Tổng quan nghiên cứu

Sự bùng nổ của Internet và thương mại điện tử tạo ra nhu cầu cấp thiết về an toàn thông tin khi các nguy cơ nghe lén, giả mạo và thay đổi dữ liệu gia tăng nhanh chóng. Thống kê giai đoạn 2014–2016 tại Việt Nam cho thấy tỷ lệ ứng dụng chữ ký số đã đạt 76% ở cấp cơ quan trung ương và 71% tại các đơn vị địa phương, song các giao dịch vẫn đối mặt với rủi ro mất an toàn cao do sự thiếu liên thông giữa các hệ thống xác thực. Vấn đề cốt lõi đặt ra là làm thế nào để đảm bảo 4 thuộc tính an toàn nền tảng: tính bí mật, tính toàn vẹn, tính xác thực và tính chống chối bỏ trong các giao dịch điện tử phân tán.

Mục tiêu cụ thể của luận văn là nghiên cứu chuyên sâu về Cơ sở hạ tầng khóa công khai (PKI), phân tích cơ chế hoạt động của chứng thư số X.509 v3, và giải quyết bài toán liên kết tin cậy giữa các hệ thống PKI độc lập thông qua giải pháp chứng thực chéo (Cross-certification). Phạm vi nghiên cứu tập trung vào khung pháp lý và hiện trạng hạ tầng PKI Việt Nam từ năm 2005 đến năm 2016, đồng thời tiến hành cài đặt, thử nghiệm mô hình chứng thực chéo trên phần mềm mã nguồn mở EJBCA tại Trường Đại học Công nghệ – Đại học Quốc gia Hà Nội. Ý nghĩa của công trình thể hiện ở việc cung cấp giải pháp kỹ thuật giúp giảm thiểu độ phức tạp kết nối tin cậy từ $n^2$ xuống còn $n$ quan hệ, đảm bảo 100% tính toàn vẹn dữ liệu và tạo nền tảng vững chắc cho việc triển khai Chính phủ điện tử cùng dịch vụ công trực tuyến.

Cơ sở lý thuyết và phương pháp nghiên cứu

Khung lý thuyết áp dụng

Nghiên cứu được xây dựng dựa trên hai trục lý thuyết mật mã học nền tảng: Mật mã khóa đối xứng và Mật mã khóa công khai (phi đối xứng). Hệ thống mã hóa đối xứng với các thuật toán tiêu chuẩn như 3DES (sử dụng 3 khóa riêng biệt trên khối 64-bit) và AES (xử lý khối 128-bit với độ dài khóa 128, 192 hoặc 256-bit) đảm bảo tốc độ mã hóa dữ liệu nhanh. Trong khi đó, hệ mật mã khóa công khai phát triển từ công trình năm 1976 của Diffie – Hellman và thuật toán RSA năm 1977 sử dụng cặp khóa công khai/khóa riêng giải quyết triệt để bài toán phân phối khóa trên kênh truyền không an toàn.

Hệ thống định nghĩa và chuẩn hóa 5 khái niệm cốt lõi:

  1. Certification Authority (CA): Bên thứ ba tin cậy chịu trách nhiệm cấp phát, quản lý và thu hồi chứng thư số.
  2. Registration Authority (RA): Cơ quan tiếp nhận và xác minh danh tính thực thể trước khi chuyển tiếp yêu cầu đến CA.
  3. Chứng thư số X.509 v3: Cấu trúc dữ liệu điện tử gắn kết khóa công khai với định danh người dùng, bao gồm các trường chuẩn như Serial Number, Issuer DN, Subject DN và Extensions.
  4. Danh sách thu hồi chứng thư (CRL): Danh mục các chứng thư bị hủy bỏ hiệu lực trước thời hạn, được công bố định kỳ trong khoảng 24 giờ.
  5. Chứng thực chéo (Cross-certification): Cơ chế xác lập mối quan hệ tin cậy song phương hoặc đa phương giữa các miền PKI độc lập.

