Bối cảnh và vấn đề nghiên cứu

Trong xu thế phát triển của khoa học công nghệ và mạng Internet, dịch vụ thư điện tử (E-mail) đã trở thành một công cụ trao đổi thông tin thiết yếu trong hoạt động học tập, nghiên cứu và giao dịch thương mại của các cơ quan, doanh nghiệp và trường đại học. Hệ thống thư điện tử giúp thực hiện các giao dịch nhanh chóng, giảm chi phí vận hành và nâng cao năng suất làm việc. Nhiều thông tin quan trọng, dữ liệu nhạy cảm được truyền tải và lưu trữ trực tiếp dưới dạng thư điện tử.

Tuy nhiên, do hoạt động trên môi trường Internet vốn tiềm ẩn nhiều nguy cơ mất an toàn, các bức thư điện tử truyền thống đối mặt với hiểm họa bị đọc trộm, sửa đổi nội dung trái phép, mạo danh người gửi, thư rác (Spam) hoặc tấn công từ chối dịch vụ (DoS). Thực tế này đặt ra yêu cầu cấp thiết về các giải pháp kỹ thuật nhằm đảm bảo bốn yêu cầu an toàn thông tin cốt lõi: tính bí mật, tính toàn vẹn, tính xác thực và tính chống chối bỏ.

Để giải quyết vấn đề trên, nhiều giải pháp bảo mật thư điện tử đã ra đời, trong đó có giải pháp mã nguồn mở Djigzo gateway (thuộc bộ sản phẩm CipherMail). Djigzo gateway đóng vai trò là một máy chủ chuyển tiếp thư (MTA) có khả năng mã hóa và giải mã thư điện tử vào/ra ở cấp độ gateway, tương thích với hạ tầng máy chủ thư điện tử sẵn có. Đề tài đồ án tốt nghiệp "Tìm hiểu phát triển giải pháp ký số và bảo mật thư điện tử sử dụng Djigzo gateway" được tác giả Nguyễn Văn Toàn thực hiện nhằm nghiên cứu chuyên sâu và thử nghiệm giải pháp này.

Mục tiêu và nhiệm vụ nghiên cứu của đồ án được xác định gồm 3 nội dung:

  1. Tìm hiểu về hệ thống thư điện tử và ứng dụng hạ tầng cơ sở khóa công khai (PKI) trong hệ thống thư điện tử.
  2. Tìm hiểu về giải pháp ký số và bảo mật thư điện tử sử dụng Djigzo gateway.
  3. Triển khai và thử nghiệm hệ thống thư điện tử mật Djigzo gateway.

Đối tượng nghiên cứu của đồ án là kiến trúc hệ thống thư điện tử, cơ sở hạ tầng khóa công khai (PKI), các chuẩn mật mã cho email (S/MIME, PGP, PDF Encryption) và phần mềm Djigzo gateway. Phạm vi nghiên cứu tập trung vào mô hình thử nghiệm phòng lab với máy chủ thư điện tử cài đặt hệ điều hành CentOS 7 và các máy trạm sử dụng hệ điều hành Ubuntu 19, được thực hiện vào năm 2022 tại Trường Đại học Bách khoa Hà Nội.

Cơ sở lý thuyết và phương pháp

Đồ án xây dựng nội dung dựa trên hệ thống cơ sở lý thuyết mật mã học, các tiêu chuẩn kỹ thuật Internet và văn bản pháp lý liên quan đến giao dịch điện tử:

