Chuyende Radius

TRƯỜNG HỌC VIỆN CÔNG NGHỆ BƯU CHÍNH VIỄN THÔNGKHOA: CÔNG NGHỆ THÔNG TIN

=====================

CHUYÊN ĐỀ CÔNG NGHỆ THÔNG TIN

Đề tài:

Bảo mật WLAN bằng phương pháp xác thực RADIUS SEVER

Sinh viên : NGUYỄN VĂN LỢILớp : L11CQCN012-B

Đà Nẵng, 15 tháng 3 năm 2013

M C L CỤ Ụ

CHƯƠNG 1. TỔNG QUAN VỀ MẠNG KHÔNG DÂY............................................5

1.1. GIỚI THIỆU........................................................................................................5

1.2. PHÂN LOẠI MẠNG KHÔNG DÂY..................................................................5

1.2.1. WPAN...........................................................................................................5

1.2.2. WLAN............................................................................................................6

1.2.3. WMAN...........................................................................................................6

1.2.4. WWLAN........................................................................................................7

CHƯƠNG 2. MẠNG CỤC BỘ KHÔNG DÂY (WLAN)............................................9

2.1. GIỚI THIỆU........................................................................................................9

2.2. CÁC CHUẨN THÔNG DỤNG CỦA WLAN....................................................9

2.2.1. Chuẩn IEEE 802.11b..................................................................................10

2.2.2. Chuẩn IEEE 802.11a..................................................................................11

2.2.3. Chuẩn IEEE 802.11g..................................................................................11

2.2.4. Chuẩn IEEE 802.11n..................................................................................12

2.2.5. So sánh các chuẩn IEEE 802.11x...............................................................13

2.3. CÁC THIẾT BỊ CƠ CỞ HẠ TẦNG CỦA WLAN...........................................15

2.3.1. Điểm truy cập – AP (Access Point)............................................................15

2.3.2. Các chế độ hoạt động của AP.....................................................................16

2.3.2.1. Chế độ gốc (Root mode).....................................................................16

2.3.2.2. Chế độ cầu nối (bridge Mode).............................................................16

2.3.2.3. Chế độ lặp (repeater mode).................................................................17

2.4. CÁC MÔ HÌNH MẠNG CỦA WLAN.............................................................18

2.4.1. Mạng độc lập AD HOC (Independent Basic Service Sets (IBSSs) )...........18

2.4.2. Mô hình mạng cơ sở (Basic service sets (BSSs) ).......................................18

2.4.3. Mô hình mạng mở rộng (Extended Service Set (ESSs))..............................19

2.4.4. Ưu điểm, nhược diểm của WLAN...............................................................20

2.5. BẢO MẬT MẠNG CỤC BỘ KHÔNG DÂY (WLAN)...................................21

HVCNBCVT – Khoa công nghệ thông tin – L11CQCN012-B

2.5.1. Giới thiệu....................................................................................................21

2.5.2. Một số hình thức tấn công WLAN...............................................................22

2.5.2.1. Rogue Access Point.............................................................................23

2.5.2.2. Tấn công yêu cầu xát thực lại..............................................................25

2.5.3. Một số giải pháp bảo mật WLAN...............................................................25

2.5.3.1. WEP.....................................................................................................26

2.5.3.2. WPA....................................................................................................27

2.5.3.3. WPA2..................................................................................................27

CHƯƠNG 3. BẢO MẬT WLAN BẰNG PHƯƠNG PHÁP XÁT THỰC RADIUS SERVER.................................................................................................................28

3.1. GIỚI THIỆU......................................................................................................28

3.1.1. Xác thực, cấp phép và kiểm toán................................................................28

3.1.2. Nguyên lý hoạt động Radius Server............................................................29

3.1.3. Sự bảo mật và tính mở rộng........................................................................31

3.1.4. Áp dụng RADIUS cho WLAN...................................................................32

Thực hiện: Nguyễn Văn Lợi – L11CQCN012-B Trang 3


LỜI MỞ ĐẦU

Công nghệ mạng ngày nay đã có những sự phát triển mạnh mẽ và góp phần rất lớn trong truyền thông liên lạc của các chính phủ, tổ chức, cá nhân. Và rất nhiều tiện ích hữu dụng khác.

Mạng WLAN (Wireless LAN) ra đời thực sự là một bước tiến của công nghệ mạng, đây là phương pháp chuyển giao từ điểm này sang điểm khác sử dụng sóng vô tuyến. Và hiện nay đã phổ biến trên toàn thế giới và mang lại rất nhiều lợi ích cho người sử dụng. Nhất là khả năng di động của nó, các thiết bị kết nối dễ dàng chỉ cần có card wireless và đang nằm trong vùng phủ sóng Wireless. Với sự tiện lợi này Wireless được triển khai rất rộng rãi.

Với rất nhiều lợi ích như vậy, nhưng vấn đề bảo mật luôn làm đau đầu các nhà sản xuất, các tổ chức và cá nhân người sử dụng. Do môi trường truyền dẫn vô tuyến nên WLAN rất dễ bị rò rỉ thông tin do tác động của môi trường và đặc biệt là sự tấn công của các Hacker, chính vì vậy vấn đề bảo mật, an toàn mạng không dây vẫn là một vấn đề rất được quan tâm

Đề tài sau đây sẽ sử dụng mô hình RADIUS (Remote Authencation Dial-in User Service), là một kỹ thuật đưa ra nhằm xác nhận Client, nằm trên một host bất kỳ, giúp nâng cao bảo mật cho hệ thống của bạn.

Với chi phí vừa phải cho việc triển khai hệ thống dựa trên nền tảng các hạ tầng phần cứng và phần mềm đã có sẵn, thì RADIUS Server là 1 trong những sự lựa chọn tốt. Bạn chỉ cần có một máy chủ để làm RADIUS Server, máy chủ này có thể chạy OS Windows Server của Microsoft, HĐH Linux hoặc rất nhiều RADIUS Server được phát hành miễn phí khác.

Việc dễ dàng triển khai cũng như cấu hình cũng là một đặc điểm quan trọng để chọn RADIUS cho việc bảo mật hệ thống của bạn.



CHƯƠNG 1. TỔNG QUAN VỀ MẠNG KHÔNG DÂY

1.1. GIỚI THIỆU

Mạng máy tính từ lâu đã trở thành một thành phần không thể thiếu đối với nhiều lĩnh vực đời sống xã hội, từ các hệ thống mạng cục bộ dùng để chia sẻ tài nguyên trong đơn vị cho đến hệ thống mạng toàn cầu như Internet. Các hệ thống mạng hữu tuyến và vô tuyến đang ngày càng phát triển và phát huy vai trò của mình.

Mặc dù mạng không dây đã xuất hiện từ nhiều thập niên nhưng cho đến những năm gần đây, với sự bùng nổ các thiết bị di động thì nhu cầu nghiên cứu và phát triển các hệ thống mạng không dây ngày càng trở nên cấp thiết. Nhiều công nghệ, phần cứng, các giao thức, chuẩn lần lượt ra đời và đang được tiếp tục nghiên cứu và phát triển.

Mạng không dây có tính linh hoạt cao, hỗ trợ các thiết bị di động nên không bị ràng buộc cố định về phân bố địa lý như trong mạng hữu tuyến. Ngoài ra, ta còn có thể dễ dàng bổ sung hay thay thế các thiết bị tham gia mạng mà không cần phải cấu hình lại toàn bộ topology của mạng. Tuy nhiên, hạn chế lớn nhất của mạng không dây là khả năng bị nhiễu và mất gói tin so với mạng hữu tuyến. Bên cạnh đó, tốc độ truyền cũng là vấn đề rất đáng quan tâm.

Hiện nay, những hạn chế trên đang dần được khắc phục. Những nghiên cứu về mạng không dây hiện đang thu hút các viện nghiên cứu cũng như các doanh nghiệp trên thế giới. Với sự đầu tư đó, hiệu quả và chất lượng của hệ thống mạng không dây sẽ ngày càng được nâng cao, hứa hẹn những bước phát triển trong tương lai.

1.2. PHÂN LOẠI MẠNG KHÔNG DÂY

Đối với hệ thống mạng không dây, chúng ta cũng có sự phân loại theo quy mô và phạm vi triển khai tương tự như hệ thống mạng hữu tuyến:

- WPAN IEEE 802.15 (Wireless Personal Area Network)

- WLAN IEEE 802.11 (Wireless LocalArea Network)

- WMAN IEEE 802.16 (Wireless Metropolitan Area Network)

- WWAN IEEE 802.20 (Wireless Wide Area Network).