Phương pháp nghiên cứu

Nguồn dữ liệu nghiên cứu kết hợp giữa hệ thống văn bản quy phạm pháp luật Việt Nam (Luật Giao dịch điện tử số 51/2005/QH11, Luật An toàn thông tin mạng số 86/2015/QH13, Nghị định 26/2007/NĐ-CP, Nghị quyết 36a/NQ-CP) và dữ liệu thực nghiệm kỹ thuật từ hệ thống phần mềm EJBCA.

Cỡ mẫu thử nghiệm bao gồm 10 thực thể PKI đại diện (gồm 2 Root CA độc lập, 2 cơ quan quản trị và 6 người dùng cuối End-Entity) được thực thi qua 50 kịch bản giao dịch an toàn mô phỏng. Phương pháp chọn mẫu có chủ đích (purposive sampling) được áp dụng nhằm phản ánh chính xác cấu trúc tương tác giữa hệ thống CA chuyên dùng Chính phủ và các CA công cộng ngoài thị trường. Lý do lựa chọn phương pháp phân tích cấu trúc kết hợp mô phỏng thực nghiệm trên máy chủ EJBCA là để đo lường trực tiếp khả năng xác thực đường dẫn chứng thư, kiểm tra ràng buộc chính sách (Policy Constraints) và đánh giá độ trễ xử lý dữ liệu trong môi trường mạng thực tế. Toàn bộ quá trình nghiên cứu và thực nghiệm được triển khai liên tục trong chu kỳ 36 tháng (2013–2016).

Kết quả nghiên cứu và thảo luận

Những phát hiện chính

Nghiên cứu đã làm rõ bức tranh toàn cảnh và các đặc tính kỹ thuật quan trọng của hệ thống PKI:

  • Thực trạng phân mảnh hạ tầng PKI: Đến cuối năm 2014, Việt Nam tồn tại 2 hệ thống độc lập gồm hệ thống CA chuyên dùng Chính phủ (1 Root CA và 6 Sub CA phục vụ các cơ quan Đảng, Nhà nước) và 9 doanh nghiệp cung cấp dịch vụ chứng thực chữ ký số công cộng được Bộ Thông tin và Truyền thông cấp phép. Mặc dù 76% cơ quan trung ương đã ứng dụng chữ ký số, việc thiếu liên thông kỹ thuật khiến các giao dịch điện tử giữa khối công và khối tư nhân bị gián đoạn.
  • Tối ưu hóa kiến trúc xác thực: So sánh 5 mô hình PKI (Phân cấp, Mạng lưới, Danh sách tin cậy, Hub-and-Spoke, CA đơn) chỉ ra rằng mô hình Hub-and-Spoke (Bridge CA) kết hợp chứng thực chéo giúp giảm hơn 80% số lượng quan hệ tin cậy cần duy trì so với mô hình mạng lưới thuần túy khi số lượng CA tăng lên.
  • Kiểm thử thực nghiệm EJBCA: Quá trình tạo lập 2 Root CA độc lập và thiết lập chứng thực chéo trên nền tảng EJBCA ghi nhận tỷ lệ xác thực thành công đạt 100% đối với các thông điệp ký số giữa User1 thuộc RootCA1 và User2 thuộc RootCA2. Độ trễ kiểm tra đường dẫn chứng thư số và tra cứu danh sách CRL đạt dưới 250 mili-giây.

Thảo luận kết quả

Nguyên nhân chính dẫn đến sự cô lập giữa các hệ thống PKI trước đây là do sự khác biệt về bản công bố thực chế chứng thực (CPS), thuật toán băm (SHA-1 sang SHA-256) và các chính sách quản lý chứng thư riêng biệt. Kết quả thực nghiệm chứng minh rằng chứng thực chéo giải quyết triệt để rào cản này bằng cách cho phép mỗi CA phát hành chứng thư cho CA đối tác với các ràng buộc tên (Name Constraints) và ràng buộc đường dẫn (Path Length Constraints) chặt chẽ.

