Các tập giải pháp an ninh mạng cho WLAN Hiện nay có rất nhiều công nghệ an ninh mạng. Quá trình mật mã hoá dữ liệu sử dụng một mã riêng, làm cho dữ liệu thành bí mật với tất cả người sử dụng ngoại trừ một người sử dụng có một máy thu định trước. Quá trình nhận thực nhận dạng người sử dụng và máy tính – nó là quá trình thẩm tra độ tin cậy của một vài người sử dụng hoặc một vài thành phần mạng. Có nhiều tiêu chuẩn và phương pháp áp dụng được đối với mỗi một trong số các công nghệ nói trên với các mức độ bảo vệ và tương hỗ thay đổi theo từng loại. Chúng có thể được sử dụng như là các khối kiến trúc cơ sở trong cơ sở hạ tầng an ninh mạng. Một ứng dụng an ninh mạng hiệu quả là sử dụng mạng riêng ảo (VPN), VPN kết hợp mã hoá và nhận thực cùng với các giao thức bổ sung. Các mạng VPN xây dựng một “bức tường” giữa mạng riêng và thế giới bên ngoài, ẩn đi thông tin và bảo vệ mạng vì thế mà người sử dụng không được phép không có khả năng đọc hay sửa đổi thông tin. Các ứng dụng VPN cho phép bảo vệ hiệu quả trong môi trường mạng WLAN và mạng công cộng. Khi không có các cơ chế an ninh mạng thích hợp, người sử dụng không thể chắc chắn là ai đang đọc dữ liệu của họ hoặc đang điều tra về mạng nội bộ của họ. NETGEAR hỗ trợ tất cả các khả năng an ninh mạng với khả năng hỗ trợ phần cứng khi thích hợp, cho phép một vài trong số hầu hết các lựa chọ an ninh mạng và hiệu năng cao để đảm bảo an ninh cho mạng WLAN. B1, Mã hoá Quá trình mã hoá đảm bảo dữ liệu bí mật và làm cho dữ liệu trở nên vô nghĩa đối với bất cứ ai không có quyền đọc. Quá trình mã hoá là việc chuyển đổi dữ liệu và một khuôn dạng mà người sử dụng không được phép thì không thể hiểu được một cách dễ dàng. Dữ liêu được mã hoá bằng một thuật toán hay một khóa. Quá trình giải mã là việc biến đổi dữ liệu đã mã hoá trở lại dạng ban đầu vì thế nó trở nên dễ hiểu đối với người sử dụng. Để phục hồi nội dung dữ liệu đã được mã hoá, yêu cầu có một khoá giải mã chính xác. Hầu hết các quá trình mã hoá sử dụng trên các mạng máy tính được thực hiện bằng một mã khóa dùng chung. Mỗi người sử dụng có một khoá chung, khoá này là chung cho tất cả các người sử dụng khác, và một khoá riêng được giữ bí mật. Các cặp khoá (chung-riêng) này được kết nối với nhau về mặt toán học, cho phép người sử dụng mã hoá và giải mã dữ liệu, trong khi giấu kín dữ liệu đối với những người sử dụng khác. Thuật toán mã hoá càng phức tạp thì khả năng bị nghe trộm càng khó khi người sử dụng không truy nhập vào khoá được. Để việc mã hóa hiệu quả, chức năng an ninh mạng phải tối thiểu hoá việc tái sử dụng các khoá mật mã bằng cách thường xuyên thay đổi chúng – một vài sơ đồ mã hoá thay đổi khoá 30s một lần. B2, Giao thức WEP Giao thức bảo mật tương ứng hữu tuyến WEP cung cấp hầu hết khả năng an ninh thông qua quá trình mật mã hoá vô tuyến cơ sở. Trong một số trường hợp, WEP đủ để bảo vệ quyền truy nhập mạng vô tuyến trong phạm vi một căn nhà hoặc các người sử dụng thương mại quy mô nhỏ. Giao thức