Giới thiệu dự án
Mạng cục bộ không dây (WLAN - Wireless Local Area Network) dựa trên nền tảng tiêu chuẩn IEEE 802.11 đã trở thành cơ sở hạ tầng kết nối thiết yếu trong kỷ nguyên số. Theo báo cáo thường niên của Wi-Fi Alliance và Cisco VNI, hơn 60% lưu lượng truy cập Internet toàn cầu được khởi tạo từ các thiết bị vô tuyến. Tuy nhiên, đặc thù truyền sóng vô tuyến (Radio Frequency - RF) trong không gian tự do theo cơ chế quảng bá (broadcast) trong dải tần 2.4 GHz ISM (2.4000 – 2.4835 GHz) và 5.0 GHz UNII khiến biên giới vật lý của mạng bị xóa bỏ, tạo ra nhiều lỗ hổng bảo mật nghiêm trọng so với mạng Ethernet có dây (IEEE 802.3).
+-----------------------------+
| Enterprise Network |
| (WPA2-Enterprise/802.1X) |
+--------------+--------------+
|
+----------------------+----------------------+
| |
+----------v----------+ +----------v----------+
| Physical/Link | | Network/App |
| Layer Security | | Layer Security |
+----------+----------+ +----------+----------+
| |
* WPA2-AES (CCMP 128) * IPSec VPN / SSL VPN
* 802.1X / RADIUS (Port 1812) * HTTPS (TLS v1.3 - Port 443)
* MAC Address Whitelisting * SSH v2 (Port 22, RSA/AES)
Đồ án tốt nghiệp đại học chuyên ngành Điện tử Viễn thông (Mã ngành: 52520203) tại Học viện Kỹ thuật Quân sự với đề tài "Nghiên cứu các giải pháp bảo mật trong mạng không dây" tập trung phân tích toàn diện các lỗ hổng giao thức vô tuyến, xây dựng ma trận đối phó tấn công và mô phỏng triển khai giải pháp phòng thủ tích hợp trên nền tảng Cisco Packet Tracer.
1. Vấn đề thực tiễn và điểm nghẽn bảo mật (Problem Statement & Pain Points)
- Thiếu ranh giới vật lý: Kẻ tấn công có thể nghe lén thụ động (Passive Sniffing) hoặc thu thập khung dữ liệu quản lý (Management Frames) từ khoảng cách xa bằng ăng-ten định hướng mà không để lại dấu vết nhật ký.
- Lỗ hổng mật mã di sản: Cơ chế WEP (Wired Equivalent Privacy) sử dụng thuật toán mã hóa dòng RC4 với Vector khởi tạo IV ngắn (24-bit) và hàm băm CRC-32 yếu, cho phép bẻ khóa khóa mạng chỉ sau 3–5 phút thu thập gói tin.
- Tấn công giả mạo và từ chối dịch vụ: Khung quản lý không được mã hóa (IEEE 802.11 tiền 802.11w) tạo điều kiện cho tấn công Deauthentication/Disassociation DoS, giả mạo AP (Rogue AP / Evil Twin) và Man-in-the-Middle (MITM).
2. Mục tiêu dự án (Project Objectives)
- Hệ thống hóa lý thuyết: Phân tích cấu trúc khung tầng liên kết dữ liệu IEEE 802.11 (Frame Control, MPDU, MMPDU) và các chuẩn vật lý 802.11a/b/g/n.
- Đánh giá rủi ro an ninh: Mô hình hóa 5 vector tấn công trọng yếu: Passive Sniffing, MAC Spoofing, RF Jamming / Deauth DoS, Rogue AP MITM và Replay Attacks.
- Thiết kế kiến trúc phòng thủ đa lớp: Xây dựng mô hình bảo mật kết hợp giữa cơ chế mã hóa tầng liên kết (WPA2-AES CCMP 128-bit, 802.1X/EAP), lọc truy cập MAC và mã hóa đầu cuối tầng mạng/ứng dụng (IPSec, SSL VPN, HTTPS, SSH).
