Đề cương An toàn mạng

Câu 1: Nêu và phân tích các hình thức tấn công lên thông tin trong mạng máy
tính
Ngăn chặn thông tin
- Thông tin bao gồm: văn bản, âm thanh, hình ảnh, dữ liệu…
- Được lưu giữ trong các thiết bị: Ổ đĩa, băng từ, đĩa quang…hoặc được truyền qua
kênh công khai.
- Tài nguyên thông tin bị phá hủy, không sẵn sàng phục vụ, không sử dụng được.
- Đây là hình thức tấn công làm mất khả năng sẵn sàng phục vụ của thông tin.
Ví dụ: Phá hủy đĩa cứng, cắt đứt đường truyền tin, vô hiệu hóa hệ thống quản lý
tệp.

Chặn bắt thông tin
-

Kẻ tấn công có thể truy cập tới tài nguyên thông tin
Đây là hình thức tấn công vào tính bí mật của thông tin.
Việc chặn bắt có thể là nghe trộm để thu tin và sao chép bất hợp pháp dữ
liệu trong quá trình truyền tin.

Sửa đổi thông tin:
-

Kẻ tấn công truy cập, chỉnh sửa thông tin trên mạng
Đây là hình thức tấn công vào tính toàn vẹn của thông tin.
Đây có thể là thay đổi giá trị trong tệp dữ liệu, sửa đổi 1 ctr để nó vận hành
khác đi, sửa đổi nd 1 thông báo truyền đi

Chèn thông tin giả:
1

-

Kẻ tấn công chèn các thông tin và dữ liệu giả vào hệ thống
Đây là hình thức tấn công vào tính xác thực của thông tin.
Đây có thể là chèn thông báo giả mạo vào mạng hay thêm các bản ghi vào
tệp.

Câu 2: Đặc trưng cơ bản tấn công chủ động và tấn công bị động
Tấn công bị động:
-

-

Là kiểu tấn công chặn bắt thông tin như nghe trộm và quan sát truyền tin.
Mục đích: biết được thông tin truyền trên mạng
Chia làm 2 loại nhỏ:
 Khám phá nội dung thông báo: Nghe trộm các cuộc nói chuyện điện
thoại, xem trộm thư điện tử, xem trộm nội dung tệp tin bản rõ.
 Phân tích luồng thông tin: Chặn bắt luồng thông tin và khám phá
thông tin
Rất khó phát hiện vì không thay đổi số liệu và không có dấu hiệu rõ ràng.
Biện pháp: tính bí mật (mã hóa), tính toàn vẹn (ký số),

Tấn công chủ động:
2


-

-

Là kiểu tấn công phá hủy hoặc sửa đổi số liệu, hoặc tạo ra số liệu giả,
Chia làm 4 loại nhỏ:
 Đóng giả: một thực thể: máy tính, người dùng, chương trình đóng giả 1
thực thể hợp lệ.
 Dùng lại: chặn bắt thông báo, sao chép và gửi lại thông báo.
 Sửa đổi thông báo: thông báo bị chặn bắt, sửa đổi và gửi lại
 Từ chối dịch vụ: ngăn chặn người dùng hợp lệ sử dụng dịch vụ.
Giải pháp đối với trường hợp này: phòng thủ, giám sát, phát hiện, ngăn
chặn,khắc phục hậu quả.

Câu 3: Khác nhau + ưu nhược điểm của 2 cách tiếp cận để bảo vệ thông tin
trên mạng dùng kĩ thuật mật mã
 Mã hóa theo đường truyền (Link To Link)
– Trong phương pháp này thông tin được bảo vệ bằng cách mã hóa trên đường
truyền giữa 2 nút và không quan tâm đến nguồn và đích của thông tin đó.
Mô hình:

–
–
•

•

Các thiết bị mã/giải mã được đặt ở 2 đầu đường truyền nên tất cả thông tin
được bảo vệ.
Mức lập mã thấp nhất của phương pháp này là mức 1 (trong mô hình OSI)
Ưu điểm:
– Đảm bảo bí mật luồng thông tin giữa nguồn và đích.
– Có thể ngăn chặn được loại hình tấn công phân tích lưu lượng mạng

(phân tích dịch vụ, phát hiện IP nguồn và đích).
Nhược điểm:
3


Vì thông tin chỉ được mã hóa trên đường truyền nên đòi hỏi các nút phải
được bảo vệ tốt.
– Tất cả các tuyến trên đường từ nguồn tới đích phải lập mã tuyến.
– Mỗi cặp nút chung một tuyến phải có cùng một khóa và các tuyến khác
nhau
 Mã hóa từ điểm mút đến điểm mút (end-to-end)
– Thông tin được mã hóa ngay khi mới được tạo ra tại máy nguồn và chỉ được
giải mã khi tới máy đích
– Làm cho dữ liệu người dùng an toàn nhưng không chống được tấn công
phân tích tình huống vì trong các gói tin chỉ phần dữ liệu người sử dụng
được mã hoá còn các dữ liệu đầu gói thì không.
Mô hình:
–

–
–
–
–


–
–
–

Tại nguồn và đích đều được mã và giải mã bằng khóa Ek,

Mã hóa end-to-end làm cho dữ liệu người dùng an toàn nhưng không chống
được tấn công phân tích tình huống.
Mã hóa end-to-end cung cấp khả năng xác thực: xác minh được định danh
người chia sẻ khóa bí mật
Chức năng lập mã thấp nhất ở tầng mạng: trong trường hợp này chỉ phân
biệt được hệ thống đầu cuối mà không phân biệt được ứng dụng, người sử
dụng hay tiến trình.
Kết luận:
Đối với phương pháp mã hóa End-to-End thì chức năng lập mã thấp nhất là
ở tầng mạng.
Để đạt được độ bảo mật cao hơn thì cả lập mã Link-to-Link và lập mã Endto-End đều cần thiết.
Khi đó máy tính đầu cuối lập mã phần dữ liệu người sử dụng của gói dùng
khóa lập mã End-to-End. Cả gói tin được lập mã theo phương pháp Link-toLink

Câu 4: Nêu và phân tích các dịch vụ bảo vệ thông tin trên mạng máy tính
Dịch vụ bí mật
Đảm bảo thông tin lưu trữ trong hệ thống máy tính hoặc thông tin truyền
trên mạng chỉ được đọc bởi người dùng hợp lệ.
4


-

Chống lại tấn công bị động nhằm khám phá nội dung thông báo.

