Tài liệu HẠ TẦNG KHOÁ CÔNG KHAI - Đồ án tốt nghiệp docx

Mục lục HẠ TẦNG KHỐ CƠNG KHAI QMỤC LỤC MỤC LỤC CÁC THUẬT NGỮ ĐẶT VẤN ĐỀ TỔNG QUAN VỀ PKI 1.1 KHÁI QUÁT 1.2 CÁC DỊCH VỤ VÀ PHẠM VI ỨNG DỤNG CỦA PKI 1.2.1 Các yêu cầu an toàn an ninh thông tin 1.2.2 Khả đáp ứng dịch vụ sử dụng PKI 1.2.3 Các dịch vụ an toàn an ninh dựa hệ thống PKI 1.3 CÁC ĐỐI TƯỢNG CƠ BẢN CỦA HỆ THỐNG PKI 10 1.3.1 Chủ thể đối tượng sử dụng 10 1.3.2 Đối tượng quản lý thẻ xác nhận 11 1.3.3 Đối tượng quản lý đăng ký thẻ xác nhận 11 1.4 CÁC HOẠT ĐỘNG CƠ BẢN TRONG HỆ THỐNG PKI 12 1.4.1 Mơ hình tổng qt hệ thống PKI 12 1.4.2 Thiết lập thẻ xác nhận 12 1.4.3 Khởi tạo EE 12 1.4.4 Các hoạt động liên quan đến thẻ xác nhận 13 1.4.4.1 Đăng ký xác nhận ban đầu 13 1.4.4.2 Cập nhật thông tin cặp khoá 13 1.4.4.3 Cập nhật thông tin thẻ xác nhận 13 1.4.4.4 Cập nhật thơng tin cặp khố CA 13 1.4.4.5 Yêu cầu xác nhận ngang hàng 14 1.4.4.6 Cập nhật thẻ xác nhận ngang hàng 14 1.4.5 Phát hành thẻ danh sách thẻ bị huỷ bỏ 14 1.4.6 Các hoạt động phục hồi 14 1.4.7 Các hoạt động huỷ bỏ 15 1.5 CẤU TRÚC CỦA CÁC THÔNG ĐIỆP PKI 15 1.5.1 Giới thiệu nguyên tắc giả mã 15 1.5.2 Cấu trúc tổng quát thông điệp PKI 16 1.5.3 Trường PKIHeader 17 1.5.4 Trường PKIBody 18 1.5.4.1 Thông điệp yêu cầu khởi tạo 20 1.5.4.2 Thông điệp trả lời yêu cầu khởi tạo 20 1.5.4.3 Thông điệp yêu cầu đăng ký/yêu cầu thẻ xác nhận 20 1.5.4.4 Thông điệp trả lời yêu cầu đăng ký/yêu cầu thẻ xác nhận 20 1.5.4.5 Thông điệp yêu cầu cập nhật khoá 21 1.5.4.6 Thông điệp trả lời yêu cầu cập nhật khoá 21 1.5.4.7 Thông điệp yêu cầu khôi phục khoá 21 1.5.4.8 Thông điệp trả lời u cầu khơi phục khố 21 1.5.4.9 Thông điệp yêu cầu huỷ bỏ 21 1.5.4.10 Thông điệp trả lời yêu cầu huỷ bỏ 21 1.5.4.11 Thông điệp yêu cầu thẻ xác nhận ngang hàng 22 1.5.4.12 Thông điệp trả lời yêu cầu xác nhận ngang hàng 22 1.5.4.13 Thơng điệp cơng bố cập nhật khố CA 22 1.5.4.14 Thông điệp công bố thẻ xác nhận 22 1.5.4.15 Thông điệp thông báo huỷ bỏ thẻ xác nhận 22 1.5.4.16 Thông điệp thông báo CRL 23 Dong Manh Quan Trang 23/08/2005 Mục lục HẠ TẦNG KHOÁ CƠNG KHAI 1.5.4.17 Thơng điệp xác nhận 23 1.5.4.18 Thông điệp PKI đa mục đích 23 1.5.4.19 Thông điệp trả lời tổng quát 23 1.5.4.20 Thông điệp thông báo lỗi 23 NHỮNG VẤN ĐỀ CƠ BẢN TRONG XÂY DỰNG HỆ THỐNG PKI 24 2.1 CÁC MƠ HÌNH TRIỂN KHAI HỆ THỐNG PKI 24 2.1.1 Kiến trúc phân cấp 24 2.1.1.1 Những ưu điểm kiến trúc PKI phân cấp 25 2.1.1.2 Những khuyết