Tìm hiểu Voip trên nền 802.11 - P4

Chương 4. Bảo mật, quản lý động và QoS trong Mobile IP
Chương 4. Bảo mật, quản lý động và QoS trong Mobile IP
4.1. Bảo mật và Vo802.11
Hệ thống điện thoại truyền thống có nhiều lỗ hổng để xâm nhập. Khi mà những
công nghệ đó phát triển không đủ nhanh để hỗ trợ bảo mật tốt cho nhà khai thác.
Vo802.11 phải khắc phục được những lo lắng về vấn đề an toàn của khách hàng
trong mạng. Nỗi sợ hãi về sự nghe trộm và gian lận có thể làm giảm nhu cầu sử dụng
của khách hàng. Chương này mô tả tiêu chuẩn bảo mật và phương pháp bảo mật cho
mạng 802.11.
Không giống những hệ thống có dây, được bảo vệ ở tầng vật lý, mạng không dây
không bị giới hạn trong toà nhà, tín hiệu có thể thu được ở cự ly vài trăm mét với một
laptop và một anten làm cho WLAN tồn tại những điểm yếu để tấn công. Kỹ thuật
bảo vệ đầu tiên được đưa ra là Wireless Equivalency Protocol, nó là một giao thức
mã hoá, được thiết kế để có được tính năng như mạng có dây. Chuẩn sử dụng là 40
và 128 bit (thực tế thì chỉ 104bits) cho mã hoá và ở lớp link, với thuật toán RC4 do
chính phủ Mỹ đưa ra.
802.11i được đưa ra với sự hỗ trợ WEP cho bảo mật. Theo Wi-Fi Alliance,
những tổ chức nhỏ nên turn on WEP ở mức tối thiểu, dùng password bảo vệ cho
những tài nguyên dùng chung, thay đổi tên mạng từ Service Set ID (SSID), dùng bộ
lọc địa chỉ MAC, dùng key phiên, và hệ thống mạng VPN và những phương pháp
khác cho tổ chức lớn hơn.
IEEE 802.11b, dựa trên hai kỹ thuật bảo mật là : (1) SSID và (2) WEP. Một số
nhà sản xuất còn đưa bộ lọc địa chỉ MAC và sản phẩm của họ.
Trang- 49 -
Chương 4. Bảo mật, quản lý động và QoS trong Mobile IP
SSID- service set ID
SSID là một chuỗi dùng để xác định các miền giữa nhiều điểm truy cập (access
points –AP) điều này cho phép sự chồng lấn trong mạng không dây. Nó được xem
như là một password cơ bản để chống các client kết nối vào mạng, tuy nhiên có thể
tấn công dễ dàng bởi Aps quảng bá những SSIDs nhiều lần trong 1s,và bất kỳ công
cụ phân tích 802.11 nào như là Airmagnet, Netstumbler, hay Wildpackets Airopeek

có thể đọc được nó. Người sử dụng thường cấu hình những clients, và password dễ
dàng bị phát hiện.
WEP-Wireless Equivalency Protocol.
IEEE 802.11b dùng WEP để thẩm quyền truy cập mạng và mã hoá chống nghe
trộm cho dữ liệu.
Có 4 chọn lựa cho WEP:
1.Không dùng WEP
2.Chỉ mã hoá
3.Chỉ thẩm định quyền
4.Cả mã hoá và thẩm quyền
WEP encryption dựa vào RC4, dùng key 40bit kết hợp với một vector 24bit khởi
tạo ngẫu nhiên để mã hoá dữ liệu truyền không dây.(điều này cũng giống với mã hoá
64b). Có thể dùng chung WEP key cho tất cả client và Aps. Hầu hết các nhà sản hiện
nay sử dụng 128b WEP (104bit key), để tăng sức mạnh mã hoá. Chế độ này không
phải là chuẩn của IEEE 802.11b, phụ thuộc vào các nhà sản xuất, một trong số chúng
không tương thích với nhau.
WEP còn định nghĩa một giao thức thẩm quyền, có hai dạng cho 802.11b là :
open system (cho phép truy cập tuỳ ý, không thẩm quyền và mã hoá dữ liệu, dùng
cho nơi công cộng) và shared key (AP gửi một thông điệp thẩm quyền cho client,
client dùng shared key để mã hóa thông điệp đó, và gửi trả lại cho AP, nếu AP giải
Trang- 50 -
Chương 4. Bảo mật, quản lý động và QoS trong Mobile IP
mã đúng thì client có quyền truy cập ). Do cả “challenge pharse” (ở dạng cleartext)
và khả năng kiểm tra thường xuyên, hacker có thể bẻ khoá WEP. Vì vậy cả open
system và shared key đều không an toàn.
Việc phân phối các key dựa trên một dịch vụ quản lý bên ngoài để phân phối các
secret key đến mỗi trạm, và không phải là một dịch vụ chỉ định, việc truy cập được
xử lý một cách thủ công, các key sẽ tồn tại tĩnh trong quá trình trao đổi, ngoại trừ
được thay đổi bởi nhà quản trị. Nguyên nhân khách quan là bản chất tĩnh của các key
và quá trình xử lý thủ công tuần tự, dẫn đến việc thay đổi key sẽ tốn một lượng thời

