TỔNG QUAN VỀ MẠNG CỤC BỘ KHÔNG DÂY
GIỚI THIỆU VỀ MẠNG CỤC BỘ KHÔNG DÂY (MẠNG WLAN)
Mạng WLAN (Wireless Local Area Network) là hệ thống thông tin liên lạc dữ liệu linh hoạt, hoạt động như một phần mở rộng hoặc thay thế cho mạng LAN có dây trong nhà và cơ quan Bằng cách sử dụng sóng điện từ, mạng WLAN cho phép nhận và truyền dữ liệu qua không gian, giảm thiểu nhu cầu kết nối có dây Do đó, mạng WLAN kết nối dữ liệu với người dùng di động và thông qua cấu hình đơn giản, tạo điều kiện cho mạng LAN di động.
Trong những năm gần đây, mạng WLAN đã trở nên phổ biến trong nhiều lĩnh vực như chăm sóc sức khỏe, bán lẻ, sản xuất, lưu kho và giáo dục Ngành công nghiệp này đã thu lợi từ việc sử dụng thiết bị đầu cuối và máy tính notebook để truyền thông tin thời gian thực đến các trung tâm xử lý Hiện nay, mạng WLAN được các doanh nghiệp chấp nhận rộng rãi như một giải pháp kết nối đa năng, mang lại nhiều lợi ích cho thị trường.
1.1.2 Các ứng dụng của mạng WLAN
Mạng WLAN là giải pháp thay thế cho mạng LAN có dây, cung cấp kết nối mạng cuối cùng với khoảng cách tối thiểu giữa mạng xương sống và mạng trong nhà hoặc người dùng di động tại các cơ quan Dưới đây là những ứng dụng phổ biến của WLAN, nhấn mạnh sức mạnh và tính linh hoạt của công nghệ này.
Trong các bệnh viện, việc trao đổi thông tin giữa bác sĩ và hộ lý về tình trạng bệnh nhân trở nên nhanh chóng và hiệu quả hơn nhờ vào việc sử dụng máy tính laptop kết nối với công nghệ mạng WLAN.
Các đội kiểm toán tư vấn, kế toán hoặc các nhóm làm việc nhỏ tăng năng suất với khả năng cài đặt mạng nhanh
Các nhà quản lý mạng trong môi trường năng động tối ưu hóa chi phí đi lại, bổ sung và thay đổi cho mạng WLAN, từ đó giảm thiểu tổng chi phí sở hữu mạng LAN.
Các cơ sở đào tạo của công ty và sinh viên tại các trường đại học sử dụng kết nối không dây để thuận tiện trong việc truy cập thông tin, trao đổi dữ liệu và nghiên cứu.
Các nhà quản lý mạng nhận thấy rằng mạng WLAN là giải pháp tối ưu cho việc lắp đặt máy tính trong các tòa nhà cũ, giúp tiết kiệm chi phí cơ sở hạ tầng Bên cạnh đó, các nhà quản lý cửa hàng bán lẻ sử dụng mạng không dây để dễ dàng tái cấu trúc mạng một cách thường xuyên.
Nhân viên văn phòng tại các chi nhánh và triển lãm thương mại có thể đơn giản hóa quy trình cài đặt bằng cách sử dụng mạng WLAN được cấu hình sẵn, mà không cần sự hỗ trợ từ các quản lý mạng địa phương.
Các công nhân tại kho hàng sử dụng mạng WLAN để trao đổi thông tin đến cơ sở dữ liệu trung tâm và tăng thêm năng suất của họ
Các nhà quản lý mạng thực hiện mạng WLAN để cung cấp dự phòng cho các ứng dụng trọng yếu đang hoạt động trên các mạng nối dây
Các đại lý dịch vụ cho thuê xe và các nhân viên nhà hàng cung cấp dịch vụ nhanh hơn tới khách hàng trong thời gian thực
Các cán bộ cấp cao trong các phòng hội nghị có khả năng đưa ra quyết định nhanh chóng nhờ vào việc sử dụng thông tin thời gian thực ngay tại bàn hội nghị.
1.1.3 Các ưu nhược điểm của mạng WLAN
1.1.3.1 Ưu điểm của mạng WLAN Độ tin tưởng cao trong nối mạng của các doanh nghiệp và sự tăng trưởng mạnh mẽ của mạng Internet và các dịch vụ trực tuyến là bằng chứng mạnh mẽ đối với lợi ích của dữ liệu và tài nguyên dùng chung Với mạng WLAN, người dùng truy cập thông tin dùng chung mà không tìm kiếm chỗ để cắm vào, các nhà quản lý mạng thiết lập hoặc bổ sung mạng mà không lắp đặt hoặc di chuyển dây nối Mạng WLAN cung cấp các hiệu suất sau: khả năng phục vụ, tiện nghi, và các lợi thế về chi phí hơn hẳn các mạng nối dây truyền thống
Hệ thống mạng WLAN nâng cao khả năng lưu động, cho phép người dùng truy cập thông tin thời gian thực từ bất kỳ đâu trong tổ chức Khả năng này tạo ra cơ hội cải thiện hiệu suất và dịch vụ mà mạng dây không thể cung cấp.
Cài đặt hệ thống mạng WLAN đơn giản và nhanh chóng, giúp loại bỏ nhu cầu kéo dây qua tường và trần nhà.
