Bảo mật, quản lý động và QoS trong Mobile IP

Chương 4. Bảo mật, quản lý động và QoS trong Mobile IP 4.1. Bảo mật và Vo802.11 Hệ thống điện thoại truyền thống có nhiều lỗ hổng để xâm nhập. Khi mà những công nghệ đó phát triển không đủ nhanh để hỗ trợ bảo mật tốt cho nhà khai thác. Vo802.11 phải khắc phục được những lo lắng về vấn đề an toàn của khách hàng trong mạng. Nỗi sợ hãi về sự nghe trộm và gian lận có thể làm giảm nhu cầu sử dụng của khách hàng. Chương này mô tả tiêu chuẩn bảo mật và phương pháp bảo mật cho mạng 802.11. Không giống những hệ thống có dây, được bảo vệ ở tầng vật lý, mạng không dây không bị giới hạn trong toà nhà, tín hiệu có thể thu được ở cự ly vài trăm mét với một laptop và một anten làm cho WLAN tồn tại những điểm yếu để tấn công. Kỹ thuật bảo vệ đầu tiên được đưa ra là Wireless Equivalency Protocol, nó là một giao thức mã hoá, được thiết kế để có được tính năng như mạng có dây. Chuẩn sử dụng là 40 và 128 bit (thực tế thì chỉ 104bits) cho mã hoá và ở lớp link, với thuật toán RC4 do chính phủ Mỹ đưa ra. 802.11i được đưa ra với sự hỗ trợ WEP cho bảo mật. Theo Wi-Fi Alliance, những tổ chức nhỏ nên turn on WEP ở mức tối thiểu, dùng password bảo vệ cho những tài nguyên dùng chung, thay đổi tên mạng từ Service Set ID (SSID), dùng bộ lọc địa chỉ MAC, dùng key phiên, và hệ thống mạng VPN và những phương pháp khác cho tổ chức lớn hơn. IEEE 802.11b, dựa trên hai kỹ thuật bảo mật là : (1) SSID và (2) WEP. Một số nhà sản xuất còn đưa bộ lọc địa chỉ MAC và sản phẩm của họ. SSID- service set ID SSID là một chuỗi dùng để xác định các miền giữa nhiều điểm truy cập (access points –AP) điều này cho phép sự chồng lấn trong mạng không dây. Nó được xem như là một password cơ bản để chống các client kết nối vào mạng, tuy nhiên có thể tấn công dễ dàng bởi Aps quảng bá những SSIDs nhiều lần trong 1s,và bất kỳ công cụ phân tích 802.11 nào như là Airmagnet, Netstumbler, hay Wildpackets Airopeek có thể đọc được nó. Người sử dụng thường cấu hình những clients, và password dễ dàng bị phát hiện. WEP-Wireless Equivalency Protocol. IEEE 802.11b dùng WEP để thẩm quyền truy cập mạng và mã hoá chống nghe trộm cho dữ liệu. Có 4 chọn lựa cho WEP: 1.Không dùng WEP 2.Chỉ mã hoá 3.Chỉ thẩm định quyền 4.Cả mã hoá và thẩm quyền WEP encryption dựa vào RC4, dùng key 40bit kết hợp với một vector 24bit khởi tạo ngẫu nhiên để mã hoá dữ liệu truyền không dây.(điều này cũng giống với mã hoá 64b). Có thể dùng chung WEP key cho tất cả client và Aps. Hầu hết các nhà sản hiện nay sử dụng 128b WEP (104bit key), để tăng sức mạnh mã hoá. Chế độ này không phải là chuẩn của IEEE 802.11b, phụ thuộc vào các nhà sản xuất, một trong số chúng không tương thích với nhau. WEP còn định nghĩa một giao thức thẩm quyền, có hai dạng cho 802.11b là : open system (cho phép truy cập tuỳ ý, không thẩm quyền và mã hoá dữ liệu, dùng cho nơi công cộng) và shared key (AP gửi một thông điệp thẩm quyền cho client, client dùng shared key để mã hóa thông điệp đó, và gửi trả lại cho AP, nếu AP giải mã đúng thì client có quyền truy cập ). Do cả “challenge pharse” (ở dạng cleartext) và khả năng kiểm tra thường xuyên, hacker có thể bẻ khoá WEP. Vì vậy cả open system và shared key đều không an toàn. Việc phân phối các key dựa trên một dịch vụ quản lý bên ngoài để phân phối các secret key đến mỗi trạm, và không phải