An ninh mạng - Hướng dẫn nhanh

Trong kỷ nguyên hiện đại này, các tổ chức phụ thuộc rất nhiều vào mạng máy tính để chia sẻ thông tin trong toàn tổ chức một cách hiệu quả và năng suất. Các mạng máy tính của tổ chức ngày nay đang trở nên lớn và phổ biến. Giả sử rằng mỗi nhân viên có một máy trạm riêng, một công ty quy mô lớn sẽ có vài nghìn máy trạm và nhiều máy chủ trên mạng.

Có khả năng là các máy trạm này có thể không được quản lý tập trung, cũng như không được bảo vệ chu vi. Họ có thể có nhiều hệ điều hành, phần cứng, phần mềm và giao thức khác nhau, với mức độ nhận thức về không gian mạng khác nhau của người dùng. Bây giờ hãy tưởng tượng, hàng nghìn máy trạm này trên mạng công ty được kết nối trực tiếp với Internet. Loại mạng không an toàn này trở thành mục tiêu cho một cuộc tấn công chứa thông tin có giá trị và hiển thị các lỗ hổng.

Trong chương này, chúng tôi mô tả các lỗ hổng chính của mạng và tầm quan trọng của an ninh mạng. Trong các chương tiếp theo, chúng ta sẽ thảo luận về các phương pháp để đạt được điều tương tự.

Mạng vật lý

Mạng được định nghĩa là hai hoặc nhiều thiết bị máy tính được kết nối với nhau để chia sẻ tài nguyên một cách hiệu quả. Hơn nữa, kết nối hai hoặc nhiều mạng với nhau được gọi làinternetworking. Như vậy, Internet chỉ là một mạng lưới kết nối - một tập hợp các mạng được kết nối với nhau.

Để thiết lập mạng nội bộ của mình, một tổ chức có nhiều lựa chọn khác nhau. Nó có thể sử dụng mạng có dây hoặc mạng không dây để kết nối tất cả các máy trạm. Ngày nay, các tổ chức chủ yếu sử dụng kết hợp cả mạng có dây và không dây.

Mạng có dây & không dây

Trong mạng có dây, các thiết bị được kết nối với nhau bằng dây cáp. Thông thường, mạng có dây dựa trên giao thức Ethernet trong đó các thiết bị được kết nối bằng cáp Cặp xoắn không được che chắn (UTP) với các thiết bị chuyển mạch khác nhau. Các thiết bị chuyển mạch này được kết nối thêm với bộ định tuyến mạng để truy cập Internet.

Trong mạng không dây, thiết bị được kết nối với một điểm truy cập thông qua truyền vô tuyến. Các điểm truy cập được kết nối thêm thông qua cáp để chuyển mạch / bộ định tuyến để truy cập mạng bên ngoài.

Mạng không dây đã trở nên phổ biến do tính di động của chúng. Thiết bị di động không cần kết nối với cáp và có thể chuyển vùng tự do trong phạm vi mạng không dây. Điều này đảm bảo chia sẻ thông tin hiệu quả và tăng năng suất.

Các lỗ hổng & các cuộc tấn công

Lỗ hổng phổ biến tồn tại trong cả mạng có dây và không dây là “truy cập trái phép” vào mạng. Kẻ tấn công có thể kết nối thiết bị của mình với mạng mặc dù cổng chuyển đổi / trung tâm không an toàn. Về mặt này, mạng không dây được coi là kém an toàn hơn mạng có dây, vì mạng không dây có thể dễ dàng truy cập mà không cần bất kỳ kết nối vật lý nào.

Sau khi truy cập, kẻ tấn công có thể khai thác lỗ hổng này để khởi động các cuộc tấn công như -

• Đánh hơi dữ liệu gói để lấy cắp thông tin có giá trị.

• Từ chối dịch vụ đối với người dùng hợp pháp trên mạng bằng cách làm ngập mạng phương tiện bằng các gói tin giả.

• Giả mạo danh tính thực (MAC) của các máy chủ hợp pháp và sau đó đánh cắp dữ liệu hoặc tiếp tục phát động một cuộc tấn công 'man-in-the-middle'.

Giao thức mạng

Giao thức mạng là một tập hợp các quy tắc chi phối thông tin liên lạc giữa các thiết bị được kết nối trên mạng. Chúng bao gồm các cơ chế tạo kết nối, cũng như các quy tắc định dạng để đóng gói dữ liệu cho các tin nhắn được gửi và nhận.

Một số giao thức mạng máy tính đã được phát triển, mỗi giao thức được thiết kế cho các mục đích cụ thể. Các giao thức phổ biến và được sử dụng rộng rãi là TCP / IP với các giao thức cấp cao hơn và cấp thấp hơn.

Giao thức TCP / IP

Transmission Control Protocol (TCP) và Internet Protocol(IP) là hai giao thức mạng máy tính khác nhau chủ yếu được sử dụng cùng nhau. Do tính phổ biến và được áp dụng rộng rãi, chúng được xây dựng trong tất cả các hệ điều hành của thiết bị nối mạng.

IP tương ứng với lớp Mạng (Lớp 3) trong khi TCP tương ứng với lớp Truyền tải (Lớp 4) trong OSI. TCP / IP áp dụng cho truyền thông mạng trong đó truyền tải TCP được sử dụng để phân phối dữ liệu qua các mạng IP.

Giao thức TCP / IP thường được sử dụng với các giao thức khác như HTTP, FTP, SSH ở lớp ứng dụng và Ethernet ở lớp liên kết dữ liệu / vật lý.

Bộ giao thức TCP / IP được tạo ra vào năm 1980 như một giải pháp kết nối internet với rất ít mối quan tâm đến các khía cạnh bảo mật.

Nó được phát triển cho một giao tiếp trong mạng tin cậy hạn chế. Tuy nhiên, trong một thời gian, giao thức này đã trở thành tiêu chuẩn thực tế cho giao tiếp Internet không an toàn.

Một số lỗ hổng bảo mật phổ biến của các bộ giao thức TCP / IP là:

• HTTP là một giao thức lớp ứng dụng trong bộ TCP / IP được sử dụng để truyền tệp tạo nên các trang web từ máy chủ web. Những chuyển giao này được thực hiện dưới dạng văn bản thuần túy và kẻ xâm nhập có thể dễ dàng đọc các gói dữ liệu được trao đổi giữa máy chủ và máy khách.

• Một lỗ hổng HTTP khác là xác thực yếu giữa máy khách và máy chủ web trong quá trình khởi chạy phiên. Lỗ hổng này có thể dẫn đến một cuộc tấn công chiếm quyền điều khiển phiên trong đó kẻ tấn công đánh cắp một phiên HTTP của người dùng hợp pháp.

• Lỗ hổng giao thức TCP là sự bắt tay ba chiều để thiết lập kết nối. Kẻ tấn công có thể khởi động một cuộc tấn công từ chối dịch vụ “SYN-Floating” để khai thác lỗ hổng này. Anh ấy thiết lập rất nhiều phiên nửa mở bằng cách không hoàn thành bắt tay. Điều này dẫn đến quá tải máy chủ và cuối cùng là sự cố.

• Lớp IP dễ có nhiều lỗ hổng. Thông qua sửa đổi tiêu đề giao thức IP, kẻ tấn công có thể khởi động một cuộc tấn công giả mạo IP.

Ngoài các lỗ hổng bảo mật đã đề cập ở trên, nhiều lỗ hổng bảo mật khác tồn tại trong họ Giao thức TCP / IP trong thiết kế cũng như trong việc triển khai nó.

Ngẫu nhiên, trong giao tiếp mạng dựa trên TCP / IP, nếu một lớp bị tấn công, các lớp khác không nhận biết được vụ tấn công và toàn bộ giao tiếp sẽ bị xâm phạm. Do đó, cần phải sử dụng các biện pháp kiểm soát bảo mật ở mỗi lớp để đảm bảo an toàn tuyệt đối.

Giao thức DNS

Domain Name System(DNS) được sử dụng để phân giải tên miền máy chủ thành địa chỉ IP. Người dùng mạng phụ thuộc chủ yếu vào chức năng DNS trong quá trình duyệt Internet bằng cách nhập URL vào trình duyệt web.

Trong một cuộc tấn công vào DNS, mục đích của kẻ tấn công là sửa đổi bản ghi DNS hợp pháp để nó được giải quyết thành một địa chỉ IP không chính xác. Nó có thể hướng tất cả lưu lượng truy cập cho IP đó đến máy tính sai. Kẻ tấn công có thể khai thác lỗ hổng giao thức DNS hoặc xâm nhập máy chủ DNS để thực hiện một cuộc tấn công.

DNS cache poisoninglà một cuộc tấn công khai thác một lỗ hổng được tìm thấy trong giao thức DNS. Kẻ tấn công có thể làm nhiễm độc bộ nhớ cache bằng cách giả mạo phản hồi đối với truy vấn DNS đệ quy do trình phân giải gửi đến máy chủ có thẩm quyền. Khi bộ nhớ cache của trình phân giải DNS bị nhiễm độc, máy chủ lưu trữ sẽ được chuyển hướng đến một trang web độc hại và có thể xâm phạm thông tin xác thực bằng cách liên lạc với trang web này.

Giao thức ICMP

Internet Control Management Protocol(ICMP) là một giao thức quản lý mạng cơ bản của mạng TCP / IP. Nó được sử dụng để gửi các thông báo lỗi và kiểm soát về trạng thái của các thiết bị được nối mạng.

ICMP là một phần không thể thiếu của việc triển khai mạng IP và do đó nó hiện diện trong rất thiết lập mạng. ICMP có các lỗ hổng riêng và có thể bị lạm dụng để tiến hành một cuộc tấn công vào mạng.

Các cuộc tấn công phổ biến có thể xảy ra trên mạng do lỗ hổng ICMP là:

• ICMP cho phép kẻ tấn công thực hiện trinh sát mạng để xác định cấu trúc liên kết mạng và các đường dẫn vào mạng. Quét ICMP liên quan đến việc khám phá tất cả các địa chỉ IP máy chủ còn sống trong toàn bộ mạng của mục tiêu.

• Đường theo dõi là một tiện ích ICMP phổ biến được sử dụng để lập bản đồ mạng mục tiêu bằng cách mô tả đường dẫn trong thời gian thực từ máy khách đến máy chủ từ xa.

• Kẻ tấn công có thể khởi động một cuộc tấn công từ chối dịch vụ bằng cách sử dụng lỗ hổng ICMP. Cuộc tấn công này liên quan đến việc gửi các gói ping IPMP vượt quá 65,535 byte tới thiết bị mục tiêu. Máy tính mục tiêu không xử lý đúng gói tin này và có thể khiến hệ điều hành bị hỏng.

Các giao thức khác như ARP, DHCP, SMTP, v.v. cũng có các lỗ hổng bảo mật có thể bị kẻ tấn công lợi dụng để xâm phạm an ninh mạng. Chúng tôi sẽ thảo luận về một số lỗ hổng này trong các chương sau.

Mối quan tâm ít nhất đối với khía cạnh bảo mật trong quá trình thiết kế và triển khai các giao thức đã trở thành nguyên nhân chính của các mối đe dọa đối với an ninh mạng.

Mục tiêu của An ninh mạng

Như đã thảo luận trong các phần trước, có một số lượng lớn các lỗ hổng trong mạng. Do đó, trong quá trình truyền, dữ liệu rất dễ bị tấn công. Kẻ tấn công có thể nhắm mục tiêu vào kênh liên lạc, lấy dữ liệu và đọc cùng một thông điệp hoặc chèn lại một thông điệp sai để đạt được mục đích bất chính của mình.

An ninh mạng không chỉ quan tâm đến bảo mật của các máy tính ở mỗi đầu của chuỗi truyền thông; tuy nhiên, nó nhằm mục đích đảm bảo rằng toàn bộ mạng được an toàn.

An ninh mạng đòi hỏi phải bảo vệ tính khả dụng, độ tin cậy, tính toàn vẹn và an toàn của mạng và dữ liệu. Bảo mật mạng hiệu quả đánh bại nhiều mối đe dọa xâm nhập hoặc lây lan trên mạng.

Mục tiêu chính của an ninh mạng là Bảo mật, Toàn vẹn và Tính sẵn sàng. Ba trụ cột này của An ninh mạng thường được đại diện làCIA triangle.

• Confidentiality- Chức năng của bảo mật là bảo vệ dữ liệu kinh doanh quý giá khỏi những người không có thẩm quyền. Một phần bảo mật của an ninh mạng đảm bảo rằng dữ liệu chỉ có sẵn cho những người được dự định và được ủy quyền.

• Integrity- Mục tiêu này có nghĩa là duy trì và đảm bảo tính chính xác và nhất quán của dữ liệu. Chức năng của tính toàn vẹn là đảm bảo rằng dữ liệu là đáng tin cậy và không bị thay đổi bởi những người không có thẩm quyền.

• Availability - Chức năng sẵn có trong An ninh mạng là đảm bảo rằng dữ liệu, tài nguyên mạng / dịch vụ liên tục có sẵn cho người dùng hợp pháp, bất cứ khi nào họ yêu cầu.

Đạt được An ninh mạng

Đảm bảo an ninh mạng có vẻ rất đơn giản. Các mục tiêu cần đạt được dường như rất đơn giản. Nhưng trên thực tế, các cơ chế được sử dụng để đạt được những mục tiêu này rất phức tạp và việc hiểu chúng liên quan đến lý luận đúng đắn.

International Telecommunication Union(ITU), trong khuyến nghị của mình về kiến ​​trúc bảo mật X.800, đã xác định các cơ chế nhất định để mang lại sự tiêu chuẩn hóa trong các phương pháp đạt được an ninh mạng. Một số cơ chế này là -

• En-cipherment- Cơ chế này cung cấp các dịch vụ bảo mật dữ liệu bằng cách chuyển đổi dữ liệu thành các dạng không thể đọc được cho những người không được phép. Cơ chế này sử dụng thuật toán mã hóa-giải mã với các khóa bí mật.

• Digital signatures- Cơ chế này tương đương điện tử của chữ ký thông thường trong dữ liệu điện tử. Nó cung cấp tính xác thực của dữ liệu.

• Access control- Cơ chế này được sử dụng để cung cấp các dịch vụ kiểm soát truy cập. Các cơ chế này có thể sử dụng việc xác định và xác thực một thực thể để xác định và thực thi các quyền truy cập của thực thể.

Sau khi phát triển và xác định các cơ chế bảo mật khác nhau để đạt được an ninh mạng, điều cần thiết là phải quyết định nơi áp dụng chúng; cả về mặt vật lý (ở vị trí nào) và logic (ở lớp nào của một kiến ​​trúc như TCP / IP).

Cơ chế bảo mật tại các lớp mạng

Một số cơ chế bảo mật đã được phát triển theo cách mà chúng có thể được phát triển ở một lớp cụ thể của mô hình lớp mạng OSI.

• Security at Application Layer- Các biện pháp bảo mật được sử dụng ở lớp này là dành riêng cho ứng dụng. Các loại ứng dụng khác nhau sẽ cần các biện pháp bảo mật riêng biệt. Để đảm bảo an ninh lớp ứng dụng, các ứng dụng cần được sửa đổi.

  Người ta cho rằng việc thiết kế một giao thức ứng dụng mật mã là rất khó và việc triển khai nó đúng cách còn khó hơn. Do đó, các cơ chế bảo mật lớp ứng dụng để bảo vệ truyền thông mạng chỉ được ưu tiên là các giải pháp dựa trên tiêu chuẩn đã được sử dụng một thời gian.

  Một ví dụ về giao thức bảo mật lớp ứng dụng là Tiện ích mở rộng Thư Internet Đa năng An toàn (S / MIME), thường được sử dụng để mã hóa các thư e-mail. DNSSEC là một giao thức khác ở lớp này được sử dụng để trao đổi an toàn các thông báo truy vấn DNS.

• Security at Transport Layer- Các biện pháp bảo mật ở lớp này có thể được sử dụng để bảo vệ dữ liệu trong một phiên giao tiếp duy nhất giữa hai host. Việc sử dụng phổ biến nhất cho các giao thức bảo mật lớp truyền tải là bảo vệ lưu lượng phiên HTTP và FTP. Bảo mật lớp truyền tải (TLS) và lớp cổng bảo mật (SSL) là các giao thức phổ biến nhất được sử dụng cho mục đích này.

• Network Layer- Các biện pháp bảo mật ở lớp này có thể được áp dụng cho tất cả các ứng dụng; do đó, chúng không dành riêng cho ứng dụng. Tất cả các giao tiếp mạng giữa hai máy chủ hoặc mạng có thể được bảo vệ tại lớp này mà không cần sửa đổi bất kỳ ứng dụng nào. Trong một số môi trường, giao thức bảo mật lớp mạng như Bảo mật Giao thức Internet (IPsec) cung cấp giải pháp tốt hơn nhiều so với các điều khiển lớp ứng dụng hoặc truyền tải vì những khó khăn trong việc thêm các điều khiển cho các ứng dụng riêng lẻ. Tuy nhiên, các giao thức bảo mật ở lớp này cung cấp ít tính linh hoạt hơn trong giao tiếp mà một số ứng dụng có thể yêu cầu.

Ngẫu nhiên, một cơ chế bảo mật được thiết kế để hoạt động ở lớp cao hơn không thể bảo vệ dữ liệu ở các lớp thấp hơn, vì các lớp thấp hơn thực hiện các chức năng mà các lớp cao hơn không nhận thức được. Do đó, có thể cần triển khai nhiều cơ chế bảo mật để tăng cường an ninh mạng.

Trong các chương sau của hướng dẫn, chúng ta sẽ thảo luận về các cơ chế bảo mật được sử dụng ở các lớp khác nhau của kiến ​​trúc mạng OSI để đạt được an ninh mạng.

Các dịch vụ kinh doanh khác nhau hiện được cung cấp trực tuyến thông qua các ứng dụng máy khách-máy chủ. Các hình thức phổ biến nhất là ứng dụng web và e-mail. Trong cả hai ứng dụng, máy khách giao tiếp với máy chủ được chỉ định và nhận các dịch vụ.

Trong khi sử dụng một dịch vụ từ bất kỳ ứng dụng máy chủ nào, máy khách và máy chủ trao đổi nhiều thông tin trên mạng nội bộ hoặc Internet bên dưới. Chúng tôi nhận thức được rằng các giao dịch thông tin này rất dễ bị tấn công.

An ninh mạng đòi hỏi phải bảo mật dữ liệu chống lại các cuộc tấn công trong khi nó được truyền trên mạng. Để đạt được mục tiêu này, nhiều giao thức bảo mật thời gian thực đã được thiết kế. Giao thức như vậy cần cung cấp ít nhất các mục tiêu chính sau:

• Các bên có thể thương lượng tương tác để xác thực lẫn nhau.
• Thiết lập khóa phiên bí mật trước khi trao đổi thông tin trên mạng.
• Trao đổi thông tin dưới dạng mã hóa.

Điều thú vị là các giao thức này hoạt động ở các lớp khác nhau của mô hình mạng. Ví dụ, giao thức S / MIME hoạt động ở lớp Ứng dụng, giao thức SSL được phát triển để hoạt động ở lớp truyền tải và giao thức IPsec hoạt động ở lớp Mạng.

Trong chương này, chúng ta sẽ thảo luận các quy trình khác nhau để đạt được bảo mật cho giao tiếp e-mail và các giao thức bảo mật liên quan. Phương pháp bảo mật DNS được đề cập sau đó. Trong các chương sau, các giao thức để đạt được bảo mật web sẽ được mô tả.

