Xây Dựng Phần Mềm Ký Số Mã Mật CMS và JSON

Phần mềm ký số mã mật CMS và JSON đang trở thành giải pháp quan trọng trong việc bảo vệ thông tin. 100 trang · Học viện Kỹ thuật Mật mã · 2021.

• Tác giả: Võ Lê Huy
• Người hướng dẫn: Tiến Sĩ Lê Quang Huy
• Trường học: Học viện Kỹ thuật Mật mã
• Chuyên ngành: An toàn thông tin
• Đề tài: Phần Mềm Ký Số Mã Mật CMS và JSON
• Loại tài liệu: đồ án tốt nghiệp
• Năm xuất bản: 2021
• Địa điểm: Thành phố Hồ Chí Minh

Mục lục chi tiết

• 1. CHƯƠNG 1: HẠ TẦNG MẬT MÃ KHÓA CÔNG KHAI
• 1.1. Một số khái niệm về PKI
• 1.2. Sự cần thiết của PKI
• 1.3. Kiến trúc hạ tầng PKI
• 1.4. Các thành phần, dịch vụ
• 1.4.1. Các thành phần của PKI
• 1.4.2. Thực thể cuối
• 1.4.3. Chứng thư số và CRL
• 1.4.3.1. Chứng thư số
• 1.4.3.2. Danh sách thu hồi chứng thư số CLR
• 1.5. Hoạt động của hệ thống PKI
• 1.6. Chứng thực cặp khóa
• 1.7. Sử dụng cặp khóa
• 1.8. Ứng dụng của PKI
• 1.9. Miền tin cậy và mở rộng miền tin cậy
• 1.10. Các mô hình hoạt động của PKI
• 1.11. Chuẩn, đặc tả, luật pháp và chính sách
• 2. CHƯƠNG 2: CẤU TRÚC DỮ LIỆU KÝ SỐ, MÃ MẬT CMS, XML JSON
• 2.1. Cấu trúc dữ liệu ký số, mã mật CMS
• 2.1.1. Giới thiệu chung
• 2.1.2. Các chuẩn về CMS
• 2.1.3. Cấu trúc dữ liệu CMS
• 2.2. Cấu trúc dữ liệu ký số, mã mật XML
• 2.2.1. Giới thiệu chung
• 2.2.2. Các chuẩn về ký số, mã mật XML
• 2.2.3. Cấu trúc dữ liệu XML
• 2.3. Cấu trúc dữ liệu ký số, mã mật JSON
• 2.3.1. Giới thiệu chung
• 2.3.2. Các chuẩn về JSON Web Token
• 2.3.3. Cấu trúc dữ liệu JSON
• 3. CHƯƠNG 3: XÂY DỰNG ỨNG DỤNG DEMO
• 3.1. Một số thư viện mật mã
• 3.2. Thư viện mật mã Bouncy Castle
• 3.3. Thư viện mật mã Microsoft Crypto API
• 3.4. Phân tích thiết kế chương trình
• 3.5. Giới thiệu chung về ứng dụng
• TÀI LIỆU THAM KHẢO
• LỜI CẢM ƠN

Tóm tắt

I. Tổng Quan Về Phần Mềm Ký Số Mã Mật CMS và JSON

Phần mềm ký số mã mật CMS và JSON đang trở thành giải pháp quan trọng trong việc bảo vệ thông tin. Với sự phát triển của công nghệ, việc sử dụng các phương pháp mã hóa và ký số ngày càng trở nên cần thiết. Phần mềm này không chỉ giúp xác thực danh tính mà còn đảm bảo tính toàn vẹn của dữ liệu. Việc áp dụng các công nghệ này giúp các tổ chức bảo vệ thông tin nhạy cảm và duy trì sự tin cậy trong giao dịch điện tử.

1.1. Khái Niệm Về Phần Mềm Ký Số Mã Mật

Phần mềm ký số mã mật là công cụ giúp tạo ra chữ ký số, đảm bảo tính xác thực và toàn vẹn của dữ liệu. Nó sử dụng các chuẩn như CMS và JSON để mã hóa thông tin, giúp bảo vệ dữ liệu trong môi trường mạng.

1.2. Tầm Quan Trọng Của An Toàn Thông Tin

An toàn thông tin là yếu tố quan trọng trong mọi giao dịch điện tử. Việc sử dụng phần mềm ký số mã mật giúp ngăn chặn các hành vi gian lận và bảo vệ thông tin cá nhân của người dùng.

II. Vấn Đề An Toàn Thông Tin Trong Giao Dịch Điện Tử

Giao dịch điện tử đang đối mặt với nhiều thách thức về an toàn thông tin. Các vấn đề như xác thực, bí mật và toàn vẹn dữ liệu là những yếu tố cần được giải quyết. Việc thiếu các biện pháp bảo mật có thể dẫn đến rủi ro lớn cho các tổ chức và cá nhân. Do đó, việc áp dụng phần mềm ký số mã mật CMS và JSON là cần thiết để đảm bảo an toàn thông tin.

2.1. Các Thách Thức Chính Trong An Toàn Thông Tin

Các thách thức chính bao gồm việc xác thực danh tính người dùng, bảo vệ dữ liệu khỏi các cuộc tấn công và đảm bảo tính toàn vẹn của thông tin trong quá trình truyền tải.

2.2. Hệ Thống Bảo Mật Hiện Tại

Hệ thống bảo mật hiện tại thường gặp khó khăn trong việc quản lý và bảo vệ dữ liệu. Việc áp dụng các công nghệ mới như CMS và JSON có thể giúp cải thiện tình hình này.

III. Phương Pháp Bảo Mật Dữ Liệu Với Phần Mềm Ký Số

Để bảo vệ thông tin, các tổ chức cần áp dụng các phương pháp bảo mật hiệu quả. Phần mềm ký số mã mật CMS và JSON cung cấp các giải pháp bảo mật mạnh mẽ, giúp đảm bảo an toàn cho dữ liệu. Việc sử dụng các chuẩn mã hóa hiện đại giúp tăng cường khả năng bảo vệ thông tin nhạy cảm.

3.1. Sử Dụng Chữ Ký Số Để Bảo Vệ Dữ Liệu

Chữ ký số giúp xác thực danh tính và đảm bảo tính toàn vẹn của dữ liệu. Việc áp dụng chữ ký số trong giao dịch điện tử là một bước quan trọng để bảo vệ thông tin.

