Bài viết sưu tầm

CHƯƠNG I (tiếp theo):

I.3.   Đối phó với các ý đồ (kiểu) tấn công của Hacker

·              Để ngăn chặn việc đọc lén các thông điệp (message) truyền đi trên mạng: Thông điệp phải được mã hóa trước khi truyền đi và sẽ được giải mã ở bên nhận. Trong trường hợp này bên gửi và bên nhận phải chia sẻ một khóa bí mật để phục vụ cho việc mã hóa/giải mã thông điệp. Với giải pháp này, khóa cũng phải được truyền đi/phân phối trên mạng, nên vấn đề đặt ra tiếp theo là làm thế nào để phânphối khóa một cách an toàn, ở đây có thể sử dụng các kỹ thuật mã hoá khác nhau, mã hóa khoá bí mật và/hoặc mã hóa khoá công cộng.

·              Không thể sử dụng một khóa trong khoảng thời gian dài và để ngăn chăn việc đoán khóa (có thể đoán khoá trong tương lai nếu biết được khóa hiện tại) của hacker. Để đối phó, phải “làm tươi khoá” thường xuyên và không nên sử dụng chính sách “dựa vào các khoá cũ để tính ra khóa mới”, điều này đảm bảo khóa được truyền đi/phân phối một cách an toàn (bí mật).

·              Để để ngăn chặn việc “phát lại” thông điệp bởi một kẻ mạo danh (replay attack): Sử dụng chỉ số tuần tự trong các  gói  tin IP (thông số timestamp thường là không đảm bảo độ tin cậy cho mục tiêu an toàn này).

·              Để đảm bảo rằng thông điệp không bị thay đổi/sửa đổi (alltered) trong khi truyền từ người gửi đến người nhận: Sử dụng các thông điệp rút gọn (message digest), có thể sử dụng các hàm băm (hash) hoặc các hàm on-way.

·              Để đảm bảo rằng một “thông điệp rút gọn” là không bị thỏa hiệp hoặc không bị thay đổi trên đường truyền: Sử dụng chữ ký điện tử  bằng cách mã hoá thông điệp rút gọn với một khoá bí mật hoặc khoá riêng (đó là chính sách xác thực (authentication), cơ chế không công nhận (non-repudiation)).

·              Làm thế nào để đảm bảo rằng một message hoặc một chữ ký số là được xuất phát/bắt nguồn (originated) từ một đối tác tin cậy/đối tác mong muốn (desried): Sử dụng cơ chế bắt tay two-way bao gồm các số ngẫu nhiên được mã hoá (còn gọi là xác thực lẫn nhau (mutual authentication)).

·              Làm thế nào để đảm bảo rằng một “cái bắt tay” là đã được trao đổi với một đối tác tin cậy (từ các tấn công theo kiểu main-in-the-middle): Sử dụng các thẻ chứng thực số (một sự kết hợp giữa khoá công cộng với các thông tin nhận dạng của đối tác).

·              Làm thế nào để ngăn chặn việc sử dụng không hợp lệ các dịch vụ bởi những người sử dụng không được xác thực một cách thích hợp: Sử dụng mô hình điều khiển truy cập nhiều tầng.

·              Để bảo vệ chống lại các mã phá hại (malicious code) hoặc các thông điệp không mong muốn (từ tấn công DoS): Giới hạn việc truy cập vào mạng bên trong, bằng các sử dụng: Filter, Firewall, Proxy, Packet Authentication, Conceal internal address anh name structure (che giấu địa chỉ và cấu trúc tên của mạng bên trong),…

I.2.4.   Các dịch vụ bảo mật (Security Services)

·        Authentication Service (dịch vụ xác thực): Dịch vụ này đảm bảo một sự truyền thông tin cậy. Nếu chỉ quan tâm đến truyền thông điệp, thì nhiệm vụ của xác thực chỉ đơn giản là đảm bảo với bên nhận rằng thông điệp mà nó nhận được là đến từ một nguồn được xác nhận. Nếu quan tâm đến cả quá trình tương tác của hai đối tác truyền thông, ví dụ sự kết nối giữ Terminal và Host, thì phải quan tâm đến hai khía cạnh. Thứ nhất, tại thời điểm khởi tạo kết nối, dịch vụ đảm bảo rằng hai đối tác truyền thông này là đáng tin cậy. Thứ hai, dịch vụ đảm bảo rằng kết nối là không bị can thiệp bởi thành phần thứ ba – hacker có thể giả mạo một trong hai đối tác hợp pháp, cho mục đích trao đổi hoặc tiếp nhận thông điệp “không được phép”. Do đó, thực tế yêu cầu hai loại dịch vụ xác thực: Peer entity authentication và Data origin authentication:

-         Peer entity authentication: Cung cấp một sự chứng thực về định danh của các thực thể ngang hàng trong một liên kết. Nó được cung cấp để sử dụng tại thời điểm thiết lập kết nối hoặc trong suốt quá trình trao đổi dữ liệu của kết nối. Nó cố gắng cung cấp một sự tin cậy mà một trong hai đối tác truyền thông không thể thực hiện sự giả mạo hoặc một sự replay không được phép của kết nối trước đó.

