Bối cảnh và vấn đề nghiên cứu

Mạng cục bộ không dây (WLAN - Wireless Local Area Network) sử dụng sóng vô tuyến để truyền dẫn dữ liệu đã trở thành hạ tầng kết nối thiết yếu trong đời sống kinh tế - xã hội, cho phép các thiết bị di động truy cập tài nguyên mạng linh hoạt tại công sở, gia đình và các không gian công cộng. Tuy nhiên, đặc thù truyền tín hiệu qua môi trường không gian mở khiến WLAN đối mặt với các hiểm họa an ninh nghiêm trọng như nghe lén, giả mạo điểm truy cập (Rogue AP), tấn công từ chối dịch vụ (DoS) và đánh cắp thông tin xác thực.

Trong lịch sử phát triển của các giao thức bảo mật mạng không dây theo chuẩn IEEE 802.11, các cơ chế mã hóa và xác thực tiền nhiệm lần lượt bộc lộ những lỗ hổng kỹ thuật:

  • Chuẩn WEP (Wired Equivalent Privacy) sử dụng thuật toán mã hóa dòng RC4 với vector khởi tạo (IV) chỉ dài 24-bit gây ra hiện tượng trùng lặp vector khởi tạo (va chạm IV), cho phép tin tặc dễ dàng giải mã và tìm ra khóa mạng bằng các giải thuật thống kê như FMS.
  • Giao thức WPA và WPA2 sử dụng cơ chế bắt tay 4 bước (4-Way Handshake) dựa trên khóa chia sẻ trước (Pre-Shared Key - PSK) vẫn có nguy cơ bị tấn công vét cạn (brute-force) và tấn công từ điển ngoại tuyến (offline dictionary attack), điển hình là lỗ hổng cài đặt lại khóa KRACK (Key Reinstallation Attack). Kẻ tấn công có thể ghi lại luồng dữ liệu trao đổi ban đầu và mất từ 2 đến 14 giờ tính toán trên máy tính cấu hình phổ thông để giải mã mật khẩu mạng.

Nhằm khắc phục những khiếm khuyết mang tính cấu trúc của WPA2, ngày 25/06/2018, tổ chức Liên minh Wi-Fi (Wi-Fi Alliance) đã chính thức công bố giao thức WPA3. Đề tài đồ án tốt nghiệp "Tìm hiểu, phân tích và đề xuất giải pháp bảo mật khi triển khai mạng WLAN sử dụng giao thức WPA3" được sinh viên Vũ Đức Hiếu (lớp CT2201M, ngành Công nghệ thông tin, Trường Đại học Quản lý và Công nghệ Hải Phòng) thực hiện nhằm hệ thống hóa cơ sở kỹ thuật của WPA3 và xây dựng mô hình thử nghiệm ứng dụng an toàn cho doanh nghiệp.

Nhiệm vụ nghiên cứu của đề tài gồm:

  1. Nghiên cứu tổng quan về mạng không dây WLAN, lịch sử tiến hóa của các chuẩn IEEE 802.11 và phân tích thực trạng các nguy cơ an toàn thông tin trên mạng không dây.
  2. Phân tích chi tiết kiến trúc kỹ thuật, cơ chế xác thực, mã hóa và các dạng tấn công tiềm tàng đối với giao thức bảo mật WPA3 (WPA3-Personal và WPA3-Enterprise).
  3. Khảo sát thực trạng hạ tầng công nghệ thông tin tại Công ty Cổ phần Hạ tầng Viễn thông CMC (CMC Telecom), từ đó đề xuất mô hình thiết kế, cấu hình thử nghiệm và đánh giá khả năng kết nối an toàn của mạng WLAN sử dụng giao thức WPA3.

Đối tượng và phạm vi nghiên cứu:

  • Đối tượng nghiên cứu: Các chuẩn truyền dẫn vô tuyến IEEE 802.11 (802.11a/b/g/n), các giao thức an ninh mạng WLAN (WEP, WPA, WPA2, WPA3), cơ chế xác thực đồng thời (SAE), khung quản lý được bảo vệ (PMF) và các thiết bị phần cứng mạng không dây.
  • Phạm vi không gian và thời gian: Nghiên cứu lý thuyết và thực nghiệm triển khai tại môi trường văn phòng chi nhánh CMC Telecom; thời gian thực hiện đề tài từ ngày 04/04/2022 đến ngày 24/06/2022 và bảo vệ vào tháng 07/2022.

