1

HỌC VIỆN CÔNG NGHỆ BƯU CHÍNH VIỄN THÔNG

PHẠM HỒNG THÁI

NGHIÊN CỨU GIẢI PHÁP BẢO VỆ XÂM NHẬP MẠNG KHÔNG DÂY

CHUYÊN NGÀNH: TRUYỀN DỮ LIỆU VÀ MẠNG MÁY TÍNH
TÓM TẮT LUẬN VĂN THẠC SĨ
NGƯỜI HƯỚNG DẪN KHOA HỌC : TS. TRẦN THIỆN CHÍNH

HÀ NộI – 2012
2

MỞ ĐẦU
Ngày nay, cùng với sự bùng nổ thông tin thì sự phát triển
của các phương tiện truyền tải thông tin liên lạc và nhu cầu cập
nhật, trao đổi thông tin ở mọi lúc mọi nơi đang trở nên thiết
yếu trong các hoạt động xã hội. Tuy nhiên, để có thể kết nối
trao đổi thông tin người sử dụng phải truy nhập (Internet) từ
một vị trí cố định. Điều này gây hạn chế khi người dùng không
cố định hoặc ở những nơi không có điều kiện kết nối vào
mạng. Do đó, để giải quyết vấn đề truyền tải thông tin/dữ liệu,
hệ thống mạng không dây đã được ứng dụng. Cùng với sự phát
triển của mạng di động, mạng không dây thực sự là một bước
đột phá trong lĩnh vực truyền thông.
Với nhiều lợi thế như dễ kết nối, tính cơ động cao, chí

dữ liệu lên đến 54 Mbit/s. Chuẩn này sử dụng kỹ thuật điều chế
OFDM (Orthogonal Frequency Division Multiplex), cho phép
đạt được tốc độ dữ liệu cao hơn và khả năng chống nhiễu đa
đường tốt hơn.
4

1.2.3. Chuẩn 802.11b
Các hệ thống tuân thủ chuẩn IEEE 802.11b hoạt động ở
băng tần thấp hơn và khả năng xuyên qua các vật thể cứng tốt
hơn các hệ thống tuân thủ chuẩn IEEE 802.11a. Các đặc tính
này khiến các mạng WLAN tuân theo chuẩn IEEE 802.11b phù
hợp với các môi trường có nhiều vật cản và trong các khu vực
rộng.
1.2.4. Chuẩn 802.11g
IEEE 802.11g sử dụng kỹ thuật điều chế OFDM để có
thể đạt tốc độc cao hơn. Ngoài ra, các hệ thống tuân thủ theo
IEEE 802.11g có khả năng tương thích ngược với các hệ thống
theo chuẩn IEEE 802.11b vì chúng thực hiện tất cả các chức
năng bắt buộc của IEEE 802.11b và cho phép các khách hàng
của hệ thống tuân theo IEEE 802.11b kết hợp với các điểm
chuẩn AP của IEEE 802.11g.
1.2.5. Chuẩn 802.11n
Chuẩn 802.11n cho phép kết nối với tốc độ 300 Mbps (có
thể lên tới 600Mbps), và mở rộng vùng phủ sóng. 802.11n là
mạng Wi-Fi đầu tiên có thể cạnh tranh về mặt hiệu suất với
mạng có dây 100Mbps. Chuẩn 802.11n hoạt động ở cả hai tần
số 2,4GHz và 5GHz với kỳ vọng có thể giảm bớt được tình
trạng “quá tải” ở các chuẩn trước đây.
5


và đáp ứng tốt cho các Client di động.
Một số mô hình mạng WLAN khác: Mô hình Roaming,
Mô hình khuyếch đại tín hiệu, Mô hình Point to Point, Mô hình
Point to Multipoint
1.4. Đánh giá ưu, nhược điểm và thực trạng mạng WLAN
hiện nay
1.4.1. Ưu điểm
 Khả năng lưu động cải thiện hiệu suất và dịch vụ
 Cài đặt đơn giản
 Giảm bớt giá thành sở hữu
 Tính linh hoạt
 Khả năng mở rộng
7

1.4.2. Nhược điểm
Ngoài rất nhiều sự tiện lợi và những ưu điểm được đề cập
ở trên thì cũng có các nhược điểm như:
 Bảo mật: Môi trường kết nối là không khí nên khả năng
bị tấn công là rất cao.
 Phạm vi: nhỏ, chưa đáp ứng được nhu cầu người dùng
 Độ tin cậy: tín hiệu bị nhiễu, bị giảm do tác động của
các thiết bị khác
 Tốc độ chậm
1.4.3. Thực trạng mạng WLAN hiện nay
Chúng ta có thể dễ dàng kết nối mạng không dây tại
nhiều địa điểm như: trường học, văn phòng,… hoặc ngay tại
gia đình bằng nhiều thiết bị hiện đại như : laptop, PDA Tuy
nhiên, vẫn còn một số tồn tại như :
 Không thay đổi mật khẩu của nhà sản xuất
 Không kích hoạt các tính năng mã hóa

