ICT+
Introduction to Networks
ั ์ ม ังสงิ ห์
ดร. สุรศกดิ
URL:
E-mail: surasak.mu@spu.ac.th
mungsing@gmail.com
http://www.spu.ac.th/~surasak.mu
1
ICT+ Agenda
SUN 06/07/51 (0900-1200): Overview
(1300-1600): Network Topology and Basic Protocols
SAT 12/07/51 (0900-1200): Principle of Data Communication
SUN 13/07/51 (0900-1200): Guided and Wireless Networks
(1300-1600): Networking Devices and Software
and the Internet
SAT 19/07/51 (0900-1200): Switching and Routing
SUN 20/07/51 (0900-1200): Network Security
(1300-1600): Examination
การร ักษาความปลอดภ ัยบน
เครือข่าย
3
Types of Security
Information Security - ความปลอดภัยของข ้อมูล
 Computer Security - ความปลอดภัยของคอมพิวเตอร ์
 Network Security - ความปลอดภัยของเครือข่าย

4
Need for Security
Some people who cause security problems and why.
5
Security Threats - ภ ัยคุกคามความปลอดภ ัย

Passive attacks (eavesdropping)
 Release of message contents - ลักลอบนาข ้อมูลออกไป
 Traffic analysis – แอบวิเคราะห ์สภาวะการจราจร และสังเกตุ
กระบวนการร ับส่งข ้อมูล
 Difficult to detect because there is no data alteration
 Emphasis on prevention through encryption

่
่
Active attacks - เกียวข
้องกับการแก ้ไขเปลียนแปลงสายข
้อมูล
สายข ้อมูล
่ ้ร ับอนุ ญาต
 Masquerade – ปลอมเป็ นผูใ้ ช ้ทีได
 Replay – ดักจับข ้อมูลโดยไม่ให ้รู ้ตัว แล ้วนามาส่งใหม่โดยมี
วัตถุประสงค ์ร ้าย
่
้ไขบางส่วนของ
 Modification of messages - เปลียนแปลงแก
ข ้อความโดยมีวต
ั ถุประสงค ์ร ้าย
 Denial of Service – ป้ องกันการใช ้งานตามปกติหรือการทาให ้ server
6
Security Requirements
Confidentiality – ความลับของข้อมู ล เฉพาะผู ท
้ ี่
้ งจะสามารถเข้าถึงข้อมู ลได้
ได้ร ับอนุ ญาตเท่านันจึ
้
เท่านัน
่
 Integrity – ความมันคงของข้
อมู ล เฉพาะผู ท
้ ี่
้ งจะสามารถเปลียนแปลง
่
ได้ร ับอนุ ญาตเท่านันจึ
แก้ไขข้อมู ลได้
 Availability - ความพร ้อมให้บริการข้อมู ลเพาะ
กับผู ท
้ ได้
ี่ ร ับอนุ ญาต
 Authenticity - ความสามารถในการพิสูจน์ทราบ
ผู ใ้ ช้

7
Cryptography
The encryption model (for a symmetric-key cipher).
8
Substitution Ciphers

เป็ นวิธก
ี ารแทนตัวอักษรหนึ่ งตัวหรือหนึ่งกลุม
่ ด ้วย
่ ดบังค่าทีแท
่ ้จริง วิธก
้ ่
ตัวอักษรอีกตัวหนึ่ งเพือปิ
ี ารแบบนี ที
เก่าแก่ทสุ
ี่ ดเรียกว่า Caesar cipher
Plaintext:
a b c d e fg h i j k l mn o pqr s t u v wxy z
Ciphertext:
QWERTY UI OPASD FG HJKLZXCVBNM
ตัวอย่างเช่น “attack” จะถูกแปลงเป็ น “QZZQEA”
9
Transposition Ciphers
่ วอักษรยังร ักษาลาดับเดิมของตัวอักษรใน
เป็ นแบบทีตั
่
ข ้อความต ้นฉบับเอาไว ้แต่จด
ั การสับเปลียนตั
วอักษร
่ งหมด
้
เหล่านั้นเป็ นตัวอืนทั
A transposition cipher.
10
One-Time Pads
่ สามารถถอดรหัส (โดยผูท้ ไม่
เป็ นการสร ้าง ciphertext ทีไม่
ี่ ได ้
้
ร ับอนุ ญาต) ได ้ ขันตอนแรกให
้เลือกสายอักขระ (bit string)
่ plaintext ให ้เป็ นสายอักขระแล ้ว
แบบสุม
่ เลือก จากนั้นเปลียน
้
ทาการ exclusive OR สายอักขระทังสองเข
้าด ้วยกันทีละบิต
11
Quantum Cryptography
ื่ สารสญ
ั ญาณผ่านใยแก ้วนาแสงโดยใชหลั
้ กการของ
เป็ นการเข ้ารหัสทีใ่ ชกั้ บการสอ
quantum mechanics ซงึ่ จะมีการใช ้ polarizing filter เพือ
่ ปรับความเข ้มของแสงที่
ลอดออกมา 2 ชุดสาหรับทัง้ ฝ่ ายผู ้รับและฝ่ ายผู ้สง่ คือ rectilinear basis และ diagonal
basis
12
Symmetric Encryption


