TRƯỜNG ĐẠI HỌC TÀI NGUYÊN VÀ MÔI TRƯỜNG HÀ NỘI KHOA CÔNG NGHỆ THÔNG TIN ĐỀ TÀI NGHIÊN CỨU GIẢI PHÁP CHỨNG THỰC CHÉO CHO CÁC HỆ THỐNG CƠ SỞ HẠ TẦNG KHÓA CÔNG KHAI (PKI) ĐỘC LẬP Hà Nội - Năm 2016 TRƯỜNG ĐẠI HỌC TÀI NGUYÊN VÀ MÔI TRƯỜNG HÀ NỘI KHOA CÔNG NGHỆ THÔNG TIN NGUYỄN THU PHƯƠNG NGHIÊN CỨU GIẢI PHÁP CHỨNG THỰC CHÉO CHO CÁC HỆ THỐNG CƠ SỞ HẠ TẦNG KHÓA CÔNG KHAI (PKI) ĐỘC LẬP Chuyên ngành : Công nghệ Thông tin Mã ngành : D480201 NGƯỜI HƯỚNG DẪN: TS HÀ MẠNH ĐÀO Hà Nội - Năm 2016 MỤC LỤC MỞ ĐẦU CHƯƠNG 1: LÝ THUYẾT TỔNG QUÁT Khái niệm hạ tầng khóa công khai (PKI) 1.2 Các thành phần hạ tầng khóa công khai 1.2.1 Cấp phát chứng thư số (CA) 1.2.2 Trung tâm đăng ký (RA) 1.2.3 Trung tâm ủy quyền xác nhận hợp lệ 1.2.4 Kho chứng 1.2.5 Người dùng cuối 1.3 Các mô hình hạ tầng khóa công khai 1.3.1 Mô hình CA đơn 1.3.2 Mô hình CA phân cấp 1.3.3 Mô hình lai 1.4 Chứng thư số 1.4.1 X.509 phiên 1.4.2 X.509 phiên 1.4.3 X.509 phiên 10 1.5 Chữ ký số 15 1.6 Quy trình hoạt động PKI 16 1.6.1 Khởi tạo thực thể cuối 16 1.6.2 Tạo cặp khóa 16 1.6.3 Áp dụng chữ ký số để xác định danh tính người gửi 16 1.6.4 Mã hóa thông báo 17 1.6.5 Truyền khóa đối xứng 17 1.6.6 Kiểm tra định danh người gửi thông qua CA 17 1.6.7 Giải mã thông báo kiểm tra nội dung 17 CHƯƠNG 2: NGHIÊN CỨU CÁC MÔ HÌNH CHỨNG THỰC CHÉO .18 2.1 Các mô hình chứng thực chéo 18 2.1.1 Chứng thực chéo ngang hàng 18 2.1.2 Mô hình CA cầu nối 21 2.1.3 Mô hình danh sách tin cậy web 23 2.2 Hiện trạng chứng thực chéo giới 24 2.3 Các vấn đề cần giải thực chứng thực chéo 28 2.4 Hiện trạng PKI Việt nam nhu cầu chứng thực chéo 28 CHƯƠNG 3: TRIỂN KHAI THỬ NGHIỆM .32 3.1 Triển khai hệ thống sử dụng EJBCA 32 3.1.1 Giới thiệu EJBCA 32 3.1.2 Mô hình hệ thống PKI EJBCA 32 3.1.3 Một số ưu nhược điểm EJBCA 34 3.1.4 Lý chọn EJBCA 34 3.2 Mô hình triển khai 36 3.2.1 Yêu cầu 36 3.2.3Cấu hình cài đặt 38 3.3 Triển khai hệ thống sử dụng MSCA 38 3.3.1 Các mô hình 38 3.3.2 Chuẩn bị trước cài đặt MicrosoftCA 39 3.3.3 Các yêu cầu kỹ thuật MicrosoftCA 40 3.3.4 Triển khai hệ thống 41 3.3.5 Cấu hình cài đặt 42 3.4 Triển khai chứng thực chéo hai hệ thống EJBCA MicrosoftCA 42 3.4.1 Kết hình ảnh demo sau cài đặt 45 3.4.2 Áp dụng chứng thực chéo thực tế 66 KẾT LUẬN .68 TÀI LIỆU THAM KHẢO .69 PHỤ LỤC A PHỤ LỤC B LỜI CAM ĐOAN Em xin cam đoan kết nghiên cứu đưa đồ án tốt nghiệp dựa kết thu trình nghiên cứu riêng em, không chép kết nghiên cứu tác giả khác Nội dung đồ án tốt nghiệp có tham khảo sử dụng số thông tin, tài liệu từ nguồn sách, tạp chí liệt kê danh mục tài liệu tham khảo hướng dẫn TS Hà Mạnh Đào Nếu phát có sư gian lận em xin hoàn toàn chịu trách nhiệm nội dung đồ án Hà Nội, tháng năm 2016 Người cam đoan Nguyễn Thu Phương LỜI CẢM ƠN Trên thực tế thành công mà không gắn liền với hỗ trợ, giúp đỡ dù hay nhiều, dù trực tiếp hay gián tiếp người khác Trong suốt thời gian từ bắt đầu học tập trường đến nay, em nỗ lực đồng thời nhận nhiều quan tâm, giúp đỡ ủng hộ quý Thầy Cô, gia đình bạn bè Em xin chân thành cảm ơn khoa công nghệ thông tin-trường đại học tài nguyên môi trường hà nội tạo điều kiện tốt cho em thực đề tài đồ án tốt nghiệp Em xin tỏ lòng biết ơn sâu sắc quý thầy cô trường tận tình giảng dạy, trang bị cho em kiến thức quý báu năm học vừa qua Đặc biệt em xin chân thành cảm ơn TS Hà Mạnh Đào – trưởng khoa công nghệ thông tin tận tình hướng dẫn, giúp đỡ, bảo đóng góp ý kiến cho em suốt thời gian nghiên cứu thực đề tài Xin cảm ơn anh chị bạn