HD07-004
An toàn với công nghệ không dây

Trong những năm gần đây, mạng không dây ngày càng trở nên phổ biến, rẻ tiền và dễ sử dụng. Người dùng có thể lắp đặt để truy cập mạng không dây tại nhà hoặc sử dụng máy tính xách tay để truy cập tại những nơi công cộng như quán café, sân bay, khách sạn…

Việc sử dụng mạng không dây sẽ rất tiện lợi và đơn giản nhưng nó cũng tiềm ẩn rất nhiều nguy cơ mất an toàn thông tin. Tài liệu này chỉ ra các nguy cơ và đưa ra một số giải pháp để sử dụng công nghệ không dây một cách an toàn.

Các mối đe dọa khi sử dụng mạng không dây tại nhà

Thường thì người sử dụng sẽ thuê một đường truyền internet về nhà và đường truyền này sẽ được kết nối vào thiết bị router không dây hoặc điểm truy nhập không dây AP(Access Point). Các thiết bị này sẽ chuyển tín hiệu điện nhận được từ đường truyền Internet sang tín hiệu không dây để phát ra không gian và người sử dụng sẽ dùng máy tính có hỗ trợ truy nhập không dây để thực hiện kết nối. Các mối đe dọa xảy ra cho mạng có dây thì cũng xảy ra đối với mạng không dây. Phần dưới đây đưa ra một số mối đe dọa đối với mạng không dây tại nhà.

Piggybacking

Piggybacking được hiểu là việc truy cập trái phép internet thông qua một mạng không dây không an toàn. Nếu mạng không dây không được bảo vệ đúng mức thì bất cứ một máy tính nào có hỗ trợ truy cập không dây nằm trong vùng phủ sóng của AP đều có thể kết nối tới AP để truy cập Internet. Ở ngoài trời, phạm vi này có thể đạt tới hơn 300m. Vì vậy, bất cứ ai ở xung quanh cũng có thể dễ dàng truy cập vào AP này.

Một số kiểu xâm phạm có thể nhận thấy là:

    1. Bị xâm phạm dịch vụ: dung lượng, số lượng kết nối ... có thể vượt quá giới hạn mà ISP cho phép, tốc độ có thể rất chậm do bị chiếm dụng băng thông.

    2. Bị lợi dụng: một số người có thể lợi dụng hệ thống để thực thi những hành động bất hợp pháp.

    Bị theo dõi: các hoạt động trên internet có thể bị theo dõi, những thông tin nhạy cảm (mật khẩu, số thẻ tín dụng có thể bị đánh cắp.

    3. Bị tấn công: các tệp tin trên máy tính có thể bị truy cập trái phép, máy tính có thể bị cài đặt spyware và các chương trình độc hại khác.

Wardriving

Wardriving là một loại piggybacking. Bởi vì vùng bao phủ của các AP có thể ra vượt ngoài phạm vi của một ngôi nhà nên những kẻ truy nhập bất hợp pháp có thể sử dụng máy tính hỗ trợ truy cập không dây, thậm chí sử dụng những máy tính có ănten cực mạnh để quét sóng nhằm mục đích dò ra những mạng không dây không được bảo vệ. Hành động này được gọi là “wardriving”. Sau đó họ thường đánh dấu những vị trí này lại và đưa các thông tin đó lên các website. Một số người có thể sử dụng các mạng này nhằm che dấu các hành động bất hợp pháp tấn công, truy nhập trực tiếp vào máy tính giống như phương thức Piggybacking ở trên.

Truy nhập máy tính trái phép

Một kết nối không dây không được bảo vệ đúng mức cùng với việc chia sẻ tệp tin thiếu an toàn có thể gây ra những hậu quả khôn lường.

Bảo vệ mạng không dây tại nhà

Phần dưới đây sẽ mô tả một số bước để bảo vệ mạng không dây tại nhà:

Ẩn mạng

Các AP có thể thông báo sự tồn tại của nó tới các máy tính có hỗ trợ mạng không dây xung quanh. Tính năng này còn được gọi là “quảng bá danh tính AP” (“identifier broadcasting”). Trong một số trường hợp, tính năng này là phù hợp, ví dụ như tại các nơi công cộng khi muốn mọi người có thể dễ dàng tìm ra AP để truy cập internet như: quán café, khách sạn, sân bay, ... Tuy nhiên, tại nhà thì có thể chỉ có một hoặc một vài người cần truy nhập mạng không dây. Để làm của mạng không dây đối với những người khác, hãy xem Hướng dẫn sử dụng của AP.