The only form of encryption prior to late 1970s
Five components to the algorithm
เอกสารหรือข ้อมูลต ้นฉบับ
้
ธก
ี ารเข ้ารหัสข ้อมูล
 Encryption algorithm - ขันตอนวิ
่ ้ในการเข ้ารหัส
 Secret key - กุญแจทีใช
 Ciphertext - ข ้อความใหม่ทผ่
ี่ านการเข ้ารหัสแล ้ว
้
 Decryption algorithm - ขันตอนวิ
ธใี นการถอดรหัสโดยใช ้
กุญแจตัวเดิม


Plaintext-
Two requirements


Strong encryption algorithm
Secure exchange of keys
13
Conventional Encryption Operation
14
Symmetric Encryption Attacks


Cryptanalysis
่ เคราะห ์ขันตอนวิ
้
• เป็ นความพยายามทีจะวิ
ธก
ี ารเข ้ารหัส หากมี
ตัวอย่างของข ้อความก่อนเข ้ารหัสและหลังเข ้ารหัสด ้วยแล ้วก็
่ ้ในการเข ้ารหัสได ้
่ าไปสูก
่ โอกาสทีจะน
่ ญ
ุ แจทีใช
ยิงมี
่ งไปแล ้วและทีจะส่
่ งใหม่ใน
• ถ ้าประสบความสาเร็จ ข ้อความทีส่
่ ้กุญแจดังกล่าวเข ้ารหัสจะถูกถอดรหัสได ้
อนาคตซึงใช
Brute Force
่ ดว่าเป็ นไปได ้ทุกตัวในการ
• เป็ นการพยายามใช ้กุญแจทีคิ
่ านได ้อย่างมีเหตุผล
ถอดรหัส จนกว่าจะได ้ข ้อความทีอ่
่
่
• โดยฉลียแล
้วต ้องใช ้กุญแจในความพยายามถึงครึงของกุ
ญแจที่
้
เป็ นไปได ้ทังหมดจึ
งจะประสบความสาเร็จ
15
Average time Required for Exhaustive Key Search
16
Symmetric Key Encryption Algorithm

Most commonly used symmetric encryption
algorithm are block ciphers.
A block cipher processes the plaintext input in fixed-size blocks and
produce a block of ciphertext of equal size for each plaintext block.

Two most important symmetric algorithms
 DES – Data Encryption Standard
 AES – Advanced Encryption Standard
17
Data Encryption Standard (DES)
่ ความโดดเด่นหลังจากทีเริ
่ มใช
่ ้
เป็ น encryption algorithm ทีมี
งานในปี 1977
่ ก crack
 กุญแจขนาด 56-bit ทาให ้ algorithm นี ง่้ ายเกินไปทีจะถู
ได ้ภายในไม่เกินปี 1998
 ได ้มีการยืดอายุการใช ้ DES โดยใช ้เทคนิ ค triple DES (3DES)




Repeats basic DES algorithm three times, using either two or three
unique keys
Key size of 112 or 168 bits
Drawbacks: Algorithm is sluggish in software, 64-bit block size is
inefficient
18
Data Encryption Standard
The data encryption standard. (a) General outline.
(b) Detail of one iteration. The circled + means exclusive OR.
19
Advanced Encryption Standard



