Chương 1 TỔNG QUAN 1.1 Tính cấp thiết của đề tài 1.1 Bảo mật là yêu cầu cần thiết cho tổ chức, doanh nghiệp Với sự phát triển của Internet và thương mại điện tử, nhu cầu truyền thông và thương mại thông qua mạng Internet ngày càng gia tăng và nguy cơ mất an ninh, an toàn thông tin, lộ lọt bí mật (thương mại, nhà nước.) sẽ ngày càng nghiêm trọng nếu không có giải pháp phòng chống hữu hiệu vì không chỉ đơn thuần nhằm mục đích thu thập thông tin bí mật, ngưng trệ hoạt động mà còn mang mục đích kinh tế, chính trị, bí mật thương mại, sở hữu trí tuệ, thậm chí trở thành những loại vũ khí nguy hiểm có nguy cơ xâm phạm đến an ninh quốc gia. Vấn đề bảo mật thông tin bây giờ đã trở thành một nhu cầu lớn và là yếu tố rất quan trọng đối với tổ chức, doanh nghiệp.1 minh họa các rủi ro an ninh tăng lên khi một tổ chức mở rộng hoạt động ra mạng Internet, thương mại điện tử.2 Chi phí đầu tư lớn cho giải pháp bảo mật Hiện nay hầu hết các tổ chức, doanh nghiệp sử dụng các sản phẩm an ninh nhập khẩu từ nước ngoài trong giải pháp bảo mật của mình. Giải pháp này đòi hỏi phải đầu tư chi phí lớn cho giải pháp bảo mật của mình. Việc đầu tư một hệ thống bảo mật đồ sộ, kinh phí lớn với các nhà cung cấp giải 1 ! " #$ %& $ '$ Hình 1.1: Rủi ro bảo mật tăng trong thời kỳ thương mại điện tử pháp bảo mật hàng đầu như Cisco, Checkpoint, Juniper.là điều không thể với các doanh nghiệp vừa và nhỏ mặc dù họ có nhu cầu lớn cho việc triển khai giải pháp bảo mật cho tổ chức của mình.3 Vấn đề bị động, phụ thuộc nhà cung cấp Việc phụ thuộc vào nhà cung cấp có thể dẫn tới tình trạng bị ép buộc phải nâng cấp phần mềm hay trang bị những tính năng mà người sử dụng không có nhu cầu sử dụng đến.
Ngoài việc giá thành cao, những thiết bị này khiến chúng ta không thể chủ động trong việc ứng dụng, ta hoàn toàn không biết các mô hình sử dụng cho cài đặt cụ thể mà chỉ biết các ứng dụng do thiết bị cung cấp. Hơn nữa, các phần mềm ứng dụng đa phần là các sản phẩm đóng gói, do đó việc nhúng các cơ chế bảo mật do người dùng tạo ra vào hệ thống đó là hầu như không thể thực hiện được.4 Chủ trương, chính sách của Đảng và nhà nước Quyết định số 235/2004/QĐ-TTg về phê duyệt tổng thể “Ứng dụng và phát triển phần mềm nguồn mở ở Việt Nam giai đoạn 2004-2008”. Chỉ thị 07/2008/CT-BTTTT ngày 30 tháng 12 năm 2008 về đẩy mạnh sử dụng phần mềm nguồn mở trong hoạt động cơ quan, tổ chức Nhà nước. Quyết định số 1605/QĐ-TTg ngày 27 tháng 8 năm 2010 Chương trình quốc gia về ứng dụng công nghệ thông tin trong hoạt động của cơ quan nhà nước giai đoạn 2011 - 2015.
Chỉ thị 15/CT-TTg ngày 22 tháng 5 năm 2012 về việc tăng cường sử dụng văn bản điện tử trong hoạt động của cơ quan nhà nước và đảm bảo an toàn thông tin qua mạng. Chỉ thị số 28-CT/TW, ngày 16-9-2013 của Ban Bí thư Trung ương Đảng (khóa XI) về tăng cường công tác bảo đảm an toàn thông tin mạng.5 Thực trạng công an tỉnh Hậu Giang Được thành lập vào tháng 01 năm 2004, gồm 01 Trung tâm chỉ huy và trên 30 phòng ban, 07 công an huyện, thị, thành phố, 74 công an phường xã, thị trấn và được bố trí đều trên địa bàn tỉnh Hậu Giang. Do mới thành lập, nên cơ sở vật chất, hạ tầng viễn thông, hệ thống thông tin còn gặp nhiều khó khăn, chưa đáp ứng tốt theo yêu cầu đặt ra. Trong khi đó còn một số cán bộ, đảng viên chưa nhận thức đúng về tầm quan trọng và hiệu quả của việc ứng dụng công nghệ thông tin vào hoạt động công tác, chưa thấy được tầm quan trọng của vấn đề bảo đảm an toàn thông tin và xem nó là vấn đề sống còn của đất nước.