- Hiện thực hóa và kiểm thử: Triển khai mô phỏng topology mạng kép (Enterprise Network & SOHO Home Network) trên Cisco Packet Tracer v8.2, cấu hình chứng thực qua RADIUS Server, cấp phát IP tập trung qua DHCP và bảo mật quản trị từ xa qua SSHv2.
3. Phương pháp tiếp cận và kết quả kỳ vọng
- Phương pháp: Kết hợp nghiên cứu giải thuật mật mã đối xứng/bất đối xứng, phân tích tiêu chuẩn IEEE 802.11i/RFCs và thực nghiệm cấu hình mạng mô phỏng chuẩn doanh nghiệp.
- Kết quả lượng hóa:
- Triệt tiêu 100% rủi ro giải mã thụ động so với WEP nhờ mã hóa khối AES-CCMP.
- Thiết lập cơ chế chứng thực người dùng cá thể hóa qua RADIUS AAA (Authentication, Authorization, Accounting) với độ trễ xác thực ban đầu $< 120\text{ ms}$.
- Kiểm soát chính sách truy cập mức thiết bị thông qua bộ lọc địa chỉ MAC với tỷ lệ từ chối truy cập trái phép đạt 100%.
4. Phạm vi và giới hạn (Scope & Limitations)
- Phạm vi: Tập trung vào các giao thức bảo mật WLAN tầng MAC và Transport/Application, cấu hình mô phỏng trên nền tảng thiết bị Cisco (Router 2911, Switch 2960, Lightweight/Autonomous APs, RADIUS Server).
- Giới hạn: Nghiên cứu không đi sâu vào can thiệp phần cứng SDR (Software Defined Radio) thực tế hay chuẩn WPA3-SAE phát hành sau thời điểm thực nghiệm mô phỏng.
Phân tích và thiết kế giải pháp
Phân tích hiện trạng
| Tiêu chí |
WEP (Wired Equivalent Privacy) |
WPA (Wi-Fi Protected Access) |
WPA2 (IEEE 802.11i Standard) |
WPA3 (SAE - Tham chiếu) |
| Thuật toán mã hóa |
RC4 Stream Cipher (40/104-bit) |
RC4 + TKIP (Temporal Key) |
AES-CCMP Block Cipher (128-bit) |
AES-GCMP (128/256-bit) |
| Độ dài Vector khởi tạo (IV) |
24-bit (Tái sử dụng nhanh) |
48-bit (Chống Replay tốt hơn) |
48-bit Packet Number (PN) |
96-bit Nonce |
| Tính toàn vẹn dữ liệu |
CRC-32 (Tuyến tính, dễ bị sửa) |
Michael MIC (64-bit) |
CBC-MAC (128-bit) |
GMAC (128-bit) |
| Quản lý khóa |
Khóa tĩnh (Shared Static Key) |
Khóa động (Per-packet dynamic) |
4-Way Handshake / PMK / PTK |
SAE Handshake (Chống từ điển offline) |
| Khả năng bị bẻ khóa |
< 5 phút (FMS / KoreK attack) |
Dễ bị Beck-Tews attack |
Miễn nhiễm tấn công toán học cơ bản |
Kháng hoàn toàn Offline Dictionary Attack |
+-----------------------+
| DNS / Web Server |
| (HTTPS - Port 443) |
+-----------+-----------+
|
+---------------------+ +-----------+-----------+ +-----------------------+
| RADIUS Server AAA +-----------+ Enterprise Router +-----------+ Wireless LAN Ctrl |
| (IP: 192.168.1.5) | | Cisco 2911 | | (WLC) |
+---------------------+ +-----------+-----------+ +-----------+-----------+
| |
+-----------+-----------+ |
| Layer 2 PoE Switch +-----------------------+
| Cisco 2960 |
+-----+-----------+-----+
| |
+------------+--+ +--+------------+
| Lightweight AP| | Lightweight AP|
| (BSSID 1) | | (BSSID 2) |
+-------+-------+ +-------+-------+
| |
+----v----+ +----v----+
| Client | | Client |
| (802.1X)| | (802.1X)|
+---------+ +---------+
Ma trận yêu cầu hệ thống theo mô hình MoSCoW
- Must have (Bắt buộc):
- Mã hóa toàn bộ dữ liệu Payload bằng AES-128 (CCMP) cho Enterprise và Personal.