Cơ sở lý thuyết và phương pháp

Khung lý thuyết và chuẩn công nghệ

Đề tài dựa trên hệ thống tiêu chuẩn quốc tế của Viện Kỹ sư Điện và Điện tử (IEEE) và các đặc tả kỹ thuật từ Wi-Fi Alliance:

  • Tập tiêu chuẩn IEEE 802.11: Định nghĩa các lớp vật lý (PHY) và lớp điều khiển truy nhập môi trường (MAC) trong mô hình tham chiếu OSI cho mạng cục bộ không dây.
  • Các thế hệ chuẩn bảo mật WLAN:
    • WEP: Cơ chế mã hóa khóa đối xứng RC4 kết hợp kiểm tra tính toàn vẹn CRC-32, độ dài khóa 64-bit (40-bit key + 24-bit IV) hoặc 128-bit (104-bit key + 24-bit IV).
    • WPA (Wi-Fi Protected Access): Sử dụng giao thức Temporal Key Integrity Protocol (TKIP) và hỗ trợ xác thực người dùng qua máy chủ IEEE 802.1X/EAP.
    • WPA2: Áp dụng chuẩn mã hóa nâng cao Advanced Encryption Standard (AES) kết hợp giao thức CCMP (Counter Mode with Cipher Block Chaining Message Authentication Code Protocol).
    • WPA3: Thế hệ bảo mật nâng cao thay thế PSK bằng giao thức xác thực đồng thời SAE (Simultaneous Authentication of Equals), bắt buộc tính năng bảo vệ khung quản lý PMF (Protected Management Frames) và hỗ trợ chế độ mã hóa thương mại 192-bit (CNSA Suite) cho doanh nghiệp.
Tiêu chuẩn Năm ban hành Dải tần số hoạt động Tốc độ truyền dữ liệu (Typ/Max) Bán kính phủ sóng trong nhà
IEEE 802.11b 10/1999 2.4 GHz (DSSS) 2.5 Mbit/s / 11 Mbit/s ~35 m
IEEE 802.11a 10/1999 5 GHz (OFDM) 23 Mbit/s / 54 Mbit/s ~35 m (8 kênh không chồng lấn)
IEEE 802.11g 06/2003 2.4 GHz (OFDM / DSSS) 23 Mbit/s / 54 Mbit/s ~35 m (Tương thích ngược 802.11b)
IEEE 802.11n 06/2009 2.4 GHz và/hoặc 5 GHz 74 Mbit/s / 300 Mbit/s (2 streams) ~70 m

Phương pháp nghiên cứu

  • Phương pháp phân tích - tổng hợp lý thuyết: Khảo cứu tài liệu kỹ thuật, tiêu chuẩn của IEEE, RFC và báo cáo bảo mật của Wi-Fi Alliance để so sánh cấu trúc gói tin, thuật toán mật mã và cơ chế trao đổi khóa giữa WEP, WPA, WPA2 và WPA3.
  • Phương pháp phân tích lỗ hổng và mô hình đe dọa: Đánh giá các kỹ thuật tấn công thực tế vào mạng không dây như thu bắt gói tin giải mã IV, tấn công từ điển ngoại tuyến, bắt tay lại KRACK, tấn công kênh bên (Side-channel attacks) dựa trên thời gian và bộ nhớ cache vào thuật toán SAE, cùng tấn công DoS bằng khung Deauthentication/Reauthentication.
  • Phương pháp thiết kế và thực nghiệm hệ thống: Thiết lập mô hình mạng WLAN văn phòng thực tế, cấu hình điểm truy cập (Access Point - AP) hỗ trợ WPA3-Personal, cấu hình card mạng Wi-Fi 6 trên máy tính xách tay và thiết bị di động (Mobile) để kiểm thử tính tương thích, độ ổn định và an toàn kết nối.

Nguồn dữ liệu

Dữ liệu nghiên cứu được trích xuất từ các tài liệu chuẩn hóa của IEEE, tài liệu kỹ thuật của Wi-Fi Alliance, sơ đồ tổ chức và hiện trạng cơ sở hạ tầng mạng thực tế tại Công ty CMC Telecom.