 Sau khi chứng thực hoàn tất, phải bảo đảm an toàn riêng
tư dữ liệu được truyền đi giữa máy khách và điểm truy cập.
9

 Kiểm tra chắc chắn rằng người dùng được phép truy cập
vào mạng.
2.1.2. Mô hình chung của bảo mật mạng không dây WLAN

 Device Authorisation: xác thực thiết bị theo địa chỉ MAC
 Encryption: hỗ trợ WEP, 3DES, TLS
 Authentication: xác thực quyền truy nhập
 Firewall: quản lý lưu lượng chung
 VPN: cho phép client thiết lập phiên VPN
2.2. Những đe dọa an ninh mạng
2.2.1. Những nguy hiểm cho an ninh mạng
Bảo mật có thể được định nghĩa như là sự giữ gìn để
tránh khỏi việc người khác làm những gì mà người sử dụng
không muốn. Các nguy hiểm an ninh có thể đến từ các hacker,
những kẻ đột nhập, một tổ chức, người trong nội bộ.
10

2.2.2. Một số kiểu tấn công WLAN cơ bản
 Tấn công bị động: không để lại một dấu vết nào chứng tỏ
đã có sự hiện diện của hacker trong mạng vì hacker không thật
sự kết nối với AP để lắng nghe các gói tin truyền trên đoạn
mạng không dây.
 Tấn công chủ động: có thể được sử dụng để truy cập vào
server và lấy được những dữ liệu có giá trị hay sử dụng đường
kết nối Internet của doanh nghiệp để thực hiện những mục đích
phá hoại hay thậm chí là thay đổi cấu hình của hạ tầng mạng.

 WEP: là một giao thức nhằm bảo vệ sự trao đổi thông
tin chống lại sự nghe trộm, chống lại những kết nối mạng
không được phép cũng như chống lại việc thay đổi hoặc làm
nhiễu thông tin truyền. WEP sử dụng stream cipher (Mật mã)
RC4 cùng với một mã 40 bit và một số ngẫu nhiên 24 bit
(initialization vector – IV) để mã hóa thông tin.
Giải thuật WEP thực chất là giải thuật giải mã hóa RC4.
Nó được xem như là một giải thuật đối xứng vì sử dụng cùng
khóa cho mật mã hóa và giải mật mã UDP (Protocol Data Unit)
văn bản gốc. Mỗi khi truyền, văn bản gốc XOR theo bit với
một luồng khóa (keystream) giả ngẫu nhiên để tạo ra một văn
bản được mật mã.
Ưu điểm của WEP
- Mật mã hóa mạnh, đáng tin cậy. Việc khôi phục khóa bí
mật rất khó khăn. Khi độ dài khóa càng dài thì càng khó để
khôi phục.
- Tự đồng bộ hóa. Không cần giải quyết mất các gói. Mỗi
gói chứa đựng thông tin cần để giải mã nó.
- Hiệu quả: do triển khai ở cả phần cứng hoặc phần mềm
và chi phí triển khai thấp
Nhược điểm của WEP
13

- Không có cơ chế xác thực tập trung hay xác thực dựa trên
người dùng.
- Không hỗ trợ quản lý khóa, tức là không có cơ chế sinh
khóa và phân phát khóa tự động.
- Không có cơ chế xác thực lẫn nhau, chỉ mạng mới xác
thực được người dùng, còn người dùng không thể xác thực
được mạng. Kết quả các AP giả mạo có thể đóng vai một AP

Nhược điểm của WPA.
- Với WPA Personal thì có thể việc sử dụng hàm thay đổi
khoá TKIP, được sử dụng để tạo ra các khoá mã hoá nếu bị
phát hiện hacker có thể đoán được khoá khởi tạo hoặc một
phần của mật khẩu và họ có thể xác định được toàn bộ mật
khẩu, do đó có thể giải mã được dữ liệu.
- Khi sử dụng WPA-PSK thì việc cài đặt trở nên phức tạp,
không phù hợp cho người dùng gia đình điển hình.
15