điểm kiến trúc PKI phân cấp 25 2.1.2 Kiến trúc hệ thống PKI mạng lưới 26 2.1.2.1 Ưu điểm kiến trúc PKI mạng lưới 26 2.1.2.2 Nhược điểm mơ hình PKI mạng lưới 27 2.1.3 Kiến trúc danh sách tin cậy 27 2.1.3.1 Ưu điểm kiến trúc PKI danh sách tin cậy 27 2.1.3.2 Nhược điểm kiến trúc PKI danh sách tin cậy 28 2.2 NHỮNG CHỨC NĂNG BẮT BUỘC TRONG QUẢN LÝ PKI 29 2.2.1 Khởi tạo CA gốc 29 2.2.2 Cập nhật khoá CA gốc 29 2.2.3 Khởi tạo CA thứ cấp 29 2.2.4 Tạo lập CRL 29 2.2.5 Yêu cầu thông tin hệ thống PKI 30 2.2.6 Xác nhận ngang hàng 30 2.2.7 Khởi tạo EE 30 2.2.7.1 Thu thập thông tin hệ thống PKI 30 2.2.7.2 Kiểm tra khố cơng khai CA gốc 30 2.2.8 Yêu cầu xác nhận 30 2.2.9 Cập nhật khoá 30 THẺ XÁC NHẬN THEO CHUẨN X.509 32 3.1 CÁC TRƯỜNG CƠ BẢN CỦA THẺ XÁC NHẬN 32 3.1.1 Trường tbsCertificate 32 3.1.2 Trường signatureAlgorithm 32 3.1.3 Trường signatureValue 33 3.2 CẤU TRÚC TBSCERTIFICATE 33 3.2.1 Trường version 33 3.2.2 Trường serialNumber 33 3.2.3 Trường signature 34 3.2.4 Trường issuer 34 3.2.5 Trường validity 35 3.2.6 Trường subject 35 3.2.7 Trường subjectPublicKeyInfo 35 3.2.8 Trường uniqueIdentifiers 35 3.2.9 Trường extensions 36 3.3 CÁC PHẦN MỞ RỘNG CỦA THẺ XÁC NHẬN X.509 36 3.3.1 Phần mở rộng Authority Key Identifier 36 3.3.2 Phần mở rộng Subject Key Identifier 36 3.3.3 Phần mở rộng Key Usage 37 3.3.4 Phần mở rộng Private Key Usage Period 37 3.3.5 Phần mở rộng Certificate Policies 38 3.3.6 Phần mở rộng Policy Mappings 38 3.3.7 Phần mở rộng Subject Alternative Name 39 3.3.8 Phần mở rộng Issuer Alternative Names 40 Mục lục HẠ TẦNG KHỐ CƠNG KHAI 3.3.9 Phần mở rộng Subject Directory Attributes 40 3.3.10 Phần mở rộng Basic Constraints 40 3.3.11 Phần mở rộng Name Constraints 40 3.3.12 Phần mở rộng Policy Constraints 41 3.3.13 Phần mở rộng Extended key usage field 41 3.3.14 Phần mở rộng CRL Distribution Points 42 QUÁ TRÌNH XÂY DỰNG HỆ THỐNG 43 4.1 MƠI TRƯỜNG, CƠNG CỤ, MƠ HÌNH, CHỨC NĂNG, DỮ LIỆU 43 4.1.1 Lựa chọn môi trường công cụ 43 4.1.1.1 Môi trường phát triển 43 4.1.1.2 Công cụ phát triển 43 4.1.2 Lựa chọn mơ hình hệ thống PKI 44 4.1.3 Lựa chọn cấu trúc liệu 45 4.1.4 Lựa chọn chức thực 45 4.2 PHÂN TÍCH THIẾT KẾ CHỨC NĂNG CHI TIẾT 46 4.2.1 Mơ hình thiết lập quản lý kết nối 46 4.2.1.1 Phân tích yêu cầu 46 4.2.1.2 Phương thức thực 47 4.2.2 Sử dụng dịch vụ bảo mật 47 4.2.2.1 Giới thiệu cơng cụ an tồn an ninh hệ điều hành 47 4.2.2.2 Những đánh giá giải pháp 48 4.2.2.3 Kết