1.2.1. WPAN

Kể từ khi Bluetooth được triển khai, đã có rất nhiều lời bàn luận về các mạng vùng cá nhân không dây. Hầu hết các mối quan tâm đối với mạng PAN đều liên quan đến việc sử dụng nó trong các điện thoại di động thông minh, chẳng hạn như để đồng bộ hoá với phần mềm máy tính hoặc để sử dụng các tai nghe không dây. Nó cũng bắt



đầu được sử dụng cho các thiết bị như các tai nghe có gắn micro không dây, với việc truyền âm thanh số cung cấp âm thanh rõ nét.

Việc triển khai công nghệ Bluetooth hiện nay có xu hướng sử dụng nó như một sự thay thế cáp ngoại vi cho một số lượng hạn chế các thiết bị, hơn là một công cụ nhằm cho phép một số lượng lớn các thiết bị trong nhà hoặc văn phòng có thể giao tiếp trực tiếp.

Những viễn cảnh dài hạn thì lớn hơn nhiều. Nhiều thiết bị gia đình có thể hưởng lợi từ kết nối không dây. Chúng ta nói đến các bàn điều khiển trò chơi vốn có thể trò chuyện vô tuyến với các router, các hộp truyền tín hiệu số vốn có thể truyền tín hiệu TV số tới máy tính hoặc tới nhiều màn hình trong nhà, các máy chủ đường truyền vốn có thể phát quảng bá vô tuyến âm nhạc tới các bộ tai nghe tuỳ ý nằm trong phạm vi truyền, các máy ảnh vốn có thể giao tiếp trực tiếp với các máy in và các đầu chơi MP3 cầm tay vốn có thể gửi tệp âm nhạc tới hệ thống âm thanh tại nhà. Đây là các loại ứng dụng liên thông mà những người tiêu dùng hàng điện tử mơ. Nhưng Bluetooth không đủ nhanh cho các ứng dụng video, và chắc chắn là không bao giờ. Bluetooth hiện nay chỉ có khả năng truyền với tốc độ 1 đến 2 Mbit/s trong một phạm vi khoảng 10m với một công suất ở đầu ra khoảng 100mW. Như vậy là quá tốt cho âm thanh và cho máy in và các thiết bị nhập nhưng TV số đòi hỏi một tốc độ tối thiểu 7Mbit/s. Nếu muốn truyền tín hiệu TV độ phân giải cao, phải cần một hệ thống có khả năng xử lý 20-24Mbit/s.

Công nghệ xuất sắc hiện nay cho các mạng vùng cá nhân là UWB, còn được biết đến với cái tên 802.15.3a (một chuẩn IEEE khác). Đây được coi là công nghệ PAN mà tất cả các công nghệ PAN khác phải chịu khuất phục. Lý do chúng được quan tâm đến vậy là vì UWB có rất nhiều tiềm năng. UWB truyền những đoạn dữ liệu cực ngắn-ít hơn một nanô giây-qua một dải phổ rộng.

1.2.2. WLAN

Wireless LAN (Wireless Local Area Network) sử dụng sóng điện từ (thường là sóng radio hay tia hồng ngoại) để liên lạc giữa các thiết bị trong phạm vi trung bình. So với Bluetooth, Wireless LAN có khả năng kết nối phạm vi rộng hơn với nhiều vùng phủ sóng khác nhau, do đó các thiết bị di động có thể tự do di chuyển giữa các vùng với nhau. Phạm vi hoạt động từ 100m đến 500m với tốc độ truyền dữ liệu trong khoảng 1Mbps-54Mbps (100Mbps).

Phần này sẽ được giới thiệu chi tiết trong chương tiếp theo.

1.2.3. WMAN

Công nghệ WiMax, hay còn gọi là chuẩn 802.16 là công nghệ không dây băng thông rộng đang phát triển rất nhanh với khả năng triển khai trên phạm vi rộng và



được coi là có tiềm năng to lớn để trở thành giải pháp “dặm cuối” lý tưởng nhằm mang lại khả năng kết nối Internet tốc độ cao tới các gia đình và công sở.

Công nghệ WiMax là giải pháp cho nhiều loại ứng dụng băng rộng tốc độ cao cùng thời điểm với khoảng cách xa và cho phép các nhà khai thác dịch vụ hội tụ tất cả trên mạng IP để cung cấp các dịch vụ "3 cung": dữ liệu, thoại và video.

Trong khi công nghệ quen thuộc Wi-Fi (802.11a, b và g) mang lại khả năng kết nối tới các khu vực nhỏ như trong văn phòng hay các điểm truy cập công cộng hotspot, công nghệ WiMax có khả năng phủ sóng rộng hơn, bao phủ cả một khu vực thành thị hay một khu vực nông thôn nhất định. Công nghệ này có thể cung cấp với tốc độ truyền dữ liệu đến 75 Mbps tại mỗi trạm phát sóng với tầm phủ sóng từ 2 đến 10 km. Với băng thông như vậy, công nghệ này có đủ khả năng để hỗ trợ cùng lúc (thông qua một trạm phát sóng đơn lẻ) khả năng kết nối của hơn 60 doanh nghiệp với tốc độ kết nối của đường T1/E1 và hàng trăm gia đình với tốc độ kết nối DSL.

WiMax với sự hỗ trợ QoS, khả năng vươn dài và công suất dữ liệu cao được dành cho các ứng dụng truy cập băng rộng cố định ở những vùng xa xôi, hẻo lánh, nhất là khi khoảng cách là quá lớn đối với DSL và cáp cũng như cho các khu vực thành thị ở các nước đang phát triển. Những ứng dụng cho hộ dân gồm có Internet tốc độ cao, thoại qua IP, video luồng/chơi game trực tuyến cùng với các ứng dụng cộng thêm cho doanh nghiệp như hội nghị video và giám sát video, mạng riêng ảo bảo mật (yêu cầu an ninh cao). Công nghệ WiMax cho phép bao trùm các ứng dụng với yêu cầu băng thông rộng hơn.

WiMax cũng cho phép các ứng dụng truy cập xách tay, với sự hợp nhất trong các máy tính xách tay và PDA, cho phép các khu vực nội thị và thành phố trở thành những "khu vực diện rộng" nghĩa là có thể truy cập vô tuyến băng rộng ngoài trời. Do vậy, WiMax là một công nghệ bổ sung bình thường cho các mạng di động vì cung cấp băng thông lớn hơn và cho các mạng Wi-Fi nhờ cung cấp kết nối băng rộng ở các khu vực lớn hơn.

1.2.4. WWLAN

WWAN mạng diện rộng ( công nghệ 3G,4G)

WWAN khác Wifi ở chỗ sử dụng công nghệ phân vùng mạng tương tự như UMTS, GPRS, CDMA2000, GSM, CDPD, HSDPA hay 3G để truyền dữ liệu. WWAN có tầm phủ sóng rất rộng và thường được cung cấp bởi các nhà quản lý dịch vụ điện thoại di động. Wifi thường phục vụ nhu cầu truy cập thông tin ở một khu vực cố định ở diện tích nhỏ, WWAN lại rất tiện lợi với những ai thường xuyên phải di chuyển khắp nơi. Để khai thác kết nối WWAN, MTXT phải có modem WWAN không dây kết nối với trung tâm thông qua sóng radio (tương tự như ĐTDĐ).



GPRS (thông dụng với mạng GSM hiện tại) có tốc độ tối đa là 115 Kbps và CDMA 2000 1xEV-DO lên tới khoảng 2.4 Mbps



CHƯƠNG 2. MẠNG CỤC BỘ KHÔNG DÂY (WLAN)

2.1. GIỚI THIỆU

WIRELESS LAN (WLAN) ra đời và bắt đầu phát triển vào giữa thập kỉ 80 của thế kỷ XX bởi tổ chức FCC (Federal Communications Commission). Wireless LAN sử dụng sóng vô tuyến hay hồng ngoại để truyền và nhận dữ liệu thông qua không gian, xuyên qua tường trần và các cấu trúc khác mà không cần cáp. Wireless LAN cung cấp tất cả các chức năng và các ưu điểm của một mạng LAN truyền thống như Ethernet hay Token Ring nhưng lại không bị giới hạn bởi cáp. Ngoài ra WLAN còn có khả năng kết hợp với các mạng có sẵn, Wireless LAN kết hợp rất tốt với LAN tạo thành một mạng năng động và ổn định hơn. Wireless LAN là mạng rất phù hợp cho việc phát triển điều khiển thiết bị từ xa, cung cấp mạng dịch vụ ở nơi công cộng, khách sạn, văn phòng. Trong những năm gần đây, những ứng dụng viết cho mạng không dây ngày càng được phát triển mạnh như các phầm mềm quản lý bán hàng, quản lý khách sạn ...càng cho ta thấy được những lợi ích của Wireless LAN.