3.2. Mã Hóa Dữ Liệu Với JSON

Mã hóa dữ liệu với JSON giúp bảo vệ thông tin trong quá trình truyền tải. Việc sử dụng JSON an toàn thông tin giúp ngăn chặn các cuộc tấn công và bảo vệ dữ liệu nhạy cảm.

IV. Ứng Dụng Thực Tiễn Của Phần Mềm Ký Số Mã Mật

Phần mềm ký số mã mật CMS và JSON đã được áp dụng rộng rãi trong nhiều lĩnh vực. Từ ngân hàng, tài chính đến y tế, việc sử dụng các công nghệ này giúp bảo vệ thông tin và tăng cường sự tin cậy trong giao dịch. Các tổ chức đã ghi nhận những lợi ích rõ rệt từ việc áp dụng phần mềm này.

4.1. Ứng Dụng Trong Ngành Ngân Hàng

Ngành ngân hàng sử dụng phần mềm ký số để bảo vệ thông tin giao dịch và xác thực danh tính khách hàng. Điều này giúp ngăn chặn gian lận và bảo vệ tài sản của khách hàng.

4.2. Ứng Dụng Trong Y Tế

Trong ngành y tế, phần mềm ký số giúp bảo vệ thông tin bệnh nhân và đảm bảo tính toàn vẹn của hồ sơ y tế. Việc này rất quan trọng trong việc duy trì sự tin cậy và bảo mật thông tin cá nhân.

V. Kết Luận Về Tương Lai Của Phần Mềm Ký Số Mã Mật

Tương lai của phần mềm ký số mã mật CMS và JSON hứa hẹn sẽ tiếp tục phát triển mạnh mẽ. Với sự gia tăng của các giao dịch điện tử, nhu cầu về an toàn thông tin sẽ ngày càng cao. Các tổ chức cần đầu tư vào công nghệ này để bảo vệ thông tin và duy trì sự tin cậy trong giao dịch.

5.1. Xu Hướng Phát Triển Công Nghệ Ký Số

Công nghệ ký số sẽ tiếp tục phát triển với các chuẩn mã hóa mới và cải tiến trong bảo mật. Điều này sẽ giúp nâng cao khả năng bảo vệ thông tin trong môi trường mạng.

5.2. Tầm Quan Trọng Của An Toàn Thông Tin Trong Tương Lai

An toàn thông tin sẽ trở thành một yếu tố quyết định trong mọi giao dịch điện tử. Việc áp dụng phần mềm ký số mã mật sẽ giúp các tổ chức bảo vệ thông tin và duy trì sự tin cậy trong giao dịch.

Nội dung chính

Bối cảnh và vấn đề nghiên cứu

Đồ án tốt nghiệp "Xây dựng phần mềm ký số, mã mật CMS, JSON và XML trên Windows" được thực hiện bởi sinh viên Võ Lê Huy (mã số sinh viên: AT131315, lớp AT13P), dưới sự hướng dẫn của Tiến sĩ Lê Quang Huy thuộc Cục Chứng thực số và Bảo mật thông tin, tại Học viện Kỹ thuật Mật mã (cơ sở Thành phố Hồ Chí Minh, năm 2021). Đề tài thuộc ngành An toàn thông tin, mã số chuyên ngành: 7.02.

Bối cảnh thực tiễn được tác giả xác định xuất phát từ sự phát triển của xã hội và mạng Internet, dẫn tới các giao dịch điện tử ngày càng gia tăng. Sự phát triển này kéo theo các yêu cầu cấp thiết về an toàn thông tin, cụ thể là bốn vấn đề cốt lõi: xác thực, tính bí mật, tính toàn vẹn và khả năng chống chối bỏ. Để giải quyết các vấn đề trên, tác giả đã tổng hợp và so sánh các giải pháp kỹ thuật hiện nay qua bảng đánh giá mức độ đáp ứng:

Các giải pháp / dịch vụ	Xác thực	Toàn vẹn	Bí mật	Chống chối bỏ
Tên / mật khẩu	Trung bình	Không	Không	Không
Sinh trắc	Mạnh	Không	Không	Không
Đối xứng	Không	Mạnh	Mạnh	Không
Bất đối xứng	Mạnh	Mạnh	Mạnh	Mạnh

Từ phân tích trên, kỹ thuật mật mã bất đối xứng (mật mã khóa công khai) được chứng minh là giải pháp toàn diện nhất. Tuy nhiên, khi áp dụng vào thực tiễn, mật mã khóa công khai gặp phải 3 vấn đề căn bản:

1. Xác thực cặp khóa: Xác định ai thực sự là chủ sở hữu của cặp khóa đã thực hiện thao tác ký hoặc mã hóa dữ liệu.
2. Chối bỏ hành động: Ngăn chặn chủ sở hữu cặp khóa chối bỏ việc bản thân đã thực hiện một hành động (như ký lên tài liệu điện tử).
3. Thu hồi cặp khóa: Cơ chế làm mất hiệu lực một cặp khóa khi có sự cố và thông báo kịp thời tới các bên tham gia giao dịch.

Để giải quyết triệt để 3 bài toán này, việc xây dựng và ứng dụng hạ tầng mật mã khóa công khai (PKI) trở thành thành phần xương sống trong chiến lược công nghệ thông tin. Mục tiêu nghiên cứu của đồ án tập trung vào:

1. Nghiên cứu tổng quan về hạ tầng mật mã khóa công khai PKI, các thành phần, dịch vụ và mô hình hoạt động.
2. Khảo cứu chi tiết các chuẩn và cấu trúc dữ liệu ký số, mã mật bao gồm CMS (Cryptographic Message Syntax), XML và JSON.
3. Ứng dụng các thư viện mật mã để phân tích, thiết kế và xây dựng phần mềm demo hỗ trợ ký số và mã mật dữ liệu trên nền tảng hệ điều hành Windows.

Đối tượng nghiên cứu của đồ án là hạ tầng khóa công khai PKI, các định dạng cấu trúc dữ liệu mật mã (CMS, XML, JSON) và các hàm API/thư viện mật mã. Phạm vi nghiên cứu về mặt không gian và môi trường công nghệ tập trung vào hệ thống giao dịch điện tử trên hệ điều hành Windows, với mốc thời gian hoàn thành vào năm 2021.

