Nghiên cứu và triển khai mạng không dây sử dụng giao thức xác thực RADIUS (tt)

HỌC VIỆN CÔNG NGHỆ BƯU CHÍNH VIỄN THÔNG
---------------------------------------

LÊ THÙY LINH

NGHIÊN CỨU VÀ TRIỂN KHAI MẠNG KHÔNG DÂY SỬ DỤNG GIAO
THỨC XÁC THỰC RADIUS

Chuyên ngành: Hệ thống thông tin
Mã số: 848.01.04

TÓM TẮT LUẬN VĂN THẠC SĨ

HÀ NỘI – NĂM 2018


Luận văn được hoàn thành tại:
HỌC VIỆN CÔNG NGHỆ BƯU CHÍNH VIỄN THÔNG

Người hướng dẫn khoa học: ………………………………………………………
(Ghi rõ học hàm, học vị)

Phản biện 1: ………………………………………………………………………
Phản biện 2: ……………………………………………………………………..

Luận văn sẽ được bảo vệ trước Hội đồng chấm luận văn thạc sĩ tại Học viện Công
nghệ Bưu chính Viễn thông
Vào lúc: ....... giờ ....... ngày ....... tháng ....... .. năm ...............
Có thể tìm hiểu luận văn tại:
- Thư viện của Học viện Công nghệ Bưu chính Viễn thông

i

MỤC LỤC
MỞ ĐẦU ..................................................................................................................................1
CHƯƠNG 1. TỔNG QUAN VỀ MẠNG KHÔNG DÂY .......................................................3
1.1

Giới thiệu mạng không dây ........................................................................................3

1.1.1 Định nghĩa ..............................................................................................................3
1.1.2. Lịch sử hình thành và phát triển .............................................................................3
1.1.3 Ưu điểm và nhược điểm của mạng WLAN ............................................................3
1.1.4. Ứng dụng của mạng không dây ..............................................................................4
1.2.

Nguyên tắc hoạt động của mạng WLAN ..................................................................4

1.3

Các chuẩn thông dụng của mạng WLAN .................................................................4

1.3.1. Chuẩn 802.11a. ........................................................................................................5
1.3.2. Chuẩn 802.11b. ........................................................................................................5
1.3.3. Chuẩn 802.11g. ........................................................................................................5
1.3.4. Chuẩn 802.11n. ........................................................................................................5
1.3.5. Chuẩn 802.11ac. ......................................................................................................5
1.3.6. Chuẩn 802.11 AD(WiGig): .....................................................................................5
1.3.7. Chuẩn Wi-Fi 802.11ah (HaLow) .............................................................................5
1.4.

Cơ sở hạ tầng mạng WLAN .......................................................................................5

1.4.1. Cấu trúc cơ bản của mạng WLAN ..........................................................................6
1.4.2. Các thiết bị hạ tầng mạng không dây ......................................................................6
1.4.3. Các mô hình kết nối của mạng không dây. .............................................................6
1.5.

Các nguy cơ tấn công mạng không dây ......................................................................7

1.5.1. Rogue Access Point. (Tấn công giả mạo) ...............................................................7
1.5.2. Tấn công yêu cầu xác thực lại. (De-authentication Flood Attack) ..........................8
1.5.3. Fake Access Point....................................................................................................8
1.5.4. Tấn công dựa trên sự cảm nhận sóng mang lớp vật lý. ...........................................8
1.5.5. Tấn công ngắt kết nối (Disassocition flood attack) .................................................8
1.5.6. Một số dạng tấn công khác: .....................................................................................9
1.6.

Các giải pháp bảo mật mạng WLAN ..........................................................................9

1.6.1 Các kỹ thuật bảo mật sử dụng cơ chế điều khiển truy nhập ………………………9
1.6.1.1. Lọc SSID (Service Set Identifier).........................................................................9


ii

1.6.2. Các kỹ thuật bảo mật sử dụng phương thức mã hóa Encryption ..........................10
1.6.3 Sử dụng giải pháp VPN (Virtual Private Network). ..............................................10
1.6.4 . Phương thức bảo mật sử dụng công nghệ tường lửa Firewall.............................10
1.6.5. Hệ thống phát hiện xâm nhập không dây (Wireless IDS) .....................................11

1.6.6. Kiểm soát xác thực người dùng. ............................................................................11
1.7.

Kết chương................................................................................................................11

2.1. Giao thức Radius là gì? ...............................................................................................12
2.2. Tính chất của giao thức Radius ....................................................................................12
2.3. Quá trình trao đổi gói tin trong Radius ........................................................................12
2.3.1 Xác thực, cấp phép và kiểm toán............................................................................12
2.3.2 Sự bảo mật và tính mở rộng ...................................................................................13
2.3.3 Áp dụng RADIUS cho WLAN ..................................................................................13
2.4. Giao thức RADIUS 1. ..................................................................................................13
2.4.1 Cơ chế hoạt động. ..................................................................................................13
2.4.2. Packet format. ........................................................................................................14
2.4.3. Packet type. ............................................................................................................14
2.5. Giao thức RADIUS 2. ..................................................................................................15
2.5.1. Cơ chế hoạt động. ..................................................................................................15
2.5.2. Packet Format. .......................................................................................................15
2.6. Kết chương ..................................................................................................................16
CHƯƠNG 3: TRIỂN KHAI HỆ THỐNG BẢO MẬT WLAN SỬ DỤNG GIAO THỨC
XÁC THỰC RADIUS ...........................................................................................................17
3.1 Mô tả hệ thống .............................................................................................................17
3.2 Cài đặt thử nghiệm và đánh giá kết quả........................................................................17
3.3. Kết chương ..................................................................................................................20
1. Những đóng góp của luận văn...................................................................................21
2. Hướng phát triển của luận văn ..................................................................................21


