Trong phạm vi nghiên cứu, luận văn Đánh giá về an toàn giao thức định tuyến trong mạng MANET sẽ trình bày một số vấn đề về an toàn giao thức định tuyến trong mạng MANET, một số giải pháp để chống tấn công trong giao thức định tuyến mạng MANET, cụ thể là tấn công Blackhole trong giao thức định tuyến AODV.
Trang 1ĐẠI HỌC QUỐC GIA HÀ NỘI TRƯỜNG ĐẠI HỌC CÔNG NGHỆ
NGÔ THẾ HẢI ANH
ĐÁNH GIÁ VỀ AN TOÀN GIAO THỨC ĐỊNH TUYẾN
TRONG MẠNG MANET
Ngành: CÔNG NGHỆ THÔNG TIN
Chuyên ngành: Truyền dữ liệu & Mạng máy tính
Mã số:
TÓM TẮT LUẬN VĂN THẠC SĨ NGÀNH CÔNG NGHỆ THÔNG TIN
Hà Nội - 2016
Trang 2MỤC LỤC
DANH MỤC KÍ HIỆU VÀ CHỮ VIẾT TẮT 3
MỞ ĐẦU 4
CHƯƠNG 1: TỔNG QUAN VỀ MẠNG MANET 5
1.1 Tổng quan về mạng MANET 5
1.2 Đặc điểm của mạng MANET 5
1.3 Phân loại MANET 5
1.3.1 Phân loại theo giao thức 5
1.3.2 Phân loại theo chức năng 5
1.4 Vấn đề định tuyến trong mạng MANET 5
1.4.1 Các thuật toán định tuyến truyền thống 6
1.4.2 Bài toán định tuyến mạng MANET 6
1.5 Các kỹ thuật định tuyến mạng MANET 6
1.5.1 Định tuyến Link State và Distance Vector 6
1.5.2 Định tuyến chủ ứng và định tuyến phản ứng 6
1.5.3 Cập nhật định kỳ và cập nhật theo sự kiện 6
1.5.4 Cấu trúc phẳng và cấu trúc phân cấp 6
1.5.5 Tính toán phi tập trung và tính toán phân tán 7
1.5.7 Đơn đường và đa đường 7
1.6 Các giao thức định tuyến trong mạng MANET 7
1.6.1 Destination-Sequence Distance Vector (DSDV) 7
1.6.2 Ad hoc On-demand Distance Vector Routing (AODV) 7
1.6.3 Dynamic Source Routing (DSR) 7
CHƯƠNG 2: VẤN ĐỀ AN NINH TRONG MẠNG MANET VÀ MỘT SỐ PHƯƠNG PHÁP TẤN CÔNG TRONG MẠNG MANET 8
2.1 Những vấn đề về an ninh trong mạng MANET 8
2.1.1 Thách thức về an ninh trong mạng MANET 8
2.1.2 Các yêu cầu về an ninh 8
2.2 Các phương thức tấn công trong giao thức định tuyến mạng MANET 8
2.2.1 Tấn công bằng cách sửa đổi 8
2.2.2 Tấn công bằng cách mạo danh 8
2.2.3 Tấn công bằng cách chế tạo 8
2.3.4 Tấn công đặc biệt 8
CHƯƠNG 3: TẤN CÔNG LỖ ĐEN TRONG GIAO THỨC ĐỊNH TUYẾN AODV VÀ MỘT SỐ GIẢI PHÁP PHÒNG CHỐNG TẤN CÔNG LỖ ĐEN 9
3.1 Lỗ hổng giao thức AODV 9
3.2 Phân loại tấn công lỗ đen 9
Trang 33.3 Một số giải pháp phòng chống tấn công lỗ đen trong giao thức
AODV 9
3.3.1 ARAN (Authenticated Routing for Ad hoc Networks) 9
3.3.2 SAODV (Secure Ad hoc On-demand Distance Vector) 9
3.3.3 RAODV (Reverse Ad hoc On-demand Distance Vector) 10
3.3.4 IDSAODV (Intrusion Detection System Ad hoc On-demand Distance Vector) 11
CHƯƠNG 4: ĐÁNH GIÁ AN TOÀN GIAO THỨC ĐỊNH TUYẾN TRONG MẠNG MANET THÔNG QUA SỬ DỤNG CÔNG CỤ MÔ PHỎNG 12
4.1 Phân tích lựa chọn phương pháp mô phỏng để đánh giá 12
4.2 Bộ mô phỏng NS-2 và cài đặt mô phỏng 12
4.2.1 Giới thiệu NS-2 12
4.2.2 Các thành phần của bộ chương trình mô phỏng NS2 12
4.2.3 Các chức năng mô phỏng chính của NS2 12
4.2.4 Thiết lập mô phỏng mạng MANET trong NS2 13
4.3 Cài đặt bổ sung các giao thức 13
4.3.1 Cài đặt giao thức blackholeAODV mô phỏng tấn công lỗ đen 13
