Tìm hiểu về thuật toán bảo mật blowfish

Tìm hiểu về thuật toán bảo mật Blowfish

Mục lục :

I. Tổng quan

1. Bảo mật – an ninh mạng

1.1. Nguy cơ an ninh mạng

1.2. Chúng ta cần bảo vệ gì ?

1.3. Các kiểu tấn công mạng

1.4. Xu hướng bảo mật

1.5. Các dịch vụ an ninh mạng

1.6. Các cơ chế an ninh mạng

2. Mã hóa

2.1.Khái niệm chung

2.2.Mã hóa đối xứng

2.3.Mã hóa bất đối xứng

3. Một số thuật toán mã hóa

3.1.Các thuật toán mã hóa bất đối xứng

3.2.Các thuật toán mã hóa đối xứng

3.3.Hàm Hash

3.4 Chữ ký số - Chứng thực

II. Thi hành Blowfish

1. Lịch sử - Xuất xứ thuật toán Blowfish

2. Ứng dụng của Blowfish

3. Nghiên cứu về mã hóa đối xứng

3.1 Mô hình mã hóa đối xứng

3.2 Mật mã khối

4. Thuật toán Blowfish

III. Kết luận

IV. Demo

I. Tổng quan

1. Vấn đề bảo mật , an ninh mạng

1.1. Nguy cơ chung

Mục tiêu của việc chúng ta nối mạng là để nhiều người có thể dùng chung

tài nguyên từ những vị trí địa lý khác nhau, chính vì thế mà các tài nguyên sẽ rất

phân tán, dẫn đến một điều tất yếu là dễ bị xâm phạm gây mất mát dữ liệu, thông

tin. Càng giao thiệp rộng thì nguy cơ bị tấn công càng lớn . Trên mạng , mọi nguy

cơ đều có thể nguy hiểm và các lỗi hệ thống , khe hở lớn nhỏ đều có nguy cơ gây

ra thiệt hại như nhau .

Mạng Internet đã làm thay đổi cuộc sống của con người, làm thay đổi

công việc kinh doanh làm cho nó trở nên dễ dàng hơn. Nhưng đồng thời với lợi

ích to lớn của nó, mạng Internet cùng với các công nghệ liên quan đã mở ra một

cánh cửa làm tăng số lượng các vụ tấn công vào những công ty , cơ quan và cả

những cá nhân, nơi lưu giữ những dữ liệu nhạy cảm như bí mật Quốc gia, số liệu

tài chính, số liệu cá nhân... Hậu quả của các cuộc tấn công này có thể chỉ là phiền

phức nhỏ, nhưng cũng có thể làm suy yếu hoàn toàn, các dữ liệu quan trọng bị

xóa, sự riêng tư bị xâm phạm, và chỉ sau vài ngày, thậm chí vài giờ sau, toàn bộ

hệ thống có thể bị tê liệt hoàn toàn.

Các nhận định sai lầm :

+ Thông tin bị mất thường là do các kẻ tấn công bên ngoài đột nhập và

đánh cắp . Thực tế thì 80% dữ liệu bị mất là do những người bên trong hệ thống

gây ra .

+ Chỉ cần mã hóa dữ liệu là đủ khả năng bảo mật dữ liệu . Thực chất mã

hóa chỉ là một bước trong một cơ chế bảo mật mà thôi .

a. Tình hình thế giới :

Theo kết quả khảo sát do viện An ninh Mát tính CSI phối hợp cùng với

Cục điều tra Liên bang Mỹ FBI thì các vụ đánh cắp thông tin mật gây thiệt hại lớn

nhất là 2,7 tr USD mỗi vụ .

Theo báo Computer Economics thì chỉ tính riêng năm 2003 , các loại sâu

và virus máy tính đã gây thiệt hại 12,5 tỷ USD . Và chiều hướng các năm sau thì

thiệt hại ngày càng gia tăng .

Theo nhóm nghiên cứu thị trường Meta Group :

+ Chỉ có khoảng 8-10% ngân sách CNTT dành cho vấn đề bảo mật

và an toàn thông tin . Nhưng theo dự đoán thì tỷ lệ này ngày càng gia tăng .

