text:
Hiển thị kết quả từ 1 đến 10 / 40
-
22-12-2007 15:20 #1Registered User
- Tham gia
- 04-01-2007
- Bài viết
- 94
- Like
- 0
- Thanked 8 Times in 8 Posts
[Wireless LAN]WLAN : Khái niệm , mô hình và tiêu chuẩn
I. GIỚI THIỆU VỀ WIRELESS LAN(WLAN):
I.1. Wireless LAN là gì?
WLAN là một loại mạng máy tính nhưng việc kết nối giữa các thành phần trong mạng không sử dụng các loại cáp như một mạng thông thường, môi trường truyền thông của các thành phần trong mạng là không khí. Các thành phần trong mạng sử dụng sóng điện từ để truyền thông với nhau.
I.2. Lịch sử ra đời:
Công nghệ WLAN lần đầu tiên xuất hiện vào cuối năm 1990, khi những nhà sản xuất giới thiệu những sản phẩm hoạt động trong băng tần 900Mhz. Những giải pháp này (không được thống nhất giữa các nhà sản xuất) cung cấp tốc độ truyền dữ liệu 1Mbps, thấp hơn nhiều so với tốc độ 10Mbps của hầu hết các mạng sử dụng cáp hiện thời.
Năm 1992, những nhà sản xuất bắt đầu bán những sản phẩm WLAN sử dụng băng tần 2.4Ghz. Mặc dầu những sản phẩm này đã có tốc độ truyền dữ liệu cao hơn nhưng chúng vẫn là những giải pháp riêng của mỗi nhà sản xuất không được công bố rộng rãi. Sự cần thiết cho việc hoạt động thống nhất giữa các thiết bị ở những dãy tần số khác nhau dẫn đến một số tổ chức bắt đầu phát triển ra những chuẩn mạng không dây chung.
Năm 1997, Institute of Electrical and Electronics Engineers(IEEE) đã phê chuẩn sự ra đời của chuẩn 802.11, và cũng được biết với tên gọi WIFI (Wireless Fidelity) cho các mạng WLAN. Chuẩn 802.11 hỗ trợ ba phương pháp truyền tín hiệu, trong đó có bao gồm phương pháp truyền tín hiệu vô tuyến ở tần số 2.4Ghz.
Năm 1999, IEEE thông qua hai sự bổ sung cho chuẩn 802.11 là các chuẩn 802.11a và 802.11b (định nghĩa ra những phương pháp truyền tín hiệu). Và những thiết bị WLAN dựa trên chuẩn 802.11b đã nhanh chóng trở thành công nghệ không dây vượt trội. Các thiết bị WLAN 802.11b truyền phát ở tần số 2.4Ghz, cung cấp tốc độ truyền dữ liệu có thể lên tới 11Mbps. IEEE 802.11b được tạo ra nhằm cung cấp những đặc điểm về tính hiệu dụng, thông lượng (throughput) và bảo mật để so sánh với mạng có dây.
Năm 2003, IEEE công bố thêm một sự cải tiến là chuẩn 802.11g mà có thể truyền nhận thông tin ở cả hai dãy tần 2.4Ghz và 5Ghz và có thể nâng tốc độ truyền dữ liệu lên đến 54Mbps. Thêm vào đó, những sản phẩm áp dụng 802.11g cũng có thể tương thích ngược với các thiết bị chuẩn 802.11b. Hiện nay chuẩn 802.11g đã đạt đến tốc độ 108Mbps-300Mbps.
II.CÁC MÔ HÌNH WLAN:
Mạng 802.11 linh hoạt về thiết kế, gồm 3 mô hình mạng sau:
· Mô hình mạng độc lập(IBSSs) hay còn gọi là mạng Ad hoc
· Mô hình mạng cơ sở (BSSs)
· Mô hình mạng mở rộng(ESSs)
Adhoc : wireless clients communicate directly with each other without the use of a wireless AP or a wired network
Ad hoc mode is also called peer-to-peer mode. Wireless clients in ad hoc mode form an Independent Basic Service Set (IBSS), which is two or more wireless clients who communicate directly without the use of a wireless AP.
II.2. MÔ HÌNH MẠNG CƠ SỞ (Basic service sets (BSSs) )
Bao gồm các điểm truy nhập AP (Access Point) gắn với mạng đường trục hữu tuyến và giao tiếp với các thiết bị di động trong vùng phủ sóng của một cell. AP đóng vai trò điều khiển cell và điều khiển lưu lượng tới mạng. Các thiết bị di động không giao tiếp trực tiếp với nhau mà giao tiếp với các AP.Các cell có thể chồng lấn lên nhau khoảng 10-15 % cho phép các trạm di động có thể di chuyển mà không bị mất kết nối vô tuyến và cung cấp vùng phủ sóng với chi phí thấp nhất. Các trạm di động sẽ chọn AP tốt nhất để kết nối. Một điểm truy nhập nằm ở trung tâm có thể điều khiển và phân phối truy nhập cho các nút tranh chấp, cung cấp truy nhập phù hợp với mạng đường trục, ấn định các địa chỉ và các mức ưu tiên, giám sát lưu lượng mạng, quản lý chuyển đi các gói và duy trì theo dõi cấu hình mạng. Tuy nhiên giao thức đa truy nhập tập trung không cho phép các nút di động truyền trực tiếp tới nút khác nằm trong cùng vùng với điểm truy nhập như trong cấu hình mạng WLAN độc lập. Trong trường hợp này, mỗi gói sẽ phải được phát đi 2 lần (từ nút phát gốc và sau đó là điểm truy nhập) trước khi nó tới nút đích, quá trình này sẽ làm giảm hiệu quả truyền dẫn và tăng trễ truyền dẫn.
II.3. MÔ HÌNH MẠNG MỞ RỘNG( Extended Service Set (ESSs))
A set of two or more wireless APs connected to the same wired network is known as an Extended Service Set (ESS).
An ESS is a single logical network segment (also known as a subnet), and is identified by its SSID.
II.4. Ưu điểm của WLAN:
Sự tiện lợi: Mạng không dây cũng như hệ thống mạng thông thường. Nó cho phép người dùng truy xuất tài nguyên mạng ở bất kỳ nơi đâu trong khu vực được triển khai(nhà hay văn phòng). Với sự gia tăng số người sử dụng máy tính xách tay(laptop), đó là một điều rất thuận lợi.
Khả năng di động: Với sự phát triển của các mạng không dây công cộng, người dùng có thể truy cập Internet ở bất cứ đâu. Chẳng hạn ở các quán Cafe, người dùng có thể truy cập Internet không dây miễn phí.
Hiệu quả: Người dùng có thể duy trì kết nối mạng khi họ đi từ nơi này đến nơi khác.
Triển khai: Việc thiết lập hệ thống mạng không dây ban đầu chỉ cần ít nhất 1 access point. Với mạng dùng cáp, phải tốn thêm chi phí và có thể gặp khó khăn trong việc triển khai hệ thống cáp ở nhiều nơi trong tòa nhà.
Khả năng mở rộng: Mạng không dây có thể đáp ứng tức thì khi gia tăng số lượng người dùng. Với hệ thống mạng dùng cáp cần phải gắn thêm cáp
-Bảo mật: Môi trường kết nối không dây là không khí nên khả năng bị tấn công của người dùng là rất cao.
-Phạm vi: Một mạng chuẩn 802.11g với các thiết bị chuẩn chỉ có thể hoạt động tốt trong phạm vi vài chục mét. Nó phù hợp trong 1 căn nhà, nhưngvới một tòa nhà lớn thì không đáp ứng được nhu cầu. Để đáp ứng cần phải mua thêm Repeater hay access point, dẫn đến chi phí gia tăng.
Độ tin cậy: Vì sử dụng sóng vô tuyến để truyền thông nên việc bị nhiễu, tín hiệu bị giảm do tác động của các thiết bị khác(lò vi sóng,….) là không tránh khỏi. Làm giảm đáng kể hiệu quả hoạt động của mạng.
-Tốc độ: Tốc độ của mạng không dây (1- 125 Mbps) rất chậm so với mạng sử dụng cáp(100Mbps đến hàng Gbps).
Comple post III. => Click me
Được sửa bởi tranmyphuc1988 lúc 13:18 ngày 25-12-2007
-
-
24-12-2007 12:29 #2Registered User
- Tham gia
- 04-01-2007
- Bài viết
- 94
- Like
- 0
- Thanked 8 Times in 8 Posts
[next]Các thiết bị hạ tầng mạng không dây
[/SIZE][/FONT]Chương 2I.Các thiết bị hạ tầng mạng không dây(WLAN)CÁC THIẾT BỊ HẠ TẦNG MẠNG KHÔNG DÂY
I.1. Điểm truy cập: AP(access point)
Cung cấp cho các máy khách(client) một điểm truy cập vào mạng "Nơi mà các máy tính dùng wireless có thể vào mạng nội bộ của công ty". AP là một thiết bị song công(Full duplex) có mức độ thông minh tương đương với một chuyển mạch Ethernet phức tạp(Switch).
I.2. Các chế độ hoạt động của AP:
AP có thể giao tiếp với các máy không dây, với mạng có dây truyền thống và với các AP khác. Có 3 Mode hoạt động chính của AP:
-Chế độ gốc (Root mode): Root mode được sử dụng khi AP được kết nối với mạng backbone có dây thông qua giao diện có dây (thường là Ethernet) của nó. Hầu hết các AP sẽ hỗ trợ các mode khác ngoài root mode, tuy nhiên root mode là cấu hình mặc định. Khi một AP được kết nối với phân đoạn có dây thông qua cổng Ethernet của nó, nó sẽ được cấu hình để hoạt động trong root mode. Khi ở trong root mode, các AP được kết nối với cùng một hệ thống phân phối có dây có thể nói chuyện được với nhau thông qua phân đoạn có dây. Các client không dây có thể giao tiếp với các client không dây khác nằm trong những cell (ô tế bào, hay vùng phủ sóng của AP) khác nhau thông qua AP tương ứng mà chúng kết nối vào, sau đó các AP này sẽ giao tiếp với nhau thông qua phân đoạn có dây
-Chế độ cầu nối(bridge Mode): Trong Bridge mode, AP hoạt động hoàn toàn giống với một cầu nối không dây. AP sẽ trở thành một cầu nối không dây khi được cấu hình theo cách này. Chỉ một số ít các AP trên thị trường có hỗ trợ chức năng Bridge, điều này sẽ làm cho thiết bị có giá cao hơn đáng kể. Chúng ta sẽ giải thích một cách ngắn gọn cầu nối không dây hoạt động như thế nào,
Chế độ lặp(repeater mode): AP có khả năng cung cấp một đường kết nối không dây upstream vào mạng có dây thay vì một kết nối có dây bình thường. Một AP hoạt động như là một root AP và AP còn lại hoạt động như là một Repeater không dây. AP trong repeater mode kết nối với các client như là một AP và kết nối với upstream AP như là một client.
Be Continued !!!!.....
-
-
24-12-2007 12:50 #3Registered User
- Tham gia
- 04-01-2007
- Bài viết
- 94
- Like
- 0
- Thanked 8 Times in 8 Posts
-
24-12-2007 12:51 #4
good job, keep it up...
-
27-12-2007 09:26 #5Registered User
- Tham gia
- 04-01-2007
- Bài viết
- 94
- Like
- 0
- Thanked 8 Times in 8 Posts
I.3. Các thiết bị máy khách trong WLAN:
Là những thiết bị WLAN được các máy khách sử dụng để kết nối vào WLAN.
I.3.a.Card PCI Wireless:
Là thành phần phổ biến nhất trong WLAN. Dùng để kết nối các máy khách vào hệ thống mạng không dây. Được cắm vào khe PCI trên máy tính. Loại này được sử dụng phổ biến cho các máy tính để bàn(desktop) kết nối vào mạng không dây.
I.3.b.Card PCMCIA Wireless:
Trước đây được sử dụng trong các máy tính xách tay(laptop) và cácthiết bị hỗ trợ cá nhân số PDA(Personal Digital Associasion). Hiện nay nhờ sự phát triển của công nghệ nên PCMCIA wireless ít được sử dụng vì máy tính xách tay và PDA,…. đều được tích hợp sẵn Card Wireless bên trong thiết bị.
I.3.c.Card USB Wireless:
Loại rất được ưu chuộng hiện nay dành cho các thiết bị kết nối vào mạng không dây vì tính năng di động và nhỏ gọn . Có chức năng tương tự như Card PCI Wireless, nhưng hỗ trợ chuẩn cắm là USB (Universal ****** Bus). Có thể tháo lắp nhanh chóng (không cần phải cắm cố định như Card PCI Wireless) và hỗ trợ cắm khi máy tính đang hoạt động.
More and Professional WiFI=> Click ME!!!
-
-
29-12-2007 11:07 #6Registered User
I.Tại sao phải bảo mật mạng không dây(WLAN)BẢO MẬT MẠNG KHÔNG DÂY
- Tham gia
- 04-01-2007
- Bài viết
- 94
- Like
- 0
- Thanked 8 Times in 8 Posts
Để kết nối tới một mạng LAN hữu tuyến ta cần phải truy cập theo đường truyền bằng dây cáp, phải kết nối một PC vào một cổng mạng. Với mạng không dây ta chỉ cần có máy của ta trong vùng sóng bao phủ của mạng không dây. Điều khiển cho mạng có dây là đơn giản: đường truyền bằng cáp thông thường được đi trong các tòa nhà cao tầng và các port không sử dụng có thể làm cho nó disable bằng các ứng dụng quản lý. Các mạng không dây (hay vô tuyến) sử dụng sóng vô tuyến xuyên qua vật liệu của các tòa nhà và như vậy sự bao phủ là không giới hạn ở bên trong một tòa nhà. Sóng vô tuyến có thể xuất hiện trên đường phố, từ các trạm phát từ các mạng LAN này, và như vậy ai đó có thể truy cập nhờ thiết bị thích hợp. Do đó mạng không dây của một công ty cũng có thể bị truy cập từ bên ngoài tòa nhà công ty của họ.
Để cung cấp mức bảo mật tối thiểu cho mạng WLAN thì ta cần hai thành phần sau:
·Cách thức để xác định ai có quyền sử dụng WLAN - yêu cầu này được thỏa mãn bằng cơ chế xác thực( authentication) .
·Một phương thức để cung cấp tính riêng tư cho các dữ liệu không dây – yêu cầu này được thỏa mãn bằng một thuật toán mã hóa ( encryption).
II.Bảo mật mạng không dây(WLAN)
Một WLAN gồm có 3 phần: Wireless Client, Access Points và Access Server.
+ Wireless Client điển hình là một chiếc laptop với NIC (Network Interface Card) không dây được cài đặt để cho phép truy cập vào mạng không dây.
+ Access Points (AP) cung cấp sự bao phủ của sóng vô tuyến trong một vùng nào đó (được biết đến như là các cell (tế bào)) và kết nối đến mạng không dây.
+ Còn Access Server điều khiển việc truy cập. Một Access Server (như là Enterprise Access Server (EAS) ) cung cấp sự điều khiển, quản lý, các đặc tính bảo mật tiên tiến cho mạng không dây Enterprise
Trong Gateway Mode ( hình 3-4) EAS được đặt ở giữa mạng AP và phần còn lại của mạng Enterprise. Vì vậy EAS điều khiển tất cả các luồng lưu lượng giữa các mạng không dây và có dây và thực hiện như một tường lửa.
