Giới thiệu dự án

Mạng cục bộ không dây (WLAN - Wireless Local Area Network) dựa trên bộ tiêu chuẩn IEEE 802.11 đã trở thành hạ tầng viễn thông thiết yếu cho mọi tổ chức, doanh nghiệp và hộ gia đình. Tuy nhiên, theo các khảo sát an ninh mạng quốc tế, hơn 75% hệ thống Wi-Fi doanh nghiệp vừa và nhỏ vẫn tiềm ẩn nguy cơ bị khai thác do sử dụng các giao thức bảo mật cũ như WPA2-Personal (với lỗ hổng tấn công từ điển ngoại tuyến và tấn công cài đặt lại khóa KRACK - Key Reinstallation Attacks) hoặc cấu hình sai sót.

Đồ án "Tìm hiểu, phân tích và đề xuất giải pháp bảo mật khi triển khai mạng WLAN sử dụng giao thức WPA3" tập trung giải quyết các điểm nghẽn an ninh nghiêm trọng của giao thức WPA2 tiền nhiệm, đồng thời xây dựng quy trình thiết kế, triển khai và đánh giá hiệu năng hệ thống mạng không dây thế hệ mới trên nền tảng chuẩn bảo mật WPA3 (Wi-Fi Protected Access 3).

   ┌─────────────────────────────────────────────────────────────┐
   │                 TIẾN TRÌNH PHÁT TRIỂN WPA                  │
   └─────────────────────────────────────────────────────────────┘
          1997                  2003                2004               2018
        ┌──────┐              ┌──────┐            ┌──────┐           ┌──────┐
        │ WEP  │ ───────────► │ WPA  │ ─────────► │ WPA2 │ ────────► │ WPA3 │
        └──────┘              └──────┘            └──────┘           └──────┘
        RC4 / 24-bit IV       TKIP / MIC          AES-CCMP           SAE / PMF / 192-bit
        Dễ bị bẻ khóa         Tạm thời            Lỗ hổng KRACK      Chống tấn công từ điển

Mục tiêu dự án

  1. Phân tích toàn diện kiến trúc an ninh: Đánh giá các vector tấn công vật lý, kênh bên (Side-channel attacks) và lỗi logic trên các giao thức WEP, WPA, WPA2.
  2. Làm rõ cơ chế mật mã học của WPA3: Nghiên cứu thuật toán trao đổi khóa đồng thời SAE (Simultaneous Authentication of Equals) và bộ mật mã 192-bit CNSA (Commercial National Security Algorithm).
  3. Thiết kế và thực nghiệm mô hình mạng doanh nghiệp: Đề xuất phương án lắp đặt, tối ưu hóa vùng phủ sóng và cấu hình kiểm soát truy cập WLAN có bảo mật WPA3 tại môi trường thực tế (CMC Telecom).
  4. Đo lường và đánh giá hiệu năng: Kiểm thử tính toàn vẹn, khả năng chống tấn công brute-force và độ trễ kết nối trên các thiết bị hỗ trợ Wi-Fi 6 (IEEE 802.11ax).

Phạm vi và giới hạn

  • Phạm vi: Nghiên cứu tập trung vào hai chế độ WPA3-Personal và WPA3-Enterprise, kết hợp khung quản lý bảo vệ PMF (Protected Management Frames - IEEE 802.11w) trong hạ tầng mạng hỗn hợp.
  • Giới hạn: Thực nghiệm trên quy mô mạng chi nhánh với các dòng Access Point (AP) hỗ trợ chuẩn 802.11ax/ac wave 2; chưa bao quát toàn bộ các kịch bản chuyển vùng (Fast Roaming 802.11r) trên hàng ngàn nút mạng phân tán diện rộng.

Phân tích và thiết kế giải pháp

Phân tích hiện trạng

Hầu hết các lỗ hổng trên hạ tầng Wi-Fi truyền thống bắt nguồn từ việc lưu lượng điều khiển không được mã hóa và quy trình bắt tay 4 bước (4-Way Handshake) trong WPA2 để lộ thông tin tính toán Pairwise Master Key (PMK).