Ví dụ:
- HĐH windows sử dụng cơ chế mã hóa file, win7, win8, server 2008 sử dụng
bitlocker,
-Truyền tin: vpn, ipsec
Dịch vụ xác thực

- Đảm bảo truyền thông giữa người gửi và người nhận được xác thực không bị
mạo danh.
- Phương pháp xác thực:
 Xác thực dựa trên những gì đã biết: Tên đăng nhập và mật khẩu
 Xác thực dựa trên tính năng vật lý không đổi: sinh trắc học
 Xác thực dựa vào những gì đã có: thẻ bài, usb chứa khóa giải mã,
 Xác thực đa nhân tố
Dịch vụ toàn vẹn
- Đảm bảo thông tin lưu trữ và thông tin truyền tải không bị sửa đổi trái phép.
- Các thuật toán được áp dụng: MD5, SHA1
- Được ứng dụng trong giao thức bảo mật: SSL, TLS, ipsec, SSH,
Không thể chối bỏ
Ngăn chặn người gửi hay người nhận chối bỏ thông báo được truyền.
- Khi thông báo được gửi đi người nhận có thể chứng minh được người nêu
danh đã gửi nó đi.
- Khi thông báo được nhận, người gửi có thể chứng minh được thông báo đã
nhận bởi người nhận hợp pháp.
- Ví dụ: chữ ký số, tem thời gian.
Kiểm soát truy cập
- Là khả năng hạn chế và kiểm soát truy cập tới tài nguyên hệ thống mạng.
- một thực thể muốn truy cập đều phải định danh hay xác nhận có quyền truy
cập phù hợp.
- Sẵn sàng phục vụ
- Đảm bảo các tài nguyên mạng máy tính luôn sẵn sàng đối với người dùng
hợp lệ.
- Các tấn công có thể làm mất mát hoặc giảm khả năng sẵn sàng phục vụ của
tài nguyên mạng.
- Ví dụ:
 thiết bị tích điện, Cân bằng tải, sao lưu dự phòng, cơ chế RAID cho ổ
cứng…

Câu 5: Phân tích sơ đồ phân phối khóa phiên có trung tâm phân phối khóa?
Sơ đồ phân phối khóa phiên có trung tâm phân phối khóa:

5


Giả sử người dùng A muốn thiết lập một kết nối an toàn với B và đòi hỏi một
khoá phiên một lần để bảo vệ dữ liệu được truyền trong kết nối. A có khoá bí mật
Ka mà chỉ có A và KDC biết. Tương tự, B chia sẻ khoá chủ Kb với KDC.
Các bước phân phối khoá như sau:
1. A gửi cho KDC một thông báo đòi hỏi cung cấp một khoá phiên cho một kết
nối an toàn đến B. Thông báo bao gồm định danh của A và B và định danh duy
nhất cho phiên giao dịch này, chúng ta gọi là nonce. Giá trị nonce này có thể là tem
thời gian, một bộ đếm hoặc một số ngẫu nhiên, chúng khác nhau trong các đòi hỏi
của A.
2. KDC gửi lại A một thông báo được mã bởi khoá Ka. Như vậy chỉ có A là
người có thể đọc được thông báo và A biết rằng nó xuất phát từ KDC. Thông báo
bao gồm hai tham số dành cho A :
-

Khoá phiên một lần Ks được dùng cho phiên liên lạc.
Thông báo đòi hỏi ban đầu, bao gồm nonce để cho phép A gán đáp ứng này với đòi
hỏi phù hợp.
Như vậy A có thể xác nhận rằng đòi hỏi ban đầu không bị thay đổi trước khi
được chấp nhận bởi KDC và nhờ có giá trị nonce nên đòi hỏi này không là bản sao
của một vài đòi hỏi trước đó.
Thêm vào đó thông báo bao gồm hai tham số dành cho B :

-

Khoá phiên một lần Ks được dùng cho phiên liên lạc.
Một định danh IDa của A.
Hai thông tin sau được mã với khoá chủ mà KDC chia sẻ với B. Chúng được gửi
tới B để thiết lập kết nối và xác nhận định danh của A.
3. A lưu giữ khoá Ks để dùng cho phiên sắp tới và chuyển tiếp tới B giá trị
EKb[Ks || IDa] trong thông báo do KDC gửi tới. Bởi vì thông tin này được mã với
Kb nên nó không bị nghe trộm. Bây giờ B biết được khoá phiên Ks, biết đối tượng
cần giao dịch là A và biết đây là thông tin đi từ KDC (Bởi vì nó được mã dùng
EKb). Tại thời điểm này, khoá phiên đã được giao an toàn tới A và B và chúng có
6


thể bắt đầu phiên liên lạc được bảo vệ bằng kỹ thuật mật mã. Tuy nhiên sơ đồ còn
bao gồm hai bước sau :
4. B gửi cho A một giá trị Nonce N2 được mã bằng khoá phiên mới Ks.
5. A gửi lại B giá trị f(N2) được mã bằng khoá phiên Ks, với f(N2) là một hàm
của N2.
Các bước này đảm bảo cho B rằng thông báo nguyên bản nó nhận ở bước 3
không bị dùng lại. Chú ý rằng việc phân phối khoá chỉ bao gồm bước 1 đến bước 3
nhưng các bước 4 và 5 có chức năng xác thực.

Câu 6: Phân tích sơ đồ phân phối khóa phân quyền?
Sơ đồ phân phối khóa phân quyền:

Giả sử trong một mạng máy tính cần trao đổi thông tin với nhau từng đôi một
dùng mật mã khoá bí mật. Với hai đầu mối A và B, một khoá phiên được phân
phối như sau:
1. A gửi cho B một thông báo đòi hỏi về khoá phiên, kèm theo một giá trị
nonce N1.
2. B gửi lại A một thông báo được mã dùng khoá chủ chia sẻ. Thông báo bao

gồm khoá phiên được chọn bởi B, định danh của B, giá trị f(N1) và N2.
3. A gửi trả lại B giá trị f(N2) được mã bằng khoá phiên mới.



Câu 7 Trình bày tổng quan về Firewall.
 Chức năng
Chức năng chính là điều khiển và kiểm soát truy cập: Ksoat dịch vụ, ksoat
hướng, ksoat ng dùng, ksoat hành vi.
 Phân loại:
Theo nhà sản xuất:
7















Tường lửa cứng (Cisco,check poin..) được sản xuất thành loại sp chuyên dụng.
Người quản trị cần lắp ráp và cấu hình cho tường lửa.
Tường lửa mềm(Iptable,ISA..): đc đóng gói thành phàn mềm và cần phải có máy

chủ và HĐH của hãng thứ 3 để cài đặt
Theo phạm vi sd:
Tường lửa cá nhân: cài đặt trên mt cá nhân,ksoat luồng DL vào ra ngay tại mt cá
nhân
Tường lửa mạng: là tường lửa chạy trên 1 thiết bị chuyên dụng đặt tại ranh giới của
2 hay nhiều vùng mạng
Theo trạng thái.
Tường lửa không có trạng thái (stateless Firewall): hđ dựa vào các gtri tĩnh của gói
tin,IP cổng nguồn và đích.
Tường lửa có trạng thái (statefull Firewall):
Theo mô hình mạng OSI:
Tường lửa hđ ở tầng giao vận (tầng 3,4):
Tường lửa hđ ở tầng phiên (5)
Tường lửa hđ ở tầng ứng dụng (7)
 Tường lửa lọc gói (packet filtering)
-Nguyên lý hđ: Ktra gói tin để quyết định xem có thỏa mãn các luật lọc hay
ko. Bộ lọc cho phép hay từ chối mỗi gói tin mà nó nhận được
- thông tin của luật lọc dựa vào phần header của gói tin IP,UDP,TCP
+ Đ/C IP nguồn,đích,cổng nguồn,cổng đích
+ gthuc sdung: TCP,UDP, ICMP
+ giao diện mà gói tin đi/đến xét trên giao diện mạng của tường lửa
eth0,eth1..
- Luật lọc:chứa ds các luật,nếu thông tin trong gói tin trùng vs luật thì luật
đó đc áp dụng để quyết đinh gói tin là cho phép hay ngăn chặn. Nếu không
trùng với luật nào thì mặc định được áp dụng (mặc định là chuyển tiếp hay
loại bỏ).
- Luật được duyệt từ trên xuống,mức ưu tiên giảm dần
- Uu điểm: tốc độ xử lý nhanh. Bộ lọc gói tin trong suốt vs ng dùng và ứng
dụng. Khả năng ngăn chặn các tấn công từ chối dịch vụ tốt. Dễ triển khai cài
đặt và bảo trì.