luận 49 4.2.3 Tạo phân tích cấu trúc liệu 49 4.2.3.1 Các thẻ xác nhận 49 4.2.3.2 Các thông điệp PKI 50 4.2.4 Các công cụ quản trị hệ thống 50 4.2.4.1 Công cụ quản lý người sử dụng 50 4.2.4.2 Cơng cụ tạo quản lý sách 51 4.2.4.3 Công cụ quản lý danh sách thẻ xác nhận 51 4.2.4.4 Công cụ quản lý kiện hệ thống 52 4.2.5 Lưu trữ liệu 52 4.2.5.1 Lưu thông tin quản lý đối tượng sử dụng chương trình 52 4.2.5.2 Lưu thông tin sách thẻ xác nhận 52 4.2.5.3 Lưu trữ thông tin thẻ xác nhận 53 4.2.6 Chức mã hoá liệu 53 4.2.6.1 Sự cần thiết chức 53 4.2.6.2 Định hướng xây dựng 53 4.2.6.3 Lưu đồ thuật toán thực 54 4.2.7 Phân tích thiết kế chi tiết chức hệ thống PKI 54 4.2.7.1 Khởi tạo CA 54 4.2.7.2 Khởi tạo EE 56 4.2.7.3 Cập nhật khoá CA 58 4.2.7.4 Yêu cầu cấp phát thẻ xác nhận 60 4.2.7.5 Yêu cầu cấp thẻ xác nhận ngang hàng CA 61 4.2.7.6 Yêu cầu trả lời thông tin trạng thái CA 64 4.3 LẬP TRÌNH THỰC THI HỆ THỐNG PKI 65 4.3.1 Cụ thể hoá u cầu q trình phân tích thiết kế 65 4.3.1.1 Các yêu cầu CA 66 4.3.1.2 Các yêu cầu EE 66 4.3.2 Các lớp đối tượng 67 4.3.2.1 Lớp CCertificationAuthority 67 4.3.2.2 Lớp CEndEntity 67 4.3.2.3 Lớp CPKIMessage 68 4.3.2.4 Lớp CCertificate 68 Mục lục HẠ TẦNG KHỐ CƠNG KHAI 4.3.2.5 Lớp CSessionSocket 68 4.3.2.6 Lớp CListeningSocket 68 4.3.2.7 Lớp CCryptoTools 68 4.3.3 Các đối tượng lưu trữ liệu phương thức quản lý 69 4.3.3.1 Quản lý file lưu trữ account 69 4.3.3.2 Quản lý file lưu trữ sách hệ thống PKI 69 4.3.3.3 Quản lý file lưu trữ thẻ xác nhận 70 KIỂM THỬ VÀ ĐÁNH GIÁ KẾT QUẢ 71 5.1 ĐÁNH GIÁ VỀ NHỮNG KẾT QUẢ NGHIÊN CỨU LÝ THUYẾT 71 5.2 ĐÁNH GIÁ VỀ NHỮNG CHỨC NĂNG ĐÃ XÂY DỰNG 71 5.2.1 Các chức thẻ xác nhận 72 5.2.1.1 Chức tạo thẻ xác nhận 72 5.2.1.2 Chức đóng gói lưu trữ thẻ xác nhận 73 5.2.1.3 Chức quản lý danh sách thẻ xác nhận 74 5.2.2 Các chức quản lý hệ thống PKI 74 5.2.2.1 Yêu cầu đáp ứng thẻ xác nhận 74 5.2.2.2 Chức yêu cầu đáp ứng thông tin hệ thống PKI 75 5.2.2.3 Chức khởi tạo hệ thống 75 5.2.2.4 Chức yêu cầu đáp ứng thẻ xác nhận ngang hàng 75 5.2.3 Các chức quản lý kết nối 76 5.2.4 Các công cụ quản lý hệ thống 76 5.2.4.1 Quản lý người sử dụng hệ thống 76 5.2.4.2 Công cụ thiết lập quản lý sách thẻ xác nhận 77 5.2.4.3 Công cụ quản lý kiện hệ thống 77 5.2.4.4 Chức mã hoá liệu 78 TÀI LIỆU THAM KHẢO 79 Các thuật ngữ HẠ TẦNG KHỐ CƠNG KHAI CÁC THUẬT NGỮ An tồn an ninh thơng tin (Information Security) Bí mật thơng tin (Confidentiality) CA cấp (Subordinate CA) CA cấp (Superior CA) CA gốc (Root CA) Cặp khoá (Key Pair) Chính sách thẻ xác nhận (Certìicate Policy) Chữ ký số (Digital Signature) Danh sách tin cậy (Trust List) Danh sách thẻ xác nhận bị huỷ bỏ Là biện pháp tác động lện hệ thống thông tin thân thông tin để đảm bảo thông tin không bị thay đổi, phá huỷ Đồng thời, kiểm soát đối tượng truyền nhận thông tin Thông tin không tiết lộ cho đối tượng không cho phép Là CA mà mơ hình PKI phân cấp, thẻ xác nhận xác nhận CA khác Những hoạt động CA chịu giám sát CA Là CA chứng nhận thẻ xác nhận giám sát hoạt động CA khác Trong sơ đồ PKI phân cấp, CA với khố cơng khai tin tưởng mức độ cao đối tượng domain Hai khố có liên quan đến mặt tốn học với hai thuộc tính: (i) Một khố dùng để mã hố việc giải mã thực có khố cịn lại (ii) Khi biết hai khố việc tính tốn để tìm khố cịn lại khơng thể thực Là dạng sách quản trị giao tác điện tử thực q trình quản lý thẻ xác nhận Chính sách đáp ứng tất yêu cầu trình tạo, phân phát, thống kê, phục hồi quản trị thẻ xác nhận số Là kết phép chuyển đổi thông điệp hệ thống phép mã hố có sử dụng khố mà đối tượng nhận thơng tin xác định được: (i) Dữ liệu gửi đến có phải tạo với khố riêng ứng với khố cơng khai thẻ xác nhận đối tượng gửi hay khơng (ii) Thơng tin nhận có bị thay đổi sau phép chuyển đổi thực không Thông tin bị coi thay đổi ta kiểm chứng chữ ký số với khố cơng khai tương ứng đối tượng tạo chữ ký số Tập hợp thẻ xác nhận đối tượng sử dụng tin cậy dùng để xác thực thẻ xác nhận khác (Certificate Revocation List - CRL) Một danh sách CA quản lý bao gồm thẻ xác nhận bị huỷ bỏ trước chúng hết hạn Dữ liệu chưa mã hóa Dữ liệu đầu vào thủ tục mã hoá bảo mật (Plaintext) Dữ liệu mã hóa (Ciphertext) Định danh đối tượng (Object Identifier – OID) Đối tượng quản lý đăng ký (Registration Authority - RA) Đối tượng quản lý xác nhận (Certification Authority – CA) Dong Manh Quan Dữ liệu đầu thủ tục mã hoá bảo mật Là só có định dạng riêng đăng ký với tổ chức công nhận phạm vi quốc tế Là đối tượng có vai trò phân biệt xác thực đối tượng thẻ xác nhận không ký cấp thẻ xác nhận Là đối tượng tin cậy nhóm người sử dụng định với chức phát hành quản lý thẻ xác nhận danh sách thẻ xác nhận bị huỷ bỏ Trang 23/08/2005 Các thuật ngữ Hạ tầng khố cơng khai (Public Key Infrastructure - PKI) Kênh truyền thơng riêng (Out-of-band) Khố cơng khai (Public Key) Khố riêng (Private Key) Khơng thể bác bỏ (Non-repudiation) Mã