Trong Controll Mode (hình 3-3), EAS quản lý các AP và điều khiển việc truy cập đến mạng không dây, nhưng nó không liên quan đến việc truyền tải dữ liệu người dùng. Trong chế độ này, mạng không dây có thể bị phân chia thành mạng dây với firewall thông thường hay tích hợp hoàn toàn trong mạng dây Enterprise. Kiến trúc WLAN hỗ trợ một mô hình bảo mật được thể hiện trên hình 4. Mỗi một phần tử bên trong mô hình đều có thể cấu hình theo người quản lý mạng để thỏa mãn và phù hợp với những gì họ cần.
1.Device Authorization: Các Client không dây có thể bị ngăn chặn theo địa chỉ phần cứng của họ (ví dụ như địa chỉ MAC). EAS duy trì một cơ sở dữ liệu của các Client không dây được cho phép và các AP riêng biệt khóa hay lưu thông lưu lượng phù hợp.
2.Encryption: WLAN cũng hỗ trợ WEP, 3DES và chuẩn TLS(Transport Layer Sercurity) sử dụng mã hóa để tránh người truy cập trộm. Các khóa WEP có thể tạo trên một per-user, per session basic.
3.Authentication: WLAN hỗ trợ sự ủy quyền lẫn nhau (bằng việc sử dụng 802.1x EAP-TLS) để bảo đảm chỉ có các Client không dây được ủy quyền mới được truy cập vào mạng. EAS sử dụng một RADIUS server bên trong cho sự ủy quyền bằng việc sử dụng các chứng chỉ số. Các chứng chỉ số này có thể đạt được từ quyền chứng nhận bên trong (CA) hay được nhập từ một CA bên ngoài. Điều này đã tăng tối đa sự bảo mật và giảm tối thiểu các thủ tục hành chính.
4.Firewall: EAS hợp nhất packet filtering và port blocking firewall dựa trên các chuỗi IP. Việc cấu hình từ trước cho phép các loại lưu lượng chung được enable hay disable.
5.VPN: EAS bao gồm một IPSec VPN server cho phép các Client không dây thiết lập các session VPN vững chắc trên mạng.
-
-
30-12-2007 14:00 #7Registered User
- Tham gia
- 04-01-2007
- Bài viết
- 94
- Like
- 0
- Thanked 8 Times in 8 Posts
III. MÃ HÓA
Mã hóa là biến đổi dữ liệu để chỉ có các thành phần được xác nhận mới có thể giải mã được nó. Quá trình mã hóa là kết hợp plaintext với một khóa để tạo thành văn bản mật (Ciphertext). Sự giải mã được bằng cách kết hợp Ciphertext với khóa để tái tạo lại plaintext gốc như hình 3-6. Quá trình xắp xếp và phân bố các khóa gọi là sự quản lý khóa.
Có hai loại mật mã:
•Mật mã dòng (stream ciphers)
•Mật mã khối ( block ciphers)
Mật mã dòng phương thức mã hóa theo từng bit, mật mã dòng phát sinh chuỗi khóa liên tục dựa trên giá trị của khóa, ví dụ một mật mã dòng có thể sinh ra một chuỗi khóa dài 15 byte để mã hóa một frame và môt chuỗi khóa khác dài 200 byte để mã hóa một frame khác.
Mật mã dòng là một thuật toán mã hóa rất hiệu quả, ít tiêu tốn tài nguyên (CPU).Ngược lại, mật mã khối sinh ra một chuỗi khóa duy nhất và có kích thước cố định(64 hoặc 128 bit). Chuỗi kí tự chưa được mã hóa( plaintext) sẽ được phân mảnh thành những khối(block) và mỗi khối sẽ được trộn với chuỗi khóa một cách độc lập. Nếu như khối plaintext nhỏ hơn khối chuỗi khóa thì plaintext sẽ được đệm thêm vào để có được kích thước thích hợp. Tiến trình phân mảnh cùng với một số thao tác khác của mật mã khối sẽ làm tiêu tốn nhiều tài nguyên CPU.
Tiến trình mã hóa dòng và mã hóa khối còn được gọi là chế độ mã hóa khối mã điện tử ECB ( Electronic Code Block). Chế độ mã hóa này có đặc điểm là cùng một đầu vào plaintext ( input plain) sẽ luôn luôn sinh ra cùng một đầu ra ciphertext (output ciphertext). Đây chính là yếu tố mà kẻ tấn công có thể lợi dụng để nhận dạng của ciphertext và đoán được plaintext ban đầu.
Một số kỹ thuật mã hóa có thể khắc phục được vấn đề trên:
•Sử dụng vector khởi tạo IV ( Initialization Vector)
•Chế độ phản hồi (FeedBack)
Vector khởi tạo IV là một số được thêm vào khóa và làm thay đổi khóa . IV được nối vào khóa trước khi chuỗi khóa được sinh ra, khi IV thay đổi thì chuỗi khóa cũng sẽ thay đổi theo và kết quả là ta sẽ có ciphertext khác nhau. Ta nên thay đổi giá trị IV theo từng frame. Theo cách này nếu một frame được truyền 2 lần thì chúng ta sẽ có 2 ciphertext hoàn toàn khác nhau cho từng frame.
a)Chế độ phản hồi (Feedback Modes)
Chế độ phản hồi cải tiến quá trình mã hóa để tránh việc một plaintext sinh ra cùng một ciphertext trong suốt quá trình mã hóa. Chế độ phản hồi thường được sử dụng với mật mã khối.
b)Thuật toán WEP(Wired Equivalent Privacy )
Chuẩn 802.11 cung cấp tính riêng tư cho dữ liệu bằng thuật toán WEP. WEP dựa trên mật mã dòng đối xứng RC4( Ron’s code 4) được Ron Rivest thuộc hãng RSA Security Inc phát triển..Thuật toán mã hóa RC4 là thuật toán mã hóa đối xứng( thuật toán sử dụng cùng một khóa cho việc mã hóa và giải mã). WEP là thuật toán mã hóa được sử dụng bởi tiến trình xác thực khóa chia sẻ để xác thực người dùng và mã hóa dữ liệu trên phân đoạn mạng không dây.
Để tránh chế độ ECB(Electronic Code Block) trong quá trình mã hóa, WEP sử dụng 24 bit IV, nó được kết nối vào khóa WEP trước khi được xử lý bởi RC4. Giá trị IV phải được thay đổi theo từng frame để tránh hiện tượng xung đột. Hiện tượng xung đột IV xảy ra khi sử dụng cùng một IV và khóa WEP kết quả là cùng một chuỗi khóa được sử dụng để mã hóa frame.
Chuẩn 802.11 yêu cầu khóa WEP phải được cấu hình trên cả client và AP khớp với nhau thì chúng mới có thể truyền thông được. Mã hóa WEP chỉ được sử dụng cho các frame dữ liệu trong suốt tiến trình xác thực khóa chia sẻ. WEP mã hóa những trường sau đây trong frame dữ liệu:
•Phần dữ liệu (payload)
•Giá trị kiểm tra tính toàn vẹn của dữ liệu ICV (Integrity Check value)
Ngoài việc mã hóa dữ liệu 802.11 cung cấp một giá trị 32 bit ICV có chức năng kiểm tra tính toàn vẹn của frame. Việc kiểm tra này cho trạm thu biết rằng frame đã được truyền mà không có lỗi nào xảy ra trong suốt quá trình truyền.
ICV được tính dựa vào phương pháp kiểm tra lỗi bits CRC-32( Cyclic Redundancy Check 32). Trạm phát sẽ tính toán giá trị và đặt kết quả vào trong trường ICV, ICV sẽ được mã hóa cùng với frame dữ liệu.
Trạm thu sau nhận frame sẽ thực hiện giải mã frame, tính toán lại giá trị ICV và so sánh với giá trị ICV đã được trạm phát tính toán trong frame nhận được. Nếu 2 giá trị trùng nhau thì frame xem như chưa bị thay đổi hay giả mạo, nếu giá trị không khớp nhau thì frame đó sẽ bị hủy bỏ.
Do WEP sử dụng RC4, nếu RC4 được cài đặt không thích hợp thì sẽ tạo nên một giải pháp bảo mật kém. Cả khóa WEP 64 bit và 128 bit đều có mức độ yếu kém như nhau trong việc cài đặt 24 bit IV và cùng sử dụng tiến trình mã hóa có nhiều lỗ hỏng. Tiến trình này khởi tạo giá trị ban đầu cho IV là 0, sau đó tăng lên 1 cho mỗi frame được truyền. Trong một mạng thường xuyên bị nghẽn, những phân tích thống kê cho thấy rằng tất cả các giá trị IV(224 )sẽ được sử dụng hết trong nửa ngày. Điều này có nghĩa là sẽ khởi tạo lại giá trị IV ban đầu là 0 ít nhất một lần trong ngày. Đây chính là lổ hỏng cho các hacker tấn công. Khi WEP được sử dụng, IV sẽ được truyền đi mà không mã hóa cùng với mỗi gói tin đã được mã hóa cách làm này tạo ra những lỗ hỏng bảo mật sau:
• Tấn công bị động để giải mã lưu lượng, bằng cách sử dụng những phân tích thống kê, khóa WEP có thể bị giải mã
• Dùng các phần mềm miễn phí để tìm kiếm khóa WEP như là: AirCrack , AirSnort, dWepCrack, WepAttack, WepCrack, WepLab. Khi khóa WEP đã bị ***** thì việc giải mã các gói tin có thể được thực hiện bằng cách lắng nghe các gói tin đã được quảng bá, sau đó dùng khóa WEP để giải mã chúng.
Chức năng chính của WEP là dựa trên khóa, là yếu tố cơ bản cho thuật toán mã hóa. Khóa WEP là một chuỗi kí tự và số được sử dụng theo 2 cách: -Khóa WEP được sử dụng để định danh xác thực client -Khóa WEP được dùng để mã hóa dữ liệu Khi client sử dụng WEP muốn kết nối với AP thì AP sẽ xác định xem client có giá trị khóa chính xác hay không? Chính xác ở đây có nghĩa là client đã có khóa là một phần của hệ thống phân phát khóa WEP được cài đặt trong WLAN. Khóa WEP phải khớp ở cả hai đầu xác thực client và AP. Hầu hết các AP và client có khả năng lưu trữ 4 khóa WEP đồng thời. Một lý do hữa ích của việc sử dụng nhiều khóa WEP chính là phân đoạn mạng. Giả sử mạng có 80 client thì ta sử dụng 4 khóa WEP cho 4 nhóm khác nhau thay vì sử dụng 1 khóa. Nếu khóa WEP bị ***** thì ta chỉ cần thay đổi khóa WEP cho 20 client thay vì phải thay đổi cho toàn bộ mạng.Một lí do khác để có nhiều khóa WEP là trong môi trường hỗn hợp có card hỗ trợ 128 bit và có card chỉ hỗ trợ 64 bit. Trong trường hợp này chúng ta có thể phân ra hai nhóm người dùng.
vGiải pháp WEP tối ưu:
Với những điểm yếu nghiêm trọng của WEP và sự phát tán rộng rãi của các công cụ dò tìm khóa WEP trên Internet, giao thức này không còn là giải pháp bảo mật được chọn cho các mạng có mức độ nhạy cảm thông tin cao. Tuy nhiên, trong rất nhiều các thiết bị mạng không dây hiện nay, giải pháp bảo mật dữ liệu được hỗ trợ phổ biến vẫn là WEP. Dù sao đi nữa, các lỗ hổng của WEP vẫn có thể được giảm thiểu nếu được cấu hình đúng, đồng thời sử dụng các biện pháp an ninh khác mang tính chất hỗ trợ. Để gia tăng mức độ bảo mật cho WEP và gây khó khăn cho hacker, các biện pháp sau được đề nghị:- Sử dụng khóa WEP có độ dài 128 bit: Thường các thiết bị WEP cho phép cấu hình khóa ở ba độ dài: 40 bit, 64 bit, 128 bit. Sử dụng khóa với độ dài 128 bit gia tăng số lượng gói dữ liệu hacker cần phải có để phân tích IV, gây khó khăn và kéo dài thời gian giải mã khóa WEP
- Thực thi chính sách thay đổi khóa WEP định kỳ: Do WEP không hỗ trợ phương thức thay đổi khóa tự động nên sự thay đổi khóa định kỳ sẽ gây khó khăn cho người sử dụng. Tuy nhiên, nếu không đổi khóa WEP thường xuyên thì cũng nên thực hiện ít nhất một lần trong tháng hoặc khi nghi ngờ có khả năng bị lộ khóa.
- Sử dụng các công cụ theo dõi số liệu thống kê dữ liệu trên đường truyền không dây: Do các công cụ dò khóa WEP cần bắt được số lượng lớn gói dữ liệu và hacker có thể phải sử dụng các công cụ phát sinh dữ liệu nên sự đột biến về lưu lượng dữ liệu có thể là dấu hiệu của một cuộc tấn công WEP, đánh động người quản trị mạng phát hiện và áp dụng các biện pháp phòng chống kịp thời.
Để tiện cho việc hệ thống lại những tại liệu đăng trong mục này, bạn có thể down file đính kèm sẽ được khởi đăng tại mục này ngay sau bài viết và mục tài liệu tiếng việt tại Đây
Chúc các bạn luôn vui!!!
Next : IV./ Các giải pháp bảo mật nổi bật :
-
-
03-01-2008 23:09 #8Registered User
- Tham gia
- 04-01-2007
- Bài viết
- 94
- Like
- 0
- Thanked 8 Times in 8 Posts
IV. Các giải pháp bảo mật nổi bật:
IV.1. WLAN VPN:
Mạng riêng ảo VPN bảo vệ mạng WLAN bằng cách tạo ra một kênh che chắn dữ liệu khỏi các truy cập trái phép. VPN tạo ra một tin cậy cao thông qua việc sử dụng một cơ chế bảo mật như IPSec (Internet Protocol Security). IPSec dùng các thuật toán mạnh như Data Encryption Standard (DES) và Triple DES (3DES) để mã hóa dữ liệu, và dùng các thuật toán khác để xác thực gói dữ liệu. IPSec cũng sử dụng thẻ xác nhận số để xác nhận khóa mã (public key). Khi được sử dụng trên mạng WLAN, cổng kết nối của VPN đảm nhận việc xác thực, đóng gói và mã hóa.
IV.2. TKIP (Temporal Key Integrity Protocol)
Là giải pháp của IEEE được phát triển năm 2004. Là một nâng cấp cho WEP nhằm vá những vấn đề bảo mật trong cài đặt mã dòng RC4 trong WEP. TKIP dùng hàm băm(hashing) IV để chống lại việc giả mạo gói tin, nó cũng cung cấp phương thức để kiểm tra tính toàn vẹn của thông điệp MIC(message integrity check ) để đảm bảo tính chính xác của gói tin. TKIP sử dụng khóa động bằng cách đặt cho mỗi frame một chuỗi số riêng để chống lại dạng tấn công giả mạo.
IV.3. AES(Advanced Encryption Standard)
Là một chức năng mã hóa được phê chuẩn bởi NIST(Nation Instutute of Standard and Technology). IEEE đã thiết kế một chế độ cho AES để đáp ứng nhu cầu của mạng WLAN. Chế độ này được gọi là CBC-CTR(Cipher Block Chaining Counter Mode) với CBC-MAC(Cipher Block Chaining Message Authenticity Check). Tổ hợp của chúng được gọi là AES-CCM . Chế độ CCM là sự kết hợp của mã hóa CBC-CTR và thuật toán xác thực thông điệp CBC-MAC. Sự kết hợp này cung cấp cả việc mã hóa cũng như kiểm tra tính toàn vẹn của dữ liệu gửi.