Cơ sở lý thuyết và phương pháp

Về cơ sở lý thuyết, tác giả tiếp cận hạ tầng mật mã khóa công khai (PKI) dưới hai góc độ kiến trúc:

• Khung pháp lý: Bao gồm hệ thống văn bản luật, văn bản dưới luật, hệ thống chính sách chứng thư (Certificate Policy - CP) và quy chế chứng thực (Certification Practice Statement - CPS).
• Hạ tầng kỹ thuật: Gồm trang thiết bị phần cứng, phần mềm, nguồn nhân lực vận hành và các thuật toán kỹ thuật mật mã.

Các chuẩn và đặc tả quốc tế được đồ án sử dụng làm căn cứ lý thuyết gồm:

• Các khuyến nghị của ITU-T (nổi bật là chuẩn định dạng chứng thư X.509 phiên bản 1, phiên bản 2 và phiên bản 3).
• Nhóm chuẩn PKIX thuộc Internet RFC: RFC 2459, RFC 3280 (quản lý chứng thư và CRL), RFC 2315 (PKCS#7 v1.5), RFC 2630 và RFC 5652 (đặc tả Cú pháp Thông điệp Mật mã - CMS), cùng các RFC liên quan đến S/MIME (RFC 2311, RFC 2633, RFC 3851).
• Bộ tiêu chuẩn mật mã khóa công khai PKCS (Public-Key Cryptography Standards), đặc biệt là PKCS#7 (định dạng thông điệp mật mã) và PKCS#12 (lưu trữ khóa bí mật kèm chứng thư).
• Chuẩn châu Âu ETSI TS 101 733 quy định các định dạng chữ ký điện tử nâng cao CAdES (CMS Advanced Electronic Signatures).
• Các chuẩn về JSON Web Token (JWT) và chuẩn ký số, mã mật tài liệu XML.

Phương pháp nghiên cứu thực tế được thực hiện qua các bước:

• Phương pháp phân tích - tổng hợp lý thuyết: Hệ thống hóa tài liệu kỹ thuật, phân rã các cấu trúc trường dữ liệu ASN.1 (Abstract Syntax Notation One) được mã hóa theo các quy tắc BER (Basic Encoding Rules), DER (Distinguished Encoding Rules) và CER (Canonical Encoding Rules).
• Phương pháp đối chiếu và đánh giá chuẩn: So sánh sự tiến hóa giữa các phiên bản X.509 v1, v2, v3; phân biệt các cấp độ bảo đảm an toàn chữ ký số từ CAdES-BES, CAdES-EPES, CAdES-T, CAdES-C đến CAdES-A.
• Phương pháp thiết kế và phát triển phần mềm: Ứng dụng các thư viện mật mã Bouncy Castle và Microsoft Crypto API trên môi trường Windows để hiện thực hóa quy trình tạo khóa, băm dữ liệu, đóng gói cấu trúc chữ ký số và mã mật nội dung.

Nguồn dữ liệu của nghiên cứu bao gồm các bộ tài liệu đặc tả kỹ thuật quốc tế (RFC, ITU-T, ETSI) và các cấu trúc chứng thư số, danh sách thu hồi thực tế được tạo lập phục vụ kiểm thử ứng dụng.

Nội dung chính theo từng chương

CHƯƠNG 1: HẠ TẦNG MẬT MÃ KHÓA CÔNG KHAI

Chương 1 thiết lập nền tảng lý luận toàn diện về PKI, làm rõ khái niệm hạ tầng an ninh mạng là các bộ phận phụ thuộc tạo thành cơ sở cho hệ thống an toàn thông tin mạng. PKI cung cấp các dịch vụ bảo đảm an toàn cho giao dịch điện tử gồm tính xác thực, tính toàn vẹn, tính bí mật và chống chối bỏ.

Về các thành phần và dịch vụ trong mô hình Client - Server của PKI:

• Thẩm quyền chứng thực (Certification Authority - CA): Thành phần cốt lõi có chức năng chứng thực một cặp khóa thuộc hoặc không thuộc về một thuê bao; quản lý vòng đời chứng thư số (phát hành, gia hạn, tạm dừng, kích hoạt, thu hồi, khôi phục) và ban hành danh sách thu hồi CRL tuân thủ CP và CPS.
• Thẩm quyền đăng ký (Registration Authority - RA): Đóng vai trò cầu nối trung gian giữa CA và người dùng cuối; thực hiện tiếp nhận, thẩm tra, phê duyệt hoặc từ chối yêu cầu chứng thực, hỗ trợ thuê bao sinh cặp khóa và bàn giao kết quả.
• Thẩm quyền xác nhận (Validation/Verification Authority - VA): Khẳng định tính hợp lệ và tin cậy của chứng thư số đối với các giao dịch thông qua kho công cộng (LDAP), dịch vụ kiểm tra trạng thái trực tuyến (OCSP, SCVP) và dịch vụ cấp dấu thời gian (TimeStamp).
• Thực thể cuối (End-entity): Phân thành chủ thể sở hữu chứng thư số (subscriber) và chủ thể tin cậy sử dụng chứng thư số (relying party). Thực thể cuối tương tác với hạ tầng thông qua phần mềm người dùng cuối (PKI-client software).

Về chứng thư số và danh sách thu hồi:

• Chứng thư số: Đóng vai trò như chứng minh nhân dân trong môi trường điện tử, chứa khóa công khai và liên kết với định danh duy nhất của chủ thể theo chuẩn X.500 Distinguished Name (DN). Khóa bí mật được khuyến nghị lưu trữ an toàn trong USB Token hoặc SmartCard.
• Phân loại chứng thư: Phân theo đối tượng gồm chứng thư số thực thể cuối và chứng thư số CA (gồm chứng thư tự phát hành, chứng thư tự ký RootCA, chứng thư số chéo); phân theo mục đích gồm chứng thư khóa công khai, chứng thư thuộc tính (Attribute Certificate - không chứa khóa công khai, dùng để phân quyền), chứng thư đủ điều kiện (Qualified Certificate) và Card Verifiable Certificates (CVC dùng cấu trúc TLV cho thiết bị tính toán hạn chế).
• Tiến hóa chuẩn X.509: Phiên bản v1 (1988) gồm các trường cơ bản (Version, Serial Number, Signature Algorithm, Issuer Name, Validity Period, Subject Name, Subject Public Key Info, Signature Value); phiên bản v2 (1993) bổ sung Issuer Unique ID và Subject Unique ID nhằm phân biệt các CA có cùng DN nhưng bị RFC 2459/3280 khuyến cáo không dùng do nguy cơ xung đột; phiên bản v3 (1996) đưa vào hệ thống phần mở rộng (Extensions) linh hoạt. Mỗi extension gồm Extension Identifier (OID), cờ Criticality Flag và Extension Value. Các extension điển hình gồm: Authority Key Identifier, Subject Key Identifier, Key Usage (định nghĩa 9 mục đích: Digital Signature, Non-Repudiation, Key Encipherment, Data Encipherment, Key Agreement, Key Cert Sign, CRL Sign, Encipher Only, Decipher Only), Private Key Usage Period, Certificate Policies, Policy Mappings, Subject Alternative Name (cho phép định danh bằng email, IP, DNS, UPN), Basic Constraints, CRL Distribution Points, Authority Information Access, Freshest CRL.
• Các định dạng tệp tin chứng thư: Định dạng .cer (mã hóa CER), .der (mã hóa DER), .pem (mã hóa DER dưới dạng Base64 đặt giữa hai thẻ -----BEGIN CERTIFICATE----- và -----END CERTIFICATE-----), .p7b/.p7c (chuẩn PKCS#7 chỉ chứa chứng chỉ và chuỗi chứng nhận), .pfx/.p12 (chuẩn PKCS#12 chứa cả chứng chỉ và khóa bí mật).
• Danh sách thu hồi chứng thư (CRL): Chứa các chứng thư bị mất hiệu lực trước thời hạn tự nhiên do lộ khóa, đổi trạng thái chủ thể, thay đổi tham số. Phân loại theo phạm vi gồm CARL (cho CA) và EPRL (cho người dùng cuối). Các dạng CRL gồm: Simple CRL (chứa toàn bộ chứng thư thu hồi của 1 CA, dễ triển khai nhưng kích thước lớn), Partitioned CRL (chia nhỏ danh sách qua trường CRL Distribution Points và Issuing Distribution Point) và Delta CRL (kết hợp Base CRL định kỳ dài với Delta CRL cập nhật khoảng thời gian ngắn để tối ưu băng thông tải về).

Về hoạt động và mô hình PKI:

• Hoạt động nghiệp vụ: Quản lý vòng đời cặp khóa (Enrollments, Renewal, Suspend/Active, Revocation); sử dụng cặp khóa trong ký số (băm dữ liệu rồi mã hóa bằng khóa riêng, thuật toán RSA phổ biến với độ dài 1024, 2048, 4096 bit, mức an toàn 128-bit yêu cầu khóa 3072 bit); xác thực người dùng qua cơ chế hỏi - đáp (challenge-response) tạo số ngẫu nhiên; mã mật kết hợp giữa mã hóa khóa công khai và mã hóa đối xứng.
• Ứng dụng PKI: Phục vụ khối chính phủ điện tử G2G, G2B, G2C (hóa đơn, thuế, hải quan, văn bản điện tử) và khối doanh nghiệp B2C, B2B, B2G (ngân hàng điện tử, đấu thầu, bảo hiểm, y tế).
• Ba mô hình hoạt động: Mô hình phân cấp (Hierarchical PKI - quản lý theo cây với Root CA ở đỉnh, các Subordinate CA bên dưới, Root CA có thể đặt offline); mô hình mạng lưới (Mesh PKI - hoạt động theo mạng tin cậy Web-of-Trust, tin cậy chéo hai chiều, không có điểm sụp đổ đơn lẻ); mô hình đơn CA (Single CA - phù hợp quy mô nhỏ nhưng là điểm chịu lỗi duy nhất, khó mở rộng).

CHƯƠNG 2: CẤU TRÚC DỮ LIỆU KÝ SỐ, MÃ MẬT CMS, XML JSON

Chương 2 đi sâu vào cấu trúc dữ liệu chuẩn hóa của các thông điệp mật mã:

• Cấu trúc CMS (Cryptographic Message Syntax): Kế thừa từ PKCS#7 v1.5 (RFC 2315 năm 1993), được IETF chuẩn hóa qua RFC 2630 (bổ sung thỏa thuận khóa và khóa mã hóa khóa đối xứng) và RFC 5652. Định dạng PKCS#7 (đuôi .p7b, .p7c) lưu trữ dưới dạng ký tự ASCII, không lưu khóa riêng. CMS định nghĩa cú pháp đóng gói lồng nhau dựa trên ASN.1 mã hóa BER/DER để ký số, xác thực và mã hóa dữ liệu tùy ý.
• Các kiểu nội dung chính trong RFC 5652:
  1. Data Content Type: Mang chuỗi octet tùy ý không bắt buộc cấu trúc nội bộ, định danh bởi OID id-data, được sử dụng trong các chuẩn S/MIME v2 (RFC 2311), S/MIME v3 (RFC 2633) và RFC 3851.
  2. Signed-data Content Type (SignedData): Chứa tập hợp thuật toán băm (DigestAlgo), nội dung đóng gói (EncapContentInfo gồm eContentType và eContent) và thông tin người ký (SignerInfos). Mỗi phần tử SignerInfo chứa phiên bản cú pháp, định danh người ký SID, tập thuộc tính đã ký SignAttrs, thuật toán chữ ký SignatureAlgorithm và giá trị chữ ký Signature. Nếu có thuộc tính SignAttrs, giá trị băm được tính trên mã hóa DER của thẻ EXPLICIT SET OF của SignAttrs (phải bao gồm contentType và messageDigest), thay vì chỉ băm trực tiếp eContent.
  3. Enveloped-Data Content Type (EnvelopedData): Cung cấp cơ chế mã hóa nội dung bằng khóa mã hóa nội dung ngẫu nhiên (Content Encryption Key - CEK). CEK được mã hóa cho từng người nhận qua 4 kỹ thuật quản lý khóa: Key transport (dùng khóa công khai người nhận), Key agreement (thỏa thuận khóa đối xứng theo cặp), Symmetric key-encryption keys (dùng khóa mã hóa khóa KEK phân phối trước) và Password (dẫn xuất từ mật khẩu). Cấu trúc KEKRecipientInfo quy định phiên bản cú pháp bắt buộc là 4, chứa kekid, keyEncryptionAlgorithm và encryptedKey.
• Chuẩn chữ ký điện tử ETSI TS 101 733 (CAdES v1.7.4): Định nghĩa các mức bảo vệ chữ ký số từ cơ bản đến lưu trữ lâu dài:
  • CAdES-BES (Basic Electronic Signature): Gồm thông tin người ký, giá trị chữ ký và các thuộc tính bắt buộc (Content type, Message digest, ESS signing certificate - chỉ cho phép dùng thuật toán SHA-1). Các thuộc tính tùy chọn gồm: Signing time, Content hints, Signer location, Content time stamp.
  • CAdES-EPES (Explicit Policy-based Electronic Signature): Mở rộng từ BES bằng cách gắn thêm thuộc tính sigPoliciID nhằm ràng buộc chính sách chữ ký cụ thể.
  • CAdES-T (Electronic Signature with Time): Tích hợp thuộc tính dấu thời gian (Time-stamp) do nhà cung cấp dịch vụ tin cậy (TSP) cấp nhằm chống chối bỏ thời điểm ký.
  • CAdES-C (Complete validation data): Bổ sung các tham chiếu chứng chỉ đầy đủ và tham chiếu trạng thái thu hồi (CRL/OCSP) vào cấu trúc chữ ký.
  • CAdES-A (Archival): Dành cho lưu trữ điện tử dài hạn, định nghĩa hai định dạng thuộc tính dấu thời gian lưu trữ gồm ATSv2 (phục vụ tính tương thích ngược) và ATSv3 (chuẩn hóa theo điều khoản 6.5, cho phép xác thực dài hạn và linh hoạt bổ sung thuộc tính không ký hoặc chữ ký song song).
• Cấu trúc XML và JSON: Mục lục đồ án xác lập việc nghiên cứu các chuẩn ký số, mã mật trên dữ liệu XML và JSON Web Token (JWT).