-         Data origin authentication. Cung cấp sự chứng thực về nguồn gốc của đơn vị dữ liệu, nó không cung cấp sự bảo vệ để chống lại các loại tấn công theo kiểu nhân bản (duplication) hoặc làm thay đổi (modification) đơn vị dữ liệu. Loại này thường dùng để hỗ trợ xác thực cho các ứng dụng e-mail.    

·        Access ControlService (dịch vụ điều khiển truy cập): Trong lĩnh vực an toàn mạng, điều khiển truy cập là khả năng giới hạn và điều khiển truy cập đến các host và các ứng dụng qua liên kết truyền thông. Nhiệm vụ của dịch vụ điều khiển truy cập là: mỗi thực thể truyền thông khi cố gắng truy cập vào hệ thống thì trước hết nó phải được nhận dạng hoặc được xác thực, sau đó mới có thể nhận được quyền truy cập phù hợp với riêng nó. Cụ thể là: Ai được phép truy cập tài nguyên; Điều kiện để truy cập tài nguyên là gì; Được phép truy cập tài nguyên ở mức độ nào (thực hiện những thao tác nào trên tài nguyên); vv. Một cách tổng quát, dịch vụ này thực hiện nhiệm vụ ngăn chặn việc sử dụng “không được cấp phép” đến tài nguyên.    

·        Data Confidentiality Service(dịch vụ tin cậy dữ liệu): Dịch vụ này cung cấp sự bảo vệ cho các dữ liệu được truyền đi, trước các tấn công loại passive (thụ động). Nếu chú ý đến nội dung của dữ liệu truyền tải, thì có thể thiết lập nhiều cấp khác nhau của sự bảo vệ, để có thể được nhận dạng chúng. Tức là, có thể định nghĩa để dịch vụ này bảo vệ một thông điệp đơn hoặc các trường (field) cụ thể của một thông điệp. Một khía cạnh khác của sự tin cậy là sự bảo vệ dòng traffic trước các tấn công theo kiểu phân tích thông điệp. Nó làm cho kẻ tấn công không thể nhận được địa chỉ nguồn, địa chỉ đích, tầng số xuất hiện, độ dài hoặc các đặc tính khác của traffic khi nó được di chuyển trên các hệ thống, các phương tiện truyền thông.

·        Data Integrity Service (dịch vụ toàn vẹn dữ liệu): Cũng như sự tin cậy, sự toàn vẹn có thể áp dụng với một dòng thông điệp, một thông điệp đơn hoặc các trường được chỉ ra trong phạm vi một thông điệp. Dịch vụ này đảm bảo thông điệp mà bên nhận nhận được là hoàn toàn trung thực với thông điệp được gửi đi từ bên gửi, tức là thông điệp không bị nhân bản, không bị thay đổi, không bị sắp xếp lại, không bị phát lại khi nó di chuyển trên đường truyền. Sự phá hoại dữ liệu cũng bị che chắn (covered) bởi dịch vụ này. Vì thế dịch vụ này hỗ trợ bảo vệ mạng trước hai kiểu tấn công chủ động (active) phổ biến là thay đổi dòng thông điệp và DoS. Khi một sự vi phạm về tính toàn vẹn của dữ liệu được phát hiện thì dịch vụ này sẽ lập báo cáo về sự vi phạm đó, chuyển báo cáo này đến hệ thống để yêu cầu khôi phục lại dữ liệu.

·        Non-repudiation Service (dịch vụ “sự công nhận”): Sự công nhận ngăn chặn hiện tượng người gửi hoặc người nhận từ chối một thông điệp đã được (họ) chuyển đi. Vì thế khi một thông điệp được gửi, người nhận phải chứng tỏ - viện ra chứng cứ – được rằng thông điệp là được nhận từ người gửi. Tương tự, khi một thông điệp được nhận, người gửi phải chứng tỏ - viện ra chứng cứ –  được rằng thông điệp là đã được gửi đến người nhận.

·        Availability Service (Dịch vụ “sẵn dùng”): Dịch vụ này có nhiệm vụ làm cho tài nguyên của hệ thống trở thành có thể truy cập và có thể được dùng bởi các thực thể được phép (authorized), trong một giới hạn nào đó. Tức là, một hệ thống được gọi là sẵn dùng nếu nó cung cấp các dịch vụ – theo thiết kế hệ thống – bất cứ khi nào người sử dụng yêu cầu chúng. Sự đa dạng của các loại tấn công hiện nay có thể làm cho các hệ thống sẵn dùng trở nên kém tác dụng hoặc mất ý nghĩa.

(Nguyễn Kim Tuấn - K.CNTT)