Minh Họa Sự Tương Tác Giữa Các Thành Phần Riêng Biệt Của Cấu Trúc An Ninh Gsm

hạn đó là một mạng riêng ảo hay chứng nhận số. Theo đó, một hãng có thể tối thiểu hóa lượng số liệu có thể truy nhập bởi người dùng trái phép. Họ có thể xem một lượng nhỏ số liệu được lưu trữ cục bộ nhưng không được cập nhật hoặc lấy bất cứ số liệu hãng nào.

Việc đưa ra vấn đề an ninh trên các hệ điều hành di động là một ý tưởng hay đem lại nhiều lợi ích. Tất cả các hệ điều hành chính hiện nay đều cung cấp một cơ chế khoá thiết bị, yêu cầu người dùng phải được nhận thực trước khi họ có thể truy nhập vào bất cứ một thiết bị nào. Điều này đưa ra một mức nhận thực thứ ba mở ra hy vọng cho những người có thể tìm lại thiết bị đã mất của mình.

2.7.2 An ninh kho số liệu

Với các ứng dụng client thông minh, số liệu chung được lưu trữ một cách cục bộ trên các thiết bị di động. Số liệu này cần được bảo vệ trước những truy nhập trái phép. Trong nhiều trường hợp yêu cầu người dùng phải được nhận thực trước khi truy nhập vào nguồn số liệu mới chỉ là một bước để bảo vệ nguồn số liệu này, bước nữa là mật mã hoá chính số liệu đó, làm cho số liệu đó không thể nào xem được khi không có sự nhận thực chính xác, dạng lý tưởng là sử dụng một chứng nhân số.

Việc thực hiện cả nhận thực và mật mã hoá trong một phương pháp là cách tốt nhất để đảm bảo số liệu thực sự an toàn. kho số liệu có thể được mật hoá bằng cách sử dụng mật khẩu (password) như sử dụng một thuật toán khoá đối xứng. Theo cách này sẽ không kiểm tra riêng lẻ từng công đoạn một để truy nhập tới ứng dụng mà tất cả số liệu trở về từ kho số liệu được giải mật mã luôn sử dụng khoá chính là mật khẩu (password).

Mật mã hoá cần phải đủ mạnh nên nó không đễ dàng bị bẻ gãy. Đã có loại mật mã 128 bit, mức bảo mật cao này làm tăng mức độ bảo vệ số liệu nhưng lại bộc lộ ra nhược điểm so với mức bảo mật thấp hơn. bất cứ khi nào số liệu được lấy ra hoặc được bổ sung vào chúng đều phải trải qua thuật toán mật mã hoá. Điều này có tác động tiêu cực đáng kể tới hiệu năng, đặc biệt là đối với các thiét bị có năng lực tính toán hạn chế. Hơn nữa, nếu vì một vài lí do nào đó mà khoá mật mã hoá bị mất, sẽ không có cách nào để truy nhập tới nguồn số liệu mà không phải bẻ khoá, điều này là không thể thực hiện được.

Nếu xét thấy sự đền bù về hiệu năng đối với các phương pháp mật mã hoá mạnh là quá lớn, thì có thể sử dụng một phương pháp bảo vệ khác yếu hơn là phương pháp

làm rối số liệu (data obfuscation). Phương pháp này có thể làm ngẫu nhiên hoá nguồn số liệu làm cho nó không thể xem được bằng công cụ duyệt văn bản. tuy nó không cung cấp khả năng bảo vệ bằng phương pháp bảo mật mạnh, nhưng nó có thể đủ mạnh để áp dụng cho một vài kiểu số liệu. Phương pháp này gần như không ảnh hưởng hoặc ảnh hưởng rất ít tới hiệu năng nói chung.

Có thể bạn quan tâm!

Xem toàn bộ 72 trang tài liệu này.

Các nhà cung cấp cơ sở dữ liệu chính bao gồm iAnywhere Solutions cung cấp các công nghệ mật mã hoá gắn liền với sản phẩm của họ. Một dạng lưu trữ dữ liệu khác đang được sử dụng là Palm DB hoặc là một giải pháp theo ý muốn của khách hàng, các nhà phát triển cần phải đảm bảo rằng mật mã hoá số liệu được thực hiện trong các giải pháp này. Nhiều hệ điều hành di động cung cấp các thư viện mật mã hoá để giúp việc xử lý này.