WLAN là một loại mạng máy tính, việc kết nối giữa các thành phần trong mạng không sử dụng các loại cáp như một mạng thông thường, môi trường truyền thông của các thành phần trong mạng là không khí. Các thành phần trong mạng sử dụng sóng điện từ để truyền thông với nhau.

Wirless LAN là mô hình mạng được sử dụng cho một khu vực có phạm vi nhỏ như một tòa nhà, khuôn viên của một công ty, trường học. Nó là loại mạng linh hoạt có khả năng cơ động cao thay thế cho mạng cáp đồng.

2.2. CÁC CHUẨN THÔNG DỤNG CỦA WLAN

Hiện nay tiêu chuẩn chính cho Wireless là một họ giao thức truyền tin qua mạng không dây IEEE 802.11. Do việc nghiên cứu và đưa ra ứng dụng rất gần nhau nên có một số giao thức đã thành chuẩn của thế giới, một số khác vẫn còn đang tranh cãi và một số còn đang dự thảo. Một số chuẩn thông dụng như: 802.11b (cải tiến từ 802.11), 802.11a, 802.11g, 802.11n.



Phạm vi hoạt động của WLAN trong mô hình OSI

2.2.1. Chuẩn IEEE 802.11b

Chuẩn này được đưa ra vào năm 1999, nó cải tiến từ chuẩn 802.11.

- Cũng hoạt động ở dải tần 2,4 Ghz nhưng chỉ sử dụng trải phổ trực tiếp DSSS.

- Tốc độ tại Access Point có thể lên tới 11Mbps (802.11b), 22Mbps (802.11b+).

- Các sản phẩm theo chuẩn 802.11b được kiểm tra và thử nghiệm bởi hiệp hội các công ty Ethernet không dây (WECA) và được biết đến như là hiệp hội Wi-Fi, những sản phẩm Wireless được WiFi kiểm tra nếu đạt thì sẽ mang nhãn hiệu này.

- Hiện nay IEEE 802.11b là một chuẩn được sử dụng rộng rãi nhất cho Wireless LAN. Vì dải tần số 2,4Ghz là dải tần số ISM (Industrial, Scientific and Medical: dải tần vô tuyến dành cho công nghiệp, khoa học và y học, không cần xin phép) cũng được sử dụng cho các chuẩn mạng không dây khác như là: Bluetooth và HomeRF, hai chuẩn này không được phổ biến như là 801.11. Bluetooth được thiết kế sử dụng cho thiết bị không dây mà không phải là Wireless LAN, nó được dùng cho mạng cá nhân PAN(Personal Area Network). Như vậy Wireless LAN sử dụng chuẩn 802.11b và các thiết bị Bluetooth hoạt động trong cùng một dải băng tần.



Release Date Op. Frequency Data Rate (Typ) Data Rate (Max) Range (Indoor)

October 1999 2.4 GHz 4.5 Mbit/s 11 Mbit/s ~35 m

Một số thông số kỹ thuật của chuẩn IEEE 802.11b

2.2.2. Chuẩn IEEE 802.11a

- Đây là một chuẩn được cấp phép ở dải băng tần mới. Nó hoạt động ở dải

tần số 5 Ghz sử dụng phương thức điều chế ghép kênh theo vùng tần số vuông

góc (OFDM). Phương thức điều chế này làm tăng tốc độ trên mỗi kênh (từ

11Mbps/1kênh lên 54 Mbps/1 kênh).

- Có thể sử dụng đến 8 Access Point (truyền trên 8 kênh Non-

overlapping,kênh không chồng lấn phổ), đặc điểm này ở dải tần 2,4Ghz chỉ có

thể sử dụng 3 Access Point (truyền trên 3 kênh Non – overlapping).

- Hỗ trợ đồng thời nhiều người sử dụng với tốc độ cao mà ít bị xung đột.

- Các sản phẩm của theo chuẩn IEEE 802.11a không tương thích với các

sản phẩm theo chuẩn IEEE 802.11 và 802.11b vì chúng hoạt động ở các dải tần

số khác nhau. Tuy nhiên các nhà sản xuất chipset đang cố gắng đưa loại chipset

hoạt động ở cả 2 chế độ theo hai chuẩn 802.11a và 802.11b. Sự phối hợp này

được biết đến với tên WiFi5 ( WiFi cho công nghệ 5Gbps).


October 1999 5 GHz 23 Mbit/s 54 Mbit/s ~35 m

Một số thông số kỹ thuật của chuẩn IEEE 802.11a

2.2.3. Chuẩn IEEE 802.11g

- Bản dự thảo của tiêu chuẩn này được đưa ra vào tháng 10 – 2002.

- Sử dụng dải tần 2,4 Ghz, tốc độ truyền lên đến 54Mbps.

- Phương thức điều chế: Có thể dùng một trong 2 phương thức

o Dùng OFDM (giống với 802.11a) tốc độ truyền lên tới 54Mbps.

o Dùng trải phổ trực tiếp DSSS tốc độ bị giới hạn ở 11 Mbps.

- Tương thích ngược với chuẩn 802.11b.



- Bị hạn chế về số kênh truyền.


June 2003 2.4 GHz 23 Mbit/s 54 Mbit/s ~35 m

Một số thông số kỹ thuật của chuẩn IEEE 802.11b

2.2.4. Chuẩn IEEE 802.11n

INCLUDEPICTURE "http://images4.dantri.com.vn/Uploaded/nguyenhuong/Wi-fi-1408.jpg" \*

MERGEFORMATINET

Chuẩn IEEE 802.11

Chuẩn 802.11n đang được xúc tiến để đạt tốc độ 100 Mb/giây, nhanh gấp 5 lần chuẩn 802.11g và cho phép thiết bị kết nối hoạt động với khoảng cách xa hơn các mạng Wi-Fi hiện hành.

Winston Sun, giám đốc công nghệ của công ty không dây Atheros Communications, nhận xét, một thiết bị tương thích 802.11n có thể truy cập các điểm hotspot với tốc độ 150 MB/giây với khoảng cách lý tưởng dưới 6m, khả năng liên kết càng giảm khi người dùng ở cách xa điểm truy cập đó.

802.11n chưa thể sớm trở thành chuẩn Wi-Fi thế hệ mới vì một số mạng Wi-Fi không thuộc thông số 802.11n cũng được giới thiệu. Theo Sun, các chuẩn Wi-Fi mới được ra mắt có thể tự động dò tần sóng thích hợp để kết nối Internet. Chính vì thế, thiết bị hỗ trợ 802.11n không thể “độc chiếm” phổ Wi-Fi và phải “nhường” sóng cho các mạng kết nối khác.

Ông Sun cho biết, tốc độ truy cập Wi-Fi giảm tỷ lệ nghịch với khoảng cách từ thiết bị tới hotspot vẫn cho phép các máy cầm tay, như iTV của Apple stream được các đoạn video clip nhưng không thể stream video nén có độ nét cao .

Chuẩn 802.11n đang được xúc tiến để đạt tốc độ 100 Mb/giây, nhanh gấp 5 lần chuẩn 802.11g và cho phép thiết bị kết nối hoạt động với khoảng cách xa hơn các mạng Wi-Fi hiện hành.



Winston Sun, giám đốc công nghệ của công ty không dây Atheros Communications, nhận xét, một thiết bị tương thích 802.11n có thể truy cập các điểm hotspot với tốc độ 150 MB/giây với khoảng cách lý tưởng dưới 6m, khả năng liên kết càng giảm khi người dùng ở cách xa điểm truy cập đó.

802.11n chưa thể sớm trở thành chuẩn Wi-Fi thế hệ mới vì một số mạng Wi-Fi không thuộc thông số 802.11n cũng được giới thiệu. Theo Sun, các chuẩn Wi-Fi mới được ra mắt có thể tự động dò tần sóng thích hợp để kết nối Internet. Chính vì thế, thiết bị hỗ trợ 802.11n không thể “độc chiếm” phổ Wi-Fi và phải “nhường” sóng cho các mạng kết nối khác.

Ông Sun cho biết, tốc độ truy cập Wi-Fi giảm tỷ lệ nghịch với khoảng cách từ thiết bị tới hotspot vẫn cho phép các máy cầm tay, như iTV của Apple stream được các đoạn video clip nhưng không thể stream video nén có độ nét cao .

