nghiên cứu về chữ ký số và ứng dụng trong quản lý văn bản

HOÀNG XUÂN DẬU CAO NGỌC SƠN B17DCAT153 D17CQAT01 2017 – 2022 ĐẠI HỌC CHÍNH QUYHà Nội, 01 – 2022 thahh lau bah do hieh trahg xu duhg dat tu bah do dic ehihh xa dieh truhg huyeh dieh ehau

Trang 1

HỌC VIỆN CÔNG NGHỆ BƯU CHÍNH VIỄN THÔNG KHOA CÔNG NGHỆ THÔNG TIN

-  -

ĐỒ ÁN TỐT NGHIỆP ĐỀ TÀI

NGHIÊN CỨU VỀ CHỮ KÝ SỐ VÀ ỨNG DỤNG TRONG QUẢN LÝ VĂN BẢN

Giảng viên hướng dẫn: Sinh viên thực hiện: Mã sinh viên:

Lớp: Khóa: Hệ:

TS HOÀNG XUÂN DẬU CAO NGỌC SƠN

B17DCAT153 D17CQAT01 2017 – 2022

ĐẠI HỌC CHÍNH QUY

Hà Nội, 01 – 2022

thahh lau bah do hieh trahg xu duhg dat tu bah do dic ehihh xa dieh truhg huyeh dieh ehau tihh hghe chthahh lau bah do hieh trahg xu duhg dat tu bah do dic ehihh xa dieh truhg huyeh dieh ehau tihh hghe chthahh lau bah do hieh trahg xu duhg dat tu bah do dic ehihh xa dieh truhg huyeh dieh ehau tihh hghe chthahh lau bah do hieh trahg xu duhg dat tu bah do dic ehihh xa dieh truhg huyeh dieh ehau tihh hghe ch792413069:53:18 PM9:53:18 PM792413069:53:18 PM9:53:18 PM792413069:53:18 PM9:53:18 PM

thahh lau bah do hieh trahg xu duhg dat tu bah do dic ehihh xa dieh truhg huyeh dieh ehau tihh hghe chthahh lau bah do hieh trahg xu duhg dat tu bah do dic ehihh xa dieh truhg huyeh dieh ehau tihh hghe chthahh lau bah do hieh trahg xu duhg dat tu bah do dic ehihh xa dieh truhg huyeh dieh ehau tihh hghe chthahh lau bah do hieh trahg xu duhg dat tu bah do dic ehihh xa dieh truhg huyeh dieh ehau tihh hghe ch

thahh lau bah do hieh trahg xu duhg dat tu bah do dic ehihh xa dieh truhg huyeh dieh ehau tihh hghe chthahh lau bah do hieh trahg xu duhg dat tu bah do dic ehihh xa dieh truhg huyeh dieh ehau tihh hghe chthahh lau bah do hieh trahg xu duhg dat tu bah do dic ehihh xa dieh truhg huyeh dieh ehau tihh hghe chthahh lau bah do hieh trahg xu duhg dat tu bah do dic ehihh xa dieh truhg huyeh dieh ehau tihh hghe chthahh lau bah do hieh trahg xu duhg dat tu bah do dic ehihh xa dieh truhg huyeh dieh ehau tihh hghe chthahh lau bah do hieh trahg xu duhg dat tu bah do dic ehihh xa dieh truhg huyeh dieh ehau tihh hghe chthahh lau bah do hieh trahg xu duhg dat tu bah do dic ehihh xa dieh truhg huyeh dieh ehau tihh hghe chthahh lau bah do hieh trahg xu duhg dat tu bah do dic ehihh xa dieh truhg huyeh dieh ehau tihh hghe ch

79Thursday, June 13, 20249:53:19 PM9:53:19 PM79Thursday, June 13, 20249:53:19 PM9:53:19 PM79Thursday, June 13, 20249:53:19 PM9:53:19 PM

thahh lau bah do hieh trahg xu duhg dat tu bah do dic ehihh xa dieh truhg huyeh dieh ehau tihh hghe chthahh lau bah do hieh trahg xu duhg dat tu bah do dic ehihh xa dieh truhg huyeh dieh ehau tihh hghe chthahh lau bah do hieh trahg xu duhg dat tu bah do dic ehihh xa dieh truhg huyeh dieh ehau tihh hghe chthahh lau bah do hieh trahg xu duhg dat tu bah do dic ehihh xa dieh truhg huyeh dieh ehau tihh hghe chthahh lau bah do hieh trahg xu duhg dat tu bah do dic ehihh xa dieh truhg huyeh dieh ehau tihh hghe chthahh lau bah do hieh trahg xu duhg dat tu bah do dic ehihh xa dieh truhg huyeh dieh ehau tihh hghe chthahh lau bah do hieh trahg xu duhg dat tu bah do dic ehihh xa dieh truhg huyeh dieh ehau tihh hghe chthahh lau bah do hieh trahg xu duhg dat tu bah do dic ehihh xa dieh truhg huyeh dieh ehau tihh hghe chthahh lau bah do hieh trahg xu duhg dat tu bah do dic ehihh xa dieh truhg huyeh dieh ehau tihh hghe chthahh lau bah do hieh trahg xu duhg dat tu bah do dic ehihh xa dieh truhg huyeh dieh ehau tihh hghe chthahh lau bah do hieh trahg xu duhg dat tu bah do dic ehihh xa dieh truhg huyeh dieh ehau tihh hghe chthahh lau bah do hieh trahg xu duhg dat tu bah do dic ehihh xa dieh truhg huyeh dieh ehau tihh hghe chthahh lau bah do hieh trahg xu duhg dat tu bah do dic ehihh xa dieh truhg huyeh dieh ehau tihh hghe chthahh lau bah do hieh trahg xu duhg dat tu bah do dic ehihh xa dieh truhg huyeh dieh ehau tihh hghe chthahh lau bah do hieh trahg xu duhg dat tu bah do dic ehihh xa dieh truhg huyeh dieh ehau tihh hghe chthahh lau bah do hieh trahg xu duhg dat tu bah do dic ehihh xa dieh truhg huyeh dieh ehau tihh hghe ch

79thahh lau bah do hieh trahg xu duhg dat tu bah do dic ehihh xa dieh truhg huyeh dieh ehau tihh hghe chThursday, June 13, 2024

Trang 2

HỌC VIỆN CÔNG NGHỆ BƯU CHÍNH VIỄN THÔNG KHOA CÔNG NGHỆ THÔNG TIN

-  -

ĐỒ ÁN TỐT NGHIỆP ĐỀ TÀI

NGHIÊN CỨU VỀ CHỮ KÝ SỐ VÀ ỨNG DỤNG TRONG QUẢN LÝ VĂN BẢN

Giảng viên hướng dẫn: Sinh viên thực hiện: Mã sinh viên:

Lớp: Khóa: Hệ:

TS HOÀNG XUÂN DẬU CAO NGỌC SƠN

B17DCAT153 D17CQAT01 2017 – 2022

ĐẠI HỌC CHÍNH QUY

Hà Nội, 01 – 2022

Trang 3

LỜI CẢM ƠN

Đầu tiên, em xin bày tỏ lòng biết ơn sâu sắc nhất đến Thầy giáo hướng dẫn của em – TS Hoàng Xuân Dậu, người đã luôn tận tình hướng dẫn và chỉ dạy cho em, người đã dành thời gian và quan tâm đến em trong suốt quá trình học tập và thực hiện đồ án tốt nghiệp này Giúp em có những định hướng và các phương pháp tiếp cận trong quá trình tìm hiểu, phát triển đồ án Em xin chân thành cảm ơn thầy!

Em xin chân thành cảm ơn các Thầy, Cô trong Khoa Công Nghệ Thông Tin và toàn thể các cán bộ của Học viện Công nghệ Bưu chính Viễn thông Hà Nội đã tạo điều kiện để em có thể được học tập trong một môi trường tốt Cảm ơn các Thầy, Cô đã cung cấp cho em những kiến thức hữu ích trong học tập cũng như những kinh nghiệm trong công việc Giúp em và các bạn sinh viên ngày càng trưởng thành hơn

Xin gửi lời cảm ơn chân thành đến tất cả các bạn bè của em, những người luôn bên em, động viên, cổ vũ, tận tình giúp đỡ và tạo điều kiện thuận lợi cho em trong quá trình làm đồ án tốt nghiệp

Cuối cùng, với trình độ hiểu biết còn nhiều hạn chế của bản thân và vốn kiến thức vẫn còn ít ỏi nên trong đồ án của em không tránh khỏi những thiếu sót Em rất mong nhận được sự góp ý của các Thầy, Cô để đồ án của em được hoàn thiện hơn

Em xin chân thành cảm ơn!

