Đồ án: Phân tích và đề xuất giải pháp bảo mật mạng WLAN với WPA3 - Vũ Đức Hiếu

Đồ án nghiên cứu tốt nghiệp công nghệ thông tin tìm hiểu phân tích và đề xuất giải pháp bảo mật khi triển khai mạng, áp dụng công nghệ tiên tiến, tối ưu giải pháp kỹ thuật cho bài

• Trường học: Trường Đại Học Công Nghệ Thông Tin
• Chuyên ngành: Công Nghệ Thông Tin
• Đề tài: Đồ Án Tốt Nghiệp Công Nghệ Thông Tin Tìm Hiểu Phân Tích Và Đề Xuất Giải Pháp Bảo Mật Khi Triển Khai Mạng Wlan Sử Dụng Giao Thức Wpa3
• Loại tài liệu: Đồ án tốt nghiệp

Mục lục chi tiết

• DANH MỤC HÌNH VẼ
• DANH MỤC BẢNG BIỂU
• DANH MỤC CHỮ VIẾT TẮT
• 1. CHƯƠNG 1: TỔNG QUAN MẠNG KHÔNG DÂY VÀ VẤN ĐỀ BẢO ĐẢM AN TOÀN MẠNG KHÔNG DÂY
• 1.1. Tổng quan về WLAN
• 1.1.1. Lịch sử hình thành và phát triển
• 1.1.2. Ưu điểm của WLAN
• 1.1.3. Nhược điểm của WLAN
• 1.2. Các chuẩn thông dụng của WLAN
• 1.2.1. So sánh các chuẩn IEEE 802
• 1.3. Cấu trúc và các mô hình WLAN
• 1.3.1. Cấu trúc cơ bản của WirelessLAN
• 1.3.2. Các thiết bị hạ tầng mạng không dây
• 1.3.3. Các mô hình WLAN

Tóm tắt

I. Tổng quan đồ án về giải pháp bảo mật WPA3 cho mạng WLAN

Trong bối cảnh công nghệ thông tin phát triển vượt bậc, mạng không dây (WLAN) đã trở thành một phần không thể thiếu trong đời sống và hoạt động của các tổ chức. Tuy nhiên, sự tiện lợi này luôn đi kèm với những rủi ro về an ninh mạng. Đồ án tốt nghiệp với chủ đề “Tìm hiểu, phân tích và đề xuất giải pháp bảo mật khi triển khai mạng WLAN sử dụng giao thức WPA3” ra đời nhằm giải quyết bài toán cấp thiết này. Nội dung chính của đồ án tập trung vào việc nghiên cứu sâu về các lỗ hổng bảo mật WLAN hiện hữu, phân tích các giao thức bảo mật cũ như WEP, WPA2, từ đó làm nổi bật sự ưu việt của giao thức WPA3. Đề tài không chỉ dừng lại ở lý thuyết mà còn đề xuất một mô hình triển khai WPA3 thực tiễn, cụ thể là tại công ty CMC Telecom, nhằm cung cấp một cái nhìn toàn diện và giải pháp khả thi cho các doanh nghiệp. Nghiên cứu này đóng vai trò quan trọng, là một tài liệu tham khảo giá trị cho các luận văn an toàn thông tin và các chuyên gia trong lĩnh vực quản trị mạng không dây. Mục tiêu cuối cùng là xây dựng một hệ thống bảo mật wifi vững chắc, chống lại các hình thức tấn công mạng wifi ngày càng tinh vi, đảm bảo an toàn cho dữ liệu và hệ thống thông tin của tổ chức. Sự ra đời của WPA3 được xem là một bước tiến mang tính cách mạng, hứa hẹn sẽ định hình lại tương lai của an ninh mạng không dây.

1.1. Tính cấp thiết của đề tài an ninh mạng không dây hiện nay

Sự phổ biến của mạng WLAN tại các doanh nghiệp, tổ chức và hộ gia đình đã tạo ra một môi trường kết nối linh hoạt nhưng cũng đầy rủi ro. Các giao thức bảo mật cũ như WEP đã lỗi thời, và ngay cả WPA2 cũng đã bộc lộ những điểm yếu chí mạng, điển hình là lỗ hổng KRACK (Key Reinstallation Attack). Điều này đặt ra yêu cầu cấp thiết phải có một giải pháp bảo mật wifi mạnh mẽ hơn. Giao thức WPA3 được Wi-Fi Alliance chính thức công bố vào năm 2018 như một câu trả lời cho những thách thức này. Việc nghiên cứu và đề xuất giải pháp triển khai WPA3 không chỉ là một chủ đề học thuật mà còn mang ý nghĩa thực tiễn to lớn, giúp các tổ chức nâng cao hàng rào bảo vệ, chống lại các nguy cơ đánh cắp thông tin và tấn công có chủ đích.

1.2. Mục tiêu nghiên cứu và phạm vi áp dụng của đồ án

Đồ án đặt ra ba mục tiêu chính: (1) Phân tích tổng quan về mạng WLAN, các chuẩn bảo mật và các hình thức tấn công phổ biến. (2) Nghiên cứu sâu về kiến trúc, cơ chế hoạt động và các ưu điểm của giao thức WPA3 so với các phiên bản tiền nhiệm. (3) Đề xuất và xây dựng một mô hình thử nghiệm triển khai WPA3 tại một doanh nghiệp cụ thể, bao gồm các bước cấu hình access point WPA3 và thiết bị đầu cuối. Phạm vi của đồ án tập trung vào môi trường mạng doanh nghiệp, nơi yêu cầu về an ninh mạng không dây là cao nhất. Kết quả nghiên cứu có thể được áp dụng rộng rãi cho các tổ chức mong muốn nâng cấp hệ thống mạng không dây của mình lên một tiêu chuẩn bảo mật cao hơn, an toàn hơn.

II. Các lỗ hổng bảo mật WLAN và sự cần thiết của giao thức WPA3

Thực trạng bảo mật WLAN hiện nay đối mặt với nhiều thách thức nghiêm trọng. Mặc dù các biện pháp như lọc địa chỉ MAC, ẩn SSID hay tắt WPS được áp dụng, chúng chỉ mang tính đối phó tạm thời và dễ dàng bị vượt qua bởi các hacker có kỹ năng. Các giao thức cũ như WEP đã hoàn toàn bị bẻ gãy, trong khi WPA2, dù mạnh mẽ hơn, vẫn tồn tại những điểm yếu có thể khai thác. Các cuộc tấn công mạng wifi ngày càng trở nên tinh vi, từ tấn công không qua chứng thực (Deauthentication Attack) gây gián đoạn kết nối, tấn công giả mạo Access Point (AP Spoofing) để thực hiện tấn công "man-in-the-middle", đến các cuộc tấn công từ chối dịch vụ (DoS/DDoS) làm tê liệt toàn bộ hệ thống mạng. Đặc biệt, lỗ hổng KRACK trên WPA2 cho phép kẻ tấn công xen vào giữa quá trình "bắt tay 4 bước" để giải mã lưu lượng mạng. Chính những lỗ hổng bảo mật wlan này đã thúc đẩy sự ra đời của giao thức WPA3. WPA3 không chỉ là một bản nâng cấp, mà là một cuộc cách mạng về an ninh mạng không dây, được thiết kế để giải quyết triệt để các yếu điểm của thế hệ trước và mang lại một lớp bảo vệ vững chắc hơn cho người dùng cá nhân và doanh nghiệp.

2.1. Phân loại các hình thức tấn công mạng wifi phổ biến

Các hình thức tấn công mạng wifi có thể được phân loại thành nhiều nhóm. Tấn công nghe lén (Eavesdropping) là hình thức cơ bản nhất, kẻ tấn công thu thập các gói tin truyền qua không khí. Tấn công giả mạo AP (AP Spoofing) tạo ra một điểm truy cập giả mạo với SSID giống hệt mạng hợp pháp để lừa người dùng kết nối. Tấn công từ chối dịch vụ (DoS) sử dụng các gói tin Deauthentication hoặc Disassociation để ngắt kết nối của người dùng hợp lệ khỏi mạng. Tấn công bẻ khóa mật khẩu (Password Cracking), đặc biệt là tấn công từ điển ngoại tuyến (Offline Dictionary Attack) vào quá trình bắt tay của WPA2, là một mối đe dọa nghiêm trọng. Hiểu rõ các phương thức tấn công này là bước đầu tiên để nhận thức được tầm quan trọng của việc triển khai WPA3.