- TKIP không loại trừ những điểm yếu cơ bản trong bảo
mật WiFi. Nếu một attacker tấn công TKIP, Haker không chỉ
bẻ gãy độ tin cậy, mà còn điều khiển truy nhập và nhận thực.
- Bị tấn công từ chối dịch vụ (DoS) vẫn còn tồn tại.
- Kỹ thuật TKIP của WPA chỉ là giải pháp tạm thời, chưa
cung cấp một phương thức bảo mật cao nhất.
- Với các AP không thể thay đổi để phù hợp với WPA thì
việc thay thế thiết bị phần cứng là không thể tránh khỏi và
WPA Enterprise thì cần một máy chủ xác thực để cung cấp các
khoá khởi tạo, điều này làm cho chi phí triển khai hệ thống
tăng lên.
 WPA2
WPA2 sử dụng thêm thuật toán mã hóa AES. WPA2
với AES cũng có cấp độ bảo mật rất cao tương tự như chuẩn
WPA, nhằm bảo vệ cho người dùng và người quản trị đối với
tài khoản và dữ liệu. WPA2 sử dụng rất nhiều thuật toán để mã
hóa dữ liệu như TKIP, RC4, AES và một vài thuật toán khác.
Ưu điểm của WPA2
- Giải pháp mã hóa tối cao với việc sử dụng đồng thời
nhiều thuật toán mã hóa dữ liệu để mang lại hiệu quả mã hóa

sự đáp trả. Cách thức này có thể tăng mức độ bảo mật, nhưng
nếu vô hiệu hóa quảng bá SSID thì SSID vẫn được truyền tải
trong các khung Association và Re-association cũng như các
khung Probe Response. Điều này gần như một việc quá dễ
dàng với bất cứ ai có một bộ “dò tìm” gói dữ liệu, họ đều có
thể khám phá ra SSID mạng không dây, vì bất cứ thời điểm nào
khi có người dùng hợp pháp kết nối với mạng không dây thì
SSID cũng đều được phát dưới dạng văn bản trong sáng.
 Lọc địa chỉ MAC
Kỹ thuật lọc địa chỉ MAC là quá trình người quản trị hệ
thống tạo một danh sách trắng để chỉ rõ các địa chỉ MAC nào
là xác thực và được quyền kết nối với điểm truy cập.
Một ưu điểm của kỹ thuật này là dù có ai đó biết SSID
mạng không dây của người sử dụng và mật khẩu WEP hoặc
WPA thì họ cũng không thể kết nối với mạng trừ khi họ sử
dụng card mạng mà chính người sử dụng đã xác thực.
Kỹ thuật lọc địa chỉ MAC chỉ làm việc thực sự tốt trong
các tổ chức nhỏ, không phù hợp trong các doanh nghiệp lớn vì
mỗi lần đưa vào sử dụng một card mạng mới, địa chỉ MAC của
card đó phải được thêm vào bộ lọc địa chỉ MAC
 Lọc giao thức
18

Mạng Lan không dây có thể lọc các gói đi qua mạng dựa
trên các giao thức từ lớp 2 đến lớp 7.
2.4.2.2. WLAN VPN
Mạng riêng ảo VPN bảo vệ mạng WLAN bằng cách tạo
ra một kênh che chắn dữ liệu khỏi các truy cập trái phép. VPN
tạo ra một tin cậy cao thông qua việc sử dụng một cơ chế bảo
mật như IPSec (Internet Protocol Security). Giao thức bảo mật

Với cơ sở tập trung - Giải pháp sử dụng RADIUS cho
mạng WLAN là rất quan trọng bởi nếu một hệ thống mạng có
rất nhiều Access Point, việc cấu hình để bảo mật hệ thống này
là rất khó nếu quản lý riêng biệt, người dùng có thể xác thực từ
nhiều Access Point khác nhau và điều đó là không bảo mật.
Khi sử dụng RADIUS cho WLAN mang lại khả năng
tiện lợi cao, xác thực cho toàn bộ hệ thống nhiều Access Point,
cung cấp các giải pháp thông minh hơn.
2.4.3.2. EAP-bảo mật cấp cao
20

EAP là một multi-protocol (đa giao thức) và có thể dùng
nhiều dạng giao thức khác nhau thay vì chỉ có giao thức
internet IP. Nó không đòi hỏi sự can thiệp của người sử dụng,
cung cấp khả năng xác thực cho từng user, tự động cung cấp
khóa WEP năng động (dynamic WEP key), vì thế khắc phục
được các trở ngại của việc quản trị các key trên hệ thống WEP.
Đồng thời EAP cũng hỗ trợ các chương mục người dùng và
không đòi hỏi thêm các hình thức an ninh khác lọc (filtering),
kiểm soát truy nhập (access control).
2.4.3.3. Phương pháp phát hiện xâm nhập trong mạng không
dây WIDS (WLAN Intrusion Detection System)
Mục tiêu của việc phát hiện xâm nhập là xác định các
hoạt động trái phép, dùng sai, lạm dụng đối với hệ thống máy
tính gây ra bởi cả người dùng trong hệ thống lẫn người xâm
nhập ngoài hệ thống.
Mô hình hoạt động:
Tập trung: WIDS tập trung có một bộ tập trung để thu
thập tất cả các dữ liệu của các cảm biến mạng riêng lẻ và
chuyển chúng tới thiết bị quản lý trung tâm, nơi dữ liệu IDS


