Tìm Hiểu và Sử Dụng Chứng Thực Điện Tử

Chứng thực điện tử đang trở thành một phần quan trọng trong việc bảo mật thông tin trên mạng. 91 trang · Trường DHDL Ngoại Ngữ - Tin Học TP.HCM · 2005.

• Người hướng dẫn: Th.S. ĐB Thanh Vi Ngân
• Trường học: Trường DHDL Ngoại Ngữ - Tin Học TP.HCM
• Chuyên ngành: Công Nghệ Thông Tin
• Đề tài: Hướng Dẫn Sử Dụng Chứng Thực Điện Tử Hiệu Quả
• Loại tài liệu: Khoa Luận
• Năm xuất bản: 2005
• Địa điểm: TP. Hồ Chí Minh

Mục lục chi tiết

• LỜI CAM ĐOAN
• 1. CHƯƠNG 1: GIỚI THIỆU
• 1.1. Mã hóa dữ liệu
• 1.2. Quy trình mã hóa đối xứng
• 1.3. Chữ ký điện tử
• 1.4. Nền tảng khóa công khai
• 2. CHƯƠNG 2: CHỨNG THỰC ĐIỆN TỬ
• 2.1. Standalone Certificate Authority
• 2.2. Enterprise Certificate Authority
• 2.3. Chứng chỉ mẫu
• 2.4. Chính sách khóa công khai
• 2.5. Nhiệm vụ của các CA
• 2.6. Cấp phát các chứng chỉ điện tử
• 2.7. Chứng thực các chứng chỉ điện tử
• 2.8. Thu hồi các chứng chỉ hết hiệu lực
• 2.9. Danh sách các chứng chỉ bị thu hồi
• 2.10. Chứng chỉ điện tử
• 2.11. Các thành phần của một chứng chỉ
• 2.12. Một số ứng dụng của chứng chỉ điện tử
• 2.13. Bảo mật Web
• 2.14. Bảo mật thư điện tử
• 2.15. Thẻ thông minh
• 2.16. Mã xác thực
• 2.17. Giao thức IP bảo mật
• 2.18. Hệ thống phần cứng CA
• 3. CHƯƠNG 3: CÀI ĐẶT CA TRÊN WIN SERVER 2003
• 3.1. Cài đặt Certificate Services
• 3.2. Quản lý Certificate Services
• 3.3. Phân phối các chứng chỉ sử dụng các Chính sách nhóm
• 3.4. Kiểm soát kho Local Certificate
• 4. CHƯƠNG 4: MÔ HÌNH ỨNG DỤNG
• 4.1. Quy trình xin cấp chứng chỉ của một nhân viên
• 4.2. Xem chứng chỉ từ máy client
• 4.3. Tách một chứng chỉ từ kho lưu trữ trên máy
• 4.4. Tách chứng chỉ có chứa khóa công khai
• 4.5. Tách chứng chỉ có cặp khóa công khai/cá nhân
• 4.6. Dùng khóa cá nhân ký điện tử vào tài liệu Word
• 5. CHƯƠNG 5: CHƯƠNG TRÌNH MINH HỌA
• 5.1. Sử dụng chương trình
• 5.2. Sử dụng chứng chỉ được cấp
• PHỤ LỤC A: THUẬT NGỮ VIẾT TẮT
• PHỤ LỤC B: TỪ ĐỊCH MỘT THUẬT NGỮ
• PHỤ LỤC C: TÀI LIỆU THAM KHẢO

Tóm tắt

I. Hướng Dẫn Sử Dụng Chứng Thực Điện Tử Hiệu Quả

Chứng thực điện tử đang trở thành một phần quan trọng trong việc bảo mật thông tin trên mạng. Việc sử dụng chứng thực điện tử không chỉ giúp xác thực danh tính mà còn bảo vệ dữ liệu trong quá trình giao dịch. Bài viết này sẽ cung cấp hướng dẫn chi tiết về cách sử dụng chứng thực điện tử một cách hiệu quả.

1.1. Tổng Quan Về Chứng Thực Điện Tử

Chứng thực điện tử là một công nghệ cho phép xác thực danh tính của người dùng trong môi trường trực tuyến. Nó sử dụng các phương pháp mã hóa để đảm bảo tính toàn vẹn và bảo mật của thông tin.

1.2. Lợi Ích Của Chứng Thực Điện Tử

Việc sử dụng chứng thực điện tử mang lại nhiều lợi ích như tăng cường bảo mật, giảm thiểu rủi ro gian lận và tạo sự tin tưởng giữa các bên tham gia giao dịch.

II. Các Vấn Đề Thách Thức Khi Sử Dụng Chứng Thực Điện Tử

Mặc dù chứng thực điện tử mang lại nhiều lợi ích, nhưng cũng tồn tại một số thách thức cần được giải quyết. Những vấn đề này có thể ảnh hưởng đến hiệu quả của việc sử dụng chứng thực điện tử trong thực tế.

2.1. Vấn Đề Bảo Mật Trong Chứng Thực Điện Tử

Bảo mật là một trong những vấn đề lớn nhất khi sử dụng chứng thực điện tử. Các cuộc tấn công mạng có thể làm lộ thông tin nhạy cảm, dẫn đến mất mát dữ liệu.

2.2. Khó Khăn Trong Việc Triển Khai

Việc triển khai chứng thực điện tử đòi hỏi sự đầu tư về công nghệ và đào tạo nhân lực. Nhiều tổ chức gặp khó khăn trong việc áp dụng công nghệ này một cách hiệu quả.

III. Phương Pháp Sử Dụng Chứng Thực Điện Tử Hiệu Quả

Để sử dụng chứng thực điện tử một cách hiệu quả, cần áp dụng một số phương pháp và quy trình nhất định. Những phương pháp này sẽ giúp tối ưu hóa việc sử dụng chứng thực điện tử trong các giao dịch.

3.1. Quy Trình Chứng Thực Điện Tử

Quy trình chứng thực điện tử bao gồm các bước như tạo khóa, ký số và xác thực. Mỗi bước đều cần được thực hiện cẩn thận để đảm bảo tính bảo mật.