2.2. Điểm yếu chí mạng của WPA2 và sự ra đời của WPA3

Mặc dù WPA2 sử dụng mã hóa AES mạnh mẽ, điểm yếu lớn nhất của nó lại nằm ở quá trình xác thực ban đầu, cụ thể là việc sử dụng Khóa chia sẻ trước (Pre-Shared Key - PSK). Quá trình bắt tay 4 bước (4-way handshake) của WPA2-Personal có thể bị ghi lại. Kẻ tấn công sau đó có thể thực hiện một cuộc tấn công từ điển ngoại tuyến để dò ra mật khẩu mà không cần tương tác thêm với mạng. Lỗ hổng KRACK còn nguy hiểm hơn khi cho phép kẻ tấn công cài đặt lại khóa, buộc thiết bị phải sử dụng lại các giá trị đã dùng, từ đó giải mã được dữ liệu. Giao thức WPA3 ra đời để khắc phục trực tiếp những vấn đề này bằng cách thay thế PSK bằng cơ chế Simultaneous Authentication of Equals (SAE), giúp chống lại các cuộc tấn công ngoại tuyến và tăng cường đáng kể bảo mật wifi.

III. Phân tích giao thức WPA3 Giải pháp bảo mật wifi ưu việt

Giao thức WPA3 đại diện cho một bước nhảy vọt trong công nghệ mã hóa wifi và xác thực người dùng. Trọng tâm của sự cải tiến này là cơ chế Simultaneous Authentication of Equals (SAE), thay thế cho phương thức PSK của WPA2. SAE, còn được biết đến với tên gọi Dragonfly Key Exchange, tạo ra một kết nối an toàn ngay cả khi mật khẩu yếu, bằng cách ngăn chặn các cuộc tấn công thụ động và tấn công từ điển ngoại tuyến. Điều này có nghĩa là kẻ tấn công không thể chỉ đơn giản ghi lại quá trình kết nối và dò mật khẩu sau đó. WPA3 được chia thành hai chế độ chính: WPA3-Personal dành cho người dùng cá nhân và mạng nhỏ, và WPA3-Enterprise dành cho các tổ chức lớn. WPA3-Personal mang lại sự bảo vệ mạnh mẽ và dễ sử dụng, trong khi WPA3-Enterprise cung cấp tùy chọn mã hóa lên đến 192-bit, đáp ứng các yêu cầu an ninh cấp chính phủ và quân sự. Ngoài ra, WPA3 còn giới thiệu Wi-Fi Certified Enhanced Open™, một tính năng mang lại mã hóa dữ liệu cá nhân hóa cho các mạng Wi-Fi công cộng mở, bảo vệ người dùng khỏi các cuộc tấn công nghe lén tại các địa điểm như sân bay, quán cà phê.

3.1. Cơ chế hoạt động của WPA3 Personal và giao thức SAE

WPA3-Personal tăng cường bảo mật cho mạng gia đình và văn phòng nhỏ. Cốt lõi của nó là giao thức Simultaneous Authentication of Equals (SAE). Thay vì chỉ trao đổi thông tin xác thực một cách đơn giản, SAE sử dụng một quy trình mật mã phức tạp để cả client và Access Point xác thực lẫn nhau. Ngay cả khi kẻ tấn công bắt được toàn bộ gói tin trong quá trình này, chúng cũng không thể suy ra được mật khẩu. Cơ chế này cung cấp tính năng "Bảo mật chuyển tiếp hoàn hảo" (Perfect Forward Secrecy), nghĩa là ngay cả khi mật khẩu bị lộ trong tương lai, các phiên kết nối trong quá khứ đã được ghi lại vẫn không thể bị giải mã. Điều này làm cho việc bảo mật wifi trở nên chủ động và bền vững hơn rất nhiều.

3.2. WPA3 Enterprise Mã hóa wifi và bảo mật cấp doanh nghiệp

WPA3-Enterprise được thiết kế cho các môi trường yêu cầu mức độ bảo mật cao nhất như doanh nghiệp, chính phủ, và các tổ chức tài chính. Chế độ này tiếp tục sử dụng xác thực 802.1X nhưng yêu cầu một bộ mật mã mạnh hơn. Đặc biệt, WPA3-Enterprise cung cấp một chế độ 192-bit tùy chọn, sử dụng bộ thuật toán CNSA (Commercial National Security Algorithm), tương đương với cấp độ bảo mật "Tối mật" của chính phủ Hoa Kỳ. Việc triển khai WPA3 ở cấp độ doanh nghiệp đảm bảo rằng mọi kết nối đều được xác thực và mã hóa wifi một cách nhất quán, bảo vệ dữ liệu nhạy cảm của tổ chức khỏi các mối đe dọa từ bên trong và bên ngoài.

IV. So sánh WPA2 và WPA3 Vì sao WPA3 là tương lai an ninh

Việc so sánh WPA2 và WPA3 cho thấy một sự tiến hóa rõ rệt về mặt kiến trúc bảo mật. WPA2, mặc dù đã phục vụ tốt trong hơn một thập kỷ, nhưng nền tảng PSK của nó đã trở nên lỗi thời trước các kỹ thuật tấn công hiện đại. WPA3 đã giải quyết triệt để vấn đề này. Điểm khác biệt lớn nhất nằm ở khả năng chống lại các cuộc tấn công ngoại tuyến. Với WPA2, kẻ tấn công có thể thu thập dữ liệu và bẻ khóa mật khẩu một cách âm thầm, còn với WPA3 và giao thức SAE, mỗi lần đoán sai mật khẩu đều yêu cầu một tương tác mới với mạng, khiến việc tấn công brute-force trở nên không khả thi. Một cải tiến quan trọng khác là việc mã hóa dữ liệu cá nhân hóa. Trong mạng WPA2-Personal, tất cả người dùng chia sẻ cùng một khóa mã hóa, có nghĩa là một người dùng trong mạng có thể nghe lén lưu lượng của người khác. Giao thức WPA3 giải quyết vấn đề này bằng cách tạo ra các khóa mã hóa riêng biệt cho mỗi phiên kết nối của từng thiết bị. Điều này đảm bảo quyền riêng tư ngay cả trong một mạng tin cậy. Những nâng cấp này khẳng định WPA3 không chỉ là một bản vá, mà là một nền tảng an ninh mạng không dây vững chắc cho tương lai.

4.1. Sự khác biệt về cơ chế xác thực và mã hóa wifi

Sự khác biệt cốt lõi khi so sánh WPA2 và WPA3 là cơ chế xác thực. WPA2-Personal sử dụng PSK (Pre-Shared Key), trong khi WPA3-Personal sử dụng SAE (Simultaneous Authentication of Equals). SAE yêu cầu tương tác trực tiếp để xác thực, ngăn chặn các cuộc tấn công ngoại tuyến. Về mã hóa wifi, cả hai đều có thể sử dụng AES-128 (trong chế độ CCMP), nhưng WPA3-Enterprise còn cung cấp tùy chọn AES-192 (trong chế độ GCMP-256) cho mức độ bảo mật cao hơn. Ngoài ra, WPA3 bắt buộc sử dụng Khung quản lý được bảo vệ (Protected Management Frames - PMF), giúp ngăn chặn các cuộc tấn công nghe lén và giả mạo khung quản lý, một tính năng chỉ là tùy chọn trên WPA2.

4.2. Khả năng chống lại tấn công từ điển và tấn công KRACK

WPA3 được thiết kế đặc biệt để chống lại hai trong số những lỗ hổng bảo mật wlan nguy hiểm nhất của WPA2. Giao thức SAE làm cho các cuộc tấn công từ điển ngoại tuyến trở nên vô dụng. Kẻ tấn công không thể chỉ thu thập một "cái bắt tay" và thử hàng tỷ mật khẩu trên máy tính của mình. Thay vào đó, chúng phải tương tác với AP cho mỗi lần thử, điều này sẽ nhanh chóng bị phát hiện và ngăn chặn. Đối với tấn công KRACK, việc thiết kế của SAE và các yêu cầu nghiêm ngặt hơn về quy trình trao đổi khóa trong WPA3 giúp ngăn chặn việc cài đặt lại khóa, đảm bảo rằng kẻ tấn công không thể ép thiết bị sử dụng lại các nonces (số ngẫu nhiên) và giải mã dữ liệu.