Dữ liệu so sánh hiệu năng giữa các mô hình kiến trúc có thể được biểu diễn trực quan qua bảng tổng hợp đánh giá theo 4 tiêu chí: khả năng mở rộng, độ phức tạp quản trị, rủi ro điểm nghẽn đơn lẻ (Single Point of Failure), và tốc độ kiểm tra chuỗi chứng chỉ. Đồng thời, một biểu đồ luồng quy trình (Flowchart) mô tả 6 bước xác thực chéo từ Client gửi yêu cầu, kiểm tra chứng thư của CA trung gian đến việc truy xuất Root CA sẽ minh họa rõ ràng cơ chế giảm tải đường truyền so với mô hình phân cấp truyền thống. Phát hiện này hoàn toàn tương thích với các tiêu chuẩn quốc tế của mô hình US Federal Bridge CA, khẳng định tính khả thi khi áp dụng vào Đề án Chính phủ điện tử theo Nghị quyết 36a/NQ-CP.

Đề xuất và khuyến nghị

Dựa trên kết quả nghiên cứu, luận văn đề xuất 4 nhóm giải pháp kỹ thuật và tổ chức có tính khả thi cao:

  1. Xây dựng Cổng chứng thực chéo quốc gia (National Bridge CA) nhằm liên thông 100% giữa hệ thống CA chuyên dùng Chính phủ với 9 nhà cung cấp dịch vụ CA công cộng, hoàn thành trong giai đoạn 2017–2020 dưới sự điều phối của Ban Cơ yếu Chính phủ và Bộ Thông tin và Truyền thông.
  2. Nâng cấp độ dài khóa mã hóa công khai RSA lên tối thiểu 2048-bit và chuyển đổi toàn bộ hàm băm sang chuẩn SHA-256 hoặc SHA-512 cho toàn bộ các chứng thư số phát hành mới trước năm 2018, do các tổ chức CA chịu trách nhiệm kỹ thuật.
  3. Triển khai giao thức kiểm tra trạng thái chứng thư trực tuyến (OCSP) song song với danh sách thu hồi CRL định kỳ 24 giờ nhằm rút ngắn thời gian phản hồi xác thực danh tính xuống dưới 100 mili-giây tại các cổng dịch vụ công trực tuyến.
  4. Mở rộng tỷ lệ tích hợp chữ ký số trong văn bản điện tử hành chính, hướng tới mục tiêu 95% cơ quan cấp bộ và 90% cơ quan cấp tỉnh xử lý hồ sơ hoàn toàn trên môi trường mạng trong vòng 24 tháng.

Đối tượng nên tham khảo luận văn

Luận văn là tài liệu tham khảo giá trị cho 4 nhóm đối tượng chuyên môn:

  1. Kiến trúc sư hệ thống và Chuyên gia An toàn thông tin: Khai thác quy trình triển khai EJBCA, các bước cấu hình máy chủ CA/RA và phương thức thiết lập chứng thực chéo trong các hạ tầng mạng doanh nghiệp lớn.
  2. Cán bộ quản trị CNTT tại các cơ quan Nhà nước: Nắm bắt mô hình liên thông chứng thực điện tử giữa hệ thống CA chuyên dùng Chính phủ (gồm 6 Sub CA) và các hệ thống dịch vụ công ngoài xã hội.
  3. Nhà phát triển ứng dụng Thương mại điện tử và FinTech: Ứng dụng chuẩn X.509 v3, tích hợp hàm băm SHA và mã hóa đối xứng AES 128/256-bit vào cổng thanh toán để chống giả mạo và chống chối bỏ giao dịch.
  4. Học viên cao học và Nghiên cứu sinh ngành Công nghệ thông tin: Sử dụng khung lý thuyết toàn diện về mật mã học, phân tích 5 mô hình PKI và phương pháp luận thực nghiệm làm nền tảng cho các đề tài nghiên cứu chuyên sâu tiếp theo.

Câu hỏi thường gặp

Hạ tầng khóa công khai PKI giải quyết những nguy cơ an ninh nào trong giao dịch điện tử?
PKI giải quyết triệt để 4 thách thức an toàn thông tin gồm: bảo mật, toàn vẹn dữ liệu, định danh thực thể và chống chối bỏ. Bằng cách kết hợp thuật toán mã hóa AES với cặp khóa RSA và hàm băm an toàn, hệ thống ngăn chặn hoàn toàn nguy cơ nghe lén trên đường truyền và phát hiện 100% các hành vi chỉnh sửa trái phép dữ liệu bản rõ.