2.7.3 An ninh lớp truyền tải

Tại lớp truyền tải, mật mã hoá số liệu cần phải được thực hiện để bảo vệ số liệu hãng đang được đồng bộ hoá. đồng bộ hoá có thể là phần quan trọng nhất của ứng dụng cần được bảo vệ. Một điều rất thuận lợi là có nhiều sản phẩm mật mã hoá sẵn sàng cho công việc bảo mật này. Các công ty gồm có Certicom và RSA cung cấp các sản phẩm có thể được sử dụng để mật mã hóa bất kỳ kiểu số liệu đang được truyền đi từ hoặc tới thiết bị di động. Nhiều nhà cung cấp ứng dụng client thông minh cùng với các giải pháp mật mã hoá số liệu 128 bit. Theo cách này, số liệu được truyền dẫn qua các mạng công cộng được đảm bảo tính bí mật từ thời điểm số liệu rời thiết bị cho tới khi tới được server hãng.

Cùng với mật mã hoá, khuyến khích sử dụng dạng nhận thực mạnh chẳng hạn như chứng nhận số. Thêm vào đó, cố gắng giữ cho tường lửa của công ty ở phạm vi an toàn nhất có thể được cho số liệu công ty. Không mở bất cứ cổng nào mà không thông qua server đồng bộ hoá.

CHƯƠNG III: NHẬN THỰC TRONG MẠNG TỔ ONG SỐ THẾ HỆ HAI‌

3.1 MỞ ĐẦU

Trong hầu hết các hệ thống tổ ong tương tự, thoại của thuê bao được truyền một cách rõ ràng, sự nghe trộm hội thoại trên đường vô tuyến là một mối nguy hiểm quan trọng. Các hệ thống thế hệ hai đã chú tâm đến vấn đề này thông qua mã hóa dữ liệu là một tiến bộ quan trọng về an ninh cho môi trường thông tin vô tuyến. Mặt khác, an ninh bị vi phạm đã làm tổn thất cho nhà cung cấp dịch vụ thông tin di động bằng các hệ thống tương tự thế hệ thứ nhất hàng trăm triệu đô la, sự mất an toàn này là “ cell- phone closing”, ở đây, các thủ tục nhận thực phát triển cho các hệ thống số thế hệ hai đã có được một tác động lớn như một vật cản đối với sự xâm phạm .Tuy vậy , kể từ khi các nhà cung cấp dịch vụ đưa ra những hệ thống thế hệ hai thì các giao thức an ninh được nâng cao sự giám sát. Các nhà cung cấp dịch vụ cố gắng vạch trần những kẻ tấn công giả dạng như các node mạng hợp lệ, họ còn giả định rằng cơ sở hạ tầng mạng hữu tuyến có thể được coi an toàn.

3.2 NHẬN THỰC THUÊ BAO TRONG GSM

GSM ( Globat System for Mobile communication, hoặc Globat System Mobile) là giao thức phổ biến nhất trên thế giới đối truyền thông tổ ong số. Các hệ thống thông tin tổ ong GSM đã phát triển và triển khai đầu tiên ở liên minh châu Âu, ngày nay còn được nhận thấy ở châu Á, châu phi và bắc Mỹ. GSM phát triển được nền tảng cấu trúc cơ sở hạ tầng cho thông tin thoại số, hỗ trợ thiết lập hoàn chỉnh các giao thức an ninh, điều này tránh được nhiều sơ sở đối với kẻ nghe trộm và sự gian lận thuê bao đã nhũng nhiễu các công nghệ tổ ong tương tự thế hệ thứ nhất.

3.2.1.Thành phần hệ thống của cấu trúc an ninh GSM

Toàn bộ kết cấu nhận thực GSM có 4 thành phần chính: SIM, GSM handset, HLR/AuC và VLR.

