Đồ Án Tốt Nghiệp: Nghiên Cứu Công Nghệ IPSec và Ứng Dụng Bảo Mật Thông Tin Mạng

Công nghệ IPSec (Internet Protocol Security) là một bộ giao thức bảo mật được thiết kế để bảo vệ… 76 trang · Học viện Công nghệ Bưu chính Viễn thông · 2022.

• Tác giả: Nguyễn Tuấn Anh
• Người hướng dẫn: TS. Đặng Minh Tuấn
• Trường học: Học viện Công nghệ Bưu chính Viễn thông
• Chuyên ngành: Công nghệ thông tin
• Đề tài: Nghiên Cứu Tìm Hiểu Về Công Nghệ IPSec Và Ứng Dụng Bảo Mật Thông Tin Mạng
• Loại tài liệu: Đồ án tốt nghiệp
• Năm xuất bản: 2022
• Địa điểm: Hà Nội

Mục lục chi tiết

• LỜI CAM ĐOAN
• LỜI MỞ ĐẦU
• 1. CHƯƠNG 1: TÌM HIỂU VỀ TÌNH HÌNH AN NINH MẠNG VÀ CÁC HÌNH THỨC TẤN CÔNG MẠNG PHỔ BIẾN HIỆN NAY
• 1.1. Khái quát chung về tình hình an ninh mạng những năm gần đây
• 1.2. Những nguy cơ thường trực và hậu quả của các cuộc tấn công mạng
• 2. CHƯƠNG 2: NGHIÊN CỨU VỀ CÔNG NGHỆ IPSEC (INTERNET PROTOCOL SECURITY)
• 2.1. Tổng quan về công nghệ IPSec
• 2.2. Các chính sách bảo mật/ liên kết bảo mật (Security Policies/ Security Associations)
• 2.3. Giao thức trao đổi khóa (IKE) và các chế độ hoạt động của IPSec
• 2.4. Ưu điểm, nhược điểm và ứng dụng của công nghệ IPSec
• 3. CHƯƠNG 3: TRIỂN KHAI MÔ HÌNH ỨNG DỤNG CÔNG NGHỆ IPSEC TRONG VIỆC TRUYỀN THÔNG TIN AN TOÀN TRÊN MẠNG INTERNET
• 3.1. Tìm hiểu về các phần mềm sử dụng trong mô hình triển khai
• 3.2. Cài đặt, triển khai và vận hành mô hình áp dụng công nghệ IPSec
• 3.3. Phân tích kết quả và đánh giá độ an toàn
• TÀI LIỆU THAM KHẢO

Tóm tắt

I. Tổng quan về công nghệ IPSec và bảo mật thông tin mạng

Công nghệ IPSec (Internet Protocol Security) là một bộ giao thức bảo mật được thiết kế để bảo vệ thông tin trong quá trình truyền tải qua mạng. IPSec cung cấp các phương pháp mã hóa và xác thực, giúp bảo vệ dữ liệu khỏi các cuộc tấn công mạng. Việc áp dụng công nghệ này ngày càng trở nên quan trọng trong bối cảnh an ninh mạng ngày càng phức tạp. IPSec không chỉ bảo vệ thông tin mà còn đảm bảo tính toàn vẹn và xác thực của dữ liệu.

1.1. Khái niệm và nguyên lý hoạt động của IPSec

IPSec hoạt động dựa trên hai chế độ chính: chế độ truyền tải và chế độ đường hầm. Chế độ truyền tải bảo vệ chỉ phần dữ liệu trong gói tin, trong khi chế độ đường hầm bảo vệ toàn bộ gói tin. Điều này giúp bảo vệ thông tin một cách toàn diện hơn.

1.2. Lợi ích của việc sử dụng công nghệ IPSec

Việc sử dụng IPSec mang lại nhiều lợi ích như bảo mật thông tin, ngăn chặn các cuộc tấn công mạng, và đảm bảo tính toàn vẹn của dữ liệu. Công nghệ này cũng hỗ trợ việc xây dựng các mạng riêng ảo (VPN), giúp người dùng truy cập an toàn vào các tài nguyên mạng.

II. Vấn đề an ninh mạng và thách thức hiện nay

An ninh mạng đang trở thành một trong những vấn đề cấp bách nhất trong thời đại số. Các cuộc tấn công mạng ngày càng tinh vi và đa dạng, từ tấn công từ chối dịch vụ (DDoS) đến lừa đảo trực tuyến. Những mối đe dọa này không chỉ ảnh hưởng đến cá nhân mà còn đến các tổ chức và doanh nghiệp lớn. Việc nhận thức và phòng ngừa các mối đe dọa này là rất cần thiết.

2.1. Các hình thức tấn công mạng phổ biến

Các hình thức tấn công mạng phổ biến bao gồm tấn công bằng mã độc, tấn công giả mạo (phishing), và tấn công trung gian (Man-in-the-Middle). Những hình thức này thường nhắm đến việc đánh cắp thông tin cá nhân hoặc tài chính của người dùng.