Release Date Op. Frequency DataRate(Typ) Data Rate (Max) Range(Indoor)

June2009

(est.)

5 GHz and/or 2.4

GHz74 Mbit/s

300 Mbit/s (2

streams)~70 m

Một số thông số kỹ thuật của chuẩn IEEE 802.11n

Tốc độ truyền tải so với các chuẩn IEEE

2.2.5. So sánh các chuẩn IEEE 802.11x

Chuẩn Phân loại Tính năng chính Định nghĩa Chú thích



IEEE 802.11 Kết nối Tần số: 2,4 GHz

Tốc độ tối đa: 2 mbps

Tầm hoạt động: không xác

định

Chuẩn lý thuyết

IEEE

802.11a

Kết nối Tần số: 5 GHz


Tầm hoạt động: 25-75 m

Xem thêm 802.11d và

802.11h

IEEE

801.11b

Kết nối Tần số: 2,4 GHz



Tương thích với

802.11g

IEEE

802.11g




Tương thích ngược với

802.11b, xem thêm

802.11d và 802.11h

IEEE

8021.11n




Tương thích ngược với

802.11b/g

Dự kiến sẽ được thông

qua vào tháng 11/2008

So sánh các chuẩn IEEE 802.11x

Bạn dễ dàng tạo một mạng Wi-Fi với lẫn lộn các thiết bị theo chuẩn IEEE 802.11b với IEEE 802.11g. Tất nhiên là tốc độ và khoảng cách hiệu dụng sẽ là của IEEE 802.11b. Một trở ngại với các mạng IEEE 802.11b/g và có lẽ là cả n là việc sử dụng tần số 2,4 GHz, vốn đã quá “chật chội” khi đó cũng là tần số hoạt động của máy bộ đàm, tai nghe và loa không dây... Tệ hơn nữa, các lò viba cũng sử dụng tần số này, và công suất quá lớn của chúng có thể gây ra các vẫn đề về nhiễu loạn và giao thoa.

Tuy chuẩn IEEE 802.11n chưa được thông qua nhưng khá nhiều nhà sản xuất thiết bị đã dựa trên bản thảo của chuẩn này để tạo ra những cái gọi là chuẩn G+ hoặc SuperG với tốc độ thông thường là gấp đôi giới hạn của IEEE 802.11g. Các thiết bị này tương thích ngược với IEEE 802.11b/g rất tốt nhưng tất nhiên là ở mức tốc độ giới hạn. Bên cạnh đó, bạn phải dùng các thiết bị (card mạng, router, access point...) từ cùng nhà sản xuất.



Khi chuẩn IEEE 802.11n được thông qua, các nốt kết nối theo chuẩn b/g vẫn được hưởng lợi khá nhiều từ khoảng cách kết nối nếu Access Point là chuẩn n.

Cần lưu ý, bất kể tốc độ kết nối Wi-Fi là bao nhiêu thì tốc độ “ra net” của bạn cũng chỉ giới hạn ở mức khoảng 2 mbps (tốc độ kết nối Internet). Với môi trường Internet công cộng (quán cafe Wi-Fi, thư viện...), ắt hẳn lợi thế tốc độ truyền file trong mạng cục bộ xem như không tồn tại.

2.3. CÁC THIẾT BỊ CƠ CỞ HẠ TẦNG CỦA WLAN

2.3.1. Điểm truy cập – AP (Access Point)

Các điểm truy cập không dây AP (Acsses Point) tạo ra các vùng phủ sóng, nối các nút di động tới các cơ sở hạ tầng LAN có dây. Vì các điểm truy cập cho phép mở rộng vùng phủ sóng nên các mạng không dây WLAN có thể triển khai trong cả một toà nhà hay một khu trường đại học, tạo ra một vùng truy cập không dây rộng lớn.

Nói cách khách AP cung cấp cho các máy khách (client) một điểm truy cập vào mạng "Nơi mà các máy tính dùng wireless có thể vào mạng nội bộ của công ty".

AP là một thiết bị song công(Full duplex) có mức độ thông minh tương đương với một chuyển mạch Ethernet phức tạp(Switch).

Do băng thông ghép đôi không đối xứng giữa thông tin vô tuyến và hữu tuyến nên các điểm truy cập cần có bộ đệm thích hợp và các tài nguyên của bộ nhớ. Các bộ đệm được dùng chủ yếu để lưu các gói dữ liệu ở điểm truy cập khi một nút di động cố gắng di chuyển khỏi vùng phủ sóng hoặc khi một nút di động hoạt động ở chế độ công suất thấp. Các điểm truy cập trao đổi với nhau qua mạng hữu tuyến để quản lý các nút di động. Một điểm truy cập không cần điều khiển truy cập từ nhiều nút di động (có nghĩa là có thể hoạt động với một giao thức ngẫu nhiên phân tán như CSMA). Tuy nhiên, một giao thức đa truy cập tập trung được điều khiển bởi một điểm truy cập có nhiều thuận lợi.

Thiết bị Access Point



2.3.2. Các chế độ hoạt động của AP

AP có thể giao tiếp với các máy không dây, với mạng có dây truyền thống và với các AP khác. Có 3 Mode hoạt động chính của AP:

2.3.2.1. Chế độ gốc (Root mode)

Root mode được sử dụng khi AP được kết nối với mạng backbone có dây thông qua giao diện có dây (thường là Ethernet) của nó. Hầu hết các AP sẽ hỗ trợ các mode khác ngoài root mode, tuy nhiên root mode là cấu hình mặc định. Khi một AP được kết nối với phân đoạn có dây thông qua cổng Ethernet của nó, nó sẽ được cấu hình để hoạt động trong root mode. Khi ở trong root mode, các AP được kết nối với cùng một hệ thống phân phối có dây có thể nói chuyện được với nhau thông qua phân đoạn có dây. Các client không dây có thể giao tiếp với các client không dây khác nằm trong những cell (ô tế bào, hay vùng phủ sóng của AP) khác nhau thông qua AP tương ứng mà chúng kết nối vào, sau đó các AP này sẽ giao tiếp với nhau thông qua phân đoạn có dây, như ví dụ trong hình 2-2.

Chế độ cầu gốc

2.3.2.2. Chế độ cầu nối (bridge Mode)

Trong Bridge mode, AP hoạt động hoàn toàn giống với một cầu nối không dây. Chỉ một số ít các AP trên thị trường có hỗ trợ chức năng Bridge, điều này sẽ làm cho thiết bị có giá cao hơn đáng kể. Chúng ta sẽ giải thích một cách ngắn gọn cầu nối không dây hoạt động như thế nào, từ hình 2-3, Client không kết nối với cầu nối, nhưng thay vào đó, cầu nối được sử dụng để kết nối 2 hoặc nhiều đoạn mạng có dây lại với nhau bằng kết nối không dây.


https://9rrv3w.bay.livefilestore.com/y1mobodlCSGpS2Caescpg0EAFYuZbMhyX1BO9-zbjw_Do7wrsQnjlRrZfGfT9eFgMcxYN4ndnfmHrG-8SwuMo_EAsxoHSgAYzh882rdkqr6c9QjZxEdJLa2-EvPfpfk5mCuDV9OO4lGwT8Ty_SJtb4GQQ/coverage%20area.jpg


Chế độ cầu nối

2.3.2.3. Chế độ lặp (repeater mode)

AP có khả năng cung cấp một đường kết nối không dây upstream vào mạng có dây thay vì một kết nối có dây bình thường. Một AP hoạt động như là một root AP và AP còn lại hoạt động như là một Repeater không dây. AP trong repeater mode kết nối với các client như là một AP và kết nối với upstream AP như là một client.

Chế đô lặp


https://9rrv3w.bay.livefilestore.com/y1mZfhWR_guYQnCm8PnhuHmb8mw0u6yRX2J1fU-iFx8kts0-TtGxjWsFS7cEnt_T_8ZT3aDKWtxgxrVDk9LS1JvOxxIA0nVedRcvLBS5Vrh2pDWKZm_wl98DNx9e14x1_O5LiSuD5wccWyTmeACI-4Q9Q/repeater%20mode.jpg

https://9rrv3w.bay.livefilestore.com/y1mRw7-kYwL9t_SPZhHfDLVI0Rwmh0sVYfCMjdNhzkCIYC10guGGlo7u7tQGeNTf7fgxQvrmUh8yyDJhOpE4cRKbfTZFpQtdVtkQrgkjDaDN2_Nggn60FwrFPyjEB43kERsB-oVPVCSr6gic_o68-plMg/Bridge%20mode.jpg


2.4. CÁC MÔ HÌNH MẠNG CỦA WLAN

Mạng 802.11 linh hoạt về thiết kế, gồm 3 mô hình mạng sau:

Mô hình mạng độc lập (IBSSs) hay còn gọi là mạng Ad hoc.