4.3.2 Cài đặt giao thức IDSAODV làm giảm ảnh hưởng tấn công lỗ đen 14
4.3.3 Cài đặt giao thức RAODV làm giảm ảnh hưởng tấn công lỗ đen 16
4.4 Mô phỏng, đánh giá ảnh hưởng và giải pháp làm giảm hiệu ứng của tấn công lỗ đen 17
4.5 Tiến hành mô phỏng, phân tích tệp vết để tính các tham số hiệu năng 19
4.6 Đánh giá ảnh hưởng của tấn công lỗ đen trong các giao thức định tuyến AODV, IDSAODV và RAODV 21
KẾT LUẬN 23
1 Các kết quả của luận văn 23
2 Hướng phát triển của đề tài 23
TÀI LIỆU THAM KHẢO 24
Trang 4DANH MỤC KÍ HIỆU VÀ CHỮ VIẾT TẮT
DSDV Destination-Sequenced Distance Vector
R-RREQ Reverse Route Request
RAODV Reverse Adhoc On-demand Distance Vector
IDSAODV Intrusion Detection System Adhoc On-demand Distance
Vector
Trang 5MỞ ĐẦU Với hàng loạt các ưu điểm của công nghệ truyền thông không dây, các mạng di động không dây đã được phát triển rất mạnh trong thời gian gần đây Mạng di động không dây đặc biệt MANET (Mobile Wireless Adhoc Network) cho phép các máy tính di động thực hiện kết nối và truyền thông với nhau không cần dựa trên cơ sở hạ tầng mạng có dây Về mặt thực tiễn, mạng MANET rất hữu ích cho các nhu cầu thiết lập mạng khẩn cấp tại những nơi xảy ra thảm họa như: hỏa hoạn, lụt lội, động đất… hay những nơi yêu cầu tính nhanh chóng, tạm thời như trong các trận chiến, do thám… Tuy nhiên, chính vì những đặc điểm hoạt động không phụ thuộc vào cơ sở
hạ tầng, truyền thông trong không khí… đã khiến cho mạng MANET rất dễ
bị tấn công Những thách thức đặt ra cho vấn đề bảo mật mạng MANET thường tập trung vào bảo mật tầng liên kết, bảo mật định tuyến, trao đổi và quản lý khóa
Trong phạm vi nghiên cứu của mình, luận văn sẽ trình bày một số vấn đề về an toàn giao thức định tuyến trong mạng MANET, một số giải pháp để chống tấn công trong giao thức định tuyến mạng MANET, cụ thể
là tấn công Blackhole trong giao thức định tuyến AODV
Bố cục của luận văn chia làm bốn phần:
Chương 1: Tổng quan về mạng MANET
Chương 2: Những vấn đề về an ninh trong mạng MANET, các phương pháp tấn công trong mạng MANET
Chương 3: Tấn công lỗ đen trong giao thức định tuyến AODV và một số giải pháp phòng chống tấn công lỗ đen
Chương 4: Sử dụng công cụ mô phỏng NS-2 để mô phỏng kịch bản tấn công Blackhole trong giao thức AODV, qua đó đánh giá hiệu năng của mạng dưới sự ảnh hưởng của tấn công Blackhole, đề xuất giải pháp làm giảm ảnh hưởng của tấn công Blackhole
Trang 6CHƯƠNG 1:
TỔNG QUAN VỀ MẠNG MANET 1.1 Tổng quan về mạng MANET
Mạng adhoc di động (MANET) bao gồm các miền router kết nối lỏng với nhau Một mạng MANET được đặc trưng bởi một hoặc nhiều giao diện mạng MANET, các giao diện được phân biệt bởi “khả năng tiếp cận không đối xứng” thay đổi theo thời gian của nó đối với các router lân cận Các router này nhận dạng và duy trì một cấu trúc định tuyến giữa chúng Các router có thể giao tiếp thông qua các kênh vô tuyến động với khả năng tiếp cận không đối xứng, có thể di động và có thể tham gia hoặc rời khỏi mạng bất kì thời điểm nào Để giao tiếp với nhau, các nốt mạng adhoc cần cấu hình giao diện mạng của nó với địa chỉ địa phương có giá trị trong khu vực của mạng adhoc đó