Hà Nội, ngày 03 tháng 01 năm 2022

SINH VIÊN THỰC HIỆN

Cao Ngọc Sơn

Trang 4

NHẬN XÉT, ĐÁNH GIÁ, CHO ĐIỂM

(của giảng viên hướng dẫn)

CÁN BỘ - GIẢNG VIÊN HƯỚNG DẪN

HOÀNG XUÂN DẬU

Trang 5

NHẬN XÉT, ĐÁNH GIÁ, CHO ĐIỂM (của giảng viên phản biện)

CÁN BỘ - GIẢNG VIÊN PHẢN BIỆN

123docz.net - File bi loi xin lienhe: lethikim34079@hotmail.com

Trang 6

MỤC LỤC

LỜI CẢM ƠN i

NHẬN XÉT, ĐÁNH GIÁ, CHO ĐIỂM (của giảng viên hướng dẫn) ii

MỤC LỤC iv

DANH MỤC BẢNG vi

DANH MỤC HÌNH ẢNH vii

DANH MỤC TỪ VIẾT TẮT x

LỜI MỞ ĐẦU xii

CHƯƠNG 1: TỔNG QUAN VỀ BẢO MẬT THÔNG TIN DỰA TRÊN MẬT MÃ 1

1.1 Các yêu cầu bảo mật thông tin 1

1.2 Các thuật toán mã hóa công khai 2

1.2.1 Giải thuật RSA 2

Trang 7

2.2.2 Chuẩn X.509 21

2.3 Hạ tầng khóa công khai PKI 23

2.3.1 Các thành phần của PKI 23

2.3.2 Tính chất và chức năng của hạ tầng khóa công khai 27

2.3.3 Cách thức hoạt động của hạ tầng khóa công khai 29

2.3.4 Kiến trúc của cơ sở hạ tầng khóa công khai 31

2.4 Kết chương 35

CHƯƠNG 3: TRIỂN KHAI ỨNG DỤNG PKI VÀ KÝ SỐ CHO HỆ THỐNG CHIA SẺ TÀI LIỆU 36

3.1 Mô hình triển khai và các thành phần hệ thống 36

3.1.1 Mô hình hệ thống PKI nội bộ và hệ thống chia sẻ tài liệu tích hợp PKI và ký số 36

3.1.2 Mô hình triển khai và các thành phần của hệ thống 38

3.1.3 Frontend Server (Giao diện web) 41

3.2 Cài đặt các thành phần hệ thống 41

3.2.1 Triển khai cài đặt PKI Server 41

3.2.2 Triển khai Backend server 45

3.2.3 Triển khai Frontend Server 49

3.3 Thử nghiệm và kết quả 51

3.3.1 Thực hiện yêu cầu cung cấp chứng thư số 51

3.3.2 Thực hiện kiểm tra sàng lọc tấn công XSS 52

3.3.3 Quản trị viên kiểm tra và cấp phát chứng thư số 53

3.3.4 Thực hiện chia sẻ tài liệu (người dùng cuối) 55

3.3.5 Thực hiện xác thực chủ sở hữu và tính toàn vẹn của tài liệu 57

3.3.6 Chia sẻ tài liệu sau khi chứng thư số bị thu hồi 60

3.3.7 Kiểm tra về việc quản lý truy cập 62

3.4 Kết chương 63

KẾT LUẬN 64

Trang 8

Trang 9

DANH MỤC HÌNH ẢNH

Hình 1 1: Sơ đồ mã hóa thuật toán RSA 3

Hình 1 2: Sơ đồ mã hóa và giải mã của Elgamal 5

Hình 1 3: Sơ đồ mã hóa và giải mã của Rabin 6

Hình 1 4: Minh họa về hàm băm 7

Hình 1 5: Phân loại hàm băm 7

Hình 1 6: Sơ đồ thực hiện hàm băm MD5 8

Hình 1 7: Sơ đồ cấu trúc hàm F của hàm băm MD5 9

Hình 1 8: Cấu trúc một vòng bên trong hàm F của hàm băm MD5 10

Hình 1 9: Sơ đồ thực hiện hàm băm SHA-256 11

Hình 1 10: Giá trị của Kj ứng với các vòng [6] 12

Hình 1 11: Cấu trúc một vòng trong hàm F của hàm băm SHA-256 13

Hình 2 1: Sơ lược về quá trình hoạt động của chữ ký số 15

Hình 2 2: Tổng quan về quy trình ký và xác thực tính toàn vẹn trong chữ ký số 16

Hình 2 3: Quy trình thực hiện kết hợp mã hóa và chữ ký số 19

Hình 2 4: Các thành phần có trong chứng thư số 22

Hình 2 5: Sơ đồ tổng quan về PKI 24

Hình 2 6: Quy trình phát hành và chứng thực chứng thư số 24

Hình 2 7: Vòng đời của chứng thư số 27

Hình 2 8: USB Token lưu chữ khóa bí mật cũng như chứng thư số 29

Hình 2 9: Quy trình xin cấp và chứng thực chứng thư số 30

Hình 2 10: Mô hình hạ tầng khóa công khai đơn cấp 31

Hình 2 11: Mô hình hạ tầng khóa công khai phân tầng 32

Hình 2 12: Mô hình hạ tầng khóa công khai mạng lưới 34

Hình 2 13: Mô hình hạ tầng khóa công khai cầu nối 35

Hình 3 1: Mô hình hệ thống PKI nội bộ dựa trên Easy RSA 36

Hình 3 2: Mô hình hệ thống chia sẻ tài liệu tích hợp PKI và chữ ký số 37

Hình 3 3: Mô hình triển khai hệ thống PKI và chữ ký số trong chia sẻ văn bản 38

Hình 3 4: Tải và khởi chạy ubuntu trên docker 42

Hình 3 5: Lệnh khởi tạo công cụ easy-rsa 43

Trang 10

Hình 3 6: Cấu trúc thư mục “easy-rsa” và thư mục “pki” 43

Hình 3 7: File lưu trữ thông tin cấu hình của CA root 44

Hình 3 8: Nơi lưu trữ mã nguồn của Backend server 45

Hình 3 9: Thông tin cổng hoạt động và kết nối tới cơ sở dữ liệu của Backend server 46 Hình 3 10: Thông tin về dịch vụ gửi thư điện tử 46

Hình 3 11: Thông tin về khóa bí mật sử dụng trong JWT 46

Hình 3 12: Thông tin về các thư mục làm việc tại tại Backend server 46

Hình 3 13: Thông tin về thư mục làm việc với PKI server 47

Hình 3 14: Bắt đầu khởi động Backend server 47

Hình 3 15: Hệ thống khởi động thành công 47

Hình 3 16: Thực hiện mã hóa mật khẩu 48

Hình 3 17: Tạo thông tin vào bảng admin 48

Hình 3 18: Tạo thông tin vào bảng role 48

Hình 3 19: Tạo thông tin vào bảng privilege 48

Hình 3 20: Tạo thông tin vào bảng roles_privileges 48

Hình 3 21: Tạo thông tin vào bảng admin_roles 48

Hình 3 22: Nơi lưu trữ mà nguồn Frontend server 49

Hình 3 23: Thông tin kết nối tới Backend Server 49

Hình 3 24: Khởi chạy hệ thống Frontend server 50

Hình 3 25: Thông tin truy cập tới Frontend server 50

Hình 3 26: Kết quả khi Frontend server được chạy thành công 50

Hình 3 27: Lệnh khởi chạy Frontend server với docker 51

Hình 3 28: Kiểm tra sai định dạng email 52

Hình 3 29: : Chuỗi javascript được chèn 52

Hình 3 30: Hành vi xử lý của server 53

Hình 3 31: Thông tin người dùng gửi lên 54

Hình 3 32: Thông tin người dùng nhận 54

Hình 3 33: Thông tin về chứng thư số nhận được 55

Hình 3 34: Thực hiện chia sẻ tài liệu 55

Hình 3 35: Kết quả tài liệu khi được chia sẻ 56

Hình 3 36: Thông tin chi tiết về tài liệu được chia sẻ 56

Hình 3 37: Tài liệu được chia sẻ 57

Trang 11

Hình 3 38: Xác thực chứng thư số có được cấp phát bởi hệ thống 57

Hình 3 39: Xác thực tính toàn vẹn của tài liệu được chia sẻ 58

Hình 3 40: Backup dữ liệu 58

Hình 3 41: Thay đổi nội dung của tài liệu 58

Hình 3 42: Kết quả sau khi tài liệu có sự thay đổi 59

Hình 3 43: Thực hiện tự kiểm tra tính toàn vẹn 59

Hình 3 44: Danh sách chứng thư số thu hồi 61

Hình 3 45: Thông báo thu hồi chứng thư số 61

Hình 3 46: Chia sẻ khi chứng thư số đã bị thu hồi 61

Hình 3 47: Kiểm tra kiểm soát truy cập khi đã loại bỏ cookie 62

Hình 3 48: Kiểm tra kiểm soát truy cập khi có đính kèm cookie 62

Trang 12

CORS: Cross origin request sharing Một cơ chế mà hạn chế một số trang web truy cập đến tài nguyên

CR: Certificate repository Nơi lưu trữ chứng thư số

CRL: Certificate revocation list Danh sách chứng thư số đã bị thu hồi CSRF: Cross site request forgery Một kiểu tấn công đến ứng dụng web DSA: Digital signature algorithm Một thuật toán liên quan đến chữ ký số DSS: Digital signature standard Tiêu chuẩn cho chữ ký số

DTO: Data transfer object Một chuẩn thiết kế trong Design Pattern phục vụ việc trao đổi dữ liệu

EE: End entity Thực thể cuối trong hệ thống PKI (người dùng, máy chủ)

ICT: Information and Communication Technologies

Một thuật ngữ mở rộng trong CNTT nhưng nhấn mạnh vai trò truyền thông

Telecommunications Union

Hiệp hội viễn thông quốc thể

JWT: Json web token Chuỗi token để xác thực vai trò của người dùng khi truy cập đến API

MAC: Modification authentication code

Mã xác thực thông điệp, một kiểu phân loại trong hàm băm

MDC: Modification detection code Mã phát hiện sửa đổi, một kiểu phân loại trong hàm băm

NIST: National Institute of Standards and Technology

Một tiêu chuẩn, kỹ thuật đánh giá được sử dụng phổ biến

PKI: Public Key Infrastructure Cơ sở hạ tầng khóa công khai, nơi tạo, lưu trữ quản lý chứng thư số

RA: Registration Authority Nơi có thẩm quyền trong hệ thống PKI và gửi yêu cầu cấp phát đến cho CA

Trang 13

RSA Thuật toán mã hóa khóa công khai, là tên viết tắt của 3 nhà toán học tạo ra chúng