3.2. Công Nghệ Hỗ Trợ Chứng Thực Điện Tử

Các công nghệ như PKI (Public Key Infrastructure) và các thuật toán mã hóa hiện đại đóng vai trò quan trọng trong việc hỗ trợ chứng thực điện tử.

IV. Ứng Dụng Thực Tiễn Của Chứng Thực Điện Tử

Chứng thực điện tử đã được áp dụng rộng rãi trong nhiều lĩnh vực khác nhau. Những ứng dụng này không chỉ giúp bảo mật thông tin mà còn nâng cao hiệu quả trong các giao dịch.

4.1. Ứng Dụng Trong Ngân Hàng

Ngân hàng sử dụng chứng thực điện tử để bảo vệ thông tin tài khoản và giao dịch của khách hàng, giúp ngăn chặn gian lận.

4.2. Ứng Dụng Trong Chính Phủ

Chính phủ sử dụng chứng thực điện tử để xác thực danh tính công dân trong các dịch vụ trực tuyến, từ đó nâng cao tính minh bạch và hiệu quả.

V. Kết Luận Về Chứng Thực Điện Tử

Chứng thực điện tử là một công cụ quan trọng trong việc bảo mật thông tin trong thời đại số. Việc áp dụng hiệu quả chứng thực điện tử sẽ giúp nâng cao độ tin cậy và bảo mật trong các giao dịch trực tuyến.

5.1. Tương Lai Của Chứng Thực Điện Tử

Với sự phát triển của công nghệ, chứng thực điện tử sẽ ngày càng trở nên phổ biến và cần thiết trong mọi lĩnh vực, từ tài chính đến y tế.

5.2. Khuyến Nghị Để Tối Ưu Hóa Sử Dụng

Các tổ chức nên đầu tư vào công nghệ và đào tạo nhân lực để tối ưu hóa việc sử dụng chứng thực điện tử, từ đó nâng cao hiệu quả và bảo mật.

Nội dung chính

Bối cảnh và vấn đề nghiên cứu

Trong bối cảnh công nghệ thông tin phát triển đầu những năm 2000, nhu cầu giao tiếp, trao đổi thông tin và thương mại qua mạng Internet gia tăng nhanh chóng trên toàn cầu. Tuy nhiên, do bản chất của mạng Internet dựa trên bộ giao thức TCP/IP truyền dữ liệu từ máy nguồn đến máy đích qua nhiều nút mạng trung gian, các kênh truyền thông đối mặt với nhiều nguy cơ an ninh nghiêm trọng. Kẻ xấu hoặc bên thứ ba có thể lén lút đánh cắp dữ liệu, thay đổi nội dung trên đường truyền, giả mạo danh tính để gửi thông tin bất hợp pháp, hoặc một bên tham gia giao dịch có thể phủ nhận trách nhiệm về thông điệp đã tạo và gửi đi.

Để khắc phục những lỗ hổng bảo mật cố hữu này, việc xây dựng một hệ thống thông tin an toàn cần phải thỏa mãn 4 tiêu chuẩn cốt lõi:

1. Độ tin cậy (Confidentiality): Đảm bảo dữ liệu trong quá trình truyền đi được giữ bí mật, người không có thẩm quyền dù thu thập được luồng tin cũng không thể đọc hiểu được nội dung.
2. Khả năng định danh (Authentication): Cho phép các bên tham gia trao đổi xác thực chính xác danh tính đối tác, ngăn chặn triệt để hành vi giả danh, mạo nhận.
3. Kiểm tra tính toàn vẹn (Integrity): Cung cấp cơ chế kỹ thuật để phát hiện dữ liệu có bị biến đổi, cắt ghép hay can thiệp trên đường truyền hay không.
4. Khả năng chống chối bỏ (Non-repudiation): Đảm bảo người gửi thông điệp không thể phủ nhận trách nhiệm đã tạo ra và phát hành thông điệp đó.

Tại Việt Nam vào thời điểm năm 2005, việc áp dụng các cơ quan chứng thực điện tử (Certificate Authority - CA) và chứng chỉ số cá nhân/tổ chức còn rất mới mẻ, chưa được triển khai phổ biến rộng rãi. Trước thực trạng đó, khóa luận tốt nghiệp "Tìm hiểu và sử dụng CA chứng thực điện tử" được thực hiện nhằm nghiên cứu nền tảng lý thuyết mật mã học, phân tích cấu trúc hoạt động của các hệ thống CA, và triển khai giải pháp ứng dụng chứng thực số trên hệ điều hành máy chủ mạng doanh nghiệp. Đề tài hướng đến mục tiêu góp phần thúc đẩy ứng dụng chứng thực điện tử trong giao dịch nội bộ doanh nghiệp, thương mại điện tử và tiến trình xây dựng chính phủ điện tử tại Việt Nam.

Khóa luận do sinh viên Phạm Anh Tuấn (MSSV: 0111088), ngành Công nghệ Thông tin, Trường Đại học Dân lập Ngoại ngữ - Tin học TP.HCM (HUFLIT) thực hiện dưới sự hướng dẫn của Th.S Đỗ Thanh Vi Ngân, hoàn thành ngày 12 tháng 08 năm 2005 với sự hỗ trợ thực tập từ Công ty TNHH Tin Học Chí Nam. Khóa luận có quy mô 89 trang, tập trung nghiên cứu lý thuyết hạ tầng khóa công khai và thử nghiệm mô hình kỹ thuật trên nền tảng Microsoft Windows Server 2003.

