CHƯƠNG 1 T NG QUAN VỀ AN TOÀN VÀ BẢO MẬT TRONG MẠNG TRUYỀN SỐ LIỆU ĐA DỊCH VỤ 1. Đ c i m mạng truyền số liệu a dịch vụ Mạng truyền số liệu đa dịch vụ là mạng truyền dẫn tốc độ cao, công nghệ hiện đại, sử dụng phương thức truyền chuyển mạch nhãn đa giao thức (IP/MPL ). Kết nối mạng tại tất cả các đầu mối đều sử dụng cáp quang tốc độ 00/ 000Mbps, các kết nối đều đảm bảo tính dùng riêng, an ninh, an toàn và tính dự phòng cao, cho phép hoạt động thông suốt 2 /7 [1], [2]. Trên cơ sở hạ tầng tiên tiến và đồng bộ, mạng truyền số liệu đa dịch vụ đáp ứng cho rất nhiều dịch vụ như: Truyền hình hội nghị kết nối mạng riêng ảo truy nhập từ xa (Remote Access IP VPN) trao đổi dữ liệu và các dịch vụ dữ liệu, thoại IP.
Mạng truyền số liệu đa dịch vụ sử dụng giao thức TCP/IP th o mô hình OSI, tùy th o tính chất, nhiệm vụ của từng ngành mà mạng có thể được xây dựng riêng mang tính tương đối độc lập cho một tổ chức hoặc cơ quan. Trong đó, các tài nguyên mạng như thiết bị mạng, dịch vụ mạng và người dùng nằm phân tán trên một phạm vi địa lý xác định và phục vụ cho một nhu cầu xác định. Th o [1], [2], [4] mạng đa dịch vụ gồm có lớp chính: - Lớp lõi: Các thiết bị truyền dẫn đảm bảo hoạt động cho toàn mạng. - Lớp biên: Gồm các thiết bị truyền dẫn đảm bảo việc cung cấp hạ tầng mạng cho các dịch vụ.
- Lớp truy nhập: Gồm các thiết bị truyền dẫn đảm bảo việc truy nhập cho người dùng trên toàn mạng. Mạng trục là xương sống của toàn bộ mạng truyền số liệu, mạng tiềm ẩn nhiều nguy cơ về an ninh, an toàn như các truy cập trái phép hay tấn công 9 từ các mạng lớp biên, lớp truy nhập, mạng ATM hiện tại hay từ các vùng mạng liên thông khác. Việc bảo đảm an toàn, an ninh mạng là hết sức quan trọng [1], [2], [18], [45] HÀ NỘI TP HCM p ng c lõi IP/MPLS ĐÀ NẴNG p biên E1 FE EF FE FE p u i E1 Access Router PBX Access PBX LAN LAN Thoại IP Thoại IP Hình 1. ấu trúc m ng truy n số liệu đa dịch vụ 1.
An toàn và bảo mật trong mạng truyền số liệu a dịch vụ 1. Một số khái niệm chung 1. An ninh mạng Mô hình O I (Op n yst ms Int rconn ction) là mô hình tương tác giữa các hệ thống mở được tổ chức Tiêu chuẩn quốc tế ISO (the International Organization for tandardization) đề xuất qua tiêu chuẩn I O 7498 [29]. An ninh mạng là một trong những vấn đề cơ bản của mạng, vì thế sau khi đưa ra mô hình O I, I O đã đề xuất kiến trúc an ninh (s curity archit ctur ) qua tiêu chuẩn I O 7 982 [30], trong đó định ngh a các thuật 10 ngữ, khái niệm cơ bản trong an ninh mạng và kiến trúc an ninh cho O I.
