TỔNG QUAN VỀ CƠ SỞ HẠ TẦNG KHÓA CÔNG KHAI VÀ CHỮ KÝ SỐ
Tổng quan về cơ sở hạ tầng khóa công khai
PKI (Cơ sở hạ tầng khóa công khai) dựa vào thẻ chứng thực số để hoạt động, bao gồm các thành phần như phần cứng, phần mềm, chính sách, và quy trình phát hành/thu hồi chứng chỉ Sự kết hợp của các thành phần này tạo ra một phương thức trao đổi thông tin an toàn trên mạng, đảm bảo tính xác thực và định danh đối tác ở mức cao nhất.
Nhiệm vụ chính của PKI là áp dụng chiến lược mã hóa khóa công cộng để tạo ra, quản lý và thu hồi các thẻ chứng thực.
- Tạo và xác định tính hợp lệ của chữ ký số (digital signatures)
- Đáp ứng sự đăng ký thẻ của người sử dụng mới
- Xác thực người sử dụng và phân phối thẻ chứng thực đến họ
- Thu hồi các thẻ chứng thực hết hạn
- Tạo các private key và public key cho các PKI client.
Hệ thống bảo mật PKI cung cấp phương thức xác thực người sử dụng an toàn hơn so với phương pháp truyền thống bằng tên người dùng và mật khẩu Bằng cách sử dụng các thẻ chứng thực chứa thông tin định danh và khóa công khai của đối tác, PKI xác định danh tính và tính hợp lệ của người dùng Ngoài ra, PKI cũng hỗ trợ mã hóa thông tin nhạy cảm và ký các tài liệu số, đảm bảo an toàn cho dữ liệu trong quá trình trao đổi.
Có thể nói, PKI là hạ tầng kỹ thuật thông tin, nó cho phép người dùng trên
Internet cho phép trao đổi thông tin một cách bảo mật và riêng tư nhờ vào việc sử dụng cặp khóa công khai và riêng tư Cặp khóa này được cấp phát và chia sẻ thông qua một trung tâm ủy quyền tin cậy (CA).
PKI cung cấp thẻ chứng thực số cho các đối tác trong việc trao đổi thông tin trên Internet, giúp định danh cá nhân, tổ chức hoặc dịch vụ thư mục.
1.1.1 Các thành phần của PKI
Hệ thống PKI bao gồm các thành phần chính sau:
Certification Authority (CA) – Ủy quyền thẻ chứng thực
CA, hay còn gọi là thành phần thứ ba tin cậy, đóng vai trò quan trọng trong việc phát hành thẻ chứng thực Khi nhận được yêu cầu từ tổ chức hoặc cá nhân, CA sẽ tiến hành xác thực thông tin trước khi cấp thẻ chứng thực Một số công ty CA nổi tiếng trên thế giới bao gồm Verisign và MSN.
CA xác định một bộ quy tắc và thủ tục liên quan đến việc phát hành thẻ chứng thực dựa trên các chính sách và việc trao đổi thông tin trong môi trường bảo mật của tổ chức Tất cả các hoạt động như tạo, phát hành và thu hồi thẻ chứng thực đều phải tuân theo các quy tắc và thủ tục này.
Registration Authority (RA) – Ủy quyền đăng ký
Nhiệm vụ của RA kiểm tra yêu cầu thẻ chứng thực số của client.
Khi một PKI client gửi yêu cầu phát hành thẻ chứng thực số đến một CA,
CA ủy quyền RA phản hồi yêu cầu xác thực Sau khi RA kiểm tra yêu cầu thành công, RA sẽ chuyển tiếp yêu cầu đến CA CA nhận yêu cầu, phát hành thẻ chứng thực và gửi thẻ này cho RA Cuối cùng, RA sẽ chuyển thẻ chứng thực đến PKI client, người đã gửi yêu cầu phát hành thẻ chứng thực trước đó.