---

Cơ sở lý thuyết và phương pháp

Khóa luận xây dựng hệ thống luận cứ kỹ thuật dựa trên các lý thuyết mật mã học hiện đại và các tiêu chuẩn quốc tế về bảo mật thông tin:

• Mã hóa đối xứng (Symmetric Cryptography): Sử dụng chung một khóa bí mật (secret key) duy nhất cho cả quá trình mã hóa và giải mã. Tác giả phân loại thành các thuật toán cổ điển (Caesar cipher, Transposition cipher, Linear Feedback Shift Registers - LFSR) và các thuật toán hiện đại (Feistel cipher, Data Encryption Standard - DES, Rivest Cipher 2 - RC2). Ưu điểm là tốc độ tính toán nhanh nhưng hạn chế lớn nhất là khó khăn trong việc phân phối khóa an toàn.
• Mã hóa bất đối xứng (Asymmetric Cryptography): Sử dụng một cặp khóa riêng biệt gồm khóa công khai (Public key) dùng để mã hóa hoặc kiểm tra chữ ký, và khóa cá nhân/bí mật (Private key) dùng để giải mã hoặc tạo chữ ký số. Các thuật toán tiêu biểu gồm Diffie-Hellman (DH), RSA (Rivest-Shamir-Adleman) và ElGamal. Phương pháp này đạt độ an toàn cao nhưng đòi hỏi năng lực tính toán phức tạp, thường được dùng để mã hóa dữ liệu kích thước nhỏ hoặc bảo vệ khóa phiên.
• Hàm băm một chiều (One-way Hash Functions): Biến đổi thông điệp có độ dài tùy ý thành chuỗi tóm tắt thông điệp (message digest / hash value) có độ dài cố định. Tác giả phân tích hai giải thuật băm thông dụng là MD5 (Message Digest 5 - tạo giá trị băm 128-bit) và SHA-1 (Secure Hash Algorithm 1 - tạo giá trị băm 160-bit), làm nền tảng kiểm tra tính toàn vẹn dữ liệu.
• Hạ tầng khóa công khai (Public Key Infrastructure - PKI) và Tiêu chuẩn X.509: Cơ chế quản lý, phân phối và định danh khóa công khai thông qua chứng chỉ số định dạng X.509 phiên bản 3 do IETF chuẩn hóa.

+---------------------------------------------------------------------------------------+
|                                    HỆ THỐNG MẬT MÃ                                   |
+-------------------------------------------+-------------------------------------------+
| Mã hóa đối xứng                           | Mã hóa bất đối xứng                       |
| - Dùng 1 khóa bí mật duy nhất             | - Cặp khóa Public Key / Private Key       |
| - Thuật toán: Caesar, DES, RC2            | - Thuật toán: RSA, Diffie-Hellman, ElGamal|
| - Tốc độ cao, trao đổi khóa khó khăn      | - Độ an toàn cao, xử lý tính toán lớn     |
+-------------------------------------------+-------------------------------------------+
| Hàm băm & Chữ ký số                       | Hạ tầng PKI & Chứng chỉ X.509 v3          |
| - Hàm 1 chiều: MD5 (128-bit), SHA-1 (160) | - Chứng thực danh tính qua bên thứ ba (CA)|
| - Chữ ký số trực tiếp & Chữ ký trọng tài  | - Thiết lập kênh bảo mật SSL/TLS/IPSec    |
+-------------------------------------------+-------------------------------------------+

Về phương pháp nghiên cứu, tác giả kết hợp phương pháp tổng hợp - phân tích tài liệu chuẩn kỹ thuật (RFC, tài liệu phát triển của Microsoft, Netscape, W3C) và phương pháp thực nghiệm hệ thống. Tác giả trực tiếp thiết lập mạng thử nghiệm với máy chủ quản lý miền (Domain Controller), triển khai dịch vụ Certificate Services trên Windows Server 2003, cấu hình các chính sách nhóm (Group Policy Objects) và xây dựng chương trình phần mềm minh họa tương tác chứng chỉ số.

---

Nội dung chính theo từng chương

Bố cục khóa luận gồm 5 chương chuyên môn, phần kết luận và 3 phụ lục tra cứu:

Chương 1: Giới thiệu

Chương mở đầu tập trung trình bày các khái niệm nền tảng của an toàn thông tin trên mạng Internet:

• Cơ chế mã hóa dữ liệu: Phân tích nguyên lý chuyển đổi bản rõ sang bản mã và ngược lại. So sánh bản chất toán học giữa quy trình mã hóa đối xứng (dùng chung khóa bí mật) và quy trình mã hóa bất đối xứng (dùng cặp khóa public/private).
• Mô hình chữ ký điện tử (Chữ ký số): Mô tả quy trình tạo chữ ký số bằng cách băm nội dung văn bản rồi mã hóa giá trị băm bằng khóa cá nhân của người gửi. Bên nhận giải mã chữ ký bằng khóa công khai tương ứng để so sánh giá trị băm, qua đó xác thực nguồn gốc và kiểm tra tính toàn vẹn. Phân biệt chữ ký số trực tiếp (chỉ giữa người gửi và nhận, dễ phát sinh tranh chấp nếu lộ khóa) và chữ ký số trọng tài (sử dụng một bên thứ ba độc lập xác nhận và đóng dấu thời gian).
• Nền tảng khóa công khai (PKI): Giới thiệu vai trò của PKI trong việc kết hợp khóa đối xứng và bất đối xứng; sử dụng cặp khóa công khai để thiết lập kênh an toàn (Secure Channel / Schannel) qua giao thức SSL/TLS và mã hóa trao đổi khóa phiên (session key).

Chương 2: CA Chứng thực điện tử

Chương này đi sâu vào kiến trúc và cơ chế vận hành của cơ quan chứng thực điện tử (Certificate Authority):

