LỜI MỞ ĐẦU Trong thời đại Internet phát triển rộng khắp như ngày nay, những dịch vụ như đào tạo từ xa, mua hàng trực tuyến, tư vấn y tế trực tuyến đã trở thành hiện thực. Tuy nhiên, do Internet có phạm vi toàn cầu, không một tổ chức hay chính phủ nào quản lý nên sẽ có rất nhiều khó khăn trong việc bảo mật, đảm bảo an toàn dữ liệu cũng như chất lượng của các dịch vụ trực tuyến thông qua đường truyền mạng. Từ đó, người ta đã đưa ra mô hình mới nhằm thỏa mãn những yêu cầu trên mà vẫn tận dụng được cơ sở hạ tầng mạng vốn có, đó chính là mạng riêng ảo (Virtual Private Network-VPN). Để có thể gửi và nhận dữ liệu thông qua mạng công cộng mà vẫn bảo đảm tính an toàn và bảo mật, VPN cung cấp cơ chế mã hóa dữ liệu trên đường truyền tạo ra một đường ống bảo mật giữa nơi gửi và nơi nhận (Tunnel) giống như một kết nối point-point trên mạng riêng.Và IPSEC (Internet Protocol Security) chính là một trong những giao thức tạo nên cơ chế “đường ống bảo mật” cho VPN.
5 Tieu luan (TIEU.(TUNNEL) LỜI CẢM ƠN Đầu tiên, chúng em xin gửi lời cảm ơn chân thành đến Trường Đại học Công Nghệ TP. Hồ Chí Minh đã đưa môn học bảo mật thông tin vào chương trình giảng dạy. Đặc biệt, em xin gửi lời cảm ơn sâu sắc đến giảng viên bộ môn – thầy Nguyễn Văn Vịnh đã dạy dỗ, truyền đạt những kiến thức quý báu cho em trong suốt thời gian học tập vừa qua. Trong thời gian học lớp của thầy, em đã có thêm cho mình nhiều kiến thức bổ ích, tinh thần học tập hiệu quả, nghiêm túc.
Đây chắc chắn sẽ là những kiến thức quý báu, là hành trang để em có thể vững bước sau này. Bộ môn bảo mật thông tin là môn học thú vị, vô cùng bổ ích và có tính học thuật cao. Đảm bảo cung cấp đủ kiến thức của sinh viên. Tuy nhiên, do vốn kiến thức còn nhiều hạn chế và khả năng tiếp thu thực tế còn nhiều bỡ ngỡ.
Mặc dù chúng em đã cố gắng hết sức nhưng chắc chắn bài đề tài khó có thể tránh khỏi những thiếu sót và nhiều chỗ còn chưa chính xác, kính mong thầy xem xét và góp ý để bài tiểu luận của em được hoàn thiện hơn. Chúng em xin chân thành cảm ơn! 6 Tieu luan (TIEU. TỔNG QUAN VỀ IPSEC 1. Giới thiệu về IPSEC IPSEC ( Internet Protocol Security) là giao thức ở lớp Network (OSI) được chuẩn hoá bởi IETF từ năm 1998, cho phép gửi nhận các gói IP được mã hóa.
Tùy theo mức độ cần thiết, IPSEC có thể cung cấp một giải pháp an toàn dữ liệu từ đầu cuối trong bản thân cấu trúc mạng dựa trên hai kiểu dịch vụ mã hóa: AH, ESP. Vì vậy vấn đề an toàn được thực hiện mà không cần thay đổi các ứng dụng cũng như các hệ thống cuối. Các gói mã hóa có khuôn dạng giống như gói tin IP thông thường, nên chúng dễ dàng được định tuyến qua mạng Internet mà không phải thay đổi các thiết bị mạng trung gian, qua đó cho phép giảm đáng kể các chi phí cho việc triển khai và quản trị. IPSec cung cấp các dịch vụ bảo mật như: + Bảo mật(mã hóa) - Confidentiality: Người gửi có thể mã hóa dữ liệu trước khi truyền chúng qua mạng.
Bằng cách đó, không ai có thể nghe trộm trên đường truyền. Nếu giao tiếp bị ngăn chặn, dữ liệu không thể đọc được. + Toàn vẹn dữ liệu - Data integrity: Người nhận có thể xác minh các dữ liệu được truyền qua mạng Internet mà không bị thay đổi. IPSec đảm bảo toàn vẹn dữ liệu bằng cách sử dụng checksums (cũng được biết đến như là một giá trị băm).
