Bối cảnh và vấn đề nghiên cứu
Sự phát triển mạnh mẽ của công nghệ mạng viễn thông đã biến mạng cục bộ không dây (WLAN - Wireless Local Area Network) thành phương thức kết nối thiết yếu cho mọi đối tượng, từ người dùng cá nhân, cơ quan, trường học đến các doanh nghiệp và tổ chức chính phủ. WLAN mang lại tính di động cao, cho phép thiết bị đầu cuối duy trì kết nối liên tục trong phạm vi phủ sóng mà không phụ thuộc vào hạ tầng dây dẫn phức tạp.
Tuy nhiên, đặc thù truyền dẫn của WLAN là sử dụng sóng vô tuyến lan truyền trong môi trường không khí. Bất kỳ thiết bị thu nhận nào nằm trong vùng phủ sóng đều có thể bắt được tín hiệu, khiến mạng không dây đối mặt với các nguy cơ bảo mật nghiêm trọng. Trong các mô hình mạng thông thường sử dụng khóa chia sẻ trước (Pre-Shared Key), việc quản lý người dùng trở nên lỏng lẻo, dễ bị nghe lén, giả mạo điểm truy cập hoặc bẻ khóa dữ liệu. Do đó, việc nghiên cứu giải pháp kiểm soát truy cập và xác thực tập trung là yêu cầu bắt buộc trong môi trường doanh nghiệp.
Đề tài "Bảo Mật Mạng WLAN: Tìm Hiểu Chứng Thực RADIUS" được thực hiện bởi nhóm tác giả tại Khoa Công nghệ Thông tin - Trường Đại học Thái Bình, dưới sự hướng dẫn của ThS. Nguyễn Tiến Cương, nhằm giải quyết các nhiệm vụ nghiên cứu sau:
- Hệ thống hóa tổng quan về công nghệ mạng WLAN, cơ sở hạ tầng, chuẩn kết nối và các mô hình mạng không dây cơ bản.
- Phân tích các hình thức tấn công phổ biến trên mạng WLAN và đánh giá ưu, nhược điểm của các giải pháp bảo mật qua từng giai đoạn phát triển.
- Nghiên cứu chuyên sâu về giao thức xác thực tập trung RADIUS (Remote Authentication Dial-in User Service), cơ chế đóng gói dữ liệu và quy trình chứng thực AAA.
- Phân tích, thiết kế và triển khai thực nghiệm hệ thống chứng thực bảo mật WLAN kết hợp giao thức RADIUS và chuẩn WPA/WPA2 Enterprise trên nền tảng máy chủ dịch vụ.
Đối tượng nghiên cứu là các giao thức bảo mật mạng không dây và giao thức RADIUS (theo chuẩn RFC 2865, RFC 2866). Phạm vi nghiên cứu tập trung vào mô hình mạng nội bộ doanh nghiệp, triển khai thực nghiệm trên hệ thống máy chủ xác thực, điểm truy cập không dây (Access Point) và máy trạm (Client) trong khung thời gian tháng 02 năm 2023.
Cơ sở lý thuyết và phương pháp
Khung lý thuyết và công nghệ
- Các tiêu chuẩn mạng không dây IEEE 802.11: Bao gồm chuẩn 802.11 gốc (1997), 802.11b (1999), 802.11g (2003), 802.11n (2009) và chuẩn bảo mật nâng cao 802.11i.
- Mô hình kiến trúc mạng: Independent Basic Service Set (IBSS/Ad-hoc), Basic Service Set (BSS), Extended Service Set (ESS) với độ phủ sóng chồng lấn 10% - 15% phục vụ chuyển vùng (roaming).
- Giao thức và chuẩn mã hóa: WEP (khóa tĩnh 64/128-bit), TKIP, thuật toán mã hóa khối đối xứng AES (Rijndael 128/192/256-bit được chuẩn hóa bởi Viện Tiêu chuẩn và Công nghệ Quốc gia Hoa Kỳ - NIST), giao thức đóng gói EAP (Extensible Authentication Protocol) và chuẩn kiểm soát truy cập theo cổng IEEE 802.1x.
