BỘ THÔNG TIN VÀ TRUYỀN THÔNG HỌC VIỆN CÔNG NGHỆ BƯU CHÍNH VIỄN THƠNG - - TIỂU LUẬN An Ninh Mạng Thông Tin Đề Tài : Tấn Công Man-in-the-Middle vào SSL/TLS Bài thi cuối kỳ môn ANM i Bài thi cuối kỳ môn ANM Bảng phân công cơng việc nhóm Họ tên sinh viên Mã sinh viên Công việc - I Giao thức SSL/TLS - Lời nói đầu - Bổ sung ý tưởng cho tiểu luận, tìm nội dung, chỉnh sửa file word - 2.1 Kịch công Man-in-the-middle vào SSL/TLS - Lên ý tưởng cho tiểu luận, tìm nội dung, chỉnh sửa file word - 2.2 Các phương pháp giảm thiểu cơng Man-inthe-middle - Lời nói đầu, viết kết luận - Bổ sung ý tưởng cho tiểu luận, tìm nội dung, tổng hợp toàn file word chỉnh sửa ii Bài thi cuối kỳ môn ANM Mục lục Kết phần mềm DoIT i Bảng phân cơng cơng việc nhóm ii Mục lục iii Danh mục thuật ngữ viết tắt iv Danh mục hình vẽ vi Danh mục bảng biểu vi Lời nói đầu vii I Giao thức SSL/TLS 1.1 SSL/TLS 1.2 Sự phát triển giao thức SSL/TLS qua phiên 1.3 Kiến trúc số giao thức khác SSL/TLS 1.3.1 Kiến trúc chồng giao thức SSL/TLS 1.3.2 SSL Handshake Protocol 1.3.3 SSL Record Protocol 1.3.4 Một số giao thức khác SSL/TLS 1.4 Các giải thuật mật mã hóa hàm sử dụng SSL/TLS 1.5 Mô tả bước hoạt động SSL/TLS 1.6 Ứng dụng giao thức SSL/TLS II Tấn công Man-in-the-middle vào SSL/TLS cách giảm thiểu 10 2.1 Kịch công Man-in-the-middle vào SSL/TLS 10 2.1.1 Tổng quan MITM 10 2.1.2 Cách thức hoạt động công MITM 10 2.2 Các phương pháp giảm thiểu công Man-in-the-middle 14 2.2.1 Dựa Password 14 2.2.2 Dựa GUI 16 2.2.3 Dựa mã xác thực OTP (One-Time-Password) 17 2.2.4 Dựa vào Token 18 Kết luận 20 TÀI LIỆU THAM KHẢO 21 iii Bài thi cuối kỳ môn ANM Danh mục thuật ngữ viết tắt Tên viết tắt Tên Tiếng Anh Tên Tiếng Việt AES Advance Encryption Standard Chuẩn mã hóa liệu tiên tiến ARP Address Resolution Protocol Giao thức phân giải địa BEAST Browser Exploit Against SSL / Khai thác trình duyệt chống lại SSL/TLS TLS CA Certificate Authority Nhà cung cấp chứng thư số CBC Coding Block Chaining Chuỗi mật mã khối CLI Command Line Interface Giao diện dòng lệnh DES Data Encryption Standard Chuẩn mã hóa liệu DNS Domain Name Server Máy chủ tên miền GUI Graphic User Interface Giao diện đồ họa người dùng HTML HyperText Markup Language Ngôn ngữ siêu văn HTTP HyperText Transport Protocol Giao thức truyền siêu văn HTTPS HTTP with SSL Giao thức HTTP kết hợp với SSL IDEA International Data Encryption Thuật tốn mã hóa liệu tồn cầu Algorithm IP Internet Protocol Giao thức Internet IV Initialization Vector Vector khởi tạo iv Bài thi cuối kỳ môn ANM MAC Message Authentication Code Mã xác thực tin MITM Man-in-the-middle Kẻ công OTP One-Time-Password Mật sử dụng lần PCT Private Communication Công nghệ truyền thơng riêng tư Technology PIN Personal Inditìication Number Số định danh cá nhân RC Ron’s Code Thuật tốn mã hóa Ron SMS Short Message Service Dịch vụ tin nhắn ngắn SSL Secure Socket Layer Giao thức bảo mật TCP Transmission Control Protocol Giao thức điều khiển truyền tải TLS Transport Layer Security Giao thức bảo mật cho lớp vận chuyển URL Uniform Resource Locator Định vị tài nguyên thống v Bài thi cuối kỳ môn ANM Danh mục hình vẽ Hình I-1: Chồng giao thức SSL/TLS Hình I-2: Quá trình bắt tay SSL/TLS Hình I-3: Bản tin ClientHello Hình I-4: Bản tin ServerHello Hình I-5:Client xác thực Server Hình I-6: Q trình trao đổi khóa Client Server Hình I-7: Q trình bắt tay hồn tất Hình I-8: Quá trình hoạt động SSL Record Protocol