+ Xác thực - Authentication: Xác thực đảm bảo kết nối được thực hiện và các đúng đối tượng. Người nhận có thể xác thực nguồn gốc của gói tin, bảo đảm, xác thực nguồn gốc của thông tin. + Antireplay protection: xác nhận mỗi gói tin là duy nhất và không trùng lặp. IPSec là một nền(Frame work) kết hợp giao thức bảo mật và cung cấp mạng riêng ảo với các dữ liệu bảo mật, toàn vẹn và xác thực.
Làm việc với sự tập hợp của các chuẩn mở được thiết lập để đảm bảo sự bảo mật dữ liệu, đảm bảo tính toàn vẹn dữ liệu, và chứng thực dữ liệu giữa các thiết bị tham gia vào mạng VPN. Các thiết bị này có thể là 7 Tieu luan (TIEU.(TUNNEL) các host hoặc là các security gateway (routers, firewalls, VPN concentrator, .) hoặc là giữa 1 host và gateway như trong trường hợp remote access VPNs. Application Layer Presentation Layer Session Layer Transport Layer Network Layer IPSEC Data Link Layer Physical Layer IPSEC được phát triển với mục đích cung cấp một cơ cấu bảo mật ở Layer 3 trong OSI. Và Nó cũng là một phần quan trọng trong hỗ trợ giao thức L2TP( Layer 2 tunneling protocol) trong công nghệ mạng riêng ảo VPN.
IPSec được thiết kế như phần mở rộng của giao thức IP, được thực hiện thống nhất trong cả hai phiên bản IPv4 và IPv6. Đối với IPv4, việc áp dụng IPSec là một tuỳ chọn, nhưng đối với IPv6, giao thức bảo mật này được triển khai bắt buộc Các giao thức chính sử dụng trong IPSec: - IP Security Protocol (IPSec): + Authentication Header (AH): cung cấp tính toàn vẹn phi kết nối và chứng thực nguồn gốc dữ liệu cho các gói dữ liệu IP và bảo vệ chống lại các cuộc tấn công replay. + Encapsulation Security Protocol (ESP): cung cấp tính năng bảo mật, chứng thực nguồn gốc dữ liệu, tính toàn vẹn phi kết nối và dịch vụ chống replay. - Message Encryption: + Data Encryption Standard (DES): Được phát triển bởi IBM.
DES sử dụng 1 khóa 56-bít, đảm bảo hiệu năng mã hóa cao. DES là một hệ thống mã hóa khóa đối xứng. 8 Tieu luan (TIEU.(TUNNEL) + Triple DES (3DES): là một biến thể của DES 56-bít. Hoạt động tương tự như DES, trong đó dữ liệu được chia thành các khối 64 bít.
3DES thực thi mỗi khối ba lần, mỗi lần với một khóa 56 bít độc lập. 3DES cung cấp sức mạnh khóa đáng kể so với DES. - Message Integrity (Hash) Functions + Hash-based Message Authentication Code (HMAC) : là một thuật toán toàn vẹn dữ liệu đảm bảo tính toàn vẹn của bản tin. Tại đầu cuối, bản tin và một khóa chia sẻ bí mật được gửi thông qua một thuật toán băm, trong đó tạo ra một giá trị băm.
Bản tin và giá trị băm được gửi qua mạng. Hai dạng phổ biến của thuật toán HMAC như sau: Message Digest 5 (MD5) và Secure Hash Algorithm-1,2 (SHA-1,2). - Peer Authentication: + Rivest, Shamir, and Adelman (RSA) Digital Signutures: là một hệ thống mật mã khóa bất đối xứng. Nó sử dụng một chiều dài khóa là 512 bít, 768 bít, 1024 bít hoặc lớn hơn.
IPsec không sử dụng RSA để mã hóa dữ liệu. Chỉ sử dụng RSA để mã hóa trong giai đoạn xác thực ngang hàng. + RSA Encrypted Nonces - Key Management + Diffie-Hellman (D-H) + Certificate Authority (CA) - Security Association + Internet Exchange Key (IKE): IPSec dùng một giao thức thứ ba, Internet Key Exchange (IKE), để thỏa thuận các giao thức bảo mật và các thuật toán mã hóa trước và trong suốt phiên giao dịch. + Internet Security Association and Key Management Protocol (ISAKMP) 9 Tieu luan (TIEU.(TUNNEL) Hình 1: Sơ đồ kiến trúc IPSec 1.