SHA-256: Secure hash algorithm Một họ hàm băm được sử dụng phổ biến nhất hiện nay

VA: Validation authority Cơ quan xác thực bên thứ 3 có thể thay thế cho CA trong việc xác thực trong hệ thống PKI

XSS: Cross site scripting Là một loại lỗ hổng trong ứng dụng web

Trang 14

LỜI MỞ ĐẦU

Với sự phát triển ngày càng nhanh của công nghệ thông tin, việc ứng dụng, kế thừa công nghệ thông tin vào trong đời sống ngày càng trở lên phổ biến Một trong những thứ được áp dụng và triển khai trong thời gian gần đấy là việc “Ứng dụng chữ ký số trong việc quản lý văn bản” Việc ứng dụng chữ ký số trong việc quản lý văn bản giúp cho các cơ quan, tổ chức tiết kiệm được rất nhiều thời gian, công sức Các cơ quan chính phủ không cần phải mất công rà soát giấy tờ trong việc xác minh, chứng thực, chi phí, địa điểm lưu trữ…những giấy tờ liên quan Các tổ chức tiết kiệm được thời gian trong việc xin giấy phép, công sức, tránh được những sai sót… trong việc chuẩn bị

Điều đó thể hiện rõ trong việc Chính phủ đã thực hiện triển khai một nhiều dịch vụ liên quan đến chữ ký số vào trong việc quản lý Các dịch vụ đã thực hiện tốt và đã đem lại nhiều lợi ích như: Ứng dụng chữ ký số trong chính phủ điện tử, phục vụ cho việc nộp thuế, bảo hiểm xã hội… Ngoài ra, hiện này đã có nhiều địa phương đã ứng dụng triển khai chữ ký số trong các hoạt động quản lý văn bản, quản lý nhà nước:

- “Một số kết quả về việc triển khai chữ ký số chuyên dùng trong gửi nhận văn bản điện tử tại Cao Bằng”

- “Phú Yên: Đẩy mạnh ứng dụng chữ ký số trong quản lý nhà nước” - “Thanh Thủy: Đẩy mạnh ứng dụng chữ ký số trong quản lý nhà nước”

Việc chữ ký số được sử dụng ngày càng phổ biến cho thấy, lợi ích cũng như vai trò thiết yếu trong cuộc sống hằng ngày Việc áp dụng chữ ký số trong việc quản lý văn bản giúp cho công việc của các nhân liên quan trở lên dễ dàng:

- Xác minh danh tính chủ sở hữu

- Xác minh tính toàn vẹn của văn bản được ký

- Tiết kiệm chi phí cho việc photo, không gian lưu trữ, duy trì tính toàn vẹn - Linh động trong nhiều trường hợp so với chữ ký truyền thống

Từ những lợi ích thực tế mà chữ ký số đem lại đồ án này sẽ tập chung nghiên cứu về chữ ký số, phương pháp và nguyên lý hoạt động tạo ra chữ ký số Từ đó sẽ xây dựng, triển khai một hệ thống ứng dụng chữ ký số trong hệ thống chia sẻ văn bản

Trang 15

CHƯƠNG 1: TỔNG QUAN VỀ BẢO MẬT THÔNG TIN DỰA TRÊN MẬT MÃ

1.1 Các yêu cầu bảo mật thông tin

Với việc phát triển ngày càng nhanh trong lĩnh vực an toàn thông tin, dữ liệu về thông tin người dùng càng trở lên được coi trọng Việc đảm bảo mật thông tin đã trở thành nhu cầu thiết yếu và là yêu cầu bắt buộc với mọi ứng dụng Việc đảm an toàn thông tin cho một ứng dụng, hệ thống vô cùng quan trọng và cần phải kết hợp nhiều kỹ thuật, công sức và cần đảm bảo ít nhất 5 tính chất sau

1.1.1 Tính sẵn sàng

Mọi hệ thống thông tin đều phục vụ mục đích riêng của nó và thông tin phải luôn luôn sẵn sàng khi cần thiết Điều đó có nghĩa rằng hệ thống tính toán sử dụng để lưu trữ và xử lý thông tin, có một hệ thống điều khiển bảo mật sử dụng để bảo vệ nó, và kênh kết nối sử dụng để truy cập nó phải luôn hoạt động chính xác Hệ thống có tính sẵn sàng cao hướng đến sự sẵn sàng ở mọi thời điểm, tránh được những rủi ro cả về phần cứng, phần mềm như: sự cố mất điện, hỏng phần cứng, cập nhật, nâng cấp hệ thống… đảm bảo tính sẵn sàng cũng có nghĩa là tránh được tấn công từ chối dịch vụ

1.1.2 Tính bí mật

Bí mật là thuật ngữ được sử dụng để tránh lộ thông tin nhạy cảm đến những đối tượng không được xác thực hoặc để lọt vào các hệ thống khác Không ai có thể đọc truy xuất được dữ liệu ngoại trừ những người có thẩm quyền

Để đảm bảo tính bí mật thông tin cần được mã hóa, tùy vào chức năng nhu cầu có thể sử dụng mã hóa bí mật hoặc mã hóa công khai

1.1.3 Tính toàn vẹn

Trong an toàn thông tin, toàn vẹn có nghĩa rằng dữ liệu không thể bị chỉnh sửa mà không bị phát hiện Sự đảm bảo này là một phần thiết yếu Mức độ toàn vẹn dữ liệu có thể kiểm qua qua cơ chế chẵn lẻ của các bit và mã dịch vòng

Để đảm bảo dữ liệu không bị sửa đổi mà không bị phát hiện trong thực tế người ta lợi dụng đặc tính của khóa công khai để tạo ra “Chữ ký số” Chữ ký số đảm bảo rằng chúng đóng vai trò kiểm tra dữ liệu được gửi đến có bị bên thứ ba tác động đến không và việc tác động dù chỉ một ít cũng sẽ bị phát hiện

Ngoài ra còn có cơ chế “Mã xác thực thông báo”: Kỹ thuật này thông thường sử dụng một mã khối đối xứng (ví dụ DES-CBC-MAC) hoặc một hàm băm mật mã (HMAC-SHA-1)

1.1.4 Tính xác thực

Trong không gian mạng việc xác thực chéo là vô cùng cần thiết để đảm bảo rằng dữ liệu, giao dịch, trao đổi dữ liệu số đều là thật Nó giúp cho việc xác nhận rằng các bên liên quan là ai trong hệ thống

Trang 16

Việc xác thực trước khi một quá trình trao đổi số diễn ra nhằm mục đích xác nhận đối tượng trao đổi là đúng Phục vụ cho việc truy vết khi có sự cố phát sinh

Ví dụ: Trước khi thực hiện một giao dịch chuyển tiền người dùng cần xác thực được thông tin người nhận thông qua số tài khoản và chủ sở hữu

1.1.5 Tính chống chối bỏ

Đảm bảo rằng thực thể không thể chối bỏ hành động của mình trên không gian mạng Giống như việc ký vào một giấy tờ nào đó trong thực tế, chữ ký lúc này đóng vai trò như một chứng cứ xác nhận việc cam kết đã nêu ra trong giấy tờ Trên không gian mạng cũng cần có một cơ chế như vậy để xác định sự hiện diện của các thực thể đã tham gia vào giao dịch số

Các biến thể thường được nhắc tới nhiều nhất là chống chối bỏ nguồn gốc (người dùng không thể chối bỏ rằng đã gửi một tài liệu hoặc một văn bản) hoặc chối bỏ sự tiếp nhận (người dùng không thể chối bỏ rằng đã nhận được văn bản hoặc tài liệu)

Việc đảm bảo các tính chất trên sẽ hạn chế được phần nào việc thông tin có thể bị rò rỉ

1.2 Các thuật toán mã hóa công khai

Mật mã hóa khóa công khai là một dạng mật mã cho phép người sử dụng trao đổi các thông tin mật mà không cần phải trao đổi các khóa bí trước đó Điều này được thực hiện bằng cách sử dụng một cặp khóa có quan hệ toán học với nhau là khóa công khai và khóa bí mật

Trong mật mã hóa khóa công khai, khóa cá nhân phải được giữ bí mật trong khi khóa công khai được phổ biến công khai Trong 2 khóa, một dùng để mã hóa và khóa còn lại dùng để giải mã Điều quan trọng đối với hệ thống là không thể tìm ra khóa bí mật nếu chỉ biết khóa công khai

Hệ thống mật mã hóa khóa công khai có thể sử dụng với các mục đích:

- Mã hóa: giữ bí mật thông tin và chỉ có người có khóa bí mật mới giải mã được - Tạo chữ ký số: cho phép kiểm tra một văn bản có phải đã được tạo với một khóa

bí mật nào đó hay không

- Trao đổi khóa bí mật: cho phép thiết lập khóa dùng để trao đổi thông tin mật giữa 2 bên

Thông thường, các kỹ thuật mật mã hóa khóa công khai cần đòi hỏi khối lượng tính toán nhiều hơn các kỹ thuật mã hóa khóa đối xứng nhưng những lợi ích mà chúng mang lại khiến cho chúng được áp dụng trong nhiều ứng dụng

1.2.1 Giải thuật RSA

RSA là một hệ mật mã hóa khóa công khai Đây là thuật toán phù hợp với việc tạo ra chữ ký điện tử đồng thời với việc mã hóa Nó đánh dấu một tiến bộ vượt bậc của lĩnh

Trang 17

vực mật mã học trong việc mã hóa khóa công khai RSA vẫn là thuật toán đang được sử dụng phổ biến hiện nay và vẫn được cho là an toàn với điều kiện độ dài khóa đủ lớn