CHƯƠNG 3: XÂY DỰNG ỨNG DỤNG DEMO

Chương 3 tập trung vào việc hiện thực hóa công nghệ:

• Khảo sát và lựa chọn các thư viện mật mã: Phân tích thư viện Bouncy Castle (thư viện mã nguồn mở hỗ trợ đầy đủ các thuật toán và cấu trúc CMS/PKCS) và thư viện Microsoft Crypto API (hệ thống giao diện lập trình mật mã chuẩn mức hệ điều hành của Microsoft Windows).
• Phân tích và thiết kế chương trình: Xây dựng sơ đồ chức năng và luồng dữ liệu cho phần mềm ký số, mã mật hỗ trợ các định dạng CMS, XML và JSON trên môi trường Windows.
• Giới thiệu chung về ứng dụng: Cài đặt giao diện và tính năng thao tác người dùng, cho phép nạp chứng thư, tạo chữ ký, kiểm tra tính hợp lệ của chữ ký và thực hiện mã hóa, giải mã thông điệp.

Thiết kế và triển khai

Căn cứ vào phần thuyết minh và mục lục chương 3, đồ án lựa chọn giải pháp triển khai phần mềm chạy trên nền tảng hệ điều hành Windows với các thông số kỹ thuật:

• Môi trường và nền tảng: Hệ điều hành Windows.
• Công nghệ mật mã tích hợp:
  • Thư viện Bouncy Castle: Cung cấp các lớp xử lý đối tượng ASN.1, hiện thực hóa các cấu trúc SignedData, EnvelopedData, cũng như các định dạng mở rộng của CAdES (từ CAdES-BES đến CAdES-A).
  • Thư viện Microsoft Crypto API: Khai thác kho lưu trữ chứng thư của Windows (Windows Certificate Store), hỗ trợ giao tiếp với thiết bị phần cứng an toàn (Token USB / SmartCard) để truy xuất khóa bí mật và thực hiện các phép toán mật mã.
• Quy trình chức năng phần mềm:
  1. Quản lý chứng thư và khóa: Đọc các định dạng tệp tin chứng thư .cer, .der, .pem, .p7b, .pfx và truy xuất khóa công khai/khóa riêng.
  2. Ký số dữ liệu: Hỗ trợ tạo cấu trúc chữ ký số đa định dạng gồm CMS (theo RFC 5652 / CAdES ETSI TS 101 733), XML (XML Signature) và JSON (JSON Web Signature / JWT).
  3. Xác thực chữ ký: Kiểm tra tính toàn vẹn của thông điệp, thẩm tra đường dẫn chứng thư số và trạng thái hợp lệ thông qua CRL hoặc OCSP.
  4. Mã mật dữ liệu: Thực hiện quy trình mã hóa kết hợp (hybrid encryption), sử dụng CEK đối xứng để mã hóa dữ liệu lớn và mã hóa CEK bằng khóa công khai của người nhận theo cơ chế EnvelopedData.

Kết quả và đóng góp

Đồ án đạt được các kết quả cụ thể:

• Về mặt lý thuyết: Hệ thống hóa toàn bộ kiến thức chuyên sâu về hạ tầng khóa công khai PKI, các chuẩn định dạng chứng chỉ X.509 (v1, v2, v3), các kỹ thuật quản lý danh sách thu hồi (Simple CRL, Partitioned CRL, Delta CRL) và 3 mô hình triển khai PKI (Hierarchical, Mesh, Single CA).
• Về mặt đặc tả kỹ thuật: Phân tích chi tiết quy trình xử lý trường dữ liệu của chuẩn CMS theo RFC 5652 và các cấp độ chữ ký số nâng cao CAdES theo ETSI TS 101 733, làm rõ sự khác biệt trong tính toán bản tóm tắt thông điệp khi có hoặc không có tập thuộc tính signAttrs.
• Về sản phẩm phần mềm: Thiết kế và xây dựng thành công ứng dụng demo ký số, mã mật trên Windows tích hợp cả hai thư viện Bouncy Castle và Microsoft Crypto API, giải quyết bài toán xử lý đồng thời ba định dạng dữ liệu phổ biến trong trao đổi thông tin điện tử hiện nay là CMS, JSON và XML.