3.2.1.1. SIM

SIM là một thẻ thông minh nhỏ được đưa ra bởi nhà cung cấp dịch vụ GSM đối với từng thuê bao cá nhân. SIM cài vào một điện thoại tổ ong GSM và chứa một số yếu tố về mã và dữ liệu: IMSI ( International Mobite Subscriber Identity- một số quốc tế duy nhất đối với thuê bao GSM), một khoá nhận thực ( thường ký hiệu Ki) là khoá riêng đối với thuê bao, một số nhận dạng cá nhân (PIN), thuật toán tên gọi A3 sử dụng

để nhận thực thuê bao và một thuật toán tên gọi A8 sử dụng do sự phát sinh khoá phiên.

3.2.1.2 GSM hand set

Trong điện thoại GSM tự cài mã để thực hiện thuật toán A5, thuật toán này thực hiện mật mã và giải mật mã thông tin gửi đi giữa handset và BS (Base Station) trong một phiên truyền thông GSM thực tế.

3.2.1.3 HLR/AuC

HRL và AuC được tích hợp chung với nhau trên mạng bởi nhà cung cấp dịch vụ GSM của thuê bao, nhưng có thể coi chúng giống như các thực thể tách rời một cách hợp lý. Trung tâm nhận thực có một thành phần khoá, một cơ sở dữ liệu về sự nhận dạng và thông tin nhận thực đối với mỗi thuê bao. Những thuộc tính trong cơ sở dữ liệu này bao gồm IMSI của thuê bao, khoá nhận thực (Ki), LAI (Location Area Indentifier) và TMSI (Temporary Mobile Subscriber Indentily- một loại mã sử dụng vào việc xác định IMSI, có thể được che dấu dạng thực của thuê bao khỏi những kẻ nghe trộm ). Trung tâm nhận thực có chức năng sinh ra bộ ba giá trị RAND, SRES và khoá phiên (Kc). Bộ ba giá trị này được lưu trữ trong HLR đối với mỗi thuê bao ( chức năng của các thành phần của bộ ba này sẽ được giải thích trong phần tới).

3.2.1.4. VLR

VLR cũng như HLR được duy trì trong hệ thống của mỗi nhà cung cấp dịch vụ GSM. VLR lưu trữ bộ ba (RAND, SRES và khoá phiên Kc) cho mỗi thuê bao đang liên lạc với trạm gốc của nhà cung cấp dịch vụ. Tất nhiên khi thuê bao chuyển vùng ra xa mạng của nhà cung cấp dịch riêng của thuê bao đó, thông tin phải được hướng từ HLR đến VLR, mục đích để hoàn thành thủ tục nhận thực.

Hình 3.1: Minh họa sự tương tác giữa các thành phần riêng biệt của cấu trúc an ninh GSM

Chú ý rằng VLR và HLR/AuC có thể thuộc quyền kiểm soát của nhiều nhà cung cấp dịch vụ mạng khác nhau. Tuy nhiên SIM và MS (Mobile Station) của thuê bao bị ảnh hưởng trực tiếp tới một HLR/AuC duy nhất. Do đó thuê bao thường xuyên được định vị ( trừ khi thuê bao thay đổi nhà cung cấp dịch vụ). Nhưng thuê bao có thể chuyển vùng địa lý giữa các vùng phục vụ bởi các nhà cung cấp GSM khác nhau không có sự gián đoạn dịch vụ.

3.2.2. Các thành phần dữ liệu trong giao thức nhận thực GSM

Giao thức an ninh GSM, kể cả đối với sự nhận thực người dùng, được dựa trên các công nghệ mã hoá đối xứng, với SIM và trung tâm nhận thực, cả hai đưa ra cùng IMSI và khoá nhận thực thuê bao (Ki) cho mỗi thuê bao GSM. Một cơ sở của giao thức bảo mật GSM là trong khi khoá nhận thực của thuê bao được lưu trong cả SIM và trung tâm nhận thực thì khoá này không bao giờ được truyền qua mạng.

Thành phần dữ liệu khoá của giao thức nhận thực GSM đưa ra bên dưới, cùng với các thành phần dữ liệu khác tạo nên “bộ ba ” GSM đã lập danh sách đầu tiên . Nhớ lại là các thành phần của bộ ba được sinh ra bởi trung tâm nhật thực, được lưu trữ đầu tiên trong HLR, và gửi tới VLR khi một thuê bao tìm cách thiết lập một phiên làm việc trong khi thuê bao đang chuyển vùng .