1

MỞ ĐẦU
Ngày nay, trước sự phát triển vượt bậc trên mọi lĩnh vực của Khoa Học Kỹ Thuật thì
ngành Công Nghệ Thông Tin cũng đã và đang chiếm một vị trí vô cùng to lớn trong Xã Hội.
Kéo theo đó là các ngành Công Nghiệp, Thương Mại, Viễn Thông… điều phát triển theo và
lấy Công Nghệ Thông Tin làm nền tảng.
Với tốc độ phát triển và không ngừng cải tiến của công nghệ mạng. Mọi người, từ công
nhân cho đến những người chủ, từ sinh viên đến giáo viên, tổ chức doanh nghiệp cũng như
chính phủ, tất cả đều có nhu cầu kết nối mọi lúc, mọi nơi. Vì vậy, mạng WLAN ra đời để đáp
ứng nhu cầu trên
Mạng WLAN ra đời thực sự là một bước tiến vượt bật của công nghệ mạng, đây là
phương pháp chuyển giao từ điểm này sang điểm khác sử dụng sóng vô tuyến. Và hiện nay
đã phổ biến trên toàn thế giới, mang lại rất nhiều lợi ích cho người sử dụng, nhất là khả năng
di động của nó. Ở một số nước có nền thông tin công nghệ phát triển, mạng không dây thực
sự đi vào cuộc sống. Chỉ cần có một Laptop, PDA hoặc một thiết bị truy cập không dây bất
kỳ, chúng ta có thể truy cập vào mạng không đây ở bất kỳ nơi đâu, trên cơ quan, trong nhà,
trên máy bay, ở quán Coffe… ở bất kỳ đâu trong phạm vi phủ sóng của WLAN.
Với các tính năng ưu việt cùng khả năng triển khai nhanh chóng, giá thành ngày càng
giảm, mạng WLAN đã trở thành một trong những giải pháp cạnh tranh có thể thay thế mạng
Ethernet LAN truyền thống.Tuy nhiên sự tiện lợi của mạng không dây cũng đặt ra thử thách
lớn về đảm bảo an toàn anh ninh cho mạng không dây đối với các nhà quản trị mạng. Ưu thế
về sự tiện lợi của kết nối không dây có thể bị giảm sút do những khó khăn nảy sinh trong quá
trình bảo mật mạng. Phương tiện truyền tin của WLAN là sóng vô tuyến và chỉ cần thiết bị
thu nằm trong trong vùng phủ sóng là có khả năng truy cập vào mạng. Nếu chúng ta không
khắc phục được điểm yếu này thì môi trường mạng không dây sẽ trở thành mục tiêu của
những hacker xâm phạm, gây ra những sự thất thoát về thông tin, tiền bạc… Chính vì vậy vấn
đề ở đây đặt ra là cần phải bảo mật cho mạng không dây. Đi đôi với sự phát triển mạng không
giây phải phát triển các khả năng bảo mật, để cung cấp thông tin hiệu quả, tin cậy cho người
sử dụng Trong luận văn này tôi sẽ trình bày về phương pháp bảo mật mạng WLAN sử dụng
giao thức xác thực Radius.
Khi người sử dụng muốn truy nhập vào mạng WLAN mong muốn, khi đó quá trình

xác thực của client sẽ được thực hiện trên RADIUS server. RADIUS server quản lý tập trung


2

toàn bộ người dùng của WLAN. Máy client sẽ không được phép truy cập vào mạng nếu chưa
được xác thực.
Đối tượng và phạm vi nghiên cứu
Đối tượng nghiên cứu: mạng không dây WLAN và các hình thức tấn công
vào mạng không dây. Sử dụng phương thức xác thực Radius Server để ngăn chặn
tấn công.
Phạm vi nghiên cứu: Giới hạn trong hệ thống mạng dựa trên TCP/IP., mạng
WLAN trên hệ điều hành Windows
Bố cục của luận văn gồm phần mở đầu và 3 chương nội dung cụ thể là:
Chương 1: Tổng quan về mạng không dây
Trình bày tổng quan về mạng không dây, nguyên tắc hoạt động mạng không dây, các
chuẩn thông dụng của mạng không dây, cơ sở hạ tầng mạng không dây, các nguy cơ tấn
công và biên pháp phòng chống.
Chương 2: Giao thức Radius
Trình bày một cách chi tiết về giao thức xác thực Radius: tính chất của giao thức Radius,
quy trình trao trổi gói tin và cơ chế hoạt động của giao thức Radius
Chương 3: Triển khai hệ thống bảo mật WLAN sử dụng giao thức xác thực
Radius
Trình bày giải pháp triển khai hệ thống bảo mật WLAN sử dụng giao thức xác thực
Radius. Từ đó đưa ra kết luận


3

CHƯƠNG 1. TỔNG QUAN VỀ MẠNG KHÔNG DÂY

1.1Giới thiệu mạng không dây
1.1.1. Định nghĩa
Mạng không dây (Wireless Local Area Network – WLAN), là một mạng dùng để
kết nối hai hay nhiều máy tính với nhau mà không cần sử dụng dây dẫn. WLAN dùng
công nghệ trải phổ, sử dụng sóng vô tuyến cho phép truyền thông giữa các thiết bị trong
một vùng nào đó còn được gọi là Basic Service Set. Nó giúp cho người sử dụng có thể di
chuyển trong một vùng bào phủ rộng mà vẫn kết nối được với mạng.