Hạn chế và hướng nghiên cứu tiếp

Hạn chế của đồ án:

• Phạm vi triển khai ứng dụng demo được xây dựng tập trung trên hệ điều hành Windows, chưa mở rộng khả năng tương thích đa nền tảng (như Linux, macOS).
• Thuộc tính ký số nâng cao CAdES-BES trong chuẩn ETSI TS 101 733 được khảo cứu vẫn còn phụ thuộc vào thuật toán băm SHA-1 đối với trường ESS signing certificate.
• Văn bản trích đoạn tập trung chi tiết vào cấu trúc CMS và CAdES; nội dung chi tiết về XML và JSON Web Token chưa được trình bày đầy đủ trong phạm vi các trang thuyết minh được trích xuất.

Hướng mở nghiên cứu tiếp:

• Mở rộng ứng dụng sang các hệ điều hành khác và tích hợp trực tiếp các giao thức kiểm tra trực tuyến OCSP/SCVP theo thời gian thực.
• Nâng cấp các thuật toán băm an toàn hơn (họ SHA-2, SHA-3) cho các thuộc tính chứng thực chữ ký số lâu dài.
• Hoàn thiện kiểm thử hiệu năng ký số và mã mật trên các tập tin có dung lượng lớn.

Giá trị tham khảo

Đồ án tốt nghiệp là tài liệu tham khảo hữu ích cho:

• Sinh viên chuyên ngành An toàn thông tin, Công nghệ thông tin và Kỹ thuật mật mã đang thực hiện các đồ án, khóa luận về chữ ký số, xác thực điện tử và bảo mật dữ liệu.
• Kỹ sư phát triển phần mềm trên Windows cần tài liệu hướng dẫn tích hợp thư viện Bouncy Castle hoặc Microsoft Crypto API để xử lý các tệp tin PKCS#7, PKCS#12, CMS và CAdES.
• Phần đáng tham khảo nhất trong tài liệu là Chương 1 (chi tiết đặc tả các trường mở rộng X.509 v3 và cơ chế vận hành của các loại CRL) cùng Chương 2 (quy trình tính toán message digest và đóng gói cấu trúc SignerInfo, EnvelopedData theo RFC 5652).

Câu hỏi thường gặp

1. Điểm khác biệt mấu chốt giữa chứng thư số X.509 phiên bản 2 và phiên bản 3 là gì?
Phiên bản 2 bổ sung hai trường Issuer Unique ID và Subject Unique ID (chuỗi hexa) để phân biệt các thực thể trùng tên, nhưng bị RFC 2459/3280 khuyến cáo không dùng do nguy cơ xung đột. Phiên bản 3 (ra đời năm 1996) thay thế cơ chế này bằng việc bổ sung hệ thống phần mở rộng (Extensions) linh hoạt, mỗi extension gồm OID, cờ quan trọng (Criticality Flag) và giá trị mở rộng, cho phép định nghĩa chính sách, mục đích sử dụng khóa và các điểm phân phối thu hồi.

2. Quá trình tính toán bản tóm tắt thông báo (Message Digest) trong cấu trúc CMS SignedData thay đổi như thế nào khi có sự xuất hiện của trường SignAttrs?
Nếu không có trường signAttrs, bản tóm tắt được tính trực tiếp từ giá trị chuỗi octet của nội dung eContent. Khi có trường signAttrs, bản tóm tắt thực sự được tính trên mã hóa DER hoàn chỉnh của thẻ EXPLICIT SET OF của các thuộc tính trong SignAttrs (trong đó bắt buộc phải chứa thuộc tính messageDigest của nội dung và thuộc tính contentType).

3. Tiêu chuẩn ETSI TS 101 733 định nghĩa hai biểu mẫu lưu trữ nào cho chữ ký số CAdES-A?
CAdES-A định nghĩa hai biểu mẫu là ATSv2 (thuộc tính lưu trữ - thời gian - đóng dấu phiên bản 2, dùng để tương thích ngược) và ATSv3 (thuộc tính lưu trữ - thời gian - tem phiên bản 3, chuẩn hóa theo điều khoản 6.5 để xác thực dài hạn và hỗ trợ kết hợp chữ ký song song).

4. Cấu trúc EnvelopedData hỗ trợ những kỹ thuật quản lý khóa nào để mã hóa khóa nội dung (CEK)?
Cấu trúc hỗ trợ 4 kỹ thuật: Key transport (mã hóa CEK bằng khóa công khai người nhận), Key agreement (dùng khóa công khai người nhận và khóa riêng người gửi tạo khóa đối xứng theo cặp), Symmetric key-encryption keys (dùng khóa mã hóa KEK phân phối trước) và Password (dẫn xuất khóa từ mật khẩu).

5. Vì sao mô hình Single CA lại ít phù hợp cho các tổ chức có quy mô lớn?
Vì mô hình này có khả năng co giãn kém khi tổ chức mở rộng quy mô, đồng thời CA duy nhất đóng vai trò là điểm chịu lỗi đơn lẻ (single point of failure); nếu CA ngừng hoạt động dịch vụ sẽ tê liệt, và nếu CA bị xâm hại toàn bộ hệ thống phải cấp phát lại chứng chỉ từ đầu.

Kết luận

Đồ án "Xây dựng phần mềm ký số, mã mật CMS, JSON và XML trên Windows" của tác giả Võ Lê Huy đã hệ thống hóa đầy đủ cơ sở lý thuyết về hạ tầng mật mã khóa công khai PKI và các chuẩn đặc tả thông điệp an toàn. Đề tài làm rõ cấu trúc kỹ thuật của các định dạng chứng thư X.509, các giao thức thu hồi CRL, cú pháp CMS theo RFC 5652 và các định dạng chữ ký nâng cao CAdES theo ETSI TS 101 733. Kết quả nghiên cứu đã được chuyển hóa thành giải pháp ứng dụng thực tế trên nền tảng Windows thông qua việc kết hợp các thư viện mật mã Bouncy Castle và Microsoft Crypto API.

Trích đoạn nội dung tài liệu

CHƯƠNG 1: HẠ TẦNG MẬT MÃ KHÓA CÔNG KHAI 1. Một số khái niệm về PKI Cơ sở hạ tầng: các bộ phận thiết bị phụ thuộc tạo thành một cơ sở của một hệ thống hay các thiết bị cơ bản cố định của một nhà nước. Phân biệt khái niệm cơ sở hạ tầng trong triết học. Đặc điểm hạ tầng: • Lan tỏa rộng khắp (mạng điện, đường…), có thể sử dụng bất cứ khi nào.