V. Hướng dẫn triển khai WPA3 trong doanh nghiệp thực tế

Việc triển khai WPA3 trong môi trường doanh nghiệp đòi hỏi một kế hoạch chi tiết để đảm bảo quá trình chuyển đổi diễn ra suôn sẻ và hiệu quả. Dựa trên mô hình nghiên cứu tại CMC Telecom, quá trình này bao gồm các bước chính: khảo sát hạ tầng hiện tại, lập kế hoạch nâng cấp, cấu hình và thử nghiệm. Trước tiên, cần kiểm tra khả năng tương thích của các thiết bị mạng hiện có, bao gồm Access Point (AP), switch, và các thiết bị người dùng cuối (laptop, smartphone). Không phải tất cả các thiết bị cũ đều hỗ trợ WPA3. Bước tiếp theo là cấu hình Access Point WPA3. Hầu hết các AP hiện đại đều cho phép lựa chọn chế độ chuyển tiếp (Transition Mode), hay WPA2/WPA3-Mixed, cho phép cả thiết bị cũ (chỉ hỗ trợ WPA2) và thiết bị mới (hỗ trợ WPA3) cùng kết nối vào một SSID. Đây là giải pháp tối ưu trong giai đoạn đầu. Việc quản trị mạng không dây sau khi nâng cấp cũng cần được chú trọng, bao gồm việc giám sát kết nối, kiểm tra nhật ký hệ thống để phát hiện các truy cập bất thường và đào tạo người dùng về các tiêu chuẩn bảo mật mới. Mô hình thử nghiệm cho thấy việc triển khai WPA3 giúp cải thiện đáng kể an ninh mạng không dây mà không ảnh hưởng lớn đến hiệu suất.

5.1. Các bước cấu hình Access Point WPA3 chi tiết

Để thực hiện cấu hình Access Point WPA3, quản trị viên cần truy cập vào giao diện quản lý của AP. Đầu tiên, cần đảm bảo firmware của AP đã được cập nhật lên phiên bản mới nhất hỗ trợ WPA3. Trong mục cài đặt mạng không dây (Wireless Settings), chọn SSID cần cấu hình. Tại phần Security Options, chọn chế độ WPA3-Personal hoặc WPA3-Enterprise. Đối với WPA3-Personal, chỉ cần nhập mật khẩu. Đối với WPA3-Enterprise, cần cấu hình các thông số của máy chủ RADIUS. Để đảm bảo tương thích ngược, nên chọn chế độ WPA2/WPA3-Personal (Mixed Mode). Sau khi lưu cấu hình, cần khởi động lại AP. Cuối cùng, tiến hành kiểm tra kết nối từ các thiết bị hỗ trợ WPA3 và các thiết bị chỉ hỗ trợ WPA2 để đảm bảo tất cả đều hoạt động ổn định.

5.2. Quản trị mạng không dây và các lưu ý khi nâng cấp

Công tác quản trị mạng không dây sau khi triển khai WPA3 cần tập trung vào việc giám sát và tối ưu hóa. Cần theo dõi danh sách các thiết bị kết nối để xác định những thiết bị nào đang sử dụng WPA3 và thiết bị nào vẫn còn dùng WPA2. Điều này giúp lập kế hoạch nâng cấp hoặc thay thế các thiết bị cũ. Một lưu ý quan trọng là không phải tất cả các driver card mạng không dây trên máy tính đều tự động hỗ trợ WPA3, người dùng có thể cần phải cập nhật driver thủ công. Đối với các mạng công cộng hoặc mạng khách, nên kích hoạt tính năng Wi-Fi Certified Enhanced Open™ (nếu AP hỗ trợ) để mã hóa lưu lượng cho các kết nối mở, thay vì để chúng hoàn toàn không được bảo vệ.

VI. Kết luận Tương lai an ninh mạng không dây với giao thức WPA3

Đồ án tốt nghiệp đã phân tích thành công tầm quan trọng và các ưu điểm vượt trội của giao thức WPA3 trong việc củng cố an ninh mạng không dây. Thông qua việc so sánh WPA2 và WPA3, nghiên cứu đã chỉ ra rằng WPA3 không chỉ khắc phục các lỗ hổng bảo mật wlan nghiêm trọng mà còn thiết lập một tiêu chuẩn mới về mã hóa wifi và xác thực người dùng. Các tính năng như SAE, WPA3-Enterprise 192-bit, và Wi-Fi Certified Enhanced Open™ cung cấp một lớp bảo vệ toàn diện, từ mạng gia đình, doanh nghiệp đến các điểm truy cập công cộng. Mô hình đề xuất và thử nghiệm triển khai WPA3 đã chứng minh tính khả thi và hiệu quả của giải pháp trong thực tế. Kết quả của luận văn an toàn thông tin này khẳng định WPA3 là tương lai của bảo mật wifi. Việc nâng cấp lên WPA3 là một bước đi chiến lược và cần thiết cho bất kỳ tổ chức nào xem trọng việc bảo vệ dữ liệu và tài sản thông tin của mình trong kỷ nguyên số. Tương lai của mạng không dây sẽ an toàn hơn, đáng tin cậy hơn nhờ vào nền tảng vững chắc mà WPA3 đã xây dựng.

6.1. Tóm tắt kết quả nghiên cứu đạt được trong luận văn

Luận văn đã hoàn thành các mục tiêu đề ra: (1) Hệ thống hóa kiến thức về mạng WLAN và các nguy cơ an ninh. (2) Phân tích sâu sắc kiến trúc và lợi ích của giao thức WPA3, đặc biệt là cơ chế SAE. (3) Xây dựng thành công mô hình thử nghiệm, cung cấp hướng dẫn chi tiết về cấu hình access point WPA3 và đánh giá hiệu quả. Kết quả cho thấy WPA3 có khả năng chống lại các phương thức tấn công phổ biến nhắm vào WPA2. Đây là một đóng góp quan trọng cho cộng đồng nghiên cứu và các nhà quản trị mạng không dây tại Việt Nam.

6.2. Hướng phát triển của bảo mật wifi trong tương lai

WPA3 là một nền tảng vững chắc, nhưng cuộc chiến về an ninh mạng không dây vẫn tiếp diễn. Các hướng phát triển trong tương lai có thể bao gồm việc tích hợp trí tuệ nhân tạo (AI) và học máy (Machine Learning) để phát hiện và ngăn chặn các cuộc tấn công một cách tự động và thông minh hơn. Bên cạnh đó, sự phát triển của Internet of Things (IoT) sẽ đòi hỏi các phương thức xác thực và mã hóa wifi nhẹ hơn nhưng vẫn đảm bảo an toàn. Các tiêu chuẩn bảo mật trong tương lai sẽ cần phải linh hoạt hơn để thích ứng với sự đa dạng của các thiết bị kết nối, và WPA3 chính là bước đệm quan trọng cho những sự phát triển đó.

Nội dung chính

Giới thiệu dự án

Sự phát triển bùng nổ của các thiết bị di động và mô hình làm việc linh hoạt (hybrid work) đã biến mạng cục bộ không dây (WLAN - Wireless Local Area Network) thành hạ tầng kết nối cốt lõi trong mọi tổ chức, doanh nghiệp. Theo các báo cáo an ninh mạng toàn cầu, hơn 60% các cuộc tấn công thăm dò vào mạng nội bộ doanh nghiệp xuất phát từ các điểm yếu trên giao diện vô tuyến. Chuẩn bảo mật WPA2 (Wi-Fi Protected Access 2) ra đời từ năm 2004 đã bộc lộ nhiều lỗ hổng nghiêm trọng sau gần hai thập kỷ vận hành, điển hình là nguy cơ bị tấn công vét cạn từ điển ngoại tuyến (offline dictionary brute-force attack) thông qua bắt gói tin bắt tay 4 bước (4-way handshake) và lỗ hổng cài đặt lại khóa KRACK (Key Reinstallation Attack).

Đồ án tốt nghiệp chuyên ngành Công nghệ Thông tin với đề tài "Tìm hiểu, phân tích và đề xuất giải pháp bảo mật khi triển khai mạng WLAN sử dụng giao thức WPA3" do sinh viên Vũ Đức Hiếu (Mã SV: 1812111010, Lớp CT2201M, Trường Đại học Quản lý và Công nghệ Hải Phòng) thực hiện dưới sự hướng dẫn của ThS. Nguyễn Như Chiến và ThS. Nguyễn Thị Xuân Hương. Đề tài tập trung giải quyết các bài toán cấp bách về an toàn thông tin không dây trong môi trường doanh nghiệp viễn thông hiện đại.