An ninh trong môi trường O I là tổng hợp những biện pháp bảo toàn tài nguyên và tài sản của hệ thống mạng trong quá trình tương tác giữa các hệ thống mở. Th o đó đối tượng bảo vệ của hệ thống an ninh mạng gồm: - Thông tin và dữ liệu (bao gồm cả phần mềm và dữ liệu thụ động liên quan đến biện pháp an ninh) - Các dịch vụ truyền thông và dịch vụ xử lý dữ liệu - Các thiết bị và phương tiện mạng Nguy cơ là những sự cố tiềm tàng, có thể gây ra những tác động không mong muốn đến hệ thống mạng truyền số liệu; Khả năng bị tấn công là bất kỳ điểm yếu nào trên hệ thống có thể bị lợi dụng để tạo ra sự cố cho hệ thống mạng; Tấn công là hành động cố ý tác động lên một hoặc nhiều thành phần của hệ thống nhằm buộc một nguy cơ nào đó xảy ra. Các dịch vụ an ninh Các dịch vụ an ninh là các dịch vụ bổ sung tính năng an toàn an ninh cho hệ thống và được thiết kế để chống lại một số dạng tấn công xác định. Các dịch vụ này thường được phân loại như sau [62]: Xác thực: Đảm bảo một người dùng khi tham gia vào hệ thống phải là chính họ, từ lúc khởi tạo cho đến khi kết thúc một phiên giao dịch.
Kiểm soát truy nhập: Bên cạnh dịch vụ xác thực, kiểm soát truy nhập là dịch vụ kiểm soát/giới hạn các truy nhập vào một hệ thống hoặc một ứng dụng trên mạng. An toàn dữ liệu: Dịch vụ này nhằm bảo vệ dữ liệu trước các tấn công thụ động. Điều này không những chỉ đối với nội dung các gói tin mà còn bao gồm cả việc giữ bí mật điểm đầu và điểm cuối của gói tin. Toàn vẹn dữ liệu: Mục đích của dịch vụ này là để phát hiện các thay đổi dữ liệu trong quá trình truyền thông.
11 Chống chối bỏ: Tính chất này nhằm giải quyết vấn đề một thực thể tham gia truyền thông chối bỏ hành động gửi/nhận dữ liệu của mình, cả hai phía của một giao dịch đều có thể chứng minh việc phía bên kia đã gửi/nhận dữ liệu. Tính sẵn sàng: Các tài nguyên trên mạng cần phải luôn sẵn sàng với các truy nhập hợp lệ. Kẻ tấn công sẽ không thể ngăn chặn hoặc làm gián đoạn truy nhập tới các tài nguyên này. Các cơ chế an ninh dựa trên mật mã Cơ chế an ninh là tổ hợp những thao tác kỹ thuật cụ thể, được sử dụng để tạo ra dịch vụ an ninh [55].
Những cơ chế an ninh này được trình bày chi tiết ở nhiều tài liệu, th o I O 7 98–2 chúng được mô tả sơ lược như sau: 1. Cơ ch m h a (encryption mechanism) Cơ chế mã hóa được sử dụng để bảo mật cho dữ liệu được truyền thông trên kênh. Hai loại chính là mật mã đối xứng và không đối xứng. - Mật mã đối xứng, còn gọi là hệ mật khoá bí mật, là hệ mật mà trong đó có thể tìm ra khoá được sử dụng để giải mã (khoá giải mã) từ khoá được sử dụng để mã hoá (khoá mã) và ngược lại.
- Mật mã không đối xứng, còn gọi là hệ mật khoá công khai, là hệ mật mà trong đó không thể tìm ra khoá giải mã từ khoá mã và ngược lại. Khoá mã còn được gọi là khoá công khai, khoá giải mã còn được gọi là khoá riêng. Cơ ch chữ ký điện tử (digital signature mechanism) Bản chất của cơ chế chữ ký điện tử là chữ ký chỉ có thể được tạo ra từ những thông tin riêng, đặc trưng của người ký. Khi kiểm tra chữ ký, có thể xác minh rằng chỉ có người có thông tin riêng đó mới tạo ra được chữ ký, nói cách khác chữ ký điện tử được sử dụng để khẳng định tính pháp lý của thông tin được gửi đi trên mạng.
