Bảo mật web: Chương 7

CHNG 7

BO MT WEB

I- TNG QUAN V BO MT WEB

I.1- Gii thiu

Web là dch v quan trng bc nht hin nay trong s các dch v ca mng Internet.

Rt nhiu ng dung ưc xây dng trên nn Web, c bit là các ng dng thương mi in

t. Tính an toàn ca dch v này vì th tr thành yêu cu bt buc.

Tuy nhiên, cng ging như nhng ng dng khác trên nn mng Internet, Web cng

tha hưng nhng im mnh ca cơ s h tng mng và b giao thc TCP/IP, nhưng cng

ng thi i din vi nhng thách thc v bo mt. Ngoài ra, bn thân công ngh Web cng

t nó n cha mt s nguy cơ c thù. Có th k ra nhng thách ln i vi dch v Web như

• Web là mt công ngh phc tp. Mc dù vic s dng Web browser  truy

xut Web là ơn gin, vic cài t và cu hình mt Web server là ơn gin, c

vic xây dng các ng dng Web vi s h! tr ca các công c mnh hin nay

cng là ơn gin, nhưng kin trúc bên trong ca dch v Web li là mt h

thng ht sc phc tp. S phc tp này n cha nhng nguy cơ tim tàng v

bo mt. Trong thc t, nhng l!i bo mt xut phát t bên trong công ngh là

khá nghiêm trng, có th d"n n nhng tn công nguy him i vi h thng.

• Web server là nơi giao tip vi th gii mng bên ngoài, cng ng thi là nơi

có kt ni gn gi vi các h qun tr cơ s d liu bên trong. Nên trong a s

các trưng hp tn công, thì Web server chính là ca ngõ thích hp nht 

hacker bt u, t ó tin sâu vào các cơ si73 d liu quan trng bên trong.

• Ngưi dùng Internet thuc nhiu thành phn khác nhau, và a s không có

kin thc và ít quan tâm n vn  bo mt, k c nhng thông báo rt c th

ca Web browser trong các tình hung nguy him. Do ó, các tn công hưng

v phía ngưi dùng cng là mt trong nhng sơ h nghiêm trng ca Web.

I.2- Các nguy cơ tn công bo mt i vi dch v Web

Các nguy cơ tn công an ninh i vi dch v Web có th phân thành 4 nhóm như sau:

• Tn công vào thuc tính toàn v#n ca thông tin trên Web (integrity): gm các

tn công như thay $i d liu ca ngưi dùng, thay $i d liu trong quá trình

trao $i gia web server và web browser, tác ng vào b nh web server

thông qua các l!i tràn b m, … Các tn công loi này gây ra mt thông tin,

cho phép hacker xâm nhp và h thng và t ó to ra nhiu l! h$ng bo mt

khác. % ng&n chn các tn công thuc nhóm này, k' thut mã hóa và xác

thc thông tin là gii pháp hu hiu nht.

• Tn công vào thuc tính bí mt ca thông tin trên Web (confidentiality): gm

các tn công như c lén trên ưng truyn, ly cp d liu trên server, ly cp

d liu trên máy ngưi dùng, do thám thông tin v cu hình mng, … Các tn

công này gây mt thông tin và tit l các thông tin cá nhân ca ngưi dùng.

Gii pháp ng&n chn các tn công loi này là dùng các k' thut mã hóa và web

proxy.

• Tn công t chi dch v (DoS): gm các tn công như tt các lung x lý ca

user, chim tài nguyên ca web server (b&ng thông, (a cng, b nh) và tn

công vào các cơ s d liu DNS nh)m cô lp Web server. Hu qu mà các tn

công này gây ra thưng là làm gián on dch v, gây khó chu cho ngưi dùng

và thm chí ng&n chn các truy xut hp l ca ngưi dùng. Các tn công dng

này hin nay chưa có gii pháp c th.

• Tn công các cơ ch xác thc ca dch v Web (authentication): bao gm gi

danh ngưi dùng và gi mo d liu. Các tn công này cng ưc gii quyt

b)ng các k' thut mt mã i xng và bt i xng.