Nội dung chính theo từng chương

CHƯƠNG 1: TỔNG QUAN MẠNG KHÔNG DÂY VÀ VẤN ĐỀ BẢO ĐẢM AN TOÀN MẠNG KHÔNG DÂY

Chương 1 trình bày tổng quan về mạng WLAN, bắt đầu từ nguồn gốc hình thành vào cuối năm 1990 (băng tần 900 MHz, tốc độ 1 Mbps), năm 1992 (băng tần 2.4 GHz) cho đến khi chuẩn hóa IEEE 802.11 ra đời năm 1997. Tác giả phân tích các ưu điểm vượt trội của WLAN gồm tính tiện lợi, khả năng di động cao, hiệu quả duy trì liên lạc liên tục, chi phí lắp đặt cáp thấp và tính linh hoạt trong việc mở rộng quy mô người dùng. Ngược lại, các nhược điểm cố hữu của WLAN bao gồm phạm vi phủ sóng hạn chế, dễ bị can nhiễu tín hiệu vô tuyến bởi các thiết bị gia dụng (như lò vi sóng, điện thoại không dây ở băng tần 2.4 GHz), tốc độ truyền dẫn thấp hơn mạng có dây và rủi ro an ninh mạng cao.

Về cấu trúc mạng, chương phân tích ba mô hình WLAN cơ bản:

  1. Mô hình mạng Ad-hoc (kết nối trực tiếp ngang hàng giữa các trạm).
  2. Mô hình mạng cơ sở (BSS - Basic Service Set, hoạt động qua một Access Point tập trung).
  3. Mô hình mạng mở rộng (ESS - Extended Service Set, liên kết nhiều BSS qua hệ thống phân phối DS).

Về các thiết bị hạ tầng, tác giả mô tả chức năng của Access Point, anten thu phát và các dạng card mạng không dây (Card PCI Wireless, Card PCMCIA Wireless, Card USB Wireless).

Đánh giá thực trạng an ninh WLAN, chương hệ thống hóa các dạng tấn công điển hình:

  • Tấn công không qua chứng thực (Sniffing/Eavesdropping dữ liệu trên không gian truyền dẫn).
  • Tấn công giả mạo AP (Rogue AP/Evil Twin nhằm lừa người dùng kết nối để đánh cắp thông tin xác thực).
  • Tấn công từ chối dịch vụ (DoS/DDoS) làm cạn kiệt tài nguyên xử lý của AP hoặc ngắt kết nối trạm làm việc.

Để phòng ngừa rủi ro ban đầu, tác giả đề xuất các giải pháp kỹ thuật: lọc địa chỉ MAC, sử dụng bộ lọc giao thức tại gateway (chỉ cho phép các cổng dịch vụ thiết yếu như SMTP, POP3, HTTP, HTTPS, FTP và chặn các lưu lượng rác), loại bỏ băng tần 2.4 GHz để chuyển hoàn toàn sang 5 GHz nhằm tránh tắc nghẽn, tắt tính năng Wi-Fi Protected Setup (WPS) do cơ chế mã PIN của WPS dễ bị tấn công đoán khóa liên tục, đổi thông tin đăng nhập quản trị mặc định và chuyển dịch lên các chuẩn mã hóa mạnh hơn.

CHƯƠNG 2: GIAO THỨC BẢO MẬT WPA3

Chương 2 tập trung phân tích chuyên sâu về kiến trúc, cơ chế hoạt động và các cải tiến vượt bậc của giao thức bảo mật WPA3 đối với cả hai phiên bản:

  • WPA3-Personal:

    • Thay thế cơ chế xác thực khóa chia sẻ trước (PSK) bằng cơ chế xác thực đồng thời (SAE - Simultaneous Authentication of Equals, dựa trên giao thức trao đổi khóa Dragonfly). SAE thiết lập khóa phiên duy nhất cho mỗi phiên làm việc ngay cả khi người dùng sử dụng các mật khẩu đơn giản, ngăn chặn hoàn toàn các cuộc tấn công đoán mật khẩu ngoại tuyến (offline dictionary attacks).
    • Cung cấp tính năng bảo mật chuyển tiếp (Forward Secrecy): Ngay cả khi kẻ tấn công biết được mật khẩu mạng tại một thời điểm trong tương lai, chúng cũng không thể giải mã các luồng dữ liệu đã ghi lại trong quá khứ.
    • Tích hợp tính năng Wi-Fi Easy Connect (thay thế hoặc bổ sung cho WPS) cho phép cấu hình kết nối các thiết bị không có màn hình/giao diện (IoT) bằng cách quét mã QR từ điện thoại thông minh.
    • Bắt buộc kích hoạt tính năng Protected Management Frames (PMF) để mã hóa các khung quản lý, ngăn chặn việc giả mạo gói tin hủy liên kết hoặc ngắt kết nối.