- Nhược điểm: Ko kiểm soát đc DL trên tầng 4 của OSI. Ko ngăn được tấn
công lợi dụng điểm yếu trong TCP/IP
 Tường lửa chuyển mạch:
- nguyên lí: HĐ trong tầng phiên (5) mô hình OSI. Giám sát bắt tay giữa các
gói tin TCP để xác định phiên làm việc có hợp lý ko.
- đặc điểm:
+ ko cho kết nối end to end
8


+ thiết lập 2 kết nối TCP
Giữa cổng chuyển mạch và máy bên trong
Giữa cổng chuyển mạch và máy bên ngoài
+ Khi kết nối đc thiết lập, tường lửa thực hiện sao chép đoạn DL TCP từ
kết nối bên trong sang kết nối bên ngoài và ngược lại,mà ko ktra nội dung DL
+ cổng chuyển mạch XĐ 1 phiên kết nối hợp lệ nếu cờ SYN,ACK và
sequence number của kết nối là hợp lệ
- QT làm việc
+ máy bên trong yêu cầu 1 dvụ,cổng chuyển mạch chấp nhận yêu cầu đấy
+ cổng chuyển mạch mở 1 kết nối bên ngoài tới máy được yêu cầu và giám
sát
 Tưởng lửa cổng ứng dụng
- HĐ trong tầng 7 OSI do đó có thể xác thực ng dùng và dịch vụ
- chức năng: ksoat các dịch vụ gthuc đc cho phép truy cập vào/ra hệ thống
mạng
- Ngly hđ: dựa trên các dịch vụ đại diện (proxy service)
-quy trình kết nối cổng tương ứng diễn ra theo 5 bước:

+ B1: Máy trạm gửi y/c tới máy chủ ở xa tới cổng ứng dụng (qua
firewall)

+ B2: cổng ứng dụng xác thực ng dùng xác thực dịch vụ. Nếu xác
thực thành công chuyể sang B3,ngược lại ngắt kết nối.
+B3: Cổng ứng dụng chuển y/c của máy trạm tới máy chủ ở xa
+B4: máy chủ ở xa gửi tl kết nối tới cổng ứng dụng
+ B5: cổng ứng dụng chuyển tl đến máy trạm
- ưu điểm: Ksoat đc dịch vụ đã định nghĩa, và q’ định những dịch vụ nào đã
đc định nghĩa trên tường lửa. Là loại hình tường lửa xác thực mạnh, ghi lại
thông tin về truy cập hệ thống. luật lọc cho cổng ứng dụng dễ dàng lọc hơn
so với lọc gói tin.
- nhược điểm: tốc độ chậm,hiệu suất thấp do phải xử lí trên nhiều tầng. các
dịch vụ hỗ trợ và khả năng thay đổi bị hạn chế. Khả năng trong suốt vs ng
dùng và ứng dụng hạn chế
9


Câu 8: Mô hình tổng thể đảm bảo an ninh mạng (Network security topologies)

Giải thích mô hình (chém gió):
Mô hình đảm bảo an ninh mạng là ta đảm bảo luồng dữ liệu vào ra mạng
LAN được kiểm soát và không bị tấn công. Thế nên dữ liệu từ mạng bên ngoài
muốn vào bên trong phải đi qua firewall để xử lý và loại bỏ các tác nhân gây đe
dọa an ninh mạng. Mặc dù firewall có khả năng ngăn chặn xâm nhập trái phép
nhưng không tuyệt đối vì vẫn có những tấn công mà firewall không thể ngăn chặn
được. Để đảm bảo mạng bên trong được đảm bảo tuyệt đối thì ta cần phải sử dụng
IDS/IPS để phát hiện và ngăn chặn những tấn công vào mạng bên trong mà
firewall không phát hiện được.
Câu 9: Trình bày tổng quan về hệ thông IDS/IPS(chức năng, phân loại,
nguyên lý hoạt động)
 Chức năng:
– Nhận diện được các nguy cơ có thể xảy ra.

– Nhận diện được các cuộc tấn công thăm dò.
– Nhận diện được các hành vi vi phạm chính sách.
– Ngăn chặn tấn công.
– Cảnh báo.
– Ghi log
 Phân loại
– Network based: IDS/IPS dùng cho toàn mạng
+ Host based: IDS/IPS cá nhân
10


Thường dưới dạng Appliance
Có thể giám sát toàn bộ hệ thống
Thường dưới dạng thiết bị chuyên dụng.
Quản lý được cả một phân vùng mạng (gồm nhiều host).
Trong suốt với người sử dụng lẫn kẻ tấn công.
Dễ cài đặt và bảo trì.
Độc lập với OS.
Thường xảy ra cảnh báo giả.
Không phân tích đc lưu lượng đã được mã hóa.
Ảnh hưởng tới chất lượng của mạng.
– Host based: IDS/IPS cá nhân
+ Thường dưới dạng phần mềm cài đặt.
+ Có khả năng xác định người dùng liên quan tới một sự kiện.
+ Có thể phân tích các dữ liệu mã hoá.
+ Host IDS hoạt động phụ thuộc vào Host.
+ Không có khả năng phát hiện tấn công dò quét mạng.
 Nguyên lý hoạt động
Các kỹ thuật phát hiện xâm nhập trái phép
Dấu hiệu xâm nhập: So sánh các dấu hiệu của đối tượng quan sát với các dấu hiệu

của các mối nguy hại đã biết.
Dấu hiệu bất thường: So sánh định nghĩa của những hoạt động bình thường với đối
tượng quan sát nhằm xác định các độ lệch.
Trạng thái giao thức: So sánh các profile định trước tại hoạt động của mỗi giao
thức được coi là bình thường với đối tượng quan sát.
Kỹ thuật khai phá dữ liệu: trích lọc tri thức từ một tập dữ liệu lớn của các thông tin
truy cập trên mạng, để phân tích biểu diễn nó thành mô hình phát hiện xâm nhập
trái phép
Kiến trúc
Thành phần thu thập gói tin: Có nhiệm vụ lấy về tất cả các gói tin đi qua mạng đc
giám sát.
Thành phần phân tích gói tin và phát hiện tấn công: dùng để lọc thông tin và loại
bỏ dữ liệu không tương thích đạt được từ các sự kiện liên quan với hệ thống bảo
vệ, vì vậy có thể phát hiện được các hành động nghi ngờ.
Thành phần phản hồi: Khi có dấu hiệu của sự tấn công hoặc xâm nhập, thành phần
phát hiện tấn công sẽ gửi tín hiệu báo hiệu đến thành phần phản ứng. Lúc đó thành
phần phản ứng sẽ kích hoạt tường lửa thực hiện chức năng ngăn chặn cuộc tấn
công hay cảnh báo tới người quản trị.
+
+
+
+
+
+
+
+
+
+