bè khóa ủng hộ, giúp đỡ động viên em tiến suốt năm học qua Xin cảm ơn gia đình bè bạn, người khuyến khích giúp đỡ em hoàn cảnh khó khăn Mặc dù em cố gắng hoàn thành đồ án tốt nghiệp phạm vi khả cho phép xong không tránh khỏi thiếu sót Em kính mong nhận cảm thông tận tình bảo quý thầy cô bạn Em xin chân thành cảm ơn! DANH MỤC BẢNG Bảng 3.1: Bảng so sánh EJBCA OpenCA 35 DANH MỤC HÌNH Hình 1.1: Các thành phần PKI Hình 1.2: Mô hình CA đơn cấp Hình 1.3: Mô hình CA phân cấp Hình 1.4: Mô hình lai Hình 1.5: Chứng thư số X.509 phiên Hình 1.6: Chứng thư số X.509 phiên Hình 1.7: Chứng thư số X.509 phiên 11 Hình 1.8: Sơ đồ ký kiểm tra chữ ký số 15 Hình 1: Mô hình chứng thực chéo ngang hàng 19 Hình 2: Những dạng chứng thực chéo ngang hàng khác 20 Hình 3: Chứng thực chéo sử dụng CA cầu nối 21 Hình 4: Mô hình CA cầu nối với CA cầu nối miền tin cậy 22 Hình 5: Chứng thực chéo sử dụng danh sách tin cậy web 24 Hình 6: Mô hình hệ thống chứng thực chéo Mỹ 25 Hình 7: Mô hình hệ thống chứng thực chéo Nhật Bản 26 Hình 8: Mô Hình chứng chéo Đài Loan 26 Hình 9: Mô hình chứng thực chéo Hàn Quốc 27 Hình 2.10 Mô hình trạng PKI Việt nam 29 Hình 2.11 Mô hình đề xuất 30 Hình 3.2: Mô hình triển khai đơn giản 37 Hình 3.3: Miền PKICC 38 Hình 3.4: Mô hình triển khai MicrosoftCA 42 Hình 3.5: Trang certification authorities 43 Hình 3.6: Tạo chứng thư 43 Hình 3.7: Tải yêu cầu chứng thư số 44 Hình 3.8: Submit yêu cầu 44 Hình 3.9: kết chứng thực chéo 45 Hình 3.10 Đăng nhập debian 6.5 45 Hình 3.11 Thực lệnh đăng nhập vào EJBCA 46 Hình 3.12 Đăng nhập lệnh hoàn tất 46 Hình 3.13 Truy cập vào địa EJBCA 47 Hình 3.14 Giao diện EJBCA 47 Hình 3.15 Giao diện Administration EJBCA 48 Hình 3.16 Giao diện đăng nhập tài khoản 48 Hình 3.17 Yêu cầu cấp chứng thư số thành công 49 Hình 3.18 Cài đặt chứng thư số 49 Hình 3.19 Cài đặt chứng thư số 50 Hình 3.20 Cài đặt chứng thư số 50 Hình 3.21 Cài đặt chứng thư số thành công 51 Hình 3.22 Window miền PKICC 51 Hình 3.23 Cài đặt rootCA PKICC 52 Hình 3.24 Cài đặt rootCA PKICC 52 Hình 3.25 Cài đặt rootCA PKICC 53 Hình 3.26 Cài đặt rootCA PKICC thành công 53 Hình 3.27 Cài đặt sub VNPT 54 Hình 3.28 Cài đặt Sub VNPT 54 Hình 3.29 Cài đặt sub VNPT thành công 55 Hình 3.30 Cài đặt client 55 Hình 3.31 Cài đặt người dùng 56 Hình 3.32 Cài đặt người dùng thành công 56 Hình 3.33 RootCA miền PKICP 57 Hình 3.34 Cài đặt PKICP-CA 57 Hình 3.35 Cài đặt PKICP-CA 58 Hình 3.36 Cài đặt PKICP-CA thành công 58 Hình 3.37 Kí lên word 59 Hình 3.38 Điền thông tin người kí 59 Hình 3.39 Tạo khung chữ kí 60 Hình 3.40 Thực kí 60 Hình 3.41 Chọn hình chữ kí riêng 61 Hình 3.42 Chọn hình chữ kí riêng 61 Hình 3.43 Chọn chứng thư số 62 Hình 3.44 Chọn chứng thư số 62 Hình 3.45 Kí thành công 63 Hình 3.46 Thông tin chứng thư số người kí 63 Hình 3.47 Thông tin chứng thư số người kí 64 Hình 3.48 View thông tin root CA,Sub CA,Client 64 Hình 3.49 View thông tin VNPT(subCA)miền PKICC 65 Hình 3.50 Xóa cross cert (VNPT cacert)trong Console Root 65 Hình 3.51 Xóa cross cert (VNPT cacert)trong Console Root 66 Hình 3.52 Văn chữ kí không hợp lệ 66 Hình 3.53 Mô hình kê khai thuế qua mạng 67 DANH MỤC TỪ VIẾT TẮT CA Certificate Authority Tổ chức chứng nhận VA Validation Authority Xác nhận thẩm quyền RA Registration Authority Đăng kí thẩm quyền PKI Public key Inflastructure Hạ tầng khóa công khai CRL Certificate Revocation List Danh sách hủy bỏ PKICC Hệ thống khóa công khai công cộng PKICP Hệ thống khóa công khai phủ