Đề cương An toàn mạng máy tính HV kỹ thuật mật mã

An toàn mạng máy tính.
Câu 1: Trình bày các nguyên nhân gây mất an toàn, an ninh mạng.
Nguyên nhân gây mất an toàn,an ninh mạng:
- Điểm yếu công nghệ:
Điểm yếu trong TCP/IP:Chặn bắt và phân tích gói tin:biết được IP nguồn, đích
trong kết nối, biết được giao thức, dịch vụ, biết được nội dung; quá trình bắt tay 3
bước, giả mạo địa chỉ nguồn,…
Điểm yếu tỏng thiết bị mạng: như tài khoản theiets lập sẵn trong các thiết bị mạng,
…
- Điểm yếu chính sách
- Cấu hình yếu.
Câu 2. Trình bày các hiểm họa an toàn thông tin.
• Hiểm họa có cấu trúc
- Hiểm họa do các đối tượng có tổ chức và có trình độ kỹ thuật cao thực hiện.
- Mục đích: vụ lợi, chính trị, so sánh tài năng, kinh doanh
Ví du: Vụ lợi: Dò quét thông tin, ăn cắp thông tin, tài khoản
Chính trị: Hacker trung quốc- Mỹ:Vụ nghe trộm ĐT của thủ tướng Đức,
Vụ việc WikiLeak tung tin thông tin của chính phủ Mỹ
So tài năng
Kinh doanh: Vụ việc tại công ty VCCorp, Lỗ hổng heartbleed
• Hiểm họa không có cấu trúc
- Liên quan đên tấn công có tính chất tự phát như:
Cá nhân tò mò thử nghiệm


Lỗ hổng phần mềm tiềm ẩn
Sự vô ý của người dùng:Không đặt mật khẩu, hoặc mật khẩu dễ đoàn, Máy tính
không cài anti virus, Không bảo mật dữ liệu quan trọng,…
- Hiểm họa do môi trường tạo ra: do thiên tai,…
• Hiểm họa từ bên trong
- Hiểm họa được tạo ra từ những cá nhân bên trong mạng nội bộ:

Nghe trộm thông tin, Sử dụng USB tùy tiện, Leo thang đặc quyền, Tài nguyên chia
sẻ không được phân quyền thích hợp, Xâm nhập máy trạm, máy chủ từ người dùng
bên trong: thông qua mạng, thông qua đường truyền vật lý
•
-

Hiểm họa từ mã độc( virus, trojan, backdoor)
Số lượng tấn công và mức độ nguy hiểm cao
Khó phát hiện và ngăn chặn
Hiểm họa từ bên ngoài
Nguồn hiểm họa xuất phát từ Internet vào mạng bên trong:
Tấn công dò quét, Tấn công ứng dụng, Tấn công từ chối dịch vụ

-

Hiểm họa từ mã độc: mail, website, software
Hiểm học từ mạng xã hội: facebook, phishing
Sử dụng kết nối internet để thực hiện hoạt động
Những kẻ tấn công không có quyền truy cập vào mạng tổ chức
Có khả năng phát hiện và ngăn chặn.

Câu 3. Trình bày các hình thức tấn công đối với thông tin trên mạng
Ngăn chặn thông tin
- Thông tin bao gồm: văn bản, âm thanh, hình ảnh, dữ liệu…
- Được lưu giữ trong các thiết bị: Ổ đĩa, băng từ, đĩa quang…hoặc được truyền qua
kênh công khai.
- Tài nguyên thông tin bị phá hủy, không sẵn sàng phục vụ, không sử dụng được.
- Đây là hình thức tấn công làm mất khả năng sẵn sàng phục vụ của thông tin.
Ví dụ: Phá hủy đĩa cứng, cắt đứt đường truyền tin, vô hiệu quá hệ thống quản lý tệp.

Chặn bắt thông tin
-

Kẻ tấn công có thể truy cập tới tài nguyên thông tin
Đây là hình thức tấn công vào tính bí mật của thông tin.
Việc chặn bắt có thể là nghe trộm để thu tin và sao chép bất hợp pháp dữ liệu trong
quá trình truyền tin.

Sửa đổi thông tin:
-

Kẻ tấn công truy cập, chỉnh sửa thông tin trên mạng
Đây là hình thức tấn công vào tính toàn vẹn của thông tin.
Đây có thể là thay đổi giá trị trong tệp dữ liệu, ửa đổi 1 chương trình để nó vận
hành khác đi, sửa đổi nội dung 1 thông báo truyền đi

Chèn thông tin giả:
-

Kẻ tấn công chèn các thông tin và dữ liệu giả vào hệ thống.
Đây là hình thức tấn công vào tính xác thực của thông tin.
Đây có thể là chèn thông báo giả mạo vào mạng hay thêm các bản ghi vào tệp.
Có 2 kiểu: tấn công chủ động và tấn công bị động.
Chia làm 2 loại: -Khám phá nội dung thông báo: nghe trộm,…
- Phân tích luồng thông tin: chặn bắt & khám phá tt
-Khó bị phát hiện vì k thay đổi số liệu và không có dấu hiệu rõ ràng.


Câu 4. Trình bày các dịch vụ bảo vệ thông tin trên mạng.