gian lớn trong mạng. Khi một trạm có vấn đề, key sẽ được thay đổi đến tất cả các
trạm trong mạng.
WEP hầu như cung cấp 4 shared key. Chúng được dùng chung cho tất cả client và
Aps mỗi khi một client truy cập vào mạng. Hacker có đủ thời gian và công cụ
dowload từ web để xác định key .
MAC Address Filtering
MAC address filter chứa địa chỉ MAC của wireless NIC đã được kết hợp với mỗi
AP. Một số nhà sản xuất cung cấp công cụ để tự động quá trình update và entry.
MAC filter cũng không đảm bảo do địa chỉ MAC có thể lấy được bởi một bộ sniffer
(bộ phân tích mạng). Sau đó dùng Linux driver cho những card 802.11 để cấy hình
địa chỉ MAC đã được sniffed và truy cập trở lại mạng.
Những mối nguy hiểm bảo mật
Mối nguy hiểm có thể đến từ hacker, người cộng tác, từ bên trong, người thầu dự
án, cá nhân bất bình trong công ty.
Trang- 51 -
Chương 4. Bảo mật, quản lý động và QoS trong Mobile IP
4.1.1. Mô hình bảo mật WLAN
Hình 4.1. Những kiểu tấn công và hướng tấn công trong WLAN
Có 4 lớp tấn công hệ thống chính : interception, fabrication, modification, and
interruption, lớp thứ 5 là Repudiation, chống lại thông tin tài khoản, có thể tấn công
cả hệ thống nguồn lẫn đích.
Trong trường hợp bình thường, thông tin được gửi từ nguồn đến đích. Khi một
cuộc tấn công xảy ra nó có thể đến từ những dạng trong danh sách sau:
 Interception-Chặn gói tin
Đối tượng tấn công có thể chặn gói tin để đọc thông tin được gởi từ nguồn đến
đích. Sniffing là một ví dụ.
Hacker cố gắng lấy thông tin hoặc định dạng thông tin bằng cách phân tích lưu
lượng trong hệ thống rồi suy luận ra mà không ảnh hưởng đến nguồn. Phần thị thực
của đối tượng nguồn có thể bị chặn và sẽ được sử dụng dưới dạng giả danh, thông
thường hacker đưa ra một bản tin như là thông tin nhận thực, password, số thẻ tín

dụng, hay những thông tin nhạy cảm khác.
 Fabrication-Nặc danh
Tấn công tích cực vào thẩm quyền, hacker giả vờ như là một thực thể nguồn ví dụ
như là những gói bị spoofed và email giả dạng. WEP có hai kỹ thuật thẩm quyền là
là open system và shared key.
Trang- 52 -
Chương 4. Bảo mật, quản lý động và QoS trong Mobile IP
• Man-in-the-Middle Attacks
Hình 4.2. mô tả man in middle attack
• Spoofing
DNS spoofing, bằng cách gởi một DNS response đến một DNS server
trong mạng, IP address spoofing phụ thuộc vào router, chỉ kiểm tra IP address
đích hay cả IP gửi. Có thể chống loại tấn công này bằng thẩm định IP addr
gửi.
• Insertion Attacks-tấn công chèn
Cấu hình hay chèn bất hợp pháp một thiết bị để truy cập vào mạng gọi là
tấn công chèn. Bằng cách cài đặt những card mạng không dây ở gần mục tiêu,
thiết bị có thể cấu hình để truy cập. Những AP không thẩm quyền có thể được
cài đặt để đưa người dùng truy cập vào AP của hacker. Nếu những AP này
đặt sau firewall thì mối nguy hiểm càng lớn hơn.
• Brute-Force Password Attacks
Là phương pháp crack password, nó sử dụng một từ điển và cố gắng lặp đi
lặp lại để truy cập vào mạng. Loại tấn công này có khả năng cho thẩm quyền
bằng password.
• Invasion và Resource Stealing
Một khi một hacker biết được cách thức điều khiển một WLAN, họ sẽ có
thể chiếm quyền điều khiển mạng hay trạm truy cập đó. Đánh cắp một trạm
truy cập bằng cách giả một địa chỉ MAC có thẩm quyền và dùng nó gán cho
Trang- 53 -
Chương 4. Bảo mật, quản lý động và QoS trong Mobile IP