2.2. Hậu quả của các cuộc tấn công mạng

Hậu quả của các cuộc tấn công mạng có thể rất nghiêm trọng, bao gồm mất mát dữ liệu, thiệt hại tài chính, và tổn hại đến uy tín của tổ chức. Các cuộc tấn công này cũng có thể dẫn đến việc lộ thông tin nhạy cảm, gây ra những rủi ro lớn cho người dùng.

III. Phương pháp bảo mật thông tin mạng hiệu quả với IPSec

Để bảo vệ thông tin mạng, việc áp dụng các phương pháp bảo mật hiệu quả là rất quan trọng. IPSec cung cấp các giải pháp bảo mật mạnh mẽ, giúp mã hóa và xác thực thông tin trong quá trình truyền tải. Việc triển khai IPSec có thể giúp giảm thiểu rủi ro và bảo vệ dữ liệu một cách an toàn.

3.1. Cách thức triển khai IPSec trong mạng

Việc triển khai IPSec trong mạng có thể được thực hiện thông qua các phần mềm như StrongSwan. Quá trình này bao gồm việc cấu hình các chính sách bảo mật và thiết lập các kết nối an toàn giữa các thiết bị.

3.2. Đánh giá hiệu quả của IPSec trong bảo mật thông tin

Đánh giá hiệu quả của IPSec có thể được thực hiện thông qua việc phân tích các cuộc tấn công đã được ngăn chặn và mức độ bảo vệ thông tin. Các nghiên cứu cho thấy IPSec có khả năng bảo vệ thông tin rất tốt trong môi trường mạng không an toàn.

IV. Ứng dụng thực tiễn của công nghệ IPSec trong bảo mật mạng

Công nghệ IPSec đã được áp dụng rộng rãi trong nhiều lĩnh vực khác nhau, từ doanh nghiệp đến chính phủ. Việc sử dụng IPSec giúp bảo vệ thông tin nhạy cảm và đảm bảo an toàn cho các giao dịch trực tuyến. Các ứng dụng thực tiễn này chứng minh tính hiệu quả của IPSec trong việc bảo mật thông tin mạng.

4.1. IPSec trong xây dựng mạng riêng ảo VPN

IPSec là công nghệ chính được sử dụng trong việc xây dựng mạng riêng ảo (VPN). VPN cho phép người dùng truy cập an toàn vào các tài nguyên mạng từ xa, bảo vệ thông tin khỏi các mối đe dọa bên ngoài.

4.2. Các ứng dụng IPSec trong doanh nghiệp

Nhiều doanh nghiệp đã áp dụng IPSec để bảo vệ thông tin nhạy cảm trong quá trình truyền tải. Việc này không chỉ giúp bảo vệ dữ liệu mà còn tăng cường độ tin cậy của các giao dịch trực tuyến.

V. Kết luận và tương lai của công nghệ IPSec

Công nghệ IPSec đóng vai trò quan trọng trong việc bảo mật thông tin mạng. Với sự phát triển không ngừng của công nghệ thông tin, IPSec sẽ tiếp tục được cải tiến và phát triển để đáp ứng các yêu cầu bảo mật ngày càng cao. Tương lai của IPSec hứa hẹn sẽ mang lại nhiều giải pháp bảo mật hiệu quả hơn cho người dùng.

5.1. Xu hướng phát triển của IPSec trong tương lai

Trong tương lai, IPSec sẽ tiếp tục được cải tiến để đáp ứng các thách thức mới trong lĩnh vực an ninh mạng. Các công nghệ mới như trí tuệ nhân tạo và học máy có thể được tích hợp vào IPSec để nâng cao khả năng bảo mật.

5.2. Tầm quan trọng của việc nâng cao nhận thức về bảo mật

Việc nâng cao nhận thức về bảo mật thông tin là rất cần thiết. Người dùng cần hiểu rõ về các mối đe dọa và cách bảo vệ thông tin của mình, từ đó áp dụng các công nghệ như IPSec một cách hiệu quả.

Nội dung chính

Bối cảnh và vấn đề nghiên cứu

Sự bùng nổ của cuộc Cách mạng công nghiệp lần thứ tư và môi trường Internet mang lại nhiều lợi ích cho các tổ chức, doanh nghiệp và cá nhân; tuy nhiên, không gian mạng cũng làm gia tăng các mối đe dọa an ninh thông tin. Theo số liệu thống kê được tác giả trích dẫn từ Diễn đàn an ninh mạng Việt Nam (VNIS), trong bối cảnh dịch bệnh COVID-19, tội phạm mạng trên toàn cầu đã gia tăng 600%. Tại Việt Nam, hệ thống giám sát an ninh mạng Viettel ghi nhận trong năm 2020 có 3 triệu cuộc tấn công từ chối dịch vụ (DoS/DDoS), 156 tổ chức và 306 website của các tổ chức chính phủ bị tấn công, cùng 4 chiến dịch tấn công giả mạo (Phishing) quy mô lớn nhắm vào các ngân hàng gây ảnh hưởng tới khoảng 26.000 người dùng. Tính đến tháng 9/2021, các cơ quan an ninh thông tin quốc gia ghi nhận 6.156 cuộc tấn công mạng trọng yếu (gồm 1.404 cuộc tấn công giả mạo, 1.109 cuộc tấn công thay đổi giao diện và 3.643 cuộc tấn công mã độc, tăng 30,15% so với cùng kỳ năm 2020). Trên phạm vi quốc tế, các sự cố rò rỉ dữ liệu lớn như vụ việc tại Equifax (lộ 143 triệu hồ sơ), Marriott (500 triệu tài khoản năm 2018 và 5,2 triệu năm 2020), chuỗi vụ tấn công Twitter chiếm đoạt 121.000 USD giá trị Bitcoin cho thấy tính cấp thiết của việc bảo vệ dữ liệu truyền tải.