Mô hình mạng cơ sở (BSSs).

Mô hình mạng mở rộng (ESSs).

2.4.1. Mạng độc lập AD HOC (Independent Basic Service Sets (IBSSs) )

Mạng WLAN đơn giản, cơ bản nhất, hai PC được trang bị các card giao tiếp không dây thiết lập một mạng độc lập bất cứ khi nào mà chúng nằm trong phạm vi của nhau. Nó được gọi là mạng ngang hàng. Các mạng này không yêu cầu sự quản trị hoặc sự định cấu hình trước.

Một mạng ngang hàng không dây

Việc thiết lập một điểm truy cập mở rộng phạm vi của một mạng, phạm vi các thiết bị liên lạc được mở rộng gấp đôi. Khi điểm truy cập được nối tới mạng nối dây, mỗi khách hàng sẽ truy cập tới các tài nguyên phục vụ cũng như tới các khách hàng khác. Mỗi điểm truy cập điều tiết nhiều khách hàng, số khách hàng cụ thể phụ thuộc vào số lượng và đặc tính truyền

2.4.2. Mô hình mạng cơ sở (Basic service sets (BSSs) )

Bao gồm các điểm truy nhập AP (Access Point) gắn với mạng đường trục hữu tuyến và giao tiếp với các thiết bị di động trong vùng phủ sóng của một cell. AP đóng vai trò điều khiển cell và điều khiển lưu lượng tới mạng.

Các thiết bị di động không giao tiếp trực tiếp với nhau mà giao tiếp với các AP. Các cell có thể chồng lấn lên nhau khoảng 10-15 % cho phép các trạm di động có thể di chuyển mà không bị mất kết nối vô tuyến và cung cấp vùng phủ sóng với chi phí thấp nhất. Các trạm di động sẽ chọn AP tốt nhất để kết nối.

Một điểm truy nhập nằm ở trung tâm có thể điều khiển và phân phối truy nhập cho các nút tranh chấp, cung cấp truy nhập phù hợp với mạng đường trục, ấn định các



địa chỉ và các mức ưu tiên, giám sát lưu lượng mạng, quản lý chuyển đi các gói và duy trì theo dõi cấu hình mạng.

Tuy nhiên giao thức đa truy nhập tập trung không cho phép các nút di động truyền trực tiếp tới nút khác nằm trong cùng vùng với điểm truy nhập như trong cấu hình mạng WLAN độc lập. Trong trường hợp này, mỗi gói sẽ phải được phát đi 2 lần(từ nút phát gốc và sau đó là điểm truy nhập) trước khi nó tới nút đích, quá trình này sẽ làm giảm hiệu quả truyền dẫn và tăng trễ truyền dẫn.

Mô hình mạng cơ sở

2.4.3. Mô hình mạng mở rộng (Extended Service Set (ESSs))

Mạng 802.11 mở rộng phạm vi di động tới một phạm vi bất kì thông qua ESS. Một ESSs là một tập hợp các BSSs nơi mà các Access Point giao tiếp với nhau để chuyển lưu lượng từ một BSS này đến một BSS khác để làm cho việc di chuyển dễ dàng của các trạm giữa các BSS, Access Point thực hiện việc giao tiếp thông qua hệ thống phân phối.

Hệ thống phân phối là một lớp mỏng trong mỗi Access Point mà nó xác định đích đến cho một lưu lượng được nhận từ một BSS. Hệ thống phân phối được tiếp sóng trở lại một đích trong cùng một BSS, chuyển tiếp trên hệ thống phân phối tới một Access Point khác, hoặc gởi tới một mạng có dây tới đích không nằm trong ESS.

Các thông tin nhận bởi Access Point từ hệ thống phân phối được truyền tới BSS sẽ được nhận bởi trạm đích.



Mô hình mạng mở rộng

2.4.4. Ưu điểm, nhược diểm của WLAN

Ưu điểm

Mạng không dây không dùng cáp cho các kết nối, thay vào đó, chúng sử dụng sóng Radio. Ưu thế của mạng không dây là khả năng di động và sự tự do, người dùng không bị hạn chế về không gian và vị trí kết nối. Những ưu điểm của mạng không dây bao gồm:

Sự tiện lợi: Mạng không dây cũng như hệ thống mạng thông thường. Nó cho

phép người dùng truy xuất tài nguyên mạng ở bất kỳ nơi đâu trong khu vực được triển

khai (nhà hay văn phòng). Với sự gia tăng số người sử dụng máy tính xách tay

(laptop), đó là một điều rất thuận lợi.

Khả năng di động: Với sự phát triển của các mạng không dây công cộng,

người dùng có thể truy cập Internet ở bất cứ đâu. Chẳng hạn ở các quán Cafe, người

dùng có thể truy cập Internet không dây miễn phí.

Hiệu quả: Người dùng có thể duy trì kết nối mạng khi họ đi từ nơi này đến nơi

khác.

Triển khai: Việc thiết lập hệ thống mạng không dây ban đầu chỉ cần ít nhất 1

access point. Với mạng dùng cáp, phải tốn thêm chi phí và có thể gặp khó khăn trong

việc triển khai hệ thống cáp ở nhiều nơi trong tòa nhà.



Khả năng mở rộng: Mạng không dây có thể đáp ứng tức thì khi gia tăng số

lượng người dùng. Với hệ thống mạng dùng cáp cần phải gắn thêm cáp.

Nhược điểm

Trong một số trường hợp mạng LAN không dây có thể không như mong muốn vì một số lý do. Hầu hết chúng phải làm việc với những giới hạn vốn có của công nghệ.

Bảo mật: Môi trường kết nối không dây là không khí nên khả năng bị tấn công

của người dùng là rất cao.

Phạm vi: Một mạng chuẩn 802.11g với các thiết bị chuẩn chỉ có thể hoạt động

tốt trong phạm vi vài chục mét. Nó phù hợp trong 1 căn nhà, nhưngvới một tòa nhà lớn

thì không đáp ứng được nhu cầu. Để đáp ứng cần phải mua thêm Repeater hay access

point, dẫn đến chi phí gia tăng.

Độ tin cậy: Vì sử dụng sóng vô tuyến để truyền thông nên việc bị nhiễu, tín

hiệu bị giảm do tác động của các thiết bị khác (lò vi sóng,…) là không tránh khỏi. Làm

giảm đáng kể hiệu quả hoạt động của mạng.

Tốc độ: Tốc độ của mạng không dây (1- 125 Mbps) rất chậm so với mạng sử

dụng cáp (100 Mbps đến hàng Gbps).

2.5. BẢO MẬT MẠNG CỤC BỘ KHÔNG DÂY (WLAN)

2.5.1. Giới thiệu

Bảo mật là vấn đề hết sức quan trọng đối với người dùng trong tất cả các hệ thống mạng (LAN, WLAN…). Nhưng do bắt nguồn từ tính cố hữu của môi trường không dây. Để kết nối tới một mạng LAN hữu tuyến cần phải truy cập theo đường truyền bằng dây cáp, phải kết nối một PC vào một cổng mạng. Với mạng không dây chỉ cần có thiết bị trong vùng sóng là có thể truy cập được nên vấn đề bảo mật mạng không dây là cực kỳ quan trọng và làm đau đầu những người sử dụng mạng.

Các mạng không dây (hay vô tuyến) sử dụng sóng vô tuyến xuyên qua vật liệu của các tòa nhà và như vậy sự bao phủ là không giới hạn ở bên trong một tòa nhà. Sóng vô tuyến có thể xuất hiện trên đường phố, từ các trạm phát từ các mạng LAN. như vậy ai đó cũng có thể truy cập nhờ vào các thiết bị thích hợp. Do đó mạng không dây của một công ty cũng có thể bị truy cập từ bên ngoài tòa nhà công ty của họ.



Một người lạ truy cập vào mạng

Bảo mật là vấn đề rất quan trọng và đặc biệt rất được sự quan tâm của những doanh nghiệp. Không những thế, bảo mật cũng là nguyên nhân khiến doanh nghiệp e ngại khi cài đặt mạng cục bộ không dây (wireless LAN). Họ lo ngại về những điểm yếu trong bảo mật WEP (Wired Equivalent Privacy), và quan tâm tới những giải pháp bảo mật mới thay thế an toàn hơn.

