Mục lục bài họcĐang ở d03-b2
Transmission Performance, Wireless and Network Security
Three different measurements. Bandwidth is the maximum capacity of a link in bits per second. Latency is the delay before data begins to arrive, determined largely by distance and by the number of hops. Throughput is the rate actually achieved, which is lower than bandwidth because of protocol overhead, congestion and retransmission. A satellite link can have high bandwidth and high latency at the same time: it transfers a large file well but makes an interactive video call unpleasant. Confusing these three is the single most common error in this topic.
What limits real performance. The medium — fibre, copper or radio — sets an upper bound. Congestion reduces throughput when many users share a link. Distance and the number of intermediate devices add latency. Interference and obstacles degrade wireless links. Protocol overhead consumes part of the capacity, since every packet carries headers. Compression raises effective throughput by sending fewer bits: lossless compression removes redundancy and can be reversed exactly, and must be used for code and documents; lossy compression discards information that human perception will not miss and achieves far higher ratios, which is why it is used for media.
Wireless. Radio brings mobility, cheap installation with no cabling, and easy addition of devices. Its costs are shared bandwidth among all devices on the same channel, degradation with distance and obstacles, interference from other transmitters, and above all the fact that the signal propagates beyond the walls of the building, so anyone within range can receive it. That last point is why wireless security is a different problem, not merely a harder one.
Security measures and what each actually achieves. Encryption protects confidentiality: an intercepted message is unreadable. Authentication establishes who a party is, through passwords, tokens or biometrics, and is strongest when two independent factors are combined. A firewall filters traffic by rules and controls what may cross the network boundary. A VPN encrypts traffic across a public network so that remote work is as safe as being on site. MAC address filtering is weak, because MAC addresses are transmitted in clear and can be copied. WEP is broken and must not be used; WPA2 and WPA3 are the current standards. Two principles hold generally: security is a stack of independent layers rather than one measure, and the human being is usually the weakest layer, which is why social engineering succeeds against technically strong systems.
Ba đại lượng khác nhau. Băng thông là dung lượng tối đa của một đường truyền, tính bằng bit trên giây. Độ trễ là khoảng chờ trước khi dữ liệu bắt đầu tới, phụ thuộc chủ yếu vào khoảng cách và số chặng trung gian. Thông lượng là tốc độ thực sự đạt được, luôn thấp hơn băng thông vì phần nhãn giao thức, vì tắc nghẽn và vì các lần truyền lại. Một đường vệ tinh có thể vừa băng thông cao vừa độ trễ cao cùng lúc: nó truyền một tệp lớn rất tốt nhưng làm cuộc gọi hình ảnh trở nên khó chịu. Lẫn ba đại lượng này là lỗi phổ biến nhất trong chuyên đề.
Điều gì giới hạn hiệu năng thực tế. Môi trường truyền — cáp quang, cáp đồng hay sóng vô tuyến — đặt ra giới hạn trên. Tắc nghẽn làm giảm thông lượng khi nhiều người dùng chung một đường. Khoảng cách và số thiết bị trung gian làm tăng độ trễ. Nhiễu và vật cản làm suy giảm đường truyền không dây. Phần nhãn giao thức chiếm một phần dung lượng, vì mỗi gói đều mang nhãn. Nén làm tăng thông lượng hữu hiệu bằng cách gửi ít bit hơn: nén không mất mát loại bỏ phần dư thừa và khôi phục lại được chính xác, nên bắt buộc dùng cho mã nguồn và tài liệu; nén có mất mát loại bỏ thông tin mà giác quan con người không nhận ra là thiếu và đạt tỷ lệ nén cao hơn nhiều, nên được dùng cho dữ liệu đa phương tiện.
Mạng không dây. Sóng vô tuyến mang lại tính di động, chi phí lắp đặt thấp vì không phải kéo cáp, và việc thêm thiết bị rất dễ. Cái giá là băng thông bị chia sẻ giữa mọi thiết bị trên cùng một kênh, tín hiệu suy giảm theo khoảng cách và vật cản, nhiễu từ các nguồn phát khác, và trên hết là việc tín hiệu lan ra ngoài tường của toà nhà, nên bất kỳ ai trong vùng phủ đều thu được. Chính điểm cuối làm an toàn mạng không dây trở thành một bài toán KHÁC về bản chất chứ không chỉ là bài toán khó hơn.
