Đồ án tốt nghiệp WCDMA: Tìm hiểu thủ tục và hiện thực trong mạng WCDMA

Tìm hiểu các thủ tục và nhận thực trong mạng WCDMA

LỜI CẢM ƠN

Sau gần 2 tháng nghiên cứu em đã hoàn thành đồ án tốt nghiệp của mình. Tập đồ

án này là kết quả ba năm học tập tại trường Cao Đẳng Công Nghệ Thông Tin Hữu

Nghị Việt-Hàn – Khoa Tin Học Ứng Dụng – Chuyên Ngành Tin Học Viễn Thông và

em xin gửi lời cảm ơn chân thành nhất của em đến tất cả các thầy cô giáo trong khoa,

những người đã tận tâm, nhiệt tình giảng dạy tất cả các môn học để em có kiến thức để

thực hiện tốt đề tài này.

Qua đây, em cũng xin gửi lời cảm ơn đến thầy Dương Hữu Ái, người đã tận tình

hướng dẫn em trong suốt thời gian qua.

Bên cạnh đó, em xin gửi lời cảm ơn của mình đến gia đình, những người đã tạo

mọi điều kiện thuận lợi cho em trong việc học tập và động viên giúp đỡ em cố gắng

làm tốt đề tài tốt nghiệp.

Sau cùng, là lời cảm ơn đến tất cả các bạn bè, các anh chị đã giúp đỡ em trong

suốt quá trình hoc tập tại trường.

Đà Nẵng, ngày 31 tháng 05 năm 2013

Sinh viên

SVTH: Nguyễn Trúc Giang _ CCVT03B

Nguyễn Trúc Giang

Tìm hiểu các thủ tục và nhận thực trong mạng WCDMA

MỤC LỤC

LỜI CẢM ƠN i

MỤC LỤC ii

THUẬT NGỮ VIẾT TẮT v

DANH MỤC HÌNH xi

MỞ ĐẦU 1

CHƯƠNG I: TỔNG QUAN VỀ THÔNG TIN DI ĐỘNG VÀ CÁC VẤN ĐỀ AN

NINH TRONG THÔNG TIN DI DỘNG 2

1.1 TỔNG QUAN VỀ THÔNG TIN DI ĐỘNG ..................................................... 2

1.1.1 Công nghệ vô tuyến thế hệ 1 ....................................................................... 3

1.1.2 công nghệ vô tuyến thế hệ 2 ........................................................................ 3

1.1.3 Các công nghệ tiến tới 3G ........................................................................... 4

1.2 CÁC VẤN ĐỀ AN NINH TRONG THÔNG TIN DI DỘNG ......................... 7

1.2.1 Các yếu tố cần thiết để tạo một môi trường an ninh ................................ 7

1.2.1.1 Nhận thực .............................................................................................. 7

1.2.1.2 Tính toàn vẹn dữ liệu ............................................................................ 7

1.2.1.3 Tính bí mật ............................................................................................. 7

1.2.1.4 Phân quyền ............................................................................................ 7

1.2.1.5 Tính không thể phủ nhận ..................................................................... 8

1.2.2 Các nguy cơ an ninh mạng .......................................................................... 8

1.2.2.1 Giả mạo .................................................................................................. 8

1.2.2.2 Thăm dò ................................................................................................. 8

1.2.2.3 Làm sai lệch số liệu ............................................................................... 8

1.2.2.4 Đánh cắp ................................................................................................ 8

1.2.3 Những thách thức trong môi trường nối mạng vô tuyến ......................... 9

1.2.3.1 Thách thức thứ nhất: Các liên kết mạng vô tuyến .............................. 9

1.2.3.2 Thách thức thứ hai: Tính di dộng của người dùng ............................. 9

1.2.3.3 Thách thức thứ ba: tính di chuyển được của thiết bị ........................ 10

CHƯƠNG II: CÁC KỸ THUẬT AN NINH DÙNG TRONG THÔNG TIN DI ĐỘNG

2.1 KỸ THUẬT MẬT MÃ ...................................................................................... 12

SVTH: Nguyễn Trúc Giang _ CCVT03B

2.1.1 Mật mã số liệu ............................................................................................ 12

Tìm hiểu các thủ tục và nhận thực trong mạng WCDMA

2.1.2 Chữ ký số .................................................................................................... 13

2.1.2.1 Hàm Hash ............................................................................................ 14

2.1.2.2 Thủ tục ký và kiểm tra ......................................................................... 15

2.1.2.3 Tấn công của kẻ xen giữa (the Man-in-the-Midle) ........................... 16

2.2 CHỨNG NHẬN SỐ ........................................................................................... 17

2.3 CƠ SỞ HẠ TẦNG KHÓA CÔNG CỘNG ...................................................... 18

2.4 CÁC GIAO THỨC CHÍNH ............................................................................. 21

2.4.1 Lớp các ổ cắm an toàn (SSL - Secure Sockets Layer) ............................ 21

2.4.2 An ninh lớp truyền tải (TLS - Transport Layer Security)..................... 21

2.4.3 An ninh lớp truyền tải vô tuyến (WTLS) ................................................ 22

2.4.4 An ninh IP (IPSec) ..................................................................................... 22

2. 5 CÁC KỸ THUẬT AN NINH KHÁC .............................................................. 22

2.5.1 Tường lửa ................................................................................................... 23

2.5.2 Mạng riêng ảo (VPN) ................................................................................. 23

2.5.3 Nhận thực hai lần ....................................................................................... 24

2.5.4 Nhận thực bằng phương pháp sinh học ................................................... 24

2.5.5 Chính sách an ninh .................................................................................... 25

2.6 AN NINH WAP ................................................................................................. 25

2.6.1 An ninh lớp truyền tải ............................................................................... 26

2.6.1.1 WTLS .................................................................................................... 26

2.6.1.2 Kẽ hở WAP ........................................................................................... 27

2.6.1.3 WAP 2.x ................................................................................................ 28

2.6.2 An ninh lớp ứng dụng ................................................................................ 28

2.7 AN NINH CLIENT THÔNG MINH ............................................................... 29

2.7.1 Nhận thực người dùng ............................................................................... 29

2.7.2 An ninh kho số liệu .................................................................................... 30

2.7.3 An ninh lớp truyền tải ............................................................................... 31

CHƯƠNG III: NHẬN THỰC TRONG MẠNG TỔ ONG SỐ 32

THẾ HỆ HAI 32

3.1 MỞ ĐẦU ............................................................................................................ 32

3.2 NHẬN THỰC THUÊ BAO TRONG GSM .................................................... 32

SVTH: Nguyễn Trúc Giang _ CCVT03B

iii

3.2.1.Thành phần hệ thống của cấu trúc an ninh GSM .................................. 32

Tìm hiểu các thủ tục và nhận thực trong mạng WCDMA

3.2.1.1. SIM ...................................................................................................... 32

3.2.1.2 GSM hand set ....................................................................................... 33

3.2.1.3 HLR/AuC ............................................................................................. 33

3.2.1.4. VLR ..................................................................................................... 33

3.2.2. Các thành phần dữ liệu trong giao thức nhận thực GSM .................... 34

3.2.2.1 Các thành phần của bộ ba .................................................................. 34

3.2.2.2 Các thành phần dữ liệu cần thiết khác .............................................. 35

3.2.3 Hoạt động của giao thức nhận thực GSM ............................................... 35

3.3 NHẬN THỰC THUÊ BAO TRONG DECT .................................................. 37

3.3.1 Nhân tố dữ liệu và các thuật toán trong giao thức nhận thực trong

DECT ................................................................................................................... 37

3.3.2 Hoạt động của giao thức nhận thực DECT ............................................ 38

3.4 NHẬN THỰC THUÊ BAO TRONG USDC ................................................... 40

3.4.1 Các thành phần dữ liệu và thuật toán trong giao thức nhận thực -

USDS .................................................................................................................... 40

3.4.2 Hoạt độngcủa giao thức nhận thực USDC .............................................. 41

CHƯƠNG IV: THẾ HỆ 3 - NHẬN THỰC VÀ BẢO MẬT TRONG UMTS 43

4.1 GIỚI THIỆU VỀ UMTS .................................................................................. 43

4.2 CƠ SỞ NGUYÊN LÝ CỦA AN NINH UMTS THẾ HỆ 3 ............................ 44

4.3 LĨNH VỰC NÂNG CAO AN NINH ĐỐI VỚI UMTS .................................. 45

4.4 CÁC LĨNH VỰC AN NINH CỦA UMTS ...................................................... 46

4.4.1 An ninh truy nhập mạng ........................................................................... 46

4.4.2 An ninh lĩnh vực mạng .............................................................................. 47

4.4.3 An ninh lĩnh vực người sử dụng ............................................................... 47

4.4.4 An ninh lĩnh vực ứng dụng ....................................................................... 48

4.4.5 Visibility và Configurability trong an ninh ............................................. 48

4.5 NHẬN THỰC THUÊ BAO UMTS TRONG GIAI ĐOẠN NGHIÊN CỨU 49

4.5.1 Diễn tả về giao thức khoá chung của Siemens cho UMTS .................... 50

4.5.2 Sự thực hiện nhận thực thuê bao trong UMTS ....................................... 51

KẾT LUẬN VÀ HƯỚNG PHÁT TRIỂN ĐỀ TÀI 55

SVTH: Nguyễn Trúc Giang _ CCVT03B

TÀI LIỆU THAM KHẢO 56

Tìm hiểu các thủ tục và nhận thực trong mạng WCDMA

THUẬT NGỮ VIẾT TẮT

2G 2nd Generation Thế hệ 2

3G 3rd Generation Thế hệ 3

3GPP Third Generation Partnership Project Dự án hợp tác thế hệ 3

ACLs Access Control Lists Danh sách điều khiển truy

nhập

ACTS Advanced Communication Các công nghệ và dịch vụ

Technologies and Services truyền thông tiên tiến

AES Advanced Encyption Standard Tiêu chuẩn mã hóa cải tiến

AK Anonymity Key Khoá nặc danh

AKA Authentication and Key Argreement Nhận thực và thống nhất

khoá

AMF Advance Mobile Phone System Hệ thống điện thoại di động

tiên tiến

AMPS Analog Mobile Phone Systems Hệ thống điện thoại di động

tương tự

ANSI American National Standards Institude Viện tiêu chuẩn Hoa Kỳ

API Application Program Interface Giao diện chương trình ứng

dụng

ASPECT Advanced Security for Personal An ninh cải tiến cho công

Communications Technology nghệ truyền thông cá nhân

AuC Authentication Center Trung tâm nhận thực

AUTN Authentication token Dấu hiệu nhận thực mạng

AV Authentication Vector Véc tơ nhận thực

BS Base Station Trạm gốc

BSS Base Statiom Subsystem Phân hệ trạm gốc

BSSGP Base Station System GPRS Protocol Giao thức GPRS hệ thống

trạm gốc

SVTH: Nguyễn Trúc Giang _ CCVT03B

BTS Base Transceiver Station Trạm thu phát gốc

Tìm hiểu các thủ tục và nhận thực trong mạng WCDMA

Certificate Authority Thẩm quyền chứng nhận CA

CDMA Code Division Multiple Access Đa truy nhập phân chia theo

mã

CLR Certificate Revocation Lists Danh sách huỷ bỏ chứng

nhận

Connection Management Quản lý kết nối CM

DECT Digital European Cordless Telephone Điện thoại không dây số

châu Âu

DECT IN DECT Indentification Number Số nhận dạng thuê bao

DECT cá nhân

DES Data Encyption Standard Tiêu chuẩn mật mã hoá số

liệu

Elliptic Curve Cryptography Mã đường cong ellip ECC

EDGE Enhanced Data Rates for Global Nâng cao tốc độ dữ liệu cho

Evolution sự phát triển toàn cầu

Equipment Identity Register Bộ nhận dạng thiét bị EIR

European Telecommunications Viện tiêu chuẩn viễn thông ETSI

Standards Institute châu Âu

Encapsulating Security Payload Tải tin an ninh đóng bao ESP

FDMA Frequency Division Multiple Access Đa truy nhập phân chia theo

tần số

File Transfer Protocol Giao thức truyền file FTP

GMM/SM GPRS Mobility Management Giao thức quản lý di động

GPRS

GMSC Gateway MSC MSC cổng

GSM Global System for Mobile Hệ thống thông tin di động

SVTH: Nguyễn Trúc Giang _ CCVT03B

Communication toàn cầu

Tìm hiểu các thủ tục và nhận thực trong mạng WCDMA

GPRS General Packet Radio Service Dịch vụ vô tuyến gói chung

Home Environment Môi trường thường trú HE

Home Location Register Bộ ghi định vị thường trú HLR

HSCSD High Speed Circuit-Switched Data Dữ liệu chuyển mạch tồc độ

cao

HTTP Hypertext Transfer Protocol Giao thức chuyển giao siêu

văn bản

IDEA International Data Encryption

Algorithms

Internet Engineering Task Force Lực lượng kỹ thuật Internet IETF

Integrity key Khoá toàn vẹn IK

Internet Message Access Protocol Giao thức truy nhập bản tin IMAP

Internet

IMEI International Mobile Equipment Nhận dạng thiết bị di động

Indentifier Quốc tế

IMSI International Mobile Subscriber Số nhận dạng thuê bao di

động quốc tế Identity

IMT-2000 International Mobile Tiêu chuẩn viễn thông di

Telecommunication 2000 động Quốc tế 2000

IMUN International Mobile User Number Chỉ số người sử dụng thuê

bao di động quốc tế

Internet Protocol Giao thức Internet IP

Internet Protocol Security An ninh IP IPSec

Integrated Services Digital Network Mạng số tích hợp nhiều dịch ISDN

vụ

ITU International Telecommunications Liên minh viễn thông Quốc

Union tế

Location Area Indentifier Nhận dạng vùng định vị LAI

SVTH: Nguyễn Trúc Giang _ CCVT03B

vii

Logical Link Control Giao thức điều khiển liên kết LLC

Tìm hiểu các thủ tục và nhận thực trong mạng WCDMA

logic

MAC Message authentication code Mã nhận thực bản tin

MAC-A MAC used for authentication and key MAC sử dụng để nhận thực

agreement và thống nhất khoá

MAC-I MAC used for data integrity of MAC sử dụng để bảo vệ tính

signalling messages toàn vẹn số liệu báo hiệu

MAP Mobile Application Part Phần ứng dụng di động

MD Message Degest Tóm tắt bản tin

MSC Mobile Switching Centre Trung tâm chuyển mạch di

động

MTP Message Transfer Protocol Giao thức truyền bản tin

NMT Nordic Mobile Telephony Điện thoại di động bắc Âu

PC Personal Computer Máy tính cá nhân

PDA Personal Digital Assistant Thiết bị hỗ trợ cá nhận số

PDC Personal Digital Communications Truyền thông số cá nhân

PIN Personal Identification Code Mã nhận dạng cá nhân

PKI Public Key Infrastructure Cơ sở hạ tầng khoá công

cộng

PLMN Public Land Mobile Network Mạng di động mặt đất công

cộng

RSA Rivest-Shamir-Adlemen Thuật toán mật mã hóa và

kiểm chứng quyền tiếp nhận

SA Security Association

SAD Security Association Database Cơ sở dữ liệu liên kết an ninh

SCCP Signaling Connection and Control Part Kết nối báo hiệu và phần

SVTH: Nguyễn Trúc Giang _ CCVT03B

viii

điều khiển

Tìm hiểu các thủ tục và nhận thực trong mạng WCDMA

SCK Static Cipher Key Khóa mã hóa tĩnh

SGSN Serving GPRS Support Node Node hỗ trợ GPRS phục vụ

SIM GSM Subscriber Identity Module Môdun nhận dạng thuê bao

GSM

SNDCP Sub-Network Dependent Convergence Giao thức hội tụ phụ thuộc

Protocol mạng con

SPD Security Policy Database Cơ sở dữ liệu chính sách an

ninh

Secure Sockets Layer Lớp ổ cắm an toàn SSL

TACS Total Access Communication Systems Hệ thống truyền thông truy

nhập toàn cầu

TDM Time Division Multiplexing Phân chia theo thời gian

TDMA Time Division Multiple Access Đa truy nhập phân chia theo

thời gian

TMSI Tempoary Mobile Subscriber Identity Số nhận dạng thuê bao di

động tạm thời

Transport Layer Security An ninh lớp truyền tải TLS

User Authentication Key UAK

User Datagram Protocol Giao thức bó số liệu người sử UDP

dụng

UMI

Universal Mobile Telecommunications Hệ thống viễn thông di động UMTS

System toàn cầu

URL

Universal Wireless Communication Truyền thông vô tuyến toàn UWC

cầu

Visitor Location Register Bộ ghi định vị tạm trú VLR

SVTH: Nguyễn Trúc Giang _ CCVT03B

Virtual Private Network Mạng riêng ảo VPN

Tìm hiểu các thủ tục và nhận thực trong mạng WCDMA

Wireless Application Protocol Giao thức ứng dụng vô tuyến WAP

WCDMA Wideband Code Division Multiple Đa truy nhập phân chia theo

Access mã băng rộng

Wired Equivalent Privacy WEP

WLAN

Wireless Transport Layer Security WTLS

XRES EXpected user RESponse Đáp ứng người sử dụng

SVTH: Nguyễn Trúc Giang _ CCVT03B

mong đợi

Tìm hiểu các thủ tục và nhận thực trong mạng WCDMA

DANH MỤC HÌNH

Hình 1.1: Lộ trình phát triển các thế hệ thông tin di động ............................................. 2

Hình 1.2: Các phương pháp đa truy nhập....................................................................... 4

Hình 1.3: Kiến trúc mạng GPRS ..................................................................................... 5

Hình 1.4: Các giao thức sử dụng ở GPRS ...................................................................... 6

Hình 2.1. Gửi bản tin sử dụng mật mã hoá ................................................................... 12

Hình 2.2. Thủ tục ký và kiểm tra chữ ký ........................................................................ 16

Hình 2.3. PKI dựa trên phân cấp CA phân bố .............................................................. 19

Hình 3.2: Minh hoạ luồng thông tin trong chuỗi nhận thực thuê bao GSM ................. 36

Hình 3.3: Quá trình vào ra dữ liệu của thuật toán A3 và A8 trong chuỗi nhận thực

thuê bao GSM ................................................................................................................ 36

Hình 3.4: Minh hoạ sự hoạt động của bản tin nhận thực thuê bao trao đổi trong DECT

....................................................................................................................................... 39

Hình 3.5: Minh hoạ sự hoạt động trao đổi bản tin nhận thực thuê bao trong UDSC .. 42

Hình 4.1: Minh họa lĩnh vực hoạt động an ninh UMTS trong mối liên hệ giữa các

thành phần của toàn bộ hệ thống UMTS. ...................................................................... 49

Hình 4.2: Luồng bản tin trong nhận thực UMTS cơ sở và giao thức phát sinh khóa

phiên. ............................................................................................................................. 52

Hình 4.3: Phát sinh vector nhận thực UMTS (AV) và chuỗi dấu hiệu nhận thực

SVTH: Nguyễn Trúc Giang _ CCVT03B

(AUTN) ở trung tâm nhận thực. .................................................................................... 53

Tìm hiểu các thủ tục và nhận thực trong mạng WCDMA

MỞ ĐẦU

1. Lý do chọn đề tài

Cùng với sự phát triển của thông tin di động đã mang lại nhiều lợi ích cho xã hội

thì bên cạnh đó những nguy cơ và thách thức đối với các nhà cung cấp dịch vụ cũng

tăng.Thông tin của người dùng truyền trong môi trường vô tuyến có thể bị tấn công

hay bị nghe trộm bởi người khác, các dịch vụ của nhà nhà cung cấp có thể bị đánh cắp

hay bị phá hoại.Chính vì vậy, việc tìm hiểu CÁC THỦ TỤC NHẬN THỰC VÀ

BẢO MẬT TRONG MẠNG WCDMA là rất cần thiết và có ý nghĩa thực tế nhằm

đảm bảo an toàn cho thông tin người dùng, bảo vệ được quyền lợi người dùng cũng

như quyền lợi của nhà cung cấp dịch vụ.

2. Mục đích nghiên cứu

Tìm hiểu các vấn đề cần thiết để tạo một môi trường an ninh, các nguy cơ an ninh

mạng và những thách thức trong môi trường nối mạng vô tuyến.

Tìm hiểu các kỹ thuật an ninh sử dụng trong thông tin di động.

