Luận Văn Phần Mềm Bảo Mật Mạng Trên Môi Trường Solaris: Hướng Dẫn Toàn Diện

Luận văn phân tích phần mềm bảo mật mạng trong môi trường Solaris, tập trung vào giải pháp nâng cao an ninh hệ thống và phòng chống tấn công mạng hiệu quả.

• Người hướng dẫn: TS. Đặng Vũ Sơn
• Chuyên ngành: Bảo mật mạng
• Đề tài: Phần mềm bảo mật mạng trên môi trường Solaris
• Loại tài liệu: Báo cáo kết quả nghiên cứu
• Năm xuất bản: 2002
• Địa điểm: Hà Nội

Tóm tắt

I. Phần mềm bảo mật mạng

Phần mềm bảo mật mạng là một công cụ quan trọng trong việc bảo vệ thông tin trên mạng máy tính. Trong môi trường Solaris, phần mềm này được thiết kế để đảm bảo an ninh mạng bằng cách sử dụng các kỹ thuật mã hóa và xác thực. Luận văn phần mềm này tập trung vào việc nghiên cứu và phát triển các giải pháp bảo mật mạng trên nền tảng Solaris, đặc biệt là việc bảo vệ dữ liệu ở tầng IP.

1.1. Khái quát về phần mềm bảo mật mạng

Phần mềm bảo mật mạng được thiết kế để bảo vệ dữ liệu truyền qua mạng bằng cách sử dụng các kỹ thuật mã hóa. Trong môi trường Solaris, phần mềm này được tích hợp vào nhân hệ điều hành để đảm bảo tính toàn vẹn và bảo mật của dữ liệu. Luận văn phần mềm này cung cấp một cái nhìn tổng quan về các giải pháp bảo mật mạng và cách chúng được áp dụng trong thực tế.

1.2. Ứng dụng của phần mềm bảo mật mạng

Phần mềm bảo mật mạng có nhiều ứng dụng thực tế, từ bảo vệ dữ liệu trong các mạng nội bộ đến việc ngăn chặn các cuộc tấn công mạng. Trong môi trường Solaris, phần mềm này được sử dụng để bảo vệ các gói dữ liệu IP, đảm bảo rằng thông tin được truyền đi một cách an toàn. Luận văn phần mềm này cũng đề cập đến việc tích hợp phần mềm bảo mật với các hệ thống firewall để tăng cường khả năng bảo vệ.

II. Môi trường Solaris

Môi trường Solaris là một hệ điều hành Unix được sử dụng rộng rãi trong các hệ thống máy tính lớn. Nó cung cấp một nền tảng ổn định và an toàn cho việc triển khai các giải pháp bảo mật mạng. Luận văn phần mềm này tập trung vào việc nghiên cứu và phát triển các giải pháp bảo mật trên nền tảng Solaris, đặc biệt là việc bảo vệ dữ liệu ở tầng IP.

2.1. Đặc điểm của môi trường Solaris

Môi trường Solaris được biết đến với tính ổn định và khả năng xử lý đa nhiệm cao. Nó cung cấp các công cụ và giao diện lập trình mạnh mẽ, giúp các nhà phát triển dễ dàng tích hợp các giải pháp bảo mật vào hệ thống. Luận văn phần mềm này phân tích các đặc điểm của Solaris và cách chúng hỗ trợ việc triển khai các giải pháp bảo mật mạng.

2.2. Bảo mật trên môi trường Solaris

Bảo mật mạng trên môi trường Solaris được thực hiện thông qua việc sử dụng các kỹ thuật mã hóa và xác thực. Luận văn phần mềm này đề cập đến việc tích hợp các giải pháp bảo mật vào nhân hệ điều hành Solaris, đảm bảo rằng dữ liệu được bảo vệ từ tầng IP. Các giải pháp này bao gồm việc sử dụng các giao thức an toàn và các công cụ quản lý bảo mật.

III. Hướng dẫn chi tiết

Hướng dẫn chi tiết trong luận văn phần mềm này cung cấp các bước cụ thể để triển khai các giải pháp bảo mật mạng trên môi trường Solaris. Nó bao gồm việc cài đặt, cấu hình và quản lý các phần mềm bảo mật, cũng như cách thức tích hợp chúng với các hệ thống hiện có.

3.1. Cài đặt phần mềm bảo mật

Hướng dẫn chi tiết về việc cài đặt phần mềm bảo mật mạng trên môi trường Solaris được trình bày trong luận văn phần mềm này. Nó bao gồm các bước từ việc tải xuống phần mềm, cấu hình các thông số bảo mật, đến việc kiểm tra và xác nhận tính năng bảo mật của hệ thống.

3.2. Quản lý bảo mật

Quản lý bảo mật là một phần quan trọng trong việc duy trì tính an toàn của hệ thống mạng. Luận văn phần mềm này cung cấp các hướng dẫn chi tiết về cách quản lý các chính sách bảo mật, cập nhật phần mềm, và giám sát các hoạt động mạng để đảm bảo rằng hệ thống luôn được bảo vệ khỏi các mối đe dọa.