Bảo mật e-mail

Ngày nay, e-mail đã trở thành ứng dụng mạng được sử dụng rất rộng rãi. Hãy thảo luận ngắn gọn về cơ sở hạ tầng e-mail trước khi tiếp tục tìm hiểu về các giao thức bảo mật e-mail.

Cơ sở hạ tầng e-mail

Cách đơn giản nhất để gửi e-mail là gửi một tin nhắn trực tiếp từ máy của người gửi đến máy của người nhận. Trong trường hợp này, điều cần thiết là cả hai máy phải chạy trên mạng đồng thời. Tuy nhiên, thiết lập này là không thực tế vì người dùng đôi khi có thể kết nối máy của họ với mạng.

Do đó, khái niệm thiết lập máy chủ e-mail đã xuất hiện. Trong thiết lập này, thư được gửi đến máy chủ thư có sẵn vĩnh viễn trên mạng. Khi máy của người nhận kết nối với mạng, nó sẽ đọc thư từ máy chủ thư.

Nói chung, cơ sở hạ tầng e-mail bao gồm một mạng lưới các máy chủ thư, còn được gọi là Message Transfer Agents (MTA) và máy khách chạy chương trình e-mail bao gồm Tác nhân người dùng (UA) và MTA cục bộ.

Thông thường, một tin nhắn e-mail được chuyển tiếp từ UA của nó, đi qua lưới các MTA và cuối cùng đến UA trên máy của người nhận.

Các giao thức được sử dụng cho e-mail như sau:

• Giao thức truyền thư đơn giản (SMTP) được sử dụng để chuyển tiếp thư e-mail.

• Giao thức Bưu điện (POP) và Giao thức Truy cập Thư Internet (IMAP) được sử dụng để truy xuất thư của người nhận từ máy chủ.

MIME

Tiêu chuẩn e-mail Internet cơ bản được viết vào năm 1982 và nó mô tả định dạng của thông điệp e-mail được trao đổi trên Internet. Nó chủ yếu hỗ trợ tin nhắn e-mail được viết dưới dạng văn bản trong bảng chữ cái La Mã cơ bản.

Đến năm 1992, nhu cầu được cải thiện như cũ. Do đó, một Phần mở rộng Thư Internet Đa năng (MIME) tiêu chuẩn bổ sung đã được xác định. Nó là một tập hợp các phần mở rộng cho tiêu chuẩn Internet E-mail cơ bản. MIME cung cấp khả năng gửi e-mail bằng các ký tự khác với các ký tự của bảng chữ cái La Mã cơ bản như bảng chữ cái Cyrillic (được sử dụng bằng tiếng Nga), bảng chữ cái Hy Lạp hoặc thậm chí là các ký tự lý tưởng của Trung Quốc.

Một nhu cầu khác của MIME là gửi nội dung không phải văn bản, chẳng hạn như hình ảnh hoặc video clip. Do tính năng này, tiêu chuẩn MIME đã được áp dụng rộng rãi với SMTP để giao tiếp qua e-mail.

Dịch vụ bảo mật e-mail

Việc sử dụng ngày càng nhiều giao tiếp e-mail cho các giao dịch quan trọng và quan trọng đòi hỏi phải cung cấp một số dịch vụ bảo mật cơ bản như sau:

• Confidentiality - Thư điện tử không được đọc bởi bất kỳ ai ngoại trừ người nhận.

• Authentication - Người nhận e-mail có thể chắc chắn về danh tính của người gửi.

• Integrity - Đảm bảo với người nhận rằng thông điệp e-mail không bị thay đổi kể từ khi nó được chuyển đi bởi người gửi.

• Non-repudiation - Người nhận e-mail có thể chứng minh với bên thứ ba rằng người gửi đã thực sự gửi thư.

• Proof of submission - Người gửi thư điện tử được xác nhận rằng thư đã được chuyển đến hệ thống chuyển thư.

• Proof of delivery - Người gửi nhận được xác nhận rằng người nhận đã nhận được tin nhắn.

Các dịch vụ bảo mật như quyền riêng tư, xác thực, tính toàn vẹn của thông điệp và tính không từ chối thường được cung cấp bằng cách sử dụng mật mã khóa công khai.

Thông thường, có ba kịch bản khác nhau của giao tiếp qua e-mail. Chúng tôi sẽ thảo luận về các phương pháp đạt được các dịch vụ bảo mật trên trong các tình huống này.

Email một-một

Trong trường hợp này, người gửi chỉ gửi một e-mail đến một người nhận. Thông thường, không quá hai MTA tham gia vào cuộc giao tiếp.

Giả sử một người gửi muốn gửi một e-mail bí mật cho người nhận. Việc cung cấp quyền riêng tư trong trường hợp này đạt được như sau:

• Người gửi và người nhận có khóa công khai-riêng của họ lần lượt là (S _PVT , S _PUB ) và (R _PVT , R _PUB ).

• Người gửi tạo một khóa đối xứng bí mật, K _S để mã hóa. Mặc dù người gửi có thể đã sử dụng R _PUB để mã hóa, nhưng một khóa đối xứng được sử dụng để mã hóa và giải mã nhanh hơn.

• Người gửi mã hóa thông điệp bằng khóa K _S và cũng mã hóa K _S bằng khóa công khai của người nhận, R _PUB .

• Người gửi sẽ gửi thông điệp được mã hóa và K _S được mã hóa cho người nhận.

• Đầu tiên người nhận nhận được K _S bằng cách giải mã K _S được mã hóa bằng cách sử dụng khóa riêng của mình, R _PVT .

• Người nhận sau đó giải mã thông điệp bằng khóa đối xứng, K _S .

Nếu các dịch vụ toàn vẹn, xác thực và không thoái thác thông báo cũng cần thiết trong trường hợp này, các bước sau sẽ được thêm vào quy trình trên.

• Người gửi tạo ra mã băm của tin nhắn và ký số vào hàm băm này bằng khóa riêng của mình, S _PVT .

• Người gửi gửi mã băm đã ký này đến người nhận cùng với các thành phần khác.

• Người nhận sử dụng khóa công khai S _PUB và trích xuất mã băm nhận được dưới chữ ký của người gửi.

• Người nhận sau đó băm thông điệp đã giải mã và bây giờ so sánh hai giá trị băm. Nếu chúng khớp nhau, tính toàn vẹn của thông điệp được coi là đạt được.

• Ngoài ra, người nhận chắc chắn rằng tin nhắn được gửi bởi người gửi (xác thực). Và cuối cùng, người gửi không thể phủ nhận rằng anh ta đã không gửi tin nhắn (không thoái thác).

Email từ một đến nhiều người nhận

Trong trường hợp này, người gửi sẽ gửi một thông điệp e-mail đến hai hoặc nhiều người nhận. Danh sách được quản lý bởi chương trình e-mail của người gửi (UA + MTA cục bộ). Tất cả người nhận đều nhận được cùng một tin nhắn.

Giả sử, người gửi muốn gửi e-mail bí mật cho nhiều người nhận (giả sử R1, R2 và R3). Việc cung cấp quyền riêng tư trong trường hợp này đạt được như sau:

• Người gửi và tất cả người nhận đều có cặp khóa công khai-riêng của họ.

• Người gửi tạo ra một chìa khóa đối xứng bí mật, K _s và mã hóa thông điệp với phím này.

• Sau đó, người gửi mã hóa K _S nhiều lần với các khóa công khai của R1, R2 và R3, nhận được R1 _PUB (K _S ), R2 _PUB (K _S ) và R3 _PUB (K _S ).

• Người gửi sẽ gửi thông điệp được mã hóa và K _S được mã hóa tương ứng cho người nhận. Ví dụ, người nhận 1 (R1) nhận được thông điệp được mã hóa và R1 _PUB (K _S ).

• Đầu tiên, mỗi người nhận trích xuất khóa K _S bằng cách giải mã K _S được mã hóa bằng khóa riêng của mình.

• Mỗi người nhận sau đó giải mã thông điệp bằng khóa đối xứng, K _S .

Để cung cấp tính toàn vẹn, xác thực và không thoái thác của thư, các bước phải làm tương tự như các bước được đề cập ở trên trong kịch bản e-mail một-một.

E-mail danh sách một đến phân phối

Trong trường hợp này, người gửi gửi một thông điệp e-mail đến hai hoặc nhiều người nhận nhưng danh sách người nhận không được quản lý cục bộ bởi người gửi. Nói chung, máy chủ e-mail (MTA) duy trì danh sách gửi thư.

Người gửi gửi thư đến MTA quản lý danh sách gửi thư và sau đó, thư được MTA phát nổ cho tất cả người nhận trong danh sách.

Trong trường hợp này, khi người gửi muốn gửi một e-mail bí mật đến những người nhận trong danh sách gửi thư (giả sử R1, R2 và R3); sự riêng tư được đảm bảo như sau:

• Người gửi và tất cả người nhận đều có cặp khóa công khai-riêng của họ. Máy chủ Exploder có một cặp khóa riêng-công khai cho mỗi danh sách gửi thư (Danh sách _PUB , Danh sách _PVT ) được duy trì bởi nó.

• Người gửi tạo một khóa đối xứng bí mật K _s và sau đó mã hóa thông điệp bằng khóa này.

• Sau đó, người gửi mã hóa K _S bằng khóa công khai được liên kết với danh sách, thu được Danh sách _PUB (K _S ).

• Người gửi gửi tin nhắn được mã hóa và Danh sách _PUB (K _S ). MTA người khai phá giải mã Danh sách _PUB (K _S ) sử dụng Danh sách _PVT và có được K _S .

• Bộ giải mã mã hóa K _S với càng nhiều khóa công khai càng có nhiều thành viên trong danh sách.

• Exploder chuyển tiếp tin nhắn đã được mã hóa và K _S được mã hóa tương ứng đến tất cả người nhận trong danh sách. Ví dụ, Exploder chuyển tiếp thông điệp được mã hóa và R1 _PUB (K _S ) tới người nhận 1, v.v.

Để cung cấp tính toàn vẹn của thư, xác thực và không từ chối, các bước cần tuân theo tương tự như đã đưa ra trong trường hợp email một-một.

Điều thú vị là chương trình e-mail sử dụng phương pháp bảo mật trên để bảo mật e-mail dự kiến ​​sẽ hoạt động cho tất cả các tình huống có thể được thảo luận ở trên. Hầu hết các cơ chế bảo mật trên cho e-mail được cung cấp bởi hai chương trình phổ biến, Pretty Good Privacy (PGP) và S / MIME. Chúng tôi thảo luận cả hai trong các phần sau.

PGP

Pretty Good Privacy(PGP) là một chương trình mã hóa e-mail. Nó đã trở thành tiêu chuẩn thực tế để cung cấp các dịch vụ bảo mật cho giao tiếp e-mail.

Như đã thảo luận ở trên, nó sử dụng mật mã khóa công khai, mật mã khóa đối xứng, hàm băm và chữ ký số. Nó cung cấp -

• Privacy
• Xác thực người gửi
• Tính toàn vẹn của thông điệp
• Non-repudiation

Cùng với các dịch vụ bảo mật này, nó cũng cung cấp hỗ trợ nén dữ liệu và quản lý khóa. PGP sử dụng các thuật toán mật mã hiện có như RSA, IDEA, MD5, v.v., thay vì phát minh ra những thuật toán mới.

Hoạt động của PGP

• Băm tin nhắn được tính toán. (Thuật toán MD5)

• Kết quả băm 128 bit được ký bằng khóa riêng của người gửi (Thuật toán RSA).

• Chữ ký điện tử được nối với tin nhắn và kết quả được nén.

• Một khóa đối xứng 128 bit, K _S được tạo ra và được sử dụng để mã hóa thông điệp nén với IDEA.

• K _S được mã hóa bằng khóa công khai của người nhận bằng thuật toán RSA và kết quả được nối vào thông điệp được mã hóa.

Định dạng của thông báo PGP được hiển thị trong sơ đồ sau. Các ID cho biết khóa nào được sử dụng để mã hóa KS và khóa nào được sử dụng để xác minh chữ ký trên băm.

Trong lược đồ PGP, một tin nhắn được ký và mã hóa, sau đó MIME được mã hóa trước khi truyền.

Chứng chỉ PGP

Chứng chỉ khóa PGP thường được thiết lập thông qua một chuỗi ủy thác. Ví dụ, khóa công khai của A được ký bởi B bằng khóa công khai của anh ta và khóa công khai của B được ký bởi C bằng khóa công khai của anh ta. Khi quá trình này tiếp tục, nó thiết lập một mạng lưới tin cậy.

Trong môi trường PGP, bất kỳ người dùng nào cũng có thể hoạt động như một cơ quan chứng nhận. Bất kỳ người dùng PGP nào cũng có thể chứng nhận khóa công khai của người dùng PGP khác. Tuy nhiên, chứng chỉ đó chỉ có giá trị đối với người dùng khác nếu người dùng nhận ra người chứng nhận là người giới thiệu đáng tin cậy.

Một số vấn đề tồn tại với một phương pháp chứng nhận như vậy. Có thể khó tìm một chuỗi dẫn từ khóa công khai đã biết và đáng tin cậy đến khóa mong muốn. Ngoài ra, có thể có nhiều chuỗi có thể dẫn đến các khóa khác nhau cho người dùng mong muốn.

PGP cũng có thể sử dụng cơ sở hạ tầng PKI với cơ quan cấp chứng chỉ và khóa công khai có thể được chứng nhận bởi CA (chứng chỉ X.509).

S / MIME

S / MIME là viết tắt của Secure Multipurpose Internet Mail Extension. S / MIME là một tiêu chuẩn e-mail an toàn. Nó dựa trên một tiêu chuẩn gửi thư điện tử không an toàn trước đó được gọi là MIME.

Hoạt động của S / MIME

Cách tiếp cận S / MIME tương tự như PGP. Nó cũng sử dụng mật mã khóa công khai, mật mã khóa đối xứng, hàm băm và chữ ký số. Nó cung cấp các dịch vụ bảo mật tương tự như PGP cho giao tiếp e-mail.

Các mật mã đối xứng phổ biến nhất được sử dụng trong S / MIME là RC2 và TripleDES. Phương thức khóa công khai thông thường là RSA và thuật toán băm là SHA-1 hoặc MD5.

S / MIME chỉ định kiểu MIME bổ sung, chẳng hạn như “application / pkcs7-mime”, để bao bọc dữ liệu sau khi mã hóa. Toàn bộ thực thể MIME được mã hóa và đóng gói thành một đối tượng. S / MIME có các định dạng thông điệp mật mã được tiêu chuẩn hóa (khác với PGP). Trên thực tế, MIME được mở rộng với một số từ khóa để xác định các phần được mã hóa và / hoặc đã ký trong thư.

S / MIME dựa trên chứng chỉ X.509 để phân phối khóa công khai. Nó cần PKI phân cấp từ trên xuống để hỗ trợ chứng nhận.

Khả năng sử dụng của S / MIME

Do yêu cầu phải có chứng chỉ từ cơ quan cấp chứng chỉ để triển khai, không phải tất cả người dùng đều có thể tận dụng S / MIME, vì một số người có thể muốn mã hóa thư bằng cặp khóa công khai / riêng tư. Ví dụ, không có sự tham gia hoặc chi phí quản trị của các chứng chỉ.

Trong thực tế, mặc dù hầu hết các ứng dụng e-mail đều triển khai S / MIME, quy trình đăng ký chứng chỉ rất phức tạp. Thay vào đó, hỗ trợ PGP thường yêu cầu thêm một trình cắm và trình cắm đó đi kèm với tất cả những gì cần thiết để quản lý khóa. Web of Trust không thực sự được sử dụng. Mọi người trao đổi khóa công khai của họ qua một phương tiện khác. Sau khi lấy được, họ giữ một bản sao khóa công khai của những người thường trao đổi thư điện tử.

Lớp triển khai trong kiến ​​trúc mạng cho các lược đồ PGP và S / MIME được hiển thị trong hình sau. Cả hai chương trình này đều cung cấp bảo mật cấp độ ứng dụng cho giao tiếp e-mail.

Một trong các lược đồ, PGP hoặc S / MIME, được sử dụng tùy thuộc vào môi trường. Có thể cung cấp giao tiếp email điện tử an toàn trong mạng cố định bằng cách thích ứng với PGP. Để bảo mật e-mail qua Internet, nơi thường xuyên trao đổi thư với những người dùng mới chưa quen biết, S / MIME được coi là một lựa chọn tốt.

Bảo mật DNS

Trong chương đầu tiên, chúng tôi đã đề cập rằng kẻ tấn công có thể sử dụng DNS Cache Poisoning để thực hiện một cuộc tấn công vào người dùng mục tiêu. Domain Name System Security Extensions (DNSSEC) là một tiêu chuẩn Internet có thể ngăn chặn các cuộc tấn công như vậy.

Lỗ hổng của DNS chuẩn

Trong lược đồ DNS tiêu chuẩn, bất cứ khi nào người dùng muốn kết nối với bất kỳ tên miền nào, máy tính của họ sẽ liên hệ với máy chủ DNS và tra cứu địa chỉ IP được liên kết cho tên miền đó. Sau khi có được địa chỉ IP, máy tính sẽ kết nối với địa chỉ IP đó.

Trong chương trình này, không có quá trình xác minh nào liên quan. Máy tính yêu cầu máy chủ DNS của nó cung cấp địa chỉ được liên kết với một trang web, máy chủ DNS phản hồi bằng địa chỉ IP và máy tính của bạn chắc chắn chấp nhận nó là phản hồi hợp pháp và kết nối với trang web đó.

Việc tra cứu DNS thực sự diễn ra theo nhiều giai đoạn. Ví dụ: khi một máy tính yêu cầu “www.tutorialspoint.com”, việc tra cứu DNS được thực hiện theo một số giai đoạn:

• Đầu tiên máy tính hỏi máy chủ DNS cục bộ (ISP cung cấp). Nếu ISP có tên này trong bộ nhớ cache của nó, nó sẽ phản hồi khác sẽ chuyển tiếp truy vấn tới “thư mục vùng gốc” nơi nó có thể tìm thấy “.com”. và trả lời vùng gốc.

• Dựa trên câu trả lời, máy tính sẽ hỏi thư mục “.com” nơi nó có thể tìm thấy “tutorialspoint.com”.

• Dựa trên thông tin nhận được, máy tính hỏi “tutorialspoint.com” nơi nó có thể tìm thấy www. tutorialspoint.com.

DNSSEC được xác định

Tra cứu DNS, khi được thực hiện bằng DNSSEC, bao gồm việc ký các câu trả lời của thực thể phản hồi. DNSSEC dựa trên mật mã khóa công khai.

Trong tiêu chuẩn DNSSEC, mọi vùng DNS đều có một cặp khóa công khai / riêng tư. Tất cả thông tin được gửi bởi máy chủ DNS đều được ký bằng khóa riêng của vùng gốc để đảm bảo tính xác thực. Máy khách DNS cần biết khóa công khai của khu vực để kiểm tra chữ ký. Ứng dụng khách có thể được định cấu hình trước bằng khóa công khai của tất cả các miền cấp cao nhất hoặc DNS gốc.

Với DNSSEC, quy trình tra cứu diễn ra như sau:

• Khi máy tính của bạn hỏi vùng gốc nơi nó có thể tìm thấy .com, câu trả lời được máy chủ vùng gốc ký.