Digital certificates (DC) – Chứng chỉ số
Thẻ chứng thực số, tương tự như thẻ ID, đóng vai trò quan trọng trong môi trường điện tử và mạng máy tính Trong khi thẻ ID giúp xác định cá nhân trong thực tế, thẻ chứng thực số được sử dụng trong hệ thống PKI để đảm bảo định danh duy nhất cho một đối tượng trong suốt quá trình truyền thông an toàn.
Thẻ chứng thực số chứa các thông tin sau:
- Số serial của thẻ chứng thực
- Ngày hết hạn của thẻ chứng thực
- Chữ ký số của CA
- Public key của PKI client
Trong quá trình giao dịch, bên gửi cung cấp thẻ chứng thực số cùng với dữ liệu đã được mã hóa cho bên nhận Bên nhận sau đó sử dụng thẻ chứng thực số này để xác minh tính hợp lệ của bên gửi.
Bên nhận sử dụng public key của CA để giải mã public key của bên gửi, được gửi kèm với thông điệp mã hóa Sau khi xác định định dạng của bên gửi, bên nhận tiếp tục dùng public key của bên gửi để giải mã dữ liệu đã nhận.
Một số loại chứng chỉ số thông dụng là:
- Chứng chỉ khóa công khai đơn giản (Simple Public Key Certificates
- Chứng chỉ Pretty Good Privacy (PGP).
- Chứng chỉ thuộc tính (Attribute Certificates – AC)
Certificate Distribution System (CDS) – Hệ thống phân phối thẻ
CDS lưu trữ tất cả các thẻ chứng thực đã phát hành cho người dùng trên mạng, cùng với các cặp khóa, tính hợp lệ và chữ ký của các khóa public Ngoài ra, CDS còn quản lý danh sách các khóa đã hết hạn và các khóa bị thu hồi do mất hoặc hết hạn.
Ngoài ra còn có các thành phần khác:
Validation Authority (VA) – Ủy quyền xác nhận hợp lệ: Xác nhận tính hợp lệ thể chứng thực số của một đối tác trao đổi thông tin.
Certificate revocation list (CRL): Chứa danh sách các thẻ chứng thực bị thu hồi bởi CA.
Danh sách Thu hồi Chứng chỉ (CRL) là tập hợp các chứng chỉ kỹ thuật số đã bị thu hồi bởi Tổ chức phát hành Chứng chỉ (CA) trước thời hạn hết hạn đã định Những chứng chỉ này không còn đáng tin cậy và CRL hoạt động như một danh sách cấm, được sử dụng bởi các điểm cuối để kiểm tra tính hợp lệ và độ tin cậy của chứng chỉ.
Kỹ thuật mã hóa public key và privte key: Có thể được sử dụng để mã hóa và giải mã thông tin.
Partners or subjects, which may include users, organizations, or service systems, are entities seeking to utilize public key and private key techniques for secure information exchange.
Hệ thống PKI (Public Key Infrastructure) bao gồm nhiều thành phần quan trọng, mỗi thành phần đảm nhận một chức năng riêng, giúp đảm bảo an toàn và bảo mật thông tin Các thành phần này hoạt động liên kết với nhau để cung cấp dịch vụ xác thực, mã hóa và quản lý chứng chỉ số, tạo ra một môi trường tin cậy cho việc truyền tải dữ liệu.
Chứng thư số CA
Chứng thư số, hay chứng thư điện tử, tương tự như chứng minh thư nhân dân hoặc hộ chiếu, được sử dụng để xác thực danh tính của cá nhân, tổ chức, phần mềm, hoặc máy chủ trong các giao dịch điện tử Việc sử dụng chứng thư số giúp đảm bảo an toàn và bảo mật trong quá trình thực hiện các giao dịch trực tuyến.
Một chứng thư số phải đảm bảo chứ đủ các thông tin sau:
Tên chủ thể, chủ sở hữu chứng thư số.
Khóa công khai (Public key).
Một số thông tin khác như: thông tin về doanh nghiệp, hạn sử dụng, thông tin về sản phẩm…
Chữ ký số của người cấp chứng thư đó.
Chứng thư số dùng để xác định danh tính của một đối tượng khi tham gia vào giao dịch điện tử dựa trên máy chủ xác thực danh tính.