Nội dung chính

Báo Cáo Khoa Học: Giải Pháp Phần Mềm Bảo Mật Tầng IP Trên Môi Trường Hệ Điều Hành Solaris (Đề Tài KC-01-01)

---

Tóm tắt nghiên cứu (Research Summary)

• Câu hỏi nghiên cứu chính: Làm thế nào để thiết kế và nhúng giải pháp bảo mật mật mã ở tầng liên mạng (IP Layer) trực tiếp vào nhân hệ điều hành UNIX/Solaris nhằm bảo vệ toàn diện, trong suốt dữ liệu truyền thông mà không cần can thiệp cấu trúc ứng dụng nguồn?
• Phương pháp tiếp cận: Nghiên cứu kiến trúc xử lý luồng STREAMS TCP/IP trong nhân hệ điều hành Solaris; phát triển tầng lọc và can thiệp mật mã IPF (IP Filter/IPsec Framework); tích hợp các thuật toán mã hóa khối (IDEA, Blowfish, DES), hàm băm xác thực dữ liệu (HMAC-MD5/SHA) và quản lý liên kết an toàn (Security Association - SA); đóng gói bộ phần mềm IPSEC_SUN.
• Kết quả chính: Đề tài đã xây dựng thành công giải pháp bảo mật trong suốt cho mọi giao dịch mạng (kể cả luồng dữ liệu thời gian thực và Multicast cho hội nghị truyền hình). Thử nghiệm thực nghiệm chứng minh hệ thống triệt tiêu hoàn toàn khả năng nghe lén, giả mạo của các công cụ tấn công mạng (Sniffit, IPSCAN, Packetboy, ICMP_Bomber) và tối ưu hóa độ trễ truyền thông so với giải pháp FreeS/WAN trên Linux.
• Hàm ý thực tiễn: Tạo tiền đề vững chắc cho việc tự chủ công nghệ bảo mật dữ liệu trên mạng diện rộng (WAN) cho các cơ quan Đảng, Nhà nước và hệ thống thông tin trọng yếu tại Việt Nam mà không bị phụ thuộc vào các sản phẩm đóng gói nước ngoài.

---

Bối cảnh và tầm quan trọng (Context & Significance)

Thực trạng an toàn thông tin trên nền giao thức liên mạng

Vào đầu những năm 2000, sự bùng nổ của mạng Internet và giao thức TCP/IP đã đặt ra thách thức sống còn về an toàn thông tin. Bản thân bộ giao thức TCP/IP nguyên bản được thiết kế cho môi trường học thuật mở, hoàn toàn thiếu vắng các cơ chế bảo mật nội tại: dữ liệu truyền dạng bản rõ (plaintext), không có xác thực nguồn gốc và dễ dàng bị giả mạo gói tin (IP spoofing), nghe lén (sniffing), hay chiếm đoạt phiên (session hijacking).

Khoảng trống nghiên cứu và giới hạn của các tầng mạng khác

Để bảo vệ dữ liệu mạng, kỹ thuật mật mã có thể được can thiệp tại một trong bốn tầng của mô hình TCP/IP:

1. Tầng ứng dụng (Application Layer): Có thể bảo vệ chi tiết từng trường dữ liệu nhưng bắt buộc phải sửa đổi mã nguồn ứng dụng, khó khả thi với phần mềm thương mại đóng gói và gây phiền toái cho người dùng cuối.
2. Tầng vận chuyển (Transport Layer): Bảo vệ phiên TCP/UDP nhưng chưa che giấu được toàn bộ thông tin điều khiển và khó áp dụng linh hoạt cho các Gateway mạng diện rộng.
3. Tầng truy nhập mạng (Network Access Layer): Chỉ hỗ trợ bảo mật cục bộ theo từng chặng (Link-to-Link), đòi hỏi mọi Router trung gian phải giải mã rồi mã hóa lại, gây nút thắt cổ chai và tăng rủi ro lộ khóa.

Do đó, can thiệp mật mã tại tầng Internet (IP Layer - IPsec) là lựa chọn tối ưu nhất để thiết lập mạng riêng ảo (VPN), tạo kênh truyền bảo mật từ nút tới nút (End-to-End/Gateway-to-Gateway), bao bọc toàn bộ dữ liệu ứng dụng một cách hoàn toàn trong suốt.

Ý nghĩa chiến lược tại Việt Nam

Tại Việt Nam thời điểm năm 2002, nhu cầu bảo vệ luồng thông tin truyền thông liên tỉnh, liên bộ ngành qua hạ tầng mạng viễn thông công cộng là vô cùng cấp thiết. Đề tài KC-01-01 thuộc Chương trình Khoa học Công nghệ Cấp Nhà nước KC-01, do TS. Đặng Vũ Sơn chủ trì thực hiện tại Ban Cơ yếu Chính phủ, mang sứ mệnh giải quyết bài toán tự chủ công nghệ an ninh mạng trên nền tảng hệ điều hành máy chủ hiệu năng cao Sun Solaris (UNIX), khẳng định năng lực làm chủ các hệ thống bảo mật cấp quốc gia.

---

Phương pháp luận và kiến trúc kỹ thuật (Methodology & Technical Approach)