Tìm hiếu các thủ tục nhận thực và bảo mật trong mạng số thế hệ hai và trong

UMTS

3. Đối tượng và phạm vi nghiên cứu

Tìm hiểu các thủ tục nhận thực và bảo mật trong mạng WCDMA

4. Phương pháp nghiên cứu

Đưa ra các kỹ thuật sử dụng trong thông tin di động, các giao thức, thủ tục, các

thuật toán mã hóa sử dụng trong thông tin di động thế hệ hai và trong UMTS.

5. Ý nghĩa khoa học và thực tiễn của đề tài

Các thủ tục nhận thực và bảo mật trong mạng WCDMA cho phép tạo ra các giải

pháp truyền tin di động được đảm bảo từ đầu cuối tới đầu cuối, bảo vệ được quyền lợi

SVTH: Nguyễn Trúc Giang _ CCVT03B

người dùng cũng như quyền lợi của các nhà cung cấp dịch vụ.

Tìm hiểu các thủ tục và nhận thực trong mạng WCDMA

CHƯƠNG I: TỔNG QUAN VỀ THÔNG TIN DI ĐỘNG VÀ CÁC

VẤN ĐỀ AN NINH TRONG THÔNG TIN DI DỘNG

1.1 TỔNG QUAN VỀ THÔNG TIN DI ĐỘNG

Thông tin di động bắt đầu từ những năm 1920, khi các cơ quan an ninh ở Mỹ bắt

đầu sử dụng điện thoại vô tuyến, dù chỉ là ở các căn cứ thí nghiệm. Công nghệ vào

thời điểm đó đã có những thành công nhất định trên các chuyến tàu hàng hải, nhưng nó

vẫn chưa thực sự thích hợp cho thông tin trên bộ. Các thiết bị còn khá cồng kềnh và

công nghệ vô tuyến vẫn còn gặp khó khăn trước những toà nhà lớn ở thành phố.

Vào năm 1930 đã có một bước tiến xa hơn với sự phát triển của điều chế FM,

được sử dụng ở chiến trường trong suốt thế chiến thứ hai. Sự phát triển này kéo dài

đến cả thời bình, và các dịch vụ di động bắt đầu xuất hiện vào những năm 1940 ở một

số thành phố lớn. Tuy vậy, dung lượng của các hệ thống đó rất hạn chế, và phải mất

nhiều năm thông tin di động mới trở thành một sản phẩm thương mại. Lộ trình phát

triển các thế hệ thông tin di động được trình bày tóm tắt trong hình vẽ 1.1

SVTH: Nguyễn Trúc Giang _ CCVT03B

Hình 1.1: Lộ trình phát triển các thế hệ thông tin di động

Tìm hiểu các thủ tục và nhận thực trong mạng WCDMA

1.1.1 Công nghệ vô tuyến thế hệ 1

Thế hệ đầu tiên của thông tin di động dựa trên truyền tín hiệu analog. Hệ thống

analog, đã từng được triển khai ở Bắc Mĩ được biết đến với tên gọi AMPS (Analog

Mobile Phone Systems), hoạt động ở dải tần 800Mhz. Hệ thống di động đầu tiên ở

Châu Âu được triển khai năm 1981 ở Thụy Điển, Nauy, Đan Mạch và Phần Lan sử

dụng công nghệ NMT (Nordic Mobile Telephony) hoạt động ở dải tần 450Mhz. Phiên

bản sau của NMT hoạt động ở tần số 900MHz và được biết đến với tên gọi NMT900.

Không thua kém, Anh giới thiệu một công nghệ khác vào năm 1985, TACS (Total

Access Communication Systems). Các hệ thống thông tin di động thế hệ một đã giải

quyết những hạn chế đầu tiên về dung lượng, mặc dù chỉ là hệ thống tương tự, sử dụng

công nghệ chuyển mạch kênh và chỉ được thiết kế cho truyền tiếng.

1.1.2 công nghệ vô tuyến thế hệ 2

Thế hệ hai của mạng di động dựa trên truyền dẫn tín hiệu số băng thấp. Công

nghệ vô tuyến 2G thông dụng nhất được biết đến là GSM (Global Systems for Mobile

Communication). Các hệ thống GSM, được triển khai lần đầu tiên vào năm 1991, hiện

nay đang hoạt động ở khoảng 140 nướcvà lãnh thổ trên thế giới, với khoảng 248 triệu

người sử dụng. GSM kết hợp cả hai kỹ thuật TDMA và FDMA. Các hệ thống GSM

đầu tiên sử dụng phổ tần 25MHz ở dải tần 900MHz. FDMA được sử dụng để chia

băng tần 25MHz thành 124 kênh tần số vô tuyến (độ rộng kênh là 200kHz). Với mỗi

tần số lại sử dụng khung TDMA với 8 khe thời gian. Ngày nay các hệ thống GSM hoạt

động ở băng tần 900MHz và 1.8GHz trên toàn thế giới (ngoại trừ Mỹ hoạt động trên

băng tần 1.9GHz)

Cùng với GSM, một công nghệ tương tự được gọi là PDC (Personal Digital

Communications), sử dụng công nghệ TDMA nổi lên ở Nhật. Từ đó, một vài hệ thống

khác sử dụng công nghệ TDMA đã được triển khai khắp thế giới với khoảng 89 triệu

người sử dụng. Trong khi GSM được phát triển ở Châu Âu thì công nghệ CDMA được

phát triển mạnh ở Bắc Mĩ. CDMA sử dụng công nghệ trải phổ và đã được thực hiện

trên khoảng 30 nước với ước tính khoảng 44 triệu thuê bao.

Trong khi GSM và các hệ thống sử dụng TDMA khác trở thành công nghệ vô

tuyến 2G vượt trội, công nghệ CDMA cũng đã nổi lên với chất lượng thoại rõ hơn, ít

nhiễu hơn, giảm rớt cuộc gọi, dung lượng hệ thống và độ tin cậy cao hơn. Các mạng di

SVTH: Nguyễn Trúc Giang _ CCVT03B

động 2G trên đây chủ yếu vẫn sử dụng chuyển mạch kênh. Các mạng di động 2G sử

Tìm hiểu các thủ tục và nhận thực trong mạng WCDMA

dụng công nghệ số và có thể cung cấp một số dịch vụ ngoài thoại như fax hay bản tin

ngắn ở tốc độ tối đa 9.6 kbps, nhưng vẫn chưa thể duyệt web và các ứng dụng đa

phương tiện.

Hình vẽ dưới đây thể hiện tổng quan về ba công nghệ TDMA, FDMA và CDMA.

Hình 1.2: Các phương pháp đa truy nhập

1.1.3 Các công nghệ tiến tới 3G

Sự bùng nổ của mạng Internet đã có những ảnh hưởng to lớn đến nhu cầu đối với

các dịch vụ vô tuyến băng rộng. Tuy nhiên, tốc độ của các hệ thống vô tuyến chuyển

mạch kênh tương đối thấp. Vì thế, GSM, PDC và các hệ thống sử dụng TDMA khác

đã phát triển công nghệ 2G+, dựa trên chuyển mạch gói và và tăng tốc độ truyền số

liệu lên tới 384kbps. Các hệ thống 2G+ dựa trên các công nghệ: HSCSD (High Speed

Circuit-Switched Data), GPRS (General Packet Radio Service) và EDGE (Enhanced

Data Rates for Global Evolution).

- HSCSD là một bước tiến tới các mạng di động 3G băng rộng. Công nghệ

chuyển mạch kênh này cải tiến tốc độ đạt tới 57.6kbps bằng cách kết hợp 4 khe thời

gian 14.4kbps.

- GPRS là bước trung gian cho phép GSM cung cấp các dịch vụ Internet. Công

nghệ này sử dụng chuyển mạch gói và được thiết kế để làm việc song song với 2G

GSM, PDC và các hệ thống TDMA khác, sử dụng kết hợp từ 1 đến 8 khe thời gian

kênh vô tuyến ở dải tần 200kHz được cấp cho sóng mang để tăng tốc độ lên tới

115kbps. Số liệu được đóng gói và truyền dẫn qua PLMN (Public Land Mobile

Networks) sử dụng đường trục IP, vì thế thuê bao di động có thể truy nhập các dịch vụ

Internet như ftp, các dịch vụ Web dựa trên HTTP, email trên nền SMTP/POP.

Ngoài các thành phần cơ bản đã có ở mạng GSM như BSS, MS và MSC, mạng

SVTH: Nguyễn Trúc Giang _ CCVT03B

GPRS còn có mạng di động mặt đất công cộng PLMN, điểm hỗ trợ GPRS dịch vụ

Tìm hiểu các thủ tục và nhận thực trong mạng WCDMA

SGSN và điểm hỗ trợ GPRS cổng GGSN. Chuyển vùng (roaming) được điều tiết qua

các PLMN. SGSN và GGSN lấy các thông tin về người sử dụng từ HLR để quản lý và

thực hiện cuộc gọi. GGSN cung cấp các kết nối tới các mạng ngoài như mạng Internet

hay mạng X.25. BTS thu và phát tín hiệu qua giao diện vô tuyến, cung cấp các kết nối

số liệu và tiếng với MS. BSC định tuyến các phiên giao dịch dữ liệu tới PLMN qua

liên kết Frame Relay (FR) và các cuộc gọi thoại thông thường tới MSC. MSC sẽ

chuyển mạch các cuộc gọi tới các mạng chuyển mạch kênh như PSTN và ISDN. MSC

điều tiết VLR để lưu giữ thông tin của thuê bao chuyển mạng. Đối với các phiên giao

dịch dữ liệu, nó được BSC định tuyến tới SGSN, sau đó được chuyển mạch tới PDN

qua GGSN hoặc tới thuê bao khác.

Dưới đây là cấu trúc mạng GPRS:

Hình 1.3: Kiến trúc mạng GPRS

Hình vẽ 1.4 dưới đây chỉ ra các giao thức được sử dụng ở GPRS

Sub-Network Dependent Convergence Protocol (SNDCP): Giao thức hội tụ phụ

thuộc mạng con, giao thức này nằm giữa LLC và lớp mạng. SNDCP cũng cung cấp

các chức năng khác như nén, phân đoạn và dồn các bản tin lớp mạng vào một kết nối

SVTH: Nguyễn Trúc Giang _ CCVT03B

ảo đơn nhất.

Tìm hiểu các thủ tục và nhận thực trong mạng WCDMA

Logical Link Control (LLC): Giao thức điều khiển kết nối logic, đây là giao thức

lớp liên kết dữ liệu cho GPRS, hoạt động như Link Access Protocol – D (LAPD). Lớp

này đảm bảo truyền dữ liệu người sử dụng một cách tin cậy qua mạng vô tuyến.

GPRS Tunnel Protocol (GTP): Giao thức tuyến đường hầm GPRS. GTP hoạt

động trên TCP/UDP qua IP.

Hình 1.4: Các giao thức sử dụng ở GPRS

Base Station System GPRS Protocol (BSSGP): Giao thức GPRS hệ thống trạm

gốc. Giao thức này xử lý định tuyến và thông tin QoS cho BSS. BSSGP sử dụng giao

thức lõi Frame Relay Q.922 làm cơ chế hoạt động.

GPRS Mobility Management (GMM/SM): Giao thức quản lý lưu động GPRS.

Giao thức này hoạt động trên mặt phẳng bảo hiệu của GPRS, quản lý các yếu tố lưu

động như: chuyển vùng, nhận thực, chọn thuật toán mã hoá và duy trì PDP context.

Network Service: Giao thức dịch vụ mạng. Giao thức này quản lý sự hội tụ của

các lớp con hoạt động giữa BSSGP và Frame Relay Q.922 bằng cách ánh xạ các yêu

cầu dịch vụ BSSGP tới các dịch vụ Frame Relay thích hợp.

BSSAP+: Giao thức cho phép tìm gọi đối với kết nối thoại từ MSC qua SGSN.

Giao thức này cho phép tìm gọi cho kết nối thoại từ MSC qua SGSN, do đó tối ưu hoá

tìm gọi cho thuê bao di động. BSSAP+ cũng có chức năng định vị và định tuyến cập

SVTH: Nguyễn Trúc Giang _ CCVT03B

nhật cũng như cảnh báo MS.

Tìm hiểu các thủ tục và nhận thực trong mạng WCDMA

SCCP, MTP3, MTP2: Là các giao thức sử dụng để hỗ trợ cho MAP và BSSAP+

trong các mạng chuyển mạch kênh PLMN.

Mobile Application Part (MAP): Hỗ trợ báo hiệu giữa SGSN/GGSN và

HLR/AuC/EIR.

- EDGE sử dụng các hệ thống điều chế nhiều trạng thái hơn so với GPRS/GSM

cho phép cung cấp tốc độ tới 48kbps trên mỗi khe thời gian tương ứng của GSM. Với

việc phân bổ khe thời gian động, EDGE có thể cung cấp tốc độ tối đa theo lý thuyết là

384kbps (thậm chí là 473kbps trong tương lai khi sử dụng điều chế 16QAM). Do vậy

nó cung cấp được hầu hết các dịch 3G, đây là lý do mà đôi khi EDGE được coi là

mạng 2.75G.

1.2 CÁC VẤN ĐỀ AN NINH TRONG THÔNG TIN DI DỘNG

1.2.1 Các yếu tố cần thiết để tạo một môi trường an ninh

1.2.1.1 Nhận thực

Nhận thực là việc xử lý xác nhận những người đó và tổ chức đó là ai và họ cần

cái gì. Đối với mạng di động nhận thực được thực hiện tại hai mức: Mức mạng và mức

ứng dụng. Mức mạng yêu cầu người dùng phải được nhận thực trước khi người đó

được phép truy nhập. Điều này hoàn toàn có thể được thực hiện dựa trên thiết bị hay

modem đang sử dụng. Tại lớp ứng dụng, nhận thực được thực hiện ở cả hai ứng dụng:

Client và Server hãng.

1.2.1.2 Tính toàn vẹn dữ liệu

Tính toàn vẹn dữ liệu là sự đảm bảo dữ liệu trong câu hỏi không bị biến đổi hoặc

bị xuyên tạc theo một cách nào đó trong suốt quá trình truyền dẫn từ người gửi tới

người nhận. Điều này có thể thực hiện bằng cách mật mã hoá số liệu phối hợp với một

tổng kiểm tra mật mã hoặc với mã nhận thực bản tin (MAC – Message Authentication

Code).

1.2.1.3 Tính bí mật

Tính bí mật là một trong những mặt quan trọng nhất của an ninh và thường được

đề cập đến nhiều nhất. Bí mật có nghĩa là duy trì tính riêng tư của số liệu, đảm bảo số

liệu không bị người khác xem.

1.2.1.4 Phân quyền

Phân quyền là công việc xử lý định ra mức độ truy nhập của người sử dụng,

SVTH: Nguyễn Trúc Giang _ CCVT03B

rằng người đó được phép hay không được phép thực hiện một hoạt động nào đó. Phân

Tìm hiểu các thủ tục và nhận thực trong mạng WCDMA

quyền thường luôn đi kèm với nhận thực.

1.2.1.5 Tính không thể phủ nhận

Tính không thể phủ nhận có nghĩa là khiến một số người phải chịu trách nhiệm

đối với các phiên giao dịch mà họ đã tham dự. Nó bao gồm việc nhận dạng ra những

người này theo một cách nào đó mà họ không thể phủ nhận sự dính dáng của họ trong

phiên giao dịch. Tính không thể phủ nhận có nghĩa là cả người gửi lẫn người nhận một

bản tin đều có thể chứng minh được với một người thứ ba rằng người gửi thực sự là đã

gửi bản tin và người nhận đã nhận được chính bản tin đó.

1.2.2 Các nguy cơ an ninh mạng

1.2.2.1 Giả mạo

Giả mạo là âm mưu của một người nào đó nhằm đạt được sự truy nhập trái phép

tới một ứng dụng hoặc hệ thống bằng cách giả mạo thành một người nào đó. Sau khi

kẻ giả mạo truy nhập vào được, họ có thể sẽ tạo các câu trả lời giả cho các bản tin để

có thể thu thập nhiều thông tin hơn và truy nhập tới các phần khác của hệ thống.

1.2.2.2 Thăm dò

Thăm dò là kỹ thuật được sử dụng để giám sát lưu lượng số liệu trên mạng. Ngoài

mục đích sử dụng đúng dắn, thăm dò thường được sử dụng kết hợp với bản sao trái

phép số liệu mạng. Thăm dò về bản chất là nghe trộm điện tử. Bằng cách nghe ngóng

số liệu trên mạng, những người dùng trái phép có thể có được các thông tin nhạy cảm

giúp họ có thể tấn công mạnh hơn vào các người dùng ứng dụng, các hệ thống hãng,

hoặc cả hai.

1.2.2.3 Làm sai lệch số liệu

Làm sai lệch số liệu có thể gọi là sự tấn công vào tính toàn vẹn của số liệu, bao

gồm việc sửa đổi ác ý số liệu khỏi dạng ban đầu, thường xảy ra đối với số liệu đang

được truyền, mặc dù nó vẫn xảy ra đối với số liệu lưu trữ trên thiết bị Server hoặc

Client. Sau đó số liệu đã bị sửa đổi đưa trở lại vị trí ban đầu. Việc thực hiện mật mã

hoá số liệu, nhận thực, phân quyền là những phương pháp để chống lại các tấn công

làm sai lệch số liệu.

1.2.2.4 Đánh cắp

Đánh cắp thiết bị là một vấn đề cố hữu trong tính toán di động, nó không chỉ làm

SVTH: Nguyễn Trúc Giang _ CCVT03B

người dùng mất chính thiết bị đó mà còn cả số liệu bí mật nào đó có thể được lưu trên

Tìm hiểu các thủ tục và nhận thực trong mạng WCDMA

thiết bị này. Đây có thể là một nguy cơ khá lớn đối với các ứng dụng Client thông

minh khi chúng thường lưu trữ dữ liệu cố định, mang bản chất bí mật.

1.2.3 Những thách thức trong môi trường nối mạng vô tuyến

1.2.3.1 Thách thức thứ nhất: Các liên kết mạng vô tuyến

 Băng thông thấp: Tốc độ trong các mạng vô tuyến tăng khi công nghệ được

cải tiến. Tuy nhiên, nhìn chung các liên kết vô tuyến hỗ trợ tốc độ chuyển giao

số liệu thấp hơn nhiều tốc độ chuyển giao số liệu qua cơ sở hạ tầng cố định.

Chẳng hạn, các mạng thông tin di động tổ ong thế hệ 2 cho phép truyền dữ liệu

trên một kênh xấp xỉ 10 Kbit/s. Tốc độ này sẽ tăng lớn hơn 350 Kb/s một chút

trong mạng tổ ong 3G. Hiện nay các hệ thống mạng LAN vô tuyến sử dụng các

chuẩn 802,11b có thể đạt tốc độ lên tới 11Mb/s.

 Nguy cơ mất số liệu thường xuyên: So với các mạng hữu tuyến, thông tin số

thường bị mất hoặc bị sai lệch khi truyền qua một liên kết vô tuyến. Các giao

thức lớp mạng sử dụng các cơ chế kiểm tra tính toàn vẹn dữ liệu có thể nhận

biết những trường hợp này và yêu cầu thông tin cần được phát lại, nhưng việc

phát lại này sẽ ảnh hưởng tới tính hiệu quả do băng thông thấp. Cùng với việc

làm giảm tốc độ chuyển giao số liệu, mất số liệu còn làm cho lượng thời gian

cần thiết để truyền một khối số liệu biến động (gây ra biến động trễ), hoặc làm

chấm dứt một phiên giao dịch.

 Tình trạng mở cửa sóng vô tuyến: Trong mạng hữu tuyến, có thể sử dụng cáp

đồng hoặc cáp sợi quang, đều có thể bị xâm phạm, đó có thể là một thách thức

mang tính kỹ thuật, tuy nhiên sự xâm phạm này có thể thường được phát hiện

bởi thiết bị giám sát mạng. Ngược lại khi một mạng vô tuyến gửi số liệu qua

không trung bằng cách sử dụng tín hiệu vô tuyến, một người nào đó có thể nghe

trộm, ngay cả khi họ sử dụng một thiết bị rẻ tiền.

1.2.3.2 Thách thức thứ hai: Tính di dộng của người dùng

 Mất kết nối và tái kết nối: Những người sử dụng của các mạng thông tin vô

tuyến đều phải đối mặt với những rủi ro xảy ra bất thình lình, chẳng hạn như

mất kết nối đột ngột từ mạng. Hiện tượng mất kết nối xảy ra do các nguyên

nhân sau: trước hết là do sự di chuyển của người sử dụng cùng với thiết bị di

động của họ ra khỏi vùng phủ sóng của trạm gốc mà họ đạng liên lạc, thứ đến là

SVTH: Nguyễn Trúc Giang _ CCVT03B

do sự di chuyển của người sử dụng dẫn đến một chướng ngại vật lý, chẳng hạn

Tìm hiểu các thủ tục và nhận thực trong mạng WCDMA

như một toà nhà hoặc một đường hầm giao thông xen vào giữa thiết bị di động

và trạm gốc.