  • Cơ sở pháp lý và tiêu chuẩn: Khái niệm và giá trị pháp lý của chữ ký số được dẫn chiếu theo Nghị định 26/2007/NĐ-CP. Tiêu chuẩn giao thức lấy thư RFC 1939 đối với giao thức POP3. Chuẩn mật mã khóa công khai PKCS#7 (Public Key Cryptography Standard #7) quy định định dạng thông điệp mã hóa cho S/MIME. Chuẩn X.509 phiên bản 3 quy định cấu trúc và định dạng của chứng thư số khóa công khai.
  • Hạ tầng khóa công khai (PKI): Đồ án làm rõ mô hình kiến trúc PKI gồm các thực thể: Thực thể cuối (End Entity - EE), Thẩm quyền chứng thực (Certification Authority - CA), Thẩm quyền đăng ký (Registration Authority - RA), và Kho lưu trữ chứng thư (Certificate Repository - CR) kèm danh sách thu hồi chứng thư (CRL). Sáu mô hình kiến trúc PKI được khảo sát gồm: CA đơn, danh sách tin cậy cơ bản, danh sách tin cậy mở rộng, CA phân cấp, mạng lưới (mesh), chứng thực chéo (cross-certification) và mô hình cầu nối (bridge CA).
  • Mô hình mật mã và chữ ký số: Sử dụng hệ mật mã bất đối xứng với cặp khóa bí mật ($PR$) và khóa công khai ($PU$). Quy trình chữ ký số áp dụng hàm băm an toàn $h$ để tạo bản tóm lược thông điệp $z = h(R)$, thuật toán ký $Sig_{PR}(z)$ và thuật toán kiểm tra $Ver_{PU}(z, y)$. Quy trình mã hóa kết hợp (hybrid encryption) sử dụng thuật toán đối xứng với khóa phiên ngẫu nhiên $K$ để mã hóa dữ liệu, sau đó dùng khóa công khai của người nhận để mã hóa khóa $K$.
  • Các giao thức truyền nhận và bảo mật thư điện tử: Giao thức truyền thư đơn giản SMTP (cổng 25), giao thức nhận thư POP3 (cổng 110), giao thức truy cập thư IMAP (cổng 143); chuẩn bảo mật S/MIME và OpenPGP (hỗ trợ hai định dạng PGP/MIME và PGP/INLINE).

Phương pháp nghiên cứu được tác giả kết hợp giữa nghiên cứu lý thuyết và thực nghiệm kỹ thuật:

  • Phương pháp phân tích - tổng hợp lý thuyết: Phân tích nguyên lý vận hành của các giao thức email, cơ chế ký số, quá trình mã hóa/giải mã và đối chiếu ưu nhược điểm của các mô hình PKI.
  • Phương pháp thực nghiệm hệ thống: Thiết lập mô hình mạng thử nghiệm, cấu hình các dịch vụ mạng (DNS, Postfix, Dovecot) trên CentOS 7, khởi tạo hệ quản trị cơ sở dữ liệu PostgreSQL, cài đặt phần mềm Djigzo gateway, cấu hình ứng dụng khách Mozilla Thunderbird trên Ubuntu 19 và tiến hành kiểm thử các kịch bản ký số, mã hóa và kiểm tra tính toàn vẹn dữ liệu.

Nguồn dữ liệu và công cụ phục vụ nghiên cứu bao gồm bộ phần mềm mã nguồn mở Djigzo gateway (CipherMail), máy chủ dịch vụ thư điện tử Postfix, Dovecot, cơ sở dữ liệu PostgreSQL, phần mềm thư điện tử Mozilla Thunderbird và các hệ điều hành mã nguồn mở Linux.

Thiết kế và triển khai

Hệ thống được thiết kế theo mô hình cổng bảo mật thư điện tử (Mail Gateway), trong đó Djigzo gateway hoạt động như một máy chủ MTA trung gian thực hiện cơ chế "lưu trữ và chuyển tiếp" (store and forward).

Thành phần Hệ điều hành / Nền tảng Phần mềm / Dịch vụ cài đặt Vai trò trong hệ thống
Mail Server & Gateway CentOS 7 (card mạng ens33 cấu hình IP tĩnh) Postfix, Dovecot, PostgreSQL, Djigzo Gateway Quản lý tên miền, trung chuyển thư qua SMTP (port 25), lưu trữ mailbox, xác thực POP/IMAP, quản trị Web GUI Djigzo qua HTTPS (port 443), lưu trữ dữ liệu gateway trên PostgreSQL.
Máy trạm Client 1 Ubuntu 19 Mozilla Thunderbird Mail Sử dụng tài khoản toan1@server, gửi và nhận thư có ký số, mã hóa S/MIME.
Máy trạm Client 2 Ubuntu 19 Mozilla Thunderbird Mail Sử dụng tài khoản toan2@server, tiếp nhận thư, xác minh chữ ký số và giải mã thư.