IEEE và Wi-Fi Alliance đã phát triển các giải pháp có tính bảo mật hơn là: Bảo vệ truy cập WPA (Wi-Fi Protected Access), và IEEE 802.11i (hay còn được gọi là WPA2), bảo mật bằng xác thực 802.1x và một giải pháp tình thế khác mang tên VPN Fix cũng giúp tăng cường bảo mật mạng không dây cho môi trường mạng không dây cục bộ.

2.5.2. Một số hình thức tấn công WLAN

Tấn công và phòng chống trong mạng WLAN là vấn đề được quan tâm rất nhiều hiện nay bởi các chuyên gia trong lĩnh vực bảo mật. Nhiều giải pháp tấn công và phòng chống đã được đưa ra nhưng cho đến bây giờ chưa giải pháp nào thật sự gọi là bảo mật hoàn toàn, cho đến hiện nay mọi giải pháp phòng chống được đưa ra đều là tương đối (nghĩa là tính bảo mật trong mạng WLAN vẫn có thể bị phá vỡ bằng nhiều cách khác nhau). Vậy để tấn công một mạng WLAN như thế nào? Và giải pháp phòng chống ra sao? Chúng ta sẽ cùng tìm hiểu rõ hơn trong phần dưới đây.

Theo rất nhiều tài liệu nghiên cứu, hiện tại để tấn công vào mạng WLAN thì các Attacker có thể sử dụng một trong những cách sau:

Rogue Access Point

De-authentication Flood Attack

Fake Access Point



Tấn công dựa trên sự cảm nhận lớp vật lý

Disassociation Flood Attack

2.5.2.1. Rogue Access Point

Access Point giả mạo được dùng để mô tả những Access Point được tạo ra một cách vô tình hay cố ý làm ảnh hưởng đến hệ thống mạng hiện có. Nó được dùng để chỉ các thiết bị hoạt động không dây trái phép mà không quan tâm đến mục đích sử dụng của chúng. Được phân thành nhiều loại sau:

Access Point được cấu hình không hoàn chỉnh

Một Access Point có thể bất ngờ trở thành một thiết bị giả mạo do sai sót trong việc cấu hình. Ví dụ như sự thay đổi trong Service Set Identifier (SSID), thiết lập xác thực, thiết lập mã hóa,… điều nghiêm trọng nhất là chúng sẽ không thể xác thực các kết nối nếu bị cấu hình sai.

Ví dụ: Trong trạng thái xác thực mở (open mode authentication) các người dùng không dây ở trạng thái 1 (chưa xác thực và chưa kết nối) có thể gửi các yêu cầu xác thực đến một Access Point và được xác thực thành công sẽ chuyển sang trang thái 2 (được xác thực nhưng chưa kết nối). Nếu một Access Point không xác nhận sự hợp lệ của một máy khách do lỗi trong cấu hình, kẻ tấn công có thể gửi một số lượng lớn yêu cầu xác thực, làm tràn bảng yêu cầu kết nối của các máy khách ở Access Point, làm cho Access Point từ chối truy cập của các người dùng khác bao gồm cả người dùng được phép truy cập.

Access Point giả mạo do kẻ tấn công tạo ra

Đây là kiểu tấn công mà tin tặc đứng ở giữa và trộm lưu lượng truyền giữa 2 nút. Kiểu tấn công này rất mạnh vì tin tặc có thể trộm tất cả lưu lượng đi qua mạng. Tin tặc cần phải tạo ra một AP thu hút nhiều sự lựa chọn hơn AP chính thống. AP giả này có thể được thiết lập bằng cách sao chép tất cả các cấu hình của AP chính thống đó là: SSID, địa chỉ MAC v.v…Bước tiếp theo là làm cho nạn nhân thực hiện kết nối tới AP giả.



AP giả mạo do kẻ tấn công tao ra

Cách thứ nhất là đợi cho nguời dùng tự kết nối. Cách thứ hai là gây ra một cuộc tấn công từ chối dịch vụ DoS trong AP chính thống do vậy nguời dùng sẽ phải kết nối lại với AP giả.

Trong mạng 802.11 sự lựa chọn AP được thực hiện bởi cường độ của tín hiệu nhận. Điều duy nhất tin tặc phải thực hiện là chắc chắn rằng AP của mình có cường độ tín hiệu mạnh hơn cả. Để có được điều đó tin tặc phải đặt AP của mình gần người bị lừa hơn là AP chính thống hoặc sử dụng kỹ thuật anten định hướng. Sau khi nạn nhân kết nối tới AP giả, nạn nhân vẫn hoạt động như bình thường do vậy nếu nạn nhân kết nối đến một AP chính thống khác thì dữ liệu của nạn nhân đều đi qua AP giả. Tin tặc sẽ sử dụng các tiện ích để ghi lại mật khẩu của nạn nhân khi trao đổi với Web Server. Như vậy tin tặc sẽ có được tất cả những gì anh ta muốn để đăng nhập vào mạng chính thống. Kiểu tấn công này tồn tại là do trong 802.11 không yêu cầu xác thực 2 hướng giữa AP và nút. AP phát quảng bá ra toàn mạng. Điều này rất dễ bị tin tặc nghe trộm và do vậy tin tặc có thể lấy được tất cả các thông tin mà chúng cần. Các nút trong mạng sử dụng WEP để xác thực chúng với AP nhưng WEP cũng có những lỗ hổng có thể khai thác. Một tin tặc có thể nghe trộm thông tin và sử dụng bộ phân tích mã hoá để trộm mật khẩu của người dùng.

Access Point giả mạo thiết lập bởi chính nhân viên của công ty

Vì sự tiện lợi của mạng không dây một số nhân viên của công ty đã tự trang bị Access Point và kết nối chúng vào mạng có dây của công ty. Do không hiểu rõ và nắm vững về bảo mật trong mạng không dây nên họ vô tình tạo ra một lỗ hỏng lớn về bảo mật. Những người lạ vào công ty và hacker bên ngoài có thể kết nối đến Access Point không được xác thực để đánh cắp băng thông, đánh cắp thông tin nhạy cảm của công ty, sự dụng hệ thống mạng của công ty tấn công người khác,…



2.5.2.2. Tấn công yêu cầu xát thực lại

Mô hình tấn công “yêu cầu xác thực lại”

- Kẻ tấn công xác định mục tiêu tấn công là các người dùng trong mạng wireless

và các kết nối của họ (Access Point đến các kết nối của nó).

- Chèn các frame yêu cầu xác thực lại vào mạng WLAN bằng cách giả mạo địa

chỉ MAC nguồn và đích lần lượt của Access Point và các người dùng.

- Người dùng wireless khi nhận được frame yêu cầu xác thực lại thì nghĩ rằng

chúng do Access Point gửi đến.

- Sau khi ngắt được một người dùng ra khỏi dịch vụ không dây, kẻ tấn công tiếp

tục thực hiện tương tự đối với các người dùng còn lại.

- Thông thường người dùng sẽ kết nối lại để phục hồi dịch vụ, nhưng kẻ tấn công

đã nhanh chóng tiếp tục gửi các gói yêu cầu xác thực lại cho người dùng.

2.5.3. Một số giải pháp bảo mật WLAN

Với mạng không dây ta chỉ cần có máy của ta trong vùng sóng bao phủ của mạng không dây. Điều khiển cho mạng có dây là đơn giản: đường truyền bằng cáp thông thường được đi trong các tòa nhà cao tầng và các port không sử dụng có thể làm cho nó disable bằng các ứng dụng quản lý. Các mạng không dây (hay vô tuyến) sử dụng sóng vô tuyến xuyên qua vật liệu của các tòa nhà và như vậy sự bao phủ là không giới hạn ở bên trong một tòa nhà. Sóng vô tuyến có thể xuất hiện trên đường phố, từ các trạm phát từ các mạng LAN này, và như vậy ai đó có thể truy cập nhờ thiết bị thích hợp. Do đó mạng không dây của một công ty cũng có thể bị truy cập từ bên ngoài tòa nhà công ty của họ.

Với giá thành xây dựng một hệ thống mạng WLAN giảm, ngày càng có nhiều công ty sử dụng. Điều này sẽ không thể tránh khỏi việc Hacker chuyển sang tấn công



và khai thác các điểm yếu trên nền tảng mạng sử dụng chuẩn 802.11. Những công cụ Sniffers cho phép tóm được các gói tin giao tiếp trên mạng, họ có thể phân tích và lấy đi những thông tin quan trọng của chúng ta.