Cơ chế chữ ký điện tử gồm có hai thuật toán là tạo chữ ký (là bí mật và 12 duy nhất chỉ có người ký mới có) và kiểm tra chữ ký (được phổ biến công khai). Trong thủ tục ký vào thông điệp, người gửi thông điệp (đồng thời là người ký) sử dụng thuật toán tạo chữ ký để tính toán ra chữ ký (thường là một chuỗi nhị phân có độ dài cố định) từ thông điệp cần ký. Trong thủ tục kiểm tra chữ ký, người kiểm tra chữ ký (thường đồng thời là người nhận thông điệp) sử dụng thuật toán kiểm tra chữ ký công khai của người gửi để xác minh chữ ký gửi k m thông điệp có đúng là đã được tạo ra từ người gửi hay không. Cơ ch kiểm soát truy nhập (access control mechanism) Loại cơ chế này sử dụng danh tính xác thực của một thực thể để xác định và áp đặt các quyền truy nhập phù hợp cho thực thể đó.
Nếu một thực thể tìm cách sử dụng tài nguyên mà nó không có quyền truy nhập hoặc cách thức truy nhập của nó không thích hợp thì chức năng kiểm soát truy nhập sẽ ngăn chặn truy nhập đó và có thể ghi lại sự việc đã xảy ra như là một phần của bản ghi vết kiểm toán phục vụ cho hoạt động kiểm tra sau này. Cơ ch toàn vẹn dữ liệu (data integrity mechanism) Toàn vẹn dữ liệu có thể là sự toàn vẹn của một gói dữ liệu hoặc sự toàn vẹn của một luồng dữ liệu. Việc xác định tính toàn vẹn của một gói dữ liệu được thực hiện thông qua hai tiến trình, tại thực thể gửi và tại thực thể nhận. Thực thể gửi chắp vào sau gói dữ liệu một giá trị được tính toán từ bản thân gói dữ liệu đó thông qua hàm một chiều, giá trị này được gọi là giá trị tóm lược thông điệp – message digest.
Thực thể nhận, sau khi nhận được gói dữ liệu sẽ tách phần dữ liệu và giá trị tóm lược, thực hiện tính toán giá trị tóm lược từ phần dữ liệu và so sánh nó với phần nhận được, tức là giá trị tóm lược đã được thực thể gửi gắn vào gói dữ liệu, từ đó sẽ xác định được dữ liệu có bị sửa trong quá trình truyền hay không. Đối với toàn vẹn luồng dữ liệu, ngoài việc thực hiện bảo đảm tính toàn vẹn của từng gói dữ liệu, người ta còn chắp thêm một số thông tin phụ trợ như 13 số thứ tự của gói tin, t m thời gian,… vào phần đầu của mỗi gói dữ liệu trước khi tính toán và chắp giá trị tóm lược thông điệp. Nhờ vậy, luồng dữ liệu sẽ được xác minh là có toàn vẹn hay không. Cơ ch trao đổi xác thực (authentication exchange mechanism) Cơ chế trao đổi xác thực được đặt trong một tầng của mô hình mạng phân tầng nhằm xác thực các thực thể liên kết.
Nếu một thực thể không xác thực được, nó sẽ không thể kết nối được đến thực thể đích và hệ thống trên trạm đích sẽ ghi lại quá trình yêu cầu kết nối, cũng như các thao tác cụ thể mà nó đã thực hiện vào một bản ghi vết kiểm toán nhằm phục vụ quá trình kiểm tra sau này. Có nhiều kỹ thuật được sử dụng để tạo ra trao đổi xác thực, như mật khẩu, kỹ thuật mật mã…, khi sử dụng kỹ thuật mật mã kết hợp với giao thức bắt tay có thể chống lại được việc phát lặp lại các gói tin trên kênh. Trao đổi xác thực cũng có thể được sử dụng cùng với dịch vụ chống thoái thác nhằm chứng minh trách nhiệm gửi/nhận thông tin trên mạng .