–

+
+
+
+

–
+
+

+

11


Câu 10: Trình bầy các sơ đồ xác thực dùng hàm hash ?
Hàm Hash là một chiều. hàm Hash nhận thông báo R có kích cỡ biến đổi làm
đầu vào và sinh ra mã Hash có kích cỡ cố định H(R). Mã Hash là hàm của tất cả
các bít của thông báo và cung cấp khả năng phát hiện sai. Sự thay đổi đối với bít
bất kỳ hoặc các loạt bít trong thông báo sẽ sinh ra sự thay đổi trong mã Hash. Bởi
vì hàm Hash là không bí mật nên cần phải bảo vệ giá trị Hash.
Các đòi hỏi cho một hàm Hash :
H có thể thao tác với khối dữ liệu kích thước bất kỳ.
H tạo ra đầu ra độ dài cố định.
H(x) được tính dễ dàng với x bất kỳ.
Với giá trị m bất kỳ của hàm Hash, không thể tìm ra x để H(x) = m.
- Với khối x bất kỳ, không thể tìm y ≠ x để H(y) = H(x).
- Không thể tìm ra cặp (x,y) thoả mãn H(x) = H(y).
Hình dưới minh hoạ một vài cách trong đó mã Hash có thể được dùng để xác
thực :
-

1.Thông báo và mã Hash nối vào được mã hoá dùng mật mã khóa bí mật, cả bí
mật và xác thực được cung cấp trong trường hợp này.
Trong sơ đồ (a): A → B : EK[R || H(R)]
Cung cấp dịch vụ bí mật : chỉ A và B chia sẻ khoá K.
Cung cấp dịch vụ xác thực: H(R) được mã hoá.
2.Chỉ phần mã Hash được mã hoá dùng mật mã khóa bí mật, chỉ cung cấp xác
thực mà không bảo mật.
-

Trong sơ đồ (b): A → B : R || EK[H(R)]
Cung cấp dịch vụ xác thực : H(R) được mã hoá
3.Chỉ phần mã Hash được mã hoá dùng mật mã khóa công khai và dùng khóa
bí mật của người gửi. Nó cung cấp xác thực và cả chữ ký số.
-

12


H31 Xác thực dùng hàm Hash
Trong sơ đồ (c): A → B: R || EKRa[H(R)]
Cung cấp dịch vụ xác thực và chữ ký số.
+ H(R) được mã hoá.
+ Chỉ A mới có thể tạo EKRa[H(R)].
4. Nếu cả bí mật và xác thực được yêu cầu thì thông báo và mã Hash (đã được
mã hoá bằng khóa công khai) sẽ được mã hoá dùng mật mã khóa bí mật.
Trong sơ đồ (d): A → B: EK[R || EKRa[H(R)]]
13

Cung cấp dịch vụ xác thực và chữ ký số.
Cung cấp dịch vụ bí mật : chỉ có A và B chia sẻ khoá K.
5. Dùng hàm Hash nhưng không mã hoá thông báo để xác thực. Hai bên liên
lạc chia sẻ giá trị bí mật S. A tính giá trị Hash trên R (.đã được nối với S.) và gắn
giá trị Hash vào sau R. Vì B có S nên có thể tính lại giá trị Hash này và kiểm tra, vì
S không gửi đi nên kẻ tấn công không thể sửa đổi thông bảo lấy được và không thể
sinh thông báo giả.
Trong sơ đồ (e): A → B: R || H(R || S)
Cung cấp dịch vụ xác thực : chỉ A và B chia sẻ S.
6. Bí mật có thể được thêm vào S bằng cách lập mã cả thông báo và mã Hash.
Trong sơ đồ (f): A → B: EK[R || H(R || S)]
Cung cấp dịch vụ xác thực : chỉ A và B chia sẻ S.
Cung cấp dịch vụ bí mật : chỉ A và B chia sẻ K.
Khi tính bí mật không đòi hỏi, phương pháp (b) và (c) có ưu điểm là ít phải tính
toán hơn vì không phải mã thông báo.
-

Câu 11. Trình bày giao thức SSL
SSL được thiết kế như là một giao thức riêng cho vấn đề bảo mật có thể hỗ
trợ cho rất nhiều ứng dụng. Giao thức SSL hoạt động bên trên TCP/IP và bên dưới
các giao thức ứng dụng tầng cao hơn như là HTTP, IMAP và FTP. Trong khi SSL
có thể sử dụng để hỗ trợ các giao dịch an toàn cho rất nhiều ứng dụng khác nhau
trên Internet, thì hiện nay SSL được sử dụng chính cho các giao dịch trên Web.
SSL không phải là một giao thức đơn lẻ, mà là một tập các thủ tục đã được
chuẩn hoá để thực hiện các nhiệm vụ bảo mật sau:
- Xác thực server: Cho phép người sử dụng xác thực được server muốn kết
nối. Lúc này, phía browser sử dụng các kỹ thuật mã hoá công khai để chắc chắn
rằng certificate và public ID của server là có giá trị và được cấp phát bởi một CA
(certificate authority) trong danh sách các CA đáng tin cậy của client. Điều này rất
quan trọng đối với người dùng. Ví dụ như khi gửi mã số credit card qua mạng thì

người dùng thực sự muốn kiểm tra liệu server sẽ nhận thông tin này có đúng là
server mà họ định gửi đến không.
- Xác thực Client: Cho phép phía server xác thực được người sử dụng muốn
kết nối. Phía server cũng sử dụng các kỹ thuật mã hoá công khai để kiểm tra xem
certificate và public ID của server có giá trị hay không và được cấp phát bởi một
CA (certificate authority) trong danh sách các CA đáng tin cậy của server không.
Điều này rất quan trọng đối với các nhà cung cấp. Ví dụ như khi một ngân hàng
14