• Phân loại CA trong Windows Server 2003:
  • Standalone CA: Không yêu cầu Active Directory, thích hợp cho mạng Extranet hoặc Internet; quy trình cấp phát diễn ra thủ công thông qua xét duyệt của quản trị viên (yêu cầu đặt ở trạng thái "Pending"); không hỗ trợ chứng chỉ mẫu sẵn có hay đăng nhập thẻ thông minh.
  • Enterprise CA: Tích hợp chặt chẽ với Active Directory, tự động cấp phát chứng chỉ cho người dùng và máy tính trong miền (Domain); hỗ trợ Certificate Templates và thẻ thông minh; có năng lực cấp phát và quản lý hơn 35 triệu chứng chỉ điện tử với tốc độ xử lý đạt 60 chứng chỉ/giây.
• Nhiệm vụ của CA:
  1. Cấp phát chứng chỉ: Tiếp nhận yêu cầu, kiểm tra thông tin đối tượng, mã hóa khóa công khai của đối tượng, ký số lên chứng chỉ và phân phối.
  2. Chứng thực chứng chỉ: Kiểm tra tính hợp lệ của chuỗi chứng chỉ dựa trên khóa công khai của Root CA được lưu trong kho tin cậy (Trusted Root Certification Authority store).
  3. Thu hồi chứng chỉ: Xử lý khi khóa cá nhân bị lộ hoặc người dùng đổi quyền hạn; duy trì và phát hành danh sách thu hồi chứng chỉ (Certificate Revocation List - CRL) tại các điểm phân phối chiến lược (CRL Distribution Points - CDP).
• Cấu trúc và ứng dụng của chứng chỉ X.509 v3: Phân tích các trường thông tin trong chứng chỉ X.509 v3 (khóa công khai, tên đối tượng, số seri, thời hạn hiệu lực, tên CA, chữ ký CA, thuật toán băm). Khảo sát các ứng dụng bảo mật: Bảo mật Web (SSL/TLS/Schannel), Bảo mật thư điện tử (S/MIME v3 trong Outlook/Outlook Express), Xác thực thẻ thông minh (Smart card kết hợp giao thức Kerberos, MSGINA, LSA, KDC, TGT), Mã xác thực mã nguồn (Microsoft Authenticode, JAR format, Digital Signature Initiative của W3C), và Giao thức bảo mật IP (IPSec VPN, chuẩn ISAKMP, S/WAN, L2TP).
• Hệ thống phân cấp CA: Mô hình cây phân cấp lên đến 40 mức gồm CA gốc (Root CA), CA trung gian (Intermediate CA) và CA phát hành (Issuing CA), hoạt động song song với hệ thống phân cấp tên miền DNS để xác thực chuỗi tin cậy bắc cầu.

Chương 3: Cài đặt CA trên Win Server 2003

Chương 3 trình bày chi tiết các bước triển khai kỹ thuật hạ tầng CA trên hệ điều hành Windows Server 2003:

• Quy trình cài đặt Certificate Services: Hướng dẫn cấu hình thông qua công cụ Windows Components Wizard. Tác giả lưu ý điều kiện tiên quyết bắt buộc là phải cài đặt dịch vụ máy chủ web IIS trước khi cài đặt Certificate Services; nếu không, cổng web đăng ký chứng chỉ (CertSrv) sẽ không hoạt động.
• Quản lý Certificate Services bằng Group Policy: Thiết lập các chính sách khóa công khai (Public Key Policies) áp dụng cho các đơn vị tổ chức (OU), Domain hoặc Site, bao gồm 4 vùng chính sách:
  1. Encrypting File System (EFS): Chính sách mã hóa tệp cục bộ.
  2. Automatic Certificate Request Settings: Thiết lập tự động gửi yêu cầu và cấp chứng chỉ cho máy trạm/người dùng khi đăng nhập mạng.
  3. Domain Root Certificate Authorities: Nhập và phân phối chứng chỉ Root CA vào kho tin cậy của toàn bộ máy trạm trong miền.
  4. Certificate Trust List (CTL): Danh sách các đơn vị CA được miền tín nhiệm.
• Kiểm soát kho chứng chỉ cục bộ (Local Certificate Store): Sử dụng giao diện quản trị điều khiển Microsoft Management Console (MMC) tích hợp Certificates Snap-in để theo dõi, kiểm tra các chứng chỉ trong kho cá nhân (Personal Store) và kho CA gốc (Trusted Root Store).

Thành phần cấu hình	Vai trò kỹ thuật	Công cụ quản lý
IIS Web Server	Cung cấp giao diện web cho dịch vụ CertSrv / CertEnroll	Internet Information Services Manager
Certificate Services	Dịch vụ lõi xử lý yêu cầu, cấp phát và thu hồi chứng chỉ	Windows Components Wizard / CertSrv MMC
Default Domain Policy	Phân phối chứng chỉ Root CA và chính sách khóa công khai	Group Policy Management Console (GPMC / MMC)
Certificates Snap-in	Quản lý, kiểm tra kho chứng chỉ cục bộ của máy và người dùng	Microsoft Management Console (MMC)

Chương 4: Mô hình ứng dụng

Chương 4 xây dựng kịch bản ứng dụng chứng chỉ số trong môi trường mạng văn phòng thực tế:

• Quy trình xin cấp chứng chỉ: Mô tả từng bước nhân viên sử dụng trình duyệt web truy cập vào giao diện web enrollment của CA nội bộ để khai báo thông tin cá nhân, tạo khóa và gửi yêu cầu cấp chứng chỉ người dùng.
• Quản lý và trích xuất chứng chỉ tại máy Client:
  • Hướng dẫn xem thông tin chi tiết và kiểm tra đường dẫn chứng chỉ (Certification Path) trên máy trạm.
  • Hướng dẫn trích xuất (export) chứng chỉ chỉ chứa khóa công khai (định dạng file .CER) để chia sẻ cho đối tác giao tiếp.
  • Hướng dẫn trích xuất chứng chỉ chứa toàn bộ cặp khóa công khai và khóa cá nhân (định dạng file .PFX / PKCS#12 có đặt mật khẩu bảo vệ) phục vụ việc sao lưu hoặc chuyển đổi máy làm việc.
• Ký chữ ký điện tử vào tài liệu văn bản: Triển khai tích hợp khóa cá nhân từ chứng chỉ số để ký số trực tiếp vào tài liệu Microsoft Word, cho phép người nhận kiểm tra tính xác thực của tác giả và đảm bảo văn bản không bị chỉnh sửa sau khi ký.

Chương 5: Chương trình minh họa

Chương 5 giới thiệu việc thiết kế và vận hành một ứng dụng phần mềm minh họa do tác giả xây dựng:

• Hướng dẫn giao diện người dùng và các chức năng của chương trình.
• Quy trình nạp chứng chỉ điện tử đã được CA cấp phát vào phần mềm để thực thi các tác vụ: mã hóa gói tin, ký số dữ liệu gửi đi, và giải mã/xác minh tính hợp lệ của dữ liệu nhận được tại máy đích.

Kết luận đề tài và Phụ lục

• Kết luận đề tài: Khái quát lại toàn bộ giải pháp kỹ thuật, khẳng định tính hiệu quả của mô hình CA phân cấp và PKI trên Windows Server 2003 trong việc giải quyết bài toán an toàn thông tin mạng.
• Phụ lục A: Bảng giải thích các thuật ngữ viết tắt trong khóa luận (CA, PKI, CRL, CDP, DES, RSA, EFS, GPO, MMC, IIS, MSGINA, KDC, TGT...).
• Phụ lục B: Bảng tạm dịch thuật ngữ chuyên ngành Anh - Việt.
• Phụ lục C: Danh mục tài liệu tham khảo phục vụ nghiên cứu đề tài.