+-------------------------------------------------------------------------+
|                              USER SPACE                                 |
|   +-----------------------+                 +-----------------------+   |
|   |  Quản trị chính sách  |                 |     Quản lý khóa      |   |
|   |     (I_PUSH/I_POP)    |                 |      (SA Engine)      |   |
+---+-----------+-----------+-----------------+-----------+-----------+---+
|               | (System Calls)                          | (Ioctl/Memory)|
|...............v.........................................v...............|
|                            SOLARIS KERNEL                               |
|   +-----------------------------------------------------------------+   |
|   |                        STREAM HEAD                              |   |
|   +-----------------------------------------------------------------+   |
|                                   | (put / service)                     |
|                                   v                                     |
|   +-----------------------------------------------------------------+   |
|   |                       TẦNG TCP / UDP                            |   |
|   +-----------------------------------------------------------------+   |
|                                   | (mblk_t queues)                     |
|                                   v                                     |
|   +-----------------------------------------------------------------+   |
|   |                           TẦNG IP                               |   |
|   +-----------------------------------------------------------------+   |
|                                   |                                     |
|                                   v                                     |
|   +=================================================================+   |
|   |          TẦNG CAN THIỆP MẬT MÃ IPF (IPSEC_SUN MODULE)           |   |
|   |  * Kiểm tra SPD/SAD       * Mã hóa khối (IDEA/Blowfish)         |   |
|   |  * Tính HMAC (MD5/SHA)    * Đóng gói lại Header (Tunnel Mode)   |   |
|   +=================================================================+   |
|                                   |                                     |
|                                   v                                     |
|   +-----------------------------------------------------------------+   |
|   |              TRÌNH ĐIỀU KHIỂN THIẾT BỊ MẠNG (DLPI)              |   |
|   +-----------------------------------------------------------------+   |
+-----------------------------------|-------------------------------------+
                                    v
                            KÊNH MẠNG CÔNG KHAI

1. Thiết kế can thiệp tầng nhân STREAMS của Solaris

Hệ điều hành Sun Solaris quản lý toàn bộ ngăn xếp giao thức mạng thông qua kiến trúc STREAMS do Dennis Ritchie (Bell Labs) phát minh. STREAMS cung cấp cơ chế xử lý I/O hướng ký tự dạng dòng chảy hai chiều giữa tiến trình người dùng và phần cứng:

• Hàng đợi STREAMS (Queue Pairs): Mỗi mô-đun gồm một cặp hàng đợi: Hàng đợi Đọc (Read Queue - xử lý luồng dữ liệu ngược dòng upstream) và Hàng đợi Ghi (Write Queue - xử lý luồng dữ liệu xuôi dòng downstream).
• Cơ chế xử lý thông điệp: Dữ liệu được biểu diễn dưới dạng cấu trúc khối liên kết msgb và datab. Các thủ tục put thực thi tức thời với độ ưu tiên cao để định tuyến gói, trong khi thủ tục service (srv) xếp lịch xử lý biến đổi mật mã bất đồng bộ, chống nghẽn luồng.
• Tầng IPF (IP Filter/IPsec): Nhóm nghiên cứu đã nhúng một mô-đun mật mã tùy biến ngay bên dưới tầng IP và bên trên trình điều khiển tầng truy nhập mạng (DLPI Driver). Việc chèn/gỡ mô-đun được thực thi linh hoạt qua các lệnh gọi hệ thống ioctl (I_PUSH, I_POP).

2. Mô hình bảo vệ mật mã và đóng gói an toàn (Encapsulation)

• Dịch vụ bí mật (Confidentiality): Sử dụng các thuật toán mã hóa khối đối xứng hiệu năng cao gồm IDEA (khóa 128-bit) ở chế độ CFB/CBC và Blowfish để mã hóa toàn bộ dữ liệu ứng dụng và header tầng vận chuyển (TCP/UDP Header).
• Dịch vụ toàn vẹn và xác thực nguồn gốc (Integrity & Authentication): Sử dụng cơ chế mã xác thực thông điệp phân tán HMAC kết hợp với hàm băm mật mã (MD5/SHA-1). Khi tính toán HMAC, các trường dễ biến đổi trên đường truyền trong IP Header (như TTL, Header Checksum) được thiết lập về 0 để tránh sai lệch tại đầu nhận.
• Cơ chế đóng gói chế độ đường hầm (Tunnel Mode): Toàn bộ gói tin IP gốc được mã hóa hoàn toàn và đóng gói làm Payload cho một gói tin IP mới, trong đó IP Header ngoài cùng chứa địa chỉ của hai Gateway đại diện, che giấu hoàn toàn cấu trúc liên mạng nội bộ.

3. Quản lý liên kết an toàn (Security Association - SA)

• Thiết lập hệ thống cơ sở dữ liệu chính sách an ninh (SPD) và cơ sở dữ liệu liên kết an toàn (SAD).
• Mỗi liên kết an toàn được định danh duy nhất bởi bộ ba: Địa chỉ IP đích, Giao thức an toàn (AH/ESP) và Chỉ số tham số an ninh SPI (Security Parameter Index).
• Hệ thống hỗ trợ thiết lập SA thủ công và tự động hóa qua giao thức trao đổi khóa mật mã (IKE/Diffie-Hellman kết hợp chữ ký số RSA), lưu trữ khóa an toàn trực tiếp trong vùng nhớ đệm được bảo vệ của Kernel.

---

Phát hiện và kết quả thực nghiệm chính (Major Findings)

Nghiên cứu đã tiến hành đo kiểm thực nghiệm khắt khe đối với gói phần mềm IPSEC_SUN trên môi trường mạng thử nghiệm LAN-WAN và đối sánh trực tiếp với giải pháp mã nguồn mở FreeS/WAN trên Linux:

