CHƯƠNG 1: HẠ TẦNG MẬT MÃ KHÓA CÔNG KHAI 1. Một số khái niệm về PKI Cơ sở hạ tầng: các bộ phận thiết bị phụ thuộc tạo thành một cơ sở của một hệ thống hay các thiết bị cơ bản cố định của một nhà nước. Phân biệt khái niệm cơ sở hạ tầng trong triết học. Đặc điểm hạ tầng: • Lan tỏa rộng khắp (mạng điện, đường…), có thể sử dụng bất cứ khi nào.
• Hỗ trợ các ứng dụng (Trong suốt với người dùng, dễ nhận biết và sử dụng). Hạ tầng an ninh, an toàn mạng: các bộ phận phụ thuộc tạo thành cơ sở của hệ thống an toàn mạng. Cơ sở hạ tầng khóa công khai (Public Key Infrastructure – PKI) là một hạ tầng an toàn, an ninh mạng, sử dụng các kỹ thuật mật mã khoá công khai nhằm cung cấp các dịch vụ đảm bảo an toàn cho các giao dịch điện tử trên mạng. Hạ tầng mật mã hóa công khai: là một hệ thống hỗ trợ cho việc áp dụng mật mã khóa công khai vào thực tiễn, nhằm đảm bảo an toàn cho các giao dịch điện tử trong môi trường mạng.
Mục tiêu chính của hạ tầng mật mã khóa công khai: cung cấp các dịch vụ nhằm đảm bảo an toàn cho các giao dịch điện tử. Sự cần thiết của PKI Xã hội phát triển, mạng Internet được sử dụng rộng rãi, dẫn tới các giao dịch điện tử được thực hiện ngày càng nhiều, kéo theo các vấn đề về an toàn thông tin. Các vấn đề về an toàn thông tin cho các giao dịch điện tử: xác thực, bí mật, toàn vẹn, chống chối bỏ. Các giải pháp đã được áp dụng để đảm bảo an toàn cho các giao dịch như sau: Các giải pháp/dịch vụ Xác thực Toàn vẹn Bí mật Chống chối bỏ Tên/mật khẩu Trung bình Không Không Không Sinh trắc Mạnh Không Không Không Đối xứng Không Mạnh Mạnh Không 1 Các kỹ Bất đối Mạnh Mạnh Mạnh Mạnh thuật mật xứng mã Theo như bảng thống kê trên thì giải pháp tốt nhất là ứng dụng mật mã, mật mã khóa công khai.
Tuy nhiên mật mã khóa công khai khi ứng dụng gặp một số vấn đề như sau: • Xác thực cặp khóa: ai là chủ sở hữu cặp khóa đã thực hiện ký, mã dữ liệu. • Chối bỏ hành động: chủ sở hữu cặp khóa có thể chối bỏ việc mình đã thực hiện một hành động (ký lên một tài liệu). • Thu hồi cặp khóa: làm mất hiệu lực một cặp khóa và thông báo với những người khác có quan hệ giao dịch với mình. Mật mã khóa công khai khi ứng dụng gặp một số vấn đề.
Và cần có hạ tầng để giải quyết các vấn đề đó. PKI là một phần quan trọng của xương sống chiến lược CNTT. PKI rất quan trọng vì công nghệ dựa trên chứng chỉ giúp các tổ chức thiết lập chữ ký, mã hóa và danh tính đáng tin cậy giữa con người, hệ thống và mọi thứ. Với việc các mô hình kinh doanh đang phát triển ngày càng phụ thuộc nhiều hơn vào các giao dịch điện tử và tài liệu kỹ thuật số, và với nhiều thiết bị nhận biết Internet hơn được kết nối với mạng công ty, vai trò của cơ sở hạ tầng khóa công khai không còn giới hạn ở các hệ thống biệt lập như email an toàn, thẻ thông minh để truy cập vật lý hoặc lưu lượng truy cập web được mã hóa.
PKI ngày nay được kỳ vọng sẽ hỗ trợ số lượng lớn hơn các ứng dụng, người dùng và thiết bị trên các hệ sinh thái phức tạp. Và với các quy định nghiêm ngặt hơn về bảo mật dữ liệu của chính phủ và ngành, các hệ điều hành chính thống và các ứng dụng kinh doanh đang trở nên phụ thuộc hơn bao giờ hết vào một tổ chức PKI để đảm bảo sự tin cậy. Kiến trúc hạ tầng PKI Figure 1. Kiến trúc hạ tần khóa công khai (PKI).