1.2 Đặc điểm của mạng MANET
- Thiết bị tự trị đầu cuối (Autonomous terminal)
- Phân chia hoạt động (Distributed operation)
- Định tuyến đa đường (Multihop routing
- Cấu hình động (Dynamic network topology)
- Dao động về dung lượng liên kết (Fluctuating link capacity)
- Tối ưu hoá cho thiết bị đầu cuối (Light-weight terminals)
1.3 Phân loại MANET
1.3.1 Phân loại theo giao thức
1.4 Vấn đề định tuyến trong mạng MANET
Truyền thông trong mạng MANET dựa trên các đường đi đa chặng
và mọi nút mạng đều thực hiện chức năng của một router, chúng cộng tác với nhau, thực hiện chuyển tiếp các gói tin hộ các nút mạng khác nếu các nút mạng này không thể truyền trực tiếp với nút nhận, do vậy định tuyến là bài toán quan trọng nhất đối với việc nghiên cứu MANET
Trang 71.4.1 Các thuật toán định tuyến truyền thống
Để tìm đường đi cho các gói tin qua hệ thống các router trong mạng, các giao thức định tuyến truyền thống thường sử dụng giải thuật véc
tơ khoảng cách (Distance Vector Routing - DV) hoặc trạng thái liên kết (Link State Routing – LS)
1.4.2 Bài toán định tuyến mạng MANET
- Hoạt động phân tán
- Không có lặp định tuyến
- Tính toán đường dựa trên yêu cầu
- Tính toán đường trước
- Bảo mật
- Hoạt động nghỉ
- Hỗ trợ liên kết đơn hướng
1.5 Các kỹ thuật định tuyến mạng MANET
1.5.1 Định tuyến Link State và Distance Vector
1.5.2 Định tuyến chủ ứng và định tuyến phản ứng
- Định tuyến chủ ứng (Proactive): Là phương pháp định tuyến của các giao thức truyền thống Đường tới tất cả các đích được tính toán trước Các thông tin định tuyến được cập nhật định kỳ hoặc bất cứ khi nào cấu hình mạng thay đổi
- Định tuyến phản ứng (Reactive): Là phương pháp định tuyến theo yêu cầu Đường tới đích không được tính toán trước và chỉ được xác định khi cần đến Quá trình phát hiện liên kết bị hỏng và xây dựng lại đường được gọi là quá trình duy trì đường
1.5.3 Cập nhật định kỳ và cập nhật theo sự kiện
- Cập nhật định kỳ thực hiện bằng việc phát các gói tin định tuyến một cách định kỳ Kỹ thuật này làm đơn giản hóa các giao thức và cho phép các nút học được về cấu hình và trạng thái của toàn bộ mạng Tuy nhiên, giá trị quãng thời gian cập nhật là một tham số quan trọng
- Cập nhật theo sự kiện diễn ra khi có sự kiện xảy ra trong mạng như liên kết hỏng hoặc liên kết mới xuất hiện
1.5.4 Cấu trúc phẳng và cấu trúc phân cấp
- Trong cấu trúc phẳng, tất cả các nút trong mạng ở cùng mức với nhau và có chức năng định tuyến như nhau
- Trong định tuyến phân cấp, các nút được tổ chức động thành các phân hoạch gọi là cluster, sau đó các cluster được kết hợp lại thành các