3DES is not a reasonable candidate for long-term
use
National Institute of Standard and Technology (NIST)
proposes AES with equal or better strength than
3DES
AES be symmetric cipher with a block length of 128
bits and support for key lengths of 128, 192, and 256
bits
20
Advanced Encryption Standard
21
Cryptanalysis
22
Encryption across a Packet –Switching Network
23
Location of Encryption Devices

Link encryption




Each vulnerable communications link is equipped on both ends
with an encryption device.
All traffic over all communications links is secured.
Vulnerable at each switch
End-to-end encryption



Encryption process carried out at two end systems
Encrypted data transmitted unaltered across network; destination
shares key with source to decrypt data
Packet headers cannot be secured
24
Symmetric Encryption Key Distribution




Both parties must have the secret key
Key is changed frequently
Requires either manual delivery of keys, or a thirdparty encrypted channel
Most effective method is a Key Distribution Center
(e.g. Kerberos)
25
End-to-End Encryption

Two types of keys
 Session
keys – data are encrypted with one-time session key
 Permanent keys – used between entities for the purpose of
distributing session keys

Required components
 Key distribution center – determines which systems are allowed to
communicate with each other and provides one-time session key for that
connection
 Security service module (SSM) – performs end-to-end encryption
and obtain session keys on behalf of users.
26
Automated Key Distribution
27
Traffic Padding
่ องกันการโจมตีแบบ Cryptanalysis
เพือป้



A function that produces ciphertext output continuously, even in the
absence of plaintext
Continuous random data stream is generated. When plaintext is
available, it is encrypted and transmitted. When input plaintext is
not present, the random data are encrypted and transmitted
Makes it impossible for an attacker to distinguish between true data
flow and noise and therefore impossible to deduce the amount of
traffic
28
Message Authentication
Must verify that contents have not been altered and
that source is authentic
 Approaches

 Authentication
using symmetric encryption
 Authentication without message encryption
 Message authentication code
 One-way hash function
29
Message authentication code (MAC)
30
Message Authentication using One-Way Hash Function
Only sender and receiver share the encryption key.
31
Message Authentication using One-Way Hash Function (cont.)
32
Message Authentication using One-Way Hash Function (cont.)
Technique that uses a hash function but no encryption.
33
Hash Function (H) Requirements






Can be applied to a block of data of any size.
Produces a fixed-length output.
H(x) is relatively easy to compute for any given x
For any given code h, it is computationally infeasible to
find x such that H(x) = h.
For any given block x, it is computationally infeasible to
find y ≠ x with H(y) = H(x).
It is computationally infeasible to find any pair (x, y) such
that H(x) = H(y).
34
Public-Key Encryption


่ ้คีย ์ในการเข ้ารหัสและถอดรหัส
ใช ้วิธก
ี ารเข ้ารหัสทีใช
่ ้ถอดรหัสนั้นไม่สามารถสร ้าง
แตกต่างกัน และคีย ์ทีใช
้
่ ้เข ้ารหัสได ้
ขึนมาจากคี
ย ์ทีใช
การเข ้ารหัส (E) และการถอดรหัส (D) จะต ้องอยู่ใน
่
เงือนไข
3 ประการ
1. D(E(P))=P
่
้
2. เป็ นการยากทีจะสร
้าง D ขึนมาจาก
E
3. E
จะต ้องทนทานต่อวิธก
ี ารถอดรหัสแบบ
chosen plaintext
attack


Asymmetric, involving the use of two separate keys
่
ความเข ้าใจผิดเกียวกั
บการเข ้ารหัสด ้วย public key

คิดว่ามีความปลอดภัยสูงจากการโจมตีแบบ cryptanalysis
35
Public-Key Encryption Components
Plaintext
 Encryption algorithm
 Public and private key
 Ciphertext
 Decryption algorithm

36
Public-Key Encryption Operation
Encryption
37
Public-Key Signature Operation
Authentication
38
Characteristics of Public-Key
Computationally infeasible to determine the
decryption key given knowledge of the
cryptographic algorithm and the encryption
key
 Either of the two related keys can be used for
encryption, with the other used for decryption

39
Steps in Public Key Encryption




Each user generates a pair of keys to be used for the
encryption and decryption of messages.
Each user places one of the two keys in a public register
or other accessible file. This is the public key. The
companion key is kept private.
If Bob wishes to send a private message to Alice, Bob
encrypts the message using Alice's public key.
When Alice receives the message, she decrypts it using
her private key. No other recipient can decrypt the message
because only Alice knows Alice's private key.
40
Digital Signature Process
41
RSA Encryption Algorithm


