Đồ án Nghiên cứu bản đảm an toàn thông tin bằng kiểm soát truy nhập

58 trang yendo 6220

Download

Bạn đang xem 20 trang mẫu của tài liệu "Đồ án Nghiên cứu bản đảm an toàn thông tin bằng kiểm soát truy nhập", để tải tài liệu gốc về máy bạn click vào nút DOWNLOAD ở trên

Tài liệu đính kèm:

do_an_nghien_cuu_ban_dam_an_toan_thong_tin_bang_kiem_soat_tr.pdf

Nội dung text: Đồ án Nghiên cứu bản đảm an toàn thông tin bằng kiểm soát truy nhập

Bé gi¸o dôc vμ ®μo t¹o Tr−êng ®¹i häc d©n lËp h¶i phßng o0o ISO 9001:2000 ®å ¸n tèt nghiÖp Ngμnh c«ng nghÖ th«ng tin H¶i Phßng 2007
Bé gi¸o dôc vμ ®μo t¹o Tr−êng ®¹i häc d©n lËp h¶i phßng o0o NGHI£N CøU B¶O §¶M AN TOμN TH¤NG TIN B»NG KIÓM SO¸T TRUY NHËP ®å ¸n tèt nghiÖp ®¹i häc hÖ chÝnh quy Ngμnh: C«ng nghÖ Th«ng tin H¶i Phßng - 2007
Bé gi¸o dôc vμ ®μo t¹o Tr−êng ®¹i häc d©n lËp h¶i phßng o0o NGHI£N CøU B¶O §¶M AN TOμN TH¤NG TIN B»NG KIÓM SO¸T TRUY NHËP ®å ¸n tèt nghiÖp ®¹i häc hÖ chÝnh quy Ngμnh: C«ng nghÖ Th«ng tin Sinh viªn thùc hiÖn: §oμn Träng HiÖp Gi¸o viªn h−íng dÉn: PGS . TS TrÞnh NhËt TiÕn M· sè sinh viªn: 10276
bé gi¸o dôc vμ ®μo t¹o céng hoμ x· héi chñ nghÜa viÖt nam tr−êng ®¹i häc d©n lËp h¶i phßng §éc lËp - Tù do - H¹nh phóc o0o nhiÖm vô thiÕt kÕ tèt nghiÖp Sinh viªn: §oμn Träng Hiªp M· sè: 10276 Líp: CT701 Ngμnh: C«ng nghÖ Th«ng tin Tªn ®Ò tμi: Nghiªn cøu b¶o ®¶m an toμn th«ng tin b»ng kiÓm so¸t truy nhËp
nhiÖm vô ®Ò tμi 1. Néi dung vμ c¸c yªu cÇu cÇn gi¶i quyÕt trong nhiÖm vô ®Ò tμi tèt nghiÖp a. Néi dung: b. C¸c yªu cÇu cÇn gi¶i quyÕt 2. C¸c sè liÖu cÇn thiÕt ®Ó thiÕt kÕ, tÝnh to¸n 3. §Þa ®iÓm thùc tËp
c¸n bé h−íng dÉn ®Ò tμi tèt nghiÖp Ng−êi h−íng dÉn thø nhÊt: Hä vμ tªn: Häc hμm, häc vÞ: C¬ quan c«ng t¸c: Néi dung h−íng dÉn: Ng−êi h−íng dÉn thø hai: Hä vμ tªn: Häc hμm, häc vÞ C¬ quan c«ng t¸c: Néi dung h−íng dÉn: §Ò tμi tèt nghiÖp ®−îc giao ngμy 7 th¸ng 05 n¨m 2007 Yªu cÇu ph¶i hoμn thμnh tr−íc ngμy 31 th¸ng 07 n¨m 2007 §· nhËn nhiÖm vô: §.T.T.N §· nhËn nhiÖm vô: §.T.T.N Sinh viªn C¸n bé h−íng dÉn §.T.T.N H¶i Phßng, ngμy th¸ng n¨m 2007 HiÖu tr−ëng GS.TS.NGT TrÇn H÷u NghÞ
PhÇn nhËn xÐt tãm t¾t cña c¸n bé h−íng dÉn 1. Tinh thÇn th¸i ®é cña sinh viªn trong qu¸ tr×nh lμm ®Ò tμi tèt nghiÖp: 2. §¸nh gi¸ chÊt l−îng cña ®Ò tμi tèt nghiÖp (so víi néi dung yªu cÇu ®· ®Ò ra trong nhiÖm vô ®Ò tμi tèt nghiÖp) 3. Cho ®iÓm cña c¸n bé h−íng dÉn: ( §iÓm ghi b»ng sè vμ ch÷ ) Ngμy th¸ng n¨m 2007 C¸n bé h−íng dÉn chÝnh ( Ký, ghi râ hä tªn )
PhÇn nhËn xÐt ®¸nh gi¸ cña c¸n bé chÊm ph¶n biÖn ®Ò tμi tèt nghiÖp 1. §¸nh gi¸ chÊt l−îng ®Ò tμi tèt nghiÖp (vÒ c¸c mÆt nh− c¬ së lý luËn, thuyÕt minh ch−¬ng tr×nh, gi¸ trÞ thùc tÕ, ) 2. Cho ®iÓm cña c¸n bé ph¶n biÖn ( §iÓm ghi b»ng sè vμ ch÷ ) Ngμy th¸ng n¨m 2007 C¸n bé chÊm ph¶n biÖn ( Ký, ghi râ hä tªn )
MỤC LỤC MỤC LỤC 1 LỜI CÁM ƠN 3 LỜI NÓI ĐẦU 4 CHƢƠNG 1: MỘT SỐ KHÁI NIỆM CƠ SỞ 7 1.1 KHÁI NIỆM MÃ HOÁ. 7 1.1.1 Hệ mã hóa. 7 1.1.2 Một số hệ mã hóa thƣờng dùng. 7 1.2 SƠ ĐỒ CHỮ KÍ ĐIỆN TỬ. 9 1.3 HÀM BĂM (HASH FUNCTION). 10 1.4 TỔNG QUAN VỀ ATTT. 11 1.4.1 Một số khái niệm. 11 1.4.2 Một số bài toán trong ATTT. 11 1.4.3 Các yêu cầu về đảm bảo ATTT. 12 1.4.4 Một số giải pháp chung bảo đảm ATTT. 13 CHƢƠNG 2: VẤN ĐỀ KIỂM SOÁT TRUY NHẬP. 14 2.1 MỘT SỐ PHƢƠNG PHÁP KIỂM SOÁT TRUY NHẬP. 14 2.1.1 Kiểm soát truy cập trực tiếp. 14 2.1.1.1 Hệ thống kiểm soát truy cập trực tiếp. 14 2.1.1.2 Mật khẩu. 16 2.2.2 Kiểm soát truy nhập “tự động”. 21 2.2 MỘT SỐ CHÍNH SÁCH TRUY CẬP. 22 2.2.1 Kiểm soát truy cập tuỳ quyền 22 2.2.3 Kiểm soát truy cập bắt buộc 24 2.3 MỘT SỐ KĨ THUẬT KIỂM SOÁT TRUY NHẬP. 25 2.3.1 Hệ thống nhận dạng và xác thực. 25 2.3.2 Tƣờng lửa (Firewall) 27 2.3.2.1 Khái niệm tƣờng lửa. 27 2.3.2.2 Phân loại tƣờng lửa. 27 2.3.2.3 Nhận dạng tƣờng lửa. 27 2.3.2.4 Những hạn chế của Firewall. 31 2.3.3 Mạng riêng ảo (Virtual Private Network - VPN). 32 2.3.3.1 Khái niệm mạng riêng ảo. 32 1
2.3.3.2 Các mô hình VPN. 32 2.3.4 Hệ thống phát hiện và ngăn chặn xâm nhập. 33 2.3.4.1 Hệ thống phát hiện xâm nhập (Intrusion Detect System - IDS). 33 2.3.4.2 Hệ thống ngăn chặn xâm nhập (Intrusion Prevent System-IPS). 36 2.3.4.3 Những hạn chế của IDS /IPS. 40 2.3.5 Tƣờng lửa ứng dụng Web (Web Application Firewall - WAF). 41 2.3.5.1 Khái niệm WAF. 41 2.3.5.2 Các tính năng của WAF 42 2.4 VẤN ĐỀ PHÂN QUYỀN TRUY NHẬP. 45 2.4.1 Kiểm soát truy nhập. 45 2.4.2 Cơ chế kiểm soát truy nhập. 48 KẾT LUẬN 49 TÀI LIỆU THAM KHẢO 50 2
LỜI CÁM ƠN Em xin chân thành cám ơn PGS. TS Trịnh Nhật Tiến đã tận tình hướng dẫn, giúp đỡ trong quá trình hoàn thành đồ án, cũng như các thầy cô trong khoa CNTT trường ĐHDL Hải Phòng đã luôn tạo điều kiện cho chúng em hoàn thành tốt nhiệm vụ được giao. Em cám ơn gia đình và nhà trường đã luôn tạo điều kiện thuận lợi cho em trong suốt quá trình học tập. Hải phòng 21 tháng 7 năm 2007. Sinh viên Đoàn Trọng Hiệp. 3
LỜI NÓI ĐẦU Khoá luận trình bày về bảo đảm ATTT trong kiểm soát truy nhập. Khoá luận tập trung vào một số phương pháp kiểm soát truy nhập, một số chính sách truy cập, và một số kĩ thuật kiểm soát truy nhập. Nội dung của khoá luận gồm: Chương 1: Tập trung vào trình bày một số khái niệm cơ bản liên quan đến ATTT như: hệ mã hoá, chữ kí điện tử, hàm băm. Ngoài ra, cũng trình bày một cách tổng quan về vấn đề ATTT như: các yêu cầu và giải pháp bảo đảm ATTT. Đồng thời cũng nêu ra các bài toán ATTT. Chương 2: Cho chúng ta những hiểu biết chung về vấn đề kiểm soát truy nhập. Phần này, tập trung vào trình bày một số phương pháp kiểm soát truy nhập, chính sách truy nhập, và kĩ thuật kiểm soát truy nhập. Trình bày 2 phương pháp thường được sử dụng trong kiểm soát truy nhập, đó là kiểm soát truy nhập “trực tiếp” và kiểm soát truy nhập “tự động”. Trình bày một số chính sách kiểm soát truy nhập. Ở phần này, cho chúng ta cái nhìn tổng quan về các chính sách kiểm soát truy nhập. Tiếp theo, khoá luận trình bày 5 kĩ thuật kiểm soát truy nhập. Đó là, hệ thống nhận dạng và xác thực, tường lửa, mạng riêng ảo, hệ thống phát hiện và ngăn chặn xâm nhập, và tường lửa ứng dụng web. Ở phần này, ngoài việc cho chúng ta có những khái niệm cơ bản, còn chỉ ra những ưu nhược điểm của từng kĩ thuật. Trong quá trình hoàn thành đồ án tốt nghiệp, người viết không tránh khỏi thiếu sót. Rất mong nhận được sự đóng góp ý kiến của thấy cô và các bạn. 4
Bảng danh mục các từ, thuật ngữ ACL (Access Control List) Danh sách kiểm soát truy cập. ATTT An toàn thông tin. CA (Certificate Authourity) Tổ chức cấp chứng chỉ Cisco ACL Danh sách kiểm soát truy cập của Cisco CSDL Cơ sở dữ liệu DAC (Discretionary Access Control) Kiểm soát truy cập tuỳ quyền. DDoS (Distrubuted DoS) Từ chối dịch vụ phân tán. DES (Data Encrytion Standard) DoS ( Denial of Service) Từ chối dịch vụ. DSS (Digital Signature Standard) FTP (File Transfer Protocol) Giao thức truyền file. gcd (greatest common divion) Ước số chung lớn nhất HIDS (Host IDS) HTTP (Hypertext Transfer Protocol) Giao thức truyền siêu văn bản. ICMP (Internet Control Message Giao thức kiểm soát thông điệp mạng. Protocol) IDS (Intrustion Detect System) Hệ thống phát hiện xâm nhập. IETF (Internet Engineering Task Force) IPS (Intrustion Prevent System) Hệ thống ngăn chặn xâm nhập. ISP (Internet Service Providers) Nhà quản lí thiết bị mạng. LBAC (Lattice Based Access Control) Kiểm soát truy cập dùng lưới. MAC (Mandatory Access Control) Kiểm soát truy cập bắt buộc. NIC (Network Interface Card) Card giao tiếp mạng. NIDS (Network base IDS) PIN (Personal Identification Number ) Số định danh cá nhân 5
PKI (Public Key Infrastructure) Hạ tầng cơ sở khoá công khai. RBAC (Role Base Access Control) Kiểm soát truy cập trên cơ sở vai trò. SNMP (Simple Network Managerment Giao thức quản lí mạng. Protocol) SSL (Secure Socket Layer) Khe cắm an toàn. SYN (Synchronize) Đồng bộ. TA (Trusted Authority) Cơ quan uỷ thác cấp chứng thực. TCP (Transmission Control Protocol) TCP/ IP (Transfer Control Protocol/ Internet Protocol) UDP (User Datagram Protocol) URL (Uniform Resource Locator) WAF (Web Application Firewall) Tường lửa ứng dụng web. 6