Hình 7.1: Các ng dng bo mt trong mô hình TCP/IP

Ngoài cách phân loi các nguy cơ bo mt như trên, còn có mt cách phân loi khác là

da vào v trí ca các nguy cơ này trong mô hình hot ng ca dch v Web. Theo ó, các

nguy cơ tn công bo mt i vi dch v Web có th xut hin  3 v trí như sau:

• Các nguy cơ  phía web server

• Các nguy cơ  phía web client

• Các nguy cơ trên ưng truyn d liu.

Cho dù có dùng cách phân loi nào i na, thì các gii pháp bo mt cho dch v WeB thưng

tp trung vào hai nhóm như sau:

• Gia c Web server và Web client dùng các công c h! tr và các bn cp nht

thưng xuyên ca nhà sn xut.

• %m bo tính toàn v#n, bí mt và xác thc ca d liu trao $i gia web

browser và web server dùng các công c mã hóa và xác thc.

Trong phm vi tài liu này, các gii pháp bo mt dch v web ưc mô t tp trung

vào nhóm gii pháp mt mã hc. %ây là nhóm gii pháp nn tng và có th áp dng thng

nht cho các tình hung mà không cn phân bit các cơ s h tng mà web ưc trin khai

(như h iu hành, phn mm web server và các phn mm ng dng trên nn web). Nhóm

gii pháp này bao gm:

1. Trin khai IPSec trên các kt ni gia Web server và Web client

2. Dùng giao thc bo mt SSL

3. Mô hình giao dch an toàn SET

4. Các giao thc xác thc an toàn

IPSec ã ưc trình bày  chương trưc. Phn còn li ca chương này tp trung vào

giao thc bo mt SSL, mô hình giao dch an toàn SET và các giao thc xác thc  mc ng

dng.

Hình 3.13: Cu trúc SSL

Giao th

c

bt tay

SSL

Giao th

c

thay i

thông s mã

Giao th

c

cnh bo

HTTP

Giao thc truyn d liu

TCP

II- GIAO THC BO MT SSL

Secure Sockets layer hay SSL là mt giao thc bo mt ưc Netscape thit k nh)m

cung cp các kt ni bo mt cho các ng dng trên nn giao thc TCP/IP. SSL ã ưc

chu n hóa và s dng rng rãi trong nhiu ng dng trên mng Internet như web, mail, …

Phiên bn hin ti ca SSL là 3.0. Phiên bn SSL ưc IEEE chu n hóa là ưc gi là TLS

(Transport Layer Security), và ưc xem như là SSL phiên bn 3.1.

II.1- Cu trúc SSL

SSL thc ra bao gm hai lp giao thc n)m phía trên TCP. Lp th nht là giao thc

truyn d liu SSL (SSL record protocol) và lp th hai gm mt tp các giao thc ph tr

(hình 3.13). Phn này gii thiu khái quát các thành phn ca SSL.

Hai khái nim cơ bn thưng ưc dùng trong SSL là kt ni (connection) và phiên

giao dch (session).

-Kt ni là mt kt ni (tm thi) gia mt u cui này vi mt u cui kia  cung

cp mt lai dch v thích hp. M!i kt ni liên kt vi mt phiên giao dch (session).

-Phiên giao dch là mt liên kt gia mt máy con và mt máy ch, ưc to ra bi

giao thc SSL Handshake protocol. Phiên giao dch nh ngh(a các tham s bo mt

dùng chung cho nhiu kt ni.

Trng thái ca phiên giao dch ưc nh ngh(a bi các thông s sau ây:

• Nhn dng phiên (Session identifier): Mt chu!i byte ng"u nhiên ưc server

chn  nhn dng mt trng thái ca phiên giao dch.

• Chng thc khóa i phưng (Peer certificate): Chng thc khóa công khai

(X509.v3) ca thc th i phương. Thành phn này có th có hoc không.

• Phưng pháp nén (Compression method): Gii thut nén d liu trưc khi mã

hóa.

• Thut tóan mã (Cipher spec): Xác nh thut toán mã hóa và hàm b&m ưc s

dng cho phiên giao dch.

• Khóa (Master secret): Khóa bí mt (48-byte) dùng chung gia máy con và

server.

• Kh nng phc hi (Is resumable): Cho bit phiên giao dch này có th khi

to mt kt ni mi hay không.