Đây là bước đầu tiên bảo vệ máy tính.

Đổi tên mạng

Rất nhiều thiết bị AP sử dụng tên mặc định. Tên này còn được gọi là SSIS (Service set identifier) hoặc ESSID (extended service set identifier). Rất nhiều mạng sử dụng tên mặc định và điều đó làm tăng khả năng truy nhập trái phép. Tốt nhất cần đổi tên mặc định và hãy chọn tên nào phức tạp, khó bị phát hiện.

Mã hóa dữ liệu

Nên sử dụng những AP có chức năng mã hóa dữ liệu và bất chức năng này lên. Mã hóa dữ liệu làm tăng mức độ an toàn khi trao đổi thông tin.

Thay đổi mật khẩu quản trị

AP thường được đặt mật khẩu quản trị mặc định. Mật khẩu mặc định thì mọi người đều có thể biết được. Để đảm bảo an toàn, cần thay đổi mật khẩu mặc định. Mật khẩu nên kết hợp sử dụng các ký tự phức tạp (#, $, &, ...), hạn chế sử dụng các chuỗi dễ đoán được (ngày sinh,…). Nếu AP không có mật khẩu mặc định, hãy tạo ra mật khẩu và sử dụng mật khẩu đó để bảo vệ thiết bị.

Thận trọng khi chia sẻ dữ liệu

Nếu việc chia sẻ tệp tin không cần thiết thì nên tắt chức năng này trên máy tính. Nếu cần chia sẻ tệp tin thì nên tạo ra một thư mục dành riêng cho việc chia sẻ và chuyển những tệp tin cần chia sẻ tới thư mục đó. Sử dụng mật khẩu để bảo vệ tệp tin cần chia sẻ và nên sử dụng mật khẩu kết hợp các ký tự phức tạp (#, $, &,..). Đừng bao giờ chia sẻ toàn bộ ổ cứng.

Cập nhật thường xuyên phần mềm, bản vá lỗi cho AP

Các nhà sản xuất thường công bố các bản vá, bổ sung cho phần mềm trên AP. Người sử dụng nên thường xuyên kiểm tra bản vá, bổ sung trên website của nhà sản xuất.

Các mối đe dọa khi sử dụng mạng không dây ở nơi công cộng

Một máy tính xách tay hỗ trợ truy cập không dây có thể hữu ích nhưng nó cũng thể hiện sự thiếu an toàn. Dưới đây mô tả một số mối đe dọa về an toàn thông tin khi truy cập Internet qua các AP công cộng.

Tấn công Evil Twin

Với kiểu tấn công Evil Twin, kẻ tấn công sẽ thu thập thông tin về các điểm AP công cộng, sau đó cài đặt hệ thống của họ để mạo danh các AP công cộng. Kẻ tấn công sẽ sử dụng tín hiệu mạnh hơn so với tín hiệu của AP công cộng. Người sử dụng thường có xu hướng kết nối với tín hiệu mạnh hơn, và trong trường hợp này đó lại là các tín hiệu giả mạo. Và bởi vì người sử dụng kết nối với internet thông qua hệ thống của kẻ tấn công, nên họ sẽ dễ dàng sử dụng các công cụ để đọc dữ liệu mà người sử dụng trao đổi qua internet. Dữ liệu này có thể là các thông tin quan trọng như: thẻ tín dụng, tài khoản, mật khẩu, địa chỉ…

Bắt gói tin (Wireless Sniffing )

Nhiều AP công cộng không được bảo mật và dữ liệu trao đổi không được mã hóa. Và kẻ tấn công có thể sử dụng công cụ bắt gói tin để đọc các thông tin nhạy cảm như: thẻ tín dụng, tài khoản, mật khẩu, địa chỉ…

Kết nối ngang hàng (Adhoc)

Mạng adhoc là một mạng mà hai thiết bị bất kỳ trong mạng có thể trao đổi thông tin trực tiếp với nhau, không phải thông qua AP. Nhiều máy tính xách tay, đặc biệt là những máy tính hỗ trợ Wifi, có thể tạo ra các mạng adhoc khi chúng thuộc phạm vi bao phủ của nhau (vùng phủ sóng của card mạng không dây). Một kẻ tấn công có thể sử dụng máy tính được đặt ở chế độ adhoc và cấu hình tương tự máy tính của nạn nhân để tấn công, xâm nhập vào máy tính của nạn nhân. Chú ý rằng rất nhiều nhà sản xuất cấu hình mặc định máy tính xách tay ở chế độ adhoc.