• Máy tính kiểm tra khóa ký của vùng gốc và xác nhận rằng đó là vùng gốc hợp pháp với thông tin đúng.

• Trong thư trả lời, vùng gốc cung cấp thông tin về khóa ký của máy chủ vùng .com và vị trí của nó, cho phép máy tính liên hệ với thư mục .com và đảm bảo nó là hợp pháp.

• Sau đó, thư mục .com cung cấp khóa ký và thông tin cho tutorialspoint.com, cho phép nó liên hệ với google.com và xác minh rằng bạn được kết nối với tutorialspoint.com thực, như được xác nhận bởi các khu vực phía trên nó.

• Thông tin được gửi ở dạng Bộ hồ sơ tài nguyên (RRSets). Ví dụ về RRSet cho tên miền “tutorialspoint.com” trong máy chủ “.com” cấp cao nhất được hiển thị trong bảng sau.

Tên miền	Thời gian để sống	Kiểu	Giá trị
tutorialspoint.com	86400	NS	dns.tutorialspoint.com
dns.tutorialspoint.com	86400	A	36..1.2.3
tutorialspoint.com	86400	CHÌA KHÓA	3682793A7B73F731029CE2737D ...
tutorialspoint.com	86400	SIG	86947503A8B848F5272E53930C ...

• Bản ghi KEY là một khóa công khai của “tutorialspoint.com”.

• Bản ghi SIG là hàm băm có chữ ký của máy chủ .com cấp cao nhất của các trường NS, A và bản ghi KEY để xác minh tính xác thực của chúng. Giá trị của nó là Kcom _pvt (H (NS, A, KEY)).

Do đó, được coi là khi DNSSEC được triển khai đầy đủ, máy tính của người dùng có thể xác nhận rằng các phản hồi DNS là hợp pháp và đúng, đồng thời tránh các cuộc tấn công DNS được thực hiện thông qua nhiễm độc bộ nhớ cache DNS.

Tóm lược

Quá trình bảo mật thư điện tử đảm bảo tính bảo mật đầu cuối của thông tin liên lạc. Nó cung cấp các dịch vụ bảo mật về tính bí mật, xác thực người gửi, tính toàn vẹn của thư và không từ chối.

Hai chương trình đã được phát triển để bảo mật e-mail: PGP và S / MIME. Cả hai chương trình này đều sử dụng mật mã khóa bí mật và khóa công khai.

Tra cứu DNS tiêu chuẩn dễ bị tấn công như giả mạo DNS / nhiễm độc bộ nhớ cache. Bảo mật tra cứu DNS là khả thi thông qua việc sử dụng DNSSEC sử dụng mật mã khóa công khai.

Trong chương này, chúng ta đã thảo luận về các cơ chế được sử dụng ở lớp ứng dụng để cung cấp bảo mật mạng cho giao tiếp end-to-end.

An ninh mạng đòi hỏi phải bảo mật dữ liệu chống lại các cuộc tấn công trong khi nó được truyền trên mạng. Để đạt được mục tiêu này, nhiều giao thức bảo mật thời gian thực đã được thiết kế. Có các tiêu chuẩn phổ biến cho các giao thức bảo mật mạng thời gian thực như S / MIME, SSL / TLS, SSH và IPsec. Như đã đề cập trước đó, các giao thức này hoạt động ở các lớp khác nhau của mô hình mạng.

Trong chương trước, chúng ta đã thảo luận về một số giao thức phổ biến được thiết kế để cung cấp bảo mật lớp ứng dụng. Trong chương này, chúng ta sẽ thảo luận về quá trình đạt được an ninh mạng ở Lớp truyền tải và các giao thức bảo mật liên quan.

Đối với mạng dựa trên giao thức TCP / IP, các lớp liên kết vật lý và dữ liệu thường được triển khai trong thiết bị đầu cuối người dùng và phần cứng thẻ mạng. Các lớp TCP và IP được thực hiện trong hệ điều hành. Bất kỳ thứ gì trên TCP / IP đều được thực hiện dưới dạng quy trình của người dùng.

Cần bảo mật lớp truyền tải

Hãy thảo luận về một giao dịch kinh doanh dựa trên Internet điển hình.

Bob truy cập trang web của Alice để bán hàng hóa. Trong một biểu mẫu trên trang web, Bob nhập loại hàng hóa và số lượng mong muốn, địa chỉ và chi tiết thẻ thanh toán. Bob nhấp vào Gửi và đợi giao hàng với số tiền ghi nợ từ tài khoản của mình. Tất cả điều này nghe có vẻ ổn, nhưng nếu không có an ninh mạng, Bob có thể gặp một vài bất ngờ.

• Nếu các giao dịch không sử dụng tính bảo mật (mã hóa), kẻ tấn công có thể lấy được thông tin thẻ thanh toán của anh ta. Kẻ tấn công sau đó có thể mua hàng với chi phí của Bob.

• Nếu không có biện pháp toàn vẹn dữ liệu nào được sử dụng, kẻ tấn công có thể sửa đổi đơn đặt hàng của Bob về loại hoặc số lượng hàng hóa.

• Cuối cùng, nếu không sử dụng xác thực máy chủ, một máy chủ có thể hiển thị biểu tượng nổi tiếng của Alice nhưng trang web có thể là một trang độc hại được duy trì bởi kẻ tấn công, kẻ giả mạo là Alice. Sau khi nhận được lệnh của Bob, anh ta có thể lấy tiền của Bob và bỏ trốn. Hoặc anh ta có thể thực hiện một vụ trộm danh tính bằng cách thu thập tên và chi tiết thẻ tín dụng của Bob.

Các chương trình bảo mật lớp truyền tải có thể giải quyết những vấn đề này bằng cách tăng cường giao tiếp mạng dựa trên TCP / IP với tính bảo mật, toàn vẹn dữ liệu, xác thực máy chủ và xác thực máy khách.

Bảo mật ở lớp này chủ yếu được sử dụng để bảo mật các giao dịch web dựa trên HTTP trên mạng. Tuy nhiên, nó có thể được sử dụng bởi bất kỳ ứng dụng nào chạy trên TCP.

Triết lý thiết kế TLS

Giao thức Bảo mật lớp truyền tải (TLS) hoạt động bên trên lớp TCP. Thiết kế của các giao thức này sử dụng Giao diện Chương trình Ứng dụng (API) phổ biến cho TCP, được gọi là “ổ cắm” để giao tiếp với lớp TCP.

Các ứng dụng hiện được giao diện với Lớp bảo mật truyền tải thay vì TCP trực tiếp. Lớp bảo mật truyền tải cung cấp một API đơn giản với các ổ cắm, tương tự như API của TCP.

Trong sơ đồ trên, mặc dù về mặt kỹ thuật TLS nằm giữa lớp ứng dụng và lớp truyền tải, nhưng từ góc độ chung, nó là một giao thức truyền tải hoạt động như lớp TCP được tăng cường với các dịch vụ bảo mật.

TLS được thiết kế để hoạt động trên TCP, giao thức lớp 4 đáng tin cậy (không phải trên giao thức UDP), giúp thiết kế TLS đơn giản hơn nhiều, vì nó không phải lo lắng về việc 'hết thời gian chờ' và 'truyền lại dữ liệu bị mất. Lớp TCP tiếp tục làm điều đó như bình thường phục vụ nhu cầu của TLS.

Tại sao TLS lại phổ biến?

Lý do phổ biến của việc sử dụng bảo mật ở Lớp truyền tải là sự đơn giản. Thiết kế và triển khai bảo mật ở lớp này không yêu cầu bất kỳ thay đổi nào trong các giao thức TCP / IP được triển khai trong hệ điều hành. Chỉ các quy trình và ứng dụng của người dùng cần được thiết kế / sửa đổi ít phức tạp hơn.

Lớp cổng bảo mật (SSL)

Trong phần này, chúng ta thảo luận về họ các giao thức được thiết kế cho TLS. Họ bao gồm SSL phiên bản 2 và 3 và giao thức TLS. SSLv2 hiện đã được thay thế bởi SSLv3, vì vậy chúng tôi sẽ tập trung vào SSL v3 và TLS.

Lịch sử tóm tắt của SSL

Năm 1995, Netscape phát triển SSLv2 và được sử dụng trong Netscape Navigator 1.1. Phiên bản SSL 1 chưa bao giờ được xuất bản và sử dụng. Sau đó, Microsoft đã cải tiến SSLv2 và giới thiệu một giao thức tương tự khác có tên Công nghệ Truyền thông Riêng tư (PCT).

Netscape đã cải thiện đáng kể SSLv2 về các vấn đề bảo mật khác nhau và triển khai SSLv3 vào năm 1999. Sau đó, Lực lượng Đặc nhiệm Kỹ thuật Internet (IETF) đã giới thiệu một giao thức TLS (Bảo mật lớp truyền tải) tương tự như một tiêu chuẩn mở. Giao thức TLS không thể tương tác với SSLv3.

TLS đã sửa đổi các thuật toán mật mã để mở rộng và xác thực khóa. Ngoài ra, TLS đề xuất sử dụng tiền điện tử mở Diffie-Hellman (DH) và Tiêu chuẩn chữ ký kỹ thuật số (DSS) thay cho tiền điện tử RSA đã được cấp bằng sáng chế được sử dụng trong SSL. Nhưng do bằng sáng chế RSA hết hạn vào năm 2000, không có lý do chính đáng nào để người dùng chuyển từ SSLv3 sang TLS được triển khai rộng rãi.

Các tính năng nổi bật của SSL

Các tính năng nổi bật của giao thức SSL như sau:

• SSL cung cấp bảo mật kết nối mạng thông qua -

  • Confidentiality - Thông tin được trao đổi dưới dạng mã hóa.

  • Authentication- Các thực thể truyền thông nhận dạng nhau thông qua việc sử dụng chứng thư số. Xác thực máy chủ web là bắt buộc trong khi xác thực máy khách là tùy chọn.

  • Reliability - Duy trì kiểm tra tính toàn vẹn của tin nhắn.

• SSL có sẵn cho tất cả các ứng dụng TCP.

• Được hỗ trợ bởi hầu hết tất cả các trình duyệt web.

• Giúp dễ dàng kinh doanh với các tổ chức trực tuyến mới.

• Được phát triển chủ yếu cho thương mại điện tử Web.

Kiến trúc của SSL

SSL dành riêng cho TCP và nó không hoạt động với UDP. SSL cung cấp Giao diện lập trình ứng dụng (API) cho các ứng dụng. Các thư viện / lớp SSL C và Java luôn có sẵn.

Giao thức SSL được thiết kế để tương tác giữa ứng dụng và lớp truyền tải như thể hiện trong hình ảnh sau:

Bản thân SSL không phải là một giao thức lớp đơn như được mô tả trong hình ảnh; trên thực tế, nó được cấu tạo bởi hai lớp con.

• Lớp con dưới bao gồm một thành phần của giao thức SSL được gọi là Giao thức Bản ghi SSL. Thành phần này cung cấp các dịch vụ toàn vẹn và bảo mật.

• Lớp con trên bao gồm ba thành phần giao thức liên quan đến SSL và một giao thức ứng dụng. Thành phần ứng dụng cung cấp dịch vụ truyền thông tin giữa các tương tác máy khách / máy chủ. Về mặt kỹ thuật, nó cũng có thể hoạt động trên lớp SSL. Ba thành phần giao thức liên quan đến SSL là:

  • Giao thức bắt tay SSL
  • Thay đổi giao thức thông số mật mã
  • Giao thức cảnh báo.

• Ba giao thức này quản lý tất cả các trao đổi tin nhắn SSL và sẽ được thảo luận sau trong phần này.

Chức năng của các thành phần giao thức SSL

Bốn thành phần phụ của giao thức SSL xử lý các tác vụ khác nhau để liên lạc an toàn giữa máy khách và máy chủ.

• Ghi lại giao thức

  • Lớp bản ghi định dạng các thông điệp giao thức lớp trên.

  • Nó phân mảnh dữ liệu thành các khối có thể quản lý được (độ dài tối đa 16 KB). Nó tùy chọn nén dữ liệu.

  • Mã hóa dữ liệu.

  • Cung cấp tiêu đề cho mỗi thư và một mã băm (Mã xác thực thư (MAC)) ở cuối.

  • Chuyển giao các khối đã định dạng cho lớp TCP để truyền.

• Giao thức bắt tay SSL

  • Đây là phần phức tạp nhất của SSL. Nó được gọi trước khi bất kỳ dữ liệu ứng dụng nào được truyền đi. Nó tạo ra các phiên SSL giữa máy khách và máy chủ.

  • Thiết lập phiên bao gồm xác thực máy chủ, thương lượng khóa và thuật toán, thiết lập khóa và xác thực máy khách (tùy chọn).

  • Một phiên được xác định bằng tập hợp các tham số bảo mật mật mã duy nhất.

  • Nhiều kết nối TCP an toàn giữa máy khách và máy chủ có thể chia sẻ cùng một phiên.

  • Các hành động của giao thức bắt tay qua bốn giai đoạn. Những điều này sẽ được thảo luận trong phần tiếp theo.

• Giao thức ChangeCipherSpec

  • Phần đơn giản nhất của giao thức SSL. Nó bao gồm một thông điệp duy nhất được trao đổi giữa hai thực thể giao tiếp, máy khách và máy chủ.

  • Khi mỗi thực thể gửi thông báo ChangeCipherSpec, nó sẽ thay đổi phía của kết nối sang trạng thái an toàn như đã thỏa thuận.

  • Các tham số mã hóa đang chờ xử lý được sao chép vào trạng thái hiện tại.

  • Trao đổi Thông báo này cho biết tất cả các trao đổi dữ liệu trong tương lai được mã hóa và tính toàn vẹn được bảo vệ.

• Giao thức cảnh báo SSL

  • Giao thức này được sử dụng để báo cáo lỗi - chẳng hạn như thông báo không mong muốn, MAC ghi sai, thương lượng thông số bảo mật không thành công, v.v.

  • Nó cũng được sử dụng cho các mục đích khác - chẳng hạn như thông báo đóng kết nối TCP, thông báo nhận được chứng chỉ xấu hoặc không xác định, v.v.

Thiết lập phiên SSL

Như đã thảo luận ở trên, có bốn giai đoạn thiết lập phiên SSL. Chúng chủ yếu được xử lý bởi giao thức SSL Handshake.

Phase 1 - Thiết lập khả năng bảo mật.

• Giai đoạn này bao gồm việc trao đổi hai thông điệp - Client_hello và Server_hello .

• Client_hello chứa danh sách các thuật toán mật mã được khách hàng hỗ trợ, theo thứ tự ưu tiên giảm dần.

• Server_hello chứa Thông số kỹ thuật mật mã đã chọn (CipherSpec) và một session_id mới .

• CipherSpec chứa các trường như -

  • Thuật toán mật mã (DES, 3DES, RC2 và RC4)

  • Thuật toán MAC (dựa trên MD5, SHA-1)

  • Thuật toán khóa công khai (RSA)

  • Cả hai thông báo đều có "nonce" để ngăn tấn công phát lại.

Phase 2 - Xác thực máy chủ và trao đổi khóa.

• Máy chủ gửi chứng chỉ. Phần mềm ứng dụng khách được cấu hình với các khóa công khai của nhiều tổ chức “đáng tin cậy” (CA) khác nhau để kiểm tra chứng chỉ.

• Máy chủ gửi bộ mật mã đã chọn.

• Máy chủ có thể yêu cầu chứng chỉ máy khách. Thường thì nó không được thực hiện.

• Máy chủ cho biết kết thúc của Server_hello .

Phase 3 - Xác thực máy khách và trao đổi khóa.

• Máy khách gửi chứng chỉ, chỉ khi máy chủ yêu cầu.

• Nó cũng gửi Bí mật trước tổng thể (PMS) được mã hóa bằng khóa công khai của máy chủ.

• Khách hàng cũng gửi thông báo Certificate_verify nếu chứng chỉ được gửi bởi anh ta để chứng minh anh ta có khóa riêng được liên kết với chứng chỉ này. Về cơ bản, khách hàng ký một hàm băm của các tin nhắn trước đó.

Phase 4 - Kết thúc.

• Máy khách và máy chủ gửi thông điệp Change_cipher_spec cho nhau để khiến trạng thái mật mã đang chờ xử lý được sao chép sang trạng thái hiện tại.

• Kể từ bây giờ, tất cả dữ liệu được mã hóa và bảo vệ toàn vẹn.

• Thông báo “Đã hoàn thành” từ mỗi đầu xác minh rằng quá trình trao đổi khóa và xác thực đã thành công.

Tất cả bốn giai đoạn, được thảo luận ở trên, xảy ra trong quá trình thiết lập phiên TCP. Thiết lập phiên SSL bắt đầu sau TCP SYN / SYNACK và kết thúc trước TCP Fin.

Tiếp tục phiên bị ngắt kết nối

• Có thể tiếp tục phiên bị ngắt kết nối (thông qua thông báo Cảnh báo), nếu máy khách gửi hello_request đến máy chủ với thông tin session_id được mã hóa .

• Sau đó máy chủ sẽ xác định xem session_id có hợp lệ hay không. Nếu được xác thực, nó sẽ trao đổi ChangeCipherSpec và các tin nhắn đã hoàn thành với khách hàng và tiếp tục liên lạc an toàn.

• Điều này tránh tính toán lại các tham số mã hóa phiên và tiết kiệm điện toán ở máy chủ và máy khách.

Khóa phiên SSL

Chúng tôi đã thấy rằng trong Giai đoạn 3 của quá trình thiết lập phiên SSL, một bí mật tổng thể trước được máy khách gửi đến máy chủ được mã hóa bằng khóa công khai của máy chủ. Bí mật chính và các khóa phiên khác nhau được tạo như sau:

• Bí mật chính được tạo (thông qua trình tạo số ngẫu nhiên giả) bằng cách sử dụng:

  • Bí mật tiền chủ.

  • Hai nonces (RA và RB) được trao đổi trong các thông điệp client_hello và server_hello.

• Sáu giá trị bí mật sau đó được lấy từ bí mật chính này là:

  • Khóa bí mật được sử dụng với MAC (cho dữ liệu được gửi bởi máy chủ)

  • Khóa bí mật được sử dụng với MAC (cho dữ liệu do máy khách gửi)

  • Khóa bí mật và IV được sử dụng để mã hóa (bởi máy chủ)

  • Khóa bí mật và IV được sử dụng để mã hóa (bởi máy khách)

Giao thức TLS

Để cung cấp tiêu chuẩn Internet mở SSL, IETF đã phát hành giao thức Bảo mật tầng truyền tải (TLS) vào tháng 1 năm 1999. TLS được định nghĩa là Tiêu chuẩn Internet được đề xuất trong RFC 5246.

Tính năng nổi bật

• Giao thức TLS có cùng mục tiêu với SSL.

• Nó cho phép các ứng dụng máy khách / máy chủ giao tiếp một cách an toàn bằng cách xác thực, ngăn chặn việc nghe trộm và chống sửa đổi tin nhắn.

• Giao thức TLS nằm trên lớp TCP vận chuyển hướng kết nối đáng tin cậy trong ngăn xếp các lớp mạng.

• Kiến trúc của giao thức TLS tương tự như giao thức SSLv3. Nó có hai giao thức phụ: giao thức TLS Record và giao thức TLS Handshake.

• Mặc dù giao thức SSLv3 và TLS có kiến ​​trúc tương tự, một số thay đổi đã được thực hiện trong kiến ​​trúc và hoạt động đặc biệt cho giao thức bắt tay.

