Bảo mật lưu lượng mạng không dây – Phần 1

Quản trị mạng – Trong loạt bài này chúng tôi sẽ giới thiệu cho các bạn một số kỹ thuật bảo mật mạng Wi-Fi. Phần đầu tiên trong loạt bài này sẽ giúp các bạn hiểu được các lỗ hổng có liên quan với các mạng không dây.

Mặc dù các hệ thống Wi-Fi đã xuất hiện khá lâu nhưng vẫn còn rất nhiều người phân vân về vấn đề bảo mật và riêng tư trong quá trình sử dụng hệ thống kết nối mạng kiểu này, có hai câu hỏi chính ở đây là:

Do vẫn còn có rất nhiều câu hỏi kiểu như vậy nên chúng tôi muốn dành loạt bài viết này để nói về những rủi ro liên quan đến việc sử dụng Wi-Fi. Cũng trong loạt bài này, chúng tôi sẽ đề cập đến việc bảo mật dựa trên phần cứng, kiến trúc kết nối mạng sẽ ảnh hưởng như thế nào đến mạng không dây của bạn và cuối cùng là một số cơ chế bảo mật không dây trong Windows Server.

Các rủi ro trong bảo mật wi-fi

Một trong những nguyên tắc đầu tiên liên quan đến bảo mật là, trừ khi bạn hiểu một cách rõ ràng về các rủi ro bảo mật không dây bằng không hầu như bạn sẽ không thể giảm thiểu được các rủi ro đó. Nói theo cách khách, rất khó để có thể phát triển một kế hoạch bảo mật hoàn chỉnh trừ khi bạn biết mình phải chống lại các mối đe dọa bảo mật gì. Với triết lý đó, chúng tôi muốn sử dụng một chút trong phương pháp không chính thống để nói về bảo mật không dây.

Hầu hết các sách cũng như các bài báo về bảo mật không dây thường tập trung vào việc giới thiệu cách cấu hình các điểm truy cập không dây trên một kiến trúc mạng tổng quan cũng như sự ảnh hưởng của nó đối với vấn đề bảo mật. Tuy nhiên trong bài này chúng tôi sẽ giới thiệu vấn đề đó sau, còn lúc này chúng tôi muốn bỏ ngoài vấn đề bảo mật và nói về những kiểu thông tin một hacker có thể “trộm” được nếu mạng không dây của bạn không được bảo mật an toàn.

Có thể bạn thấy hơi lạ đối với cách tiếp cận này. Tuy nhiên như đã nói từ trước, điều quan trọng ở đây là chúng ta cần phải hiểu được những rủi ro phía trước. Thực sự mà nói, trong thế giới thực tại có vô vàn các mạng không dân không an toàn. Và hầu hết người dùng di động thường kết nối vớ các mạng không dây không an toàn này. Các mạng này có thể là các mạng được đặt tại sân bay, khách sạn hay các quán cà phê,… hoặc có thể là ở nhà. Vấn đề ở đây là rằng, dù bạn có bảo mật tốt đến cỡ nào cho mạng không dây của mình thì người dùng của bạn vẫn gặp phải rủi ro lộ dữ liệu nhạy cảm do kết nối qua một mạng bên ngoài hoàn toàn không an toàn.

Nhận thực website

Với ý nghĩ đó, hãy giả bộ rằng chúng ta gặp phải trường hợp có các nhân viên trong một văn phòng đang sử dụng một mạng không dây không an toàn. Các thông tin gì thực sự bị lộ nếu ai đó đã đánh hơi thấy các gói dữ liệu không dây trong mạng của bạn?

Mặc dù rất muốn nói rằng mọi thứ đều có thể bị lộ nhưng câu trả lời thực sự phức tạp hơn đôi chút. Điều này là vì toàn bộ khái niệm bảo mật CNTT đều xoay quanh vấn đề phòng chống có chiều sâu (defense in depth). Chỉ vì kết nối không dây là một mạng không an toàn, điều đó không có nghĩa rằng các cơ chế bảo mật khác mà bạn đang sử dụng không hợp lệ.

Để bạn hiểu ý được cập đến ở đây là gì, hãy xem xét những gì sẽ xảy ra nếu ai đó đã đăng nhập vào Outlook Web App bằng một kết nối không dây không an toàn. Outlook Web App là một phiên bản web của Microsoft đi kèm với Exchange Server 2010.