                    MÔ HÌNH RỦI RO BẢO MẬT TRÊN WLAN TRUYỀN THỐNG
                    
    [ Hacker / Attacker ]

Mục tiêu dự án

1. Phân tích toàn diện cấu trúc, nguyên lý mã hóa và các cơ chế phòng thủ của giao thức WPA3 (chuẩn IEEE 802.11-2020) so với các thế hệ tiền nhiệm (WEP, WPA, WPA2).
2. Khảo sát và đánh giá hiện trạng an toàn mạng tại Công ty Cổ phần Hạ tầng Viễn thông CMC (CMC Telecom), xác định các điểm nghẽn và nguy cơ mất an toàn thông tin.
3. Thiết kế và mô phỏng giải pháp nâng cấp mạng WLAN sử dụng giao thức WPA3 với cả hai chế độ WPA3-Personal (SAE) và WPA3-Enterprise (chuỗi mật mã 192-bit CNSA).
4. Triển khai thử nghiệm thực tế, cấu hình Access Point (AP), máy chủ xác thực và các thiết bị đầu cuối (laptop, mobile); thực hiện kiểm thử độ trễ, tính toàn vẹn và khả năng kháng tấn công.

Phương pháp tiếp cận và kết quả kỳ vọng

Giải pháp áp dụng cơ chế xác thực đồng thời các thực thể ngang hàng (SAE - Simultaneous Authentication of Equals) thay thế cho cơ chế khóa chia sẻ trước (PSK) truyền thống, kết hợp kích hoạt bắt buộc Khung quản lý bảo vệ (PMF - Protected Management Frames theo chuẩn IEEE 802.11w). Kết quả kỳ vọng đạt được là triệt tiêu hoàn toàn khả năng giải mã gói tin thụ động, ngăn ngừa 100% các cuộc tấn công DoS ngắt kết nối giả mạo và duy trì tính bí mật chuyển tiếp (Forward Secrecy) cho mọi phiên truyền thông.

Phạm vi và giới hạn: Đồ án tập trung nghiên cứu trên hạ tầng mạng Wi-Fi 6 (IEEE 802.11ax) và Wi-Fi 5 (IEEE 802.11ac) trong quy mô phòng ban doanh nghiệp; không bao gồm việc can thiệp chỉnh sửa firmware gốc của nhà sản xuất chipset phần cứng.

---

Phân tích và thiết kế giải pháp

Phân tích hiện trạng

Khảo sát tại văn phòng CMC Telecom cho thấy hệ thống sử dụng hỗn hợp các AP chuẩn Wi-Fi cũ chạy giao thức WPA2-PSK. Băng tần 2.4 GHz bị nghẽn nghiêm trọng bởi can nhiễu đồng kênh từ các thiết bị xung quanh, trong khi khung quản lý không được mã hóa khiến hệ thống dễ bị tấn công từ chối dịch vụ (DoS).

Tiêu chí so sánh	WEP (1997)	WPA (2003)	WPA2 (2004)	WPA3 (2018 - Hiện tại)
Thuật toán mã hóa	RC4 (Stream Cipher)	RC4 + TKIP	AES-CCMP	AES-GCMP-256 / CNSA 192-bit
Độ dài khóa	40-bit / 104-bit	128-bit	128-bit	128-bit (Personal) / 192-bit (Enterprise)
Cơ chế xác thực	Khóa tĩnh / Open	PSK / 802.1X EAP	PSK / 802.1X EAP	SAE (Dragonfly) / 802.1X EAP-TLS
Khung quản lý (PMF)	Không hỗ trợ	Không hỗ trợ	Tùy chọn (802.11w)	Bắt buộc kích hoạt (Mandatory)
Kháng tấn công Offline	Kém (bẻ khóa trong vài phút)	Kém (phụ thuộc độ phức tạp pass)	Kém (bị crack qua 4-Way Handshake)	Tuyệt đối (Nhờ trao đổi Diffie-Hellman)
Tính bí mật chuyển tiếp	Không	Không	Không	Có (Mỗi phiên có khóa riêng biệt)

Phân tích yêu cầu hệ thống theo mô hình MoSCoW

• Must Have (Bắt buộc): Hỗ trợ chuẩn WPA3-Personal với thuật toán SAE; kích hoạt bắt buộc Protected Management Frames (PMF ieee80211w=2); mã hóa AES-CCMP/GCMP; hỗ trợ phân tách VLAN cho lưu lượng nội bộ và khách.
• Should Have (Nên có): Tích hợp WPA3-Enterprise kết hợp máy chủ RADIUS xác thực chuẩn EAP-TLS/PEAP; ưu tiên điều hướng băng tần sang 5 GHz (Band Steering); cách ly người dùng (AP Isolation) trên mạng Guest.
• Could Have (Có thể có): Giao thức kết nối nhanh Wi-Fi Easy Connect (DPP - Device Provisioning Protocol) cho các thiết bị IoT không có màn hình.
• Won't Have (Không áp dụng): Loại bỏ hoàn toàn cơ chế WEP, TKIP và tính năng cấu hình nhanh WPS (Wi-Fi Protected Setup) do rủi ro lộ mã PIN brute-force.

Thiết kế hệ thống

Kiến trúc mạng bảo mật nâng cao cho doanh nghiệp được thiết kế theo mô hình 3 lớp phân tách rõ rệt: Lớp Truy cập (Access Layer), Lớp Phân phối/Điều khiển (Distribution/Controller Layer) và Lớp Dịch vụ Xác thực (Authentication Services Layer).

Ngăn xếp công nghệ triển khai (Technology Stack)

• Hệ điều hành AP/Controller: OpenWrt 21.02 LTS / Firmware Enterprise Controller v5.x hỗ trợ Hostapd v2.9+.
• Máy chủ xác thực (Authentication Server): FreeRADIUS v3.0.26 xây dựng trên nền Ubuntu Server 20.04 LTS.
• Thư viện mật mã: OpenSSL 1.1.1w / 3.0.8 hỗ trợ các đường cong Elliptic (NIST P-384, Brainpool P-384r1).
• Bộ giao thức bảo mật Enterprise: Chuỗi thuật toán NSA CNSA (Commercial National Security Algorithm):
  • Mã hóa đối xứng: AES-256-GCM (Galois/Counter Mode).
  • Chữ ký số: ECDSA với khóa 384-bit (P-384).
  • Trao đổi khóa: ECDHE (Elliptic Curve Diffie-Hellman Ephemeral).
  • Bảo vệ tính toàn vẹn: HMAC-SHA-384.

Phương pháp luận (Methodology)

Dự án áp dụng quy trình triển khai mạng phân kỳ 5 bước (Phased Deployment Methodology) kết hợp chặt chẽ giữa nghiên cứu lý thuyết, đo kiểm trong phòng Lab và thực nghiệm tại doanh nghiệp trong thời gian từ tháng 04/2022 đến tháng 06/2022.

Đánh giá rủi ro và giải pháp xử lý (Risk Assessment)

• Rủi ro tính tương thích (Compatibility Risk): Một số thiết bị cũ (legacy devices) chỉ hỗ trợ WPA2 không thể kết nối vào mạng WPA3-Only.
  • Giải pháp: Cấu hình chế độ chuyển tiếp hỗn hợp WPA3-Personal Transition Mode (WPA2/WPA3 Mixed) trên SSID Văn phòng và tạo riêng SSID WPA3-Enterprise Only cho các máy trạm nghiệp vụ.
• Rủi ro rớt gói do PMF: Một số card mạng Wi-Fi cũ bị lỗi driver khi gặp cờ PMF bắt buộc.
  • Giải pháp: Thiết lập ieee80211w=1 (Optional) trên mạng chuyển tiếp và ieee80211w=2 (Required) trên mạng bảo mật cao.

---

Implementation và kết quả

Quy trình phát triển và thuật toán cốt lõi

Trọng tâm của giải pháp bảo mật WPA3-Personal là giao thức bắt tay Dragonfly (SAE). Thay vì sử dụng trực tiếp Passphrase làm Pre-Shared Key, SAE chuyển đổi Passphrase thành một điểm phần tử trên đường cong Elliptic (PWE - Password Element) và thực hiện xác thực không tiết lộ tri thức (Zero-Knowledge Proof).

                      QUY TRÌNH BẮT TAY DRAGONFLY (SAE HANDSHAKE)

       Client (Supplicant)                                  Access Point (Authenticator)
        [Tính Khóa Phiên K]                                      [Tính Khóa Phiên K]

Cấu hình tệp tin dịch vụ hostapd.conf cho Điểm truy cập WPA3

Dưới đây là đoạn trích cấu hình dịch vụ phát sóng bảo mật cao áp dụng giao thức WPA3-Personal SAE và PMF trên thiết bị Access Point:

# Cấu hình giao tiếp mạng không dây
interface=wlan0
driver=nl80211
ssid=CMC_Secure_WPA3
hw_mode=a
channel=36
ieee80211n=1
ieee80211ac=1
ieee80211ax=1
wmm_enabled=1

# Cấu hình chế độ bảo mật WPA3-Personal
wpa=2
wpa_key_mgmt=SAE
rsn_pairwise=CCMP
sae_pwe=2

# Kích hoạt bắt buộc Protected Management Frames (IEEE 802.11w)
ieee80211w=2
sae_require_mfp=1

# Thiết lập chuỗi mật mã và passphrase
wpa_passphrase=CMCTelecom@Secure2022#HPU
sae_anti_clogging_threshold=5

Cấu hình kết nối trên máy trạm Linux (wpa_supplicant.conf)

ctrl_interface=/var/run/wpa_supplicant
update_config=1

network={
    ssid="CMC_Secure_WPA3"
    proto=RSN
    key_mgmt=SAE
    pairwise=CCMP
    group=CCMP
    ieee80211w=2
    psk="CMCTelecom@Secure2022#HPU"
}

Thử nghiệm và đánh giá thực nghiệm (Testing & Validation)

Hệ thống được đưa vào kiểm thử tấn công giả lập với các bộ công cụ kiểm thử xâm nhập tiêu chuẩn ngành (Aircrack-ng suite, Scapy, MDK4).