- Tiêu chuẩn dịch vụ RADIUS: Định nghĩa theo tiêu chuẩn của IETF tại RFC 2865 (Authentication/Authorization) và RFC 2866 (RADIUS Accounting), hoạt động trên nền giao thức truyền vận UDP (cổng 1812 cho xác thực).
Phương pháp nghiên cứu
- Phương pháp phân tích - tổng hợp tài liệu: Khảo cứu các tiêu chuẩn RFC của IETF, tài liệu kỹ thuật của IEEE và các nghiên cứu về lỗ hổng bảo mật mạng không dây.
- Phương pháp so sánh kỹ thuật: Đối chiếu các cơ chế mã hóa (WEP vs TKIP vs AES) và các hình thức tấn công (De-authentication Flood vs Disassociation Flood).
- Phương pháp thực nghiệm - thiết kế hệ thống: Xây dựng mô hình kiểm thử mạng WLAN hoàn chỉnh gồm DHCP Server, Enterprise CA (Certificate Authority), Active Directory Domain Services, RADIUS Server (Network Policy Server/IAS), Access Point và Wireless Client.
Nội dung chính theo từng chương
Chương 1: Tổng quan về WLAN
Chương này làm rõ khái niệm, lịch sử phát triển, ưu nhược điểm, phần cứng và các mô hình cấu trúc của mạng không dây.
| Chuẩn kết nối |
Năm công bố |
Băng tần hoạt động |
Tốc độ lý thuyết tối đa |
| 802.11 (gốc) |
1997 |
2.4 GHz |
1 - 2 Mbps |
| 802.11b |
1999 |
2.4 GHz |
11 Mbps |
| 802.11g |
2003 |
2.4 GHz |
54 Mbps |
| 802.11n |
2009 |
2.4 GHz / 5 GHz |
300 - 600 Mbps |
Nội dung chương chỉ rõ cấu trúc cơ bản của hạ tầng WLAN gồm 4 thành phần: Hệ thống phân phối (Distribution System - DS), Điểm truy cập (Access Point - AP), Tầng liên lạc vô tuyến (Wireless Medium) và Các máy trạm (Stations). Thiết bị AP có ba chế độ hoạt động chính:
- Chế độ gốc (Root mode): AP kết nối trực tiếp với hạ tầng mạng backbone có dây qua cổng Ethernet.
- Chế độ cầu nối (Bridge mode): AP làm cầu nối liên kết hai hoặc nhiều phân đoạn mạng có dây với nhau mà không cho client kết nối trực tiếp.
- Chế độ lặp (Repeater mode): AP kết nối không dây tới một Root AP để mở rộng vùng phủ sóng.
Về mô hình mạng, văn bản phân định ba topo: IBSS (mạng Ad-hoc trực tiếp giữa các trạm không cần AP), BSS (một AP phục vụ một hoặc nhiều trạm) và ESS (nhiều BSS liên kết thông qua DS, yêu cầu vùng phủ sóng chồng lấn 10% - 15% để đảm bảo chuyển vùng liền mạch).
+-------------------------------------------------------------+
| Distribution System (Hệ thống DS) |
+------------------------------+------------------------------+
|
+---------------------+---------------------+
| |
+-------v-------+ +-------v-------+
| Access Point 1| | Access Point 2|
+-------+-------+ +-------+-------+
| (Sóng vô tuyến) | (Sóng vô tuyến)
+------+------+ +------+------+
| | | |
+----v----+ +----v----+ +----v----+ +----v----+
| Station | | Station | | Station | | Station |
+---------+ +---------+ +---------+ +---------+
[ Basic Service Set 1 ] [ Basic Service Set 2 ]
|<---------------- Extended Service Set (ESS) ---------------->|
Chương 2: Các hình thức tấn công phổ biến trong WLAN và giải pháp phòng chống
Chương 2 trình bày chi tiết các cơ chế tấn công mạng không dây và phân tích các giải pháp bảo vệ tương ứng:
-
Các hình thức tấn công:
- Rogue Access Point (AP giả mạo): Xuất phát từ việc cấu hình sai (lỗi SSID/xác thực), từ mạng lân cận phát sóng mạnh, do nhân viên tự ý cắm thiết bị, hoặc do tin tặc dựng lên để thực hiện tấn công trung gian (Man-In-The-Middle - MITM) nhằm đánh cắp thông tin đăng nhập.