Truy cập máy tính trái phép

Một kết nối không dây không được bảo vệ đúng mức cùng với việc chia sẻ tệp tin thiếu an toàn có thể gây ra những hậu quả khôn lường.

Thận trọng khi sử dụng mạng không dây tại những nơi công cộng

Dưới đây mô tả các bước để tự bảo vệ:

Quan sát những thực hiện trên mạng

Hãy cẩn thận về những gì đang thực hiện trên mạng khi ở những nơi công cộng. Nếu không thể kết nối bảo mật bằng cách sử dụng VPN (xem phần “Kết nối sử dụng VPN” phía dưới), thì hãy tránh thực hiện những công việc sau:

  • Giao dịch ngân hàng trực tuyến
  • Mua sắm trực tuyến
  • Gửi email
  • Gõ mật khẩu hoặc số thẻ tín dụng

Kết nối sử dụng VPN

VPN (Virtual Private Network) là mạng riêng ảo. Đây là một kỹ thuật tạo mạng riêng trên môi trường Internet có sử dụng các biện pháp mã hóa. Rất nhiều công ty và tổ chức sử dụng VPN, VPN cho phép nhân viên kết nối một cách an toàn tới mạng cục bộ của họ ngay cả khi họ ở xa văn phòng. VPN mã hóa các kết nối tại nơi gửi và nơi nhận. Nếu có VPN, hãy đảm bảo rằng đã đăng nhập vào nó khi cần sử dụng mạng không dây ở những nơi công cộng.

Tắt chức năng chia sẻ file

Để ngăn chặn kẻ tấn công khỏi truy cập vào các tệp tin nhạy cảm của, tốt nhất là nên tắt tính năng chia sẻ tệp tin khi sử dụng mạng không dây tại những nơi công cộng. Tham khảo thêm phần Trợ giúp (Help) trong hệ điều hành để biết cách tắt tính năng chia sẻ tệp tin.

Hiểu môi trường xung quanh

Khi sử dụng AP công cộng, nên có ý thức về những gì đang diễn ra xung quanh. Bất kỳ sơ hở nào tồn tại, thông tin nhạy cảm đều có thể bị đe dọa. Cân nhắc xem kết nối vào internet có cần thiết hay không, nếu không cần, tốt nhất hãy tắt hoàn toàn tính năng truy cập mạng không dây. Nếu cần kết nối, sử dụng thận trọng và làm theo những bước được chú ý ở trên.

Tóm tắt

Dưới đây cung cấp một cách sơ lược các bước cần thực hiện để đảm bảo an toàn khi sử dụng mạng không dây ở nhà và nơi công cộng.

Bảo mật mạng không dây ở nhà<

Khi sử dụng các thiết bị không dây ở nhà, nếu không bảo mật các thiết bị đó, bất cứ AP có thể bị lợi dụng để truy cập Internet, thậm chí các hoạt động của người dùng trên mạng có thể bị theo dõi, các tệp tin trên máy tính có thể bị truy cập trái phép,… Hãy thực hiện theo các bước dưới đây để đảm bảo mạng được an toàn:

  • Thay đổi ID mặc định của AP hoặc router không dây
  • Thay đổi mật khẩu mặc định của hệ thống
  • Tắt tính năng “quảng bá danh tính AP”
  • Mã hóa thông tin trao đổi (mã hóa dựa trên WPA được khuyến nghị, tốt hơn mã hóa WEP)
  • Sử dụng tường lửa được xây dựng sẵn trong router, AP để ngăn chặn truy nhập trái phép.
  • Cập nhật phần mềm thường xuyên cho hệ thống.

Bảo mật mạng không dây ở những nơi công cộng

Truy cập không dây ở các nơi công cộng như quán café, sân bay,.. có thể tiện lợi nhưng nên nhớ đó là những điểm rất không an toàn. Hãy làm theo các bước dưới đây khi truy cập không dây tại những nơi công cộng.

  • Sử dụng VPN nếu có thể
  • Tránh trao đổi các thông tin nhạy cảm
  • Mã hóa các tệp tin
  • Chú ý quan sát xung quanh

Tài liệu tham khảo và đọc thêm

Các bài báo và Website

1. Bowman, Barb. “WPA Wireless Security for Home Networks,” Microsoft, <http://www.microsoft.com/windowsxp/using/networking/expert/bowman_ 03july28.mspx> (2003).

2. Brain, Marshall. “How WiFi Works,” How Stuff Works, <http://computer.howstuffworks.com/wireless-network.htm/printable>.