1.1.2. Lịch sử hình thành và phát triển
Công nghệ WLAN lần đầu tiên xuất hiện vào cuối năm 1990, khi những nhà sản xuất
giới thiệu những sản phẩm hoạt động trong băng tần 900Mhz.
Năm 1992, những nhà sản xuất bắt đầu bán những sản phẩm WLAN sử dụng băng
tần 2.4Ghz.
Năm 1997, Institute of Electrical and Electronics Engineers (IEEE) đã phê chuẩn sự ra
đời của chuẩn 802.11 với phương pháp truyền tín hiệu vô tuyến ở tần số 2.4Ghz.
Năm 1999, IEEE thông qua hai sự bổ sung cho chuẩn 802.11 là các chuẩn 802.11a và
802.11b
Năm 2003, IEEE công bố thêm một sự cải tiến đó là chuẩn 802.11g
Năm 2009, IEEE thông qua chuẩn WiFi thế hệ mới 802.11n
Được phát triển từ năm 2011 đến 2013, đến tháng 1 năm 2014 chuẩn IEEE 802.11ac
đã được phê duyệt và đưa vào sử dụng.
Chuẩn 802.11ad (WiGig) là tiêu chuẩn dựa trên công nghệ được tạo ra bởi Liên minh
WiGig (Wireless Gigabit) (năm 2013, Liên minh WiGig sáp nhập với Liên minh Wifi).
Đầu năm 2016, Hiệp hội Wi-Fi Quốc tế Wi-Fi Alliance vừa chính thức phê
duyệt chuẩn Wi-Fi 802.11ah

1.1.3 Ưu điểm và nhược điểm của mạng WLAN
1.1.3.1. Ưu điểm.
-

Sự tiện lợi

-

Khả năng di động

-

Hiệu quả


4

-

Triển khai

-

Khả năng mở rộng

1.1.3.2. Nhược điểm
- Bảo mật
- Phạm vi
- Độ tin cậy
- Nhiễu
- Tóc độ
1.1.4. Ứng dụng của mạng không dây
-

Cung cấp khả năng truy cập mạng một cách linh hoạt

-

Mở rộng mạng tại các khu vực đặc biệt

-

Cung cấp dịch vụ truy cập mạng không dây

-

Sử dụng cho văn phòng quy mô nhỏ

-

Sử dụng trong tình huống cần thiết lập mạng trong thời gian ngắn, thiết lập đơn
giản nhanh chóng

-

Sử dụng trong các nhà máy, nhà kho, bệnh viện

-

Cung cấp khả năng truy cập mạng ở nơi công cộng

1.2. Nguyên tắc hoạt động của mạng WLAN
Mạng WLAN sử dụng sóng điện từ (vô tuyến và tia hồng ngoại) để truyền thông tin
từ điểm này sang điểm khác mà không dựa vào bất kỳ kết nối vật lý nào. Các sóng vô tuyến

thường là các sóng mang vô tuyến bởi vì chúng thực hiện chức năng phân phát năng lượng
đơn giản tới máy thu ở xa. Dữ liệu truyền được chồng lên trên sóng mang vô tuyến để nó
được nhận lại đúng ở máy thu. Đó là sự điều biến sóng mang theo thông tin được truyền. Một
khi dữ liệu được chồng (được điều chế) lên trên sóng mang vô tuyến, thì tín hiệu vô tuyến
chiếm nhiều hơn một tần số đơn, vì tần số hoặc tốc độ truyền theo bit của thông tin biến điệu
được thêm vào sóng mang.

1.3 Các chuẩn thông dụng của mạng WLAN
Hiện nay tiêu chuẩn chính cho Wireless là một họ giao thức truyền tin qua mạng không
dây IEEE 802.11. Do việc nghiên cứu và đưa ra ứng dụng rất gần nhau nên có một số giao
thức đã thành chuẩn thế giới. Một số chuẩn thông dụng: 802.11a, 802.11b, 802.11g, 802.11g,


5

802.11n, 802.11ac.

1.3.1. Chuẩn 802.11a.
Chuẩn 802.11a hỗ trợ băng thông lên đến 54 Mbps và tín hiệu trong một phổ tần số
quy định quanh mức 5GHz.

1.3.2. Chuẩn 802.11b.
Chuẩn này hỗ trợ băng thông lên đến 11Mbps, tương đương với Ethernet truyền thống.

1.3.3. Chuẩn 802.11g.
802.11g là một nỗ lực để kết hợp những ưu điểm của chuẩn 802.11a và 802.11b. Nó
hỗ trợ băng thông lên đến 54Mbps và sử dụng tần số 2.4 Ghz để có phạm vi rộng. 802.11g có
khả năng tương thích với các chuẩn 802.11b.

1.3.4. Chuẩn 802.11n.

802.11n (đôi khi được gọi tắt là Wireless N) được thiết kế để cải thiện cho 802.11g
trong tổng số băng thông được hỗ trợ bằng cách tận dụng nhiều tín hiệu không dây và các
anten (công nghệ MIMO); cung cấp băng thông tối đa lên đến 300Mbps

1.3.5. Chuẩn 802.11ac.
802.11ac sử dụng công nghệ không dây băng tần kép, hỗ trợ các kết nối đồng thời trên
cả băng tần 2.4 GHz và 5 GHz. 802.11ac cung cấp khả năng tương thích ngược với các chuẩn
802.11b, 802.11g, 802.11n và băng thông đạt tới 1.300 Mbps trên băng tần 5 GHz, 450 Mbps
trên 2.4GHz. Chuẩn 802.11.ac có luồng dữ liệu được truyền đi với công nghệ đa Anten lên
đến 8 luồng dữ liệu (Spatial streams), nhiều người dùng MIMO (multi-user MIMO) và dùng
cho nơi có mật độ người dùng cao(lên đến 256-QAM)

1.3.6.

Chuẩn 802.11 AD(WiGig):

Tần số của chuẩn wifi 802.11ad khoảng 60 GHz

1.3.7.

Chuẩn Wi-Fi 802.11ah (HaLow)

Chuẩn HaLow hoạt động ở dải tần không dây không cần cấp phép dưới 1 GHz vì vậy
khả năng xuyên qua các vật cản tốt hơn bên cạnh phạm vi phủ sóng rộng hơn so với chuẩn
WiFi phổ biến hiện nay (WiFi a/b/g/n/ac).