IP address. Chờ cho hệ thống chủ ngừng hoạt động thì hacker sẽ đưa hệ thống
giả lên mạng và chờ người dùng đăng nhập.
 Modification
Modification là một loại tấn công tích cực, hacker thay đổi thông tin đã được gửi
từ một nguồn. Chèn một Trojan hay virus là một ví dụ. Rất dễ dàng tấn công
modification với WEP mà không bị phát hiện, vì ICV là một hàm tuyến tính, chỉ sử
dụng phép cộng và nhân:
crc(x XOR y) = crc(x) XOR crc(y)
Với việc kiểm tra tính toàn vẹn bằng CRC-32, có thể thay đổi một hay nhiều bits
trong gói hay dự đoán bit nào trong checksum cần thay đổi.
Mất thiết bị
Đây là một vấn đề được chú ý bởi FBI, bởi dữ liệu nằm trong thiết bị đó có thể
được dùng để truy cập mạng có dây một cách có thẩm quyền.
Do virus
Đã có một số loại virus xuất hiện trên điện thoại di động, như là VBS/Timo-A và
LoveBug, như là khả năng gửi những message.
 Replay-tấn công lặp
Replay là một kiểu tấn công tích cực dựa vào tính toàn vẹn, khi hacker gửi lại
những thông tin được gửi từ nguồn đến đích.
Bảo mật 802.11 cơ bản không bảo vệ chống relay, nó không chứa số tuần tự hay
nhãn thời gian. Bởi vì IV và keys có thể reused, cho nên có khả năng replay bản tin
với cùng IV mà không phát hiện bị chèn những bản tin giả vào hệ thống, Mỗi gói
phải được thẩm quyền không chỉ là mã hoá không, hay phải có số tuần tự và nhãn
thời gian.
 Reaction- dò phản ứng
Là một kiểu tấn công tích cực, những gói được gởi bởi hacker đến đích, và những
phản ứng sẽ được giám sát, ngoài ra thông tin có thể được học từ những kênh mới
 Interruption - ngắt dịch vụ
Trang- 54 -
Chương 4. Bảo mật, quản lý động và QoS trong Mobile IP

Hacker chặn thông tin gửi từ nguồn, nó được xem như là tình trạng ngắt trong quá
trình truyền, như là tấn công từ chối dịch vụ denial-of-service và network flooding.
Bằng cách làm tràn băng thông của toàn mạng bằng cách dùng ARP flooding,
ping broadcasts, TCP SYN flooding, queue flooding, smurfs, synk4, và những biện
pháp flood khác. Có thể dùng biện pháp vật lý như nhiễu RF để làm ngắt mạng
 Denial of Service Attacks -từ chối dịch vụ
Có nhiều loại tấn công phụ thuộc vào loại tài nguyên bị khoá (không gian đĩa,
băng thông, bộ nhớ nội, bộ đệm…). Trong trường hợp đơn giản tạm dừng dịch vụ khi
không thể ngăn chặn được, còn không thì giới hạn tài nguyên sử dụng. Mạng không
dây, kẻ tấn công có thể dùng thiết bị chuyên dụng để làm nhiễu sóng và ngắt dịch vụ
đến mạng.
 Repudiation -từ chối bản tin
Đây là loại tấn công tích cực dựa trên chức năng thừa nhận các bản tin của nguồn
và đích. Làm cho bên nguồn từ chối gửi và cả đích từ chối nhận bản tin.
4.1.2. Kiến trúc mạng với WLAN
Có sự ngăn chặn người dùng Lan và các điểm truy cập không dây bằng firewall
như hình sau:
Hình 4.3.
Trang- 55 -
Chương 4. Bảo mật, quản lý động và QoS trong Mobile IP
 Tính động và bảo mật. Trong trường hợp di động, giải pháp phải bảo mật phải
áp dụng cho quá trình handoff, nó xuất hiện lỗ hổng cho tấn công tái định hướng,
kẻ tấn công có thể giao tiếp với đích sau khi quá trình chuyển giao xảy ra.
 Chính sách bảo mật
Được đưa ra như bảng 4.1 sau:
4.1.3. Wi-Fi Protected Access
WPA dùng Temporal Key Integrity Protocol (TKIP), mức độ mã hoá cao hơn
WEP, sử dụng key hashing (KeyMix) và message integrity check (MIC). TKIP còn
dùng một rapid-rekeying(rekey) protocol để thay đổi key mã hoá sau 10000 gói. Tuy
nhiên nó cũng không loại bỏ những thuộc tính của bảo mật wifi, một khi tấn công