Linh hoạt trong cài đặt – Công nghệ không dây cho phép mạng đi đến các nơi mà mạng nối dây không thế
Giảm chi phí sở hữu là một lợi ích quan trọng của mạng WLAN, mặc dù đầu tư ban đầu cho phần cứng có thể cao hơn so với mạng LAN có dây Tuy nhiên, chi phí cài đặt và tổng chi phí theo tuổi thọ lại thấp hơn đáng kể Điều này đặc biệt có giá trị trong môi trường năng động, nơi thường xuyên cần di chuyển, bổ sung và thay đổi thiết bị.
Hệ thống mạng WLAN có tính linh hoạt cao, được thiết kế với nhiều kiểu topo khác nhau để phù hợp với nhu cầu của các ứng dụng và cài đặt cụ thể Cấu hình mạng có thể dễ dàng thay đổi, từ các mạng độc lập cho số lượng người dùng nhỏ đến các mạng cơ sở hạ tầng phục vụ hàng nghìn người trong một khu vực rộng lớn.
Khả năng vô hướng của các mạng máy tính không dây cho phép cấu hình theo nhiều topo khác nhau, phù hợp với nhu cầu ứng dụng và lắp đặt cụ thể Các cấu hình này có thể dễ dàng thay đổi từ mạng ngang hàng cho một số lượng nhỏ người sử dụng đến mạng có cơ sở hạ tầng đầy đủ cho hàng nghìn người, đồng thời hỗ trợ khả năng di chuyển trên một vùng rộng.
1.1.3.2 Nhược điểm của mạng WLAN
Bảo mật – Môi trường kết nối không dây là không khí nên khả năng bị tấn công của người dùng là rất cao
CÁC THIẾT BỊ KẾT NỐI MẠNG WLAN
1.2.1 Điểm truy cập Access Point
Access Point là thiết bị song công cung cấp điểm truy cập cho máy khách vào mạng, với mức độ thông minh tương tự như một thiết bị chuyển mạch Ethernet phức tạp.
Access Point có thế giao tiếp với các máy không dây, với mạng có dây truyền thống và với các Access Point khác
Có 3 Mode hoạt động chính của Access Point:
Chế độ gốc (Root Mode) là cấu hình mặc định của Access Point (AP) khi kết nối với mạng backbone có dây qua giao diện Ethernet Trong chế độ này, các AP có thể giao tiếp với nhau thông qua phân đoạn có dây, cho phép các client không dây trong các ô tế bào khác nhau kết nối và trao đổi thông tin qua AP tương ứng Mặc dù hầu hết các AP hỗ trợ nhiều chế độ khác nhau, root mode vẫn là lựa chọn chính khi thiết lập kết nối với mạng có dây.
Chế độ cầu nối (Bridge Mode) cho phép AP hoạt động như một cầu nối không dây, kết nối các đoạn mạng có dây với nhau thông qua kết nối không dây Chỉ một số ít AP trên thị trường hỗ trợ chức năng này, dẫn đến giá thành cao hơn Trong chế độ này, AP không trực tiếp kết nối với client mà đóng vai trò kết nối các mạng khác nhau lại với nhau.
Hình 1.3 Mô hình Bridge Mode
Chế độ lặp (Repeater Mode) cho phép AP cung cấp kết nối không dây upstream vào mạng có dây, thay vì sử dụng kết nối có dây thông thường Trong cấu hình này, một AP hoạt động như root AP, trong khi AP còn lại đóng vai trò là Repeater không dây, mở rộng phạm vi mạng hiệu quả.
AP trong Repeater mode kết nối với các Client như là một AP và kết nối với upstream
AP như là một Client
Hình 1.4 Mô hình Repeater Mode
Thẻ Wi-Fi là thành phần chủ yếu trong mạng WLAN, giúp kết nối các máy khách với hệ thống mạng không dây Nó được lắp vào khe PCI trên máy tính và thường được sử dụng cho các máy tính để bàn để truy cập mạng không dây.
Trước đây, PCMCIA wireless thường được sử dụng trong laptop và thiết bị PDA Tuy nhiên, với sự phát triển công nghệ, hiện nay hầu hết laptop và PDA đã được tích hợp sẵn card wireless, dẫn đến việc giảm thiểu sử dụng PCMCIA wireless.
Loại thiết bị kết nối mạng không dây phổ biến hiện nay là USB Wireless, với ưu điểm di động và nhỏ gọn Thiết bị này hoạt động tương tự như Card PCI Wireless nhưng sử dụng chuẩn cắm USB, cho phép tháo lắp nhanh chóng mà không cần tắt máy tính.
Anten là một phần quan trọng trong mạng không dây, có chức năng phát và thu tín hiệu đã được điều chế giữa hai trạm Trên thị trường hiện nay, có nhiều loại anten với hình dạng và kích thước khác nhau, mỗi loại có những đặc tính điện từ riêng biệt như phạm vi lan truyền, công suất phát xạ và dải tần làm việc.
CÁC CHUẨN THÔNG DỤNG MẠNG WLAN
WLAN sử dụng tần số radio để truyền dữ liệu, do đó, nó chịu sự điều chỉnh của các quy định tương tự như AM/FM radio, với sự giám sát của Ủy ban Truyền thông Liên bang (FCC) Hiện nay, trên thị trường WLAN có nhiều chuẩn khác nhau được chấp nhận và thử nghiệm tại Mỹ, tất cả đều được phát triển và duy trì bởi IEEE Các chuẩn này được xây dựng bởi một nhóm đại diện cho nhiều tổ chức khác nhau.
