EAP (Extensible Authentication Protocol) - Phương thức bảo mật cho mạng không dây

Chia sẻ: Basso Basso | Ngày: | Loại File: DOC | Số trang:0

Thêm vào BST

Báo xấu

778
lượt xem 309
download

Download Vui lòng tải xuống để xem tài liệu đầy đủ

Do việc truyền dữ liệu trong mạng không dây thực hiện trong môi trường mở nên chúng ta cần có cơ chế bảo mật khác với các mạng truyền thống.Trong bài này chúng ta sẽ nghiên cứu cách thức hoạt động và cơ chế bảo mật trong các mạng không dây từ đó tìm ra một cơ chế thích hợp nhất.

Chủ đề:

Bình luận(0) Đăng nhập để gửi bình luận!

Lưu

Nội dung Text: EAP (Extensible Authentication Protocol) - Phương thức bảo mật cho mạng không dây

EAP (Extensible Authentication Protocol) - Phương thức bảo mật cho mạng không dây 802.11 (Phần 1) 2:19, 30/10/2007 Do việc truyền dữ liệu trong mạng không dây thực hiện trong môi trường mở nên chúng ta cần có cơ chế bảo mật khác với các mạng truyền thống.Trong bài này chúng ta sẽ nghiên cứu cách thức hoạt động và cơ chế bảo mật trong các mạng không dây từ đó tìm ra một cơ chế thích hợp nhất. Tiếp theo chúng ta sẽ xem xét một vài cơ chế xác thực trong mạng không dây như phương pháp mã khoá công cộng, mã sử dụng mật khẩu thông thường và mã sử dụng mật khẩu phức tạp. Một trong các loại mã sử dụng mật khẩu đặc biệt như SPEKE (Simple Password-authenticated Exponential Key Exchange) sẽ được đề cập chi tiết hơn. Cuối cùng là các bảng so sánh phương thức bảo mật cho mạng không dây. Nguyễn Hữu Phát 1. Tổng quan Do việc truyền dữ liệu trong mạng không dây thực hiện trong môi trường mở nên chúng ta cần có cơ chế bảo mật khác với các mạng truyền thống.Trong bài này chúng ta sẽ nghiên cứu cách thức hoạt động và cơ chế bảo mật trong các mạng không dây từ đó tìm ra một cơ chế thích hợp nhất. Tiếp theo chúng ta sẽ xem xét một vài cơ chế xác thực trong mạng không dây như phương pháp mã khoá công cộng, mã sử dụng mật khẩu thông thường và mã sử dụng mật khẩu phức tạp. Một trong các loại mã sử dụng mật khẩu đặc biệt như SPEKE (Simple Password-authenticated Exponential Key Exchange) sẽ được đề cập chi tiết hơn. Cuối cùng là các bảng so sánh phương thức bảo mật cho mạng không dây. Xác thực là một quá trình kiểm tra các yêu cầu đặt ra. Hình thức xác thực đơn giản nhất là một người khi được yêu cầu xác thực sẽ đưa một mật khẩu tới hệ thống để kiểm tra. Nếu mật khẩu đúng anh ta sẽ được quyền truy nhập và thực hiện các dịch vụ cho phép.Trong một vài trường hợp yêu cầu tính xác thực cao tuy nhiên cũng có trường hợp chỉ mang tính kiểm tra như: - Người sử dụng được bảo đảm tính xác thực thông qua các câu hỏi. - Kênh giao tiếp giữa người sử dụng và người xác thực phải được bảo vệ (người sử dụng và người xác thực có thể đảm bảo chắc chắn rằng không bị nghe
trộm). Để đảm bảo an toàn cao hệ thống có thể giới hạn số lần nhập sai mật khẩu để tránh tình trạng người tấn công có thể dò mật khẩu. Chúng ta sẽ xem xét các vấn đề xảy ra khi một người truy cập vào mạng không dây chuẩn 802.11 thông qua một máy tính xách tay. Vấn đề thứ nhất đó là người sử dụng sẽ không thể có cách nào biết điểm truy nhập là gì, điều này do người quản trị mạng qui định.Tuy nhiên kẻ tấn công có thể giả danh một người khác để truy cập đến mạng. Nếu điều này xảy ra người bị giả danh sẽ không thể biết chính xác dữ liệu đã bị lấy cắp như thế nào. Vấn đề thứ là môi trường truyền thông trong trường hợp này là mạng vô tuyến có thể bị kiểm soát với một thiết bị thu. Điều này được thực hiện dễ dàng bởi kẻ tấn công thông qua việc sử dụng những mật khẩu chưa bị xoá. Vấn đề này có thể kiểm soát nhờ sử dụng cơ chế xác thực thông qua một số chức năng phức tạp mà chỉ người dùng nắm được. Nhưng có một vấn đề mới nảy sinh. Kẻ tấn công có thể tạo ra những mật khẩu giả trên một máy tính riêng sau đó phân tích những kết quả trả về máy tính. So sánh những kết quả đó ghép nối lại sẽ cho một mật khẩu. Những mật khẩu dự đoán này được tạo ra rất nhanh khiến cho người sử dụng cũng như người quản trị mạng không thể phát hiện được. Hình thức tấn công này được gọi là từ điển phá khoá “cracker’s dictionary” . Cách thức tấn công offline này có thể loại trừ bằng cách đặt một số lớn ngẫu nhiên thay thế cho những mật khẩu dễ nhớ. Nhưng điều này làm nảy sinh lỗi thứ tư đó là mật khẩu dễ nhớ. Để khắc phục vấn đề này mật khẩu có thể được lưu trữ trên máy tính, điều này có nghĩa là người sử dụng cần phải tự mình bảo vệ máy tính của mình khỏi sự truy cập trái phép từ bên ngoài. Chính vì vậy mà yêu cầu xác thực cho mạng không dây nghiêm ngặt hơn rất nhiều so với mạng cố định sử dụng hệ thống quay số. Trong bài này trước tiên chúng ta thu thập các yêu cầu đó là các phương thức xác thực phù hợp cho mạng không dây. Danh sách này bao gồm các đặc trưng thêm vào đó là các phương thức xác thực phải có và danh sách các đặc tính của một số mạng không dây có thể hữu ích trong một vài môi trường. Tiếp đó chúng ta sẽ xem xét hai họ xác thực cơ bản cho mạng không dây. Họ thứ nhất gồm các phương pháp xác thực sử dụng khoá công cộng. Họ thứ hai là các phương pháp xác thực sử dụng mật khẩu. Chúng ta cũng xem xét các đặc tính cơ bản của phương pháp mã khoá SPEKE phương pháp mã hoá rất thích hợp cho mạng không dây. Cuối cùng chúng ta tóm tắt các phương pháp xác thực trong một bảng và so sánh khả năng kết hợp của nó với các phương pháp đã có trước đó. 2. Các yêu cầu cho xác thực trong mạng không dây Tiếp theo câu hỏi đặt ra là yêu cầu xác thực gì sẽ được sử dụng để truy cập mạng không dây? Trong phần này sẽ liệt kê các yêu cầu cần có cho các phương pháp xác thực, các đặc trưng thêm vào và các đặc tính có thể hữu ích trong môi trường cụ thể. 2.1. Các yêu cầu ( Bắt buộc )
Tính tương hỗ: Nó cung cấp tính xác thực lẫn nhau, đó là người chịu trách nhiệm xác thực phải xác thực được người sử dụng và ngược lại người sử dụng cũng phải kiểm tra lại đối tượng xác thực mình. Đây là yêu cầu quan trọng trong mạng không dây bởi vì những kẻ tấn công rất dễ tạo ra những điểm truy cập giả. Có hai khả năng tấn công có thể xảy ra. Thứ nhất kẻ giả mạo không được truy cập vào mạng và tấn công người sử dụng để lấy thông tin xác thực. Thứ hai, khi kẻ giả mạo kết nối vào được mạng sẽ bỏ qua sự xác thực của người sử dụng và quyền truy cập mạng. Khi đó người sử dụng có thể bị theo dõi thậm chí có thể bị thay đổi dữ liệu do kẻ tấn công sẽ chèn dữ liệu của họ vào. Cơ chế tự bảo vệ: Nó phải tự bảo vệ khỏi việc nghe trộm khi đường truyền vật lý không đảm bảo an toàn. Cơ chế xác thực được thực hiện theo cách mà người nghe trộm không thể học được được bất kỳ tính năng nào. Khả năng ngăn chặn cách thức tấn công kiểu từ điển – Nó có khả năng ngăn chặn tấn công cả online hoặc offline. Với hình thức tấn công online có thể ngăn chặn bằng cách hạn chế số lần xác thực. Với cách tấn công offline cách thức phổ biến là sử dụng phương pháp hỏi đáp. Thủ tục tạo khoá – Thủ tục này tạo ra các bản tin xác thực để thiết lập sự bảo vệ cho người dùng. Những khoá này sẽ được thông qua các thiết bị người sử dụng như WEP hoặc TKIP. 2.2. Các đặc tính thêm vào ( Nên có) Xác thực cho người dùng – Chúng ta nên xác thực người dùng hơn là thiết bị của người sử dụng. Đây được gọi là bảo mật cứng. Nói cách khác đây là cách sử dụng smart card cung cấp cho người dùng để truy cập vào mạng. Bảo mật phía trước – Chúng ta nên cung cấp chế độ bảo mật phía trước. Bảo mật trước nghĩa là bảo mật tại phía người sử dụng hoặc mật khẩu hoặc khoá tại bất kỳ điểm nào trong tương lai. Kẻ tấn công ghi lại phiên làm việc của người dùng nhưng không thể biết được mật khẩu do phiên đó đã được mã hoá. Điểm truy cập – Chúng nên làm việc với tất cả các điểm truy cập được hỗ trợ bởi chuẩn 802.1x với chế độ xác thực EAP. Nhanh chóng và hiệu quả – Tính xác thực nên được thực hiện với số lượng giao thức nhỏ nhất và sử dụng tài nguyên ít nhất. Giá thành bảo trì thấp – Chúng ta nên đơn giản hoá cho người quản trị. Một phương thức yêu cầu xác thực cho người sử dụng thuờng không dễ cho người quản trị. Việc loại bỏ các chính sách bảo trì có thể tạo gánh nặng cho việc quản trị hệ thống. Dễ dàng cho người dùng – Các đặc tính nên thuận tiện cho người sử dụng. Ví dụ như việc sử dụng các giấy chứng nhận để lưu trữ thiết bị gây phiền toái cho người quản trị lại là điều thuận tiện cho người dùng. Smart cards, không thuận tiện cho người dùng nhưng dễ dàng cho người quản trị. Người dùng không quan tâm tới việc gõ những mật khẩu ngắn, dễ nhớ, nhưng lại phản đối việc sử dụng những chuỗi ký hiệu dài. 2.3. Các đặc trưng hữu ích khác (Tuỳ chọn)
Các phương thức tăng tính kế thừa – Việc này có thể ít bảo mật vì phương thức này kết hợp phương thức xác thực của mạng không dây và các phương thức xác thực trên. Đặc tính này sẽ hữu ích trong môi trường mà các hệ thống xác thực kế thừa không thể thay thế ngay được. Xác thực lại nhanh – Nó nên cung cấp có chế xác thực nhằm làm giảm thời gian cũng như tính toán. Đặc biệt là việc thiết lập chuyển giao mềm cho người sử dụng di động. Khi bị bó buộc về thời gian chuyển giao mềm phương thức này sẽ thực hiện quay vòng và có thể hoàn thành việc cung cấp dịch vụ tên miền thông qua một số vòng lặp. Tuy nhiên việc này đặt ra yêu cầu rất cao về tính bảo mật. 3. Các chứng nhận dựa trên phương thức xác thức Ngày nay các mạng 802.11 xác thực theo chuẩn 802.1x . Chuẩn 802.1x xác định giao thức xác thực mở rộng (EAP) trực tiếp qua lớp kết nối. EAP là giao thức truyền thông được sử dụng thông qua các loại cơ chế xác thực khác nhau. EAP là chuẩn của IETF đưa ra vào tháng 3/1998 cho kết nối điểm điểm. Các phương pháp EAP phát triển cho mạng không dây được dựa trên việc kiểm tra thông qua khoá công cộng và giao thức bảo mật tại lớp truyền tải (TLS). Các giao thức đó là EAP-TLS, EAP-TTLS và PEAP. Chúng ta sẽ lần lượt xem xét các vấn đề này sau đó sẽ tiến hành nghiên cứu cụ thể phương thức bảo mật cao hơn (còn gọi là Zero Knowledge Password Proof – ZKPP). 3.1. EAP-TLS EAP-TLS sử dụng khoá kiểm tra công khai TLS trong EAP để cung cấp việc xác thực lẫn nhau giữa máy chủ và khách hàng. Với EAP-TLS, cả máy chủ và khách hàng đều phải đăng ký chữ ký dạng số thông qua quyền chứng thực (CA) để kiểm tra. Các đặc tính của EAP-TLS bao gồm: • Xác thực lẫn nhau (giữa máy chủ và khách hàng) • Trao đổi khoá (để thiết lập WEP động và khoá TKIP) • Phân mảnh và nối lại (với bản tin EAP dài cần có phần kích thước kiểm tra nếu cần) • Kết nối nhanh (thông qua TLS) 3.2. EAP-TTLS Phương thức TLS EAP đường hầm (EAP-TTLS) cung cấp một loạt các thuộc tính cho một bản tin như là bản tin RADIUS EAP - dùng vận chuyển, EAP-TTLS có thể cung cấp các chức năng như phương thức PEAP (sẽ thảo luận dưới đây). Tuy nhiên nếu mật khẩu của RADIUS hoặc CHAP sẽ được mã hoá, thì TTLS có thể bảo vệ được các tính chất kế thừa của RADIUS. Khi máy chủ TTLS gửi bản tin RADIUS tới máy chủ tại đích, nó sẽ giải mã các thuộc tính bảo vệ của EAP-TTLS và chèn chúng trực
tiếp vào bản tin chuyển đi. Bởi vì phương thức này giống như PEAP, nên nó ít được sử dụng hơn. Hình 1: Giao diện TTLS 3.3. PEAP Giống như chuẩn TTLS, PEAP tạo khả năng xác thực cho mạng LAN không dây mà không yêu cầu xác thực. Để bảo vệ EAP (PEAP) thêm lớp TLS lên trên cùng EAP giống như EAP-TTLS, rồi sau đó sử dụng kết quả của phiên TLS như phương tiện vận chuyển để bảo vệ phương thức EAP. PEAP sử dụng TLS để xác thực từ máy chủ tới máy trạm nhưng không có chiều ngược lại. Theo phương thức này chỉ máy chủ yêu cầu khoá xác thực còn khách hàng thì không. Máy chủ và máy trạm trao đổi chuỗi thông tin mã hoá trong TLS, và bản tin TLS được xác thực và mã hoá sử dụng khoá đã được thông qua giữa hai bên. PEAP cung cấp dịch vụ cho phương thức EAP như sau: • Bản tin xác nhận (Những kẻ tấn công sẽ rất khó khăn trong việc chèn vào bản tin EAP) • Mã hoá bản tin (Những kẻ tấn công sẽ không thể đọc và giải mã bản tin EAP) • Xác thực từ máy chủ đến khách hàng (vì thế phương thức này chỉ cần bảo vệ xác thực từ khách hàng tới máy chủ) • Trao đổi khoá (để thiết lập cho WEP động hoặc khoá TKIP) • Phân mảnh và ghép lại (cần thiết nếu bản tin EAP dài) • Thiết lập kết nối nhanh ( thông qua phiên TLS ) PEAP là cơ chế đặc biệt hữu ích để tăng tính bảo mật kế thừa từ phương thức EAP trên cơ sở các đặc tính dưới đây. Microsoft PEAP Microsoft PEAP hỗ trợ quyền xác thực khách hàng thông qua MS-CHAP phiên bản 2, nó giới hạn dữ liệu người dùng thông qua có chế chia miền Windows NT và hoạt động của các thư mục. Để sử dụng Microsoft’s PEAP, người dùng cần phải mua chứng thực riêng từ CA để thiết lập IAS, và một chứng thực để lưu trữ tại máy tính cục bộ. Với khách hàng không dây để xác nhận IAS, thì tại CA gốc phải thiết lập cho mỗi khách hàng này.
Tuy nhiên Windows XP bao gồm các chứng thực gốc của rất nhiều CA. Nếu chứng thực IAS của máy chủ bao gồm gốc CA, thì không cần thêm cấu hình cho khách hàng. Nếu người sử dụng mua chứng thực IAS cho Windows XP mà không có CA thì họ phải thiết lập tên khách hàng không dây. Cisco PEAP Cisco PEAP hỗ trợ xác thực tại khách hàng thông qua mật khẩu một lần (OTP) và mật khẩu truy cập. Điều này cho phép hỗ trợ cơ sở dữ liệu từ người quản lý như là bảo mật RSA và cũng hỗ trợ cho cơ sở dữ liệu về mật khẩu truy nhập như LDAP, Novell NDS và Microsoft . Thêm vào đó khách hàng Cisco PEAP có thể bảo vệ việc nhận dạng tin cho đến khi mã hoá đường hầm TLS được thiết lập. Điều này cung cấp sự bảo đảm cho người sử dụng trong quá trình dùng. 3.4. Các vấn đề với phương thức xác thực Mặc dù có rất nhiều ưu điểm nhưng cũng có một số vấn đề với các phương thức chứng thực dựa trên EAP. 3.4.1. Giá cho việc quản trị Tất cả các phương thức đều yêu cầu phải có khoá xác thực được nhận dạng bởi khách hàng. Điều này yêu cầu người quản trị mạng phải trả bản quyền cho CA hoặc các phần mềm sử dụng. Tiếp theo mỗi thiết bị truy cập mạng phải được cấu hình để nhận được quyền xác thực và CA. Phương thức EAP-TLS yêu cầu tất cả các thiết bị của người sử dụng phải được chứng thực. Điều này kéo theo giá cả tăng. Ngoài ra còn chi phí bảo trì vận hành,... danh sách các thiết bị huỷ bỏ trên mạng. 3.4.2. Giao thức trao đổi dài Hạn chế thứ hai của các phương thức dựa trên EAP đó là số giao thức trao đổi yêu cầu cả khách hàng và nhà quản lý. Ví dụ để xác thực người sử dụng thông qua giao thức EAP-MD5 được bảo vệ bởi PEAP cần tới 6 thủ tục giữa khách hàng và nhà quản trị mạng. Yêu cầu số lần trao đổi lớn dẫn đến trễ trên đường truyền. Bởi vì trễ trong việc xác thực là vấn đề đặc biệt cho người sử dụng di động khi di chuyển từ vị trí này đến vị trí khác hoặc yêu cầu chuyển giao. 3.4.3. Xác thực thiết bị người dùng yêu cầu Smart Card Đây là vấn đề thứ ba cần quan tâm. Khi việc chứng thực được lưu trên thiết bị người sử dụng thì thiết bị đó cần đảm bảo độ an toàn hơn thiết bị cá nhân thông thường. Trong môi trường nơi mà thiết bị không đảm bảo độ an toàn hoặc có nhiều thiết bị cá nhân sử dụng điều quan trọng là cần phải đảm bào quyền xác thực cho mỗi thiết bị. Smart card đó là cách người dùng có thể mang theo mình nhưng chúng cũng không thuận tiện vì yêu cầu tất cả các thiết bị ghép nối đi theo.
EAP (Extensible Authentication Protocol) - Phương thức bảo mật cho mạng không dây 802.11 (Phần 2) 2:36, 06/11/2007 EAP (Extensible Authentication Protocol) - Phương thức bảo mật cho mạng không dây 802.11 (Phần 2) Mặc dù phương thức xác thực bằng mật khẩu có nhiều thuận tiện hơn phương thức xác thực bằng phần cứng nhưng chúng vẫn có khả năng bị tấn công.Chúng bị tấn công dựa trên bảng từ điển còn lưu lại, ở đây kẻ tấn công có thể lựa chọn ngẫu nhiên từ bảng từ điển đã lấy được các mật khẩu có thể . Nguyễn Hữu Phát - Thiên Phái 1. Phương thức xác thực yêu cầu mật khẩu Mặc dù phương thức xác thực bằng mật khẩu có nhiều thuận tiện hơn phương thức xác thực bằng phần cứng nhưng chúng vẫn có khả năng bị tấn công.Chúng bị tấn công dựa trên bảng từ điển còn lưu lại, ở đây kẻ tấn công có thể lựa chọn ngẫu nhiên từ bảng từ điển đã lấy được các mật khẩu có thể . 1.1. LEAP và Cisco CCX LEAP là giao thức xác thực mở rộng dựa trên việc xác thực lẫn nhau, có nghĩa là cả người dùng và điểm truy cập đều phải xác thực trước khi truy cập mạng. Việc xác thực lẫn nhau nhằm mục đích chống lại sự truy cập trái phép vào mạng. Cisco LEAP dựa trên cơ sở tên và mật khẩu. Cisco CCX (Chương trình mở rộng tương thích của Cisco) sự chắc chắn giữa cơ sở hại tầng mạng không dây Cisco Aironet và các thiết bị người dùng từ công ty thứ ba. Điều này tạo sự thuận lợi cho việc vận hành bảo dưỡng các thiết bị Cisco và các giao thức bao gồm cả LEAP. 1.2. LEAP Với Cisco’s LEAP, khoá bảo mật thay đổi động tuỳ theo phiên làm việc nhằm mục đích hạn chế việc lựa chọn gói tin để giải mã từ bên ngoài. Khi một khoá mới được phát ra thông qua LEAP sử dụng sự chia sẻ bí mật giữa người sử dụng và điểm truy cập. Bởi vì LEAP là giao thức của Cisco nên nó chỉ được sử dụng cho điểm truy cập của Cisco. LEAP cũng thêm một mức bảo mật khác cho mạng thông qua việc xác thực các kết nối trên toàn mạng trước khi cho phép các gói tin đến các thiết bị không dây. Việc thay đổi cặp khoá bí mật và xác thực người sử dụng cho phép tăng tính bảo mật cho dữ liệu không dây.
1.3. Phương thức xác thực mật khẩu cao Trên cơ sở giá cả và sự bất tiện trong việc xác thực dựa trên phần cứng, các chuyên gia bảo mật đã phát triển một họ các phương thức bảo mật dựa trên mật khẩu. Chúng ta sẽ sử dụng phương thức mật khẩu cao khi đề cập tới họ phương thức này. Lợi ích cơ bản của phương thức này đó là hai bên có thể cung cấp cho nhau các vấn đề bảo mật mà không sợ bên thứ ba can thiệp vào. Phương thức này đạt được tính xác thực cao thông qua mật khẩu ngắn gọn và dễ nhớ. Vấn đề cơ bản của phương thức này đó là sự trao đổi khoá Diffie-Hellman. Một khoá Diffie-Hellman cho phép hai bên tạo ra các khoá mã hoá cho phép người quan sát có thể xem toàn bộ phiên giao dịch nhưng không thể học theo. Trao đổi khoá Diffie-Hellman đặt giữa web và người dùng trực tuyến ví dụ để mã hoá thông tin cá nhân như số card. Nếu khách hàng và người buôn bán không bao giờ hoàn thành công việc trước đó thì họ sẽ đồng ý mã hoá khoá để người thứ ba không thể can thiệp vào để tìm kiếm thông tin. 1.4. Tiềm năng của SPEKE Phương thức SPEKE sử dụng một chuỗi bản tin ngẫu nhiên để trao đổi thông tin giữa các thiết bị. Các phần của SPEKE thực hiện tính toán các bản tin, rồi sau đó xác định mật khẩu cho các thiết bị. Khi mật khẩu hợp lệ, SPEKE sẽ dùng các mật khẩu chia sẻ giữa các thiết bị. Với người thứ ba, bản tin SPEKE sẽ giống như một số ngẫu nhiên và không thể xác định được mật khẩu là gì. Đặc tính nổi trội thêm vào của SPEKE là việc xác định khoá nhờ tính toán từ khoá công cộng. Do vậy sẽ không cần bất kỳ khoá công cộng, khoá cá nhân sống trong một thời gian dài. SPEKE sử dụng phương thức xác thực chuỗi các ký hiệu 0 (ZKPP) để truyền mật khẩu điều này bảo vệ thông tin khỏi sự truy cập trái phép nếu không sử dụng đúng giao thức. Bởi vì, SPEKE tạo ra mật khẩu dựa trên quyền xác thực cao và an toàn hơn. Với SPEKE, thậm chí mật khẩu ngắn cũng bảo vệ khỏi sự tấn công. Đặc tính bảo mật của SPEKE bao gồm : • Cao hơn, không giới hạn chiều dài khoá • Bảo vệ khỏi sự tấn công off-line • Người dùng và máy chủ có sự xác thực đồng thời • Không yêu cầu thêm về cơ sở hạ tầng cho bảo mật • Không yêu cầu xác nhận về văn bản giữa người dùng và nhà quản trị mạng • Hoàn toàn sử dụng mật mã cho mật khẩu chiều dài nhỏ 2. Yêu cầu của việc sử dụng Để thực hiện SPEKE, người sử dụng hình thành việc thiết lập một lần khi thiết lập cấu hình truy cập mạng lần đầu tiên. Không cần có cơ sở hạ tầng (không giống như
TLS và chuẩn xác thực 802.1x ) để nhận được mức xác thực giống nhau và có thê xây dựng cho các thiết bị. SPEKE và LEAP Cisco LEAP đó là giao thức chỉ được sử dụng trong điểm truy cập của Cisco. Nó có nguồn gốc từ EAP, cung cấp xác thực lẫn nhau giữa người dùng và máy chủ. SPEKE đó là điểm truy cập độc lập và làm việc theo điểm truy cập của bất kỳ chuẩn 802.1x nào. Điều này cung cấp tính mềm dẻo tối đa cho các loại mạng tích hợp không sử dụng cơ sở hạ tầng của Cisco WLAN . SPEKE và PEAP EAP được bảo vệ (PEAP) hỗ trợ xác thực một lần, khi mật khẩu thay đổi sự hỗ trợ cũng hết hiệu lực, và cơ sở dữ liệu mở rộng hỗ trợ cho LDAP/NDS. PEAP mã hoá sự trao đổi giữa người dùng EAP và máy chủ, và việc bảo mật được bảo đảm bởi kênh TLS. Xác thực lẫn nhau yêu cầu giữa người dùng EAP và máy chủ. Tuy nhiên SPEKE không yêu cầu chứng thực văn bản và cung cấp xác thực đồng thời. Mật khẩu được thay đổi chắc chắn mà không sợ người thứ ba can thiệp và không cần kênh TLS. 3. Kết luận Bảo mật mậng không dây giúp giảm chi phí về giá cả, sản phẩm và thị trường cạnh tranh. Chúng ta sẽ không xem xét liệu nhà quản trị sẽ cung cấp bảo mật thế nào mà khi nào sẽ áp dụng. Việc lựa chọn mức bảo mật cao nhất cần sự đầu tư tốt bởi vì việc bảo mật cần kinh phí tương đối. Hầu hết các cuộc tấn công đều bị bỏ qua và nhà quản trị dễ gặp tổn thất. Sự phá vỡ bảo mật như lấy trộm thông tin, phá huỷ dữ liệu và nghẽn đứt mạng có thể tốn kém. Trong bảng 1, chúng ta so sánh một vài họ các phương thức EAP mà chúng ta đã xem xét tổng quan ở trên gồm: tính kế thừa, chứng nhận, mật khẩu và mật khẩu cao. Các đặc tính yêu cầu có thể tìm thấy trong đoạn hai ở cột bên trái. Như bảng 1, phương thức cũ EAP như EAP-MD5 không thích hợp cho xác thực mạng không dây bởi vì chúng không thoả mãn các yêu cầu đặt ra. Cả phương thức chứng thực và mật khẩu cao đều thoả mãn các yêu cầu cơ bản đặt ra và có thể sử dụng trên mạng không dây. Phương thức xác nhận gồm một vài đặc tính đặc biệt có giá trị trong một số môi trường, như khả năng bảo vệ và tăng tính kế thừa. Tuy nhiên phương thức mật khẩu dễ dàng thiết lập cho nhà quản trị. Phương thức SPEKE đặc biệt thích hợp cho các môi trường nơi mà các chứng nhận không thực tế như là SOHO. Người sử dụng SOHO sẽ tìm SPEKE dễ dàng thiết lập và giá cả thấp. Nhà cung cấp vận chuyển và dịch vụ sẽ tìm thấy sự mềm dẻo của SPEKE do nó không đòi hỏi cơ sở hạ tầng. SPEKE có thể thực hiện dễ dàng với SOHO và môi trường cao nơi mà người phân phối có thể điều khiển và quản lý, bởi vì người dùng có thể lấy từ trang web hoặc trên đĩa CD với điểm truy cập.
Phương thức Chứng chỉ (TLS,Mật Mật khẩu cao EAP kế thừa TTLS, PEAP) khẩu(LEAP) (SPEKE…) (EAP-MD5) Yêu cầu bắt buộc Tính tương hỗ Không Có Có Có Tự bảo vệ Có Có Có Có Khả năng Chỉ với chuỗi chống tấn công dài, phát ngẫuCó Không Có từ điển nhiên Phát sinh khoá Không Có Có Có bảo vệ phiên Độ an toàn Không có Cao Y ếu Cao Yêu cầu nên có Quyền người Không có vớiKhông có nếuCó Có dùng chuỗi mật khẩuchứng nhận lưu dài,phát sinh ngẫu nhiên
trên ổ cứng Không có với Bảo mật trước N/A việc sử dụngCó Có bình thường Nhanh chóng Có Không Có Có và hiệu quả Giả cả bảo trì Có Không Có Có thấp Thuận tiện cho Chỉ xác nhận khi Có Có Có người dùng lưu trên đĩa Hỗ trợ quảng Có Có Không Có bá AP Yêu cầu có thể có Yếu tố kế N/A Có Không Không thừa
Không, cần phải Xác thực lại No, must go to đi về nơi xuấtCó Không nhanh home domain phát Bảng 1 : So sánh các phương thức EAP 4. Phụ lục A Phương thức SPEKE dựa trên việc mã hoá theo hàm mũ với số mũ lớn. Hàm mũ này chỉ có thể tính theo một chiều rất khó có thể tìm được hàm ngược của nó. Với những người sử dụng và người xác thực sẽ làm việc dựa trên khoá mã chung K. Để làm được điều này mỗi người tham gia đều phải có một số ngẫu nhiên rất lớn. Người sử dùng dùng một giá trị a và người kiểm tra dùng một giá trị b. Mỗi bên có một giá trị riêng của mình. Mật khẩu p dùng cho cả hai người thì thường rất ngắn và dễ nhớ. Trong phần dưới đây chúng ta sẽ xem xét quá trình xác thực giữa hai bên. Trong mạng không dây người kiểm tra xác thực đặt tại điểm truy nhập AP. Tuy nhiên thường có người thứ ba xen vào. Trong trường hợp này đó là máy chủ xác thực đóng vai trò kiểm tra. Điểm truy cập loại bỏ việc trao đổi EAP thông qua việc gửi yêu cầu xác nhận EAP tới người sử dụng. Người sử dụng sẽ gửi tín hiệu trả lời như hình 2. Nếu máy chủ xác thực có liên quan điểm truy cập sẽ chuyển thông tin yêu cầu EAP. Từ điểm truy cập đó, máy chủ xác thực sẽ thông qua và kết nối quá trình trao đổi EAP-SPEKE . Hình 2: Thủ tục hỏi đáp EAP Khi người xác thực nhận được EAP yêu cầu, nó tìm kiểm người sử dụng được uỷ thác truy cập và khôi phục lại mật khẩu. Tiếp theo người xác thực sẽ tạo ra một số lớn b và tính toán B = p2b mod m với B là giá trị trung gian và m là số nguyên tố lớn.Người xác thực gửi m và B tới người sử dụng trong bản tin yêu cầu EAP-SPEKE. Người sử dụng tạo ra một số lớn “a” và tính toán A = p2a mod m Tiếp theo người sử dụng tính khoá K = Ba mod m
ở đây K là khoá của chủ và B là giá trị nhận được tử người xác thực.Cuối cùng người sử dụng tính toán ProofAK = h (“A” | A | K) với ProofAK là hàm kiểm tra A và K, h là độ bảo mật, một hàm một chiều , “A” là chuỗi ký tự ASCII chứa một ký tự hoa A và | là toán tử. Người sử dụng sẽ gửi EAP tới bên xác thực chứa A và ProofAK. Cặp EAP này chỉ ra trên hình 3. Hình 3: Thủ tục thứ nhất trong EAP Khi bên xác thực nhận được yêu cầu EAP-SPEKE đầu tiên nó sẽ tính toán K = Ab mod m ở đây K là khoá của máy chủ và Alag giá trị nhận được. Tiếp theo bên xác thực tính toán TestAK = h (“A” | A | K) và ProofBK = h (“B” | B | K) Bây giờ bên xác thực có thể so sánh TestAK và giá trị ProofAK . Nêu chúng khác nhau thì tín hiệu xác thực là sai. Ngược lại bên xác thực sẽ gửi yêu cầu thứ hai EAP-SPEKE tới người sử dụng như hình 4. Hình 4: Thủ tục thứ hai trong EAP Khi người sử dụng nhận được yêu cầu thứ hai EAP-SPEKE nó sẽ tính toán từ giá trị nhận được TestBK = h (“B” | B | K) Người sử dụng so sánh TestBK với giá trị ProofBK nhận được từ bên xác thực. Nếu chúng khác nhau thì người sử dụng sẽ bỏ qua phiên này. Ngược lại người sử dụng sẽ trả lại tín hiệu EAP-SPEKE rỗng tới bên xác thực.
Khi bên xác thực nhận được tín hiệu rỗng nó sẽ trả về bản tin EAP báo hiệu kết nối thành công. Chú ý khoá K được tính toán độc lập tại mỗi bên. Nó làm việc dựa trên hàm mũ. Nó ngăn cản việc kẻ tấn công không thể tính toán được A hoặc B. Chú ý rằng nếu p được thoả thuận, kẻ tấn công biết được cũng không thể tìm ra khoá K. Để tìm ra khoá K anh ta cần phải biết giá trị a và b - đây là những số ngẫu nhiên rất lớn. Cũng không thể từ ProofAK hoặc ProofBK để tính ra K bởi h là hàm một chiều. Điều này làm cho kẻ tấn công không thể tính được khoá K ngay cả khi biết p. Khoá chủ K bản thân nó không được sử dụng như khoá WEP hoặc TKIP để mã hoá dữ liệu cho mạng không dây. Những khoá này nhận được từ K sử dụng phép lấy đạo hàm. Tài liệu tham khảo - IEEE 802.11 Standards - IEC tutorials Giải thích thuật ngữ AP - điểm truy cập: mạng truy cập cho chuẩn không dây 802.11. Nó chứa sóng vô tuyến của bộ truyền và nhận. Nó có thể là quyền xác thực 802.1x. CA - quyền xác thực: đó là việc phát ra tín hiệu xác thực số (như X.509) và bảo đảm an toàn dữ liệu trong xác thực. CRL – danh sách các xác thực huỷ bỏ - là cấu trúc dữ liệu liệt kê xác thực dạng số mà không còn hiệu lực nữa. EAP – Giao thức xác thực mở rộng – giao thức sử dụng giữa người dùng và phía xác thực như 802.1x và RADIUS. EAP-LEAP - (Lightweight Extensible Authentication Protocol) – là đặc tính của Cisco loại EAP. Nó được thiết kế cho mạng không dây sử dụng quyền xác thực lẫn nhau và cho các khoá của Web động . EAP-PEAP - (Protected Extensible Authentication Protocol) – đây là giao thức xác thực hai pha giống như EAP-TLS. Trong pha đầu tiên máy chủ thực hiện xác thực sử dụng chuẩn X.509. Việc sử dụng TLS, một kênh bảo mật sẽ được thiết lập thông qua bất kỳ loại giao thức EAP nào có thể được sử dụng trong suốt quá trình xác thực ở pha hai. Một chứng nhận chỉ yêu cầu tại máy chủ xác thực. EAP-PEAP cũng hỗ trợ việc ẩn dấu hiệu nhận dạng để tránh việc có kẻ mạo danh thiết lập kết nối trong pha một và hai.