+--------------------------------------------------------------------------------------+
|                       KẾT QUẢ ĐO KIỂM BẢO VỆ GÓI TIN IP                              |
+----------------------+-----------------------------+---------------------------------+
| Hình thức tấn công   | Công cụ Hacker sử dụng      | Kết quả phòng thủ (IPSEC_SUN)   |
+----------------------+-----------------------------+---------------------------------+
| Nghe lén nội dung    | Sniffit                     | Vô hiệu hóa (Dữ liệu bị mã hóa) |
| Phân tích gói tin    | Packetboy                   | Vô hiệu hóa (Header bị che giấu)|
| Quét cổng & Dò quét  | IPSCAN                      | Ngăn chặn triệt để qua HMAC/SA  |
| Tấn công từ chối DV  | ICMP_Bomber (Ping of Death) | Lọc và hủy gói độc hại tự động  |
+----------------------+-----------------------------+---------------------------------+

1. Khả năng phòng thủ trước các phần mềm tấn công thực tế

• Chống nghe lén (Sniffing): Sử dụng công cụ Sniffit và Packetboy bắt gói trên đường truyền công khai. Kết quả cho thấy toàn bộ dữ liệu người dùng (nội dung email, file văn bản, mật khẩu telnet/ftp) và cổng dịch vụ TCP/UDP đều biến thành chuỗi ngẫu nhiên không thể giải mã.
• Chống giả mạo và trinh sát: Các cuộc tấn công quét mạng bằng IPSCAN và làm tràn ngập gói ICMP bằng ICMP_Bomber đều bị chặn đứng tại Gateway. Cơ chế xác thực HMAC loại bỏ các gói tin bị biến đổi hoặc không khớp với SA hợp lệ ngay tại tầng IPF trước khi gói tin tiêu tốn tài nguyên hệ thống.

2. Tác động của mã hóa tầng IP đến thời gian và tốc độ truyền tải

Các tác giả đã khảo sát độ trễ và thông lượng truyền tệp giao thức FTP qua mạng diện rộng trong hai trạng thái: Không mã hóa và Có bật bảo mật IPSEC_SUN:

• Độ suy hao thông lượng (Throughput Overhead): Quá trình mã hóa khối (IDEA/Blowfish) và tính toán HMAC làm tăng thời gian xử lý gói tin trong nhân, tuy nhiên mức suy giảm tốc độ truyền tải file FTP luôn duy trì ở mức ổn định (dưới 12-15% tổng băng thông danh định).
• Độ trễ truyền gói (Latency): Nhờ cơ chế quản lý bộ nhớ đệm STREAMS tối ưu và lưu trữ khóa trực tiếp trong Kernel Space, thời gian trễ xử lý gói tin tại Gateway chỉ ở mức mili-giây, hoàn toàn đáp ứng tốt các dịch vụ đòi hỏi thời gian thực.

3. Đánh giá so sánh: IPSEC_SUN (Solaris) vs. FreeS/WAN (Linux)

• Tính ổn định: Trên nền phần cứng máy chủ Sun Enterprise chạy Solaris, kiến trúc STREAMS xử lý đa luồng (multiplexing driver) thể hiện khả năng chịu tải cao, không bị tràn hàng đợi thông điệp khi lưu lượng tăng đột biến.
• Hỗ trợ dữ liệu Đa hướng (Multicast): IPSEC_SUN được thiết kế đặc thù để hỗ trợ mã hóa bảo vệ các luồng dữ liệu Multicast, phục vụ hoàn hảo cho ứng dụng hội nghị truyền hình bảo mật giữa các điểm cầu của cơ quan quản lý nhà nước – tính năng mà FreeS/WAN thời kỳ đó chưa tối ưu hóa trọn vẹn.

---

Đóng góp khoa học và giá trị học thuật (Scientific Contributions)

Lĩnh vực	Chi tiết đóng góp của công trình
Đóng góp lý thuyết	Hệ thống hóa mô hình phân tầng can thiệp mật mã trong kiến trúc TCP/IP; phân tích sâu sắc mối quan hệ toán học giữa các hàm xác thực HMAC, thuật toán mã hóa khối và kiến trúc liên kết an toàn SA.
Đổi mới công nghệ	Làm chủ kỹ thuật nhúng sâu vào nhân hệ điều hành UNIX qua mô hình STREAMS; xây dựng thành công tầng trung gian IPF cho phép tách biệt luồng xử lý gói và luồng xử lý mật mã.
Giá trị ứng dụng	Tạo ra sản phẩm phần mềm an ninh mạng IPSEC_SUN hoàn chỉnh, có khả năng triển khai ngay tại các Gateway bảo vệ mạng diện rộng (LAN-to-LAN, Host-to-LAN) của các cơ quan trọng yếu.
Chính sách & Tự chủ	Minh chứng cho năng lực tự phát triển các giải pháp phần mềm bảo mật cấp cao của đội ngũ chuyên gia Cơ yếu Việt Nam, bảo đảm tính an toàn bảo mật tuyệt đối, không có cửa sau (backdoor).

---

Đối tượng hưởng lợi và phạm vi áp dụng (Target Audience & Applications)

• Chuyên gia & Nhà nghiên cứu An ninh mạng: Tài liệu cung cấp cơ sở nền tảng chi tiết về lập trình tầng nhân (Kernel Programming), cơ chế hoạt động của ngăn xếp STREAMS và nguyên lý triển khai chuẩn giao thức IPsec/IPSP.
• Kỹ sư quản trị mạng và bảo mật hệ thống: Hướng dẫn chi tiết mô hình thiết lập Gateway bảo mật, cách cấu hình tích hợp giữa tính năng lọc gói của Firewall và công nghệ đóng gói đường hầm VPN.
• Các tổ chức, cơ quan Chính phủ và Doanh nghiệp: Ứng dụng giải pháp để thiết lập các mạng liên kết nội bộ an toàn trên hạ tầng truyền thông mở, bảo vệ thông tin chỉ đạo điều hành, giao dịch cơ sở dữ liệu và hội nghị truyền hình trực tuyến.