Bảng kết quả thực nghiệm tấn công và hiệu năng

Kịch bản kiểm thử	Công cụ thực hiện	Mục tiêu tấn công	Kết quả trên WPA2	Kết quả trên WPA3 (Thực tế)
Bắt gói & dò mật khẩu offline	airodump-ng + hashcat	Khóa Pre-Shared Key	Bị bẻ khóa thành công (sau khi bắt 4-way handshake)	Thất bại 100%. Gói tin SAE không chứa thông tin Hash mật khẩu tĩnh
Tấn công DoS ngắt kết nối	aireplay-ng --deauth / mdk4	Ngắt kết nối máy trạm	Mất kết nối tức thì (Thiết bị liên tục bị văng khỏi Wi-Fi)	Vô hiệu hóa hoàn toàn. AP và Client từ chối frame không có chữ ký PMF
Cài đặt lại khóa (KRACK)	krack-attack-tool	Bản tin Message 3/4	Thành công giải mã một phần dữ liệu	Thất bại. SAE kiểm soát chặt chẽ trạng thái cài đặt khóa tức thời
Độ trễ xác thực ban đầu	wpa_cli benchmark	Thời gian bắt tay kết nối	~45 ms (4-Way Handshake)	~78 ms (Do chi phí tính toán đường cong Elliptic, hoàn toàn chấp nhận được)
Thông lượng truyền dữ liệu	iperf3 (Băng thông 80MHz)	Tốc độ truyền TCP/UDP	642 Mbps (AES-CCMP)	638 Mbps (Không suy hao đáng kể, sai số < 0.6%)

                       BIỂU ĐỒ SO SÁNH TỶ LỆ KHÁNG TẤN CÔNG (%)
                       
  Tấn công Dò Từ điển Offline   [WPA2] █░░░░░░░░░  12% (Bị bẻ nếu pass ngắn)
                                [WPA3] ██████████ 100% (An toàn tuyệt đối)

  Tấn công Deauth DoS           [WPA2] ░░░░░░░░░░   0% (Không thể chống cự)
                                [WPA3] ██████████ 100% (PMF 802.11w bảo vệ)

  Tấn công Chiếm quyền Phiên    [WPA2] ███░░░░░░░  30% (Nguy cơ KRACK/EvilTwin)
                                [WPA3] ██████████ 100% (Khóa phiên độc lập)

---

Đổi mới và đóng góp

1. Ứng dụng thành công cơ chế xác thực ZKP (Zero-Knowledge Proof) vào mạng doanh nghiệp: Khác với WPA2 sử dụng phép băm PBKDF2 đơn giản biến đổi mật khẩu thành PMK, WPA3 sử dụng thuật toán bắt tay Dragonfly giúp loại bỏ hoàn toàn khả năng tính toán khóa bằng bảng tra cứu trước (Rainbow table) hoặc siêu máy tính dò tìm ngoại tuyến.
2. Cơ chế Bảo mật Chuyển tiếp hoàn hảo (Forward Secrecy): Ngay cả khi kẻ tấn công bằng cách nào đó biết được mật khẩu Wi-Fi trong tương lai, toàn bộ dữ liệu mã hóa đã được ghi lại trong quá khứ vẫn không thể bị giải mã, do mỗi phiên làm việc sử dụng một cặp khóa phiên tạm thời (Ephemeral Key) độc lập.
3. Chuẩn hóa Khung quản lý bảo vệ (PMF): Việc áp dụng bắt buộc chuẩn IEEE 802.11w đã giải quyết triệt để vấn đề nhức nhối nhất của các quản trị viên mạng Wi-Fi: các cuộc tấn công DoS ngắt kết nối bằng cách giả mạo địa chỉ MAC của Access Point.
4. Mô hình triển khai phân lớp tối ưu chi phí: Đồ án đề xuất giải pháp tận dụng thiết bị phần cứng hiện có hỗ trợ nâng cấp phần mềm/firmware sang Wi-Fi 6/WPA3 mà không yêu cầu doanh nghiệp phải thay thế đồng loạt toàn bộ hệ thống cáp và switch lõi.

---

Ứng dụng thực tế và triển khai

Giải pháp trong đồ án được xây dựng dựa trên khảo sát thực tế tại Công ty Cổ phần Hạ tầng Viễn thông CMC (CMC Telecom), đặc biệt tối ưu cho phân hệ mạng tại Khối Kinh doanh và Phòng Kỹ thuật.

                    SƠ ĐỒ BỐ TRÍ TRIỂN KHAI THỰC TẾ TẠI DOANH NGHIỆP
                    
                     [ Internet Gateway / Firewall ]
                       [ Core Switch Layer 3 ]
            (VLAN 10: Corp)             (VLAN 20: Guest)
         [ AP-01 Wi-Fi 6 ]               [ AP-02 Wi-Fi 6 ]
          SSID: CMC_Corp                  SSID: CMC_Guest
          (WPA3-Enterprise)               (WPA3-Personal)

Chiến lược triển khai và Yêu cầu hệ thống

• Hạ tầng phần cứng:
  • Thiết bị phát sóng Access Point chuẩn IEEE 802.11ax (Wi-Fi 6), hỗ trợ quản trị tập trung.
  • Máy chủ chuyên dụng hoặc máy ảo (VM) cài đặt FreeRADIUS, cấu hình tối thiểu 2 vCPU, 4GB RAM, 50GB SSD chạy Ubuntu 20.04 LTS.
  • Đường truyền kết nối nội bộ tốc độ 1 Gbps hỗ trợ nguồn PoE (802.3af/at).
• Yêu cầu máy trạm đầu cuối:
  • Hệ điều hành: Windows 10 (version 1903 trở lên), macOS Catalina trở lên, Android 10+, iOS 14+.
  • Card mạng Wi-Fi: Hỗ trợ driver chuẩn 802.11ac Wave 2 hoặc 802.11ax (ví dụ: Intel Wi-Fi 6 AX200/AX201).

Phân tích Chi phí - Lợi ích (Cost-Benefit Analysis)

• Chi phí đầu tư ban đầu: Chủ yếu là chi phí cấu hình và nâng cấp firmware thiết bị AP (tiết kiệm ~70% so với việc mua sắm hệ sinh thái bảo mật độc quyền mới).
• Lợi ích kinh tế & an ninh: Giảm thiểu 99% thời gian xử lý sự cố mạng do nghẽn sóng và tấn công DoS vô tuyến; bảo vệ an toàn các tài sản thông tin, bí mật kinh doanh và cơ sở dữ liệu khách hàng của doanh nghiệp viễn thông.

---

Hạn chế và hướng phát triển

Hạn chế kỹ thuật

• Vấn đề tương thích ngược (Transition Mode Vulnerability): Trong chế độ chạy song song WPA2/WPA3 hỗn hợp, hệ thống vẫn tồn tại nguy cơ bị tấn công hạ cấp (Downgrade Attack) nếu kẻ tấn công gửi gói tin giả mạo buộc thiết bị rơi về chuẩn WPA2 cũ.
• Tấn công kênh bên (Side-Channel Attacks / Dragonblood): Một số phiên bản triển khai sớm của thuật toán SAE có thể bị lộ thông tin thông qua tấn công đo lường thời gian xử lý (Timing attacks) và bộ nhớ đệm (Cache attacks) khi tính toán phần tử PWE trên các đường cong Brainpool.

Hướng phát triển trong tương lai

• Nghiên cứu và triển khai chuẩn Wi-Fi 6E và Wi-Fi 7 (băng tần 6 GHz), nơi WPA3 là yêu cầu bảo mật bắt buộc và không còn chế độ tương thích ngược WPA2.
• Ứng dụng giải pháp Zero Trust Network Access (ZTNA) kết hợp giao thức Device Provisioning Protocol (DPP) để cấp phát quyền truy cập mạng tự động, an toàn tuyệt đối cho hệ thống hàng nghìn thiết bị Internet of Things (IoT).