1.2.1.1 Sơ lược về hệ mật RSA

Thuật toán RSA có hai khóa: khóa công khai và khóa bí mật Mỗi khóa là những số cố định sử dụng trong quá trình mã hóa và giải mã Khóa công khai được công bố rộng rãi cho mọi người và được dùng để mã hóa Những thông tin được mã hóa bằng khóa công khai chỉ có thể được giải mã bằng khóa bí mật tương ứng Nói cách khác, mọi người đều có thể mã hóa nhưng chỉ có người biết khóa cá nhân (bí mật) mới có thể giải mã được

Ta có thể mô phỏng trực quan một hệ mật mã khoá công khai như sau: Bình muốn gửi cho, Alice một thông tin mật mà Bob muốn duy nhất Alice có thể đọc được Để làm được điều này, Alice gửi cho Bob một chiếc hộp có khóa đã mở sẵn và giữ lại chìa khóa Bob nhận chiếc hộp, cho vào đó một tờ giấy viết thư bình thường và khóa lại (như loại khoá thông thường chỉ cần sập chốt lại, sau khi sập chốt khóa ngay cả Bob cũng không thể mở lại được không đọc lại hay sửa thông tin trong thư được nữa) Sau đó Bob gửi chiếc hộp lại cho Alice Alice mở hộp với chìa khóa của mình và đọc thông tin trong thư Trong ví dụ này, chiếc hộp với khóa mở đóng vai trò khóa công khai, chiếc chìa khóa chính là khóa bí mật

Hình 1 1: Sơ đồ mã hóa thuật toán RSA

1.2.1.2 Sinh khóa

Với thuật toán RSA, một trong hai người muốn trao đổi thông tin phải tự sinh một cặp khóa bao gồm khóa công khai và khóa bí mật Ý tưởng như sau:

Bước 1: Chọn hai số nguyên tố p và q sao cho:

- Hai số p và q phải khác nhau

- Để đảm bảo an toàn hai số này nên được chọn ngẫu nhiên và có kích thước độ dài bit bằng nhau Hai số này có độ dài bí bằng nhau giúp cho việc phân tích số n trở lên khó hơn

- Số p và q được giữ bí mật Vì khi người tấn công biết được hai số này sẽ dễ dàng tìm ra được khóa bí mật d

Bước 2: Tính n = p*q

Trang 18

- Số n sử dụng để tính modulo có trong cho cả khóa công khai và khóa bí mật - Chiều dài của nó đại diện cho kích thước khóa của hệ mật RSA

Bước 3: Tính giá trị hàm số Euler 𝜑(𝑛) = (𝑝 − 1) ∗ (𝑞 − 1), số các số nguyên dương cùng nguyên tố với n

- Với λ(n) được giữ bí mật

Bước 4: Chọn số tự nhiên e sao cho 1 < e < 𝜑(𝑛) và là số nguyên tố cùng nhau với

𝜑(𝑛)

- Số e liên quan đến một phần của khóa công khai Giá trị của e sử dụng trong thực tế thường có giá trị e = 216+ 1 = 65537 Giá trị nhỏ nhất được sử dụng của e là 3, tuy nhiên những giá trị nhỏ như vậy được chứng minh là kém an toàn trong một số trường hợp

Bước 5: Tính d sao cho 𝑑 ∗ 𝑒 ≡ 1(𝑚𝑜𝑑 𝜑(𝑛))

Trang 19

Bước 2: Chuyển đổi m thành bản rõ M theo phương pháp đã thỏa thuận trước đó

1.2.2 Elgamal

Giải thuật mã hóa Elgamal hình thành trên cơ sở bài toán Logarit rời rạc Giải thuật mã hóa Elgamal là một giải thuật mã hóa không tất định vì bản mã phụ thuộc vào cả bản rõ lẫn giá trị ngẫu nhiên do người gửi chọn Bởi vậy sẽ có nhiều bản mã được sinh ra từ cùng bản rõ [3]

Quá trình sinh khóa, mã hóa và giải mã của thuật toán Elgamal:

Hình 1 2: Sơ đồ mã hóa và giải mã của Elgamal

Bước 1: Sinh khóa, người nhận sẽ thực hiện các công việc sau để sinh ra

khóa phục vụ cho quá trình mã hóa và giải mã:

- Chọn số nguyên tố p đủ lớn (từ 1024 bit trở lên);

- Chọn số ngẫu nhiên e1, sao cho e1 Î Zp là phần tử nguyên thủy - Chọn d sao cho 1 < d < p − 1;

- Tìm giá trị e2 sao cho e2 = e1 mod p;

Như vậy khóa công khai sẽ là (e2; e1; p); khóa bí mật sẽ là d Người nhận sẽ công khai tham số (e2; e1; p) là khóa công khai của chính họ

Bước 2: Mã hóa, người gửi sau khi có cặp khóa công khai của người nhận sẽ

thực hiện quá trình mã hóa thông điệp như sau: - Chọn thông điệp mã hoá M

- Chọn số ngẫu nhiên r - Tính 𝐶1 = 𝑒1𝑟 𝑚𝑜𝑑 𝑝

- Tính 𝐶2 = (𝑒1𝑟 ∗ 𝑃) 𝑚𝑜𝑑 𝑝 = (𝑒1𝑟𝑑 ∗ 𝑃) 𝑚𝑜𝑑 𝑝

Sau khi mã hóa xong, bản mã sẽ là C1 và C2 và cặp bản mã này sẽ được người gửi gửi cho người nhận qua kênh công cộng

hiện giải mã bản mã để tìm ra được thông điệp Quá trình giải mã như sau: - Tính 𝑍 = (𝐶1)𝑑 = (𝑒1𝑟)𝑑 = 𝑒1𝑟𝑑 𝑚𝑜𝑑 𝑝

Trang 20

- Tính giá trị nghịch đảo của Z: 𝑍−1 = (𝑒1𝑟𝑑)−1 𝑚𝑜𝑑 𝑝

- Giải mã theo bản mã: 𝑀 = (𝐶2∗ 𝑍−1) 𝑚𝑜𝑑 𝑝 = (𝐶2∗ (𝐶1𝑑)−1) 𝑚𝑜𝑑 𝑝 Sau khi giải mã xong thì người nhận sẽ tìm ra được thông điệp ban đầu

1.2.3 Rabin

Hệ mật Rabin được công bố bởi Michael O Rabin vào tháng 1 năm 1979 Giải thuật mã hóa Rabin là một giải thuật mã hóa bất đối xứng mà tính bảo mật của nó phụ thuộc vào độ phức tạp của việc phân tích thừa số Đây là giải thuật mã hóa có độ an toàn về mặt tính toán và chống lại được tấn công bản rõ lựa chọn và không có khả năng phân tích được thừa số nguyên tố Độ an toàn của giải thuật mã hóa Rabin đã được chứng minh rằng độ bảo mật của nó tăng theo độ khó của phép phân tích thừa số nguyên tố Với giải thuật mã hóa Rabin, từng bản mã được giải mã ra 4 bản rõ khác nhau Điều này làm tăng độ phức tạp trong việc xác định đâu là bản rõ thực sự [3]

Hình 1 3: Sơ đồ mã hóa và giải mã của Rabin

Tham khảo thêm tại: [3]

1.3 Hàm băm

1.3.1 Tổng quan về hàm băm

1.3.1.1 Khái niệm về hàm băm

Trong lĩnh vực công nghệ thông tin hàm băm đóng một vai trò vô cùng quan trọng Ứng dụng của hàm băm xuất hiện hầu hết mọi nơi và ứng dụng chủ yếu trong vấn đề an toàn và toàn vẹn thông tin

Thực hiện băm là quá trình biến đầu vào là một nội dung có kích thước, độ dài bất kỳ rồi sử dụng những thuật toán, công thức toán học để biến thành đầu ra tiêu chuẩn có độ dài nhất định Quá trình đó sử dụng những hàm băm

Ngoài khái niệm trên để được coi là hàm băm thì phải có thêm một tích chất vô cùng quan trọng là tính một chiều Nghĩa là từ mã băm ta không thể tìm lại được bản rõ Các tính chất của hàm băm sẽ được đề cập ở phần tính chất

Trang 21

Hình 1 4: Minh họa về hàm băm

Hiểu đơn giản thì hàm băm sẽ thực hiện chuyển đổi giá trị có kích thực bất kỳ thành một giá trị khác và có kích thước cố định

1.3.1.2 Phân loại hàm băm

Dựa trên đặc điểm của hàm băm mà chúng được chia dựa trên các cách khác nhau:

Hình 1 5: Phân loại hàm băm

Như trên hình ta thấy hàm băm được phân loại theo kiểu hàm băm có khóa và hàm băm không khóa Ngoài ra còn có một cách phân loại khác đó là phân loại hàm băm theo

cách sử dụng:

- Phát hiện sửa đổi (MDC – Modification detection code): MDC thường được dùng để tạo ra chuối đại diện cho thông điệp và sử dụng cùng với chữ ký số để nén và so sánh tính toàn vẹn của thông điệp

- Mã xác thực thông điệp (Message authentication code): MAC cũng được dùng để đảm bảo tính toàn vẹn của dữ liệu mà không cần kỹ thuật bổ sung nào khác

1.3.1.3 Tính chất của hàm băm

Các tính chất của hàm băm:

- Tính xác định: Một dữ liệu đầu vào chỉ cho ra một chuỗi dữ liệu đầu ra duy nhất