---

Câu hỏi thường gặp (Frequently Asked Questions - FAQ)

1. Vì sao đề tài chọn can thiệp mật mã ở tầng IP thay vì tầng Ứng dụng hay tầng Vận chuyển?

Can thiệp tại tầng IP mang tính tối ưu hóa toàn diện: bảo vệ được dữ liệu của mọi ứng dụng TCP/IP hiện có mà không cần sửa đổi mã nguồn phần mềm; hoàn toàn trong suốt với người dùng; và cho phép tập trung hóa bảo mật tại các Gateway, giúp bảo vệ toàn bộ mạng nội bộ mà không cần cài đặt phần mềm bảo mật phức tạp trên từng máy trạm PC.

2. Điểm khác biệt mấu chốt của kiến trúc STREAMS trên Solaris so với mô hình Socket truyền thống là gì?

Kiến trúc STREAMS tổ chức việc xử lý dữ liệu mạng dưới dạng một chuỗi các mô-đun xếp chồng liên kết qua các hàng đợi (queues) hai chiều. Điều này cho phép nhà phát triển dễ dàng chèn động các tầng xử lý dữ liệu mới (như mô-đun mật mã IPF) vào giữa ngăn xếp giao thức mạng thông qua các lệnh I_PUSH/I_POP mà không phá vỡ cấu trúc tổng thể của hệ điều hành.

3. Thủ tục put và service trong hàng đợi STREAMS đóng vai trò gì trong việc tối ưu hóa tốc độ mã hóa?

Thủ tục put được thực thi ngay lập tức để tiếp nhận, phân loại và định tuyến gói tin khẩn cấp, trong khi thủ tục service đảm nhận việc xử lý tính toán mật mã phức tạp theo cơ chế xếp lịch bất đồng bộ. Sự phân chia này giúp hệ thống không bị nghẽn luồng xử lý I/O của nhân khi phải mã hóa các gói tin dung lượng lớn.

4. Hệ thống xử lý thế nào đối với các trường thông tin luôn thay đổi trong IP Header khi tính toán mã xác thực HMAC?

Các trường biến đổi liên tục trên đường truyền (như trường Time To Live - TTL hay Header Checksum) sẽ bị gán tạm thời về giá trị 0 trước khi đưa vào hàm băm HMAC. Khi gói tin đến đích, đầu nhận cũng áp dụng quy tắc tương tự để tính toán lại giá trị băm kiểm tra, bảo đảm tính toàn vẹn tuyệt đối mà không gây lỗi xác thực giả.

5. Kết quả nghiên cứu của đề tài có thể áp dụng cho các hệ điều hành khác không?

Mặc dù phần mềm IPSEC_SUN được tối ưu hóa chuyên biệt cho cấu trúc STREAMS của hệ điều hành Solaris, nhưng các nguyên lý thiết kế hệ thống, mô hình đóng gói đường hầm (Tunnel Mode), cấu trúc cơ sở dữ liệu SA/SPD và thuật toán HMAC hoàn toàn có thể kế thừa và mở rộng sang các hệ điều hành UNIX khác (như AIX, HP-UX, FreeBSD hay Linux).

---

Kết luận (Conclusion)

Báo cáo kết quả nghiên cứu Quyển 4B: "Phần mềm bảo mật trên môi trường Solaris" thuộc đề tài cấp Nhà nước KC-01-01 do TS. Đặng Vũ Sơn chủ trì là một công trình khoa học mẫu mực về an ninh mạng tại Việt Nam. Bằng việc giải quyết xuất sắc bài toán nhúng mật mã tầng mạng vào nhân hệ điều hành Solaris STREAMS, công trình không chỉ mang lại một giải pháp công nghệ VPN Gateway mạnh mẽ, chống chịu hiệu quả các phương thức tấn công phá hoại, mà còn khẳng định khả năng làm chủ công nghệ cao của các nhà khoa học mật mã Việt Nam. Đây là tài liệu tham khảo kinh điển, có giá trị học thuật và thực tiễn lâu dài cho cộng đồng kỹ thuật và an toàn thông tin.