Các biện pháp an toàn và điều mà mỗi biện pháp thực sự đạt được. Mã hoá bảo vệ tính bí mật: thông điệp bị chặn lại thì cũng không đọc được. Xác thực xác định một bên là ai, thông qua mật khẩu, thiết bị mã hoặc sinh trắc học, và mạnh nhất khi kết hợp hai yếu tố độc lập. Tường lửa lọc lưu lượng theo quy tắc và kiểm soát cái gì được đi qua ranh giới mạng. Mạng riêng ảo mã hoá lưu lượng đi qua mạng công cộng để làm việc từ xa an toàn như đang ở tại chỗ. Lọc theo địa chỉ MAC là biện pháp yếu, vì địa chỉ MAC được truyền ở dạng không mã hoá nên có thể sao chép. Chuẩn WEP đã bị phá và không được dùng nữa; WPA2 và WPA3 là các chuẩn hiện hành. Hai nguyên tắc đúng trong mọi tình huống: an toàn là một chồng nhiều lớp độc lập chứ không phải một biện pháp duy nhất, và con người thường là lớp yếu nhất — đó là lý do các thủ đoạn lừa đảo xã hội vẫn thành công trước những hệ thống mạnh về kỹ thuật.
Một trường học chuyển từ đường truyền cáp 100 Mb/s có độ trễ 10 ms sang đường vệ tinh 500 Mb/s có độ trễ 600 ms. Người dùng báo rằng tải tệp lớn nhanh hơn hẳn nhưng họp trực tuyến và làm việc với ứng dụng trên máy chủ thì tệ hơn rõ rệt. Giải thích, và nêu cách xử lý.
Vì sao tải tệp lớn nhanh hơn. Với một tệp lớn, thời gian truyền bị chi phối bởi băng thông. Độ trễ 600 ms chỉ ảnh hưởng tới thời điểm byte đầu tiên tới; sau đó dữ liệu chảy liên tục ở tốc độ đường truyền. Với một tệp 500 MB, phần thời gian do độ trễ gây ra chưa tới một giây trong tổng thời gian nhiều giây, nên gần như không đáng kể so với việc băng thông tăng gấp năm lần.
Vì sao họp trực tuyến tệ hơn. Hội thoại theo thời gian thực bị chi phối bởi độ trễ chứ không phải băng thông. Một vòng khứ hồi 1,2 giây nghĩa là khoảng lặng giữa lúc một người nói xong và lúc người kia phản ứng dài hơn một giây, khiến hai bên liên tục nói đè lên nhau. Không lượng băng thông nào sửa được điều này, vì nguyên nhân là quãng đường vật lý mà tín hiệu phải đi qua vệ tinh.
Vì sao ứng dụng trên máy chủ tệ hơn nhiều so với dự đoán. Đây là phần tinh tế và là chỗ ăn điểm. Nhiều ứng dụng thực hiện một chuỗi dài các trao đổi qua lại nhỏ — mỗi thao tác của người dùng có thể kéo theo hàng chục lượt hỏi đáp giữa máy khách và máy chủ. Mỗi lượt tốn một vòng khứ hồi, nên 30 lượt trao đổi nhân với 1,2 giây là 36 giây cho một thao tác lẽ ra chỉ mất chưa tới một giây trên đường cáp. Vấn đề nằm ở số lượt trao đổi, không nằm ở lượng dữ liệu.
Thông lượng là đại lượng thứ ba và cũng bị ảnh hưởng. TCP điều chỉnh tốc độ gửi dựa trên các báo nhận nhận về. Với độ trễ rất lớn, bên gửi phải chờ lâu mới biết dữ liệu đã tới, nên nếu cửa sổ gửi không đủ lớn thì thông lượng thực tế thấp hơn hẳn băng thông danh nghĩa dù đường truyền hoàn toàn rảnh.
Cách xử lý. Giữ đường vệ tinh cho tải xuống khối lượng lớn, sao lưu và cập nhật — những việc chịu được độ trễ. Giữ hoặc thuê một đường cáp có độ trễ thấp, dù băng thông nhỏ hơn, dành cho hội họp trực tuyến và cho các ứng dụng nhiều lượt trao đổi, rồi định tuyến lưu lượng theo loại. Với chính các ứng dụng đó, giảm số lượt trao đổi bằng cách gộp nhiều yêu cầu vào một và lưu đệm dữ liệu ở phía máy khách. Nguyên tắc rút ra: tăng băng thông giải quyết vấn đề khối lượng, không giải quyết vấn đề độ trễ, và chỉ có thiết kế lại ứng dụng mới giảm được số lượt trao đổi.