- Dễ tính toán

- Tính một chiều: Từ bản rõ rất dễ để tìm ra được mã hash Tuy nhiên việc từ mã

hash để tìm ra được bản rõ là vô cùng khó hay nói cách khác là không khả thi - Tính chống va chạm (chống đụng độ): Xác suất để 2 dữ liệu đầu vào khác nhau

mà cho ra cùng một kết quả là cực thấp - Chấp nhận nhiều kiểu dữ liệu truyền vào

Trang 22

- Hiệu ứng nở tuyết: Từ dữ liệu đầu vào sau khi có sự thay đổi vô cùng nhỏ thì mã

giá trị hai mã hash trước thay đổi và sau khi thay đổi sẽ không có một chút liên quan gì tới nhau

1.3.1.4 Ứng dụng hàm băm trong lĩnh vực công nghệ thông tin

Với ý tưởng và việc thực hiện vô cùng đơn giản tuy nhiên hàm băm có vai trò vô cùng quan trọng trong lĩnh vực công nghệ thông tin:

- Mật mã: Trong lĩnh vực mật mã hàm băm có vai trò trong việc băm mật khẩu người dùng trong quá trình gửi và lưu vào cơ sở dữ liệu; ứng dụng trong việc checksum kiểm tra tính toàn vẹn của dữ liệu

- Nén dữ liệu: Hàm băm nén dữ liệu rất tốt bởi dữ liệu đầu ra là chuỗi có kích thước không đổi và rất nhỏ so với dữ liệu đầu vào, tùy thuộc vào loại hàm băm được sử

dụng dữ liệu đầu ra sẽ có độ dài khác nhau Tuy nhiên chỉ dùng trong trường hợp

dữ liệu được nén không cần phải khôi phục lại

- Lập chỉ mục: Các giá trị băm có thể được sử dụng để ánh xạ dữ liệu tới các "nhóm" riêng lẻ trong một bảng băm Mỗi nhóm có một ID duy nhất phục vụ như một con trỏ đến dữ liệu gốc Điều này tạo ra một chỉ số nhỏ hơn đáng kể so với dữ liệu gốc, cho phép các giá trị được tìm kiếm và truy cập hiệu quả hơn

1.3.2 Các loại hàm băm

Trong phần này sẽ tìm hiểu về các loại hàm băm không khóa đó là MD5(Message digest) và SHA256 là hai loại hàm băm phổ biến nhất hiện nay Bên trong các họ MD và SHA (Secure hash algorithm) cũng có nhiều loại khác tuy nhiên ở đây sẽ không đề cập đến mà chỉ tập chung vào MD5 và SHA256

1.3.2.1 MD5

MD5 được phát minh bởi Ron Rivest, người đã tham gia xây dựng mã hóa RSA Hiện tại hàm băm MD5 cũng ít được sử dụng hơn so với trước đây do ngày nay cần một không gian chứa lớn hơn và người ta cũng đã tìm thấy những đụng độ trong MD5

Thông số hàm băm MD5: - Dữ liệu đầu vào: 264 bit - Dữ liệu đầu ra: 128 bit

Hình 1 6: Sơ đồ thực hiện hàm

băm MD5

Trang 23

Đầu tiên từ thông điệp đầu vào M có chiều dài i bit sẽ được chèn thêm một đoạn padding 100…00 có chiều dài là k bit Sao cho i + k + 64 (64bit cuối lưu chiều dài của thông điệp đầu vào) chia hết cho 512 bit và được n khối 512 bit từ M1M2…Mn

Quá trình tính giá trị băm của thông điệp là quá trình lũy tiến (dữ liệu đầu ra của khối trước là dữ liệu đầu vào của khối sau) Trước tiên khối M1 kết hợp với với giá trị khởi tạo H0 thông qua hàm F (Hình 1 7) để tính ra được giá trị H1 Sau đó block M2 được kết hợp với giá trị H1 vừa tìm được thông qua hàm F để tìm ra được giá trị của H2, block M3

kết hợp với H2 để tìm ra H3 và cứ thế thực hiện cho đến Hn thì khi đó Hn sẽ chính là mã hash cần tìm của thông điệp M

Hình 1 7: Sơ đồ cấu trúc hàm F của hàm băm MD5

Trong đó, H0 là một dãy 128bit được chia thành 4 từ 32 bit, ký hiệu 4 từ 32 bit lần lượt là a, b, c, d Với a, b, c, d là các hằng số viết dưới dạng thập lục phân như sau:

a = 01234567 b = 89abcdef c = fedcba98 d = 76543210

Tại mỗi bước lũy tiến giá trị a, b, c, d của giá trị hash Hi-1 được biến đổi qua 64 vòng từ 0 đến 63 Tại vòng thứ j sẽ có lần lượt 2 tham số Kj và Wj và đều có kích thước 32 bit được truyền vào để được kết hợp với a, b, c, d Các tham số Kj và Wj có giá trị như sau: - Kj được tính từ công thức, Kj bằng giá trị phần nguyên của số 232∗ abs(sin(i))

trong đó i được tính theo radian (0 ≤ j ≤ 63)

- Wj được tính dựa vào khối Mi có kích thước 512 bit Khối Mi được chia thành 16 khối 32 bit, sau đó 16 khối này sẽ được lặp lại 3 lần nữa để tạo ra 64 khối 32 bit, 64 khối này ứng với W0W1… W63

Vòng sau cùng các giá trị a, b, c, d sẽ được cộng với các giá trị a, b, c, d lúc đầu vào ở trước round 0 (hay giá trị a, b, c, d của Hi-1) để có được giá trị a, b, c, d của Hi Phép cộng ở đây là phép cộng modulo 232

Tiếp theo sẽ tìm hiểu cấu trúc của một vòng Việc biến đổi các giá trị a, b, c, d trong vòng thứ i sẽ được biểu diễn trong hình bên dưới đây:

Trang 24

Ở đây các giá trị a, b, c, d được dịch vòng trái một đơn vị Trong đó các giá trị b, c, d sau khi dịch vòng trái vẫn được giữ nguyên, riêng giá trị a sẽ được biến đổi và quy trình biến đổi một vòng trong hàm F diễn ra như sau:

b → c c → d d → a

Riêng từ a → b được tính theo công thức sau: Đặt: t = a ⊞ f(b, c, d) ⊞ Wj ⊞ Kj

Trang 25

thành công và một số thông điệp có cùng giá trị băm MD5 được chỉ ra (2 thông điệp có cùng mã băm) Vì MD5 không còn được xem là an toàn, nên người ta đã xây dựng thuật toán băm khác Một trong số đó là SHA (Secure hash algorithm)

SHA được thiết kế bởi Cơ Quan An Ninh Quốc Gia Hoa Kỳ (NSA – National Security Agency) và được chính phủ Mỹ chọn làm tiêu chuẩn xử lý thông tin quốc gia

SHA đã được phát triển dựa trên một phần của họ hàm băm MD, nhưng nó sinh ra kích thước giá trị băm lớn hơn tùy vào từng loại: SHA-1, SHA-224, SHA-256…

Trong phần này sẽ đi tìm hiểu về thuật toán SHA-256 thuật toán phổ biến nhất hiện nay và được ứng dụng trong nhiều lĩnh vực

Thông số hàm băm SHA-256: - Thông số đầu vào: 264 bit - Thông số đầu ra: 256 bit

Hình 1 9: Sơ đồ thực hiện hàm băm SHA-256

Về cơ bản họ hàm băm SHA phát triển dựa trên họ hàm băm MD sự khác biệt rõ nhất của chúng được thể hiện ở bên trong hàm F và kích thước dữ liệu đầu ra

Đầu tiên từ thông điệp đầu vào M có chiều dài i bit sẽ được chèn thêm một đoạn padding 100…00 có chiều dài là k bit Sao cho i + k + 64 (64 bit cuối lưu chiều dài của thông điệp đầu vào) chia hết cho 512 bit và được n khối 512 bit từ M1M2…Mn

Nhìn chung về phần xử lý dữ liệu đầu vào hai họ hàm băm SHA và MD đều có cấu trúc giống nhau Sự khác biệt được thể hiện rõ nhất trong hàm F

Dữ liệu đầu vào bên trong hàm F và các tham số kết hợp:

- Giá trị H0 được khởi tạo từ 8 hằng số A, B, C, D, E, F, G, H với kích thước 32 bit

A = 0x6a09e667 B = 0xbb67ae85 C = 0x3c6ef372 D = 0xa54ff53a E = 0x510e527f F = 0x9b05688c G = 0x1f83d9ab

Trang 26

H = 0x5be0cd19 - Các tham số Kj và Wj.