định gửi các thông tin tài chính mang tính bảo mật tới khách hàng thì họ rất muốn
kiểm tra định danh của người nhận.
- Mã hoá kết nối: Tất cả các thông tin trao đổi giữa client và server được mã
hoá trên đường truyền nhằm nâng cao khả năng bảo mật. Điều này rất quan trọng
đối với cả hai bên khi có các giao dịch mang tính riêng tư. Ngoài ra, tất cả các dữ
liệu được gửi đi trên một kết nối SSL đã được mã hoá còn được bảo vệ nhờ cơ chế
tự động phát hiện các xáo trộn, thay đổi trong dữ liệu. ( đó là các thuật toán băm –
hash algorithm).
Giao thức SSL bao gồm 2 giao thức con: giao thức SSL record và giao thức
SSL handshake. Giao thức SSL record xác định các định dạng dùng để truyền dữ
liệu. Giao thức SSL handshake (gọi là giao thức bắt tay) sẽ sử dụng SSL record
protocol để trao đổi một số thông tin giữa server và client vào lần đầu tiên thiết lập
kết nối SSL
Các thuật toán mã hoá dùng trong SSL: Giao thức SSL hỗ trợ rất nhiều các thuật
toán mã hoá, được sử dụng để thực hiện các công việc trong quá trình xác thực
server và client, truyền tải các certificates và thiết lập các khoá của từng phiên giao
dịch (sesion key) như: DES, 3-DES, MD5, RSA, RC2, RC4
Câu 12. Trình bày mô hình bảo mật theo quan niệm cổ điển
Mô hình bảo mật theo quan niệm cổ điển: Mô hình CIA


Tính bí mật:
- Giới hạn các đối tượng được phép truy xuất đến các tài nguyên hệ thống.
- Bao gồm tính bí mật về nội dung thông tin và bí mật về sự tồn tại thông tin.
- Mã hóa (Encryption) và điều khiển truy xuất (Access Control) là cơ chế đảm
bảo tính bí mật của hệ thống.

Tính toàn vẹn:
- Đảm bảo thông tin không bị mất mát hoặc thay đổi ngoài ý muốn.
- Bao gồm tính toàn vẹn về nội dung và toàn vẹn về nguồn gốc.
- Các cơ chế xác thực (peer authentication, message authentication) được
dùng để đảm bảo tính toàn vẹn thông tin.

Tính sẵn sàng phục vụ
- Tính sẵn sàng cho các truy xuất hợp lệ.
- Là đặc trưng cơ bản nhất của hệ thống thông tin.
- Các mô hình bảo mật hiện đại (ví dụ X.800) không đảm bảo tính sẵn sàng.
- Tấn công dạng DoS/DDoS nhắm vào tính sẵn sàng của hệ thống.
Chiến lược AAA: Là tập các cơ chế nhằm xây dựng hệ thống bảo mật
theo mô hình CIA.

Access Control.
15


Authentication.
Auditing.
Mô hình CIA: Không đảm bảo tính “không thể từ chối hành vi” (nonrepudiation).

Không có sự tương quan với mô hình hệ thống mở OSI.





Câu 13: Trình bày mô hình bảo mật X800.
• X800 là dịch vụ cung cấp nhằm đảm bảo an toàn thông tin thiết yếu và việc
truyền dữ liệu của hệ thống.
• Xem xét vấn đề bảo mật trong tương quan với mô hình hệ thống mở OSI
theo 3 phương diện:
• Loại hình tấn công
• Cơ chế bảo mật
• Dịch vụ bảo mật
• Dịch vụ X800:
• Xác thực: tin tưởng là thực thể trao đổi đúng là thực thể đã tuyên bố.
Người đang trao đổi với mình đúng như tên của anh ta, không cho phép
người khác mạo danh. „
• Quyền truy cập: ngăn cấm việc sử dụng nguồn thông tin không được
phép. Mỗi đối tượng trong hệ thống được cung cấp các quyền nhất định
và chỉ được hành động trong khuôn khổ các quyền được cấp. „
• Bảo mật dữ liệu: bảo đảm dữ liệu không bị khám phá bởi người không có
quyền.
• Toàn vẹn dữ liệu:dữ liệu được gửi từ người có quyền. Nếu có thay đổi
như làm trì hoãn về mặt thời gian hay sửa đổi thông tin, thì xác thực sẽ
cho cách kiểm tra nhận biết là có các hiện tượng đó đã xảy ra. „
• Không từ chối:chống lại việc phủ nhận của từng thành viên tham gia trao
đổi. Người gửi không thể chối bỏ là mình đã gửi thông tin với nội dung
như vậy và người nhận cũng không thể nói dối là tôi chưa nhận được
thông tin đó.
• Cơ chế bảo mật :
• Cơ chế an toàn chuyên dụng: được cài đặt trong một giao thức của một
tầng chuyển vận: mã hoá, chữ ký điện tử, quyền truy cập, toàn vẹn dữ

liệu, trao đổi có phép, kiểm soát định danh.
• Cơ chế an toàn thông dụng: không chỉ rõ việc sử dụng cho giao thức trên
tầng nào hoặc dịch vụ an ninh cụ thể nào: chức năng tin cậy, nhãn an
toàn, phát hiện sự kiện, điều tra sự cố, khôi phục an toàn.
Câu 14: Tổng quan về VPN.
• VPN – Virtual Private Network: Mạng riêng ảo
16


Là phương thức đảm bảo an toàn truy cập từ xa bằng phương pháp thiết
lập kênh kết nối an toàn (private) trên môi trường mạng công cộng
(public)
• An toàn dựa trên các phương thức mã hóa và cơ chế chứng thực
Lợi ích:
• Đảm bảo an ninh
• Tiết kiệm chi phí
Một số đặc điểm của VPN:
• Bảo mật (security)
• Tin cậy (reliability)
• Khả năng mở rộng (scalability)
• Khả năng quản trị hệ thống mạng (network management)
• Khả năng quản trị chính sách (policy management)
Phân loại:
• VPN site-to-site : VPN điểm-nối-điểm là việc sử dụng mật mã dành cho
nhiều người để kết nối nhiều điểm cố định với nhau thông qua một mạng
công cộng như Internet. Loại này có thể dựa trên Intranet hoặc Extranet.
Loại dựa trên Intranet: Nếu một công ty có vài địa điểm từ xa muốn tham
gia vào một mạng riêng duy nhất, họ có thể tạo ra một VPN intranet
(VPN nội bộ) để nối LAN với LAN. Loại dựa trên Extranet: Khi một
công ty có mối quan hệ mật thiết với một công ty khác (ví dụ như đối tác

cung cấp, khách hàng...), họ có thể xây dựng một VPN extranet (VPN mở
rộng) kết nối LAN với LAN để nhiều tổ chức khác nhau có thể làm việc
trên một môi trường chung.
• VPN Remote-Access : VPN truy cập từ xa còn được gọi là mạng Dial-up
riêng ảo (VPDN), là một kết nối người dùng-đến-LAN, thường là nhu
cầu của một tổ chức có nhiều nhân viên cần liên hệ với mạng riêng của
mình từ rất nhiều địa điểm ở xa. Ví dụ như công ty muốn thiết lập một
VPN lớn phải cần đến một nhà cung cấp dịch vụ doanh nghiệp (ESP).
ESP này tạo ra một máy chủ truy cập mạng (NAS) và cung cấp cho
những người sử dụng từ xa một phần mềm máy khách cho máy tính của
họ. Sau đó, người sử dụng có thể gọi một số miễn phí để liên hệ với NAS
và dùng phần mềm VPN máy khách để truy cập vào mạng riêng của công
ty. Loại VPN này cho phép các kết nối an toàn, có mật mã.
Các giao thức bảo mật : Các giao thức bảo mật dùng trong VPN
• L2F – Layer 2 Forwarding (Cisco)
• PPTP – Point to Point Tunneling Protocol(Microsoft)
• L2TP – Layer 2 Tunneling Protocol (Microsoft + Cisco)
• IPSec – IP Security
• SSL/TLS – Security Sockets Layer/Transport Layer Security
•