được TKIP, có thể điều khiển truy cập và thẩm quyền.
Có hai chế độ làm việc là “preshared” key mode cho bảo mật thấp, chỉ đơn giản là
nhập network key vào bộ truy cập.Trong chế độ quản lý, sẽ có các dịch vụ thẩm
quyền, đòi hỏi hỗ trợ 802.1X và EAP. Cho phép client network adapter thoả thuận
Trang- 56 -
Chương 4. Bảo mật, quản lý động và QoS trong Mobile IP
với một server thẩm quyền thông qua một AP, bằng cách trao đổi các phiên key bảo
mật.
Các thiết bị mạng không dây phải được upgrad WPA để sử dụng nó, việc cài đặt
WEP mà mặc định, có thể cài song song WEP và WAP.
Với 802.11i có hỗ trợ một thuật toán mã hoá mới gọi là Advanced Encryption
Standard (AES), thay thế RC4, điều này yêu cầu phải thay đổi phần cứng. Ngoài ra
còn có secure fast handoff preauthentication, secure deassociation và deauthen-
tication , security cho peer-to-peer communications (ad hoc mode). Những sản phẩm
có chuẩn 802.11i được gọi là “Wi-Fi WPA2-certified” .
4.1.4. 802.1x và EAP Advanced Security
802.1x standard cung cấp nền tảng thẩm quyền cho WLANs, cho phép thẩm
quyền người dùng thông qua một trung tâm thẩm quyền. Thuật toán sử dụng đa dạng
và bảo mật. Giải pháp dựa trên chứng thực như EAP-TLS (transport layer security),
dựa trên password như EAP-OTP và EAP-MD5, thẻ thông minh như EAP-SIM, hỗn
hợp như EAP-TTLS dùng cả chứng thực và password. Nó sử dụng một giao thức có
sẵn là EAP(RFC 2284), làm việc trên ethernet, token ring, wireless Lan để trao đổi
các bản tin trong quá trình thẩm quyền.
 802.1x Network Port Authentication
Có 3 thành phần chính: thành phần yêu cầu (client software), bộ thẩm định
(access point), và server thẩm định (cho dịch vụ từ xa).
Trình tự thẩm quyền như sau: client gửi một thông điệp bắt đầu cho AP, AP phát
hiện thông điệp, và mở một cổng thẩm quyền, chỉ cho thông điệp 802.1x/EAP đi qua,
mọi lưu lượng khác bị chặn lại.
Trang- 57 -

Chương 4. Bảo mật, quản lý động và QoS trong Mobile IP
Hình 4.4. Thẩm quyền trong 802.1x
Client sau đó gửi một thông điệp bắt đầu EAP, AP đáp ứng với một thông điệp
yêu cầu nhận thực cho client. Gói EAP-response của client chứa chứng thực, và được
chuyển đến server thẩm quyền. Server sẽ trả lời bằng cách chấp nhận hoặc từ chối,
nếu chấp nhận nó sẽ mở port cho giao tiếp.
 EAP Extensible Authentication Protocol
EAP đuợc thiết kế để đáp ứng khả năng mềm dẻo, áp dụng cho thẩm quyền một
số mạng. Được phát triển cho giao thức Point-to-Point (dùng số để thẩm quyền),
IETF chuẩn hóa bằng cách dùng EAP.
IEEE 802.1x dùng EAP như là phần nền, nó cho phép switch và AP có thể hỗ trợ
nhiều phương pháp chứng thực khác nhau. Lúc này các switch và AP như là các điểm
trung gian cho EAP, có thể thêm các phương pháp thẩm quyền khác mà không cần
cài đặt, bằng cách cài đặt phần mềm ở host và server thẩm quyền.
Do không cần phải đóng gói các packet như VPN, IEEE 802.1x có thể đạt tốc độ
11Mbps (802.11) cho đến 10+Gbps, bằng cách upgrade firmware các switch, không
cần phải mua các phần cứng mới.
 802.1x/EAP Authenticators
RADIUS-remote access dial-in user service
Đây là một chuẩn cho chứng thực từ xa, được dùng phổ biến cho truy cập mạng
như authentication, authorization, và accounting (AAA) trong cả hệ thống cũ và mới.
Cho dù có nhiều vấn đề về bảo mật và vận chuyển, nhưng RADIUS vẫn sẽ tiếp tục
sử dụng rộng rãi trong vài năm nữa. Nó có thể bị thay thế bởi giao thức mới là
Trang- 58 -
Chương 4. Bảo mật, quản lý động và QoS trong Mobile IP
DIAMETER . RADIUS đơn giản, hiệu quả và dễ dàng thựcthi, do đó nó phù hợp cho
các thiết bị nhúng rẻ tiền.
Vấn đề bảo mật xoay quanh các giao thức nghèo nàn, thiếu hỗ trợ. Mô hình chia
sẻ bí mật không đủ mạnh, RADIUS cần được bảo mật hơn với giao thức ngoài như
Internet Protocol Security (IPsec).