- De-authentication Flood Attack: Tin tặc giả mạo địa chỉ MAC nguồn và đích để gửi liên tục các frame yêu cầu xác thực lại, làm tràn bảng kết nối và ngắt phiên của người dùng.
- Fake Access Point: Kẻ tấn công gửi các gói tin beacon giả mạo với vô số SSID và MAC ảo nhằm gây xáo trộn phần mềm điều khiển card mạng của máy khách.
- Tấn công cảm nhận sóng mang lớp vật lý: Khai thác cơ chế chống đụng độ CSMA/CA bằng cách phát tín hiệu giả mạo liên tục, khiến các trạm trong mạng luôn ghi nhận kênh truyền bận và rơi vào trạng thái chờ, gây nghẽn toàn bộ hệ thống.
- Disassociation Flood Attack: Gửi các frame hủy liên kết (Disassociation frame) làm ngắt kết nối giữa AP và Client.
-
Các giải pháp bảo mật và cơ chế phòng chống:
- Mã hóa WEP: Sử dụng thuật toán RC4 với khóa tĩnh 64-bit (40-bit key + 24-bit IV) hoặc 128-bit (104-bit key + 24-bit IV). Do vector khởi tạo (IV) quá ngắn và lặp lại, WEP dễ bị bẻ khóa bằng brute-force thông qua các công cụ như Aircrack-ng, Airsnort khi kẻ tấn công thu thập đủ từ 5 đến 10 triệu gói tin.
- WLAN VPN: Sử dụng IPSec để thiết lập kênh truyền mã hóa và xác thực dữ liệu qua mạng không dây.
- Chuẩn TKIP & AES: TKIP sử dụng hàm băm IV và mã kiểm tra tính toàn vẹn thông điệp (MIC) để khắc phục nhược điểm của WEP; AES là chuẩn mã hóa khối bảo mật cao theo thuật toán Rijndael (128/192/256-bit).
- Chuẩn IEEE 802.1x và EAP: Kiểm soát truy cập dựa trên cổng, khóa cổng của client cho đến khi hoàn tất định danh qua các giao thức EAP (EAP-TLS, MD5, OTP).
- Cơ chế lọc: Lọc theo SSID (dễ bị phát hiện qua gói Beacon), lọc theo danh sách địa chỉ MAC, và lọc gói tin theo giao thức từ Lớp 2 đến Lớp 7 (giới hạn HTTP, HTTPS, SMTP, FTP...).
Chương 3: Tìm hiểu giao thức xác thực RADIUS và RADIUS Server
Chương này đi sâu vào nguyên lý hoạt động, cấu trúc gói tin và kiến trúc của giao thức RADIUS (RFC 2865 và RFC 2866):
- Kiến trúc và tính chất: RADIUS hoạt động theo mô hình Client/Server (Client ở đây là NAS - Network Access Server hoặc Access Point; Server là máy chủ RADIUS). RADIUS sử dụng giao thức truyền vận UDP vì tính chất giao dịch phi trạng thái (stateless), cho phép cấu hình timeout và truyền lại (retransmission) linh hoạt sang máy chủ phụ (Secondary Server) khi máy chủ chính (Primary Server) gặp sự cố. Hệ thống hỗ trợ xử lý đa luồng (multi-threaded) để phục vụ đồng thời hàng trăm yêu cầu xác thực mỗi phút.