So sánh giao thức TLS và SSL

Có tám điểm khác biệt chính giữa giao thức TLS và SSLv3. Những điều này như sau:

• Protocol Version - Tiêu đề của phân đoạn giao thức TLS mang số phiên bản 3.1 để phân biệt với số 3 được mang bởi tiêu đề phân đoạn giao thức SSL.

• Message Authentication- TLS sử dụng mã xác thực tin nhắn băm có khóa (H-MAC). Lợi ích là H-MAC hoạt động với bất kỳ hàm băm nào, không chỉ MD5 hoặc SHA, như giao thức SSL đã nêu rõ ràng.

• Session Key Generation - Có hai điểm khác biệt giữa giao thức TLS và SSL để tạo tài liệu chính.

  • Phương pháp tính toán bí mật tổng thể và bí mật tổng thể là tương tự nhau. Nhưng trong giao thức TLS, việc tính toán bí mật chính sử dụng tiêu chuẩn HMAC và đầu ra hàm giả ngẫu nhiên (PRF) thay vì MAC đặc biệt.

  • Thuật toán tính toán khóa phiên và giá trị khởi tạo (IV) trong TLS khác với giao thức SSL.

• Thông báo Giao thức Cảnh báo -

  • Giao thức TLS hỗ trợ tất cả các thông báo được sử dụng bởi giao thức Cảnh báo của SSL, ngoại trừ Không có thông báo cảnh báo chứng chỉ nào được tạo dư thừa. Máy khách gửi chứng chỉ trống trong trường hợp không yêu cầu xác thực máy khách.

  • Nhiều thông báo Cảnh báo bổ sung được bao gồm trong giao thức TLS cho các điều kiện lỗi khác như record_overflow, decode_error, v.v.

• Supported Cipher Suites- SSL hỗ trợ bộ mật mã RSA, Diffie-Hellman và Fortezza. Giao thức TLS hỗ trợ tất cả các bộ quần áo ngoại trừ Fortezza.

• Client Certificate Types- TLS xác định các loại chứng chỉ được yêu cầu trong thông báo certificate_request . SSLv3 hỗ trợ tất cả những điều này. Ngoài ra, SSL hỗ trợ một số loại chứng chỉ khác như Fortezza.

• Chứng chỉ Xác minh và Thông báo Hoàn thành -

  • Trong SSL, thủ tục thông báo phức tạp được sử dụng cho thông báo certificate_verify . Với TLS, thông tin đã xác minh được chứa trong chính các thông điệp bắt tay do đó tránh được quy trình phức tạp này.

  • Thư đã hoàn thành được tính theo các cách khác nhau trong TLS và SSLv3.

• Padding of Data- Trong giao thức SSL, phần đệm được thêm vào dữ liệu người dùng trước khi mã hóa là số lượng tối thiểu cần thiết để làm cho tổng kích thước dữ liệu bằng bội số chiều dài khối của mật mã. Trong TLS, phần đệm có thể là bất kỳ số lượng nào dẫn đến kích thước dữ liệu là bội số của chiều dài khối của mật mã, tối đa là 255 byte.

Những khác biệt trên giữa giao thức TLS và SSLv3 được tóm tắt trong bảng sau.

Duyệt web an toàn - HTTPS

Trong phần này, chúng ta sẽ thảo luận về việc sử dụng giao thức SSL / TLS để thực hiện duyệt web an toàn.

HTTPS được xác định

Giao thức Hyper Text Transfer Protocol (HTTP) được sử dụng để duyệt web. Chức năng của HTTPS tương tự như HTTP. Điểm khác biệt duy nhất là HTTPS cung cấp khả năng duyệt web “an toàn”. HTTPS là viết tắt của HTTP qua SSL. Giao thức này được sử dụng để cung cấp kết nối được mã hóa và xác thực giữa trình duyệt web của khách hàng và máy chủ của trang web.

Duyệt web an toàn thông qua HTTPS đảm bảo rằng nội dung sau đây được mã hóa -

• URL của trang web được yêu cầu.
• Nội dung trang web do máy chủ cung cấp cho máy khách người dùng.
• Nội dung của biểu mẫu do người dùng điền.
• Cookie được thiết lập theo cả hai hướng.

Hoạt động của HTTPS

Giao thức ứng dụng HTTPS thường sử dụng một trong hai giao thức bảo mật lớp truyền tải phổ biến - SSL hoặc TLS. Quá trình duyệt web an toàn được mô tả trong các điểm sau.

• Bạn yêu cầu kết nối HTTPS với một trang web bằng cách nhập https: // theo sau là URL vào thanh địa chỉ của trình duyệt.

• Trình duyệt web bắt đầu kết nối với máy chủ web. Việc sử dụng https dẫn đến việc sử dụng giao thức SSL.

• Một ứng dụng, trình duyệt trong trường hợp này, sử dụng cổng hệ thống 443 thay vì cổng 80 (được sử dụng trong trường hợp http).

• Giao thức SSL trải qua một giao thức bắt tay để thiết lập một phiên bảo mật như đã thảo luận trong các phần trước.

• Ban đầu, trang web sẽ gửi chứng chỉ số SSL tới trình duyệt của bạn. Khi xác minh chứng chỉ, quá trình bắt tay SSL tiến triển để trao đổi các bí mật được chia sẻ cho phiên.

• Khi Máy chủ sử dụng Chứng chỉ số SSL đáng tin cậy, người dùng sẽ thấy biểu tượng ổ khóa trên thanh địa chỉ của trình duyệt. Khi Chứng chỉ xác thực mở rộng được cài đặt trên một trang web, thanh địa chỉ sẽ chuyển sang màu xanh lục.

• Sau khi được thiết lập, phiên này bao gồm nhiều kết nối an toàn giữa máy chủ web và trình duyệt.

Sử dụng HTTPS

• Việc sử dụng HTTPS cung cấp tính bảo mật, xác thực máy chủ và tính toàn vẹn của thư cho người dùng. Nó cho phép tiến hành thương mại điện tử trên Internet một cách an toàn.

• Ngăn chặn dữ liệu bị nghe trộm và từ chối hành vi trộm cắp danh tính vốn là những cuộc tấn công phổ biến trên HTTP.

Các trình duyệt web và máy chủ web ngày nay được trang bị hỗ trợ HTTPS. Tuy nhiên, việc sử dụng HTTPS qua HTTP đòi hỏi nhiều sức mạnh tính toán hơn ở máy khách và máy chủ để thực hiện mã hóa và bắt tay SSL.

Giao thức Shell an toàn (SSH)

Các tính năng nổi bật của SSH như sau:

• SSH là một giao thức mạng chạy trên lớp TCP / IP. Nó được thiết kế để thay thế TELNET cung cấp phương tiện không an toàn cho cơ sở đăng nhập từ xa.

• SSH cung cấp giao tiếp máy khách / máy chủ an toàn và có thể được sử dụng cho các tác vụ như truyền tệp và e-mail.

• SSH2 là một giao thức phổ biến cung cấp bảo mật truyền thông mạng được cải thiện so với phiên bản trước đó SSH1.

SSH được xác định

SSH được tổ chức dưới dạng ba giao thức con.

• Transport Layer Protocol- Phần này của giao thức SSH cung cấp tính bảo mật dữ liệu, xác thực máy chủ (máy chủ) và toàn vẹn dữ liệu. Nó cũng có thể cung cấp tính năng nén dữ liệu theo tùy chọn.

  • Server Authentication- Các khóa máy chủ không đối xứng như khóa công khai / riêng tư. Máy chủ sử dụng khóa công khai để chứng minh danh tính của nó với máy khách. Máy khách xác minh rằng máy chủ được liên hệ là máy chủ “đã biết” từ cơ sở dữ liệu mà nó duy trì. Sau khi máy chủ được xác thực, các khóa phiên được tạo.

  • Session Key Establishment- Sau khi xác thực, máy chủ và máy khách đồng ý sử dụng mật mã. Khóa phiên được tạo bởi cả máy khách và máy chủ. Khóa phiên được tạo trước khi xác thực người dùng để có thể mã hóa tên người dùng và mật khẩu gửi. Các phím này thường được thay thế định kỳ (giả sử mỗi giờ) trong suốt phiên làm việc và bị phá hủy ngay sau khi sử dụng.

  • Data Integrity- SSH sử dụng thuật toán Mã xác thực tin nhắn (MAC) để kiểm tra tính toàn vẹn của dữ liệu. Nó là một cải tiến so với CRC 32 bit được SSH1 sử dụng.

• User Authentication Protocol- Phần này của SSH xác thực người dùng đến máy chủ. Máy chủ xác minh rằng quyền truy cập chỉ được cấp cho người dùng dự kiến. Nhiều phương pháp xác thực hiện đang được sử dụng như mật khẩu đã nhập, Kerberos, xác thực khóa công khai, v.v.

• Connection Protocol - Điều này cung cấp nhiều kênh logic trên một kết nối SSH cơ bản.

Dịch vụ SSH

SSH cung cấp ba dịch vụ chính cho phép cung cấp nhiều giải pháp an toàn. Các dịch vụ này được mô tả ngắn gọn như sau:

• Secure Command-Shell (Remote Logon)- Nó cho phép người dùng chỉnh sửa tệp, xem nội dung của thư mục và truy cập các ứng dụng trên thiết bị được kết nối. Quản trị viên hệ thống có thể khởi động / xem / dừng các dịch vụ và quy trình từ xa, tạo tài khoản người dùng và thay đổi quyền đối với tệp / thư mục, v.v. Giờ đây, tất cả các tác vụ khả thi tại dấu nhắc lệnh của máy có thể được thực hiện một cách an toàn từ máy từ xa bằng cách sử dụng đăng nhập từ xa an toàn.

• Secure File Transfer- SSH File Transfer Protocol (SFTP) được thiết kế như một phần mở rộng cho SSH-2 để truyền tệp an toàn. Về bản chất, nó là một giao thức riêng biệt được xếp bên trên giao thức Secure Shell để xử lý việc truyền tệp. SFTP mã hóa cả tên người dùng / mật khẩu và dữ liệu tệp đang được chuyển. Nó sử dụng cùng một cổng với máy chủ Secure Shell, tức là cổng hệ thống số 22.

• Port Forwarding (Tunneling)- Nó cho phép bảo mật dữ liệu từ các ứng dụng dựa trên TCP / IP không an toàn. Sau khi thiết lập chuyển tiếp cổng, Secure Shell định tuyến lại lưu lượng truy cập từ một chương trình (thường là máy khách) và gửi nó qua đường hầm được mã hóa đến chương trình ở phía bên kia (thường là máy chủ). Nhiều ứng dụng có thể truyền dữ liệu qua một kênh bảo mật ghép kênh duy nhất, loại bỏ nhu cầu mở nhiều cổng trên tường lửa hoặc bộ định tuyến.

Lợi ích & Hạn chế

Các lợi ích và hạn chế của việc sử dụng bảo mật truyền thông ở lớp truyền tải như sau:

• Những lợi ích

  • Bảo mật lớp truyền tải là minh bạch cho các ứng dụng.

  • Máy chủ được xác thực.

  • Tiêu đề lớp ứng dụng bị ẩn.

  • Nó chi tiết hơn các cơ chế bảo mật ở lớp 3 (IPsec) vì nó hoạt động ở cấp độ kết nối truyền tải.

• Hạn chế

  • Chỉ áp dụng cho các ứng dụng dựa trên TCP (không phải UDP).

  • Tiêu đề TCP / IP rõ ràng.

  • Thích hợp cho giao tiếp trực tiếp giữa máy khách và máy chủ. Không phục vụ cho các ứng dụng an toàn sử dụng chuỗi máy chủ (ví dụ: email)

  • SSL không cung cấp tính năng không từ chối vì xác thực máy khách là tùy chọn.

  • Nếu cần, xác thực máy khách cần phải được triển khai trên SSL.

Tóm lược

Một số lượng lớn các ứng dụng web đã xuất hiện trên Internet trong thập kỷ qua. Nhiều cổng thông tin Quản trị điện tử và Thương mại điện tử đã trực tuyến. Các ứng dụng này yêu cầu phiên giữa máy chủ và máy khách được bảo mật cung cấp tính bảo mật, xác thực và tính toàn vẹn của các phiên.

Một cách để giảm thiểu cuộc tấn công tiềm ẩn trong phiên của người dùng là sử dụng một giao thức truyền thông an toàn. Hai trong số các giao thức truyền thông như vậy, Lớp cổng bảo mật (SSL) và Bảo mật lớp truyền tải (TLS), được thảo luận trong chương này. Cả hai giao thức này đều hoạt động ở tầng Giao vận.

Một giao thức lớp truyền tải khác, Secure Shell (SSH), được thiết kế để thay thế TELNET, cung cấp các phương tiện an toàn cho cơ sở đăng nhập từ xa. Nó có khả năng cung cấp các dịch vụ khác nhau như Secure Command Shell và SFTP.

Việc làm của bảo mật lớp Giao thông có rất nhiều lợi ích. Tuy nhiên, giao thức bảo mật được thiết kế ở lớp này chỉ có thể được sử dụng với TCP. Chúng không cung cấp bảo mật cho giao tiếp được triển khai bằng UDP.

Các biện pháp kiểm soát bảo mật lớp mạng đã được sử dụng thường xuyên để bảo mật thông tin liên lạc, đặc biệt là qua các mạng chia sẻ như Internet vì chúng có thể bảo vệ nhiều ứng dụng cùng một lúc mà không cần sửa đổi chúng.

Trong các chương trước, chúng ta đã thảo luận rằng nhiều giao thức bảo mật thời gian thực đã phát triển cho an ninh mạng đảm bảo các nguyên lý cơ bản về bảo mật như quyền riêng tư, xác thực nguồn gốc, tính toàn vẹn của thư và không từ chối.

Hầu hết các giao thức này vẫn tập trung ở các lớp cao hơn của ngăn xếp giao thức OSI, để bù đắp cho sự thiếu bảo mật vốn có trong Giao thức Internet tiêu chuẩn. Mặc dù có giá trị, các phương pháp này không thể được khái quát hóa một cách dễ dàng để sử dụng với bất kỳ ứng dụng nào. Ví dụ, SSL được phát triển đặc biệt để bảo mật các ứng dụng như HTTP hoặc FTP. Nhưng có một số ứng dụng khác cũng cần giao tiếp an toàn.

Nhu cầu này đã dẫn đến việc phát triển một giải pháp bảo mật ở lớp IP để tất cả các giao thức ở lớp cao hơn có thể tận dụng nó. Năm 1992, Lực lượng Đặc nhiệm Kỹ thuật Internet (IETF) bắt đầu xác định một tiêu chuẩn 'IPsec'.

Trong chương này, chúng ta sẽ thảo luận về cách đạt được bảo mật ở lớp mạng bằng cách sử dụng bộ giao thức IPsec rất phổ biến này.

Bảo mật trong lớp mạng

Bất kỳ kế hoạch nào được phát triển để cung cấp bảo mật mạng cần phải được triển khai ở một số lớp trong ngăn xếp giao thức như được mô tả trong sơ đồ bên dưới -

Lớp	Giao thức truyền thông	Giao thức bảo mật
Lớp ứng dụng	HTTP FTP SMTP	PGP. S / MIME, HTTPS
Lớp vận chuyển	TCP / UDP	SSL, TLS, SSH
Lớp mạng	IP	IPsec

Khung phổ biến được phát triển để đảm bảo an ninh ở lớp mạng là Internet Protocol Security (IPsec).

Các tính năng của IPsec

• IPsec không được thiết kế để chỉ hoạt động với TCP như một giao thức truyền tải. Nó hoạt động với UDP cũng như bất kỳ giao thức nào khác trên IP như ICMP, OSPF, v.v.

• IPsec bảo vệ toàn bộ gói được trình bày ở lớp IP bao gồm các tiêu đề lớp cao hơn.

• Vì các tiêu đề lớp cao hơn bị ẩn mang số cổng nên việc phân tích lưu lượng sẽ khó khăn hơn.

• IPsec hoạt động từ thực thể mạng này sang thực thể mạng khác, không phải từ quy trình ứng dụng đến quy trình ứng dụng. Do đó, bảo mật có thể được áp dụng mà không yêu cầu thay đổi đối với máy tính / ứng dụng của người dùng cá nhân.

• Được sử dụng rộng rãi để cung cấp giao tiếp an toàn giữa các thực thể mạng, IPsec cũng có thể cung cấp bảo mật từ máy chủ đến máy chủ.

• Việc sử dụng phổ biến nhất của IPsec là cung cấp Mạng riêng ảo (VPN), giữa hai vị trí (cổng vào cổng) hoặc giữa người dùng từ xa và mạng doanh nghiệp (máy chủ đến cổng).

Chức năng bảo mật

Các chức năng bảo mật quan trọng do IPsec cung cấp như sau:

• Bảo mật

  • Cho phép các nút giao tiếp mã hóa tin nhắn.

  • Ngăn chặn các bên thứ ba nghe trộm.

• Xác thực nguồn gốc và tính toàn vẹn của dữ liệu.

  • Cung cấp sự đảm bảo rằng một gói đã nhận thực sự được truyền bởi bên được xác định là nguồn trong tiêu đề gói.

  • Xác nhận rằng gói tin không bị thay đổi hoặc theo cách khác.

• Quản lý chính.

  • Cho phép trao đổi khóa an toàn.

  • Bảo vệ chống lại một số loại tấn công bảo mật, chẳng hạn như các cuộc tấn công phát lại.

Mạng riêng ảo

Lý tưởng nhất là bất kỳ tổ chức nào cũng muốn có mạng riêng để liên lạc nhằm đảm bảo an ninh. Tuy nhiên, có thể rất tốn kém để thiết lập và duy trì mạng riêng như vậy trên khu vực địa lý phân tán. Nó sẽ yêu cầu quản lý cơ sở hạ tầng phức tạp của các liên kết truyền thông, bộ định tuyến, DNS, v.v.

IPsec cung cấp một cơ chế dễ dàng để triển khai Mạng riêng ảo (VPN) cho các tổ chức như vậy. Công nghệ VPN cho phép gửi lưu lượng truy cập giữa các văn phòng của tổ chức qua Internet công cộng bằng cách mã hóa lưu lượng truy cập trước khi vào Internet công cộng và tách nó khỏi lưu lượng khác một cách hợp lý. Hoạt động đơn giản của VPN được thể hiện trong sơ đồ sau:

Tổng quan về IPsec

IPsec là một khung / bộ giao thức để cung cấp bảo mật ở lớp IP.

Gốc

Vào đầu những năm 1990, Internet được ít tổ chức sử dụng, hầu hết cho mục đích học thuật. Nhưng trong những thập kỷ sau đó, sự phát triển của Internet trở nên theo cấp số nhân do sự mở rộng của mạng lưới và một số tổ chức sử dụng nó cho liên lạc và các mục đích khác.

Với sự phát triển mạnh mẽ của Internet, kết hợp với những điểm yếu bảo mật cố hữu của giao thức TCP / IP, nhu cầu về một công nghệ có thể cung cấp bảo mật mạng trên Internet. Một báo cáo có tựa đề "Bảo mật trong Kiến trúc Internet" được Ban Kiến trúc Internet (IAB) ban hành vào năm 1994. Nó đã xác định các khu vực chính cho các cơ chế bảo mật.