Năm 1997, Viện kỹ sư điện và điện tử (IEEE) đã giới thiệu chuẩn mạng nội bộ không dây đầu tiên mang tên 802.11, sử dụng tần số 2,4GHz và kỹ thuật trải phổ trực tiếp (DSSS) với băng thông tối đa chỉ 2Mbps, một tốc độ không đủ đáp ứng cho hầu hết các ứng dụng Do đó, các sản phẩm dựa trên chuẩn này đã không còn được sản xuất nữa.
Chuẩn 802.11a, được phát triển song hành với 802.11b, hoạt động ở tần số 5GHz với tốc độ 54Mbps, giúp tránh nhiễu từ các thiết bị dân dụng Sử dụng kỹ thuật trải phổ OFDM, 802.11a được coi là vượt trội hơn so với DSSS của 802.11b Tuy nhiên, do chi phí cao, 802.11a thường được áp dụng trong mạng doanh nghiệp, trong khi 802.11b phù hợp hơn cho nhu cầu gia đình Tần số cao hơn của 802.11a cũng khiến tín hiệu gặp khó khăn khi xuyên qua tường và vật cản Hai chuẩn này không tương thích với nhau, mặc dù một số sản phẩm "lai" 802.11a/b đã được phát triển để hỗ trợ cả hai chuẩn sóng Wi-Fi cùng lúc Ưu điểm nổi bật của 802.11a là tốc độ nhanh và khả năng giảm thiểu nhiễu từ các thiết bị khác.
Nhược điểm của 802.11a là giá thành cao, tầm phủ sóng ngắn hơn và dễ bị che khuất
Từ tháng 6 năm 1999, IEEE đã mở rộng chuẩn 802.11 và phát triển các đặc tả kỹ thuật cho 802.11b, chuẩn WLAN đầu tiên được chấp nhận trên thị trường Chuẩn 802.11b hỗ trợ băng thông lên đến 11Mbps, tương đương với tốc độ Ethernet thời điểm đó, và hoạt động ở tần số 2,4 GHz Nó sử dụng kỹ thuật điều chế khóa mã bù (CCK) và kỹ thuật trải phổ trực tiếp tương tự như chuẩn 802.11 nguyên bản.
Tình trạng nhiễu có thể xảy ra với 802.11b do các thiết bị sử dụng tần số 2,4GHz như lò vi sóng và điện thoại Tuy nhiên, việc lắp đặt 802.11b ở khoảng cách hợp lý có thể giúp tránh nhiễu Ưu điểm của 802.11b bao gồm giá thành thấp, tầm phủ sóng tốt và khả năng không dễ bị che khuất.
Vào năm 2002 và 2003, sản phẩm WLAN với chuẩn 802.11g đã xuất hiện trên thị trường, kết hợp ưu điểm của 802.11a và 802.11b Chuẩn 802.11g cung cấp băng thông 54Mbps và hoạt động trên tần số 2,4GHz, giúp mở rộng phạm vi phủ sóng Đặc biệt, 802.11g hoàn toàn tương thích với 802.11b, cho phép các điểm truy cập 802.11g hoạt động hiệu quả với card mạng Wi-Fi chuẩn 802.11b.
Chuẩn 802.11g sử dụng phương thức điều chế OFDM giống như 802.11a, nhưng hoạt động trên tần số 2,4GHz như 802.11b, cho phép đạt tốc độ lên đến 54Mbps và tương thích ngược với 802.11b Ưu điểm của chuẩn này bao gồm tốc độ truyền tải nhanh, tầm phủ sóng rộng và khả năng chống che khuất tốt Tuy nhiên, nhược điểm của 802.11g là giá thành cao hơn so với 802.11b và có thể bị nhiễu bởi các thiết bị gia dụng.
Chuẩn Wi-Fi mới nhất hiện nay là 802.11n, được thiết kế để cải thiện băng thông so với 802.11g bằng cách sử dụng công nghệ MIMO (multiple-input and multiple-output), cho phép tốc độ lên đến 100Mbps 802.11n cung cấp vùng phủ sóng tốt hơn nhờ tăng cường độ tín hiệu và tương thích ngược với 802.11g Ưu điểm của chuẩn này bao gồm tốc độ nhanh và khả năng chống nhiễu tốt hơn, trong khi nhược điểm là chưa được phê duyệt cuối cùng, giá thành cao hơn 802.11g, và việc sử dụng nhiều luồng tín hiệu có thể gây nhiễu cho các thiết bị 802.11b/g lân cận.
CÁC MÔ HÌNH MẠNG WLAN
Mạng 802.11 linh hoạt về thiết kế, gồm 3 mô hình mạng sau:
Mô hình mạng độc lập (IBSSs) hay còn gọi là mạng Ad hoc
Mô hình mạng cơ sở (BSSs)
Mô hình mạng mở rộng (ESSs)
1.4.1 Mô hình mạng Wlan độc lập (Independent Basic Service Sets)
Mạng WLAN đơn giản nhất là mạng độc lập (hoặc ngang hàng), kết nối các máy tính thông qua các card giao tiếp không dây Khi hai hoặc nhiều card giao tiếp không dây nằm trong phạm vi, chúng tự động thiết lập một mạng độc lập mà không cần quản trị hay cấu hình trước.