Trong đó Kj được lấy bởi 32 bit đầu tiên của phần phân số của căn bậc hai của 64 số nguyên tố đầu tiên

“Kj given by the 32 first bits of the fractional parts of the cube roots of the first 64 prime numbers” – Wikipedia và một số tài liệu tham khảo khác [6]

Hình 1 10: Giá trị của Kj ứng với các vòng [6]

Wj gồm 64 khối mỗi khối 32 bit các khối được khởi tạo theo cấu trúc sau:

- 16 khối đầu tiên được chia ra từ khối Mi (khối có kích thước 512 bit được chia ra từ thông điệp đầu vào) Khối này được chia thành 16 khối mỗi khối có kích thước 32 bit

M = W0 || W1 ||…|| W15, 0 ≤ j ≤ 15

- 48 khối còn lại được tính với công thức sau:

Wj = σ1(Wi-2) + Wi-7 + σ0(Wi-15) + Wi-16, 16 ≤ i ≤ 63 - Ngoài ra còn các hàm số phục vụ cho quá trình biến đổi:

Ch(X, Y, Z) = (X ∧ Y ) ⊕ (X ∧ Z)

Maj(X, Y, Z) = (X ∧ Y ) ⊕ (X ∧ Z) ⊕ (Y ∧ Z)

Σ0(X) = ROTR(X, 2) ⊕ ROTR(X, 13) ⊕ ROTR(X, 22) Σ1(X) = ROTR(X, 6) ⊕ RotR(X, 11) ⊕ ROTR(X, 25) σ0(X) = ROTR(X, 7) ⊕ ROTR(X, 18) ⊕ SHR(X, 3)σ1(X) = ROTR(X, 17) ⊕ ROTR(X, 19) ⊕ SHR(X, 10)

Tiếp theo là cấu trúc một vòng bên trong hàm F Hàm này sẽ biến đổi giá trị của Hi-1

kết hợp với các tham số khác để tìm ra Hi và thực hiện liên tục n lần chó đến tìm được giá trị hash cuối cùng (kích thước của n thuộc vào kích thước thông điệp M đầu vào)

Trang 27

Ở trong mỗi vòng các giá trị A, B, C, D, E, F, G, H được dịch vòng phải một đơn vị các khối sẽ được giữ nguyên ngoại trừ 2 khối D và H Hai khối này sẽ được biến đối trước khi dịch vòng và quá trình biến đổi các khối diễn ra như sau:

A → B B → C C → D E → F F → G G → H

Hình 1 11: Cấu trúc một vòng trong hàm F của hàm băm SHA-256

Quá trình biến đổi hai khối D và H trước khi dịch vòng, Đặt:

T1 = H ⊞ Ch(E, F, G) ⊞ Wj ⊞ Kj ⊞ Σ1(E) T2 = Maj(A, B, C) ⊞ Σ0(A)

Khi đó:

T1 ⊞ T2 → AD ⊞ T1 → F

Quá trình trên sẽ được thực hiện lại 64 vòng và dữ liệu đầu ra sẽ chuyển đến cho khối tiếp theo xử lý

1.4 Kết chương

Như vậy, chương 1 đã trình bày kiến thực liên quan đến một số hệ mật khóa công khai và hàm băm Đó là hai khái niệm quan trọng trong việc triển khai chữ ký số Đặc biệt cần lắm chắc kiến thức về thuật toán mã hóa khóa công khai RSA, thuật toán này vô cùng quan trọng, là phần cốt lõi của chữ ký số và sẽ được đề cập rất nhiều trong các phần tiếp theo

Trang 28

CHƯƠNG 2: CHỮ KÝ SỐ VÀ TỔNG QUAN VỀ HẠ TẦNG KHÓA CÔNG KHAI PKI

2.1 Chữ ký số

Với sự phát triển của công nghệ thông tin và truyền thông, các giao dịch điện tử ngày càng trở nên phổ biến Tuy nhiên, hạn chế lớn nhất trong các giao dịch việc ràng buộc trách nhiệm của các bên liên quan và đảm bảo tính xác thực của các giao dịch Chữ ký điện tử ra đời nhằm ký các văn bản điện tử (thông điệp dữ liệu) để khắc phục các hạn chế trên và đẩy mạnh việc sử dụng các giao dịch điện tử trong lĩnh vực thương mại và phi thương mại Giống như chữ ký trên giấy (chữ ký viết tay), chữ ký điện tử cũng có vai trò như nhau

- Gắn chữ ký với một cá nhân cụ thể

- Thể hiện sự cam kết của cá nhân (chủ sở hữu của chữ ký) với một văn bản, tài liệu số cụ thể

- Đảm bảo tính toàn vẹn của văn bản, tài liệu số sau khi đã ký

Chữ ký truyền thống được dùng để ký trên các văn bản bằng giấy thì chữ ký điện tử và chữ ký số được sử dụng để ký lên các văn bản số hay thông điệp dữ liệu qua một quy trình tương tự như quy trình ký trên giấy nhưng sử dụng các phương tiện điện tử và phần mềm ký điện tử để tạo ra các chữ ký điện tử Chữ ký số có kể khắc phục được một số nhược điểm của chữ ký truyền thống:

- Việc giả mạo chữ ký truyền thống có thể thực hiện

- Chữ ký truyền thống thiếu linh động trong các giao dịch điện tử - Khó phát hiện được thay đổi của nội dung sau khi ký

Chữ ký số có thể khắc phục được những nhược điểm trên Bên cạnh đó, chữ ký số rất khó giả mạo như trong trường hợp của chữ ký trên giấy và con dấu Cùng với công nghệ hiện nay chữ ký số có một số ưu điểm hơn so với chữ ký trên giấy

Có thể được hỗ trợ bởi các yếu tố quanh việc ký kết

Trang 29

Chữ ký số giữ vai trò đảm bảo an toàn cho các giao dịch điện tử Đây là yếu tố quan trọng nhất và là điều kiện tiên quyết khi chuyển các giao dịch có giá trị lớn trên giấy tờ sang giao dịch trên mạng, đem lại lợi thế cạnh tranh cho các doanh nghiệp trong bối cảnh hội nhập kinh tế quốc tế

2.1.1 Tổng quan về chữ ký số

Chữ ký số là sự kết hợp với toán học để xác minh tính xác thực của thông điệp hoặc những tài liệu kỹ thuật số Một chữ ký điện tử hợp lệ khi các điều kiện tiên quyết được đáp ứng: mang lại cho người nhận lý do rất chắc chắn để tin rằng thông điệp được tạo bởi người gửi đã biết không bị thay đổi khi truyền đi

Chữ ký điện tử là một tiêu chuẩn của hầu hết các bộ giao thức mật mã và thường xuyên được sử dụng bởi các nhà phân phối phần mềm, giao dịch hành chính, phần mềm quản lý hợp đồng và một số trường hợp khác để phát hiện giả mạo

Chữ ký số là một chuỗi dữ liệu liên kết với một thông điệp và thực thể tạo ra thông điệp (chủ sở hữu thông điệp)

Chữ ký số được chỉ rõ gồm 3 thành phần chính:

- Thuật toán sinh khóa chọn một khóa bí mật ngẫu nhiên từ một tập khóa có thể có Thuật toán sẽ tạo ra một cặp khóa khóa bí mật và khóa công khai

- Thuật toán ký, nhận được một thông điệp và khóa bí mật từ đó thực hiện để tạo

ra chuỗi mã hóa đại diện hay gọi là “chữ ký”

- Thuật toán xác thực chữ ký số, khi nhận được thông điệp, chữ ký và khóa công khai Sử dụng để thực hiện kiểm tra thông điệp xem được chấp nhận hay từ chối

Hình 2 1: Sơ lược về quá trình hoạt động của chữ ký số

Ý tưởng của chữ ký số:

- Alice có một thông điệp là “Hello Bob!” , Alice sẽ sử dụng khóa bí mật của mình để mã hóa thông điệp Sau khi thực hiện Alice sẽ được đoạn mã gọi là “chữ ký” sẽ được kèm theo thông điệp để gửi tới cho Bob

- Khi Bob nhận được “thông điệp” và “chữ ký” Bob muốn chắc chắn rằng thông điệp của Alice thì Bob sẽ sử dụng khóa công khai để xác thực Dựa vào đó để suy luận ra kết quả

Trang 30

Trong thực tế thông điệp sẽ được đưa vào hàm băm để xử lý trước khi được ký, gửi đi, điều này giúp việc vận chuyển trở lên nhanh chóng, tiết kiệm tài nguyên vận chuyển

2.1.2 Ứng dụng của chữ ký số

- Ứng dụng trong chính phủ điện tử: Phục vụ cho việc nộp thuế thu nhập của các cá nhân, doanh nghiệp, bảo hiểm xã hội, phục vụ cho việc kê khai hải quan và thông quan trực tuyến…

- Ứng dụng trong thương mại điện tử, các giao dịch mua bán trực tuyến: Chữ ký số có vai trò xác thực người dùng giúp cho các cửa hàng trực tuyến tránh được các rủi ro trong quá trình vận chuyển Chữ ký điện tử đóng một vai trò rất lớn trong bảo mật của thương mại điện tử vì công nghệ của nó giúp việc lấy chữ ký của người dùng trên các tài liệu trở nên dễ dàng hơn Vì sự an toàn của các công ty thương mại điện tử, họ cần đảm bảo rằng những người mua hàng của họ không phải là tội phạm mạng và được phép sử dụng các phương thức thanh toán mà họ đang trình bày

- Ứng dụng trong giao dịch trực tuyến, mã hóa, đảm bảo tính toàn vẹn của thông điệp

2.1.3 Quá trình ký và kiểm tra thông điệp

Hình 2 2: Tổng quan về quy trình ký và xác thực tính toàn vẹn trong chữ ký số

Hình ảnh trên biển diễn quá trình ký và xác thực một cách chi tiết nhất, quá trình ký và xác thực sẽ được giải thích rõ trong bảng dưới đây:

Trang 31

Bảng 2 2: Mô tả về quy trình ký và xác thực

Sử dụng khóa bí mật và ký vào thông điệp Kết quả thu được đi qua hàm băm được chuỗi A

Gửi thông điệp, chuỗi A

Sử dụng khóa công khai của bên gửi và tiến hành biến đổi thông điệp thành một chuỗi Cho chuỗi kết quả đi qua hàm băm nhận

được chuỗi B

Nếu chuỗi A và B bằng nhau kết luận dữ liệu không bị sửa đổi trên đường truyền và được

chính người gửi gửi đi

Ngược lại, kết luận thông điệp đã bị sửa đổi hoặc không phải do người gửi gửi đi

2.1.3.1 Quá trình ký

Các bước của quá trình ký một thông điệp (bên người gửi)

- Tính toán chuỗi đại diện thông điệp (Message digest): việc này có thể thực hiện bằng cách sử dụng thuật toán băm MD5, SHA-256…Ở đây giả sử sử dụng hàm băm MD5