Developed in 1977, by Ron Rivest, Adi Schamir and Len
Adleman at MIT, first published in 1978
Widely accepted and implemented approach to public-key
่ านมายังไม่มผ
encryption – ในช่วง 25 ปี ทีผ่
ี ู ใ้ ดสามารถ
้ เลย (โดยไม่ทราบคีย ์)
ถอดรหัสวิธก
ี ารนี ได้

For plaintext block M and ciphertext block C





C = Me mod n
M = Cd mod n = (Me)d mod n = Med mod n
Both sender and receiver must know values of n and e;
only receiver knows value of d
Public key of KU = {e, n}
Private key of KR = {d, n}.
42
RSA Encryption Algorithm (cont.)

้
วิธก
ี ารแบบ RSA นั้นนาพืนฐานของทฤษฎี
ตวั เลขมาใช ้ มี
้
ขันตอนการท
างานดังนี ้
่ น prime number ขนาดใหญ่ p และ q
1. เลือกตัวเลขทีเป็
่
(โดยทัวไปขนาด
1024 bit)
2. คานวณ n=p x q และ z=(p-1) x (q-1)
่ น prime number เรียกว่า d
3. เลือกตัวเลขทีเป็
4. หาค่า e ซึง่ e x d =1 mod z
43
RSA
An example of the RSA algorithm.
44
RSA Requirements
It is possible to find values of e, d, n such that
Med = M mod n for all M < n.
 It is relatively easy to calculate Me and Cd for
all values of M < n.
 It is infeasible to determine d given e and n.

 This
requirement can be met with large values of e
and n
45
Approaches to Defeating RSA

Brute force approach: try all possible private keys.
 The
larger the number of bits in e and d, the more secure
the algorithm.
 However, the larger the size of the key, the slower the
system will run.

Cryptanalysis: factoring n into its two prime factors
A
hard problem, but not as hard as it used to be
 Currently, a 1024-bit key size is considered strong enough
for virtually all applications
46
Key Management
Symmetric encryption requires both parties to
share a secret key
 Secure distribution of keys is the most difficult
problem for symmetric encryption
 Public key encryption solves this problem, but
adds the issue of authenticity
 Public key certificates address this issue

47
Public Key Certificate Process
Public-key Certificate consists of a public key plus a User ID of the key owner,
with the whole block signed by the third trusted party.
48
Public Key Certificate Process
1. A public key is generated by the user and submitted
to Agency X for certification.
2. X determines by some procedure, such as a face-toface meeting, that this is authentically the user’s
public key.
3. X appends a timestamp to the public key, generates
the hash code of the result, and encrypts that result
with X’s private key forming the signature.
4. The signature is attached to the public key.
49
Virtual Private Networks (VPNs)




Internet connectivity provides easier access for
telecommuters and off-site employees
Use of a public network exposes corporate traffic to
eavesdropping and provides an entry point for
unauthorized users
A variety of encryption and authentication packages
and products are available to secure and
authenticate remote access
Need for a standard that allows a variety of platforms
to interconnect securely
50
Virtual Private Networks
(a) A leased-line private network. (b) A virtual private network.
51
Applications of IPSec



Secures communications across a LAN, WANs, and/or
the Internet
Can encrypt and/or authenticate all traffic at the IP level
Examples of use:
 Secure
branch office connectivity over the Internet
 Secure remote access over the Internet
 Establishing extranet and intranet connectivity with partners
 Enhancing electronic commerce security
52
Benefits of IPSec





When implemented in a firewall or router, provides
strong security for all traffic crossing the perimeter
IPSec in a firewall is resistant to bypass
Runs below the transport layer (TCP, UDP) and so is
transparent to applications
Can be transparent to end users
Can provide security for individual users if needed
53
An IP Security Scenario
54
IPSec Functions

IPSec provides three main facilities
 authentication-only
function referred to as
Authentication Header (AH)
 combined authentication/encryption function called
Encapsulating Security Payload (ESP)
 a key exchange function

For VPNs, both authentication and encryption
are generally desired
55
IPsec
The IPsec authentication header in transport mode for IPv4.
56
IPsec (2)
(a) ESP in transport mode. (b) ESP in tunnel mode.
57
ESP Transport and Tunneling