Hình 1.8 Mô hình mạng WLan độc lập
Các điểm truy cập mở rộng phạm vi của mạng WLAN bằng cách hoạt động như một bộ chuyển tiếp, giúp tăng gấp đôi khoảng cách kết nối giữa các máy tính không dây.
1.4.2 Mạng WLAN cơ sở hạ tầng (infrastructure)
Trong mạng WLAN cơ sở hạ tầng, nhiều điểm truy cập kết nối mạng WLAN với mạng dây, cho phép người dùng chia sẻ tài nguyên mạng hiệu quả Các điểm truy cập không chỉ cung cấp truyền thông với mạng dây mà còn chuyển tiếp lưu lượng mạng không dây trong khu vực lân cận ngay lập tức Nhiều điểm truy cập mở rộng phạm vi không dây cho toàn bộ tòa nhà hoặc khu vực văn phòng.
Hình 1.9 Mô hình mạng cơ sở
1.4.3 Mô hình mạng mở rộng ( Extended Service Set (ESSs))
Mạng 802.11 mở rộng phạm vi di động thông qua ESS, là tập hợp các BSSs cho phép các Access Point giao tiếp và chuyển lưu lượng giữa các BSS Điều này giúp các trạm di chuyển dễ dàng giữa các BSS Access Point sử dụng hệ thống phân phối, một lớp mỏng trong mỗi Access Point, để xác định đích đến cho lưu lượng nhận từ BSS Hệ thống phân phối có thể tiếp sóng trở lại trong cùng một BSS, chuyển tiếp đến Access Point khác, hoặc gửi lưu lượng tới mạng có dây không nằm trong ESS Thông tin nhận từ hệ thống phân phối sẽ được truyền đến BSS và cuối cùng đến trạm đích.
Hình 1.10 Mô hình mạng mở rộng
KHẢO SÁT VÀ PHÂN TÍCH HIỆN TRẠNG _ BẢO MẬT MẠNG KHÔNG DÂY
CÁC HÌNH THỨC TẤN CÔNG MẠNG WLAN
Access Point giả mạo là những thiết bị được tạo ra, có thể là vô tình hoặc cố ý, để ảnh hưởng đến hệ thống mạng hiện có Chúng đại diện cho các thiết bị hoạt động không dây trái phép, không quan tâm đến mục đích sử dụng của chúng.
2.1.1.2 Phân loại a Access Point được cấu hình không hoàn chỉnh
Access Point có thể trở thành thiết bị giả mạo do lỗi cấu hình, như thay đổi SSID, thiết lập xác thực và mã hóa Sự cố này nghiêm trọng vì nó dẫn đến việc không thể xác thực kết nối Ngoài ra, Access Point giả mạo cũng có thể xuất phát từ các mạng WLAN lân cận.
Các máy khách tuân theo chuẩn 802.11 sẽ tự động lựa chọn Access Point có tín hiệu mạnh nhất để kết nối Tuy nhiên, cần cảnh giác với Access Point giả mạo do kẻ tấn công tạo ra.
Giả mạo AP là một dạng tấn công "man in the middle" cổ điển, trong đó tin tặc đứng giữa và đánh cắp lưu lượng truyền giữa hai nút Tấn công này rất mạnh mẽ vì tin tặc có khả năng thu thập toàn bộ lưu lượng mạng Trong mạng có dây, việc thực hiện tấn công "man in the middle" gặp nhiều khó khăn do yêu cầu truy cập thực tế vào đường truyền Tuy nhiên, mạng không dây lại dễ bị tấn công kiểu này hơn Tin tặc chỉ cần tạo ra một AP giả để thu hút nhiều kết nối hơn so với AP chính thống, bằng cách sao chép các cấu hình như SSID và địa chỉ MAC.
Bước tiếp theo là làm cho nạn nhân thực hiện kết nối tới AP giả
Cách thứ nhất là đợi cho nguời dùng tự kết nối
Một phương pháp khác là thực hiện một cuộc tấn công từ chối dịch vụ DoS nhằm vào điểm truy cập (AP) chính thống, buộc người dùng phải kết nối lại với điểm truy cập giả mạo.
Trong mạng 802.11, tin tặc có thể dễ dàng thiết lập một Access Point (AP) giả mạo bằng cách đảm bảo cường độ tín hiệu của AP này mạnh hơn so với AP chính thống Để đạt được điều này, họ có thể đặt AP gần nạn nhân hoặc sử dụng kỹ thuật anten định hướng Khi nạn nhân kết nối với AP giả, tất cả dữ liệu của họ sẽ đi qua AP này, cho phép tin tặc ghi lại mật khẩu trong quá trình trao đổi với Web Server Tấn công này xảy ra do thiếu xác thực hai hướng giữa AP và các nút trong mạng, khiến cho AP phát tín hiệu ra toàn mạng và dễ bị nghe trộm Mặc dù các nút sử dụng WEP để xác thực, nhưng WEP có những lỗ hổng có thể bị khai thác, cho phép tin tặc trộm mật khẩu người dùng qua việc nghe lén và phân tích mã hóa.