Giao thức Thuật toán mã hóa Độ dài khóa Cơ chế xác thực Khả năng chống tấn công Offline
WEP RC4 (Stream Cipher) 64-bit / 128-bit (IV 24-bit) Khóa tĩnh chia sẻ ❌ Bị bẻ khóa trong < 5 phút (FMS Attack)
WPA TKIP (RC4 + Michael MIC) 128-bit (IV 48-bit) PSK / 802.1X EAP ❌ Dễ bị tấn công Beck-Tews
WPA2 AES-CCMP 128-bit 4-Way Handshake PSK ❌ Bị bắt gói EAPOL để brute-force offline
WPA3 AES-GCMP / CNSA 192-bit 128-bit / 192-bit / 256-bit SAE (Dragonfly Handshake) ✅ Chống hoàn toàn Brute-force & KRACK

Yêu cầu kỹ thuật theo mô hình MoSCoW:

  • Must have (Bắt buộc): Triển khai cơ chế xác thực SAE cho WPA3-Personal; kích hoạt bắt buộc Protected Management Frames (PMF - IEEE 802.11w) nhằm triệt tiêu tấn công Deauthentication.
  • Should have (Nên có): Phân đoạn mạng VLAN riêng biệt cho khối văn phòng, máy chủ nội bộ và mạng khách (Guest Network); hỗ trợ chuẩn Wi-Fi 6 (802.11ax) trên cả hai băng tần 2.4 GHz và 5 GHz.
  • Could have (Có thể có): Triển khai Wi-Fi Easy Connect thông qua mã QR hỗ trợ thiết bị IoT không có màn hình giao diện.
  • Won't have (Chưa triển khai): Xác thực đa yếu tố tích hợp sinh trắc học trực tiếp trên cổng Captive Portal ở giai đoạn thử nghiệm đầu tiên.

Thiết kế hệ thống

Kiến trúc an ninh mạng WLAN đề xuất kết hợp giữa lớp điều khiển tập trung, phân vùng bảo mật logic và hạ tầng phát sóng đa điểm.

       ┌─────────────────────────────────────────────────────────┐
       │                HẠ TẦNG INTERNET & GATEWAY               │
       └────────────────────────────┬────────────────────────────┘
                                    │
                       ┌────────────┴────────────┐
                       │  Firewall / Core Switch │
                       └────────────┬────────────┘
                                    │
         ┌──────────────────────────┼──────────────────────────┐
         │ (VLAN 10 - Management)   │ (VLAN 20 - Corp)         │ (VLAN 30 - Guest)
┌────────┴────────┐        ┌────────┴────────┐        ┌────────┴────────┐
│ RADIUS Server   │        │ Access Point    │        │ Access Point    │
│ (FreeRADIUS)    │        │ (Wi-Fi 6 / SAE) │        │ (Isolated VLAN) │
└─────────────────┘        └────────┬────────┘        └─────────────────┘
                                    │
                      ┌─────────────┴─────────────┐
                      │                           │
              ┌───────┴───────┐           ┌───────┴───────┐
              │ Laptop Client │           │ Mobile Client │
              │ (WPA3-Personal)│          │ (WPA3-Enterprise)
              └───────────────┘           └───────────────┘

Technology Stack & Chuẩn kỹ thuật:

  • Giao thức cốt lõi: IEEE 802.11ax (Wi-Fi 6), tương thích ngược IEEE 802.11a/b/g/n/ac.
  • Tiêu chuẩn bảo mật: WPA3-Personal (SAE), WPA3-Enterprise (Suite B 192-bit mode).
  • Phần mềm điều khiển & Radius: FreeRADIUS v3.0.26, hostapd v2.10 trên nền tảng Linux Kernel 5.15 LTS.
  • Bộ mật mã Suite B EAP: TLS_ECDHE_ECDSA_WITH_AES_256_GCM_SHA384 (đường cong Elliptic P-384), mã hóa khung dữ liệu bằng Galois/Counter Mode (GCMP-256).

Phương pháp triển khai (Methodology)

Dự án áp dụng quy trình kiểm thử và triển khai lặp theo 4 mốc quan trọng (Milestones):

  1. Khảo sát & Mô phỏng (Tuần 1 - 3): Đo suy hao tín hiệu vô tuyến tại văn phòng CMC Telecom, xác định các điểm giao thoa tần số (Co-channel interference) giữa băng tần 2.4 GHz và 5 GHz.
  2. Xây dựng Lab thử nghiệm (Tuần 4 - 6): Cấu hình Access Point với các chế độ chuyển đổi WPA2/WPA3 Mixed Mode và WPA3-Only Mode.
  3. Kiểm thử xâm nhập (Tuần 7 - 9): Thực hiện các kịch bản bắt gói tin và tấn công Deauth bằng bộ công cụ Aircrack-ng và Scapy.
  4. Triển khai thực địa & Tối ưu (Tuần 10 - 12): Bàn giao hệ thống, áp dụng chính sách lọc MAC, tắt hoàn toàn WPS (Wi-Fi Protected Setup) và phân quyền quản trị AP.