Hình I-9: Trang web sử dụng HTTPS Hình I-10: Trang web khơng có HTTPS Hình II-1: Minh họa trình thiết lập kết nối MITM 10 Hình II-2: Ngun lí hoạt động mật mã khối làm việc chế độ CBC 12 Hình II-3: Cách kẻ cơng vào CBC 13 Hình II-4: Tấn cơng lấy cookie session 14 Hình II-5: Lưu trữ chứng thực mật 15 Hình II-6: Mật có Salt Pepper 16 Hình II-7: Quy trình xác thực phần mềm Passfaces 16 Hình II-8: Mã OTP qua SMS ứng dụng ngân hàng Vietcombank 17 Hình II-9: Mã xác thực OTP token phần cứng 17 Hình II-10: Smart OTP Vietcombank 18 Hình II-11: Thiết bị token RSA SecurID 19 Danh mục bảng biểu Bảng 1: Các thuật tốn mã hóa khối sử dụng SSL/TLS Bảng 2: Các thuật tốn mã hóa dịng sử dụng SSL/TLS vi Bài thi cuối kỳ môn ANM Lời nói đầu Nhu cầu người với phát triển xã hội, kinh tế công nghệ kỹ thuật đưa loài người bước qua thời kỳ công nghiệp 1.0, 2.0, 3.0 quan trọng thời điểm 4.0 Từ việc đời máy tính cá nhân từ thập niên 7080 kỷ trước đời Internet biết đến nhiều khoảng thập niên 90, kể từ lĩnh vực cơng nghệ thơng tin ngày phát triển mạnh với tốc độ ngày nhanh mang đến lợi ích nhiều dịch vụ thiếu người Những lợi ích kể lưu trữ liệu, gửi thư điện tử, nói chuyện hay gọi điện video trực tuyến, hệ thống dịch vụ chăm sóc sức khỏe,… nói nhiều thời gian gần trí tuệ nhân tạo – biểu tượng cách mạng công nghiệp 4.0 Từ lợi ích to lớn mà hệ thống máy tính internet đem lại, dần trở thành điều quan trọng tồn cầu cơng mạng điều tất yếu xảy để nhằm đánh cắp liệu, thay đổi liệu người dùng,… Đó lí mà giao thức bảo mật phát hành, số giao thức SSL/TLS Nhưng đời SSL/TLS hay giao thức bảo mật khác phần giảm thiểu cơng mạng, công người thứ ba cố gắng tìm hiểu can thiệp vào lỗ hổng giao thức Các công trở nên tinh vi dù chúng nguyên lí can thiệp vào kết nối máy khách máy chủ Trên sở đó, chúng em chọn đề tài ngồi việc trình bày tổng quan giao thức SSL/TLS, chúng em đề cập đến công Man-in-the-middle (MITM) số giải pháp giảm thiểu công qua hai chương chính: Chương I: Giao thức SSL/TLS Chương II: Tấn công Man-in-the-middle vào SSL/TLS cách giảm thiểu Qua đó, để làm tiểu luận này, chúng em có phương pháp giải vấn đề từ biết với tham khảo tìm hiểu từ giáo trình, giảng tài liệu mạng vii Bài thi cuối kỳ môn ANM I 1.1 Giao thức SSL/TLS SSL/TLS SSL/TLS viết tắt từ Secure Socket Layer / Transport Layer Security có nghĩa chung giao thức dùng để bảo mật tầng giao vận - tầng thứ ba mơ hình TCP/IP Là giao thức mật mã dùng cho cung cấp truyền thơng an tồn qua mạng, sử dụng theo mơ hình hệ thống mật mã hóa bất đối xứng (sử dụng khóa cơng khai khóa bí mật) hệ thống mật mã hóa đối xứng (sử dụng cho việc mã hóa) Giao thức thức có ba chức chính, SSL/TLS cung cấp tính xác thức qua bên thứ ba - nơi cung cấp chứng (tổ chức chứng nhận) bên gửi bên nhận xem có nhà điều hành trang web kiểm sốt tên miền hay khơng Điều giúp cho người sử dụng, khách hàng xác nhận an tâm để thực xử lý thông tin quan trọng giao tiếp với nơi cần giao tiếp SSL/TLS có chức mã hóa bảo mật, hoạt động để bảo vệ liệu, thông tin khỏi công từ bên thứ ba Giao thức cung cấp tính tồn vẹn liệu, cách sử dụng MAC xác nhận xem liệu truyền không bị đánh tráo, thay đổi bị giả mạo Các chức SSL/TLS nói sử dụng nhiều việc tích hợp vào giao thức gửi qua HTTP khách hàng máy chủ gọi HTTP qua TLS (HTTPS = HTTP + TLS) [1] Và từ giao thức sử dụng rộng rãi này, xảy lỗ hổng bảo mật, mối đe dọa tiềm ẩn công Man-in-the-middle (MITM) vào giao thức để