3.2.2.1 Các thành phần của bộ ba

 RAND: RAND là một số ngẫu nhiên 128 bít được sinh ra bởi trung tâm nhận thực. Nó luôn được sử dụng trong giai đoạn đầu thực hiện thủ tục Challenge- reronce của chuỗi nhận thực GSM.

 SRES ( Signed Response) : Là một số 32 bít, SRES là kết quả khi sử dụng thuật toán A3 GSM cho RAND 128 bít.

 Kc (Session Key): Kc là một khoá phiên 64 bít, hoặc “khoá mật mã”, Kc sử dụng để mã hóa và giải mã hóa dữ liệu truyền giữa handset và BS trong một phiên truyền thông GSM đơn giản. Kc được sinh ra trong SIM về phía handset bằng cách cung cấp RAND 128 bít và khoá nhận dạng duy nhất của thuê bao Ki cho thuật toán A8. Do đó Kc là khóa duy nhất đối với cả thuê bao cá nhân (cho rằng Ki được sử dụng trong sự phát sinh Kc) và phiên truyền thông tương ứng này ( cho rằng việc sử dụng RAND như thành phần hạt giống thứ 2).

3.2.2.2 Các thành phần dữ liệu cần thiết khác

 Ki: (Subscriber Authentication Key-Khoá nhận thực thuê bao): là khoá duy nhất đối với mỗi thuê bao cá nhân, là một khoá đối xứng lưu giữ ở trong cả SIM và trung tâm nhận thực, nhưng không bao giờ phát quảng bá qua đường không.

 IMSI: (International Mobile Subscriber Identification – Nhận dạng thuê bao di động quốc tế): Là một số nhận dạng duy nhất đối với thuê bao cá nhân

 TMSI: (Temporary Mobile Subscriber Identification – Nhận dạng thuê bao di động tạm thời) là một số nhận dạng tạm thời được sử dụng trong phiên truyền thông GSM, thay cho IMSI trong mục đích duy trì bí mật thuê bao.

3.2.3 Hoạt động của giao thức nhận thực GSM

Về bản chất, GSM sử dụng một giao thức challenge-respond đơn giản. Giao thức này mang lợi thế của RAND và SRES được tính trước bởi trung tâm nhận thực và được đưa tới VLR. Quá trình thực hiện tiếp theo như sau:

1. Khi MS (GSM hand set) tiếp cận một BS trong một mạng tạm trú với yêu cầu thiết lập một phiên truyền thông, MS nhận biết IMSI của nó (bằng cách truyền IMSI của nó một cách công khai).

2. Mạng tạm trú đệ trình số nhận dạng riêng của nó cùng với IMSI của thuê bao tới trung tâm nhận thực (AuC). Trung tâm nhận thực đáp lại một bộ RAND, SRES và Kc (bộ ba). Trung tâm nhận thực sử dụng thuật toán A3 để sinh ra SRES từ số ngẫu nhiên RAND và khoá nhận thực thuê bao Ki. Thêm vào đó, AuC đã tính được khoá phiên Kc trong một cách tương tự, sử dụng thuật toán A8.

3. Mạng tạm trú gửi RAND 128 bít tới MS như một yêu cầu

4. SIM trong MS nhận được RAND từ GSM handset, SIM này sử dụng thuật A3 và khoá Ki để thực hiện thuật toán A3 sinh ra SRES riêng của nó. Handset truyền SRES này quay trở lại mạng tạm trú ( đáp lại yêu cầu của bước 3).

5. Mạng GSM tạm trú so sánh SRES nhận được từ MS với SRES nhận được sớm hơn từ trung tâm nhận thực ( được lưu trong VLR). Nếu hai giá trị này là bằng nhau, phiên truyền thông được thực hiện; nếu không, phiên truyền thông bị bác bỏ.

6. Khi phiên truyền thông được chấp nhận, SIM trong handset còn tính toán phiên bản của khoá phiên Kc riêng của nó, bằng cách sử dụng RAND và khoá nhận thực thuê bao Ki trong thuật toán A8. Chú ý rằng trong khi khoá phiên không được truyền từ BS đến MS thì cả mạng tạm trú và MS vẫn cùng chứa khoá phiên này.