1.2.1 Quy trình cấp chứng thư số
Khách hàng cần chuẩn bị hồ sơ đầy đủ về thông tin cá nhân hoặc doanh nghiệp, bao gồm tên và giấy phép kinh doanh, sau đó gửi thông tin đăng ký đến các nhà cung cấp dịch vụ chữ ký số.
Các nhà cung cấp dịch vụ chữ ký số sẽ xác thực thông tin cá nhân và doanh nghiệp với dữ liệu quốc gia Nếu thông tin khớp, hồ sơ đăng ký chứng thư số sẽ được chấp nhận và thông tin khách hàng sẽ được nạp vào usb token hoặc smart card Khi nhận hợp đồng và thiết bị từ nhà cung cấp, khách hàng cần xác nhận nội dung chứng thư số, bao gồm tên doanh nghiệp và thời hạn chứng thư số có đúng với hợp đồng hay không.
Nhà cung cấp NewCA sẽ gửi toàn bộ thông tin của doanh nghiệp A đến Trung tâm chứng thực chữ ký số quốc gia (Root CA), thuộc cục Ứng dụng công nghệ thông tin của Bộ Thông tin và Truyền thông.
Doanh nghiệp cần thực hiện bước 4 bằng cách đăng ký tài khoản với máy chủ của Tổng cục thuế, sử dụng mã số thuế của doanh nghiệp làm tên đăng nhập và gửi kèm khóa công khai.
Bước 5: Máy chủ thuế gửi yêu cầu xác nhận thông tin tới Trung tâm chứng thực chữ ký số quốc gia.
Bước 6: Trung tâm chứng thực chữ ký số quốc gia (Root CA) trả lại kết quả xác nhận với cơ quan thuế.
Chứng chỉ số
Chứng chỉ số là một tệp tin điện tử dùng để xác minh danh tính cá nhân, máy chủ hoặc công ty trên Internet, tương tự như bằng lái xe, hộ chiếu và chứng minh thư Để có được chứng minh thư, bạn cần được cấp bởi cơ quan Công An địa phương.
Chứng chỉ số cần được xác nhận bởi một tổ chức có thẩm quyền, gọi là Nhà cung cấp chứng thực số (CA - Certificate Authority) CA có trách nhiệm đảm bảo độ tin cậy và chính xác của thông tin trong chứng chỉ số mà họ cấp.
Trong chứng chỉ số có ba thành phần chính:
+ Dữ liệu cá nhân của người được cấp
+ Khoá công khai (Public key) của người được cấp
+ Chữ ký số của CA cấp chứng chỉ
Bao gồm tên, quốc tịch, địa chỉ, điện thoại, email, tên tổ chức v.v.
Phần này giống như các thông tin trên chứng minh thư của mỗi người.
Giá trị được nhà cung cấp chứng thực cung cấp dưới dạng khóa mã hóa, kết hợp với một khóa cá nhân duy nhất được tạo ra từ khóa công khai, tạo thành cặp mã khóa bất đối xứng.
Nguyên lý hoạt động của khóa công khai trong chứng chỉ số yêu cầu hai bên giao dịch phải biết khóa công khai của nhau Khi bên A muốn gửi thông tin cho bên B, họ sẽ sử dụng khóa công khai của bên B để mã hóa dữ liệu Sau đó, bên B sẽ sử dụng khóa cá nhân của mình để giải mã thông tin nhận được.
Tính bất đối xứng trong mã hóa thể hiện qua việc khóa cá nhân có khả năng giải mã dữ liệu được mã hóa bằng khóa công khai, trong khi khóa công khai không thể giải mã lại thông tin, kể cả những dữ liệu mà chính nó đã mã hóa.
Chứng chỉ số có thể được ví như chứng minh thư nhân dân, trong đó khoá công khai tương tự như thông tin danh tính của bạn trên giấy chứng minh, bao gồm tên, địa chỉ và ảnh Ngược lại, khoá cá nhân đại diện cho gương mặt và dấu vân tay của bạn, tạo nên sự bảo mật và xác thực cho danh tính số của bạn.