Giao thức Internet nguyên bản (IPv4) vốn không tích hợp sẵn cơ chế bảo mật về tính xác thực và tính riêng tư. Dữ liệu khi định tuyến qua các hạ tầng mạng công cộng tiềm ẩn nguy cơ bị nghe lén, chặn bắt, thay đổi hoặc phát lại (replay attack). Các giải pháp bảo mật tại các tầng trên của mô hình OSI (như SSL/TLS) chỉ bảo vệ được một số dịch vụ chuyên biệt (như Web, truyền tệp) mà không bao quát toàn bộ lưu lượng tầng mạng. Do đó, việc nghiên cứu cơ chế bảo mật tại tầng mạng (Network Layer) thông qua bộ giao thức IPSec trở thành yêu cầu thực tiễn quan trọng.

Đồ án đặt ra 3 nhiệm vụ nghiên cứu chính:

1. Nghiên cứu thực trạng an ninh mạng trong nước và quốc tế, phân loại các nguy cơ, cơ chế và biện pháp phòng chống các hình thức tấn công mạng phổ biến.
2. Phân tích chuyên sâu kiến trúc, thành phần, nguyên lý hoạt động, cấu trúc tiêu đề và các cơ chế bảo mật của bộ giao thức IPSec.
3. Triển khai mô hình thực nghiệm ứng dụng công nghệ IPSec nhằm thiết lập kênh truyền thông tin an toàn qua mạng Internet, phân tích gói tin để kiểm chứng hiệu quả bảo mật.

Đối tượng nghiên cứu của đề tài là công nghệ IPSec (Internet Protocol Security), bao gồm hai giao thức cốt lõi AH, ESP, cơ chế trao đổi khóa IKE, các cơ sở dữ liệu chính sách và liên kết bảo mật (SPD, SAD). Phạm vi nghiên cứu về không gian tập trung vào mô hình kết nối mạng riêng ảo Site-to-Site giữa hai gateway trên nền tảng hệ điều hành mã nguồn mở Linux/Ubuntu; phạm vi thời gian thu thập dữ liệu an ninh mạng và triển khai đồ án kết thúc vào tháng 01/2022.

Cơ sở lý thuyết và phương pháp

Khung lý thuyết của đồ án dựa trên mô hình tham chiếu kết nối các hệ thống mở OSI và kiến trúc an ninh giao thức mạng IPSec do IETF tiêu chuẩn hóa. IPSec hoạt động tại Tầng 3 (Tầng mạng), có khả năng cung cấp các dịch vụ bảo vệ cho mọi giao thức và ứng dụng ở tầng trên (TCP, UDP, ICMP) một cách độc lập và trong suốt đối với người dùng cuối.

Các khái niệm, giao thức và mô hình tác giả phân tích và áp dụng gồm:

• Giao thức xác thực tiêu đề (Authentication Header - AH): Đảm bảo tính toàn vẹn của dữ liệu và xác thực nguồn gốc gói tin thông qua giá trị kiểm tra tính toàn vẹn (ICV), đồng thời cung cấp cơ chế chống tấn công phát lại bằng trường Sequence Number.
• Giao thức đóng gói tải trọng bảo mật (Encapsulating Security Payload - ESP): Cung cấp tính bảo mật thông qua mã hóa dữ liệu, đồng thời hỗ trợ xác thực nguồn gốc, kiểm tra tính toàn vẹn và chống phát lại.
• Hai chế độ hoạt động: Chế độ truyền tải (Transport Mode - bảo vệ dữ liệu tầng trên, giữ nguyên IP Header gốc) và Chế độ đường hầm (Tunnel Mode - đóng gói toàn bộ gói tin IP gốc vào một gói tin IP mới, bảo vệ cả dữ liệu lẫn địa chỉ định tuyến ban đầu).
• Cơ chế quản lý chính sách và liên kết: Cơ sở dữ liệu chính sách bảo mật (Security Policy Database - SPD) điều khiển việc phân loại lưu lượng và Cơ sở dữ liệu liên kết bảo mật (Security Association Database - SAD) quản lý các tham số kỹ thuật của từng kết nối an toàn (như thuật toán, khóa, chỉ số SPI).
• Giao thức trao đổi khóa Internet (Internet Key Exchange - IKE): Kết hợp các khuôn khổ ISAKMP, OAKLEY và SKEME để đàm phán tham số bảo mật và thiết lập khóa bí mật chung qua hai giai đoạn (IKE Phase 1 với Main Mode hoặc Aggressive Mode; IKE Phase 2 với Quick Mode).
• Các thuật toán mật mã liên quan: Thuật toán mã hóa đối xứng (DES, 3DES, AES), hàm băm một chiều (MD5, SHA-1), thuật toán trao đổi khóa Diffie-Hellman (nhóm DH 1 đến 7) và cơ chế khóa chia sẻ trước (Pre-Shared Key).