khai thác thơng tin, chủ đề tiểu luận 1.2 Sự phát triển giao thức SSL/TLS qua phiên Giao thức SSL ban đầu phát triển Netscape Communications Qua thời gian, vấn đề gặp phải lỗ hổng bảo mật nên từ giao thức SSL dần nâng cấp lên phiên khác nhau, xử lý triệt để vấn đề an ninh bảo mật phiên nâng cấp phần cải thiện vấn đề dự định gặp phải thay đổi công nghệ ngày nhanh Cho đến SSL có ba phiên số phiên nâng cấp nữa: • SSL 1.0: Phiên thử nghiệm, sử dụng thử nghiệm Netscape Communications không phát hành cơng khai lí gặp phải vấn đề bảo mật • SSL 2.0: Được cải tiến phát hành vào năm 1995 Netscape Communications nhằm thực giao thức HTTPS trình duyệt web giao thức cạnh tranh thời điểm PCT Microsoft SSL 2.0 lúc có điểm yếu liên quan đến công đến năm 2011 dừng sử dụng • SSL 3.0: phát hành năm 1996 để phản ứng lại thách thức từ PCT Microsoft Đến năm 2015 loại bỏ liên quan đến vấn đề bảo mật Bài thi cuối kỳ mơn ANM • TLS 1.0: mắt vào năm 1999, nâng cấp lên SSL 3.0 hay TLS 1.0 gọi SSL 3.1 • TLS 1.1: phát hành sử dụng vào năm 2006, cải tiến vecto khởi tạo, xử lý lỗi đệm, đóng phiên khơi phục lại phiên • TLS 1.2: phát hành sử dụng vào năm 2008, số cải tiến so với TLS 1.1 sử dụng thuật toán SHA-256 • TLS 1.3: phát hành sử dụng vào năm 2018, thời gian bắt tay thiết lập phiên nhanh đem lại hiệu suất tốt TLS 1.2 [1] [2] 1.3 Kiến trúc số giao thức khác SSL/TLS 1.3.1 Kiến trúc chồng giao thức SSL/TLS Hình I-1: Chồng giao thức SSL/TLS SSL/TLS giao thức hoạt động trung gian lớp ứng dụng (Application Layer) lớp vận chuyển (Transport Layer) Sử dụng kết nối TCP để cung cấp dịch vụ truyền đáng tin cậy, hoạt động theo mơ hình khách chủ (client – server) Giao thức SSL chia thành hai lớp, có giao thức SSL Record Protocol (giao thức ghi), giao thức nằm lớp dưới, cung cấp chức mã hóa cho giao thức khác SSL lớp với giao thức khác hoạt động lớp ứng dụng Các giao thức lớp coi phần SSL là: Handshake Protocol (giao thức bắt tay), hai giao thức khác Change Cypher Spec Protocol (Giao thức đặc tả mã hóa thay đổi) Alert Protocol (Giao thức thông báo) Như giao thức SSL chia có hai giao thức mơ tả hoạt động: • SSL Record Protocol • SSL Handshake Protocol Cùng với hai giao thức hoạt động SSL: Bài thi cuối kỳ mơn ANM Hình I-8: Quá trình hoạt động SSL Record Protocol 1.3.4 Một số giao thức khác SSL/TLS Ngoài hai giao thức cốt lõi kể là: Record Protocol Handshake Protocol cịn có hai giao thức nằm kiến trúc SSL là: SSL Change Cipher Spec Protocol SSL Alert Protocol • SSL Change Cipher Spec Protocol: - Là giao thức SSL, hoạt động lớp hai lớp SSL giao thức đơn giản nhất, dùng để cập nhật trạng thái mật mã kết nối Khi trạng thái chờ chép vào trạng thái để cập nhật trạng thái mật mã [4] • SSL Alert Protocol: - Cũng giao thức nằm lớp SSL, dùng để cảnh báo cho đối tượng kết nối đầu cuối Giao thức sử dụng cho việc nén mã hóa, thực trạng thái [4] Các giải thuật mật mã hóa hàm sử dụng SSL/TLS SSL/TLS cung cấp ba vấn đề giải pháp an toàn vấn đề xác thực, bảo mật tính tồn vẹn liệu 1.4 • Về đảm bảo tính tồn vẹn liệu: - Sử dụng giá trị MAC để bên phía nhận tính MAC so sánh so với giá trị MAC nhận được, liệu xác thực đảm bảo chưa bị kẻ công thay đổi nội dung hay liệu nguyên vẹn, cịn giá Nhóm Bài thi cuối kỳ mơn ANM trị MAC tính lại mà khác so với giá trị MAC nhận liệu bị mát,… - Để tính tốn giá trị MAC giao thức SSL/TLS sử dụng hàm băm MD-5 SHA-1 • Về vấn đề bảo mật: Sử dụng giải thuật mã