Bưu phẩm có thể được xem như thông tin được truyền tải, được "mã hóa" thông qua địa chỉ và tên người nhận Do đó, ngay cả khi ai đó sử dụng chứng minh thư của bạn để nhận bưu phẩm, nhân viên bưu điện vẫn không thể giao hàng nếu ảnh mặt và dấu vân tay không khớp.
Chữ ký số của CA cấp chứng chỉ:
Chứng chỉ gốc, hay còn gọi là chứng chỉ số, là sự xác nhận từ CA đảm bảo tính chính xác và hợp lệ của chứng chỉ Để kiểm tra chứng chỉ số, bước đầu tiên là xác minh tính hợp lệ của chữ ký số từ CA Tương tự, trên chứng minh thư, con dấu xác nhận từ Công An Tỉnh hoặc Thành phố là yếu tố quan trọng Khi kiểm tra chứng minh thư, việc đầu tiên cần làm là xem xét con dấu này để xác định xem chứng minh thư có bị làm giả hay không.
Một số loại chứng chỉ số:
Chứng chỉ khóa công khai đơn giản (Simple Public Key
Chứng chỉ Pretty Good Privacy (PGP).
Chứng chỉ thuộc tính (Attribute Certificates - AC).
Những loại chứng chỉ này đều có cấu trúc định dạng riêng Hiện nay chứng chỉ X.509 được sử dụng rộng rãi trong hầu hết các hệ thống PKI.
HỘ CHIẾU ĐIỆN TỬ
Hộ chiếu điện tử
Hộ chiếu điện tử, hay còn gọi là e-passport, là một loại hộ chiếu kết hợp giữa giấy truyền thống và công nghệ lưu trữ thông tin cá nhân cùng dữ liệu sinh trắc học của người sở hữu Thông thường, hộ chiếu này được trang bị một chip điện tử RFID và ăng-ten không dây, được đặt ở bìa trước, bìa sau hoặc trang giữa Chip này lưu trữ thông tin cá nhân được số hóa, bao gồm tên, ngày sinh, giới tính, ảnh kỹ thuật số, dấu vân tay và chữ ký Ngoài ra, nó còn có thể chứa thông tin sinh trắc học như nhận dạng khuôn mặt và mống mắt.
Theo tài liệu ICAO 9303, chỉ có ảnh kỹ thuật số của thông tin sinh trắc học được lưu trên chip của hộ chiếu Dữ liệu trên chip sẽ được so sánh với thông tin thực tế của chủ sở hữu tại hải quan thông qua các hệ thống hiện đại nhằm đảm bảo an toàn Giao thức kết nối không dây giữa hộ chiếu và hệ thống (thẻ không tiếp xúc) đã được chuẩn hóa để các quốc gia có thể áp dụng một cách dễ dàng, không gây cản trở cho du khách.
Hiện nay yêu cầu về tiêu chuẩn cho hộ chiếu điện tử đã được cung cấp bới
Tổ chức Hàng không Dân dụng Quốc tế (ICAO) đã đưa ra các yêu cầu nhằm nâng cao an ninh tại các cửa khẩu và kiểm tra biên giới giữa các quốc gia Hộ chiếu điện tử hiện đại tích hợp ba công nghệ chính: Nhận dạng tần số radio (RFID), sinh trắc học (bao gồm nhận diện khuôn mặt, vân tay và mống mắt), cùng với cơ sở hạ tầng khóa công khai (PKI), nhằm đảm bảo tính bảo mật và xác thực cao nhất cho hành khách.
2.1.1 Cấu trúc hộ chiếu điện tử Điểm khác biệt giữa HCĐT và hộ chiếu truyền thống là ở chỗ HCĐT có thêm một biểu tượng riêng phía ngoài bìa, một mạch tích hợp phi tiếp xúc RFIC (Radio Frequency Integrated) được gắn vào hộ chiếu và phần MRZ phía cuối trang dữ liệu Mạch RFIC có thể được đặt trong trang dữ liệu hoặc có thể đặt ở một trang khác.