Vì sự tiện lợi của mạng không dây một số nhân viên của công ty đã tự trang bị
Việc kết nối Access Point vào mạng có dây của công ty mà không hiểu rõ về bảo mật mạng không dây có thể tạo ra lỗ hổng lớn về an ninh Điều này cho phép những kẻ lạ và hacker bên ngoài dễ dàng truy cập vào Access Point không được xác thực, từ đó đánh cắp băng thông, thông tin nhạy cảm của công ty và thậm chí sử dụng hệ thống mạng để tấn công các mục tiêu khác.
2.1.2 Tấn công yêu cầu xác thực lại
Hình 2.1 Mô hình tấn công “yêu cầu xác thực lại”
Kẻ tấn công nhắm mục tiêu vào người dùng trong mạng không dây và các kết nối của họ, bao gồm cả Access Point và các kết nối liên quan.
Chèn các frame yêu cầu xác thực lại vào mạng WLAN bằng cách giả mạo địa chỉ MAC của Access Point và người dùng.
Người dùng wireless khi nhận được frame yêu cầu xác thực lại thì nghĩ rằng chúng do Access Point gửi đến
Sau khi ngắt được một người dùng ra khỏi dịch vụ không dây, kẻ tấn công tiếp tục thực hiện tương tự đối với các người dùng còn lại
Người dùng thường kết nối lại để khôi phục dịch vụ, nhưng kẻ tấn công đã nhanh chóng gửi các gói yêu cầu xác thực mới cho họ.
Kẻ tấn công lợi dụng công cụ để gửi gói beacon với địa chỉ MAC và SSID giả mạo, tạo ra nhiều Access Point giả lập, gây rối loạn cho phần mềm điều khiển card mạng không dây của người dùng.
Hình 2.2 Mô hình tấn công Fake Access Point
2.1.4 Tấn công ngắt kết nối
Kẻ tấn công xác định mục tiêu (wireless cliens) và mối liên kết giữa AP với các client
Kẻ tấn công gửi disassociation frame bằng cách giả mạo source và Destination MAC đến AP và các client tương ứng
Client sẽ nhận các frame này và nghĩ rằng frame hủy kết nối đến từ AP Đồng thời kẻ tấn công cũng gửi gói disassociation frame đến AP
Sau khi ngắt kết nối một client, kẻ tấn công tiếp tục thực hiện hành động tương tự với các client khác, dẫn đến việc các client tự động ngắt kết nối với điểm truy cập (AP).
Khi các client bị ngắt kết nối sẽ thực hiện kết nối lại với AP ngay lập tức
Kể tấn công tiếp tục gửi gói disassociation frame đến AP và client
Hình 2.3 Mô hình tấn công ngắt kết nối
Ta có thể sẽ rất dễ nhầm lẫn giữa 2 kiểu tấn công : Tấn công xác thực lại và Tấn công ngắt kết nối
Cả hai hình thức tấn công đều tương tự nhau, giống như một khẩu đại bác 2 nòng, khi đồng thời tấn công vào Access Point và các Clients Đặc biệt, chúng liên tục "nả pháo" để gây ra thiệt hại.
- Tấn công xác thực lại: Yêu cầu cả AP và client gởi lại frame xác thực xác thực failed
- Tấn công ngắt kết nối: Gởi disassociation frame làm cho AP và client tin tưởng rằng kết nối giữa chúng đã bị ngắt.
CÁC GIẢI PHÁP BẢO MẬT MẠNG WLAN
WEP (Wired Equivalent Privacy) là một phương thức bảo mật không dây tương đương với bảo mật có dây, nhưng đã kết hợp xác thực người dùng và bảo vệ dữ liệu vào một hệ thống không an toàn WEP sử dụng khóa mã hóa cố định với độ dài 64 bit hoặc 128 bit, nhưng thực tế chỉ còn 40 bit hoặc 104 bit do 24 bit được dành cho vector khởi tạo khóa mã hóa Khóa này không chỉ xác thực các thiết bị được phép truy cập vào mạng mà còn mã hóa dữ liệu truyền tải.
Các khoá mã hoá hiện nay dễ bị bẻ gãy bởi thuật toán brute-force và tấn công thử lỗi Hacker có thể sử dụng phần mềm miễn phí như Airsnort hoặc WEPCrack để phá vỡ khoá mã hoá nếu họ thu thập đủ dữ liệu.
Mạng không dây có thể truyền tải 10 triệu gói tin, nhưng việc sử dụng mã hóa 128 bit không đảm bảo an toàn hơn so với mã hóa 64 bit Với chỉ 24 bit cho khởi tạo mã hóa, chỉ 104 bit thực sự được sử dụng, khiến cho mã hóa 128 bit dễ bị bẻ khóa Hơn nữa, những điểm yếu trong vector khởi tạo mã hóa cho phép hacker tìm ra mật khẩu nhanh chóng với ít gói thông tin hơn.
WEP có thể được cải thiện bằng cách sử dụng một giao thức xác thực cung cấp khoá mã hoá mới cho mỗi phiên làm việc, giúp tăng cường bảo mật Việc thay đổi khoá mã hoá trên mỗi phiên sẽ làm khó khăn cho hacker trong việc thu thập đủ gói dữ liệu cần thiết để bẻ gãy khoá bảo mật.