---

Đối tượng hưởng lợi

• Sinh viên & Giảng viên: Cung cấp nguồn học liệu thực chứng, cập nhật kiến thức bảo mật không dây tiên tiến thay thế cho các giáo trình WEP/WPA2 đã cũ.
• Kỹ sư Quản trị mạng (Network Admins): Có ngay bộ tài liệu hướng dẫn chuyển đổi từng bước (step-by-step) để nâng cấp hệ thống mạng doanh nghiệp lên chuẩn WPA3 mà không làm gián đoạn sản xuất.
• Doanh nghiệp: Bảo vệ vững chắc phân vùng mạng không dây nội bộ với chi phí tối ưu, đáp ứng các tiêu chuẩn khắt khe về an toàn thông tin (ISO 27001, PCI-DSS).

---

Câu hỏi thường gặp

1. Nâng cấp lên WPA3 có bắt buộc phải thay thế toàn bộ thiết bị Access Point hiện có không?

Trả lời: Không nhất thiết. Đa số các Access Point chuẩn Wi-Fi 5 (802.11ac Wave 2) và hầu hết AP Wi-Fi 6 (802.11ax) trên thị trường hiện nay chỉ cần nâng cấp lên phiên bản Firmware mới nhất hỗ trợ Hostapd v2.9+ là có thể kích hoạt WPA3-Personal và WPA3-Enterprise.

2. Sự khác biệt mấu chốt giữa WPA3-Personal và WPA3-Enterprise là gì?

Trả lời: WPA3-Personal sử dụng cơ chế bắt tay SAE (Dragonfly) với một mật khẩu chung để bảo vệ từng phiên làm việc độc lập (phù hợp gia đình, văn phòng nhỏ). WPA3-Enterprise sử dụng máy chủ 802.1X/RADIUS với chứng chỉ số X.509 riêng cho từng người dùng và áp dụng bộ mã hóa cấp độ quân sự 192-bit CNSA (phù hợp tập đoàn, cơ quan chính phủ).

3. Tại sao WPA3 có thể chống lại các cuộc tấn công ngắt kết nối giả mạo (Deauth Attack)?

Trả lời: Do WPA3 bắt buộc kích hoạt chuẩn IEEE 802.11w (Protected Management Frames - PMF). Mọi khung tin điều khiển và quản lý (như Disassociation, Deauthentication) đều được gắn mã xác thực thông báo toàn vẹn (MIC), khiến thiết bị đầu cuối tự động hủy bỏ các gói tin bị kẻ xấu làm giả.

4. Nếu trong mạng có thiết bị cũ chỉ hỗ trợ WPA2 thì xử lý thế nào?

Trả lời: Quản trị viên có thể kích hoạt chế độ WPA3 Transition Mode. Thiết bị hỗ trợ WPA3 sẽ tự động kết nối qua giao thức SAE, trong khi thiết bị cũ vẫn kết nối qua WPA2-PSK. Tuy nhiên, khuyến nghị tách các thiết bị cũ này sang một VLAN riêng biệt để không ảnh hưởng đến an ninh toàn mạng.

5. Chi phí triển khai và mức độ ảnh hưởng đến tốc độ mạng khi bật WPA3 như thế nào?

Trả lời: Chi phí triển khai chủ yếu là nhân lực cấu hình phần mềm. Độ trễ bắt tay ban đầu tăng không đáng kể (~30 ms cho việc tính toán đại số đường cong Elliptic), trong khi thông lượng truyền dữ liệu thực tế (Throughput) hoàn toàn tương đương với WPA2 nhờ phần cứng mã hóa AES chuyên biệt trên chip mạng hiện đại.

---

Kết luận

Đồ án tốt nghiệp "Tìm hiểu, phân tích và đề xuất giải pháp bảo mật khi triển khai mạng WLAN sử dụng giao thức WPA3" của tác giả Vũ Đức Hiếu đã giải quyết thành công các vấn đề cốt lõi về an toàn mạng không dây trong bối cảnh các mối đe dọa an ninh mạng ngày càng tinh vi. Thông qua việc phân tích sâu sắc các giải thuật mã hóa, thiết kế kiến trúc phân lớp và thực nghiệm kiểm thử thực tế trên hệ thống của CMC Telecom, đồ án đã chứng minh:

• Giao thức WPA3 cùng cơ chế bắt tay SAE và tính năng PMF là lá chắn vững chắc triệt tiêu hoàn toàn các phương thức tấn công phổ biến như vét cạn từ điển ngoại tuyến, bắt gói 4-way handshake và tấn công từ chối dịch vụ vô tuyến.
• Mô hình mạng đề xuất có tính khả thi cao, khả năng mở rộng linh hoạt và cân bằng xuất sắc giữa yêu cầu bảo mật nghiêm ngặt với hiệu năng vận hành thực tế của doanh nghiệp.

Đây là công trình nghiên cứu ứng dụng có giá trị thực tiễn cao, đóng góp một tài liệu tham khảo hoàn chỉnh và bộ giải pháp tin cậy cho các kỹ sư mạng trong tiến trình hiện đại hóa hạ tầng công nghệ thông tin. Quý bạn đọc và các đơn vị doanh nghiệp quan tâm có thể ứng dụng trực tiếp các kịch bản cấu hình và kiến trúc phân lớp trong đồ án để xây dựng không gian mạng không dây an toàn, vững mạnh.

Trích đoạn nội dung tài liệu

CHƯƠNG 1 TỔNG QUAN MẠNG KHÔNG DÂY VÀ VẤN ĐỀ BẢO ĐẢM AN TOÀN MẠNG KHÔNG DÂY. Tổng quan về WLAN. Lịch sử hình thành và phát triển. Ưu điểm của WLAN.

Nhược điểm của WLAN. Các chuẩn thông dụng của WLAN. 14 6f87e 1b11a 932da b860 f81 b6 f9bdc3 2eca c777 6e0cf7 b60da 52f6cf66 b5ff294 1e747 e 1. 15 e1b11a9 32da b860 f81 b6f9bdc32 ecac7776 e0cf7b60da5 2f6 cf66b5ff2941e 747e 6f8 7 932dab860 f81b6f9 bdc32e cac7776e 0cf7b6 0da5 2f6 cf66b5ff2 941e 747e6 f87e 1b1 1a 860f8 1b6 f9bdc32eca c77 76e0 cf7 b60 da52 f6cf66 b5ff29 41e74 7e6f87e1 b11a9 32da b 1.

16 f81b6f9 bdc32e cac7 776e0 cf7b6 0da52 f6 cf6 6b5ff2 941e7 47e6 f87e 1b11a 932da b86 0 6f9bdc3 2eca c77 76e0 cf7 b60 da52 f6cf66 b5ff294 1e74 7e6f87e1 b11a9 32dab860 f81 b dc32e cac7776 e0cf7b60da5 2f6 cf66b5ff2941e 747e 6f87 e1b1 1a932 dab8 60f81b6 f9 b Bảng 1.3: Một số thông số kỹ thuật của chuẩn IEEE 802. 16 32eca c7776 e0cf7 b60da 52f6cf66b5ff2941 e747e 6f8 7e1b11a932 dab8 60f81b6 f9 bdc c7776 e0cf7b60da 52f6 cf66b5ff2941 e747e 6f8 7e1b11a932 dab8 60f81b6 f9 bdc32e ca e0cf7b60 da52 f6 cf6 6b5ff2 941e7 47e6 f87e 1b11a 932da b860 f81 b6 f9bdc3 2eca c777 6 1. 16 fc3a3 f93a 08582 6d66a 60f835 d2406 ea15 f7e7 b88cbf5e9cb78 cc9e16 d1072 e24 c3ee4 7d0800 c6a8 0136 f54 da448 1c2 b397 7f6 f33 e0be 8a4b3 d678 cc5b77 828 cc3 7ae38 f66a4 1. So sánh các chuẩn IEEE 802.