- Cấu trúc gói tin RADIUS:
| Trường dữ liệu |
Kích thước |
Chức năng |
| Code |
1 octet (1 byte) |
Xác định kiểu gói tin: 1 (Access-Request), 2 (Access-Accept), 3 (Access-Reject), 4 (Accounting-Request), 5 (Accounting-Response), 11 (Access-Challenge), 12 (Status-Server), 13 (Status-Client). |
| Identifier |
1 octet |
Phối hợp đồng bộ giữa gói tin yêu cầu và gói tin trả lời, giúp phát hiện trùng lặp. |
| Length |
2 octet |
Xác định độ dài toàn bộ gói tin (giá trị từ 20 đến 4096 octet). |
| Authenticator |
16 octet |
Sử dụng để xác thực thông điệp và ẩn mật khẩu. Phân chia thành Request Authenticator (chuỗi ngẫu nhiên 16 byte) và Response Authenticator tính theo hàm băm MD5: ResponseAuth = MD5(Code + ID + Length + RequestAuth + Attributes + Secret). |
| Attributes |
Thay đổi |
Chứa danh sách các thuộc tính cấu hình như User-Name, User-Password, NAS-IP-Address, NAS-Port... |
- Bảo mật chuỗi khóa bí mật (Shared Secret): Khuyến nghị độ dài tối thiểu 16 octet và có độ phức tạp cao để chống lại các cuộc tấn công dò quét mật khẩu.
Thiết kế và triển khai thực nghiệm
Nội dung thực nghiệm trong đồ án được thiết kế theo quy trình từng bước nhằm xây dựng hệ thống mạng WLAN bảo mật cấp doanh nghiệp sử dụng xác thực RADIUS kết hợp Active Directory trên môi trường Windows Server:
+------------------+ +--------------------+ +-------------------+
| Wireless Client | <-----> | Wireless AP (NAS) | <-----> | RADIUS Server |
| (EAP/PEAP Auth) | (Sóng) | (WPA/WPA2-Enterp.) | (UDP) | (Active Direct.) |
+------------------+ +--------------------+ +---------+---------+
| |
v v
+------------------+ +-------------------+
| DHCP Server | <------------------------------------> | Enterprise CA |
| (Cấp phát IP) | | (Cấp chứng chỉ) |
+------------------+ +-------------------+
Các bước cài đặt và cấu hình hệ thống
- Cấu hình DHCP Server: Thiết lập dải cấp phát địa chỉ IP tự động, cấu hình Default Gateway, Subnet Mask và DNS Server cho toàn bộ các máy trạm không dây khi xác thực thành công.
- Cài đặt Enterprise CA & Yêu cầu chứng chỉ (Certificate Request): Cài đặt dịch vụ Certificate Services, tạo máy chủ cấp phát chứng chỉ nội bộ Enterprise Root CA để cấp chứng chỉ máy chủ (Server Certificate) phục vụ cho cơ chế xác thực bảo mật PEAP/TLS.
- Quản trị người dùng Active Directory: Tạo đơn vị tổ chức (OU), tài khoản người dùng (User) và nhóm (Group); chuyển chế độ miền sang Native Mode; cấp quyền truy cập từ xa (Allow Access trong mục Remote Access Permission) cho các tài khoản người dùng.
- Cài đặt và cấu hình RADIUS Server:
- Khai báo thiết bị Access Point như một RADIUS Client hợp lệ với địa chỉ IP xác định và chuỗi khóa bí mật chia sẻ (Shared Secret).
- Thiết lập chính sách truy cập từ xa (Remote Access Policy), định cấu hình phương thức xác thực EAP (PEAP - MS-CHAPv2) và chỉ định các điều kiện (Conditions) cho phép người dùng thuộc nhóm đã tạo được quyền kết nối.
- Cấu hình Access Point: Thiết lập tên mạng không dây (SSID), chuyển đổi chế độ bảo mật sang WPA/WPA2 Enterprise, khai báo địa chỉ IP của RADIUS Server, chỉ định cổng kết nối UDP 1812 và nhập khóa chia sẻ chung (Shared Secret).
- Cấu hình Wireless Client: Thiết lập card mạng không dây trên máy trạm, chọn kiểu bảo mật WPA2 Enterprise, cấu hình phương thức chứng thực EAP/PEAP, thiết lập tin cậy chứng chỉ số từ Enterprise CA Server và bỏ tùy chọn tự động dùng tài khoản Windows để cho phép nhập username/password thủ công.
Kiểm thử và đánh giá hệ thống
- Xác thực kết nối: Máy trạm nhận diện SSID, hiển thị hộp thoại yêu cầu nhập thông tin tài khoản miền (Username/Password).