Mã hóa CBC-CTR sử dụng một biến đếm để bổ sung cho chuỗi khóa. Biến đếm sẽ tăng lên 1 sao khi mã hóa cho mỗi khối(block). Tiến trình này đảm bảo chỉ có duy nhất một khóa cho mỗi khối. Chuỗi ký tự chưa được mã hóa sẽ được phân mảnh ra thành các khối 16 byte.
CBC-MAC hoạt động bằng cách sử dụng kết quả của mã hóa CBC cùng với chiều dài frame, địa chỉ nguồn, địa chỉ đích và dữ liệu. Kết quả sẽ cho ra giá trị 128 bit và được cắt thành 64 bit để sử dụng lúc truyền thông.
AES-CCM yêu cầu chi phí khá lớn cho cả quá trình mã hóa và kiểm tra tính toàn vẹn của dữ liệu gửi nên tiêu tốn rất nhiều năng lực xữ lý của CPU khá lớn.
IV.4. 802.1x và EAP
802.1x là chuẩn đặc tả cho việc truy cập dựa trên cổng(port-based) được định nghĩa bởi IEEE. Hoạt động trên cả môi trường có dây truyền thống và không dây. Việc điều khiển truy cập được thực hiện bằng cách:Khi một người dùng cố gắng kết nối vào hệ thống mạng, kết nối của người dùng sẽ được đặt ở trạng thái bị chặn(blocking) và chờ cho việc kiểm tra định danh người dùng hoàn tất.
EAP là phương thức xác thực bao gồm yêu cầu định danh người dùng(password, cetificate,…), giao thức được sử dụng(MD5, TLS_Transport Layer Security, OTP_ One Time Password,…) hỗ trợ tự động sinh khóa và xác thực lẫn nhau.
Mô hình xác thực 802.1X-EAP cho Client diễn ra như sau:
IV.5. WPA (Wi-Fi Protected Access)
WEP được xây dựng để bảo vệ một mạng không dây tránh bị nghe trộm. Nhưng nhanh chóng sau đó người ta phát hiện ra nhiều lổ hỏng ở công nghệ này. Do đó, công nghệ mới có tên gọi WPA (Wi-Fi Protected Access) ra đời, khắc phục được nhiều nhược điểm của WEP.
Trong những cải tiến quan trọng nhất của WPA là sử dụng hàm thay đổi khoá TKIP (Temporal Key Integrity Protocol). WPA cũng sử dụng thuật toán RC4 như WEP, nhưng mã hoá đầy đủ 128 bit. Và một đặc điểm khác là WPA thay đổi khoá cho mỗi gói tin. Các công cụ thu thập các gói tin để phá khoá mã hoá đều không thể thực hiện được với WPA. Bởi WPA thay đổi khoá liên tục nên hacker không bao giờ thu thập đủ dữ liệu mẫu để tìm ra mật khẩu.
Không những thế, WPA còn bao gồm kiểm tra tính toàn vẹn của thông tin (Message Integrity Check). Vì vậy, dữ liệu không thể bị thay đổi trong khi đang ở trên đường truyền. WPA có sẵn 2 lựa chọn: WPA Personal và WPA Enterprise. Cả 2 lựa chọn đều sử dụng giao thức TKIP, và sự khác biệt chỉ là khoá khởi tạo mã hoá lúc đầu. WPA Personal thích hợp cho gia đình và mạng văn phòng nhỏ, khoá khởi tạo sẽ được sử dụng tại các điểm truy cập và thiết bị máy trạm.
Trong khi đó, WPA cho doanh nghiệp cần một máy chủ xác thực và 802.1x để cung cấp các khoá khởi tạo cho mỗi phiên làm việc.
Có một lỗ hổng trong WPA và lỗi này chỉ xảy ra với WPA Personal. Khi mà sử dụng hàm thay đổi khoá TKIP được sử dụng để tạo ra các khoá mã hoá bị phát hiện, nếu hacker có thể đoán được khoá khởi tạo hoặc một phần của mật khẩu, họ có thể xác định được toàn bộ mật khẩu, do đó có thể giải mã được dữ liệu. Tuy nhiên, lỗ hổng này cũng sẽ bị loại bỏ bằng cách sử dụng những khoá khởi tạo không dễ đoán (đừng sử dụng những từ như "PASSWORD" để làm mật khẩu).Điều này cũng có nghĩa rằng kỹ thuật TKIP của WPA chỉ là giải pháp tạm thời, chưa cung cấp một phương thức bảo mật cao nhất. WPA chỉ thích hợp với những công ty mà không truyền dữ liệu "mật" về những thương mại, hay các thông tin nhạy cảm... WPA cũng thích hợp với những hoạt động hàng ngày và mang tính thử nghiệm công nghệ.
Một giải pháp về lâu dài là sử dụng 802.11i tương đương với WPA2, được chứng nhận bởi Wi-Fi Alliance. Chuẩn này sử dụng thuật toán mã hoá mạnh mẽ và được gọi là Chuẩn mã hoá nâng cao AES(Advanced Encryption Standard). AES sử dụng thuật toán mã hoá đối xứng theo khối Rijndael, sử dụng khối mã hoá 128 bit, và 192 bit hoặc 256 bit. Để đánh giá chuẩn mã hoá này, Viện nghiên cứu quốc gia về Chuẩn và Công nghệ của Mỹ, NIST (National Institute of Standards and Technology), đã thông qua thuật toán mã đối xứng này.Và chuẩn mã hoá này được sử dụng cho các cơ quan chính phủ Mỹ để bảo vệ các thông tin nhạy cảm.
IV.7. Lọc (Filtering)
Lọc là cơ chế bảo mật cơ bản có thể sử dụng cùng với WEP. Lọc hoạt động giống như Access list trên router, cấm những cái không mong muốn và cho phép những cái mong muốn. Có 3 kiểu lọc cơ bản có thể được sử dụng trong wireless lan:
- Lọc SSID
- Lọc địa chỉ MAC
- Lọc giao thức
Lọc SSID là một phương thức cơ bản của lọc và chỉ nên được sử dụng cho việc điều khiển truy cập cơ bản.
+ Sử dụng giá trị SSID mặc định tạo điều kiện cho hacker dò tìm địa chỉ MAC của AP.
+ Sử dụng SSID có liên quan đến công ty.
+ Sử dụng SSID như là phương thức bảo mật của công ty.
+ Quảng bá SSID một cách không cần thiết.
Hầu hết các AP đều có chức năng lọc địa chỉ MAC. Người quản trị có thể xây dựng danh sách các địa chỉ MAC được cho phép.
Nếu client có địa chỉ MAC không nằm trong danh sách lọc địa chỉ MAC của AP thì AP sẽ ngăn chặn không cho phép client đó kết nối vào mạng.
Nếu công ty có nhiều client thì có thể xây dựng máy chủ RADIUS có chức năng lọc địa chỉ MAC thay vì AP. Cấu hình lọc địa chỉ MAC là giải pháp bảo mật có tính mở rộng cao.
c) Lọc giao thức
Mạng Lan không dây có thể lọc các gói đi qua mạng dựa trên các giao thức từ lớp 2 đến lớp 7. Trong nhiều trường hợp người quản trị nên cài đặt lọc giao thức trong môi trường dùng chung, ví dụ trong trường hợp sau:
Có một nhóm cầu nối không dây được đặt trên một Remote building trong một mạng WLAN của một trường đại học mà kết nối lại tới AP của tòa nhà kỹ thuật trung tâm. Vì tất cả những người sử dụng trong remote building chia sẻ băng thông 5Mbs giữa những tòa nhà này, nên một số lượng đáng kể các điều khiển trên các sử dụng này phải được thực hiện. Nếu các kết nối này được cài đặt với mục đích đặc biệt của sự truy nhập internet của người sử dụng, thì bộ lọc giao thức sẽ loại trừ tất cả các giao thức, ngoại trừ HTTP, SMTP, HTTPS, FTP…
Next [CÁC KIỂU TẤN CÔNG TRONG MẠNG WLAN]=> Be continued!!!...
Mọi thắc mắc về bài viết trên cảm phiền các bạn liên hệ tại forum :www.wifipro.org
-
-
06-01-2008 16:43 #9Registered User
- Tham gia
- 04-01-2007
- Bài viết
- 94
- Like
- 0
- Thanked 8 Times in 8 Posts
V.CÁC KIỂU TẤN CÔNG TRONG MẠNG WLAN
Một số hình tấn công xâm nhập mạng không dây phổ biến:
V.1. ROGUE ACCESS POINT
1.Định nghĩa:
Access Point giả mạo được dùng để mô tả những Access Point được tạo ra một cách vô tình hay cố ý làm ảnh hưởng đến hệ thống mạng hiện có. Nó được dùng để chỉ các thiết bị hoạt động không dây trái phép mà không quan tâm đến mục đích sử dụng của chúng.
2.Phân loại:
a)Access Point được cấu hình không hoàn chỉnh
Một Access Point có thể bất ngờ trở thành 1 thiết bị giả mạo do sai sót trong việc cấu hình. Sự thay đổi trong Service Set Identifier(SSID), thiết lập xác thực, thiết lập mã hóa,… điều nghiêm trọng nhất là chúng sẽ không thể chứng thực các kết nối nếu bị cấu hình sai.
Ví dụ: trong trạng thái xác thực mở(open mode authentication) các người dùng không dây ở trạng thái 1(chưa xác thực và chưa kết nối) có thể gửi các yêu cầu xác thực đến một Access Point và được xác thực thành công sẽ chuyển sang trang thái 2 (được xác thực nhưng chưa kết nối). Nếu 1 Access Point không xác nhận sự hợp lệ của một máy khách do lỗi trong cấu hình, kẻ tấn công có thể gửi một số lượng lớn yêu cầu xác thực, làm tràn bảng yêu cầu kết nối của các máy khách ở Access Point , làm cho Access Point từ chối truy cập của các người dùng khác bao gồm cả người dùng được phép truy cập.
b)Access Point giả mạo từ các mạng WLAN lân cận
Các máy khách theo chuẩn 802.11 tự động chọn Access Point có sóng mạnh nhất mà nó phát hiện được để kết nối.
Ví dụ: Windows XP tự động kết nối đến kết nối tốt nhất có thể xung quanh nó. Vì vậy, những người dùng được xác thực của một tổ chức có thể kết nối đến các Access Point của các tổ chức khác lân cận. Mặc dù các Access Point lân cận không cố ý thu hút kết nối từ các người dùng, những kết nối đó vô tình để lộ những dữ liệu nhạy cảm.
c)Access Point giả mạo do kẻ tấn công tạo ra
Giả mạo AP là kiểu tấn công “man in the middle” cổ điển. Đây là kiểu tấn công mà tin tặc đứng ở giữa và trộm lưu lượng truyền giữa 2 nút. Kiểu tấn công này rất mạnh vì tin tặc có thể trộm tất cả lưu lượng đi qua mạng.
Rất khó khăn để tạo một cuộc tấn công “man in the middle” trong mạng có dây bởi vì kiểu tấn công này yêu cầu truy cập thực sự đến đường truyền. Trong mạng không dây thì lại rất dễ bị tấn công kiểu này. Tin tặc cần phải tạo ra một AP thu hút nhiều sự lựa chọn hơn AP chính thống. AP giả này có thể được thiết lập bằng cách sao chép tất cả các cấu hình của AP chính thống đó là: SSID, địa chỉ MAC v.v..Bước tiếp theo là làm cho nạn nhân thực hiện kết nối tới AP giả.
-Cách thứ nhất là đợi cho nguời dùng tự kết nối.
-Cách thứ hai là gây ra một cuộc tấn công từ chối dịch vụ DoS trong AP chính thống do vậy nguời dùng sẽ phải kết nối lại với AP giả.
d)Access Point giả mạo được thiết lập bởi chính nhân viên của công ty
Vì sự tiện lợi của mạng không dây một số nhân viên của công ty đã tự trang bị Access Point và kết nối chúng vào mạng có dây của công ty. Do không hiểu rõ và nắm vững về bảo mật trong mạng không dây nên họ vô tình tạo ra một lỗ hỏng lớn về bảo mật. Những người lạ vào công ty và hacker bên ngoài có thể kết nối đến Access Point không được xác thực để đánh cắp băng thông, đánh cắp thông tin nhạy cảm của công ty, sự dụng hệ thống mạng của công ty tấn công người khác,…
V.2. De-authentication Flood Attack(tấn công yêu cầu xác thực lại )
-Kẻ tấn công xác định mục tiêu tấn công là các người dùng trong mạng wireless và các kết nối của họ(Access Point đến các kết nối của nó).
-Chèn các frame yêu cầu xác thực lại vào mạng WLAN bằng cách giả mạo địa chỉ MAC nguồn và đích lần lượt của Access Point và các người dùng.
-Người dùng wireless khi nhận được frame yêu cầu xác thực lại thì nghĩ rằng chúng do Access Point gửi đến.
-Sau khi ngắt được một người dùng ra khỏi dịch vụ không dây, kẻ tấn công tiếp tục thực hiện tương tự đối với các người dùng còn lại.
-Thông thường người dùng sẽ kết nối lại để phục hồi dịch vụ, nhưng kẻ tấn công đã nhanh chóng tiếp tục gửi các gói yêu cầu xác thực lại cho người dùng.
Kẻ tấn công sử dụng công cụ có khả năng gửi các gói beacon với địa chỉ vật lý(MAC) giả mạo và SSID giả để tạo ra vô số Access Point giả lập.Điều này làm xáo trộn tất cả các phần mềm điều khiển card mạng không dây của người dùng.
V.4. Tấn công dựa trên sự cảm nhận sóng mang lớp vật lý
Ta có thể hiểu nôm na là : Kẻ tất công lợi dụng giao thức chống đụng độ CSMA/CA, tức là nó sẽ làm cho tất cả ngừơi dùng nghĩ rằng lúc nào trong mạng cũng có 1 máy tính đang truyền thông. Điều này làm cho các máy tính khác luôn luôn ở trạng thái chờ đợi kẻ tấn công ấy truyền dữ liệu xong => dẫn đến tình trạng ngẽn trong mạng.
V.5. Tấn công ngắt kết nối (Disassociation flood attack)
-Kẻ tấn công xác định mục tiêu ( wireless clients ) và mối liên kết giữa AP với các clients
-Kẻ tấn công gửi disassociation frame bằng cách giả mạo Source và Destination MAC đến AP và các client tương ứng
-Client sẽ nhận các frame này và nghĩ rằng frame hủy kết nối đến từ AP. Đồng thời kẻ tấn công cũng gởi disassociation frame đến AP.
-Sau khi đã ngắt kết nối của một client, kẻ tấn công tiếp tục thực hiện tương tự với các client còn lại làm cho các client tự động ngắt kết nối với AP.
-Khi các clients bị ngắt kết nối sẽ thực hiện kết nối lại với AP ngay lập tức. Kẻ tấn công tiếp tục gởi disassociation frame đến AP và clientTips : Có thể ta sẽ rất dễ nhầm lẫn giữa 2 kiều tấn công :Disassociation flood attack và De-authentication Flood Attack .
Giống nhau : về hình thức tấn công , có thể cho rằng chúng giống nhau vì nó giống như một đại bác 2 nòng , vừa tấn công Access Point vừa tấn công Client. Và quan trọng hơn hết , chúng "nả pháo" liên tục.