---

Thiết kế và triển khai

Hệ thống thử nghiệm trong khóa luận được thiết kế và triển khai theo kiến trúc mạng dịch vụ máy chủ - máy khách (Client/Server) với các thông số kỹ thuật cụ thể:

• Kiến trúc hệ thống: Máy chủ trung tâm chạy Windows Server 2003 đóng vai trò Domain Controller, quản lý cơ sở dữ liệu thư mục Active Directory và vận hành dịch vụ Certificate Services. Máy chủ web IIS được kích hoạt để cung cấp cổng giao tiếp web enrollment (http://<servername>/CertSrv và CertEnroll). Các máy trạm khách (Windows client) kết nối vào miền để nhận chứng chỉ hoặc thực hiện yêu cầu độc lập qua giao diện web.
• Ngăn xếp công nghệ và tiêu chuẩn ứng dụng:
  • Hệ điều hành máy chủ: Microsoft Windows Server 2003 Enterprise Edition.
  • Hạ tầng mạng: Giao thức TCP/IP, dịch vụ phân giải tên miền DNS tích hợp Active Directory.
  • Định dạng chứng chỉ: Tiêu chuẩn IETF X.509 phiên bản 3.
  • Các thuật toán mật mã: RSA, MD5, SHA-1, DES (56-bit), RC2 (40-bit / 128-bit).
  • Cơ chế quản trị chính sách: Group Policy snap-in, Microsoft Management Console (MMC).
• Quy trình triển khai kỹ thuật:
  1. Thiết lập máy chủ web IIS trước khi bổ sung thành phần Certificate Services từ Add/Remove Windows Components.
  2. Lựa chọn mô hình CA (kiểm thử cả hai phương án Standalone CA và Enterprise CA), cấu hình vị trí lưu trữ Certificate Database và Log.
  3. Cấu hình phân phối chứng chỉ Root CA qua chính sách nhóm Domain Root Certificate Authorities và thiết lập chế độ tự động cấp phát Automatic Certificate Request.
  4. Thực nghiệm quy trình yêu cầu cấp chứng chỉ người dùng qua giao diện Web, phê duyệt yêu cầu trên giao diện quản trị CA, và kiểm tra việc phân phối danh sách thu hồi CRL đến các điểm CDP.
  5. Xuất/nhập khóa định dạng .CER / .PFX và thực nghiệm ký số tài liệu Microsoft Word cũng như kiểm thử trên phần mềm minh họa.

---

Kết quả và đóng góp

Khóa luận đã đạt được các kết quả kỹ thuật cụ thể như sau:

• Hệ thống hóa toàn diện cơ sở lý thuyết về mật mã học đối xứng, bất đối xứng, cơ chế hàm băm một chiều và kiến trúc chữ ký điện tử.
• Phân tích rõ ràng sự khác biệt về chức năng, phạm vi ứng dụng và hiệu năng giữa Enterprise CA và Standalone CA trên nền tảng Windows Server 2003 (nêu rõ năng lực quản lý trên 35 triệu chứng chỉ với tốc độ 60 chứng chỉ/giây của Enterprise CA).
• Xây dựng tài liệu hướng dẫn kỹ thuật chi tiết về quy trình cài đặt, cấu hình, quản trị Certificate Services và phân phối chứng chỉ thông qua Group Policy Objects.
• Hiện thực hóa thành công chu trình ứng dụng chứng chỉ số hoàn chỉnh: từ khâu xin cấp phát, phê duyệt, trích xuất cặp khóa, ký số trên tài liệu văn phòng Microsoft Word đến tích hợp vào phần mềm thực nghiệm.
• Đóng góp một tài liệu tham khảo có giá trị thực hành cao về hạ tầng khóa công khai trong giai đoạn công nghệ chứng thực số bắt đầu được nghiên cứu ứng dụng tại các doanh nghiệp và cơ quan nhà nước ở Việt Nam.

---

Hạn chế và hướng nghiên cứu tiếp

• Hạn chế: Toàn bộ quá trình thực nghiệm và kiểm thử của đề tài chỉ tập trung trên nền tảng hệ điều hành Microsoft Windows Server 2003 và hệ sinh thái ứng dụng của Microsoft (IIS, Outlook Express, MS Word). Khóa luận chưa đi sâu kiểm thử khả năng tương thích và liên thông chứng thực giữa Windows CA với các nền tảng máy chủ mã nguồn mở (như OpenSSL/Linux) hoặc môi trường mạng đa hệ điều hành phức tạp.
• Hướng nghiên cứu mở rộng: Nghiên cứu tích hợp hạ tầng CA cho các giải pháp mạng riêng ảo VPN IPSec quy mô lớn giữa các chi nhánh phân tán; triển khai hệ thống xác thực người dùng bằng thiết bị phần cứng đọc thẻ thông minh (Smart card reader) vật lý trong doanh nghiệp; và mở rộng xây dựng các ứng dụng giao dịch thương mại điện tử chuyên sâu tuân thủ các quy định pháp lý về chữ ký số.

---

Giá trị tham khảo

Tài liệu khóa luận có giá trị tham khảo hữu ích cho các nhóm đối tượng:

• Sinh viên ngành Công nghệ Thông tin, An toàn Thông tin và Mạng máy tính: Cung cấp tài liệu học tập có hệ thống từ lý thuyết mật mã đến các bước thực hành triển khai PKI.
• Kỹ sư quản trị hệ thống và kỹ thuật viên mạng: Tham khảo hướng dẫn từng bước thiết lập dịch vụ Certificate Services trên Windows Server, phương pháp xử lý lỗi thứ tự cài đặt IIS, và quy trình phân phối chứng chỉ tự động bằng Group Policy.
• Người nghiên cứu các đề tài tương tự: Kế thừa bảng thuật ngữ chuyên ngành Anh - Việt, quy trình trích xuất khóa định dạng .CER/.PFX, và phương pháp tích hợp chữ ký số vào tài liệu văn phòng.