Trích đoạn nội dung tài liệu

Ch¬ng tr×nh KC-01: §Ò tµi KC-01-01: Nghiªn cøu khoa häc Nghiªn cøu mét sè vÊn ®Ò b¶o mËt vµ ph¸t triÓn c«ng nghÖ th«ng tin an toµn th«ng tin cho c¸c m¹ng dïng vµ truyÒn th«ng giao thøc liªn m¹ng m¸y tÝnh IP B¸o c¸o kÕt qu¶ nghiªn cøu PhÇn mÒm b¶o mËt m¹ng dïng giao thøc IP QuyÓn 4B: “PhÇn mÒm b¶o mËt trªn m«i tr†êng Solaris” Hµ NéI-2002 B¸o c¸o kÕt qu¶ nghiªn cøu PhÇn mÒm b¶o mËt m¹ng dïng giao thøc IP QuyÓn 4B: “PhÇn mÒm b¶o mËt trªn m«i tr†êng Solaris” Chñ tr× nhãm thùc hiÖn: TS. §Æng Vò S¬n Môc lôc Më ®Çu 1 Ch¬ng 1: Kh¸i qu¸t chung vÒ gi¶i ph¸p b¶o vÖ gãi IP b»ng kü 3 thuËt mËt m· 1.1 Can thiÖtp mËt m· vµo hÖ thèng m¹ng dïng giao thøc TCP/IP 3 1.1 Can thiÖp mËt m· vµo c¸c tÇng trong giao thøc TCP/IP1 3 1.2 ý nghÜa cña viÖc can thiÖp mËt m· vµo tÇng IP 8 1.1 B¶o vÖ ®†îc d÷ liÖu cña tÊt c¶ c¸c øng dông dïng giao thøc 8 TCP/IP 1.2 Kh«ng ph¶i can thiÖp vµ söa ®æi c¸c øng dông hiÖn cã 8 1.3 Trong suèt víi ng†êi dïng 8 1.4T¨ng c†êng c¸c kh¶ n¨ng cña Firewall 9 1.5 Gi¶m sè ®Çu mèi cÇn can thiÖp dÞch vô an toµn 9 1.6 Cho phÐp b¶o vÖ d÷ liÖu cña mét sè øng dông giao tiÕp thêi gian 9 thùc 1.2 Giao thøc an toµn tÇng Internet 10 1.1 Qu¸ tr×nh truyÒn d÷ liÖu cña giao thøc TCP/IP 10 1.2 CÊu tróc TCP/IP víi giao thøc an toµn tÇng Internrt 12 1.3 C¸c dÞch vô b¶o vÖ gãi IP b»ng kü thuËt mËt m· 15 1.1 DÞch vô bÝ mËt 15 1.2 DÞch vô x¸c thùc vµ toµn vÑn 17 1.3 KÕt hîp dÞch vô bÝ mËt víi dÞch vô x¸c thùc, an toµn 19 1.4 Kü thuËt ®ãng gãi trong viÖc b¶o vÖ gãi IP 21 1.4 M« h×nh chøc n¨ng cña hÖ thèng b¶o vÖ gãi IP dïng kü thuËt mËt 22 m· 1.1 Liªn kÕt an toµn trong hÖ thèng b¶o vÖ gãi IP 22 1.1 Kh¸i niÖm vÒ liªn kÕt an toµn 22 1.2 Mèi quan hÖ gi÷a liªn kÕt an toµn vµ giao thøc an toµn tÇng IP 23 1.2 M« h×nh chóc n¨ng cña hÖ thèng b¶o vÖ gãi IP b»ng kü thuËt mËt 25 m· 1.3 Nh÷ng yÕu tè ¶n h†ëng ®Õn dé an toµn cña hÖ thèng b¶o vÖ gãi IP 27 1.1 §é an toµn cña c¸c thuËt to¸n m· ho¸ vµ x¸c thùc d÷ liÖu 27 1.2 §é an toµn cña giao thøc thiÕt lËp liªn kÕt an toµn 28 1.3 An toµn hÖ thèng 29 Ch¬ng II: C¬ chÕ qu¶n lý d÷ liÖu cña giao thøc TCP/IP trªn 30 Solaris 30 2.1 Giíi thiÖu vÒ luång (Stream) trong Solaris 30 2.1 Kh¸i niÖm vÒ luång 33 2.2 C¸c thao t¸c trªn luång 33 2.3 C¸c thµnh phÇn cña luång 33 2.4 C¸c tiªn tr×nh ®iÒu khiÓn (Driver) 2.2 C¬ chÕ qu¶n lý luång (Stream mechanism) 38 2.1 Giíi thiÖu vÒ c¬ chÕ qu¶n lý luång 38 2.2 X©y dùng luång 39 2.1 Më mét file thiÕt bÞ STREAMS 41 2.2 Thªm vµ huû c¸c m« ®un 42 2.3 §ãng mét luång 42 2.3 C¸c tr×nh xö lý luång 43 2.1 C¸c thñ tôc put vµ service 43 2.1 Thñ tôc put 43 2.2 Thñ tôc service 44 2.1 Giíi thiÖt vÒ th«ng b¸o 45 2.2 CÊu tróc th«ng b¸o 46 2.3 Göi vµ nhËn th«ng b¸o 47 2.5 CÊu tróc hµng ®îi (queue) 48 2.6 Giao diÖn dÞch vô 50 2.7 Mét sè cÊu tróc d÷ liÖu ®†îc dïng trong luång 51 2.5 C¸c tr×nh ®iÒu khiÓn 53 2.1 Tæng quan vÒ tr×nh ®iÒu khiÓn 53 2.1 Giíi thiÖu vÒ ®a luång 54 2.2 X©y dùng ®a luång STREAMS TCP/IP 54 Ch¬ng III: Gi¶i ph¸p b¶o vÖ d÷ liÖu trong nh©n hÖ ®iÒu hµnh 57 Solaris 3.1 Gi¶i ph¸p b¶o vÖ gãi IP trªn Solaris b»ng kü thuËt mËt m· 57 3.2 M« h×nh m¹ng WAN b¶o vÖ gãi IP b»ng kü thuËt mËt m· 59 3.3 Gi¶i ph¸p b¾t gãi IP ®Ó thùc hiÖn viÖc m· ho¸ 60 3.4 Qu¶n lý d÷ liÖu gãi IP t¹i tÇng IPF 61 3.5 C¬ chÕ m· ho¸ d÷ liÖu gãi IP cña STREAMS TCP/IP 62 3.6 Qu¶n lý gãi t¹i STREAMS TCP/IP 63 3.7 M· d÷ liÖu trong gãi IP 63 3.8 TÝch hîp nót m· ho¸ víi Router läc gãi 64 Ch¬ng IV: Kh¶o s¸t kh¶ n¨ng chèng l¹i c¸c phÇn mÒm Hacker vµ 66 tèc ®é truyÒn d÷ liÖu cña hÖ thèng b¶o vÖ gãi IP trªn Solaris 4.1 Kh¶o s¸t kh¶ n¨ng b¶o vÖ gãi IP trªn m¹ng LAN cña bé phÇn mÒm 66 IPSEC_SUN 4.1 Kh¶ n¨ng ng¨n chÆn c¸c tÊn c«ng b»ng phÇn mÒm Sniffit V.2 Kh¶ n¨ng ng¨n chÆn c¸c tÊn c«ng b»ng phÇn mÒm IPSCAN 70 4.3 Kh¼ n¨ng ng¨n chÆn vµ tÊn c«ng b»ng phÇn mÒm Packetboy 71 4.4 Kh¼ n¨ng ng¨n chÆn c¸c tÊn c«ng b»ng phÇn mÒm ICMP_Bomber 76 4.5 So s¸nh kh¼ n¨ng chèng l¹i c¸c phÇn mÒm tÊn c«ng cña bé phÇn 78 mÒm IPSEC_SUN vµ bé phÇn mÒm FreeS/WAN 4.2 Kh¶o s¸t sù ¶nh h†ëng cña bé phÇn mÒm IPSEC_SUN ®èi víi thêi 82 gian truyÒn d÷ liÖu cña mét sè dÞch vô 4.1 Kh¶o s¸t sù ¶nh h†ëng cña bé phÇn mÒm IPSEC_SUN ®èi víi thêi 82 gian truyÒn d÷ liÖu cña dÞch vô truyÒn tÖp FTP (File Transfer Protocol) 4.2 So s¸nh thêi gian truyÒn d÷ liÖu gi÷a hai hÖ thèng dïng 86 IPSEC_SUN vµ FreeS/WAN KÕt luËn 89 Më ®Çu TCP/IP lµ bé giao thøc truyÒn th«ng ®†îc cµi ®Æt trong hÇu hÕt c¸c hÖ ®iÒu hµnh m¹ng vµ lµ giao thøc chuÈn cña Internet. §Ó b¶o vÖ th«ng tin trªn m¹ng dïng giao thøc TCP/IP, chóng ta cã thÓ can thiÖp mËt m· vµo mét trong 4 tÇng lµ tÇng øng dông, tÇng vËn t¶i, tÇng Internet vµ tÇng truy nhËp m¹ng. ViÖc can thiÖp mËt m· vµo mçi tÇng sÏ cã nh÷ng †u nh†îc ®iÓm riªng.