 Module phát hiện tấn công: có nhiệm vụ phát hiện các
cuộc tấn công. Có hai phương pháp để phát hiện các cuộc tấn
công, xâm nhập là dò sự lạm dụng và dò sự không bình thường.
+) Phương pháp dò sự lạm dụng: phân tích các hoạt động
của hệ thống, tìm kiếm các sự kiện giống với các mẫu tấn công
đã biết trước.
+) Phương pháp dò sự không bình thường: nhận dạng ra
các hành động không bình thường của mạng.
 Module phản ứng: Khi modul phát hiện tấn công gửi tín
hiệu báo có sự tấn công hoặc thâm nhập đến modul phản ứng.
Lúc đó modul phản ứng sẽ kích hoạt tường lửa thực hiện chức
nǎng ngǎn chặn cuộc tấn công hay cảnh báo tới người quản trị.
d. Phân loại hệ thống IPS
 IPS ngoài luồng (Promiscuous Mode IPS)
Luồng dữ liệu vào hệ thống mạng sẽ cùng đi qua tường
lửa và IPS. IPS có thể kiểm soát luồng dữ liệu vào, phân tích
và phát hiện các dấu hiệu của sự xâm nhập, tấn công. Với vị trí
này, IPS có thể quản lý tường lửa, chỉ dẫn nó chặn lại các hành
động nghi ngờ mà không làm ảnh hưởng đến tốc độ lưu thông
của mạng.
 IPS trong luồng (In-line IPS)
Vị trí IPS nằm trước bức tường lửa, luồng dữ liệu phải đi
qua IPS trước khi tới bức tường lửa. Điểm khác chính so với
23

IPS ngoài luồng là có thêm chức nǎng chặn lưu thông (traffic-
blocking). Điều đó làm cho IPS có thể ngǎn chặn luồng giao
thông nguy hiểm nhanh hơn so với IPS ngoài luồng
(Promiscuous Mode IPS). Tuy nhiên, vị trí này sẽ làm cho tốc

được cấp động cho các máy Client.
Khu 2: là khoa điều trị và cận lâm sàng (gồm 14 khoa và
4 tòa nhà) lắp đặt 2 Switch, mỗi tòa nhà 4 tầng, cao 16m, cách
nhau 10 m, mỗi tòa đặt 2 AP chuẩn g.
Mạng có dây: gồm 150 nút mạng, 5 Switch 2960.
3.1.2. Thực trạng vấn đề bảo mật mạng WLAN ở Bệnh viện
Giao thông vận tải
Thông tin hiện nay đứng trước nhiều mối nguy cơ về:
thất thoát dữ liệu, mất thông tin, thông tin bị chỉnh sửa, Để
bảo vệ hệ thống thông tin cần phải có những giải pháp bảo mật
khả thi và hiệu quả.
Hiện nay hệ thống mạng tại Bệnh viện Giao thông vận tải
đã trang bị Firewall ASA5510, hơn 300 máy tính và máy chủ
cài phần mềm antivirus bản quyền.
25

3.1.3. Nguyên lý bảo mật hệ thống thông tin
3.1.3.1. Quyền thâm nhập
Quyền thâm nhập là quyền truy nhập nhằm kiểm soát các
tài nguyên của mạng và quyền hạn trên tài nguyên đó.
3.1.3.2. Đăng nhập/Mật khẩu (Login/Password)
Đây là lớp bảo vệ mức độ truy nhập thông tin ở mức độ
hệ thống. Nhà quản trị cung cấp cho mỗi người dùng một tài
khoản (username) và mật khẩu (password), đồng thời kiểm soát
mọi hoạt động của mạng thông qua hình thức đó.
3.1.3.3. Mã hóa dữ liệu (Data encryption)
Đó là sử dụng các phương pháp mã hoá dữ liệu ở bên
phát và thực hiện giải mã ở bên thu bên thu chỉ có thể mã hóa
chính xác khi có khoá mã hóa do bên phát cung cấp. Dữ liệu
được biến đổi từ dạng "đọc được" sang dạng “không đọc được"