CHƢƠNG 1: MỘT SỐ KHÁI NIỆM CƠ SỞ 1.1 KHÁI NIỆM MÃ HOÁ. 1.1.1 Hệ mã hóa. Hệ mã hóa là bộ gồm 5 thành phần (P, C, K, E, D) trong đó: P (Plaintext): tập hữu hạn các bản rõ có thể. C (Ciphertext): tập hữu hạn các bản mã có thể. K (Key): tập hữu hạn các khóa có thể. E (Encrytion): tập các hàm lập mã có thể. D (Decrytion): tập các hàm giải mã có thể. Với mỗi k K, có hàm lập mã ek E, ek : P C và hàm giải mã dk D, dk: C P sao cho dk(ek(x)) = x ,  x P. Mã hóa cho ta bản mã ek(P)= C. Giải mã cho ta bản rõ dk(C)= P. 1.1.2 Một số hệ mã hóa thƣờng dùng. Hệ mã hóa đối xứng là hệ mã mà khi ta biết khóa lập mã, “dễ” tính được khóa giải mã và ngược lại. Trong nhiều trường hợp khóa lập mã và giải mã là giống nhau. Hệ mã hóa đối xứng yêu cầu người nhận và gửi phải thỏa thuận khóa trước khi thông tin được gửi đi. Khóa này phải được giữ bí mật, độ an toàn của hệ phụ thuộc vào khóa. Nếu khóa bị lộ thì rất dễ giải mã. Một số hệ mã hóa đối xứng: DES, RC2, RC4, RC5, IDEA, Hệ mã hóa phi đối xứng là hệ mã mà khi biết khóa lập mã, khó” tính được khoá giải mã và ngược lại . Hệ trên còn được gọi là hệ mã hóa khóa công khai vì khóa để mã hóa là công khai. Ta dùng khóa công khai này để mã hóa thông điệp, nhưng chỉ người có khóa giải mã mới có thể đọc được thông điệp. Một số hệ mã hoá phi đối xứng: RSA, Elgamal, 7
Ví dụ: Hệ mã RSA (Rivest, Shamir, Adleman ). Mã RSA được đề xuất năm 1977, bài toán dựa trên tính “khó giải” của bài toán phân tích một số ra các thừa số nguyên tố. Để xây dựng hệ mật mã khoá công khai RSA, ta chọn trước một số nguyên n = p.q, với p và q là 2 số nguyên tố lớn. Chọn số a nguyên tố cùng nhau với Ф(n), với Ф(n) = (p-1). (q-1). Tính b sao cho b.a ≡ 1 mod Ф(n). Sơ đồ mã hoá RSA : là bộ 5 thành phần (P, C, K, E, D), các kí hiệu như mục 1.1.1. Mỗi khoá k = (k‟, k‟‟), trong đó k‟ là khoá công khai dành cho việc lập mã, k‟‟ là khoá bí mật dành cho việc giải mã. Chọn n = p.q với p, q là số nguyên tố lớn. Đặt P = C = Zn. Chọn a nguyên tố cùng nhau với Ф(n) = (p-1)(q-1). Ta định nghĩa k = {(n, b, a): a.b  1 mod Ф(n)} trong đó k (k‟, k‟‟) với k‟ = (n, b ) là công khai, k‟‟ = a là bí mật. x P, y C, định nghĩa: a Hàm mã hoá: ek‟(x) = x mod n. b Hàm giải mã: dk „‟(y) = y mod n. 8
1.2 SƠ ĐỒ CHỮ KÍ ĐIỆN TỬ. Chữ kí điện tử là thông tin đi kèm theo một tài liệu khác như văn bản, hình ảnh, nhằm mục đích xác định người chủ của dữ liệu và đảm bảo tính toàn vẹn của dữ liệu đó. Đồng thời nó còn cung cấp chức năng chống chối bỏ của người gửi thông tin. Sơ đồ kí điện tử gồm 5 thành phần (P, A, K, S, V) trong đó: P là tập hữu hạn các văn bản có thể. A là tập hữu hạn các chữ kí có thể. K là tập hữu hạn các khóa có thể. Với k K, k = (k‟, k‟‟), k‟ là khoá bí mật để kí, và k‟‟ là khoá công khai để kiểm thử chữ kí. S là tập các thuật toán kí có thể. V là tập các thuật toán kiểm thử. Với mỗi k K, có thuật toán ký sig k‟ S, sig k: P A và thuật toán kiểm thử ver k‟‟ V, ver k‟‟: P x A {đúng, sai}, thoả mãn điều kiện sau đây với mọi x P, y A: ver k‟‟ (x,y) = đúng, nếu y = sig k‟(x) sai, nếu y sig k‟(x) Một số chữ kí điện tử: RSA, Elgamal, DSS, 9
1.3 HÀM BĂM (HASH FUNCTION). Giả sử D là tập các văn bản có thể. X là tập các văn bản tóm lược (đại diện) có thể. Việc tìm cho mỗi văn bản một tóm lược tương ứng xác định một hàm h: D X. Hàm h như vậy được gọi là hàm băm. Hàm băm là một hàm với đầu vào là một văn bản có độ dài thay đổi, và đầu ra là một văn bản tóm lược có độ dài cố định và đủ nhỏ. Hàm băm thường phải thỏa mãn các điều kiện sau: + Hàm băm phải là hàm không va chạm mạnh: Không có thuật toán tính trong thời gian đa thức để có thể tìm được x1, x2 D sao cho x1 x2 và h(x1 ) = h(x2 ). Tức là tìm 2 văn bản khác nhau có cùng đại diện là rất “khó”. + Hàm băm là hàm một phía: Tức là cho x tính z = h(x) thì “dễ”, nhưng biết z tính x là “khó”. + Hàm băm phải là hàm không va chạm yếu: Tức là cho x D, khó tìm được x‟ D, x‟ x và h(x) = h(x‟). 10
1.4 TỔNG QUAN VỀ ATTT. 1.4.1 Một số khái niệm. Hacker: là kẻ xâm nhập vào mạng trái phép bằng cách sử dụng các công cụ phá mật khẩu hoặc khai thác các điểm yếu của các thành phần truy nhập trên hệ thống. Masquerader: là kẻ giả mạo thông tin trên mạng. Một số hình thức giả mạo như giả mạo địa chỉ IP, tên miền. Eavesdropping: là đối tượng nghe trộm thông tin trên mạng, chúng sử dụng các công cụ sniffer, sau đó dùng các công cụ phân tích và debug để lấy được các thông tin có giá trị. Sniffer: Trong bảo mật hệ thống sniffer được hiểu là công cụ (có thể là phần mềm hoặc phấn cứng) “bắt” thông tin lưu chuyển trên mạng. Dùng thông tin đã thu được, để “đánh hơi” lấy được thông tin có giá trị trao đổi trên mạng. Hoạt động của sniffer giống như chương trình “bắt” thông tin gõ từ bàn phím (key capture). Tuy nhiên, các tiện ích của key capture chỉ thực hiện trên một trạm làm việc cụ thể. Còn sniffer thì có thể “bắt” được các thông tin trao đổi giữa nhiều trạm làm việc với nhau. 1.4.2 Một số bài toán trong ATTT. Bài toán bảo mật: giữ bí mật đối với những người không có thẩm quyền. Bài toán toàn vẹn dữ liệu: kiểm chứng tính toàn vẹn của thông tin. Bài toán xác nhận thực thể: xác định danh tính của một chủ thể. Bài toán chữ kí: dùng để gắn một thông tin với một chủ thể xác định. Bài toán không chối bỏ: ngăn ngừa việc chối bỏ trách nhiệm đối với một cam kết đã có. 11
1.4.3 Các yêu cầu về đảm bảo ATTT. 1) Yêu cầu bảo mật thông tin. Theo tổ chức quốc tế về chuẩn (International Organization for Standardization – IOS) tính bí mật là thông tin chỉ được phép truy nhập bởi người có quyền truy nhập. Đây là một trong ba đặc tính quan trọng nhất của ATTT. Tính bí mật là một trong những mục tiêu của các hệ mã hoá. Ví dụ: Hệ thống bán hàng qua mạng phải đảm bảo bí mật về thông tin tài khoản của khách hàng. 2) Yêu cầu bảo toàn thông tin. Trong lĩnh vực ATTT, tính bảo toàn (toàn vẹn) bảo đảm các mục tiêu sau: ngăn ngừa việc thay đổi thông tin trái phép của người dùng không có thẩm quyền, ngăn ngừa việc vô ý thay đổi thông tin của người dùng có thẩm quyền, duy trì tính nhất quán của thông tin. Ví dụ: Bảng báo giá hay thông tin chỉ số chứng khoán không cần tính bí mật nhưng cần chính xác và sự quản lí chặt chẽ các thay đổi trên thông tin này. 3) Yêu cầu sẵn sàng. Tính sẵn sàng được thể hiện là thông tin được đưa đến người dùng kịp thời, không bị gián đoạn. Mọi hành vi làm gián đoạn quá trình truyền thông tin, khiến thông tin không đến được người dùng, chính là đang tấn công vào tính sẵn sàng của hệ thống đó. Ví dụ: Hệ thống phòng thủ tên lửa đạn đạo của Mỹ phải đảm bảo tính sẵn sàng, để ngăn chặn các cuộc tấn công. 4) Yêu cầu xác thực. Ngoài 3 đặc tính trên, người ta còn đưa ra tính xác thực. Tính xác thực là đảm bảo thông tin cần được xác thực nguồn gốc. Tính xác thực thường đi kèm với tính chống chối cãi, không cho phép người dùng chối bỏ thông tin của họ 12
1.4.4 Một số giải pháp chung bảo đảm ATTT. 1) Chính sách bảo đảm ATTT. Là tập hợp các qui tắc áp dụng cho mọi đối tượng có tham gia quản lí, sử dụng tài nguyên và dịch vụ mạng. Với mục tiêu là giúp người dùng biết được trách nhiệm của mình trong việc bảo vệ các thông tin, đồng thời giúp nhà quản trị thiết lập các biện pháp bảo đảm hữu hiệu trong quá trình trang bị, cấu hình kiểm soát hoạt động của hệ thống và mạng. Một chính sách bảo mật được coi là hoàn hảo nếu nó gồm các văn bản pháp qui, kèm theo các công cụ bảo mật hữu hiệu và nhanh chóng giúp người quản trị phát hiện, ngăn chặn các truy nhập trái phép. 2) Giải pháp bảo đảm ATTT. Là tập hợp các biện pháp nhằm bảo đảm ATTT. Ví dụ: Để bảo đảm ATTT có 3 giải pháp chính : (1) Kiểm soát truy nhập. (2) “Che giấu thông tin”. (3) Kiểm soát, xử lí “lỗ hỏng” thiếu an ninh. Ví dụ: Để kiểm soát truy nhập có 2 giải pháp chính: Kiểm soát truy nhập “trực tiếp”. Kiểm soát truy nhập “tự động”. 13