Công nghệ Nhận diện Tần số Radio (RFID) sử dụng sóng vô tuyến để xác định đối tượng Hệ thống RFID bao gồm hai thiết bị thu phát sóng điện từ cùng tần số, thường là 125Khz hoặc 900Mhz.
Hệ thống RFID bao gồm hai thành phần chính: thiết bị đọc (reader) và thiết bị phát mã RFID (tag) có gắn chip Thiết bị đọc được trang bị antenna để thu và phát sóng điện từ, trong khi mỗi RFID tag được gắn với vật cần nhận dạng và chứa một mã số duy nhất không trùng lặp.
Khi thiết bị đọc RFID hoạt động, nó phát ra sóng điện từ ở một tần số xác định Thiết bị RFID tag trong khu vực này sẽ cảm nhận sóng điện từ và thu nhận năng lượng, sau đó gửi lại mã số của mình cho thiết bị đọc RFID Nhờ đó, thiết bị đọc RFID có thể xác định tag nào đang ở trong vùng hoạt động.
RFIC trong hộ chiếu điện tử
Mạch tích hợp RFIC bao gồm một chip tuân thủ tiêu chuẩn ISO/IEC 14443 và một ăngten vòng, không chỉ phục vụ kết nối mà còn nhận diện tín hiệu từ đầu đọc Điều này lý giải cho việc HCĐT không có nguồn điện tích hợp, mà năng lượng hoạt động cho chip được thu nhận thông qua ăngten.
Mạch RFIC thường được gắn vào giữa phần bìa và phần trang dữ liệu của hộ chiếu Trong quá trình gắn, cần chú ý đảm bảo chip không bị ăn mòn và giữ vững vị trí để tránh bị rời ra khỏi hộ chiếu.
Vùng MRZ trong hộ chiếu hoặc thẻ du lịch được chia thành hai loại: Loại 1 và Loại 3 MRZ loại 1 có ba dòng, mỗi dòng chứa 30 ký tự, trong khi MRZ loại 3 chỉ có hai dòng với 44 ký tự mỗi dòng Cả hai loại MRZ đều mã hóa thông tin quan trọng của công dân, bao gồm loại hộ chiếu, ID hộ chiếu, quốc gia phát hành, tên, quốc tịch và ngày hết hạn.
Ví dụ các trường có trong MRZ loại 2 dòng:
Cấu trúc logic trong hộ chiếu điện tử (Logical Data Structure - LDS) rất quan trọng để đảm bảo sự thống nhất toàn cầu Tổ chức hàng không dân dụng quốc tế (ICAO) đã khuyến nghị một cấu trúc chuẩn cho các thành phần dữ liệu trong hộ chiếu điện tử, phân nhóm chúng thành 16 nhóm từ DG1 đến DG16 Mỗi nhóm chứa các dữ liệu khác nhau và tuân theo tiêu chuẩn chung của ICAO.
Trong 16 nhóm dữ liệu của LDS, 2 nhóm dữ liệu đầu tiên DG1 và DG2 là bắt buộc, còn 14 nhóm dữ liệu sau là tùy chọn:
• DG1: Nhóm dữ liệu chứa thông tin giống với thông tin lưu trong MRZ.
DG2 là nhóm dữ liệu lưu trữ ảnh khuôn mặt đã mã hóa của người sở hữu hộ chiếu, được định dạng theo chuẩn JPEG hoặc JPEG2000 Kích thước ảnh dao động từ 12 đến 20K (kilobytes) Thông tin này được thống nhất toàn cầu, hỗ trợ việc kiểm tra định danh của người sử dụng với các thông tin trong hệ thống hộ chiếu điện tử.
• DG3: Nhóm dữ liệu lưu trữ dấu vân tay của người sở hữu HCĐT đã mã hóa.
DG4 là nhóm dữ liệu lưu trữ mống mắt của người sở hữu HCĐT đã được mã hóa Cả hai nhóm dữ liệu DG3 và DG4 đều là tùy chọn cho từng quốc gia trong việc tích hợp vào chip RFID trong HCĐT nhằm xác thực người dùng.