hóa khác để mã hóa liệu, đảm bảo cho liệu phần truyền giảm thiểu can thiệp từ bên thứ ba nhằm lấy cắp liệu trình sử dụng [4] Mã hóa khối Thuật tốn Kích thước khóa AES 128, 256 bit IDEA 128 bit RC2-40 40 bit DES-40 40 bit DES 56 bit 3DES 168 bit Fortezza 80 bit Bảng 1: Các thuật toán mã hóa khối sử dụng SSL/TLS Mã hóa dịng Thuật tốn Kích thước khóa RC4-40 40 bit RC4-128 128 bit Bảng 2: Các thuật tốn mã hóa dịng sử dụng SSL/TLS Mô tả bước hoạt động SSL/TLS Các bước hoạt động giao thức SSL/TLS q trình mơ tả giao thức bắt tay (SSL Handshake Protocol) giao thức ghi SSL (SSL Record Protocol) mơ hình kiến trúc SSL/TLS Hoạt động giao thức SSL tổng kết lại chia hai bước chính: thiết lập phiên làm việc bước truyền liệu ứng dụng 1.5 • Thiết lập phiên làm việc: - Đồng thuật tốn mã hóa: danh sách thuật tốn dùng để mã hóa u cầu từ client server xem giao thức hỗ trợ để xác nhận sử dụng thuật tốn Đó bước thỏa thuận việc sử dụng thuật toán client server - Thực xác thực: trình xác thực lẫn server client để đảm bảo liên lạc với trang web cấp phép Nhóm Bài thi cuối kỳ mơn ANM Chia sẻ khóa bí mật: hai bên trao đổi khóa sử dụng khóa bí mật thỏa thuận để mã hóa liệu trình truyền liệu • Truyền liệu: - Sau trình bắt tay thiết lập chế xác thực bảo mật, lấy khóa bí mật phục vụ cho trình bảo mật liệu truyền liệu theo mơ hình kết nối client – server, thực bước phân mảnh gói tin, nén, thêm giá trị MAC để dễ xử lý, đảm bảo cho tính tồn vẹn liệu - Khi bên nhận nhận liệu sử dụng khóa bí mât để giải mã, tính tốn lại giá trị MAC so sánh với MAC nhận bên gửi xem liệu có bảo tồn khơng giải nén gói liệu để nhận gói tin hồn chỉnh - Ứng dụng giao thức SSL/TLS SSL hay ngày gọi TLS giao thức bảo mật quan trọng sử dụng rộng rãi lĩnh vực khác internet, phổ biến trang web SSL/TLS cung cấp chức cho giao thức lớp ứng dụng nói nhiều HTTP Khi ta lên mạng, trang web truy cập có sử dụng https:// URL (Uniform Resource Locator) có nghĩa trang web sử dụng HTTP giao thức SSL/TLS hỗ trợ (HTTPS = HTTP + SSL/TLS), điển ta thấy trang web đây: 1.6 Hình I-9: Trang web sử dụng HTTPS Và trang web không sử dụng giao thức bảo mật SSL/TLS: Hình I-10: Trang web khơng có HTTPS Qua trang web ta thấy giao thức SSL/TLS sử dụng nhiều cho việc hỗ trợ an ninh mạng trang web Giao thức biết nhiều qua trang web cịn hỗ trợ bảo mật việc nhắn tin, gửi email,… Nhóm Bài thi cuối kỳ môn ANM II 2.1 Tấn công Man-in-the-middle vào SSL/TLS cách giảm thiểu Kịch công Man-in-the-middle vào SSL/TLS 2.1.1 Tổng quan MITM Khái niệm MITM : Tấn công MITM (Man-in-the-Middle)là hình thức cơng tích cực, kẻ cơng tự nhét vào phiên giao tiếp người hệ thống (Thường trình duyệt web máy chủ web) [5] Một kịch MITM có ba đối tượng tham gia: Nạn nhân, đối tượng mà nạn nhân cố gắng kết nối, kẻ công giữa(MITM), kẻ công chặn kết nối nạn nhân nạn nhân không nhận thức kẻ này, tiền đề cho kiểu công Trong trường hợp bị công, nạn nhân tin tưởng họ truyền thông cách trực tiếp với nạn nhân kia, thực luồng truyền thông lại bị thông qua host kẻ công(MITM) Và kết kẻ hacker không thơng dịch liệu nhạy cảm mà cịn gửi xen vào thay đổi luồng liệu để kiểm soát sâu nạn nhân 2.1.2 Cách thức hoạt động cơng MITM Hình II-1: Minh họa q trình thiết lập kết nối MITM Về chia cơng MITM có giai đoạn: • Bước 1: Đánh chặn/Interception: Bước chặn lưu lượng truy cập người dùng thơng qua mạng.Có thể dung cách sau để thực hiện: - Cách 1:Cách phổ biến (và đơn giản