CHƢƠNG 2: VẤN ĐỀ KIỂM SOÁT TRUY NHẬP. 2.1 MỘT SỐ PHƢƠNG PHÁP KIỂM SOÁT TRUY NHẬP. Kiểm soát truy nhập thường sử dụng 2 phương pháp sau: Kiểm soát truy cập trực tiếp vào hệ thống thông tin (kiểm soát truy nhập “thủ công”). Hệ thống tự động phát hiện và ngăn chặn xâm nhập vào\ ra hệ thống thông tin (kiểm soát truy nhập “tự động”). 2.1.1 Kiểm soát truy cập trực tiếp. 2.1.1.1 Hệ thống kiểm soát truy cập trực tiếp. Hệ thống kiểm soát truy cập trực tiếp cung cấp các dịch vụ sau: nhận dạng và xác thực (Indentification and Authentication), ủy quyền (Authorization), qui trách nhiệm (Accountability). 1) Dịch vụ nhận dạng và xác thực: Xác định ai là người được đăng nhập vào hệ thống. Nhận dạng và xác thực: là qui trình gồm 2 bước nhằm xác thực người truy nhập vào hệ thống. a) Nhận dạng là phương pháp người dùng báo cho hệ thống biết họ là ai. Và hệ thống xác nhận có đúng là người đó không. Những yêu cầu nhận dạng đòi hỏi các chỉ danh dùng để nhận dạng: + Phải có định danh duy nhất để chỉ định hay nhận dạng người dùng. + Không thể dùng để xác định địa vị hay tầm quan trọng của người dùng trong một tổ chức. + Tránh việc sử dụng các chương mục chung hoặc dùng chung bởi nhiều người như root, admin, . + Không nên dùng các chương mục không hỗ trợ việc qui trách nhiệm và chúng có thể trở thành đối tượng cho kẻ xâm nhập hệ thống bất hợp pháp. 14
b) Xác thực là qui trình xác minh danh hiệu của người dùng. Quá trình xác thực phải dựa vào 1 trong 3 yếu tố: + Những chi tiết mà người dùng biết trước như: mật khẩu, số định danh cá nhân (PIN). Việc này cần thiết cho việc truy cập chương mục. + Những gì người dùng đã có như thẻ thông minh (smart card) hoặc một dấu hiệu nào đó. Điều này dùng để mở khoá chương mục. + Những gì người dùng sở hữu bẩm sinh như vân tay, giọng nói, ( phương pháp “sinh trắc học”). 2) Dịch vụ ủy quyền: Xác định những gì mà một người dùng đã được xác thực có thể thi hành. Sự ủy quyền: (sự hợp thức hóa (establishment) ) định nghĩa “quyền” và “phép” của người dùng trong một hệ thống. Sau khi người dùng đã được chứng thực, thì việc ủy quyền chỉ định những cái gì mà người dùng đó có thể thi hành trên hệ thống. Đa số các hệ điều hành đều định nghĩa các loại quyền và phép. Chúng thường là mở rộng của 3 loại quyền truy cập chính sau: quyền đọc, quyền viết và quyền thi hành. + Quyền đọc (R): người dùng có thể đọc nội dung tập tin, liệt kê danh sách thư mục. + Quyền viết (W): người dùng có thể thay đổi nội dung của bản tin bằng việc thi hành những thao tác sau: cộng thêm, tạo cái mới, xoá bỏ, đổi tên. + Quyền thi hành (E): nếu tập tin là chương trình ứng dụng, người dùng có thể thi hành chương trình đó. 3) Dịch vụ qui trách nhiệm: Nhận dạng và chứng thực những hành vi, hoạt động mà người dùng đã thi hành trong khi họ đang sử dụng hệ thống. 15
2.1.1.2 Mật khẩu. 1) Tiêu chuẩn mật khẩu an toàn. Sử dụng tối thiểu 8 kí tự, nói chung mật khẩu dài thì độ an toàn cao hơn. Mật khẩu gồm 3 trong 4 nhóm kí tự sau: + Kí tự “số”. + Chữ in. + Chữ thường. + Kí tự đặc biệt trên bàn phím như @, &, #, . Ghép 2 từ không hiệu chỉnh, cắt bỏ (n-1) vị trí của kết quả, chèn thêm vào đó 1 kí tự đặc biệt (n là độ dài mật khẩu được chấp nhận). Chọn tiếng nước ngoài. Chọn thuật ngữ gợi nhớ về thói quen hoặc môn thể thao yêu thích. Luôn chọn thuật ngữ dễ nhớ. Lưu ý: trong mật khẩu của CMOS máy tính, số kí tự tối đa là 8 và không sử dụng các kí hiệu đặc biệt. 2) Phương pháp tạo mật khẩu. Mật khẩu do người dùng tạo ra: Là mật khẩu do người dùng tạo ra cho mục đích riêng của họ. Do vậy, người dùng sẽ luôn nhớ được mật khẩu này mà không cần phải ghi lại, điều đó tránh việc truy tìm mật khẩu từ các ghi chép. Tuy nhiên, điều trên lại nảy sinh vấn đề là do người dùng chọn mật khẩu dễ nhớ nên chúng thường là các thông tin cá nhân như tên người thân, con vật, ngày sinh, . hoặc dùng cùng một mật khẩu ưa thích trên nhiều máy, các mật khẩu này dễ bị người khác đoán được. Mật khẩu do máy tạo ra: Mật khẩu này thường là khó đoán do sử dụng chương trình tạo mật khẩu cho người dùng, những mật khẩu tồi có thể bị loại khỏi hệ thống. Chương trình này thường đưa ra cho người dùng một số mật khẩu để họ lựa chọn, người dùng quyết định bằng cách gõ lại mật khẩu đã chọn. 16
Chương trình trên hoạt động theo chu kì, để nếu mật khẩu bị lộ cũng chỉ có hiệu lực trong thời gian nhất định (gọi là tuổi của mật khẩu). Tuy vậy, các mật khẩu này thường không dễ nhớ, nên phải ghi lại. Các nghiên cứu cho thấy người dùng thích dùng mật khẩu tự tạo hơn là các mật khẩu do máy tạo vì lí do nhớ mật khẩu. Những mật khẩu có thể hiệu chỉnh: Đây là hướng thoả hiệp nhằm tận dụng ưu điểm của hai loại mật khẩu đã nêu, mà không có các nhược điểm liên quan. Sơ đồ tạo mật khẩu có thể hiệu chỉnh cho phép người quản trị hệ thống cung cấp cho người dùng một phần mật khẩu, trên cơ sở đó người dùng có thể xây dựng mật khẩu mới theo tiêu chuẩn đã đề ra. Sơ đồ được gọi là hiệu chỉnh vì người quản trị có thể thay đổi độ dài và những thuộc tính khác của xâu kí tự được tạo ra. Ví dụ: Giả sử người dùng được cung cấp xâu “t1h” và qui tắc là các kí tự “t”, “1”, “h” phải xuất hiện trong mật khẩu sẽ được tạo ra theo đúng trật tự đã cho. Người dùng có thể tạo mật khẩu: the1997hpu10, trong1hiep5, Khi đó mật khẩu mà người dùng tạo nên, thường có tính chất gợi nhớ đối với họ, vì vậy họ có thể nhớ được. Đồng thời, nó cũng loại bỏ được những mật khẩu tồi. 17
3) Các tấn công dò tìm mật khẩu. a) Tấn công toàn diện. Trong tấn công toàn diện, người tấn công thử mọi khả năng mà mật khẩu có thể được người dùng sử dụng. Số mật khẩu được tạo tuỳ thuộc vào hệ thống nhất định. Rõ ràng việc tấn công toàn diện gặp khó khăn khi mật khẩu có độ dài lớn và theo đúng tiêu chuẩn chọn mật khẩu. Tuy nhiên, để tìm mật khẩu cụ thể không cần thử toàn bộ mật khẩu có thể. Do mật khẩu phải nhớ được nên người dùng thường chọn mật khẩu đơn giản. Để đơn giản mật khẩu sẽ không dài. Đối với người dùng, mật khẩu thường liên quan đến các thông tin cá nhân nên những mật khẩu có thể không nhiều lắm. Việc tìm hiểu các thông tin cá nhân của người dùng cụ thể sẽ tạo điều kiện cho việc dò tìm đạt được xác suất thành công cao. Ngoài ra còn có thể dò tìm mật khẩu dựa trên thói quen sử dụng bàn phím với các phím ở các vị trí đặc biệt như zqpm, aqlp, . b) Tìm file mật khẩu của hệ thống. Cách dò tìm như trên dựa theo việc suy đoán các khả năng có thể. Do các mật khẩu được lưu trên máy, nên việc tìm các file này để đọc là hướng hiệu quả. Các file chứa mật khẩu, nếu không được mã hoá, thì việc đọc chúng là đơn giản. Nhưng thường chúng được mã hoá, file đọc được là bản mã. Như vậy có thể dùng các thuật toán mã hoá để tìm ra bản rõ tương ứng. Tương tự, có thể tìm các ghi chép lưu mật khẩu của người dùng tại nơi thường truy nhập. c) Các biện pháp dò tìm thông minh. Sử dụng các virus dạng “Trojan Horse” để lấy cắp mật khẩu. Các virus này có thể ghi lại mật khẩu khi khởi động máy hoặc làm giả thủ tục đăng nhập, đánh lừa người dùng để lấy cắp mật khẩu, hoặc chứa từ điển để dò tìm mật khẩu. 18
