Bài viết sưu tầm

Vấn đề bảo mật trên các mạng TCP/IP

Vấn đề bảo vệ mạng, chính xác hơn là bảo vệ thông tin được lưu trữ và di chuyển trên mạng, để chống lại những người xâm phạm và kẻ phá hoại (gọi chung là hacker), kể cả trong và ngoài hệ thống mạng, được những người quản trị mạng đặt lên hàng đầu trong công tác quản trị mạng. Hacker không chỉ tấn công vào các mạng TCP/IP, nhưng mối đe doạ tiềm ẩn đối với các mạng này là rất lớn, vì TCP/IP là một giao thức mở nên các hacker có thể tìm thấy những lỗ hổng của nó một cách dễ dàng bằng cách thử nhiều kiểu tấn công khác nhau.

1. Mục tiêu của hacker

Mục tiêu mà các hacker nhắm đến trước khi thực hiện tấn công các mạng TCP/IP thường là:

• Phải đạt được “Sự mạo danh (Impersonation)”: Để có thể thực hiện sự truy cập không được phép (unauthorized) đến tài nguyên mạng (dữ liệu).
• Phải làm cho mục tiêu bị tấn công rơi vào tình trạng “từ chối dịch vụ (gọi là tân công DoS: Denial-of-Service)”: Để làm cho tài nguyên của mạng (các máy chủ dịch vụ: Web server,…) trở nên không có tác dụng.
• Phải thực hiện được việc “Phát lại thông điệp (Replay of messages)”: Để có thể truy cập/nhận thông tin và thay đổi nó, khi thông tin đang di chuyển trên đường.
• Phải đoán được mật khẩu (Guessing of password): Để từ đó có thể truy cập đến thông tin/dịch vụ mà đúng ra nó bị từ chối (gọi là tấn công tự điển: dictionary attack).
• Phải đoán được khóa (Guessing of key): Để có thể truy cập đến mật khẩu và dữ liệu đã được mã hoá (gọi là tấn công “thô bạo”: brute-force attack).

2.   Chính sách an toàn cho các mạng TCP/IP

Người quản trị an toàn của hệ thống mạng, nhất là các mạng TCP/IP, phải thực hiện kết hợp các chính sách bảo mật sau đây để bảo vệ mạng và dữ liệu truyền đi trên mạng của họ, sự bảo vệ mạng không chỉ giới hạn trong một LAN/WAN mà có thể trên cả Intranet và Internet:

• Thực hiện mã hoá (encryption) thông tin trước khi tuyền/gửi đi trên mạng: Để bảo vệ dữ liệu và mật khẩu.
• Thực hiện cơ chế xác thực (authentication) – có thể sử dụng chữ ký điện tử (digital signature) và/hoặc thẻ chứng thực (certificates): Để kiểm tra ai là người gửi (nguồn gốc) dữ liệu trên mạng.  
• Thực hiện cơ chế cho phép/cấp phép (authorization): Để ngăn chặn các truy cập không thích hợp/không hợp lệ (improper).
• Kiểm tra tính toàn vẹn (integrity) dữ liệu và Mã xác thực thông điệp (message authentication code ): Để bảo vệ chống lại (against) những sự thay đổi/sử đổi (alteration) thông điệp.
• Thực hiện quy trình công nhận (Non-repudiation): Để đảm bảo rằng một hành động là không thể bị phủ nhận/từ chối bởi người thực hiện nó.
• Thực hiện chính sách mật khẩu một lần (One-time password) và Số bắt tay ngẫu nhiên hai chiều (Two-way random number handshakes: mutually conversation): Để cho phép các cặp tuyền thông có thể xác thực lẫn nhau.
• Thực hiện chính sách cập nhật/làm tươi khoá thường xuyên (Frequent key refresh); Sử dụng các khoá “mạnh” (strong key); Ngăn ngừa hiện tượng “giả” khoá trong tương lai;… : Để bảo vệ mạng chống lại các tấn công theo cách “bẻ” khóa: Tấn công “tự điển”, Tấn công “thô bạo”.
• Thực hiện chính sách che giấu/che đậy địa chỉ (Address concealment) – sử dụng kỹ thuật NAT/PAT: Để bảo vệ mạng chống lại các tấn công theo kiểu từ chối dịch vụ (DoS).