- Một giải thuật tạo chữ ký kết hợp với khóa riêng khóa bí mật của người dùng để thực hiện tạo ra chữ ký số Kết quả sẽ được chữ ký số hay còn gọi là chuỗi đại diện được mã hóa (Encrypted message digest)

- Thông điệp ban đầu được ghép vào với chữ ký số tạo thành thông điệp đã được ký (Signed message)

- Thông điệp đã được ký sẽ được gửi đến cho người nhận

2.1.3.2 Quá trình kiểm tra

Các bước của quá trình kiểm tra chữ ký số (bên người nhận):

- Tách chữ ký số và thông điệp từ thông điệp đã được ký để sử lý riêng

- Tính toán chuối của thông điệp gốc sử dụng hàm băm MD5 Hàm băm này đã thống nhất ở bước ký Kết quả được một chuỗi đại điện gọi là “A”

- Sử dụng khóa công khai của người gửi để giải mã chữ ký số, kết quả được một chuỗi đại diện thông điệp gọi là “B”

Tiến hành so sánh chuỗi “A” và “B”:

- Nếu chuỗi “A” và “B” bằng nhau, khi đó thông điệp là hợp lệ, đảm bảo tính toàn vẹn và thực sự xuất pháp từ người gửi

- Ngược lại, nếu hai chuỗi “A” và “B” không bằng nhau, khi đó chữ ký không hợp lệ hoặc không thực sự xuất pháp từ người gửi, thông điệp bị sửa đổi

Trang 32

2.1.4 Giải thuật chữ ký số

2.1.4.1 Giải thuật chữ ký số RSA

RSA là giải thuật được sử dụng khá phổ biến Giải thuật này dựa trên mã hóa khóa công khai RSA và họ hàm băm SHA cho phép thực hiện 2 tính năng:

Mã hóa thông điệp:

- Người gửi mã hóa thông điệp dựa sử dụng khóa công khai của người nhận - Người nhận giải mã thông điệp bằng cách sử dụng khóa bí mật của riêng mình Tạo chữ ký số:

- Người gửi tạo chữ ký số bằng việc sử dụng khóa bí mật của chính mình - Người nhận kiểm tra chữ ký bằng cách sử dụng khóa công khai của người gửi Chữ ký số dựa trên giải thuật RSA, như đã trình bày về thuật toán mã hóa công khai RSA, thuật toán thực hiện việc mã hóa và giải mã là đảo ngược nhau:

𝑓(𝑚) = 𝑚𝑒 𝑚𝑜𝑑 𝑛, là hàm mã hóa được sử dụng công khai 𝑔(𝑚) = 𝑚𝑑 𝑚𝑜𝑑 𝑛, là hàm giải mã và được giữ bí mật Trong đó:

- m: dữ liệu đầu vào

- e, n: là sử dụng như khóa công khai - d: là khóa bí mật

Từ đó:

𝑓(𝑔(𝑚)) = 𝑚 𝑣à 𝑔(𝑓(𝑚)) = 𝑚 [7]

Ý tưởng sử dụng chữ ký số dựa trên RSA là sử dụng hàm 𝑓 với mục đích công khai cho tất cả mọi người biết đến, nhưng chỉ bạn mới biết chức năng giải mã của chính bạn hàm 𝑔

Alice sẽ sử dụng hàm 𝑔(𝑚) của cô ấy để ký vào thông điệp 𝑚, sau đó Alice sẽ gửi 𝑔(𝑚) đi cùng với một thông điệp để chỉ ra rằng Alice là người gửi

Khi Bob nhận được và kiểm tra nó là thông điệp được gửi từ Alice, Bob sẽ sử dụng hàm công khai 𝑓 từ Alice để thực hiện giải mã 𝑔(𝑚) và sẽ nhận được kết quả 𝑚 Giả sử Claude muốn gửi thông điệp giả mạo 𝑚′ đến cho Bob sẽ không có cách nào để thực hiện thành công do Clause không biết hàm 𝑔(𝑚) của Alice thực hiện như thế nào

Bên trên là việc thực hiện việc ký thông điệp chưa được mã hóa điều này sẽ dẫn đến việc bất kỳ ai cũng có thể đọc được thông điệp mà Alice muốn gửi đến cho Bob Sau đây sẽ là cách thực hiện việc mã hóa và ký đồng thời

Nếu Alice mốn ký và mã hóa thông điệp, cô ấy có thể theo dõi lược đồ bên dưới đây Lược đồ bắt đầu bằng “Bản rõ thông điệp” và ngược theo chiều kim đồng hồ

Trang 33

Nếu thông điệp là 𝑚 thì kết quả sẽ phải đi qua lần lượt qua hai khối fB(m) và gA(fB(m)),

việc này tương ứng với việc mã hóa và tạo chữ ký số Sau khi thực hiện xong kết quá sẽ được gửi tới Bob để tiến hành xác thực và giải mã

Hình 2 3: Quy trình thực hiện kết hợp mã hóa và chữ ký số

Khi Bob nhận được thông tin được gửi từ Alice, Bob phải tiến hiên các bước sau để xác thực và giải mã thông điệp

Đầu tiên sử dụng hàm công khai fA của Alice để tiến hành xác thực thông điệp:

𝑓A(𝑔A(𝑓B(𝑚))) = (𝑓A ∘ 𝑔A)( 𝑓B(m)), Theo định nghĩa của thành phần hàm 𝑓A(𝑔A(𝑓B(𝑚))) = 𝑓B(m), Bởi vì 𝑓A ∘ 𝑔A là hàm đồng nhất [7]

Tiếp theo đó là Bob sẽ sử dụng khóa bí mật của anh ấy để tiến hành giải mã để tìm ra thông điệp 𝑚:

𝑔B(𝑓B(m)) = (𝑔B ∘ 𝑓B)(𝑚) = 𝑚 bởi vì 𝑔B ∘ 𝑓B là hàm đồng nhất [7]

Đến đây quá trình “mã hóa và ký” cùng với quá trình “xác thực và giải mã” đã thực hiện xong Để tăng hiệu năng hệ thống có thể kết hợp cùng với hàm băm để rút gọn thông điệp cho việc mã hóa tạo chuỗi thông điệp diễn ra nhanh hơn đối với những thông điệp có kích thước lớn

2.1.4.2 Giải thuật DSA

Giải thuật DSA (Digital Signature Algorithm) là chuẩn chữ ký số được phát triển bởi NIST (National Institute of Standards and Technology) vào năm 1991

Giải thuật DSA được phát triển dựa trên giải thuật DSS (Digital Signature Standard) Các thành phần của DSA:

Quá trình sinh khóa, quá trình này sinh ra một cặp khóa và gồm 2 giai đoạn: - Lựa chọn tham số của giải thuật

Trang 34

- Sinh cặp khóa cho người dùng - Quá trình ký thông điệp

- Quá trình kiểm tra xác thực chữ ký

a) Quá trình lựa chọn tham số cho người dùng:

- Lựa chọn thuật toán hàm băm H Giải thuật hàm băm có thể được chọn là 1 hoặc SHA-2

SHA Chọn kích thước cho các khóa L và N

- Kích thước của L có thể là 1024, 2048, 3072 bit

- Kích thước của N có thể là 160, 224, 256 bit N phải nhỏ hơn hoặc bằng kích thước chuỗi băm đầu ra của hàm băm H đã chọn

- Chọn số nguyên tố q có kích thước N bit

- Chọn modulo p L bit sao cho p − 1 là bội số của q - Chọn g là hệ số nhân sao cho (g ∗ q)mod p = 1

- Các tham số (q, p, g) được chia sẻ giữa các người dùng

b) Quá trình sinh khóa

Quá trình này sinh cho mỗi người dùng khác nhau: - Chọn số ngẫu nhiên x sao cho 0 < x < q - Tính y = gx mod p

- Khóa công khái (q, p, g, y) - Khóa bí mật là x

Kiểm tra chữ ký của thông điệp:

- Loại bỏ chữ ký nếu r và s không thỏa mãn điều kiện 0 < r, s < q - Tính H(m) từ thông điệp nhận được

- Tính w = s−1mod q

- Tính u1= (H(m) ∗ w) mod q - Tính u2= (r ∗ w) mod q

- Tính v = ((gu1 ∗ yu2) mod p) mod q - Chữ ký xác thực nếu v = r

Trang 35

2.2 Chứng thư số

Sử dụng một kỹ thuật để đảm bảo tính toàn vẹn, đảm bảo an tào cho khóa công khai việc này làm trành việc khóa công khai vi phạn đến những vấn đề an ninh như giả mạo, không xác định được nguồn gốc… Do đó đã sinh ra một kỹ thuật giúp việc gắn kết khóa công khai với thông tin chủ sở hữu theo một cách tin cậy mà có thể đảm bảo sẽ xác thực được thông tin chủ sở hữu khóa công khai sau khi thực hiện ký một dữ liệu số bất kỳ

Kỹ thuật này cần đảm bảo ít nhất hai tiêu chí sau: - Thiết lập tính toàn vẹn cho khóa công khai

- Gắn kết thông tin chủ sở hữu và khóa công khai theo một cách tin cậy

Để đảm bảo 2 tiêu chí trên có thể sử dụng chữ ký số (khái niệm đã nói ở trên), chữ ký số cho phép xác định được người gửi và tính toàn vẹn toàn vẹn của nội dung số khi họ đã thực hiện ký vào nội dung

Chứng thư số là một dạng chứng thư điện tử, nó được cung cấp bởi một tổ chức cung cấp dịch vụ chứng thư số Vai trò của chứng thư số được xem như căn cước công dân để xác định thông tin nhưng được sử dụng trên môi trường không gian mạng Chứng thư số cung cấp những thông tin cơ bản: khóa công khai được liên kết với chủ sở hữu, thông tin chủ sở hữu chứng thư số… Nói cách khác chứng thư số là một bản cải tiến của chữ ký số Chúng còn có thể nhận diện được một cá nhân, một tổ chức hoặc một máy chủ… được gắn định danh đối tượng với khóa công khai