1.4.

Cơ sở hạ tầng mạng WLAN

6

1.4.1.

Cấu trúc cơ bản của mạng WLAN



Distribution System (Hệ thống phân phối



Access Point.



Wireless Medium (tầng liên lạc vô tuyến



Station (các máy trạm)

1.4.2. Các thiết bị hạ tầng mạng không dây
1.4.2.1 Card mạng không dây (Wireless NIC)
Máy tính sử dụng card mạng không dây để giao tiếp với mạng không dây bằng cách
điều chế tín hiệu dữ liệu với chuỗi trải phổ và thực hiện một giao thức CSMA/CA (Carrier
Sense Multiple Access with CollISIon Avoidance) và làm việc ở chế độ bán song công (halfduplex).

1.4.2.2 Điểm truy cập: AP (Access Point)

Access Point (điểm truy cập) cung cấp cổng truy cập cho máy trạm khi muốn kết nối
vào WLAN

1.4.2.3. Cầu nối không dây WB (Wireless Bridge)
Wireless Bridge cung cấp một kết nối giữa hai đoạn mạng LAN có dây, và nó được sử
dụng cả trong mô hình điểm - điểm và điểm - đa điểm.

1.4.2.4. Anten thiết bị không dây (Antenna)
Anten là một thiết bị dùng để chuyển đổi tín hiệu cao tần trên đường truyền thành
sóng truyền trong không khí.

1.4.2.5. Các thiết bị máy khách trong WLAN
Là những thiết bị WLAN được các máy khách sử dụng để kết nối vào WLAN.
Ngoài các thiết bị trên, trong mạng WLAN còn có các thiết bị khác như: bộ định tuyến
không dây (Wireless Router), bộ lặp không dây (Wireless Repeater)...

1.4.3. Các mô hình kết nối của mạng không dây.
Mạng 802.11 rất linh hoạt về thiết kế, bao gồm 3 mô hình cơ bản sau


Mô hình mạng độc lập (IBSSs) hay còn gọi là mạng Ad-hoc.



Mô hình mạng cơ sở (BSSs).



Mô hình mạng mở rộng (ESSs).

1.4.3.1. Mô hình mạng AD HOC (Independent Basic Service Sets (IBSSs))


7

Hình 1.1 Mô hình mạng AD HOC.

1.4.3.2. Mô hình mạng cơ sở (Basic service sets (BSSs))

Hình 1.2 Mô hình mạng cơ sở

1.4.3.3. Mô hình mạng mở rộng (ESSs).

Hình 1.3 Mô hình mạng ESS

1.5.

Các nguy cơ tấn công mạng không dây
1.5.1. Rogue Access Point. (Tấn công giả mạo)
1.5.1.1. Định nghĩa.

Access Point giả mạo được dùng để mô tả những Access Point được tạo ra một cách


8

vô tình hay cố ý làm ảnh hưởng đến hệ thống mạng hiện có. Nó được dùng để chỉ các thiết bị
hoạt động không dây trái phép mà không quan tâm đến mục đích sử dụng của chúng.

1.5.1.2. Phân loại.

-

Access Point được cấu hình không hoàn chỉnh:

-

Access Point giả mạo từ các mạng WLAN lân cận

-

Access Point giả mạo do kẻ tấn công tạo ra:

1.5.2. Tấn công yêu cầu xác thực lại. (De-authentication Flood Attack)
-

Kẻ tấn công xác định mục tiêu tấn công là các người dùng trong mạng wireless và các
kết nối của họ.

-

Chèn các frame yêu cầu xác thực lại vào mạng WLAN bằng cách giả mạo địa chỉ MAC
nguồn và đích lần lượt của Access Point và các người dùng.

-

Người dùng wireless khi nhận được frame yêu cầu xác thực lại thì nghĩ rằng chúng do
Access Point gửi đến.

-

Sau khi ngắt được một người dùng ra khỏi dịch vụ không dây, kẻ tấn công tiếp tục thực
hiện tương tự đối với các người dùng còn lại.

-

Thông thường thì người dùng sẽ kết nối lại để phục hồi dịch vụ, nhưng kẻ tấn công đã
nhanh chóng gửi các gói yêu cầu xác thực lại cho người dùng.

1.5.3. Fake Access Point.
Kẻ tấn công sử dụng công cụ có khả năng gửi các gói beacon với địa chỉ vật lý (MAC)
giả mạo và SSID giả để tạo ra vô số các Access Point giả lập. Điều này làm xáo trộn tất cả
các phần mềm điều khiển card mạng không dây của người dùng.

1.5.4. Tấn công dựa trên sự cảm nhận sóng mang lớp vật lý.
Kẻ tấn công lợi dụng giao thức chống đụng độ CSMA/CA, tức là nó sẽ làm cho tất cả
người dùng nghĩ rằng lúc nào trong mạng cũng có một máy đang truyền thông. Điều này làm
cho các máy tính khác luôn luôn ở trạng thái chờ đợi kẻ tấn công ấy truyền dữ liệu xong, dẫn
đến tình trạng nghẽn trong mạng.

1.5.5. Tấn công ngắt kết nối (Disassocition flood attack)
-

Kẻ tấn công xác định mục tiêu (wireless cliens) và mối liên kết giữa AP với các client.

-

Kẻ tấn công gửi disassociation frame bằng cách giả mạo source và Destination MAC
đến AP và các clien tương ứng.

9

-

Client sẽ nhận các frame này và nghĩ rằng frame hủy kết nối đến từ AP. Đồng thời kẻ
tấn công cũng gửi gói disassociation frame đến AP.