IAB bao gồm xác thực và mã hóa như các tính năng bảo mật thiết yếu trong IPv6, IP thế hệ tiếp theo. May mắn thay, các khả năng bảo mật này đã được định nghĩa để chúng có thể được triển khai với cả IPv4 hiện tại và IPv6 tương lai.

Khung bảo mật, IPsec đã được định nghĩa trong một số 'Yêu cầu nhận xét' (RFC). Một số RFC chỉ định một số phần của giao thức, trong khi những phần khác giải quyết toàn bộ giải pháp.

Hoạt động trong IPsec

Bộ IPsec có thể được coi là có hai hoạt động riêng biệt, khi được thực hiện đồng thời, cung cấp một bộ dịch vụ bảo mật hoàn chỉnh. Hai hoạt động này là Giao tiếp IPsec và Trao đổi khóa Internet.

• Giao tiếp IPsec

  • Nó thường được kết hợp với chức năng IPsec tiêu chuẩn. Nó liên quan đến việc đóng gói, mã hóa và băm các biểu đồ IP và xử lý tất cả các quy trình gói.

  • Nó chịu trách nhiệm quản lý thông tin liên lạc theo các Hiệp hội Bảo mật (SA) có sẵn được thiết lập giữa các bên liên lạc.

  • Nó sử dụng các giao thức bảo mật như Authentication Header (AH) và Encapsulated SP (ESP).

  • Giao tiếp IPsec không liên quan đến việc tạo khóa hoặc quản lý chúng.

  • Bản thân hoạt động giao tiếp IPsec thường được gọi là IPsec.

• Trao đổi khóa Internet (IKE)

  • IKE là giao thức quản lý khóa tự động được sử dụng cho IPsec.

  • Về mặt kỹ thuật, quản lý khóa không cần thiết đối với giao tiếp IPsec và các khóa có thể được quản lý thủ công. Tuy nhiên, quản lý khóa thủ công không được mong muốn đối với các mạng lớn.

  • IKE chịu trách nhiệm tạo khóa cho IPsec và cung cấp xác thực trong quá trình thiết lập khóa. Mặc dù, IPsec có thể được sử dụng cho bất kỳ giao thức quản lý khóa nào khác, IKE được sử dụng theo mặc định.

  • IKE định nghĩa hai giao thức (Oakley và SKEME) sẽ được sử dụng với khung quản lý khóa đã được xác định sẵn. Giao thức quản lý khóa của Hiệp hội Bảo mật Internet (ISAKMP).

  • ISAKMP không dành riêng cho IPsec, nhưng cung cấp khuôn khổ để tạo SA cho bất kỳ giao thức nào.

Chương này chủ yếu thảo luận về giao tiếp IPsec và giao thức liên quan được sử dụng để đạt được bảo mật.

Chế độ giao tiếp IPsec

Giao tiếp IPsec có hai chế độ hoạt động; phương thức vận tải và đường hầm. Các chế độ này có thể được sử dụng kết hợp hoặc sử dụng riêng lẻ tùy thuộc vào loại giao tiếp mong muốn.

Phương tiện giao thông

• IPsec không đóng gói một gói nhận được từ lớp trên.

• Tiêu đề IP gốc được duy trì và dữ liệu được chuyển tiếp dựa trên các thuộc tính gốc do giao thức lớp trên thiết lập.

• Sơ đồ sau đây cho thấy luồng dữ liệu trong ngăn xếp giao thức.

• Hạn chế của phương thức vận tải là không có dịch vụ cổng nào có thể được cung cấp. Nó được dành riêng cho giao tiếp điểm-điểm như được mô tả trong hình sau.

Chế độ đường hầm

• Chế độ này của IPsec cung cấp các dịch vụ đóng gói cùng với các dịch vụ bảo mật khác.

• Trong các hoạt động ở chế độ đường hầm, toàn bộ gói từ lớp trên được đóng gói trước khi áp dụng giao thức bảo mật. Tiêu đề IP mới được thêm vào.

• Sơ đồ sau đây cho thấy luồng dữ liệu trong ngăn xếp giao thức.

• Chế độ đường hầm thường được liên kết với các hoạt động cổng. Việc đóng gói cung cấp khả năng gửi nhiều phiên thông qua một cổng duy nhất.

• Giao tiếp chế độ đường hầm điển hình được mô tả trong sơ đồ sau.

• Theo như các điểm cuối có liên quan, chúng có kết nối lớp truyền tải trực tiếp. Datagram từ một hệ thống được chuyển tiếp tới cổng được đóng gói và sau đó được chuyển tiếp đến cổng từ xa. Cổng kết hợp từ xa sẽ bỏ đóng gói dữ liệu và chuyển tiếp dữ liệu đó đến điểm cuối đích trên mạng nội bộ.

• Sử dụng IPsec, chế độ đường hầm cũng có thể được thiết lập giữa cổng và hệ thống đầu cuối riêng lẻ.

Giao thức IPsec

IPsec sử dụng các giao thức bảo mật để cung cấp các dịch vụ bảo mật mong muốn. Các giao thức này là trung tâm của hoạt động IPsec và mọi thứ khác được thiết kế để hỗ trợ giao thức này trong IPsec.

Các liên kết bảo mật giữa các thực thể giao tiếp được thiết lập và duy trì bởi giao thức bảo mật được sử dụng.

Có hai giao thức bảo mật được định nghĩa bởi IPsec - Tiêu đề xác thực (AH) và Đóng gói tải trọng bảo mật (ESP).

Tiêu đề xác thực

Giao thức AH cung cấp dịch vụ xác thực nguồn gốc và toàn vẹn dữ liệu. Nó tùy chọn phục vụ cho khả năng chống phát lại tin nhắn. Tuy nhiên, nó không cung cấp bất kỳ hình thức bảo mật nào.

AH là một giao thức cung cấp xác thực tất cả hoặc một phần nội dung của sơ đồ dữ liệu bằng cách thêm tiêu đề. Tiêu đề được tính toán dựa trên các giá trị trong sơ đồ. Những phần nào của sơ đồ dữ liệu được sử dụng để tính toán, và nơi đặt tiêu đề, phụ thuộc vào sự hợp tác của phương thức (đường hầm hoặc phương tiện vận chuyển).

Hoạt động của giao thức AH đơn giản một cách đáng ngạc nhiên. Nó có thể được coi là tương tự như các thuật toán được sử dụng để tính toán tổng kiểm tra hoặc thực hiện kiểm tra CRC để phát hiện lỗi.

Khái niệm đằng sau AH cũng vậy, ngoại trừ việc thay vì sử dụng một thuật toán đơn giản, AH sử dụng thuật toán băm đặc biệt và một khóa bí mật chỉ các bên giao tiếp mới biết. Một liên kết bảo mật giữa hai thiết bị được thiết lập để chỉ định các thông tin cụ thể này.

Quá trình AH trải qua các giai đoạn sau.

• Khi gói IP được nhận từ ngăn xếp giao thức phía trên, IPsec xác định Hiệp hội bảo mật liên quan (SA) từ thông tin có sẵn trong gói; ví dụ: địa chỉ IP (nguồn và đích).

• Từ SA, khi xác định được giao thức bảo mật đó là AH, các tham số của tiêu đề AH sẽ được tính toán. Tiêu đề AH bao gồm các tham số sau:

• Trường tiêu đề chỉ định giao thức của gói sau tiêu đề AH. Chỉ số tham số trình tự (SPI) được lấy từ SA tồn tại giữa các bên giao tiếp.

• Số thứ tự được tính toán và chèn vào. Những con số này cung cấp khả năng tùy chọn cho AH để chống lại cuộc tấn công phát lại.

• Dữ liệu xác thực được tính toán khác nhau tùy thuộc vào chế độ giao tiếp.

• Trong chế độ truyền tải, việc tính toán dữ liệu xác thực và tập hợp gói IP cuối cùng để truyền được mô tả trong sơ đồ sau. Trong tiêu đề IP ban đầu, thay đổi chỉ được thực hiện ở số giao thức là 51 đối với ứng dụng AH được chỉ định.

• Trong chế độ Tunnel, quá trình trên diễn ra như được mô tả trong sơ đồ sau.

Giao thức bảo mật đóng gói (ESP)

ESP cung cấp các dịch vụ bảo mật như bảo mật, toàn vẹn, xác thực nguồn gốc và khả năng chống phát lại tùy chọn. Tập hợp các dịch vụ được cung cấp tùy thuộc vào các tùy chọn được chọn tại thời điểm thành lập Hiệp hội Bảo mật (SA).

Trong ESP, các thuật toán được sử dụng để mã hóa và tạo trình xác thực được xác định bởi các thuộc tính được sử dụng để tạo SA.

Quá trình của ESP như sau. Hai bước đầu tiên tương tự như quá trình AH như đã nêu ở trên.

• Sau khi xác định rằng ESP có liên quan, các trường của gói ESP sẽ được tính toán. Sự sắp xếp trường ESP được mô tả trong sơ đồ sau.

• Quá trình mã hóa và xác thực trong chế độ truyền tải được mô tả trong sơ đồ sau.

• Trong trường hợp của chế độ Đường hầm, quá trình mã hóa và xác thực như được mô tả trong sơ đồ sau.

Mặc dù xác thực và bảo mật là các dịch vụ chính do ESP cung cấp, cả hai đều là tùy chọn. Về mặt kỹ thuật, chúng ta có thể sử dụng mã hóa NULL mà không cần xác thực. Tuy nhiên, trong thực tế, một trong hai phải được thực hiện để sử dụng ESP hiệu quả.

Khái niệm cơ bản là sử dụng ESP khi một người muốn xác thực và mã hóa, và sử dụng AH khi một người muốn xác thực mở rộng mà không cần mã hóa.

Hiệp hội bảo mật trong IPsec

Hiệp hội Bảo mật (SA) là nền tảng của giao tiếp IPsec. Các tính năng của SA là -

• Trước khi gửi dữ liệu, một kết nối ảo được thiết lập giữa thực thể gửi và thực thể nhận, được gọi là “Hiệp hội bảo mật (SA)”.

• IPsec cung cấp nhiều tùy chọn để thực hiện mã hóa và xác thực mạng. Mỗi kết nối IPsec có thể cung cấp mã hóa, tính toàn vẹn, tính xác thực hoặc cả ba dịch vụ. Khi dịch vụ bảo mật được xác định, hai thực thể ngang hàng IPsec phải xác định chính xác thuật toán nào sẽ sử dụng (ví dụ: DES hoặc 3DES để mã hóa; MD5 hoặc SHA-1 cho tính toàn vẹn). Sau khi quyết định các thuật toán, hai thiết bị phải chia sẻ khóa phiên.

• SA là một tập hợp các tham số giao tiếp trên cung cấp mối quan hệ giữa hai hoặc nhiều hệ thống để xây dựng một phiên IPsec.

• SA có bản chất đơn giản và do đó cần có hai SA để liên lạc hai chiều.

• SA được xác định bằng số Chỉ số tham số bảo mật (SPI) tồn tại trong tiêu đề giao thức bảo mật.

• Cả thực thể gửi và nhận đều duy trì thông tin trạng thái về SA. Nó tương tự như các điểm cuối TCP cũng duy trì thông tin trạng thái. IPsec là định hướng kết nối giống như TCP.

Các thông số của SA

Bất kỳ SA nào đều được xác định duy nhất bởi ba tham số sau:

• Chỉ số tham số bảo mật (SPI).

  • Nó là một giá trị 32-bit được gán cho SA. Nó được sử dụng để phân biệt giữa các SA khác nhau kết thúc tại cùng một đích và sử dụng cùng một giao thức IPsec.

  • Mỗi gói IPsec đều mang một tiêu đề chứa trường SPI. SPI được cung cấp để ánh xạ gói đến với một SA.

  • SPI là một số ngẫu nhiên do người gửi tạo ra để xác định SA cho người nhận.

• Destination IP Address - Nó có thể là địa chỉ IP của bộ định tuyến cuối.

• Security Protocol Identifier - Nó chỉ ra liệu hiệp hội là AH hay ESP SA.

Ví dụ về SA giữa hai bộ định tuyến liên quan đến giao tiếp IPsec được hiển thị trong sơ đồ sau.

Cơ sở dữ liệu quản trị bảo mật

Trong IPsec, có hai cơ sở dữ liệu kiểm soát việc xử lý sơ đồ dữ liệu IPsec. Một là Cơ sở dữ liệu Hiệp hội Bảo mật (SAD) và một là Cơ sở dữ liệu Chính sách Bảo mật (SPD). Mỗi điểm cuối giao tiếp sử dụng IPsec phải có một SAD và SPD riêng biệt về mặt logic.

Cơ sở dữ liệu Hiệp hội Bảo mật

Trong giao tiếp IPsec, điểm cuối giữ trạng thái SA trong Cơ sở dữ liệu Hiệp hội Bảo mật (SAD). Mỗi mục nhập SA trong cơ sở dữ liệu SAD chứa chín tham số như được hiển thị trong bảng sau:

Sr.No.	Thông số & Mô tả
1	Sequence Number Counter Đối với thông tin liên lạc ra nước ngoài. Đây là số thứ tự 32 bit được cung cấp trong tiêu đề AH hoặc ESP.
2	Sequence Number Overflow Counter Đặt cờ tùy chọn để ngăn chặn các liên lạc tiếp theo sử dụng SA cụ thể
3	32-bit anti-replay window Được sử dụng để xác định xem gói AH hoặc ESP gửi đến có phải là phát lại hay không
4	Lifetime of the SA Thời gian cho đến khi SA vẫn hoạt động
5	Algorithm - AH Được sử dụng trong AH và khóa liên quan
6	Algorithm - ESP Auth Được sử dụng trong phần xác thực của tiêu đề ESP
7	Algorithm - ESP Encryption Được sử dụng trong mã hóa ESP và thông tin khóa liên quan của nó
số 8	IPsec mode of operation Chế độ vận chuyển hoặc đường hầm
9	Path MTU(PMTU) Bất kỳ đơn vị truyền dẫn tối đa đường dẫn nào được quan sát (để tránh phân mảnh)

Tất cả các mục SA trong SAD được lập chỉ mục bởi ba tham số SA: Địa chỉ IP đích, Định danh giao thức bảo mật và SPI.

Cơ sở dữ liệu chính sách bảo mật

SPD được sử dụng để xử lý các gói tin gửi đi. Nó giúp quyết định những mục SAD nên được sử dụng. Nếu không có mục SAD nào tồn tại, SPD được sử dụng để tạo những mục mới.

Bất kỳ mục SPD nào sẽ chứa -

• Con trỏ tới SA đang hoạt động được giữ trong SAD.

• Các trường của bộ chọn - Trường trong gói đến từ lớp trên được sử dụng để quyết định ứng dụng của IPsec. Bộ chọn có thể bao gồm địa chỉ nguồn và đích, số cổng nếu có liên quan, ID ứng dụng, giao thức, v.v.

Biểu đồ IP gửi đi đi từ mục SPD đến SA cụ thể, để nhận các thông số mã hóa. Sơ đồ dữ liệu IPsec đến nhận được SA chính xác trực tiếp bằng cách sử dụng bộ ba SPI / DEST IP / Giao thức và từ đó trích xuất mục nhập SAD liên quan.

SPD cũng có thể chỉ định lưu lượng nên bỏ qua IPsec. SPD có thể được coi là một bộ lọc gói trong đó các hành động được quyết định là kích hoạt các quy trình SA.

Tóm lược

IPsec là một bộ giao thức để bảo mật các kết nối mạng. Nó là một cơ chế phức tạp, bởi vì thay vì đưa ra định nghĩa đơn giản về một thuật toán mã hóa cụ thể và chức năng xác thực, nó cung cấp một khuôn khổ cho phép triển khai bất kỳ thứ gì mà cả hai đầu giao tiếp đều đồng ý.

Tiêu đề xác thực (AH) và Tải trọng bảo mật đóng gói (ESP) là hai giao thức truyền thông chính được sử dụng bởi IPsec. Trong khi AH chỉ xác thực, ESP có thể mã hóa và xác thực dữ liệu được truyền qua kết nối.

Chế độ vận chuyển cung cấp kết nối an toàn giữa hai điểm cuối mà không thay đổi tiêu đề IP. Chế độ Đường hầm đóng gói toàn bộ gói IP tải trọng. Nó thêm tiêu đề IP mới. Loại thứ hai được sử dụng để tạo thành một VPN truyền thống, vì nó cung cấp một đường hầm bảo mật ảo trên một mạng Internet không đáng tin cậy.

Thiết lập kết nối IPsec liên quan đến tất cả các loại lựa chọn tiền điện tử. Xác thực thường được xây dựng trên đầu mã băm như MD5 hoặc SHA-1. Các thuật toán mã hóa là DES, 3DES, Blowfish và AES là phổ biến. Các thuật toán khác cũng có thể.

Cả hai điểm cuối giao tiếp đều cần biết các giá trị bí mật được sử dụng trong băm hoặc mã hóa. Các khóa thủ công yêu cầu nhập thủ công các giá trị bí mật ở cả hai đầu, có lẽ được truyền tải bởi một số cơ chế ngoài băng tần và IKE (Internet Key Exchange) là một cơ chế phức tạp để thực hiện việc này trực tuyến.

Chúng ta đã thấy rằng tốc độ phát triển nhanh chóng của Internet đã làm dấy lên mối quan tâm lớn đối với an ninh mạng. Một số phương pháp đã được phát triển để cung cấp bảo mật trong ứng dụng, truyền tải hoặc lớp mạng của mạng.

Nhiều tổ chức kết hợp các biện pháp bảo mật ở các lớp OSI cao hơn, từ lớp ứng dụng cho đến lớp IP. Tuy nhiên, một khu vực thường không được giám sát là làm cứng lớp Liên kết dữ liệu. Điều này có thể mở mạng cho nhiều cuộc tấn công và xâm nhập.

Trong chương này, chúng ta sẽ thảo luận về các vấn đề bảo mật tại Lớp liên kết dữ liệu và các phương pháp để chống lại chúng. Cuộc thảo luận của chúng ta sẽ tập trung vào mạng Ethernet.

Mối quan tâm về bảo mật trong lớp liên kết dữ liệu

Lớp liên kết dữ liệu trong mạng Ethernet rất dễ bị tấn công. Các cuộc tấn công phổ biến nhất là -

ARP giả mạo

Giao thức phân giải địa chỉ (ARP) là một giao thức được sử dụng để ánh xạ địa chỉ IP tới một địa chỉ máy vật lý có thể nhận dạng được trong Ethernet cục bộ. Khi một máy chủ cần tìm địa chỉ Điều khiển truy cập phương tiện vật lý (MAC) cho địa chỉ IP, nó sẽ phát một yêu cầu ARP. Máy chủ khác sở hữu địa chỉ IP sẽ gửi tin nhắn trả lời ARP với địa chỉ thực của nó.

Mỗi máy chủ trên mạng duy trì một bảng, được gọi là 'ARP cache'. Bảng chứa địa chỉ IP và các địa chỉ MAC được liên kết của máy chủ khác trên mạng.

Vì ARP là một giao thức không trạng thái, mỗi khi máy chủ nhận được phản hồi ARP từ máy chủ khác, mặc dù nó chưa gửi yêu cầu ARP, nó sẽ chấp nhận mục nhập ARP đó và cập nhật bộ nhớ cache ARP của nó. Quá trình sửa đổi bộ đệm ARP của máy chủ mục tiêu bằng một mục giả mạo được gọi là ngộ độc ARP hoặc giả mạo ARP.