Khác nhau :
+ De-authentication Flood Attack : yêu cầu cả AP và client gởi lại frame xác thực=> xác thực failed
+ Disassociation flood attack : gởi disassociation frame làm cho AP và client tin tưởng rằng kết nối giữa chúng đã bị ngắt.
Câu hỏi đặt ra cho chúng ta bây giờ là : Kẻ tất công có thể dùng rất nhiều hành động đánh lừa cả Client và Access Point , vậy chúng ta sẽ phải làm gì để biết được "Bộ mặt thật của chúng cũng như cách phòng tránh". Các bạn xin vui lòng chuyển qua chương kế tiếp :Chương 4: TÌM HIỂU VỀ IDS (Hệ thống phát hiện xâm nhập) VÀ IDS TRONG MẠNG KHÔNG DÂY
Mọi thắc mắc về bài viết trên cảm phiền các bạn liên hệ tại forum :www.wifipro.org
-
-
08-01-2008 21:22 #10Registered User
Chương 4I. IDS(Intrusion Detection Systems)TÌM HIỂU VỀ IDS VÀ IDS TRONG MẠNG KHÔNG DÂY
- Tham gia
- 04-01-2007
- Bài viết
- 94
- Like
- 0
- Thanked 8 Times in 8 Posts
I.1. Khái niệm về IDS
IDS(Intrusion Detection System_ hệ thống phát hiện xâm nhập) là một thống giám sát lưu thông mạng, các hoạt động khả nghi và cảnh báo cho hệ thống, nhà quản trị . Ngoài ra IDS cũng đảm nhận việc phản ứng lại với các lưu thông bất thường hay có hại bằng cách hành động đã được thiết lập trước như khóa người dùng hay địa chỉ IP nguồn đó truy cập hệ thống mạng,…..
IDS cũng có thể phân biệt giữa những tấn công bên trong từ bên trong (từ những người trong công ty) hay tấn công từ bên ngoài (từ các hacker). IDS phát hiện dựa trên các dấu hiệu đặc biệt về các nguy cơ đã biết (giống như cách các phần mềm diệt virus dựa vào các dấu hiệu đặc biệt để phát hiện và diệt virus) hay dựa trên so sánh lưu thông mạng hiện tại với baseline(thông số đo đạc chuẩn của hệ thống) để tìm ra các dấu hiệu khác thường.
Ta có thể hiểu tóm tắt về IDS như sau :
+ Chức năng quan trọng nhất : giám sát -cảnh báo - bảo vệ
--------Giám sát : lưu lượng mạng + các hoạt động khả nghi.
--------Cảnh báo : báo cáo về tình trạng mạng cho hệ thống + nhà quản trị.
-------- Bảo vệ : Dùng những thiết lập mặc định và sự cấu hình từ nhà quản trị mà có những hành động thiết thực chống lại kẻ xâm nhập và phá hoại.
+ Chức năng mở rộng :
------- Phân biệt : "thù trong giặc ngoài"
------- Phát hiện : những dấu hiệu bất thường dựa trên những gì đã biết hoặc nhờ vào sự so sánh thông lượng mạng hiện tại với baseline
I.2. Phân loại IDS
Có 2 loại IDS là Network Based IDS(NIDS) và Host Based IDS (HIDS):
I.2.1. NIDS :
Được đặt giữa kết nối hệ thống mạng bên trong và mạng bên ngoài để giám sát toàn bộ lưu lượng vào ra.
Có thể là một thiết bị phần cứng riêng biệt được thiết lập sẵn hay phần mềm cài đặt trên máy tính. Chủ yếu dùng để đo lưu lượng mạng được sử dụng.Tuy nhiên có thể xảy ra hiện tượng nghẽn cổ chai khi lưu lượng mạng hoạt động ở mức cao.
NIDS :
------Ví trí : mạng bên trong --NIDS---mạng bên ngoài
------Loại : hardware (phần cứng) hoặc software (phần mềm)
------Nhiệm vụ : chủ yếu giám sát lưu lượng ra vào mạng.
------Nhược điểm : Có thể xảy ra hiện tượng nghẽn khi lưu lượng mạng hoạt động ờ mức cao.
Một số sản phẩm NIDS :
-Cisco IDS
http://www.cisco.com/en/US/products/...113/index.html
-Dragon® IDS/IPS
http://www.enterasys.com/products/ad...rotection.aspx
I.2.2. HIDS
Được cài đặt cục bộ trên một máy tính làm cho nó trở nên linh hoạt hơn nhiều so với NIDS. Kiểm soát lưu lượng vào ra trên một máy tính, có thể được triển khai trên nhiều máy tính trong hệ thống mạng. HIDS có thể được cài đặt trên nhiều dạng máy tính khác nhau cụ thể như các máy chủ, máy trạm, máy tính xách tay. HIDS cho phép bạn thực hiện một cách linh hoạt trong các đoạn mạng mà NIDS không thể thực hiện được. Lưu lượng đã gửi tới máy tính HIDS được phân tích và chuyển qua nếu chúng không chứa mã nguy hiểm. HIDS được thiết kế hoạt động chủ yếu trên hệ điều hành Windows , mặc dù vậy vẫn có các sản phẩm hoạt động trong nền ứng dụng UNIX và nhiều hệ điều hành khác.
HIDS :
------Ví trí : cài đặt cục bộ trên máy tính và dạng máy tính => linh hoạt hơn NIDS.
------Loại : software (phần mềm)
------Nhiệm vụ : phân tích lưu lượng ra vào mạng chuyển tới máy tính cài đặt HIDS
------Ưu điểm :
----------------+ Cài đặt trên nhiều dạng máy tính : xách tay, PC,máy chủ ...
----------------+ Phân tích lưu lượng mạng rồi mới forward.
------Nhược điểm : Đa số chạy trên hệ điều hành Window . Tuy nhiên cũng đã có 1 số chạy được trên Unix và những hệ điều hành khác.
Một số sản phẩm HIDS :
-Snort(Miễn phí_ open source)
Liên hệ: http://www.snort.org/
-GFI EventsManager 7
Liên hệ: http://www.gfi.com/lanselm/?adv=142&...ickid=13108213
-ELM 5.0 TNT software:
Liên hệ: http://www.tntsoftware.com/default.aspx
I.3. Các kỹ thuật xử lý dữ liệu được sử dụng trong các hệ thống phát hiện xâm nhập:
Phụ thuộc vào kiểu phương pháp được sử dụng để phát hiện xâm nhập, các cơ chế xử lý khác nhau cũng được sử dụng cho dữ liệu đối với một IDS.
-Hệ thống Expert (Expert systems)
Hệ thống này làm việc trên một tập các nguyên tắc đã được định nghĩa từ trước để miêu tả các tấn công. Tất cả các sự kiện có liên quan đến bảo mật đều được kết hợp vào cuộc kiểm định và được dịch dưới dạng nguyên tắc if-then-else. Lấy ví dụ Wisdom & Sense và ComputerWatch (được phát triển tại AT&T).
Giống như phương pháp hệ thống Expert, phương pháp này dựa trên những hiểu biết về tấn công. Chúng biến đổi sự mô tả của mỗi tấn công thành định dạng kiểm định thích hợp. Như vậy, dấu hiệu tấn công có thể được tìm thấy trong các bản ghi(record). Một kịch bản tấn công có thể được mô tả, ví dụ như một chuỗi sự kiện kiểm định đối với các tấn công hoặc mẫu dữ liệu có thể tìm kiếm đã lấy được trong cuộc kiểm định. Phương pháp này sử dụng các từ tương đương trừu tượng của dữ liệu kiểm định. Sự phát hiện được thực hiện bằng cách sử dụng chuỗi văn bản chung hợp với các cơ chế. Điển hình, nó là một kỹ thuật rất mạnh và thường được sử dụng trong các hệ thống thương mại (ví dụ như: Cisco Secure IDS, Emerald eXpert-BSM(Solaris)).
Kỹ thuật này mô hình hóa các hành vi thông thường của người dùng bằng một tập nhiệm vụ mức cao mà họ có thể thực hiện được trên hệ thống (liên quan đến chức năng người dùng). Các nhiệm vụ đó thường cần đến một số hoạt động được điều chỉnh sao cho hợp với dữ liệu kiểm định thích hợp. Bộ phân tích giữ một tập hợp nhiệm vụ có thể chấp nhận cho mỗi người dùng. Bất cứ khi nào một sự không hợp lệ được phát hiện thì một cảnh báo sẽ được sinh ra.
Một tấn công được miêu tả bằng một tập các mục tiêu và phiên cần được thực hiện bởi một kẻ xâm nhập để gây tổn hại hệ thống. Các phiên được trình bày trong sơ đồ trạng thái phiên. Nếu phát hiện được một tập phiên vi phạm sẽ tiến hành cảnh báo hay đáp trả theo các hành động đã được định trước.
Đây là phương pháp thường được sử dụng.
Hành vi người dùng hay hệ thống (tập các thuộc tính) được tính theo một số biến thời gian. Ví dụ, các biến như là: đăng nhập người dùng, đăng xuất, số tập tin truy nhập trong một khoảng thời gian, hiệu suất sử dụng không gian đĩa, bộ nhớ, CPU,… Chu kỳ nâng cấp có thể thay đổi từ một vài phút đến một tháng. Hệ thống lưu giá trị có nghĩa cho mỗi biến được sử dụng để phát hiện sự vượt quá ngưỡng được định nghĩa từ trước. Ngay cả phương pháp đơn giản này cũng không thế hợp được với mô hình hành vi người dùng điển hình. Các phương pháp dựa vào việc làm tương quan thông tin về người dùng riêng lẻ với các biến nhóm đã được gộp lại cũng ít có hiệu quả.
Vì vậy, một mô hình tinh vi hơn về hành vi người dùng đã được phát triển bằng cách sử dụng thông tin người dùng ngắn hạn hoặc dài hạn. Các thông tin này thường xuyên được nâng cấp để bắt kịp với thay đổi trong hành vi người dùng. Các phương pháp thống kê thường được sử dụng trong việc bổ sung trong IDS dựa trên thông tin hành vi người dùng thông thường.
-
Bookmarks

markdown:
Hiển thị kết quả từ 1 đến 10 / 40
-
22-12-2007 15:20
[#1](showthread.php/159638-Wireless-LAN-WLAN-Khái-niệm-mô-hình-và-tiêu-chuẩn?s=b424792f0721a613f462bb14ad899c80&p=969337#post969337)
Registered User
- Tham gia
- 04-01-2007
- Bài viết
- 94
- Like
- 0
- Thanked 8 Times in 8 Posts
[Wireless LAN]WLAN : Khái niệm , mô hình và tiêu chuẩn
**I.** **GIỚI THIỆU VỀ WIRELESS LAN(WLAN):**
**I.1.** **Wireless LAN là gì?**WLAN là một loại mạng máy tính nhưng việc kết nối giữa các thành phần trong mạng không sử dụng các loại cáp như một mạng thông thường,
**môi trường truyền thông của các thành phần trong mạng là không khí**. Các thành phần trong mạng sử dụng *sóng điện từ*để truyền thông với nhau.
**I.2.** **Lịch sử ra đời:**Công nghệ WLAN lần đầu tiên xuất hiện vào
**cuối năm 1990**, khi những nhà sản xuất giới thiệu những sản phẩm hoạt động trong băng tần 900Mhz. Những giải pháp này (không được thống nhất giữa các nhà sản xuất) cung cấp tốc độ truyền dữ liệu 1Mbps, thấp hơn nhiều so với tốc độ 10Mbps của hầu hết các mạng sử dụng cáp hiện thời.
**Năm 1992**, những nhà sản xuất bắt đầu bán những sản phẩm WLAN sử dụng băng tần 2.4Ghz. Mặc dầu những sản phẩm này đã có tốc độ truyền dữ liệu cao hơn nhưng chúng vẫn là những giải pháp riêng của mỗi nhà sản xuất không được công bố rộng rãi. Sự cần thiết cho việc hoạt động thống nhất giữa các thiết bị ở những dãy tần số khác nhau dẫn đến một số tổ chức bắt đầu phát triển ra những chuẩn mạng không dây chung.
**Năm 1997,** **Institute** **of Electrical** **and Electronics Engineers(**IEEE) đã phê chuẩn sự ra đời của chuẩn 802.11, và cũng được biết với tên gọi WIFI (Wireless Fidelity) cho các mạng WLAN. Chuẩn 802.11 hỗ trợ ba phương pháp truyền tín hiệu, trong đó có bao gồm phương pháp truyền tín hiệu vô tuyến ở tần số 2.4Ghz.
**Năm 1999,**IEEE thông qua hai sự bổ sung cho chuẩn 802.11 là các chuẩn 802.11a và 802.11b (định nghĩa ra những phương pháp truyền tín hiệu). Và những thiết bị WLAN dựa trên chuẩn 802.11b đã nhanh chóng trở thành công nghệ không dây vượt trội. Các thiết bị WLAN 802.11b truyền phát ở tần số 2.4Ghz, cung cấp tốc độ truyền dữ liệu có thể lên tới 11Mbps. IEEE 802.11b được tạo ra nhằm cung cấp những đặc điểm về tính hiệu dụng, thông lượng (throughput) và bảo mật để so sánh với mạng có dây.
**Năm 2003,**IEEE công bố thêm một sự cải tiến là chuẩn 802.11g mà có thể truyền nhận thông tin ở cả hai dãy tần 2.4Ghz và 5Ghz và có thể nâng tốc độ truyền dữ liệu lên đến 54Mbps. Thêm vào đó, những sản phẩm áp dụng 802.11g cũng có thể tương thích ngược với các thiết bị chuẩn 802.11b. Hiện nay chuẩn 802.11g đã đạt đến tốc độ 108Mbps-300Mbps.