Phương pháp nghiên cứu thực tế bao gồm phương pháp phân tích - tổng hợp tài liệu học thuật kết hợp phương pháp thực nghiệm kỹ thuật. Tác giả tiến hành thiết lập mô hình hệ thống mạng trên máy tính, cài đặt các công cụ thực thi và giám sát mạng để thu thập dữ liệu gói tin thực tế trước và sau khi kích hoạt giao thức bảo mật. Nguồn dữ liệu sử dụng bao gồm báo cáo an ninh mạng của Viettel, diễn đàn an ninh mạng VNIS, tổ chức bảo mật ứng dụng web mở OWASP và dữ liệu bắt gói tin trực tiếp từ các công cụ Wireshark và Tcpdump.

Nội dung chính theo từng chương

CHƯƠNG 1: TÌM HIỂU VỀ TÌNH HÌNH AN NINH MẠNG VÀ CÁC HÌNH THỨC TẤN CÔNG MẠNG PHỔ BIẾN HIỆN NAY

Chương 1 hệ thống hóa bức tranh toàn cảnh về an ninh mạng toàn cầu và tại Việt Nam giai đoạn 2020–2021, làm rõ các nguy cơ hiện hữu khi cá nhân và tổ chức tham gia môi trường mạng. Tác giả đi sâu phân tích 6 hình thức tấn công mạng phổ biến:

• Phần mềm độc hại (Malware Attack): Trình bày cơ chế hoạt động của Virus, Worm, Trojan (gồm Backdoor, Adware, Spyware), Ransomware, Rootkit, Botnet và các dạng biến thể.
• Tấn công giả mạo (Phishing Attack): Nêu nguồn gốc thuật ngữ từ "fishing" và "phreaking", nhận diện dấu hiệu bất thường qua ngôn ngữ, cấu trúc email, phân loại thành Email Phishing, Spear Phishing, Whaling, Smishing và Vishing.
• Tấn công trung gian (Man-in-the-Middle - MITM): Phân tích các kỹ thuật đánh chặn luồng dữ liệu như giả mạo IP/DNS/HTTPS (Spoofing), chiếm đoạt phiên làm việc/Email (Hijacking) và đánh cắp cookie trình duyệt.
• Tấn công cơ sở dữ liệu (SQL Injection): Chỉ ra hai nguyên nhân cốt lõi là dữ liệu đầu vào không được kiểm duyệt và việc nối chuỗi truy vấn SQL động. Phân loại thành In-band SQLi (error-based, union-based), Inferential SQLi (Boolean, time-based) và Out-of-band SQLi.
• Tấn công từ chối dịch vụ (DoS & DDoS): Mô tả các biến thể tấn công làm tràn ngập tài nguyên gồm Flood Attack (SYN Flood làm nghẽn quá trình bắt tay ba bước của TCP, UDP Flood, ICMP Flood), Smurf Attack (lợi dụng địa chỉ broadcast ICMP) và Ping of Death (gửi gói IP phân mảnh vượt quá 65.535 byte).
• Tấn công khai thác lỗ hổng Zero-Day: Phân tích vòng đời lỗ hổng từ khi tin tặc phát hiện đến khi nhà sản xuất phát hành bản vá, dẫn chứng trường hợp lỗ hổng trên công cụ biên dịch JavaScript V8 của trình duyệt Google Chrome năm 2021.

Chương này cũng tổng hợp các giải pháp đối phó tương ứng cho từng hình thức tấn công dành cho người dùng cá nhân và các doanh nghiệp, tổ chức.

CHƯƠNG 2: NGHIÊN CỨU VỀ CÔNG NGHỆ IPSEC (INTERNET PROTOCOL SECURITY)

Chương 2 trình bày chi tiết về mặt lý thuyết cấu trúc và nguyên lý vận hành của bộ giao thức IPSec tại Tầng mạng. Tác giả phân tích cấu tạo tiêu đề của hai giao thức trung tâm:

• Cấu trúc AH Header: Bao gồm Next Header (1 byte), Payload Length (1 byte), Reserved (2 byte), Security Parameters Index - SPI (4 byte), Sequence Number (4 byte) và Authentication Data / ICV (độ dài biến đổi tùy thuật toán băm).
• Cấu trúc ESP: Gồm phần đầu ESP Header (SPI, Sequence Number), phần tải trọng dữ liệu (Payload Data mã hóa), phần đuôi ESP Trailer (Padding, Pad Length, Next Header) và trường tùy chọn ESP Authentication Data (chứa ICV).