• DG5: Lưu ảnh chân dung của người mang hộ chiếu Định dạng ảnh là JPEG hoặc JPEG2000.
• DG6: Nhóm dữ liệu dự phòng dùng trong tương lai.
• DG7: Nhóm dữ liệu lưu chữ ký của người mang hộ chiếu Thông tin này được lưu dưới dạng ảnh JPEG2000.
• DG8/9/10: Các nhóm dữ liệu mô tả thông tin về đặc tính dữ liệu, đặc tính cấu trúc.
• DG11/12: Nhóm dữ liệu lưu trữ các thông tin chi tiết thêm về người sở hữu hộ chiếu ngoài các thông tin đã đƣợc lưu ở DG1.
• DG13: Nhóm dữ liệu chứa thông tin riêng biệt do cơ quan cấp hộ chiếu thể hiện.
• DG14: Nhóm dữ liệu dự phòng dùng cho tương lai.
• DG15: Nhóm dữ liệu lưu khóa công khai dùng cho quá trình xác thực chủ động.
• DG16: Nhóm dữ liệu lưu trữ thông tin về người khi cần có thể liên lạc.
2.1.2 Một số yêu cầu đối với bảo mật thông tin hộ chiếu điện tử
Bảo mật thông tin hộ chiếu điện tử trong quy trình cấp phát và kiểm duyệt là vấn đề cực kỳ quan trọng đối với an ninh quốc gia Để đảm bảo hiệu quả, vấn đề này cần đáp ứng 6 yêu cầu thiết yếu.
Cơ quan cấp hộ chiếu cần đảm bảo tính chính xác trong việc ghi thông tin của người được cấp hộ chiếu, tránh mọi nhầm lẫn trong quá trình này Điều này là yêu cầu bắt buộc để đảm bảo tính chân thực của giấy tờ.
Tính không thể nhân bản : Mục tiêu này phải đảm bảo không thể tạo ra bản sao chính xác của RFIC.
ỨNG DỤNG CỦA PKI TRONG HỘ CHIẾU ĐIỆN TỬ
Quy trình cấp phát hộ chiếu điện tử được đề xuất
Quy trình cấp phát hộ chiếu điện tử đề xuất Quá trình cấp phát hộ chiếu điện tử trải qua các bước sau:
Bước 1: Đăng ký cấp hộ chiếu theo mẫu do cơ quan cấp phát, quản lý hộ chiếu phát hành Bước 2: Kiểm tra nhân thân.
Bước 3: Tiến hành thu thập thông tin sinh trắc học bao gồm ảnh khuôn mặt, ảnh vân tay và ảnh mống mắt Việc thu nhận các đặc điểm sinh trắc này sẽ được điều chỉnh dựa trên ngữ cảnh và đối tượng cụ thể.
Bước 4: Ghi thông tin vào chip RFID, in hộ chiếu.
Ghi thông tin cơ bản như trên trang hộ chiếu giấy vào DG1.
Ghi ảnh khuôn mặt vào DG2;
Ghi ảnh hai vân tay vào DG3.
Ghi hai ảnh hai mống mắt vào DG4.
Ghi các thông tin khác khóa công khai PKRFIC phục vụ quá trình Chip Authentication vào DG14, khóa bí mật SKRFIC phục vụ quá trình Chip Authentication.
Khóa công khai PKCVCA dùng cho quá trình Terminal Authentication vào bộ nhớ bí mật.
Ghi SOD tạo giá trị băm cho các nhóm thông tin bằng thuật toán SHA-256, và tập hợp tất cả các giá trị băm này được gọi là SOLDS Khi sử dụng khóa bí mật của cơ quan cấp hộ chiếu để lấy SOLDS, ta sẽ nhận được chữ ký trên SOLDS, được ký hiệu là SOD.Signature.
Cấu trúc của SOD bao gồm SOLDS và các chứng thư số SOLDS.cert, trong đó thông tin này hỗ trợ quá trình xác thực thụ động (Passive Authentication) khi tạo đối tượng SO D.