  • WPA3-Enterprise:

    • Bổ sung tùy chọn chế độ bảo mật 192-bit tương đương chuẩn CNSA (Commercial National Security Algorithm), phục vụ các cơ quan chính phủ, tài chính và doanh nghiệp quy mô lớn.
    • Tích hợp các bộ thuật toán mã hóa khóa công khai và chữ ký số trong EAP/RADIUS:
      • TLS_ECDHE_ECDSA_WITH_AES_256_GCM_SHA384: Sử dụng đường cong Elliptic ECDHE và thuật toán chữ ký số ECDSA với đường cong nguyên tố 384-bit.
      • TLS_ECDHE_RSA_WITH_AES_256_GCM_SHA384: ECDHE 384-bit, khóa RSA module $\ge 3072$-bit.
      • TLS_DHE_RSA_WITH_AES_256_GCM_SHA384: Khóa DHE $\ge 3072$-bit và RSA module $\ge 3072$-bit.

Chương cũng đối chiếu WPA3 với các thế hệ trước (WEP, WPA, WPA2) qua bảng so sánh toàn diện về thuật toán mã hóa (RC4 vs TKIP vs AES-CCMP vs AES-GCM/GCMP), tính toàn vẹn (CRC vs Michael vs CBC-MAC vs BIP/GMAC) và cơ chế quản lý khóa.

Đồng thời, tác giả chỉ ra các dạng tấn công tiềm tàng nhắm vào WPA3:

  • Tấn công lớp vật lý dựa trên cảm nhận sóng mang.
  • Tấn công kênh bên (Side-channel attacks): Tấn công phân tích thời gian thực thi (Timing-based attacks) và tấn công phân tích hành vi bộ nhớ đệm (Cache-based attacks) trong quá trình tính toán đường cong elliptic của SAE.
  • Tấn công từ chối dịch vụ (DoS): Gửi liên tiếp các yêu cầu xác thực lại (Re-authentication request) hoặc khung ngắt kết nối giả mạo khiến AP quá tải tính toán giải mã SAE.
  • Khảo sát các công cụ kiểm thử bảo mật chuyên dụng trên giao thức WPA3.

CHƯƠNG 3: GIẢI PHÁP VÀ THỬ NGHIỆM HỆ THỐNG MẠNG KHÔNG DÂY SỬ DỤNG GIAO THỨC BẢO MẬT WPA3

Chương 3 đi vào khảo sát thực tiễn tại Công ty CMC Telecom. Tác giả giới thiệu sơ đồ cơ cấu tổ chức, quy mô các phòng ban và hiện trạng vận hành hệ thống mạng máy tính của phòng kinh doanh. Mạng nội bộ công ty được kết nối từ Access Point đặt tại tòa nhà kỹ thuật trung tâm, chia sẻ đường truyền băng thông 5 Mbps.

Trước các nguy cơ mất an toàn thông tin nội bộ và nguy cơ bị nghe lén dữ liệu kinh doanh, tác giả đề xuất phương án nâng cấp hạ tầng WLAN sang chuẩn bảo mật WPA3:

  • Xác định các yêu cầu chung về kiến trúc mạng, băng thông và năng lực bảo mật thiết bị.
  • Thiết kế sơ đồ lắp đặt hệ thống mạng Wi-Fi bảo mật WPA3 tại công ty, phân định vùng mạng nhân viên và quản trị.
  • Lập bảng danh mục thiết bị phần cứng, bao gồm Access Point hỗ trợ chuẩn Wi-Fi 6 / WPA3, bộ chuyển mạch (Switch), Router Gateway, các máy trạm Laptop trang bị card mạng Wi-Fi 6 và thiết bị di động (Mobile).
  • Triển khai quy trình cài đặt, cấu hình WPA3-Personal trên giao diện quản trị của Access Point, cấu hình tham số SSID, thuật toán mã hóa SAE.
  • Tiến hành thực nghiệm kết nối mạng, xác thực kết nối trên thiết bị di động và kiểm tra thuộc tính card mạng (Wi-Fi 6) trên máy tính xách tay chạy hệ điều hành Windows, xác nhận hệ thống vận hành ổn định và đạt tiêu chuẩn an toàn WPA3-Personal.