-

Sau khi đã ngắt kết nối của một client, kẻ tấn công tiếp tục thực hiện tương tự với các
client còn lại làm cho các client tự động ngắt kết nối với AP.

-

Khi các client bị ngắt kết nối sẽ thực hiện kết nối lại với AP ngay lập tức. Kẻ tấn công
tiếp tục gửi gói disassociation frame đến AP và client.

1.5.6. Một số dạng tấn công khác:


Tấn công bị động- Nghe trộm (Passive Attack -Eavesdropping)



Tấn công chủ động (Active Attack):



Tấn công kiểu gây nghẽn, chèn ép (Jamming Attack):

1.6. Các giải pháp bảo mật mạng WLAN
1.6.1 Các kỹ thuật bảo mật sử dụng cơ chế điều khiển truy nhập (Device
Authorization)
Tất cả các kỹ thuật này đều sử dụng cơ chế lọc (Filtering). Lọc tức là cho phép những
cái mong muốn và ngăn cấm những cái không mong muốn.
Có 3 kiểu lọc cơ bản có thể được sử dụng trong Wireless Client:
+ Lọc SSID.
+ Lọc địa chỉ MAC.
+ Lọc giao thức.
1.6.1.1. Lọc SSID (Service Set Identifier)
Lọc SSID là một phương thức cơ bản của lọc và chỉ nên được sử
dụng cho việc điều khiển truy cập cơ bản.
1.6.1.2 Lọc địa chỉ MAC
WLAN có thể lọc dựa vào địa chỉ MAC của các client.
1.6.1.3 Lọc giao thức:
Mạng Lan không dây có thể lọc các gói đi qua mạng dựa trên các
giao thức từ lớp 2 đến lớp 7.


10

1.6.2. Các kỹ thuật bảo mật sử dụng phương thức mã hóa Encryption
1.6.2.1. Phương pháp bảo mật WEP (Wired Equivalent Privacy).
Bước 1: Client gửi đến AP yêu cầu xin chứng thực.
Bước 2: AP sẽ tạo ra một chuỗi mời kết nối ngẫu nhiên gửi đến Client.
Bước 3: Client nhận được chuỗi này sẽ mã hóa chuỗi bằng thuật toán RC4 theo mã
khóa mà Client được cấp, sau đó Client gửi lại cho AP chuỗi đã mã hóa.
Bước 4: AP sau khi nhận được chuỗi đã mã hóa của Client, nó sẽ giải mã lại bằng thuật
toán RC4 theo mã khóa đã cấp cho Client, nếu kết quả giống với chuỗi ban đầu mà nó gửi
cho Client thì có nghĩa là Client đã có mã khóa đúng và AP sẽ chấp nhận quá trình chứng

thực của Client và cho phép thực hiện kết nối.

1.6.2.2. Bảo mật bằng WPA (Wifi Protected Access).
WPA cũng sử dụng thuật toán RC4 như WEP, nhưng mã hóa đầy đủ 128 bit và chiều
dài của IV là 48 bit. Và một đặc điểm khác là WPA thay đổi khóa cho mỗi gói tin. Các công
cụ thu thập các gói tin để khóa phá mã hóa đều không thể thực hiện được với WPA. Bởi WPA
thay đổi khóa liên tục nên hacker không bao giờ thu thập đủ dữ liệu mẫu để tìm ra mật khẩu.

1.6.2.3. Bảo mật bằng WPA2.
WPA2 là một chuẩn ra đời sau WPA và được kiểm định lần đầu tiên vào ngày
1/9/2004. WPA2 (Wifi Protected Access – version 2) thường được gọi là 802.11i, là phiên
bản kế tiếp của WPA, được chứng nhận bởi Wi-Fi Alliance. Chuẩn này sử dụng thuật toán
mã hóa mạnh mẽ và được gọi là Chuẩn mã hóa nâng cao AES ( Advanced Encyption
Standard). AES sử dụng thuật toán mã hóa đối xứng theo khối Rijndael, sử dụng khối mã hóa
128 bit và 192 bit hoặc 256 bit.

1.6.3 Sử dụng giải pháp VPN (Virtual Private Network).
VPN là một mạng riêng sử dụng hệ thống mạng công cộng (thường là Internet) để kết
nối các địa điểm hoặc người sử dụng từ xa với một mạng LAN ở trụ sở trung tâm. Thay vì
dùng kết nối thật khá phức tạp như đường dây thuê bao số, VPN tạo ra các liên kết ảo được
truyền qua Internet giữa mạng riêng của một tổ chức với địa điểm hoặc người sử dụng ở xa

1.6.4 . Phương thức bảo mật sử dụng công nghệ tường lửa Firewall
Firewall là một kỹ thuật được tích hợp vào hệ thống mạng để chống lại sự truy cập trái


11

phép nhằm bảo vệ các nguồn thông tin nội bộ cũng như hạn chế sự xâm nhập vào hệ thống
của một số thông tin khác không mong muốn.

1.6.5. Hệ thống phát hiện xâm nhập không dây (Wireless IDS)
Nhiệm vụ của WIDS là:
+ Giám sát và phân tích các hoạt động của người dùng và hệ thống.
+ Nhận diện các loại tấn công đã biết.
+ Xác định các hoạt động bất thường của hệ thống mạng.
+ Xác định các chính sách bảo mật cho WLAN.
+ Thu thập tất cả truyền thông trong mạng không dây và đưa ra các cảnh báo dựa trên
những dấu hiệu đã biết hay sự bất thường trong truyền thông.

1.6.6. Kiểm soát xác thực người dùng.
Kiểm soát sự xác thực người sử dụng là bước tiếp theo sau khi được truy nhập vào
mạng. Người sử dụng muốn truy nhập vào các tài nguyên của mạng thì sẽ phải được xác
nhận bởi hệ thống bảo mật.

1.7.