• Dịch vụ bí mật
- Đảm bảo thông tin lucu trữ trong hệ thống máy tính hoặc thông tin truyền trên
mạng chỉ được đọc bởi người dùng hợp lệ
- Chống lại tấn công bị động nhằm khám phá nội dung thông báo
- Ví dụ: HĐH windows sử dụng cơ chế mã hóa file, win7,8, server 2008 sử dụng
bitlocket; truyền tin: vpn. Ipsec.
• Dịch vụ xác thực
- Đảm bảo truyền thông giữa người gửi và người nhận được xác thực không bị mạo
danh.
- Phương pháp xác thực:
Xác thực dựa trên những gì đã biết: tên đăng nhập, pass
Xác thực dựa trên tính năng vật lý không đổi: sinh trắc học
Xác thực dựa trên những gì đã có: thẻ bài, tocken, chứng thư số.
Xá thực đa nhân tố: kết hợp hai hay nhiều pp xác thực
• Dịch vụ toàn vẹn
- Đảm bảo thôgn tin lưu trữ và thông tin truyền tải không bị sửa đổi trái phép.
- Các thuật toán được áp dụng: MD5, SHA....
- Được áp dụng trong giao thức bảo mật: SSL, TLS, Ipsec, SSH....
• Chống chối bỏ
- Ngăn chặn người gửi hay người nhận chối bỏ thông báo được truyền
 Khi thông báo được gửi đi người nhận có thể chúng minh được người nêu danh đã
gửi nó
 Khi thông báo được nhận, người gửi có thể chứng minh được thông báo đã nhận
bởi người nhận hợp lệ
 Ví dụ: chữ ký sô, tem thời gian
• Kiểm soát truy cập
- Là khả năng hạn chế và kiểm soát truy cập tới tài nguyên hệ thống


- Mỗi một thực thể muốn truy cập đều phải định danh hay xác nhận có quyền truy

cập phù hợp
• Sẵn sàng phục vụ
- Đảm bảo các tài nguyên mạng máy tính luôn sẵn sàng đối với người dùng hợp lệ
- Các tấn công có thể làm mất mát hoặc giảm khả năng sẵn sàng phục vụ của tài
nguyên mạng
- Ví dụ: thiết bị lưu điện, cân bằng tải, sao lưu dự phòng, cơ chế RAID cho ổ
cứng.....
Câu 5: Đặc trưng cơ bản tấn công chủ động và tấn công bị động
Tấn công bị động:
- Là kiểu tấn công chặn bắt thông tin như nghe trộm và quan sát truyền tin.
- Mục đích: biết được thông tin truyền trên mạng
- Chia làm 2 loại nhỏ:
 Khám phá nội dung thông báo: Nghe trộm các cuộc nói chuyện điện
thoại, xem trộm thư điện tử, xem trộm nội dung tệp tin bản rõ.
 Phân tích luồng thông tin: Chặn bắt luồng thông tin và khám phá
thông tin
- Rất khó phát hiện vì không thay đổi số liệu và không có dấu hiệu rõ ràng.
- Biện pháp: tính bí mật (mã hóa), tính toàn vẹn (ký số),

Tấn công chủ động:
- Là kiểu tấn công phá hủy hoặc sửa đổi số liệu, hoặc tạo ra số liệu giả,
- Chia làm 4 loại nhỏ:
 Đóng giả: một thực thể: máy tính, người dùng, chương trình đóng giả 1
thực thể hợp lệ.
 Dùng lại: chặn bắt thông báo, sao chép và gửi lại thông báo.


 Sửa đổi thông báo: thông báo bị chặn bắt và sửa đổi và gửi lại
 Từ chối dịch vụ: ngặn chặn người dùng hợp lệ sử dụng dịch vụ.
- Giải pháp đối với trường hợp này: phòng thủ, giám sát, phát hiện, ngăn

chặn,khắc phục hậu quả.

Câu 6. Bảo mật theo chiều sâu là gì.

-

Lớp 1( data): mã hóa, xác thực, phân quyền
Lớp 2(Appliction): cập nhật bản vá, antivrus
Lớp 3(Computer): xác thực truy cập
Lớp 4(Network): phân vùng, Firewall, ID/IPS


- Lớp 5(Physical): hệ thống khóa cửa, tủ rack, camera....
- Lớp 6(Policy): Quy tắc, quy định về truy cập, sử dụng tài nguyên, thiết lập mật
khẩu, chính sách về con người, sao lưu phục hồi....
- Chính sách bảo mật:
 Tập các quy ước định nghĩa các trạng thái an toàn của hệ thống
P: tập hợp tất cả các trạng thái của hệ thống
Q: tập hợp các trạng thái an toàn theo nghĩa của security policy
R: tập hợp các trạng thái của HT sau khi áp dụng các cơ chế bảo mật.
 R⊆Q: hệ thống tuyệ đối an toàn
 Nếu tồn tại trạng thái r ϵ R sao cho r ∉ Q: hệ thống không an toàn
- Cơ chế bảo mật:
 Tập hợp các biện pháp kỹ thuật hoặc thủ tục được triển khai để đảm bảo thực thi
chính sách bảo mật.
 Ví dụ: dùng cơ chế cấp quyền trên partition NTFS
Dùng cơ chế cấp quyền hệ thống(User rights)
Đưa ra các quy định mang tính thủ tục