Thiết kế và triển khai

Danh mục thiết bị và mô hình thực nghiệm

Mô hình thực nghiệm được xây dựng nhằm mô phỏng và triển khai mạng nội bộ cho khu vực văn phòng kinh doanh của CMC Telecom.

Thành phần hệ thống Chủng loại thiết bị / Phần mềm Vai trò kỹ thuật trong hệ thống
Điểm truy cập không dây Access Point hỗ trợ Wi-Fi 6 & WPA3 Phát sóng SSID, quản lý xác thực WPA3-Personal (SAE) và mã hóa PMF
Thiết bị Gateway / Router Router định tuyến kết nối Internet Cấp phát IP qua DHCP, thực thi lọc cổng dịch vụ (SMTP, POP3, HTTP, HTTPS)
Thiết bị đầu cuối 01 Máy tính xách tay (Laptop) Trang bị Card mạng Wireless hỗ trợ chuẩn Wi-Fi 6 (802.11ax/ac), OS Windows
Thiết bị đầu cuối 02 Thiết bị cầm tay (Mobile) Điện thoại thông minh tích hợp chip Wi-Fi tương thích WPA3
Hạ tầng truyền dẫn Cáp mạng Cat6, Switch trung tâm Kết nối mạng có dây giữa Router, Switch và Access Point

Quy trình cấu hình và kiểm thử hệ thống

  1. Cấu hình Access Point:

    • Đăng nhập giao diện quản trị của AP qua địa chỉ IP mạng nội bộ.
    • Thiết lập cấu hình mạng không dây: Đặt tên nhận dạng dịch vụ (SSID), kích hoạt chế độ bảo mật WPA3-Personal (hoặc WPA2/WPA3 Mixed Mode trong giai đoạn chuyển tiếp).
    • Thiết lập thuật toán xác thực: Chọn cơ chế SAE (Simultaneous Authentication of Equals) và kích hoạt chế độ bắt buộc của khung quản lý bảo vệ (PMF - Required).
    • Thiết lập chính sách an ninh bổ sung: Tắt hoàn toàn tính năng WPS (Wi-Fi Protected Setup) để loại bỏ nguy cơ tấn công brute-force PIN; tắt phát sóng băng tần 2.4 GHz để chuyển sang băng tần 5 GHz nhằm triệt tiêu hiện tượng can nhiễu sóng và nghẽn băng thông.

  2. Cấu hình trên thiết bị di động (Mobile):

    • Dò quét danh sách mạng Wi-Fi, chọn SSID của hệ thống vừa thiết lập.
    • Nhập mật khẩu mạng; thiết bị tự động thương lượng giao thức và thiết lập kết nối an toàn dưới chuẩn bảo mật WPA3-Personal.
    • Kiểm tra trạng thái kết nối và các tham số IP được cấp phát thành công.

  3. Cấu hình và kiểm tra trên máy tính xách tay (Laptop):

    • Kiểm tra thuộc tính của card mạng không dây trong trình quản lý thiết bị (Device Manager), xác nhận card hỗ trợ các chuẩn Wi-Fi thế hệ mới (Wi-Fi 6).
    • Truy cập giao diện quản lý kết nối không dây, chọn chế độ xác thực bảo mật WPA3-Personal.
    • Tiến hành xác thực thành công, kiểm tra chi tiết trạng thái kết nối mạng (Network Properties) xác nhận giao thức bảo mật đang thực thi là WPA3.

Kết quả và đóng góp

Kết quả kỹ thuật đạt được

  1. Khảo sát và đánh giá toàn diện: Phân tích rõ ràng các giới hạn bảo mật của các chuẩn WEP, WPA và WPA2; giải thích nguyên nhân WPA2 bị tấn công bẻ khóa từ điển ngoại tuyến từ 2 đến 14 giờ và lỗ hổng KRACK.
  2. Làm rõ cơ chế hoạt động của WPA3: Trình bày chi tiết giao thức SAE ngăn chặn tấn công đoán mật khẩu ngoại tuyến, tính năng bảo mật chuyển tiếp (Forward Secrecy), khung quản lý được bảo vệ (PMF) chống tấn công giả mạo Deauthentication/Disassociation, tính năng Wi-Fi Easy Connect và bộ mật mã 192-bit trong WPA3-Enterprise.
  3. Triển khai thực nghiệm thành công: Xây dựng thành công mô hình mạng thử nghiệm áp dụng chuẩn WPA3-Personal cho môi trường doanh nghiệp (CMC Telecom). Hệ thống hoạt động tương thích, ổn định trên cả thiết bị di động và máy tính xách tay trang bị card mạng Wi-Fi 6.
  4. Đề xuất chính sách an ninh đồng bộ: Tích hợp các giải pháp bổ trợ như tắt WPS, tắt băng tần 2.4 GHz tránh can nhiễu, lọc địa chỉ MAC và thiết lập bộ lọc kiểm soát giao thức tại gateway chỉ cho phép lưu lượng dịch vụ kinh doanh thiết yếu (SMTP, POP3, HTTP, HTTPS, FTP).