Giả mạo ARP có thể cho phép kẻ tấn công giả dạng máy chủ lưu trữ hợp pháp và sau đó chặn các khung dữ liệu trên mạng, sửa đổi hoặc ngăn chặn chúng. Thường thì cuộc tấn công được sử dụng để khởi động các cuộc tấn công khác như man-in-the-middle, chiếm quyền điều khiển phiên hoặc từ chối dịch vụ.

MAC Flooding

Mỗi bộ chuyển mạch trong Ethernet đều có bảng Bộ nhớ địa chỉ nội dung (CAM) để lưu địa chỉ MAC, số cổng chuyển mạch và các thông tin khác. Bàn có kích thước cố định. Trong cuộc tấn công tràn ngập MAC, kẻ tấn công làm ngập công tắc bằng các địa chỉ MAC bằng cách sử dụng các gói ARP giả mạo cho đến khi bảng CAM đầy.

Khi CAM bị ngập, công tắc chuyển sang chế độ giống trung tâm và bắt đầu phát lưu lượng không có mục CAM. Kẻ tấn công đang ở trên cùng một mạng, bây giờ nhận được tất cả các khung chỉ dành cho một máy chủ cụ thể.

Ăn trộm cổng

Bộ chuyển mạch Ethernet có khả năng tìm hiểu và liên kết địa chỉ MAC với các cổng. Khi một bộ chuyển mạch nhận được lưu lượng từ một cổng có địa chỉ nguồn MAC, nó sẽ liên kết số cổng và địa chỉ MAC đó.

Cuộc tấn công ăn cắp cổng khai thác khả năng này của các thiết bị chuyển mạch. Kẻ tấn công làm tràn ngập công tắc bằng các khung ARP giả mạo với địa chỉ MAC của máy chủ mục tiêu là địa chỉ nguồn. Switch bị đánh lừa khi tin rằng máy chủ mục tiêu đang ở trên cổng, trên đó thực sự là kẻ tấn công được kết nối.

Bây giờ tất cả các khung dữ liệu dành cho máy chủ được nhắm mục tiêu sẽ được gửi đến cổng chuyển đổi của kẻ tấn công chứ không phải máy chủ mục tiêu. Do đó, kẻ tấn công bây giờ nhận được tất cả các khung thực sự chỉ dành cho máy chủ mục tiêu.

Tấn công DHCP

Giao thức cấu hình máy chủ động (DHCP) không phải là giao thức liên kết dữ liệu nhưng các giải pháp cho các cuộc tấn công DHCP cũng hữu ích để ngăn chặn các cuộc tấn công Lớp 2.

DHCP được sử dụng để cấp phát động địa chỉ IP cho các máy tính trong một khoảng thời gian cụ thể. Có thể tấn công máy chủ DHCP bằng cách gây ra từ chối dịch vụ trong mạng hoặc bằng cách mạo danh máy chủ DHCP. Trong một cuộc tấn công đói DHCP, kẻ tấn công yêu cầu tất cả các địa chỉ DHCP có sẵn. Điều này dẫn đến việc từ chối dịch vụ đối với máy chủ lưu trữ hợp pháp trên mạng.

Trong cuộc tấn công giả mạo DHCP, kẻ tấn công có thể triển khai một máy chủ DHCP giả mạo để cung cấp địa chỉ cho các máy khách. Tại đây, kẻ tấn công có thể cung cấp cho các máy chủ một cổng mặc định rouge với các phản hồi DHCP. Khung dữ liệu từ máy chủ lưu trữ hiện được hướng dẫn đến cổng rouge nơi kẻ tấn công có thể chặn tất cả gói và trả lời cổng thực tế hoặc thả chúng.

Các cuộc tấn công khác

Ngoài các cuộc tấn công phổ biến ở trên, còn có các cuộc tấn công khác như phát sóng dựa trên lớp 2, từ chối dịch vụ (DoS), nhân bản MAC.

Trong cuộc tấn công phát sóng, kẻ tấn công gửi trả lời ARP giả mạo tới các máy chủ trên mạng. Các câu trả lời ARP này đặt địa chỉ MAC của cổng mặc định thành địa chỉ quảng bá. Điều này làm cho tất cả lưu lượng ra ngoài được phát sóng, cho phép kẻ tấn công đánh hơi được trên cùng một Ethernet. Kiểu tấn công này cũng ảnh hưởng đến dung lượng mạng.

Trong các cuộc tấn công DoS dựa trên Lớp 2, kẻ tấn công cập nhật các bộ nhớ cache ARP của các máy chủ trong mạng bằng các địa chỉ MAC không tồn tại. Địa chỉ MAC của mỗi card giao diện mạng trong mạng được coi là duy nhất trên toàn cầu. Tuy nhiên, nó có thể dễ dàng thay đổi bằng cách cho phép nhân bản MAC. Kẻ tấn công vô hiệu hóa máy chủ mục tiêu thông qua tấn công DoS và sau đó sử dụng địa chỉ IP và MAC của máy chủ được nhắm mục tiêu.

Kẻ tấn công thực hiện các cuộc tấn công để khởi động các cuộc tấn công cấp cao hơn nhằm gây nguy hiểm cho sự an toàn của thông tin truyền trên mạng. Anh ta có thể chặn tất cả các khung và có thể đọc dữ liệu khung. Kẻ tấn công có thể hoạt động như một người trung gian và sửa đổi dữ liệu hoặc chỉ đơn giản là thả khung dẫn đến DoS. Anh ta có thể chiếm quyền điều khiển phiên đang diễn ra giữa máy chủ đích và các máy khác, đồng thời truyền đạt thông tin sai hoàn toàn.

Bảo mật mạng LAN Ethernet

Chúng ta đã thảo luận về một số cuộc tấn công được biết đến rộng rãi tại Lớp liên kết dữ liệu trong phần trước. Một số phương pháp đã được phát triển để giảm thiểu các loại tấn công này. Một số phương pháp quan trọng là -

An ninh cảng

Đây là một tính năng bảo mật lớp 2 có sẵn trên các thiết bị chuyển mạch Ethernet thông minh. Nó liên quan đến việc buộc một cổng vật lý của bộ chuyển mạch với / các địa chỉ MAC cụ thể. Bất kỳ ai cũng có thể truy cập một mạng không an toàn bằng cách chỉ cần kết nối máy chủ với một trong các cổng chuyển đổi có sẵn. Tuy nhiên, bảo mật cổng có thể đảm bảo quyền truy cập lớp 2.

Theo mặc định, bảo mật cổng giới hạn số lượng địa chỉ MAC xâm nhập là một. Tuy nhiên, có thể cho phép nhiều hơn một máy chủ được ủy quyền kết nối từ cổng đó thông qua cấu hình. Các địa chỉ MAC được phép trên mỗi giao diện có thể được định cấu hình tĩnh. Một giải pháp thay thế thuận tiện là bật tính năng học địa chỉ MAC "dính" trong đó địa chỉ MAC sẽ được học động bằng cổng chuyển đổi cho đến khi đạt đến giới hạn tối đa cho cổng.

Để đảm bảo an ninh, phản ứng với sự thay đổi / các địa chỉ MAC được chỉ định trên một cổng hoặc các địa chỉ thừa trên một cổng có thể được kiểm soát theo nhiều cách khác nhau. Cổng có thể được cấu hình để tắt hoặc chặn các địa chỉ MAC vượt quá giới hạn đã chỉ định. Cách tốt nhất được khuyến nghị là tắt cổng. Bảo mật cổng ngăn chặn các cuộc tấn công nhân bản và tràn ngập MAC.

DHCP Snooping

Chúng tôi đã thấy rằng giả mạo DHCP là một cuộc tấn công trong đó kẻ tấn công lắng nghe các yêu cầu DHCP từ máy chủ trên mạng và trả lời chúng bằng phản hồi DHCP giả trước khi phản hồi DHCP được ủy quyền đến máy chủ.

DHCP snooping có thể ngăn chặn các cuộc tấn công như vậy. DHCP snooping là một tính năng chuyển đổi. Switch có thể được cấu hình để xác định cổng chuyển đổi nào có thể đáp ứng các yêu cầu DHCP. Cổng chuyển mạch được xác định là cổng đáng tin cậy hoặc không đáng tin cậy.

Chỉ các cổng kết nối với máy chủ DHCP được ủy quyền mới được định cấu hình là “đáng tin cậy” và được phép gửi tất cả các loại thông báo DHCP. Tất cả các cổng khác trên switch đều không đáng tin cậy và chỉ có thể gửi các yêu cầu DHCP. Nếu phản hồi DHCP được nhìn thấy trên một cổng không đáng tin cậy, thì cổng đó đã bị tắt.

Ngăn chặn ARP giả mạo

Phương pháp bảo mật cổng có thể ngăn chặn các cuộc tấn công tràn ngập MAC và nhân bản. Tuy nhiên, nó không ngăn chặn ARP giả mạo. Bảo mật cổng xác thực địa chỉ nguồn MAC trong tiêu đề khung, nhưng khung ARP chứa trường nguồn MAC bổ sung trong tải dữ liệu và máy chủ lưu trữ sử dụng trường này để điền bộ nhớ cache ARP của chúng. Một số phương pháp để ngăn chặn ARP giả mạo được liệt kê như sau.

• Static ARP- Một trong những hành động được khuyến nghị là sử dụng các mục ARP tĩnh trong bảng ARP của máy chủ. Các mục nhập ARP tĩnh là các mục nhập vĩnh viễn trong bộ đệm ARP. Tuy nhiên, phương pháp này là không thực tế. Ngoài ra, nó không cho phép sử dụng một số Giao thức cấu hình máy chủ động (DHCP) vì IP tĩnh cần được sử dụng cho tất cả máy chủ trong mạng lớp 2.

• Intrusion Detection System- Phương pháp phòng thủ là sử dụng Hệ thống Phát hiện Xâm nhập (IDS) được cấu hình để phát hiện số lượng lớn lưu lượng ARP. Tuy nhiên, IDS dễ bị báo cáo dương tính giả.

• Dynamic ARP Inspection- Phương pháp ngăn chặn ARP giả mạo này tương tự như DHCP snooping. Nó sử dụng các cổng đáng tin cậy và không đáng tin cậy. Trả lời ARP chỉ được phép vào giao diện chuyển đổi trên các cổng đáng tin cậy. Nếu một phản hồi ARP đến với công tắc trên một cổng không đáng tin cậy, nội dung của gói trả lời ARP sẽ được so sánh với bảng ràng buộc DHCP để xác minh tính chính xác của nó. Nếu phản hồi ARP không hợp lệ, phản hồi ARP sẽ bị loại bỏ và cổng bị vô hiệu hóa.

Bảo mật giao thức cây kéo dài

Spanning Tree Protocol (STP) là một giao thức quản lý liên kết lớp 2. Mục đích chính của STP là đảm bảo rằng không có vòng lặp luồng dữ liệu khi mạng có các đường dẫn dự phòng. Nói chung, các đường dẫn dự phòng được xây dựng để cung cấp độ tin cậy cho mạng. Nhưng chúng có thể tạo thành các vòng lặp chết người có thể dẫn đến tấn công DoS trong mạng.

Giao thức Spanning Tree

Để cung cấp dự phòng đường dẫn mong muốn, cũng như tránh tình trạng vòng lặp, STP định nghĩa một cây trải dài tất cả các thiết bị chuyển mạch trong mạng. STP buộc các liên kết dữ liệu dư thừa nhất định vào trạng thái bị chặn và giữ các liên kết khác ở trạng thái chuyển tiếp.

Nếu một liên kết ở trạng thái chuyển tiếp bị hỏng, STP sẽ cấu hình lại mạng và xác định lại đường dẫn dữ liệu bằng cách kích hoạt đường dẫn dự phòng thích hợp. STP chạy trên các cầu nối và chuyển mạch được triển khai trong mạng. Tất cả các thiết bị chuyển mạch trao đổi thông tin để lựa chọn công tắc gốc và cấu hình mạng tiếp theo. Đơn vị dữ liệu giao thức cầu nối (BPDU) mang thông tin này. Thông qua trao đổi các BPDU, tất cả các thiết bị chuyển mạch trong mạng chọn một cầu nối / công tắc gốc trở thành đầu mối trong mạng và điều khiển các liên kết bị chặn và chuyển tiếp.

Các cuộc tấn công vào STP

• Tiếp quản cây cầu gốc. Đây là một trong những kiểu tấn công gây rối nhất ở lớp 2. Theo mặc định, một switch LAN lấy bất kỳ BPDU nào được gửi từ switch lân cận theo mệnh giá. Ngẫu nhiên, STP là đáng tin cậy, không có trạng thái và không cung cấp bất kỳ cơ chế xác thực âm thanh nào.

• Khi ở chế độ tấn công gốc, công tắc tấn công sẽ gửi một BPDU cứ sau 2 giây với mức độ ưu tiên tương tự như cây cầu gốc hiện tại, nhưng với địa chỉ MAC thấp hơn một chút về số, điều này đảm bảo chiến thắng của nó trong quá trình bầu chọn cây cầu gốc. Công tắc kẻ tấn công có thể khởi chạy cuộc tấn công DoS bằng cách không xác nhận đúng các công tắc khác gây ra tình trạng tràn ngập BPDU hoặc bằng cách đưa các công tắc vào xử lý quá mức BPDUS bằng cách tuyên bố là root cùng một lúc và rút lại liên tiếp.

• DoS sử dụng Flood of Configuration BPDU. Công tắc tấn công không cố gắng tiếp quản quyền gốc. Thay vào đó, nó tạo ra một số lượng lớn BPDU mỗi giây dẫn đến việc sử dụng CPU rất cao trên các thiết bị chuyển mạch.

Ngăn chặn các cuộc tấn công vào STP

May mắn thay, biện pháp đối phó với một cuộc tấn công chiếm quyền sử dụng root rất đơn giản và dễ hiểu. Hai tính năng giúp đánh bại cuộc tấn công chiếm quyền root.

• Root Guard- Bảo vệ gốc hạn chế các cổng chuyển mạch mà cầu gốc có thể được thương lượng. Nếu một cổng 'root-protection-enable' nhận được các BPDU vượt trội hơn so với các cổng mà root bridge hiện tại đang gửi, thì cổng đó sẽ được chuyển sang trạng thái không nhất quán root và không có lưu lượng dữ liệu nào được chuyển tiếp qua cổng đó. Bảo vệ gốc được triển khai tốt nhất đối với các cổng kết nối với các thiết bị chuyển mạch không được mong đợi sẽ tiếp quản như cầu nối gốc.

• BPDU-Guard- Bảo vệ BPDU được sử dụng để bảo vệ mạng khỏi các sự cố có thể gây ra do việc nhận các BPDU trên các cổng truy cập. Đây là những cổng không nên nhận chúng. Bảo vệ BPDU được triển khai tốt nhất đối với các cổng giao diện người dùng để ngăn chặn kẻ tấn công chèn công tắc giả mạo.

Bảo mật mạng LAN ảo

Trong mạng cục bộ, Mạng cục bộ ảo (VLAN) đôi khi được định cấu hình như một biện pháp bảo mật để hạn chế số lượng máy chủ dễ bị tấn công lớp 2. VLAN tạo ra các ranh giới mạng, qua đó lưu lượng truyền phát (ARP, DHCP) không thể vượt qua.

Mạng cục bộ ảo

Mạng sử dụng switch / es hỗ trợ khả năng VLAN có thể được cấu hình để xác định nhiều VLAN trên một cơ sở hạ tầng LAN vật lý.

Dạng VLAN phổ biến là VLAN dựa trên cổng. Trong cấu trúc VLAN này, các cổng chuyển mạch được nhóm thành VLAN bằng phần mềm quản lý chuyển mạch. Do đó, một công tắc vật lý duy nhất có thể hoạt động như nhiều công tắc ảo.

Việc sử dụng các VLAN giúp cô lập lưu lượng. Nó chia mạng lớp 2 quảng bá lớn thành các mạng lớp 2 hợp lý nhỏ hơn và do đó làm giảm phạm vi của các cuộc tấn công như ARP / DHCP Spoofing. Khung dữ liệu của một VLAN chỉ có thể di chuyển từ / đến trong các cổng thuộc cùng một VLAN. Việc chuyển tiếp khung giữa hai VLAN được thực hiện thông qua định tuyến.

Các VLAN thường trải dài qua nhiều chuyển mạch như thể hiện trong sơ đồ trên. Liên kết giữa các cổng trung kế mang các khung của tất cả các VLAN được xác định qua nhiều chuyển mạch vật lý. Do đó, các khung VLAN được chuyển tiếp giữa các bộ chuyển mạch không thể là các khung định dạng IEEE 802.1 Ethernet đơn giản. Vì các khung này di chuyển trên cùng một liên kết vật lý, nên bây giờ chúng cần mang thông tin VLAN ID. Giao thức IEEE 802.1Q thêm / xóa các trường tiêu đề bổ sung cho các khung Ethernet đơn giản được chuyển tiếp giữa các cổng trung kế.

Khi trường theo sau hai trường địa chỉ IP là 0x8100 (> 1500), khung được xác định là khung 802.1Q. Giá trị của Định danh giao thức thẻ 2 byte (TPI) là 81-00. Trường TCI bao gồm thông tin ưu tiên 3 bit, chỉ báo đủ điều kiện Drop 1 bit (DEI) và ID VLAN 12 bit. Trường ưu tiên 3 bit và trường DEI này không liên quan đến VLAN. Các bit ưu tiên được sử dụng để cung cấp Chất lượng Dịch vụ.

Khi một khung không thuộc bất kỳ VLAN nào, sẽ có một id VLAN mặc định mà khung đó được coi là liên kết với.

Tấn công VLAN & Các biện pháp phòng chống

Trong một cuộc tấn công nhảy qua VLAN, kẻ tấn công trên một VLAN có thể giành được quyền truy cập vào lưu lượng trên các VLAN khác mà thông thường không thể truy cập được. Nó sẽ bỏ qua thiết bị lớp 3 (bộ định tuyến) khi giao tiếp từ VLAN này sang VLAN khác, do đó đánh bại mục đích tạo VLAN.

Nhảy VLAN có thể được thực hiện bằng hai phương pháp; chuyển đổi giả mạo và gắn thẻ kép.

Chuyển đổi giả mạo

Nó có thể xảy ra khi cổng chuyển đổi, mà kẻ tấn công được kết nối, ở chế độ 'trung kế' hoặc chế độ 'tự động thương lượng'. Kẻ tấn công hoạt động như một công tắc và thêm các tiêu đề đóng gói 802.1Q với các thẻ VLAN cho các VLAN từ xa mục tiêu vào các khung gửi đi của nó. Bộ chuyển mạch nhận thông dịch các khung đó được lấy từ một bộ chuyển mạch 802.1Q khác và chuyển tiếp các khung đó vào VLAN mục tiêu.

Hai biện pháp phòng ngừa chống lại các cuộc tấn công giả mạo chuyển mạch là đặt các cổng cạnh thành chế độ truy cập tĩnh và tắt tính năng tự động thương lượng trên tất cả các cổng.

Gắn thẻ kép

Trong cuộc tấn công này, kẻ tấn công được kết nối trên cổng VLAN gốc của switch sẽ chèn trước hai thẻ VLAN trong tiêu đề khung. Thẻ đầu tiên dành cho VLAN gốc và thẻ thứ hai dành cho VLAN đích. Khi công tắc đầu tiên nhận được các khung của kẻ tấn công, nó sẽ loại bỏ thẻ đầu tiên vì các khung của VLAN gốc được chuyển tiếp mà không có thẻ trên cổng trung kế.