Đặc điểm so sánh	Giao thức AH (Authentication Header)	Giao thức ESP (Encapsulating Security Payload)
Dịch vụ bảo mật chính	Xác thực nguồn gốc, kiểm tra tính toàn vẹn (ICV)	Mã hóa dữ liệu (tính riêng tư)
Bảo vệ tính bí mật (Mã hóa)	Không hỗ trợ	Có hỗ trợ (sử dụng DES, 3DES, AES)
Chống tấn công phát lại	Hỗ trợ (thông qua trường Sequence Number 32-bit)	Hỗ trợ (thông qua trường Sequence Number 32-bit)
Xác thực toàn vẹn gói tin	Toàn bộ gói IP (trừ các trường bị biến đổi khi định tuyến)	Tải trọng Payload, ESP Trailer và ESP Header (tùy chọn)
Chế độ hoạt động	Transport Mode và Tunnel Mode	Transport Mode và Tunnel Mode

Nội dung chương làm rõ vai trò quản lý chính sách của cơ sở dữ liệu SPD và liên kết SA thông qua cơ sở dữ liệu SAD. Quy trình vận hành của giao thức trao đổi khóa IKE được mô tả qua hai giai đoạn: Giai đoạn 1 thiết lập kênh truyền an toàn ISAKMP SA thông qua 6 thông điệp trao đổi ở chế độ Main Mode hoặc 3 thông điệp ở chế độ Aggressive Mode; Giai đoạn 2 sử dụng chế độ Quick Mode (3 thông điệp) để đàm phán các liên kết bảo mật IPSec SA phục vụ mã hóa lưu lượng người dùng thực tế.

CHƯƠNG 3: TRIỂN KHAI MÔ HÌNH ỨNG DỤNG CÔNG NGHỆ IPSEC TRONG VIỆC TRUYỀN THÔNG TIN AN TOÀN TRÊN MẠNG INTERNET

Chương 3 chuyển dịch các nghiên cứu lý thuyết sang mô hình thực nghiệm mạng. Tác giả giới thiệu chức năng của ba công cụ chính: phần mềm StrongSwan (giải pháp IPSec VPN mã nguồn mở hỗ trợ cả IKEv1 và IKEv2), Wireshark (phần mềm bắt và phân tích giao thức mạng giao diện đồ họa) và Tcpdump (công cụ phân tích gói tin dòng lệnh trên Linux).

Nội dung chương tập trung vào quy trình cài đặt, thiết lập tệp cấu hình kết nối mạng giữa hai trạm gateway chạy hệ điều hành Ubuntu:

• Tệp ipsec.conf: Thiết lập các thông số kết nối, địa chỉ IP mạng ngoài, dải mạng con bên trong (leftsubnet, rightsubnet), kiểu kết nối đường hầm (tunnel mode), giao thức IKE và cơ chế xác thực.
• Tệp ipsec.secrets: Khai báo thông tin khóa bảo mật chia sẻ trước (Pre-Shared Key), sử dụng tiện ích mã hóa ngẫu nhiên của OpenSSL (openssl rand) để khởi tạo chuỗi bí mật an toàn.

Kết quả vận hành hệ thống được tác giả chứng minh qua các bước: khởi động đường hầm IPSec tại cả hai gateway, xác nhận trạng thái liên kết bảo mật SA được thiết lập, so sánh dấu vết gói tin trước và sau khi thiết lập kết nối mã hóa bằng công cụ Tcpdump và Wireshark.

Thiết kế và triển khai

Hệ thống thực nghiệm được thiết kế theo mô hình mạng riêng ảo IPSec Site-to-Site (Gateway-to-Gateway) nhằm bảo vệ lưu lượng truyền thông giữa hai mạng nội bộ qua môi trường mạng trung gian không tin cậy.

Kiến trúc hệ thống và công nghệ sử dụng

• Hệ điều hành: Linux (Ubuntu) cài đặt trên các trạm Gateway.
• Phần mềm triển khai IPSec: StrongSwan.
• Công cụ bảo mật bổ trợ: OpenSSL (dùng để sinh chuỗi khóa ngẫu nhiên).
• Công cụ giám sát và bắt gói tin: Tcpdump (giao diện dòng lệnh) và Wireshark (giao diện đồ họa).