- Tích hợp máy chủ RADIUS chứng thực người dùng tập trung (EAP/802.1X).
- Phân tách VLAN quản trị và VLAN người dùng, vô hiệu hóa Telnet và bắt buộc SSHv2.
- Should have (Nên có):
- Danh sách kiểm soát truy cập (Access Control List - ACL) và Lọc địa chỉ MAC (MAC Filtering).
- Cơ chế cấp phát động IPv4 qua DHCP Server với thời gian Lease phù hợp.
- Could have (Có thể có):
- Triển khai IPSec/SSL VPN cho kết nối từ xa từ trạm bên ngoài vào mạng lõi.
- Ẩn SSID Broadcast (Hidden Network) để giảm thiểu quét thụ động.
- Won't have this time (Chưa thực hiện):
- Triển khai phần cứng chứng chỉ số phần cứng PKI/Smartcard cho toàn bộ thiết bị đầu cuối.
Thiết kế hệ thống
1. Kiến trúc phân tầng và ngăn xếp giao thức (TCP/IP vs IEEE 802.11)
Điểm khác biệt căn bản giữa mạng Ethernet 802.3 và WLAN 802.11 nằm ở tầng liên kết dữ liệu (Data-Link) và tầng vật lý (Physical Layer). Tầng MAC 802.11 chịu trách nhiệm đóng gói đơn vị dữ liệu MPDU (MAC Protocol Data Unit) chứa tiêu đề kiểm soát khung (Frame Control) 2-byte với cấu trúc:
$$\text{Frame Control} = \text{Protocol}(2\text{b}) + \text{Type}(2\text{b}) + \text{Subtype}(4\text{b}) + \text{ToDS}(1\text{b}) + \text{FromDS}(1\text{b}) + \text{MoreFrag}(1\text{b}) + \dots + \text{Protected}(1\text{b}) + \text{Order}(1\text{b})$$
2. Cấu hình địa chỉ IP và dịch vụ mạng
| Thiết bị / Node mạng |
Giao diện |
Địa chỉ IP / Subnet Mask |
Vai trò / Dịch vụ kích hoạt |
| Enterprise Router 2911 |
Gi0/0 (LAN Core)
Gi0/1 (WLAN Subnet) |
192.168.1.1/24
172.16.1.1/24 |
Default Gateway, Inter-VLAN Routing, DHCP Relay |
| RADIUS AAA Server |
FastEthernet 0 |
192.168.1.5/24 |
FreeRADIUS/ACS Daemon, Port 1812/1813 |
| Corporate Web Server |
FastEthernet 0 |
192.168.1.10/24 |
HTTPS Server (Port 443), SSL/TLS Certificate |
| DNS Server |
FastEthernet 0 |
192.168.1.2/24 |
Phân giải tên miền nội bộ (corp.security.local) |
| Wireless LAN Controller |
Port 1 (Trunk) |
192.168.1.254/24 |
Quản lý Lightweight APs, Cấu hình WLAN SSID 802.1X |
| Home Wireless Router |
WAN (DHCP)
LAN/WLAN |
Dynamic (ISP Pool)
192.168.0.1/24 |
WPA2-PSK (AES), DHCP Server, NAT Firewall |
Phương pháp nghiên cứu và quy trình thực hiện (Methodology)
Quy trình thực hiện đồ án áp dụng mô hình thác nước kết hợp kiểm thử theo vòng lặp (Iterative Lifecycle):
- Giai đoạn 1 (Tuần 1–4): Khảo sát lý thuyết tiêu chuẩn IEEE 802.11a/b/g/n, nghiên cứu cấu trúc mã hóa WEP/WPA/WPA2 và các vector tấn công DoS, MITM, Sniffing.
- Giai đoạn 2 (Tuần 5–8): Thiết kế Topology mạng doanh nghiệp và gia đình trên Cisco Packet Tracer; lập ma trận định tuyến, quy hoạch địa chỉ IP và dải tần vô tuyến (Kênh 1, 6, 11 cho 2.4 GHz; kênh không chồng lấn cho 5 GHz).