Đóng góp của đề tài

Đồ án cung cấp một tài liệu kỹ thuật có tính ứng dụng thực tế cao về công nghệ an toàn mạng không dây thế hệ mới WPA3 tại thời điểm năm 2022. Tác giả không chỉ dừng lại ở việc tổng hợp lý thuyết mật mã mà còn trực tiếp khảo sát thực trạng một doanh nghiệp viễn thông cụ thể (CMC Telecom) và đưa ra quy trình triển khai, cấu hình chi tiết từ thiết bị phát (AP) đến thiết bị thu (Laptop, Mobile), tạo tiền đề cho các đơn vị chuyển đổi an toàn từ WPA2 sang WPA3.

Hạn chế và hướng nghiên cứu tiếp

Hạn chế của đồ án

  • Phạm vi thử nghiệm: Đồ án mới dừng lại ở việc cấu hình, kiểm thử thực nghiệm đối với phiên bản WPA3-Personal; chưa triển khai thực nghiệm mô hình WPA3-Enterprise gắn với máy chủ xác thực RADIUS/EAP và bộ mã hóa 192-bit do yêu cầu phức tạp về hạ tầng chứng chỉ số.
  • Quy mô hệ thống: Thực nghiệm được tiến hành trên quy mô mô hình thử nghiệm nhỏ tại một phân vùng mạng, chưa đánh giá tải thực tế khi có hàng trăm thiết bị cùng kết nối đồng thời.
  • Thử nghiệm tấn công chuyên sâu: Chưa thực hiện mô phỏng thực nghiệm các đòn tấn công kênh bên (Side-channel attacks: timing/cache) và tấn công DoS vào thuật toán SAE trong phòng thí nghiệm.

Hướng nghiên cứu tiếp theo

  • Mở rộng triển khai mô hình WPA3-Enterprise kết hợp máy chủ xác thực chuyên dụng (FreeRADIUS hoặc Windows Server Network Policy Server) và chứng chỉ số PKI.
  • Nghiên cứu các giải pháp phòng chống tấn công kênh bên và tấn công từ chối dịch vụ nhằm vào cơ chế bắt tay Dragonfly/SAE của WPA3.
  • Đánh giá khả năng chuyển vùng (Roaming) an toàn và hiệu năng thực tế của WPA3 trong các mạng doanh nghiệp quy mô lớn có nhiều Access Point.

Giá trị tham khảo

Đồ án tốt nghiệp là tài liệu tham khảo hữu ích cho:

  • Sinh viên ngành Công nghệ thông tin, Truyền thông và Mạng máy tính: Cung cấp tài liệu học tập, nghiên cứu về kiến trúc an ninh mạng không dây, các chuẩn IEEE 802.11 và phân tích cấu trúc mật mã từ WEP, WPA2 đến WPA3.
  • Kỹ sư mạng và Quản trị viên hệ thống (System/Network Administrator): Cung cấp tài liệu hướng dẫn từng bước cấu hình, chuyển dịch hạ tầng Wi-Fi doanh nghiệp từ chuẩn WPA2 cũ sang WPA3, cùng các cấu hình an ninh bổ trợ (lọc giao thức, quản trị băng tần, kiểm soát WPS).

Câu hỏi thường gặp

1. Tại sao giao thức WPA3-Personal lại an toàn hơn WPA2-Personal trước các cuộc tấn công đoán mật khẩu?

Trong WPA2-Personal (dùng PSK), kẻ tấn công có thể thu bắt quá trình bắt tay 4 bước rồi mang về máy tính cá nhân để thực hiện tấn công vét cạn hoặc từ điển ngoại tuyến mà không cần tương tác trực tiếp với Access Point. Ngược lại, WPA3-Personal sử dụng cơ chế xác thực đồng thời SAE (Simultaneous Authentication of Equals). SAE buộc kẻ tấn công phải tương tác trực tiếp với AP cho mỗi lần thử mật khẩu, đồng thời tạo ra khóa phiên riêng biệt cho từng phiên kết nối, loại bỏ hoàn toàn khả năng tấn công từ điển ngoại tuyến.