• Hỗ trợ các ứng dụng (Trong suốt với người dùng, dễ nhận biết và sử dụng). Hạ tầng an ninh, an toàn mạng: các bộ phận phụ thuộc tạo thành cơ sở của hệ thống an toàn mạng. Cơ sở hạ tầng khóa công khai (Public Key Infrastructure – PKI) là một hạ tầng an toàn, an ninh mạng, sử dụng các kỹ thuật mật mã khoá công khai nhằm cung cấp các dịch vụ đảm bảo an toàn cho các giao dịch điện tử trên mạng. Hạ tầng mật mã hóa công khai: là một hệ thống hỗ trợ cho việc áp dụng mật mã khóa công khai vào thực tiễn, nhằm đảm bảo an toàn cho các giao dịch điện tử trong môi trường mạng.

Mục tiêu chính của hạ tầng mật mã khóa công khai: cung cấp các dịch vụ nhằm đảm bảo an toàn cho các giao dịch điện tử. Sự cần thiết của PKI Xã hội phát triển, mạng Internet được sử dụng rộng rãi, dẫn tới các giao dịch điện tử được thực hiện ngày càng nhiều, kéo theo các vấn đề về an toàn thông tin. Các vấn đề về an toàn thông tin cho các giao dịch điện tử: xác thực, bí mật, toàn vẹn, chống chối bỏ. Các giải pháp đã được áp dụng để đảm bảo an toàn cho các giao dịch như sau: Các giải pháp/dịch vụ Xác thực Toàn vẹn Bí mật Chống chối bỏ Tên/mật khẩu Trung bình Không Không Không Sinh trắc Mạnh Không Không Không Đối xứng Không Mạnh Mạnh Không 1 Các kỹ Bất đối Mạnh Mạnh Mạnh Mạnh thuật mật xứng mã Theo như bảng thống kê trên thì giải pháp tốt nhất là ứng dụng mật mã, mật mã khóa công khai.

Tuy nhiên mật mã khóa công khai khi ứng dụng gặp một số vấn đề như sau: • Xác thực cặp khóa: ai là chủ sở hữu cặp khóa đã thực hiện ký, mã dữ liệu. • Chối bỏ hành động: chủ sở hữu cặp khóa có thể chối bỏ việc mình đã thực hiện một hành động (ký lên một tài liệu). • Thu hồi cặp khóa: làm mất hiệu lực một cặp khóa và thông báo với những người khác có quan hệ giao dịch với mình. Mật mã khóa công khai khi ứng dụng gặp một số vấn đề.

Và cần có hạ tầng để giải quyết các vấn đề đó. PKI là một phần quan trọng của xương sống chiến lược CNTT. PKI rất quan trọng vì công nghệ dựa trên chứng chỉ giúp các tổ chức thiết lập chữ ký, mã hóa và danh tính đáng tin cậy giữa con người, hệ thống và mọi thứ. Với việc các mô hình kinh doanh đang phát triển ngày càng phụ thuộc nhiều hơn vào các giao dịch điện tử và tài liệu kỹ thuật số, và với nhiều thiết bị nhận biết Internet hơn được kết nối với mạng công ty, vai trò của cơ sở hạ tầng khóa công khai không còn giới hạn ở các hệ thống biệt lập như email an toàn, thẻ thông minh để truy cập vật lý hoặc lưu lượng truy cập web được mã hóa.

PKI ngày nay được kỳ vọng sẽ hỗ trợ số lượng lớn hơn các ứng dụng, người dùng và thiết bị trên các hệ sinh thái phức tạp. Và với các quy định nghiêm ngặt hơn về bảo mật dữ liệu của chính phủ và ngành, các hệ điều hành chính thống và các ứng dụng kinh doanh đang trở nên phụ thuộc hơn bao giờ hết vào một tổ chức PKI để đảm bảo sự tin cậy. Kiến trúc hạ tầng PKI Figure 1. Kiến trúc hạ tần khóa công khai (PKI).

Kiến trúc được chia thành 2 phần riêng biệt: khung pháp lý (văn bản luật, văn bản dưới luật, hệ thông SP, CP và CPS) và hạ tầng kỹ thuật (hạ tầng kỹ thuật, phần cứng, phần mềm, con người, kỹ thuật mật mã). Các thành phần, dịch vụ 1. Các thành phần của PKI Figure 2. Các thành phần trong PKI.

Mô hình hoạt động: Client – Server • Hạ tầng - cung cấp dịch vụ: CA, RA, VA. • Client - sử dụng dịch vụ: người dùng, thiết bị. Thẩm quyền chứng thực (Certification Authority - CA) bao gồm chức năng và nhiệm vụ. Chức năng của thẩm quyền chứng thực: • Chứng thực cặp khóa thuộc hoặc không thuộc một thuê bao.

• Quản lý vòng đời của chứng thư số (cặp khóa) sau khi phát hành. Nhiệm vụ của thẩm quyền chứng thực: Phát hành, gia hạn, tạm dừng/kích hoạt, thu hồi chứng thư số, khôi phục cặp khóa, phát hành CRL. Thẩm quyền đăng ký (Registration Authority - RA) bao gồm xác định/xác thực và hỗ trợ người dùng cuối. 4 Xác định và xác thực của thẩm quyền đăng ký: công việc quản lý (tiếp nhận, kiểm tra và phê duyệt các yêu cầu cấp, thu hồi, gia hạn, tạm dừng, khôi phục … chứng thư số, cặp khóa).

Hỗ trợ người dùng cuối của thẩm quyền đăng ký: tạo cặp khóa quản lý người dùng, bàn giao kết quả. Mối quan hệ giữa VA-CA-RA. Thẩm quyền xác nhận (Validation Authority - VA): • Mục tiêu: Khẳng định tính hợp lệ và tin cậy của chứng thư số (cặp khóa). • Kho công cộng chứa chứng thư số và CRL (LDAP), OCSP… • Dịch vụ dấu thời gian: TimeStamp, … Thực thể cuối (client) – người dùng, thiết bị: • Người dùng, thiết bị, sử dụng chứng thư số - relying party.