Thành phần hệ thống	Vai trò kỹ thuật	Cấu hình triển khai
Gateway 1 (Left)	Trạm định tuyến và đầu cuối đường hầm IPSec phía gửi	Cài đặt StrongSwan, cấu hình kết nối trong ipsec.conf
Gateway 2 (Right)	Trạm định tuyến và đầu cuối đường hầm IPSec phía nhận	Cài đặt StrongSwan, cấu hình tương ứng trong ipsec.conf
ipsec.conf	Tệp tin cấu hình chính của StrongSwan	Khai báo tham số mạng: IP nội bộ, IP đối tác, chế độ type=tunnel, giao thức authby=secret
ipsec.secrets	Tệp tin lưu trữ thông tin xác thực	Lưu chuỗi Pre-Shared Key đồng nhất cho cả 2 gateway

Quy trình kiểm thử và kết quả quan sát

1. Trạng thái chưa khởi tạo IPSec: Các gói tin IP truyền qua mạng ở dạng dữ liệu bản rõ (plaintext). Bắt gói tin bằng Wireshark hoặc Tcpdump cho phép đọc toàn bộ tiêu đề IP gốc cùng nội dung tải tin bên trong, dễ dàng bị nghe lén và sửa đổi.
2. Quá trình đàm phán liên kết bảo mật: Khi lệnh khởi động IPSec được kích hoạt, StrongSwan tiến hành đàm phán IKE Phase 1 và Phase 2 giữa hai trạm Gateway. Quá trình trao đổi các tham số thuật toán mật mã và định danh SA được thực hiện an toàn.
3. Trạng thái sau khi thiết lập đường hầm IPSec:
   • Khi áp dụng chế độ AH Tunnel: Gói tin được gán tiêu đề New IP Header và AH Header, giá trị ICV được tính toán trên toàn bộ gói tin giúp phát hiện ngay lập tức hành vi sửa đổi dữ liệu.
   • Khi áp dụng chế độ ESP Tunnel: Toàn bộ gói tin IP ban đầu (gồm IP Header gốc và dữ liệu) được mã hóa hoàn toàn và đóng gói trong trường ESP Payload. Trên đường truyền công cộng, Tcpdump chỉ ghi nhận tiêu đề New IP Header chứa địa chỉ của hai gateway và giao thức ESP (giao thức số 50), dữ liệu thực tế bị che giấu.

Kết quả và đóng góp

Đồ án đạt được các kết quả cụ thể theo các nội dung đã công bố:

• Khảo cứu và hệ thống hóa bức tranh toàn cảnh về an toàn thông tin mạng những năm 2020–2021, đưa ra cơ chế phân tích dấu hiệu và giải pháp phòng vệ chi tiết cho 6 dạng tấn công mạng điển hình (Malware, Phishing, MITM, SQL Injection, DoS/DDoS, Zero-Day).
• Phân tích chi tiết cấu trúc định dạng gói tin và nguyên lý xử lý tiêu đề của hai giao thức AH, ESP ở cả hai chế độ truyền tải (Transport) và đường hầm (Tunnel), cũng như cơ chế điều khiển của hai cơ sở dữ liệu SPD, SAD và giao thức bắt tay hai pha IKE.
• Xây dựng thành công mô hình mạng thực nghiệm Site-to-Site Gateway sử dụng phần mềm mã nguồn mở StrongSwan trên Ubuntu, ứng dụng phương pháp xác thực khóa chia sẻ trước (Pre-Shared Key).
• Thông qua kiểm chứng thực nghiệm bằng Wireshark và Tcpdump, tác giả chứng minh được toàn bộ luồng thông tin khi đi qua đường hầm IPSec đã được bảo vệ: chế độ ESP mã hóa toàn bộ dữ liệu gốc ngăn ngừa nguy cơ nghe trộm, tiêu đề New IP Header ẩn địa chỉ IP nội bộ, và cơ chế xác thực ngăn chặn hành vi sửa đổi gói tin trên đường truyền.

Hạn chế và hướng nghiên cứu tiếp

Văn bản đồ án thể hiện một số hạn chế gắn liền với phạm vi triển khai:

• Thử nghiệm dừng lại ở mô hình mạng cố định Site-to-Site giữa hai gateway, chưa mở rộng đánh giá đối với các mô hình mạng truy cập từ xa (Remote Access VPN) dành cho người dùng di động.
• Phương thức xác thực trong mô hình thực nghiệm mới áp dụng cơ chế khóa chia sẻ trước (Pre-Shared Key), chưa triển khai hạ tầng khóa công khai (PKI) với chứng chỉ số điện tử X.509 để quản lý khóa ở quy mô lớn.
• Đồ án chưa thực hiện các phép đo định lượng cụ thể về độ trễ truyền gói (latency), độ suy hao băng thông và phụ tải tiêu hao tài nguyên xử lý (CPU) trên gateway khi thực hiện các phép toán mã hóa đối xứng khối lượng dữ liệu lớn.

Hướng phát triển tiếp theo được xác định là mở rộng cấu hình xác thực IPSec thông qua chứng thư số RSA/ECDSA, nghiên cứu tối ưu hóa hiệu năng mã hóa và tích hợp các chính sách định tuyến nâng cao cho các hạ tầng mạng doanh nghiệp phức tạp.