nhất) để thực điều kẻ công tạo điểm truy cập WiFi miễn phí,khơng có mật để bảo vệ 10 Nhóm Bài thi cuối kỳ mơn ANM nên nạn nhân dễ bị lừa để kết nối tơi wifi Khi nạn nhân kết nối với điểm phát song wifi, kẻ cơng có tồn quyền hiển thị trao đổi liệu trực tuyến Cách 2: IP spoofing - Giả mạo IP: Mỗi thiết bị có khả kết nối với internet có internet protocolt address (IP), tương tự địa cho nhà bạn Với IP spoofing, kẻ công cải trang thành ứng dụng cách thay đổi tiêu đề gói địa IP Do đó, người dùng cố gắng truy cập vào URL kết nối với ứng dụng chuyển đến trang web kẻ công - Cách 3: ARP spoofing- Giả mạo ARP (Address Resolution Protocol- giao thức phân giải địa chỉ): Giả mạo ARP kỹ thuật qua kẻ cơng giả thơng điệp ARP mạng cục Mục tiêu kết hợp địa MAC kẻ công với địa IP máy chủ khác, chẳng hạn cổng mặc định (default gateway), làm cho lưu lượng truy cập dành cho địa IP gửi đến kẻ cơng ARP spoofing cho phép kẻ cơng chặn khung liệu mạng, sửa đổi lưu lượng, dừng tất lưu lượng - Cách 4: Giả mạo DNS, gọi nhiễm độc nhớ cache DNS, liên quan đến việc xâm nhập vào máy chủ DNS thay đổi ghi địa trang web Do đó, người dùng cố gắng truy cập trang web bị ghi DNS thay đổi gửi đến trang web kẻ cơng • Bước 2: Giải mã/Decryption: Sau bị chặn, lưu lượng SSL hai chiều cần giải mã mà không cần thông báo cho người dùng ứng dụng Một số cách thực hiện: - Cách 1: Giả mạo HTTPS ➢ HTTPS :Tiêu chuẩn HTTP Secured HTTPS nhằm mục đích bảo mật trang web tài nguyên trực tuyến thông qua việc sử dụng mã hóa TLS (Bảo mật lớp truyền tải) Điều đảm bảo kẻ công kẻ nghe trộm khơng thể nhìn thấy thơng tin bạn gửi đến trang web có giao thức https biểu tượng ổ khóa địa ➢ Tấn công giả mạo HTTPS: Để thực công ,Hacker đăng ký tên miền tương tự với trang web mục tiêu đăng ký chứng SSL để làm cho trơng hợp pháp an tồn Sau đó, họ gửi liên kết đến nạn nhân dự định họ.Họ không nhận thấy phiên khơng có thật trang web mà họ muốn truy cập Trình duyệt họ chí cịn cho thấy chứng trang web hợp pháp an toàn, khiến cho việc phát công trở nên khó khăn - Cách 2: SSL BEAST ➢ BEAST viết tắt Browser Exploit Against SSL / TLS (khai thác trình duyệt chống lại SSL/ TLS) nhắm vào lỗ hổng TLS phiên 1.0 [6] ➢ Giao thức TLS sử dụng mật mã khối Mật mã khối có nghĩa tin chia làm khối liệu có độ dài cố định Nếu khơng có đủ liệu cho khối - 11 Nhóm Bài thi cuối kỳ mơn ANM cuối cùng, khối cuối đệm Sau mà hóa khóa bí mật.Và cho mã có độ dài với rõ Bản mã truyền cơng khai người gửi n tâm khơng khơi phục rõ ban đầu trừ họ có khóa bí mật ➢ Một số mật mã khối phổ biến DES, 3DES AES Và TLS hoạt động chế độ CBC(Coding Block Chaining).CBC có nghĩa khối rõ kết hợp (XOR) với khối mã trước trước đưa vào mã hóa.Vậy cịn khối sao? ➢ Trong chế độ CBC, khối kết hợp với Initialization Vector (Vector khởi tạo gọi tắt IV) khối liệu ngẫu nhiên làm cho thông báo Tính bảo mật mật mã khối chế độ CBC hồn tồn phụ thuộc vào tính ngẫu nhiên vectơ khởi tạo Và vấn đề: TLS 1.0, vectơ khởi tạo không tạo ngẫu nhiên Thay tạo IV cho tin, giao thức sử dụng khối mã cuối từ tin trước làm IV Điều mở lỗ hổng nghiêm trọng chặn liệu mã hóa nhận vectơ khởi tạo Các khối kết hợp cách sử dụng XOR, hoạt động đảo ngược, việc biết vectơ khởi tạo cho phép kẻ cơng khám phá thông tin từ tin nhắn mã hóa [7] Hình II-2: Ngun lí hoạt động mật mã khối làm việc chế độ CBC ➢ Khôi phục thơng tin mà khơng cần giải mã nó, giả sử có kẻ cơng trung gian công vào lưu lượng truy