Outlook Web App được thiết kế để yêu cầu các trình duyệt web SSL sử dụng mã hóa SSL. Vì vậy, nếu người dùng đăng nhập vào Outlook Web App qua một mạng không dây không an toàn thì tất cả các thông tin của người dùng sẽ được mã hóa và được duy trì an toàn như những gì người dùng trải nghiệm với kết nối Internet chạy dây.

Vậy điều đó có nghĩa bạn không cần phải lo lắng gì về bảo mật Wi-Fi? Không chắc như vậy! Chỉ vì Outlook Web App duy trì được sự bảo mật thậm chí trên kết nối không an toàn thì điều đó cũng không có nghĩa mọi thứ sẽ an toàn. Trước khi đi phân tích sâu vấn đề này, chúng tôi muốn nói về một thứ gì đó đơn giản hơn giống như một website có thể thỏa hiệp bảo mật của bạn như thế nào.

Hãy để ý, khi một người dùng đăng nhập vào website, họ cần phải nhập vào tập các chứng chỉ nhận thực. Các chứng chỉ này thường không được mã hóa. Cho ví dụ, một số site miễn phí mà bạn sử dụng chỉ yêu cầu chứng chỉ thành viên để bạn có thể tham gia vào các forum thảo luận trực tuyến. Các site này có không chứa các thông tin nhạy cảm vì vậy quá trình thẩm định không được mã hóa.

Đăng nhập vào một site như vậy hoàn toàn không có vấn đề gì đối với bản thân nó. Tuy nhiên vấn đề ở đây là rằng một số người dùng thích sử dụng cùng một mật khẩu cho các tài khoản mà họ có. Nếu người dùng đăng nhập vào một website không an toàn qua một kết nối không dây thì người nào đó đang đánh hơi các gói dữ liệu của họ sẽ có thể trích rút các chứng chỉ của người dùng này. Bước logic tiếp theo đối với hacker sẽ là xem người dùng sử dụng các chứng chỉ đó cho thứ gì.

Thư tín

Khi nói đến tất cả các ứng dụng được sử dụng trong môi trường doanh nghiệp, có lẽ không ứng dụng nào chứa lỗ hổng tiềm tàng hơn Email. Trước khi giải thích tại sao lại như vậy, chúng ta vẫn phải thừa nhận rằng một số hệ thống mail cũng khá an toàn. Cho ví dụ, Exchange Server 2010 sẽ tự động mã hóa sự truyền thông giữa bản thân và các máy chủ Exchange 2010 khác.

Mặc dù vậy khi nói đến truyền thông POP3 và SMTP cơ bản, các kết nối Wi-Fi không an toàn sẽ phơi bày mọi thứ. Dù các giao thức hosting giống như SMTP, POP3 và IMAP4 thường yêu cầu sự nhận thực nhưng các thông tin về chứng chỉ vẫn được gửi đi dưới định dạng văn bản trong sáng, dễ bị lộ diện trước việc đánh hơi các gói dữ liệu.

Thậm chí nếu một tổ chức nào đó đã mã hóa quá trình nhận thực, bản thân các thư tín vẫn không được mã hóa trừ khi tổ chức đó thực thi hình thức mã hóa S/MIME hoặc hình thức mã hóa nào tương tự như vậy. Như vậy, rất dễ dàng để ai đó đang “đánh hơi” sóng vô tuyến trong không gian để chặn và đọc luồng mail. Thậm chí một hacker còn có thể đáp trả một thư tín mà chúng chặn được hoặc có thể gửi đi một thư giả mạo tự nhận là ai đó.

Tài nguyên chia sẻ

Một lỗ hổng khác có liên quan đến việc sử dụng mạng không dây không an toàn là việc truy cập vào các tài nguyên chia sẻ.

Tuy việc truy cập đến các tài nguyên chia sẻ thường không phải là một vấn đề lớn trong các mạng công ty, vì các bộ điều khiển miền sẽ cung cấp hành động nhận thực. Nhưng giả định rằng các tài nguyên máy chủ đều được bảo mật đúng cách, thì đôi khi lỗ hổng lại tồn tại trên desktop hoặc laptop của người dùng. Ví dụ như nếu người dùng đang sử dụng Windows XP thì rất dễ chỉ ra tên máy tính của họ và cũng dễ kết nối đến các tài nguyên được chia sẻ trên máy tính đó.

Kết luận

Như những gì bạn thấy, có khá nhiều lỗ hổng có liên quan với đến hoạt động trên một mạng không dây không an toàn, chính vì vậy mà trong phần 2 của loạt bài này, chúng tôi sẽ tiếp tục thảo luận với các bạn về vấn đề này bằng cách giới thiệ về cách khóa chặn phần cứng không dây của bạn như thế nào.