4) Các biện pháp bảo vệ mật khẩu. a) Bảo vệ mật khẩu đối với người dùng. Người dùng cần tuân thủ các tiêu chuẩn lựa chọn mật khẩu; Không sử dụng các từ có trong từ điển; Không ghi lại mật khẩu (điều này khó thực hiện khi một người dùng có nhiều tài khoản trên máy, hoặc thẻ tín dụng cần phải nhớ mật khẩu truy nhập); Không tiết lộ mật khẩu; Thường xuyên thay đổi mật khẩu, ngay cả khi không có nghi ngờ rằng mật khẩu đã bị lộ. b) Mật khẩu dùng một lần. Là loại mật khẩu thay đổi mỗi lần sử dụng, thực chất đây là hệ thống xác định người dùng bằng hỏi đáp. Hàm cho từng người là cố định nhưng các tham số của mỗi lần xác nhận là khác nhau. Vì vậy câu trả lời của người dùng là khác nhau, đồng nghĩa với việc mật khẩu là khác nhau. c) Bảo vệ mật khẩu lưu trong máy. File mật khẩu lưu trong máy cần được mã hoá để chống lại việc truy nhập và lấy cắp thông tin về mật khẩu. Thường sử dụng hai cách để bảo vệ là mã hoá truyền thống và mã hoá một chiều. Mã hoá truyền thống: Toàn bộ file hoặc chỉ có trường mật khẩu được mã hoá. Khi nhận được mật khẩu của người dùng, thì mật khẩu lưu trữ được giải mã và so sánh. Theo cách này, tại thời điểm mật khẩu ở dạng rõ trong bộ nhớ, thì nó để lộ cho bất cứ ai được quyền truy nhập bộ nhớ. Mã hoá một chiều: Khắc phục được điểm yếu trên. Các mật khẩu đăng kí được mã hoá một chiều và lưu giữ, khi người dùng nhập mật khẩu nó sẽ được mã hoá và so sánh với bản mã lưu trữ. Thuật toán mã hoá đảm bảo không có hai bản rõ khác nhau cho cùng một bản mã. 19
d) Muối mật khẩu. Có thể xảy ra trường hợp hai người khác nhau cùng dùng chung một mật khẩu. Khi đó trong bản mã hoá sẽ có hai bản mã như nhau và đó là kẽ hở để có thể dò tìm mật khẩu đã mã hoá. Để khắc phục tình trạng trên, HĐH Unix sử dụng một cơ chế mở rộng mật khẩu gọi là “muối” mật khẩu. Muối là một số 12 bit hình thành từ ngày hệ thống và số hiệu tiến trình được thêm vào mật khẩu Muối Mật khẩu DES Mã mật khẩu Muối File mật khẩu Muối mật khẩu Mã mật khẩu Muối Mã mật khẩu vào DES Bản mã mật khẩu Hình 2.1 Cơ chế muối mật khẩu. So sánh Cơ chế muối mật khẩu như sau: mật khẩu và muối được mã hoá, bản mã và muối tương ứng cùng được lưu trong file mật khẩu. Khi người dùng nhập mật khẩu, nó sẽ được mã hoá cùng với muối, kết quả được so sánh với bản mã đã lưu trữ. Ngoài ra cơ chế xác thực bằng mật khẩu không cho phép nhập sai mật khẩu quá 3 lần, để giảm khả năng dò tìm thông thường. 20
2.2.2 Kiểm soát truy nhập “tự động”. Để kiểm soát truy nhập “tự động”, hiện nay người ta dùng các giải pháp: + Tường lửa (Firewall). |+ Mạng riêng ảo (VPN). + Hạ tầng cơ sở khoá công khai (PKI). Tường lửa: Là thiết bị nhằm ngăn chặn sự truy nhập không hợp lệ từ ngoài vào mạng bên trong. Nó thường gồm cả phần cứng và phần mềm. Tường lửa thường được dùng theo phương thức ngăn chặn hay tạo các luật đối với các địa chỉ khác nhau. Tường lửa là tường chắn đầu tiên bảo vệ giữa mạng bên trong với mạng bên ngoài. Nó là công cụ cơ sở được dùng theo một chính sách an toàn, để ngăn ngừa truy nhập không được phép giữa các mạng. Mạng riêng ảo: Là một mạng riêng sử dụng hệ thống mạng công cộng (thường là Internet) để kết nối các địa điểm hoặc người dùng từ xa với một mạng LAN ở trụ sở trung tâm. Thay vì dùng kết nối phức tạp như đường dây thuê bao số, VPN tạo ra các liên kết ảo được truyền qua Internet giữa mạng riêng của một tổ chức với địa điểm hoặc người dùng ở xa. Hạ tầng cơ sở khoá công khai: Là hệ thống cung cấp và quản lí chứng chỉ số, thực hiện xác thực định danh các bên tham gia vào quá trình trao đổi thông tin. Cơ chế này gán cho mỗi người dùng trong hệ thống một cặp khoá công khai /khoá bí mật. Các quá trình này thường được thực hiện bởi một phần mềm đặt tại trung tâm và các phần mềm phối hợp khác tại các địa điểm của người dùng. Khoá công khai thường được phân phối trong chứng chỉ khoá công khai. PKI có thể được định nghĩa như một hạ tầng cơ sở sử dụng công nghệ thông tin để cung cấp dịch vụ mã hoá khoá công khai và chữ ký số. Ngoài ra, PKI còn quản lý khoá và chứng chỉ được dùng trong hệ thống. 21
2.2 MỘT SỐ CHÍNH SÁCH TRUY CẬP. 2.2.1 Kiểm soát truy cập tuỳ quyền (Discretionary Access Control- DAC). Là chính sách truy cập mà chủ nhân thông tin hay tài nguyên tự quyết định xem ai là người được phép truy cập nó, và những quyền nào mà người đó được phép thi hành. Hai khái niệm trong truy cập tuỳ quyền là: sở hữu thông tin, quyền và phép truy cập thông tin. Sở hữu thông tin nghĩa là chính sách truy cập các đối tượng do chủ nhân tài nguyên quyết định. Quyền và phép truy cập là quyền khống chế những tài nguyên, do chủ nhân tài nguyên chỉ định cho mỗi người hoặc nhóm người. Kĩ thuật được dùng trong kiểm soát truy cập tùy quyền là danh sách kiểm soát truy cập (Access Control List- ACL): Định danh các quyền và phép được chỉ định cho 1 chủ thể hoặc 1 đối tượng. Đây là phương pháp linh hoạt để áp dụng DAC. 22
2.2.2 Kiểm soát truy cập trên cơ sở vai trò (Role Base Access Control - RBAC). Chỉ định tư cách nhóm người dùng dựa trên vai trò của tổ chức hoặc chức năng của vai trò. Chính sách này giúp tối giảm việc điều hành quản lí quyền và phép truy cập. Nó sẽ hạn chế người dùng bất hợp pháp truy cập hệ thống. Trong an ninh với hệ thống máy tính, kiểm soát truy cập trên cơ sở vai trò là một trong số các chính sách kiểm soát và đảm bảo quyền sử dụng cho người dùng. Trong nội bộ tổ chức, các vai trò (roles) được kiến tạo để đảm nhận các chức năng công việc khác nhau. Mỗi vai trò được gắn liền với một số quyền hạn cho phép nó thao tác một số hoạt động (permissions). Mỗi người dùng trong hệ thống được phân phối một vai trò riêng, và qua việc phân phối đó họ tiếp thu được một số quyền hạn, cho phép họ thi hành những chức năng cụ thể trong hệ thống. Do người dùng không được cấp phép một cách trực tiếp, họ chỉ tiếp thu được những quyền hạn thông qua vai trò của mình. Vì vậy, việc quản lí quyền hạn người dùng trở nên đơn giản, và chỉ cần chỉ định những vai trò thích hợp cho người dùng. Việc chỉ định các vai trò này đơn giản hoá những công việc thông thường như thêm một người dùng vào hệ thống. RBAC khác với các danh sách kiểm soát truy cập (ACLs) được dùng trong DAC, nó chỉ định các quyền hạn tới từng hoạt động cụ thể với ý nghĩa trong cơ quan tổ chức, thay vì tới các đối tượng dữ liệu hạ tầng. Ví dụ, ACL có thể cho phép hoặc từ chối quyền truy cập viết một tập tin hệ thống (system file), song nó không cho ta biết phương cách cụ thể để thay đổi tập tin đó. Trong hệ thống dùng RBAC, một thao tác có thể là việc một chương trình ứng dụng tài chính kiến tạo một giao dịch trong “tài khoản tín dụng” (credit account transaction). 23
2.2.3 Kiểm soát truy cập bắt buộc (Mandatory Access Control - MAC). Là chính sách truy cập do hệ thống quyết định, không phải do cá nhân sở hữu tài nguyên quyết định. Nó được sử dụng trong các hệ thống đa tầng, tức là những hệ thống xử lí các loại dữ liệu nhạy cảm như các thông tin được phân hạng về mức độ bảo mật trong chính phủ hay quân đội. + Nhãn hiệu nhạy cảm (sensitivity label): Chỉ định một nhãn hiệu cho mỗi chủ thể và mỗi đối tượng trong hệ thống. Nhãn hiệu nhạy cảm của một chủ thể xác định mức tin cẩn cần thiết để truy cập. Để truy cập một đối tượng nào đấy, chủ thể phải có một mức độ nhạy cảm tương đồng hoặc cao hơn mức độ của đối tượng yêu cầu. + Xuất và nhập dữ liệu (Data import and export): Kiểm soát việc nhập thông tin từ hệ thống khác, và xuất thông tin sang hệ thống khác (bao gồm cả các máy in), là một chức năng trọng yếu trong các hệ thống sử dụng kiểm soát truy cập bắt buộc. Nhiệm vụ của việc xuất, nhập thông tin phải đảm bảo các nhãn hiệu nhạy cảm được giữ gìn một cách đúng đắn, các thông tin nhạy cảm phải được bảo vệ trong bất kỳ tình huống nào. Các phương pháp thường dùng để áp dụng kiểm soát truy cập bắt buộc là: kiểm soát truy cập dùng theo luật (Rule Base Access Control) và kiểm soát truy cập dùng lưới (Lattice Base Access Control). + Kiểm soát truy cập dùng theo luật: Định nghĩa thêm điều kiện cụ thể đối với việc truy cập một đối tượng, nhằm quyết định cho phép hay từ chối yêu cầu truy cập, bằng cách đối chiếu: nhãn hiệu nhạy cảm của đối tượng, nhãn hiệu nhạy cảm của chủ thể + Kiểm soát truy cập dùng lưới (lattice): Mô hình lưới là một cấu trúc toán học, nó định nghĩa giá trị cận dưới lớn nhất và cận trên nhỏ nhất cho những cặp nguyên tố, chẳng hạn như cặp nguyên tố gồm 1 chủ thể và 1 đối tượng. 24