 Kết nối mạng không đồng nhất: Trong một mạng hữu tuyến điển hình, một

máy tính luôn gắn liền với cùng một mạng nhà. Những đặc trưng của mạng này

là đã rất rành rọt. Do đó khi có sự thay đổi, chẳng hạn khi cần bổ sung server

file hay tường lửa để nâng cấp mạng, sẽ được quy hoạch và giám sát cẩn thận.

Tuy nhiên trong môi trường nối mạng vô tuyến, một trạm di động, chẳng hạn

đó là một máy điện thoại di động hoặc là một thiết bị hỗ trợ cá nhân số thường

liên tục chuyển mạng giữa các mạng chủ khác nhau.

 Chuyển đổi địa chỉ: Trong các mạng hữu tuyến thông thường, các máy tính và

các thiết bị khác được kết nối tới cùng một mạng và sử dụng cùng một địa chỉ

mạng (địa chỉ IP trong mạng internet toàn cầu) trong một khoảng thời gian dài.

Nếu thiết bị này di chuyển giữa các mạng, các nhà quản trị mạng có thể thực

hiện thao tác cập nhật địa chỉ mạng. Còn trong môi trường nối mạng vô tuyến,

địa chỉ mạng, hoặc ít nhất là các mạng có liên quan, cần phải được quản lí trong

môi trường có độ rủi ro và phức tạp hơn nhiều.

 Thông tin phụ thuộc vào vị trí: Trong mạng hữu tuyến, vị trí của các thiết bị

tính toán thường khá ổn định và được kiểm soát bởi các nhà quản trị hệ thống.

Còn trong môi trường vô tuyến, vị trí của các thiết bị truyền thông và tính toán

thay đổi thường xuyên. Khi cung cấp dich vụ cho người sử dụng, không chỉ cần

phải bám theo cơ sở hạ tầng mạng vô tuyến và đáp lại những thay đổi vị trí này

mà còn phải thực hiện các giải pháp an ninh để bảo vệ thông tin định vị. Trong

môi trường mạng vô tuyến, việc bảo vệ tính bí mật của người sử dụng bao gồm

cả việc bảo vệ nội dung bản tin và cuộc hội thoại khỏi sự xâm phạm, nhưng

cũng yêu cầu hệ thống phải giữ tính bí mật của thông tin định vị về người sử

dụng hệ thống.

1.2.3.3 Thách thức thứ ba: tính di chuyển được của thiết bị

 Tốc độ bộ xử lý: Năng lực xử lý được quyết định bởi các mạch tích hợp trong

các thiết bị như máy điện thoại di động và thiết bị phụ trợ cá nhân số (PDA).

Các thuật toán mật mã hoá và các thủ tục nhận thực đều yêu cầu sự tính toán và

đôi khi còn yêu cầu một khối lượng tính toán khổng lồ. Trong một vài ứng dụng

SVTH: Nguyễn Trúc Giang _ CCVT03B

an ninh trong môi trường vô tuyến, như mật mã hoá và giải mật mã một cuộc

Tìm hiểu các thủ tục và nhận thực trong mạng WCDMA

hội thoại điều khiển qua một máy điện thoại tổ ong. Các thủ tục an ninh cần

phải được thực thi trong một thời gian thực. Do đó năng lực xử lý trên thiết bị

di động quyết định sự lựa chọn của các nhà thiết kế hệ thống an ninh cho các

môi trường vô tuyến.

 Khả năng lưu trữ hạn chế: Vì những lí do tương tự, lượng số liệu có thể được

lưu trữ trong một thiết bị tính toán và truyền thông di động nhỏ hơn nhiều khả

năng lưu trữ số liệu của một máy để bàn hay một server. Cùng với hạn chế về

tốc độ xử lý, nhân tố này cũng ảnh hưởng đến sự lựa chọn trong việc thiết kế hệ

thống an ninh cho các mạng vô tuyến.

 Hoạt động công suất thấp: Các sản phẩm điện tử hoạt động được đều nhờ

nguồn năng lượng. Bất cứ một hoạt động nào của bộ xử lý trong máy điện thoại

tổ ong hay PDA đều phải tiêu thụ công suất và do đó làm giảm nguồn năng

lượng sống trong các thiết bị này. Việc đảm bảo an ninh thông tin là một đặc

tính rất cần thiết, nhưng trước hết là phải đảm bảo năng lượng cho thiết bị hoạt

động, nếu như hết năng lượng thì ngay cả khi năng lực của bộ xử lý cho phép

thực hiện những giải pháp an ninh và những thủ tục nhận thực mạnh thì việc

SVTH: Nguyễn Trúc Giang _ CCVT03B

thực hiện sẽ không thể tiến hành được.

Tìm hiểu các thủ tục và nhận thực trong mạng WCDMA

CHƯƠNG II: CÁC KỸ THUẬT AN NINH DÙNG TRONG

THÔNG TIN DI ĐỘNG

2.1 KỸ THUẬT MẬT MÃ

Mục tiêu cơ bản của mật mã hoá là để cho phép hai người thông tin với nhau qua

một kênh thông thông tin không an toàn mà bất kỳ một người thứ ba nào khác cũng

không thể hiểu được những gì đang được truyền đi. Khả năng này là một trong những

yêu cầu cốt lõi của một môi trường an ninh. Xem xét tất cả các phương pháp để

chuyển giao số liệu an toàn gồm có nhận thực, chữ ký số, và mật mã hoá. Bề ngoài thì

mật mã là một khái niệm đơn giản, nhưng thực sự nó tương đối phức tạp, đặc biệt là

đối với các việc thực hiện di động quy mô lớn.

2.1.1 Mật mã số liệu

Công việc chủ yếu của một hệ thống mật mã là mật mã hoá số liệu, quá trình xử

lý một tập số liệu thông thường, gọi là bản rõ (plaintext) và biến đổi nó thành dạng

không thể đọc được, gọi là bản mật mã (ciphertext). Mật mã hoá cho phép duy trì tính

bí mật của các số liệu nhạy cảm, ngay cả khi số liệu này bị truy nhập bởi những người

sử dụng trái phép. Chỉ có một cách để có thể đọc được dữ liệu là biến đổi nó trở lại

dạng ban đầu bằng cách sử dụng một phương pháp gọi là giải mật mã số liệu. Phương

pháp mật mã hoá và giải mật mã hoá được gọi là một thuật toán hay là một hệ mật mã.

Hình 2.1 mô tả khái niệm mật mã hoá. Khi dữ liệu được truyền tải qua một kênh thông

tin công cộng không an toàn thì nó được mật mã hoá nhằm ngăn ngừa việc một người

nào đó nghe trộm trên đường truyền có thể hiểu được dữ liệu đang được gửi.

SVTH: Nguyễn Trúc Giang _ CCVT03B

Hình 2.1. Gửi bản tin sử dụng mật mã hoá

Tìm hiểu các thủ tục và nhận thực trong mạng WCDMA

Các thuật toán hiện đại sử dụng các khoá để điều khiển việc mật mã hoá và giải

mật mã số liệu. Khi một bản tin đã được mật mã hoá, nó chỉ có thể được giải mật mã

bởi chính những người có khoá thích hợp. Khoá dựa trên các thuật toán hình thành hai

loại: Đối xứng và không đối xứng.

Các thuật toán đối xứng tỏ ra rất hiệu quả: Chỉ cần sử dụng một khoá dể mật mã

hoá và giải mật mã tất cả các bản tin. Người gửi sử dụng một khoá để mật mã hoá bản

tin, sau đó gửi bản tin đến cho người nhận mong muốn. Khi nhận được bản tin đó,

người nhận sẽ sử dụng cùng khóa đó để giải mật mã bản tin. Kiểu thuật toán này hoạt

động tốt khi có một cách an toàn để truyền khoá giữa những người sử dụng, chẳng hạn

gặp nhau trước khi truyền số liệu.

Mật mã hóa không đối xứng tập trung vào vấn đề chính mà các hệ thống khoá đối

xứng mắc phải: Đó là việc các hệ thống này chỉ sử dụng một khoá. Thuật toán khoá

không đối xứng đầu tiên và nổi tiếng nhất được ra đời năm 1977 do Ron Rivest, Adil

Shamir và Leonard Adelman, những người này đã được biết thông qua cái tên RSA.

Các thuật toán thông dụng khác bao gồm mật mã đường cong elip (ECC - Elliptic

Curve Cryptography) và DH (Diffie-Hellman).

Tuy nhiên, các hệ mật mã không đối xứng không phải là một giải pháp hoàn hảo.

Việc lựa chọn một khoá riêng là một điều không đơn giản, nếu lựa chọn không tốt có

thể dễ dàng làm hỏng kế hoạch. Ngoài ra, các hệ mật mã không đối xứng còn đưa ra

một giải pháp cho vấn đề phân loại khoá bằng cách sử dụng một khoá riêng và một

khoá công cộng. Điều này làm cho hệ mật mã không đối xứng trở nên phức tạp hơn

nhiều và do đó mà việc tính toán cũng chậm hơn các hệ mật mã đối xứng, dẫn đến khó

có thể giải quyết đối với các tập số liệu lớn.

2.1.2 Chữ ký số

Một ứng dụng điển hình của phương pháp mật mã khoá công cộng chính là chữ

ký số trong đó khoá riêng được sử dụng để ký các bản tin và người nhận sử dụng khoá

công cộng tương ứng để giải mật mã các bản tin trên. Chữ ký số được sử dụng để kiểm

tra một bản tin có thực sự đến từ người gửi được mong đợi hay không, nó được hình

thành dựa trên quan điểm rằng chỉ người tạo ra chữ ký mới có khoá riêng và nó có thể

được kiểm tra bằng cách sử dụng khoá công cộng tương ứng. Chữ ký số được tạo bằng

cách tính toán tóm tắt bản tin (MD: Message Degest) của một tài liệu, sau đó kết hợp

SVTH: Nguyễn Trúc Giang _ CCVT03B

với các thông tin về người ký, tem thời gian và một vài các thông tin cần thiết khác.

Tìm hiểu các thủ tục và nhận thực trong mạng WCDMA

Mỗi MD là một hàm lấy số liệu đầu vào có kích cỡ tuỳ ý (chính là bản tin) và tạo

thành đầu ra có kích cỡ cố định gọi là bản tóm tắt. Tập hợp thông tin này sau đó được

mật mã hoá sử dụng khoá bí mật của người gửi có sử dụng một thuật toán không đối

xứng thích hợp. Kết quả sau khi mật mã hoá khối thông tin là chữ ký số.

MD được tính toán là một giá trị bit nhằm để mô tả tình trạng hiện thời của tài

liệu. Nếu tài liệu thay đổi, MD cũng sẽ thay đổi. Bằng cách hợp nhất MD vào chữ ký

số, khi chữ ký số đã được tạo thành nó cho phép người nhận tài liệu có thể dễ dàng

phát hiện ra tài liệu có bị biến đổi hay không.

Mục đích sử dụng của chữ ký số cũng tương tự như chữ ký thông thường, bao

gồm:

Nhận thực: Nếu người nhận thành công trong việc giải mã thông tin với một

khóa công cộng xác định thì người đó có thể chắc chắn rằng bản tin đó đã được ký bởi

chính người sử dụng khoá bí mật tương ứng. Còn một vấn đề nữa là phải kiểm tra xem

khoá công cộng này có thực sự là của người gửi đích thực hay không. Vấn đề này có

thể được giải quyết bằng cách sử dụng các chứng nhận số sẽ được xét ở phần sau.

Tính toàn vẹn: Nếu một bản tin đã được ký mà thay đổi trong quá trình truyền

dẫn, người nhận sẽ không thể giải mã được với khoá công cộng. Đây là một cách dễ

dàng để phát hiện ra những thay đổi cố ý hoặc vô ý trong thông tin được phát.

Tính không thể phủ nhận: Trong các phiên giao dịch điện tử, một yêu cầu rất

quan trọng đối với mỗi bên tham gia là phải đảm bảo rằng bên còn lại không thể từ

chối việc phải thực thi một số hành động nào đó. Chữ ký số cũng rất thích hợp với yêu

cầu này do một tài liệu điện tử chỉ có thể được ký bởi chính người sở hữu khoá bí mật.

2.1.2.1 Hàm Hash

Các bản tin mà được tạo ra bởi một ứng dụng thông thường thường quá dài để có

thể có thể được ký bằng cách sử dụng mật mã hoá khoá công cộng. Do đó, thay vì phải

ký cho toàn bộ bản tin, ngưòi gửi sử dụng một thuật toán Hash (thuật toán làm mới) để

tính toán một tóm tắt bản tin (MD: Message Degest), bản tóm tắt này trong thực tế là

một phiên bản số liệu gốc đã được nén, sau đó người gửi ký bản tóm tắt này bằng khóa

riêng của họ.

Các tóm tắt bản tin được tính bằng một thuật toán Hash cụ thể luôn có chiều dài

cố định (thường là 128 bit hoặc 160 bit) và chiều dài này không phụ thuộc vào chiều

SVTH: Nguyễn Trúc Giang _ CCVT03B

dài của bản tin được ký. Ngoài ra, không thể tìm lại bản tin ban đầu từ một tóm tắt bản

Tìm hiểu các thủ tục và nhận thực trong mạng WCDMA

tin, và mỗi thay đổi dù nhỏ nhất trong số liệu được ký sẽ làm cho thuật toán tạo ra một

giá trị đầu ra hoàn toàn khác biệt.

Một thuật toán Hash được thiết kế tốt sẽ có đủ khả năng chống lại những tổ chức

tấn công lớn mạnh lẫn kiểu tấn công tìm ra hai bản tin tuỳ ý có cùng MD. Các đầu ra

64 bit được xem là quá nhỏ để có thể chống được lại những tấn công này. Để bảo vệ

những điểm yếu trước những tấn công trên, các đầu ra được khuyến nghị mạnh có

chiều dài ít nhất là 128 bít. Với chiều dài này thì những tấn công trở nên vô hiệu với

công nghệ hiện nay. Tuy nhiên sự phát triển năng lực tính toán trong máy tính cho

thấy một yêu cầu rằng trong tương lai vẫn cần phải tạo ra các MD có chiều dài lớn hơn

để có thể đảm bảo một mức an ninh có thể chấp nhận được.

Việc lựa chọn một hàm Hash thích hợp là một quyết định cần thiết khi thiết kế

một cơ sở hạ tầng khoá công cộng (PKI: Public Key Infrastructure), bởi nếu sử dụng

một thuật toán không đảm bảo sẽ làm tổn hại đến tính an ninh của toàn bộ hệ thống

mật mã hoá.

Các hàm Hash thông dụng nhất là MD2, MD4, MD5, SHA, RIPEMD-160 và

HAVAL.

2.1.2.2 Thủ tục ký và kiểm tra

Các bước cần thiết để ký và kiểm tra một mẫu thông tin được mô tả ở hình 2.2.

Các thành phần cần thiết của một hệ thống như vậy là các thuật toán khoá công cộng

và thuật toán Hash mà sẽ được lựa chọn một cách cẩn thận theo yêu cầu. Số liệu gốc

trước tiên sẽ được làm mới lại bằng cách sử dụng hàm một chiều Hash, sau đó được

mật mã hoá bằng khoá bí mật của người gửi. Như đã đề cập ở phần trước, mục đích

của thủ tục này là giảm thời gian mật mã hoá do các thuật toán không đối xứng thực

thi chậm hơn nhiều các thuật toán đối xứng. Cả số liệu gốc lẫn chữ ký đều được gửi

SVTH: Nguyễn Trúc Giang _ CCVT03B

qua kênh thông tin không an toàn đến người nhận.

Tìm hiểu các thủ tục và nhận thực trong mạng WCDMA

Hình 2.2. Thủ tục ký và kiểm tra chữ ký

Để kiểm tra tính toàn vẹn của số liệu, người nhận rút khoá công cộng của người

gửi từ chứng nhận số của nó và sử dụng khoá công cộng này để giải mật mã chữ ký số.

Sau đó áp dụng hàm Hash mà đã được người gửi sử dụng cho số liệu gốc nhận được.

Các tóm tắt bản tin thu được sẽ được so sánh với nhau để thẩm định rằng bản tin

không bị sửa đổi trong quá trình truyền dẫn và nó thực sự được gửi từ người gửi mong

đợi. Chú ý rằng người nhận phải lấy chứng nhận số của người gửi từ một server chứng

nhận, đây chính là bước kiểm tra giá trị chứng nhận.

2.1.2.3 Tấn công của kẻ xen giữa (the Man-in-the-Midle)

Tự bản thân các chữ ký số làm nảy sinh một vấn đề về tính toàn vẹn khi thông tin

được gửi qua các mạng không tin cậy, nhưng chúng yêu cầu các cơ chế bổ sung cũng

phải đảm bảo các thuộc tính nhận thực và không thể phủ nhận được phù hợp. Dựa vào

việc nhận được một chữ ký số, thực thể nhận phải chắc chắn rằng khoá công cộng

được sử dụng trong quá trình xử lý thực sự thuộc về người ký được mong đợi. Nếu

không, phiên truyền thông rất dễ bị tấn công bởi kẻ xen giữa.

Khi hai thực thể (bên gửi và bên nhận) muốn truyền thông một cách an toàn bằng

cách sử dụng các chữ ký số, người gửi trước tiên phải gửi khoá công cộng của họ tới

SVTH: Nguyễn Trúc Giang _ CCVT03B

người nhận để đảm bảo rằng các bản tin đã được ngưòi gửi ký có thể được giải mã.

Tìm hiểu các thủ tục và nhận thực trong mạng WCDMA

Nếu sự trao đổi khóa này được thực hiện qua một kênh không an toàn, một kẻ xâm

nhập có thể dễ dàng chặn khoá công cộng lại và thực hiện những hành động sau để có

thể truy nhập tới những thông tin bí mật đang được phát.

 Kẻ xâm nhập tạo ra cặp khoá của riêng nó.

 Khoá công cộng của kẻ xâm nhập được gửi tới người nhận thay cho khoá

công công của người gửi thực sự, khoá này được giữ lại để giải mật mã hoá

bản tin.

 Tất cả các bản tin được gửi đều bị chặn bởi kẻ xâm nhập, người này sẽ sử

dụng khoá công cộng của người gửi để giải mật mã hoá các bản tin trên. Kết

quả là các bản rõ có thể bị sửa đổi và được ký lại bằng khoá bí mật giả. Sau

đó, chúng được gửi tới người nhận.

 Người nhận giải mật mã bản tin này với khoá công cộng giả mạo. Như vậy kẻ

xâm nhập đã chặn và sửa đổi thông tin mà cả người gửi lẫn người nhận đều

không hay biết sự lừa gạt này.

2.2 CHỨNG NHẬN SỐ

Các khóa công cộng đã được mô tả trong phần trước và được sử dụng trong nối

mạng số liệu để kiểm tra các chữ ký số, bản thân chúng không mang bất cứ thông tin

nào về các thực thể cung cấp các chữ ký. Công nghệ nối mạng số liệu thừa nhận vấn

đề này và tiếp nhận các chứng nhận an ninh để ràng buộc khóa công cộng và nhận

dạng thực thể phát hành khóa. Chứng nhận số đảm bảo rằng một khoá công cộng là sở

hữu của thực thể mà nó thể hiện. Các thẩm quyền này được phép cung cấp các dịch vụ

này cho các thực thể được nhận dạng hợp lệ khi chúng yêu cầu. Để thực hiện chức

năng của mình, một CA (Certificate Authority) phải được tin tưởng bởi các thực thể

(các thành viên cuả PKI) dựa trên các dịch vụ của nó. Người dùng có thể mua chứng

nhận số từ CA và sử dụng chứng nhận này để nhận thực và để lưu hành khoá riêng của

họ. Một chứng nhận số điển hình chứa những thông tin sau:

 Tên của người đang nắm giữ chứng nhận số, cũng như thông tin khác mà có

thể nhận dạng duy nhất người này, thông tin phụ thêm có thể là URL của một

Web Server đang sử dụng chứng nhận hay một địa chỉ email.

 Khoá công cộng của người đang nắm giữ chứng nhận số.

 Tên của CA lưu hành chứng nhận này.