• Vì thẻ thứ hai không bao giờ bị công tắc đầu tiên loại bỏ, công tắc nhận xác định thẻ còn lại là đích VLAN và chuyển tiếp các khung đến máy chủ đích trong VLAN đó. Cuộc tấn công gắn thẻ kép khai thác khái niệm VLAN gốc. Vì VLAN 1 là VLAN mặc định cho các cổng truy cập và VLAN gốc mặc định trên trung kế, đó là một mục tiêu dễ dàng.

• Biện pháp ngăn chặn đầu tiên là loại bỏ tất cả các cổng truy cập khỏi VLAN 1 mặc định vì cổng của kẻ tấn công phải khớp với cổng của VLAN gốc của switch. Biện pháp phòng ngừa thứ hai là gán VLAN gốc trên tất cả các trung kế chuyển mạch cho một số VLAN không sử dụng, chẳng hạn như VLAN id 999. Và cuối cùng, tất cả các thiết bị chuyển mạch được cấu hình để thực hiện gắn thẻ rõ ràng các khung VLAN gốc trên cổng trung kế.

Bảo mật mạng LAN không dây

Mạng cục bộ không dây là mạng gồm các nút không dây trong một khu vực địa lý giới hạn, chẳng hạn như một tòa nhà văn phòng hoặc khuôn viên trường học. Các nút có khả năng liên lạc vô tuyến.

mạng địa phương không dây

Mạng LAN không dây thường được triển khai dưới dạng phần mở rộng của mạng LAN có dây hiện tại để cung cấp khả năng truy cập mạng với tính di động của thiết bị. Các công nghệ mạng LAN không dây được triển khai rộng rãi nhất dựa trên tiêu chuẩn IEEE 802.11 và các sửa đổi của nó.

Hai thành phần chính trong mạng LAN không dây là:

• Access Points (APs)- Đây là các trạm gốc cho mạng không dây. Chúng truyền và nhận các tần số vô tuyến để giao tiếp với các máy khách không dây.

• Wireless Clients- Đây là những thiết bị máy tính được trang bị Thẻ Giao diện Mạng Không dây (WNIC). Máy tính xách tay, điện thoại IP, PDA là những ví dụ điển hình của máy khách không dây.

Nhiều tổ chức đã triển khai mạng LAN không dây. Các mạng này đang phát triển một cách phi thường. Do đó, điều quan trọng là phải hiểu các mối đe dọa trong mạng LAN không dây và tìm hiểu các biện pháp phòng ngừa phổ biến để đảm bảo an ninh mạng.

Các cuộc tấn công trong mạng LAN không dây

Các cuộc tấn công điển hình được thực hiện trên mạng LAN không dây là:

• Eavesdropping - Kẻ tấn công giám sát thụ động các mạng không dây để tìm dữ liệu, bao gồm cả thông tin xác thực.

• Masquerading - Kẻ tấn công mạo danh người dùng được ủy quyền và có được quyền truy cập và đặc quyền trên mạng không dây.

• Traffic Analysis - Kẻ tấn công giám sát các đường truyền qua mạng không dây để xác định các kiểu truyền thông và những người tham gia.

• Denial of Service - Kẻ tấn công ngăn cản hoặc hạn chế việc sử dụng hoặc quản lý bình thường các thiết bị mạng hoặc mạng LAN không dây.

• Message Modification/Replay - Kẻ tấn công thay đổi hoặc trả lời một tin nhắn hợp pháp được gửi qua mạng không dây bằng cách xóa, thêm vào, thay đổi hoặc sắp xếp lại thứ tự.

Các biện pháp bảo mật trong mạng LAN không dây

Các biện pháp bảo mật cung cấp các phương tiện để đánh bại các cuộc tấn công và quản lý rủi ro đối với mạng. Đây là các biện pháp quản lý, vận hành và kỹ thuật mạng. Chúng tôi mô tả bên dưới các biện pháp kỹ thuật được áp dụng để đảm bảo tính bảo mật, tính sẵn sàng và tính toàn vẹn của dữ liệu được truyền qua mạng LAN không dây.

Trong mạng LAN không dây, tất cả các AP phải được cấu hình để cung cấp bảo mật thông qua mã hóa và xác thực máy khách. Các loại lược đồ được sử dụng trong mạng LAN không dây để cung cấp bảo mật như sau:

Quyền riêng tư tương đương có dây (WEP)

Nó là một thuật toán mã hóa được tích hợp trong tiêu chuẩn 802.11 để bảo mật các mạng không dây. Mã hóa WEP sử dụng mật mã dòng RC4 (Rivest Cipher 4) với các khóa 40 bit / 104 bit và vectơ khởi tạo 24 bit. Nó cũng có thể cung cấp xác thực điểm cuối.

Tuy nhiên, đây là cơ chế bảo mật mã hóa yếu nhất, vì một số lỗ hổng đã được phát hiện trong mã hóa WEP. WEP cũng không có giao thức xác thực. Do đó, việc sử dụng WEP không được khuyến khích.

Giao thức 802.11i

Trong giao thức này có thể có nhiều hình thức mã hóa mạnh mẽ hơn. Nó đã được phát triển để thay thế sơ đồ WEP yếu. Nó cung cấp cơ chế phân phối chính. Nó hỗ trợ một khóa cho mỗi trạm và không sử dụng cùng một khóa cho tất cả. Nó sử dụng máy chủ xác thực tách biệt với điểm truy cập.

IEEE802.11i yêu cầu sử dụng giao thức có tên Chế độ bộ đếm với Giao thức CBC-MAC (CCMP). CCMP cung cấp tính bảo mật và toàn vẹn của dữ liệu được chuyển và tính xác thực của người gửi. Nó dựa trên mật mã khối Tiêu chuẩn Mã hóa Nâng cao (AES).

Giao thức IEEE802.11i có bốn giai đoạn hoạt động.

• STA và AP giao tiếp và khám phá các khả năng bảo mật lẫn nhau như các thuật toán được hỗ trợ.

• STA và AS xác thực lẫn nhau và cùng nhau tạo Master Key (MK). AP hoạt động như “đi qua”.

• STA lấy được Khóa chính cặp (PMK). AS lấy cùng một PMK và gửi đến AP.

• STA, AP sử dụng PMK để lấy Khóa tạm thời (TK) được sử dụng để mã hóa thông điệp và tính toàn vẹn dữ liệu.

Các tiêu chuẩn khác

• Wi-Fi Protected Access(WPA) - Giao thức này thực hiện phần lớn tiêu chuẩn IEEE 802.11i. Nó tồn tại trước IEEE 802.11i và sử dụng thuật toán RC4 để mã hóa. Nó có hai chế độ hoạt động. Trong chế độ 'Doanh nghiệp', WPA sử dụng giao thức xác thực 802.1x để giao tiếp với máy chủ xác thực và do đó, các khóa chủ trước (PMK) dành riêng cho trạm khách. Trong chế độ 'Cá nhân', nó không sử dụng 802.1x, PMK được thay thế bằng khóa chia sẻ trước, như được sử dụng cho môi trường mạng LAN không dây của Văn phòng nhỏ tại nhà (SOHO).

  WPA cũng bao gồm kiểm tra tính toàn vẹn của tin nhắn âm thanh thay thế Kiểm tra dự phòng theo chu kỳ (CRC) được sử dụng theo tiêu chuẩn WEP.

• WPA2- WPA2 thay thế WPA. WPA2 thực hiện tất cả các yếu tố bắt buộc của lược đồ IEEE 802.11i. Đặc biệt, nó bao gồm hỗ trợ bắt buộc cho CCMP, một chế độ mã hóa dựa trên AES với khả năng bảo mật mạnh mẽ. Do đó, liên quan đến các cuộc tấn công, WPA2 / IEEE802.11i cung cấp các giải pháp đầy đủ để bảo vệ chống lại các điểm yếu của WEP, các cuộc tấn công man-in-the-middle, giả mạo gói tin và các cuộc tấn công phát lại. Tuy nhiên, tấn công DoS không được giải quyết đúng cách và không có giao thức vững chắc nào để ngăn chặn các cuộc tấn công như vậy về cơ bản vì các cuộc tấn công như vậy nhắm vào lớp vật lý như can thiệp vào dải tần.

Tóm lược

Trong chương này, chúng tôi đã xem xét các cuộc tấn công và các kỹ thuật giảm thiểu giả sử mạng Ethernet chuyển mạch chạy IP. Nếu mạng của bạn không sử dụng Ethernet làm giao thức lớp 2, một số cuộc tấn công này có thể không áp dụng được, nhưng rất có thể mạng như vậy dễ bị tấn công bởi các kiểu tấn công khác nhau.

Bảo mật chỉ mạnh khi liên kết yếu nhất. Khi nói đến mạng, lớp 2 có thể là một liên kết rất yếu. Các biện pháp bảo mật lớp 2 được đề cập trong chương này đi một chặng đường dài hướng tới việc bảo vệ mạng khỏi nhiều kiểu tấn công.

Kiểm soát truy cập mạng là một phương pháp tăng cường bảo mật của mạng tổ chức tư nhân bằng cách hạn chế tính khả dụng của tài nguyên mạng cho các thiết bị đầu cuối tuân thủ chính sách bảo mật của tổ chức. Một sơ đồ kiểm soát truy cập mạng điển hình bao gồm hai thành phần chính như Quyền truy cập hạn chế và Bảo vệ ranh giới mạng.

Quyền truy cập có giới hạn vào các thiết bị mạng được thực hiện thông qua xác thực người dùng và kiểm soát ủy quyền chịu trách nhiệm xác định và xác thực những người dùng khác nhau vào hệ thống mạng. Ủy quyền là quá trình cấp hoặc từ chối các quyền truy cập cụ thể đối với tài nguyên được bảo vệ.

Network Boundary Protectionkiểm soát kết nối logic vào và ra khỏi mạng. Ví dụ, nhiều tường lửa có thể được triển khai để ngăn chặn truy cập trái phép vào hệ thống mạng. Ngoài ra, các công nghệ phát hiện và ngăn chặn xâm nhập có thể được triển khai để bảo vệ khỏi các cuộc tấn công từ Internet.

Trong chương này, chúng ta sẽ thảo luận về các phương pháp nhận dạng và xác thực người dùng để truy cập mạng, tiếp theo là các loại tường lửa và hệ thống phát hiện xâm nhập.

Bảo mật quyền truy cập vào thiết bị mạng

Hạn chế quyền truy cập vào các thiết bị trên mạng là một bước rất cần thiết để bảo mật mạng. Vì các thiết bị mạng bao gồm thông tin liên lạc cũng như thiết bị máy tính, việc xâm phạm những thiết bị này có thể làm hỏng toàn bộ mạng và tài nguyên của nó.

Nghịch lý là nhiều tổ chức đảm bảo an ninh tuyệt vời cho các máy chủ và ứng dụng của họ nhưng lại để các thiết bị mạng giao tiếp có bảo mật thô sơ.

Một khía cạnh quan trọng của bảo mật thiết bị mạng là kiểm soát truy cập và ủy quyền. Nhiều giao thức đã được phát triển để giải quyết hai yêu cầu này và nâng cao an ninh mạng lên các mức cao hơn.

Xác thực và Ủy quyền Người dùng

Xác thực người dùng là cần thiết để kiểm soát quyền truy cập vào hệ thống mạng, đặc biệt là các thiết bị hạ tầng mạng. Xác thực có hai khía cạnh: xác thực truy cập chung và ủy quyền chức năng.

Xác thực quyền truy cập chung là phương pháp để kiểm soát xem một người dùng cụ thể có "bất kỳ" loại quyền truy cập nào vào hệ thống mà anh ta đang cố gắng kết nối hay không. Thông thường, loại truy cập này được kết hợp với việc người dùng có “tài khoản” với hệ thống đó. Việc ủy ​​quyền liên quan đến "quyền" của người dùng cá nhân. Ví dụ, nó quyết định người dùng có thể làm gì sau khi được xác thực; người dùng có thể được phép định cấu hình thiết bị hoặc chỉ xem dữ liệu.

Xác thực người dùng phụ thuộc vào các yếu tố bao gồm thứ mà anh ta biết (mật khẩu), thứ anh ta có (mã thông báo mật mã) hoặc thứ gì đó anh ta là (sinh trắc học). Việc sử dụng nhiều hơn một yếu tố để nhận dạng và xác thực tạo cơ sở cho xác thực Đa yếu tố.

Xác thực dựa trên mật khẩu

Ở mức tối thiểu, tất cả các thiết bị mạng phải có xác thực tên người dùng-mật khẩu. Mật khẩu phải không nhỏ (ít nhất 10 ký tự, hỗn hợp bảng chữ cái, số và ký hiệu).

Trong trường hợp người dùng truy cập từ xa, một phương pháp nên được sử dụng để đảm bảo tên người dùng và mật khẩu không bị chuyển qua mạng một cách rõ ràng. Ngoài ra, mật khẩu cũng nên được thay đổi với tần suất hợp lý.

Phương thức xác thực tập trung

Hệ thống xác thực dựa trên thiết bị cá nhân cung cấp một biện pháp kiểm soát truy cập cơ bản. Tuy nhiên, phương pháp xác thực tập trung được coi là hữu hiệu và hiệu quả hơn khi mạng có số lượng thiết bị lớn với số lượng lớn người dùng truy cập vào các thiết bị này.

Theo truyền thống, xác thực tập trung được sử dụng để giải quyết các vấn đề gặp phải khi truy cập mạng từ xa. Trong Hệ thống Truy cập Từ xa (RAS), việc quản lý người dùng trên các thiết bị mạng là không thực tế. Đặt tất cả thông tin người dùng trong tất cả các thiết bị và sau đó giữ cho thông tin đó được cập nhật là một cơn ác mộng quản trị.

Các hệ thống xác thực tập trung, chẳng hạn như RADIUS và Kerberos, giải quyết vấn đề này. Các phương pháp tập trung này cho phép thông tin người dùng được lưu trữ và quản lý ở một nơi. Các hệ thống này thường có thể được tích hợp liền mạch với các sơ đồ quản lý tài khoản người dùng khác như thư mục Active Directory hoặc LDAP của Microsoft. Hầu hết các máy chủ RADIUS có thể giao tiếp với các thiết bị mạng khác theo giao thức RADIUS thông thường và sau đó truy cập an toàn vào thông tin tài khoản được lưu trữ trong các thư mục.

Ví dụ: Máy chủ xác thực Internet (IAS) của Microsoft kết nối RADIUS và Active Directory để cung cấp xác thực tập trung cho người dùng thiết bị. Nó cũng đảm bảo rằng thông tin tài khoản người dùng được thống nhất với các tài khoản miền Microsoft. Sơ đồ trên cho thấy bộ điều khiển miền Windows hoạt động như một máy chủ Active Directory và một máy chủ RADIUS để các phần tử mạng xác thực vào miền Active Directory.

Danh sách kiểm soát truy cập

Nhiều thiết bị mạng có thể được cấu hình bằng danh sách truy cập. Các danh sách này xác định tên máy chủ hoặc địa chỉ IP được phép truy cập thiết bị. Ví dụ điển hình là hạn chế quyền truy cập vào thiết bị mạng từ các IP ngoại trừ quản trị viên mạng.

Sau đó, điều này sẽ bảo vệ khỏi bất kỳ loại truy cập nào có thể trái phép. Các loại danh sách truy cập này đóng vai trò là biện pháp bảo vệ cuối cùng quan trọng và có thể khá mạnh mẽ trên một số thiết bị có các quy tắc khác nhau cho các giao thức truy cập khác nhau.

Hầu hết mọi tổ chức quy mô vừa và lớn đều có mặt trên Internet và có mạng lưới tổ chức kết nối với nó. Việc phân vùng mạng ở ranh giới giữa Internet bên ngoài và mạng nội bộ là điều cần thiết cho an ninh mạng. Đôi khi mạng bên trong (mạng nội bộ) được gọi là bên “đáng tin cậy” và mạng bên ngoài là bên “không được tin cậy”.

Các loại tường lửa

Tường lửa là một thiết bị mạng cách ly mạng nội bộ của tổ chức với mạng / Internet bên ngoài lớn hơn. Nó có thể là một phần cứng, phần mềm hoặc hệ thống kết hợp ngăn chặn truy cập trái phép vào hoặc từ mạng nội bộ.

Tất cả các gói dữ liệu đi vào hoặc rời khỏi mạng nội bộ đều đi qua tường lửa, tường lửa kiểm tra từng gói và chặn những gói không đáp ứng các tiêu chí bảo mật đã chỉ định.

Triển khai tường lửa ở ranh giới mạng giống như tổng hợp bảo mật tại một điểm duy nhất. Nó tương tự như khóa một căn hộ ở lối vào và không nhất thiết phải ở mỗi cửa.

Tường lửa được coi là một yếu tố cần thiết để đạt được an ninh mạng vì những lý do sau:

• Mạng nội bộ và máy chủ không có khả năng được bảo mật đúng cách.

• Internet là một nơi nguy hiểm với tội phạm, người dùng từ các công ty cạnh tranh, nhân viên cũ bất mãn, gián điệp từ các quốc gia không thân thiện, những kẻ phá hoại, v.v.

• Để ngăn kẻ tấn công tung ra các cuộc tấn công từ chối dịch vụ vào tài nguyên mạng.

• Để ngăn chặn việc sửa đổi / truy cập bất hợp pháp vào dữ liệu nội bộ của kẻ tấn công bên ngoài.

Tường lửa được phân loại thành ba loại cơ bản:

• Bộ lọc gói (Không trạng thái & Có trạng thái)
• Cổng cấp ứng dụng
• Cổng cấp mạch

Tuy nhiên, ba loại này không loại trừ lẫn nhau. Tường lửa hiện đại có nhiều khả năng có thể xếp chúng vào nhiều hơn một trong ba loại.

Tường lửa lọc gói không trạng thái & trạng thái

Trong kiểu triển khai tường lửa này, mạng nội bộ được kết nối với mạng / Internet bên ngoài thông qua tường lửa của bộ định tuyến. Tường lửa kiểm tra và lọc từng gói dữ liệu.

Packet-filtering firewalls cho phép hoặc chặn các gói phần lớn dựa trên các tiêu chí như địa chỉ IP nguồn và / hoặc đích, giao thức, số cổng nguồn và / hoặc đích và nhiều thông số khác trong tiêu đề IP.

Quyết định có thể dựa trên các yếu tố khác ngoài các trường tiêu đề IP như loại thông báo ICMP, TCP SYN và bit ACK, v.v.

Quy tắc bộ lọc gói có hai phần:

• Selection criteria - Nó được sử dụng như một điều kiện và mẫu đối sánh để ra quyết định.

• Action field- Phần này chỉ định hành động được thực hiện nếu một gói IP đáp ứng các tiêu chí lựa chọn. Hành động có thể là chặn (từ chối) hoặc cho phép (cho phép) gói qua tường lửa.

Lọc gói thường được thực hiện bằng cách định cấu hình Danh sách kiểm soát truy cập (ACL) trên bộ định tuyến hoặc bộ chuyển mạch. ACL là một bảng các quy tắc lọc gói.

Khi lưu lượng truy cập vào hoặc ra khỏi một giao diện, tường lửa áp dụng ACL từ trên xuống dưới cho mỗi gói đến, tìm các tiêu chí phù hợp và cho phép hoặc từ chối các gói riêng lẻ.