Mạng riêng ảo (VPN) bảo vệ mạng WLAN bằng cách tạo ra một kênh an toàn, che chắn dữ liệu khỏi truy cập trái phép VPN sử dụng cơ chế bảo mật IPSec (Internet Protocol Security), áp dụng các thuật toán mạnh như Data Encryption Standard (DES) và Triple DES (3DES) để mã hóa dữ liệu, đồng thời xác thực gói dữ liệu bằng các thuật toán khác IPSec còn sử dụng thẻ xác nhận số để xác thực khóa mã (public key) Khi triển khai trên mạng WLAN, cổng kết nối của VPN thực hiện các nhiệm vụ xác thực, đóng gói và mã hóa dữ liệu.
Hình 2.4 Mô hình WLAN VPN
Để đảm bảo tính chính xác của gói tin, phương thức kiểm tra tính toàn vẹn của thông điệp MIC (message integrity check) được cung cấp TKIP sử dụng khóa động bằng cách gán cho mỗi frame một chuỗi số riêng, nhằm ngăn chặn các cuộc tấn công giả mạo.
2.2.3 TKIP (TEMPORAL KEY INTEGRITY PROTOCOL)
TKIP, được phát triển bởi IEEE vào năm 2004, là một giải pháp nâng cấp cho WEP nhằm khắc phục những vấn đề bảo mật liên quan đến mã hóa RC4 trong WEP Nó sử dụng hàm băm để cải thiện tính an toàn của dữ liệu truyền tải.
IV giúp ngăn chặn việc giả mạo gói tin và cung cấp phương thức kiểm tra tính toàn vẹn của thông điệp thông qua MIC (message integrity check), đảm bảo tính chính xác của gói tin TKIP sử dụng khóa động, gán cho mỗi frame một chuỗi số riêng biệt nhằm chống lại các cuộc tấn công giả mạo.
AES (Advanced Encryption Standard) là một thuật toán mã hóa khối được chính phủ Hoa Kỳ công nhận làm tiêu chuẩn mã hóa Được phát triển để thay thế DES, AES đã trải qua quá trình nghiên cứu kỹ lưỡng và được áp dụng rộng rãi trên toàn cầu Sau 5 năm tiêu chuẩn hóa, AES đã được Viện Tiêu chuẩn và Công nghệ Quốc gia Hoa Kỳ (NIST) phê duyệt làm tiêu chuẩn liên bang.
Thuật toán Rijndael, được phát triển bởi hai nhà mật mã học người Bỉ là Joan Daemen và Vincent Rijmen, đã giành chiến thắng trong cuộc thi thiết kế AES Tên gọi "Rijndael" được phát âm là "Rhine dahl" theo phiên âm quốc tế.
802.1x là chuẩn truy cập dựa trên cổng được định nghĩa bởi IEEE, hoạt động trên cả mạng có dây và không dây Khi người dùng cố gắng kết nối vào mạng, kết nối sẽ bị chặn và chờ xác thực định danh người dùng trước khi cho phép truy cập.
EAP (Extensible Authentication Protocol) là phương thức xác thực yêu cầu người dùng cung cấp thông tin định danh như mật khẩu hoặc chứng chỉ Nó sử dụng các giao thức như MD5, TLS (Transport Layer Security) và OTP (One Time Password) để hỗ trợ tự động sinh khóa và xác thực lẫn nhau.
Quá trình chứng thực 802.1x-EAP như sau:
Wireless client muốn liên kết với một AP trong mạng
1 AP sẽ chặn lại tất cả các thông tin của client cho tới khi client log on vào mạng, khi đó Client yêu cầu liên kết tới AP
2 AP đáp lại yêu cầu liên kết với một yêu cầu nhận dạng EAP
3 Client gửi đáp lại yêu cầu nhận dạng EAP cho AP
4 Thông tin đáp lại yêu cầu nhận dạng EAP của client được chuyển tới Server chứng thực
5 Server chứng thực gửi một yêu cầu cho phép tới AP
6 AP chuyển yêu cầu cho phép tới client
7 Client gửi trả lời sự cấp phép EAP tới AP
8 AP chuyển sự trả lời đó tới Server chứng thực
9 Server chứng thực gửi một thông báo thành công EAP tới AP
10 AP chuyển thông báo thành công tới client và đặt cổng của client trong chế độ forward
2.2.6 WPA (WI-FI PROTECTED ACCESS)
WEP được phát triển nhằm bảo vệ mạng không dây khỏi việc nghe trộm, nhưng nhanh chóng bộc lộ nhiều lỗ hổng bảo mật Để khắc phục những nhược điểm này, công nghệ WPA (Wi-Fi Protected Access) đã ra đời, cung cấp giải pháp an toàn hơn cho mạng không dây.
WPA đã cải tiến đáng kể với việc sử dụng hàm thay đổi khoá TKIP, cho phép mã hoá 128 bit và thay đổi khoá cho mỗi gói tin, điều này khiến hacker không thể thu thập đủ dữ liệu mẫu để phá mã Ngoài ra, WPA còn tích hợp kiểm tra tính toàn vẹn thông tin (Message Integrity Check), đảm bảo dữ liệu không bị thay đổi trong quá trình truyền tải WPA có hai lựa chọn là WPA Personal và WPA Enterprise; cả hai đều sử dụng giao thức TKIP, với sự khác biệt nằm ở khoá khởi tạo mã hóa WPA Personal phù hợp cho gia đình và mạng văn phòng nhỏ, trong khi WPA Enterprise yêu cầu máy chủ xác thực và 802.1x để cung cấp khoá khởi tạo cho từng phiên làm việc.