            Vì giao thức TCP/IP không được thiết kế gắn liền với bảo mật, nên nhiều hệ thống bảo mật khác nhau được phát triển cho các ứng dụng và lưu lượng chạy trên Intranet/Internet. Các phần mềm này có nhiệm vụ chuẩn bị dữ liệu cho việc truyền trên một mạng, trong đó có chú ý đến các khả năng có thể áp dụng xác thực và mã hoá. Trong mạng TCP/IP, các ứng dụng nói trên có thể được xây dựng ở 1 trong 3 lớp: Ứng dụng; Giao vận/Mạng; Vật lý/Liên kết dữ liệu.

3.   Đối phó với các ý đồ (kiểu) tấn công của Hacker

·              Để ngăn chặn việc đọc lén các thông điệp (message) truyền đi trên mạng: Thông điệp phải được mã hóa trước khi truyền đi và sẽ được giải mã ở bên nhận. Trong trường hợp này bên gửi và bên nhận phải chia sẻ một khóa bí mật để phục vụ cho việc mã hóa/giải mã thông điệp. Với giải pháp này, khóa cũng phải được truyền đi/phân phối trên mạng, nên vấn đề đặt ra tiếp theo là làm thế nào để phânphối khóa một cách an toàn, ở đây có thể sử dụng các kỹ thuật mã hoá khác nhau, mã hóa khoá bí mật và/hoặc mã hóa khoá công cộng.

·              Không thể sử dụng một khóa trong khoảng thời gian dài và để ngăn chăn việc đoán khóa (có thể đoán khoá trong tương lai nếu biết được khóa hiện tại) của hacker. Để đối phó, phải “làm tươi khoá” thường xuyên và không nên sử dụng chính sách “dựa vào các khoá cũ để tính ra khóa mới”, điều này đảm bảo khóa được truyền đi/phân phối một cách an toàn (bí mật).

·              Để để ngăn chặn việc “phát lại” thông điệp bởi một kẻ mạo danh (replay attack): Sử dụng chỉ số tuần tự trong các  gói  tin IP (thông số timestamp thường là không đảm bảo độ tin cậy cho mục tiêu an toàn này).

·              Để đảm bảo rằng thông điệp không bị thay đổi/sửa đổi (alltered) trong khi truyền từ người gửi đến người nhận: Sử dụng các thông điệp rút gọn (message digest), có thể sử dụng các hàm băm (hash) hoặc các hàm on-way.

·              Để đảm bảo rằng một “thông điệp rút gọn” là không bị thỏa hiệp hoặc không bị thay đổi trên đường truyền: Sử dụng chữ ký điện tử  bằng cách mã hoá thông điệp rút gọn với một khoá bí mật hoặc khoá riêng (đó là chính sách xác thực (authentication), cơ chế không công nhận (non-repudiation)).

·              Làm thế nào để đảm bảo rằng một message hoặc một chữ ký số là được xuất phát/bắt nguồn (originated) từ một đối tác tin cậy/đối tác mong muốn (desried): Sử dụng cơ chế bắt tay two-way bao gồm các số ngẫu nhiên được mã hoá (còn gọi là xác thực lẫn nhau (mutual authentication)).

·              Làm thế nào để đảm bảo rằng một “cái bắt tay” là đã được trao đổi với một đối tác tin cậy (từ các tấn công theo kiểu main-in-the-middle): Sử dụng các thẻ chứng thực số (một sự kết hợp giữa khoá công cộng với các thông tin nhận dạng của đối tác).

·              Làm thế nào để ngăn chặn việc sử dụng không hợp lệ các dịch vụ bởi những người sử dụng không được xác thực một cách thích hợp: Sử dụng mô hình điều khiển truy cập nhiều tầng.

·              Để bảo vệ chống lại các mã phá hại (malicious code) hoặc các thông điệp không mong muốn (từ tấn công DoS): Giới hạn việc truy cập vào mạng bên trong, bằng các sử dụng: Filter, Firewall, Proxy, Packet Authentication, Conceal internal address anh name structure (che giấu địa chỉ và cấu trúc tên của mạng bên trong),…

(Nguyễn Kim Tuấn - CNTT)