Kiến trúc được chia thành 2 phần riêng biệt: khung pháp lý (văn bản luật, văn bản dưới luật, hệ thông SP, CP và CPS) và hạ tầng kỹ thuật (hạ tầng kỹ thuật, phần cứng, phần mềm, con người, kỹ thuật mật mã). Các thành phần, dịch vụ 1. Các thành phần của PKI Figure 2. Các thành phần trong PKI.
Mô hình hoạt động: Client – Server • Hạ tầng - cung cấp dịch vụ: CA, RA, VA. • Client - sử dụng dịch vụ: người dùng, thiết bị. Thẩm quyền chứng thực (Certification Authority - CA) bao gồm chức năng và nhiệm vụ. Chức năng của thẩm quyền chứng thực: • Chứng thực cặp khóa thuộc hoặc không thuộc một thuê bao.
• Quản lý vòng đời của chứng thư số (cặp khóa) sau khi phát hành. Nhiệm vụ của thẩm quyền chứng thực: Phát hành, gia hạn, tạm dừng/kích hoạt, thu hồi chứng thư số, khôi phục cặp khóa, phát hành CRL. Thẩm quyền đăng ký (Registration Authority - RA) bao gồm xác định/xác thực và hỗ trợ người dùng cuối. 4 Xác định và xác thực của thẩm quyền đăng ký: công việc quản lý (tiếp nhận, kiểm tra và phê duyệt các yêu cầu cấp, thu hồi, gia hạn, tạm dừng, khôi phục … chứng thư số, cặp khóa).
Hỗ trợ người dùng cuối của thẩm quyền đăng ký: tạo cặp khóa quản lý người dùng, bàn giao kết quả. Mối quan hệ giữa VA-CA-RA. Thẩm quyền xác nhận (Validation Authority - VA): • Mục tiêu: Khẳng định tính hợp lệ và tin cậy của chứng thư số (cặp khóa). • Kho công cộng chứa chứng thư số và CRL (LDAP), OCSP… • Dịch vụ dấu thời gian: TimeStamp, … Thực thể cuối (client) – người dùng, thiết bị: • Người dùng, thiết bị, sử dụng chứng thư số - relying party.
• Chủ thể sở hữu chứng thư số (thuê bao) – subscriber. Thẩm quyền chứng thực (Certification Authority – CA). Thẩm quyền đăng ký (Registration Authority - RA). Thực thể cuối (client) – người dùng, thiết bị.
Chứng thực: chứng thực cặp khóa thuộc về một chủ thể (CTS) và chứng thực một cặp khóa không thuộc về một chủ thể (CRL). Khẳng định tính hợp lệ và tin cậy của các cặp khóa đã chứng thực: • Kho chứng thư số: chứa tất cả các CTS, CRL do tổ chức chứng thực tạo ra, điểm tin cậy của hệ thống. 5 • Dịch vụ kiểm tra trạng thái chứng thư trực tuyến OCSP. Dấu thời gian an toàn: tạo dấu thời gian gắn kèm với dữ liệu thỏa mãn các tính chất chính xác, xác thực và toàn vẹn.
Vai trò Figure 4. Vai trò của Certification Authority (CA). Thẩm quyền chứng thực (Certification Authority - CA) là thẩm quyền được tin cậy có nhiệm vụ chứng nhận một cặp khóa thuộc/không thuộc về một thực thể xác định (Thiết lập được một thực thể tin cậy). Đây là thành phần quan trọng nhất của hệ thống.
Chức năng Chức năng chứng nhận một cặp khóa thuộc/không thuộc về một chủ thể (chứng thực). 6 Quản lý vòng đời chứng thư số (cặp khóa) sau khi chứng thực (tạo chứng thư số). Tuân thủ CP và CPS. Nhiệm vụ Figure 5.
Nhiệm vụ của CA. Tạo mới, thay cặp khóa, gia hạn, đổi thông tin (chứng thực thuộc): Tạo chứng thư số. Tạm dừng/kích hoạt, thu hồi chứng thư số (Chứng thực không thuộc) Tạo danh sách thu hồi chứng thư số (CRL). Lưu trữ, khôi phục chứng thư số/cặp khóa.