- Giai đoạn 3 (Tuần 9–12): Triển khai cấu hình CLI: RADIUS Client-Server, WPA2-Enterprise, SSHv2, MAC Whitelisting, HTTPS.
- Giai đoạn 4 (Tuần 13–15): Kiểm thử xác thực, đo đạc gói tin bắt giữ (Packet Inspection), đánh giá hiệu năng và hoàn thiện báo cáo thuyết minh.
Implementation và kết quả
Chi tiết giải thuật và cấu hình triển khai
1. Phân tích điểm yếu giải thuật RC4 và cải tiến với AES-CCMP
Trong giao thức WEP cũ, bản rõ $P$ được mã hóa dòng với chuỗi giả ngẫu nhiên $S = \text{RC4}(K \parallel IV)$, trong đó $K$ là khóa tĩnh và $IV$ dài 24-bit. Do $IV$ quá ngắn, sau $2^{24} \approx 16.7$ triệu gói tin, việc tái sử dụng khóa xảy ra:
$$C_1 \oplus C_2 = (P_1 \oplus S) \oplus (P_2 \oplus S) = P_1 \oplus P_2$$
Kẻ tấn công áp dụng kỹ thuật FMS để khôi phục $K$. Ngược lại, WPA2 sử dụng chuẩn mã hóa khối AES ở chế độ Counter Mode với CBC-MAC (CCMP), sử dụng khóa đối xứng 128-bit và mã xác thực thông điệp 128-bit, triệt tiêu hoàn toàn khả năng giải mã tuyến tính.
+-------------------------------------------------------------------------------+
| QUÁ TRÌNH BẮT TAY 4-BƯỚC (WPA2 4-WAY HANDSHAKE) |
| |
| Supplicant (Client) Authenticator (AP) |
| | | |
| | <----------- 1. ANonce (Random) ---------------- | (Tạo ANonce) |
| (Tạo SNonce| | |
| Tính PTK) | ------------ 2. SNonce + MIC ------------------> | (Xác thực MIC, |
| | | Tính PTK) |
| | <----------- 3. GTK + Install PTK + MIC -------- | (Gửi Group Key)|
| | | |
| (Cài đặt | | (Cài đặt khóa, |
| khóa mã) | ------------ 4. ACK ---------------------------> | mở cổng Data) |
+-------------------------------------------------------------------------------+
2. Kịch bản cấu hình chi tiết trên thiết bị hạ tầng (Cisco CLI & AAA Config)
Cấu hình Secure Shell (SSHv2) trên Enterprise Gateway Router
Router> enable
Router# configure terminal
Router(config)# hostname R1-ENTERPRISE-GW
R1-ENTERPRISE-GW(config)# ip domain-name security.lab.vn
R1-ENTERPRISE-GW(config)# crypto key generate rsa modulus 2048
R1-ENTERPRISE-GW(config)# ip ssh version 2
R1-ENTERPRISE-GW(config)# ip ssh time-out 60
R1-ENTERPRISE-GW(config)# ip ssh authentication-retries 3
R1-ENTERPRISE-GW(config)# username admin privilege 15 secret SuperSecretP@ssw0rd!2022
R1-ENTERPRISE-GW(config)# line vty 0 4
R1-ENTERPRISE-GW(config-line)# transport input ssh
R1-ENTERPRISE-GW(config-line)# login local
R1-ENTERPRISE-GW(config-line)# exit
Cấu hình AAA / RADIUS Client trên Gateway kết nối Server
R1-ENTERPRISE-GW(config)# aaa new-model
R1-ENTERPRISE-GW(config)# radius-server host 192.168.1.5 auth-port 1812 acct-port 1813 key RadiusSharedKey#2022
R1-ENTERPRISE-GW(config)# aaa authentication login default group radius local
R1-ENTERPRISE-GW(config)# aaa authorization exec default group radius local
Cấu hình DHCP Server cho phân đoạn WLAN Client
R1-ENTERPRISE-GW(config)# ip dhcp excluded-address 172.16.1.1 172.16.1.10