cập TLS 1.0 đưa liệu vào Nếu kẻ công biết loại liệu gửi vị trí tin nhắn, chúng đưa vào khối liệu chế tạo đặc biệt kiểm tra xem khối mã hóa kết có giống với khối tương ứng luồng tin nhắn thực tế hay khơng Nếu vậy, dự đốn đưa vào xác kẻ cơng phát khối văn rõ Nếu không, họ thử lại nhiều lần với giá trị có khác 12 Nhóm Bài thi cuối kỳ môn ANM ➢ Và khối liệu chế tạo đặc biệt gì? Kẻ cơng thực cơng rõ chọn cách đoán khối liệu có khả xảy XOR với IV khối trước mã Hình II-3: Cách kẻ cơng vào CBC Ví dụ cơng vào Cookie Session: ➢ Dựa cấu trúc nội dung dự đốn gói HTTP, đặc biệt chứa mã HTML dự đốn Bằng cách tạo Request HTTP cách khéo léo, kiểm sốt vị trí ranh giới khối mật mã tạo khối tất byte biết ngoại trừ liệu nhắm mục tiêu – ví dụ cookie session Các ranh giới khối sau di chuyển để có khối có vị trí không xác định Sau lần kiểm tra thành công, ranh giới khối dịch chuyển byte trình lặp lại tất byte chưa biết phát 13 Nhóm Bài thi cuối kỳ mơn ANM Hình II-4: Tấn cơng lấy cookie session ➢ Cuộc công giới hạn việc khơi phục chuỗi ngắn, , sử dụng để đọc cookie session thông tin đăng nhập Trong tình cơng, người dùng duyệt đến trang web thực thi tập lệnh độc hại Nếu khơng đóng trang web này, người dùng sau đăng nhập vào trang web có giá trị cao, chẳng hạn ứng dụng ngân hàng trực tuyến giữ cho hai trang web mở 10 phút lâu Tập lệnh công chạy nền, cố gắng thực thi tìm Cookie Session Nếu cơng thành cơng, kẻ cơng chiếm quyền điều khiển phiên giao dịch ngân hàng mạo danh người dùng người dùng đăng xuất - Cách 3: SSL hijacking (Tước đoạt SSL) hạ cấp kết nối HTTPS xuống HTTP cách chặn xác thực TLS gửi từ ứng dụng tới người dùng Kẻ công gửi phiên không mã hóa trang web ứng dụng cho người dùng trì phiên bảo mật với ứng dụng Trong đó, kẻ cơng hiển thị toàn phiên người dùng 2.2 Các phương pháp giảm thiểu công Man-in-the-middle 2.2.1 Dựa Password Xác thực người dùng dựa mật sử dụng rộng rãi ứng dụng thực tế Bằng việc ứng dụng hàm băm, mật mà người dùng đăng kí tính tốn giá trị băm lưu trữ sở liệu máy chủ Cơ sở liệu truy cập quản trị viên hệ thống nên có quản trị viên biết mật người dùng Khi người dùng từ máy khách nhập thông tin để truy cập hệ thống, tin người dùng gửi bao gồm username password nén, tính tốn giá trị 14 Nhóm Bài thi cuối kỳ môn ANM băm, mã hóa đóng gói vào gói tin SSL/TLS đưa lên kênh truyền Khi tin đến máy chủ, máy chủ giải mã tin, lấy giá trị băm giải nén tin để lấy username sau đối chiếu giá trị băm nhận giá trị băm lưu trữ sở liệu Nếu giá trị băm trùng nhau, người dùng xác thực Nếu có kẻ tân cơng Man-in-the-middle đánh tráo thơng tin kênh truyền, đăng nhập vào hệ thống tính chống trùng hàm băm Hình II-5: Lưu trữ chứng thực mật Tuy nhiên, giải pháp bị công phương pháp công từ điển hay Brute-Force Và để tăng độ phức tạp mật khẩu, gây khó cho kẻ cơng, người ta sử dụng kỹ thuật “Salt and Pepper” (Muối tiêu) [8] Mỗi người dùng cấp giá trị riêng cho họ để ghép vào mật trước đưa vào hàm băm Đây gọi giá trị Salt (Muối) Việc sử dụng giá trị Salt khiến mật thêm phức tạp hơn, có nhiều người dùng đặt mật tương tự nên giá trị Salt đảm bảo việc trùng lặp khơng xảy người dùng có giá trị Salt riêng Với sở liệu lưu thơng tin người dùng khác có giá trị khác giá trị Pepper (Tiêu) Khác với Salt, Pepper không định danh cho cá nhân người dùng nào, mà định danh cho sở liệu chứa thông tin nhóm người dùng Điểm chung 15 Nhóm Bài thi cuối kỳ mơn ANM Hình II-6: Mật