Chứng thực chéo (Cross-certification) mang lại lợi ích gì cho các hệ thống PKI độc lập?
Chứng thực chéo cho phép hai miền PKI riêng biệt tin cậy lẫn nhau mà không cần tái cấu trúc lại hệ thống Root CA sẵn có. Khi áp dụng mô hình Hub-and-Spoke, giải pháp này giúp giảm số lượng quan hệ tin cậy từ $n^2$ xuống $n$, tiết kiệm hơn 75% chi phí vận hành và đơn giản hóa việc đối soát chính sách an toàn thông tin liên ngành.

Cấu trúc chứng thư số X.509 v3 có những thành phần quan trọng nào?
Chứng thư X.509 v3 bao gồm các trường chuẩn: Phiên bản, Số serial định danh duy nhất, Thuật toán chữ ký, Tên phân biệt của CA cấp phát (Issuer DN), Thời hạn hiệu lực, Tên chủ thể (Subject DN), Khóa công khai và Chữ ký số của CA. Ngoài ra, các trường mở rộng (Extensions) cho phép thiết lập các ràng buộc về chính sách và đường dẫn xác thực.

Phần mềm mã nguồn mở EJBCA đóng vai trò gì trong mô hình thực nghiệm?
EJBCA là hệ thống phần mềm trung tâm CA cấp doanh nghiệp chuẩn Java. Trong luận văn, EJBCA được dùng để thiết lập hạ tầng thực nghiệm độc lập, khởi tạo 2 Root CA, phát hành chứng thư X.509 v3 cho các người dùng cuối và kiểm tra tính hợp lệ của quy trình xác thực chéo với thời gian phản hồi dưới 250 mili-giây.

Thực trạng ứng dụng chữ ký số tại Việt Nam giai đoạn nghiên cứu đạt mức độ nào?
Theo số liệu thống kê đến tháng 12/2014, tỷ lệ ứng dụng chữ ký số đạt 76% tại các cơ quan trung ương và 71% tại các cơ quan địa phương. Hệ thống vận hành với 1 Root CA Chính phủ, 6 Sub CA chuyên dùng và 9 nhà cung cấp CA công cộng được cấp phép, tạo nền tảng vững chắc theo Luật Giao dịch điện tử số 51/2005/QH11.

Kết luận

  • Luận văn hệ thống hóa toàn diện cơ sở toán học và kỹ thuật của mật mã học, chữ ký số và hàm băm an toàn trong bảo mật thông tin.
  • Phân tích chi tiết ưu nhược điểm của 5 mô hình kiến trúc PKI, chứng minh tính ưu việt của giải pháp chứng thực chéo Hub-and-Spoke.
  • Đánh giá thực trạng hạ tầng PKI Việt Nam với sự tồn tại song song của 1 Root CA Chính phủ (6 Sub CA) và 9 doanh nghiệp CA công cộng.
  • Triển khai thực nghiệm thành công mô hình chứng thực chéo trên phần mềm EJBCA, đạt tỷ lệ xác thực chính xác 100% với thời gian phản hồi tối ưu.
  • Đề xuất lộ trình giai đoạn 2017–2020 nhằm xây dựng hạ tầng chứng thực điện tử liên thông cho Chính phủ điện tử theo Nghị quyết 36a/NQ-CP.

Công trình đóng góp giải pháp kỹ thuật thực tiễn giúp xóa bỏ tình trạng phân mảnh giữa các hệ sinh thái chứng thực số độc lập. Để tiếp tục hoàn thiện, các cơ quan quản lý và doanh nghiệp cần xúc tiến thử nghiệm giải pháp Bridge CA trên quy mô lớn, chuẩn hóa chính sách chứng thư và thúc đẩy ứng dụng chữ ký số rộng rãi trong toàn bộ các giao dịch công trực tuyến.