Hiện nay trong Công an tỉnh Hậu Giang, việc trao đổi thông tin dữ liệu từ Công an tỉnh xuống các huyện, thị, thành phố trên địa bàn và ngược lại đang thực hiện bằng con đường giao liên hoặc Fax. Việc này tốn rất nhiều thời gian, chi phí và không đảm bảo được độ an toàn và bảo mật thông tin. Hệ thống hiện tại vẫn còn nhiều mặt 3 hạn chế, mô hình kết nối mạng chỉ là kết nối mạng LAN ở phạm vi hẹp, thậm chí ở một số phòng ban, huyện, thị, thành phố chưa có kết nối mạng, việc truyền nhận thông tin dữ liệu chưa được mã hóa, chưa xây dựng giải pháp an ninh, chưa thực hiện phân cấp phân quyền, chưa đặt ra tính an toàn và bảo mật thông tin. Để khắc phục thực trạng này, việc đưa ra một mô hình giải pháp bảo mật, mô hình tương tự như các hệ thống bảo mật của các nhà cung cấp dịch vụ như Cisco, Checkpoint, Juniper.
nhưng ở quy mô nhỏ hơn, phù hợp với điều kiện thực tế của công an tỉnh. Do vậy em đã mạnh dạn chọn đề tài: “Nghiên cứu và triển khai giải pháp bảo mật mạng VPN nguồn mở tại Công an tỉnh Hậu Giang”. Nghiên cứu công nghệ mạng riêng ảo (VPN) là để bảo mật dữ liệu trên đường truyền, nguồn mở (cung cấp dưới cả dạng mã và nguồn) là để có thể tùy biến, chủ động trong việc ứng dụng như sửa đổi, cải tiến, phát triển hay nâng cấp.2 Mục đích nghiên cứu Nghiên cứu giải pháp xây dựng từng bước mạng riêng ảo trên cơ sở sử dụng công nghệ nguồn mở OpenVPN sẵn có của cộng đồng cho việc bảo mật dữ liệu truyền trên mạng.3 Tình hình nghiên cứu trong và ngoài nước 1.1 Trong nước (1) Các cơ quan, doanh nghiệp, trường học.ở Việt Nam đã và đang nghiên cứu ứng dụng và phát triển giải pháp bảo mật dữ liệu trên đường truyền dùng công nghệ VPN phục vụ tốt trong hoạt động công tác của mình như Viễn thông VNPT, FPT, ngân hàng Sacombank, Vietinbank. dùng giải pháp VPN của Cisco; Bảo hiểm Bảo Việt dùng giải pháp VPN của Juniper và một số tỉnh thành phố như Hà Nội, Đà Nẵng, TP Hồ Chí Minh, TP Cần Thơ, Đồng Nai, Phú Yên, Long An.Đặc biệt hệ thống 4 ATM của các ngân hàng (Vietinbank, BIDV, Agribank, MHB, Sacombank.) đều sử dụng công nghệ mạng riêng ảo (VPN) để thực hiện các kết nối bảo mật của mình.
Quá trình kết nối bảo mật trong hệ thống ATM được minh họa cụ thể ở hình 1. Theo cơ chế quản lý các giao dịch với ngân hàng qua thẻ ATM, nếu muốn rút được Hình 1.2: Bảo mật kết nối trong hệ thống ATM sử dụng công nghệ VPN tiền thì bắt buộc phải có đủ cả hai yếu tố thẻ ATM và mã số cá nhân (mã PIN). Đây là một giải pháp xác thực người dùng hai yếu tố (cái mà bạn có (thẻ ATM) và cái mà chỉ có bạn biết (mã PIN), nhưng ta có thể thấy việc xác thực người dùng bằng mật khẩu hiện nay là không an toàn. Đây cũng là khẳng định của Bill Gate (chủ tịch Microsoft) trong một hội thảo về an ninh mạng do hãng RSA tổ chức vào tháng 2 năm 2004.