---

Câu hỏi thường gặp

1. Khóa luận phân biệt Standalone CA và Enterprise CA như thế nào? Trong Windows Server 2003, Enterprise CA tích hợp trực tiếp với Active Directory, tự động cấp phát chứng chỉ cho máy tính và người dùng trong miền, hỗ trợ chứng chỉ mẫu (certificate templates) và đăng nhập bằng thẻ thông minh với năng lực quản lý hơn 35 triệu chứng chỉ (tốc độ 60 chứng chỉ/giây). Ngược lại, Standalone CA không tương tác với Active Directory, hướng đến mạng Extranet hoặc Internet, mọi yêu cầu cấp chứng chỉ đều phải đặt ở trạng thái chờ (Pending) để người quản trị duyệt thủ công dựa trên giấy tờ xác minh, và không hỗ trợ chứng chỉ mẫu hay đăng nhập thẻ thông minh.

2. Thứ tự cài đặt giữa IIS và Certificate Services có bắt buộc không? Có. Văn bản nêu rõ bắt buộc phải cài đặt dịch vụ máy chủ web IIS trước khi cài đặt Certificate Services. Nếu Certificate Services được cài đặt trước IIS, website nhận yêu cầu và cấp phát chứng chỉ (CertSrv / CertEnroll) sẽ không được hỗ trợ. Khi gặp lỗi này, người quản trị phải gỡ bỏ Certificate Services, cài đặt IIS rồi mới tiến hành cài đặt lại Certificate Services.

3. Khóa luận phân tích những thuật toán mã hóa và hàm băm nào? Tài liệu phân tích thuật toán mã hóa đối xứng cổ điển (Caesar, Transposition, LFSR) và hiện đại (Feistel, DES 56-bit, RC2 từ 40 đến 128-bit); thuật toán mã hóa bất đối xứng (Diffie-Hellman, RSA, ElGamal); cùng hai giải thuật băm thông dụng là MD5 (kết quả băm 128-bit) và SHA-1 (kết quả băm 160-bit).

4. Danh sách thu hồi chứng chỉ (CRL) và điểm phân phối CDP hoạt động như thế nào? Khi một chứng chỉ bị lộ khóa cá nhân hoặc mất hiệu lực trước thời hạn, CA sẽ thu hồi và ghi số seri của chứng chỉ vào danh sách Certificate Revocation List (CRL). Bản sao CRL được đưa đến các điểm phân phối chiến lược (CRL Distribution Points - CDP) dưới dạng đường dẫn URL mạng hoặc thư mục chia sẻ. Khi nhận được một chứng chỉ, đối tượng nhận phải đối chiếu với CRL tại CDP; nếu không thể tìm thấy CRL tại vị trí CDP được chỉ định, đối tượng sẽ xem như toàn bộ chứng chỉ do CA đó phát hành đều đã bị thu hồi và không còn giá trị.

5. Cơ chế xác thực thẻ thông minh (smart card) thay thế mật khẩu truyền thống ra sao? Thay vì sử dụng giá trị băm của mật khẩu (password hash) để mã hóa thông điệp phản hồi từ dịch vụ xác thực (AS), trung tâm phân phối khóa (Key Distribution Center - KDC) sẽ sử dụng khóa công khai của người dùng đọc từ thẻ thông minh để mã hóa. Người dùng chỉ cần nhập mã PIN vào giao diện MSGINA, thành phần Local Security Authority (LSA) sẽ truy xuất thẻ với mã PIN để lấy chứng chỉ X.509 v3 phục vụ xác thực Kerberos, và KDC sẽ trả về vé truy cập Ticket Granting Ticket (TGT) đã được mã hóa an toàn.

---

Kết luận

Khóa luận tốt nghiệp "Tìm hiểu và sử dụng CA chứng thực điện tử" của tác giả Phạm Anh Tuấn là công trình nghiên cứu toàn diện về mật mã học và hạ tầng khóa công khai PKI tại thời điểm năm 2005. Đề tài đã làm rõ cơ chế xác thực, mã hóa và phân phối chứng chỉ số X.509 v3, đồng thời triển khai thành công dịch vụ Certificate Services trên nền tảng Windows Server 2003. Kết quả thử nghiệm từ khâu cấp phát, quản lý qua Group Policy, trích xuất cặp khóa đến việc ký số tài liệu văn bản và xây dựng chương trình minh họa mang lại giá trị thực tiễn cao cho công tác quản trị mạng và bảo mật thông tin.

Trích đoạn nội dung tài liệu

vA DAo TAO. TRUONG DHDL NGO~I NGU - TIN HQC TP.HCM KHOA CONG NGH:E: THONG TIN ,. KHOA LUAN • TOT NGHIEP • TIM HIEU vA SU DUNG • I I ' CA CHUNG THUC • BIEN • TU GIANG VrEN HUONG DAN: Th.S DB Thanh Vi Ngan SINH VlEN THVC HI:E:N: 0111088 TP. HO CHi MINH - 2005 t LOi cam un £)S ho~mthanh dS tai t6t nghi~p nay, em xin chan thanh gui lai dim an dSn quy thfiy co khoa Cong Nghi Thong Tin cua truang HUFLIT dff luon quan tam, giup dO'em trong qua trinh lam dS tai nay.

£)~c bi~t la S\I h6 trg cua thfiy huang dfin t6t nghi~p Th.s »6 Thanh Vi Ngiin. Em cling xin gui lai dim an chan thanh dSn Ban Giam £)6c cong ty TNlffi Tin HQc Chi Nam dff t~o mQi diSu ki~n thu~n 19i dS em dSn th\Ic t~p trong thai gian lam kh6a lu~n t6t nghi~p t~i cong ty. HCM, ngay 12 thang 08 nam 2005. Sinh vien th\Ic hi~n Phq,m Anh Tu[m.

Gi6'i thi~u as tai Trang 1/89 GI01 TRIEU • DE TAl Ngay nay, nhu d.u giao tiSp, trao d6i thong tin hay mua ban qua m~ng Internet dang phcit triSn rflt nhanh 6 nhiSu nuac tren thS giai. Vi m~ng Internet 1a m~ng may tinh toan cfiu nen co tinh bao m~t kern. Bai toan duQ'c d~t ra 1a lam cach nao co thS nang cao tinh bao m~t dS cac giao tiSp tren m~ng d~t duQ'c dQ an toan cling nhu co thS xac th\fc duQ'c dung d6i tUQ'ngrna minh giao tiSp. Chinh vi m\lc dich do rna cac CA chUng thlfc ai?n tir da ra doi.