2.3 MỘT SỐ KĨ THUẬT KIỂM SOÁT TRUY NHẬP. 2.3.1 Hệ thống nhận dạng và xác thực. Tiền đề của hệ thống an ninh là nhận dạng đúng người dùng. Với mục tiêu đó, cơ chế xác thực người dùng qua một vài sở hữu riêng hoặc liên kết các mô hình. Hệ thống xác thực dùng thông tin để nhận biết người dùng: + Hệ thống mật khẩu: Người dùng được nhận dạng qua chuỗi kí tự bí mật, chỉ riêng người dùng và hệ thống biết. + Hệ thống hỏi - đáp: Người dùng được nhận dạng qua việc trả lời các câu hỏi mà hệ thống đưa ra. Câu hỏi là khác nhau cho mỗi người dùng, và thường là các hàm toán học. + Hệ thống xác thực kép (bắt tay): Hệ thống tự giới thiệu với người dùng, người dùng tự xác thực lại với hệ thống. Việc xác thực của hệ thống xuất hiện qua thông tin chỉ người dùng biết, có thể là ngày, giờ của phiên làm việc cuối cùng. Người dùng xác thực là mật khẩu. Hệ thống xác thực dùng thông tin sở hữu của người dùng: Về cơ bản là hệ thống thẻ: Thẻ từ chứa mã vạch hoặc mã từ hoặc bộ vi xử lí. Việc xác thực xuất hiện lúc chấp nhận thẻ đưa vào đọc, đôi khi kèm theo mã bí mật. 25
Hệ thống xác thực dùng thông tin cá nhân của người dùng: Thông tin cá nhân là những đặc thù chỉ có của người dùng như vân tay, giọng nói, ảnh lưới võng mạc, . Những thông tin này được sử dụng để nhận dạng người dùng, hiện nay có các hệ thống sau: + Hệ thống fax- máy tính: ảnh của người dùng được lưu trữ, nhận dạng bằng cách đối chiếu người với ảnh lưu trữ hiện trên màn hình. + Hệ thống vân tay: nhận dạng theo kết quả so sánh dấu vân tay người dùng với vân tay lưu trữ. + Hệ thống ghi âm: giọng nói của người dùng được đối chiếu với mẫu lưu trữ. + Hệ thống áp lực tay: nhận dạng trên cơ sở áp lực chữ kí hoặc chữ viết trên thiết bị phù hợp. + Hệ thống lưới võng mạc: nhận dạng người dùng bằng cách kiểm tra lưới võng mạc trong đáy mắt. Các hệ thống trên có thể được dùng độc lập hoặc phối hợp nhiều hệ thống cùng một lúc tuỳ thuộc vào mức độ an ninh cần thiết. Các thông tin cá nhân, bằng cách thông thường người khác không có được, tuy nhiên với người chuyên nghiệp thì các thông tin này có thể được lấy và lưu trữ trước, sau đó làm giả, mà máy không phát hiện được. Các hệ thống này có mức độ an ninh cao hơn so với các hệ thống trước đó, vì phức tạp trong so sánh giữa các đặc điểm riêng được lưu trữ với các đặc điểm đó trên thực tế. Việc ứng dụng cũng gặp khó khăn, qua nghiên cứu cho thấy tỉ lệ từ chối người dùng cao. Ngoài ra, khi có sự thay đổi từ chính người dùng đó với các thông tin đã đăng kí (khi người dùng gặp tai nạn hoặc sự cố làm sai lệch thông tin), thì máy cũng không chấp nhận họ. Mặt khác, việc không uỷ quyền cho người khác được khi gặp sự cố, dẫn đến có thể mất thông tin vĩnh viễn. Bên cạnh đó, hệ thống trên có chi phí cao, nên chỉ được dùng trong những trường hợp bảo mật đặc biệt. 26
2.3.2 Tƣờng lửa (Firewall). 2.3.2.1 Khái niệm tường lửa. Firewall là một kĩ thuật được tích hợp vào hệ thống, để chống lại sự truy cập trái phép, nhằm bảo vệ các nguồn tin nội bộ cũng như hạn chế sự xâm nhập vào hệ thống của một số thông tin khác không mong muốn. Firewall quyết định những dịch vụ nào từ bên trong được phép truy cập từ bên ngoài, những người nào từ bên ngoài được phép truy cập đến các dich vụ bên trong, những dịch vụ nào bên ngoài được phép truy cập bởi những người bên trong. 2.3.2.2 Phân loại tường lửa. Có 2 loại tường lửa chính là: Ủy quyền ứng dụng (Application proxies). Cổng lọc gói tin (Packet filtering gateway). 2.3.2.3 Nhận dạng tường lửa. Hầu hết các Firewall đều có các dạng đặc trưng. Chỉ cần thực hiện một số thao tác như quét cổng, lập cầu lửa, nắm giữ biểu ngữ đơn giản là những kẻ tấn công có thể xác định được loại tường lửa, phiên bản, và qui tắc của hầu hết các tường lửa trên mạng. Việc nhận dạng này là rất quan trọng, vì khi đã biết các thông tin đích xác về tường lửa, thì có thể khai thác được các điểm yếu của chúng. 27
1) Quét trực tiếp: kĩ thuật “Noisy”. Cách đơn giản nhất để tìm kiếm tường lửa là quét các cổng ngầm định cụ thể. Một số tường lửa sẽ tự định danh duy nhất bằng các đợt quét cổng miễn là ta cần biết nội dung cần tìm kiếm. Ví dụ ProxyServer của Microsoft thường lắng nghe trên các cổng TCP 1080 và 1745. Quá trình tìm kiếm các kiểu tường lửa trên là không khó đối với bộ quét cổng như nmap: nmap -n -vv –p0 -p256,1080,1745 192.168.50.1 - 60.254 Dùng tham số –p0 để vô hiệu hóa tính năng “ping” ICMP trước khi quét. Điều này là quan trọng vì hầu hết các Firewall không đáp ứng các yêu cầu “dội” ICMP. Hacker có thể dùng nhiều kĩ thuật để thoát khỏi sự giám sát của ta, bằng cách gửi ngẫu nhiên hóa các gói tin, các cổng đích, các địa chỉ đích, các cổng nguồn và thực hiện các đợt quét nguồn có phân phối. Cách phòng chống: Ta cần phải phong tỏa các kiểu quét này tại các bộ định tuyến biên, hoặc dùng công cụ phát hiện đột nhập nào đó. Nếu sử dụng Real Secure 3.0 để phát hiện tiến trình quét cổng, thì phải nâng cao độ nhạy cảm của nó và phải sử dụng các thay đổi sau: - Chọn Network Engine Policy. - Tìm “ Port scan” và chọn Option. - Thay đổi Ports thành 5 ports. - Thay đổi Delta thành 60 seconds. Để ngăn chặn các đợt quét cổng Firewall, ta cần phong tỏa các cổng này trên các router đứng trước Firewall. 28
2) Rà tuyến đường (Router tracking) Một cách âm thầm và khôn khéo hơn để tìm tường lửa đó là dùng “Tracerouter”. Chúng ta có thể sử dụng traceroute trên môi trường UNIX và tracert.exe trên môi trường Windows NT, để tìm đường đến mục tiêu. Traceroute của LINUX có tùy chọn I, để thực hiện việc rà đường bằng cách gửi đi các gói ICMP: [ sm@atsunami sm] $ traceroute - I www.yourcompany.com traceroute to www.yourcompany.com ( 172.17.100.2 ) , 30 hops max, 140 byte packets 1 attack-gw ( 192.168.50.21) 5.801 ms 5.105 ms 5.445 ms 2 gw1.smallisp.net ( 192.168.51.l) 3 gw2.smallisp.net ( 192.168.52.2) 13 hssi.bigisp.net ( 10.55.201.2 ) 14 seriall.bigisp.net ( 10.55.202.l) 15 www.yourcompany.com( 172.29.11.2) 29
3) Nắm giữ biểu ngữ (Banner grabbing) Quét cổng là biện pháp hiệu quả trong việc nhận dạng firewall, nhưng chỉ có Checkpoint và Firewall của Microsoft nghe trên các cổng ngầm định, còn hầu hết các tường lửa thì không như vậy, do đó việc phát hiện cần phải suy diễn. Nhiều tường lửa phổ biến thường thông báo sự hiện diện của mình mỗi khi có kết nối tới chúng. Nó sẽ công bố chức năng của mình với tư cách một tường lửa, một số sẽ quảng cáo kiểu và phiên bản của mình. Ví dụ khi chúng ta dùng chương trình netcat để kết nối tới một máy tính nghi ngờ có tường lửa qua cổng 21 (FTP), ta có thể tìm thấy một số thông tin: C:\TEMP>nc -v -n 192.168.51.129 21 (unknown) [192.168.51.129] 21 (?) open 220 Secure Gateway FTP sever ready Biểu ngữ "Secure Gateway FTP sever ready" là dấu hiệu tường lửa cũ của Eagle Raptor. Để chắc chắn hơn ta có thể kết nối tới cổng 23 (telnet), sẽ xác nhận tên bức tường lửa là “Eagle” : C:\TEMP>nc -v -n 192.168.51.129 23 (unknown) [192.168.51.129] 23 (?) open Eagle Secure Gateway.Hostname : Cuối cùng nếu vẫn chưa chắc chắn, ta có thể sử dụng netcat với cổng 25 (SMTP) và nó sẽ báo cho ta biết nó là gì: C:\TEMP>nc -v -n 192.168.51.129 25 (unknown) [192.168.51.129] 25 (?) open 421 fw3.acme.com Sorry, the firewall does not provide mail service to you Trong các ví dụ trên, các thông tin thu được từ biểu ngữ có thể được các hacker sử dụng để tấn công Firewall. Biện pháp phòng chống: Cần phải giảm thiểu các thông tin biểu ngữ quảng cáo, có thể thay đổi các tập tin cấu hình biểu ngữ. 30