Một trường học có mạng Wi-Fi phủ cả khuôn viên, dùng chung cho giáo viên, học sinh và khách. Hãy đề xuất các biện pháp an toàn theo lớp, và nêu rõ mỗi biện pháp bảo vệ được điều gì và KHÔNG bảo vệ được điều gì.
Lớp 1 — mã hoá đường truyền bằng WPA3, hoặc tối thiểu là WPA2. Bảo vệ được: tính bí mật của lưu lượng trong không khí, nên người ngồi ngoài cổng trường bắt sóng cũng không đọc được nội dung. Không bảo vệ được: bất cứ điều gì sau khi người dùng đã được kết nối. Chuẩn WEP tuyệt đối không được dùng vì đã bị phá hoàn toàn và có thể bị bẻ khoá trong vài phút.
Lớp 2 — tách mạng bằng mạng cục bộ ảo. Chia thành ba mạng lôgic riêng: giáo viên, học sinh và khách. Bảo vệ được: nó giới hạn thiệt hại — một máy của học sinh bị nhiễm mã độc không thể tấn công máy chủ điểm số nằm trong mạng giáo viên, và mạng khách hoàn toàn không tiếp cận được tài nguyên nội bộ. Đây là biện pháp có hiệu quả cao nhất trên mỗi đồng chi phí ở tình huống này. Không bảo vệ được: một tài khoản giáo viên bị đánh cắp vẫn có toàn quyền của giáo viên.
Lớp 3 — xác thực từng người dùng thay vì một mật khẩu Wi-Fi dùng chung. Bảo vệ được: nó cho phép truy vết ai đã làm gì, cho phép thu hồi quyền của một người mà không phải đổi mật khẩu cho cả trường, và ngăn việc mật khẩu chung bị lan truyền ra ngoài. Với tài khoản giáo viên nên bật xác thực hai yếu tố, vì đó là các tài khoản có quyền cao. Không bảo vệ được: người dùng tự nguyện đưa mật khẩu cho kẻ lừa đảo.
Lớp 4 — tường lửa và lọc nội dung ở ranh giới mạng. Bảo vệ được: kiểm soát lưu lượng ra vào theo quy tắc, chặn các cổng không cần thiết và các địa chỉ đã biết là độc hại. Không bảo vệ được: lưu lượng đi giữa hai máy bên trong cùng một mạng, vì nó không đi qua ranh giới.
Lớp 5 — mạng riêng ảo cho truy cập từ xa. Bảo vệ được: giáo viên làm việc từ nhà hoặc từ mạng Wi-Fi công cộng vẫn có đường hầm mã hoá tới trường. Không bảo vệ được: một máy tính cá nhân đã nhiễm mã độc, vì mạng riêng ảo chỉ bảo vệ đường truyền chứ không kiểm tra thiết bị đầu cuối.
Vì sao lọc theo địa chỉ MAC không nên tính là một lớp thực sự. Địa chỉ MAC được truyền ở dạng không mã hoá trong mỗi khung, nên bất kỳ ai nghe trộm cũng đọc được một địa chỉ hợp lệ và đặt lại địa chỉ máy mình thành địa chỉ đó. Nó tạo cảm giác an toàn giả trong khi tốn công quản lý danh sách rất lớn.
Lớp cuối cùng và cũng là lớp yếu nhất — con người. Phần lớn xâm nhập thành công không phá vỡ mã hoá mà thuyết phục một người tự đưa thông tin đăng nhập. Vì vậy đào tạo nhận biết thư lừa đảo, quy định rõ rằng bộ phận kỹ thuật không bao giờ hỏi mật khẩu, và một quy trình đơn giản để báo cáo sự cố đáng ngờ là biện pháp có giá trị ngang với các lớp kỹ thuật ở trên.
Bẫy 2 — coi lọc địa chỉ MAC là biện pháp an toàn thực sự. Địa chỉ MAC truyền ở dạng không mã hoá nên sao chép được dễ dàng; nó chỉ tạo cảm giác an toàn giả.
Bẫy 3 — nói mã hoá bất đối xứng an toàn hơn nên nên dùng cho mọi thứ. Nó chậm hơn hàng trăm lần. Hệ thống thật dùng mô hình LAI: bất đối xứng chỉ để trao đổi khoá phiên, rồi đối xứng cho toàn bộ dữ liệu.
Đọc xong rồi — làm thử ngay
Bài tập của chương Networks gồm 14 câu trắc nghiệm và 5 đề tự luận. Đáp án hiện ngay khi chọn, miễn phí.