Quy trình triển khai kỹ thuật được thực hiện qua các bước tuần tự:

  1. Cấu hình máy chủ dịch vụ thư điện tử: Cấu hình địa chỉ IP tĩnh cho card mạng ens33, thiết lập hostname và cơ chế phân giải tên miền nội bộ. Cấu hình dịch vụ Postfix làm MTA và Dovecot làm MDA. Thiết lập cấu hình bảo mật SELinux, mở các cổng tường lửa (firewall) cho dịch vụ SMTP (cổng 25) và HTTPS (cổng 443).
  2. Khởi tạo cơ sở dữ liệu và Djigzo Gateway: Cài đặt, khởi tạo cơ sở dữ liệu PostgreSQL để quản lý cấu hình, người dùng và chứng thư của Djigzo. Truy cập giao diện quản trị Web GUI của Djigzo gateway thông qua kết nối an toàn HTTPS.
  3. Thiết lập hạ tầng chứng thực và cấp phát khóa: Sử dụng tính năng CA tích hợp sẵn của Djigzo để khởi tạo một cơ quan chứng thực CA mới. Khởi tạo cặp khóa công khai/bí mật và chứng thư số X.509 cho tài khoản toan1 và toan2. Xuất chứng thư và khóa bí mật dưới định dạng được bảo vệ bằng mật khẩu, sau đó nhập vào kho chứng thư của ứng dụng Thunderbird trên máy trạm Client, thiết lập quan hệ tin cậy với CA gốc.
  4. Kiểm thử các kịch bản nghiệp vụ:
    • Kịch bản ký số: Người dùng toan1 soạn thư gửi toan2 có đính kèm chữ ký số S/MIME. Người dùng toan2 nhận thư và kiểm tra tính xác thực thành công.
    • Kịch bản kiểm tra tính toàn vẹn: Giả lập sự can thiệp chỉnh sửa nội dung bức thư có ký số trực tiếp trên máy chủ Mail server trước khi chuyển tới người nhận. Ứng dụng khách nhận diện dữ liệu bị thay đổi và cảnh báo chữ ký số không hợp lệ.
    • Kịch bản mã hóa: Người dùng toan1 mã hóa nội dung bằng chứng thư của toan2. Bức thư lưu trên máy chủ Mail server hoàn toàn ở dạng mã hóa; người dùng toan2 dùng khóa bí mật của mình để giải mã nội dung bản rõ.
    • Kịch bản kết hợp: Thực hiện đồng thời ký số và mã hóa thông điệp qua chuẩn S/MIME.

Nội dung chính theo từng chương

Chương 1: Tổng quan về hệ thống thư điện tử

Chương này cung cấp nền tảng lý thuyết toàn diện về hạ tầng thư điện tử và mật mã học ứng dụng:

  • Cấu trúc và thành phần thư điện tử: Phân tích cấu trúc địa chỉ dạng <Hộp thư>@<Vùng quản lý>, các trường trong phần tiêu đề (From, To, Cc, Bcc, Date, Subject) và phần thân thư. Mô tả chi tiết ba thành phần cốt lõi: MUA (Mail User Agent - ứng dụng người dùng cuối), MTA (Mail Transfer Agent - chuyển tiếp thư giữa các hệ thống) và MDA (Mail Delivery Agent - phân phát thư vào mailbox cục bộ).
  • Giao thức mạng: So sánh đặc tính hoạt động của SMTP (giao thức đẩy thư, cổng 25, thiếu tính năng xác thực và mã hóa mặc định), POP3 (giao thức kéo thư tải về máy trạm và mặc định xóa trên máy chủ, cổng 110, chuẩn RFC 1939) và IMAP (cho phép truy cập, đồng bộ và quản lý nhiều thư mục thư trực tiếp trên máy chủ từ nhiều thiết bị, cổng 143).
  • Các giao thức bảo mật: Phân tích chi tiết quy trình ký số, mã hóa và kết hợp ký số - mã hóa của hai chuẩn S/MIME (dựa trên PKCS#7 và X.509 v3) và PGP (Pretty Good Privacy, do Phil Zimmerman phát triển năm 1991, phân chia hai định dạng PGP/MIME và PGP/INLINE).
  • Cơ sở hạ tầng khóa công khai (PKI) và chữ ký số: Làm rõ vai trò của các thực thể EE, CA, RA, CR; các dịch vụ bảo mật (tính bí mật, tính toàn vẹn, tính xác thực, chống chối bỏ và dịch vụ dấu thời gian); so sánh chi tiết ưu nhược điểm của 6 mô hình kiến trúc PKI; mô tả thuật toán tạo và kiểm tra chữ ký số cùng đường dẫn chứng thực (certification path).

Chương 2: Giải pháp ký số và bảo mật thư điện tử sử dụng Djigzo gateway

Chương này tập trung phân tích kiến trúc, tính năng và cơ chế vận hành của giải pháp Djigzo gateway:

  • Giới thiệu giải pháp: Djigzo gateway là phần mềm mã nguồn mở được phát triển bởi nhóm kỹ sư người Hà Lan, thuộc bộ giải pháp CipherMail (cùng với Webmail Messenger và CipherMail for Android). Hệ thống hoạt động như một MTA chuẩn, tương thích với các máy chủ CA bên ngoài (EJBCA, Microsoft CA, Verisign, Comodo, CACert) và tích hợp sẵn một máy chủ CA cơ bản.
  • Các phương thức mã hóa hỗ trợ:
    • S/MIME: Tự động thu thập chứng thư từ thư đến, tự động giải mã, hỗ trợ chứng thư cho tên miền (domain), tự động cập nhật danh sách thu hồi CRL (qua LDAP/HTTP) và danh sách tin cậy CTL.
    • OpenPGP: Hoạt động với các máy chủ khóa công khai, hỗ trợ PGP/MIME và PGP/INLINE.
    • Mã hóa PDF: Giải pháp thay thế khi người nhận không cài đặt S/MIME. Gateway chuyển đổi thư và tệp đính kèm sang định dạng PDF được đặt mật khẩu bảo vệ; hỗ trợ mật khẩu tĩnh, gửi mật khẩu qua SMS, gửi qua email hoặc thuật toán mật khẩu một lần (OTP).
  • Tính năng ngăn chặn thất thoát dữ liệu (Data Leak Prevention - DLP): Quét từ khóa và biểu thức chính quy (regular expressions) trên tiêu đề, thân thư và các tệp đính kèm để phát hiện số thẻ tín dụng, số tài khoản ngân hàng hoặc thông tin nhạy cảm; tự động bắt buộc mã hóa hoặc cách ly thư vi phạm.
  • Quy trình kết hợp quét nội dung và virus: Mô tả 3 lưu đồ tích hợp gateway: quét nội dung kích hoạt mã hóa có chọn lọc, giải mã thư S/MIME để quét virus trước khi đưa vào Mail server, và giải mã thư gửi đi bằng bản sao khóa riêng lưu tại gateway để quét virus trước khi tái mã hóa gửi ra Internet.
  • Lưu đồ hoạt động: Trình bày chi tiết các bước xử lý logic khi một bức thư đi vào gateway: kiểm tra chính sách DLP nội bộ, loại bỏ các tiêu đề mở rộng X-djigzo*, kiểm tra người gửi/người nhận, xác định điều kiện chuyển tiếp, kiểm tra khóa bí mật và thực thi ký số hoặc mã hóa S/MIME.

Chương 3: Triển khai và thử nghiệm hệ thống thư điện tử mật Djigzo gateway

Chương này mô tả chi tiết toàn bộ quá trình thực nghiệm kỹ thuật:

  • Thiết lập hạ tầng máy chủ và máy trạm: Các bước cấu hình card mạng ens33, phân giải tên miền, thiết lập hostname, cấu hình dịch vụ Postfix và Dovecot trên hệ điều hành CentOS 7. Thiết lập file hosts và resolv.conf trên các máy trạm Ubuntu 19.
  • Cấu hình dịch vụ nền tảng: Cấu hình chính sách bảo mật SELinux, cấu hình tường lửa mở cổng SMTP và HTTPS, khởi tạo và vận hành cơ sở dữ liệu PostgreSQL cho Djigzo.
  • Vận hành hệ thống quản lý chứng thư: Khởi tạo CA nội bộ thông qua giao diện Web GUI của Djigzo, cấu hình các tham số CA, tạo chứng thư số cho tài khoản toan1 và toan2, tải và nhập chứng thư vào ứng dụng Thunderbird.
  • Kết quả thử nghiệm chức năng an toàn: Thực hiện gửi nhận thư kiểm thử giữa hai tài khoản toan1@server và toan2@server trên Mozilla Thunderbird qua 4 kịch bản: gửi thư có ký số, gửi thư có mã hóa, gửi thư kết hợp ký số và mã hóa, và thử nghiệm chỉnh sửa nội dung thư trên máy chủ để kiểm tra tính năng phát hiện giả mạo.

Kết quả và đóng góp

Các kết quả đạt được từ đồ án được ghi nhận cụ thể dựa trên số liệu và cấu hình thực nghiệm có trong văn bản:

Hạng mục kiểm thử Cấu hình kỹ thuật ghi nhận trong đồ án Kết quả thực nghiệm
Hạ tầng máy chủ CentOS 7, Postfix, Dovecot, PostgreSQL Vận hành ổn định các dịch vụ SMTP (port 25), POP/IMAP, HTTPS (port 443); hệ quản trị PostgreSQL lưu trữ thành công dữ liệu cấu hình của Djigzo.
Quản lý chứng thư (CA) Máy chủ CA tích hợp sẵn trên Web GUI của Djigzo Khởi tạo thành công 01 CA mới; phát hành đầy đủ cặp khóa và chứng thư số X.509 cho 02 người dùng thử nghiệm (toan1, toan2).
Ứng dụng khách (MUA) Mozilla Thunderbird trên Ubuntu 19 Xác thực thành công tài khoản toan1@server; tích hợp và thiết lập độ tin cậy chứng thư số với CA nội bộ.
Thử nghiệm ký số S/MIME Giao thức S/MIME dùng khóa bí mật của người gửi Thư gửi từ toan1 sang toan2 hiển thị biểu tượng chữ ký số hợp lệ; xác thực danh tính người gửi thành công.
Kiểm tra tính toàn vẹn Sửa đổi tệp dữ liệu thư lưu trên máy chủ Mail server Ứng dụng Thunderbird phía người nhận phát hiện sự sai lệch giá trị băm và thông báo chữ ký không hợp lệ khi thư bị can thiệp.
Thử nghiệm mã hóa S/MIME Mã hóa bằng khóa công khai của người nhận Dữ liệu trao đổi giữa Mail server và Client được mã hóa; kiểm tra trên máy chủ Mail server nội dung thư hoàn toàn ở dạng mật mã.
Ký số kết hợp mã hóa Áp dụng đồng thời cả hai cơ chế S/MIME Người dùng toan2 giải mã và kiểm tra chữ ký số thành công trên cùng một thông điệp.

Giải pháp và kiến nghị đề xuất của tác giả:

  • Đề xuất áp dụng mô hình Djigzo gateway làm cổng an toàn thư điện tử tập trung cho các cơ quan, tổ chức nhờ ưu thế hoạt động ở cấp độ MTA, không làm thay đổi cấu trúc mạng sẵn có.
  • Kiến nghị khai thác tính năng mã hóa PDF kết hợp mật khẩu OTP/SMS đối với các trường hợp gửi thư bảo mật cho đối tác ngoài không hỗ trợ chuẩn S/MIME.
  • Đề xuất kết hợp Djigzo gateway với hệ thống quét nội dung và quét virus nhằm đảm bảo an ninh thông tin đa lớp mà không làm lộ khóa riêng của người dùng ra ngoài phạm vi gateway.

Đóng góp của đồ án:

  • Hệ thống hóa toàn diện cơ sở lý thuyết về hạ tầng khóa công khai PKI, các mô hình CA và cơ chế ký số, mã hóa trong hệ thống thư điện tử.
  • Cung cấp tài liệu khảo sát chi tiết về các tính năng chuyên sâu của giải pháp mã nguồn mở Djigzo gateway (CipherMail), đặc biệt là cơ chế xử lý S/MIME, PGP, PDF Encryption và DLP.
  • Xây dựng thành công mô hình thử nghiệm thực tế với quy trình cài đặt, cấu hình chi tiết từ dịch vụ thư điện tử cơ bản (Postfix, Dovecot) đến các kịch bản an toàn thông tin nâng cao.

Hạn chế và hướng nghiên cứu tiếp

Căn cứ vào nội dung và phạm vi triển khai được ghi nhận trong văn bản, đồ án tồn tại một số hạn chế và hướng phát triển như sau:

  • Hạn chế:
    • Mô hình thử nghiệm mới được thiết lập trong phạm vi mạng cục bộ phòng lab (sử dụng địa chỉ IP tĩnh trên card mạng ens33 và phân giải tên miền nội bộ qua file hosts), chưa được kiểm thử trên môi trường mạng Internet diện rộng giữa các tên miền độc lập.
    • Số lượng người dùng thử nghiệm còn giới hạn (thực hiện kiểm thử giữa hai tài khoản nội bộ toan1 và toan2).
    • Hệ thống sử dụng CA nội bộ do Djigzo tự tạo, chưa liên kết chứng thực với các CA công cộng thương mại bên ngoài hoặc tích hợp với các hệ thống chứng thực chuyên nghiệp quy mô lớn như Microsoft CA hay EJBCA.
    • Các tính năng nâng cao như mã hóa PDF qua SMS/OTP, cơ chế DLP phức tạp và tích hợp công cụ quét virus chuyên dụng mới chỉ dừng lại ở mức độ phân tích lý thuyết và lưu đồ hoạt động, chưa được kiểm thử toàn diện trên hệ thống thực nghiệm.
  • Hướng nghiên cứu tiếp:
    • Mở rộng triển khai hệ thống Djigzo gateway trên môi trường phân tán giữa nhiều hệ thống thư điện tử thuộc các tổ chức khác nhau.
    • Tích hợp Djigzo gateway với các máy chủ CA chuyên biệt (như EJBCA) và áp dụng mô hình phân cấp chứng thực số rộng lớn hơn.
    • Triển khai thử nghiệm thực tế tính năng DLP với các tập luật phát hiện dữ liệu nhạy cảm phức tạp và kết nối với các trình quét mã độc (Antivirus engine) trên luồng thư vào/ra.

Giá trị tham khảo

Đồ án là tài liệu kỹ thuật có giá trị tham khảo thiết thực cho các nhóm đối tượng sau:

  • Sinh viên và học viên chuyên ngành Công nghệ Thông tin, An toàn Thông tin và Mạng máy tính: Đồ án cung cấp hệ thống lý thuyết chuẩn mực về kiến trúc thư điện tử (MUA, MTA, MDA), phân tích chuyên sâu các giao thức mạng (SMTP, POP3, IMAP) và cơ chế mật mã học ứng dụng (S/MIME, PGP, PKI, chữ ký số).
  • Quản trị viên hệ thống và kỹ sư mạng: Tài liệu cung cấp hướng dẫn từng bước (step-by-step) về cài đặt, cấu hình dịch vụ thư điện tử Postfix, Dovecot trên hệ điều hành CentOS 7, cấu hình cơ sở dữ liệu PostgreSQL và quản trị cổng mã hóa Djigzo gateway.
  • Phần đáng tham khảo nhất trong văn bản:
    • Bảng tổng hợp và phân tích 6 mô hình kiến trúc PKI cùng quy trình mã hóa lai (Chương 1).
    • Phân tích cơ chế hoạt động của các tính năng bảo vệ dữ liệu DLP, mã hóa PDF và lưu đồ xử lý email của Djigzo gateway (Chương 2).
    • Quy trình cấu hình thực tế từ việc thiết lập SELinux, mở cổng firewall, tạo CA nội bộ đến các kịch bản kiểm thử ký số và mã hóa trên Mozilla Thunderbird (Chương 3).

Câu hỏi thường gặp

1. Djigzo gateway giữ vai trò gì trong hạ tầng thư điện tử và có vị trí lắp đặt như thế nào?

Theo nội dung đồ án, Djigzo gateway là một máy chủ chuyển tiếp thư (MTA) mã nguồn mở dùng để mã hóa và giải mã thư điện tử vào/ra. Hệ thống hoạt động theo nguyên lý "lưu trữ và chuyển tiếp" (store and forward), chỉ lưu trữ thư tạm thời cho đến khi chuyển đến đích. Do tương thích với chuẩn SMTP chung, Djigzo gateway có thể đặt linh hoạt ở phía trước hoặc phía sau các máy chủ thư điện tử (Mail Server) đã có trong tổ chức mà không làm gián đoạn hạ tầng mạng sẵn có.