Tương t, các thông s nh ngh(a trng thái ca mt kt ni bao gm:

• S nhn dng ngu nhiên (Server and client random): Chu!i byte chn ng"u

nhiên bi server và client, có chc n&ng phân bit các kt ni vi nhau.

• Khóa xác thc ca máy ch (Server write MAC secret): Khóa bí mt dùng 

tính giá tr xác thc MAC trên d liu gi i t server.

• Khóa xác thc ca máy con (Client write MAC secret): Khóa bí mt dùng 

tính giá tr xác thc MAC trên d liu gi i t máy con.

• Khóa mt mã ca máy ch (Server write key): Khóa bí mt dùng  mt mã

hóa d liu gi i t server.

• Khóa mt mã ca máy con (Client write key): Khóa bí mt dùng  mt mã

hóa d liu gi i t client.

• Vector khi to (Initialization vectors): vec-tơ khi to (IV) dùng trong ch 

mã hóa CBC (Chaining Bock Cipher). Giá tr này ưc khi to bi giao thc

SSL record.

• S th t gói (Sequence numbers): S th t ca các bn tin ưc gi i và

nhn v trên kt ni.

II.2- Giao thc truyn d liu SSL:

Giao thc truyn d liu SSL (SSL record protocol) cung cp 2 dch v cơ bn cho các

kt ni SSL là dch v bo mt và dch v tòan vn d liu.

Hình 3.14 mô t hat ng ca giao thc truyn d liu SSL. Theo ó, các thao tác mà

SSL thc hin trên d liu bao gm: phân an d liu (fragmentation), nén d liu

(compression), xác thc d liu (MAC), mã hóa, thêm các tiêu  cn thit và cui cùng gi

D liu gc

Phân on

Nén

n thông tin

xác thc (MAC)

Mt mã hoá

n ti

êu 

 g

iao

thc SSL record

Hình 3.14: Hot ng ca giao thc truyn d liu SSL

tòan b an thông tin trên trong mt segment TCP. * phía nhn, quá trình ưc thc hin

ngưc li.

Cu trúc gói d liu SSL record gm các thành phn sau (hình 3.15):

• Kiu d liu (Content Type - 8 bits): Giao thc lp trên. Giao thc này s+ x lý

thông tin trong gói d liu SSL.

• Phiên bn chính (Major Version - 8 bits): Phiên bn chính ca SSL. %i vi

SSL v3, giá tr này là 3.

• Phiên bn ph (Minor Version - 8 bits): Phiên bn ph ca SSL. Ví d: i vi

SSLv3 thì giá tr trưng này là 0.

• Kích thưc d liu (Compressed Length -16 bits): Chiu dài ca phn d liu

(plaintext), tính theo byte.

• D liu (Plaintext): D liu ca lp trên ưc chuyn i trong gói SSL record.

D liu này có th ưc nén hoc không.

• Mã xác thc (MAC): Mã xác thc, có kích thưc = 0 byte nu không dùng

chc n&ng xác thc.

Hai chc n&ng quan trng nht ca SSL record là mã hóa và xác thc thông tin. Các

thut toán mã hóa có th dùng trong SSL bao gm:

-Các thut toán mã khi:

• AES (khóa 128/256 bit)

• IDEA (khóa 128 bit)

• RC2-40 (khóa 40 bit)

• DES-40 (khóa 40 bit)

• DES-56 (khóa 56 bit)

• 3DES 3 khóa (168 bit)

Kiu d

liu

Phiên bn

chính

Phiên bn

ph

Kích thưc

d liu

D liu

(có th nén hoc không nén)

Mã xác thc (0, 16 hoc 20 byte)

Thông tin

c mã

hoá

Hình 3.15: Cu trúc gói SSL record

Chương 7 " Bảo mật web"

Web là dịch vụ quan trọng nhất hiện nay trong các dịch vụ Internet, rất nhiều ứng dụng được xây dựng trên nền web đặc biệt là các thương mại điện tử. Tính toàn của dịch vụ này vì thế trở thành yêu cầu bắt buộc.

Chủ đề:

Tài liệu liên quan

Tài liêu mới

AI tóm tắt

Giới thiệu tài liệu

Đối tượng sử dụng

Từ khoá chính

Nội dung tóm tắt

Hỗ trợ

Phương thức thanh toán

Theo dõi chúng tôi