**II.** **C** **ÁC MÔ HÌNH** **WLAN:**
Mạng 802.11 linh hoạt về thiết kế, gồm 3 mô hình mạng sau:
·
**Mô hình mạng độc lập(IBSSs) hay còn gọi là mạng Ad hoc**
· Mô hình mạng cơ sở (BSSs)
·
**Mô hình mạng mở rộng(ESSs)** **II.1.** **MÔ HÌNH MẠNG AD HOC(Independent Basic Service sets (BSSs) ):**
**Adhoc :**wireless clients communicate directly with each other without the use of a wireless AP or a wired network
**Ad hoc mode**is also called peer-to-peer mode. Wireless clients in ad hoc mode form an Independent Basic Service Set (IBSS), which is *two or more wireless clients who communicate directly without the use of a wireless AP.* *Các nút di động* *(máy tính có hỗ trợ card mạng không dây)*tập trung lại trong một không gian nhỏ để hình thành nên kết nối ngang cấp (peer-to-peer) giữa chúng. Các nút di động có card mạng wireless là chúng có thể trao đổi thông tin trực tiếp với nhau , không cần phải quản trị mạng. Vì các mạng ad-hoc này có thể thực hiện nhanh và dễ dàng nên chúng thường được thiết lập mà không cần một công cụ hay kỹ năng đặc biệt nào vì vậy nó rất *thích hợp để sử dụng trong các hội nghị thương mại hoặc trong các nhóm làm việc tạm thời.*Tuy nhiên chúng có thể có những nhược điểm về **vùng phủ sóng bị giới hạn, mọi người sử dụng đều phải nghe được lẫn nhau.**
**II.2.** **MÔ HÌNH MẠNG CƠ SỞ (Basic service sets (BSSs) )**
Bao gồm các
**điểm truy nhập AP** *(Access Point)*gắn với mạng đường trục hữu tuyến và giao tiếp với các thiết bị di động trong vùng phủ sóng của một **cell**. AP đóng vai trò điều khiển **cell**và điều khiển lưu lượng tới mạng. Các thiết bị di động không giao tiếp trực tiếp với nhau mà giao tiếp với các AP.Các cell có thể chồng lấn lên nhau **khoảng 10-15 %**cho phép các trạm di động có thể di chuyển mà không bị mất kết nối vô tuyến và cung cấp vùng phủ sóng với chi phí thấp nhất. *. Một điểm truy nhập nằm ở trung tâm có thể điều khiển và phân phối truy nhập cho các nút tranh chấp, cung cấp truy nhập phù hợp với mạng đường trục, ấn định các địa chỉ và các mức ưu tiên, giám sát lưu lượng mạng, quản lý chuyển đi các gói và duy trì theo dõi cấu hình mạng. Tuy nhiên giao thức đa truy nhập tập trung không cho phép các nút di động truyền trực tiếp tới nút khác nằm trong cùng vùng với điểm truy nhập như trong cấu hình mạng WLAN độc lập. Trong trường hợp này, mỗi gói sẽ phải được* **Các trạm di động sẽ chọn AP tốt nhất để kết nối** *(từ nút phát gốc và sau đó là điểm truy nhập) trước khi nó tới nút đích, quá trình này sẽ làm* **phát đi 2 lần** **giảm hiệu quả truyền dẫn và tăng trễ truyền dẫn.**
**II.3.** **MÔ HÌNH MẠNG MỞ RỘNG( Extended Service Set**( **ESSs))**
**A set of two or more wireless APs connected to the same wired network**is known as an **Extended Service Set (ESS).**
**An ESS**is a **single logical network segment**(also known as a subnet), and is identified by its SSID. *Access Point thực hiện việc giao tiếp thông qua hệ thống phân phối. Hệ thống phân phối là một lớp mỏng trong mỗi Access Point mà nó xác định đích đến cho một lưu lượng được nhận từ một BSS. Hệ thống phân phối được tiếp sóng trở lại một đích trong cùng một BSS, chuyển tiếp trên hệ thống phân phối tới một Access Point khác, hoặc gởi tới một mạng có dây tới đích không nằm trong ESS. Các thông tin nhận bởi Access Point từ hệ thống phân phối được truyền tới BSS sẽ được nhận bởi trạm đích.* **ESSs là một tập hợp các BSSs nơi mà các Access Point giao tiếp với nhau để chuyển lưu lượng từ một BSS này đến một BSS khác để làm cho việc di chuyển dễ dàng của các trạm giữa các BSS,**
**II.4.** **Ưu điểm của WLAN:**
__Mạng không dây cũng như hệ thống mạng thông thường. Nó__ **Sự tiện lợi:** *(nhà hay văn phòng). Với sự gia tăng số người sử dụng máy tính xách tay(laptop), đó là một điều rất thuận lợi.* **cho phép người dùng truy xuất tài nguyên mạng ở bất kỳ nơi đâu trong khu vực được triển khai**
**Với sự phát triển của các mạng không dây công cộng,** __Khả năng di động:__ *Chẳng hạn ở các quán Cafe, người dùng có thể truy cập Internet không dây miễn phí.* **người dùng có thể truy cập Internet ở bất cứ đâu.**
**Người dùng có thể** __Hiệu quả:__ **duy trì kết nối mạng**khi họ đi từ nơi này đến nơi khác.
**Việc thiết lập hệ thống mạng không dây ban đầu** __Triển khai:__ *. Với mạng dùng cáp, phải tốn thêm chi phí và có thể gặp khó khăn trong việc triển khai hệ thống cáp ở nhiều nơi trong tòa nhà.* **chỉ cần ít nhất 1 access point**
**Mạng không dây có thể** __Khả năng mở rộng:__ *Với hệ thống mạng dùng cáp cần phải gắn thêm cáp* **đáp ứng tức thì khi gia tăng số lượng người dùng.** **II.5.** **Nhược điểm của WLAN:**
**-** __Môi trường kết nối không dây là không khí nên__ **Bảo mật:** **khả năng bị tấn công của người dùng là rất cao.**
**-** **Một mạng chuẩn 802.11g với các thiết bị chuẩn** __Phạm vi:__ *Nó phù hợp trong 1 căn nhà, nhưngvới một tòa nhà lớn thì không đáp ứng được nhu cầu. Để đáp ứng cần phải mua thêm Repeater hay access point, dẫn đến chi phí gia tăng.* **chỉ có thể hoạt động tốt trong phạm vi vài chục mét.**
__Vì sử dụng sóng vô tuyến để truyền thông nên__ **Độ tin cậy:** *do tác động của các thiết bị khác(lò vi sóng,….) là không tránh khỏi. Làm giảm đáng kể hiệu quả hoạt động của mạng.* **việc bị nhiễu, tín hiệu bị giảm**
**-** **Tốc độ của mạng không dây (1- 125 Mbps)** __Tốc độ:__ *(100Mbps đến hàng Gbps).* **rất chậm so với mạng sử dụng cáp** **Be continuous !!! ........**
[Comple post III. => Click me](http://wimaxpro.org/forum/showthread.php?t=266)
Được sửa bởi tranmyphuc1988 lúc 13:18 ngày 25-12-2007
-
-
24-12-2007 12:29
[#2](showthread.php/159638-Wireless-LAN-WLAN-Khái-niệm-mô-hình-và-tiêu-chuẩn?s=b424792f0721a613f462bb14ad899c80&p=970829#post970829)
Registered User
- Tham gia
- 04-01-2007
- Bài viết
- 94
- Like
- 0
- Thanked 8 Times in 8 Posts
[next]Các thiết bị hạ tầng mạng không dây
[/SIZE][/FONT]
**Chương 2** **CÁC THIẾT BỊ HẠ TẦNG MẠNG KHÔNG DÂY** **I.** **Các thiết bị hạ tầng mạng không dây(WLAN)**
**I.1.** **Điểm truy cập: AP(access point)**Cung cấp cho các máy khách(client) một điểm truy cập vào mạng
**"Nơi mà các máy tính dùng wireless có thể vào mạng nội bộ của công ty"**. AP là một thiết bị song công(Full duplex) có mức độ thông minh tương đương với một chuyển mạch Ethernet phức tạp(Switch).
**I.2.** **Các chế độ hoạt động của AP:**AP có thể giao tiếp với các máy không dây, với mạng có dây truyền thống và với các AP khác. Có 3 Mode hoạt động chính của AP:
**-** **Chế độ gốc (Root mode):**Root mode được sử dụng khi AP được kết nối với mạng backbone có dây thông qua giao diện có dây (thường là Ethernet) của nó. Hầu hết các AP sẽ hỗ trợ các mode khác ngoài root mode, tuy nhiên **root mode là cấu hình mặc định.**Khi một AP được kết nối với phân đoạn có dây thông qua cổng Ethernet của nó, nó sẽ được cấu hình để hoạt động trong root mode. Khi ở trong root mode, *các AP được kết nối với cùng một hệ thống phân phối có dây có thể nói chuyện được với nhau thông qua phân đoạn có dây.*Các client không dây có thể giao tiếp với các client không dây khác nằm trong những **cell (ô tế bào, hay vùng phủ sóng của AP)**khác nhau thông qua AP tương ứng mà chúng kết nối vào, sau đó các AP này sẽ giao tiếp với nhau thông qua phân đoạn có dây
-
**Chế độ cầu nối(bridge Mode):**Trong Bridge mode, AP hoạt động hoàn toàn *giống với một cầu nối không dây*. AP sẽ trở thành một cầu nối không dây khi được cấu hình theo cách này. Chỉ **một số ít các AP trên thị trường có hỗ trợ chức năng Bridge**, điều này sẽ làm cho thiết bị có giá cao hơn đáng kể. Chúng ta sẽ giải thích một cách ngắn gọn cầu nối không dây hoạt động như thế nào, *Client không kết nối với cầu nối, nhưng thay vào đó, cầu nối được sử dụng để kết nối 2 hoặc nhiều đoạn mạng có dây lại với nhau bằng kết nối không dây.*
**Chế độ lặp(repeater mode):**AP có khả năng cung cấp một đường kết nối không dây upstream vào mạng có dây thay vì một kết nối có dây bình thường. Một AP hoạt động như là **một root AP và AP còn lại hoạt động như là một Repeater không dây.**AP trong repeater mode kết nối với các client như là một AP và kết nối với upstream AP như là một client.
Be Continued !!!!.....
-
-
24-12-2007 12:50
[#3](showthread.php/159638-Wireless-LAN-WLAN-Khái-niệm-mô-hình-và-tiêu-chuẩn?s=b424792f0721a613f462bb14ad899c80&p=970845#post970845)
Registered User
- Tham gia
- 04-01-2007
- Bài viết
- 94
- Like
- 0
- Thanked 8 Times in 8 Posts
-
24-12-2007 12:51
[#4](showthread.php/159638-Wireless-LAN-WLAN-Khái-niệm-mô-hình-và-tiêu-chuẩn?s=b424792f0721a613f462bb14ad899c80&p=970846#post970846)
good job, keep it up...
-
27-12-2007 09:26
[#5](showthread.php/159638-Wireless-LAN-WLAN-Khái-niệm-mô-hình-và-tiêu-chuẩn?s=b424792f0721a613f462bb14ad899c80&p=973398#post973398)
Registered User
- Tham gia
- 04-01-2007
- Bài viết
- 94
- Like
- 0
- Thanked 8 Times in 8 Posts
**I.3.** **Các thiết bị máy khách trong WLAN:**
Là những thiết bị WLAN được các máy khách sử dụng để kết nối vào WLAN.
**I.3.a.** **Card PCI Wireless** __:__
Là thành phần phổ biến nhất trong WLAN.
**Dùng để kết nối các máy khách vào hệ thống mạng không dây.**Được cắm vào khe PCI trên máy tính. Loại này được sử dụng phổ biến cho các máy tính để bàn(desktop) kết nối vào mạng không dây.
__Trước đây được sử dụng trong các máy tính xách tay(laptop) và cácthiết bị hỗ trợ cá nhân số PDA(Personal Digital Associasion). Hiện nay nhờ sự phát triển của công nghệ nên PCMCIA wireless ít được sử dụng vì máy tính xách tay và PDA,…. đều được tích hợp sẵn Card Wireless bên trong thiết bị.__ **I.3.b.Card PCMCIA Wireless:**
__Loại rất được ưu chuộng hiện nay dành cho các thiết bị kết nối vào mạng không dây vì tính năng di động và nhỏ gọn . Có chức năng tương tự như Card PCI Wireless, nhưng hỗ trợ chuẩn cắm là USB (Universal ****** Bus). Có thể tháo lắp nhanh chóng (không cần phải cắm cố định như Card PCI Wireless) và hỗ trợ cắm khi máy tính đang hoạt động.__ **I.3.c.** **Card USB Wireless**:
[More and Professional WiFI=> Click ME!!!](http://www.wifipro.org/)
-
-
29-12-2007 11:07
[#6](showthread.php/159638-Wireless-LAN-WLAN-Khái-niệm-mô-hình-và-tiêu-chuẩn?s=b424792f0721a613f462bb14ad899c80&p=975895#post975895)
Registered User
- Tham gia
- 04-01-2007
- Bài viết
- 94
- Like
- 0
- Thanked 8 Times in 8 Posts
**BẢO MẬT MẠNG KHÔNG DÂY**
__Để kết nối tới một mạng LAN hữu tuyến ta cần phải truy cập theo đường truyền bằng dây cáp, phải kết nối một PC vào một cổng mạng. Với mạng không dây ta chỉ cần có máy của ta trong vùng sóng bao phủ của mạng không dây.__ **I.** **Tại sao phải bảo mật mạng không dây(WLAN)**
**Điều khiển cho mạng có dây là đơn giản:**đường truyền bằng cáp thông thường được đi trong các tòa nhà cao tầng và các port không sử dụng có thể làm cho nó **disable**bằng các ứng dụng quản lý. Các **mạng không dây**(hay vô tuyến) sử dụng sóng vô tuyến xuyên qua vật liệu của các tòa nhà và như vậy s **ự bao phủ là không giới hạn ở bên trong một tòa nhà.**Sóng vô tuyến có thể xuất hiện trên đường phố, từ các trạm phát từ các mạng LAN này, và như vậy ai đó có thể truy cập nhờ thiết bị thích hợp. *Do đó mạng không dây của một công ty cũng có thể bị truy cập từ bên ngoài tòa nhà công ty của họ.*
Để cung cấp
**mức bảo mật tối thiểu**cho mạng WLAN thì ta cần hai thành phần sau:
·Cách thức để xác định ai có quyền sử dụng WLAN - yêu cầu này được thỏa mãn bằng cơ chế xác thực( authentication) .
·Một phương thức để cung cấp tính riêng tư cho các dữ liệu không dây – yêu cầu này được thỏa mãn bằng một thuật toán mã hóa ( encryption).
__Một WLAN gồm có 3 phần:__ **II.** **Bảo mật mạng không dây(WLAN)**
**Wireless Client, Access Points và Access Server.**
+
**Wireless Client**điển hình là một chiếc laptop với NIC (Network Interface Card) không dây được cài đặt để cho phép truy cập vào mạng không dây.
+
**Access Points (AP)**cung cấp sự bao phủ của sóng vô tuyến trong một vùng nào đó (được biết đến như là các cell (tế bào)) và kết nối đến mạng không dây.
+ Còn Access Server điều khiển việc truy cập. Một
**Access Server**(như là Enterprise Access Server (EAS) ) cung cấp sự điều khiển, quản lý, các đặc tính bảo mật tiên tiến cho mạng không dây Enterprise **“Gateway Mode”**hay **“Controller Mode”**.
Trong Gateway Mode ( hình 3-4) EAS được đặt ở giữa mạng AP và phần còn lại của mạng Enterprise. Vì vậy
*EAS điều khiển tất cả các luồng lưu lượng giữa các mạng không dây và có dây và thực hiện như một tường lửa.*
Trong
**Controll Mode**(hình 3-3), *EAS quản lý các AP và điều khiển việc truy cập đến mạng không dây, nhưng nó không liên quan đến việc truyền tải dữ liệu người dùng.*Trong chế độ này, mạng không dây có thể bị phân chia thành mạng dây với firewall thông thường hay tích hợp hoàn toàn trong mạng dây Enterprise. Kiến trúc WLAN hỗ trợ một mô hình bảo mật được thể hiện trên hình 4. Mỗi một phần tử bên trong mô hình đều c **ó thể cấu hình theo người quản lý mạng để thỏa mãn và phù hợp với những gì họ cần.**
**Các Client không dây** __1.__ *Device Authorization*: *có thể bị ngăn chặn theo địa chỉ phần cứng của họ*(ví dụ như địa chỉ MAC). EAS duy trì một cơ sở dữ liệu của các Client không dây được cho phép và các AP riêng biệt khóa hay lưu thông lưu lượng phù hợp.
**WLAN cũng hỗ trợ** __2.__ *Encryption*: *WEP, 3DES và chuẩn TLS(Transport Layer Sercurity)*sử dụng mã hóa để tránh người truy cập trộm. Các khóa WEP có thể tạo trên một **per-user, per session basic**.