Tuy nhiªn víi sù ph¸t triÓn m¹nh mÏ cña Internet vµ c¸c m¹ng c«ng céng, viÖc can thiÖp mËt m· vµo tÇng IP cho phÐp chóng ta t¹o ra c¸c m¹ng riªng ¶o kÕt nèi c¸c m¹ng néi bé th«ng qua kªnh c«ng khai. H¬n n÷a, gi¶i ph¸p nµy ®· cho phÐp b¶o vÖ ®†îc d÷ liÖu cña tÊt c¶ c¸c øng dông dïng giao thøc TCP/IP bao gåm c¶ ¶nh ®éng vµ ©m thanh mµ kh«ng ph¶i can thiÖp vµo cÊu tróc cña øng dông. ChÝnh ®iÒu nµy ®· gi¶i quyÕt ®†îc mét khã kh¨n trong thùc tÕ hiÖn nay ë ViÖt nam lµ cã nhiÒu øng dông cã th«ng tin cÇn ®†îc b¶o vÖ nh†ng chóng ta l¹i kh«ng thÓ can thiÖp mËt m· vµo cÊu tróc cña nã vµ c¸c øng dông thêi gian thùc. B¸o c¸o gåm 4 ch†¬ng, giíi thiÖu gi¶i ph¸p nhóng kü thuËt mËt m· vµo nh©n hÖ ®iÒu hµnh Solaris vµ kÕt qu¶ kh¶o s¸t c¸c chøc n¨ng cña bé phÇn mÒm b¶o vÖ gãi IP trªn Solaris lµ s¶n phÈm cña ®Ò tµi “Nghiªn cøu b¶o vÖ d÷ liÖu ë tÇng IP cho c¸c m¹ng m¸y tÝnh sö dông hÖ ®iÒu hµnh UNIX” cña Ban C¬ yÕu chÝnh phñ.

Ch¬ng 1: Kh¸i qu¸t chung vÒ gi¶i ph¸p b¶o vÖ gãi IP b»ng kü thuËt mËt m· Ph©n tÝch kh¶ n¨ng b¶o vÖ th«ng tin khi can thiÖp mËt m· vµo mçi tÇng cña giao thøc TCP/IP, ®¸nh gi¸ †u nh†îc ®iÓm cña gi¶i ph¸p can thiÖp mËt m· vµo tÇng IP. Ph©n tÝch c¬ chÕ truyÒn d÷ liÖu cña giao thøc TCP/IP, c¸c dÞch vô b¶o vÖ gãi IP b»ng kü thuËt mËt m·. Tõ ®ã ®†a ra m« h×nh chøc n¨ng cña hÖ thèng b¶o vÖ gãi IP b»ng kü thuËt mËt m·. Ch¬ng 2 : C¬ chÕ qu¶n lý d÷ liÖu cña giao thøc TCP/IP trªn Solaris Tr×nh bÇy nh÷ng vÊn ®Ò c¬ b¶n nhÊt cña c¬ chÕ qu¶n lý c¸c thµnh phÇn cña gãi IP trªn Solaris , trong ®ã cã cÊu tróc STREAMS TCP/IP.