Câu 7. Nêu chức năng và phân loại hệ thống phát hiện và ngăn chặn

xâm nhập.
- IDS là 1 thiết bị hoặc phần mềm chịu trách nhiệm giám sát hệ thống mạng để kịp
thời phát hiện ra những hoạt động bất thường hoặc những vi phạm chính sách gây
hại cho hệ thống và thông báo cho người quản trị
- IPS: hoạt động tương tự như IDS nhưng có thêm chức năng ngăn chặn tấn công
- Chức năng:
 Nhận diện các nguy cơ có thể sảy ra
 Nhận diện được các cuộc tấn công thăm dò
 Nhận diện được các hành vi vi phạm chính sách
 Ngăn chặn tấn công
 Cảnh báo
 Ghi log
- Phân loại:
 Network based: IDS/IPS dùng cho toàn mạng, thường giám sát lưu lượng truy cập
mạng cho các segment mạng cụ thể hoặc các thiết bị và phân tích các giao thức
mạng, giao thức vận chuyển, giao thức ứng dụng để nhận diện các hoạt động khả
nghi
 Thường dưới dạng thiết bị chuyên dụng
 Quản lý được cả một phân vùng mạng(gồm nhiều host)
 Trong suốt với người dùng lẫn kẻ tấn công








Dễ cài đặt và bảo trì
Đọc lập với OS

Thường sảy ra cảnh báo giả
Không phân thích được lưu lượn mãng đã mã hóa
ảnh hưởng tới chất lượng mạng
Hệ thống NIDPS thường được triển khai trong 1 đoạn mạng con riêng, phục vụ cho
mục đích quản trị hệ thống. trong trường hợp k có mạng quản trị riêng thì 1 mạng
ảo(VLAN) là cần thiết để bảo vệ các kêt nối giữa các hệ thống NIDPS
NIDPS cung cấp các khả năng bí mật:

 khả năng thu thập thông tin: nhận dạng host, HĐH, ứng dụng, đặc điểm mạng
 khả năng ghi log
 khả năng nhận diện: hoạt động thăm dò và tấn công trên các lớp ứng dụng, mạng,
vận chuyển; các dịch vụ không mong đợi, vi phạm chính sách
 khả năng ngăn chặn:
kiểu thụ động: ngắt phiên TCP hiện tại
Kiểu inline: thực hiện tác vụ FW thẳng hàng, điều tiết băng thông sử dụng,
loại bỏ các nội dung gây hại
Các sản phẩm: snort, ISS, Juniper IDS, cisco IPS....
 Host based: IDS/IPS cá nhân
 Được triển khai trên từng host, thông thường là một software hoặc agent. Mục tiêu
là giám sát các tính chất cơ bản các sự kiện liên quan đến các thành phần này nhằm
nhận diện các hoạt động khả nghi
 Quá trình triển khai các agent HIDPS thường đơn giản do chúng là 1 phần mềm
được cài đặt trực tiếp trên host
 Trên phương diện phát hiện và ngăn chặn, agent nên được cài đặt lên host vì agent
tương tác trực tiếp với các đặc tính của host và qua đó có thể phát hiện và ngăn
chặn 1 cách hiệu quả
 Có khả năng xác định người dùng liên quan tới 1 sự kiện
 Có thể phân tích các sữ liệu mã hóa
 HIDPS hoạt động phụ thuộc vào host
 Không có khả năng phát hiện tấn công dò quét

 Khả năng bảo mật:
Khả năng ghi log


Khả năng phát hiện: phân tích mã( phân tích hành vi mã, nhận diện buffer-










overflow....) phân tích và lọc lưu lượng mạng, phân tích log
Khả năng ngăn chặn:
Phân tích mã: ngăn chặn thực thi mã độc
Phân tích và lọc lưu lượng mạng: ngăn chặn
Ngăn chặn việc truy cập, thay đổi file system
Sản phẩm: ossec, iss, broIDS, tripware, snort.....
Wireles IDS/IPS
Thường được triển khai trong tần phủ sóng wireless của hệ thống nhằm giám sat,
phân tích các protocol wireless để nhận diện các hoạt động khả nghi. Nó giám sát
bằng cách lấy mẫu lưu lượng mạng
Bộ cảm biến( sensor) trong WIDPS sử dụng kỹ thuật quét kênh( chanel scanning)
để thường xuyên đổi kênh giám sát. Để hỗ trợ cho việc giám sát hiệu quả, các bộ
cảm biến có thể được trang bị nhiều antenna thu phát công suất cao
Wireless sensor thường gặp dưới 3 hình thức:
Chuyên biệt

Tích hợp trong AP
Tích hợp tring wireless switch
Thường được triển khai ở các khu vực mở của hệ thống mạng( khu vực khách,
công cộng....), ở các vị trí có thể giám sat toàn bộ vùng sóng của mạng wireless
hay được triển khai để giám sát trên 1 số băng tần và kênh xác định
Cung cấp các chức năng bảo mật:
Khả năng bảo mật
Khả năng thu thập thông tin: nhận diện thiết bị wireless, mạng wireless
Khả năng ghi log
Khả năng nhận diện( mạng và thiết bị wireless trái phép, thiết bị wireless
kém bảo mật)
Khả năng ngăn chặn(ngắt kết nối wireless, tác động đến switch để chặn kết

nối từ AP hoặc station nghi ngờ là nguồn tấn công
 Tuy nhiên wireless rất nhạy cảm với các dạng tấn công từ chối dịch vụ hoặc các
tính chất sử dụng kỹ thuật lẩn tránh
 Sản phẩm: WIDZ, snort-wireless, Airdefense...