Vai trò Thẩm quyền đăng ký (Registration Authority - RA) là: • Thành phần đảm nhiệm vai trò quản lý hỗ trợ cho thẩm quyền chứng thực CA. • Trung gian, cầu nối giữa CA và thực thể cuối. Chức năng Xác định và xác thực. Hỗ trợ người dùng cuối.
Nhiệm vụ Figure 6. Nhiệm vụ của RA. Tiếp nhận các yêu cầu chứng thực từ thuê bao. Kiểm tra và phê duyệt/từ chối các yêu cầu chứng thực (đảm bảo tính xác thực về thông tin của người dùng gửi yêu cầu).
Chuyển các yêu cầu đã phê duyệt tới CA. Tiếp nhận kết quả chứng thực (khóa, chứng thư số) từ CA và chuyển tới thuê bao. Hỗ trợ thuê bao sinh cặp khóa. Quản lý thuê bao, yêu cầu, thiết bị lưu khóa (các thông tin về thuê bao).
Vai trò Thẩm quyền xác nhận (Verification Authority - VA) khẳng định tính tin cậy và hợp lệ của các cặp khóa đã chứng thực thuộc/không thuộc đối với các giao dịch. Chức năng Công bố gốc tin cậy của hệ thống: Công bố chứng thư số gốc, các chứng thư chéo, chứng thư cầu nối, danh sách tin cậy, … Công bố thông tin chứng thực cặp khóa: Công bố chứng thư số CA trung gian, chứng thư số người dùng cuối. Công bố CARL và CRL. Cung cấp các dịch vụ hỗ trợ đảm bảo an toàn cho các giao dịch điện tử.
Nhiệm vụ Duy trì kho chứng thư số: chứa các chứng thư số gốc, chứng thư số CA, chứng thư số chéo, cầu nối, danh sách tin cậy… chứng thư số thực thể cuối; CARL và CRL. Cung cấp dịch vụ kiểm tra trạng thái chứng thư trực tuyến OCSP, SCVP. Cung cấp dịch vụ cấp dấu thời gian cho mỗi giao dịch. Thành phần Kho chứng thư số: chứa tất cả các chứng thư số, CARL, CRL do tổ chức chứng thực tạo ra, điểm tin cậy của hệ thống.
Các dịch vụ hỗ trợ kiểm tra trạng thái chứng thư số: OCSP, SCVP. Dịch vụ dấu thời gian an toàn: tạo dấu thời gian gắn kèm với dữ liệu thỏa mãn các tính chất xác thực và toàn vẹn. Thực thể cuối Thực thể cuối là những đối tượng (như người dùng, thiết bị, phần mềm) sử dụng cặp khóa đã chứng thực để đảm bảo an toàn cho các giao dịch điện tử mình tham gia. • Gửi các yêu cầu chứng thực (cấp mới, thay khóa, thu hồi, tạm dừng, treo…) tới RA và nhận kết quả yêu cầu từ RA.
• Sử dụng chứng thư số trong các giao dịch. Phân loại thực thể cuối • Chủ thể tin cậy và sử dụng chứng thư số - relying party. • Chủ thể sở hữu chứng thư số (thuê bao) - subscriber. • Thực thể cuối giao tiếp với hạ tầng (các dịch vụ của hạ tầng cung cấp) thông qua phần mềm người dùng cuối (client-side software) còn gọi là PKI-client (PKI-enable) software.
Chứng thư số và CRL 1. Chứng thư số 1. Khái niệm Chứng thư số là một dạng chứng thư điện tử được cấp bởi tổ chức cung cấp dịch vụ chứng thực chữ ký số. Chứng thư số có thể coi như giấy chứng minh nhân nhân (CMND) được sử dụng trong thế giới điện tử và mạng internet.
Loại chứng thư này được dùng như một công cụ điện tử giúp nhận diện cá nhân, máy chủ hoặc một số đối tượng khác. Nó gắn định danh đối tượng đó với một “khóa công khai” được cấp bởi tổ chức có thẩm quyền. Chứng thư số chứa khóa công khai (public key), trong khi đó chữ ký số chứa khóa bí mật (private key). Chứng thư số và chữ ký số kết hợp lại sẽ tạo thành một cặp khóa.
Ta có thể sử dụng cặp khóa này để ký số.