Giá trị tham khảo

Đồ án có giá trị tham khảo học thuật và ứng dụng thực hành cho các nhóm đối tượng:

• Sinh viên chuyên ngành An toàn thông tin, Công nghệ thông tin, Kỹ thuật Mạng và Viễn thông: Là tài liệu tham khảo trong các học phần Mạng máy tính, An toàn mạng, Mật mã ứng dụng và Đồ án chuyên ngành.
• Kỹ sư mạng và Quản trị viên hệ thống: Tham khảo hướng dẫn thiết lập hệ thống VPN mã nguồn mở StrongSwan trên Linux để kết nối các chi nhánh hoặc văn phòng làm việc qua mạng công cộng.
• Phần đáng tham khảo nhất trong văn bản: Bảng mô tả chi tiết từng byte trường thông tin trong tiêu đề AH/ESP (Bảng 2.1 và Bảng 2.2), sơ đồ các giai đoạn đàm phán của giao thức IKE, cùng quy trình cấu hình cụ thể các tệp ipsec.conf và ipsec.secrets tại Chương 3.

Câu hỏi thường gặp

1. Giao thức AH và ESP trong kiến trúc IPSec khác nhau ở những điểm cốt lõi nào? Giao thức AH (Authentication Header) chỉ cung cấp dịch vụ xác thực nguồn gốc và kiểm tra tính toàn vẹn của dữ liệu thông qua giá trị kiểm tra ICV, không hỗ trợ mã hóa nên không bảo vệ được tính bí mật của gói tin. Ngược lại, giao thức ESP (Encapsulating Security Payload) cung cấp tính năng mã hóa dữ liệu (sử dụng các thuật toán như DES, 3DES, AES) để bảo vệ quyền riêng tư, đồng thời hỗ trợ tùy chọn xác thực tính toàn vẹn và chống phát lại gói tin.

2. Sự khác biệt giữa chế độ truyền tải (Transport Mode) và chế độ đường hầm (Tunnel Mode) là gì? Trong chế độ truyền tải, tiêu đề bảo mật (AH hoặc ESP) được chèn vào giữa IP Header gốc và dữ liệu tầng trên, IP Header gốc được giữ nguyên nên chế độ này chủ yếu áp dụng cho truyền thông giữa hai máy trạm đầu cuối (Host-to-Host). Trong chế độ đường hầm, toàn bộ gói tin IP gốc (bao gồm cả IP Header cũ) được đóng gói và bảo vệ bên trong một gói tin mới với tiêu đề New IP Header, thường áp dụng cho truyền thông giữa các gateway (Gateway-to-Gateway hoặc Host-to-Gateway).

3. Cơ sở dữ liệu chính sách bảo mật (SPD) và Cơ sở dữ liệu liên kết bảo mật (SAD) có chức năng gì? SPD (Security Policy Database) lưu trữ các chính sách và quy tắc do quản trị viên thiết lập nhằm quyết định một gói tin đi vào hoặc đi ra có cần xử lý qua IPSec, bỏ qua hay loại bỏ (tương tự cơ chế của tường lửa). SAD (Security Association Database) lưu trữ các tham số kỹ thuật chi tiết của các liên kết bảo mật đang hoạt động (như thuật toán mã hóa, thuật toán băm, khóa bí mật, chỉ số SPI và thời gian sống của liên kết). Khi xử lý gói tin, SPD sẽ trỏ tới bản ghi tương ứng trong SAD để thực thi bảo mật.

4. Giao thức trao đổi khóa IKE thực hiện những nhiệm vụ gì qua hai giai đoạn đàm phán? Giai đoạn 1 (IKE Phase 1) tiến hành xác thực danh tính giữa hai bên (bằng Pre-Shared Key hoặc chữ ký số), đàm phán thuật toán mật mã và thiết lập một kênh truyền an toàn gọi là ISAKMP SA (thông qua chế độ Main Mode hoặc Aggressive Mode). Giai đoạn 2 (IKE Phase 2) hoạt động bên trong kênh truyền an toàn đã thiết lập ở Giai đoạn 1, sử dụng chế độ Quick Mode để đàm phán các tham số của IPSec SA, trực tiếp tạo ra các khóa dùng cho việc mã hóa và xác thực dữ liệu thực tế của người dùng.

5. Trong mô hình thực nghiệm ở Chương 3, tác giả sử dụng các phần mềm nào và kiểm chứng độ an toàn bằng cách nào? Tác giả sử dụng phần mềm StrongSwan trên hệ điều hành Ubuntu để thiết lập đường hầm IPSec VPN giữa hai gateway, cấu hình các tệp ipsec.conf và ipsec.secrets (sử dụng mật khẩu Pre-Shared Key sinh ngẫu nhiên từ OpenSSL). Hiệu quả an toàn được kiểm chứng bằng hai công cụ Tcpdump và Wireshark: trước khi bật IPSec, gói tin IP truyền dạng rõ và có thể đọc được nội dung; sau khi bật đường hầm, dữ liệu gốc được mã hóa thành các gói ESP, ẩn địa chỉ IP nội bộ dưới tiêu đề New IP Header và ngăn chặn hành vi sửa đổi gói tin trên đường truyền.