2. Tính năng bảo mật chuyển tiếp (Forward Secrecy) trong WPA3 có ý nghĩa như thế nào?

Tính năng bảo mật chuyển tiếp đảm bảo rằng các khóa mã hóa phiên được tạo ra độc lập cho mỗi phiên kết nối. Nếu tin tặc thu thập và lưu trữ toàn bộ dữ liệu mã hóa truyền qua mạng không dây, sau đó bằng cách nào đó biết được mật khẩu Wi-Fi của mạng, chúng vẫn không thể giải mã các gói dữ liệu đã ghi lại từ các phiên liên lạc trước đó.

3. Tại sao tác giả khuyến nghị tắt tính năng WPS và loại bỏ băng tần 2.4 GHz khi triển khai hệ thống?

  • Tính năng WPS (Wi-Fi Protected Setup) sử dụng mã PIN 8 chữ số có lỗ hổng thiết kế nghiêm trọng, cho phép tin tặc đoán thử mã PIN nhanh chóng để lấy mật khẩu router.
  • Băng tần 2.4 GHz có băng thông thấp, số lượng kênh không chồng lấn ít và thường xuyên bị can nhiễu bởi các thiết bị gia dụng (như lò vi sóng, điện thoại không dây) và các thiết bị xung quanh, dẫn đến nghẽn mạng và suy giảm hiệu năng. Việc loại bỏ băng tần 2.4 GHz và chuyển sang 5 GHz giúp tăng tốc độ và ổn định đường truyền.

4. WPA3-Enterprise cung cấp chế độ bảo mật 192-bit với các bộ thuật toán mã hóa nào?

WPA3-Enterprise cung cấp chế độ bảo mật 192-bit sử dụng các bộ thuật toán trong EAP bao gồm:

  • TLS_ECDHE_ECDSA_WITH_AES_256_GCM_SHA384 (sử dụng đường cong Elliptic ECDHE và ECDSA với số nguyên tố 384-bit).
  • TLS_ECDHE_RSA_WITH_AES_256_GCM_SHA384 (sử dụng ECDHE 384-bit và khóa RSA module $\ge 3072$-bit).
  • TLS_DHE_RSA_WITH_AES_256_GCM_SHA384 (sử dụng DHE $\ge 3072$-bit và RSA module $\ge 3072$-bit).

5. Những dạng tấn công nào vẫn có thể gây nguy cơ đối với mạng sử dụng WPA3?

Mặc dù WPA3 khắc phục các lỗ hổng của WPA2, văn bản chỉ ra WPA3 vẫn có thể chịu các dạng tấn công: tấn công lớp vật lý dựa trên cảm nhận sóng mang; tấn công kênh bên (Side-channel attacks) dựa trên đo lường thời gian thực thi hoặc giám sát bộ nhớ cache trong quá trình xử lý thuật toán SAE; và tấn công từ chối dịch vụ (DoS) bằng cách liên tục gửi các yêu cầu xác thực lại (Re-authentication) làm cạn kiệt tài nguyên xử lý của AP.

Kết luận

Đồ án tốt nghiệp của sinh viên Vũ Đức Hiếu đã hệ thống hóa toàn diện quá trình tiến hóa và các cơ chế kỹ thuật của các chuẩn mạng không dây IEEE 802.11 cùng các giao thức an ninh từ WEP, WPA, WPA2 đến WPA3. Nghiên cứu đã làm rõ các ưu điểm then chốt của WPA3 như xác thực SAE chống tấn công từ điển ngoại tuyến, cơ chế bảo mật chuyển tiếp, bắt buộc khung quản lý PMF và mã hóa 192-bit cho doanh nghiệp. Trên cơ sở khảo sát thực trạng mạng tại CMC Telecom, tác giả đã xây dựng thành công mô hình cấu hình, thực nghiệm kết nối an toàn với WPA3-Personal trên thiết bị di động và máy tính xách tay, đưa ra tài liệu tham khảo có giá trị ứng dụng thực tiễn cao cho công tác quản trị và bảo mật mạng không dây.