SVTH: Nguyễn Trúc Giang _ CCVT03B

 Thời hạn sử dụng của chứng nhận (thường là ngày bắt đầu và ngày hết hạn).

Tìm hiểu các thủ tục và nhận thực trong mạng WCDMA

 Một chữ ký số của CA để có thể nhận ra chứng nhận số đề phòng trường hợp

phiên truyền dẫn bị phá rối.

Tất cả các chứng nhận được ký bằng một khóa riêng của CA. Người sử dụng

chứng nhận có thể xem kiểm tra thông tin của chứng nhận có hợp lệ không bằng cách

giải mật mã chữ ký bằng một khoá kiểm tra công cộng nhận được từ chứng nhận phát

đi từ thẩm quyền mức phân cấp cao hơn và kiểm tra xem nó có phù hợp với MD

(Message Digest: tóm tắt bản tin) của nội dung nhận được trong chứng nhận hay

không. Chữ ký thường là một MD được mật mã hóa.

Dạng chính của chứng nhận số là X.509, một tiêu chuẩn công nghiệp cho nhận

thực. Những chứng nhận này là rất thông dụng trong các ứng dụng Internet. Trong lĩnh

vực vô tuyến có loại chứng nhận số khác gọi là chứng nhận WTLS Server WAP

(WAP Server WTLS Certificate), các chứng nhận này thường được gọi ngắn gọn là

chứng nhận WTLS, đây là phiên bản đơn giản hơn của X.509 được tạo ra do chứng

nhận X.509 quá lớn đối với các ứng dụng vô tuyến. Các chứng nhận WTLS chủ yếu

được sử dụng trong các ứng dụng WAP nơi mà các trình duyệt muốn nhận thực nhận

dạng của một Server WAP và mật mã hoá thông tin bắng cách sử dụng giao thức an

ninh lớp truyền tải vô tuyến (WTLS - Wireless Transport Layer Security).

2.3 CƠ SỞ HẠ TẦNG KHÓA CÔNG CỘNG

Cơ sở hạ tầng khoá chung (PKI - Public Key Infrastructure) là một khái niệm

được sử dụng để mô tả một tổ chức hoàn chỉnh của các hệ thống và các nguyên tắc để

xác định một hệ thống an ninh riêng lẻ. Nhóm nghiên cứu X.509 của lực lượng kỹ

thuật Internet (IETF - Internet Engineering Task Force) định nghĩa PKI là “một tập

hợp phần cứng, phần mềm, nhân lực và các thủ tục cần thiết để tạo, quản lý, lưu trữ,

phân phối và huỷ bỏ các chứng nhận dựa trên mật mã khoá công cộng”.

Các thành phần của PKI bao gồm:

 Các nhà thẩm quyền cấp chứng nhận chịu trách nhiệm đối với việc ban hành

và huỷ bỏ chứng nhận.

 Các cơ quan đăng ký chịu trách nhiệm liên kết giữa các khoá công cộng với

các nhận dạng của người sở hữu chúng.

 Những người sở hữu chứng nhận là những người được phép lưu hành chứng

SVTH: Nguyễn Trúc Giang _ CCVT03B

nhận tức là người đó có thể sử dụng để đánh dấu một tài liệu số.

Tìm hiểu các thủ tục và nhận thực trong mạng WCDMA

 Kho dùng để lưu trữ các chứng nhận cũng như các danh sách huỷ bỏ chứng

nhận (CRL: Certificate Revocation Lists).

 Chính sách an ninh để định hướng an ninh cho một tổ chức

Các thành viên PKI có thể thỏa thuận một thời gian sống tiêu chuẩn cho một

chứng nhận. Và vì thế xác định khi nào một chứng nhận bị hết hạn.

Các quan hệ tin tưởng giữa CA và các thành viên PKI khác phải được thiết lập

trước khi xảy ra giao dịch PKI. Các quan hệ này thường nằm ngoài phạm vị PKI và vì

thế cũng nằm ngoài phạm vi công nghệ nối mạng. Các quan hệ tin tưởng PKI có thể

được thiết lập trên cơ sở địa lý, chính trị, xã hội, dân tộc và có thể mở rộng cho các

công nghiệp, các nước, các nhóm dân cư hay các thực thể khác được ràng buộc bởi các

mối quan tâm chung. Các mô hình tin tưởng PKI có thể về mặt lý thuyết dựa trên một

CA duy nhất được sử dụng để tạo lập PKI trên toàn thế giới giống như Internet toàn

cầu hay một phân cấp các CA phân bố trong đó mỗi CA có thể được tin tưởng sau khi

đi qua một chuỗi chứng nhận để đến một CA chung được các phía tham gia thông tin

an ninh tin tưởng.

Hình 2.3. PKI dựa trên phân cấp CA phân bố

Hình 2.3 trình bày trường hợp hai phía A và B muốn trao đổi bí mật. A nhận được

khóa công cộng từ chứng nhận B. Vì chứng nhận này được ký bởi khóa khóa riêng của

CA của B, nên nó có thể được kiểm tra tại CA của B bằng khoá công cộng CA của B

nhận được từ chứng nhận CA của B. Đến lượt mình chứng nhận CA của B lại được

kiểm tra bằng khóa công cộng nhận được từ CA gốc và khóa này đựơc đảm bảo là hợp

SVTH: Nguyễn Trúc Giang _ CCVT03B

lệ vì nó đã được chuyển thành mã của PKI client trong modul phần mềm của A. Sau

Tìm hiểu các thủ tục và nhận thực trong mạng WCDMA

khi đã có khóa công cộng của B, A mật mã hóa bí mật bằng cách sử dụng khoá này,

sau đó nó gửi bản tin đã được mật mã hóa đến B cùng với chứng nhận của chính nó

(của A) và MD của bí mật được mật mã hóa, được tính toán theo khóa riêng của A.

Khi nhận được bản tin này, B kiểm tra bí mật được mã hóa đến từ A bằng cách kiểm

tra MD trên cơ sở sử dụng khóa công cộng A nhận được từ chứng nhận A, sau đó nó

tiến hành giải mật mã trên cơ sở sử dụng khóa riêng B.

Chứng nhận có thể được gửi đi ở các khuôn dạng khác nhau. Tiêu chuẩn an ninh

thực tế được công nghiệp tiếp nhận rộng rãi là [X509] do ITU định nghĩa. Các thực thể

công cộng và tư dựa trên các dịch vụ (tin tưởng) do một CA chung cung cấp và tiếp

nhận các chứng chỉ của nó từ PKI. Các thành viên của các nhóm PKI có thể dễ dàng tự

nhận dạng đến một thành viên khác dựa trên các chứng nhận do CA cung cấp. Để vậy,

các thành viên của PKI chỉ cần thiết lập quan hệ tin tưởng an ninh với một thành viên

của PKI, CA chứ không với các thành viên khác.

Ba chức năng chính của PKI gồm:

 Chứng nhận

 Công nhận hợp lệ

 Hủy

Chứng nhận hay ràng buộc một khóa với một nhận dạng bằng một chữ ký được

thực hiện bởi CA, còn công nhận có hợp lệ hay chuyên môn hơn, kiểm tra nhận thực

chứng nhận được thực hiện bởi một thực thể PKI bất kỳ. Quá trình chứng nhận bao

gồm việc tạo ra một cặp khóa công cộng bao gồm khóa công cộng và khóa riêng do

người sử dụng tạo ra và trình cho CA trong một phần của yêu cầu hay do CA thay mặt

người sử dụng tạo ra. Công nhận hợp lệ bao gồm việc kiểm tra chữ ký do CA phát

hành đối chiếu với CRL và khóa công cộng của CA. Hủy một chứng nhận hiện có

trước khi hết hạn cũng được thực hiện bởi CA. Sau khi chứng nhận bị hủy, CA cập

nhật CRL thông tin mới. Trong một kịch bản điển hình, khi người sử dụng cần nhận

hay công nhận một chứng nhận được trình bày là hợp lệ, nó gửi yêu cầu này đến CA.

Sau khi chứng nhận được yêu cầu được phát đi hay tính hợp lệ của nó được kiểm tra,

SVTH: Nguyễn Trúc Giang _ CCVT03B

thông tin tương ứng được CA gửi vào một kho chứng chỉ, trong kho có cả CRL.

Tìm hiểu các thủ tục và nhận thực trong mạng WCDMA

2.4 CÁC GIAO THỨC CHÍNH

2.4.1 Lớp các ổ cắm an toàn (SSL - Secure Sockets Layer)

SSL là giao thức bảo mật chủ yếu được sử dụng trên Internet hiện nay. Nó được

phát triển bởi Netscape để cung cấp các phiên truyền thông qua mạng Internet bí mật

và an toàn, được sử dụng trên giao thức HTTP, mặc dù nó có thể được sử dụng trên

giao thức FTP hoặc các giao thức thích hợp khác. SSL sử dụng kết hợp các thuật toán

đối xứng và không đối xứng để tối đa hoá hiệu năng.

Sau đây là bốn pha trong một phiên SSL:

1. Bắt tay và thoả hiệp thuật toán: Cả Server và Client đều đồng ý các thuật toán

(algorithms) và các hệ mật mã (ciphers) sẽ sử dụng.

2. Nhận thực: Server và có thể là Client được nhận thực bằng cách sử dụng các

chứng nhận số.

3. Trao đổi khoá: Client tạo một khoá bí mật và gửi nó cho Server có sử dụng

khoá công cộng của Client để mật mã hoá khoá bí mật. Server sẽ giải mật mã

hoá bản tin bằng cách sử dụng khoá riêng của nó. Và phần còn lại của phiên

truyền dẫn này, Client và Server có thể truyền thông với nhau sử dụng khoá

bí mật.

4. Trao đổi số liệu ứng dụng: Khi một phiên số liệu đối xứng an toàn được thiết

lập, các số liệu đã được mật mã hoá có thể được trao đổi giữa Client và

Server.

SSL có thể được sử dụng bởi nhiều Client vô tuyến mạnh hơn gồm có máy tính

xách tay, các máy tính cá nhân bỏ túi. Nếu địa chỉ URL của họ bắt đầu với https://

hoặc đơn giản hơn chỉ là http:// thì có thể nói rằng người đó đang sử dụng SSL.

Mật mã hoá số liệu trong phạm vi giao thức SSL hiệu quả hơn việc mật mã hoá

chính số liệu đó và gửi nó qua HTTP. Trong phạm vi giao thức SSL số liệu được mật

mã hoá ở mức một gói và được giải mật mã hoá ở mức một gói sau khi nó đi đến đích

và được kiểm tra nhanh chóng tính toàn vẹn số liệu được gửi.

2.4.2 An ninh lớp truyền tải (TLS - Transport Layer Security)

An ninh lớp truyền tải TLS là thế hệ kế tiếp của SSL, Nó bao gồm hai lớp. Lớp

dưới là giao thức bản ghi TLS (TLS Record protocol), giao thức này được đặt lên phía

trên một giao thức truyền tải tin cậy như TCP chẳng hạn. Hai đặc điểm chính của giao

SVTH: Nguyễn Trúc Giang _ CCVT03B

thức bản ghi là các kết nối riêng và tin cậy. Lớp cao hơn là giao thức bắt tay TLS (TLS

Tìm hiểu các thủ tục và nhận thực trong mạng WCDMA

Handshake protocol). Giao thức này đưa ra phương pháp bảo mật kết nối gồm: Nhận

thực sử dụng mật mã hoá không đối xứng, thoả hiệp khoá bí mật, đồng thời cung cấp

sự thoả hiệp tin cậy. Giống như SSL, TLS không phụ thuộc và có thể sử dụng đủ loại

thuật toán. Mục đích của TLS gồm an ninh mật mã, khả năng phối hợp hoạt động và

khả năng mở rộng.

2.4.3 An ninh lớp truyền tải vô tuyến (WTLS)

WTLS là lớp an ninh được định nghĩa trong quy định WAP. Nó hoạt động ở phía

trên lớp giao thức truyền tải, điều này làm cho WTLS thích hợp với các giao thức vô

tuyến khác nhau ở dưới. Nó tương tự như giao thức TLS nhưng hiệu quả hơn đối với

các mạng băng thông thấp, có độ rủi ro cao. WTLS cũng bổ sung thêm các dặc tính

mới như hỗ trợ datagram, bắt tay hiệu quả, và nạp lại khoá, nó cũng hỗ trợ sử dụng các

chứng nhận WTLS đối với nhận thực phía Server. Khác với TLS và SSL là những giao

thức có sử dụng chứng nhận X.509. Nhìn chung, WTLS có mục đích tương tự như

TLS và SSL là cung cấp tính bí mật, tính toàn vẹn số liệu và khả năng nhận thực giữa

hai bên truyền thông.

2.4.4 An ninh IP (IPSec)

IPSec khác với các giao thức khác ở chỗ nó không hoạt động trên lớp ứng dụng.

Trong khi các giao thức SSL, TLS và WTLS nhằm mục đích cung cấp truyền thông an

toàn qua một mạng vốn đã không an toàn. IPSec nhằm mục đích làm cho chính bản

thân mạng Internet trở nên an toàn hơn. Nó thực hiện điều này bằng cách cung cấp các

dịch vụ nhận thực, tính toàn vẹn số liệu và bí mật tại lớp IP datagram. Trong khi mục

đích chính của IPSec là các Client máy tính xách tay trong di động, các sản phẩm

mạng riêng ảo dựa trên IPSec đang bắt đầu thịnh hành đối với các máy trợ giúp cá

nhân dùng kỹ thuật số (PDA). IPSec bắt đầu trở thành một giải pháp hữu hiệu khi các

thiết bị di động bắt đầu hỗ trợ IPv6 là chuẩn bao gồm có cả IPSec. Một điều quan

trọng nữa cần biết đó là IPSec hỗ trợ TCP/IP, không hỗ trợ WAP.

2. 5 CÁC KỸ THUẬT AN NINH KHÁC

Phần sau đây sẽ trình bày các phương pháp đảm bảo an ninh khác cần được xem

xét khi thực hiện các giải pháp di động. Có thể tìm tháy các phương pháp này ngay ở

trong chính tổ chức của mỗi người do đây là những kỹ thuật sử dụng thông thường để

SVTH: Nguyễn Trúc Giang _ CCVT03B

tăng cường an ninh trên toàn bộ hệ thống.

Tìm hiểu các thủ tục và nhận thực trong mạng WCDMA

2.5.1 Tường lửa

Tường lửa là dạng bảo mật thông thường nhất được thực hiện trong phạm vi tổ

chức. Nó tạo nên một vành đai mạng giữa những gì là chung và những gì là riêng. Một

bức tường lửa là một tập hợp các chương trình phần mềm, thường đặt ở một server

cổng riêng biệt nhằm hạn chế sự truy nhập của các người dùng thuộc các mạng khác

vào tài nguyên mạng riêng. Ngay khi một hãng nối mạng Internet, một bức tường lửa

được yêu cầu để bảo vệ tài nguyên của hãng đó và thỉnh thoảng để điều khiển tài

nguyên bên ngoài tới những người dùng đã truy nhập của hãng.

Ở mức thấp hơn, tường lửa sẽ kiểm tra các gói số liệu mạng để xem xét gói đó có

được chuyển tiếp tới đích hay không. Khi có một sự truy cập ra bên ngoài được phép

(trong trường hợp truy cập tới một Web server), tường lửa sẽ cho phép lưu lượng bên

ngoài thông qua tường lửa tới một cổng cụ thể. Trong trường hợp truyền thông với

một ứng dụng cụ thể, tường lửa thường vẫn cho phép tất cả người dùng bên ngoài có

thể truy nhập qua. Tuy nhiên, đôi lúc việc truy nhập từ bên ngoài qua tường lửa bị hạn

chế và nó chỉ cho phép truy nhập đối với những người dùng đã biết, thường căn cứ vào

địa chỉ IP của họ. Và điều này chỉ được áp dụng khi chỉ có một số lượng giới hạn

người dùng đã biết cần truy nhập tới một hệ thống.

Đối với các thiết bị di động luôn được kết nối, có thể yêu cầu một bức tường lửa

tư nhân (personal firewall), bức tường lửa tư nhân hoạt động tương tự như tường lửa

được mô tả ở trên, ngoài ra nó còn ngăn ngừa các truy nhập trái phép tới các máy tính

xách tay và các máy trợ giúp cá nhân dùng kỹ thuật số (PDA). Một bức tường lửa cá

nhân sẽ ngăn ngừa không chỉ các kết nối khả nghi mà còn các nội dung không thích

hợp. Nhiều thiết bị còn chứa các lời hướng dẫn ẩn dùng để giúp các chuyên gia bảo

dưỡng sửa chữa thiết bị. Gần đây, các lời hướng dẫn ẩn này có thể bị virus và các nội

dung không thích hợp khác tấn công làm hỏng. Bức tường lửa tư nhân có thể giúp

ngăn chặn điều này xảy ra, mặc dù trên thiết bị này không sử dụng một chương trình

diệt virus thích hợp nào.

2.5.2 Mạng riêng ảo (VPN)

Một mạng riêng ảo cho phép một công ty có thể biến một mạng công cộng thành

một mạng riêng. Công nghệ này cho phép những người làm việc ở xa có thể truyền

thông với mạng của tổ chức theo một cách an toàn. Trước khi công nghệ VPN thịnh

SVTH: Nguyễn Trúc Giang _ CCVT03B

hành, người ta thường sử dụng các đường thuê dành riêng để đạt được kết quả tương

Tìm hiểu các thủ tục và nhận thực trong mạng WCDMA

tự. Thực tế so với các đường thuê các mạng VPN đã đưa thêm một tiện ích mới đó là

cung cấp sự truy nhập an toàn từ nhiều vị trí (nhưng thực chất kết nối Internet mọi nơi

đều luôn sẵn sàng).

Công nghệ VPN hiện nay đang được sử dụng để khắc phục vấn đề an ninh thông

tin trong mạng WLAN bằng cách cung cấp một liên kết trực tiếp thông từ mạng

WLAN tới tường lửa của tổ chức. Hạn chế của cấu hình này là chi phí cao và không có

khả năng chuyển dổi giữa các điểm truy nhập WLAN. Công nghệ mạng riêng ảo di

động vẫn còn khá mới so với các thiết bị trên các mạng công cộng hiện nay. Việc sử

dụng mạng riêng ảo di động có thể làm tăng lượng số liệu được truy nhập từ xa.

2.5.3 Nhận thực hai lần

Trong nhiều trường hợp, thường là trong lĩnh vực giao dịch tài chính yêu cầu phải

được nhận thực mạnh hơn, thường sử dụng nhận thực hai lần. Một là nhận thực đối với

những gì mà người dùng biết, chẳng hạn như là số PIN, hai là nhận thực đối với những

gì mà người dùng có, chẳng hạn một thẻ chứng minh (token card) để tạo một mật khẩu

trước đó. Sự kết hợp này sẽ làm cho những người dùng trái phép khó khăn hơn trong

nỗ lực truy nhập vào hệ thống

Các client thông minh vốn dĩ đã cung cấp dạng nhận thực hai lần: Đầu tiên là

người dùng phải có thiết bị để truy nhập tới ứng dụng. Thứ đến người dùng phải tự

nhận thực để có thể truy nhập vào ứng dụng cũng như tới bất kỳ hệ thống phía sau

(back-end system) mà nó kết nối tới

2.5.4 Nhận thực bằng phương pháp sinh học

Ngay cả khi đã được tăng cường an ninh bằng cách sử dụng nhận thực hai lần,

những người dùng trái phép vẫn có thể truy nhập được vào hệ thống. Chẳng hạn, bằng

cách nào đó họ có được mã PIN và thẻ chứng minh là họ có thể truy nhập vào hệ

thống.

Để đề phòng trường hợp này, có thể thay thế các mã PIN bằng dạng nhận thực

khác mạnh hơn: Đó là nhận thực sinh học, sinh trắc học mở ra hàng loạt kỹ thuật để

nhận thực một cá nhân dựa trên những đặc điểm vật lý duy nhất của mỗi người. Các kỹ

thuật này bao gồm nhận dạng dấu vân tay, nhận dạng khuôn mặt, nhận dạng giọng nói,

quét võng mạc và tròng mắt. Sử dụng các kỹ thuật sinh trắc học có thể đảm bảo các

dấu hiệu nhận dạng này thực sự là duy nhất. Bên cạnh những ưu điểm làm tăng cường

SVTH: Nguyễn Trúc Giang _ CCVT03B

an ninh, nhận thực qua kiểm tra sinh học còn bộc lộ một vài hạn chế. Nhiều hệ thống

Tìm hiểu các thủ tục và nhận thực trong mạng WCDMA

này có phần thủ tục, gây phiền hà do đó nó chưa được người dùng chấp nhận rộng rãi.