Liên kết bảo mật SA (Security Associations) Là một khái niệm cơ bản của bộ giao thức IPSEC. SA là một kết nối luận lý theo một phương hướng duy nhất giữa hai thực thể sử dụng các dịch vụ IPSEC. SA gồm có 3 trường : SPI (Security Parameter Index) là một trường 32 bits dùng nhận dạng giao thức bảo mật, được định nghĩa bởi trường Security protocol, trong bộ IPSEC đang dùng. SPI như là phần đầu của giao thức bảo mật và thường được chọn bởi hệ thống đích trong suốt quá trình thỏa thuận của SA.
10 Tieu luan (TIEU.(TUNNEL) Destination IP address là địa chỉ IP của nút đích. Cơ chế quản lý hiện tại của SA chỉ được định nghĩa cho hệ thống unicast mặc dù nó có thể là địa chỉ broadcast, unicast, hay multicast. Security protocol: mô tả giao thức bảo mật IPSEC, là AH hoặc là ESP. SA trong IPSEC được triển khai bằng 2 chế độ đó là Tunnel mode và Transport mode.
Các chế độ hoạt động của IPSec 1. IPSec (Tunnel) Là một tập hợp các tiêu chuẩn và giao thức được phát triển ban đầu bởi Lực lượng Đặc nhiệm Kỹ thuật Internet (IETF) để hỗ trợ truyền thông an toàn khi các gói thông tin được truyền từ một địa chỉ IP qua các ranh giới mạng và ngược lại. IPSec (Tunnel) cho phép triển khai mạng riêng ảo (VPN) mà doanh nghiệp có thể sử dụng để mở rộng phạm vi tiếp cận ngoài mạng của chính mình một cách an toàn cho khách hàng, đối tác và nhà cung cấp. IPSec VPN có thể được phân loại là: + Intranet VPNs: Kết nối trụ sở công ty với các văn phòng ở các địa điểm khác nhau.
+ Extranet VPN: Kết nối doanh nghiệp với các đối tác kinh doanh hoặc nhà cung cấp. + VPN truy cập từ xa: Kết nối người dùng cá nhân, từ xa, chẳng hạn như giám đốc điều hành hoặc người làm việc viễn thông với mạng công ty của họ. 11 Tieu luan (TIEU. Sự khác biệt giữa IPSEC (Tunnel Mode và Transport Mode) Tunnel Mode : Bảo vệ dữ liệu trong các tình huống mạng với mạng hoặc giữa các trang.
Nó đóng gói và bảo vệ toàn bộ gói IP. Tải trọng bao gồm tiêu đề IP gốc và tiêu đề IP mới ( bảo vệ toàn bộ tải trọng IP bao gồm cả dữ liệu người dùng). Transport Mode : Bảo vệ dữ liệu trong các kịch bản từ máy chủ đến máy chủ lưu trữ hoặc đầu cuối. Trong chế độ này, IPSec sẽ bảo vệ trọng tải của gói dữ liệu IP gốc bằng cách loại trừ tiêu đề IP(chỉ bảo vệ các giao thức lớp trên của tải trọng IP( hay còn gọi là dữ liệu người dùng).
Giao thức AH (Authentication Header) 1. Giới thiệu AH cung cấp xác thực nguồn gốc dữ liệu (data origin authentication), kiểm tra tính toàn vẹn dữ liệu (data integrity), và dịch vụ chống phát lại (anti-replay service). AH cho phép xác thực các trường của IP header cũng như dữ liệu của các giao thức lớp trên, tuy nhiên do một số trường của IP header thay đổi trong khi truyền và phía phát có thể không dự đoán trước được giá trị của chúng khi tới phía thu, do đó giá trị của các trường này không bảo vệ được bằng AH. Có thể nói AH chỉ bảo vệ một phần của IP header mà 12 Tieu luan (TIEU.
AH không cung cấp bất cứ xử lý nào về bảo mật dữ liệu của các lớp trên, tất cả đều được truyền dưới dạng văn bản rõ.