2. Ngoài S/MIME và OpenPGP, Djigzo gateway hỗ trợ phương thức mã hóa nào cho người nhận không có chứng thư số?

Djigzo gateway hỗ trợ phương thức mã hóa email sang định dạng PDF (PDF Encryption). Khi sử dụng chuẩn này, gateway chuyển đổi toàn bộ nội dung thư và tệp đính kèm thành một tệp PDF được bảo vệ bằng mật khẩu. Người nhận chỉ cần phần mềm đọc PDF thông thường mà không cần cài đặt chứng thư số hay phần mềm hỗ trợ S/MIME. Mật khẩu có thể là mật khẩu tĩnh, gửi qua tin nhắn SMS, gửi qua email riêng biệt hoặc tạo bằng thuật toán mật khẩu một lần (OTP).

3. Tính năng ngăn chặn thất thoát dữ liệu (DLP) trên Djigzo gateway hoạt động theo nguyên tắc nào?

Tính năng DLP hoạt động như một bộ lọc ở đầu ra thư điện tử. Hệ thống thực hiện quét từ khóa và biểu thức chính quy (regular expressions) trên các thành phần của thư gồm tiêu đề, thân thư, tệp đính kèm và các tệp đính kèm lồng nhau. Các chính sách DLP có thể áp dụng ở cấp độ gateway, domain hoặc từng người dùng. Khi phát hiện vi phạm (ví dụ chứa số thẻ tín dụng, số tài khoản ngân hàng), hệ thống sẽ tự động bắt buộc mã hóa thông điệp, chặn hoặc đưa thư vào trạng thái cách ly (quarantine).

4. Hệ thống thử nghiệm trong đồ án được cài đặt bằng những phần mềm và hệ điều hành cụ thể nào?

Hệ thống thử nghiệm sử dụng máy chủ chạy hệ điều hành CentOS 7 với card mạng ens33 IP tĩnh, cài đặt Postfix (làm MTA), Dovecot (làm MDA/POP/IMAP), hệ quản trị cơ sở dữ liệu PostgreSQL và phần mềm Djigzo gateway (quản trị qua HTTPS). Phía máy trạm gồm hai máy Client chạy hệ điều hành Ubuntu 19 sử dụng phần mềm quản lý thư Mozilla Thunderbird để thao tác với hai hộp thư thử nghiệm là toan1@server và toan2@server.

5. Kết quả kiểm tra tính toàn vẹn của thư có ký số diễn ra như thế nào khi nội dung thư bị sửa đổi?

Trong kịch bản thử nghiệm ở Chương 3, tác giả thực hiện giả lập việc chỉnh sửa nội dung tệp tin của bức thư đã được ký số trực tiếp trên máy chủ Mail server. Khi người dùng nhận thư mở bức thư trên ứng dụng Mozilla Thunderbird, phần mềm tự động tính toán lại giá trị băm của thông điệp nhận được và so sánh với giá trị băm giải mã từ chữ ký số của người gửi. Do hai giá trị băm không trùng khớp, ứng dụng đã phát hiện sự thay đổi và thông báo chữ ký số không hợp lệ, chứng minh tính toàn vẹn của thông điệp bị phá vỡ.

Kết luận

Đồ án tốt nghiệp của sinh viên Nguyễn Văn Toàn đã giải quyết hoàn chỉnh các mục tiêu nghiên cứu đề ra thông qua việc hệ thống hóa cơ sở lý thuyết về hạ tầng khóa công khai PKI và giải pháp mã nguồn mở Djigzo gateway trong bảo mật thư điện tử. Trên cơ sở đó, tác giả đã triển khai thành công mô hình thử nghiệm thực tế với máy chủ CentOS 7 chạy Postfix, Dovecot kết hợp Djigzo gateway và các máy trạm Ubuntu chạy Mozilla Thunderbird. Kết quả kiểm thử đã chứng minh tính khả thi và độ tin cậy của giải pháp trong việc thực thi ký số, mã hóa S/MIME và phát hiện các hành vi sửa đổi dữ liệu trái phép. Công trình là tài liệu tham khảo có giá trị học thuật và ứng dụng thực tiễn cao cho công tác triển khai an toàn thông tin trong hệ thống thư điện tử của các tổ chức và doanh nghiệp.