Kết chương

Chương 1 đã trình bày tổng quan về WLAN, các nguy cơ tấn công mạng không dây
và các giải pháp bảo mật:
+ Đưa ra khái niệm WLAN, lịch sử phát triển mạng WLAN, nguyên tắc hoạt động
mạng WLAN
+ Các thiết bị cơ bản, các mô hình, cấu trúc trong WLAN
+ Đề cập các chuẩn IEEE dùng trong WLAN. Theo đó, tốc độ và phạm vi phủ sóng,
cũng như việc sử dụng các kỹ thuật mã hóa, trải phổ…trong mạng WLAN là do việc sử dụng
chuẩn IEEE nào quy định.
+ Các nguy cơ tấn công mạng không dây và các giải pháp bảo mật mạng WLAN
Sau khi có một cái nhìn tổng quát về WLAN, trong chương 2 trình bày giao thức
Raidus Server sẽ được sử dụng để bảo mật cho mạng WLAN

12

CHƯƠNG 2: GIAO THỨC RADIUS
2.1. Giao thức Radius là gì?
RADIUS là một giao thức sử dụng rộng rãi cho phép xác thực tập trung, ủy quyền và
kiểm toán truy cập cho mạng. Ban đầu được phát triển cho thiết lập kết nối từ xa. Radius
bây giờ thì hỗ trợ cho máy chủ VPN, các điểm truy cập không dây, chứng thực chuyển
mạch internet, truy cập DSL, và các loại truy cập mạng khác.

2.2. Tính chất của giao thức Radius
RADIUS thực ra là một giao dịch được xây dựng trên giao thức có các tính chất chính
như sau:
Nếu như yêu cầu (request) gửi tới máy chủ xác nhận quyền sơ cấp (primary
authentication server) thất bại, thì yêu cầu này phải được gửi tới máy chủ sơ cấp (secondary
server).
Các đòi hỏi về thời gian của RADIUS rất khác biệt so với TCP
Trạng thái rất tự do của RADIUS đã đơn giản hóa việc sử dụng UDP.

2.3. Quá trình trao đổi gói tin trong Radius
2.3.1 Xác thực, cấp phép và kiểm toán
Giao thức RADIUS được định nghĩa trong RFC 2865: với khả năng cung cấp xác
thực tập trung, cấp phép và điều khiển truy cập (Authentication, Authorization, Accounting
– AAA) cho các phiên làm việc với SLIP và PPP Dial-up như việc cung cấp xác thực của
các nhà cung cấp dịch vụ Internet (ISP) đều dựa trên giao thức này để xác thực người dùng
khi họ truy cập Internet. Nó cần thiết trong tất cả các Network Acess Server (NAS) để làm
việc với danh sách các tên người dùng và mật khẩu cho việc cấp phép, RADIUS AccessRequest sẽ chuyển các thông tin tới một Authentication Server, thông thường nó là một
AAA Server.

13

Hình 2.4 Quá trình trao đổi gói tin trong RADIUS

2.3.2 Sự bảo mật và tính mở rộng
Tất cả các message của RADIUS đều được đóng gói bởi UDP datagrams, nó bao gồm
các thông tin như: message type, sequence number, length, Authenticator, và một loạt các
Attribute-Value.

2.3.3 Áp dụng RADIUS cho WLAN
Trong một mạng WLAN sử dụng 802.11x port access control, các máy trạm sử dụng
Wireless đóng vai trò Remote Access và Wireless Access Point làm việc như một NASNetwork Access Server. Để thay thế việc kết nối đến NAS với dial-up như giao thức PPP,
Wireless station kết nối đến AP bằng việc sử dụng giao thức 802.11

2.4. Giao thức RADIUS 1.
2.4.1 Cơ chế hoạt động.
Khi một client được cấu hình để sử dụng RADIUS, thì bất kỳ user nào của client đều
giới thiệu những thông tin xác nhận quyền với client. Đó có thể là dấu nhắc lệnh đăng ký vào
mạng yêu cầu user nhập username và password. User có thể lựa chọn việc sử dụng protocol
thích hợp để thực hiện giới thiệu những thông tin này các gói dữ liệu chẳng hạn như PPP.


14

2.4.2. Packet format.
Một cách chính xác, một gói RADIUS được bao bọc trong trường dữ liệu của gói UDP,
và trường địa chỉ đích có số hiệu cổng là 1812. Khi gói trả lời được tạo ra, số hiệu cổng của
địa chỉ nguồn và đích được bảo lưu.
Một gói dữ liệu của RADIUS được xác định như sau:

 Code: Code field là một octet, và xác định kiểu gói của RADIUS. Khi một gói có
mã không hợp lệ sẽ không được xác nhận
 Identifier (Trường định danh )
Indentifier field là một octet, và phù hợp với việc hỗ trợ yêu cầu và trả lời. Các máy
chủ RADIUS có thể phát hiện một yêu cầu trùng lặp, nếu có các client có cùng một địa chỉ IP
nguồn và UDP port và định danh trong một thời gian ngắn.
 Length
Length field là hai octet và cho biết toàn bộ chiều dài của gói và thông điệp RADIUS
 Authenticator
Trường authenticator là 16 octet và chứa thông tin mà máy khách và máy chủ RADIUS
sử dụng để xác thực lẫn nhau

2.4.3. Packet type.
Packet type được xác định bởi code field chiếm byte đầu tiên của gói RADIUS.
 Access-Request
Gói access-request được gửi tới RADIUS server. Nó chuyên chở thông tin dùng để xác
định xem user có được phép truy cập vào NAS và các dịch vụ được chỉ định hay không.
 Access-accept
Gói access-accept được gửi trả bởi RADIUS server khi tất cả các giá trị thuộc tính của
gói access-request thỏa mãn
 Access-reject
Gói access-reject được gửi trả từ RADIUS server khi có giá trị thuộc tính không được
thỏa mãn
 Access-challenge


15

Gói access-challenge được RADIUS server gửi đến user đòi hỏi thêm thông tin cần
thiết mà user phải trả lời.