là một dịch vụ chỉ định, việc truy cập được xử lý một cách thủ công, các key sẽ tồn tại tĩnh trong quá trình trao đổi, ngoại trừ được thay đổi bởi nhà quản trị. Nguyên nhân khách quan là bản chất tĩnh của các key và quá trình xử lý thủ công tuần tự, dẫn đến việc thay đổi key sẽ tốn một lượng thời gian lớn trong mạng. Khi một trạm có vấn đề, key sẽ được thay đổi đến tất cả các trạm trong mạng. WEP hầu như cung cấp 4 shared key. Chúng được dùng chung cho tất cả client và Aps mỗi khi một client truy cập vào mạng. Hacker có đủ thời gian và công cụ dowload từ web để xác định key . MAC Address Filtering MAC address filter chứa địa chỉ MAC của wireless NIC đã được kết hợp với mỗi AP. Một số nhà sản xuất cung cấp công cụ để tự động quá trình update và entry. MAC filter cũng không đảm bảo do địa chỉ MAC có thể lấy được bởi một bộ sniffer (bộ phân tích mạng). Sau đó dùng Linux driver cho những card 802.11 để cấy hình địa chỉ MAC đã được sniffed và truy cập trở lại mạng. Những mối nguy hiểm bảo mật Mối nguy hiểm có thể đến từ hacker, người cộng tác, từ bên trong, người thầu dự án, cá nhân bất bình trong công ty. 4.1.1. Mô hình bảo mật WLAN Hình 4.1. Những kiểu tấn công và hướng tấn công trong WLAN Có 4 lớp tấn công hệ thống chính : interception, fabrication, modification, and interruption, lớp thứ 5 là Repudiation, chống lại thông tin tài khoản, có thể tấn công cả hệ thống nguồn lẫn đích. Trong trường hợp bình thường, thông tin được gửi từ nguồn đến đích. Khi một cuộc tấn công xảy ra nó có thể đến từ những dạng trong danh sách sau: Interception-Chặn gói tin Đối tượng tấn công có thể chặn gói tin để đọc thông tin được gởi từ nguồn đến đích. Sniffing là một ví dụ. Hacker cố gắng lấy thông tin hoặc định dạng thông tin bằng cách phân tích lưu lượng trong hệ thống rồi suy luận ra mà không ảnh hưởng đến nguồn. Phần thị thực của đối tượng nguồn có thể bị chặn và sẽ được sử dụng dưới dạng giả danh, thông thường hacker đưa ra một bản tin như là thông tin nhận thực, password, số thẻ tín dụng, hay những thông tin nhạy cảm khác. Fabrication-Nặc danh Tấn công tích cực vào thẩm quyền, hacker giả vờ như là một thực thể nguồn ví dụ như là những gói bị spoofed và email giả dạng. WEP có hai kỹ thuật thẩm quyền là là open system và shared key. Man-in-the-Middle Attacks Hình 4.2. mô tả man in middle attack Spoofing DNS spoofing, bằng cách gởi một DNS response đến một DNS server trong mạng, IP address spoofing phụ thuộc vào router, chỉ kiểm tra IP address đích hay cả IP gửi. Có thể chống loại tấn công này bằng thẩm định IP addr gửi. Insertion Attacks-tấn công chèn Cấu hình hay chèn bất hợp pháp một thiết bị để truy cập vào mạng gọi là tấn công chèn. Bằng cách cài đặt những card mạng không dây ở gần mục tiêu, thiết bị có thể cấu hình để truy cập. Những AP không thẩm quyền có thể được cài đặt để đưa người dùng truy cập vào AP của hacker. Nếu những AP này đặt sau firewall thì mối nguy hiểm càng lớn hơn. Brute-Force Password Attacks Là phương pháp crack password, nó sử dụng một từ điển và cố gắng lặp đi lặp lại để truy cập vào mạng. Loại tấn công này có khả năng cho thẩm quyền bằng password. Invasion và Resource Stealing Một khi một hacker biết được cách thức điều khiển một WLAN, họ sẽ có thể chiếm quyền điều khiển mạng hay trạm truy cập đó. Đánh cắp một trạm truy cập bằng cách giả một địa