Quy trình xác thực hộ chiếu điện tử
Quá trình kiểm tra, xác thực hộ chiếu điện tử tại các cửa khẩu được thực hiện theo các bước sau:
Quy trình xác thực hộ chiếu điện tử đề xuất
Người mang hộ chiếu cần xuất trình hộ chiếu cho cơ quan kiểm tra, nơi sẽ thu nhận các đặc tính sinh trắc học từ người xuất trình.
Bước 2: Kiểm tra các đặc tính bảo mật của trang hộ chiếu giấy bằng cách xác định các yếu tố an ninh truyền thống như thủy ấn, dải quang học và lớp bảo vệ ảnh.
Hệ thống RFIC tiến hành quá trình BAC để đọc thông tin từ chip Sau khi BAC hoàn tất, mọi dữ liệu trao đổi giữa đầu đọc và chip được mã hóa và xác thực bằng cặp khóa.
Cơ chế BAC được áp dụng trên hệ thống HCĐT nhằm ngăn chặn việc nghe lén và đọc trộm thông tin từ chip RFIC đến IS Ý tưởng chính của BAC là yêu cầu sự đồng ý của người sở hữu hộ chiếu trước khi cho phép truy cập thông tin từ chip RFIC Hệ thống chỉ cho phép truy cập khi nhận được khóa từ vùng dữ liệu MRZ Để bảo vệ thông tin, dữ liệu giữa RFIC và IS được mã hóa bằng cặp khóa phiên được tạo ra từ cơ chế BAC, giúp ngăn chặn các hành vi nghe lén và đọc trộm.
Bước 4: Tiến hành xác thực bị động để đảm bảo tính xác thực và toàn vẹn của thông tin lưu trữ trong chip, thông qua việc kiểm tra chữ ký bằng khóa công khai của cơ quan cấp hộ chiếu.
Quá trình xác thực thụ động (Passive Authentication) được thực hiện để kiểm tra tính xác thực và toàn vẹn của thông tin trong chip RFID bằng cách kiểm tra chữ ký trong SOD thông qua khóa công khai của cơ quan cấp hộ chiếu Việc trao đổi khóa công khai diễn ra theo mô hình chứng chỉ số được khuyến cáo bởi ICAO Nếu quá trình xác thực thụ động và Chip Authentication trong cơ chế EAC thành công, có thể khẳng định chip trong hộ chiếu là nguyên gốc.
Bước 5: Quá trình Xác thực Tại chỗ (Terminal Authentication) xác nhận quyền truy cập vào thông tin sinh trắc học của hệ thống, chỉ áp dụng cho các cơ quan kiểm tra hộ chiếu sử dụng EAC Khi Xác thực Tại chỗ thành công, đầu đọc sẽ có quyền truy cập thông tin theo các quyền được thể hiện trong chứng thư số.
Hệ thống tiến hành so sánh thông tin sinh trắc học được thu thập từ người xuất trình hộ chiếu với dữ liệu sinh trắc học đã được lưu trữ trong chip.
Hệ thống kiểm duyệt có khả năng truy cập và đọc dữ liệu sinh trắc từ chip RFID của hộ chiếu điện tử, bao gồm ảnh khuôn mặt, dấu vân tay và mống mắt Cơ quan kiểm tra sử dụng thiết bị nhận dạng đặc biệt để thu thập các đặc tính sinh trắc học từ người dùng Sau đó, hệ thống sẽ trích xuất và đối chiếu các dữ liệu sinh trắc này với thông tin từ chip RFID Nếu ba loại dữ liệu sinh trắc khớp nhau, cơ quan kiểm tra sẽ xác nhận rằng hộ chiếu điện tử là hợp lệ và người mang hộ chiếu là chính chủ.
Nếu quá trình so sánh thành công và các chứng thực được kiểm tra đầy đủ, cơ quan kiểm tra hộ chiếu có thể tin tưởng rằng hộ chiếu là hợp lệ và người mang hộ chiếu đúng là cá nhân được mô tả trong tài liệu.