Trang 8phân hoạch lớn hơn gọi là các supercluster, v.v Việc tổ chức mạng thành các cluster giúp duy trì cấu hình mạng tương đối bền vững
1.5.5 Tính toán phi tập trung và tính toán phân tán
- Trong giao thức dựa trên tính toán phi tập trung, mọi nút trong mạng duy trì thông tin toàn cục hoàn chỉnh về cấu hình mạng để tính toán các đường đi ngay khi cần
- Trong giao thức dựa trên tính toán phân tán, mọi nút trong mạng chỉ duy trì thông tin bộ phận hoặc cục bộ về cấu hình mạng Khi một đường cần được tính toán, nhiều nút sẽ phối hợp để tính toán đường
1.5.7 Đơn đường và đa đường
Một số giao thức định tuyến tìm một đường duy nhất từ nguồn tới đích Do đó, giao thức trở lên đơn giản và tiết kiệm được không gian lưu trữ Tuy nhiên, một số giao thức khác lại áp dụng việc tìm nhiều đường Mục tiêu của các giao thức này là sự tin cậy và mạnh mẽ
1.6 Các giao thức định tuyến trong mạng MANET
1.6.1 Destination-Sequence Distance Vector (DSDV)
DSDV là giao thức định tuyến chủ ứng dựa trên véc tơ khoảng cách theo chặng Mỗi nút trong mạng duy trì một bảng định tuyến có chứa chặng tiếp theo và số chặng tới mỗi đích trong mạng Để giữ cho các bảng định tuyến được cập nhật, DSDV yêu cầu mỗi nút phát quảng bá định kỳ các cập nhật định tuyến tới các hàng xóm và phát ngay các cập nhật khi có các thay đổi quan trọng xảy ra trong mạng
1.6.2 Ad hoc On-demand Distance Vector Routing (AODV) AODV là giao thức dựa trên thuật toán vector khoảng cách Giao thức AODV tối thiểu hoá số bản tin quảng bá cần thiết bằng cách tạo ra các tuyến trên cơ sở theo yêu cầu
1.6.3 Dynamic Source Routing (DSR)
Giao thức DSR là một giao thức định tuyến đơn giản và hiệu quả được thiết kế riêng cho việc sử dụng trong các mạng ad hoc không dây đa chặng với các nút di động Sử dụng DSR, mạng hoàn toàn tự tổ chức và tự cấu hình, không cần cơ sở hạ tầng mạng sẵn có hoặc quản trị trung tâm Các nút mạng hợp tác để chuyển tiếp các gói tin cho nhau từ đó cho phép giao tiếp qua nhiều “chặng” giữa những nút không trực tiếp nằm trong phạm vi truyền dẫn không dây của nút khác Khi các nút trong mạng lưới di chuyển xung quanh hoặc gia nhập hoặc rời khỏi mạng, hoặc các điều kiện truyền dẫn không dây như các nguồn nhiễu thay đổi, thì tất cả định tuyến được tự động xác định và duy trì bởi các giao thức định tuyến DSR
Trang 9CHƯƠNG 2:
VẤN ĐỀ AN NINH TRONG MẠNG MANET
VÀ MỘT SỐ PHƯƠNG PHÁP TẤN CÔNG TRONG MẠNG MANET
2.1 Những vấn đề về an ninh trong mạng MANET
2.1.1 Thách thức về an ninh trong mạng MANET
- Môi trường là không khí kém bảo mật là nguy cơ của việc nghe trộm từ đó kẻ tấn công có thể phân tích lưu lượng mạng phục vụ cho các mục đích tấn công tiếp theo
- Việc các nút gia nhập và rời mạng bất kỳ lúc nào tạo nên sự thay đổi thường xuyên về cấu trúc mạng đòi hỏi các giao thức định tuyến liên tục phát các yêu cầu quảng bá trong toàn mạng cũng dẫn đến việc mất an ninh trong mạng