4) Định danh cổng (Port indentification) Một số Firewall có dấu hiệu nhận dạng, có thể được dùng để phân biệt với các Firewall khác, bằng cách hiện ra một sêri các con số. Ví dụ Check Point sẽ hiển thị một sêri con số khi kết nối tới cổng TCP 257 quản lí SNMP. Sự hiện diện của các cổng từ 256 tới 259 trên hệ thống, chính là dấu hiệu báo trước sự có mặt của CheckPoint Firewall-1, ta có thể thử như sau: [ root@bldg_043 # nc -v -n 192.168.51.1 257 (UNKNOWN) [ 192.168.51.1] 257 ( ? ) open 30000003 [ root@bldg_043 # nc -v -n 172.29.11.19l 257 (UNKNOWN ) [ 172.29.11.191] 257 ( ? ) open 31000000 Cách phòng chống: Để ngăn cản các tuyến nối với cổng TCP 257, phải phong tỏa chúng tại các bộ định tuyến thượng nguồn. Một Cisco ACL đơn giản dưới đây có thể từ chối sự tấn công của hacker: access -list 101 deny tcp any any eq 257 log ! Block Firewall- l scans 2.3.2.4 Những hạn chế của Firewall. Firewall chỉ ngăn chặn được sự xâm nhập của những thông tin không mong muốn, nhưng phải xác định rõ các thông số địa chỉ. Firewall không thể ngăn chặn cuộc tấn công, nếu cuộc tấn công này không đi qua nó. Chẳng hạn nó không thể chống lại cuộc tấn công từ một đường dial- up, hoặc rò rỉ thông tin do dữ liệu bị sao chép bất hợp pháp lên đĩa mềm. Firewall không thể chống lại cuộc tấn công bằng dữ liệu (data driven attack). Khi một chương trình được chuyển theo thư điện tử, vượt qua Firewall vào trong mạng, nó sẽ hoạt động tại đây. Firewall không làm nhiệm vụ quét virus trên dữ liệu chuyển đến nó. 31
2.3.3 Mạng riêng ảo (Virtual Private Network - VPN). 2.3.3.1 Khái niệm mạng riêng ảo. Mạng riêng ảo là mạng dành riêng, để kết nối các máy tính của các tổ chức với nhau thông qua mạng Internet công cộng. Công nghệ VPN chỉ rõ 3 yêu cầu cơ bản: Cung cấp truy nhập từ xa tới tài nguyên của một tổ chức mọi lúc, mọi nơi. Kết nối các chi nhánh văn phòng với nhau. Kiểm soát truy nhập của khách hàng, nhà cung cấp và các thực thể bên ngoài tới những tài nguyên của một tổ chức. 2.3.3.2 Các mô hình VPN. Truy cập từ xa: Các truy cập từ xa của VPN đảm bảo các kết nối được bảo mật, mã hóa giữa mạng riêng của công ty với các nhân viên qua nhà cung cấp thứ ba. Có 2 kiểu truy cập từ xa VPN: + Khởi tạo bởi phía khách (Client Initiated): Người dùng từ xa sử dụng phần mềm VPN client, để thiết lập một đường hầm an toàn tới mạng riêng, thông qua ISP trung gian. + Khởi tạo bởi NAS (Network Access Server Initiated): Người dùng từ xa quay số tới ISP, NAS sẽ thiết lập đường hầm an toàn tới mạng riêng cần kết nối. Intranet VPN: Xây dựng mạng riêng ảo, để kết nối các mạng cục bộ vào một mạng riêng thống nhất. Chẳng hạn như công ty có một hoặc nhiều địa điểm ở xa, mỗi địa điểm sử dụng mạng LAN. Extranet VPN: Khi công ty có mối quan hệ mật thiết với công ty khác, họ có thể sử dụng mô hình mạng Extranet VPN để kết nối kiểu mạng LAN với LAN, cho phép công ty đó làm việc trong môi trường có chia sẻ tài nguyên. 32
2.3.4 Hệ thống phát hiện và ngăn chặn xâm nhập. 2.3.4.1 Hệ thống phát hiện xâm nhập (Intrusion Detect System - IDS). Hệ thống phát hiện xâm nhập cung cấp thêm cho việc bảo vệ thông tin mạng ở mức độ cao hơn. IDS cung cấp cho việc bảo vệ bằng cách trang bị cho ta thông tin về cuộc tấn công. IDS không tự động cấm các cuộc tấn công hoặc là ngăn chặn kẻ khai thác một cách thành công. Với sự phát triển mới nhất của IDS tức là hệ thống ngăn chặn xâm nhập, thì nó có thể ngăn chặn các cuộc tấn công khi nó xảy ra. Network IDS (NIDS)- là hệ thống đọc gói tin ngầm (sniffer), và Host IDS (HIDS)- phân tích log, kiểm tra tích hợp. Sự khác nhau chủ yếu giữa NIDS và HIDS là dữ liệu mà nó tìm kiếm. Trong khi NIDS nhìn vào toàn cảnh các chuyển dịch trên mạng, thì HIDS quan sát các host, hệ điều hành và các ứng dụng. 1) HIDS: Dùng để kiểm soát lưu lượng thông tin ở từng host, có khả năng tạo ra các riêng biệt cho từng loại máy tính, có thể giám sát các kích thước của file, checksum Chức năng của HIDS: a) Giám sát Logfile: Một HIDS đơn giản nhất là thiết bị giám sát logfile, nó cố gắng phát hiện những xâm nhập bằng cách phân tích các log sự kiện của hệ thống. Giám sát logfile là một nhiệm vụ của hệ thống IDS dựa trên host bởi chúng thực hiện chức năng giám sát chỉ trên một máy. Tuy nhiên nó có thể giám sát trên nhiều host. Thiết bị giám sát logfile nổi tiếng là swatch (Simple Watcher) (Xem ). Hầu hết các phần mềm phân tích log chỉ quét theo định kì, thì swatch quét tất cả các đầu vào log và tạo cảnh báo theo thời gian thực. Giám sát logfile được coi là hệ thống phát hiện xâm nhập theo cách đặc biệt. Log cũng chứa nhiều thông tin không trực tiếp liên quan đến sự xâm nhập 33
b) Giám sát tính toàn vẹn: Một công cụ giám sát tính toàn vẹn sẽ nhìn vào cấu trúc chủ yếu của hệ thống để tìm sự thay đổi. Dù có giới hạn nhưng nó có thể thêm vào các lớp bảo vệ cho hệ thống phát hiện xâm nhập. Giám sát toàn vẹn phổ biến nhất là Tripwire ( Tripwire nên được cài đặt trên một hệ thống khi nó còn nguyên bản từ nhà sản xuất, với những ứng dụng cần thiết nhất trước khi kết nối với mạng. Mấu chốt để sử dụng kiểm tra toàn vẹn hệ thống cho thiết bị phát hiện xâm nhập đó là xác định ranh giới an toàn, và điều này chỉ có thể được thiết lập trước khi hệ thống được kết nối với mạng. Nếu không có trạng thái an toàn thì công cụ kiểm tra toàn vẹn bị hạn chế, vì hacker có thể đã giới thiệu những thay đổi của họ với hệ thống trước khi công cụ này hoạt động lần đầu. 34
2) NIDS NIDS có nhiệm vụ giám sát toàn bộ hoạt động của một phân đoạn mạng hay một mạng con. Điều trên thực hiện được là nhờ vào việc thay đổi chế độ trên card giao tiếp mạng (NIC) của NIDS. Để giám sát toàn bộ lưu lượng trên một phân đoạn mạng, hệ thống phân đoạn mạng sẽ chuyển toàn bộ các gói tin này vào stack để phân tích chúng. Chế độ làm việc này gọi là “hỗn độn” (không phân loại). Trong chế độ này, toàn bộ gói tin sẽ bị nghe trộm trên tất cả các giao tiếp trong phân đoạn mạng. Chức năng của NIDS: + Nhận dạng dấu hiệu (signature matchers): IDS phát hiện các cuộc tấn công dựa trên CSDL về dấu hiệu tấn công. Khi hacker tìm cách khai thác lỗ hổng đã biết thì, IDS cố gắng đưa lỗi đó vào CSDL của mình. + Phát hiện những dấu hiệu bất thường: Phát hiện dấu hiệu bất thường liên quan đến việc thiết lập một nền móng cơ bản của những hoạt động bình thường của hệ thống hoặc các hành vi trên mạng, sau đó cảnh báo cho ta thấy sự chệch hướng xuất hiện. Sự khác biệt giữa NIDS và HIDS là HIDS chỉ bảo vệ phân đoạn mà nó nằm bên trong đó, chứ không phải toàn bộ mạng con. Ngoài ra HIDS có thể nhìn thấy lưu lượng thông tin trong một hệ thống, mà hệ thống này chưa từng đi ra ngoài mạng, điều này thì NIDS không thể nhận biết được. 35
2.3.4.2 Hệ thống ngăn chặn xâm nhập (Intrusion Prevent System-IPS). Giải pháp ngăn ngừa xâm nhập nhằm mục đích bảo vệ tài nguyên, dữ liệu và mạng. Chúng sẽ làm giảm bớt những mối đe dọa tấn công bằng việc loại bỏ lưu lượng mạng bất hợp pháp, trong khi vẫn cho phép các hoạt động hợp pháp được tiếp tục. IPS ngăn chặn các cuộc tấn công dưới những dạng sau: + Ứng dụng không mong muốn và tấn công kiểu “Trojan horse” nhằm vào mạng và ứng dụng cá nhân, qua việc sử dụng các nguyên tắc xác định và danh sách kiểm soát truy nhập. + Các tấn công từ chối dịch vụ như “lụt” các gói tin SYN và ICMP bởi việc dùng các thuật toán dựa trên cơ sở “ngưỡng”. + Sự lạm dụng các ứng dụng và giao thức qua việc sử dụng những qui tắc giao thức ứng dụng và chữ kí. + Những tấn công quá tải hay lạm dụng ứng dụng bằng việc sử dụng giới hạn tài nguyên dựa trên cơ sở ngưỡng. Cấu trúc của IPS gồm 3 modul chính: Modul phân tích gói, modul phát hiện tấn công, modul phản ứng. 1) Modul phân tích gói: Nhiệm vụ phân tích cấu trúc thông tin trong các gói tin. Card giao tiếp mạng (NIC) của máy giám sát được đặt ở chế độ không phân loại, các gói tin qua chúng đều được sao chép và chuyển lên lớp trên. Bộ phân tích gói đọc thông tin từng trường trong gói tin, xác định chúng thuộc kiểu gói tin nào, dịch vụ gì, Các thông tin này được chuyển đến modul phát hiện tấn công. 36