•

•

•

•

17

•

MPLS – Multi-Protocol Label Switching

Câu 15. Trình bày các nguy cơ đe dọa đến hệ thống email và giải pháp phòng
chống
1 Spam
- Sử dụng email để quảng cáo
- Gửi kiểu bomb thư
- Người gửi k hề biết người nhận
- Người nhận phải chịu phiền phức khá khó chịu
- Cấu hình mail server không tốt sẽ tiếp tay cho spam
2 Hoax ( khá nguy hiểm)
- Hình thức: gửi thông báo cảnh báo virus, các vấn đề an ninh, bảo mật
- Lây lan: dựa vào sự lo sợ và kém hiểu biết của người dung
3 Virus, worm và trojan
- Hầu hết các loại virus và trojan đều lây qua mail
- Lây lan dựa trên sự mất cảnh giác và thiểu kiến thức của người sử dụng
4 Mail replay
- Cho phép gửi mail không cần kiểm tra
- Giả mạo
- Lợi dụng để spam
• Giải pháp phòng chống
- Sử dụng S/MIME nếu có thể
- Sử dụng phần mềm Mail Gateway Replay
- Cấu hình mail server tốt, không bị spam replay
- Ngăn chặn spam trên server
- Hướng dẫn sử dụng cho người dùng

- Cảnh giác với mail lạ, có nội dung đáng nghi
Câu 16: Tổng quan VLAN
Nguyên lý
Là kỹ thuật chia nhỏ Broadcast domain thành nhiều Virtual Broadcast
domain.
- Mỗi Virtual Broadcast domain sử dụng 1 Network hoặc 1 Subnetwork
Chức năng:
- Làm tăng tính uyển chuyển trong việc thiết kế hệ thống, Tiết kiệm chi phí.
- Cho phép nhóm các người dùng có cùng chức năng trong cùng tổ chức hoạt
động trong cùng 1 Broadcast domain mà không phụ thuộc vào vị trí địa lý.
- Những người sử dụng thuộc cùng VLan sử dụng cùng 1
Network/Subnetwork và có thể giao tiếp với nhau dễ dàng.
Phân loại
-

18


-

-

-

Khi VLAN được cung cấp ở switch lớp Access thì các người dùng đầu cuối
phải có một vài phương pháp để lấy các thành viên đến nó. Phân loại VLAN theo
chức năng thì ta có ba kiểu VLAN sau:
VLAN tĩnh (Static VLAN).
VLAN này được tạo ra nhờ việc phân chia theo cổng. Việc gán các cổng switch
vào một VLAN là đã tạo một VLAN tĩnh. Các thiết bị khi được kết nối vào mạng

thì nó sẽ được kết nối vào VLAN trên cổng mà nó kết nối, nếu người dùng thay đổi
cổng kết nối và cần truy cập vào một VLAN nào đó thì người quản trị cần phải
khai báo cổng vào VLAN phù hợp.
VLAN động (Dynamic VLAN).
Được tạo nên dựa vào việc xác định địa chỉ MAC. Cần một máy chủ VMPS
(VLAN Management Policy Server) để có thể đăng ký các cổng của switch vào
các VLAN dựa vào địa chỉ MAC nguồn của thiết bị gắn vào. Tính năng VLAN
động sẽ thiết lập VLAN và các thành viên kết nối vào dựa vào MAC của thiết bị,
để xác định thiết bị đó thuộc VLAN nào thì nó sẽ truy vấn cơ sở dữ liệu trên máy
chủ VMPS và ấn định cấu hình cổng của node đó vào đúng VLAN.
VLAN thoại (Voice VLAN).
Dữ liệu thoại là loại dữ liệu rất nhạy cảm với độ trễ nên phải thiết lập một VLAN
dành riêng cho thoại để khắc phục vấn đề trên. Trên VLAN cho phép chúng ta thiết
lập QoS để có thể phân luồng dữ liệu data và voice data stream một cách hiệu quả.
Nhờ vậy mà chỉ một cổng Ethernet duy nhất được thiết lập cho người dùng có thể
có 1 kết nối dành cho thoại và 1 dành cho dữ liệu. Kết nối dữ liệu từ PC đến IPPhone luôn hoạt động ở kiểu truy xuất (mode access), còn từ IP-Phone đến switch
sẽ là một kết nối trunk để dữ liệu thoại có thể tách ra khỏi các dữ liệu khác.
Câu 17: tổng quan về NAT (nguyên lý hoạt động, chức năng, phân loại)
Khái niệm: NAT giống như một router, nó chuyển tiếp các gói tin giữa những lớp
mạng khác nhau trên một mạng lớn. NAT dịch hay thay đổi một hoặc cả hai địa chỉ
bên trong một gói tin khi gói tin đó đi qua một router, hay một số thiết bị khác.
Thông thường, NAT thường thay đổi địa chỉ (thường là địa chỉ riêng) được dùng
bên trong một mạng sang địa chỉ công cộng.
Nguyên lý hoạt động: NAT sử dụng IP của chính nó làm IP công cộng cho mỗi
máy con (client) với IP riêng. Khi một máy con thực hiện kết nối hoặc gửi dữ liệu
tới một máy tính nào đó trên internet, dữ liệu sẽ được gởi tới NAT, sau đó NAT sẽ
thay thế địa chỉ IP gốc của máy con đó rồi gửi gói dữ liệu đi với địa chỉ IP của
NAT. Máy tính từ xa hoặc máy tính nào đó trên internet khi nhận được tín hiệu sẽ
gởi gói tin trở về cho NAT computer bởi vì chúng nghĩ rằng NAT computer là máy
đã gởi những gói dữ liệu đi. NAT ghi lại bảng thông tin của những máy tính đã gởi

19


những gói tin đi ra ngoài trên mỗi cổng dịch vụ và gởi những gói tin nhận được về
đúng máy tính đó (client).
Chức năng:
- NAT giúp chia sẻ kết nối Internet (hay 1 mạng khác) với nhiều máy trong LAN
chỉ với 1 IP duy nhất.
• NAT che giấu IP bên trong LAN
• NAT giúp quản trị mạng lọc các gói tin được gửi đến hay gửi từ một địa chỉ IP
và cho phép hay cấm truy cập đến một port cụ thể.
– NAT giúp các máy nội bộ có thể truy cập Internet và giúp các máy ngoài
Internet có thể liên lạc với nội bộ thông qua Router.
Phân loại:
1 Kỹ thuật NAT tĩnh .
Với NAT tĩnh, địa chỉ IP thường được ánh xạ tĩnh với nhau thông qua các lệnh cấu
hình. Trong NAT tĩnh, một địa chỉ Inside Local luôn luôn được ánh xạ vào địa chỉ
Inside Global. NAT tĩnh không có tiết kiệm địa chỉ thực.
2
Kỹ thuật NAT động (dynamic NAT)
NAT giúp các máy nội bộ có thể truy cập Internet và giúp các máy ngoài Internet
có thể liên lạc với nội bộ thông qua Router. NAT động phức tạp hơn NAT tĩnh, vì
thế chúng phải lưu giữ lại thông tin kết nối và thậm chí tìm thông tin của TCP
trong packet. Bảo mật hơn NAT tĩnh. Những người từ bên ngoài không thể tìm
được IP nào kết nối với host chỉ định vì tại thời điểm tiếp theo host này có thể nhận
một IP hoàn toàn khác
3 Kỹ thuật NAT overloading ( hay PAT)
ánh xạ một một như NAT động. Thay vì một địa chỉ ngoài chỉ được gán cho
1 địa chỉ IP nội bộ thì giờ đây nó có thể được gán cho tất cả các máy nội bộ dựa
trên số cổng. Chỉ khi số lượng cổng khả dụng sử dụng bởi địa chỉ IP ngoài bị cạn