WEP được xác định để đạt được ba mục tiêu an ninh mạng: • Tính bí mật: quá trình mã hoá ngăn ngừa khả năng nghe trộm ngẫu nhiên; • Điều khiển truy nhập: nhận thực và bảo vệ quyền truy nhập tới một cơ sở hạ tầng mạng WLAN; • Tính toàn vẹn dữ liệu: quá trình tổng kiểm tra ngăn ngừa việc xâm phạm các bản tin phát đi. WEP cho phép các mức độ mã hoá khác nhau, từ 40 đến 128 bit đối với 802.11b và 802.11g, và lên đến 152 bit đối với 802.11a. Nhiều bit tương ứng với mức độ an ninh tốt hơn bởi vì một khoá dài hơn cần nhiều cố gắng hơn để phá khoá. WEP không hỗ trợ quản lý khoá, là khả năng chuyển đổi tự động của các khoá mật mã hoá giữa khách hàng (người dùng) và các điểm truy nhập AP. Để duy trì khả năng an ninh hiệu quả, WEP yêu cầu các khoá phải được thay đổi bằng tay. Quá trình này rất mất thời gian nhất là trong các môi trường lớn. Các cơ chế an ninh mạnh hơn như IPSec và VPN hỗ trợ khả năng quản lý khoá tự động. B3, Các tiêu chuẩn mã hoá dữ liệu Một số kỹ thuật mã hoá dựa trên chuẩn IPSec: • Chuẩn mã hoá dữ liệu DES: DES là một tiêu chuẩn mã hoá đã có từ lâu, nhưng hiện nay nó được xem là kém hiệu quả. Để trở nên hiệu quả hơn nó phải có độ dài khoá là 56 bit (tức là có một khoá 64 bit với 8 bit chẵn lẻ). • DES 3 lần 3DES: là việc sử dụng DES 3 lần với 3 khóa khác nhau. Trong thực tế, 3DES gần gấp đôi độ dài khoá hiệu quả của DES. Kích thước khoá là 192 bit. • Tiêu chuẩn mã hoá tiên tiến AES: Kích thước khóa AES có thể đặt là 128, 192 hay 256 bit. Trong khi chiều dài khoá lớn hơn có nghĩa là an ninh tốt hơn, song chúng cũng yêu cầu công suất xử lý nhiều hơn. Người ta muốn chuẩn 802.11i có chứa giao thức AES. Điểm mạnh của AES là có thể yêu cầu một bộ đồng xử lý hoạt động thật hiệu quả. Viện nghiên cứu quốc gia về các tiêu chuẩn và công nghệ thuộc Bộ Thương mại Mỹ (NIST) chọn AES để thay thế cho DES đã có từ lâu. Hiện nay AES là bản công bố về tiêu chuẩn xử lý thông tin liên bang FIPS 197 nó xác định một thuật toán mã hoá sử dụng cho các tổ chức nhà nước ở Mỹ để bảo vệ các thông tin nhạy cảm và các thông tin thông thường. Phòng thương mại đã phê chuẩn việc lựa chon AES như là một chuẩn nhà nước chính thức vào tháng 5/2002. B4, Nhận thực Nhận thực là một cơ chế nhận dạng người sử dụng hoặc dịch vụ dựa trên một tiêu chí cho trước. Đó là quá trình xác định ai hay cái gì có đúng như chúng được khai báo hay không. Các hệ thống nhận thực biến đổi từ hệ thống có cặp tên người sử dụng – mật khẩu đơn giản, cho đến hệ thống dò tìm – đáp ứng phức tạp hơn như là các card thông minh và các thiết bị sinh trắc học. Các giao dịch trên mạng thường yêu cầu một quá trình nhận thực chặt chẽ hơn cách nhận thực theo tên người sử dụng và mật khẩu đơn giản. Việc sử dụng các “chứng chỉ” số được công bố và kiểm tra bởi CA nội bộ hoặc CA phần 3 khi một phần trong hạ tầng khoá công cộng PKI được chấp nhận để sử dụng như một phương pháp thực hành an ninh mạng hiệu quả. B5, Lớp khe cắm an ninh SSL SSL cho phép các quá trình