Laptop DrCare

Quản Trị Mạng - Các mạng Wi-Fi chưa phải là một môi trường an toàn. Trên các mạng riêng tư, người dùng có thể kích hoạt chế độ mã hóa bảo mật để ngăn không cho người dùng bất hợp pháp kết nối và bắt lưu lượng truyền. Tuy vậy tùy thuộc vào phương pháp bảo mật sử dụng mà dữ liệu người dùng vẫn có thể bị đánh cắp. Và mặc dù các mạng công cộng có thể sử dụng phương pháp xác thực trên nền web thì hầu hết những mạng này đều không có một phương pháp mã hóa bảo mật đúng nghĩa. Cho nên, bất kỳ ai trong tầm phủ sóng đều có thể “nghe lén” lưu lượng hotspot.

Bài viết sẽ làm rõ hơn thế nào là gián điệp Wi-Fi và đề xuất một vài giải pháp bảo vệ người dùng khi sử dụng mạng Wi-Fi riêng tư cũng như công cộng.

Gián điệp Wi-Fi

Để hiểu rõ hơn thế nào là gián điệp Wi-Fi, ta nên tìm hiểu về những việc có thể thực hiện trên lưu lượng Wi-Fi bắt được. Khi một kẻ xâm nhập bắt được các gói lưu lượng qua Wi-Fi, hắn có thể biết được mật khẩu và nội dung của những dịch vụ hay website mà nạn nhân đăng nhập khi không sử dụng kĩ thuật mã hóa SSL, thường là các kết nối email POP3/IMAP và FTP. Hắn cũng có thể chặn đăng nhập (hjack) tới các website như Facebook và Twitter hay thu thập file truyền tải trên mạng riêng tư.

Nhưng rất may là, những gián điệp Wi-Fi sẽ không dễ dàng đạt được mục đích của mình nếu dịch vụ hay website sử dụng kỹ thuật mã hóa SSL, như là các website ngân hàng. Nhưng chúng vẫn có thể lới dụng các lỗ hổng trên SSL. Đây lại là một chủ đề tốn giấy mực khác.

Bảo vệ dữ liệu trên mạng công cộng

Do hầu hết các hotspot Wi-Fi không sử dụng phương pháp mã hóa bảo mật nào và không cung cấp tính năng bảo vệ lưu lượng nên ăn cắp thông tin có vẻ như là mối lo được quan tâm hơn trong mạng công cộng. Rõ ràng là, hiện có rất nhiều công cụ mà đến người dùng bình thường cũng có thể dễ dàng sử dụng để đánh cắp thông tin từ người khác. Thậm chí, chẳng cần hơn một chiếc smartphone để lấy cắp mật khẩu hay chặn tài khoản của bạn đâu.

Giải pháp tốt nhất để giữ cho lưu lượng mạng của mình luôn được an toàn khi sử dụng các hotspot Wi-Fi là sử dụng mạng riêng ảo VPN để kết nối tới mạng nội bộ công ty hay server. Hoặc sử dụng một dịch vụ chủ được thiết kế chuyên dụng để bảo vệ tại hotspot như là Private Wi-Fi hay Hotspot Shield. Khi kết nối tới một VPN, toàn bộ lưu lượng Internet được gửi từ máy tính hay thiết bị người dùng sẽ qua một đường hầm được mã hóa an toàn đến mạng của nhà cung cấp VPN. Nên lưu lượng hoàn toàn an toàn trước những gián điệp Wi-Fi tại hotspot nội bộ.

Nếu không thể hay không thích sử dụng một VPN, người dùng nên ít nhất chắc chắn rằng bất kỳ dịch vụ hay website nào sẽ sử dụng trong khi kết nối hotspot được an toàn bằng kỹ thuật mã hóa SSL. Khi SSL được áp dụng thì các trình duyệt web sẽ có một địa chỉ là https thay vì http và sẽ hiển thị một pad lock cùng một số chỉ thị khác. Với các chương trình ứng dụng mail như Outlook hay Thunderbird thì người dùng cần chắc chắn SSL đang được sử dụng cho các kết nối POP3 hay IMAP và SMTP server. Tuy nhiên, nhiều nhà cung cấp email không hỗ trợ tính năng mã hóa này. Bạn có thể tìm đến những giải pháp khác như là Neomailbox, Hushmail hay 4Secure-mail.

Đối với truy cập trên hotspot công cộng, bạn phải luôn luôn đảm bảo rằng bất kỳ website nào bạn đăng nhập cho các thông tin nhạy cảm hay bất kỳ dịch vụ nào bạn dùng (như email và FTP) được bảo vệ bằng SSL. Điều này sẽ đảm bảo thông tin qua lại giữa máy tính và site hay dịch vụ luôn an toàn.

Bảo vệ dữ liệu trên mạng riêng tư

Mặc dù ăn cắp thông tin là mối quan tâm lớn trên các mạng Wi-Fi không tin cậy nhưng nó vẫn gây lo lắng phần nào trên các mạng riêng tư. Một mạng doanh nghiệp chẳng hạn, vẫn có thể bị đe dọa từ những nhân viên có ý độ xấu hay những kẻ xâm nhập. Tuy việc sử dụng chế độ mã hóa dữ liệu PSK của WPA2 (còn gọi là chế độ cá nhân – Personal mode) cho mạng không dây và đòi hỏi người dùng mạng riêng tư phải nhập mật khẩu kết nối thì nó vẫn cho phép một người dùng nội bộ bắt lưu lượng của những người dùng khác. May mắn là, WPA2 có một chế độ gọi là chế độ doanh nghiệp (Enterprise mode hay 802.1X hoặc EAP) để chặn không cho người dùng này đọc lưu lượng của người dùng khác. Đó là do mỗi người dùng sẽ được cấp thông tin nhận thực như username, mật khẩu… để kết nối mạng thay vì dùng một mật khẩu chung nhất như chế độ cá nhân. Khi một người đăng nhập qua chế độ doanh nghiệp, một khóa mã hóa tự động được cấp và thay đổi định kỳ.

Tuy nhiên, chế độ Enterprise của WPA2 yêu cầu phải một server nhận thực, thường gọi là RADIUS (Remote Authentication Dial In User Service). Nhưng nếu bạn đang sử dụng Windows Server, bạn có thể sử dụng chương trình IAS (Internet Authentication Service) trong bản Windows Server 2003 R2 hoặc các bản trước đó, hoặc Network Policy Server (NPS) trong Windows Server 2008 và các phiên bản kế tiếp.

Nếu các server hiện tại của người dùng không có chức năng RADIUS, thì vẫn có rất nhiều server miễn phí hay giá rẻ như FreeRADIUS, TekRADIUS, ClearBox và Elektron. Một số điểm truy cập (như HP ProCurve 530 hay ZyXEL NWA 3500, NWA 3166 hoặc NWA 3160-N) thậm chí được nhúng server RADIUS, rất tốt cho các mạng nhỏ. Và nếu không muốn chạy server riêng, thì có nhiều dịch vụ chủ như AuthenticateMyWifi cho người dùng lựa chọn.

Tổng kết

Như vậy, gián điệp Wi-Fi có thể là vấn đề thực sự với các mạng Wi-Fi công cộng. Cách tốt nhất để bảo vệ bản thân là sử dụng kết nối VPN hay ít nhất đảm bảo rằng tại site hay dịch vụ bạn đăng nhập đang sử dụng mã hóa SSL. Và với mạng cá nhân, bạn cũng phải luôn luôn chú trọng về an toàn nội bộ và đảm bảo người dùng này không thể bắt lưu lượng người dùng khác.