 Attributes (các thuộc tính)
Các thuộc tính của RADIUS, chứa trong các gói yêu cầu/ trả lời, mang thông tin xác
thực quyền, phân quyền, cấu hình cần thiết để cấp phát các dịch vụ cho user.
Dạng của thuộc tính như sau
 Type
 Length (trường độ dài)
 Value (trường giá trị)

2.5. Giao thức RADIUS 2.
2.5.1. Cơ chế hoạt động.
Khi client được cài đặt để sử dụng RADIUS Accouting, thì lúc bắt đầu cấp phát dịch
vụ client sẽ sinh ra một gói “bắt đầu cấp phát tài khoản” mô tả kiểu của dịch vụ sẽ được cấp
phát và user sẽ được cấp phát dịch vụ đó; sau đó gửi gói này đến RADIUS accouting server
mà tới lượt nó sẽ gửi lại một thông báo nhận biết là gói đã được nhận. Lúc kết thúc cấp phát
dịch vụ client sẽ sinh ra một gói “kết thúc cấp phát tài khoản” mô tả kiểu dịch vụ đã được cấp
phát và các thông tin thống kê có thể lọc dựa như thời gian trôi qua, các byte nhập/ xuất, các
gói nhập/xuất; sau đó gửi gói này đến RADIUS accouting server mà tới lượt nó sẽ gửi lại một
thông báo nhận biết là gói đã nhận được.

2.5.2. Packet Format.
Giống như giao thức RADIUS 1, giao thức RADIUS 2 cũng có 4 trường: code,
indentifier, length, authentication.
Trường code chỉ có hai giá trị 4 và 5 đặc trưng cho hai kiểu gói accouting-request và
accouting-response.
Thuộc tính user-password chứa trong các gói access-request hoặc access-challenge,
đặc trưng cho mật khẩu (password) của user, sẽ được ẩn trong khi truyền tới RADIUS server.
Giả sử gọi “thông tin bí mật chung” là S, giá trị của trường xác định yêu cầu (request
authentication) 128 bit là RA. Chia mật khẩu đã được lắp đầy bởi các ký tự NULL (nếu cần)

16

thành các phần con (chunks) p1, p2…Gọi các khối mật mã dạng văn bản (ciphertext blocks)
là c(1), c(2),…và các giá trị trung gian là b1, b2…Dấu + là phép cộng chuỗi.
b1 = MD5(S + RA)

c(1) = p1 xor b1

b2 = MD5(S + c(1))

c(2) = p2 xor b2

.

.

.

.

.

.

bi = MD5(S + c(i-1)) c(i) = pi xor bi
The String will contain c(1)+c(2)+...+c(i) where + denotes concatenation.
Khi gói RADIUS được nhận, quá trình sẽ diễn ra ngược lại trong quá trình giải mã.

2.6. Kết chương
Trong chương này, chúng ta đã hiểu được máy chủ RADIUS là gì, quy trình trao đổi

gói tin trong Radius Server như thế nào. Với cơ sở tập trung - Giải pháp sử dụng RADIUS
cho mạng WLAN là rất quan trọng bởi nếu một hệ thống mạng có rất nhiều Access Point việc
cấu hình để bảo mật hệ thống này là rất khó nếu quản lý riêng biệt, người dùng có thể xác
thực từ nhiều Access Point khác nhau và điều đó là không bảo mật. Khi sử dụng RADIUS
cho WLAN mang lại khả năng tiện lợi rất cao, xác thực cho toàn bộ hệ thống nhiều Access
Point, … cung cấp các giải pháp thông minh hơn. Trong chương 3 sẽ triển khai cấu hình
RADIUS để bảo mật mạng WLAN với mô hình nhỏ.


17

CHƯƠNG 3: TRIỂN KHAI HỆ THỐNG BẢO MẬT
WLAN SỬ DỤNG GIAO THỨC XÁC THỰC RADIUS
3.1 Mô tả hệ thống
Mô tả yêu cầu:


Cấu hình RADIUS server trên Window Server 2008 Enterprise, tạo user

và password cho các client tham gia vào hệ thống


Trên AP TP-Link (TL-WR841N), thiết đặt bảo mật mạng không dây

là WPA/WPA2 - Doanh nghiệp và có hỗ trợ WPA2-Enterprise


Kết nối network giữa access point và Window server 2008 phải thông

xuốt, không bị chặn bởi firewall.



Cho PC tham gia vào mạng, kiểm tra kết nối.

Thiết bị yêu cầu:


1 Access point

TP-Link (TL-WR841N) với địa chỉ IP LAN là

192.168.45.1


1 pc sử dụng hệ điều hành Windows 7 Ultimate bản 32 bit và có gắn card

wireless để kết nối Wifi.
Cài máy ảo Vmware trên PC và cài hệ điều hành Windows Server 2008 Enterprisec có
Ram tối thiểu là 1GB trên máy ảo. Windows Server 2008 Enterprise đã được nâng lên Domain
Controller

3.2 Cài đặt thử nghiệm và đánh giá kết quả
3.2.1. Cấu hình RAIDUS Server.
3.2.1.1 Cấu hình địa chỉ IP cho windows server
-

Ở đây đặt địa chỉ IP của Window Server 2008 là 192.168.45.11; điạ chỉ Subnet mask
là 255.255.255.0; Default gateway để địa chỉ 192.168.45.1 là địa chỉ của AP. Tại DNS
đặt trỏ Prefer DNS về chính nó.