Câu 8. Phân tích các kỹ thuật phát hiện xâm nhập trái phép.
- Phát hiện dựa trên dấu hiệu(Signature-based):
 Sử dụng pp so sánh các dấu hiệu của đối tượng quan sát với các dấu hiệu của các
mối nguy hại đã biết để nhận diện các sự cố có thể xảy ra.


Ví dụ: telnet với username là ‘root’ hoặc email với chủ đề ‘free picture’ đính kèm















với 1 file có tên’ freepic.exe’....
Phương pháp này có hiệu quả với các mối đe dọa đã biết nhưng không có hiệu quả
đối với các mối nguy cơ chưa biết hoặc các mối đe dọa sử dụng các kỹ thuật lẩn
tránh hoặc các biến thể.
Đây là phương pháp đơn giản nhất. nó có sự hiểu biết hạn chế vì các giao thức
mạng hoặc các giao thức ứng dụng, không thể theo dõi và nhận diện trạng thái của
các truyền thông phức tạp
Phát hiện dựa trên sự bất thường(Anomaly-based):
Là quá trình so sánh hành động được coi là bình thường với các sự kiện đang diễn
ra nhằm phát hiện ra sự bất htường
1 IDPS sử dụng pp này có các profile đặc trưng cho các hành vi được coi là bình
thường, được phát triển bằng cách giám sát các đặc điểm của các hoạt động tiêu
biểu trong 1 khoảng thời gian. Sau khi đã xây dựng được tập các profile, IDPS sử
dụng pp thống kê để so sánh các hoạt động hiện tại với các ngưỡng định bởi các
profile tương ứng để phát hiện ra những bất thường
Phương pháp này có thể rất hiệu quả trong việc phát hiện các mối đe dọa chưa biết
Có hai loại profile là static và dynamic
Phát hiện dựa vào phân tích trạng thái giao thức(Stateful protocol analysis):
Phân tích trạng thái giao thức là quá trình phân tích hành vi của giao thức được sử
dụng trên cơ sở đã biết các định nghĩa về hoạt động hợp lệ của giao thức để nhận

ra hành vi tấn công.
Yêu cầu IDS có khả năng và theo dõi trạng thái của mạng, truyền tải và các giao
thức ứng dụng.
Yêu cầu IDS có khả năng hiểu và theo dõi trạng thái của mạng, truyền tảivà các
giao thức ứng dụng
Nhược điểm: sự phức tạp trong quá trình phân tích và thực hiện giám sát trạng thái
nhiều phiên làm việc đồng thời.
ứng dụng kỹ thuật khai phá dữ liệu cho việc phát hiện xâm nhập trái phép:
khai phá dữ liệu là sự khám phá ra các mẫu, các mối quan hệ, các biến đổi, những
sự bất thường, những quy luật, những cấu trúc của sự kiện quan trọng mang tính
chất thống kê của dl.
Khai phá dữ liệu trong phát hiện xâm nhập trái phép là để trích lọc tri thức từ một
tập dl lớn của các thông tin truy cập trên mạng, để phân tích, biểu diễn nó tới mô
hình phát hiện xâm nhập trái phép.


Câu 9. Trình bày ưu nhược điểm của mạng không dây.
- Mạng không dây là một hệ thống các thiết bị được nhóm lại với nhau
- Có khả năng giao tiếp thông qua sóng vô tuyến thay vì các đường truyền dẫn bằng
dây.
- Ưu điểm
 Tính di động: người sử dụng có thể truy cập nguồn thông tin không dây ở bất kỳ vị
trí nào(trong phạm vi phủ sóng).
 Tính đơn giản: việc lắp đặt, thiết lập, kết nối mạng không dây dễ dangg, đơn giản.
Tránh việc kéo cáp qua tường và trần nhà
 Tính linh hoạt: có thể triển khai những vị trí mà mạng hữu tuyến không thể triển
khai được. Sử dụng nhiều thiết bị khác nhau: laptop, đtđd, thiết bị cầm tay
 Tiết kiệm chi phí: thiết bị triển khai ít hơn....
 Khả năng mở rộng: dễ mở rộng.
- Nhược điểm

 Nhiễu: khả năng bị nhiễu sóng do thời tiết, sóng từ các thiết bị khác, hay bị các vật
chắn...
 Bảo mật: vì mọi người dùng đều có thể phát hiện được định danh của mạng vì vậy:
Kẻ tấn công cố gắng bẻ khóa để vào mạng
Chặn bắt thông tin truyền tin giữa người dùng và AP
 Phạm vi: với mỗi chuẩn và các thiết bị khác nhau ảnh hường đến phạm vi phủ sóng
 Tốc độ: tốc độ mạng không dây chậm hơn so với mạng có dây

Câu 10. Trình bày đặc điểm của các chuẩn trong họ 802.11.
Được phát triển từ năm 1997 bởi tổ chức iEEE
Chuẩn này được xem là chuẩn dùng cho các thiết bị di động có hỗ trợ
Wireless, phục vụ cho các thiết bị có phạm vi hoạt động tầm trung.