Implementation và kết quả

Quy trình cài đặt và cấu hình

Hệ thống Access Point được cấu hình bằng daemon hostapd chuẩn hóa để kích hoạt giao thức trao đổi khóa SAE và bảo vệ khung quản lý PMF.

1. File cấu hình Access Point (hostapd.conf)

# Giao diện mạng và driver
interface=wlan0
driver=nl80211
ssid=CMC_Secure_WPA3
hw_mode=a
channel=36
ieee80211n=1
ieee80211ac=1
ieee80211ax=1

# Cấu hình chuẩn WPA3-Personal với SAE
wpa=2
wpa_key_mgmt=SAE
rsn_pairwise=CCMP
sae_pwe=2

# Bắt buộc kích hoạt Protected Management Frames (PMF)
ieee80211w=2
sae_require_mfp=1

# Thiết lập mật khẩu SAE (Password Exchange)
wpa_passphrase=CMCTelecom@SecureNetwork2022!#

2. Cấu hình máy trạm Linux Client (wpa_supplicant.conf)

ctrl_interface=/var/run/wpa_supplicant
network={
    ssid="CMC_Secure_WPA3"
    key_mgmt=SAE
    proto=RSN
    ieee80211w=2
    pairwise=CCMP
    psk="CMCTelecom@SecureNetwork2022!#"
    sae_password="CMCTelecom@SecureNetwork2022!#"
}

Nguyên lý giải thuật Dragonfly Handshake (SAE)

Khác với WPA2 sử dụng trực tiếp Passphrase để dẫn xuất khóa Pairwise Master Key (PMK) khiến kẻ tấn công có thể thu thập 4 gói tin EAPOL rồi bẻ khóa từ điển ngoại tuyến, WPA3 sử dụng giải thuật Dragonfly dựa trên mật mã đường cong Elliptic (ECC) hoặc Diffie-Hellman:

$$\text{PWE} = \text{Hash-to-Curve}(\text{Password}, \text{MAC}{\text{Client}}, \text{MAC}{\text{AP}})$$

  1. Commit Phase: Mỗi bên tạo một giá trị ngẫu nhiên riêng tư ($rand$), tính toán điểm công khai dựa trên Phần tử Mật khẩu ($PWE$) và gửi cho bên kia: $$\text{Scalar} = (rand + mask) \pmod r$$ $$\text{Element} = -mask \times PWE$$
  2. Confirm Phase: Sau khi nhận các giá trị từ đối tác, hai bên tính toán Khóa bí mật chung (Shared Secret $K$) và xác minh tính hợp lệ thông qua mã xác thực HMAC-SHA256: $$\text{K} = \text{KDF}(rand_{\text{local}} \times (\text{Element}{\text{peer}} + mask{\text{peer}} \times PWE))$$

Nhờ tính chất Forward Secrecy (Bảo mật chuyển tiếp), ngay cả khi mật khẩu Wi-Fi bị lộ trong tương lai, kẻ tấn công cũng không thể giải mã các phiên truyền thông đã ghi lại trong quá khứ.

 Client (Station)                                          Access Point (AP)
        │                                                         │
        │ 1. Commit Frame: (Scalar_A, Element_A)                  │
        ├────────────────────────────────────────────────────────►│
        │                                                         │
        │ 2. Commit Frame: (Scalar_B, Element_B)                  │
        │◄────────────────────────────────────────────────────────┤
        │                                                         │
        │ [Tính toán Pairwise Master Key & Tạo Confirm Token]     │
        │                                                         │
        │ 3. Confirm Frame: (Send-Confirm_A)                      │
        ├────────────────────────────────────────────────────────►│
        │                                                         │
        │ 4. Confirm Frame: (Send-Confirm_B)                      │
        │◄────────────────────────────────────────────────────────┤
        │                                                         │
        ▼ [Xác thực hoàn tất - Chuyển sang 4-Way Handshake]       ▼

Kiểm thử và kết quả đo lường

Hệ thống được đưa vào kiểm thử thực tế với 50 máy trạm truy cập đồng thời (Laptop Intel Wi-Fi 6 AX200, Smartphone hỗ trợ WPA3).