CA chung th\fc di~n tu se d.p cho m6i d6i tuqng cfin giao tiSp tren m~ng mQt chung chi ai?n til:va dung ra bao dam d6i tUQ'ngdo 1a dang tin c~y d6i vai cac d6i tuqng khac, tranh vi~c gia danh, m~o nh~n. Cac chung chi di~n tu nay cling co gia tri nhu cac chUng minh thu cua m6i nguoi trong cUQc s6ng th\fc cua chung tao 6 Vi~t Nam, vi~c Ung d\lng CA chung th\fc di~n tu va su d\mg cac chu'ng chi di~n tu con chua duQ'c ph6 biSn rQng rai. Vi v~y, nhi~m V\l cua dS tai 1a "Tim hiJu va SUo dpng CA chung th!l'c tli?n tir'. By vQng dS tai nay se gop phfin thuc d~y nhanh vi~c ung dVng ph6 biSn CA chung th\fc di~n tu trong qua trinh giao tiSp, trao d6i thong tin cua cac cong ty, cac t6 chuc hay trong IInh V\fCthuang m~i di~n tu cling nhu gop phfin d~y nhanh qua trinh xay d\fng, phat triSn chinh phu di~n tu va dua cong ngh~ thong tin dSn gfin han vai cUQcs6ng hang ngay 6 Vi~t Nam.

Tim hi~u va Slr dl,lng CA chung thl,l'cdi~n ttL Ph«;lm Anh Tuan NQi dung Trang 2/89 6 - GI I THI:t::U DE TAl ., 1 Chu'01lg 1: GI 6I THI~U 4 1. Mii hoa dir lifu: 5 1. Quy trinh rna hoa d?i xlfng: 6 12. Q uy tn'nh rna-h' oa b~d~' ,.

Chir kj difn tii:: 9 2. Chfr ky s6 tn,rc tiSp: 11 2. Chfr ky s6 trQng Uli: 11 3. NJn tang khoa cong khai: 12 ChU'01lg 2: CA CHUNG THljC DI~N TU 14 1.

Standalone Certificate Authority 15 2. Enterprise Certificate Authority 16 2. Chung chi rn~u: 16 2. Chfnh sach khoa cong khai: 17 3.

Nhifm V(I ciia cac CA: 19 3. C~p phat cac chUng chi di~n tu: 19 3. Chung th\Ic cac chUng chi di~n tu: 20 3. Thu h6i cac chung chi hSt hi~u h,rc: 22 3.

S\I thu h6i cac chung chi hSt hi~u h,rc: 22 3. Danh sach cac chUng chi bi thu h6i: 23 4. Chu:ng chi difn tii': 25 4. Cac thanh phfin cua rnQt chUng chi: 25 4.

MQt s6 ung d\mg cua chung chi di~n tu: 26 4. Bao rn~t Web: 26 4. Bao rn~t thu di~n tu: 29 4. The thong rninh: 30 4.

Ma xac th\IC: 32 4. Giao thuc IP bao rn~t: 33 5. Hf thang phiin clip CA: 34 ChU'o'ng 3: CA.l D~T CA TREN WIN SERVER 2003 38 1. Cai d(it Certificate Services: 39 2.

Quiin Ij Certificate Services: 41 2. Phan ph6i cac chUng chi sir d1,1ngcac Chfnh sach nhorn: 41 2. Ki€rn soat kho Local Certificate: 48 Chu'01lg 4: MO HINH UNG Dl)N G 55 1. Quy trinh xin clip chti'ng chi ciia m{it nhiin vien 56 2.

Xem chti'ng chi t{limay client 63 3. Tach m{it chung chi tu' kho IU'utru:tren may 65 3. Tach chung chi co chua khoa cong khai 65 3. Tach chung chi co c(lp khoa cong khai/ca nhan 68 4.

Dung khoa ca nhiin kj chir kj difn tii' vao tai lifu Word 71 Chu'01lg 5: CHUONG TRINH MINH HQA 74 1. Sii' d(lng chU'O'ngtrinh: 75 Tim hi@u va su dl,mg CA ehu'ng thve di~n tu. Ph<;lm Anh Tuan Ni?i dung Trang 3/89 2. SUod¥ng clumg chi (/u!J'c clip: 82 KIt T L U~N DE TAl 86 Phl}ll}c A: Thu~t ngfr vi~t t~t 87 sa Phl}ll}c B: T~m dich mQt thu~t ngii'.

88 Phl}ll}c C: Tili li~u tham khao 89 Tim hiSu va sir d\lng CA chU'ng th\l'c di~n tir. Ph9m Anh Tuan Chuang 1: Gi6'i thi~u Trang 4/89 , - Chuang 1: GIOI THI~U Vi~c truySn thong tin tren m~mg Internet hi~n nay chil y@utheo giao thuc TCP/IP. Giao thuc TCP/IP cho phep truySn thong tin tu mQt may ngu6n d@nmay dich qua rftt nhiSu may trung gian nen t~o co hQi cho ben thu ba lfty trQm, thay d6i thong tin tren duemg truySn, m~o danh mQt nguai nao do dS gil'i thong tin hay rnQt nguai co thS t~o ra mQt thong tin bftt hqp phap va gui di nhung l~i phil nh~n ngu6n g6c cila thong tin do. Vi v~y, tiOO bilO m~t cila m~ng Internet la rftt kern, khong d~t duQ'c S\I an toan va khong co kha nang xac th\Ic.