IEEE 802.11b: là chuẩn mở rộng của 802.11
Được đưa vào sử dụng năm 1999
Cung cấp truyền dữ liệu trong dải tần 2.4GHz, tốc độ truyền 1-11Mbps.
Được sử dụng phổ biến cho các đối tượng doanh nghiệp, gia đình, văn phòng nhỏ.
Nhược điểm: băng tần dễ bị nghẽn, HT dễ bị nhiều với các Ht khác: lò viba,
bluetooth.
 Không cung cấp dịch vụ QoS.
 IEEE 802.11a: là chuẩn mở rộng của 802.11
 Được đưa vào sử dụng năm 1999



















Hoạt động ở băng tần 5GHz
Tốc độ 54 Mbps; 30m: 11Mbps; 90m: 1Mbps
Vì hoạt động ở tần số cao hơn nên hiệu suất tốt hơn
IEEE 802.11g:
Được đưa vào sử dụng năm 2003
Hoạt động ở băng tần 2.4GHz
tốc độ 54Mbps; 15m: 54Mbps; 45m: 11Mbps
IEEE 802.11n
Được đưa vào sử dụng năm 2009
Hoạt động ở băng tần 2.4GHz, hoặc 5GHz
Tốc độc 300Mbps
Được sử dụng phổ biến nhất hiện nay.
IEEE 802.11ac: wifi thế hệ thứ 5
Sử dụng năm 2013
Tốc độ cao gấp 3 lần so với 802.11n( tối đa 800Mbps)

Câu 11. Các hình thức tấn công trong mạng không dây.
 Tấn công bị động: Kẻ tấn công chỉ lắng nghe trên mạng mà không làm ảnh hưởng
tới bất kỳ tài nguyên nào trên mạng.
 Không bị tác động trực tiếp vào thiết bị trên mạng
 Tấn công bị động không để lại 1 dấu vết nào chứng tỏ đã có sự hiện diện của
hacker trong mạng vì hacker không thật kết nối với AP để lắng nghe các gói tin
truyền trên đoạn mạng không dây
Phát hiện mạng: phát hiện AP, phát hiện máy trạm kết nối, phát hiện đc
MAC của các thiết bị tham gia, kênh
Nghe trộm: chặn bắt lưu lượng, phân tích giao thức, nguồn và đích kết nối
Ví dụ: WLAN Sniffer có thể được sử dụng để thu thập thông tin về mạng
không dây ở khoảng cách bằng cách sử dụng anten định hướng.
 Phương pháp này cho phép hacker giữ khoảng cách với mạng, không để lại dấu vết
trong mạng khi vẫn lắng nghe và thu thập được những thông tin quý giá
 Tấn công chủ động: kẻ tấn công sử dụng các kỹ thuật làm ảnh hưởng tới mạng
 Là hình thức tấn công tác động trực tiếp lên thông tin, dữ liệu của mạng
Dò tìm mật khẩu AP(vét cạn, từ điển)
Giả mạo AP
Tấn công người đứng giữa
Tấn công từ chối dịch vụ


 Được sử dụng để truy cập vào server và lấy được những dl có giá trị hay sử dụng
đường kết nối internet của doanh nghiệp để thực hiẹn mục đích phá hoại hay thậm
trí là thay đổi cấu hình của hạ tầng mạng
 Bằng kết nối với mạng không dây thông qua AP, hacker có thể xâm nhập sâu hơn
vào mạng hoặc cơ thể thay đổi cấu hình của mạng
 Ví dụ: 1 hacker có thể sửa đổi để thêm MAC address của hacker vào sanh sách cho
phép của MAC filter trên AP hay vô hiệu hóa tính năng MAC filter giúp cho việc

đột nhập sau này dễ dàng hơn
 Tấn công main in the middle:
 Là trường hợp trong đó hacker sử dụng 1AP để đánh cấp các node di động bằng
cách gửi tín hiệu RF mạnh hơn AP hợp pháp tới các node đó. Các node di động
nhận thấy có AP phát tín hiệu RF tốt hơn sẽ kết nối đến AP giả mạo này, truyền dl
có thể là những dl nhạy cảm tới AP giả mạo và hacker có toàn quyền xử lý
 Muốn tấn công theo kiểu này trước tiên phải biế giá trị SSIP mà các client đang sử
dụng. sau đó, hacker phải biết được giá trị WEP key nếu mạng có sử dụng WEP

Câu 12. Nêu các giải pháp bảo mật mạng không dây.
 Phương pháp xác thực
 Xác thực thông qua SSID và mật khẩu
 Xác thực không dây đều có định danh duy nhất
Người dùng muốn gia nhập vào mạng khoong dây phải biết mật khẩu

 Xác thực thông qua máy chủ RADIUS


 Phương pháp lọc:Lọc là phương pháp bảo mật cơ bản sử dụng trong AP
Mục đích: cấm những cái không mong muốn, cho phép những cái mong muốn
Lọc thông qua địa chỉ MAC
Đây là một chức năng có trong hầu hết các AP
Xâu dụng danh sách địa chỉ MAC của các máy trạm được phép hoặc không được
phép truy cập trong AP
Lọc thông qua giao thức
 Phương pháp mã hóa
 Sử dụng mã hóa để bảo vệ dữ liệu truyền đảm bảo bí mật, toàn vẹn
 Chính sách an toàn cần xác định rõ thời điểm cần thiết cũng như phương pháp thực
hiện mã hóa
 Một số phương pháp mã hóa sử dụng trong mạng không dây: WEP, WPA, WPA2,