WPA Personal có một lỗ hổng liên quan đến hàm thay đổi khoá TKIP, cho phép hacker xác định toàn bộ mật khẩu nếu họ đoán được khoá khởi tạo hoặc một phần mật khẩu Để khắc phục, người dùng nên sử dụng những khoá khởi tạo khó đoán Tuy nhiên, kỹ thuật TKIP của WPA chỉ là giải pháp tạm thời và không cung cấp mức bảo mật cao nhất WPA phù hợp cho các công ty không truyền dữ liệu nhạy cảm và cho các hoạt động hàng ngày mang tính thử nghiệm công nghệ.
MÔ TẢ HỆ THỐNG
Hình 3.2 Wireless Clients, AP và RADIUS Server
Mạng WLAN tự bản thân không an toàn, và mạng có dây cũng vậy nếu không được cấu hình bảo mật thích hợp Để tạo ra một mạng WLAN an toàn, cần triển khai các phương pháp bảo mật thiết yếu nhằm ngăn chặn truy cập trái phép Khi khách hàng muốn truy cập mạng, họ phải đăng nhập với tên người dùng và mật khẩu hợp lệ, và quá trình xác thực này được quản lý bởi máy chủ RADIUS.
TRIỂN KHAI BẢO MẬT MẠNG VỚI RADIUS
Dùng phần mềm Packet Trancer để triển khai bảo mật mạng với Radius
3.3.1.1 Giới thiệu về phần mềm Packet Trancer
Packet Tracer là phần mềm giả lập mạng mạnh mẽ, cho phép người dùng mô phỏng hệ thống mạng thực tế Phần mềm hỗ trợ giả lập các thiết bị như Router, Switch, cáp, PC và server, giúp người dùng hiểu rõ hơn về cách kết nối mạng Giao diện trực quan của Packet Tracer cho phép quan sát sự thay đổi của các cổng và module kết nối, cũng như theo dõi sự di chuyển của các gói tin trên các thiết bị, mang lại trải nghiệm học tập hiệu quả.
Hình 3.3 Giao diện chính phần mềm Packet Trancer
Bao gồm 10 thành phần Dưới đây sẽ liệt kê và tóm tắt chức năng của từng mục trong giao diện này:
Positioned at number 1 in Figure 3.3, this toolbar offers selection menus including File, Edit, Options, View, Tools, Extensions, and Help Within these menus, users can easily find essential commands such as Open, Save, Print, and Preferences Additionally, access to the Activity Wizard can be found under the Extensions menu.
Hình 3.4 Giao diện Menu Bar
Thanh công cụ ở vị trí số 2 trong hình 3.3 cung cấp các biểu tượng truy cập nhanh đến menu File và menu Edit, cùng với các chức năng như Zoom, bảng vẽ Palette, và Device Template Manager Ngoài ra, người dùng cũng có thể sử dụng biểu tượng Network Information để nhập mô tả ngắn gọn cho mô hình mạng của mình.
Hình 3.5 Giao diện Menu Tool Bar
Hình 3.6 Giao diện Common Tools Bar
Positioned at number 3 in Figure 3.3, this toolbar offers commonly used access tools for the workspace, including Select, Move Layout, Place Note, Delete, Inspect, Resize Shape, Add Simple PDU, and Add Complex PDU.
Select để lựa chọn các đối tượng trên vùng làm việc
Move Layout để duy chuyển các đối tượng trên vùng làm việc
Place Note để điền các chú thích
Delete để xóa các đối tượng trên vùng làm việc
Inspect để kiểm tra thuộc tính của các đối tượng
Add Simplu PDU là công cụ được sử dụng để ping các thiết bị
Add Complex PDU thiết lập các thông số để gửi các PDU tùy chỉnh
Logical / Physical Workspace and Navigation Bar
Tương ứng với vị trí số 4 trong hình 3.3 Chuyển qua lại giữa hai chế độ thiết kế của vùng làm việc là: Logical và Physical
Tương ứng với vị trí số 5 trong hình 3.3 Vùng làm việc, nơi thiết kế các hệ thống mạng ảo.
Hình 3.7 Giao diện thời gian thực, mô phỏng giả lập
Tại vị trí số 6 trong hình 3.3, người dùng có thể lựa chọn giữa hai chế độ: Realtime và Simulation Chế độ Simulation cho phép quan sát hình ảnh các gói tin được trao đổi trong mạng.
Hình 3.8 Giao diện Network Component Box
Corresponding to position number 7 in figure 3.3, this section allows users to select devices and connections to be placed in the workspace area It includes options for Device Type Selection and Device-Specific Selection.
Hình 3.9 Giao diện Device – Type Selection
Position 8 in Figure 3.3 outlines the types of devices and connections supported by Packet Tracer Selecting an icon for a device in this section alters the available types for that specific device or connection For instance, choosing a router in the Device – Type Selection will display the various types of routers available within the same section.
Hình 3.10 Giao diện Device – Specific Selection
Tại vị trí số 9 trong hình 3.3, phần này liệt kê các loại thiết bị mạng, bao gồm các dòng router như 1841, 2620XM, 2811, và các dòng switch như 2950-24, 2950T-24, Switch-PT Ngoài ra, còn có các kiểu kết nối như Console, Copper Straight Through và Copper Cross-Over.