18 9c84a7 1dc1cb825a 4f1 d7c732fb9a4 e5765 f83 10c1984 f96 1e06 cf3 fc71f185b5ad74 b fac7b7b2 0dfcfdcdf1 cf4 2b2 fc6 b5a c1e9 c4a51ae fef5b7 de7f4b3 cc9e5d780d33d5 94 9e3f2 1bf4656 147e4 1c5 63d1 76a97 9e946 6be8 9c63 c0e 2907 0df0e654 8e28 c32 c6 f8f7 1. Cấu trúc và các mô hình WLAN. 23 7ea8e433 c9 f051 8c9 06b9a 684d9d02 5cb598 854db148 3a8024 9bc348 7e1be 4646 2d7a b f21d145b5b08 b8e1 f8 c76 f42 b4ce 759fb93 c48 e7f8a41e7 8571e 64a2 f48b0e5 c8d4 bb8 df3 fa34df8 f2c9de ba5dcb1e e30bc7d67cb1d4163 72d9 47cdab0 1c5 76b2 b2efb3 c49a2 1. Cấu trúc cơ bản của WirelessLAN.

23 08d258 539 bc6 96d5a 3b1a4 c49 7180 bae30 dc4 4793a3 dc5d19 4ad09 3cb5c3f9 9f2 02398 30ff2d29 b07 f39 d69e d7d2 e358bfca d25b40c5434 0e68a b4ee2 b76e0 b2a8 65300 be6e 0 95f4 fcb5fd1f4 934 f29e7 ee6d7cfa 31ddc0 5b49 f94 3c1 e22 f3b5 c0e4a d46 2e7c96fc5b 1. Các thiết bị hạ tầng mạng không dây. 24 3f9 f11 c9f0 8a6db91a1 7118e 3de6 3e7a02 f9 c1d19137 7d0a7a 34d40ff5b8 453 f6f4e0e 59e15a9 f853 8397 40b3 e9ac33e6fc51 7d8 b739 3a5076 c67 d16e 7cc03df1 b1f0b9 fc0 46 3a67e368 0a4d3d50 cf8d5 f476 8201 e328 cbbba50 c741 ebd4f6 b2e1 0316e d218 e1d2 918 1. Các mô hình WLAN.

29 0d4204 90efb3ab05fb73 c76 f04 f402 4609 30bbbd8c70 8725 e74dc8 cf9a 5b23 c6 ce52 6d 5a2ffad28c03f5ddc8 b5b1 9f6 5a9a4 f8ff22e 5e28b515a6 e2baff25 e0185 e7457 d94 b3 6e74e1a5 eb8e 6a6629 e94dc3 b8533 4599 8a334 c325 5d17 f25 1a9f0fc09d15d4 76fc381 1. Thực trạng về bảo mật WLAN hiện nay. 32 14dd4 024 c2f27f32d2 1896e 863 d2798 93b4 5fb87d4d3 b709a d32bf1 f855 3822 14eb1 0a 4a2b893 e6f264e6 3adfe30c144aa d9ad6 d154a 23f6b2 be48 d55b74c3677 f31a2 6752 77 1. Một số hình thức tấn công xâm nhập phổ biến.

Tấn công không qua chứng thực. Tấn công giả mạo AP. Tấn công từ chối dịch vụ (DoS/DDoS). Nâng cao độ an toàn WLAN.

Lọc địa chỉ MAC. Lọc giao thức. Tắt bỏ tính năng WPS. Loại bỏ việc hỗ trợ băng tầng 2.

Sử dụng chuẩn bảo mật WPA2/WPA3. Thay đổi thông tin đăng nhập mặc định. 39 Chương 2 GIAO THỨC BẢO MẬT WPA3. Tổng quan về giao thức WPA3.

WPA3-Personal cung cấp mã hóa an toàn và cá nhân hơn. WPA3-Enterprise nhắm mục tiêu Wi-Fi quy mô lớn. 42 6f87e 1b11a 932da b860 f81 b6 f9bdc3 2eca c777 6e0cf7 b60da 52f6cf66 b5ff294 1e747 e 2. Sự khác biệt giữa giao thức WPA3 và các giao thức khác.

43 e1b11a9 32da b860 f81 b6f9bdc32 ecac7776 e0cf7b60da5 2f6 cf66b5ff2941e 747e 6f8 7 932dab860 f81b6f9 bdc32e cac7776e 0cf7b6 0da5 2f6 cf66b5ff2 941e 747e6 f87e 1b1 1a 2. 43 860f8 1b6 f9bdc32eca c77 76e0 cf7 b60 da52 f6cf66 b5ff29 41e74 7e6f87e1 b11a9 32da b f81b6f9 bdc32e cac7 776e0 cf7b6 0da52 f6 cf6 6b5ff2 941e7 47e6 f87e 1b11a 932da b86 0 6f9bdc3 2eca c77 76e0 cf7 b60 da52 f6cf66 b5ff294 1e74 7e6f87e1 b11a9 32dab860 f81 b 2. 45 dc32e cac7776 e0cf7b60da5 2f6 cf66b5ff2941e 747e 6f87 e1b1 1a932 dab8 60f81b6 f9 b 32eca c7776 e0cf7 b60da 52f6cf66b5ff2941 e747e 6f8 7e1b11a932 dab8 60f81b6 f9 bdc c7776 e0cf7b60da 52f6 cf66b5ff2941 e747e 6f8 7e1b11a932 dab8 60f81b6 f9 bdc32e ca 2. 47 e0cf7b60 da52 f6 cf6 6b5ff2 941e7 47e6 f87e 1b11a 932da b860 f81 b6 f9bdc3 2eca c777 6 fc3a3 f93a 08582 6d66a 60f835 d2406 ea15 f7e7 b88cbf5e9cb78 cc9e16 d1072 e24 c3ee4 7d0800 c6a8 0136 f54 da448 1c2 b397 7f6 f33 e0be 8a4b3 d678 cc5b77 828 cc3 7ae38 f66a4 2.

49 9c84a7 1dc1cb825a 4f1 d7c732fb9a4 e5765 f83 10c1984 f96 1e06 cf3 fc71f185b5ad74 b fac7b7b2 0dfcfdcdf1 cf4 2b2 fc6 b5a c1e9 c4a51ae fef5b7 de7f4b3 cc9e5d780d33d5 94 9e3f2 1bf4656 147e4 1c5 63d1 76a97 9e946 6be8 9c63 c0e 2907 0df0e654 8e28 c32 c6 f8f7 2. Sự an toàn và cần thiết của giao thức bảo mật WPA3. 52 7ea8e433 c9 f051 8c9 06b9a 684d9d02 5cb598 854db148 3a8024 9bc348 7e1be 4646 2d7a b f21d145b5b08 b8e1 f8 c76 f42 b4ce 759fb93 c48 e7f8a41e7 8571e 64a2 f48b0e5 c8d4 bb8 df3 fa34df8 f2c9de ba5dcb1e e30bc7d67cb1d4163 72d9 47cdab0 1c5 76b2 b2efb3 c49a2 2. Một số tấn công lên giao thức WPA3.

54 08d258 539 bc6 96d5a 3b1a4 c49 7180 bae30 dc4 4793a3 dc5d19 4ad09 3cb5c3f9 9f2 02398 30ff2d29 b07 f39 d69e d7d2 e358bfca d25b40c5434 0e68a b4ee2 b76e0 b2a8 65300 be6e 0 95f4 fcb5fd1f4 934 f29e7 ee6d7cfa 31ddc0 5b49 f94 3c1 e22 f3b5 c0e4a d46 2e7c96fc5b 2. Tấn công dựa trên cảm nhận sóng mang lớp vật lý. 54 3f9 f11 c9f0 8a6db91a1 7118e 3de6 3e7a02 f9 c1d19137 7d0a7a 34d40ff5b8 453 f6f4e0e 59e15a9 f853 8397 40b3 e9ac33e6fc51 7d8 b739 3a5076 c67 d16e 7cc03df1 b1f0b9 fc0 46 3a67e368 0a4d3d50 cf8d5 f476 8201 e328 cbbba50 c741 ebd4f6 b2e1 0316e d218 e1d2 918 2. Tấn công kênh bên dựa trên thời gian.

54 0d4204 90efb3ab05fb73 c76 f04 f402 4609 30bbbd8c70 8725 e74dc8 cf9a 5b23 c6 ce52 6d 5a2ffad28c03f5ddc8 b5b1 9f6 5a9a4 f8ff22e 5e28b515a6 e2baff25 e0185 e7457 d94 b3 6e74e1a5 eb8e 6a6629 e94dc3 b8533 4599 8a334 c325 5d17 f25 1a9f0fc09d15d4 76fc381 2. Tấn công kênh bên dựa trên bộ nhớ cache. 55 14dd4 024 c2f27f32d2 1896e 863 d2798 93b4 5fb87d4d3 b709a d32bf1 f855 3822 14eb1 0a 4a2b893 e6f264e6 3adfe30c144aa d9ad6 d154a 23f6b2 be48 d55b74c3677 f31a2 6752 77 2. Tấn công từ chối dịch vụ.