nhận thực, không từ chối khách hàng và server, bảo vệ tính toàn vẹn dữ liệu, mật mã hoá quá trình truyền dẫn. Khách hàng và server thảo thuận và thiết lập một mức mã hoá có thể chấp nhận được lên đến 128 bit. Không giống như IPSec, SSL không yêu cầu phần tiêu đề xác định mức an ninh giống như quản lý khoá và mật mã hoá dữ liệu đối với mọi lưu lượng, SSL rất phù hợp cho các phiên Ad-Hoc (các phiên độc lập). SSL nằm giữa lớp ứng dụng và lớp TCP/IP trong ngăn xếp giao thức mạng, cung cấp khả năng ứng dụng trong suốt hỗ trợ cho SSL và các đặc tính của nó. SSL là một chuẩn sử dụng trong các trình duyệt Web, và nhiều Website sử dụng giao thức này để đảm bảo bí mật thông tin của người sử dụng ví dụ như số thẻ tín dụng. B6, Lọc địa chỉ MAC (hay danh sách điều khiển truy nhập) Chuẩn 802.11 xác định một thiết bị có số địa chỉ MAC (điều khiển truy nhập mổi trường) cho bởi nhà sản xuất. Định dang MACID là một thành phần sử dụng để nhận thực một người dùng khi đi vào mạng – nó nhận dạng dịch vụ khách hàng của người sử dụng. Các nhà quản trị hệ thống có thể thiết lập một bảng kết nối với điểm truy nhập chỉ chấp nhận các địa chỉ MAC nhất đinh và lọc bỏ các địa chỉ khác ra khỏi mạng. Tuy nhiên, việc lập trình các địa chỉ MAC của những người sử dụng hợp lệ vào trong các điểm truy nhập của một công ty lớn là một việc làm khó khăn và nó không được sử dụng để duy trì trong các mạng biến đổi liên tục. Khi áp dụng cho các mạng quy mô nhỏ nó tỏ ra rất hiệu quả. B7, Giao thức nhận thực mở rộng (EAP) EAP là cơ sở để cung cấp khả năng nhận thực tập trung hoá và phân bố khóa động. Nó cho phép các bộ thích ứng khách hàng vô tuyến, các bộ thích ứng này hỗ trợ các kiểu nhận thực khác nhau, truyền thông với các server kết cuối khác nhau giống như RADIUS - dịch vụ người sử dụng quay số nhận thực từ xa. EAP là một giao thức tổng quát sử dụng cho nhận thực có thể hỗ trợ các phương pháp nhận thực khác nhau, và các card thông minh. Khi sử dụng cùng với 802.1x, nó cho phép nhận thực từ đầu cuối – đến – đầu cuối, một khách hàng vô tuyến kết hợp với một điểm truy nhập có thể đạt được quyền truy nhập vào mạng cho đến khi người sử dụng thực hiện quá trình đăng nhập vào mạng. Trong các quá trình truyền thông vô tuyến sử dụng EAP, một người sử dụng yêu cầu kết nối tới một mạng WLAN thông qua một điểm truy nhập, điểm truy nhập này sau đó yêu cầu định danh người sử dụng và phát thông tin định danh tới một server nhận thực, như là RADIUS chẳng hạn. Server này hỏi điểm truy nhập về nguồn gốc của quá trình định danh mà điểm truy nhập thu được từ người sử dụng và sau đó gửi trở lại cho server để hoàn tất một quá trình nhận thực. EAP thực hiện nhận thực hai chiều-mỗi một phía được nhận thực cần chứng tỏ định danh của nó với phía kia sử dụng chứng chỉ và khoá riêng của nó. Khi cả khách hàng và server nhận thực được mỗi bên an ninh mạng sẽ được đảm bảo hơn. Ví dụ, EAP bảo vệ chống lại các tấn công bởi con người và tấn công theo kiểu dò