Bài giảng An toàn mạng

 báo có chữ ký số từ bên gửi, kiểm tra 
tính hợp lệ của nó
– Bổ xung thông tin thời gian và gửi đến bên nhận
• An toàn phụ thuộc chủ yếu vào bên trọng tài
– Cần được bên gửi và bên nhận tin tưởng
• Có thể cài đặt với mã hóa đối xứng hoặc mã 
hóa khóa công khai
• Bên trọng tài có thể được phép nhìn thấy hoặc 
không nội dung thông báo
An toàn Mạng
Chương 5
AN TOÀN THƯ ĐIỆN TỬ
An toàn Mạng
Giới thiệu
• Thư điện tử là dịch vụ mạng phổ dụng nhất
• Hiện nay các thông báo không được bảo mật
– Có thể đọc được nội dung trong quá trình thông báo di 
chuyển trên mạng
– Những người dùng có đủ quyền có thể đọc được nội 
dung thông báo trên máy đích
– Thông báo dễ dàng bị giả mạo bởi một người khác 
– Tính toàn vẹn của thông báo không được đảm bảo
• Các giải pháp xác thực và bảo mật thường dùng
– PGP (Pretty Good Privacy)
– S/MIME (Secure/Multipurpose Internet Mail Extensions)
An toàn Mạng
PGP
• Do Phil Zimmermann phát triển vào năm 1991
• Chương trình miễn phí, chạy trên nhiều môi 
trường khác nhau (phần cứng, hệ điều hành)
– Có phiên bản thương mại nếu cần hỗ trợ kỹ thuật
• Dựa trên các giải thuật mật mã an toàn nhất
• Chủ yếu ứng dụng cho thư điện tử và file
• Độc lập với các tổ chức chính phủ
• Bao gồm 5 dịch vụ : xác thực, bảo mật, nén, 
tương thích thư điện tử, phân và ghép
– Ba dịch vụ sau trong suốt đối với người dùng 
An toàn Mạng
Xác thực của PGP
Nguồn A Đích B
So sánh
M = Thông báo gốc EP = Mã hóa khóa công khai
H = Hàm băm DP = Giải mã khóa công khai
║ = Ghép KRa = Khóa riêng của A
Z = Nén KUa = Khóa công khai của A
Z-1 = Cởi nén
An toàn Mạng
Bảo mật của PGP
Nguồn A Đích B
EC = Mã hóa đối xứng
DC = Giải mã đối xứng
Ks = Khóa phiên
An toàn Mạng
Nén của PGP
• PGP nén thông báo sử dụng giải thuật ZIP
• Ký trước khi nén
– Thuận tiện lưu trữ và kiểm tra, nếu ký sau khi nén thì
• Cần lưu phiên bản nén với chữ ký, hoặc
• Cần nén lại thông báo mỗi lần muốn kiểm tra
– Giải thuật nén không cho kết quả duy nhất
• Mỗi phiên bản cài đặt có tốc độ và tỷ lệ nén khác nhau
• Nếu ký sau khi nén thì các chương trình PGP cần sử dụng 
cùng một phiên bản của giải thuật nén
• Mã hóa sau khi nén
– Ít dữ liệu sẽ khiến việc mã hóa nhanh hơn
– Thông báo nén khó phá mã hơn thông báo thô
An toàn Mạng
Chương 6
AN TOÀN IP
An toàn Mạng
Giới thiệu
• Lý do cần IPSec
– Có những vấn đề an toàn cần giải quyết ở mức thấp 
hơn tầng ứng dụng
• Đặc biệt các hình thức tấn công ở tầng IP rất phổ biến như 
giả mạo IP, xem trộm gói tin
– An toàn ở mức IP sẽ đảm bảo an toàn cho tất cả các 
ứng dụng
• Bao gồm nhiều ứng dụng chưa có tính năng an toàn
• Các cơ chế an toàn của IPSec
– Xác thực
– Bảo mật
– Quản lý khóa
An toàn Mạng
Các ứng dụng của IPSec
• Xây dựng mạng riêng ảo an toàn trên Internet
– Tiết kiệm chi phí thiết lập và quản lý mạng riêng