2 ) Modul phát hiện tấn công: Modul quan trọng nhất trong hệ thống, có khả năng phát hiện các cuộc tấn công. Có 2 phương pháp phát hiện các cuộc tấn công xâm nhập: + Dò tìm sự lạm dụng (Missuse Detection): Phương pháp này phân tích các hoạt động của hệ thống, tìm kiếm dựa trên các dấu hiệu tấn công, tức là các sự kiện giống các mẫu tấn công đã biết. Ưu điểm: phát hiện các cuộc tấn công nhanh và chính xác, không đưa ra các cảnh báo sai làm giảm khả năng hoạt động của mạng, giúp người quản trị xác định các lỗ hổng bảo mật trong hệ thống của mình. Nhược điểm: Không phát hiện được các tấn công không có trong mẫu, các tấn công mới. Do đó hệ thống phải luôn cập nhật các mẫu tấn công mới. + Dò tìm sự không bình thường (Anomaly Detection): Là kĩ thuật dò thông minh, nhận dạng ra các hành động không bình thường của mạng. Chúng lưu trữ các mô tả, sơ lược về các hoạt động bình thường của hệ thống. Các cuộc tấn công có những hành động khác so với bình thường có thể sẽ bị nhận dạng. Một số kĩ thuật giúp thực hiện dò sự không bình thường của các cuộc tấn công: - Dò tìm dựa vào ngưỡng (Threshold detection): Kĩ thuật này nhấn mạnh thuật ngữ “đếm”, các mức ngưỡng về các hoạt động bình thường được đặt ra. - Dò tìm tự học (Self- learning detection): Kĩ thuật này gồm 2 bước, khi thiết lập hệ thống phát hiện tấn công nó sẽ chạy ở chế độ tự học thiết lập một lịch sử để ghi lại các hoạt động của mạng. Sau thời gian khởi tạo, hệ thống sẽ chạy ở chế độ cảm ứng theo dõi các hoạt động bất thường của mạng so với lịch sử đã thiết lập. - Dò tìm giao thức không bình thường (Anomaly protocol detection): Căn cứ vào hoạt động của các giao thức, các dịch vụ của hệ thống để tìm ra các gói tin không hợp lệ, các hoạt động bất thường là dấu hiệu của sự xâm nhập, tấn công. Kĩ thuật này hiệu quả trong việc ngăn chặn các hình thức quét mạng, quét cổng để thu thập thông tin. 37
Phương pháp dò sự không bình thường của hệ thống hữu hiệu trong việc phát hiện các cuộc tấn công kiểu từ chối dịch vụ. Nó có thể phát hiện các kiểu tấn công mới, cung cấp các thông tin hữu ích bổ sung cho phương pháp dò sự lạm dụng. Tuy nhiên, nó thường tạo ra một số cảnh báo sai lầm làm giảm hiệu suất hoạt động của mạng. 3) Modul phản ứng: Khi có dấu hiệu của sự tấn công hoặc xâm nhập thì modul phát hiện tấn công sẽ gửi tín hiệu thông báo đến modul phản ứng. Khi đó, modul phản ứng sẽ kích hoạt Firewall thực hiện chức năng ngăn chặn cuộc tấn công. Tại đây nếu chỉ đưa ra các cảnh báo tới người quản trị và dừng lại ở đó thì hệ thống này được gọi là hệ thống phòng thủ bị động. Một số kĩ thuật ngăn chặn: + Chấm dứt phiên làm việc (Terminate Session): Hệ thống IPS gửi các gói tin reset thiết lập lại cuộc giao tiếp tới Client và Server. Kết quả cuộc giao tiếp sẽ được bắt đầu lại và cuộc tấn công bị ngừng lại. Nhược điểm: thời gian gửi gói tin reset là quá chậm so với cuộc tấn công; phương pháp này không hiệu quả với các giao thức hoạt động trên UDP như DNS; các gói reset phải có trường Sequence number đúng thì server mới chấp nhận. Do đó nếu hacker gửi các gói tin với tốc độ nhanh và trường Sequence number thay đổi thì phương pháp này rất khó thực hiện. + Hủy bỏ các gói tin tấn công (Drop Attack): Dùng firewall để hủy bỏ gói tin hoặc chặn đứng một gói tin đơn, một phiên làm việc, một luồng thông tin giữa hacker và victim. Tuy vậy, nó dễ lầm với các gói tin hợp lệ. + Thay đổi chính sách của tường lửa (Modify Firewall Policies): Cho phép người quản trị cấu hình lại chính sách bảo mật khi cuộc tấn công xảy ra. 38
+ Cảnh báo tức thì (Realtime Alerting): Gửi các cảnh báo thời gian thực đến người quản trị để họ nắm được chi tiết các cuộc tấn công, đặc điểm và thông tin về chúng. + Tạo ra bản ghi log (Log packet): Các dữ liệu của gói tin được lưu trong hệ thống các file log để người quản trị có thể theo dõi các luồng thông tin, và dựa vào đó giúp cho modul phát hiện tấn công hoạt động. Ba modul trên hoạt động tuần tự tạo nên IPS hoàn chỉnh. IPS được xem là thành công nếu chúng hội tụ được các yếu tố như thực hiện nhanh, chính xác, đưa ra các thông báo hợp lý, phân tích được toàn bộ thông lượng, ngăn chặn thành công và có chính sách quản lí mềm. 39
2.3.4.3 Những hạn chế của IDS /IPS. So với Firewall, IDS/ IPS đã thể hiện được nhiều tính năng ưu việt. Nó không chỉ có khả năng phát hiện ra các cuộc tấn công, mà còn chống lại các cuộc tấn công này một cách hữu hiệu. Tuy vậy hệ thống này vẫn còn những hạn chế sau: Các sản phẩm IPS không thể nhận biết được trạng thái tầng ứng dụng (chỉ có thể nhận biết được các dòng thông tin trên tầng mạng). Do vậy các cuộc tấn công trên tầng ứng dụng sẽ không bị phát hiện và ngăn chặn. Hầu hết các sản phẩm IPS không thể mã hóa và giải mã các gói tin truyền trên mạng. Nếu hacker mã hóa các gói tin của họ bằng công nghệ như SSL, thì hệ thống IPS không thể phát hiện ra. Các sản phẩm IPS không thể nhận biết được các cuộc tấn công mới. Hầu hết các hệ thống IDS/ IPS đều có một CSDL chứa thông tin về các cuộc tấn công đã từng xảy ra. Nếu hacker dùng cách tấn công khác, thì IPS có thể không phát hiện ra. Hầu hết hệ thống IPS không thể bảo vệ các ứng dụng web được sửa đổi liên tục. Trong khi đó thực tế các website luôn được nâng cấp, cập nhật thông tin mới, điều này làm cho việc bảo mật diễn ra rất khó. 40
2.3.5 Tƣờng lửa ứng dụng Web (Web Application Firewall - WAF). 2.3.5.1 Khái niệm WAF. WAF là công nghệ bảo mật mới xuất hiện cách đây vài năm, nó không chỉ bảo vệ ở tầng mạng, mà còn bảo vệ ở tầng ứng dụng. Nó có khả năng tự động tạo ra mô hình bảo mật động của ứng dụng web một cách chủ động. Mục tiêu hoạt động của WAF là: + Duy trì 1 gateway: Thay vì phải chạy đi lắp miếng vá cho từng ứng dụng, thì nó cung cấp Firewall tại một vị trí duy nhất, nhằm đảm bảo an ninh và chống lại sự tấn công vào mọi luồng dữ liệu web. Như vậy giảm được chi phí và thời gian trong việc bảo đảm an ninh cho các ứng dụng web. + Thay đổi mô hình an ninh, ngăn chặn tất cả các cuộc tấn công trước khi chúng kịp xâm nhập vào ứng dụng. + Nhằm khắc phục hiện trạng phải vá ứng dụng khi đã bị tấn công, nó xây dựng ngân hàng các dấu hiệu tấn công để kiểm tra, ngăn chặn các cuộc tấn công trước khi chúng kịp xâm nhập vào ứng dụng. + Cung cấp tính năng phòng thủ theo chiều sâu. 41
2.3.5.2 Các tính năng của WAF. 1) Kiểm tra “ chiều sâu” (Deep inspection). Sự phát triển của công nghệ kiểm tra “sâu” diễn ra như sau: + Công nghệ lọc gói tin (1985): Dựa trên việc sử dụng các danh sách kiểm soát truy nhập, để thực hiện việc cho phép hay từ chối các dòng dữ liệu, căn cứ vào các thông tin trong gói IP của dữ liệu như địa chỉ nguồn, địa chỉ đích. + Công nghệ kiểm tra trạng thái (1993): Bổ sung thêm tính năng mới đó là ngăn chặn việc tấn công dựa trên các thông tin của tầng TCP như việc tách và ghép lại các gói tin. + Kiểm tra “chiều sâu” (2003): Tích hợp cả hai công nghệ trên để xử lí các dòng ứng dụng và bảo vệ các tài nguyên khỏi sự tấn công. Các cơ sở của công nghệ kiểm tra “deep”: + Mã hóa/giải mã tầng ứng dụng: Các dòng dữ liệu ứng dụng thường được các hacker mã hóa SSL khi truyền trên mạng nhằm tránh được sự kiểm tra của hệ thống. Nhờ có khả năng mã hóa, giải mã, WAF có thể nhìn được bên trong các dòng dữ liệu để loại bỏ các yếu tố tấn công nằm trong đó. + Chuẩn hóa: Các ứng dụng được mã hóa bởi nhiều định dạng khác nhau như unicode, URL. Nếu định dạng của một đoạn mã nguy hiểm khác với dấu hiệu nhận dạng nó sẽ không thể phát hiện được. WAF thực hiện chuẩn hóa các kiểu mã nên khắc phục được điểm yếu trên. + Sự phù hợp giao thức: Các dữ liệu ứng dụng được đóng gói theo các giao thức khác nhau như: HTTP, SMTP, Các hacker sẽ chèn thêm những đoạn mã lạ vào các gói dữ liệu nhằm tạo ra các bất ổn cho server. WAF kiểm tra các định dạng này để phát hiện ra các đoạn mã lạ không cho chúng đến server nhằm đảm bảo tính phù hợp của giao thức. 42