tìm. B8, 802.1x 802.1x cho phép các khả năng đăng nhập vào mạng giữa các PC và hạ tầng mạng bên ngoài. Nó cho phép một kiến trúc cơ sở thực hiện các sơ đồ nhận thực khác nhau. 802.1x cung cấp khả năng mã hoá, và nó không phải là lựa chọn thay thế cho WEP, 3DES, AES, hay bất cứ quá trình mã hoá nào khác. 802.1x không tập trung vào việc nhận thực và quản lý khoá, vì thế nó có thể được sử dụng khi kết hợp với một mã khác. 802.1x không phải là phương pháp nhận thực đơn lẻ mà hơn thế nó sử dụng EAP như là cơ sở nhận thực của nó. Điều này có nghĩa là 802.1x cho phép các chuyển mạch và điểm truy nhập có thể hỗ trợ một số lượng lớn các phương pháp nhận thực, bao gồm nhận thực dựa trên chứng chỉ, các card thông minh, các thẻ (token), các mật khẩu dùng một lần,…802.1x hỗ trợ các tiêu chuẩn mở rộng sử dụng cho nhận thực, cấp phép và thanh toán (bao gồm RADIUS và LDAP) vì thế nó hoạt động cùng với hạ tầng hiện có để quản lý người sử dụng từ xa và người sử dụng di động. Khi kết hợp với một giao thức nhận thực như EAP-TLS, LEAP, hay EAP-TTLS, 802.1x cho phép khả năng điều khiển truy nhập và nhận thực hai chiều thực hiện trên các cổng giữa khách hàng và điểm truy nhập thông qua một server nhận thực. Microsoft hỗ trợ 802.1x trong Windows XP, và trong tất cả các sản phẩm WLAN của NETGEAR. B9, Nhận thực VPN là ứng dụng nổi bật nhất hiện nay cho an ninh mạng WLAN bởi vì nó kết hợp được hai quá trình mã hóa và nhận thực. Người sử dụng thiết lập một đường ống an ninh tới điểm truy nhập vô tuyến với một thủ tục đăng nhập sử dụng mật khẩu và tên người sử dụng. Tất cả các sản phẩm không dây của NETGEAR đều hỗ trợ VPN. B10, Mạng riêng ảo Một mạng VPN tạo ra một mạng riêng trong một môi trường truy nhập chung giống như một mạng WLAN. Nó cho phép truyền thông riêng biệt giữa những người sử dụng, các văn phòng ở xa, và các tổ chức thương mại. Một mạng VPN hoạt động bằng cách duy trì khả năng bảo mật thông qua các thủ tục đảm bảo an ninh bao gồm mật mã hoá, khoá, nhận thực và các giao thức tạo đường ống. Các giao thức này kiểm tra người sử dụng và server, mã hoá dữ liệu ở phía phát và giải mã nó ở phía thu. VPN tạo ra một đường ống mà các dữ liệu hoặc người sử dụng không được mã hoá và nhận thực một cách hợp lệ không thể đi vào đường ống này. VPN sử dụng các giao thức an ninh giống như IPSec, giao thức đường ống lớp 2 (L2TP) và giao thức đường ống từ điểm- đến- điểm (PPTP). VPN sử dụng các giao thức mã hoá giống như 3DES và AES, các giao thức này tỏ ra hiệu quả hơn khi sử dụng trong WEP. VPN là một giải pháp hiệu quả, nó cho phép người sử dụng vô tuyến hợp lệ kết nối an toàn từ mọi vị trí. Nó trong suốt với các ứng dụng. . Các tập giải pháp an ninh mạng cho WLAN Hiện nay có rất nhiều công nghệ an ninh mạng. Quá trình mật mã hoá dữ liệu sử dụng một mã riêng, làm cho dữ. phần cứng khi thích hợp, cho phép một vài trong số hầu hết các lựa chọ an ninh mạng và hiệu năng cao để đảm bảo an ninh cho mạng WLAN. B1, Mã hoá Quá trình