• Truy nhập từ xa an toàn thông qua Internet
– Tiết kiệm chi phí đi lại
• Giao tiếp an toàn với các đối tác
– Đảm bảo xác thực, bảo mật và cung cấp cơ chế trao 
đổi khóa
• Tăng cường an toàn thương mại điện tử
– Hỗ trợ thêm cho các giao thức an toàn có sẵn của 
các ứng dụng Web và thương mại điện tử
An toàn Mạng
Minh họa ứng dụng IPSec
An toàn Mạng
Ích lợi của IPSec
• Tại tường lửa hoặc bộ định tuyến, IPSec đảm 
bảo an toàn cho mọi luồng thông tin vượt biên
• Tại tường lửa, IPSec ngăn chặn thâm nhập trái 
phép từ Internet vào
• IPSec nằm dưới tầng giao vận, do vậy trong 
suốt với các ứng dụng
• IPSec có thể trong suốt với người dùng cuối
• IPSec có thể áp dụng cho người dùng đơn lẻ
• IPSec bảo vệ an toàn kiến trúc định tuyến
An toàn Mạng
Kiến trúc an toàn IP
• Đặc tả IPSec khá phức tạp
• Định nghĩa trong nhiều tài liệu
– Bao gồm RFC 2401 (tổng quan kiến trúc), RFC 2402 
(mô tả mở rộng xác thực), RFC 2406 (mô tả mở rộng 
mã hóa), RFC 2408 (đặc tả khả năng trao đổi khóa)
– Các tài liệu khác được chia thành 7 nhóm
• Việc hỗ trợ IPSec là bắt buộc đối với IPv6, tùy 
chọn đối với IPv4
• IPSec được cài đặt như các phần đầu mở rộng 
sau phần đầu IP
– Phần đầu mở rộng cho xác thực là AH
– Phần đầu mở rộng cho mã hóa là ESP
An toàn Mạng
Tổng quan tài liệu IPSec
An toàn Mạng
Các dịch vụ IPSec
• Bao gồm
– Điều khiển truy nhập
– Toàn vẹn phi kết nối
– Xác thực nguồn gốc dữ liệu
– Từ chối các gói tin lặp
• Một hình thức của toàn vẹn thứ tự bộ phận
– Bảo mật (mã hóa)
– Bảo mật luồng tin hữu hạn
• Sử dụng một trong hai giao thức
– Giao thức xác thực (ứng với AH)
– Giao thức xác thực/mã hóa (ứng với ESP)
An toàn Mạng
Các liên kết an toàn
• Khái niệm liên kết an toàn (SA)
– Là quan hệ một chiều giữa bên gửi và bên nhận, cho 
biết các dịch vụ an toàn đối với luồng tin lưu chuyển
• Mỗi SA được xác định duy nhất bởi 3 tham số
– Chỉ mục các tham số an toàn (SPI)
– Địa chỉ IP đích
– Định danh giao thức an toàn
• Các tham số khác lưu trong CSDL SA (SAD)
– Số thứ tự, các thông tin AH và ESP, thời hạn,...
• CSDL chính sách an toàn (SPD) cho phép điều 
chỉnh mức độ áp dụng IPSec
An toàn Mạng
Phần đầu xác thực
• Đảm bảo toàn vẹn và xác thực các gói IP
– Cho phép một hệ thống đầu cuối hay một thiết bị 
mạng xác thực người dùng hoặc ứng dụng
– Tránh giả mạo địa chỉ
– Chống lại hình thức tấn công lặp lại
• Sử dụng mã xác thực thông báo
• Bên gửi và bên nhận phải có một khóa bí mật 
dùng chung
An toàn Mạng
Khuôn dạng AH
An toàn Mạng
Chế độ giao vận và đường hầm
An toàn Mạng
Phần đầu ESP
• Đảm bảo bảo mật nội dung và bảo mật luồng tin 
hữu hạn
• Có thể cung cấp các dịch vụ xác thực giống như 
với AH
• Cho phép sử dụng nhiều giải thuật mã hóa, 
phương thức mã hóa, và cách độn khác nhau
– DES, 3DES, RC5, IDEA, CAST,...
– CBC,...
– Độn cho tròn kích thước khối, kích thước trường, che 
dấu lưu lượng luồng tin
An toàn Mạng
Khuôn dạng ESP
An toàn Mạng
Giao vận và đường hầm ESP
• Chế độ giao vận ESP dùng để mã hóa và có thể 
có thêm chức năng xác thực dữ liệu IP
– Chỉ mã hóa dữ liệu không mã hóa phần đầu
– Dễ bị phân tích lưu lượng nhưng hiệu quả
– Áp dụng cho truyền tải giữa hai điểm cuối
• Chế độ đường hầm mã hóa toàn bộ gói tin IP
– Phải bổ xung phần đầu mới cho mỗi bước chuyển
– Áp dụng cho các mạng riêng ảo, truyền tải thông qua 
cầu nối
An toàn Mạng
Kết hợp các liên kết an toàn
• Mỗi SA chỉ có thể cài đặt một trong hai giao thức 
AH và ESP
• Để cài đặt cả hai cần kết hợp các SA với nhau
– Tạo thành một gói liên kết an toàn
– Có thể kết thúc tại các điểm cuối khác nhau hoặc 
giống nhau
• Kết hợp theo 2 cách
– Gần với giao vận
– Tạo đường hầm theo nhiều bước
• Cần xem xét thứ tự xác thực và mã hóa 
An toàn Mạng
Ví dụ kết hợp các SA
An toàn Mạng
Chương 7
AN TOÀN WEB
An toàn Mạng
Vấn đề an toàn Web (1)
• Web được sử dụng rộng rãi bởi các công ty, tổ 
chức, và các cá nhân
• Các vấn đề đặc trưng đối với an toàn Web
– Web dễ bị tấn công theo cả hai chiều
– Tấn công Web server sẽ gây tổn hại đến danh tiếng 
và tiền bạc của công ty
– Các phần mềm Web thường chứa nhiều lỗi an toàn
– Web server có thể bị khai thác làm căn cứ để tấn 
công vào hệ thống máy tính của một tổ chức
– Người dùng thiếu công cụ và kiến thức để đối phó với 
các hiểm họa an toàn
An toàn Mạng
Vấn đề an toàn Web (2)
• Các hiểm họa đối với an toàn Web
– Tính toàn vẹn
– Tính bảo mật
– Từ chối dịch vụ
– Xác thực
• Các biện pháp an toàn Web
An toàn Mạng
SSL
• Là một dịch vụ an toàn ở tầng giao vận
• Do Netscape khởi xướng
• Phiên bản 3 được công bố dưới dạng bản thảo 
Internet
• Trở thành chuẩn TLS
– Phiên bản đầu tiên của TLS ≈ SSLv3.1 tương thích 
ngược với SSLv3
• Sử dùng TCP để cung cấp dịch vụ an toàn từ 
đầu cuối tới đầu cuối
• Gồm 2 tầng giao thức
An toàn Mạng
Mô hình phân tầng SSL
An toàn Mạng
Kiến trúc SSL (1)
• Kết nối SSL
– Liên kết giao tiếp từ điểm nút tới điểm nút
– Mang tính nhất thời
– Gắn với một phiên giao tác
– Các tham số xác định trạng thái kết nối
• Các số ngẫu nhiên chọn bởi server và client
• Khóa MAC của server
• Khóa MAC của client
• Khóa mã hóa của server
• Khóa mã hóa client
• Các vector khởi tạo
• Các số thứ tự
An toàn Mạng
Kiến trúc SSL (2)
• Phiên SSL
– Liên kết giữa client và server
– Tạo lập nhờ giao thức bắt tay
– Có thể bao gồm nhiều kết nối
– Xác lập một tập các tham số an toàn sử dụng bởi tất 
cả các kết nối trong phiên giao tác
• Định danh phiên
• Chứng thực điểm nút
• Phương pháp nén
• Đặc tả mã hóa
• Khóa bí mật chủ
• Cờ có thể tiếp tục hay không
An toàn Mạng
Giao thức đổi đặc tả mã hóa SSL
• Một trong ba giao thức chuyên dụng SSL sử 
dụng giao thức bản ghi SSL
• Chỉ gồm một thông báo chứa một byte dữ liệu 
có giá trị là 1
• Khiến cho trạng thái treo trở thành trạng thái 
hiện thời
– Cập nhật đặc tả mã hóa cho kết nối
An toàn Mạng
Giao thức báo động SSL
• Dùng chuyển tải các báo động liên quan đến 
SSL tới các thực thể điểm nút
• Mỗi thông báo gồm 2 byte
– Byte thứ nhất chỉ mức độ nghiêm trọng
• Cảnh báo : có giá trị là 1
• Tai họa : có giá trị là 2
– Byte thứ hai chỉ nội dung báo động
• Tai họa : unexpected_message, bad_record_mac, 
decompression_failure, handshake_failure, illegal_parameter
• Cảnh báo : close_notify, no_certificate, bad_certificate, 
unsupported_certificate, certificate_revoked, 
certificate_expired, certificate_unknown
An toàn Mạng
Giao thức bắt tay SSL
• Cho phép server và client
– Xác thực lẫn nhau
– Thỏa thuận các giải thuật mã hóa và MAC
– Thỏa thuận các khóa mật mã sẽ được sử dụng
• Gồm một chuỗi các thông báo trao đổi giữa 
client và server
• Mỗi thông báo gồm 3 trường
– Kiểu (1 byte)
– Độ dài (3 byte)
– Nội dung ( 0 byte)
An toàn Mạng
TLS
• Là phiên bản chuẩn Internet của SSL
– Mô tả trong RFC 2246 rất giống với SSLv3
– Một số khác biệt nhỏ so với SSLv3
• Số phiên bản trong khuôn dạng bản ghi SSL
• Sử dụng HMAC để tính MAC
• Sử dụng hàm giả ngẫu nhiên để khai triển các giá 
trị bí mật
• Có thêm một số mã báo động
• Không hỗ trợ Fortezza
• Thay đổi trong trao đổi chứng thực
• Thay đổi trong việc sử dụng dữ liệu đệm