- Giới hạn về tài nguyên như băng thông và năng lượng làm giảm khả năng chống đỡ của mạng trước các cuộc tấn công
2.1.2 Các yêu cầu về an ninh
2.2.1 Tấn công bằng cách sửa đổi
- Sửa đổi số tuần tự đích (destination sequence number), số chặng (hop_count) của tuyến đường
- Sửa đổi nguồn của tuyến đường
2.2.2 Tấn công bằng cách mạo danh
Kiểu tấn công này đe dọa tính xác thực và bảo mật trong mạng 2.2.3 Tấn công bằng cách chế tạo
Trong cách tấn công này, nút độc hại cố gắng để “bơm” vào mạng các thông điệp giả mạo hoặc các thông điệp định tuyến sai để phá vỡ cơ chế định tuyến trong mạng
2.3.4 Tấn công đặc biệt
- Tấn công lỗ sâu (Wormhole Attack)
- Tấn công lỗ đen (Blackhole Attack)
Trang 10CHƯƠNG 3:
TẤN CÔNG LỖ ĐEN TRONG GIAO THỨC ĐỊNH TUYẾN AODV
VÀ MỘT SỐ GIẢI PHÁP PHÒNG CHỐNG TẤN CÔNG LỖ ĐEN 3.1 Lỗ hổng giao thức AODV
Giao thức AODV dễ bị kẻ tấn công làm sai lệch thông tin đường đi
để chuyển hướng đường đi và bắt đầu các cuộc tấn công khác Trong mỗi gói tin định tuyến AODV, một số trường quan trọng như số đếm chặng HC,
số tuần tự đích SN của nguồn và đích, IP header cũng như địa chỉ IP đích
và nguồn của AODV, và chỉ số RREQ ID, là những yếu tố cần thiết để thực thi giao thức đúng đắn Sự sai sót của bất cứ trường nào kể trên cũng có thể khiến AODV gặp sự cố Bảng sau ghi lại vài trường dễ bị phá hoại trong thông điệp định tuyến AODV và sự thay đổi khi chúng bị tấn công
Để thực hiện một cuộc tấn công lỗ đen trong giao thức AODV, nút độc hại chờ gói tin RREQ gửi từ các nút láng giềng của nó Khi nhận được gói RREQ, nó ngay lập tức gửi trả lời gói tin RREP với nội dung sai lệch trong đó thiết lập giá trị SN cao nhất và giá trị HC nhỏ nhất mà không thực hiện kiểm tra bảng định tuyến xem có tuyến đường tới đích nào không trước khi các nút khác (trong đó gồm các nút trung gian có tuyến đường hợp lệ hoặc chính nút đích) gửi các bảng tin trả lời tuyến Sau đó mọi dữ liệu truyền từ nút nguồn tới nút đích được nút độc hại loại bỏ (drop) toàn
bộ thay vì việc chuyển tiếp tới đích thích hợp
3.2 Phân loại tấn công lỗ đen
a RREQ Black hole attack
b RREP black hole attack
3.3 Một số giải pháp phòng chống tấn công lỗ đen trong giao thức AODV
3.3.1 ARAN (Authenticated Routing for Ad hoc Networks) ARAN là giao thức định tuyến an toàn dựa trên giao thức AODV Giao thức ARAN sử dụng mã hóa, chứng chỉ số để ngăn chặn hầu hết các cuộc tấn công và phát hiện những hành vi không bình thường Chứng chỉ chứng thực nút ARAN sử dụng mật mã, chứng chỉ số để đảm bảo tính xác thực, tính toàn vẹn và không chối bỏ trong quá trình định tuyến
3.3.2 SAODV (Secure Ad hoc On-demand Distance Vector) Giao thức SAODV được công bố bởi Manel Guerrero Zapata vào năm 2006 để giải quyết các thử thách an ninh trong mạng MANET SAODV là một giao thức mở rộng của giao thức AODV, nó được sử dụng
Trang 11để bảo vệ cơ chế quá trình khám phá tuyến bằng cách cung cấp các tính năng an ninh như toàn vẹn, xác thực và chống chối bỏ