User Created Packet: vùng quản lý các gói tin (packet)
Tương ứng với vị trí số 10 trong hình 3.3 Có thể điều chỉnh kích thước của
User Created Packet Window bằng cách đặt con trỏ chuột vào biên bên trái của nó và kéo sang phải hoặc trái…
Hình 3.11 Giao diện User Created Packet
Cấu hình Radius server, tạo user và password cho các client dự định tham gia vào mạng
Trên Access Point Linksys – WRT300N, thiết đặt Security mode là WPA2 – Enterprise
Cho PC tham gia vào mạng, kiểm tra kết nối
Một máy Server – PT dùng để triển khai RADIUS, ít nhất một máy tính PC hoặc Laptop để làm client (phải có gắn card wireless)
Một Access Point có hỗ trợ chứng thực RADIUS
Sau khi cài đặt và khởi động phần mềm Packet Tracer, người dùng sẽ thấy giao diện chính và có thể bắt đầu xây dựng mô hình Mô hình này sẽ bao gồm các thành phần cần thiết để thực hiện các bài học và thực hành trong mạng máy tính.
- 3 Laptop – PT (End Devices), 5 PC – PT (End Devices)
Trên giao diện chính của phần mềm Packet Tracer, hãy nhấp vào biểu tượng End Devices ở góc dưới bên trái Tiếp theo, danh sách các thiết bị hỗ trợ sẽ hiển thị bên cạnh, từ đó chọn Server – PT cần thiết và kéo thả vào khu vực làm việc (Workspace).
Tiếp theo ta chọn Switch cần dùng bằng cách click chuột vào Switch và chọn loại Switch và kéo thả lên khung bên trên, ở đây ta chọn Switch 2950- 24
Hình 3.13 Server – PT và Switch
Tiếp theo ta chọn Wireless Devices, click chuột vào Linkys – WRT300N và kéo thả lên khung bên trên
Hình 3.14 Server – PT, Switch và AP
Cũng với thao tác như trên ta cũng chọn các Laptop – PT (End Devices) và các
Hình 3.15 Server – PT, Switch, AP và các PC
To establish a connection between the server and switch, we first select the appropriate cable type, which is a straight-through cable Click on "connections" and choose "Copper Straight-Through." Next, position the mouse over the model frame, select server0, and then choose the connection port, opting for FastEthernet to link server0 to switch1 Finally, click on switch1 and select the connection port as Fast Ethernet 0/1.
Hình 3.16 Server – PT kết nối với Switch
Chúng ta tiến hành chọn cáp thẳng để kết nối giữa switch1 và các PC0, PC1, PC2 Các thao tác thực hiện tương tự như trước, nhưng cần lưu ý đến các cổng kết nối khác nhau Tại switch1, lần lượt sử dụng các cổng Fast Ethernet 0/2, Fast Ethernet 0/3 và Fast Ethernet 0/4 để kết nối với cổng FastEthernet của các máy tính.
Hình 3.17 Switch kết nối với các PC
Để kết nối giữa switch và AP Linksys, chúng ta cần chọn cáp chéo (cable cross-over) Đầu tiên, hãy nhấp vào mục "connections" và chọn "Copper Cross – Over" Tiếp theo, di chuyển chuột đến khung mô hình và chọn server0, sau đó thực hiện các thao tác tương tự để kết nối cổng Lưu ý rằng cổng kết nối tại switch là Fast Ethernet 0/5, và nó sẽ kết nối tới cổng Ethernet1 của AP Linksys.
Hình 3.18 Switch kết nối với AP
3.3.2.3 Bước 3: Cấu hình Radius server Để cấu hình ta chọn Server – PT, click chuột vào Server0 trên mô hình sau đó chọn Config và có thể cấu hình :
Tab GLOBAL Settings Display Name đổi tên Server0 : Radius server
Tab INTERFACE FastEthernet Tiếp theo ta cấu hình như hình
Hình 3.19 Cấu hình Radius server
Tab SERVICES AAA Network Configuration ta nhập các thông số: Client Name, Client IP và Secret
Các thông số này phải trùng khi khai báo AP
Hình 3.20 Khai báo Radius Client và trong AP
3.3.2.4 Bước 4: Tạo users, cấp quyền Remote access cho users truy cập
Tab SERVICES AAA User Setup:
Ta tạo 1 user “PhuongHong”_ password là “123”
Tương tự lần lượt ta tạo tiếp các user có tên là “Banglangtim”_ password là
“hoabanglang”, user có tên là “chau”_ password là “ch@u”, user có tên là
“Baprangbo”_ password là “baprangbo”, user có tên là “SPT”_ password là “08spt”
Hình 3.21 Kết quả cấp quyền truy cập cho user
3.3.2.5 Bước 5: Cấu hình Access Point Để cấu hình ta chọn Linksys - WRT300N, click chuột vào Wireless Router0 trên mô hình sau đó chọn Config và có thể cấu hình :
Tab GLOBAL Settings Display Name đổi tên Wireless Router0 thành Radius Client
Tab GUI Setup Tiếp theo ta cấu hình như hình
3.3.2.6 Bước 6: Cấu hình Wireless client
Sau khi được kết nối cáp, các PC0, PC1, PC2 sẽ nhận được địa chỉ IP động, cho phép chúng giao tiếp với nhau và truy cập mạng một cách hiệu quả.
For the remaining PCs, we will change the username and install wireless cards Clients will need to log in with a valid username and password to access the network.
Cụ thể ta tiến hành như sau: