An ninh mạng

GVGD: Ks.Trương Minh Tuấn

0937.024.166
 References
• Network security: A beginer’s guide
• Crytography and network security
Chương 1: Tổng quan
 Bảo mật thông tin?
• Thông tin được bảo mật khi thỏa các yêu cầu sau:
– Đảm bảo tính tin cậy(Confidentiality): Thông tin không thể
bị truy nhập trái phép bởi những người không có thẩm
quyền.
– Đảm bảo tính nguyên vẹn(Integrity): Thông tin không thể
bị sửa đổi, bị làm giả bởi những người không có thẩm
quyền.
– Đảm bảo tính sẵn sàng(Availability): Thông tin luôn sẵn
sàng để đáp ứng sử dụng cho người có thẩm quyền.
– Đảm bảo tính không thể từ chối (Non-repudiation): Thông
tin được cam kết về mặt pháp luật của người cung cấp.
 An toàn hệ thống

• Hệ thống an toàn: là hệ thống có khả năng chống lại những tai

hoạ, lỗi và sự tác động không mong đợi, các thay đổi tác động
đến độ an toàn của hệ thống là nhỏ nhất.
• Hệ thống có một trong các đặc điểm sau là không an toàn:
– Các thông tin dữ liệu trong hệ thống bị người không được quyền truy
nhập tìm cách lấy và sử dụng (thông tin bị rò rỉ).
– Các thông tin trong hệ thống bị thay thế hoặc sửa đổi làm sai lệch nội
dung (thông tin bị xáo trộn)...
 Các kiểu tấn công?
• Tấn công trực tiếp
– Một phương pháp tấn công cổ điển là dò tìm tên
người sử dụng và mật khẩu. Đây là phương pháp
đơn giản, dễ thực hiện và không đòi hỏi một điều kiện
đặc biệt nào để bắt đầu.
• Nghe trộm
– Việc nghe trộm thông tin trên mạng có thể đưa lại
những thông tin có ích như tên, mật khẩu của người
sử dụng, các thông tin mật chuyển qua mạng. Việc
nghe trộm thường được tiến hành ngay sau khi kẻ
tấn công đã chiếm được quyền truy nhập hệ thống
 Các kiểu tấn công?
• Giả mạo địa chỉ
– Thực hiện thông qua việc sử dụng khả năng dẫn đường
trực tiếp (source-routing).
• Kẻ tấn công gửi các gói tin IP tới mạng bên trong với một địa chỉ IP
giả mạo (thông thường là địa chỉ của một mạng hoặc một máy
được coi là an toàn đối với mạng bên trong), đồng thời chỉ rõ
đường dẫn mà các gói tin IP phải gửi đi.
• Vô hiệu các chức năng của hệ thống
– Đây là kiểu tấn công nhằm tê liệt hệ thống, không cho nó
thực hiện chức năng mà nó thiết kế. Kiểu tấn công này
không thể ngăn chặn được, do những phương tiện được
tổ chức tấn công cũng chính là các phương tiện để làm
việc và truy nhập thông tin trên mạng.
 Các kiểu tấn công?

• Lỗi của người quản trị hệ thống

– Đây không phải là một kiểu tấn công của những kẻ
đột nhập, tuy nhiên lỗi của người quản trị hệ thống
thường tạo ra những lỗ hổng cho phép kẻ tấn công
sử dụng để truy nhập vào mạng nội bộ
• Tấn công vào yếu tố con người
– Kẻ tấn công có thể liên lạc với một người quản trị hệ
thống, giả làm một người sử dụng để yêu cầu thay
đổi mật khẩu, thay đổi quyền truy nhập của mình đối
với hệ thống, hoặc thậm chí thay đổi một số cấu hình
của hệ thống để thực hiện các phương pháp tấn công
khác
 Ai là kẻ tấn công?
• Người qua đường
– Những kẻ buồn chán với công việc hàng ngày, muốn giải trí
bằng cách đột nhập vào các hệ thống mạng.
– Chúng thích thú khi đột nhập được vào máy tính của người
khác mà không được phép.
– Bọn này không chủ định phá hoại, nhưng những hành vi xâm
nhập và việc chúng xoá dấu vết khi rút lui có thể vô tình làm cho
hệ thống bị trục trặc.
•  Kẻ phá hoại
– Chúng chủ định phá hoại hệ thống, vui thú khi phá hoại người
khác.
– Gây ra những tác hại lớn, rất may trên thế giới không nhiều kẻ
như thế.
 Ai là kẻ tấn công?

• Kẻ ghi điểm
– Những kẻ muốn khẳng định mình qua những kiểu tấn
công mới, số lượng hệ thống chúng đã thâm nhập...
– Chúng thích đột nhập những nơi nổi tiếng, canh
phòng cẩn mật.
• Gián điệp
– Truy nhập để ăn cắp tài liệu để phục vụ những mục
đích khác nhau, để mua bán, trao đổi...
Chương 2: Kiến thức cơ sở
 Quy tắc xây dựng hệ thống mạng an toàn

• Quyền hạn tối thiểu

– Chỉ nên cấp những quyền nhất định cần có với công việc tương ứng
và chỉ như vậy.
– Tất cả các đối tượng: người sử dụng, chương trình ứng dụng, hệ điều
hành... đều nên tuân theo nguyên tắc này.
• Đơn giản
– Hệ thống phải đơn giản để dễ hiểu và ít mắc lỗi.
– Dễ hiểu: Sẽ giúp cho dễ dàng nắm được nó hoạt động như thế nào,
có như mong muốn hay không.
– Ít mắc lỗi: Càng phức tạp thì càng nhiều lỗi có thể xảy ra.
==> Firewall thường chạy trên các hệ thống đã loại bỏ hết
những gì không cần thiết.
•  
 Quy tắc xây dựng hệ thống mạng an toàn

• Bảo vệ theo chiều sâu

– Nên áp dụng nhiều chế độ an toàn khác nhau.
– Nhiều lớp an toàn khác nhau, chia thành các vòng bảo vệ
bao lấy nhau, muốn tấn công vào bên trong thì phải lần lượt
qua các lớp bảo về bên ngoài --> bảo vệ lẫn nhau.
• Nút thắt
– Bắt buộc mọi thông tin phải đi qua một của khẩu hẹp mà ta
quản lý được --> kể cả kẻ tấn công. Giống như cửa khẩu
quốc tế, tại đó nhân viên cửa khẩu sẽ kiểm soát được
những thứ đưa ra và vào.
– Nút thắt sẽ vô dụng nếu có một con đường khác nữa.
•  
 Quy tắc xây dựng hệ thống mạng an toàn

• Tính toàn cục

– Phải quan tâm tới tất cả các máy trong mạng, vì mỗi
máy đều có thể là bàn đạp tấn công từ bên trong.
Bản thân một máy có thể không lưu trữ những thông
tin hay dịch vụ quan trọng, nhưng để nó bị đột nhập
thì những máy tính khác trong mạng cũng dễ dàng bị
tấn công từ trong ra.
• Tính đa dạng
– Nếu tất cả cùng dùng một hệ điều hành hay một loại
phần mềm duy nhất thì sẽ có thể bị tấn công đồng
loạt và không có khả năng hồi phục ngay
 Biện pháp bảo mật
• Bảo mật vật lý đối với hệ thống
– Hình thức bảo mật vật lý khá đa dạng, từ khoá cứng, hệ
thống báo động cho đến hạn chế sử dụng thiết bị. Ví dụ:
loại bỏ đĩa mềm khỏi các máy trạm thông thường là biện
pháp được nhiều cơ quan áp dụng.
• Biện pháp hành chính
– Nhận dạng nhân sự khi vào văn phòng, đăng nhập hệ
thống hoặc cấm cài đặt phần mềm, hay sử dụng các phần
mềm không phù hợp với hệ thống.
• Bảo mật dữ liệu bằng mật mã
– Biến đổi dữ liệu từ dạng nhiều người dễ dàng đọc được,
hiểu được sang dạng khó nhận biết.
 Biện pháp bảo mật

• Mật khẩu
– Biện pháp phổ biến và khá hiệu quả.
– Tuy nhiên mật khẩu không phải là biện pháp an toàn
tuyệt đối. Mật khẩu vẫn có thể mất cắp sau một thời
gian sử dụng.
• Xây dựng bức tường lửa
– Hệ thống bao gồm phần cứng và phần mềm đặt giữa
hệ thống và môi trường bên ngoài như Internet chẳng
hạn.
 Quản lý rủi ro CNTT
• Quản lý rủi ro
– Một lĩnh vực quan trọng có tính quyết định thành công của các dự
án, đặc biệt đối với các dự án lớn và phức tạp như các dự án ứng
dụng CNTT trong DN.
• Quản lý rủi ro bao gồm:
– Phòng ngừa rủi ro (nhận dạng nguy cơ và đánh giá khả năng xảy
ra sự cố cùng thiệt hại, cơ chế để giám sát các nguy cơ đó...)
– Xử lý hậu quả nếu xảy ra rủi ro (chiến lược xử lý, các biện pháp
và công cụ được áp dụng, phân bổ lực lượng để khắc phục....).
 “Phòng bệnh hơn chữa bệnh”, phòng ngừa rủi ro có ý
nghĩa quyết định, tuy nhiên, cũng phải sẵn sàng các giải
pháp và phương tiện để khắc phục nhanh và tốt nhất hậu
quả nếu chẳng may rủi ro vẫn xảy ra.
 Warning !!!!!!!!

• Tội phạm mạng có thể chịu tù tới 12 năm

• Người sử dụng trái phép thông tin trên mạng cũng có
thể bị phạt tiền, cải tạo không giam giữ hoặc phạt tù tới
3 năm, theo dự thảo sửa đổi, bổ sung bộ Luật hình sự.

(Theo http://antoanthongtin.org
thứ hai ,ngày 29 tháng 6 năm 2009)
Chương 3: Các phần mềm có hại

(Malicious Softwares)
 Virus máy tính là gì ?

• Virus là một đoạn chương trình hoặc chương trình có kích

thước rất nhỏ dùng để phục vụ những mục đích không tốt.
• Cách phân loại:
– Dựa vào cơ chế hoạt động:
• Virus nhân bản (Worm)
• Virus không nhân bản (logic boms, backdoor, zombie)
– Dựa vào cách thức tồn tại:
• Virus là đoạn chương trình “bám” ký sinh vào các chương trình
ứng dụng, tiện ích và chương trình hệ thống (logic bombs,
backdoor)
• Virus là một chương trình tồn tại độc lập và có khả năng tự
thực thi (worm, zombie)
 Tác hại của virus

• Sau khi lây nhiễm vào máy, virus có thể làm máy tính
hoạt động chậm, làm hỏng các file bị lây nhiễm, làm mất
dữ liệu, gây lỗi hệ thống…
• Virus cũng có thể sử dụng máy tính của nạn nhân để
quảng cáo bất hợp pháp, gửi thư rác, gây khó chịu cho
người sử dụng, gây mất an ninh thông tin, đánh cắp
thông tin cá nhân, thông tin tài khoản, số thẻ tín dụng…
• Một số loại virus còn lợi dụng máy tính của nạn nhân để
tạo mạng botnet (mạng máy tính ma), dùng để tấn công
hệ thống máy chủ, website khác…
 Virus máy tính lây lan như thế nào?

• Lây qua mạng nội bộ (mạng LAN),

• Lây qua các file tải về từ Internet
• Lây qua email
• Lây từ các ổ đĩa USB.
• Lợi dụng các lỗ hổng phần mềm, kể cả hệ điều hành để
xâm nhập, lây nhiễm lên máy tính thông qua mạng.
 Dấu hiệu nhận biết máy tính bị nhiễm virus?
• Truy xuất tập tin, mở các chương trình ứng dụng chậm.
• Khi duyệt web có các trang web lạ tự động xuất hiện.
• Duyệt web chậm, nội dung các trang web hiển thị trên trình duyệt
chậm.
• Các trang quảng cáo tự động hiện ra (pop up), màn hình Desktop
bị thay đổi.
• Góc phải màn hình xuất hiện cảnh báo tam giác màu vàng: “Your
computer is infected”, hoặc xuất hiện cửa sổ “Virus Alert”…
• Các file lạ tự động sinh ra khi bạn mở ổ đĩa USB.
• Xuất hiện các file có phần mở rộng .exe có tên trùng với tên các
thư mục.
• …v…v.
 Con ngựa Thành Tơ-roa - Trojan Horse

• Điển tích: cuộc chiến giữa người Hy Lạp và người thành

Tơ-roa.
• Phương pháp trên cũng chính là cách mà các Trojan
máy tính áp dụng.
– Khác với virus, Trojan là một đoạn mã chương
trình HOÀN TOÀN KHÔNG CÓ TÍNH CHẤT LÂY LAN.
• Đầu tiên, kẻ viết ra Trojan bằng cách nào đó lừa đối
phương sử dụng chương trình của mình hoặc ghép
Trojan đi kèm với các virus (đặc biệt là các virus dạng
Worm) để xâm nhập, cài đặt lên máy nạn nhân.
• Đến thời điểm thuận lợi, Trojan sẽ ăn cắp thông tin
quan trọng trên máy tính của nạn nhân như số thẻ tín
dụng, mật khẩu... để gửi về cho chủ nhân của nó ở trên
mạng hoặc có thể ra tay xoá dữ liệu nếu được lập trình
trước.
 Con ngựa Thành Tơ-roa - Trojan Horse
• Bên cạnh các Trojan ăn cắp thông tin truyền thống, một số
Trojan mang tính chất riêng biệt như sau:
– Backdoor: Loại Trojan sau khi được cài đặt vào máy
nạn nhân sẽ tự mở ra một cổng dịch vụ cho phép kẻ tấn
công (hacker) có thể kết nối từ xa tới máy nạn nhân, từ
đó nó sẽ nhận và thực hiện lệnh mà kẻ tấn công đưa ra.
– Phần mềm quảng cáo bất hợp pháp (Adware) và phần
mềm gián điệp (Spyware) : Gây khó chịu cho người sử
dụng khi chúng cố tình thay đổi trang web mặc định
(home page), các trang tìm kiếm mặc định (search
page)… hay liên tục tự động hiện ra (popup) các trang
web quảng cáo khi bạn đang duyệt web.
 Sâu Internet – Worm
• Là loại chương trình có khả năng tự sao chép và tự gửi bản
sao chép đó từ máy này sang máy khác thông qua đường
truyền mạng. Tại máy nạn nhân, Worm sẽ thực thi các chức
năng theo ý đồ “xấu” của người tạo ra nó.
• Worm kết hợp cả sức phá hoại của virus, đặc tính âm thầm của
Trojan và hơn hết là sự lây lan đáng sợ mà những kẻ viết virus
trang bị cho nó để trở thành một kẻ phá hoại với vũ khí tối tân.
– VD: Mellisa hay Love Letter. Với sự lây lan đáng sợ theo
cấp số nhân, trong vài tiếng đồng hồ, đã có thể lây lan tới
hàng chục triệu máy tính trên toàn cầu
 làm tê liệt hàng loạt hệ thống máy chủ, làm ách tắc đường
truyền Internet.
 Sâu Internet – Worm

• Cái tên của nó, Worm hay "Sâu Internet" cho ta hình
dung ra việc những con virus máy tính "bò" từ máy tính
này qua máy tính khác trên các "cành cây" Internet
• Để tự nhân bản, Worm sử dụng một số cơ chế mạng
thông thường, VD:
– E-mail: worm tự gửi bản copy của nó qua e-mail.
– Khả năng thực thi từ xa: thực thi bản copy của nó
trên một hệ thống khác.
– Khả năng đăng nhập từ xa: đăng nhập từ xa vào một
hê thống như một user, sau đó nó tự sử dụng lệnh để
copy bản thân nó vào hệ thống nạn nhân…
 Sâu Internet – Worm
• Worm thường được cài thêm nhiều tính năng đặc biệt.
– khả năng định cùng một ngày giờ và đồng loạt từ các máy
nạn nhân (hàng triệu máy) tấn công vào một địa chỉ nào đó.
– Mang theo các BackDoor thả lên máy nạn nhân, cho phép
chủ nhân của chúng truy nhập vào máy của nạn nhân và
làm đủ mọi thứ như ngồi trên máy đó một cách bất hợp
pháp.
• Ngày nay, khái niệm Worm đã được mở rộng, bao gồm:
– Các virus lây lan qua mạng chia sẻ ngang hàng.
– Các virus lây lan qua USB hay dịch vụ “chat”
– Các virus khai thác các lỗ hổng phần mềm để lây lan.
 Các biện pháp phòng chống virus?

• “Phòng chống hơn là sửa chữa” là quy tắc vàng.

– chọn một phần mềm diệt virus tốt để cài đặt và sử dụng
thường xuyên, lâu dài cho máy tính của mình. Phần mềm
diệt virus tốt phải đáp ứng 3 tiêu chí:
• có bản quyền,
• cập nhật phiên bản mới thường xuyên,
• có hỗ trợ kỹ thuật trực tiếp từ nhà sản xuất khi có sự cố
liên quan tới virus.
– ???????????
Chương 4: Gia cố hệ thống

(System Hardening)
 Gia cố hệ thống là gì?

• Gia cố hệ thống:
– Là tiến trình theo từng bước để làm cho hệ thống an toàn
nhằm chống lại các truy cập trái phép, đồng thời giúp cho
hệ thống đáng tin cậy hơn.
• Gia cố hệ thống gồm:
– Gia cố hệ điều hành.
– Gia cố hệ thống mạng.
– Gia cố ứng dụng.
 Tại sao phải gia cố hệ thống?

• Tính toàn vẹn của dữ liệu được đảm bảo.

• Khi hiệu suất cải tiến giúp ta rút ra được kinh nghiệm về việc
nhận biết các dịch vụ không cần thiết; phát hiện được cấu
hình hệ thống thiếu hiệu quả.
• Nếu có một lỗi hệ thống, bạn có thể phục hồi nhanh hơn ->
giảm tối đa thiệt hại khi có sự cố xảy ra.
• Danh tiếng của công ty được bảo vệ (các công ty cho thuê
server, thuê host…).
 Các bước chính khi gia cố hệ thống
• Bước 1: Đảm bảo rằng phần cứng đó được mạnh mẽ
– Nó phải đủ mới để được coi là đáng tin cậy.
– Xác định các liên kết yếu và có biện pháp tăng cường (đĩa
dự phòng, máy chủ clustering v..v).
– Đảm bảo môi trường là máy tính thân thiện (khí hậu, vị trí
v..v).
– Cung cấp bảo mật vật lý để loại bỏ giả mạo hoặc trộm cắp.
 Các bước chính khi gia cố hệ thống
• Bước 2: Chọn và cài đặt một hệ điều hành vững chắc
– Hệ điều hành mới chưa được thăm dò ồ ạt của tin tặc. Hệ
điều hành đáng tin cậy.
– Có những tính năng quan trọng gồm khả năng hỗ trợ các
biện pháp chịu đựng lỗi như hỗ trợ UPS, đĩa RAID , logging,
và kiểm soát truy cập (đăng nhập, xác thực và bảo vệ file).
– Hệ điều hành chỉ hỗ trợ dịch vụ cần thiết.
– Vô hiệu hoá không cần thiết giao thức và hệ thống con.
– Hủy bỏ, vô hiệu hóa, hoặc đổi tên gọi các tài khoản "mục
tiêu“.
Các bước chính khi gia cố hệ thống
– Yêu cầu xác thực mạnh mẽ để truy cập từ xa và từ nội bộ.
– Quản lý chặt chẽ người dùng và các nhóm để kiểm soát
các quyền không thích hợp.
– Kích hoạt tính năng kiểm toán để theo dõi sự kiện quan
trọng.
– Cài đặt một tường lửa bên thứ 3 và theo dõi các bản ghi
(logs).
– Áp dụng tất cả bản sữa chữa (hot-fixes), bản vá lỗi
(patches) và gói dịch vụ (and service packs) có liên quan.
 Các bước chính khi gia cố hệ thống
• Bước 3: Cài đặt và cấu hình hệ thống tập tin
– Cấu hình Access Control Lists (ACL) để loại bỏ quyền mạnh
mẽ và không thích hợp (nhất là Privilege).
– Kích hoạt tính năng kiểm toán để theo dõi sự kiện quan
trọng.
– Bắt đầu bằng cách khóa chặt các thư mục và sau đó cung
cấp quyền điều khiển truy cập cho từng nhóm sử dụng
(user groups).
– Truy cập cho những người sử dụng cụ thể chỉ nên được
thực hiện trên cơ sở ngoại lệ.
 Các bước chính khi gia cố hệ thống
• Bước 4: Cấu hình ứng dụng / dịch vụ
– Chỉ cài đặt các ứng dụng và dịch vụ cần thiết.
– Chỉ cài đặt phần mềm đã thử nghiệm và được phê duyệt.
– Hủy bỏ hoặc vô hiệu hóa các ứng dụng không cần thiết và
dịch vụ được cài đặt theo mặc định - loại bỏ các tập tin
nếu có thể.
– Đặt điều khiển truy cập trong các ứng dụng / dịch vụ, nếu
có.
– Áp dụng tất cả bản sữa chữa (hot-fixes), bản vá lỗi
(patches) và gói dịch vụ (and service packs) có liên quan.
– Xóa đi một vài dữ liệu mẫu (các kịch bản, mẫu trang web,
vv).
 Các bước chính khi gia cố hệ thống
• Bước 5. Cấu hình máy chủ bên applets / script
– Chỉ cài đặt các ứng dụng thiết yếu, các applet và các kịch
bản.
– Cài đặt thử nghiệm và chỉ được phê duyệt phần mềm.
– Xác minh rằng các applet và các kịch bản chỉ có chức năng
thực hiện dự định của mình.
– Áp dụng tất cả bản sữa chữa (hot-fixes), bản vá lỗi (patches)
và gói dịch vụ (and service packs) có liên quan..
Chương 5: Xác thực
(Authentication)
 Xác thực (Authentication) là gì ?

• Là một quy trình nhằm cố gắng xác minh nhận dạng số

(digital identity) của nơi gửi thông tin đi (sender) trong
giao thông liên lạc.
– VD: xác thực một yêu cầu đăng nhập từ user.
• Nơi gửi thông tin cần phải xác thực có thể là:
– một người dùng sử dụng một máy tính
– bản thân một máy tính
– một chương trình ứng dụng máy tính (computer
program).
 Các nhân tố xác thực
• Những cái mà người dùng sở hữu bẩm sinh
– VD: vết lăn tay, mẫu hình võng mạc mắt, chuỗi DNA, mẫu
hình về giọng nói sự xác minh chữ ký, tín hiệu sinh điện đặc
hữu do cơ thể sống tạo sinh (unique bio-electric signals),
hoặc những biệt danh sinh trắc (biometric identifier)
• Những cái gì người dùng có
– VD: chứng minh thư (ID card), chứng chỉ an ninh (security
token), chứng chỉ phần mềm (software token) hoặc
điện thoại di động (cell phone)
• Những gì người dùng biết
– VD: mật khẩu, hoặc số định danh cá nhân (personal
identification number - PIN))
 Một số phương thức xác thực phổ biến
• Xác thực dựa trên User Name và Password
– Là cách xác thực cơ bản nhất.
– Cơ chế: Với kiểu xác thực này, chứng từ ủy nhiệm
User được đối chiếu với chứng từ được lưu trữ trên
database hệ thống, nếu trùng khớp username và
password, thì user được xác thực và nếu không User
bị cấm truy cập.
– Phương thức này không bảo mật lắm vì chứng từ xác
nhận User được gửi đi xác thực trong tình trạng plain
text, tức không được mã hóa và có thể bị tóm trên
đường truyền.
 Một số phương thức xác thực phổ biến

• Challenge Handshake Authentication Protocol (CHAP)

– Là mô hình xác thực dựa trên user name/password.
– Cơ chế:
• B1: Khi user cố gắng log on, server đảm nhiệm vai
trò xác thực sẽ gửi một thông điệp thử thách
(challenge message) trở lại máy tính User.
• B2: Lúc này máy tính User sẽ phản hồi lại user
name và password được mã hóa.
• B3: Server xác thực sẽ so sánh phiên bản xác thực
User được lưu giữ với phiên bản mã hóa vừa nhận
, nếu trùng khớp, user sẽ được authenticated.
 Một số phương thức xác thực phổ biến

– Bản thân Password không bao giờ được gửi qua

network.
– Phương thức CHAP thường được sử dụng khi User
logon vào các remote servers của cty chẳng hạn như
RAS server.
– Dữ liệu chứa password được mã hóa gọi là password
băm (hash password). Một gói băm là một loại mã
hóa không có phương cách giải mã.
 Một số phương thức xác thực phổ biến
• Kerberos
– Kerberos authentication dùng một Server trung tâm để
kiểm tra việc xác thực user và cấp phát thẻ thông hành
(service tickets) để User có thể truy cập vào tài nguyên.
– Kerberos là một phương thức rất an toàn trong
authentication bởi vì dùng cấp độ mã hóa rất mạnh.
Kerberos cũng dựa trên độ chính xác của thời gian xác
thực giữa Server và Client Computer, do đó cần đảm
bảo có một time server hoặc authenticating servers
được đồng bộ time từ các Internet time server.
– Kerberos là nền tảng xác thực chính của nhiều OS như
Unix, Windows
 Một số phương thức xác thực phổ biến
• Tokens
– Tokens là phương tiện vật lý như các thẻ thông minh (smart
cards) hoặc thẻ đeo của nhân viên (ID badges) chứa thông tin
xác thực.
– Tokens có thể lưu trữ số nhận dạng cá nhân-personal
identification numbers (PINs), thông tin về user, hoặc
passwords.
– Các thông tin trên token chỉ có thể được đọc và xử lý bởi các
thiết bị đặc dụng,
• ví dụ: thẻ smart card được đọc bởi đầu đọc smart card gắn
trên Computer, sau đó thông tin này được gửi đến
authenticating server. Tokens chứa chuỗi text hoặc giá trị số
duy nhất thông thường mỗi giá trị này chỉ sử dụng một lần.
 Một số phương thức xác thực phổ biến

• Biometrics (phương pháp nhận dạng sinh trắc học)

– Là mô hình xác thực dựa trên đặc điểm sinh học của
từng cá nhân.
• VD: Quét dấu vân tay (fingerprint scanner), quét võng mạc
mắt (retinal scanner), nhận dạng giọng nói (voice-
recognition),nhận dạng khuôn mặt (facerecognition).
– Vì nhận dạng sinh trắc học hiện rất tốn kém chi phí
khi triển khai nên không được chấp nhận rộng rãi như
các phương thức xác thực khác.
 Một số phương thức xác thực phổ biến

• Multi-Factor Authentication (xác thực dựa trên nhiều

nhân tố kết hợp)
– Là mô hình xác thực yêu cầu kiểm tra ít nhất 2 nhân tố
xác thực. Có thể đó là sự kết hợp của bất cứ nhân tố
nào ví dụ như: bạn là ai, bạn có gì chứng minh, và
bạn biết gì ?
– Ví dụ: Cần phải đưa thẻ nhận dạng vào đầu đọc và
cho biết tiếp password là gì
•
 Một số phương thức xác thực phổ biến

• Mutual Authentication (xác thực lẫn nhau)

– là kỹ thuật bảo mật mà mỗi thành phần tham gia giao
tiếp với nhau kiểm tra lẫn nhau.
– Trước hết Server chứa tài nguyên kiểm tra “giấy phép
truy cập” của client và sau đó client lại kiểm tra “giấy
phép cấp tài nguyên” của Server.
– Điều này giống như khi bạn giao dịch với một Server
của bank, bạn cần kiểm tra Server xem có đúng của
bank không hay là một cái bẫy của hacker giăng ra, à
ngược lại Server bank sẽ kiểm tra bạn…
Chương 6: Mật mã
(Crytography)

Gậy mật mã của người Hy Lạp là một

trong những dụng cụ đầu tiên trong ngành
mật mã hoá
 Giới thiệu về mật mã
• Mật mã học
– Là một lĩnh vực liên quan với các kỹ thuật ngôn ngữ và
toán học để đảm bảo an toàn thông tin, cụ thể là trong
thông tin liên lạc.
– Về phương diện lịch sử, mật mã học gắn liền với quá trình
mã hóa và giải mã (thám mã)
• Mã hóa:
– Là các cách thức để chuyển đổi thông tin từ dạng thông
thường có thể nhận thức được thành dạng không thể
nhận thức được
– làm cho thông tin trở thành dạng không thể đọc được nếu
như không có mật mã.
 Giới thiệu về mật mã

– Lĩnh vực có liên quan với mã hóa là steganography

• là lĩnh vực nghiên cứu về việc che giấu sự tồn tại của
thông điệp mà không nhất thiết phải che giấu nội dung của
thông điệp đó
• Ví dụ: mực không màu.
• Thám mã
– là tìm những điểm yếu hoặc không an toàn trong
phương thức mật mã hóa.
– Thám mã có thể được thực hiện bởi những kẻ tấn
công ác ý, nhằm làm hỏng hệ thống; hoặc bởi những
người thiết kế ra hệ thống (hoặc những người khác)
với ý định đánh giá độ an toàn của hệ thống.
 Các phương pháp mã hóa
• Mã hóa đối xứng:
– là một dạng mật mã hóa cho phép người sử dụng
trao đổi các thông tin mật thông qua khóa chung
bí mật trước đó.
– dùng cùng một key cho mã hóa và giải mã
 Các phương pháp mã hóa
• Nền tảng mật mã học khác đôi khi cũng được phân loại
như là mật mã học khóa đối xứng:
– Các hàm băm mật mã
• Sản sinh ra sự băm thông điệp.
• Rất dễ tính toán nhưng nó lại rất khó để đảo ngược
– giải mã (hàm một chiều)
• VD: MD5 và SHA-1 là các hàm băm nổi tiếng nhất.
– MAC (mã xác thực thông điệp)
• Là hàm băm có khóa, tương tự như các hàm băm,
ngoại trừ việc cần có khóa để tính toán việc băm.
• Được sử dụng rộng rãi để xác thực thông điệp.
 Các phương pháp mã hóa

– Mã hóa khóa đối xứng có một số trở ngại không

thuận tiện:
• hai người muốn trao đổi các thông tin bí mật cần
phải chia sẻ khóa bí mật.
• Khóa cần phải được trao đổi theo một cách thức
an toàn, mà không phải bằng các phương thức
thông thường vẫn dùng để liên lạc.
 mật mã hóa khóa công khai (hay khóa bất đối
xứng) được đưa ra như là một giải pháp thay thế.
 Các phương pháp mã hóa

• Mã hóa khóa công khai:

– Sử dụng hai khóa: khóa công khai (hay khóa công
cộng-public key) được phổ biến công khai và khóa bí
mật (hay khóa cá nhân-private key) được giữ bí mật .
– Khóa công khai dùng để mật mã hóa còn khóa bí mật
dùng để giải mật mã (cũng có thể thực hiện ngược
lại).
– Sử dụng Public/Private key authentification bạn có
thể tránh được:
• tấn công dò mật khẩu (bruce password scan)
• bảo vệ mật khẩu root
 Các phương pháp mã hóa

– Hệ thống mã hóa khóa công khai có thể sử dụng với

các mục đích:
• Mã hóa: giữ bí mật thông tin và chỉ có người có
khóa bí mật mới giải mã được.
• Tạo chữ ký số: cho phép kiểm tra một văn bản có
phải đã được tạo với một khóa bí mật nào đó hay
không (nhận thực).
– VD: Tí mã hóa văn bản với khóa bí mật của mình. Nếu
Tèo có thể giải mã với khóa công khai của Tí thì có thể
tin rằng văn bản thực sự xuất phát từ Tí.
• Thỏa thuận khóa: cho phép thiết lập khóa dùng
để trao đổi thông tin mật giữa 2 bên.
 Các phương pháp mã hóa

• Case study:
Alice và Bob trao đổi thông tin mật thông
qua hệ thống bưu chính. Alice cần gửi
một bức thư có nội dung cần giữ bí mật
tới cho Bob và sau đó nhận lại thư trả
lời (cũng cần giữ bí mật) từ Bob.
 Các phương pháp mã hóa

• Trong hệ thống mật mã hóa khóa đối xứng:

– Alice sẽ cho bức thư vào hộp và khóa lại rồi gửi hộp
theo đường bưu chính bình thường tới cho Bob.
– Khi Bob nhận được hộp, anh ta dùng một khóa giống
hệt như khóa Alice đã dùng để mở hộp, đọc thông tin
và gửi thư trả lời theo cách tương tự.
– Vấn đề đặt ra là Alice và Bob phải có 2 khóa giống
hệt nhau bằng một cách an toàn nào đó từ trước
(chẳng hạn như gặp mặt trực tiếp).
 Các phương pháp mã hóa

• Trong hệ thống mật mã hóa khóa bất đối xứng:

– Bob và Alice có hai khóa khác nhau.
– Đầu tiên, Alice yêu cầu Bob gửi cho mình khóa công
khai theo đường bưu chính bình thường và giữ lại
khóa bí mật.
– Khi cần gửi thư, Alice sử dụng khóa nhận được từ
Bob để khóa hộp.
– Khi nhận được hộp đã khóa bằng khóa công khai của
mình, Bob có thể mở khóa và đọc thông tin.
– Để trả lời Alice, Bob cũng thực hiện theo quá trình
tương tự với khóa của Alice.
 Các phương pháp mã hóa

• Ưu điểm mật mã hóa khóa bất đối xứng là:

– Bob và Alice không cần phải gửi đi khóa bí mật của mình.
– Điều này làm giảm nguy cơ một kẻ thứ 3 (chẳng hạn như một
nhân viên bưu chính biến chất) làm giả khóa trong quá trình vận
chuyển và đọc những thông tin trao đổi giữa 2 người trong
tương lai.
– Thêm vào đó, trong trường hợp Bob do sơ suất làm lộ khóa của
mình thì các thông tin do Alice gửi cho người khác vẫn giữ bí
mật (vì sử dụng các cặp khóa khác).
Chọn một số ngẫu nhiên lớn Dùng khoá công khai để mã hóa, nhưng
để sinh cặp kkhóa dùng khoá bí mật để giải mã.

Dùng khoá bí mật để ký một thông Tổ hợp khoá bí mật mình với khoá bí
báo;dùng khoá công khai để xác mật của người khác tạo ra khoá dùng
minh chữ ký. chung chỉ hai người biết.
 Chương 7: Mạng riêng ảo
(Virtual Personal Network-VPN)
 Giới thiệu

• Mạng riêng ảo – VPN (Virtual Private Network) là gì ?

– Là một mạng riêng sử dụng hệ thống mạng công cộng (thường là
Internet) để kết nối các địa điểm hoặc người sử dụng từ xa với một
mạng LAN ở trụ sở trung tâm.
– Không dùng kết nối thật khá phức tạp như đường dây thuê bao số,
VPN tạo ra các liên kết ảo được truyền qua Internet giữa mạng
riêng của một tổ chức với địa điểm hoặc người sử dụng ở xa.
• Giải pháp VPN:
– Thiết kế cho những tổ chức có xu hướng tăng cường thông tin từ
xa vì địa bàn hoạt động rộng (trên toàn quốc hay toàn cầu).
– Tài nguyên ở trung tâm có thể kết nối đến từ nhiều nguồn nên tiết
kiệm được được chi phí và thời gian.
 Giới thiệu

Một mạng VPN điển hình bao gồm:

1. Mạng LAN chính tại trụ sở (Văn phòng chính),
2. Các mạng LAN khác tại những văn phòng từ xa
3. Các điểm kết nối (như 'Văn phòng' tại gia) hoặc người sử dụng (Nhân
viên di động) truy cập đến từ bên ngoài.
 Các loại VPN phổ biến hiện nay
• Gồm hai loại :
– VPN truy cập từ xa (Remote-Access VPN)
– VPN điểm-nối-điểm (site-to-site VPN)
• Hầu hết các VPN dựa vào kỹ thuật Tunneling để tạo ra một mạng riêng
trên nền Internet.
– Là quá trình đặt toàn bộ gói tin vào trong một lớp header (tiêu đề) chứa thông tin
định tuyến có thể truyền qua hệ thống mạng trung gian theo những "đường ống"
riêng (tunnel).
– Kỹ thuật Tunneling yêu cầu 3 giao thức khác nhau:
• Giao thức truyền tải (Carrier Protocol): là giao thức được sử dụng bởi mạng có thông tin đang đi
qua.
• Giao thức mã hóa dữ liệu (Encapsulating Protocol): là giao thức (như GRE, IPSec, L2F, PPTP,
L2TP) được bọc quanh gói dữ liệu gốc.
• Giao thức gói tin (Passenger Protocol): là giao thức của dữ liệu gốc được truyền đi (như IPX,
NetBeui, IP).
 VPN điểm-nối-điểm (site-to-site VPN)

• Sử dụng mật mã dành cho nhiều người để kết nối nhiều điểm
cố định với nhau thông qua một mạng công cộng như
Internet.
• Giao thức mã hóa định tuyến GRE (Generic Routing
Encapsulation) cung cấp cơ cấu "đóng gói" giao thức gói tin
(Passenger Protocol) để truyền đi trên giao thức truyền tải
(Carier Protocol).
• Phân loại dựa trên Intranet hoặc Extranet.
– Loại dựa trên Intranet: Nếu một công ty có vài địa điểm từ xa
muốn tham gia vào một mạng riêng duy nhất, họ có thể tạo ra
một VPN intranet (VPN nội bộ) để nối LAN với LAN.
– Loại dựa trên Extranet: Khi một công ty có mối quan hệ mật thiết
với một công ty khác (ví dụ như đối tác cung cấp, khách
hàng...), họ có thể xây dựng một VPN extranet (VPN mở rộng)
kết nối LAN với LAN để nhiều tổ chức khác nhau có thể làm việc
trên một môi trường chung.
 VPN điểm-nối-điểm (site-to-site VPN)

Trong mô hình này, gói tin được chuyển từ một máy tính ở văn phòng chính
qua máy chủ truy cập, tới router (tại đây giao thức mã hóa định tuyến GRE-
Generic Routing Encapsulation diễn ra), qua Tunnel để tới máy tính của văn
phòng từ xa.
 VPN truy cập từ xa (Remote-Access VPN)

• Còn gọi là mạng Dial-up riêng ảo (VPDN).

• Dùng giao thức điểm-nối-điểm PPP (Point-to-Point Protocol)
• Là một kết nối người dùng-đến-LAN, xuất phát từ nhu cầu
của một tổ chức có nhiều nhân viên cần liên hệ với mạng
riêng của công ty mình từ rất nhiều địa điểm ở xa.
– Ví dụ:
• Công ty muốn thiết lập một VPN lớn phải cần đến một nhà cung cấp
dịch vụ doanh nghiệp (ESP).
• ESP này tạo ra một máy chủ truy cập mạng (NAS) và cung cấp cho
những người sử dụng từ xa một phần mềm máy khách cho máy tính
của họ.
• Sau đó, người sử dụng có thể gọi một số miễn phí để liên hệ với NAS
và dùng phần mềm VPN máy khách để truy cập vào mạng riêng của
công ty. Loại VPN này cho phép các kết nối an toàn, có mật mã.
 Bảo mật trong VPN

• Tường lửa (firewall): là rào chắn vững chắc giữa mạng

riêng và Internet.
– Có thể thiết lập các tường lửa để hạn chế số lượng
cổng mở, loại gói tin và giao thức được chuyển qua.
– Nên cài tường lửa thật tốt trước khi thiết lập VPN.
– VD: Một số sản phẩm dùng cho VPN như router 1700
của Cisco có thể nâng cấp để gộp những tính năng
của tường lửa bằng cách chạy hệ điều hành Internet
Cisco IOS thích hợp.
 Bảo mật trong VPN
• Giao thức bảo mật giao thức Internet (IPSec): cung cấp những tính
năng an ninh cao cấp như các thuật toán mã hóa tốt hơn, quá trình
thẩm định quyền đăng nhập toàn diện hơn.
– IPSec có hai cơ chế mã hóa là Tunnel và Transport. Tunnel mã
hóa tiêu đề (header) và kích thước của mỗi gói tin còn Transport
chỉ mã hóa kích thước.
– Những hệ thống có hỗ trợ IPSec mới có thể tận dụng được giao
thức này.
– Tất cả các thiết bị phải sử dụng một mã khóa chung và các tường
lửa trên mỗi hệ thống phải có các thiết lập bảo mật giống nhau.
– IPSec có thể mã hóa dữ liệu giữa nhiều thiết bị khác nhau như
router với router, firewall với router, PC với router, PC với máy
chủ.
 Bảo mật trong VPN

• Mật mã riêng (Symmetric-Key Encryption): Mỗi máy tính

đều có một mã bí mật để mã hóa gói tin trước khi gửi tới
máy tính khác trong mạng. Mã riêng yêu cầu bạn phải biết
mình đang liên hệ với những máy tính nào để có thể cài mã
lên đó, để máy tính của người nhận có thể giải mã được.
• Mật mã chung (Public-Key Encryption) kết hợp mã riêng và
một mã công cộng. Mã riêng này chỉ có máy của bạn nhận
biết, còn mã chung thì do máy của bạn cấp cho bất kỳ máy
nào muốn liên hệ (một cách an toàn) với nó. Để giải mã một
message, máy tính phải dùng mã chung được máy tính
nguồn cung cấp, đồng thời cần đến mã riêng của nó nữa.
 Máy chủ AAA

• AAA là viết tắt của ba chữ:

– Authentication (thẩm định quyền truy cập)
– Authorization (cho phép)
– Accounting (kiểm soát).
• Các server này được dùng để đảm bảo truy cập
an toàn hơn.
– Khi yêu cầu thiết lập một kết nối được gửi tới từ máy
khách, nó sẽ phải qua máy chủ AAA để kiểm tra.
– Các thông tin về những hoạt động của người sử dụng
là hết sức cần thiết để theo dõi vì mục đích an toàn.
 Sản phẩm công nghệ dành cho VPN

• Tùy vào loại VPN (truy cập từ xa hay điểm-nối-điểm),

bạn sẽ cần phải cài đặt những bộ phận hợp thành nào
đó để thiết lập mạng riêng ảo. Đó có thể là:
– Phần mềm cho desktop của máy khách dành cho
người sử dụng từ xa.
– Phần cứng cao cấp như bộ xử lý trung tâm VPN hoặc
firewall bảo mật PIX.
– Server VPN cao cấp dành cho dịch vụ Dial-up.
– NAS (máy chủ truy cập mạng) do nhà cung cấp sử
dụng để phục vụ người sử dụng từ xa.
– Mạng VPN và trung tâm quản lý.
Chương 8: Tường lửa

(Firewall)