Hiện nay không ít xảy ra các vụ việc khách hàng bị mất tiền trong tài tài khoản tới hàng tỷ đồng mà không rõ nguyên do.Điều này xảy ra là do hệ thống xác thực trong ATM chưa đủ mạnh vì khi hacker đánh cắp thông tin (mã PIN, thông tin cá nhân), sau đó làm giả thẻ ATM thì hacker có thể kết nối vào hệ thống để rút tiền. Vậy yêu cầu đặt ra, xây dựng theo một lớp bảo mật nữa ngoài việc xác thực người dùng hai yếu tố (Thẻ ATM + Mã PIN). (2) Nghiên cứu về giải pháp bảo mật thông tin truyền trên mạng sử dụng công nghệ VPN, được tác giả tác giả Trần Quốc Thư (Luận văn thạc sĩ năm 2013, Học viện công nghệ Bưu chính Viễn Thông), minh họa ở hình 1.3 và Nguyễn Quốc Cường (Luận văn thạc sĩ năm 2011, Học viện công nghệ Bưu chính Viễn Thông), minh họa ở hình 1. Tác giả đã triển khai công nghệ Ipsec VPN để tạo nối bảo mật từ xa.3: Mô hình Ipsec VPN của tác giả Trần Quốc Thư Các giải pháp trên đều dùng giải pháp bảo mật của các nhà cung cấp, chi phí đầu tư lớn, phụ thuộc hoàn toàn vào công nghệ, chưa tự phát triển giải pháp riêng.
Hơn nữa, phương pháp xác thực trong giải pháp này chỉ có một yếu tố và ta không thể nhúng thêm các cơ chế bảo mật vào hệ thống.2 Ngoài nước Trong những năm gần đây, không ít các nghiên cứu ứng dụng giải pháp bảo mật VPN đã được đề xuất. Trong các bài báo [4–6], tác giả đã đề xuất giải pháp ứng dụng công nghệ VPN trong việc xây dựng hệ thống mạng truyền dữ liệu một cách hiệu quả và an toàn cho các trường cao đẳng và đại học. Nó có thể cung cấp các chức năng đáng 6 Hình 1.4: Mô hình Ipsec VPN của tác giả Nguyễn Quốc Cường tin cậy cho việc truy cập từ xa cho các giáo viên, sinh viên, chi nhánh của trường và giữa các trường với nhau. Giải pháp trao đổi dữ liệu an toàn, nhanh chóng, hiệu quả trong cơ quan chính phủ nhằm bảo mật các dữ liệu liên quan đến an ninh quốc gia dựa trên công nghệ VPN cũng được nêu trong [7].
Các nghiên cứu [1, 2, 8], tác giả đã dùng IPSEC trong giải pháp bảo mật VPN. Trong [1, 2], tác giả đã trình bày việc triển khai IPSEC cho mục đích trao đổi dữ liệu an toàn trong môi trường mạng không an toàn như Internet. Việc nghiên cứu xây dựng một hệ thống mạng truyền dữ liệu an toàn trong các trường đại học dùng IPSEC được đề xuất tại [8]. Việc dùng SSL trong giải pháp bảo mật VPN qua các nghiên cứu [3, 9–13].
Tác giả trong [3,9,11] nghiên cứu và triển khai một Gateway bảo mật VPN dựa trên giao thức bảo mật SSL. Gateway bảo mật này có thể chống lại một số cuộc tấn công phổ biến như giám sát, thu thập, chỉnh sửa, gián đoạn dữ liệu trên đường truyền. SSL VPN sử dụng một chuỗi các kỹ thuật mật mã, bao gồm mã hóa đối xứng, mã hóa 7 bất đối xứng, chữ ký số, chứng thực số, cũng như các giải thuật băm (message digest algorithm) để đảm bảo các đặc tính bí mật, xác thực và toàn vẹn dữ liệu. Việc đảm bảo an toàn cho việc truy cập từ xa trong mạng không dây là một vấn đề đặc biệt quan tâm hiện nay, thiết kế và triển khai một hệ thống mạng không dây truy cập an toàn dựa trên giao thức SSL được tác giả đề xuất trong [10,12].