   ┌──────────────────────────────────────────────────────────────┐
   │            KẾT QUẢ KIỂM THỬ KHẢ NĂNG PHÒNG CHỐNG             │
   └──────────────────────────────────────────────────────────────┘
   Loại tấn công       WPA2-Personal           WPA3-Personal (Đề xuất)
   ────────────────────────────────────────────────────────────────
   Deauth Flood        Ngắt kết nối 100%       Bị chặn hoàn toàn (PMF)
   Offline Wordlist    Thành công sau 2.4h     Thất bại 100% (Zero Leak)
   KRACK (Replay)      Bị ảnh hưởng (CVE)      Đã khắc phục hoàn toàn
   Độ trễ bắt tay      18.2 ms                 24.6 ms (+6.4 ms)
  • Khả năng chống tấn công Deauthentication: Khi chạy lệnh aireplay-ng --deauth 1000, toàn bộ khung quản lý giả mạo bị AP loại bỏ do không có chữ ký số hợp lệ từ giao thức PMF (IEEE 802.11w). Máy trạm duy trì kết nối ổn định 100%.
  • Hiệu năng băng thông: Thông lượng truyền tải thực tế (Throughput) đạt $842 \text{ Mbps}$ trên kênh 80 MHz (Băng tần 5 GHz), độ suy hao truyền dữ liệu so với mạng không đặt mật mã chỉ dừng ở mức $1.8%$, chứng minh thuật toán mã hóa phần cứng AES-CCMP/GCMP hoạt động tối ưu.

Đổi mới và đóng góp

  1. Triệt tiêu hoàn toàn vector tấn công từ điển ngoại tuyến: Ứng dụng thành công cơ chế SAE, buộc mọi nỗ lực đoán mật khẩu của tin tặc phải tương tác trực tiếp với AP theo thời gian thực (Online Guessing), giúp hệ thống dễ dàng kích hoạt tính năng khóa tạm thời sau 5 lần thử sai.
  2. Chuẩn hóa tính năng bảo vệ khung quản lý PMF: Đề xuất bắt buộc kích hoạt ieee80211w=2 thay vì chế độ tùy chọn (Optional), ngăn chặn hoàn toàn nguy cơ tấn công ngắt kết nối diện rộng (Denial of Service).
  3. Mô hình hóa giải pháp chuyển đổi cho doanh nghiệp: Cung cấp tài liệu cấu hình chi tiết cho hệ thống mạng lai (Transition Mode), cho phép các thiết bị cũ (chỉ hỗ trợ WPA2) và thiết bị mới (hỗ trợ WPA3) cùng hoạt động an toàn trên cùng một hệ thống phân phối ESS (Extended Service Set).

Ứng dụng thực tế và triển khai

Giải pháp trong đồ án đã được xây dựng phù hợp với mô hình mạng thực tế tại văn phòng Chi nhánh Công ty CMC Telecom:

┌─────────────────────────────────────────────────────────────────┐
│              SƠ ĐỒ PHÂN BỔ MẠNG CHI NHÁNH DOANH NGHIỆP         │
├───────────────────┬─────────────────────────────┬───────────────┤
│ Phân vùng         │ Phương thức xác thực        │ Mã hóa        │
├───────────────────┼─────────────────────────────┼───────────────┤
│ Khối Điều hành    │ WPA3-Enterprise (EAP-TLS)   │ 192-bit CNSA  │
│ Khối Kinh doanh   │ WPA3-Personal (SAE)         │ 128-bit AES   │
│ Khách hàng (Guest)│ WPA3-Personal + AP Isolation│ 128-bit AES   │
└───────────────────┴─────────────────────────────┴───────────────┘
  • Hiệu quả kinh tế (ROI): Tận dụng lại 100% hạ tầng cáp truyền dẫn Cat6 sẵn có và hệ thống máy chủ xác thực RADIUS nội bộ. Doanh nghiệp chỉ cần nâng cấp firmware các thiết bị Access Point chuẩn Wi-Fi 6 mà không cần thay mới toàn bộ hệ thống lõi, tiết kiệm hơn $60%$ chi phí đầu tư mới.
  • Khả năng mở rộng: Kiến trúc phân tầng hỗ trợ mở rộng lên đến 64 Access Point và 2.000 thiết bị kết nối đồng thời thông qua Controller quản trị tập trung.

Hạn chế và hướng phát triển

  • Hạn chế phần cứng cũ: Một số thiết bị di động sản xuất trước năm 2018 không hỗ trợ phần cứng cho WPA3/PMF, bắt buộc quản trị viên phải duy trì chế độ WPA2/WPA3 Transition Mode trong ngắn hạn.
  • Nguy cơ tấn công kênh bên (Side-channel attacks): Các biến thể tấn công Dragonblood (phân tích thời gian và bộ nhớ cache trong quá trình tạo điểm PWE của chuẩn SAE) đòi hỏi thiết bị phải luôn được cập nhật firmware bản vá mới nhất.
  • Hướng phát triển: Nghiên cứu tích hợp giao thức mã hóa cơ sở dữ liệu xác thực người dùng tập trung bằng giao thức OWE (Opportunistic Wireless Encryption - Wi-Fi Enhanced Open) cho các điểm truy cập Wi-Fi công cộng không cần mật khẩu.