EAP-TLS - (Transport Layer Security) lớp giao vận bảo mật – đây là loại xác thực EAP dựa trên chuẩn X.509. Do nó yêu cầu xác thực tại máy chủ phải có chứng nhận nó cung cấp khả năng xác thực lẫn nhau để ngăn chặn việc truy cập từ người trung gian. Sau khi xác thực thành công đường kết nối bảo mật TLS được thiết lập để giao tiếp. EAP-TTLS - (Tunneled TLS) – là giao thức xác thực loại EAP gồm hai pha. Trong pha đầu tiên máy chủ xác thực sử dụng chứng nhận X.509. Việc sử dụng TLS, một kênh bảo mật được thiết lập sử dụng giao thức xác thực PPP mang tính kế thừa như PAP, CHAP và MS-CHAP. EAP-TTLS có ưu điểm là thông qua EAP-TLS giao thức chỉ cần xác thực tại máy chủ. Nó cũng có khả năng chuyển các yêu cầu tới máy chủ RADIUS kế thừa. EAP-TTLS cũng hỗ trợ có chế xác thực ẩn thông qua kênh TLS trong pha một nhưng không trong pha hai. SPEKE (Simple Password-authenticated Exponential Key Exchange) –là phương thức xác thực dựa trên trao đổi khoá Diffie-Hellman, với mật khẩu rất ngắn. SPEKE không yêu cầu chứng nhận tại máy chủ và người dùng. SPEKE bảo vệ mật khẩu và thông tin trong suốt quá trình xác thực cho phép khách hàng lựa chon mô hình mật khẩu. Nó có thể thực hiện như phương thức EAP và không yêu cầu bất kỳ khoá PKI hoặc cơ sở hạ tầng. TKIP - Temporal Key Integrity Protocol là giao thức theo chuẩn IEEE 802.11i thay thế cho WEP. Nó được xác nhận bởi khối Wi-Fi cho việc sử dụng trong việc truy cập bảo vệ không dây (WPA). WEP - Wired Equivalent Privacy – là giao thức thiết lập bởi chuẩn IEEE 802.11 giữa người sử dụng và điểm truy cập. Kể từ khi xuất bản IEEE 802.11-1999, WEP đã chứng minh việc bẻ khoá dễ dàng. ZKPP - Zero Knowledge Password Proof – là quá trình nơi mà phương thức xác thực mật khẩu cao có thể thiết lập giữa hai bên mỗi bên chỉ biết được mật khẩu của mình và người thứ ba không thể nghe trộm được. Một số khái niệm 802.1X - Chuẩn IEEE 802.1X xác định cơ chế dựa trên điều khiển truy cập các cổng trong mạng sử dụng các đặc tính vật lý của cơ sở hạ tầng mạng LAN IEEE 802. Nó cung cấp phương thức xác thực và quyền ghép các thiết bị vào cổng mạng LAN đó là đặc tính kết nối điểm điểm. Các thông số 802.1X gồm một số đặc tính hố trợ cho điều khiển truy cập cổng trong mạng LAN không dây (WLANs). Đặc tính này gồm các khả năng cho điểm truy cập mạng không dây để đạt được khó thông tin và xác thực thành công . authentication – Quá trình nhận dạng thiết bị gắn kèm.
authentication server - trong 802.1x. Dịch vụ này xác định liệu người dùng có đủ quyền để truy cập không. authenticator - trong 802.1x, là toàn bộ điểm kết thúc điểm điểm trong mạng LAN tạo điều kiện thuận tiện cho quá trình xác thực trên đường kết nối. authorization – quá trình cho phép truy cập vào các dịch vụ của mạng. Diffie-Hellman key exchange – Giao thức khoá Diffie-Hellman được phát triển bởi Diffie và Hellman năm 1976 và xuất bản trong bài báo "New Directions in Cryptography." Giao thức này cho phép hai người sử dụng trao đổi khoá bảo mật mà không sợ bất kỳ sự tấn công nào. Thực hiện mạng nội bộ của phương thức xác thực SPEKE sử dụng hàm một chiều cho mật khẩu. Điều này có thể bảo vệ khỏi bất kỳ sự tấn công từ bên ngoài nào. rogue access point - bất kỳ điểm truy cập nào được hoạt động bởi một vài người thứ ba . strong password authentication methods - bất kỳ họ phương thức xác thực nào sử dụng phương pháp này đều sử dung mật khẩu rất ngắn. supplicant - trong 802.1x, là toàn bộ một điểm kết thúc điểm điểm trong mạng LAN được sử dụng xác thực. user - một người hoặc phần mềm truy cập các dịch vụ mạng. user station - một hệ thống hoặc thiết bị nơi mà người sử dụng truy cập các dịch vụ mạng.