-

Sau đó kiểm tra kết nối từ AP đến Server và từ Server đến AP

3.3.1.2. Thực hiện cài đặt và cấu hình dịch vụ cho hệ thống
Thực hiện cài đặt Active Directory Certificate Services (CA), NAP(Network
Policy and Access Services), Web Server Role (IIS) và cấu hình DHCP


18

3.2.1.3. Thực hiện tạo người dùng xác thực vào hệ thống
-

Tạo users, cấp quyền Remote access cho users và cho computer:

-

Mở Active Directory Users and Computers Console từ thư mục Administrative Tools.

-

Vào mục radiusserver.com chọn New tạo một Organizational Unit(OU) với tên là
radius

-

Tại mục Organizational Unit(OU) “radius”→Chọn New→ tạo group “group_radius”
và user” client”

-

User “client” trong OU được đặt password là “radius@12345”.

-

Thêm “client” vào “group_radius”

3.2.1.4.Cấu hình NAP(Network Policy and Access Services)
-

Đăng ký dịch vụ cho NPS

-

Configure cho RADIUS server 802.1X

-

Thực hiện thêm và cấu hình cho Radius Client
Địa Chỉ Ip là địa chỉ của Accesspoint

-

Cấu hình cho Secure Wireless Connection

3.2.2. Cấu hình AP
-

Bước 1: Kết nối Laptop với Accesspoint

-

Bước 2: Cấu hình.
Đặt tên cho wireless:
Tắt DHCP.
Tắt tường lửa trên Accesspoint
Tiến hành cấu hình bảo mật mạng không dây:

Hình 3.1 Cấu hình bảo mật WLAN sử dụng Radius trên Access Point


19

3.2.3 Cấu hình Wireless client
Ở đây Wireless client sử dụng Windows 7. Vì vậy trước để windows chứng thực được
WPA2, tiên cần cấu hình wifi cần xác thực tại client
Vào Manually connect to a wireless network để cấu hình Wireless client
-

Tên Network là tên của mạng wifi được đặt tên trên AP: “demo radius”

-

Security type chọn WPA2-Enterprise

Sau đó thực hiện cấu hình Wireless client
3.2.4 Demo thực nghiệm
Đã hoàn thành cấu hình RADIUS Server và AP, từ client tiến hành kết nối vào mạng
wireless “demo radius”, đăng nhập với user và mật khẩu đã được tạo ở Server RADIUS là

“client” và “radius@12345”, domain là “radiussever.com”.

Hình 3.2 Kết nối Wifi thành công
Các thông số được cấp bởi DHCP server như IP, DNS server, Default Gateway …

Hình 3.3 Thông số được cấp bởi DHCP server cho Wireless Client


20

Đánh giá:
-

Các máy client muốn vào được mạng wifi cần phải được xác thực dựa

vào thông tin dựa vào máy chủ radius. Điều này dẫn tới việc bảo mật cao hơn và an
toàn hơn so với các hình thức bảo mật thông thường. Vì vậy tránh mất mát dữ liệu và
các nguy cơ tấn công của các hacker
-

Các máy Wireless Client phải tiến hành cài đặt mới có thể xác thực được.

-

Chưa có điều kiện thực tế cho việc triển khai cấu hình tất cả các trường

hợp, các kỹ thuật tấn công WLAN trên các thiết bị đang triển khai thực tế trong môi
trường hệ thống mạng doanh nghiệp.

3.3. Kết chương

Trong chương 3 đã tìm hiểu về việc triển khai hệ thống sử dụng giao thức xác thực
Radius server trên Windows server 2008. Hiểu rõ hơn về việc xác thực tại máy chủ có sử
dụng xác thực Radius khi có client yêu cầu đăng nhập vào hệ thống wifi.
Tuy nhiên, chưa nghiên cứu triển khai trên hệ thống khác. Chỉ triển khai trên qui mô
nhỏ và chưa được áp dụng thực tế nên chưa kiểm tra được các sự cố phát sinh trong quá
trình vận hành.


21

KẾT LUẬN
1. Những đóng góp của luận văn

Phương pháp bảo mật nghiên cứu này là một trong những phương pháp bảo mật
WLAN tốt nhất hiện nay. Có ý nghĩa thực tiễn cao, áp dụng được cho các cơ quan, doanh
nghiệp có nhu cầu về bảo mật WLAN cao.

Sau khi thực hiện xong đề tài, cũng đã hiểu được tổng quan về hệ thống mạng
không dây, các hình thức tấn công cũng như bảo mật mạng không dây cơ bản. Đặc biệt
hiểu rõ được cơ chế, tầm quan trọng của bảo mật mạng không dây bằng chứng thực
RADIUS
Đã thành thạo cấu hình các kiểu chứng thực, mã hoá, vận hành cơ bản cũng như bảo
mật Wireless Access point. Trong quá trình cấu hình chứng thực, cũng đã hiểu rõ hơn được
cơ chế chứng thực của Windows
 Hạn chế
Chưa triển khai trên hệ thống Linux với chứng thực LDAP. Chỉ triển khai trên qui mô
nhỏ và chưa được áp dụng thực tế nên chưa kiểm tra được các sự cố phát sinh trong quá trình
vận hành. Các máy Wireless Client phải tiến hành cài đặt mới có thể xác thực được
2.

Hướng phát triển của luận văn

Triển khai hệ thống xác thực RADIUS trên Windows Server với việc mở rộng mô hình
xác thực không chỉ cho WIFI mà cả hệ thống mạng sử dụng cáp, các máy VPN server, NAS
Server…
Triển khai hệ thống xác thực RADIUS trên LINUX và mở rộng mô hình xác thực
không chỉ cho WIFI mà cả hệ thống mạng sử dụng cáp, các máy VPN server, NAS
Server…Nghiên cứu ứng dụng công nghệ vWMAN (IEEE 802.16), WWAN (802.20)
Tìm hiểu yêu cầu, mô hình thiết kế, triển khai và bảo mật hệ thống WMAN, WWAN