• Chủ thể sở hữu chứng thư số (thuê bao) – subscriber. Thẩm quyền chứng thực (Certification Authority – CA). Thẩm quyền đăng ký (Registration Authority - RA). Thực thể cuối (client) – người dùng, thiết bị.

Chứng thực: chứng thực cặp khóa thuộc về một chủ thể (CTS) và chứng thực một cặp khóa không thuộc về một chủ thể (CRL). Khẳng định tính hợp lệ và tin cậy của các cặp khóa đã chứng thực: • Kho chứng thư số: chứa tất cả các CTS, CRL do tổ chức chứng thực tạo ra, điểm tin cậy của hệ thống. 5 • Dịch vụ kiểm tra trạng thái chứng thư trực tuyến OCSP. Dấu thời gian an toàn: tạo dấu thời gian gắn kèm với dữ liệu thỏa mãn các tính chất chính xác, xác thực và toàn vẹn.

Vai trò Figure 4. Vai trò của Certification Authority (CA). Thẩm quyền chứng thực (Certification Authority - CA) là thẩm quyền được tin cậy có nhiệm vụ chứng nhận một cặp khóa thuộc/không thuộc về một thực thể xác định (Thiết lập được một thực thể tin cậy). Đây là thành phần quan trọng nhất của hệ thống.

Chức năng Chức năng chứng nhận một cặp khóa thuộc/không thuộc về một chủ thể (chứng thực). 6 Quản lý vòng đời chứng thư số (cặp khóa) sau khi chứng thực (tạo chứng thư số). Tuân thủ CP và CPS. Nhiệm vụ Figure 5.

Nhiệm vụ của CA. Tạo mới, thay cặp khóa, gia hạn, đổi thông tin (chứng thực thuộc): Tạo chứng thư số. Tạm dừng/kích hoạt, thu hồi chứng thư số (Chứng thực không thuộc) Tạo danh sách thu hồi chứng thư số (CRL). Lưu trữ, khôi phục chứng thư số/cặp khóa.

Vai trò Thẩm quyền đăng ký (Registration Authority - RA) là: • Thành phần đảm nhiệm vai trò quản lý hỗ trợ cho thẩm quyền chứng thực CA. • Trung gian, cầu nối giữa CA và thực thể cuối. Chức năng Xác định và xác thực. Hỗ trợ người dùng cuối.

Nhiệm vụ Figure 6. Nhiệm vụ của RA. Tiếp nhận các yêu cầu chứng thực từ thuê bao. Kiểm tra và phê duyệt/từ chối các yêu cầu chứng thực (đảm bảo tính xác thực về thông tin của người dùng gửi yêu cầu).

Chuyển các yêu cầu đã phê duyệt tới CA. Tiếp nhận kết quả chứng thực (khóa, chứng thư số) từ CA và chuyển tới thuê bao. Hỗ trợ thuê bao sinh cặp khóa. Quản lý thuê bao, yêu cầu, thiết bị lưu khóa (các thông tin về thuê bao).

Vai trò Thẩm quyền xác nhận (Verification Authority - VA) khẳng định tính tin cậy và hợp lệ của các cặp khóa đã chứng thực thuộc/không thuộc đối với các giao dịch. Chức năng Công bố gốc tin cậy của hệ thống: Công bố chứng thư số gốc, các chứng thư chéo, chứng thư cầu nối, danh sách tin cậy, … Công bố thông tin chứng thực cặp khóa: Công bố chứng thư số CA trung gian, chứng thư số người dùng cuối. Công bố CARL và CRL. Cung cấp các dịch vụ hỗ trợ đảm bảo an toàn cho các giao dịch điện tử.

Nhiệm vụ Duy trì kho chứng thư số: chứa các chứng thư số gốc, chứng thư số CA, chứng thư số chéo, cầu nối, danh sách tin cậy… chứng thư số thực thể cuối; CARL và CRL. Cung cấp dịch vụ kiểm tra trạng thái chứng thư trực tuyến OCSP, SCVP. Cung cấp dịch vụ cấp dấu thời gian cho mỗi giao dịch. Thành phần Kho chứng thư số: chứa tất cả các chứng thư số, CARL, CRL do tổ chức chứng thực tạo ra, điểm tin cậy của hệ thống.

Các dịch vụ hỗ trợ kiểm tra trạng thái chứng thư số: OCSP, SCVP. Dịch vụ dấu thời gian an toàn: tạo dấu thời gian gắn kèm với dữ liệu thỏa mãn các tính chất xác thực và toàn vẹn. Thực thể cuối Thực thể cuối là những đối tượng (như người dùng, thiết bị, phần mềm) sử dụng cặp khóa đã chứng thực để đảm bảo an toàn cho các giao dịch điện tử mình tham gia. • Gửi các yêu cầu chứng thực (cấp mới, thay khóa, thu hồi, tạm dừng, treo…) tới RA và nhận kết quả yêu cầu từ RA.

• Sử dụng chứng thư số trong các giao dịch. Phân loại thực thể cuối • Chủ thể tin cậy và sử dụng chứng thư số - relying party. • Chủ thể sở hữu chứng thư số (thuê bao) - subscriber. • Thực thể cuối giao tiếp với hạ tầng (các dịch vụ của hạ tầng cung cấp) thông qua phần mềm người dùng cuối (client-side software) còn gọi là PKI-client (PKI-enable) software.

Chứng thư số và CRL 1. Chứng thư số 1. Khái niệm Chứng thư số là một dạng chứng thư điện tử được cấp bởi tổ chức cung cấp dịch vụ chứng thực chữ ký số. Chứng thư số có thể coi như giấy chứng minh nhân nhân (CMND) được sử dụng trong thế giới điện tử và mạng internet.

Loại chứng thư này được dùng như một công cụ điện tử giúp nhận diện cá nhân, máy chủ hoặc một số đối tượng khác. Nó gắn định danh đối tượng đó với một “khóa công khai” được cấp bởi tổ chức có thẩm quyền. Chứng thư số chứa khóa công khai (public key), trong khi đó chữ ký số chứa khóa bí mật (private key). Chứng thư số và chữ ký số kết hợp lại sẽ tạo thành một cặp khóa.

Ta có thể sử dụng cặp khóa này để ký số.