Đối tượng hưởng lợi

  • Sinh viên & Học viên chuyên ngành ATTT/CNTT: Nguồn tài liệu tham khảo chuẩn mực về mật mã học ứng dụng trong mạng không dây và phân tích các chuẩn IEEE 802.11.
  • Kỹ sư mạng & Quản trị hệ thống (System Admin): Sở hữu tài liệu hướng dẫn cấu hình thực tế hostapd, FreeRADIUS và xử lý lỗi tương thích khi triển khai WPA3 trên quy mô doanh nghiệp.
  • Doanh nghiệp vừa và nhỏ: Tiếp cận mô hình an ninh mạng không dây chuẩn công nghiệp với chi phí tối ưu, bảo vệ tài sản số trước các cuộc tấn công nghe lén và đánh cắp dữ liệu nội bộ.

Câu hỏi thường gặp

1. Hệ thống cũ có cần thay thế toàn bộ thiết bị để sử dụng WPA3?

Không. Hầu hết các Access Point chuẩn 802.11ac Wave 2 và 802.11ax chỉ cần nâng cấp Firmware/Driver hỗ trợ nl80211 và hostapd bản mới. Với thiết bị đầu cuối, Windows 10 (từ bản 1903 trở lên), Android 10+ và iOS 13+ đều đã tích hợp sẵn WPA3-Personal.

2. Sự khác biệt cốt lõi giữa WPA2-PSK và WPA3-SAE là gì?

WPA2-PSK sử dụng phương thức bắt tay 4 bước tĩnh, cho phép kẻ tấn công thu thập gói tin và dò mật khẩu ngoại tuyến (Offline Attack). WPA3-SAE sử dụng thuật toán Dragonfly yêu cầu trao đổi khóa tương tác trực tiếp, ngăn chặn hoàn toàn việc bẻ khóa bằng từ điển ngoại tuyến.

3. Tại sao kích hoạt WPA3 lại ngăn chặn được tấn công ngắt kết nối (Deauth Attack)?

WPA3 bắt buộc sử dụng chuẩn IEEE 802.11w (PMF). Tính năng này mã hóa và gắn chữ ký điện tử lên các khung điều khiển/quản lý (Management Frames), khiến tin tặc không thể giả mạo địa chỉ MAC của Access Point để gửi lệnh deauthenticate đến máy trạm.

4. Chế độ WPA3-Enterprise 192-bit mode có làm giảm tốc độ mạng không?

Tác động lên tốc độ truyền tải là không đáng kể (dưới $2%$) do các bộ vi xử lý trên AP và Client hiện đại đều tích hợp module mã hóa phần cứng cho AES-GCM và hàm băm SHA-384. Thời gian bắt tay ban đầu chỉ tăng thêm từ $5\text{ ms} - 10\text{ ms}$.

5. Transition Mode (WPA2/WPA3) có an toàn tuyệt đối không?

Chế độ hỗn hợp Transition Mode hỗ trợ thiết bị cũ nhưng tiềm ẩn nguy cơ bị tấn công hạ cấp (Downgrade Attack), khi kẻ tấn công ép thiết bị giao tiếp bằng giao thức WPA2. Do đó, khuyến nghị các phân vùng mạng nhạy cảm của doanh nghiệp nên được cấu hình ở chế độ WPA3-Only.

Kết luận

Đồ án tốt nghiệp của sinh viên Vũ Đức Hiếu đã hoàn thành xuất sắc các mục tiêu nghiên cứu lý thuyết và thực nghiệm ứng dụng giao thức bảo mật WPA3 cho mạng không dây doanh nghiệp. Bằng việc làm rõ ưu thế vượt trội của cơ chế xác thực đồng thời SAE và bộ tiêu chuẩn mã hóa 192-bit, đề tài đã chứng minh WPA3 là giải pháp thay thế tất yếu cho các giao thức cũ đã lỗi thời. Mô hình triển khai thực tế tại CMC Telecom là minh chứng rõ ràng cho tính khả thi, độ tin cậy và khả năng ứng dụng rộng rãi của giải pháp trong việc nâng cao năng lực an ninh mạng thời kỳ chuyển đổi số. Các tổ chức và doanh nghiệp cần sớm lập kế hoạch nâng cấp hạ tầng WLAN sang chuẩn WPA3 để bảo vệ tối đa dữ liệu và an toàn thông tin nội bộ.