Điều này nói lên rằng, các hệ thống sinh trắc học đang trên đà phát triển rộng rãi bởi

nó tăng cường nhận thực giữa những người dùng.

2.5.5 Chính sách an ninh

Điều cuối cùng cũng thường là quan trọng nhất là các phương pháp an toàn và

bảo mật cần được thông qua một chính sách an ninh. Chính sách an ninh này đưa ra tất

cả các vấn đề đối với các phương pháp an toàn và bảo mật được dùng trong công ty,

bao gồm cả về mặt công nghệ lẫn ứng dụng và cả sự rò rỉ thông tin mật trong phạm vi

một hãng. Ngay cả khi một công ty thực hiện một giải pháp đảm bảo an ninh mạnh,

toàn bộ hệ thống vẫn có thể mất an toàn nếu người dùng không tuân thủ những nguyên

tắc bảo mật chung. Cần phải nhớ một điều rằng kẻ thù luôn tấn công vào liên kết yếu

nhất trong một hệ thống, đáng tiếc những liên kết này thường lại là chính bản thân

những người dùng

Đôi lúc các phương pháp an toàn và bảo mật rất đơn giản lại tăng cường an ninh

đáng kể trên toàn bộ hệ thống. Chẳng hạn, nhiều người dùng thiết bị PDA không khoá

hệ điều hành lại khi nó không được sử dụng. Nếu thiết bị này bị mất, sẽ không có gì

ngăn cản được người dùng khác truy nhập vào các ứng dụng cũng như số liệu tương

ứng trên thiết bị. Các phương pháp an toàn và bảo mật tương tự được đặt trên nền màn

hình sẽ mở rộng tới người dùng từ xa.

2.6 AN NINH WAP

Giao thức ứng dụng vô tuyến hay còn gọi là WAP (Wireless Application

Protocol) gặp nhiều chỉ trích nhiều về mặt phương tiện và tổ chức do các hạn chế về

vấn đề an ninh. Vậy các vấn đề an ninh trong WAP là những vấn đề gì? và các tổ chức

khắc phục nó như thế nào?. Phần này sẽ trả lời những câu hỏi trên bằng cách giải thích

những ưu điểm và những nhược điểm của nó. Sau khi xem xét mô hình an ninh WAP

1.x chúng ta sẽ xem xét mô hình an ninh WAP 2.x

Trong kiến trúc an ninh WAP 1.x, hai khía cạnh an ninh cần được xem xét đó là:

An ninh lớp truyền tải: Vấn đề này đề cập đến sự truyền thông giữa các ứng

dụng Client và các Server hãng. Bao gồm hai giao thức: WTLS được sử dụng qua giao

diện vô tuyến và SSL hoặc TSL được sử dụng qua hữu tuyến. Sự thay đổi giao thức

SVTH: Nguyễn Trúc Giang _ CCVT03B

này là cơ sở cho vấn đề an ninh WAP chính.

Tìm hiểu các thủ tục và nhận thực trong mạng WCDMA

An ninh lớp ứng dụng: Vấn đề này đề cập đến vấn đề an ninh ứng dụng Client,

bao gồm các chữ ký số và mật mã hoá.

Hai khía cạnh này sẽ đề cập đến các vấn đề an ninh điển hình trong bất kỳ một

mô hình an ninh nào bao gồm nhận thực, tính toàn vẹn số liệu, tính bí mật, phân

quyền, và tính không thể phủ nhận.

2.6.1 An ninh lớp truyền tải

An ninh lớp truyền tải được hiểu là an ninh kênh thông tin điểm đến điểm giữa

một client vô tuyến và nguồn số liệu hãng. Bao gồm truyền thông qua cả các kênh hữu

tuyến lẫn các kênh vô tuyến. Với giao thức ứng dụng vô tuyến (WAP) số liệu được

mật mã hoá truyền tải qua giao diện vô tuyến sử dụng giao thức an ninh lớp truyền tải

vô tuyến (WTLS – Wireless Transport Layer Security) và truyền tải hữu tuyến sử dụng

giao thức an ninh Internet như SSL và TLS. Việc sử dụng không đồng nhất các giao

thức sẽ dẫn đến một trong những vấn đề chính trong an ninh WAP. Nhưng trước khi

nghiên cứu vấn đề này, chúng ta sẽ xem xét đến những đặc điểm của WTLS.

2.6.1.1 WTLS

Giao thức an ninh lớp truyền tải vô tuyến WTLS được phát triển nhắm tới những

đặc thù của mạng vô tuyến là băng thông thấp và nguy cơ an ninh mạng cao. WTLS là

dạng biến thể của giao thức an ninh lớp truyền tải TLS (Transport Layer Security)

(giao thức này là tiêu chuẩn của IETF về an ninh trong mạng Internet). Rất tiếc là giao

thức này (giao thức TSL) không thể sử dụng trực tiếp trong mạng vô tuyến được do nó

không đủ hiệu lực trong một môi trường vô tuyến. WTLS tận dụng được hiệu quả của

giao thức này bằng cách bổ sung thêm những khả năng mới nhắm vào người dùng vô

tuyến. Sau đây là một vài đặc tính được đưa vào WTLS mà không có trong TLS:

 Hỗ trợ các thuật toán mật mã hoá khác: SSL và TSL chủ yếu sử dụng mật mã

hoá RSA. WTLS hỗ trợ RSA, Diffie-Hellman (DH), và mật mã hoá đường

cong elip ECC (Elliptic Curve Cryptography).

 Định nghĩa một chứng nhận khoá công cộng thu gọn là chứng nhận WTLS:

Đây là một phiên bản hiệu quả hơn của chứng nhận số X.509.

 Hỗ trợ datagram UDP: Sự hỗ trợ này sẽ dụng chạm tới nhiều phần của giao

thức này từ việc số liệu được mã hoá như thế nào đến việc hỗ trợ thêm cho

việc điều khiển bản tin để đảm bảo bản tin không bị mất, không bị sao lại, và

SVTH: Nguyễn Trúc Giang _ CCVT03B

không bị phân phát sai thứ tự.

Tìm hiểu các thủ tục và nhận thực trong mạng WCDMA

 Tuỳ chọn nhớ lại khoá: Khả năng này được thoả hiệp lại một cách định kỳ

dựa trên số bản tin gửi.

 Tập các bản tin cảnh báo được mở rộng: Điều này là rất rõ ràng đối với việc

điều khiển lỗi.

 Bắt tay hiệu quả: Điều này làm giảm số lượng hành trình cần thiết trong

mạng có nguy cơ cao.

Cùng với những thay đổi này, WTLS còn đưa ra ba mức nhận thực giữa client và

gateway. Chúng được liệt kê theo thứ tự tăng dần:

Lớp WTLS 1: Phối hợp ngầm giữa client và gateway WAP, không có nhận thực.

Lớp WTLS 2: Server tự nhận thực tới client sử dụng chứng nhận WTLS.

Lớp WTLS 3: Cả client và gateway WAP nhận thực lẫn nhau Đây là dạng nhận

thực sử dụng thẻ thông minh, modun nhận dạng thuê bao (SIM) GSM. Ví dụ có thể

lưu trữ các chi tiết nhận thực trên thiết bị đối với nhận thực hai chiều.

2.6.1.2 Kẽ hở WAP

Không may, cùng với việc sử dụng WTLS để cải thiện TLS trong thông tin vô

tuyến thì đồng thời nó cũng làm nảy sinh một vấn đề đáng phải quan tâm: Bây giờ cả

WTLS và TLS đều cần cho một kiến trúc WAP, có một điểm mà tại đó xảy ra sự biến

đổi giữa hai giao thức. Chính từ điểm này, không phải từ chính giao thức WTLS, nảy

sinh vấn đề về an ninh. Sự biến đổi giao thức xảy ra tại các cổng (gateway) WAP: Từ

thiết bị client tới cổng WAP, WTLS được sử dụng; từ gateway tới Server hãng TLS

được sử dụng. Tại điểm này, nội dung WTLS được giải mật mã rồi sau đó lại được

mật mã hoá sử dụng TLS. Trong khoảng thừi gian xảy ra sự chuyển đổi, nội dung lúc

này ở dạng mã có thể hiểu được, tạo nên một kẽ hở gọi là kẽ hở WAP. Tuy nhiên, nếu

giữ cho lượng thời gian mà nội dung không được mã hoá ở mức tối thiểu và cổng

WAP không ở miền chung, thì vẫn có thể khắc phục được phần nào. mặc dù vậy, đối

với nhiều công ty, mối nguy hiểm này vẫn là quá lớn khi nó bộc lộ một điểm yếu trong

mạng, cản trở an ninh đầu cuối tới đầu cuối.

Có hai lựa chọn để là giảm mối nguy cơ từ kẽ hở WAP:

 Thứ nhất là chấp nhận cổng WAP là một điểm yếu và sử dụng mọi biện pháp

để nó, sử dụng tường lửa, thiết bị giám sát, và một chính sách an ninh nghiêm

SVTH: Nguyễn Trúc Giang _ CCVT03B

ngặt.

Tìm hiểu các thủ tục và nhận thực trong mạng WCDMA

 Thứ hai là dịch chuyển cổng WAP trong phạm vi bảo vệ của tường lửa công

ty và tự quản lý nó.

Việc lựa chọn giữa hai tuỳ chọn này là một quyết định mang tính thương mại phụ

thuộc vào từng hãng. Nó là sự thoả hiệp giữa một bên là tài nguyên bổ sung cần thiết

để duy trì một cổng WAP với một bên là mối đe doạ an ninh tiềm tàng đối với số liệu

của công ty. Một giải pháp đã được đưa ra đó là WAP 2.x.

2.6.1.3 WAP 2.x

Có nhiều đặc tính trong WAP 2.0, nhưng quan trọng nhất là sự tiến triển tới các

giao thức Internet chuẩn. Sự tiến triển này sử dụng HTTP, TCP, và IP cho phép TLS

có thể sử dụng cho truyền thông số liệu, do đó không phải cần đến giao thức WTLS.

Khi chỉ cần sử dụng một giao thức từ thiết bị client tới server hãng, WAP có thể cho

phép an ninh từ đầu cuối tới đầu cuối, giải quyết mối nguy cơ từ kẽ hở WAP. Có thể

khẳng định đây là một sự thay đổi chủ yếu trong WAP và nó khuyến khích các nhà

cung cấp dịch vụ tiến tới sử dụng WAP 2.x. Tuy nhiên, nó mở ra thời kỳ mới cho

WAP trong lĩnh vực Internet không dây.

2.6.2 An ninh lớp ứng dụng

Với quá nhiều sự tập trung vào kẽ hở WAP và an ninh lớp truyền tải, các nhà phát

triển thường quên mất phải đảm bảo an ninh lớp ứng dụng. An ninh lớp ứng dụng là

vấn đề quan trọng bởi hai lí do sau đây: Thứ nhất là khi an ninh được yêu cầu thực

hiện tại các điểm cuối của an ninh lớp truyền tải, thứ hai là khi nội dung trình diễn cần

được truy cập nhưng số liệu hãng lại không sẵn sàng. Điều này có thể xảy ra trong thời

gian chuyển đổi mã, đó là khi một ngôn ngữ đánh dấu khác (thường là HTML) được

chuyển đổi thành WML.

Tình huống thứ nhất có thể được đưa ra bởi việc sử dụng các kỹ thuật được cung

cấp trong quy định WML. Nhìn chung, các sắp đặt mặc định được thiết lập ở mức an

ninh cao nhất, nhưng có một vài điều cần chú ý sau đây:

 Bất cứ thẻ WML nào yêu cầu truy cập tới số liệu nhạy cảm cần phải được

thiết lập số tham khảo người gửi (sendreferer) = true trong phần tử .

 Nguyên bản điều khiển yêu cầu đối với thông tin nhạy cảm cần được kiểm

tra URL có trong tiêu đề REFERER của yêu cầu HTTP để chắc chắn rằng các

SVTH: Nguyễn Trúc Giang _ CCVT03B

yêu cầu này đang được điều khiển từ các miền thân thiện.

Tìm hiểu các thủ tục và nhận thực trong mạng WCDMA

 Sử dụng HTTPS và yêu cầu nhận thực cơ bản. Nếu tin tưởng vào chỉ mình

nhận dạng máy điện thoại là chưa đủ.

Tình huống thứ hai được đưa ra bởi việc sử dụng WMLScript và Crypto API. Sử

dụng chức năng văn bản đánh dấu này trong API, có thể tạo ra các chữ ký số, tạo điều

kiện cho PKI vô tuyến quản lý và lưu hành các chứng nhận khoá công cộng. Công

nghệ này cho phép đảm bảo an ninh từ đầu cuối tới đầu cuối giữa những nhà cung cấp

nội dung (thường là hãng) và client.

2.7 AN NINH CLIENT THÔNG MINH

Kiến trúc client thông minh không phụ thuộc vào sự chuyển đổi giao thức tại một

cổng (gateway) nên nó không bị ảnh hưởng bởi kẽ hở WAP. Tuy nhiên, các ứng dụng

này cần phải thực hiện các vấn đề về an ninh. Bất cứ lúc nào số liệu nằm ngoài phạm

vị bảo vệ của tường lửa của công ty, cơ chế an ninh cần phải được thực hiện để bảo vệ

các thông tin nhạy cảm. Với kiến trúc client thông minh, nó có thể cung cấp an ninh

đầu cuối tới đầu cuối đối với các số liệu hãng.

Các vấn đề về an ninh liên quan đến các ứng dụng client thông minh bao gồm

nhận thực người dùng, mật mã hoá số liệu lưu trữ trên client, và an ninh lớp truyền tải.

Chúng ta sẽ xem xét lần lượt từng vấn đề.

2.7.1 Nhận thực người dùng

Các ứng dụng client thông minh thường lưu trữ số liệu trực tiếp trên thiết bị rất

giống với các ứng dụng nền màn hình trên các máy tính cá nhân (PC). Để hạn chế truy

nhập tới các nguồn số liệu này cần phải nhận thực người dùng. Tổ hợp tên người

dùng/mật khẩu là mức tối thiểu của nhận thực cần được thực hiện. Mật khẩu sử dụng

không nên lưu trữ ngay trên thiết bị vì như thế rất mạo hiểm. Thường thường dạng

nhận thực hay được thực hiện là kiểm tra nhận dạng người sử dụng (userid) hay mật

khẩu (password) được lưu trữ trong kho số liệu theo userid/password được đánh vào

bởi người dùng. Kết quả thông thường nằm trong chỗ hổng mã máy nếu so sánh thành

công. Không may là loại ứng dụng này có thể bị tấn công để luôn luôn hổng. Bằng

cách đó, các hacker có thể luôn truy nhập vào nguồn số liệu mỗi khi họ sử dụng ứng

dụng đã được bẻ khoá (cracked).

Tuy có thể nhận thực người dùng tới thiết bị và số liệu lưu trên thiết bị đó nhưng

không nên nhận thực người sử dụng một cách tự động tới nguồn số liệu trong server

SVTH: Nguyễn Trúc Giang _ CCVT03B

hãng. Ở mức này thường được sử dụng một dạng nhận thực thứ hai tinh vi hơn, chẳng

Tìm hiểu các thủ tục và nhận thực trong mạng WCDMA

hạn đó là một mạng riêng ảo hay chứng nhận số. Theo đó, một hãng có thể tối thiểu

hóa lượng số liệu có thể truy nhập bởi người dùng trái phép. Họ có thể xem một lượng

nhỏ số liệu được lưu trữ cục bộ nhưng không được cập nhật hoặc lấy bất cứ số liệu

hãng nào.

Việc đưa ra vấn đề an ninh trên các hệ điều hành di động là một ý tưởng hay đem

lại nhiều lợi ích. Tất cả các hệ điều hành chính hiện nay đều cung cấp một cơ chế khoá

thiết bị, yêu cầu người dùng phải được nhận thực trước khi họ có thể truy nhập vào bất

cứ một thiết bị nào. Điều này đưa ra một mức nhận thực thứ ba mở ra hy vọng cho

những người có thể tìm lại thiết bị đã mất của mình.

2.7.2 An ninh kho số liệu

Với các ứng dụng client thông minh, số liệu chung được lưu trữ một cách cục bộ

trên các thiết bị di động. Số liệu này cần được bảo vệ trước những truy nhập trái phép.

Trong nhiều trường hợp yêu cầu người dùng phải được nhận thực trước khi truy nhập

vào nguồn số liệu mới chỉ là một bước để bảo vệ nguồn số liệu này, bước nữa là mật

mã hoá chính số liệu đó, làm cho số liệu đó không thể nào xem được khi không có sự

nhận thực chính xác, dạng lý tưởng là sử dụng một chứng nhân số.

Việc thực hiện cả nhận thực và mật mã hoá trong một phương pháp là cách tốt

nhất để đảm bảo số liệu thực sự an toàn. kho số liệu có thể được mật hoá bằng cách sử

dụng mật khẩu (password) như sử dụng một thuật toán khoá đối xứng. Theo cách này

sẽ không kiểm tra riêng lẻ từng công đoạn một để truy nhập tới ứng dụng mà tất cả số

liệu trở về từ kho số liệu được giải mật mã luôn sử dụng khoá chính là mật khẩu

(password).

Mật mã hoá cần phải đủ mạnh nên nó không đễ dàng bị bẻ gãy. Đã có loại mật

mã 128 bit, mức bảo mật cao này làm tăng mức độ bảo vệ số liệu nhưng lại bộc lộ ra

nhược điểm so với mức bảo mật thấp hơn. bất cứ khi nào số liệu được lấy ra hoặc

được bổ sung vào chúng đều phải trải qua thuật toán mật mã hoá. Điều này có tác động

tiêu cực đáng kể tới hiệu năng, đặc biệt là đối với các thiét bị có năng lực tính toán hạn

chế. Hơn nữa, nếu vì một vài lí do nào đó mà khoá mật mã hoá bị mất, sẽ không có

cách nào để truy nhập tới nguồn số liệu mà không phải bẻ khoá, điều này là không thể

thực hiện được.

Nếu xét thấy sự đền bù về hiệu năng đối với các phương pháp mật mã hoá mạnh

SVTH: Nguyễn Trúc Giang _ CCVT03B

là quá lớn, thì có thể sử dụng một phương pháp bảo vệ khác yếu hơn là phương pháp

Tìm hiểu các thủ tục và nhận thực trong mạng WCDMA

làm rối số liệu (data obfuscation). Phương pháp này có thể làm ngẫu nhiên hoá nguồn

số liệu làm cho nó không thể xem được bằng công cụ duyệt văn bản. tuy nó không

cung cấp khả năng bảo vệ bằng phương pháp bảo mật mạnh, nhưng nó có thể đủ mạnh

để áp dụng cho một vài kiểu số liệu. Phương pháp này gần như không ảnh hưởng hoặc

ảnh hưởng rất ít tới hiệu năng nói chung.

Các nhà cung cấp cơ sở dữ liệu chính bao gồm iAnywhere Solutions cung cấp các

công nghệ mật mã hoá gắn liền với sản phẩm của họ. Một dạng lưu trữ dữ liệu khác

đang được sử dụng là Palm DB hoặc là một giải pháp theo ý muốn của khách hàng,

các nhà phát triển cần phải đảm bảo rằng mật mã hoá số liệu được thực hiện trong các

giải pháp này. Nhiều hệ điều hành di động cung cấp các thư viện mật mã hoá để giúp

việc xử lý này.

2.7.3 An ninh lớp truyền tải

Tại lớp truyền tải, mật mã hoá số liệu cần phải được thực hiện để bảo vệ số liệu

hãng đang được đồng bộ hoá. đồng bộ hoá có thể là phần quan trọng nhất của ứng

dụng cần được bảo vệ. Một điều rất thuận lợi là có nhiều sản phẩm mật mã hoá sẵn

sàng cho công việc bảo mật này. Các công ty gồm có Certicom và RSA cung cấp các

sản phẩm có thể được sử dụng để mật mã hóa bất kỳ kiểu số liệu đang được truyền đi

từ hoặc tới thiết bị di động. Nhiều nhà cung cấp ứng dụng client thông minh cùng với

các giải pháp mật mã hoá số liệu 128 bit. Theo cách này, số liệu được truyền dẫn qua

các mạng công cộng được đảm bảo tính bí mật từ thời điểm số liệu rời thiết bị cho tới

khi tới được server hãng.