- Cấp phát mạng: Sau khi RADIUS Server phản hồi
Access-Accept, AP mở cổng chuyển tiếp dữ liệu (Forwarding mode), máy trạm nhận đầy đủ địa chỉ IP, Subnet Mask, Default Gateway và DNS Server từ DHCP.
- Giám sát nhật ký (Logging): Kiểm tra công cụ Event Viewer trên RADIUS Server ghi nhận đầy đủ chi tiết tiến trình chứng thực: mã sự kiện, tên người dùng, địa chỉ IP của AP (NAS), chính sách Remote Access Policy được áp dụng và kết quả chứng thực thành công.
Kết quả và đóng góp
Kết quả đạt được
- Hệ thống hóa đầy đủ cơ sở lý thuyết về các chuẩn IEEE 802.11, chỉ rõ các lỗ hổng của các phương thức mã hóa cổ điển như WEP (khóa 64/128-bit bị bẻ gãy khi thu thập 5-10 triệu gói tin) và các hình thức tấn công nguy hiểm (Rogue AP, De-auth Flood, Fake AP, DoS lớp vật lý).
- Phân tích chi tiết định dạng gói tin RADIUS (1 octet Code, 1 octet Identifier, 2 octet Length, 16 octet Authenticator) và các thuật toán tính toán băm bảo mật MD5 cho Request/Response Authenticator.
- Xây dựng thành công mô hình thử nghiệm chứng thực tập trung cho mạng WLAN kết hợp WPA/WPA2 Enterprise với RADIUS Server trên Windows Server và Enterprise CA. Hệ thống đã xác thực thành công tài khoản người dùng, cấp phát IP động qua DHCP và lưu vết chi tiết sự kiện trên Event Viewer.
Đóng góp thực tiễn
- Đưa ra giải pháp thay thế hoàn toàn việc sử dụng khóa chia sẻ tĩnh (Pre-Shared Key) dễ bị lộ lọt bằng cơ chế cấp quyền theo từng tài khoản cá nhân thông qua máy chủ AAA tập trung.
- Cung cấp tài liệu quy trình từng bước (step-by-step) về việc triển khai hạ tầng bảo mật mạng không dây cấp doanh nghiệp, từ khâu cấp phát chứng chỉ số CA, cấu hình chính sách NPS/RADIUS đến thiết lập tham số trên Access Point và Client.
Hạn chế và hướng nghiên cứu tiếp
-
Hạn chế:
- Mô hình thực nghiệm mới được triển khai trong môi trường phòng lab với số lượng người dùng và điểm truy cập hạn chế, chưa thực hiện đo kiểm tải lớn (stress test) khi có hàng trăm kết nối đồng thời.
- Hệ thống sử dụng một máy chủ RADIUS duy nhất, chưa triển khai mô hình máy chủ dự phòng (Secondary RADIUS Server) để đảm bảo khả năng sẵn sàng cao (High Availability) khi có sự cố.
- Phương thức xác thực trên client chủ yếu dừng lại ở PEAP-MS-CHAPv2, chưa triển khai cấp phát chứng chỉ số trực tiếp cho từng máy trạm (EAP-TLS thuần túy).
-
Hướng nghiên cứu tiếp:
- Nghiên cứu và triển khai mô hình cân bằng tải và dự phòng lỗi (Failover/Load Balancing) với nhiều máy chủ RADIUS (Primary và Secondary Server).
- Mở rộng cơ chế xác thực hai lớp (2FA/MFA) và áp dụng chuẩn EAP-TLS với chứng chỉ số cá nhân cài đặt trên từng thiết bị di động của người dùng.
- Khảo sát tích hợp RADIUS trên các hệ điều hành mã nguồn mở (như FreeRADIUS trên Linux) để giảm thiểu chi phí bản quyền cho doanh nghiệp.
Giá trị tham khảo
Tài liệu là nguồn tham khảo kỹ thuật cho:
- Sinh viên ngành Công nghệ Thông tin, Kỹ thuật Mạng và An toàn Thông tin: Làm tài liệu học tập, thực hành cho học phần Mạng không dây, An ninh mạng và Quản trị mạng doanh nghiệp.