**WLAN hỗ trợ sự ủy quyền lẫn nhau (bằng việc** __3.Authentication:__ *) để bảo đảm chỉ có các Client không dây được ủy quyền mới được truy cập vào mạng. EAS sử dụng một RADIUS server bên trong cho sự ủy quyền bằng việc sử dụng các chứng chỉ số. Các chứng chỉ số này có thể đạt được từ quyền chứng nhận bên trong (CA) hay được nhập từ một CA bên ngoài.* **sử dụng 802.1x EAP-TLS** *Điều này đã tăng tối đa sự bảo mật và giảm tối thiểu các thủ tục hành chính.*
**EAS hợp nhất** __4.__ *Firewall*: *packet filtering*và *port blocking firewall*dựa trên các chuỗi IP. Việc cấu hình từ trước cho phép các loại lưu lượng chung được **enable hay disable.**
__5.__ *VPN* **EAS bao gồm một** __:__ *IPSec VPN server*cho phép các Client không dây thiết lập các session VPN vững chắc trên mạng. [III. Mã Hóa => Click me](http://wimaxpro.org/forum/showthread.php?p=620#post620)
-
-
30-12-2007 14:00
[#7](showthread.php/159638-Wireless-LAN-WLAN-Khái-niệm-mô-hình-và-tiêu-chuẩn?s=b424792f0721a613f462bb14ad899c80&p=977124#post977124)
Registered User
- Tham gia
- 04-01-2007
- Bài viết
- 94
- Like
- 0
- Thanked 8 Times in 8 Posts
__III. MÃ HÓA__
Mã hóa là biến đổi dữ liệu để chỉ có các thành phần được xác nhận mới có thể giải mã được nó. Quá trình mã hóa là kết hợp plaintext với một khóa để tạo thành văn bản mật (Ciphertext). Sự giải mã được bằng cách kết hợp Ciphertext với khóa để tái tạo lại plaintext gốc như hình 3-6. Quá trình xắp xếp và phân bố các khóa gọi là sự quản lý khóa.
__Có hai loại mật mã:__
•Mật mã dòng (stream ciphers)
•Mật mã khối ( block ciphers)
*sinh ra một chuỗi khóa ( key stream) từ một giá trị khóa bí mật.*Chuỗi khóa sau đó sẽ được trộn với dữ liệu (plaintext) để sinh dữ liệu đã được mã hóa. Hai loại mật mã này khác nhau v *ề kích thước của dữ liệu mà chúng thao tác tại một thời điểm.*
Mật mã dòng phương thức
*mã hóa theo từng bit*, mật mã dòng phát sinh chuỗi khóa liên tục dựa trên giá trị của khóa, ví dụ một mật mã dòng có thể sinh ra một chuỗi khóa dài 15 byte để mã hóa một frame và môt chuỗi khóa khác dài 200 byte để mã hóa một frame khác.
Mật mã dòng là một thuật toán mã hóa rất hiệu quả,
**ít tiêu tốn tài nguyên (CPU)** **.**Ngược lại, mật mã khối sinh ra một chuỗi khóa duy nhất và có kích thước cố định(64 hoặc 128 bit). Chuỗi kí tự chưa được mã hóa( plaintext) sẽ được phân mảnh thành những khối(block) và mỗi khối sẽ được trộn với chuỗi khóa một cách độc lập. Nếu như khối plaintext nhỏ hơn khối chuỗi khóa thì plaintext sẽ được đệm thêm vào để có được kích thước thích hợp. Tiến trình phân mảnh cùng với một số thao tác khác của mật mã khối sẽ làm tiêu tốn nhiều tài nguyên CPU.
Tiến trình mã hóa dòng và mã hóa khối còn được gọi là chế độ mã hóa
**. Chế độ mã hóa này có đặc điểm là cùng một đầu vào plaintext ( input plain) sẽ luôn luôn sinh ra cùng một đầu ra ciphertext (output ciphertext). Đây chính là yếu tố mà kẻ tấn công có thể lợi dụng để nhận dạng của ciphertext và đoán được plaintext ban đầu.** *khối mã điện tử ECB*( Electronic Code Block)
Một số kỹ thuật mã hóa có thể khắc phục được vấn đề trên:
•Sử dụng vector khởi tạo IV ( Initialization Vector)
•Chế độ phản hồi (FeedBack)
**a)** __Vector khởi tạo IV__
Vector khởi tạo IV là một số được thêm vào khóa và làm thay đổi khóa . IV được nối vào khóa trước khi chuỗi khóa được sinh ra, khi IV thay đổi thì chuỗi khóa cũng sẽ thay đổi theo và kết quả là ta sẽ có ciphertext khác nhau. Ta nên thay đổi giá trị IV theo từng frame. Theo cách này nếu một frame được truyền 2 lần thì chúng ta sẽ có 2 ciphertext hoàn toàn khác nhau cho từng frame.
**a)** **Chế độ phản hồi cải tiến quá trình mã hóa để tránh việc một plaintext sinh ra cùng một ciphertext trong suốt quá trình mã hóa. Chế độ phản hồi thường được sử dụng với mật mã khối.** __Chế độ phản hồi (Feedback Modes)__
**b)** **Thuật toán WEP(**Wired Equivalent Privacy **Chuẩn 802.11 cung cấp tính riêng tư cho dữ liệu bằng thuật toán WEP.** __)__
*WEP dựa trên mật mã dòng đối xứng RC4( Ron’s code 4) được Ron Rivest thuộc hãng RSA Security Inc phát triển..*Thuật toán mã hóa RC4 là thuật toán mã hóa đối xứng( thuật toán sử dụng cùng một khóa cho việc mã hóa và giải mã). WEP là thuật toán mã hóa được sử dụng bởi tiến trình xác thực khóa chia sẻ để xác thực người dùng và mã hóa dữ liệu trên phân đoạn mạng không dây.
Để tránh
**chế độ ECB(Electronic Code Block)**trong quá trình mã hóa, WEP sử dụng 24 bit IV, nó được kết nối vào khóa WEP trước khi được xử lý bởi RC4. Giá trị IV phải được thay đổi theo từng frame để tránh hiện tượng xung đột. *Hiện tượng xung đột IV xảy ra khi sử dụng cùng một IV và khóa WEP kết quả là cùng một chuỗi khóa được sử dụng để mã hóa frame.*Chuẩn 802.11 yêu cầu khóa WEP
**phải được cấu hình trên cả client và AP khớp với nhau thì chúng mới có thể truyền thông được.**Mã hóa WEP chỉ được sử dụng cho các frame dữ liệu trong suốt tiến trình xác thực khóa chia sẻ. WEP mã hóa những trường sau đây trong frame dữ liệu:
•Phần dữ liệu (payload)
•Giá trị kiểm tra tính toàn vẹn của dữ liệu ICV (Integrity Check value)
**giải mã phần dữ liệu và ICV**
Ngoài việc mã hóa dữ liệu 802.11 cung cấp một giá trị 32 bit ICV có chức năng kiểm tra tính toàn vẹn của frame. Việc kiểm tra này cho trạm thu biết rằng frame đã được truyền mà không có lỗi nào xảy ra trong suốt quá trình truyền.
ICV được tính dựa vào phương pháp
**kiểm tra lỗi bits CRC-32( Cyclic Redundancy Check 32)**. Trạm phát sẽ tính toán giá trị và đặt kết quả vào trong trường ICV, ICV sẽ được mã hóa cùng với frame dữ liệu.
Trạm thu sau nhận frame sẽ thực hiện giải mã frame, tính toán lại giá trị ICV và so sánh với giá trị ICV đã được trạm phát tính toán trong frame nhận được. Nếu 2 giá trị trùng nhau thì frame xem như chưa bị thay đổi hay giả mạo, nếu giá trị không khớp nhau thì frame đó sẽ bị hủy bỏ.
Do WEP sử dụng RC4, nếu RC4 được cài đặt không thích hợp thì sẽ tạo nên một giải pháp bảo mật kém.
**Cả khóa WEP 64 bit và 128 bit đều có mức độ yếu kém như nhau trong việc cài đặt 24 bit IV và cùng sử dụng tiến trình mã hóa có nhiều lỗ hỏng.**Tiến trình này khởi tạo giá trị ban đầu cho IV là 0, sau đó tăng lên 1 cho mỗi frame được truyền. Trong một mạng thường xuyên bị nghẽn, những phân tích thống kê cho thấy rằng tất cả các giá trị IV(224 )sẽ được sử dụng hết trong nửa ngày. Điều này có nghĩa là sẽ khởi tạo lại giá trị IV ban đầu là 0 ít nhất một lần trong ngày. Đây chính là lổ hỏng cho các hacker tấn công. Khi WEP được sử dụng, IV sẽ được truyền đi mà không mã hóa cùng với mỗi gói tin đã được mã hóa cách làm này tạo ra những lỗ hỏng bảo mật sau:
• Tấn công bị động để giải mã lưu lượng, bằng cách sử dụng những phân tích thống kê, khóa WEP có thể bị giải mã
• Dùng các phần mềm miễn phí để tìm kiếm khóa WEP như là: AirCrack , AirSnort, dWepCrack, WepAttack, WepCrack, WepLab. Khi khóa WEP đã bị ***** thì việc giải mã các gói tin có thể được thực hiện bằng cách lắng nghe các gói tin đã được quảng bá, sau đó dùng khóa WEP để giải mã chúng.
**Khóa WEP**
Chức năng chính của WEP là dựa trên khóa, là yếu tố cơ bản cho thuật toán mã hóa. Khóa WEP là một chuỗi kí tự và số được sử dụng theo 2 cách: -Khóa WEP được sử dụng để định danh xác thực client -Khóa WEP được dùng để mã hóa dữ liệu Khi client sử dụng WEP muốn kết nối với AP thì AP sẽ xác định xem client có giá trị khóa chính xác hay không? Chính xác ở đây có nghĩa là client đã có khóa là một phần của hệ thống phân phát khóa WEP được cài đặt trong WLAN. Khóa WEP phải khớp ở cả hai đầu xác thực client và AP. Hầu hết các AP và client có khả năng lưu trữ 4 khóa WEP đồng thời. Một lý do hữa ích của việc sử dụng nhiều khóa WEP chính là phân đoạn mạng. Giả sử mạng có 80 client thì ta sử dụng 4 khóa WEP cho 4 nhóm khác nhau thay vì sử dụng 1 khóa. Nếu khóa WEP bị ***** thì ta chỉ cần thay đổi khóa WEP cho 20 client thay vì phải thay đổi cho toàn bộ mạng.Một lí do khác để có nhiều khóa WEP là trong môi trường hỗn hợp có card hỗ trợ 128 bit và có card chỉ hỗ trợ 64 bit. Trong trường hợp này chúng ta có thể phân ra hai nhóm người dùng.
__v__ **Giải pháp WEP tối ưu** **:**
Với những điểm yếu nghiêm trọng của WEP và sự phát tán rộng rãi của các công cụ dò tìm khóa WEP trên Internet, giao thức này không còn là giải pháp bảo mật được chọn cho các mạng có mức độ nhạy cảm thông tin cao. Tuy nhiên, trong rất nhiều các thiết bị mạng không dây hiện nay, giải pháp bảo mật dữ liệu được hỗ trợ phổ biến vẫn là WEP. Dù sao đi nữa, các lỗ hổng của WEP vẫn có thể được giảm thiểu nếu được cấu hình đúng, đồng thời sử dụng các biện pháp an ninh khác mang tính chất hỗ trợ.
*Để gia tăng mức độ bảo mật cho WEP và gây khó khăn cho hacker, các biện pháp sau được đề nghị:*- *Thường các thiết bị WEP cho phép cấu hình khóa ở ba độ dài: 40 bit, 64 bit, 128 bit. Sử dụng khóa với độ dài 128 bit gia tăng số lượng gói dữ liệu hacker cần phải có để phân tích IV, gây khó khăn và kéo dài thời gian giải mã khóa WEP* __Sử dụng khóa WEP có độ dài 128 bit:__
-
*Do WEP không hỗ trợ phương thức thay đổi khóa tự động nên sự thay đổi khóa định kỳ sẽ gây khó khăn cho người sử dụng. Tuy nhiên, nếu không đổi khóa WEP thường xuyên thì cũng nên thực hiện ít nhất một lần trong tháng hoặc khi nghi ngờ có khả năng bị lộ khóa.* __Thực thi chính sách thay đổi khóa WEP định kỳ:__
-
*Do các công cụ dò khóa WEP cần bắt được số lượng lớn gói dữ liệu và hacker có thể phải sử dụng các công cụ phát sinh dữ liệu nên sự đột biến về lưu lượng dữ liệu có thể là dấu hiệu của một cuộc tấn công WEP, đánh động người quản trị mạng phát hiện và áp dụng các biện pháp phòng chống kịp thời.* __Sử dụng các công cụ theo dõi số liệu thống kê dữ liệu trên đường truyền không dây:__
Để tiện cho việc hệ thống lại những tại liệu đăng trong mục này, bạn có thể down file đính kèm sẽ được khởi đăng tại mục này ngay sau bài viết và mục tài liệu tiếng việt tại
**Đây**
Chúc các bạn luôn vui!!!
**Next : IV./ Các giải pháp bảo mật nổi bật :**
-
-
03-01-2008 23:09
[#8](showthread.php/159638-Wireless-LAN-WLAN-Khái-niệm-mô-hình-và-tiêu-chuẩn?s=b424792f0721a613f462bb14ad899c80&p=982456#post982456)
Registered User
- Tham gia
- 04-01-2007
- Bài viết
- 94
- Like
- 0
- Thanked 8 Times in 8 Posts
**IV.** **Các giải pháp bảo mật nổi bật:**
**IV.1.** **WLAN VPN** **:**
Mạng riêng ảo VPN bảo vệ mạng WLAN bằng cách
*VPN tạo ra một tin cậy cao thông qua việc sử dụng một cơ chế bảo mật như* __tạo ra một kênh che chắn dữ liệu khỏi các truy cập trái phép.__ **IPSec (Internet Protocol Security).**IPSec dùng các thuật toán mạnh như **Data Encryption Standard (DES) và Triple DES (3DES)**để mã hóa dữ liệu, và dùng các thuật toán khác để xác thực gói dữ liệu. IPSec cũng sử dụng thẻ xác nhận số để xác nhận khóa mã (public key). Khi được sử dụng trên mạng WLAN, cổng kết nối của VPN đảm nhận việc xác thực, đóng gói và mã hóa.
**IV.2.** **TKIP (Temporal Key Integrity Protocol)**
Là giải pháp của IEEE được phát triển năm 2004. Là một nâng cấp cho WEP
*cài đặt mã dòng RC4 trong* __nhằm vá những vấn đề bảo mật trong__ **WEP**. **TKIP**dùng hàm băm(hashing) IV để chống lại việc giả mạo gói tin, nó cũng cung cấp phương thức để kiểm tra tính toàn vẹn của thông điệp **MIC**(message integrity check ) để đảm bảo tính chính xác của gói tin. TKIP sử dụng khóa động bằng __cách đặt cho mỗi frame một chuỗi số riêng để chống lại dạng tấn công giả mạo.__
**IV.3. AES(Advanced Encryption Standard)**
Là một chức năng mã hóa được phê chuẩn bởi
**NIST**(Nation Instutute of Standard and Technology). IEEE đã thiết kế một chế độ cho **AES**để đáp ứng nhu cầu của mạng WLAN. Chế độ này được gọi là **Tổ hợp của chúng được gọi là AES-CCM . Chế độ CCM là sự kết hợp của mã hóa CBC-CTR và thuật toán xác thực thông điệp CBC-MAC. Sự kết hợp này cung cấp cả việc mã hóa cũng như kiểm tra tính toàn vẹn của dữ liệu gửi.** __CBC-CTR(Cipher Block Chaining Counter Mode) với CBC-MAC(Cipher Block Chaining Message Authenticity Check).__
Mã hóa
**CBC-CTR**sử dụng một biến đếm để bổ sung cho chuỗi khóa. Biến đếm sẽ tăng lên 1 sao khi mã hóa cho mỗi khối(block). Tiến trình này đảm bảo chỉ có duy nhất một khóa cho mỗi khối. Chuỗi ký tự chưa được mã hóa sẽ được phân mảnh ra thành các khối **16 byte**.