Cùng với mật mã hoá, khuyến khích sử dụng dạng nhận thực mạnh chẳng hạn

như chứng nhận số. Thêm vào đó, cố gắng giữ cho tường lửa của công ty ở phạm vi an

toàn nhất có thể được cho số liệu công ty. Không mở bất cứ cổng nào mà không thông

SVTH: Nguyễn Trúc Giang _ CCVT03B

qua server đồng bộ hoá.

Tìm hiểu các thủ tục và nhận thực trong mạng WCDMA

CHƯƠNG III: NHẬN THỰC TRONG MẠNG TỔ ONG SỐ

THẾ HỆ HAI

3.1 MỞ ĐẦU

Trong hầu hết các hệ thống tổ ong tương tự, thoại của thuê bao được truyền một

cách rõ ràng, sự nghe trộm hội thoại trên đường vô tuyến là một mối nguy hiểm quan

trọng. Các hệ thống thế hệ hai đã chú tâm đến vấn đề này thông qua mã hóa dữ liệu là

một tiến bộ quan trọng về an ninh cho môi trường thông tin vô tuyến. Mặt khác, an

ninh bị vi phạm đã làm tổn thất cho nhà cung cấp dịch vụ thông tin di động bằng các

hệ thống tương tự thế hệ thứ nhất hàng trăm triệu đô la, sự mất an toàn này là “ cell-

phone closing”, ở đây, các thủ tục nhận thực phát triển cho các hệ thống số thế hệ hai

đã có được một tác động lớn như một vật cản đối với sự xâm phạm .Tuy vậy , kể từ

khi các nhà cung cấp dịch vụ đưa ra những hệ thống thế hệ hai thì các giao thức an

ninh được nâng cao sự giám sát. Các nhà cung cấp dịch vụ cố gắng vạch trần những kẻ

tấn công giả dạng như các node mạng hợp lệ, họ còn giả định rằng cơ sở hạ tầng mạng

hữu tuyến có thể được coi an toàn.

3.2 NHẬN THỰC THUÊ BAO TRONG GSM

GSM ( Globat System for Mobile communication, hoặc Globat System Mobile)

là giao thức phổ biến nhất trên thế giới đối truyền thông tổ ong số. Các hệ thống thông

tin tổ ong GSM đã phát triển và triển khai đầu tiên ở liên minh châu Âu, ngày nay còn

được nhận thấy ở châu Á, châu phi và bắc Mỹ. GSM phát triển được nền tảng cấu trúc

cơ sở hạ tầng cho thông tin thoại số, hỗ trợ thiết lập hoàn chỉnh các giao thức an ninh,

điều này tránh được nhiều sơ sở đối với kẻ nghe trộm và sự gian lận thuê bao đã nhũng

nhiễu các công nghệ tổ ong tương tự thế hệ thứ nhất.

3.2.1.Thành phần hệ thống của cấu trúc an ninh GSM

Toàn bộ kết cấu nhận thực GSM có 4 thành phần chính: SIM, GSM handset,

HLR/AuC và VLR.

3.2.1.1. SIM

SIM là một thẻ thông minh nhỏ được đưa ra bởi nhà cung cấp dịch vụ GSM đối

với từng thuê bao cá nhân. SIM cài vào một điện thoại tổ ong GSM và chứa một số

yếu tố về mã và dữ liệu: IMSI ( International Mobite Subscriber Identity- một số quốc

tế duy nhất đối với thuê bao GSM), một khoá nhận thực ( thường ký hiệu Ki) là khoá

SVTH: Nguyễn Trúc Giang _ CCVT03B

riêng đối với thuê bao, một số nhận dạng cá nhân (PIN), thuật toán tên gọi A3 sử dụng

Tìm hiểu các thủ tục và nhận thực trong mạng WCDMA

để nhận thực thuê bao và một thuật toán tên gọi A8 sử dụng do sự phát sinh khoá

phiên.

3.2.1.2 GSM hand set

Trong điện thoại GSM tự cài mã để thực hiện thuật toán A5, thuật toán này thực

hiện mật mã và giải mật mã thông tin gửi đi giữa handset và BS (Base Station) trong

một phiên truyền thông GSM thực tế.

3.2.1.3 HLR/AuC

HRL và AuC được tích hợp chung với nhau trên mạng bởi nhà cung cấp dịch vụ

GSM của thuê bao, nhưng có thể coi chúng giống như các thực thể tách rời một cách

hợp lý. Trung tâm nhận thực có một thành phần khoá, một cơ sở dữ liệu về sự nhận

dạng và thông tin nhận thực đối với mỗi thuê bao. Những thuộc tính trong cơ sở dữ

liệu này bao gồm IMSI của thuê bao, khoá nhận thực (Ki), LAI (Location Area

Indentifier) và TMSI (Temporary Mobile Subscriber Indentily- một loại mã sử dụng

vào việc xác định IMSI, có thể được che dấu dạng thực của thuê bao khỏi những kẻ

nghe trộm ). Trung tâm nhận thực có chức năng sinh ra bộ ba giá trị RAND, SRES và

khoá phiên (Kc). Bộ ba giá trị này được lưu trữ trong HLR đối với mỗi thuê bao ( chức

năng của các thành phần của bộ ba này sẽ được giải thích trong phần tới).

3.2.1.4. VLR

VLR cũng như HLR được duy trì trong hệ thống của mỗi nhà cung cấp dịch vụ

GSM. VLR lưu trữ bộ ba (RAND, SRES và khoá phiên Kc) cho mỗi thuê bao đang

liên lạc với trạm gốc của nhà cung cấp dịch vụ. Tất nhiên khi thuê bao chuyển vùng ra

xa mạng của nhà cung cấp dịch riêng của thuê bao đó, thông tin phải được hướng từ

HLR đến VLR, mục đích để hoàn thành thủ tục nhận thực.

Hình 3.1: Minh họa sự tương tác giữa các thành phần riêng biệt của cấu trúc

an ninh GSM

SVTH: Nguyễn Trúc Giang _ CCVT03B

Tìm hiểu các thủ tục và nhận thực trong mạng WCDMA

Chú ý rằng VLR và HLR/AuC có thể thuộc quyền kiểm soát của nhiều nhà cung

cấp dịch vụ mạng khác nhau. Tuy nhiên SIM và MS (Mobile Station) của thuê bao bị

ảnh hưởng trực tiếp tới một HLR/AuC duy nhất. Do đó thuê bao thường xuyên được

định vị ( trừ khi thuê bao thay đổi nhà cung cấp dịch vụ). Nhưng thuê bao có thể

chuyển vùng địa lý giữa các vùng phục vụ bởi các nhà cung cấp GSM khác nhau

không có sự gián đoạn dịch vụ.

3.2.2. Các thành phần dữ liệu trong giao thức nhận thực GSM

Giao thức an ninh GSM, kể cả đối với sự nhận thực người dùng, được dựa trên

các công nghệ mã hoá đối xứng, với SIM và trung tâm nhận thực, cả hai đưa ra cùng

IMSI và khoá nhận thực thuê bao (Ki) cho mỗi thuê bao GSM. Một cơ sở của giao

thức bảo mật GSM là trong khi khoá nhận thực của thuê bao được lưu trong cả SIM và

trung tâm nhận thực thì khoá này không bao giờ được truyền qua mạng.

Thành phần dữ liệu khoá của giao thức nhận thực GSM đưa ra bên dưới, cùng với

các thành phần dữ liệu khác tạo nên “bộ ba ” GSM đã lập danh sách đầu tiên . Nhớ lại

là các thành phần của bộ ba được sinh ra bởi trung tâm nhật thực, được lưu trữ đầu tiên

trong HLR, và gửi tới VLR khi một thuê bao tìm cách thiết lập một phiên làm việc

trong khi thuê bao đang chuyển vùng .

3.2.2.1 Các thành phần của bộ ba

 RAND: RAND là một số ngẫu nhiên 128 bít được sinh ra bởi trung tâm nhận

thực. Nó luôn được sử dụng trong giai đoạn đầu thực hiện thủ tục Challenge-

reronce của chuỗi nhận thực GSM.

 SRES ( Signed Response) : Là một số 32 bít, SRES là kết quả khi sử dụng

thuật toán A3 GSM cho RAND 128 bít.

 Kc (Session Key): Kc là một khoá phiên 64 bít, hoặc “khoá mật mã”, Kc sử

dụng để mã hóa và giải mã hóa dữ liệu truyền giữa handset và BS trong một

phiên truyền thông GSM đơn giản. Kc được sinh ra trong SIM về phía

handset bằng cách cung cấp RAND 128 bít và khoá nhận dạng duy nhất của

thuê bao Ki cho thuật toán A8. Do đó Kc là khóa duy nhất đối với cả thuê bao

cá nhân (cho rằng Ki được sử dụng trong sự phát sinh Kc) và phiên truyền

thông tương ứng này ( cho rằng việc sử dụng RAND như thành phần hạt

SVTH: Nguyễn Trúc Giang _ CCVT03B

giống thứ 2).

Tìm hiểu các thủ tục và nhận thực trong mạng WCDMA

3.2.2.2 Các thành phần dữ liệu cần thiết khác

 Ki: (Subscriber Authentication Key-Khoá nhận thực thuê bao): là khoá duy

nhất đối với mỗi thuê bao cá nhân, là một khoá đối xứng lưu giữ ở trong cả

SIM và trung tâm nhận thực, nhưng không bao giờ phát quảng bá qua đường

không.

 IMSI: (International Mobile Subscriber Identification – Nhận dạng thuê bao

di động quốc tế): Là một số nhận dạng duy nhất đối với thuê bao cá nhân

 TMSI: (Temporary Mobile Subscriber Identification – Nhận dạng thuê bao di

động tạm thời) là một số nhận dạng tạm thời được sử dụng trong phiên truyền

thông GSM, thay cho IMSI trong mục đích duy trì bí mật thuê bao.

3.2.3 Hoạt động của giao thức nhận thực GSM

Về bản chất, GSM sử dụng một giao thức challenge-respond đơn giản. Giao thức

này mang lợi thế của RAND và SRES được tính trước bởi trung tâm nhận thực và

được đưa tới VLR. Quá trình thực hiện tiếp theo như sau:

1. Khi MS (GSM hand set) tiếp cận một BS trong một mạng tạm trú với yêu cầu

thiết lập một phiên truyền thông, MS nhận biết IMSI của nó (bằng cách

truyền IMSI của nó một cách công khai).

2. Mạng tạm trú đệ trình số nhận dạng riêng của nó cùng với IMSI của thuê bao

tới trung tâm nhận thực (AuC). Trung tâm nhận thực đáp lại một bộ RAND,

SRES và Kc (bộ ba). Trung tâm nhận thực sử dụng thuật toán A3 để sinh ra

SRES từ số ngẫu nhiên RAND và khoá nhận thực thuê bao Ki. Thêm vào đó,

AuC đã tính được khoá phiên Kc trong một cách tương tự, sử dụng thuật toán

A8.

3. Mạng tạm trú gửi RAND 128 bít tới MS như một yêu cầu

4. SIM trong MS nhận được RAND từ GSM handset, SIM này sử dụng thuật A3

và khoá Ki để thực hiện thuật toán A3 sinh ra SRES riêng của nó. Handset

truyền SRES này quay trở lại mạng tạm trú ( đáp lại yêu cầu của bước 3).

5. Mạng GSM tạm trú so sánh SRES nhận được từ MS với SRES nhận được

sớm hơn từ trung tâm nhận thực ( được lưu trong VLR). Nếu hai giá trị này là

bằng nhau, phiên truyền thông được thực hiện; nếu không, phiên truyền

SVTH: Nguyễn Trúc Giang _ CCVT03B

thông bị bác bỏ.

Tìm hiểu các thủ tục và nhận thực trong mạng WCDMA

6. Khi phiên truyền thông được chấp nhận, SIM trong handset còn tính toán

phiên bản của khoá phiên Kc riêng của nó, bằng cách sử dụng RAND và

khoá nhận thực thuê bao Ki trong thuật toán A8. Chú ý rằng trong khi khoá

phiên không được truyền từ BS đến MS thì cả mạng tạm trú và MS vẫn cùng

chứa khoá phiên này.

7. Mục đích để hỗ trợ truyền thông an toàn trong sự trao đổi tiếp theo giữa

mạng tạm trú và MS, cả MS( handset) và mạng GSM sử dụng khoá phiên Kc

và một số chu kỳ TDMA(Time Division Multiple Acess – GSM xây dựng

dựa trên giao thức truyền thông TDMA) tới thuật toán A5. Kết quả là một

chuỗi 114 bít hoặc 2 khối 57 bít được truyền trong một chu kỳ TDMA đơn

giản. Chú ý rằng trong khi Kc tiếp tục duy trì qua một phiên GSM , chuỗi

114 bít sẽ thay đổi ở mọi chu kỳ do sự thay đổi thứ tự chu kỳ TDMA.

Hình 3.2: Minh hoạ luồng thông tin trong chuỗi nhận thực thuê bao GSM

Hình 3.3: Quá trình vào ra dữ liệu của thuật toán A3 và A8 trong chuỗi nhận

SVTH: Nguyễn Trúc Giang _ CCVT03B

thực thuê bao GSM

Tìm hiểu các thủ tục và nhận thực trong mạng WCDMA

3.3 NHẬN THỰC THUÊ BAO TRONG DECT

Giao thức DECT( Digital European Cordless Telephone) là một tiêu chuẩn của

châu Âu cho cơ sở truyền thông điện thoại không dây giống như GSM. Cơ sở cấu trúc

bảo mật trong DECT được dựa vào một cấu trúc khoá đối xứng. Trong đó thuê bao và

mạng thường trú dùng chung một khoá bí mật. Nhận thực thuê bao xuất phát từ khoá

bí mật dùng chung này, giống như làm sinh ra các khoá phiên đối với mã hoá của dữ

liệu truyền. Trái với GSM, DECT giới thiệu một vài sự lựa chọn tiếp xúc làm thế nào

để mạng thường trú và mạng dịch vụ tác dụng tương tác trong việc xử lý nhận thực

thuê bao.

3.3.1 Nhân tố dữ liệu và các thuật toán trong giao thức nhận thực trong DECT

Các nhân tố dữ liệu trong giao thức nhận thực DECT bao gồm khoá cá nhân cơ sở

dùng chung bởi handset của thuê bao và mạng thường trú, khoá phiên và một vài số

ngẫu nhiên khác nhau đã sử dụng trong nhận thực và các phương pháp mã hoá dữ liệu

. Các nhân tố dữ liệu mã là:

 DECT IN (DECT Indentification Number): Một số nhận dạng duy nhất của

thiết bị đầu cuối DECT cá nhân.

 K( Shared Authentication Key): Đây là khoá đối xứng bí mật dùng chung

bởi mạng thường trú và thiết bị đầu cuối của thuê bao. Phụ thuộc vào yêu cầu

của nhà vận hành hệ thống, DECT sinh ra khoá K từ sự kết hợp các khoá

khác với thuê bao, giống như UIP và UAK ( như dưới đây).

 UPI( User Personal Identifly): UPI là một mã cá nhân ngắn, một thuê bao có

thể đăng ký UPI ở lúc bắt đầu của một phiên truyền thông. Do đó, UPI là một

loại mã PIN. Cũng như chú ý ở trên, DECT đưa ra một sự lựa chọn đối với sự

phát sinh của khoá nhận thực K từ một UPI.

 UAK( User Authentication Key): Là một khoá dài hơn và duy nhất đối với

một người sử dụng DECT, UAK có thể được ghi trong một thiết bị đầu cuối

DECT bằng một thẻ thông minh-giống như module gọi là module nhận thực

DECT (DAM).

 RS( Random Number- Số ngẫu nhiên): RS là một số ngẫu nhiên phát sinh bởi

SVTH: Nguyễn Trúc Giang _ CCVT03B

mạng thường trú của thuê bao giống như phần của chuỗi nhận thực.

Tìm hiểu các thủ tục và nhận thực trong mạng WCDMA

 Ks ( Session Key-Khoá phiên): Ks là một khoá được phát sinh từ sự kết hợp

của K và RS, mục đích để đưa ra một khoá chủ đối với một phiên truyền

thông DECT riêng.

 RAND-F (Random Number): Một số ngẫu nhiên khác với RS

 DCK( DECT Dynamic Cipher Key): Một khoá đưa ra từ KS và RAND-F,

mục đích cung cấp một khoá mã hoá dữ liệu để sử dụng trong một phiên

truyền thông DECT.

 RES ( Authentication Response Code- Mã đáp lại nhận thực): một giá trị đưa

ra bởi trạm di động DECT từ sự kết hợp của KS và RAND-F để xác nhận sự

nhận thực của thuê bao DECT.

 SCK (Static Cipher Key-Khoá mã tĩnh): SKC cung cấp một sự lựa chọn tới

sự sử dụng của phiên DCK đặc biệt và các giá trị KC. SKC là một khoá tĩnh,

khoá này được ghi trong cả thiết bị đầu cuối vô tuyến, vô tuyến có thể di

chuyển được và thiết bị đầu cuối vô tuyến cố định (Module mạng DECT ).

Mục đích khoá này hỗ trợ mã hoá và giải mã dữ liệu trên một cơ sở lâu dài

giá trị SKC đơn giản có thể sử dụng cho một giai đoạn bất định.

Giao thức nhận thực DECT bao gồm hai thuật toán A11 và A12.

 A11: Thuật toán A11 mang khoá bí mật K và số ngẫu nhiên RS, AuC thực hiện

nhập dữ liệu và đưa ra khoá phiên Ks.

 A12: Thuật toán này mang Ks và số ngẫu nhiên RAND-F, A11 nhập dữ liệu

vào và đưa ra RES( hoặc về phía mạng là XRES) và phiên lựa chọn khoá mã

hoá riêng DCK.

3.3.2 Hoạt động của giao thức nhận thực DECT

Trong trường hợp nơi mà DECT handset hoặc MS (thiết bị đầu cuối vô tuyến có

thể di chuyển được sử dụng công nghệ DECT ) đang tương tác trực tiếp với mạng

thường trú của nó (được gọi là đầu cuối vô tuyến cố định). Giao thức nhận thực thuê

bao gần giống như chuỗi challenge/response trong GSM. Chuỗi liên tiếp này thực hiện

như dưới đây:

1. MS gửi số nhận dạng DECT của nó tới trạm cố định khi mà MS tìm cách

SVTH: Nguyễn Trúc Giang _ CCVT03B

thiết lập một phiên truyền thông.

Tìm hiểu các thủ tục và nhận thực trong mạng WCDMA

2. Trạm cố định sinh ra hai số ngẫu nhiên, RS và RAND-F. Khoá bí mật sử

dụng các giá trị này tương tự với ID của trạm di động và bằng thuật toán A11

và A12 trạm cố định có thể sinh ra XRES, KS và DCK.

3. Trạm cố định truyền cặp số ngẫu nhiên (RS, RAND-F) quay trở lại MS.

4. Bây giờ MS có thể còn sử dụng A11 và A12 để sinh ra đáp ứng của nó với yêu

cầu, RES và khoá phiên MS truyền RS quay trở lại BS cố định.

5. Trạm cố định so sánh RES và XRES, nếu chúng bằng nhau thì MS được, nếu

không thì yêu cầu của MS bị bác bỏ.

Bộ đăng ký định vị thường trú

Trạm di động

(1) DECT IDMS

Đầu cuối vô tuyến cố định DECT

(2) DECT IDMS

, IDFS

(3) RS, RAND_F, XRES, và DCK lựa chọn

(4) RS, RAND_F

Tính Ks và RES nhờ thuật toán A11vàA12

(5) RES

So sánh RES và XRES; nếu bằng nhau, nhận thực trạm gốc

Hình 3.4: Minh hoạ sự hoạt động của bản tin nhận thực thuê bao trao đổi trong DECT

Khi thuê bao DECT đang chuyển vùng ra xa khỏi mạng thường trú của nó, cũng

giống trong trường hợp của GSM, thông tin phải được truyền từ HLR tới VLR. Tuy

nhiên, ngược với GSM, DECT cung cấp 3 sự tương tác khác nhau trong quá trình xử

lý nhận thực thuê bao, sự tương tác có thể được lựa chọn phụ thuộc vào tiêu chuẩn an

SVTH: Nguyễn Trúc Giang _ CCVT03B

ninh và yêu cầu của nhà cung cấp dịch vụ.