Giải pháp bảo mật mạng không dây

2.5.3.1. WEP

WEP (Wired Equivalent Privacy) có nghĩa là bảo mật không dây tương đương với có dây. Thực ra, WEP đã đưa cả xác thực người dùng và đảm bảo an toàn dữ liệu vào cùng một phương thức không an toàn. WEP sử dụng một khoá mã hoá không thay đổi có độ dài 64 bit hoặc 128 bit, (nhưng trừ đi 24 bit sử dụng cho vector khởi tạo khoá mã hoá, nên độ dài khoá chỉ còn 40 bit hoặc 104 bit) được sử dụng để xác thực các thiết bị được phép truy cập vào trong mạng và cũng được sử dụng để mã hoá truyền dữ liệu.

Rất đơn giản, các khoá mã hoá này dễ dàng bị "bẻ gãy" bởi thuật toán brute-force và kiểu tấn công thử lỗi (trial-and-error). Các phần mềm miễn phí như Airsnort hoặc WEPCrack sẽ cho phép hacker có thể phá vỡ khoá mã hoá nếu họ thu thập đủ từ 5 đến 10 triệu gói tin trên một mạng không dây. Với những khoá mã hoá 128 bit cũng không khá hơn: 24 bit cho khởi tạo mã hoá nên chỉ có 104 bit được sử dụng để mã hoá, và cách thức cũng giống như mã hoá có độ dài 64 bit nên mã hoá 128 bit cũng dễ dàng bị bẻ khoá.

Không dự đoán được những lỗi trong khoá mã hoá, WEP có thể được tạo ra cách bảo mật mạnh mẽ hơn nếu sử dụng một giao thức xác thực mà cung cấp mỗi khoá mã hoá mới cho mỗi phiên làm việc. Khoá mã hoá sẽ thay đổi trên mỗi phiên làm việc. Điều này sẽ gây khó khăn hơn cho hacker thu thập đủ các gói dữ liệu cần thiết để có thể bẽ gãy khoá bảo mật.



2.5.3.2. WPA

WPA (WI-FI PROTECTED ACCESS:) WEP được xây dựng để bảo vệ một mạng không dây tránh bị nghe trộm. Nhưng nhanh chóng sau đó người ta phát hiện ra nhiều lổ hỏng ở công nghệ này. Do đó, công nghệ mới có tên gọi WPA (Wi-Fi Protected Access) ra đời, khắc phục được nhiều nhược điểm của WEP.

Trong những cải tiến quan trọng nhất của WPA là sử dụng hàm thay đổi khoá TKIP. WPA cũng sử dụng thuật toán RC4 như WEP, nhưng mã hoá đầy đủ 128 bit. Và một đặc điểm khác là WPA thay đổi khoá cho mỗi gói tin. Các công cụ thu thập các gói tin để phá khoá mã hoá đều không thể thực hiện được với WPA. Bởi WPA thay đổi khoá liên tục nên hacker không bao giờ thu thập đủ dữ liệu mẫu để tìm ra mật khẩu.

Không những thế, WPA còn bao gồm kiểm tra tính toàn vẹn của thông tin (Message Integrity Check). Vì vậy, dữ liệu không thể bị thay đổi trong khi đang ở trên đường truyền. WPA có sẵn 2 lựa chọn: WPA Personal và WPA Enterprise. Cả 2 lựa chọn đều sử dụng giao thức TKIP, và sự khác biệt chỉ là khoá khởi tạo mã hóa lúc đầu. WPA Personal thích hợp cho gia đình và mạng văn phòng nhỏ, khoá khởi tạo sẽ được sử dụng tại các điểm truy cập và thiết bị máy trạm. Trong khi đó, WPA cho doanh nghiệp cần một máy chủ xác thực và 802.1x để cung cấp các khoá khởi tạo cho mỗi phiên làm việc.

2.5.3.3. WPA2

Một giải pháp về lâu dài là sử dụng 802.11i tương đương với WPA2, được chứng nhận bởi Wi-Fi Alliance. Chuẩn này sử dụng thuật toán mã hoá mạnh mẽ và được gọi là Chuẩn mã hoá nâng cao AES. AES sử dụng thuật toán mã hoá đối xứng theo khối Rijndael, sử dụng khối mã hoá 128 bit, và 192 bit hoặc 256 bit. Để đánh giá chuẩn mã hoá này, Viện nghiên cứu quốc gia về Chuẩn và Công nghệ của Mỹ, NIST (National Institute of Standards and Technology), đã thông qua thuật toán mã đối xứng này.

Lưu ý: Chuẩn mã hoá này được sử dụng cho các cơ quan chính phủ Mỹ để bảo vệ các thông tin nhạy cảm.

Trong khi AES được xem như là bảo mật tốt hơn rất nhiều so với WEP 128 bit hoặc 168 bit DES (Digital Encryption Standard). Để đảm bảo về mặt hiệu năng, quá trình mã hoá cần được thực hiện trong các thiết bị phần cứng như tích hợp vào chip. Tuy nhiên, rất ít người sử dụng mạng không dây quan tâm tới vấn đề này.



CHƯƠNG 3. BẢO MẬT WLAN BẰNG PHƯƠNG PHÁP XÁT

THỰC RADIUS SERVER

3.1. GIỚI THIỆU

RADIUS là giao thức bảo mật mạng dựa theo mô hình client-server. Nó dùng giao thức UDP. RADIUS server thường chạy trên máy tính. Client là các dạng thiết bị có thể truyền thông tin đến RADIUS server được chỉ định trước và sau đó đóng vai trò phúc đáp mà nó trả về. Giao tiếp giữa client và RADIUS server được xác thực thông qua việc sử dụng khóa bí mật chung không được truyền qua mạng.

Việc bảo mật WLAN sử dụng chuẩn 802.1x kết hợp với xác thực người dùng trên Access Point (AP). Một máy chủ thực hiện việc xác thực trên nền tảng RADIUS có thể là một giải pháp tốt cung cấp xác thực cho chuẩn 802.1x.

Trong phần này này tôi sẽ giới thiệu cách thức làm việc của RADIUS và vì sao phải cần máy chủ RADIUS để hỗ trợ việc xác thực cho WLAN.

3.1.1. Xác thực, cấp phép và kiểm toán

Giao thức Remote Authentication Dial In User Service (RADIUS) được định nghĩa trong RFC 2865 như sau: Với khả năng cung cấp xác thực tập trung, cấp phép và điều khiển truy cập (Authentication, Authorization, và Accounting – AAA) cho các phiên làm việc với SLIP và PPP Dial-up – như việc cung cấp xác thực của các nhà cung cấp dịch vụ Internet (ISP) đều dựa trên giao thức này để xác thực người dùng khi họ truy cập Internet.

Các dịch vụ AAA được chia thành ba phần, xác thực (authentication), cấp quyền (accounting), tính cước (accounting). Ta sẽ tìm hiểu sự khác nhau của ba phần này và cách thức chúng làm việc như thể nào. Điều quan trọng nhất là hiểu về các kiểu khác nhau của tính cước (accounting).

Xát thực (Authentication)

Xác thực dùng để nhận dạng (identify) người dùng. Trong suốt quá trình xác thực, username và password của người dùng được kiểm tra và đối chiếu với cơ sở dữ liệu lưu trong AAA Server. Tất nhiên, tùy thuộc vào giao thức mà AAA hỗ trợ mã hóa đến đâu, ít nhất thì cũng mã hóa username và password.

Xác thực sẽ xác định người dùng là ai. Ví dụ: Người dùng có username là THIEN và mật khẩu là L@bOnlin3 sẽ là hợp lệ và được xác thực thành công với hệ thống. Sau khi xác thực thành công thì người dùng đó có thể truy cập được vào mạng. Tiến trình này chỉ là một trong các thành phần để điều khiển người dùng với AAA.



Một khi username và password được chấp nhận, AAA có thể dùng để định nghĩa thẩm quyền mà người dùng được phép làm trong hệ thống.

Thẩm quyền (Authorization)

Authorization cho phép nhà quản trị điều khiển việc cấp quyền trong một khoảng thời gian, hay trên từng thiết bị, từng nhóm, từng người dùng cụ thể hay trên từng giao thức. AAA cho phép nhà quản trị tạo ra các thuộc tính mô tả các chức năng của người dùng được phép làm. Do đó, người dùng phải được xác thực trước khi cấp quyền cho người đó. AAA Authorization làm việc giống như một tập các thuộc tính mô tả những gì mà người dùng đã được xác thực có thể có. Ví dụ: người dùng THIEN sau khi đã xác thực thành công có thể chỉ được phép truy cập vào server VNLABPRO_SERVER thông qua FTP. Những thuộc tính này được so sánh với thông tin chứa trong cơ sở dữ liệu của người dùng đó và kết quả được trả về AAA để xác định khả năng cũng như giới hạn thực tế của người đó. Điều này yêu cầu cơ sở dữ liệu phải giao tiếp liên tục với AAA server trong suốt quá trình kết nối đến thiết bị truy cập từ xa (RAS).