VPN
** Mã hóa WEP:
Được thiết kế để đảm bảo tính riêng tư của dl trong mạng không dây
Sử dụng thuật toán mã hóa RC4, mã hóa dl 40 bit
Điều khiển việc truy cập, ngăn chặn sự truy cập của những client không có khóa
phù hợp


Bảo vệ dl trên đường truyền bằng mã hóa chúng và chỉ cho những client có khóa
WEP đúng giải mã

**Mã hóa sử dụng WAP(2003):
Sử dụng giao thức thay đổi khóa tự động TKIP. Thay đổi khõa mã cho mỗi gói tin
Vẫn sử dụng thuật toán RC4, nhưng chiều dài khóa mã hóa 128 bit IV có chiều dài
48 bít
Sử dụng thuật toán kiểm tra toàn vẹn thông điệp MIC.
Câu 13. Trình bày các giao thức bảo mật sử dụng trong công nghệ

mạng riêng ảo VPN.
a) IPSEC
- IPSec (Internet Protocol Security): Nó có quan hệ tới một số bộ giao thức (AH,
ESP, và một số chuẩn khác) được phát triển bởi Internet Engineering Task Force
(IETF).


- Mục đích chính của việc phát triển IPSec là cung cấp một cơ cấu bảo mật ở tầng 3
(Network layer) của mô hình OSI.
- Các giao thức con:
 AH (Authentication Header): Được sử dụng để xác định nguồn gốc gói tin IP và
đảm bảo tính toàn vẹn của nó.

 ESP (Encapsulating Security Payload): được sử dụng để chứng thực và mã hóa gói
tin IP (phần payload hoặc cả gói tin).
 IKE (Internet Key Exchange): được sử dụng để thiết lập khóa bí mật cho người gửi
và người nhận.
- ứng dụng của IPSEC
 Bảo mật kết nối giữa các chi nhánh văn phòng qua Internet.
 Bảo mật truy cập từ xa qua Internet.
 Thực hiện những kết nối Intranet và Extranet với các đối tác.
 Nâng cao tính bảo mật trong thương mại điện tử
- Mô hình sử dụng

- Security Association (SA):
 Khi các giải thuật và các thông số được lựa chọn giữa 2 bên kết nối, IPSec thiết lập
sự kết hợp bảo mật (SA) giữa 2 bên cho phần còn lại của phiên làm việc.
 SA cung cấp thông tin về chỉ mục các thông số bảo mật (SPI) cho cả AH và ESP để
chắc chắn rằng cả hai bên đều sử dụng cùng các giải thuật và thông số.
- Chế độ hoạt động:
 Chế độ vận chuyển (transport mode): Bảo vệ đường truyền kết nối chỉ riêng giữa
các Host.


 Chế độ đường hầm (tunnel mode): Bảo vệ đường truyền kết nối giữa các mạng
nội bộ với nhau.

- Gói tin AH

Thông số trong trường AH

- Định dạng gói tin ESP:

Các trường trong gói tin ESP

- Các hệ mật sử dụng trong IPSEC
 Thuật toán mã hóa: DES, 3DES.
 Toàn vẹn dữ liệu: MD5, SHA-1
 Xác thực: Kerberos, chứng thư số, khóa chia sẻ
b) L2TP(giao thức đường hầm lớp 2- Layer 2 tunneling protocol):
- Kết hợp giữa PPTP giao thức L2P
- Sử dụng thuật toán mã hoá 3DES, AES
- Có thể mở rộng phương thức mã hóa
c) PPTP( giao thức đường hầm điểm nối điểm- point to point tunneling
protocol):
- Hoạt động trên mô hình client/sever
- Nén dữ liệu các gói tin PPP
- Sử dụng cổng 1723 TCP để khởi tạo
- Tính chất:
 Trường dl PPP được mã hóa sử dụng giáo thức MPPE
 MPPE sử dụng thuật toán mã hóa RSA vad RC4 với độ dài khóa 128 bit
 Sử dụng giao thức xác thực MSCHAP_V2
 Dễ bị lợi dụng tấn công
 Việc chứng thực là 1 nguy cơ dễ bị tấn công
d) SSL


-

SSL viết tắt của Secure Socket Layer
Mã hóa dl và xác thực cho dịch vụ web
Mã hóa dl và xác thực cho dịch vụ mail(SMTP và POP)

Bảo mật cho FTP và các ứng dụng khác
Thực thi SSL không trong suốt với ứng dụng như IPSEC
Kiến trúc SSL:

 Lớp SSL Record: Phân mảnh, nén, tính MAC, mã hóa dữ liệu.
 Giao thức SSL Alert: Thông báo lỗi
 Giao thức SSL Change Cipher Spec: thông báo xác nhận kết thúc giai đoạn
HandShake
 Giao thức SSL HandShake: thõa thuận thuật toán, tham số, trao đổi khóa, xác
thực.
- các hệ mật sử dụng trong SSL: DES, AES, IDEA, RC2_40, DES-40, 3DES,
FORTEZZA.
- Phân loại:
 SSL change Cipher Spec
 Mục đích của giao thức này là sinh ra trạng thái tiếp theo để gán vào trạng thái hiện
tại, và trạng thái hiện tại cập nhật lại bộ mã hóa để sử dụng.
 Giao thức này chỉ gồm 1 thông điệp đơn 1byte có giá trị 1.