Tìm hiểu các thủ tục và nhận thực trong mạng WCDMA

Sự tương tác đầu tiên, HLR truyền đơn giản một bản sao của khoá bảo mật K tới

VLR, cùng với mạng tạm trú rồi sinh ra các số ngẫu nhiên riêng của nó, và sử dụng số

ngẫu nhiên này trong mối liên hệ với K để mang tới giao thức nhận thực. Điều này tối

ưu thông tin giữa HLR và VLR, tuy đạt được hiệu quả nhưng tăng mối nguy hiểm như

K sẽ bị làm hại. Sự tương tác này chỉ được sử dụng nếu yêu cầu bảo mật thấp bắt đầu

với and/or. Mạng cố định được biết là an toàn cực độ. Trong sự tương tác thứ hai, bản

thân HLR sinh ra các số ngẫu nhiên RS và RAND-F, và rồi sử dụng K sinh ra XRES

và tuỳ chọn khoá mã hoá phiên DCK. Rồi những thành phần này được gửi đến VLR,

đây là sự lựa chọn gần nhấtcó thể so sánh với GSM. Sự tương tác thứ 3, số ngẫu nhiên

RS và khoá phiên KS được truyền từ HLR tới VLR, với sự sinh ra của XRES, sau đó

xẩy ra ở mạng tạm trú.

3.4 NHẬN THỰC THUÊ BAO TRONG USDC

Ở Mỹ, sớm tồn tại một giao thức truyền thông tổ ong thế hệ hai là USDC (United

States Digital Cellular) USDC đưa ra các thủ tục an ninh cho nhận thực nguời dùng và

bí mật dữ liệu dọc theo các tuyến của GSM và DECT. Giống với các cấu trúc hệ thống

tổ ong thế hệ hai của châu Âu, USDC phụ thuộc vào một khoá cá nhân đối xứng , một

thủ tục nhận thực kiểu challenge – response, và một thuật toán độc quyền CAVE.

3.4.1 Các thành phần dữ liệu và thuật toán trong giao thức nhận thực - USDS

Thành phần dữ liệu khoá trong bảo mật USDS gần tương đương với những gì

chúng ta đã thấy trong GSM và DECT. Trong đó các thành phần chính là:

 Khoá A: khoá A là khoá bí mật chính trong kiến trúc bảo mật USDS, khoá

này được dùng chung bởi mạng thường trú và cá nhân máy di động USDS.

Khoá A tương tự khoá Ki trong GSM.

 SSD (Shared Secret Data-dữ liệu bí mật chung): SSD là một khoá phiên đối

xứng, nó được phát sinh bởi cả mạng thường trú và máy di động cá nhân

thông qua giao thức cập nhật SSD. Phiên bản SSD của máy di động cá nhân

được nói đến như XSSD.

 Phone serial number ( số seri điện thoại): mỗi thiết bị đầu cuối USDC hoặc

máy di động cá nhân đều có số seri duy nhất kết hợp với nó.

 R1 và R2: các số ngẫu nhiên sử dụng trong giao thức nhận thực USDC.

 RANDU: một số ngẫu nhiên sử dụng trong thủ tục challenge-response duy

SVTH: Nguyễn Trúc Giang _ CCVT03B

nhất.

Tìm hiểu các thủ tục và nhận thực trong mạng WCDMA

 AUT và XAUT: Các mã uỷ quyền tính bởi máy di động cá nhân và mạng

USDC, mỗi phép tính sử dụng thuật toán CAVE cùng với khoá A và R1 khi

nhập dữ liệu vào.

 ACK: Với sự hoàn thành thành công của giao thức cập nhật SSD, sự công

nhận bản tin mang tên ACK được sử dụng.

3.4.2 Hoạt độngcủa giao thức nhận thực USDC

USDC sử dụng hai thủ tục khác nhau, chúng được liên hệ với sự nhận thực thuê

bao. USDC sử dụng giao thức cập nhật SSD để thiết lập một khoá phiên đối xứng.

Mạng USDC cần đến một giao thức gọi là giao thức challenge-response USDC duy

nhất để chứng thực sự nhận dạng của một thuê bao.

Giao thức cập nhật SSD hoạt động như sau:

1. Máy cá nhân di động thiết lập liên lạc với mạng USDC và tìm cách tạo một

phiên truyền thông.

2. Mạng USDC sinh ra một số ngẫu nhiên R1 và cung cấp số này cùng với khoá

A của thuê bao tới thuật toán CAVE, kết hợp là sinh ra một khoá phiên(

SSD).

3. Mạng truyền số ngẫu nhiên R1 tới máy di động cá nhân.

4. Máy di động cá nhân sử dụng R1 và khoá A để sinh ra một phiên bản khoá

phiên của nó là XSSD. Máy di động cá nhân còn sinh ra một số ngẫu nhiên

của nó là R1,2 và sử dụng thuật toán CAVE, R2 cùng với khoá phiên XSSD để

tạo ra một mã nhận thực gọi là AVT, rồi máy di động cá nhân truyền R2 quay

lại BS mạng USDC.

5. Mạng USDC sử dụng thuật toán CAVE đối với SSD và số ngẫu nhiên R2

phiên bản mã nhận thực riêng, XAUT. Mang truyền XAUT quay trở lại cá

nhân máy di động .

6. MU so sánh XAUT với giá trị AUT được sinh ra trước của nó. Nếu hai giá trị

bằng nhau, MU gửi bản tin nhận được ACK quay trở lại mạng để xác nhận

rằng cả hai bên bây giờ có cùng khoá phiên SSD.

Giao thức challenge-response USDC duy nhất được sử dụng để xác nhận sự nhận

dạng của thuê bao, khi thuê bao đang tìm kiếm dịch vụ. Giao thức này là cần thiết bởi

mạng USDC trong quá trình thiết lập một phiên thông tin, và có thể sẽ không cần thiết

SVTH: Nguyễn Trúc Giang _ CCVT03B

trong một phiên xác thực lại nhận dạng thuê bao.

Tìm hiểu các thủ tục và nhận thực trong mạng WCDMA

Hoạt động giao thức challenge-response duy nhất như sau:

1. Mạng USDC sinh ra một số ngẫu nhiên RANDU và cung cấp số ngẫu nhiên

này trong liên từ với khoá ngẫu nhiên SSD để thuật toán CAVE sinh ra một

mã nhận thực AUT .Chú ý rằng SSD được sinh ra trước thông qua giao thức

cập nhật SSD như dược diễn tả ở trên .

2. Rồi sau đó mạng truyền RANDU tới MU .

3. MU cung cấp RANDU và phiên bản khoá phiên XSSD riêng của nó tới thuật

toán CAVE để sinh ra XAUT .Sau đó MU truyền XAUT quay trở lại mạng .

4. Mạng USDC so sánh AUT và XAUT .Nếu chúng bằng nhau ,thì nhận dạng

của MU được xác nhận và mạng truyền một bản tin ACK công nhận quay trở

lại MU .Trong trường hợp có biến cố là sự kiểm tra không thành công ,giao

thức cập nhật SSD được yêu cầu lại .

SVTH: Nguyễn Trúc Giang _ CCVT03B

Hình 3.5: Minh hoạ sự hoạt động trao đổi bản tin nhận thực thuê bao trong UDSC

Tìm hiểu các thủ tục và nhận thực trong mạng WCDMA

CHƯƠNG IV: THẾ HỆ 3 - NHẬN THỰC VÀ BẢO MẬT

TRONG UMTS

4.1 GIỚI THIỆU VỀ UMTS

Hệ thống viễn thông di động toàn cầu (UMTS) là một hệ thống cơ sở , được phát

triển trong một nỗ lực điều hành bởi liên minh viễn thông thế giới (ITU) để hỗ trợ dịch

vụ truyền thông vô tuyến “thế hệ hai”. UMTS là một phần của một hệ thống cơ sở lớn

gọi là IMT-2000, một mục tiêu quan trọng của UMTS và IMT-2000 là để tạo một nền

tảng cho truyền thông di động , điều này khuyến khích đưa vào sử dụng về phân bố nội

dung số và các dịch vụ truy nhập thông tin , những dịch vụ bổ xung cho truyền thông

thoại thông thường trong môi trường vô tuyến. Muốn đạt được mục tiêu này một cách

dễ ràng yêu cầu độ rộng băng thông lớn hơn 10 Kb/s có sẵn trong hầu hết các hệ thống

thế hệ hai , vì vậy UMTS sẽ hỗ trợ tốc độ truyền dữ liệu lên tới 2 Mb/s. Giải phổ cho

UMTS nằm trong khoảng xấp xỉ 1870 Ghz và 2030 Ghz, cũng giống như sự thực hiện

IMT-2000 khác ở bất cứ đâu trên thế giới.

Những giấy phép đầu tiên cho hệ thống UMTS đã và đang được thực hiện sẵn ở

Châu Âu. Ở Nhật Bản, các kế hoạch yêu cầu sự triển khai sớm về các dịch vụ tổ ong

tương thích IMT-2000 có độ rộng băng tần lớn, bắt đầu vào tháng 5 năm 2001.Trên

thế giới, sự triển khai về cơ sở hạ tầng UMTS sẽ tiến hành giữa năm 2001 và 2005,

hầu như lòng nhiệt thành ban đầu bị làm dịu bớt bởi những thực tế thị trường. Những

hệ thống này sẽ rất đắt đối với nhà cung cấp dịch vụ để xây dựng nên nó, và sẽ đáp

ứng một lượng lớn yêu cầu của các thuê bao quan tâm để đạt được lợi nhuận. Một bản

báo cáo gần đây đã đưa ra một vài nét đặc trưng bởi diễn đàn UMTS về cái nhìn đằng

sau thế hệ 3.Thế hệ thứ ba mang nhiều tính di động mới hơn đối với Internet, xây dựng

trên đặc điểm duy nhất của di động để cung cấp sự thông báo nhóm, các dịch vụ định

vị cơ sở, thông tin được nhân cách hóa và sự tiêu khiển từng trải. Nhiều dịch vụ thế hệ

3 mới sẽ không được đặt cơ sở là internet, chúng là những dịch vụ di động đáng chú ý.

Vào năm 2005, dữ liệu nhiều hơn thoại sẽ được truyền qua mạng di động.

Theo cách nhìn thấy này về khả năng phát triển của các dịch vụ truyền thông và

vô tuyến thế hệ 3, các thuê bao sẽ không chỉ thông tin với một thuê bao khác qua

mạng, họ có thể tải nội dung giàu hình ảnh và hưởng thụ những trò tiêu khiển trong

SVTH: Nguyễn Trúc Giang _ CCVT03B

khi đang di chuyển. Họ có thể trao đổi tài liệu, một vài cảm giác tự nhiên qua thiết bị

Tìm hiểu các thủ tục và nhận thực trong mạng WCDMA

đầu cuối mạng vô tuyến của họ. Và họ sẽ quản lý một phạm vi rộng về sự giao dịch

thương mại điện tử ở bất cứ nơi nào họ cũng có thể thực hiện được.

Nhiều công việc ban đầu trong việc đưa ra cấu trúc an ninh cho UMTS được

hướng dẫn trong một bộ các dự án nghiên cứu tài trợ bởi liên minh Châu Âu và các

chương trình quốc gia Châu Âu. Những dự án này bao gồm ASPECT (Advanced

Security for Personal Communications Technology “-ACTS program), MONET(một

phần của chương trình RACE), và 3GS3-Những nghiên cứu an ninh hệ thống viễn

thông thế hệ 3 (dưới chương trình UK LINK). Một dự án gần đây hơn, USECA

(UMTS Security Architecture - cấu trúc an ninh UMTS), hướng dẫn bởi các nhà

nghiên cứu ở Vodafone - nhà cung cấp dịch vụ viễn thông vô tuyến, các nhà cung cấp

này đang đưa ra một bộ đầy đủ các giao thức an ninh và các thủ tục cho môi trường

UMTS. Lĩnh vực hoạt động của dự án USECA đã được mở rộng, bao gồm sự nghiên

cứu về 6 lĩnh vực nhỏ : những đặc trưng an ninh và các yêu cầu, cơ cấu hoạt động an

ninh, cấu trúc an ninh, cơ sở hạ tầng khóa công cộng, phương thức thông tin cá nhân

và an ninh đầu cuối (handset).

Một cấu trúc khóa khác trong quá trình phát triển của nhận thực UMTS và các

giao thức an ninh được gọi là 3GPP(Third-Generation Partnership Project - dự án liên

kết thế hệ 3),một diễn đàn quốc tế bao gồm các nhà đầu tư từ Bắc Mỹ và Châu Á.

4.2 CƠ SỞ NGUYÊN LÝ CỦA AN NINH UMTS THẾ HỆ 3

Sự phát triển cấu trúc an ninh và các giao thức cho môi trường UMTS thông qua

ba nguyên tắc cơ bản :

1. Cấu trúc an ninh : UMTS sẽ xây dựng dựa vào những đặc trưng an ninh của

các thế hệ thứ 2. Những điểm mạnh của các hệ thống 2G sẽ được duy trì.

2. An ninh UMTS sẽ cải thiện về an ninh của các hệ thống thế hệ hai. Một vài

điều không thuận lợi và lỗ hổng an ninh của các hệ thống 2G sẽ được chú

tâm.

3. An ninh UMTS còn đưa ra những đặc trưng mới và các dịch vụ an toàn mới

chưa có trong các hệ thống 2G.

Vào giữa năm 1999 dự án liên kết với mạng thế hệ 3 (GPP) đã vạch rõ một nhóm

các đặc trưng an ninh mới hữu ích cho UMTS, và các hệ thống thế hệ 3 nói chung.

Những đặc trưng này diễn tả về các đặc điểm khóa của môi trường thế hệ 3. Các đặc

SVTH: Nguyễn Trúc Giang _ CCVT03B

điểm khóa như sau :

Tìm hiểu các thủ tục và nhận thực trong mạng WCDMA

1. Sẽ có các nhà cung cấp dịch vụ mới và khác nhau, thêm vào cho các nhà

cung cấp dịch vụ viễn thông vô tuyến. Những nhà cung cấp này bao gồm nhà

cung cấp nội dung và cung cấp dịch vụ dữ liệu.

2. Các hệ thống di động sẽ được định vị như những phương tiện truyền thông ưa

chuộng hơn đối với người sử dụng - có thể thích hơn đối với hệ thống cố

định.

3. Sẽ có một sự khác nhau về các dịch vụ trả trước và dịch vụ trả theo lưu

lượng. Sự đặt mua dài hạn giữa người sử dụng và một nhà vận hành mạng có

không thể là mẫu dịch vụ.

4. Những người sử dụng sẽ được tăng quyền điều khiển qua bản thân dịch vụ và

qua khả năng về thiết bị đầu cuối của họ.

5. Sẽ có sự tấn công tích cực vào người sử dụng, bao gồm sự giả dạng mạng.

6. Dịch vụ thoại sẽ không còn là chủ yếu.

7. Điện thoại di động sẽ được sử dụng làm nền tảng cho thương mại điện tử.

Card thông minh đa tác dụng sẽ được sử dụng nhằm hỗ trợ cho nền tảng này.

Trong những đặc trưng đáng lưu tâm về môi trường thế hệ ba, nhóm thực hiện

3GPP đã phác hoạ những nét đặc trưng về các hệ thống an ninh thế hệ hai ( GSM

chẳng hạn), những mạng này đã được duy trì và xây dựng như trên, những điểm yếu

của của mạng thế hệ 2 được lưu tâm trong UMTS, ngoài ra cấu trúc an ninh UMTS sẽ

còn đưa ra nhiều khả năng mới.

4.3 LĨNH VỰC NÂNG CAO AN NINH ĐỐI VỚI UMTS

Một bài luận vào tháng 3-2000 ở hội thảo LAB về liên mạng không dây,

M.Asokan của trung tâm nghiên cứu Nokia đã đưa ra sự tổng kết về lĩnh vực khoá

dưới đây, lĩnh vực UMTS sẽ giới thiệu sự nâng cao chế độ an ninh đối với GSM.

 Nhận thực chung: mạng dịch vụ được nhận thực đối với thuê bao di động,

cũng giống như thuê bao di động nhận thực đối với mạng.

 Tăng sự hỗ trợ đối với an ninh và mã hoá dữ liệu trong mạng lõi.

 Tăng chiều dài khoá để chống lại sự công kích mạng trái phép, các thuật toán

mã hoá dữ liệu GSM thế hệ hiện tại có một khoá dài hiệu qủa chỉ với 40 bít

và có thể bị bẻ gãy trong một thời gian ngắn, các khoá mã hoá tín hiệu trong

SVTH: Nguyễn Trúc Giang _ CCVT03B

UMTS sẽ là 128 bít.

Tìm hiểu các thủ tục và nhận thực trong mạng WCDMA

 Sự bí mật nhận dạng người sử dụng sẽ được nâng cao thông qua việc sử dụng

nhóm các khoá.

 Các thuật toán mật mã UMTS cơ bản sẽ được làm chung, lưu ý về sự chỉ

chích thường xuyên của GSM.

 Sự hỗ trợ bảo toàn tốt dữ liệu cũng như sự bí mật sẽ được cung cấp.

Một khái niệm đi tới trong lĩnh vực nhận thực thuê bao cho UMTS là: mạng tạm

trú quan tâm về việc đang được thanh toán tiền hơn là sự nhận dạng người sử dụng.

Đây là đặc điểm nổi bật của mạng tạm trú, sự nổi bật này là dựa vào sự trao quyền để

cung cấp các dịch vụ hơn là nhận thực. Hệ thống của nhận thực thuê bao đạt được thúc

đẩy tương tác giữa thuê bao di động và mạng thường trú bằng việc cho phép thông tin

truyền tới mạng sẽ cung cấp dịch vụ tới thuê bao di động (mạng khách). Theo cách

này, sự nhận thực có thể đạt được không làm hại sự bí mật nhận dạng người dùng.

4.4 CÁC LĨNH VỰC AN NINH CỦA UMTS

Một yêu cầu cao đối với sự thiết kế cấu trúc an ninh cho UMTS là tạo một hệ

thống cơ sở mà hệ thống này có thể mở rộng được sau này. Giống như trong trường

hợp sự thiết kế về Internet, một phương pháp tiếp cận khoá là đơn vị hoá cấu trúc an

ninh bằng cách tạo một bộ các lớp và tiếp theo để kết hợp một tập các nguyên tố, cùng

với sự thiết kế hệ thống và các mục đích thực hiện, đối với những lớp này. Những đơn

vị này gọi là “Domains” bởi các nhà thiết kế UMTS, và trong thiết kế thực tế sẽ có 5

domains như sau:

4.4.1 An ninh truy nhập mạng

Bó những đặc trưng an ninh cung cấp cho người sử dụng di động sự truy nhập an

toàn tới cơ sở hạ tầng UMTS, và việc bảo vệ người sử dụng khỏi sự tấn công vào liên

kết vô tuyến không dây tới mạng mặt đất. Các thành phần khoá này bao gồm:

 Bí mật nhận dạng người dùng: IMUI và thông tin nhận dạng thường xuyên

khác liên hệ với người sử dụng không bị tiết lộ cho kẻ nghe trộm.

 Nhận thực chung: Cả thiết bị đầu cuối di động và BS của mạng dịch vụ nhận

thực được với nhau, điều này đã ngăn chặn được kẻ giả dạng tấn công vào cả

2 bên của phiên truyền thông.

 Bí mật của người sử dụng và dữ liệu báo hiệu: Cả nội dung của phiên truyền

thông của thuê bao và thông tin báo hiệu liên kết được bảo vệ trong việc

SVTH: Nguyễn Trúc Giang _ CCVT03B

truyền qua liên kết không dây.

Tìm hiểu các thủ tục và nhận thực trong mạng WCDMA

 Bảo toàn dữ liệu và nhận thực gốc: Thực thể nhận trong một phiên truyền

thông có thể xác minh rằng bản tin đã nhận không thay đổi trong khi truyền

và bản tin đó xuất phát thực tế từ bên yêu cầu.

4.4.2 An ninh lĩnh vực mạng

Tập các đặc trưng an ninh trong cho phép các node trong cơ sở hạ tầng mạng nhà

cung cấp trao đổi dữ liệu báo hiệu được đảm bảo về an ninh và bảo vệ chống lại sự

xâm phạm cơ sở hạ tầng hữu tuyến.

 Nhận thực nguyên tố mạng: Khả năng các thành phần của cơ sở hạ tầng mạng

thuộc vào các nhà cung cấp dịch vụ khác nhau, để nhận thực mỗi thành phần

trước khi dữ liệu nhạy cảm được trao đổi.

 Bí mật của dữ liệu trao đổi: Sự bảo vệ của dữ liệu trao đổi giữa các nguyên tố

mạng khỏi kẻ nghe trộm tấn công. điều này đạt được điển hình thông qua mã

hoá.