Transport Mode




provides protection primarily
for upper-layer protocols.
Typically used for end-to-end
communication between two
hosts
encrypts and optionally
authenticates the IP payload
but not the IP header
useful for relatively small
networks; for a full-blown
VPN, tunnel mode is far more
efficient

Tunnel Mode




Provides protection to the
entire packet
Original packet is
encapsulated in ESP fields,
protecting contents from
examination
Used when one or both ends
is a security gateway
Multiple hosts on networks
behind firewalls may engage
in secure communications
without implementing IPSec
58
Scope of ESP
Encryption and
Authentication
59
IPSec Key Management

Manual
 System
administrator manually configures each system
with its own keys and with the keys of other communicating
systems
 Practical for small, relatively static environments

Automated
 Enables
the on-demand creation of keys for SAs and
facilitates the use of keys in a large distributed system
 Most flexible but requires more effort to configure and
requires more software
60
IPSec and VPNs



Organizations need to isolate their networks and at
the same time send and receive traffic over the
Internet
Authentication and privacy mechanisms of secure IP
allow for security strategy
IPSec can be implemented in routers or firewalls
owned and operated by the organization, allowing
the network manager complete control over security
aspects of the VPN
61
Firewalls
A firewall consisting of two packet filters and an application gateway.
62
E-Mail Security - Pretty Good Privacy(PGP)
ทาการเข ้ารหัสข ้อมูลโดยการใช ้ block cipher เรียกว่า IDEA (International
Data Encryption Algorithm) ใชคี้ ยข
์ นาด 128 bits การบริหารคีย ์ ใชวิ้ ธ ี RSA
และการตรวจสอบความถูกต ้องของข ้อมูลเป็ นแบบ MD5
PGP in operation for sending a message.
63
Web Security
Threats - ภัยคุกคาม
้ ออย่
่ างปลอดภัย
 Secure Naming- การตังชื
 SSL – The Secure Sockets Layer
่
 Mobile Code Security-การใช ้โค ้ดทีปลอดภั
ยสาหร ับ
โมบาย

64
ภัยคุกคาม






่ ความสามารถสูงกว่าโปรแกรมเมอร ์ทัวไป
่
Hackers- ทีมี
Cracker – เว็บไซต ์ยอดนิ ยม เช่น Yahoo, CIA, NASA เคยถูก
โจมตีมาแล ้ว
Denial of Service attack ซึง่ Cracker จะโดมตีด ้วยการส่ง
ข่าวสารจานวนมหาศาลมายังเว็บไซต ์นั้น ทาให ้ไม่สามารถ
บริการได ้ตามปกติ
ปี 1999 Cracker ชาวสวีเดนบุกเข ้าเว็บไซต ์ของ Microsoft
่ ญาตให ้ผูใ้ ดก็ได ้สมารถพิมพ ์
Hotmail แล ้วสร ้าง mirror site ทีอนุ
่ ใ้ ช ้ hotmail แล ้วอ่านข้อความใน email ได ้
ชือผู
Cracker ชาวร ัสเซีย อายุ 19 ปี บุกเข ้าเว็บไซต ์ e-commerce แห่ง
หนึ่ งและขโมยหมายเลขบัตรเครดิตไปกว่า 30,000 ใบแล ้ว
เรียกร ้องเงินจากเจ ้าของเว็บไซต ์ $100,000 เจ ้าของร ้านปฏิเสธ จึง
่ นเทอร ์เน็ ต ทาให ้เจ ้าของบัตร
ประกาศหมายเลขเครดิตการ ์ดไปทัวอิ
สูญเสียเงินไปจานวนมาก
อีกกรณี หนึ่ ง หนุ่ มชาวแคลิฟอเนี ย อายุ 23 ปี ส่ง email เป็ นการ
65
Secure Naming
(a) Normal situation. (b) An attack based on breaking into DNS
and modifying Bob's record.
66
Secure DNS
An example RRSet for bob.com. The KEY record is Bob's
public key. The SIG record is the top-level com server's
signed has of the A and KEY records to verify their
authenticity.
67
SSL—The Secure Sockets Layer
Layers (and protocols) for a home user browsing with SSL.
68
Java Applet Security
Applets inserted into a Java Virtual Machine interpreter inside the browser.
69
70