R1-ENTERPRISE-GW(config)# ip dhcp pool WLAN-USERS-POOL
R1-ENTERPRISE-GW(dhcp-config)# network 172.16.1.0 255.255.255.0
R1-ENTERPRISE-GW(dhcp-config)# default-router 172.16.1.1
R1-ENTERPRISE-GW(dhcp-config)# dns-server 192.168.1.2
R1-ENTERPRISE-GW(dhcp-config)# lease 0 8 0
R1-ENTERPRISE-GW(dhcp-config)# exit
Cấu hình Lọc địa chỉ MAC (MAC Filtering) trên Wireless Access Point
! Bảng danh sách địa chỉ MAC được cấp phép truy cập (Whitelisting):
! -------------------------------------------------------------
! Index | MAC Address | Tên thiết bị | Trạng thái
! 01 | 0060.2FBE.A101 | Laptop-Admin-01 | Cho phép (Permit)
! 02 | 00D0.BA71.C214 | Workstation-Eng-02 | Cho phép (Permit)
! 03 | 0001.96C3.D4E5 | Mobile-Tester-03 | Cho phép (Permit)
! Default Policy: DENY ALL (Từ chối tất cả các thiết bị ngoài bảng)
Kiểm thử và kết quả thực nghiệm
+------------------------------------------------------------------------------------+
| MA TRẬN KẾT QUẢ KIỂM THỬ XÁC THỰC VÀ HIỆU NĂNG |
+----------------------+--------------------+--------------------+-------------------+
| Kịch bản kiểm thử | WEP (Mã hóa RC4) | WPA2-PSK (AES-128) | WPA2-Enterprise |
+----------------------+--------------------+--------------------+-------------------+
| Thời gian bắt tay | 12.4 ms | 45.8 ms | 112.5 ms (RADIUS) |
| Chống giả mạo MAC | Thất bại | Thất bại | Thành công (802.1X|
| Chống giải mã tin | Thất bại (<5 phút) | Thành công | Thành công |
| Quản lý khóa tập trung| Không hỗ trợ | Không hỗ trợ | Hỗ trợ qua AAA |
| Tỷ lệ xác thực lỗi | 0.0% | 0.0% | 0.0% |
+----------------------+--------------------+--------------------+-------------------+
- Hiệu năng truyền thông: Thử nghiệm truyền dữ liệu tệp tin qua mạng LAN/WLAN cho thấy mức tiêu hao băng thông phụ trợ (overhead) của AES-CCMP chỉ chiếm $\approx 1.8%$ tổng dung lượng khung, đảm bảo duy trì tốc độ truyền thực tế trên chuẩn 802.11n đạt $140\text{–}210\text{ Mbps}$ trên kênh truyền 40 MHz.
- Kiểm tra an toàn dịch vụ:
- Truy cập HTTP thông thường (Port 80) bị chặn hoàn toàn, tự động chuyển hướng sang HTTPS (Port 443) mã hóa RSA-2048/TLS.
- Cổng quản trị Telnet (Port 23) bị đóng hoàn toàn, phiên kết nối SSHv2 (Port 22) mã hóa thành công với độ dài khóa 2048-bit.
Đổi mới và đóng góp
- Mô hình bảo vệ phân lớp chuyên sâu (Defense-in-Depth): Thay vì chỉ dựa vào mật khẩu mạng không dây đơn lẻ (Pre-Shared Key), đề tài đã kết hợp 4 lớp bảo mật độc lập:
$$\text{An ninh WLAN} = \text{Mã hóa L2 (WPA2-AES)} + \text{Kiểm soát MAC L2} + \text{Chứng thực L3/L4 (802.1X/RADIUS)} + \text{Mã hóa ứng dụng (HTTPS/SSH)}$$
- Định lượng rủi ro các chuẩn bảo mật: Cung cấp tài liệu phân tích toán học chi tiết về điểm yếu của hàm băm CRC-32 và giải thuật hoán vị KSA/PRGA của RC4, giải thích cặn kẽ nguyên nhân vì sao WEP và WPA-TKIP bị khai tử.