Ch¬ng 3: Gi¶i ph¸p nhóng kü thuËt mËt m· vµo nh©n hÖ ®iÒu hµnh Solaris 1 Tr×nh bÇy gi¶i ph¸p x©y dùng tÇng IPF ngay d†íi tÇng IP trong cÊu tróc Streams TCP/IP cña Solaris. Ch¬ng 4: Kh¶o s¸t kh¶ n¨ng chèng l¹i c¸c phÇn mÒm hacker vµ tèc ®é truyÒn d÷ liÖu cña hÖ thèng b¶o vÖ gãi IP b»ng kü thuËt mËt m· trªn Solaris Giíi thiÖu kÕt qu¶ kh¶o s¸t mét sè ®Æc tr†ng cña c¸c bé phÇn mÒm b¶o vÖ gãi IP b»ng kü thuËt mËt m· trªn nÒn hÖ ®iÒu hµnh Solaris (IPSEC_SUN) vµ hÖ ®iÒu hµnh LINUX (FreeS/WAN), bao gåm kh¶ n¨ng ng¨n chÆn c¸c tÊn c«ng cña mét sè phÇn mÒm Hacker, tèc ®é truyÒn d÷ liÖu cña hÖ thèng trong c¸c tr†êng hîp kh«ng ch¹y vµ ch¹y phÇn mÒm IPSEC_SUN vµ FreeS/WAN. Kh¶ n¨ng m· ho¸ d÷ liÖu gãi Multicast phôc vô cho viÖc b¶o vÖ d÷ liÖu héi nghÞ truyÒn h×nh còng ®†îc giíi thiÖu trong ch†¬ng nµy. 2 Ch‡¬ng I Kh¸I qu¸t chung vÒ gi¶I ph¸p b¶o vÖ gãi IP B»ng Kü thuËt mËt m· X©y dùng c¸c hÖ thèng b¶o mËt th«ng tin trªn m¹ng m¸y tÝnh ®ßi hái mét gi¶i ph¸p tæng thÓ bao gåm nhiÒu c¬ chÕ an toµn nh† ®iÒu khiÓn truy nhËp, m· ho¸ d÷ liÖu, ch÷ ký sè, x¸c thùc, b¶o vÖ vËt lý,.

Kü thuËt mËt m· ®ãng mét vai trß rÊt quan träng trong viÖc b¶o vÖ th«ng tin trªn m¹ng, nã cho phÐp chóng ta cµi ®Æt hÇu hÕt c¸c dÞch vô an toµn, bao gåm c¸c dÞch vô bÝ mËt, x¸c thùc, toµn vÑn, kh«ng chèi bá. Ngoµi ra nã gãp phÇn quan träng trong viÖc cµi ®Æt dÞch vô ®iÒu khiÓn truy nhËp.1 can thiÖp mËt m· vµo hÖ thèng m¹ng dïng giao thøc TcP/IP 1.1 Can thiÖp mËt m· vµo c¸c tÇng trong giao thøc TCP/IP CÊu tróc giao thøc TCP/IP cho phÐp chóng ta can thiÖp mËt m· vµo mét tÇng bÊt kú tuú theo chÝnh s¸ch an toµn ®†îc ®†a ra. D†íi ®©y lµ mét sè c¨n cø khi lùa chän tÇng ®Ó can thiÖp mËt m·. - Lùa chän thµnh phÇn cña gãi IP ®Ó b¶o vÖ Mét gãi IP chøa d÷ liÖu bao gåm 3 thµnh phÇn lµ d÷ liÖu øng dông (data), header tÇng vËn t¶i (TCP/UDP header), header tÇng Internet (IP header) nh† trong h×nh 1.1: C¸c thµnh phÇn cña gãi IP Khi d÷ liÖu ®†îc chuyÓn tõ tÇng vËn t¶i xuèng c¸c tÇng d†íi, t¹i mçi tÇng header ®iÒu khiÓn ®†îc g¾n vµo phÝa bªn tr¸i cña d÷ liÖu do tÇng trªn chuyÓn xuèng.

Mçi header cã cÊu tróc riªng vµ cã vai trß trong viÖc chuyÓn d÷ liÖu tõ øng dông cña m¸y nguån tíi øng dông cña m¸y ®Ých.1 chØ ra kh¶ n¨ng b¶o vÖ c¸c thµnh phÇn cña gãi IP khi can thiÖp mËt m· vµo c¸c tÇng trong giao thøc TCP/IP.1: B¶o vÖ c¸c thµnh phÇn cña gãi IP trong giao thøc TCP/IP Data TCP/UDP header IP header TÇng øng dông x TÇng vËn t¶i x x TÇng Internet x x x TÇng truy nhËp x x x m¹ng Nh×n vµo b¶ng 1.1 chóng ta thÊy r»ng ®Ó b¶o vÖ d÷ liÖu øng dông chóng ta cã thÓ can thiÖp mËt m· vµo mét trong bèn tÇng. Nh†ng ®Ó b¶o vÖ header tÇng vËn t¶i chóng ta chØ cã thÓ can thiÖp vµo mét trong ba tÇng d†íi. TÇng øng dông kh«ng quan t©m ®Õn header cña tÇng vËn t¶i ®†îc nèi vµo ®Çu khèi d÷ liÖu do nã chuyÓn xuèng.