kiệt thì một địa chỉ IP ngoài thứ hai mới được dùng đến với phương pháp tương tự.
Dùng để ánh xạ nhiều địa chỉ IP riêng sang một địa chỉ công cộng vì mỗi địa
chỉ riêng được phân biệt bằng số port.
PAT hoạt động bằng cách đánh dấu một số dòng lưu lượng TCP hoặc UDP
từ nhiều máy cục bộ bên trong xuất hiện như cùng từ một hoặc một vài địa chỉ
Inside Global. Với PAT, thay vì chỉ dịch địa chỉ IP, NAT cũng dịch các cổng khi
cần thiết.
Câu 18: Trình bầy các sơ đồ phân phối khoá phiên dùng mật mã khoá công
khai ?
Phân phối khoá bí mật đơn giản
A và B muốn truyền thông với nhau dùng mật mã khoá bí mật. A muốn B gửi cho
A một khoá phiên Ks bằng cách dùng mật mã khoá công khai.
20


Thủ tục trao đổi khoá như sau :
A sinh ra một cặp khoá công khai/bí mật {KUa,KRa} và truyền thông báo
(1) tới B bao gồm KUa và định danh IDA của A.
B sinh một khoá bí mật Ks , mã Ks bằng khoá công khai của A và gửi cho B
bản mã EKUa[Ks].
A tính DKRa[EKUa[Ks]] để khôi phục khoá bí mật Ks. Vì chỉ có A là có thể
giải mã thông báo nên chỉ có A và B biết khoá Ks.
A huỷ KUa và KRa và B huỷ KUa.
Bây giờ A và B có thể truyền thông an toàn dùng khoá phiên Ks. Kết thúc phiên
liên lạc, cả A và B huỷ Ks.
Cách phân phối này đơn giản, không có thông tin nào tồn tại trước và sau khi
truyền thông. Chính vì vậy rủi ro về dàn xếp khoá là nhỏ. Tuy nhiên, cách phân
phối này dễ dàng vì tấn công xen vào giữa thực hiện thành công.
Nếu có một kẻ tấn công E điều khiển được kênh truyền thông ở giữa thì E có thể
làm tổn thương phiên truyền thông bằng cách sau :

A sinh ra một cặp khoá công khai/bí mật {KUa,KRa} và truyền một thông
báo tới B bao gồm KUa và định danh IDA của A.
E chặn thông báo , tạo cặp khoá công khai/bí mật {KUe,KRe} của nó và
truyền KUe || IDA cho B.
B sinh một khoá bí mật Ks , và gửi EKUe[Ks] cho A.
E chặn thông báo, thu được Ks bằng cách tính DKRe[EKUe[Ks]].
E truyền EKUa[Ks] cho A.
Kết quả là cả A và B đều biết Ks và không biết rằng Ks đã bị E phát hiện. Bây giờ
A và B có thể trao đổi thông báo dùng Ks. Bằng cách nghe trộm, E có thể giải mã
tất cả các thông báo và cả A và B đều không biết điều này. Như vậy giao thức này
đơn giản và chỉ có thể được dùng trong môi trường mà mối đe doạ là nghe trộm.
Câu 19: Cơ chế hoạt động của virut máy tính.
–Trú ẩn (Dormant): Giai đoạn này virus không làm gì cho đến khi được kích hoạt
bởi một sự kiện nào đó.
– Lây lan (Propagation): Giai đoạn này virus thực hiện việc copy chính nó tới các
chương trình, vị trí khác trong ổ đĩa.

21


– Kích hoạt (Triggering): Giai đoạn này virus được kích hoạt để thực thi chức năng
của nó.
– Thực thi (Execution): Chức năng của virus được thực thi, chức năng có thể là vô
hại như gửi một thông điệp nào đó tới màn hình, hoặc một chức năng có hại như
phá hủy các chương trình, các tệp của hệ thống.
Câu 20: Con đường lây lan virut
- Qua người sử dụng MT: Copy và chạy file từ đĩa mềm, CD, USB (đây là
phương thức thâm nhập mạnh nhất của Virut và rất khó kiểm soát)
- Qua email: Gửi email đến cho bạn, với file virus đính kèm hoặc link chứa
virus

- Qua dịch vụ Interne: Tải file từ Internet: Lây nhiễm qua các giao thức
HTTP, FTP, SMTP khi ta sử dụng các trình duyệt (Browser) đọc và lấy các
thông tin trên mạng Internet
- Qua mạng nội bộ (LAN)
- Qua lỗ hổng phần mềm
Câu 21: phương pháp rà soát hệ thống bị nhiễm virus
–
Kiểm tra hệ thống:
+
Kiểm tra các thư mục trên hệ thống để phát hiện các chương trình khả
nghi là virus.
+
kiểm soát các tiến trình trên hệ thống để phát hiện các tiến trình khả
nghi là virus.
+
Kiểm tra hiệu năng của hệ thống
–
Quét lỗ hổng hệ thống: Sự xâm nhập của virus máy tính có thể bắt
nguồn từ các lỗ hổng hệ thống, ngoài ra có thể do người dùng sử dụng chủ
quan, thiếu kinh nghiệm.
–
Sử dụng các trình diệt virus chuyên dụng để quét virus

Biện pháp: Một khi phát hiện hệ thống bị nhiễm virus, hoặc các chương
trình ứng dụng chưa được cập nhật bản vá an ninh, hai việc thiết yếu bạn nên
làm là cài đặt ngay chương trình antivirus đáng tin cậy và tìm cách cập nhật bản
hotfix vá lỗi từ nhà sản xuất phần mềm.
+
Luôn cập nhật phần mềm, cơ sở dữ liệu mới nhất
+

Chạy công cụ kiểm định hệ thống, lưu lại log file
+
Quét virus định kỳ
Câu 22: Phân tích sơ đồ bảo vệ thông tin dùng mật mã khoá bí mật ?
sơ đồ của mật mã khoá bí mật trong bảo vệ thông tin.