SSL Alert:
Sử dụng để truyền cảnh báo SSL tới đầu cuối bên kia.
Thông điệp này được nén và mã hóa.
Mỗi thông điệp gồm 2 byte:


Byte đầu tiên giữ giá trị: cảnh báo (1), nguy hiểm (2)

Byte thứ 2 chứa mã chỉ ra cảnh báo đặc trưng.
 SSL handshake: Chứng thực với nhau và thương lượng cơ chế mã hóa, thuật toán
MAC và khóa mật mã được sử dụng
Câu 14. Phân tích một số lỗ hổng nghiêm trọng trong giao thức SSL và OpenSSL
Lỗ hổng Heartbleed:
- Nó là một lỗ hổng trong phần mềm mã nguồn mở Open SSL
- Dựa trên lỗ hổng trong giao thức kiểm tra nhịp tim của SSl
- Lỗi này cho phép kẻ tấn công có thể đọc được bộ nhớ của các hệ thống được bảo
vệ bởi phiên bản lỗi của phần mềm Open SSL. Kẻ tấn công có thể lấy được mã bí
mật- được sử dụng để định danh máy chủ dịch vụ và để mã hóa các thông tin được
truyền, mã hóa tên và mật khẩu người dùng cũng như cả bản thân thông tin
- Cách thức tấn công: lặp đi lặp lại nhiều lần việc đọc dữ liệu
- Hoạt động: máy trạm sẽ gửi một mảu tin(heartbeat) đến máy chủ(website) và máy
chủ hồi đáp. Trong quá trình trao đổi, nếu một trong 2 máy ngừng hoạt động thì
máy còn lại sẽ biết được nhờ vào cơ chế đồng bộ heartbeat
Khi heartbeat được gửi đi, một phần bộ nhớ tạm thời trên máy chủ( khoảng
64Kbyte) chứa những thông tin nhạy cảm như nội dung của bản tin, thông tin đăng
nhập, khóa phiên và khóa riêng của máy chủ sẽ bị rò rỉ và kẻ tấn xông có thể bắt
được. Bằng cách gửi các yêu cầu hearbleed nhiều lần, kẻ tấn công có thể lấy được
nhiều thông tin hơn từ bộ nhớ máy chủ

Câu 15. Các hình thức tấn công vào ứng dụng web
Chúng ta có thể phân loại các ứng dụng web này thành hai loại chính: ứng dụng
web Public và ứng dụng web Private.Các hình thức tấn công có thể :
Tấn công từ chối dịch vụ DOS, DDOS: không cho phép các truy cập hợp lệ truy
cập tới server. Kỹ thuật tấn công này thường xảy ra tại lớp mạng và lớp ứng dụng.
Các hệ thống đích có thể bị tấn công DoS: Người dùng riêng lẻ, Máy chủ cơ sở dữ
liệu, Máy chủ phục vụ web.

Tấn công Bruteforce là cách thức thử tất cả các khả năng có thể có để đoán các
thông tin cá nhân đăng nhập: tài khoản, mật khẩu, số thẻ tín dụng…Nhiều hệ thống
cho phép sử dụng mật khẩu hoặc thuật toán mã hóa yếu sẽ tạo điều kiện cho tin tặc
sử dụng phương pháp tấn công này để đoán tài khoản và mật khẩu đăng nhập. Sau
đó sử dụng các thông tin này để đăng nhập truy cập vào tài nguyên hệ thống.
Lỗi chứng thực yếu (Insufficient Authentication)
Lỗi chứng thực yếu xuất hiện khi một website cho phép truy cập các nội dung, tài
nguyên nhạy cảm mà không có đủ quyền. Các trang quản trị là một ví dụ dễ thấy
nhất. Nếu không có cơ chế phân quyền hợp lý thư mục cũng như tài khoản đăng
nhập trang quản trị này. Tin tặc hoàn toàn có khả năng vượt qua được cơ chế đăng
nhập để chiếm quyền điều khiển trang này.
XSS – Cross-Site Scripting chèn vào các website động (ASP, PHP, CGI, JSP …)
những thẻ HTML hay những đoạn mã script nguy hiểm có thể gây nguy hại cho
những người sử dụng khác. Trong đó, những đoạn mã nguy hiểm đựơc chèn vào
hầu hết được viết bằng các Client-Site Script như JavaScript, JScript, DHTML và
cũng có thể là cả các thẻ HTML.
SQL injection được thực thi bằng cách chèn các câu truy vấn SQL vào dữ liệu
tương tác giữa máy khách và trình ứng dụng. Quá trình khai thác lỗi SQL Injection
thành công có thể giúp tin tặc lấy được các dữ liệu nhạy cảm trong cở sở dữ liệu,
thay đổi cơ sở dữ liệu (Insert/Update/Delete), thực thi các hành động với quyền của
người quản trị và cao hơn có thể điều khiển được hệ điều hành máy chủ.
Giả mạo Cookie
Nhiều ứng dụng trên Web sử dụng cookie để lưu thông tin trên máy khách (như
user ID, thời gian kết nối ....). Do cookie không phải luôn luôn được mã hóa nên
hacker có thể sửa đổi cookie để đánh lừa chương trình ứng dụng truy cập bất hợp


pháp thông tin trong CSDL. Hacker cũng có thể ăn cắp cookie của một người dùng
nào đó để truy cập thông tin của người này mà không cần phải biết mã số đăng
nhập (ID) và mật khẩu (password).