RADIUS chạy trên nền UDP, không có chế độ truyền lại, không có chính sách ghi
lại những bản ghi tài khoản, hay những bản tin bị lỗi. Điều này làm cho nó không tin
cậy cho việc tính chi phí dịch vụ, đặc biệt khi hoạt động liên miền.
Nó có hai đặc điểm là : authentication và accounting.
FreeRADIUS cho phép chạy trên nhiều nền hỗ trợ, bao gồm linux, FreeBSD,
OpenBSD, OSF/Unix, và Solaris.
LEAP
Lightweight EAP (LEAP) do Cisco cung cấp, dùng cho card 802.11, RADIUS
server và AP. Có lỗ hông cho tấn công từ điển trên đường truyền.
EAP-TLS
Đây là chuẩn mở hỗ trợ bởi nhiều nhà sản xuất, dùng public key infrastructure
(PKI), hỗ trợ trên nền XP và Win2000, đòi hỏi thiết bị phải có x.509 certificate, nó
hoàn toàn trong suốt đối với người dùng.
EAP-TTLS
EAP-TTLS and EAP-TLS đều sử dụng TLS, EAP-TTLS chỉ yêu cầu server là có
certificate, người dùng sử dụng password để đăng nhập mạng, nó được bảo vệ bằng
cách đóng gói nó trong TLS.
EAP-SIM
Được phát triển bởi Nokia cho phép phần cứng thẩm quyền SIM chip,
PEAPMột trong những yếu điểm của là đáp ứng được ít client.
Trang- 59 -
Chương 4. Bảo mật, quản lý động và QoS trong Mobile IP
4.1.5. VPNs
Cho phép một nhóm người truy cập vào một mạng dữ liệu riêng, được bảo mật
thông qua internet hay những mạng khác. Được phân loại dựa trên các phương pháp
sử dụng như đường hầm (tunnelling), mã hoá, thẩm quyền, và điều khiển truy cập
thông qua mạng công cộng.
VPN tạo những kết nối point-to-point ảo bằng cách sử dụng kỹ thuật đường hầm
(tunneling), nó như một cái ống xuyên qua mạng để kết nối hai điểm. Được điều
khiển từ xa, xử lý hầm sẽ đóng gói và mã hoá dữ liệu vào trong gói TCP/IP packet,

rồi chuyển đến một server VPN khác để thực hiện thao thác ngược lại.
Có hai loại VPN như sau :
1. Remote access VPNs: Bảo vệ cho người dùng từ xa, như người dùng
di động kết nối vào doanh nghiệp. Cho phép người dùng 802.11 để tạo phiên
kết nối đến mạng LAN của họ từ những nơi công cộng như khách sạn sân
bay… Dùng mã hoá và thẩm quyền. Cần đảm bảo băng thông do việc kết nối
này yêu cầu băng thông rộng.
2. LAN-to-LAN VPNsCho phép kết nối những chi nhánh của một cơ quan
từ xa như một mạng lan (intranet VPN), bảo mật kết nối cho bên thứ ba như
khách hàng, nhà cung ứng, đối tác đến doanh nghiệp (extranet VPN). Loại
VPN này cần băng thông đảm bảo cho việc mang dữ liệu kết nối.
VPN với 802.11
Để hỗ trợ 802.11 Lan, một phần mềm ứng dụng VPNclient được triển khai trên
tất cả các máy, mọi lưu lượng từ client được mã hóa VPN tunnel thông qua AP phải
đi qua VPN gateway trước khi vào mạng LAN. Khi sử dụng VPN thì những kỹ thuật
mã hoá khác như WEP là không cần thiết.
Trang- 60 -