- Cung cấp kịch bản thực nghiệm tiêu chuẩn: Bản vẽ thiết kế và bộ lệnh CLI chi tiết có thể được tái sử dụng trực tiếp làm tài liệu giảng dạy thực hành các môn Mạng máy tính, An toàn thông tin và Điện tử viễn thông tại các trường đại học kỹ thuật.
Ứng dụng thực tế và triển khai
Tình huống ứng dụng thực tế (Real-World Use Cases)
- Mạng không dây doanh nghiệp / Học viện: Triển khai WPA2-Enterprise tích hợp Active Directory / FreeRADIUS để quản lý hàng nghìn sinh viên/cán bộ. Mỗi người dùng sử dụng tài khoản định danh riêng biệt, cho phép thu hồi quyền truy cập ngay lập tức khi thôi việc mà không cần đổi mật khẩu toàn mạng.
- Mạng văn phòng nhỏ và gia đình (SOHO): Sử dụng WPA2-Personal (AES) kết hợp mật khẩu có độ phức tạp cao ($> 12$ ký tự gồm chữ hoa, chữ thường, số và ký tự đặc biệt) kết hợp vô hiệu hóa tính năng WPS (Wi-Fi Protected Setup) để ngăn ngừa tấn công Reaver.
LỘ TRÌNH TRIỂN KHAI BẢO MẬT WLAN (4 GIAI ĐOẠN)
Giai đoạn 1: Đánh giá & Quy hoạch --> Giai đoạn 2: Triển khai RADIUS Core
[Tuần 1-2: Quét phổ RF & Lập VLAN] [Tuần 3-4: Dựng Server AAA & Cơ sở dữ liệu]
| |
v v
Giai đoạn 4: Đánh giá an ninh <-- Giai đoạn 3: Cấu hình WLC & APs
[Tuần 7-8: Penetration Testing] [Tuần 5-6: Áp dụng WPA2-AES & MAC ACL]
Phân tích hiệu quả kinh tế (Cost-Benefit & ROI Analysis)
- Chi phí triển khai: Ứng dụng các máy chủ mã nguồn mở (FreeRADIUS trên Linux) giúp doanh nghiệp tiết kiệm 100% chi phí bản quyền phần mềm quản lý xác thực so với các giải pháp độc quyền thương mại.
- Giảm thiểu tổn thất: Ngăn chặn các sự cố rò rỉ dữ liệu nội bộ qua sóng vô tuyến, ước tính tiết kiệm hàng trăm triệu đồng chi phí khắc phục sự cố an ninh mạng và bảo vệ uy tín doanh nghiệp.
Hạn chế và hướng phát triển
Hạn chế kỹ thuật
- Mô phỏng trên Cisco Packet Tracer chưa tái hiện được toàn diện các cuộc tấn công vật lý phức tạp như Deauthentication Flood thực tế bằng
aircrack-ng hay can thiệp tần số bằng phần cứng SDR (HackRF One).
- Chưa tích hợp cơ chế bảo vệ khung quản lý chuẩn hóa IEEE 802.11w để chống tấn công ngắt kết nối DoS ở mức phần cứng.
Hướng phát triển
- Nâng cấp chuẩn WPA3-Enterprise: Triển khai giao thức xác thực đồng thời qua mã hóa SAE (Simultaneous Authentication of Equals) và mã hóa Suite B 192-bit.
- Hệ thống phát hiện xâm nhập không dây (WIDS/WIPS): Tích hợp cảm biến giám sát phổ vô tuyến tự động phát hiện Rogue AP và các xung đột tần số bất thường theo thời gian thực.
- Ứng dụng Trí tuệ nhân tạo (AI/ML): Xây dựng mô hình phân loại lưu lượng bất thường để tự động cô lập máy trạm bị nhiễm mã độc trong mạng WLAN.
Đối tượng hưởng lợi
- Sinh viên chuyên ngành Viễn thông / CNTT: Nắm vững cấu trúc khung truyền dữ liệu IEEE 802.11, hiểu rõ bản chất toán học của các giải thuật mật mã và quy trình đóng gói gói tin.
- Kỹ sư mạng và quản trị hệ thống: Sở hữu tài liệu hướng dẫn từng bước (Step-by-step) cấu hình mạng không dây an toàn trên thiết bị Cisco, sẵn sàng áp dụng vào thực tế doanh nghiệp.