+ Thị trường an ninh CNTT Châu Á đã tăng trưởng trên 20% từ

giai đoạn sau năm 2003 đến nay , con số này lớn gấp gần 2 lần tỷ lệ tăng trưởng

của thị trường dịch vụ CNTT nói chung.

b. Ở Việt Nam :

Chưa bao giờ vấn đề bảo mật và an toàn dữ liệu lại được coi trọng như

hiện nay, trong bối cảnh mạng máy tính phá bỏ mọi ngăn cách , mọi lúc , mọi

nơi , người ta đều có thể lấy được thông tin , dữ liệu cần thiết . Thông tin đã trở

thành một nguồn tài nguyên quan trọng đối với các tổ chức , doanh nghiệp , cá

nhân . Con người tập trung nhiều sức lực , trí tuệ để có thông tin nhanh , chính

xác . Ai có thông tin ,kẻ đó chiến thắng . Bởi vậy , thông tin đã trở thành mục tiêu

săn đuổi .

Với sự phát triển của CNTT , hầu như mọi thứ đều được số hóa , đặc biệt

là thông tin . Soạn thảo hợp đồng , văn bản bằng word . gửi thư qua các dịch vụ e￾mail , thanh toán qua thẻ tin dụng … nói chung , mọi người làm việc , giao dịch

đều qua máy tính và mạng . Ta không thể làm khác đi bởi sẽ bị cô lập , sẽ luôn

chậm hơn và mất khả năng cạnh tranh , dẫn tới thua cuộc . Do đó , các thông tin ,

dữ liệu người dùng luôn là mục tiêu bị tấn công . Người dùng phải có các phương

thức phòng chống , bảo mật .

Tại Việt Nam , vấn đề bảo mật hệ thống thông tin bắt đầu nóng dần lên và

đang sẵn sang cho nhu cầu bảo mật từ quy mô nhỏ đến lớn .

1.2. Chúng ta cần bảo vệ gì ?

a. Dữ liệu

+ Tính bảo mật : phân quyền sử dụng dữ liệu đúng , ngăn chặn

việc khám phá trái phép các dữ liệu và đảm bảo xác thực nguồn gốc dữ liệu .

+ Tính toàn vẹn : không bị sửa đổi trái phép , gây hỏng

+ Tính kịp thời ( tính sẵn sàng ) : ngăn chặn , không cho phép làm

trễ dữ liệu và chống chối bỏ .

b. Tài nguyên

Tài nguyên máy tính của các cá nhân có thể bị lợi dụng bởi những kẻ tấn

công để tạo ra các khe hở , các nguy cơ cho các cuộc tấn công khác . Do đó .

chúng ta cần phải bảo vệ tài nguyên .

c. Danh tiếng

1.3. Các kiểu tấn công :

Một cách phân loại các tấn công an ninh, sử dụng cả X.800 và RFC 2828,

là phân biệt chúng thành các tấn công thụ động và các tấn công chủ động. Tấn

công thụ động cố gắng tìm hiểu hoặc sử dụng thông tin trong hệ thống nhưng

không động chạm đến tài nguyên hệ thống. Tấn công chủ động sẽ cố gắng làm

xáo trộn, biến đổi tài nguyên hệ thống hoặc áp đặt các hành động của chúng vào

hệ thống.

a.Tấn công thụ động:

Các tấn công thụ động là các hành động nghe/xem trộm hay theo dõi các

hành động và thông tin chuyển phát. Mục đích của kẻ tấn công là lấy thông tin

được truyền phát. Hai kiểu tấn công thụ động là làm thất thoát nội dung thông

điệp và phân tích liên lạc (còn gọi là phân tích giao thông – traffic analysis).

Việc thất thoát nội dung thông điệp có thể hiểu đơn giản như sau : Một

cuộc đàm thoại, một thư điện tử và một tập tin được truyền đi có thể chứa các

thông tin nhạy cảm, bí mật. Chúng ta mong muốn chống lại những kẻ tọc mạch

muốn tìm hiểu các thông tin này.

Một loại khác của tấn công thụ động, phân tích liên lạc, do kẻ cực kỳ tinh

vi, xảo quyệt . Giả sử rằng chúng ta sẵn có một cách để ẩn giấu nội dung các

thông điệp hay các thông tin kỹ thuật vận chuyển, mà một kẻ rình mò, kể cả khi

có bắt được thông điệp cũng không khai thác được thông tin trong thông điệp đó.

Kỹ thuật chung để ẩn giấu nội dung là mã hóa. Nếu ta sẵn có bảo vệ mã hóa tại

chỗ, thì đối phương vẫn có khả năng quan sát khuôn mẫu của các thông điệp này.

Kẻ trộm xảo quyệt có thể xác định vị trí và nhận dạng của các bên truyền thông

liên quan và có thể theo dõi tần số và độ dài của thông điệp được truyền. Thông

tin này rất có thể hữu ích để phỏng đoán về nội dung mà cuộc liên lạc đã diễn ra.