Tấn công yêu cầu xác thực lại. Tấn công ngắt kết nối. Một số công cụ phục vụ tấn công giao thức WPA3. 57 Chương 3 GIẢI PHÁP VÀ THỬ NGHIỆM HỆ THỐNG MẠNG KHÔNG DÂY SỬ DỤNG GIAO THỨC BẢO MẬT WPA3.

Giới thiệu về công ty CMC telecom. Thực trạng tổ chức, sử dụng hệ thống công nghệ thông tin tại công ty. Biện pháp bảo đảm an toàn thông tin công ty. Đề xuất giải pháp sử dụng mạng không dây với chuẩn bảo mật WPA3.

Các yêu cầu chung. Hệ thống mạng wifi sử dụng giao thức bảo mật WPA3. Sơ đồ lắp đặt hệ thống mạng wifi có bảo mật WPA3 tại công ty. Danh sách thiết bị.

Triển khai cài đặt, thử nghiệm hệ thống. Mô hình thử nghiệm. Cấu hình thiết bị AP hỗ trợ WPA3. Cấu hình cho Mobile kết nối đến AP.

66 6f87e 1b11a 932da b860 f81 b6 f9bdc3 2eca c777 6e0cf7 b60da 52f6cf66 b5ff294 1e747 e e1b11a9 32da b860 f81 b6f9bdc32 ecac7776 e0cf7b60da5 2f6 cf66b5ff2941e 747e 6f8 7 932dab860 f81b6f9 bdc32e cac7776e 0cf7b6 0da5 2f6 cf66b5ff2 941e 747e6 f87e 1b1 1a 3. Cấu hình cho máy laptop kết nối đến AP. 68 860f8 1b6 f9bdc32eca c77 76e0 cf7 b60 da52 f6cf66 b5ff29 41e74 7e6f87e1 b11a9 32da b f81b6f9 bdc32e cac7 776e0 cf7b6 0da52 f6 cf6 6b5ff2 941e7 47e6 f87e 1b11a 932da b86 0 6f9bdc3 2eca c77 76e0 cf7 b60 da52 f6cf66 b5ff294 1e74 7e6f87e1 b11a9 32dab860 f81 b KẾT LUẬN. 70 dc32e cac7776 e0cf7b60da5 2f6 cf66b5ff2941e 747e 6f87 e1b1 1a932 dab8 60f81b6 f9 b 32eca c7776 e0cf7 b60da 52f6cf66b5ff2941 e747e 6f8 7e1b11a932 dab8 60f81b6 f9 bdc c7776 e0cf7b60da 52f6 cf66b5ff2941 e747e 6f8 7e1b11a932 dab8 60f81b6 f9 bdc32e ca TÀI LIỆU THAM KHẢO.

71 e0cf7b60 da52 f6 cf6 6b5ff2 941e7 47e6 f87e 1b11a 932da b860 f81 b6 f9bdc3 2eca c777 6 fc3a3 f93a 08582 6d66a 60f835 d2406 ea15 f7e7 b88cbf5e9cb78 cc9e16 d1072 e24 c3ee4 7d0800 c6a8 0136 f54 da448 1c2 b397 7f6 f33 e0be 8a4b3 d678 cc5b77 828 cc3 7ae38 f66a4 9c84a7 1dc1cb825a 4f1 d7c732fb9a4 e5765 f83 10c1984 f96 1e06 cf3 fc71f185b5ad74 b fac7b7b2 0dfcfdcdf1 cf4 2b2 fc6 b5a c1e9 c4a51ae fef5b7 de7f4b3 cc9e5d780d33d5 94 9e3f2 1bf4656 147e4 1c5 63d1 76a97 9e946 6be8 9c63 c0e 2907 0df0e654 8e28 c32 c6 f8f7 7ea8e433 c9 f051 8c9 06b9a 684d9d02 5cb598 854db148 3a8024 9bc348 7e1be 4646 2d7a b f21d145b5b08 b8e1 f8 c76 f42 b4ce 759fb93 c48 e7f8a41e7 8571e 64a2 f48b0e5 c8d4 bb8 df3 fa34df8 f2c9de ba5dcb1e e30bc7d67cb1d4163 72d9 47cdab0 1c5 76b2 b2efb3 c49a2 08d258 539 bc6 96d5a 3b1a4 c49 7180 bae30 dc4 4793a3 dc5d19 4ad09 3cb5c3f9 9f2 02398 30ff2d29 b07 f39 d69e d7d2 e358bfca d25b40c5434 0e68a b4ee2 b76e0 b2a8 65300 be6e 0 95f4 fcb5fd1f4 934 f29e7 ee6d7cfa 31ddc0 5b49 f94 3c1 e22 f3b5 c0e4a d46 2e7c96fc5b 3f9 f11 c9f0 8a6db91a1 7118e 3de6 3e7a02 f9 c1d19137 7d0a7a 34d40ff5b8 453 f6f4e0e 59e15a9 f853 8397 40b3 e9ac33e6fc51 7d8 b739 3a5076 c67 d16e 7cc03df1 b1f0b9 fc0 46 3a67e368 0a4d3d50 cf8d5 f476 8201 e328 cbbba50 c741 ebd4f6 b2e1 0316e d218 e1d2 918 0d4204 90efb3ab05fb73 c76 f04 f402 4609 30bbbd8c70 8725 e74dc8 cf9a 5b23 c6 ce52 6d 5a2ffad28c03f5ddc8 b5b1 9f6 5a9a4 f8ff22e 5e28b515a6 e2baff25 e0185 e7457 d94 b3 6e74e1a5 eb8e 6a6629 e94dc3 b8533 4599 8a334 c325 5d17 f25 1a9f0fc09d15d4 76fc381 14dd4 024 c2f27f32d2 1896e 863 d2798 93b4 5fb87d4d3 b709a d32bf1 f855 3822 14eb1 0a 4a2b893 e6f264e6 3adfe30c144aa d9ad6 d154a 23f6b2 be48 d55b74c3677 f31a2 6752 77 3 DANH MỤC HÌNH VẼ Hình 1.1: Phạm vi của WLAN trong mô hình OSI .2: Logo Wi-fi .3: Tốc độ truyền tải so với các chuẩn khác .4: Cấu trúc WLAN .9: Card PCI Wireless .10: Card PCMCIA Wireless.11: Card USB Wireless .12: Mô hình mạng AD HOC .13: Mô hình mạng cơ sở.14: Mô hình mạng mở rộng. 31 6f87e 1b11a 932da b860 f81 b6 f9bdc3 2eca c777 6e0cf7 b60da 52f6cf66 b5ff294 1e747 e Hình 2.1: Quy trình mã hóa WEP sử dụng RC4. 44 e1b11a9 32da b860 f81 b6f9bdc32 ecac7776 e0cf7b60da5 2f6 cf66b5ff2941e 747e 6f8 7 932dab860 f81b6f9 bdc32e cac7776e 0cf7b6 0da5 2f6 cf66b5ff2 941e 747e6 f87e 1b1 1a 860f8 1b6 f9bdc32eca c77 76e0 cf7 b60 da52 f6cf66 b5ff29 41e74 7e6f87e1 b11a9 32da b Hình 2.2: Quy trình trộn và mã hóa của TKIP. 46 f81b6f9 bdc32e cac7 776e0 cf7b6 0da52 f6 cf6 6b5ff2 941e7 47e6 f87e 1b11a 932da b86 0 6f9bdc3 2eca c77 76e0 cf7 b60 da52 f6cf66 b5ff294 1e74 7e6f87e1 b11a9 32dab860 f81 b dc32e cac7776 e0cf7b60da5 2f6 cf66b5ff2941e 747e 6f87 e1b1 1a932 dab8 60f81b6 f9 b Hình 2.

49 32eca c7776 e0cf7 b60da 52f6cf66b5ff2941 e747e 6f8 7e1b11a932 dab8 60f81b6 f9 bdc c7776 e0cf7b60da 52f6 cf66b5ff2941 e747e 6f8 7e1b11a932 dab8 60f81b6 f9 bdc32e ca Hình 3.1: Sơ đồ tổ chức công ty CMC telecom. 59 e0cf7b60 da52 f6 cf6 6b5ff2 941e7 47e6 f87e 1b11a 932da b860 f81 b6 f9bdc3 2eca c777 6 fc3a3 f93a 08582 6d66a 60f835 d2406 ea15 f7e7 b88cbf5e9cb78 cc9e16 d1072 e24 c3ee4 7d0800 c6a8 0136 f54 da448 1c2 b397 7f6 f33 e0be 8a4b3 d678 cc5b77 828 cc3 7ae38 f66a4 Hình 3.2: Hệ thống máy tính cho nhân viên sử dụng Internet .