 Bảo toàn dữ liệu và nhận thực gốc: Điều này tương đương với khía cạnh bảo

toàn dữ liệu và nhận thực gốc của an ninh truy nhập mạng, nhưng áp dụng

đối với sự liên hệ giữa các nguyên tố mạng. Khi một nguyên tố mạng truyền

dữ liệu báo hiệu tới phần tử khác, node nhận dữ liệu có thể xác nhận rằng dữ

liệu đã không bị biến đổi trong khi truyền, và dữ liệu sinh ra thực tế cùng với

nguyên tố mạng được trình diện như bản gốc. một lần nữa, những đặc tính

này phải áp dụng qua mạng của nhà cung cấp dịch vụ UMTS khác nhau.

4.4.3 An ninh lĩnh vực người sử dụng

Tập các đặc trưng áp dụng cho sự tương tác giữa một người sử dụng và handset

UMTS của họ. Một mục đích khoá trong lĩnh vực này là để tối thiểu hoá sự thiệt hại và

sự lừa đảo có thể xảy ra khi một handset bị đánh cắp.

 Nhận thực người sử dụng tới USIM: Nhận thực trong lĩnh vực nhỏ này áp

dụng cho mối liên hệ giữa một thuê bao cá nhân và phương thức nhận dạng

thuê bao bằng Smart-card trong handset UMTS của thuê bao. Để hạn chế

việc sử dụng handset đối với chủ nhân của nó, hoặc một nhóm cá nhân được

trao quyền, người sử dụng có thể cần cung cấp một PIN mục đích để mở đầu

một phiên truyền thông.

 Liên kết đầu cuối USIM: Giống như Smart-card hỗ trợ USIM đã ghi có thể

SVTH: Nguyễn Trúc Giang _ CCVT03B

thay đổi , USIM còn cần thiết để bảo vệ mối liên hệ giữa USIM và handset

Tìm hiểu các thủ tục và nhận thực trong mạng WCDMA

UMTS. Điều này sẽ nhận được một cách điển hình thông qua một bí mật

chung trong cả USIM và thiết bị đầu cuối bởi nhà cung cấp dịch vụ khi dịch

vụ được khơi mào. Liên kết đầu cuối UMTS ngăn chặn một USIM card của

người sử dụng khỏi bị chèn vào một handset khác và sử dụng không có sự

cho phép.

4.4.4 An ninh lĩnh vực ứng dụng

Các đặc trưng an ninh cho phép trao đổi an toàn bản tin ở mức ứng dụng giữa

handset và hệ thống của một phần nhà cung cấp dịch vụ thế hệ 3. Trong cấu trúc

UMTS, sự cung cấp nhu cầu làm cho nhà vận hành mạng hoặc nhà cung cấp khác để

tạo sự ứng dụng thường trú trong USTM hoặc trong handset.

 Bản tin an toàn: Bản tin an toàn sẽ cung cấp một kênh an toàn cho việc

truyền bản tin giữa USIM và một Server mạng.

 Bí mật lưu lượng người sử dụng băng rộng: Sự bảo vệ bản tin chống lại

những kẻ tấn công nghe trộm, điển hình qua mã hoá trên đường dây cũng như

những phần không dây của cơ sở hạ tầng.

4.4.5 Visibility và Configurability trong an ninh

Những khả năng người sử dụng có thể nhận biết các đặc trưng an ninh gì trong sự

vận hành và kiểm soát những dịch vụ gì được sử dụng cho một bộ các dịch vụ an ninh

chắc chắn.

 Visibility: Thông qua cơ cấu hoạt động cung cấp bởi cơ sở hạ tầng UMTS, hệ

thống người sử dụng có thể quyết định những đặc trưng an ninh trong sự vận

hành ở bất kỳ thời điểm nào và mức độ của an ninh như thế nào.

 Configurability: Thông qua cơ cấu hoạt động cung cấp bởi cơ sở hạ tầng

UMTS, người dùng có thể yêu cầu nhóm các dịch vụ an toàn phải ở trong sự

vận hành trước khi người dùng sử dụng một dịch vụ chắc chắn. Ví dụ như

trường hợp hợp lý này có thể áp dụng để cho phép hoặc làm tê liệt việc sử

dụng mã PIN cá nhân đối với USIM trong handset của nó, hoặc đối với sự

SVTH: Nguyễn Trúc Giang _ CCVT03B

quyết định từ chối những cuộc gọi không mã hoá.

Tìm hiểu các thủ tục và nhận thực trong mạng WCDMA

Mức ứng dụng

Ứngdụng người dùng

Ứng dụng nhà cung cấp dich vụ

Mức Thường trú/dịch vụ

UDS

bị

NAS

Thiết đầu cuối (Handset)

NDS

Đơn vị nhận dạng cac dich vụ người dùng (USIM)

NAS

Mạng dịch vụ (SN)

NAS

Môi trường thường trú(HE )

NAS

Đầu cuối di động

Mức truyền tải

Mạng truy nhập

Hình 4.1: Minh họa lĩnh vực hoạt động an ninh UMTS trong mối liên hệ giữa các

thành phần của toàn bộ hệ thống UMTS.

Chú ý: Các mã dưới đây được sử dụng cho các lĩnh vực an ninh UMTS trong

hình 4.1.

NAS: Network Access Security – An ninh truy nhập mạng

NDS: Network Domain Security – An ninh lĩnh vực mạng

USD: User Domain Security – An ninh lĩnh vực người dùng

ADS: Application Domain Security – Anh ninh lĩnh vực ứng dụng

4.5 NHẬN THỰC THUÊ BAO UMTS TRONG GIAI ĐOẠN NGHIÊN CỨU

Cấu trúc an ninh UMTS đã thu hút nặng nề những dự án nghiên cứu tài trợ bởi

nhóm Châu Âu và một vài nước thành viên. Trong phần này chú tâm đến các giao thức

nhận thực thuê bao phát triển tương đối sớm trong quá trình phát triển của UMTS,

thông qua dự án ASPECT (Advanced Security for Personal Communications) dưới

SVTH: Nguyễn Trúc Giang _ CCVT03B

chương trình ACT.

Tìm hiểu các thủ tục và nhận thực trong mạng WCDMA

Dự án ASPECT xem xét sự khác nhau của các phương pháp tiếp cận tới nhận

thực thuê bao trong UMTS, nhưng bản báo cáo đầu tiên đệ trình vào tháng 2 năm

1996. Công việc này có thể được nhìn tổng quát như sự thăm dò, nổi bật sự chấp nhận

đề xuất các giao thức nhận thực thuê bao từ tất cả các tổ chức quan tâm và phân tích

những thứ chống lại các yêu cầu UMTS. Tháng 2 năm 1996, bản báo cáo ASPECT

diễn tả 3 đề xuất đối với nhận thực thuê bao và sự sinh ra khoá phiên trong UMTS, đệ

trình bởi Royal Hollowing, Siemens và KPN.

Đề xuất Royal Hollowing được dựa trên một cơ cấu hoạt động Challenge-

response đối xứng, tương tự đã thấy trong GSM. Giao thức này thực đưa ra nhận thực

chung giữa trạm di động và trạm gốc mạng, và nâng cao an ninh định vị người dùng (

sau khi nhận được bằng cách sử dụng chỉ các nhận dạng người dùng tạm thời, và

tránh sự truyền của nhận dạng người dùng thường xuyên của thuê bao di động trong

văn bản rõ dàng qua liên kết vô tuyến ). Hai giao thức được đề xuất từ Siemens và

KPN có khác nhau quan trọng, trong đó chúng xuất phát từ các kỹ thuật khoá công

cộng. Phần dưới đây diễn tả phương thức tiếp cận đề xuất bởi Siemens.

4.5.1 Diễn tả về giao thức khoá chung của Siemens cho UMTS

Giao thức cơ bản khoá chung cho nhận thực và sự phát sinh khoá phiên đề xuất

bởi Siemens sử dụng các nhóm nhân của một lĩnh vực giới hạn hoặc các tiểu nhóm

đường cong elip như phương pháp tiếp cận khoá cơ bản. Trong cả hai trường hợp, an

inh của mã hoá phụ thuộc vào thực tế rằng vấn đề thuật toán riêng rẽ là khó. Đề xuất

giao thức Siemens yêu cầu một sự trao quyền chứng nhận tin cậy (CA) và một dịch vụ

xác nhận an toàn (CS) chúng có thể thực hiện xác nhận chứa đựng khoá chung sẵn có

đối với cả thuê bao và với các nhà vận hành mạng, thích hợp với các phương thức tiếp

cận cơ sở hạ tầng khoá chung (PKI) cổ điển. Một phần khác của cơ sở hạ tầng là một

“nevocation list”, nó ghi những số nhận dạng của thuê bao, những số này không dài

hơn tiêu chuẩn để nhận dịch vụ.

Đề xuất Siemens thực tế có 3 nét đặc trưng, mang tên các giao thức con A,B và

C. Ba giao thức này chứa đựng sự khác nhau đôi chút.

Giao thức con-A : chú tâm đến trường hợp nhận thực các bản sao của các khoá

chung của mỗi trạm gốc và mạng phục vụ, những khoá này có sẵn trong máy chủ

mạng phục vụ và handset di động tương ứng và do đó các khoá này không cần trao đổi

SVTH: Nguyễn Trúc Giang _ CCVT03B

trong tiến trình của phiên truyền thông.

Tìm hiểu các thủ tục và nhận thực trong mạng WCDMA

Giao thức con-B : chú tâm đến trường hợp một sự xác nhận có hiệu lực của trạm

di động là có sẵn trong handset trạm di động, nhưng không có sẵn trong máy chủ mạng

phục vụ, và sự xác nhận tính hợp lý của khoá thoả hiệp chung của nhà vận hành mạng

là có sẵn trên máy chủ mạng phục vụ,nhưng không có trong handset mạng di động.

Giao thức con-C : chú tâm trường hợp không được nhận thực bản sao của khoá

chung của thuê bao di động có sẵn trên máy chủ mạng phục vụ, và không nhận thực

bản sao khóa chung của nhà vận hành mạng có sẵn trong handset trạm động.

Trong sự diễn tả này,chúng ta sẽ tìm ra dấu hiệu giao thức con C. Sự diễn tả này

cho sự sáng suốt nhất vào khía cạnh của các giao thức khoá chung và cơ sở hạ tầng

bao hàm trong đề xuất Siemens.

4.5.2 Sự thực hiện nhận thực thuê bao trong UMTS

Sự thực hiện của các hệ thống vô tuyến sử dụng phương pháp tiếp cận công nghệ

UMTS, các nhóm thực hiện 3GPP đã di chuyển xa trọng tâm từ sự xem xét học giả

diễn tả trong phần trước. Cụ thể, sự diễn tả đối với nhận thực thuê bao trong UMTS,

các nhà thiết kế 3GPP đã lựa chon để sử dụng một lược đồ gần giống với nhận thực

GSM, với sự nâng cao chọn lọc. Giao thức UMTS này sử dụng một phương pháp tiếp

cận cơ sở khóa cá nhân đối xứng trong trung tâm nhận thực của mạng thường chú của

thuê bao và USIM Smartcard trong handset của người sử dụng dùng chung một khóa

bí mật.

Do đó, nhận thực được thiết kế cho sự thực hiện của UMTS, thực hiện khác một

số điểm quan trọng so với thế hệ hai.

 Phương thức nhận dạng thuê bao (SIM) hoặc trong thế giới UMTS, USIM trong

handset và trung tâm nhận thực (AuC) dùng chung một chuỗi số tác dụng như

một khóa bí mật. Chuỗi số này không phải là một giá trị cố định, nó thay đổi

theo thời gian.

 Thêm vào sự nhận thực thuê bao thông thường, trạm gốc của mạng thường trú

được nhận thực tới trạm di động như phần của giao thức nhận thực.

 Trong giai đoạn nhận thực, UMTS thiết lập một khóa phiên để mã hóa dữ liệu

trong phiên truyền thông, và một khóa của sự nhận dạng dữ liệu.

 Các thuật toán mã hóa của UMTS sẽ được đặt trong miền công cộng đối với

SVTH: Nguyễn Trúc Giang _ CCVT03B

chú giải và sự phân tích.

Tìm hiểu các thủ tục và nhận thực trong mạng WCDMA

Những bước quan trọng trong giao thức UMTS đối với nhận thực chung và sự

thiết lập khóa phiên như dưới đây

 Node phục vụ (SN) điều khiển bộ ghi định vị tạm trú (VLR) và yêu cầu dữ liệu

nhận thực từ môi trường thường trú (HE), node này hỗ trợ bộ ghi định vị

thường trú (HLR) và trung tâm nhận thực (AuC).

Hình 4.2: Luồng bản tin trong nhận thực UMTS cơ sở và giao thức phát sinh khóa

phiên.

 Môi trường thường trú gửi một tập vector nhận thực tới node dịch vụ. Mỗi

vector có thể được sử dụng để đạt được một sự nhận thực và sự thỏa thuận khóa

phiên giữa SN và USIM trong trạm di động. Mỗi AV (tương đương với bộ ba

GSM) bao gồm: Một số ngẫu nhiên yêu cầu RAND; Một kết quả đáp ứng tới

yêu cầu đó, XRES; Một mã hóa phiên CK; Một khóa bảo toàn dữ liệu IK; Một

dấu hiệu nhận thực AUTN.

 Mạng dịch vụ gửi yêu cầu ngẫu nhiên RAND và dáu hiệu nhận thực AUTN tới

SVTH: Nguyễn Trúc Giang _ CCVT03B

MS qua liên kết vô tuyến.

Tìm hiểu các thủ tục và nhận thực trong mạng WCDMA

 USIM trong MS xác nhận rằng AUTN có thể được chấp nhận (do sự nhận thực

đạt được của mạng đối với MS). Sau đó MS sinh ra một đáp ứng, RES, đối với

người yêu cầu ngẫu nhiên RAND và truyền RES quay trở lại SN.

Hình 4.3: Phát sinh vector nhận thực UMTS (AV) và chuỗi dấu hiệu nhận thực

(AUTN) ở trung tâm nhận thực.

 USIM tính các giá trị riêng CK và IK. Sử dụng RAND, chuỗi số ghi trong

AUTN, và khóa bí mật của USIM.

 Mạng dịch vụ so sánh RES nhận được từ MS với XRES. Nếu hai giá trị bằng

nhau, MS được nhận thực.

 USIM và SN truyền CK tới những thành phần chức năng hệ thống để mã hóa

dữ liệu truyền, và truyền IK tới các thành phần chức năng của hệ thống để kiện

toàn bộ dữ liệu.

Trong giao thức nhận thực UMTS như được diễn tả ở trên, dấu hiệu nhận thực

AUTN là một nguyên tố dữ liệu khóa. AUTN bao gồm (1)Chuỗi số SQN, XORed với

một “khóa nặc danh” AK; (2)Trường nhận thực và quản lý khóa AMF; (3)Một mã

nhận thực bản tin MAC.

Mục đích của khóa nặc danh là để cho dấu chuỗi số có thể cung cấp thông tin và

SVTH: Nguyễn Trúc Giang _ CCVT03B

nhận dạng và định vị của thuê bao. AMF có thể mang thông tin từ chung tâm nhận

Tìm hiểu các thủ tục và nhận thực trong mạng WCDMA

thực và phát sinh khóa để sử dụng. AMF có thể trực tiếp với MS để sử dụng một trong

các cặp khóa bí mật.

Giao thức nhận thực UMTS sử dụng 5 hàm một chiều mang tên từ f1 đến f5 để

sinh ra các giá trị thành phần của AUTN và các chuỗi AV. Dữ liệu vào đối với các

SVTH: Nguyễn Trúc Giang _ CCVT03B

hàm này là khóa bí mật của thuê bao, số ngẫu nhiên yêu cầu RAND và chuỗi số.

Tìm hiểu các thủ tục và nhận thực trong mạng WCDMA

KẾT LUẬN VÀ HƯỚNG PHÁT TRIỂN ĐỀ TÀI

Sau một thời gian tập trung nghiên cứu, em đã tìm được một số vấn đề về nhận

thực và an ninh trong CDMA. Em đã tìm hiểu những yếu tố cần thiết để xây dựng một

môi trường an ninh, các nguy cơ an ninh chính và những thách thức gặp phải khi xây

dựng kiến trúc an ninh trong môi trường vô tuyến và di động nói chung, và trong mạng

CDMA nói riêng. Tìm hiểu các thủ tục nhận thực và thoả thuận khoá trong các hệ

thống thế hệ hai và trong UMTS, em đã biết được các giao thức; các thủ tục; và các

thuật toán mã hóa sử dụng trong thông tin di động thế hệ hai và trong UMTS. Và hiện

nay chỉ có các thủ tục nhận thực và bảo mật được giới thiệu trong UMTS mới đảm

bảo an toàn cho thông tin người dùng, bảo vệ được quyền lợi người dùng cũng như

quyền lợi của nhà cung cấp dịch vụ.

Sau đây, em xin nêu ra một số hướng phát triển cho đề tài:

 Ứng dụng của công nghệ VPN để khắc phục vấn đề an ninh trong mạng

WLAN.

Ứng dụng tường lửa cá nhân cho điện thoại di động. 

SVTH: Nguyễn Trúc Giang _ CCVT03B

 An ninh trong mạng IP.

Tìm hiểu các thủ tục và nhận thực trong mạng WCDMA

TÀI LIỆU THAM KHẢO

Tiếng việt

[1]. TS.Nguyễn Phạm Anh Dũng. “Thông tin di động GSM”, Nhà xuất bản Bưu

Điện, 1997.

[2]. TS.Nguyễn Phạm Anh Dũng, “Các sơ đồ nối mạng, khai thác, bảo dưỡng và

dịch vụ đa phương tiện cho 3G WCDMA-CDMA UMTS”, Tổng công ty Bưu

chính Viễn thông, Trung tâm thông tin Bưu Điện, 08/2003.

[3]. TS.Nguyễn Phạm Anh Dũng. “Thông tin di động”, Học viện công nghệ Bưu

chính-Viễn thông, 11/2000.

[4]. Bùi Trọng Liên, An toàn và bảo mật tin tức trên mạng, Nhà xuất bản bưu

điện, Hà Nội, 2001.

Tiếng anh

[1]. USECA Deliverable 3, Intermediate report on UMTS security architecture,

1999.

[2]. USECA Deliverable 6, UMTS security architecture, 1999.

[3]. USECA Deliverable 8, Intermediate report on UMTS security architecture,

SVTH: Nguyễn Trúc Giang _ CCVT03B

1999.

Đồ án Tốt nghiệp: Tìm hiểu các thủ tục và nhận thực trong mạng WCDMA

Chủ đề:

LỜI CẢM ƠN

MỤC LỤC

THUẬT NGỮ VIẾT TẮT

DANH MỤC HÌNH

MỞ ĐẦU

CHƯƠNG I: TỔNG QUAN VỀ THÔNG TIN DI ĐỘNG VÀ CÁC

VẤN ĐỀ AN NINH TRONG THÔNG TIN DI DỘNG

CHƯƠNG II: CÁC KỸ THUẬT AN NINH DÙNG TRONG

THÔNG TIN DI ĐỘNG

CHƯƠNG III: NHẬN THỰC TRONG MẠNG TỔ ONG SỐ

THẾ HỆ HAI

Hình 3.1: Minh họa sự tương tác giữa các thành phần riêng biệt của cấu trúc

an ninh GSM

Trạm di động

(2) DECT IDMS

, IDFS

(3) RS, RAND_F, XRES, và DCK lựa chọn

(4) RS, RAND_F

Tính Ks và RES nhờ thuật toán A11vàA12

(5) RES

So sánh RES và XRES; nếu bằng nhau, nhận thực trạm gốc

CHƯƠNG IV: THẾ HỆ 3 - NHẬN THỰC VÀ BẢO MẬT

TRONG UMTS

Mức ứng dụng

ADS

Ứngdụng người dùng

Ứng dụng nhà cung cấp dich vụ

Mức Thường trú/dịch vụ

UDS

bị

NAS

NAS

Thiết đầu cuối (Handset)

NDS

Đơn vị nhận dạng cac dich vụ người dùng (USIM)

NAS

Mạng dịch vụ (SN)

Môi trường thường trú(HE )

NAS

Đầu cuối di động

Mức truyền tải

Mạng truy nhập

KẾT LUẬN VÀ HƯỚNG PHÁT TRIỂN ĐỀ TÀI

TÀI LIỆU THAM KHẢO

Tài liệu liên quan

Tài liêu mới

Xác nhận đăng nhập

Đăng nhập từ tài khoản này?

AI tóm tắt

Giới thiệu tài liệu

Đối tượng sử dụng

Từ khoá chính

Nội dung tóm tắt

Hỗ trợ

Phương thức thanh toán

Theo dõi chúng tôi