3. Lee, Wei-Meng. “Securing AirPort Extreme Networks with WPA,” O’Reilly Network, <http://www.oreillynet.com/pub/a/wireless/2003/12/18/wap.html> (2003).

4. Lee, Wei-Meng. “Setting Up an 802.11b Home Wireless Network,” O’Reilly Network <http://www.oreillynet.com/lpt/a/3333> (2003).

5. McDowell, Mindi. “Understanding Encryption” (US-CERT Cyber Security Tip ST04-019), US-CERT, <http://www.us-cert.gov/ cas/tips/ST04-019.html> (2004).

6. Vamosi, Robert. “Beware your evil twin (hot spot, that is),” CNET, <http://reviews.cnet.com/4520-3513_7-5630181-1.html> (2005).

7. “Wireless Life,” CNN.com <http://www.cnn.com/SPECIALS/2004/wireless/> (2004).

Sách

1. Potter, Bruce and Fleck, Bob. 802.11 Security. Sebastopol, CA: O’Reilly & Associates, Inc, 2002.

2. Negrino, Tom and Smith, Dori. Mac OS X Unwired. Sebastopol, CA: O’Reilly & Associates, Inc, 2003.

3. Weeks, Roger et al. Linux Unwired. Sebastopol, CA: O’Reilly & Associates, Inc, 2002.

Thuật ngữ

802.11: là chuẩn cho mạng nội bộ không dây (WLAN) của IEEE. Chuẩn này mô tả về cách kết nối giữa các thiết bị không dây với nhau.

Điểm truy cập không dây (Access Point): trong mạng nội bộ không dây, một AP là một trạm truyền, nhận dữ liệu. Một AP kết nối những thiết bị trong mạng với nhau và cũng có thể thực hiện việc kết nối mạng WLAN với mạng có dây.

Adhoc: Mạng adhoc là một mạng mà hai thiết bị bất kỳ trong mạng có thể trao đổi thông tin trực tiếp với nhau, không phải thông qua AP.

DSL: DSL viết tắt của chữ Digital Subcriber Line. Đây là một đường truyền riêng, tốc độ cao được cung cấp bởi các công ty truyền thông hoặc công ty điện thoại. Đường truyền DSL có khả năng cung cấp khả năng truy cập internet với tốc độ cao nhưng chỉ có sẵn cho các thuê bao mà nằm trong khoảng cách giới hạn nào đó.

Mã hóa (Encryption): Mã hóa là một sự biến đổi dữ liệu sang một dạng khác mà chỉ ai có khóa để giải mã mới có thể hiểu được. Đây là một biện pháp bảo mật rất quan trọng.

Hotspot: là một điểm truy cập không dây có cung cấp một kết nối internet. Các hotspot thường có sẵn ở những nơi như sân bay, quán café, khách sạn

Piggyback: Được hiểu là việc truy cập trái phép internet thông qua một mạng không dây không an toàn.

Router: Là một thiết bị định tuyến vào và ra trong một mạng. Nó kiểm tra từng bit trong gói tin và xác định nơi mà gói tin cần chuyển đến. Router có thể được nối với các máy tính hoặc các thiết bị khác trong mạng thông qua cáp nối. Các router không dây cũng hoạt động tương tự, chỉ khác là router không dây sẽ thực hiện việc chuyển tính hiệu điện sang tín hiệu không dây.

VPN: VPN là viết tắt của cụm Virtual Private Network. VPN là mạng riêng ảo. Đây là một kỹ thuật tạo mạng riêng trên môi trường Internet có sử dụng các biện pháp mã hóa.

WEP: WEP là viết tắt của chữ Wired Equivalent Privacy. Đây là một công cụ bảo mật được thiết kế cho mạng không dây nhưng với mức độ độ tương đương mạng có dây. Trong WEP, dữ liệu di chuyển giữa cácmáy tính và AP được mã hóa.

Wi-Fi: Wi-Fi là viết tắt của wireless fidelity. Thuật ngữ này do một tổ chức có tên Wi-Fi Alliance đặt ra. WiFi được xây dựng dựa trên chuẩn 802.11. Wi-Fi Alliance là tổ chức kiểm tra và cấp chứng chỉ cho các sản phẩm không dây.

WPA: WPA là viết tắt của Wi-Fi Protected Access. Giống như WEP, WPA là giao thức bảo mật được thiết kế cho mạng không dây. Khác với WEP, WPA cung cấp cơ chế mã hóa và chứng thực tốt hơn.

Biên dịch: Nguyễn Đức Tuân
Nguồn: http://www.us-cert.gov/reading_room/Wireless-Security.pdf
VNCERT (tổng hợp)