Bên cấp chứng thư số (CA – Certificate Authority) cần phải đảm bảo tính hợp lệ của chứng thư số thông qua chữ ký số Nếu chữ ký số hợp lệ người dùng có thể sử dụng chữ ký số đó

2.2.1 Vai trò của chứng thư số

Chứng thư số này được dùng như một công cụ điện tử giúp nhận diện cá nhân, máy chủ hoặc một số đối tượng khác Nó gắn định danh đối tượng đó với một “khóa công khai” được cấp bởi tổ chức có thẩm quyền

2.2.2 Chuẩn X.509

Chứng nhận X.509 là chứng nhận khóa công khai phổ biến nhất hiệp hội Viễn thông quốc tế (International Telecommunications Union – ITU) đã chỉ định chuẩn X.509 và năm 1988 đây là định dạng 1 của chuẩn X.509 Vào năm 1993, phiên bản 2 của chuẩn X.509 được phát hành với 2 trường tên nhận dạng duy nhất được bổ sung Phiên bản 3 của chuẩn X.509 được bổ sung thêm trường mở rộng đã phát hành vào năm 1997

Một chứng chỉ khóa công khai kết nối một khóa công khai với sự nhận diện của một người dùng (hoặc một thiết bị) Khóa công khai và tên thực thể sở hữu khóa này là hai mục quan trọng trong một chứng nhận

Trang 36

Hình 2 4: Các thành phần có trong chứng thư số

- Version: Chỉ định phiên bản của chứng nhận X.509

- Serial Number: Số loạt phát hành được gán bởi CA Mỗi CA nên gán một mã số loạt duy nhất cho mỗi giấy chứng nhận mà nó phát hành

- Signature Algorithm: Thuật toán chữ ký chỉ rõ thuật toán mã hóa được CA sử dụng để ký giấy chứng nhận Trong chứng nhận X.509 thường là sự kết hợp giữa thuật toán băm (MD5 hoặc SHA-1) và thuật toán khóa công khai (chẳng hạn như RSA)

- Issuer Name: Tên tổ chức CA phát hành giấy chứng nhận, đây là một tên phân biệt theo chuẩn X.500 Hai CA không được sử dụng cùng một tên phát hành - Validity Period: Trường này gồm hai giá trị chỉ định khoảng thời gian mà giấy

- Public Key: Xác định thuật toán của khóa công khai (như RSA) và chứa khóa công khai được định dạng tùy vào kiểu của nó

Trang 37

- Issuer Unique ID và Subject Unique ID: Hai trường này được giới thiệu vào trong X.509 phiên bản 2 được dùng để xác định hai tổ chức CA hoặc hai chủ thể khi chúng có cùng, DN RFC 2459 đề nghị không nên sử dụng hai trường này - Extensions: Chứa các thông tin bổ sung cần thiết mà người thao tác CA muốn cài

đặt vào chứng nhận Trường này được giới thiệu trong X.509 phiên bản 3 Signature: Đây là chữ ký điện tử được tổ chức CA áp dụng Tổ chức CA sử dụng khóa bí mật có kiểu quy định trong trường thuật toán ký Chữ ký bao gồm tất cả các thành phần khác trong giấy chứng nhận Do đó, tổ chức CA chứng nhận cho tất cả các thông tin khác trong giấy chứng nhận chứ không chỉ cho tên chủ thể và khóa công khai

2.3 Hạ tầng khóa công khai PKI

Hạ tầng khóa công khai (Public key infrastructure – PKI) là một tập hợp các phần cứng, phần mềm, nhân lực, chính sách và các thủ tục để tạo, quản lý, phân phối, lưu chữ, sử dụng và thu hồi các chứng chỉ số

PKI mục đích dùng để xác thực người dùng trên không gian Internet Đối với việc truyền thông vật lý thì việc xây dựng cơ chế tin cậy được thực hiện dễ dàng hơn khi có thể nhận dạng được mọi người thông qua khuôn mặt, giấy tờ tùy thân, chữ ký… Tuy nhiên đối với truyền thông điện tử việc xây dựng cơ chế tin cậy là công việc khó khăn khi phải định danh những thực thể không xác định Hiện nay có một cơ chế xác định tin cậy là hạ tầng khóa công khai – Public Key Infrastructure (PKI)

Trong giải pháp chữ ký số, PKI là hệ thống vừa mang tính tiêu chuẩn, vừa mang tính công nghệ cho phép người dùng trong một mạng công cộng không bảo mật (chẳng hạn như Internet) có thể trao đổi thông tin một cách an toàn thông qua việc sử dụng một cặp khóa bí mật và khóa công khai được chứng nhận bởi một nhà cung cấp chứng nhận số CA (Certificate Authority – bên thứ 3 có vai trò cung cấp và xác thực định danh các bên tham gia) được tín nhiệm Nền tảng khóa công khai cung cấp một chứng chỉ số dùng để xác minh một cá nhân, một doanh nghiệp hoặc một tổ chức và các dịch vụ có thể lưu trữ, thu hồi các chứng chỉ khi cần thiết Quá trình này thường được thực hiện bởi một phần mềm đặt tại trung tâm và các phần mềm phối hợp với phía người dùng

Khái niệm hạ tầng khóa công khai PKI thường được sử dụng để chỉ toàn bộ hệ thống bao gồm các thẩm quyền chứng thực cùng các cơ chế liên quan đồng thời với toàn bộ việc sử dụng các thuật toán mật mã hóa khóa công khai trao đổi thông tin

Trang 38

phần sau: Registration Authority (RA), Certificate Authority (CA), Certificate Repository (CR, hệ thống phân phối và chính sách bảo mật [4]

Hình 2 5: Sơ đồ tổng quan về PKI

2.3.1.1 Certificate Authority

CA sử dụng để xác thực định danh của những đối tượng sử dụng, những đối tượng này có thể là một cá nhân, tổ chức, hệ thống máy tính hay các dịch vụ CA ngăn chặn các thực thể giả mạo và quản lý vòng đời của bất kỳ chứng thư số có trong hệ thống bao gồm phát hành và thu hồi chứng thư số

CA nhận các yêu cầu phát hành chứng thư số từ một cá nhân, cơ quan, tổ chức nào đó và phát hành chứng thư số đến khách hàng sau khi đã xác thực được khách hàng yêu cầu

CA dựa vào các chính sách trao đổi thông tin của môi trường bảo mật của tổ chức để định nghĩa ra một tập quy tắc, các thủ tục liên quan đến việc tạo, phát hành, thu hồi chứng thư số phải tuân thủ theo quy tắc đã đề ra Chẳng hạn như việc chứng thư số của tổ chức hết thời gian có hiệu lực (1 hoặc 2 năm) sẽ bị thu hồi hay do việc để lộ, đánh mất khóa bí mật khi những vấn đề đó xảy ra chứng thư số Nên được thu hồi [4] [5]

Hình 2 6: Quy trình phát hành và chứng thực chứng thư số

Trang 39

Quá trình xác thực dựa trên CA:

1 Bod yêu cầu CA phát hành thẻ chứng thực với thông tin mà Bob cung cấp 2 CA kiểm tra tính hợp lệ mà thông tin của Bob cùng cấp và phát hành chứng thư

số cho Bob

3 Bob chuyển chứng thư số với định danh của anh ấy cho Alice 4

5 Alice yêu cầu CA kiểm tra định danh của Bob

6 CA kiểm tra và xác định chứng thư của Bob là hợp lệ 7 CA gửi kết quả sau khi thực hiện kiểm tra về cho Alice

8 Nếu kết quả hợp lệ quá trình trao đổi thông tin giữa Alice và Bob sẽ diễn ra

2.3.1.2 Registration Authority

Tổ chức đăng ký RA cái mà được xác thực bởi CA để cung cấp chứng thư số đến cho

người sử dụng trong những trường hợp cụ thể Tất cả các chứng thư số mà được yêu cầu khởi tạo, nhận và thu hồi bởi cả CA và RA là được lưu trữ bên trong một cơ sở dữ liệu chứng thư số được mã hóa

RA hoạt động và có vai trò tương tự như CA, nó đóng vai trò trung gian làm nhiệm vụ tương tác giữa CA và người dùng để giảm thiếu số lượng công việc mà CA phải thực hiện RA nhận các yêu cầu khởi tạo chứng thư số từ các thực thể và thực hiện xác minh thông tin từ các thực thể cung cấp sau đó gửi yêu cầu đến cho CA để yêu cầu tạo chứng thư số Sau khi tạo xong CA sẽ gửi chứng thư số đã khởi tạo cho RA Và RA sẽ gửi nó đến cho người dùng cuối CA sẽ không trực việc việc cấp phát, thu hồi chứng thư số mà phải thông qua RA RA sẽ thực hiện tiếp nhận thông tin từ người dùng để đưa ra những yêu cầu này và CA sẽ thực hiện nhưng yêu cầu đó

2.3.1.3 End Entity

EE là bên được cấp chứng thư số hay người dùng cuối Đối tượng này có thể là một

cá nhân, một tổ chức đưa ra yêu cầu cấp phát chứng thư số cho bản thân đến cho RA hoặc CA EE cần cung cấp các thông tin cần thiết mà bên CA yêu cầu để khởi tạo chứng thư số

Các đối tượng EE phải có khả năng truy cập an toàn các thông tin sau: - Thông tin cá nhân của bản thân

- Khóa riêng tư của bản thân

- Tên của CA được bản thân đối tượng này tin tưởng - Khóa công khai của CA đó