Kết luận

Đồ án tốt nghiệp "Nghiên cứu tìm hiểu về công nghệ IPSec và ứng dụng trong bảo mật thông tin mạng" của sinh viên Nguyễn Tuấn Anh đã hệ thống hóa đầy đủ cơ sở lý thuyết về an ninh mạng cùng kiến trúc kỹ thuật của bộ giao thức IPSec tại Tầng 3 mô hình OSI. Tác giả đã phân tích chuyên sâu các thành phần giao thức AH, ESP, IKE và hai cơ sở dữ liệu chính sách SPD, SAD. Đồng thời, đề tài đã triển khai thành công mô hình mạng riêng ảo thực nghiệm Gateway-to-Gateway bằng phần mềm StrongSwan trên nền tảng Ubuntu, kiểm chứng tính an toàn của lưu lượng dữ liệu qua các công cụ phân tích gói tin mạng.

Trích đoạn nội dung tài liệu

Chương 1 cũng trình bày khái quát về các hình thức tấn công mạng phổ biến hiện nay, đưa ra một số nội dung như khái niệm, dau hiệu nhận biết, hậu quả và biện pháp phòng chống cho từng hình thức tấn công mạng này. Khái quát chung về tình hình an ninh mạng những năm gần đây 1. Vấn đề an ninh mạng bên trong và ngoài nước Thế giới đang sống trong cuộc Cách mạng công nghệ lần thứ 4 với sự phát triển mạnh mẽ của nên tảng không gian mạng. Nó đã đem lại những lợi ích vô cùng to lớn trên nhiều lĩnh vực của đời sống xã hội, làm thay đôi bộ mặt của nhiều quốc gia, đem lại những thành tựu vượt bậc cho nhân loại.

Tuy nhiên, với tính toàn cầu và khả năng kết nối vô hạn, không gian mạng cũng đặt ra nhiều thách thức rất lớn đối với tình hình an ninh của các quốc gia trên thế giới như: chiến tranh mạng, chiến tranh thông tin, khủng bố mạng, tội phạm mạng. Những điều này làm cho vấn đề phát triển và làm chủ không gian mạng đã trở thành một trong những mối quan tâm không hề nhỏ đối với các quốc gia, trong đó có Việt Nam. Mỗi ngày, trên thế giới đã xảy ra hàng loạt các cuộc tấn công mạng với thủ đoạn tinh vi gây ra hậu quả vô cùng nghiêm trọng đến các cá nhân, tô chức, doanh nghiệp, thậm chí rộng hơn là hệ thống thông tin quốc gia. Đặc biệt, ở thời điểm hiện tại, con người còn đang phải đối mặt với tình hình dịch bệnh COVID-19 diễn biến hết sức phức tạp, làm ảnh hưởng trực tiếp đến sức khỏe và tình hình kinh tế, chính trị chung.

Thế nhưng chính vì điều này, con số tội phạm mạng lại ngày càng gia tăng một cách chóng mặt lên đến 600% (theo thống kê của VNIS). Dịch bệnh đã đem lại cho chúng thêm không gian, môi trường dé tận dụng khai thác các lỗ hong, đánh cắp thông tin, và có đủ thời gian dé ấp ủ các âm mưu thực hiện các cuộc tan công mạng trên quy mô lớn. Cu thé, tại Việt Nam trong nam 2020, theo thong kê được bởi hệ thông giám sát an ninh mạng Viettel có 3 triệu cuộc tấn công từ chối dịch vụ được ghi nhận. Có khoảng 156 tổ chức và 306 website của các tổ chức chính phủ bi tan công.

Có 4 chiến dịch tan công phishing lớn vào tất cả các ngân hàng với khoảng 26.000 người dùng ngân hàng bị ảnh hưởng gây tôn thất một lượng chi phí cực kỳ to lớn trong việc bảo trì và khôi phục hệ thống. Còn trong năm 2021 mới đây, theo ghi nhận từ các nguồn tin an ninh thông tin quốc gia, trong thời điểm ba tháng đầu năm đã ghi nhận 1271 các cuộc tấn công mạng qua nhiều hình thức khác nhau như tan công bang mã độc với 623 sự có, tan công bằng hình thức lừa đảo giả mạo với 449 sự có,. Hiện tai, tính đến thời điểm tháng 9/2021, con số này lại tiếp tục gia tăng đáng ké với tong con số ghi nhận là 6156 cuộc tan công (gồm 1.404 cuộc tan công giả mạo, 1.109 cuộc tan công làm thay đổi giao diện, 3.643 cuộc tan công mã độc, tăng 30,15% so với cùng ky năm 2020). Đồ án tốt nghiệp GVHD: TS.

Đặng Minh Tuấn Truy cập trái phép: 17.72 niấ BK ota RCác hình thức tin công khác: 0 Hình 1.1: Thống kê các cuộc tấn công mang trong yếu năm 2021 tại Việt Nam Còn trên thế giới trong năm 2021 vừa qua, theo ghi nhận từ các Diễn đàn kinh tế thế giới rủi ro về an ninh mạng vẫn nằm trong top đầu các rủi ro của toàn cầu.