Tấn công thụ động là vô cùng khó phát hiện, bởi nó chẳng đòi hỏi một sự

thay đổi thông tin nào. Thông thường, các thông điệp được gửi và nhận với dáng

vẻ bề ngoài không có gì bất thường, nguời nhận cũng như người gửi không nhận

biết được thông tin đã bị đọc lén bởi một kẻ thứ ba hay theo dõi quá trình truyền

nhận. Tuy nhiên, có khả năng chống lại một cách thành công các loại tấn công

này, thường là bằng biện pháp mã hóa. Vì thế, chúng ta nhấn mạnh rằng, để

đương đầu với các tấn công thụ động thì biện pháp chủ yếu là chống lại chứ

không phải là phát hiện.

b.Tấn công chủ động:

Các tấn công chủ động đòi hỏi sự sửa đổi trong luồng dữ liệu hay đòi hỏi

tạo ra một luồng dữ liệu sai khác, và có thể được chia nhỏ thành bốn loại: giả

dạng (masquerade), nhại lại (replay), sửa thông điệp (modification of message),

và từ chối dịch vụ (denial of service).

Sự giả dạng diễn ra khi một thực thể có ý định là một thực thể khác. Một

tấn công giả dạng thường kèm theo một trong các dạng còn lại của tấn công chủ

động. Ví dụ, các chứng thực tuần tự có thể bị đoạt mất và rồi nhại lại sau một

phiên chứng thực tuần tự diễn ra hợp lệ. Điều này trao cơ hội cho một thực thể giả

dạng được cấp phép một số quyền, để từ đó, khai thác thêm một số quyền khác

nữa bằng cách thủ vai, giả dạng, của một thực thể có quyền thực sự.

Tấn công nhại lại đòi hỏi việc bắt giữ một cách thụ động một đơn vị dữ

liệu và cả bản sao của đơn vị dữ liệu này được truyền lại sau thời gian trễ nhất

định để tạo ra một hiệu ứng trái phép .

Sửa thông điệp đơn giản là kiểu tấn công mà một phần nào đó của thông

điệp hợp lệ bị thay thế, hoặc thông điệp đó bị trì hoãn, hay bị sắp xếp lại để đưa ra

một hiệu ứng trái phép . Chẳng hạn, một thông điệp với ý nghĩa: “Cho phep Mr.A

doc tap tin bi mat accounts” bị sửa thành “Cho phep Mrs.B doc tap tin bi mat

accounts”.

Từ chối dịch vụ chống lại hoặc cấm đoán việc sử dụng bình thường hay là

quản lý sự thuận lợi trong liên lạc . Loại tấn công này thường có các mục tiêu chỉ

định; ví dụ, một thực thể có thể chặn lại tất cả các thông điệp trực tiếp đến một

đích, một địa chỉ cụ thể (chẳng hạn là dịch vụ kiểm tra an ninh). Một dạng khác

của từ chối dịch vụ là gây “sập” mạng bằng cách hoặc là vô hiệu hóa toàn mạng,

hoặc là làm cho mạng quá tải bởi các thông điệp và làm cho hoạt động mạng suy

biến tồi tệ.

Tấn công chủ động là các hình thức tấn công có các đặc trưng ngược lại

với tấn công thụ động. Trong khi tấn công thụ động rất khó để phát hiện, các biện

pháp và phương tiện đo lường có thể được đưa ra để chống lại. Ngược lại, hết sức

khó để chống lại hoàn toàn các tấn công chủ động, bởi vì có rất nhiều tính dễ tổn

thương về vật lý, phần mềm và mạng. Thay vì chống lại, mục tiêu là phát hiện các

tấn công chủ động và phục hồi lại các tổn thất chúng gây ra. Nếu phát hiện tốt các

tấn công chủ động, thì nó có thể đóng góp cho các biện pháp chống lại.

1.4. Các xu hướng bảo mật :

Năm 1994, Ủy ban Kiến trúc Internet (Internet Architecture Board - IAB)

phát hành một báo cáo nhan đề “An ninh trong kiến trúc Internet” (RFC 1636).

Báo cáo phát biểu về sự nhất trí chung rằng Internet cần có an ninh tốt hơn nữa,

và nó chỉ ra các lĩnh vực quan trọng cho các cơ chế an ninh. Các lĩnh vực này

gồm sự cần thiết bảo vệ cơ sở hạ tầng mạng khỏi sự xâm nhập hay theo dõi trái

phép, hay điều khiển bất hợp pháp hoạt động mạng, và sự cần thiết bảo mật toàn