- Kỹ sư quản trị mạng: Tham khảo tài liệu quy trình để cấu hình và triển khai hệ thống xác thực 802.1x/RADIUS cho các doanh nghiệp, cơ quan có nhu cầu quản lý bảo mật mạng Wi-Fi tập trung.
- Các đề tài khóa luận, đồ án môn học: Tham khảo khung phân tích các lỗ hổng mạng không dây và cấu trúc gói tin RADIUS RFC 2865/2866.
Câu hỏi thường gặp
1. Tại sao mã hóa WEP 128-bit vẫn dễ dàng bị bẻ khóa trong thực tế?
Mã hóa WEP sử dụng thuật toán RC4 với khóa tĩnh kết hợp với vector khởi tạo (IV) chỉ có độ dài 24-bit. Do IV quá ngắn, các giá trị IV bị lặp lại liên tục trên đường truyền. Khi tin tặc bắt được từ 5 đến 10 triệu gói tin bằng các công cụ như Aircrack-ng hoặc Airsnort, các điểm yếu toán học trong việc tạo khóa của WEP cho phép thuật toán brute-force tìm ra khóa bí mật một cách nhanh chóng mà không phụ thuộc vào độ dài khóa 64-bit hay 128-bit.
2. Sự khác biệt cơ bản giữa hai kiểu tấn công De-authentication Flood và Disassociation Flood là gì?
Cả hai kiểu tấn công đều nhằm mục đích ngắt kết nối giữa máy khách và trạm phát sóng (AP), nhưng khác nhau về cơ chế:
- De-authentication Flood: Tin tặc gửi các frame hủy xác thực giả mạo, buộc cả AP và Client phải thực hiện lại toàn bộ tiến trình xác thực từ đầu, dẫn đến việc xác thực liên tục thất bại.
- Disassociation Flood: Tin tặc gửi gói tin
disassociation frame làm cho AP và Client tin rằng liên kết logic giữa chúng đã bị ngắt, khiến phiên làm việc bị chấm dứt đột ngột.
3. Giao thức RADIUS sử dụng giao thức truyền vận nào và chạy trên cổng (port) mặc định nào?
RADIUS hoạt động trên nền giao thức truyền vận UDP (User Datagram Protocol) với cổng dịch vụ mặc định là 1812 dành cho chức năng xác thực (Authentication/Authorization) và cổng 1813 cho chức năng ghi nhận tài khoản (Accounting). UDP được lựa chọn nhờ tính chất phi trạng thái, hỗ trợ đa luồng và dễ dàng chuyển hướng sang máy chủ phụ khi máy chủ chính không phản hồi.
4. Giá trị Response Authenticator trong gói tin RADIUS được tính toán như thế nào?
Theo định dạng chuẩn của RADIUS, trường Authenticator có độ dài 16 octet. Giá trị Response Authenticator trong các gói trả lời (Access-Accept, Access-Reject, Access-Challenge) được tính toán bằng hàm băm MD5 dựa trên sự kết hợp của các trường:
$$\text{ResponseAuth} = \text{MD5}(\text{Code} + \text{ID} + \text{Length} + \text{RequestAuth} + \text{Attributes} + \text{Secret})$$
Trong đó Secret là chuỗi khóa bí mật dùng chung giữa RADIUS Server và NAS/AP.
Kết luận
Tiểu luận học phần của nhóm sinh viên Trường Đại học Thái Bình đã cung cấp một bức tranh toàn diện về bảo mật mạng WLAN, từ các lỗ hổng kỹ thuật đến cơ chế phòng thủ chuyên sâu. Việc kết hợp chuẩn IEEE 802.1x, WPA/WPA2 Enterprise và giao thức xác thực RADIUS tạo ra một giải pháp kiểm soát truy cập tập trung, khắc phục triệt để các hạn chế của phương thức khóa chia sẻ tĩnh. Kết quả thực nghiệm trên Windows Server và Enterprise CA đã chứng minh tính khả thi và hiệu quả của hệ thống trong việc nâng cao mức độ an toàn cho hạ tầng mạng không dây doanh nghiệp.