Tính cước (Accounting)

Accounting cho phép nhà quản trị có thể thu thập thông tin như thời gian bắt đầu, thời gian kết thúc người dùng truy cập vào hệ thống, các câu lệnh đã thực thi, thống kê lưu lượng, việc sử dụng tài nguyên và sau đó lưu trữ thông tin trong hệ thống cơ sở dữ liệu quan hệ. Nói cách khác, accounting cho phép giám sát dịch vụ và tài nguyên được người dùng sử dụng. Ví dụ: thống kê cho thấy người dùng có tên truy cập là THIEN đã truy cập vào VNLABPRO_SERVER bằng giao thức FTP với số lần là 5 lần. Điểm chính trong Accounting đó là cho phép người quản trị giám sát tích cực và tiên đoán được dịch vụ và việc sử dụng tài nguyên. Thông tin này có thể được dùng để tính cước khách hàng, quản lý mạng, kiểm toán sổ sách.

3.1.2. Nguyên lý hoạt động Radius Server

Việc chứng thực của 802.1x được thực hiện trên một server riêng, server này sẽ quản lý các thông tin để xác thực người sử dụng như tên đăng nhập (username), mật khẩu (password) vv.. Khi người dùng gửi yêu cầu chứng thực, server này sẽ tra cứu dữ liệu để xem người dùng này có hợp lệ không, được cấp quyền truy cập đến mức nào, vv.. Nguyên lý này được gọi là RADIUS (Remote Authentication Dial-in User Service) Server - Máy chủ cung cấp dịch vụ chứng thực người dùng từ xa. Phương thức này xuất hiện từ ban đầu với mục đích là thực hiện qua đường điện thoại, ngày nay không chỉ thực hiện qua quay số mà còn có thể thực hiện trên những đường truyền khác nhưng người ta vấn giữ tên RADIUS.



Mô hình xác thực giữa Client và RADIUS Server.

Các quá trình liên kết và xác thực được tiến hành như mô tả trong hình trên, và thực hiện theo các bước sau:

Quá trình chứng thực RADIUS Server

1. Máy tính Client gửi yêu cầu kết nối đến AP

2. AP thu thập các yêu cầu của Client và gửi đến RADIUS server

3. RADIUS server gửi đến Client yêu cầu nhập user/password



4. Client gửi user/password đến RADIUS Server

5. RADIUS server kiểm tra user/password có đúng không, nếu đúng thì

RADIUS server sẽ gửi cho Client mã khóa chung

6. Đồng thời RADIUS server cũng gửi cho AP mã khóa này và đồng thời

thông báo với AP về quyền và phạm vi được phép truy cập của Client này

7. Client và AP thực hiện trao đổi thông tin với nhau theo mã khóa được cấp

Để nâng cao tính bảo mật, RADIUS Server sẽ tạo ra các khóa dùng chung khác nhau cho các máy khác nhau trong các phiên làm việc (session) khác nhau, thậm chí là còn có cơ chế thay đổi mã khóa đó thường xuyên theo định kỳ. Khái niệm khóa dùng chung lúc này không phải để chỉ việc dùng chung của các máy tính Client mà để chỉ việc dùng chung giữa Client và AP.

3.1.3. Sự bảo mật và tính mở rộng

Tất cả các message của RADIUS đều được đóng gói bởi UDP datagrams, nó bao gồm các thông tin như: message type, sequence number, length, Authenticator, và một loạt các Attribute-Value.

Authenticator: Tác dụng của Authenticator là cung cấp một chế độ bảo mật. NAS và AAA Server sử dụng Authenticator để hiểu đuợc các thông tin đã được mã hóa của nhau như mật khẩu chẳng hạn. Authenticator cũng giúp NAS phát hiện sự giả mạo của gói tin RADIUS Responses. Cuối cùng, Authenticator được sử dụng làm cho để biễn password thành một dạng nào đó, ngăn chặn việc làm lộ mật khẩu của người dùng trong các message RADIUS.

Authenticator giúp cho quá trình giao tiếp giữa NAS và máy chủ AAA được bảo mật nhưng nếu kẻ tấn công tóm được cả hai gói tin RADIUS Access-Request và Access-Response thì có thể thực hiện "dictionary attack" để phân tích việc đóng gói này. Trong điều kiện thực tế để việc giải mã khó khăn bạn cần phải sử dụng những thông số dài hơn, toàn bộ vấn đề có khả năng nguy hại cho quá trình truyền tải này được miêu tả rất kỹ trong RFC 3580.

Attribute-Value Pairs: Thông tin được mang bởi RADIUS đuợc miêu tả trong một dạng Attribute-Value, để hỗ trợ cho nhiều công nghệ khác nhau, và nhiều phương thức xác thực khác nhau. Một chuẩn được định nghĩa trong Attribute-Value pairs (cặp đôi), bao gồm User-Name, User-Password, NAS-IPAddress, NAS-Port, Service-Type. Các nhà sản xuất (vendors) cũng có thể định nghĩa Attribute-Value pairs để mang các thông tin của mình như Vendor-Specific toàn bộ ví dụ này được miêu tả trong RFC 2548 - Định nghĩ Microsoft Attribute-Value pair trong MS-CHAP.



Thêm vào đó, rất nhiều chuẩn Attribute-Value pairs được định nghĩa trong nhiều năm để hỗ trợ Extensible Authentication Protocol (EAP), một dạng khác cũ hơn của nó là PAP và CHAP dial-up protocol. Bạn có thể tìm thấy trong tài liệu RFC 3579 cho phiên bản mới nhất của RADIUS hỗ trợ EAP. Trong phần này sẽ nói rất rõ về hỗ trợ xác thực cho WLAN, từ khi chuẩn EAP được sử dụng cho 802.1x Port Access Control để cho phép xác thực từ bên ngoài cho wireless.

3.1.4. Áp dụng RADIUS cho WLAN

Trong một mạng Wireless sử dụng 802.1x Port Access Control, các máy trạm sử dụng wireless với vai trò Remote User và Wireless Access Point làm việc như một Network Access Server (NAS). Để thay thế cho việc kết nối đến NAS với dial-up như giao thức PPP, wireless station kết nối đến Access Point bằng việc sử dụng giao thức 802.11.

Một quá trình được thực hiện, wireless station gửi một message EAP-Start tới Access Point. Access Point sẽ yêu cầu station nhận dạng và chuyển các thông tin đó tới một AAA Server với thông tin là RADIUS Access-Request User-Name attribute.

Máy chủ AAA và wireless station hoàn thành quá trình bằng việc chuyển các thông tin RADIUS Access-Challenge và Access-Request qua Access Point. Được quyết định bởi phía trên là một dạng EAP, thông tin này được chuyển trong một đường hầm được mã hoá TLS (Encypted TLS Tunnel).

Nếu máy chủ AAA gửi một message Access-Accept, Access Point và wireless station sẽ hoàn thành quá trình kết nối và thực hiện phiên làm việc với việc sử dụng WEP hay TKIP để mã hoá dữ liệu. Và tại điểm đó, Access Point sẽ không cấm cổng và wireless station có thể gửi và nhận dữ liệu từ hệ thống mạng một cách bình thường.

Cần lưu ý là mã hoá dữ liệu từ wireless station tới Access Point khác với quá trình mã hoá từ Access Point tới máy chủ AAA Server (RADIUS Server).

Nếu máy chủ AAA gửi một message Access-Reject, Access Point sẽ ngắt kết nối tới station. Station có thể cố gắng thử lại quá tình xác thực, nhưng Access Point sẽ cấm station này không gửi được các gói tin tới các Access Point ở gần đó. Chú ý là station này hoàn toàn có khả năng nghe được các dữ liệu được truyền đi từ các stations khác – Trên thực tế dữ liệu được truyền qua sóng radio và đó là câu trả lời tại sao bạn phải mã hoá dữ liệu khi truyền trong mạng không dây.

Attribute-Value pare bao gồm trong message của RADIUS có thể sử dụng bởi máy chủ AAA để quyết định phiên làm việc giữa Access Point và wireless station, như Sesstion-Timeout hay VLAN Tag (Tunnel-Type=VLAN, Tunnel-Private-Group-ID=tag). Chính xác các thông tin thêm vào có thể phụ thuộc vào máy chủ AAA Server hay Access Point và station bạn sử dụng.


Documents

Chuyende Radius