**CBC-MAC**hoạt động bằng cách sử dụng kết quả của mã hóa CBC cùng với chiều dài frame, địa chỉ nguồn, địa chỉ đích và dữ liệu. Kết quả sẽ cho ra giá trị **128 bit**và được **cắt thành 64 bit**để sử dụng lúc truyền thông.
**AES-CCM**yêu cầu *của dữ liệu gửi nên tiêu tốn rất* __chi phí khá lớn cho cả quá trình mã hóa và kiểm tra tính toàn vẹn__ __nhiều năng lực xữ lý của CPU khá lớn__.
**IV.4.** **802.1x và EAP**
**802.1x**là chuẩn đặc tả cho việc **truy cập dựa trên cổng(port-based)**được định nghĩa bởi IEEE. Hoạt động trên cả môi trường __. Việc điều khiển truy cập được thực hiện bằng cách:__ *có dây truyền thống và không dây*Khi một người dùng cố gắng kết nối vào hệ thống mạng, kết nối của người dùng sẽ được đặt ở trạng thái bị chặn(blocking) và chờ cho việc kiểm tra định danh người dùng hoàn tất.
**EAP**là phương thức xác thực bao gồm yêu cầu *(password, cetificate,…),* __định danh người dùng__ *(MD5, TLS_Transport Layer Security, OTP_ One Time Password,…)* __giao thức được sử dụng__ __.__ **hỗ trợ tự động sinh khóa và xác thực lẫn nhau**
Mô hình xác thực 802.1X-EAP cho Client diễn ra như sau:
**IV.5.** **WPA (Wi-Fi Protected Access)**
**WEP**được xây dựng để bảo vệ một mạng không dây tránh bị nghe trộm. Nhưng nhanh chóng sau đó người ta phát hiện ra nhiều lổ hỏng ở công nghệ này. Do đó, công nghệ mới có tên gọi **WPA**(Wi-Fi Protected Access) ra đời, *khắc phục được nhiều nhược điểm của WEP.*
Trong những
*của WPA là* __cải tiến quan trọng nhất__ **sử dụng hàm thay đổi khoá TKIP (Temporal Key Integrity Protocol).**WPA cũng sử dụng thuật toán RC4 như WEP, nhưng mã hoá đầy đủ **128 bit**. Và một đặc điểm khác là WPA thay đổi khoá cho mỗi gói tin. Các công cụ thu thập các gói tin để phá khoá mã hoá đều không thể thực hiện được với WPA. Bởi WPA thay đổi khoá liên tục nên hacker không bao giờ thu thập đủ dữ liệu mẫu để tìm ra mật khẩu.
Không những thế, WPA còn bao gồm
__(Message Integrity Check). Vì vậy, dữ liệu không thể bị thay đổi trong khi đang ở trên đường truyền. WPA có sẵn 2 lựa chọn:__ *kiểm tra tính toàn vẹn của thông tin* **WPA Personal**và **WPA Enterprise**. Cả 2 lựa chọn đều sử dụng giao thức **TKIP**, và sự khác biệt chỉ là khoá khởi tạo mã hoá lúc đầu. WPA Personal thích hợp cho gia đình và mạng văn phòng nhỏ, khoá khởi tạo sẽ được sử dụng tại các __.__ *điểm truy cập và thiết bị máy trạm*
Trong khi đó, WPA cho doanh nghiệp cần một máy chủ xác thực và 802.1x để cung cấp các khoá khởi tạo cho mỗi phiên làm việc.
__Khi mà sử dụng hàm thay đổi khoá TKIP được sử dụng để tạo ra các khoá mã hoá bị phát hiện, nếu hacker có thể đoán được khoá khởi tạo hoặc một phần của mật khẩu, họ có thể xác định được toàn bộ mật khẩu, do đó có thể giải mã được dữ liệu. Tuy nhiên, lỗ hổng này cũng sẽ bị loại bỏ bằng cách sử dụng những khoá khởi tạo không dễ đoán (__ *Có một lỗ hổng trong WPA và lỗi này chỉ xảy ra với* **WPA Personal**. __những từ như__ *đừng sử dụng* **"PASSWORD"**để làm mật khẩu).Điều này cũng có nghĩa rằng kỹ thuật TKIP của WPA chỉ là giải pháp tạm thời, chưa cung cấp một phương thức bảo mật cao nhất. WPA chỉ thích hợp với những công ty mà không truyền dữ liệu "mật" về những thương mại, hay các thông tin nhạy cảm... WPA cũng thích hợp với những hoạt động hàng ngày và mang tính thử nghiệm công nghệ.
**IV.6.** **WPA 2**
Một giải pháp về lâu dài là
**sử dụng 802.11i tương đương với WPA2**, được chứng nhận bởi Wi-Fi Alliance. Chuẩn này sử dụng thuật toán mã hoá mạnh mẽ và được gọi là __(Advanced Encryption Standard).__ *Chuẩn mã hoá nâng cao* **AES** **AES**sử dụng thuật toán mã hoá đối xứng theo **khối Rijndael**, sử dụng khối mã hoá **128 bit**, và **192 bit hoặc 256 bit**. Để đánh giá chuẩn mã hoá này, Viện nghiên cứu quốc gia về Chuẩn và Công nghệ của Mỹ, NIST (National Institute of Standards and Technology), đã thông qua thuật toán mã đối xứng này.Và chuẩn mã hoá này được sử dụng cho các cơ quan chính phủ Mỹ để bảo vệ các thông tin nhạy cảm. __Tuy nhiên, rất ít người sử dụng mạng không dây quan tâm tới vấn đề này. Hơn nữa, hầu hết__ *quá trình mã hoá cần được thực hiện trong các thiết bị phần cứng như tích hợp vàochip.* __các thiết bị cầm tay Wi-Fi và máy quét mã vạch đều không tương thích với chuẩn 802.11i.__
**IV.7.** **Lọc (Filtering)**
**Lọc**là cơ **c**hế bảo mật cơ bản có thể sử dụng cùng với WEP. Lọc hoạt động giống như **Access list trên router**, cấm những cái không mong muốn và cho phép những cái mong muốn. Có 3 kiểu lọc cơ bản có thể được sử dụng trong wireless lan:
**- Lọc SSID**
**- Lọc địa chỉ MAC**
**- Lọc giao thức**
**a)** **Lọc SSID:**
Lọc SSID là một phương thức cơ bản của lọc và chỉ nên được sử dụng cho việc điều khiển truy cập cơ bản.
+ Sử dụng giá trị SSID mặc định tạo điều kiện cho hacker dò tìm địa chỉ MAC của AP.
+ Sử dụng SSID có liên quan đến công ty.
+ Sử dụng SSID như là phương thức bảo mật của công ty.
+ Quảng bá SSID một cách không cần thiết.
__b)__ **Lọc địa chỉ MAC**
*. Người quản trị có thể xây dựng danh sách các địa chỉ MAC được cho phép.* __Hầu hết các AP đều có chức năng lọc địa chỉ MAC__
**Nếu client có địa chỉ MAC không nằm trong danh sách lọc địa chỉ MAC của AP thì AP sẽ ngăn chặn không cho phép client đó kết nối vào mạng.**
**Nếu công ty có nhiều client thì có thể xây dựng máy chủ RADIUS có chức năng lọc địa chỉ MAC thay vì AP. Cấu hình lọc địa chỉ MAC là giải pháp bảo mật có tính mở rộng cao.**
**c)** **Lọc giao thức**
Mạng Lan không dây có thể lọc các gói đi qua mạng dựa trên các giao thức từ lớp 2 đến lớp 7. Trong nhiều trường hợp người quản trị nên cài đặt lọc giao thức trong môi trường dùng chung, ví dụ trong trường hợp sau:
Có một nhóm cầu nối không dây được đặt trên một Remote building trong một mạng WLAN của một trường đại học mà kết nối lại tới AP của tòa nhà kỹ thuật trung tâm. Vì tất cả những người sử dụng trong remote building chia sẻ băng thông 5Mbs giữa những tòa nhà này, nên một số lượng đáng kể các điều khiển trên các sử dụng này phải được thực hiện. Nếu các kết nối này được cài đặt với mục đích đặc biệt của sự truy nhập internet của người sử dụng, thì bộ lọc giao thức sẽ loại trừ tất cả các giao thức, ngoại trừ HTTP, SMTP, HTTPS, FTP…
Next [
**CÁC KIỂU TẤN CÔNG TRONG MẠNG WLAN]=> Be continued!!!...**
**Mọi thắc mắc về bài viết trên cảm phiền các bạn liên hệ tại forum :** [www.wifipro.org](http://www.wifipro.org)
-
-
06-01-2008 16:43
[#9](showthread.php/159638-Wireless-LAN-WLAN-Khái-niệm-mô-hình-và-tiêu-chuẩn?s=b424792f0721a613f462bb14ad899c80&p=985525#post985525)
Registered User
- Tham gia
- 04-01-2007
- Bài viết
- 94
- Like
- 0
- Thanked 8 Times in 8 Posts
**V.CÁC KIỂU TẤN CÔNG TRONG MẠNG WLAN**
Một số hình tấn công xâm nhập mạng không dây phổ biến:
**V.1.** __ROGUE ACCESS POINT__
**1.** **Access Point giả mạo được dùng để mô tả những Access Point được tạo ra một cách vô tình hay cố ý làm ảnh hưởng đến hệ thống mạng hiện có.** __Định nghĩa:__
*Nó được dùng để chỉ các thiết bị hoạt động không dây trái phép mà không quan tâm đến mục đích sử dụng của chúng.*
**2.** __Phân loại:__
**a)** **Một Access Point có thể bất ngờ trở thành 1 thiết bị giả mạo do sai sót trong việc cấu hình. Sự thay đổi trong** *Access Point được cấu hình không hoàn chỉnh*
*),* **Service Set Identifier(SSID** __thiết lập xác thực__, t __hiết lập mã hóa,__… điều nghiêm trọng nhất là chúng sẽ không thể chứng thực các kết nối nếu bị cấu hình sai.
__trong trạng thái xác thực mở(open mode authentication) các người dùng không dây ở trạng thái 1(chưa xác thực và chưa kết nối) có thể gửi các yêu cầu xác thực đến một Access Point và được xác thực thành công sẽ chuyển sang trang thái 2 (được xác thực nhưng chưa kết nối). Nếu 1 Access Point không xác nhận sự hợp lệ của một máy khách do lỗi trong cấu hình, kẻ tấn công có thể gửi một số lượng lớn yêu cầu xác thực, làm tràn bảng yêu cầu kết nối của các máy khách ở Access Point ,__ **Ví dụ:** __làm cho Access Point từ chối truy cập của các người dùng khác__bao gồm cả người dùng được phép truy cập.
**b)** **Access Point giả mạo từ các mạng WLAN lân cận**Các máy khách theo chuẩn 802.11 tự động chọn Access Point có sóng mạnh nhất mà nó phát hiện được để kết nối.
*Windows XP tự động kết nối đến kết nối tốt nhất có thể xung quanh nó. Vì vậy, những người dùng được xác thực của một tổ chức có thể kết nối đến các Access Point của các tổ chức khác lân cận. Mặc dù các Access Point lân cận không cố ý thu hút kết nối từ các người dùng,* **Ví dụ:** __những kết nối đó vô tình để lộ những dữ liệu nhạy cảm.__
**c)** **Access Point giả mạo do kẻ tấn công tạo ra**Giả mạo AP là kiểu tấn công
*cổ điển. Đây là kiểu tấn công mà tin tặc đứng ở giữa và trộm lưu lượng truyền giữa 2 nút. Kiểu tấn công này rất mạnh vì tin tặc có thể trộm tất cả lưu lượng đi qua mạng.* **“man in the middle”**
Rất khó khăn để tạo một cuộc tấn công “man in the middle” trong mạng có dây bởi vì kiểu tấn công này yêu cầu truy cập thực sự đến đường truyền. Trong mạng không dây thì lại rất dễ bị tấn công kiểu này. Tin tặc cần phải tạo ra một AP thu hút nhiều sự lựa chọn hơn AP chính thống.
**AP giả này có thể được thiết lập bằng cách sao chép tất cả các cấu hình của AP chính thống đó là: SSID, địa chỉ MAC v.v.**.Bước tiếp theo là làm cho nạn nhân thực hiện kết nối tới AP giả.
-Cách thứ nhất là đợi cho nguời dùng tự kết nối.
-Cách thứ hai là gây ra một cuộc tấn công từ chối dịch vụ DoS trong AP chính thống do vậy nguời dùng sẽ phải kết nối lại với AP giả.
*đặt AP của mình gần người bị lừa hơn là AP chính thống hoặc sử dụng kỹ thuật anten định hướng.*Sau khi nạn nhân kết nối tới AP giả, nạn nhân vẫn hoạt động như bình thường do vậy nếu nạn nhân kết nối đến một AP chính thống khác thì dữ liệu của nạn nhân đều đi qua AP giả. Tin tặc sẽ sử dụng các tiện ích để ghi lại mật khẩu của nạn nhân khi trao đổi với Web Server. Như vậy tin tặc sẽ có được tất cả những gì anh ta muốn để đăng nhập vào mạng chính thống. Kiểu tấn công này tồn tại là do trong 802.11 không yêu cầu chứng thực 2 hướng giữa AP và nút. AP phát quảng bá ra toàn mạng. Điều này rất dễ bị tin tặc nghe trộm và do vậy tin tặc có thể lấy được tất cả các thông tin mà chúng cần. Các nút trong mạng sử dụng WEP để chứng thực chúng với AP nhưng WEP cũng có những lỗ hổng có thể khai thác. Một tin tặc có thể nghe trộm thông tin và sử dụng bộ phân tích mã hoá để trộm mật khẩu của người dùng
**d)** **Access Point giả mạo được thiết lập bởi chính nhân viên của công ty**Vì sự tiện lợi của mạng không dây
*một số nhân viên của công ty đã tự trang bị Access Point và kết nối chúng vào mạng có dây của công ty.*Do không hiểu rõ và nắm vững về bảo mật trong mạng không dây nên họ vô tình tạo ra một lỗ hỏng lớn về bảo mật. Những người lạ vào công ty và hacker bên ngoài có thể kết nối đến Access Point không được xác thực để đánh cắp băng thông, đánh cắp thông tin nhạy cảm của công ty, sự dụng hệ thống mạng của công ty tấn công người khác,…
**V.2.** __De-authentication Flood Attack(tấn công yêu cầu xác thực lại )__
-Kẻ tấn công xác định mục tiêu tấn công là các người dùng trong mạng wireless và các kết nối của họ(Access Point đến các kết nối của nó).
-Chèn
**các frame yêu cầu xác thực lại**vào mạng WLAN bằng cách giả mạo địa chỉ MAC nguồn và đích lần lượt của Access Point và các người dùng.
-Người dùng wireless khi nhận được frame yêu cầu xác thực lại thì nghĩ rằng chúng do Access Point gửi đến.