7. Mục đích để hỗ trợ truyền thông an toàn trong sự trao đổi tiếp theo giữa mạng tạm trú và MS, cả MS( handset) và mạng GSM sử dụng khoá phiên Kc và một số chu kỳ TDMA(Time Division Multiple Acess – GSM xây dựng dựa trên giao thức truyền thông TDMA) tới thuật toán A5. Kết quả là một chuỗi 114 bít hoặc 2 khối 57 bít được truyền trong một chu kỳ TDMA đơn giản. Chú ý rằng trong khi Kc tiếp tục duy trì qua một phiên GSM , chuỗi 114 bít sẽ thay đổi ở mọi chu kỳ do sự thay đổi thứ tự chu kỳ TDMA.

Hình 3.2: Minh hoạ luồng thông tin trong chuỗi nhận thực thuê bao GSM

[A3 Algorithm Inputs] [A8 Algorithm Inputs]

Random C hanllenge

(RAND)

Secret Key

(Ki)

Random C hanllenge

(RAND)

Secret Key

(Ki)

A3 Algorithm

A8 Algorithm

[ Algorithm O utputs]

Session Key

(Ks)

C hanllenge Response (SRES)

Hình 3.3: Quá trình vào ra dữ liệu của thuật toán A3 và A8 trong chuỗi nhận

thực thuê bao GSM

3.3 NHẬN THỰC THUÊ BAO TRONG DECT

Giao thức DECT( Digital European Cordless Telephone) là một tiêu chuẩn của châu Âu cho cơ sở truyền thông điện thoại không dây giống như GSM. Cơ sở cấu trúc bảo mật trong DECT được dựa vào một cấu trúc khoá đối xứng. Trong đó thuê bao và mạng thường trú dùng chung một khoá bí mật. Nhận thực thuê bao xuất phát từ khoá bí mật dùng chung này, giống như làm sinh ra các khoá phiên đối với mã hoá của dữ liệu truyền. Trái với GSM, DECT giới thiệu một vài sự lựa chọn tiếp xúc làm thế nào để mạng thường trú và mạng dịch vụ tác dụng tương tác trong việc xử lý nhận thực thuê bao.

3.3.1 Nhân tố dữ liệu và các thuật toán trong giao thức nhận thực trong DECT

Các nhân tố dữ liệu trong giao thức nhận thực DECT bao gồm khoá cá nhân cơ sở dùng chung bởi handset của thuê bao và mạng thường trú, khoá phiên và một vài số ngẫu nhiên khác nhau đã sử dụng trong nhận thực và các phương pháp mã hoá dữ liệu

. Các nhân tố dữ liệu mã là:

 DECT IN (DECT Indentification Number): Một số nhận dạng duy nhất của thiết bị đầu cuối DECT cá nhân.

 K( Shared Authentication Key): Đây là khoá đối xứng bí mật dùng chung bởi mạng thường trú và thiết bị đầu cuối của thuê bao. Phụ thuộc vào yêu cầu của nhà vận hành hệ thống, DECT sinh ra khoá K từ sự kết hợp các khoá khác với thuê bao, giống như UIP và UAK ( như dưới đây).

 UPI( User Personal Identifly): UPI là một mã cá nhân ngắn, một thuê bao có thể đăng ký UPI ở lúc bắt đầu của một phiên truyền thông. Do đó, UPI là một loại mã PIN. Cũng như chú ý ở trên, DECT đưa ra một sự lựa chọn đối với sự phát sinh của khoá nhận thực K từ một UPI.

 UAK( User Authentication Key): Là một khoá dài hơn và duy nhất đối với một người sử dụng DECT, UAK có thể được ghi trong một thiết bị đầu cuối DECT bằng một thẻ thông minh-giống như module gọi là module nhận thực DECT (DAM).

 RS( Random Number- Số ngẫu nhiên): RS là một số ngẫu nhiên phát sinh bởi mạng thường trú của thuê bao giống như phần của chuỗi nhận thực.