"Con ngựa thành Trojan"
Các tác vụ thực thi trên Web server ví dụ như các lệnh Perl eval và system, hay các
câu truy vấn SQL có thể là cửa ngõ để hacker cấy các đoạn mã virus vào và thực
thi các tác vụ không được phép trên Web server.
Tràn bộ đệm
Tình trạng tràn bộ đệm xảy ra khi dữ liệu được gửi đến ứng dụng nhiều hơn mong
đợi. Kỹ thuật tấn công này có thể làm cho hệ thống bị tê liệt hoặc làm cho hệ thống
mất khả năng kiểm soát.
Cấu hình không an toàn
Đây là lỗ hổng do ứng dụng có các thiết lập mặc định không an toàn hoặc do người
quản trị hệ thống định cấu hình không an toàn. Ví dụ như cấu hình Web server cho
phép bấy kỳ ai cũng có quyền duyệt qua hệ thống thư mục. Việc này có thể làm lộ
các thông tin nhạy cảm như mã nguồn, mật khẩu hay thông tin của khách hàng.
Các lỗ hổng bảo mật
Các lỗ hổng bảo mật đã bị công bố của hệ điều hành, máy chủ Web, máy chủ ứng
dụng và các phần mềm của hãng thứ ba khác. Hầu hết các lỗ hổng này đều có phần
sửa lỗi bổ sung, tuy vậy những hệ thống không được cập nhật thường xuyên sẽ là
miếng mồi ngon cho hacker.

Câu 16. Các giải pháp bảo mật ứng dụng web.
Các giải pháp bảo mật cho ứng dụng Web phải dựa theo các tiêu chí: xác thực, toàn
vẹn và tính bí mật dữ liệu.


1.Đối với các tổ chức/doanh nghiệp vừa và nhỏ.
Đối với các tổ chức/doạnh nghiệp vừa và nhỏ có một hệ thống ứng dụng web với
phần lớn các thông tin tĩnh (ít thay đổi), không chứa các dữ liệu quý cũng như
không có các giao dịch mua bán,… có thể trang bị một thiết bị an ninh tích
hợp(UTM) và bổ sung thêm module tường lửa cho ứng dụng web.
Các tính năng trong thiết bị an ninh tích hợp:

Tường lửa (Firewall): sẽ ngăn chặn các tấn công tại tầng mạng, các hành vi
dò quét vào hệ thống…
•
Ngăn chặn xâm nhập (IPS): sẽ loại bỏ các tấn công tập trung vào các điểm
yếu của phần mềm ứng dụng web, của phần mềm cơ sở dữ liệu, tấn công khai
thác điểm yếu của hệ điều hành.
•
Thành phần mạng riêng ảo: cho phép kết nối VPN giữa trụ sở chính và các
chi nhánh, và các nhân viên làm việc từ xa,…
•
Thành phần quét virus: loại bỏ worm, virus ẩn mình qua dịch vụ web và
mail,…
Thành phần tường lửa cho ứng dụng web bổ sung vào thiết bị an ninh tích hợp cho
phép ngăn chặn các tấn công tận dụng các điểm yếu của ứng dụng web.
•

2. Đối với các tổ chức/doanh nghiệp lớn
Đối với các tổ chức/doạnh nghiệp lớn thường có một hệ thống web với rất nhiều
dữ liệu quý mang tính chất sống còn đối với tổ chức/doanh nghiệp, đồng thời
thường xuyên diễn ra các giao dịch trực tuyến,… và đòi hỏi phải có độ an toàn, sẵn
sàng cao. Cần triển khai hệ thống với nhiều lớp bảo mật khác nhau, sử dụng các
công nghệ bảo mật hàng đầu trên thế giới. Có thể tích hợp các giải pháp dựa vào
dịch vụ web với các mô hình an toàn hiện có như:
-An toàn tầng vận tải:bao gồm các công nghệ,chẳng hạn như an toàn tầng
socket(SSL/TLS), có thể đảm bảo an toàn và bí mật point-to-point đối với các
thông báo.Mô hình an toàn dịch vụ web hỗ trợ sử dụng kết hợp các cơ chế vận
chuyển hiện có với WS-Security để đảm bảo toàn vẹn và bí mật end-to-end khi
thông báo đi qua nhiều nút tủng gian,dưới hình thức vận chuyển và giao thức
truyền.
-PKI:mô hình PKI bao gồm các cơ quan chứng thực(CA) phát hành các chứng chỉ

có chứa khóa công khai.Người sở hữu chứng chỉ sử dụng các khóa phiên để biểu
diễn nhiều claim,trong đó có định danh.Mô hình an toàn dịch vụ web hỗ trợ các thẻ
bài an toàn sử dụng các khóa công khai phi đối xứng.


-Kerberos: tin cậy vào trung tâm phân phối khóa,viết tắt là KDC(Key Distribution
Center).Mô hình dịch vụ web này được xây dựng trên các dịch vụ thẻ bào và mô
hình hạt nhân.
- Sử dụng mô hình UDDI để tin cậy hơn trogn quá tình xác thực.
Tuy nhiên để đảm bảo tính vận hành thì các adaptor,các thuật toán,… cần được
thỏa thuận và phát triển.