- Doanh nghiệp vừa và nhỏ: Tiếp cận mô hình kiến trúc bảo mật chi phí thấp, tối ưu hiệu năng và đạt chuẩn an toàn thông tin ISO/IEC 27001.
Câu hỏi thường gặp
1. Cần chuẩn bị hạ tầng phần cứng tối thiểu nào để triển khai WPA2-Enterprise?
Hệ thống yêu cầu tối thiểu: 01 Router Gateway hỗ trợ định tuyến VLAN, 01 Switch PoE, các điểm truy cập AP hỗ trợ chuẩn IEEE 802.1X/WPA2-Enterprise và 01 máy chủ chạy dịch vụ RADIUS (FreeRADIUS/Windows Server Network Policy Server) cấu hình cổng UDP 1812/1813.
2. Lọc địa chỉ MAC (MAC Filtering) có đủ để bảo vệ mạng Wi-Fi không?
Không. Địa chỉ MAC truyền trên không gian vô tuyến không được mã hóa trong tiêu đề khung 802.11. Kẻ tấn công có thể dễ dàng sử dụng phần mềm Sniffer để bắt địa chỉ MAC hợp lệ và thực hiện tấn công giả mạo (MAC Spoofing) bằng lệnh thay đổi địa chỉ card mạng. Do đó, lọc MAC chỉ đóng vai trò là lớp bảo vệ bổ trợ, không thể thay thế WPA2/WPA3.
3. Tại sao mạng sử dụng HTTPS/SSH vẫn cần phải mã hóa WPA2 ở tầng liên kết?
Mặc dù HTTPS/SSH bảo vệ dữ liệu ở tầng ứng dụng, nhưng nếu tầng liên kết không được mã hóa (Open Wi-Fi), kẻ tấn công có thể phân tích lưu lượng truyền (Traffic Analysis), phát hiện địa chỉ IP đích, thực hiện tấn công DNS Spoofing, ARP Poisoning hoặc ngắt kết nối trạm thông qua các gói tin quản lý giả mạo.
4. Chi phí bảo trì hệ thống bảo mật WLAN doanh nghiệp hàng năm là bao nhiêu?
Nếu sử dụng nền tảng máy chủ Linux mã nguồn mở (FreeRADIUS/OpenSSL), chi phí bản quyền phần mềm là 0 đồng. Chi phí bảo trì chủ yếu tập trung vào nhân sự vận hành, sao lưu định kỳ cơ sở dữ liệu chứng thực và nâng cấp Firmware thiết bị mạng (chiếm khoảng 5–10% tổng chi phí đầu tư thiết bị ban đầu mỗi năm).
5. Tại sao chuẩn WEP bị loại bỏ hoàn toàn khỏi các tiêu chuẩn mạng không dây hiện đại?
WEP sử dụng thuật toán RC4 với IV 24-bit quá ngắn và khóa tĩnh không đổi. Do nguyên lý "nghịch lý ngày sinh" (Birthday Paradox), sự trùng lặp IV xảy ra nhanh chóng, cho phép các phần mềm bẻ khóa thu thập đủ gói tin bản mã để khôi phục khóa gốc trong vòng chưa đầy vài phút mà không cần biết mật khẩu ban đầu.
Kết luận
Đồ án tốt nghiệp "Nghiên cứu các giải pháp bảo mật trong mạng không dây" của tác giả Nguyễn Thị Chi đã giải quyết trọn vẹn bài toán an ninh mạng WLAN từ góc độ lý thuyết giao thức đến thực nghiệm mô phỏng. Bằng việc phân tích chuyên sâu các điểm yếu cốt tử của chuẩn WEP/WPA và triển khai thành công mô hình tích hợp WPA2-Enterprise kết hợp RADIUS AAA, Lọc MAC, HTTPS và SSHv2 trên Cisco Packet Tracer, công trình mang lại giá trị học thuật vững chắc cùng giải pháp ứng dụng thực tế cao, đóng góp thiết thực cho công tác bảo đảm an toàn thông tin vô tuyến trong giai đoạn chuyển đổi số hiện nay.