có Salt Pepper giá trị tính ngẫu nhiên gắn vào mật khẩu, khiến độ dài mật trở nên dài hơn, băm giá trị mật trở nên khó khăn với kẻ công 2.2.2 Dựa GUI GUI (Graphical User Interface) hay Giao diện đồ họa người dùng cách giao tiếp với thiết bị điện tử hình ảnh chữ viết thay dịng lệnh đơn Giao diện dòng lệnh CLI (Command Line Interface) Một chế xác thực GUI mà ta kể đến PassFaces [9] Cơ chế dùng loạt hình ảnh thay mật chữ để xác thực Mật hình ảnh kiểu xác thực theo chế challenge- response (thách thức- trả lời), máy chủ hiển thị loạt hình ảnh có hình ảnh mà người dùng đăng kí làm mật theo cách ngẫu nhiên, người dùng phải chọn ảnh mà đăng kí làm mật để gửi cho máy chủ đối chiếu Hình II-7: Quy trình xác thực phần mềm Passfaces Mặc dù xác thực dựa GUI giảm thiểu đôi chút khỏi cơng Man-inthe-middle, chế lại khơng cịn ý nghĩa kẻ cơng biết mật 16 Nhóm Bài thi cuối kỳ mơn ANM hình ảnh người dùng Vì vậy, xác thực dựa GUI thường ứng dụng xác thực CAPTCHA để xác thực “tính người” người dùng 2.2.3 Dựa mã xác thực OTP (One-Time-Password) Hiện giới, mã xác thực OTP sử dụng rộng rãi đặc biệt ứng dụng ngân hàng Có nhiều chế OTP OTP SMS, OTP sử dụng token Smart OTP [10] Những chế giải thích sau: • OTP SMS: mã OTP gửi đến điện thoại người dùng thông qua dịch vụ tin nhắn ngắn SMS Mơ hình ngân hàng sử dụng rộng rãi để xác thực người dùng chuyển/ rút tiền Tuy vậy, OTP tự động lại bị phụ thuộc vào nhà cung cấp dịch vụ mạng để chuyển tin ngắn SMS đến cho người dùng Hình II-8: Mã OTP qua SMS ứng dụng ngân hàng Vietcombank • OTP sử dụng token: Với trường hợp này, người dùng nhận token, phần cứng phần mềm Máy chủ xác thực tạo OTP ngẫu nhiên Hình II-9: Mã xác thực OTP token phần cứng gửi tới nhớ token, người dùng nhập mã nhớ token để 17 Nhóm Bài thi cuối kỳ mơn ANM hệ thống xác minh Tuy nhiên, loại hình có nhược điểm địi hỏi người dùng phải có token • Smart OTP: Thực chất Smart OTP có chế hoạt động OTP sử dụng token với Smart OTP người dùng khơng cần phải có token Thay sử dụng token, Smart OTP địi hịi người dùng tạo mã PIN Khi người dùng nhập xác mã PIN đó, mã OTP bắt đầu khởi tạo Hình II-10: Smart OTP Vietcombank 2.2.4 Dựa vào Token Xác thực người dùng dựa vào token chế xác thực lớp Người dùng nhập mã PIN token tạo đoạn mã gồm đến chữ số ngẫu nhiên Đoạn mã người dùng nhập vào để xác thực cho ứng dụng yêu cầu Cơ chế hoạt động kiểu xác thực Challenge- Response Trong đó, máy chủ xác thực tạo đoạn mã kiếm tra đoạn mã người dùng nhập vào có với đoạn mã tạo không Cả bên người dùng máy chủ phải đồng thời gian Máy chủ gửi mã đến token người dùng, mã có thời gian hiệu lực khoảng thời gian định khoảng thời gian người dùng phải nhập mã xác để máy chủ xác thực Bơi mã tạo từ token ngẫu nhiên, công Man-in-the-middle dùng lần xác thực mã bị máy chủ bỏ sau xác thực thành công, kẻ công khơng thể gửi lại mã tới máy chủ 18 Nhóm Bài thi cuối kỳ mơn ANM Có cách triển khai xác thực dựa vào token triển khai phần cứng triển khai phần mềm, đó: • Với triển khai phần cứng: Với hướng này, token có hình hiển thị nhỏ để hiển thị mã token, người dùng nhập mật PIN để mã token hiển thị Trong token có khóa bí mật để giải mã tin để hiển thị mã token mà máy chủ gửi đến Token theo kiểu kể đến RSA SecurID Mặc dù hướng triển khai tốt để chống lại cơng Man-inthe-middle, lại tăng tính phức tạp người dùng phải bỏ khoản phí để mua thiết bị Hình II-11: Thiết bị token RSA SecurID • Với triển khai