chỉ MAC có thẩm quyền và dùng nó gán cho IP address. Chờ cho hệ thống chủ ngừng hoạt động thì hacker sẽ đưa hệ thống giả lên mạng và chờ người dùng đăng nhập. Modification Modification là một loại tấn công tích cực, hacker thay đổi thông tin đã được gửi từ một nguồn. Chèn một Trojan hay virus là một ví dụ. Rất dễ dàng tấn công modification với WEP mà không bị phát hiện, vì ICV là một hàm tuyến tính, chỉ sử dụng phép cộng và nhân: crc(x XOR y) = crc(x) XOR crc(y) Với việc kiểm tra tính toàn vẹn bằng CRC-32, có thể thay đổi một hay nhiều bits trong gói hay dự đoán bit nào trong checksum cần thay đổi. Mất thiết bị Đây là một vấn đề được chú ý bởi FBI, bởi dữ liệu nằm trong thiết bị đó có thể được dùng để truy cập mạng có dây một cách có thẩm quyền. Do virus Đã có một số loại virus xuất hiện trên điện thoại di động, như là VBS/Timo-A và LoveBug, như là khả năng gửi những message. Replay-tấn công lặp Replay là một kiểu tấn công tích cực dựa vào tính toàn vẹn, khi hacker gửi lại những thông tin được gửi từ nguồn đến đích. Bảo mật 802.11 cơ bản không bảo vệ chống relay, nó không chứa số tuần tự hay nhãn thời gian. Bởi vì IV và keys có thể reused, cho nên có khả năng replay bản tin với cùng IV mà không phát hiện bị chèn những bản tin giả vào hệ thống, Mỗi gói phải được thẩm quyền không chỉ là mã hoá không, hay phải có số tuần tự và nhãn thời gian. Reaction- dò phản ứng Là một kiểu tấn công tích cực, những gói được gởi bởi hacker đến đích, và những phản ứng sẽ được giám sát, ngoài ra thông tin có thể được học từ những kênh mới Interruption - ngắt dịch vụ Hacker chặn thông tin gửi từ nguồn, nó được xem như là tình trạng ngắt trong quá trình truyền, như là tấn công từ chối dịch vụ denial-of-service và network flooding. Bằng cách làm tràn băng thông của toàn mạng bằng cách dùng ARP flooding, ping broadcasts, TCP SYN flooding, queue flooding, smurfs, synk4, và những biện pháp flood khác. Có thể dùng biện pháp vật lý như nhiễu RF để làm ngắt mạng Denial of Service Attacks -từ chối dịch vụ Có nhiều loại tấn công phụ thuộc vào loại tài nguyên bị khoá (không gian đĩa, băng thông, bộ nhớ nội, bộ đệm…). Trong trường hợp đơn giản tạm dừng dịch vụ khi không thể ngăn chặn được, còn không thì giới hạn tài nguyên sử dụng. Mạng không dây, kẻ tấn công có thể dùng thiết bị chuyên dụng để làm nhiễu sóng và ngắt dịch vụ đến mạng. Repudiation -từ chối bản tin Đây là loại tấn công tích cực dựa trên chức năng thừa nhận các bản tin của nguồn và đích. Làm cho bên nguồn từ chối gửi và cả đích từ chối nhận bản tin. 4.1.2. Kiến trúc mạng với WLAN Có sự ngăn chặn người dùng Lan và các điểm truy cập không dây bằng firewall như hình sau: Hình 4.3. Tính động và bảo mật. Trong trường hợp di động, giải pháp phải bảo mật phải áp dụng cho quá trình handoff, nó xuất hiện lỗ hổng cho tấn công tái định hướng, kẻ tấn công có thể giao tiếp với đích sau khi quá trình chuyển giao xảy ra. Chính sách bảo mật Được đưa ra như bảng 4.1 sau: 4.1.3. Wi-Fi Protected Access WPA dùng Temporal Key Integrity Protocol (TKIP), mức độ mã hoá cao hơn WEP, sử dụng key hashing (KeyMix) và message integrity check (MIC). TKIP còn dùng một rapid-rekeying(rekey) protocol để thay đổi key mã hoá sau 10000 gói. Tuy nhiên nó cũng không loại bỏ những thuộc tính của bảo mật wifi, một khi tấn công được TKIP, có thể điều khiển truy cập và thẩm quyền. Có hai chế độ làm việc là “preshared” key mode cho bảo mật thấp, chỉ đơn giản là nhập network key vào bộ truy cập.Trong chế độ quản lý, sẽ có các dịch vụ thẩm quyền, đòi hỏi hỗ trợ 802.1X và EAP. Cho phép client network adapter thoả thuận với một server thẩm quyền thông qua một AP, bằng cách trao đổi các phiên key bảo mật. Các thiết bị mạng không dây phải được upgrad WPA để sử dụng nó, việc cài đặt WEP mà mặc định, có thể cài song song WEP và WAP. Với 802.11i có hỗ trợ một thuật toán mã hoá mới gọi là Advanced Encryption Standard (AES), thay thế RC4, điều này yêu cầu phải thay đổi phần cứng. Ngoài ra còn có secure fast handoff preauthentication, secure deassociation và deauthen-tication , security cho peer-to-peer communications (ad hoc mode). Những sản phẩm có chuẩn 802.11i được gọi là “Wi-Fi WPA2-certified” . 4.1.4. 802.1x và EAP Advanced Security 802.1x standard cung cấp nền tảng thẩm quyền cho WLANs, cho phép thẩm quyền người dùng thông qua một trung tâm thẩm quyền. Thuật toán sử dụng đa dạng và bảo mật. Giải pháp dựa trên chứng thực như EAP-TLS (transport layer security), dựa trên password như EAP-OTP và EAP-MD5, thẻ thông minh như EAP-SIM, hỗn hợp như EAP-TTLS dùng cả chứng thực và password. Nó sử dụng một giao thức có sẵn là EAP(RFC 2284), làm việc trên ethernet, token ring, wireless Lan để trao đổi các bản tin trong quá trình thẩm quyền. 802.1x Network Port Authentication Có 3 thành phần chính: thành phần yêu cầu (client software), bộ thẩm định (access point), và server thẩm định (cho dịch vụ từ xa). Trình tự thẩm quyền như sau: client gửi một thông điệp bắt đầu cho AP, AP phát hiện thông điệp, và mở một cổng thẩm quyền, chỉ cho thông điệp 802.1x/EAP đi qua, mọi lưu lượng khác bị chặn lại. Hình 4.4. Thẩm quyền trong 802.1x Client sau đó gửi một thông điệp bắt đầu EAP, AP đáp ứng với một thông điệp yêu cầu nhận thực cho client. Gói EAP-response của client chứa chứng thực, và được chuyển đến server thẩm quyền. Server sẽ trả lời bằng cách chấp nhận hoặc từ chối, nếu chấp nhận nó sẽ mở port cho giao tiếp. EAP Extensible Authentication Protocol EAP đuợc thiết kế để đáp ứng khả năng mềm dẻo, áp dụng cho thẩm quyền một số mạng. Được phát triển cho giao thức Point-to-Point (dùng số để thẩm quyền), IETF chuẩn hóa bằng cách dùng EAP. IEEE 802.1x dùng EAP như là phần nền, nó cho phép switch và AP có thể hỗ trợ nhiều phương pháp chứng thực khác nhau. Lúc này các switch và AP như là các điểm trung gian cho EAP, có thể thêm các phương pháp thẩm quyền khác mà không cần cài đặt, bằng cách cài đặt phần mềm ở host và server thẩm quyền. Do không cần phải đóng gói các packet như VPN, IEEE 802.1x có thể đạt tốc độ 11Mbps (802.11) cho đến 10+Gbps, bằng cách upgrade firmware các switch, không cần phải mua các phần cứng mới. 802.1x/EAP Authenticators RADIUS-remote access dial-in user service Đây là một chuẩn cho chứng thực từ xa, được dùng phổ biến cho truy cập mạng như authentication, authorization, và accounting (AAA) trong cả hệ thống cũ và mới. Cho dù có nhiều vấn đề về bảo mật và vận chuyển, nhưng RADIUS vẫn sẽ tiếp tục sử dụng rộng rãi trong vài năm nữa. Nó có thể bị thay thế bởi giao thức mới là DIAMETER . RADIUS đơn giản, hiệu quả và dễ dàng thựcthi, do đó nó phù hợp cho các thiết bị nhúng rẻ tiền. Vấn đề bảo mật xoay quanh các giao thức nghèo nàn, thiếu hỗ trợ. Mô hình chia sẻ bí mật không đủ mạnh, RADIUS cần được bảo mật hơn với giao thức ngoài như Internet Protocol Security (IPsec). RADIUS chạy trên nền UDP, không có chế độ truyền lại, không có chính sách ghi lại những bản ghi tài khoản, hay những bản tin bị lỗi. Điều này làm cho nó không tin cậy cho việc tính chi phí dịch vụ, đặc biệt khi hoạt động liên miền. Nó có hai đặc điểm là : authentication và accounting. FreeRADIUS cho phép chạy trên nhiều nền hỗ trợ, bao gồm linux, FreeBSD, OpenBSD, OSF/Unix, và Solaris. LEAP Lightweight EAP (LEAP) do Cisco cung cấp, dùng cho card 802.11, RADIUS server và AP. Có lỗ hông cho tấn công từ điển trên đường truyền. EAP-TLS Đây là chuẩn mở hỗ trợ bởi nhiều nhà sản xuất, dùng public key infrastructure (PKI), hỗ trợ trên nền XP và Win2000, đòi hỏi thiết bị phải có x.509 certificate, nó hoàn toàn trong suốt đối với người dùng. EAP-TTLS EAP-TTLS and EAP-TLS đều sử dụng TLS, EAP-TTLS chỉ yêu cầu server là có certificate, người dùng sử dụng password để đăng nhập mạng, nó được bảo vệ bằng cách đóng gói nó trong TLS. EAP-SIM Được phát triển bởi Nokia cho phép phần cứng thẩm quyền SIM chip, PEAPMột trong những yếu điểm của là đáp ứng được ít client. 4.1.5. VPNs Cho phép một nhóm người truy cập vào một mạng dữ liệu riêng, được bảo mật thông qua internet hay những mạng khác. Được phân loại dựa trên các phương pháp sử dụng như đường hầm (tunnelling), mã hoá, thẩm quyền, và điều khiển truy cập thông qua mạng công cộng. VPN tạo những kết nối point-to-point ảo bằng cách sử dụng kỹ thuật đường hầm (tunneling), nó như một cái ống xuyên qua mạng để kết nối hai điểm. Được điều khiển từ xa, xử lý hầm sẽ đóng gói và mã hoá dữ liệu vào trong gói TCP/IP packet, rồi chuyển đến một server VPN khác để thực hiện thao thác ngược lại. Có hai loại VPN như sau : 1. Remote access VPNs: Bảo vệ cho người dùng từ xa, như người dùng di động kết nối vào doanh nghiệp. Cho phép người dùng 802.11 để tạo phiên kết nối đến mạng LAN của họ từ những nơi công cộng như khách sạn sân bay… Dùng mã hoá và thẩm quyền. Cần đảm bảo băng thông do việc kết nối này yêu cầu băng thông rộng. 2. LAN-to-LAN VPNsCho phép kết nối những chi nhánh của một cơ quan từ xa như một mạng lan (intranet VPN), bảo mật kết nối cho bên thứ ba như khách hàng, nhà cung ứng, đối tác đến doanh nghiệp (extranet VPN). Loại VPN này cần băng thông đảm bảo cho việc mang dữ liệu kết nối. VPN với 802.11 Để hỗ trợ 802.11 Lan, một phần mềm ứng dụng VPNclient được triển khai trên tất cả các máy, mọi lưu lượng từ client được mã hóa VPN tunnel thông qua AP phải đi qua VPN gateway trước khi vào mạng LAN. Khi sử dụng VPN thì những kỹ thuật mã hoá khác như WEP là không cần thiết. Những lỗ hổng của VPN Trong lúc VPN được đưa ra là một giải pháp bảo mật cho wireless LAN, VPN sử dụng thẩm quyền một phía vần có lỗ hổng để khai thác như trong trường hợp tấn công trung gian. Mặc khác khi triển khai trong một tổ chức lớn, việc phần phối và bảo trì phần mềm đến tất cả các client là một điều khó khăn. Hầu hết các giải pháp VPN hiện nay không đồng nhất nhau, không thể hoạt động với nhau được, vì nó không phải là giải pháp cho truy cập công cộng. Ipsec-ip security Gần như đuợc chấp nhận là chuẩn cho đảm bảo an toàn dữ liệu IP qua mạng công cộng khi phần mềm VPN dần được sử dụng rộng rãi. Nó cho phép thẩm quyền, an toàn dữ liệu, tin cậy, và quản lý key trong các đường hầm. Bằng cách đóng những gói gần nhau thành một gói lớn, mã hoá toàn gói, rồi truyền dưới đường hầm. Mặc dù vẫn có những vấn đề về hoạt động liên miền, do sự khác biệt giữa các nhà sản xuất. Kerberos Kerberos cung cấp một phương pháp thứ ba cho bảo mật 802.11. Được dùng bởi Symbol Technologies, với Spectrum24 WLAN. Cung cấp khả năng bảo mật, kết nối không ngắt cho voice và dữ liệu mạnh mẽ , chỉ ra những yêu cầu bảo mật và quản lý mạng. Cho phép thẩm quyền người dùng, quản lý mã hoá key, và bảo vệ tấn công dữ liệu truyền như ngắt, chặn, sửa đổi, và mạo danh. Được bầu chọn là dịch vụ bảo mật bắt buộc cho 802.11. Hỗ trợ tốt trong quá trình chuyển đổi giữa các AP, bởi ứng dụng kết nối liên tục của nó, đồng thời việc tái thẩm quyền đến mạng rất nhanh. Kerberos hoạt động trong 802.11 Dựa trên mô hình phân tán key được phát triển bởi Needham và Schroeder. Thẩm quyền mạng gồm 4 quá trình sau: Authentication Exchange-Người dùng gửi một yêu cầu đến server thẩm quyền với một ticket đến ticket granting server (TGS) authentication server (AS) kiểm tra người dùng trong database và tìm client’s secret key, sau đó tạo một session key (SK1)cho việc sử dụng giữa client và TGS.AS mã hoá session key sử dụng client’s secret key để tạo một bản tin. AS còn dùng TGS’s secret key (được biết giữa authentication server và TGS) để mã hoá session key và user’s name để tạo một ticket granting ticket (TGT), (TGT) và message được gửi trở lại cho người dùng. Ticket Granting Service Exchange-User giải mã message và hồi phục session key. User tạo một sự thẩm định bằng cách mã hoá tên user , IP address, và nhãn thời gian vói session key. User gửi bản tin thẩm định này cùng với TGT đến TGS, yêu cầu truy cập đến server đích. TGS giải mã TGT để phục hồi SK1 và dùng SK1để giải mã bản tin thẩm quyền. Nó kiểm tra thông tin như ticket, địa chỉ mạng và nhãn thời gian. Nếu mọi thứ đều đúng, thì yêu cầu đuợc thực thi. Sau đó TGS tạo một session key mới (SK2) cho user và server đích. Dùng SK1 mã hóa nó và gửi cho user. Đồng thời TGS gửi một ticket chưa user name, địa chỉ mạng, nhãn thời gian và thời gian khả dụng, được mã hoá bởi server secret key và tên server User/Server Exchange User giải mã bản tin và lấy SK2, tạo một bản tin thẩm quyền dùng SK2, sau đó gửi session key (đã được mã hoá với server secret key đích) và bản tin thẩm quyền. Nhãn thời gian mã hoá chống lại nghe trộm để replay của hacker. Server đích giải mã và kiểm tra ticket, bản tin thẩm quyền, địa chỉ user, và nhãn thời gian. Cho ứng dụng yêu cầu thẩm quyền hai chiều, server đích gửi lại một bản tin chứa nhãn thời gian cộng 1 được mã hóa với SK2. Nó chứng tỏ server biết secret key và có thể giải mã ticket, bản thẩm quyền. Có sự chia sẻ key mã hoá cho bảo mật quá trình truyền thông, chúng có thể nhận một bản tin lân cận được mã hoá với key đó từ một đối tượng khác. Khuyết điểm của Kerberos Hệ thống thẩm quyền của Kerberos có một khuyết điểm : nếu hacker đăng nhập trên cùng một máy, cùng một thời điểm như một người đã được thẩm quyền, hacker có thể truy cập key đuợc dùng. Kerberos phải tin cậy vào tất cả 3 máy là server thẩm quyền, client và server mạng là không bị tấn công. Nếu một ticket được chuyển đi, hệ thống phải đảm bảo các hệ thống khác là ticket đã được chuyển đi trước khi