc điểm truyền sóng trong không gian nên không

thể phòng ngừa việc nghe trộm của kẻ tấn công Giải pháp đề ra ở đây là nângcao khả năng mã hóa thông tin sao cho kẻ tấn công không thể giải mã được, khi

đó thông tin lấy được sẽ không có giá trị đối với kẻ tấn công

2.1.2 Tấn công chủ động - Active attacks

2.1.2.1 Định nghĩa:

Tấn công chủ động là tấn công trực tiếp vào một hoặc nhiều thiết bị trênmạng ví dụ như vào AP, STA Những kẻ tấn công có thể sử dụng phương pháptấn công chủ động để thực hiện các chức năng trên mạng Cuộc tấn công chủđộng có thể được dùng để tìm cách truy nhập tới một server để thăm dò, để lấynhững dữ liệu quan trọng, thậm chí thực hiện thay đổi cấu hình cơ sở hạ tầngmạng Kiểu tấn công này dễ phát hiện nhưng khả năng phá hoại của nó rấtnhanh và nhiều, khi phát hiện ra chúng ta chưa kịp có phương pháp đối phó thì

kẻ tấn công đã thực hiện xong quá trình phá hoại

So với kiểu tấn công thụ động thì tấn công chủ động có nhiều phươngthức đa dạng hơn, ví dụ như: Tấn công DOS, Sửa đổi thông tin (MessageModification), Đóng giả, mạo danh, che dấu (Masquerade), Lặp lại thông tin(Replay), Bomb, Spam mail,

2.1.2.2 Các kiểu tấn công chủ động cụ thể

2.1.2.2.1 Mạo danh, truy cập trái phép

a Nguyên lý thực hiện

Việc mạo danh, truy cập trái phép là hành động tấn công của kẻ tấn côngđối với bất kỳ một loại hình mạng máy tính nào, và đối với mạng Internet khôngdây cũng như vậy Một trong những cách phổ biến là một máy tính tấn công bênngoài giả mạo là máy bên trong mạng, xin kết nối vào mạng để rồi truy cập tráiphép nguồn tài nguyên trên mạng Việc giả mạo này được thực hiện bằng cáchgiả mạo địa chỉ MAC, địa chỉ IP của thiết bị mạng trên máy tấn công thành cácgiá trị của máy đang sử dụng trong mạng, làm cho hệ thống hiểu nhầm và chophép thực hiện kết nối Ví dụ việc thay đổi giá trị MAC của card mạng khôngdây trên máy tính sử dụng hệ điều hành Windows hay UNIX đều hết sức dễdàng, chỉ cần qua một số thao tác cơ bản của người sử dụng Các thông tin vềđịa chỉ MAC, địa chỉ IP cần giả mạo có thể lấy từ việc bắt trộm gói tin trênmạng.

b Biện pháp đối phó

Việc giữ gìn bảo mật máy tính mình đang sử dụng, không cho ai vào dùngtrái phép là một nguyên lý rất đơn giản nhưng lại không thừa để ngăn chặn việcmạo danh này Việc mạo danh có thể xẩy ra còn do quá trình chứng thực giữacác bên còn chưa chặt chẽ, vì vậy cần phải nâng cao khả năng này giữa các bên.2.1.2.2.2 Tấn công từ chối dịch vụ - DOS

a Nguyên lý thực hiện

Với mạng máy tính không dây và mạng có dây thì không có khác biệt cơbản về các kiểu tấn công DOS ( Denied of Service ) ở các tầng ứng dụng và vậnchuyển nhưng giữa các tầng mạng, liên kết dữ liệu và vật lý lại có sự khác biệtlớn Chính điều này làm tăng độ nguy hiểm của kiểu tấn công DOS trong mạngmáy tính không dây Trước khi thực hiện tấn công DOS, kẻ tấn công có thể sửdụng chương trình phân tích lưu lượng mạng để biết được chỗ nào đang tậptrung nhiều lưu lượng, số lượng xử lý nhiều, và kẻ tấn công sẽ tập trung tấncông DOS vào những vị trí đó để nhanh đạt được hiệu quả hơn