22


Tại nơi gửi (nguồn thông báo) có một bản rõ R được sinh ra. Để mã R cần có một
khoá K. Nếu K được sinh tại nguồn thông báo thì nó phải được chuyển tới đích
thông báo theo một kênh an toàn. Hoặc một bên thứ ba có thể sinh khoá và chuyển
một cách an toàn tới cả nguồn và đích.
Với thông báo R và khoá mã K, thuật toán mã E sẽ tạo ra bản mã M = EK(R).
Tại nơi nhận (đích thông báo) với bản mã M và khoá mã K, thuật toán dịch D sẽ
tạo ra bản rõ R = DK(M).
Một kẻ tấn công thu được MY nhưng không có khoá K, anh ta phải cố gắng khôi
phục R hoặc khoá K. Thừa nhận rằng kẻ tấn công biết thuật toán mã E và thuật
toán giải mã D. Nếu kẻ tấn công chỉ quan tâm đến nội dung thông báo, họ cố khôi
phục R bằng việc sinh ra một ước lượng R' của R. Tuy nhiên thường kẻ tấn công
mong muốn tìm ra khoá K để giải mã các thông báo tiếp theo, bằng cách sinh ra
một khoá ước lượng K' của K. Độ bảo mật của mật mã khóa bí mật là thước đo
mức độ khó khăn của việc tìm ra thông báo rõ hoặc khoá khi biết bản mã.
Khi chưa có mạng máy tính, mật mã chỉ được dùng với mục đích đảm bảo bí mật
thông tin. Ngày nay nó được sử dụng để giải quyết các yêu cầu xác thực, toàn vẹn,
chữ ký số và sử dụng mật khoá công khai.
Câu 23: Điểm yếu của web client
- Java scipt
- Active X
- Cookies

- Applets
1 Java script:
- Là 1 đoạn mã lệnh được tích hợp trong trang web và được thực thi bởi trình
duyệt web
- Được sử dụng rất phổ biến và hữu ích
- Nguy cơ
• Ăn trộm địa chỉ email
23


Ăn trộm thông tin người sử dụng
Kill 1 số tiến trình
Chiếm tài nguyên CPU và bộ nhớ
Shutdown hệ thống
Replay email đẻ phục vụ spam
Phục vụ cho chiếm đoạt website
Phòng chống:
• Disable chức năng chạy java script trong trình duyệt
• Thường xuyên cập nhật bản mới nhất của trình duyệt
• Kiểm tra mã lệnh của web server
Active X
Cung cấp nội dung động cho trình duyệt web
Có thể giao tiếp với những ứng dụng khác, tiếp nhận các thông số từ người
dùng, cung cấp các ứng dụng hữu ích cho người sử dụng
Nguy cơ:
• Ăn cắp thông tin
• Kẻ tấn công có thể lợi dụng các lỗ hổng bảo mạt cuarq các trình ứng
dụng Active X để xâm nhập, tấn công hệ thống
Phòng chống:
• Disalbe Active X trên trình duyệt web và mail client

• Lọc các Active X từ firewall
• Hướng dẫn người sử dụng chỉ sử dụng các Active X đã được chứng thực
Cookies :
Lưu trữ 1 số các thông tin cá nhân của người dùng như: số thẻ tín dụng,
username/ password
Có thể sử dụng cho nhiều website khác nhau
Trình duyệt có thể cho phép web server lưu trữ các thông tin trên đó
Nguy cơ:
• Sử dụng telnet để gửi casci dạng cookies mà chúng muốn để đánh lừa
web server
• Kẻ tấn công lợi dụng cookies để lấy trộm các thông tin về người dùng, tổ
chức, cấu hình security… của mạng nội bộ
• Lợi dụng lỗi script injetion để cài các script nguy hiểm lên hệ thống
nhằm chuyển các cookies về hệ thống thay vì chuyển lên web server
Phòng chống:
• Disable cookies trên trình duyệt web
• Sử dụng trình xóa cookies không cần thiết
• Cấu hình web server không được tin tưởng vào các cookies dạng yêu cầu
cung cấp thông tin, yêu cầu điều khiển hoặc yêu cầu dịch vụ được lưu ở
client
•
•
•
•
•
•

-

2

-

-

3
-

-

24


Không lưu trữ các thông tin nhạy cảm trên cookies
Sử dụng SSL/TLS
Applets
Là những chương trình java nhỏ, có thể thực thi trên các trình duyệt
Java Applets chạy trên những client dựa vào Java virtual machine (VM)
được hầu hết các hệ điều hành hỗ trợ
Nguy cơ:
• Chương trình Applets có thể truy cập các tài nguyên hệ thống
• Sử dụng để giả mạo chữ ký
• Dùng để cài đặt virus, worm, trojan
• Sử dụng tài nguyên mạng để tấn công thăm dò hệ thống mạng
Phòng chống:
• Sử dụng Applets tấn công hỗ trợ java trên các trình duyệt
• Tuyên truyền, hướng dẫn người sử dụng
•
•

4

-

-

Câu 25. Tấn công DdoS: là một biến thể của Foolding DoS (Tấn công từ chối
dịch vụ tràn). Mục đích của hình thức này là gây tràn mạng đích, sử dụng tất cả
băng thông có thể. Kẻ tấn công sau đó sẽ có toàn bộ lượng băng thông khổng lồ
trên mạng để làm tràn website đích. Đó là cách phát động tấn công tốt nhất để đặt
được nhiều máy tính dưới quyền kiểm soát. Mỗi máy tính sẽ đưa ra băng thông
riêng (ví dụ với người dùng PC cá nhân nối ADSL). Tất cả sẽ được dùng một lần,
và nhờ đó, phân tán được cuộc tấn công vào website đích. Một trong các kiểu tấn
công phổ biến nhất được thực hiện thông qua sử dụng giao thức TCP (một giao
thức hướng kết nối), gọi là TCP syn flooding (tràn đồng bộ TCP). Cách thức hoạt
động của chúng là gửi đồng thời cùng lúc một số lượng khổng lồ yêu cầu kết nối
TCP tới một Web Server (hoặc bất kỳ dịch vụ nào khác), gây tràn tài nguyên
server, dẫn đến tràn băng thông và ngăn không cho người dùng khác mở kết nối
riêng của họ. Quả là đơn giản nhưng thực sự nguy hiểm! Kết quả thu được cũng
tương tự khi dùng giao thức UDP (một giao thức không kết nối).
Giới tin tặc cũng bỏ ra khá nhiều thời gian và công sức đầu tư nhằm nâng cao cách
thức tấn công của chúng. Hiện nay, người dùng mạng máy tính như chúng ta đang
phải đối mặt với nhiều kỹ thuật tinh vi hơn xa so kiểu tấn công DDoS truyền
thống. Những kỹ thuật này cho phép kẻ tấn công điều khiển một số lượng cực kỳ
lớn máy tính bị chiếm quyền điều khiển (zombie) tại một trạm từ xa mà đơn giản
chỉ cần dùng giao thức IRC.
Cách phòng chống: Tấn công DDoS đến nay trên thế giới hầu như chưa có cách
ngăn chặn triệt để 100%, tuy nhiên chúng ta có thể sử dụng tường lửa (firewall) để
phòng chống và hạn chế một phần sức mạnh và tác hại của nó.
25