+ Kiểm tra 2 chiều: Các thông điệp đàm thoại trên mạng phải có sự phù hợp với nhau về các thông số dữ liệu. WAF sẽ kiểm tra sự phù hợp giữa các tham số theo hai chiều của đàm thoại để phát hiện ra các cuộc tấn công và dữ liệu trong khi đàm thoại diễn ra. 2) Ngăn chặn các cuộc tấn công trước khi chúng xâm nhập vào ứng dụng. Hacker tấn công vào các ứng dụng web theo qui trình sau: + Quét toàn bộ trang web để tìm kiếm lỗ hổng. + Tấn công vào các điểm yếu từ tầng 4 đến tầng 7. + Xóa hoặc thay đổi các dấu vết tấn công được web ghi lại, nhằm tránh bị phát hiện. Để chống lại các tấn công trên của hacker WAF thực hiện các bước: + Dải các lớp bảo vệ web: nhằm ngăn chặn việc quét website để tìm kiếm lỗ hổng của các hacker khi chúng sử dụng các tool như Whisker, Niko, + Ngăn chặn tấn công vào tất cả các tầng: WAF sẽ kết hợp với các kĩ thuật khác để kiểm tra, điều khiển việc truy nhập, vận chuyển các dòng dữ liệu ở tất cả các tầng. + Ngăn chặn việc xáo trộn trong việc ghi dấu của hệ thống: Hacker thường tấn công vào máy tính để thay đổi hoặc xóa các dấu hiệu được ghi lại nhằm xóa dấu vết xâm nhập hệ thống. WAF ngăn chặn việc phá hoại này của hacker làm cho dấu hiệu nhận dạng có tấn công vẫn được bảo toàn. 43
3) Những tính năng vượt trội của WAF so với Firewll và IDS/IPS. Firewall và IPS có những hạn chế so với WAF Firewall và IPS WAF Không thể ngăn chặn được các cuộc Có thể nhận ra được các tấn công tấn công đã được mã hóa dòng dữ nằm trong các dòng dữ liệu SSL đã liệu SSL. được mã hóa. Các loại mã ứng dụng thông thường Nó chuẩn hóa các dòng dữ liệu ứng có thể vượt qua Firewall một cách dễ dụng trước khi kiểm tra, nên việc lợi dàng. dụng các cách mã hóa khác nhau đã bị ngăn chặn. Firewall không thể bảo vệ các Có khă năng kiểm soát các dòng dữ Server khỏi sự tấn công các ứng liệu trên mạng nên có khả năng bảo dụng web. vệ server khỏi các cuộc tấn công vào ứng dụng web. Các tính năng bảo vệ ứng dụng của Phù hợp với việc bảo vệ các ứng Firewall và IPS không thể đáp ứng dụng trong môi trường phức tạp, vì được môi trường phức tạp. nó sử dụng các kĩ thuật “deep inspection” hai chiều. Nó phân tích các yêu cầu từ mỗi ứng dụng để quyết định cách xử lí thích hợp. Các Firewall sử dụng công nghệ Được thiết kế trên công nghệ tốc độ Deep inspection sẽ không thể mở cao, hiệu năng mạnh, có kĩ thuật xử lí rộng phạm vi. các yêu cầu nhanh chóng với phạm vi rộng. Các Firewall không thể cải tiến hiệu Việc đảm bảo an ninh và hiệu năng năng của hạ tầng ứng dụng. của ứng dụng được cân bằng. 44
2.4 VẤN ĐỀ PHÂN QUYỀN TRUY NHẬP. 2.4.1 Kiểm soát truy nhập. Là biện pháp đảm bảo tất cả các đối tượng truy nhập hệ thống tuân theo qui tắc, chính sách bảo vệ dữ liệu. Hệ thống kiểm soát truy nhập gồm người sử dụng và tiến trình. Các chủ thể này khai thác dữ liệu, chương trình thông qua các phép toán. Chức năng hệ thống kiểm soát truy nhập gồm 2 phần: Tập chính sách và qui tắc truy nhập: đặt ra kiểu khai thác thông tin lưu trữ trong hệ thống. Tập các thủ tục kiểm soát: kiểm tra yêu cầu truy nhập, cho phép hay từ chối yêu cầu khai thác. Access denied Access Request Control Procedure Access permitted Access modification Security Policies Access Rules Hình 2.2: Hệ thống kiểm soát truy nhập Chính sách an ninh (Security Policies): gồm các chính sách sau: a) Chính sách kiểm soát truy nhập. Chính sách kiểm soát truy nhập thiết lập khả năng, chỉ ra cách để chủ thể và đối tượng trong hệ thống được nhóm lại, để dùng chung kiểu truy nhập nào đó, cho phép thiết lập việc chuyển quyền truy nhập. Chính sách kiểm soát truy nhập liên quan đến thiết kế và quản lí hệ thống cấp quyền khai thác. Cách thông thường để đảm bảo an ninh CSDL là định danh các đối tượng tham gia hệ thống và xác định quyền truy nhập của chủ thể tới đối tượng. 45
Định danh (Identifier): gán cho đối tượng một định danh (tên gọi) theo một cách thống nhất, không có sự trùng lặp các định danh. Uỷ quyền (Authrization): uỷ quyền khai thác một phép toán của một chủ thể trên một đối tượng. b) Chính sách giới hạn quyền truy nhập. Để trả lời cho câu hỏi: bao nhiêu thông tin có thể truy nhập cho mỗi chủ thể là đủ? Người ta đưa ra hai chính sách cơ bản, đó là chính sách đặc quyền tối thiểu và chính sách đặc quyền tối đa. + Chính sách đặc quyền tối thiểu: Các chủ thể sử dụng lượng thông tin tối thiểu cần thiết cho hoạt động. + Chính sách đặc quyền tối đa: Các chủ thể sử dụng lượng thông tin tối đa cần thiết cho hoạt động. Tuy nhiên phải đảm bảo thông tin không bị xâm phạm quá mức cho phép. Có hai kiến trúc kiểm soát truy nhập: Hệ thống đóng: chỉ các yêu cầu có quyền truy nhập mới được phép. Hệ thống mở: các truy nhập không bị cấm thì được phép. c) Chính sách quản lí quyền truy nhập. Chính sách quản lí quyền truy nhập có thể được dùng trong điều khiển tập trung hoặc phân tán. Việc lựa chọn này cũng là một chính sách an ninh, có thể kết hợp để có chính sách phù hợp. Phân cấp uỷ quyền: cơ chế kiểm soát được thực hiện tại nhiều trạm, tập trung điều khiển các trạm. Ví dụ: tổ chức các trạm như các nút trên cây. Chọn quyền sở hữu: mô tả quan hệ, mô tả người sở hữu và đảm bảo quyền khai thác thông tin của họ. Quyết định tập thể: tài nguyên có thể do một nhóm sở hữu, khi có yêu cầu truy nhập tài nguyên này, cần được sự đồng ý của cả nhóm. Ví dụ: chia sẻ khoá bí mật. 46
d) Chính sách phân cấp. Đó là chính sách kiểm soát luồng thông tin, ngăn ngừa luồng thông tin đi tới các đối tượng có mức phân loại thấp hơn. Hệ thống có các mức phân loại sau: 0 = Thường (Unclassfied – U). 1 = Mật (Confidential – C). 2 = Tối mật (Secret – S). 3 = Tuyệt mật (Top secret – TS). 47
2.4.2 Cơ chế kiểm soát truy nhập. Kiểm soát truy nhập đến tài nguyên phải được nhận dạng. Các phương pháp nhận dạng tài nguyên khác nhau tuỳ thuộc vào dạng tài nguyên. Bảo vệ tài nguyên là loại bỏ cả hai truy nhập ngẫu nhiên và cố ý của người dùng không được phép. Điều này có thể được bảo đảm bằng khả năng cấp quyền xác định, sau đó chấp nhận mỗi tiến trình được cấp quyền chỉ truy nhập tới tài nguyên cần thiết để hoàn thành tiến trình đó (nguyên tắc đặc quyền tối thiểu). Theo nguyên tắc này, chương trình được cho phép chỉ truy nhập tới những tài nguyên cần thiết để hoàn thành nhiệm vụ đó. Cơ chế kiểm soát truy nhập hoạt động theo kiểu phân cấp truy nhập. Phân cấp truy nhập là cơ chế sử dụng các kiểu đặc quyền hoặc các đơn vị chương trình lồng nhau. Tuỳ theo cơ chế kiểu đặc quyền, tiến trình có thể hoạt động theo các kiểu (trạng thái) khác nhau, mỗi một đáp ứng về đặc quyền được thiết lập liên quan đến bảng chỉ dẫn thực hiện. Trong đa số các hệ thống, cùng tồn tại hai kiểu thực hiện là kiểu đặc quyền (supervisor - người giám sát) và kiểu người dùng. Sự khác nhau giữa hai kiểu này là dạng chỉ dẫn bộ xử lí có thể hoạt động đúng, trong kiểu đặc quyền chủ yếu là quản lí hệ thống (chỉ dẫn xuất/ nhập, chuyển trạng thái, ). 48
KẾT LUẬN Kết quả chính của khoá luận là tìm hiểu nghiên cứu tài liệu, để hệ thống lại các vấn đề: Một số khái niệm về ATTT. Hai phương pháp kiểm soát truy nhập thường được sử dụng. Một số chính sách truy cập. Một số kĩ thuật kiểm soát truy nhập. 49
TÀI LIỆU THAM KHẢO Một số tài liệu: [1] Hoàng Hữu Thành (2006), Khóa luận “Vấn đề bảo mật web trong thương mại điện tử ”, Trường ĐH Công nghệ - ĐHQG Hà Nội. [2] Lương Văn Phượng (2006), Khóa luận “Một số vấn đề về an toàn cơ sở dữ liệu ”, Trường ĐH Công nghệ - ĐHQG Hà Nội. [3] Đoàn Thu Hà, Đồ án “ Nghiên cứu các lỗ hỏng trong bảo mật an toàn thông tin”, Khoa CNTT - Trường ĐHDL Hải Phòng. [4] Phan Đình Diệu (2002), Lý thuyết mật mã và an toàn thông tin, NXB Đại học Quốc gia Hà Nội. Một số trang web: 50