DS kh~c ph\lc duQ'c nhfrng vftn dS tren thi nhu cftu vS mQt h~ th6ng thong tin bao rn~t la rftt cftn [e-mail] h~ th6ng thong tin duQ'c gQi la bao m~t trong qua triOOtrao d6i dfr li~u phai dap trng duQ'c cac yeu cftu sau: H~ th6ng phai co dQ tin c~y (confidentiality): dam bao dfr li~u trong qua triOOtruySn di khong bi daOOc~p va nguai thu ba khong thS dQc duQ'c n@ulfty duQ'c dfr li~u. H~ th6ng phai co kha nang diOO daOO (authentication): cac th\lc thS tham gia trong qua triOOtrao d6i dfr li~u phai co kha nang dinh daOO dS bi@t duQ'c chiOOxac d6i tUQ'ngrna rninh trao d6i thong tin, traOO truang hqp gia danh, m~o OO~n. H~ th6ng phili co khil nang kiSm tra tioo toan v~n dfr li~u (integrity): phili co co ch@kiSm tra dfr li~u truySn co bi thay d6i khong. H~ th6ng phili co khil nang ch6ng l~i s\I ch6i dii (non-repudiation): nguai gui thong di~p khong thS phil nh~n trach OOi~mda t~o ra va gui mQt thong di~p.

DS d~t duQ'c dQ tin c~y va tiOOtoan v~n dfr li~u, chung ta su d\lng co ch@rna hoa dfr li~u. DS d~t duQ'c tiOOxac th\Ic va khil nang ch6ng l~i S\I phil nh~n, chung ta su d\lng chfr ky di~n tu. Tim hi~u va Sll' dl,mg CA chung thl,Ccdi~n tfr. Ph<;lm Anh Tuan Chuang 1: Gi6i thi~u Trang 5/89 1.

Mfi hoa dii'lifu: J1m .hleu va --+ slI cl,IrQ .ng th,Jt: l1~ntLI, DU'Ii~unguon DU' Ii~u (fa ma h6a Hinh 1.01: M6 hinh rna h6a dfr li~u Ma hoa dfr li~u la qua trinh biSn d6i rnQt dfr li~u ngu6n co thS d<)cduqc thanh d?ng dfr li~u da rna hoa khong thS d<)cduqc. Co nit nhiSu cach dS rna hoa dfr li~u nhung thong d\lng nhfit la cac giai thu~t rna hoa sir d\lng rnQt thanh ph&n g<)ila khoa rna hoa, khoa nay se tac dQng vao dfr li~u ngu6n theo rnQt giai thu~t nao do, ching h?n thay thS kY tv nay boi ky tv khac hay d6i vi tri rnQt ky tv til vi tri nay sang vi tri khac theo mQt quy lu~t chung (tuc la theo khoa rna hoa). Qua trinh nguqc l?i la qua trinh biSn d6i dfr li~u da rna hoa thanh dfr li~u ngu6n co thS d<)cduqc, qua trinh nay g<)ila giai rna dfr li~u. Cling nhu qua trinh rna hoa dfr li~u, qua trinh giai rna sir d\lng cac thu~t toan giai rna va rnQt khoa giai rna.

Nhung tuy theo khoa rna hoa va khoa giai rna la gi6ng hay khac rna cac cO'chS rna hoa duqc chia lam hai lo?i: rna hoa theo quy trinh d6i xUng (symmetric cryptography) va rna hoa theo quy trinh bfit d6i xung (asymmetric cryptography). Tim hi8u va sir d\lng CA chung th\l'c di~n tu. Phi;lm Anh Tuan Chuang 1: Gi6i thi~u Trang 6/89 1. Quy trinh rna h6a d6i xung: lim hie~u Tim hie"u v.

vi SLrdyng CA dung CA clUng tho,tc di~n tho,tc di~n t\1. Oil Ii(!U nguon Oil Ii(!U (la ma hoa Oil Ii(!U nguon Hinh 1.02: Me hinh rna h6a d6i xling Quy trinh rna h6a d6i xUng (symmetric cryptography) su d\rng cac thu~t toan rna h6a d6i xung - con dugc gQi hI cac thu~t toan rna h6a vai kh6a bi rn~t (secret key) hay con dugc gQi la kh6a ca nhan. Cac thu~t toan nay chi su d\rng rnQt kh6a duy nh~t va la kh6a chung cho ca nguoi gui l~n nguoi nh~n. Quy trinh rna h6a va giai rna la ilbi xung nhau nghla la chi dung rnQt kh6a chung cho qua trinh rna h6a hay giai rna va qua trinh giai rna chi don gian la lam ngugc l~i qua trinh rna h6a ban d~u.

Truac khi rna h6a dfr li~u dS gai dSn nguoi nh~n thi hai ben gui va nh~n phai th6ng nh~t kh6a chung va th6ng nh~t ca thu~t toan dung dS rna h6a va giai rna. Nhugc diSrn chinh cua phuong phap nay la c~n phai trao d6i kh6a rna h6a gifra nguoi gui va nguoi nh~n nen kh6 dam bao qua trinh trao d6i kh6a la an toan nhung uu diSrn la t6c dQ rna h6a va giai rna se r~t nhanh. Vi d\l rnQt s6 thu~t toan: - Cac thu~t toan rna h6a c6 diSn: Caesar cipher, transposItIon cipher, Linear feedback shift registers (LFSR). Nhung cac thu~t toan nay khong an toan vi d.t dS bi tharn rna.

- Cac thu~t toan rna h6a hi~n d~i: Feistel cipher, Data Encryption Standart (DES), Rivest Cipher 2 (RC2). Tuy dQ an toan tang nhung t6c dQ rna h6a va giai rna dfr li~u se ch~rn do tinh toan kha phll'c t~p. Tim hiSu va Slr d\mg CA chu'ng th\l'c di~n ti'r. Ph~m Anh Tuan Chuang 1: Gi6'i thi~u Trang 7/89 1.

Quy trinh rna hoa b~t d6i xung: Dli'Ii~u kh6a ding khai khOa ca nhan Hinh I.a: M6 hinh rna hoa b~t d6i xung 1 (3jii rhtJ~r gjiiml Dli'li~u kh6a ca nhan kh6a ding khai Hinh I.b: M6 hinh rna hoa b~t d6i xUng 2 Quy trinh rna hoa b~t d6i xling (asymmetric cryptography) su d\lllg cac thu~t tmin rna hoa b~t d6i xung - con duQ'c gQi la cac thu~t toan rna hoa dung khoa cong khai. Cac thu~t toan nay da gilii quySt duQ'c v~n dS cua thu~t toan rna hoa dung khoa bi rn~t.