-Sau khi ngắt được một người dùng ra khỏi dịch vụ không dây, kẻ tấn công tiếp tục thực hiện tương tự đối với các người dùng còn lại.
-Thông thường người dùng sẽ kết nối lại để phục hồi dịch vụ, nhưng kẻ tấn công đã nhanh chóng tiếp tục gửi các gói yêu cầu xác thực lại cho người dùng.
__Kẻ tấn công sử dụng công cụ có khả năng gửi các gói beacon với địa chỉ vật lý(MAC) giả mạo và SSID giả để tạo ra vô số Access Point giả lập.Điều này làm xáo trộn tất cả các phần mềm điều khiển card mạng không dây của người dùng.__ **V.3.** **Fake Access Point**
**V.4.** __Tấn công dựa trên sự cảm nhận sóng mang lớp vật lý__
**Ta có thể hiểu nôm na là : Kẻ tất công lợi dụng giao thức chống đụng độ CSMA/CA, tức là nó sẽ làm cho tất cả ngừơi dùng nghĩ rằng lúc nào trong mạng cũng có 1 máy tính đang truyền thông. Điều này làm cho các máy tính khác luôn luôn ở trạng thái chờ đợi kẻ tấn công ấy truyền dữ liệu xong => dẫn đến tình trạng ngẽn trong mạng.** **năng lượng máy phát, độ nhạy của máy thu, tần số RF, băng thông và sự định hướng của anten.**Trong 802.11 sử dụng thuật toán đa truy cập cảm nhận sóng mang (CSMA) để tránh va chạm. CSMA là một thành phần của lớp MAC. CSMA được sử dụng để chắc chắn rằng sẽ không có va chạm dữ liệu trên đường truyền. Kiểu tấn công này không sử dụng tạp âm để tạo ra lỗi cho mạng nhưng nó sẽ lợi dụng chính chuẩn đó. Có nhiều cách để khai thác giao thức cảm nhận sóng mang vật lý. Cách đơn giản là làm cho các nút trong mạng đều tin tưởng rằng có một nút đang truyền tin tại thời điểm hiện tại. Cách dễ nhất đạt được điều này là tạo ra một nút giả mạo để truyền tin một cách liên tục. Một cách khác là sử dụng bộ tạo tín hiệu RF. Một cách tấn công tinh vi hơn là làm cho card mạng chuyển vào chế độ kiểm tra mà ở đó nó truyền đi liên tiếp một mẫu kiểm tra. Tất cả các nút trong phạm vi của một nút giả là rất nhạy với sóng mang và trong khi có một nút đang truyền thì sẽ không có nút nào được truyền.
**V.5.** **Tấn công** **ngắt kết nối** __(Disassociation flood attack)__
-Kẻ tấn công xác định mục tiêu ( wireless clients ) và mối liên kết giữa AP với các clients
-Kẻ tấn công gửi
**disassociation frame**bằng cách giả mạo Source và Destination MAC đến AP và các client tương ứng
-Client sẽ nhận các frame này và nghĩ rằng frame hủy kết nối đến từ AP. Đồng thời kẻ tấn công cũng gởi disassociation frame đến AP.
-Sau khi đã ngắt kết nối của một client, kẻ tấn công tiếp tục thực hiện tương tự với các client còn lại làm cho các client tự động ngắt kết nối với AP.
-Khi các clients bị ngắt kết nối sẽ thực hiện kết nối lại với AP ngay lập tức. Kẻ tấn công tiếp tục gởi disassociation frame đến AP và client
**Tips : Có thể ta sẽ rất dễ nhầm lẫn giữa 2 kiều tấn công :** __Disassociation flood attack__và __De-authentication Flood Attack__.
Giống nhau : về hình thức tấn công , có thể cho rằng chúng giống nhau vì nó giống như một đại bác 2 nòng , vừa tấn công
**Access Point**vừa tấn công Client. Và quan trọng hơn hết , chúng "nả pháo" liên tục.
Khác nhau :
+
__De-authentication Flood Attack__: yêu cầu cả AP và client gởi lại frame xác thực=> xác thực failed
+
__Disassociation flood attack :__gởi **disassociation frame làm cho AP và client tin tưởng rằng kết nối giữa chúng đã bị ngắt.** **Kẻ tất công có thể dùng rất nhiều hành động đánh lừa cả Client và Access Point , vậy chúng ta sẽ phải làm gì để biết được "Bộ mặt thật của chúng cũng như cách phòng tránh". Các bạn xin vui lòng chuyển qua chương kế tiếp :**
Câu hỏi đặt ra cho chúng ta bây giờ là :
**Chương 4:** **TÌM HIỂU VỀ IDS (Hệ thống phát hiện xâm nhập) VÀ IDS TRONG MẠNG KHÔNG DÂY**
**Mọi thắc mắc về bài viết trên cảm phiền các bạn liên hệ tại forum :** [www.wifipro.org](http://www.wifipro.org)
-
-
08-01-2008 21:22
[#10](showthread.php/159638-Wireless-LAN-WLAN-Khái-niệm-mô-hình-và-tiêu-chuẩn?s=b424792f0721a613f462bb14ad899c80&p=987316#post987316)
Registered User
- Tham gia
- 04-01-2007
- Bài viết
- 94
- Like
- 0
- Thanked 8 Times in 8 Posts
**Chương 4** **TÌM HIỂU VỀ IDS VÀ IDS TRONG MẠNG KHÔNG DÂY**
**I. IDS(Intrusion Detection Systems)**
**I.1.** __Khái niệm về IDS__
**IDS**(Intrusion Detection System_ hệ thống phát hiện xâm nhập) là một thống giám sát lưu thông mạng, các hoạt động khả nghi và cảnh báo cho hệ thống, nhà quản trị . Ngoài ra **IDS**cũng đảm nhận việc phản ứng lại với các lưu thông bất thường hay có hại bằng cách hành động đã được thiết lập trước như khóa người dùng hay địa chỉ IP nguồn đó truy cập hệ thống mạng,…..
**I** **DS**cũng có thể phân biệt giữa những tấn công bên trong từ bên trong (từ những người trong công ty) hay tấn công từ bên ngoài (từ các hacker). IDS phát hiện dựa trên các dấu hiệu đặc biệt về các nguy cơ đã biết (giống như cách các phần mềm diệt virus dựa vào các dấu hiệu đặc biệt để phát hiện và diệt virus) hay dựa trên so sánh lưu thông mạng hiện tại với **baseline**(thông số đo đạc chuẩn của hệ thống) để tìm ra các dấu hiệu khác thường.
Ta có thể hiểu tóm tắt về IDS như sau :
__+ Chức năng quan trọng nhất :__ **giám sát -cảnh báo - bảo vệ**lưu lượng mạng + các hoạt động khả nghi.
--------Giám sát :
--------
**Cảnh báo :**báo cáo về tình trạng mạng cho hệ thống + nhà quản trị.
--------
**Bảo vệ :**Dùng những thiết lập mặc định và sự cấu hình từ nhà quản trị mà có những hành động thiết thực chống lại kẻ xâm nhập và phá hoại.
__+ Chức năng mở rộng :__
-------
**Phân biệt :**"thù trong giặc ngoài"
-------
**Phát hiện :**những dấu hiệu bất thường dựa trên những gì đã biết hoặc nhờ vào sự so sánh thông lượng mạng hiện tại với **baseline**
**I.2.** **Phân loại IDS**
Có 2 loại IDS là
**Network Based IDS**(NIDS) và **Host Based IDS**(HIDS):
__Được đặt giữa kết nối hệ thống mạng bên trong và mạng bên ngoài để giám sát toàn bộ lưu lượng vào ra.__ **I.2.1.** **NIDS :**
Có thể là một thiết bị phần cứng riêng biệt được thiết lập sẵn hay phần mềm cài đặt trên máy tính. Chủ yếu dùng để đo lưu lượng mạng được sử dụng.Tuy nhiên có thể xảy ra hiện tượng nghẽn cổ chai khi lưu lượng mạng hoạt động ở mức cao.
**NIDS :**------
**Ví trí :**mạng bên trong -- **NIDS**---mạng bên ngoài
------
**Loại :**hardware (phần cứng) hoặc software (phần mềm)
------
**Nhiệm vụ :**chủ yếu giám sát lưu lượng ra vào mạng.
------
**Nhược điểm :**Có thể xảy ra hiện tượng nghẽn khi lưu lượng mạng hoạt động ờ mức cao.
Một số sản phẩm
**NIDS**:
-
**Cisco IDS**
[http://www.cisco.com/en/US/products/...113/index.html](http://www.cisco.com/en/US/products/sw/secursw/ps2113/index.html)
-
**Dragon® IDS/IPS**
[http://www.enterasys.com/products/ad...rotection.aspx](http://www.enterasys.com/products/advanced-security-apps/dragon-intrusion-detection-protection.aspx)
__Được cài đặt cục bộ trên một máy tính làm cho nó trở nên linh hoạt hơn nhiều so với NIDS. Kiểm soát lưu lượng vào ra trên một máy tính, có thể được triển khai trên nhiều máy tính trong hệ thống mạng. HIDS có thể được cài đặt trên nhiều dạng máy tính khác nhau cụ thể như các máy chủ, máy trạm, máy tính xách tay. HIDS cho phép bạn thực hiện một cách linh hoạt trong các đoạn mạng mà NIDS không thể thực hiện được. Lưu lượng đã gửi tới máy tính HIDS được phân tích và chuyển qua nếu chúng không chứa mã nguy hiểm. HIDS được thiết kế hoạt động chủ yếu trên hệ điều hành Windows , mặc dù vậy vẫn có các sản phẩm hoạt động trong nền ứng dụng UNIX và nhiều hệ điều hành khác.__ **I.2.2.** **HIDS**
**HIDS :**------
**Ví trí :**cài đặt cục bộ trên máy tính và dạng máy tính => linh hoạt hơn **NIDS.**
------
**Loại :**software (phần mềm)
------
**Nhiệm vụ :**phân tích lưu lượng ra vào mạng chuyển tới máy tính cài đặt **HIDS**
------
**Ưu điểm :**
----------------+ Cài đặt trên nhiều dạng máy tính : xách tay, PC,máy chủ ...
----------------+ Phân tích lưu lượng mạng rồi mới forward.
------
**Nhược điểm :**Đa số chạy trên hệ điều hành Window . Tuy nhiên cũng đã có 1 số chạy được trên Unix và những hệ điều hành khác.
Một số sản phẩm
**HIDS :**-
**Snort(Miễn phí_ open source)**
Liên hệ:
[http://www.snort.org/](http://www.snort.org/)
-
**GFI EventsManager 7**
Liên hệ:
[http://www.gfi.com/lanselm/?adv=142&...ickid=13108213](http://www.gfi.com/lanselm/?adv=142&loc=35&adclickid=13108213)
-
**ELM** **5** **.0 TNT software** **:**
Liên hệ:
[http://www.tntsoftware.com/default.aspx](http://www.tntsoftware.com/default.aspx)
**I.3.** **Các kỹ thuật xử lý dữ liệu được sử dụng trong các hệ thống phát hiện xâm nhập** **Phụ thuộc vào kiểu phương pháp được sử dụng để phát hiện xâm nhập, các cơ chế xử lý khác nhau cũng được sử dụng cho dữ liệu đối với một** __:__
**IDS**.
-
**Hệ thống Expert**(Expert systems)
**Hệ thống này làm việc trên một tập các nguyên tắc đã được định nghĩa từ trước để miêu tả các tấn công.**Tất cả các sự kiện có liên quan đến bảo mật đều được kết hợp vào cuộc kiểm định và được dịch dưới dạng nguyên tắc *. Lấy ví dụ* **if-then-else** **Wisdom & Sense và ComputerWatch**(được phát triển tại AT&T). **-Phát hiện xâm nhập dựa trên luật(Rule-Based Intrusion Detection):**
Giống như phương pháp hệ thống Expert, phương pháp này dựa trên những hiểu biết về tấn công. Chúng biến đổi sự mô tả của mỗi tấn công thành định dạng kiểm định thích hợp. Như vậy, dấu hiệu tấn công có thể được tìm thấy trong các bản ghi(record). Một kịch bản tấn công có thể được mô tả, ví dụ như một chuỗi sự kiện kiểm định đối với các tấn công hoặc mẫu dữ liệu có thể tìm kiếm đã lấy được trong cuộc kiểm định.
**Phương pháp này sử dụng các từ tương đương trừu tượng của dữ liệu kiểm định. Sự phát hiện được thực hiện bằng cách sử dụng chuỗi văn bản chung hợp với các cơ chế.**Điển hình, nó là một kỹ thuật rất mạnh và thường được sử dụng trong các hệ thống thương mại (ví dụ như: **Cisco Secure IDS, Emerald eXpert-BSM(Solaris)**). **-Phân biệt ý định người dùng(User intention identification):**
**Kỹ thuật này mô hình hóa các hành vi thông thường của người dùng bằng một tập nhiệm vụ mức cao mà họ có thể thực hiện được trên hệ thống (liên quan đến chức năng người dùng).**Các nhiệm vụ đó thường cần đến một số hoạt động được điều chỉnh sao cho hợp với dữ liệu kiểm định thích hợp. Bộ phân tích giữ một tập hợp nhiệm vụ có thể chấp nhận cho mỗi người dùng. Bất cứ khi nào một sự không hợp lệ được phát hiện thì một cảnh báo sẽ được sinh ra. **-Phân tích trạng thái phiên (State-transition analysis):**
**Một tấn công được miêu tả bằng một tập các mục tiêu và phiên cần được thực hiện bởi một kẻ xâm nhập để gây tổn hại hệ thống.**Các phiên được trình bày trong sơ đồ trạng thái phiên. Nếu phát hiện được một tập phiên vi phạm sẽ tiến hành cảnh báo hay đáp trả theo các hành động đã được định trước. **-Phương pháp phân tích thống kê (Statistical analysis approach):**
**Đây là phương pháp thường được sử dụng.**
**Hành vi người dùng hay hệ thống (tập các thuộc tính) được tính theo một số biến thời gian.**Ví dụ, các biến như là: đăng nhập người dùng, đăng xuất, số tập tin truy nhập trong một khoảng thời gian, hiệu suất sử dụng không gian đĩa, bộ nhớ, CPU,… Chu kỳ nâng cấp có thể thay đổi từ một vài phút đến một tháng. Hệ thống lưu giá trị có nghĩa cho mỗi biến được sử dụng để phát hiện sự vượt quá ngưỡng được định nghĩa từ trước. Ngay cả phương pháp đơn giản này cũng không thế hợp được với mô hình hành vi người dùng điển hình. Các phương pháp dựa vào việc làm tương quan thông tin về người dùng riêng lẻ với các biến nhóm đã được gộp lại cũng ít có hiệu quả.
Vì vậy, một mô hình tinh vi hơn về hành vi người dùng đã được phát triển bằng cách sử dụng thông tin người dùng ngắn hạn hoặc dài hạn. Các thông tin này thường xuyên được nâng cấp để bắt kịp với thay đổi trong hành vi người dùng. Các phương pháp thống kê thường được sử dụng trong việc bổ sung trong
**IDS**dựa trên thông tin hành vi người dùng thông thường. **Wireless IDS : II.** **Wireless IDS**
-
## Bookmarks

Set-Cookie: bb_lastactivity=0; expires=Tue, 21-Apr-2015 13:14:23 GMT; path=/

Content-Encoding: gzip