phần mềm: Ở hướng triển khai này, mơ hình token phần mềm giống token phần cứng, đặc điểm khác người dùng khơng phải trả tiền cho khoản phí mua thiết bị mà phải trả tiền cho ứng dụng phần mềm, khơng phải trả khoản phí Mặc dù vậy, token phần mềm lại có nhược điểm chí tử phải chịu nhiều rủi ro bảo mật công phá khóa hay bị mạo danh 19 Nhóm Bài thi cuối kỳ môn ANM Kết luận Qua tiểu luận này, ta thấy giao thức SSL/TLS giao thức quan trọng việc giảm thiểu công mạng thời buổi công mạng ngày tinh vi Ở chương đầu tiên, có nhìn tổng quát giao thức SSL/TLS hiểu trình bắt tay (handshake) để tạo kết nối an toàn client server ghi lại (record) để cung cấp tính bảo mật tồn vẹn liệu cho việc truyền gói tin Chương thứ hai cho thấy mơ hình cơng công MITM công mơ hình cơng thủ đoạn công ngày tinh vi nhắm vào lỗ hổng hệ thống bảo mật giả mạo IP, giả mạo ARP, giả mạo HTTPS hay công BEAST Nhưng tinh vi công này, nhiều phương pháp giảm thiểu đời để hạn chế phần công xác thực người dùng dựa mật khẩu, GUI hay xác thực mã OTP dựa token Vì vậy, ta thấy tầm quan trọng giao thức SSL/TLS nguy hiểm công MITM để đánh cắp thông tin để mạo danh người dùng Sau cùng, phương pháp kể tiểu luận không hồn hảo để chặn đứng cơng này, chúng góp phần tạo an tồn cho thơng tin người dùng, giúp công mạo danh trở nên khó 20 Nhóm Bài thi cuối kỳ môn ANM TÀI LIỆU THAM KHẢO [1] N.V.Hùng, “LicenseSoft,” September 2020 [Trực tuyến] Available: https://licensesoft.vn/tls-la-gi.htm [Đã truy cập 20 June 2021] [2] “Sự phát triển giao thức bảo mật TLS/SSL,” Cổng thông tin điện tử tỉnh Phú Thọ, 23 04 2018 [Trực tuyến] Available: https://phutho.gov.vn/vi/su-phat-trien-cua-giao-thuc-baomat-tlsssl [Đã truy cập 23 06 2021] [3] S Classroom, "Youtube," 12 Febuary 2018 [Online] Available: https://www.youtube.com/watch?v=sEkw8ZcxtFk [Accessed 20 June 2021] [4] P A Thư, Writer, Bài giảng môn An ninh mạng viễn thơng [Performance] Học viên Cơng nghệ Bưu Viễn thông, 2020 [5] Vinsep, “vinsep,” [Trực tuyến] Available: https://vinsep.com/kien-thuc/security/man-inthe-middle-la-gi/ [Đã truy cập 20 June 2021] [6] Z Banach, "Netspacker," 17 January 2020 [Online] Available: https://www.netsparker.com/blog/web-security/how-the-beast-attack-works/ [Accessed 20 June 2021] [7] J Davies, "Command Line Fanatic," 29 January 2014 [Online] Available: http://commandlinefanatic.com/cgi-bin/showarticle.cgi?article=art027 [Accessed 20 June 2021] [8] S Classroom, "Youtube," 18 January 2018 [Online] Available: https://www.youtube.com/watch?v=YLCoDK0OwYM [Accessed 20 June 2021] [9] Passfaces, "Passfaces," 19 June 2021 [Online] Available: http://www.passfaces.com/enterprise/products/web_access.htm [10] Timo, “Timo,” [Trực tuyến] Available: https://timo.vn/blogs/timo-debit-atm-napas/ma-otpla-gi-lam-gi-de-co-otp/ [Đã truy cập 20 June 2021] 21 Nhóm ... bước hoạt động SSL/ TLS 1.6 Ứng dụng giao thức SSL/ TLS II Tấn công Man- in- the- middle vào SSL/ TLS cách giảm thiểu 10 2.1 Kịch công Man- in- the- middle vào SSL/ TLS 10... ANM II 2.1 Tấn công Man- in- the- middle vào SSL/ TLS cách giảm thiểu Kịch công Man- in- the- middle vào SSL/ TLS 2.1.1 Tổng quan MITM Khái niệm MITM : Tấn cơng MITM (Man- in- the- Middle) là hình thức cơng... thức SSL/ TLS, chúng em đề cập đến công Man- in- the- middle (MITM) số giải pháp giảm thiểu công qua hai chương chính: Chương I: Giao thức SSL/ TLS Chương II: Tấn cơng Man- in- the- middle vào SSL/ TLS