Stateless firewalllà một loại công cụ cứng nhắc. Nó xem xét gói và cho phép nó nếu nó đáp ứng các tiêu chí ngay cả khi nó không phải là một phần của bất kỳ giao tiếp liên tục được thiết lập nào.

Do đó, các tường lửa như vậy được thay thế bằng stateful firewallstrong các mạng hiện đại. Loại tường lửa này cung cấp một phương pháp kiểm tra chuyên sâu hơn so với các phương pháp kiểm tra gói dựa trên ACL duy nhất của tường lửa không trạng thái.

Tường lửa trạng thái giám sát quá trình thiết lập và chia nhỏ kết nối để kiểm tra các kết nối ở cấp TCP / IP. Điều này cho phép họ theo dõi trạng thái kết nối và xác định máy chủ nào có kết nối mở, được phép tại bất kỳ thời điểm nào.

Chúng chỉ tham chiếu đến cơ sở quy tắc khi một kết nối mới được yêu cầu. Các gói thuộc các kết nối hiện có được so sánh với bảng trạng thái của tường lửa về các kết nối mở và quyết định cho phép hoặc chặn sẽ được thực hiện. Quá trình này tiết kiệm thời gian và cung cấp thêm tính bảo mật. Không gói nào được phép xâm phạm tường lửa trừ khi nó thuộc kết nối đã được thiết lập. Nó có thể hết thời gian chờ các kết nối không hoạt động tại tường lửa mà sau đó nó không còn chấp nhận các gói cho kết nối đó nữa.

Cổng ứng dụng

Cổng cấp ứng dụng hoạt động như một nút chuyển tiếp cho lưu lượng cấp ứng dụng. Chúng chặn các gói đến và đi, chạy các proxy sao chép và chuyển tiếp thông tin qua cổng và hoạt động như mộtproxy server, ngăn chặn bất kỳ kết nối trực tiếp nào giữa máy chủ hoặc máy khách đáng tin cậy và máy chủ không đáng tin cậy.

Các proxy là ứng dụng cụ thể. Chúng có thể lọc các gói ở lớp ứng dụng của mô hình OSI.

Proxy dành riêng cho ứng dụng

Một proxy dành riêng cho ứng dụng chấp nhận các gói chỉ được tạo bởi ứng dụng cụ thể mà chúng được thiết kế để sao chép, chuyển tiếp và lọc. Ví dụ: chỉ một proxy Telnet mới có thể sao chép, chuyển tiếp và lọc lưu lượng Telnet.

Nếu một mạng chỉ dựa vào một cổng cấp ứng dụng, thì các gói đến và đi không thể truy cập các dịch vụ không có proxy được cấu hình. Ví dụ: nếu một cổng chạy các proxy FTP và Telnet, thì chỉ các gói được tạo bởi các dịch vụ này mới có thể vượt qua tường lửa. Tất cả các dịch vụ khác đều bị chặn.

Lọc cấp ứng dụng

Một cổng proxy cấp ứng dụng, kiểm tra và lọc các gói tin riêng lẻ, thay vì chỉ sao chép chúng và chuyển tiếp chúng qua cổng một cách mù quáng. Các proxy dành riêng cho ứng dụng sẽ kiểm tra từng gói đi qua cổng, xác minh nội dung của gói thông qua lớp ứng dụng. Các proxy này có thể lọc các loại lệnh hoặc thông tin cụ thể trong các giao thức ứng dụng.

Các cổng ứng dụng có thể hạn chế các hành động cụ thể được thực hiện. Ví dụ: cổng có thể được định cấu hình để ngăn người dùng thực hiện lệnh 'FTP put'. Điều này có thể ngăn kẻ tấn công sửa đổi thông tin được lưu trữ trên máy chủ.

Trong suốt

Mặc dù các cổng cấp ứng dụng có thể minh bạch, nhưng nhiều triển khai yêu cầu xác thực người dùng trước khi người dùng có thể truy cập vào mạng không đáng tin cậy, một quá trình làm giảm tính minh bạch thực sự. Xác thực có thể khác nếu người dùng đến từ mạng nội bộ hoặc từ Internet. Đối với mạng nội bộ, danh sách địa chỉ IP đơn giản có thể được phép kết nối với các ứng dụng bên ngoài. Nhưng từ phía Internet, một xác thực mạnh cần được thực hiện.

Một cổng ứng dụng thực sự chuyển tiếp các phân đoạn TCP giữa hai kết nối TCP theo hai hướng (Máy khách ↔ Proxy ↔ Máy chủ).

Đối với các gói gửi đi, cổng có thể thay thế địa chỉ IP nguồn bằng địa chỉ IP của chính nó. Quá trình này được gọi là Dịch địa chỉ mạng (NAT). Nó đảm bảo rằng các địa chỉ IP nội bộ không bị lộ ra ngoài Internet.

Cổng cấp mạch

Cổng cấp mạch là một giải pháp trung gian giữa bộ lọc gói và cổng ứng dụng. Nó chạy ở lớp truyền tải và do đó có thể hoạt động như proxy cho bất kỳ ứng dụng nào.

Tương tự như cổng ứng dụng, cổng cấp mạch cũng không cho phép kết nối TCP end-to-end qua cổng. Nó thiết lập hai kết nối TCP và chuyển tiếp các phân đoạn TCP từ mạng này sang mạng khác. Tuy nhiên, nó không kiểm tra dữ liệu ứng dụng như cổng ứng dụng. Do đó, đôi khi nó được gọi là 'Pipe Proxy'.

SOCKS

SOCKS (RFC 1928) đề cập đến một cổng cấp mạch. Đây là một cơ chế proxy mạng cho phép các máy chủ ở một phía của máy chủ SOCKS có quyền truy cập đầy đủ vào các máy chủ ở phía bên kia mà không yêu cầu khả năng truy cập IP trực tiếp. Máy khách kết nối với máy chủ SOCKS tại tường lửa. Sau đó, khách hàng tham gia thương lượng cho phương pháp xác thực sẽ được sử dụng và xác thực bằng phương pháp đã chọn.

Máy khách gửi một yêu cầu chuyển tiếp kết nối đến máy chủ SOCKS, chứa địa chỉ IP đích mong muốn và cổng truyền tải. Máy chủ chấp nhận yêu cầu sau khi kiểm tra rằng máy khách đáp ứng các tiêu chí lọc cơ bản. Sau đó, thay mặt cho máy khách, cổng mở một kết nối đến máy chủ không đáng tin cậy được yêu cầu và sau đó giám sát chặt chẽ quá trình bắt tay TCP diễn ra sau đó.

Máy chủ SOCKS thông báo cho máy khách và trong trường hợp thành công, bắt đầu chuyển tiếp dữ liệu giữa hai kết nối. Cổng cấp mạch được sử dụng khi tổ chức tin tưởng người dùng nội bộ và không muốn kiểm tra nội dung hoặc dữ liệu ứng dụng được gửi trên Internet.

Triển khai tường lửa với DMZ

Tường lửa là một cơ chế được sử dụng để kiểm soát lưu lượng mạng 'vào' và 'ra' khỏi mạng nội bộ của tổ chức. Trong hầu hết các trường hợp, các hệ thống này có hai giao diện mạng, một cho mạng bên ngoài như Internet và một cho mạng bên trong.

Quá trình tường lửa có thể kiểm soát chặt chẽ những gì được phép truyền từ bên này sang bên kia. Một tổ chức muốn cung cấp quyền truy cập bên ngoài vào máy chủ web của mình có thể hạn chế tất cả lưu lượng truy cập đến tường lửa mong đợi cho cổng 80 (cổng http tiêu chuẩn). Tất cả các lưu lượng khác như lưu lượng thư, FTP, SNMP, v.v., không được phép vượt tường lửa vào mạng nội bộ. Một ví dụ về tường lửa đơn giản được hiển thị trong sơ đồ sau.

Trong triển khai đơn giản ở trên, mặc dù tất cả các truy cập khác từ bên ngoài đều bị chặn, kẻ tấn công có thể liên hệ với không chỉ máy chủ web mà còn bất kỳ máy chủ nào khác trên mạng nội bộ đã vô tình mở cổng 80 hoặc cách khác.

Do đó, vấn đề mà hầu hết các tổ chức gặp phải là làm thế nào để cho phép truy cập hợp pháp vào các dịch vụ công cộng như web, FTP và e-mail trong khi duy trì tính bảo mật chặt chẽ của mạng nội bộ. Cách tiếp cận điển hình là triển khai tường lửa để cung cấp Khu phi quân sự (DMZ) trong mạng.

Trong thiết lập này (được minh họa trong sơ đồ sau), hai tường lửa được triển khai; một giữa mạng bên ngoài và DMZ, và một giữa DMZ và mạng nội bộ. Tất cả các máy chủ công cộng được đặt trong DMZ.

Với thiết lập này, có thể có các quy tắc tường lửa cho phép truy cập công khai vào các máy chủ công cộng nhưng tường lửa bên trong có thể hạn chế tất cả các kết nối đến. Bằng cách có DMZ, các máy chủ công cộng sẽ được bảo vệ đầy đủ thay vì đặt chúng trực tiếp trên mạng bên ngoài.

Hệ thống phát hiện / ngăn chặn xâm nhập

Tường lửa lọc gói hoạt động dựa trên các quy tắc chỉ liên quan đến tiêu đề TCP / UDP / IP. Họ không cố gắng thiết lập kiểm tra tương quan giữa các phiên khác nhau.

Hệ thống phát hiện / ngăn chặn xâm nhập (IDS / IPS) thực hiện Kiểm tra gói tin sâu (DPI) bằng cách xem nội dung gói tin. Ví dụ, kiểm tra chuỗi ký tự trong gói dữ liệu với cơ sở dữ liệu của virus đã biết, chuỗi tấn công.

Các cổng ứng dụng xem xét nội dung gói nhưng chỉ dành cho các ứng dụng cụ thể. Họ không tìm kiếm dữ liệu đáng ngờ trong gói tin. IDS / IPS tìm kiếm dữ liệu đáng ngờ có trong các gói và cố gắng kiểm tra mối tương quan giữa nhiều gói để xác định bất kỳ cuộc tấn công nào như quét cổng, ánh xạ mạng và từ chối dịch vụ, v.v.

Sự khác biệt giữa IDS và IPS

IDS và IPS tương tự nhau trong việc phát hiện các bất thường trong mạng. IDS là một công cụ 'khả năng hiển thị' trong khi IPS được coi là một công cụ 'điều khiển'.

Các Hệ thống Phát hiện Xâm nhập nằm ở bên cạnh mạng, giám sát lưu lượng truy cập tại nhiều điểm khác nhau và cung cấp khả năng hiển thị về trạng thái bảo mật của mạng. Trong trường hợp IDS báo cáo về sự bất thường, các hành động khắc phục được thực hiện bởi quản trị viên mạng hoặc thiết bị khác trên mạng.

Hệ thống ngăn chặn xâm nhập giống như tường lửa và chúng nằm trong hàng giữa hai mạng và kiểm soát lưu lượng truy cập đi qua chúng. Nó thực thi một chính sách cụ thể về phát hiện sự bất thường trong lưu lượng mạng. Nói chung, nó bỏ tất cả các gói và chặn toàn bộ lưu lượng mạng khi nhận thấy điều bất thường cho đến khi quản trị viên giải quyết sự bất thường đó.

Các loại IDS

Có hai loại IDS cơ bản.

• Signature-based IDS

  • Nó cần một cơ sở dữ liệu về các cuộc tấn công đã biết với chữ ký của chúng.

  • Chữ ký được xác định bởi các loại và thứ tự các gói đặc trưng cho một cuộc tấn công cụ thể.

  • Hạn chế của loại IDS này là chỉ có thể phát hiện các cuộc tấn công đã biết. IDS này cũng có thể tạo ra một cảnh báo giả. Báo động giả có thể xảy ra khi một luồng gói bình thường khớp với chữ ký của một cuộc tấn công.

  • Ví dụ về IDS nguồn mở công khai nổi tiếng là IDS “Snort”.

• Anomaly-based IDS

  • Loại IDS này tạo ra một mẫu lưu lượng của hoạt động mạng bình thường.

  • Trong chế độ IDS, nó sẽ xem xét các mẫu lưu lượng truy cập bất thường về mặt thống kê. Ví dụ: tải bất thường ICMP, tốc độ quét cổng tăng theo cấp số nhân, v.v.

  • Phát hiện bất kỳ mô hình giao thông bất thường nào sẽ tạo ra cảnh báo.

  • Thách thức lớn phải đối mặt trong kiểu triển khai IDS này là khó phân biệt giữa lưu lượng bình thường và lưu lượng bất thường.

Tóm lược

Trong chương này, chúng ta đã thảo luận về các cơ chế khác nhau được sử dụng để kiểm soát truy cập mạng. Cách tiếp cận an ninh mạng thông qua kiểm soát truy cập khác về mặt kỹ thuật so với việc triển khai các kiểm soát bảo mật ở các lớp mạng khác nhau đã được thảo luận trong các chương trước của hướng dẫn này. Tuy nhiên, mặc dù các phương pháp thực hiện khác nhau nhưng chúng bổ sung cho nhau.

Kiểm soát truy cập mạng bao gồm hai thành phần chính: xác thực người dùng và bảo vệ ranh giới mạng. RADIUS là một cơ chế phổ biến để cung cấp xác thực trung tâm trong mạng.

Tường lửa cung cấp khả năng bảo vệ ranh giới mạng bằng cách tách mạng nội bộ khỏi Internet công cộng. Tường lửa có thể hoạt động ở các lớp khác nhau của giao thức mạng. IDS / IPS cho phép giám sát các bất thường trong lưu lượng mạng để phát hiện cuộc tấn công và thực hiện các hành động ngăn chặn tương tự.

Thông tin và truyền thông hiệu quả là hai trong những vấn đề chiến lược quan trọng nhất cho sự thành công của mọi doanh nghiệp. Với sự ra đời của các phương tiện giao tiếp và lưu trữ điện tử, ngày càng nhiều doanh nghiệp chuyển sang sử dụng mạng dữ liệu để giao tiếp, lưu trữ thông tin và thu thập tài nguyên. Có nhiều loại và mức độ khác nhau của cơ sở hạ tầng mạng được sử dụng để vận hành doanh nghiệp.

Có thể nói rằng trong thế giới hiện đại, không có gì có ảnh hưởng lớn hơn đến các doanh nghiệp ngoài các máy tính nối mạng. Nhưng kết nối mạng mang theo các mối đe dọa bảo mật, nếu được giảm thiểu, sẽ cho phép lợi ích của việc kết nối mạng lớn hơn rủi ro.

Vai trò của mạng lưới trong kinh doanh

Ngày nay, mạng máy tính được hầu hết các doanh nghiệp xem như một nguồn tài nguyên. Nguồn lực này cho phép họ thu thập, phân tích, tổ chức và phổ biến thông tin cần thiết cho lợi nhuận của họ. Hầu hết các doanh nghiệp đã cài đặt mạng để duy trì tính cạnh tranh.

Vai trò rõ ràng nhất của mạng máy tính là các tổ chức có thể lưu trữ hầu như bất kỳ loại thông tin nào tại một vị trí trung tâm và truy xuất nó ở nơi mong muốn thông qua mạng.

Lợi ích của mạng

Mạng máy tính cho phép mọi người chia sẻ thông tin và ý tưởng dễ dàng, để họ có thể làm việc hiệu quả và năng suất hơn. Mạng cải thiện các hoạt động như mua, bán và dịch vụ khách hàng. Kết nối mạng làm cho các quy trình kinh doanh truyền thống hiệu quả hơn, dễ quản lý hơn và ít tốn kém hơn.

Những lợi ích chính mà một doanh nghiệp thu được từ mạng máy tính là:

• Resource sharing - Một doanh nghiệp có thể giảm số tiền chi cho phần cứng bằng cách chia sẻ các thành phần và thiết bị ngoại vi kết nối với mạng.

• Streamlined business processes - Mạng máy tính cho phép doanh nghiệp hợp lý hóa các quy trình kinh doanh nội bộ của họ.

• Collaboration among departments - Khi hai hoặc nhiều bộ phận kinh doanh kết nối các phần được chọn trong mạng của họ, họ có thể hợp lý hóa các quy trình kinh doanh thường tốn rất nhiều thời gian và công sức và thường gây khó khăn cho việc đạt được năng suất cao hơn.

• Improved Customer Relations - Mạng cung cấp cho khách hàng nhiều lợi ích như thuận tiện trong kinh doanh, đáp ứng dịch vụ nhanh chóng, v.v.

Có nhiều lợi ích kinh doanh cụ thể khác tích lũy từ mạng. Những lợi ích như vậy đã làm cho tất cả các loại hình kinh doanh trở nên cần thiết để áp dụng mạng máy tính.

Sự cần thiết cho An ninh mạng

Các mối đe dọa trên mạng có dây hoặc không dây đã tăng lên đáng kể do sự tiến bộ của công nghệ hiện đại với công suất ngày càng tăng của mạng máy tính. Việc sử dụng Internet quá mức trong thế giới ngày nay cho các giao dịch kinh doanh khác nhau đã đặt ra những thách thức về đánh cắp thông tin và các cuộc tấn công khác vào tài sản trí tuệ của doanh nghiệp.

Trong thời đại hiện nay, hầu hết các hoạt động kinh doanh được thực hiện thông qua ứng dụng mạng, do đó, tất cả các mạng đều có nguy cơ bị tấn công. Hầu hết các mối đe dọa bảo mật phổ biến đối với mạng doanh nghiệp là đánh cắp và đánh cắp dữ liệu cũng như đánh cắp danh tính.

An ninh mạng là một lĩnh vực chuyên biệt nhằm ngăn chặn các mối đe dọa như vậy và cung cấp sự bảo vệ về khả năng sử dụng, độ tin cậy, tính toàn vẹn và an toàn của cơ sở hạ tầng mạng máy tính của một doanh nghiệp.

Tầm quan trọng của An ninh mạng đối với Doanh nghiệp

• Protecting Business Assets- Đây là mục tiêu hàng đầu của an ninh mạng. Tài sản có nghĩa là thông tin được lưu trữ trong mạng máy tính. Thông tin quan trọng và có giá trị như bất kỳ tài sản hữu hình nào khác của công ty. An ninh mạng liên quan đến tính toàn vẹn, bảo vệ và truy cập an toàn thông tin bí mật.

• Compliance with Regulatory Requirements - Các biện pháp an ninh mạng giúp doanh nghiệp tuân thủ các quy định cụ thể của chính phủ và ngành về bảo mật thông tin.

• Secure Collaborative Working- An ninh mạng khuyến khích sự hợp tác của đồng nghiệp và tạo điều kiện giao tiếp với khách hàng và nhà cung cấp bằng cách cung cấp cho họ quyền truy cập mạng an toàn. Nó nâng cao lòng tin của khách hàng và người tiêu dùng rằng thông tin nhạy cảm của họ được bảo vệ.

• Reduced Risk - Việc áp dụng an ninh mạng làm giảm tác động của các vi phạm an ninh, bao gồm cả hành động pháp lý có thể làm phá sản các doanh nghiệp nhỏ.

• Gaining Competitive Advantage- Phát triển một hệ thống bảo mật hiệu quả cho các mạng mang lại lợi thế cạnh tranh cho một tổ chức. Trong lĩnh vực dịch vụ tài chính Internet và thương mại điện tử, an ninh mạng đóng vai trò quan trọng hàng đầu.