3.3.3 RAODV (Reverse Ad hoc On-demand Distance Vector) Giao thức RAODV được đề xuất bởi Chonggun Kim, Elmurod Talipov và Byoungchul Ahn [6], khám phá tuyến đường sử dụng thủ tục khám phá tuyến ngược nơi nút đích sẽ gửi một gói tin yêu cầu tuyến ngược (R-RREQ) tới các nút láng giềng để tìm một con đường hợp lệ đến nút nguồn sau khi nhận RREQ từ nút nguồn Cơ chế hoạt động của RAODV như sau:
Giao thức RAODV không có tuyến đường cố định được lưu trữ trong các nút Các nút nguồn khởi tạo thủ tục khám phá tuyến bằng cách quảng bá Các gói tin RREQ chứa các thông tin sau: Loại tin, địa chỉ nguồn, địa chỉ đích, ID quảng bá, hop count, số thứ tự nguồn, số thứ tự đích, thời gian yêu cầu (timestamp)
Hình 3.1 Định dạng gói tin RREQ Mỗi khi nút nguồn gửi một RREQ mới, ID quảng bá được tăng lên một Vì vậy, các địa chỉ nguồn và đích, cùng với các ID quảng bá, xác định duy nhất gói tin RREQ này Nút nguồn quảng bá các RREQ đến tất cả các nút trong phạm vi truyền của nó, những nút láng giềng sẽ chuyển tiếp RREQ đến các nút khác Khi RREQ được quảng bá trên toàn mạng, một số nút có thể nhận được nhiều bản sao của cùng một RREQ Khi một node trung gian nhận RREQ, kiểm tra nút nếu đã nhận một RREQ với cùng ID quảng bá và nguồn địa chỉ Nút mạng sẽ lấy ID quảng bá và địa chỉ nguồn lần đầu tiên và loại bỏ RREQ dư thừa Thủ tục cũng tương tự với RREQ của AODV
Khi nút đích nhận được gói tin yêu cầu tuyến đường lần đầu, nút đích sẽ tạo ra một gói tin yêu cầu ngược (R-RREQ) và quảng bá cho các nút hàng xóm trong phạm vi truyền giống như RREQ của nút nguồn đã làm
Trang 12Gói tin R-RREQ chứa các trường thông tin sau: ID trả lời nguồn,
ID trả lời đích, ID trả lời quảng bá, hop count, số thứ tự nguồn, thời gian trả lời (timestamp)
Hình 3.2 Định dạng gói tin R-RREQ Khi đã quảng bá gói tin R-RREQ đến nút trung gian, nó sẽ kiểm tra
dự phòng Nếu nút trung gian nhận được cùng một thông báo, gói tin đó sẽ
bị hủy, nếu không sẽ chuyển tiếp tới các nút tiếp theo
Ngoài ra, nút mạng còn lưu trữ hoặc cập nhật các thông tin sau vào bảng định tuyến:
3.3.4 IDSAODV (Intrusion Detection System Ad hoc On-demand Distance Vector)
Giao thức IDSAODV được đề xuất bởi Semih Dokurer [7], dựa trên ý tưởng hết sức đơn giản theo cơ chế làm việc của giao thức AODV đó
là kiểm tra số SN của gói tin RREP trả lời Nếu trong mạng hiện diện nút lỗ đen thì ngay lập tức nút lỗ đen này sẽ trả lời gói tin RREP với giá trị số SN được gán cao nhất và đương nhiên sẽ trả lời ngay lập tức tới nút nguồn gửi yêu cầu RREQ Do đó, chỉ cần loại bỏ gói tin RREP đầu tiên nhận được và chấp nhận gói tin RREP thứ hai với giá trị số SN cao nhất để thiết lập tuyến đường truyền thông bằng cơ chế bộ đệm gói tin Tuy nhiên, trong một số trường hợp không phải bao giờ gói tin RREP với giá trị số SN lớn nhất nhận đầu tiên cũng đến từ nút lỗ đen