hoá bảo mật (Encrypt) Mã hoá liệu (Encode) Mã xác thực thông điệp (Message Authentication Code MAC) Phương tiện lưu trữ (Repository) Tấn công phát lại gói tin (Replay Attack) Tin cậy (Trust) Tồn vẹn liệu (Data Integerity) Thẻ xác nhận (Certificate) Thẻ xác nhận ngang hàng (Cross-Certificate) Trao đổi khoá (Key Exchange) Xác thực (Authenticate) HẠ TẦNG KHỐ CƠNG KHAI Một tập sách, tiến trình xử lý, máy chủ dịch vụ, máy trạm với phần mềm sử dụng để quản lý thẻ xác nhận với cặp khố cơng khai/khố riêng Trong đó, tính bao gồm việc phát hành, trì huỷ bỏ thẻ xác nhận chứa khố cơng khai Q trình truyền thơng đối tượng thơng qua phương tiện khác với phương tiện sử dụng để trì liên lạc thơng thường đối tượng hệ thống (i) Khoá thuộc cặp khoá tạo chữ ký số sử dụng để kiểm chứng chữ ký số (ii) Khoá thuộc cặp khố mã hóa sử dụng để mã hóa thơng tin bí mật Trong hai trường hợp, khoá thường phổ biến với thẻ xác nhận (i) Khố thuộc cặp khóa sử dụng để tạo chữ ký số (ii) Khoá thuộc cặp khố mã hóa sử dụng để giải mã thơng tin bí mật Trong hai trường hợp, khố phải giữ bí mật Tính đề cập tới việc: đối tượng kiểm chứng chữ ký số khố cơng khai điều chứng tỏ đối tượng nắm giữ khoá riêng tương ứng tạo chữ ký số Quá trình biến đổi thơng tin ban đầu thành thơng tin có dạng trực quan ngẫu nhiên vơ nghĩa Q trình đóng gói thơng tin thành khn dạng phù hợp để truyền thông lưu trữ Là chuỗi bit tạo thơng qua thuật tốn tạo mã xác thực thông điệp dựa hàm phân tách Mã sử dụng để giúp đối tượng nhận đảm bảo nhận thơng tin cần Một hệ thống với phần cốt lõi sở liệu chứa thông tin thẻ xác nhận danh sách thẻ xác nhận bị huỷ bỏ Là hình thức cơng dựa việc bắt gói tin truyền đến, thực chỉnh sửa theo ý muốn phát thời điểm sau tới đối tượng nhận Là việc chấp nhận hành động thể đối tượng Là việc đảm bảo thông tin không bị thay đổi mà khơng bị phát q trình truyền từ đối tượng tạo thông tin đến đối tượng nhận Là hình thức biểu diễn thơng tin dạng số với thông tin tối thiểu sau: (i) CA phát hành thẻ (ii) Định danh đối tượng sử dụng (iii) Khố cơng khai đối tượng sử dụng (iv) Thời gian hiệu lực thẻ Thẻ phải ký CA tạo Là thẻ xác nhận dùng để thiết lập mối quan hệ tin cậy CA Là trình trao đổi khố để thiết lập kênh liên lạc an tồn Khẳng định thơng tin định danh đối tượng đối tượng trình diện Đặt vấn đề HẠ TẦNG KHỐ CƠNG KHAI ĐẶT VẤN ĐỀ Kể từ đời gần ba mươi năm trước đây, phương thức mã hoá bảo mật với khố cơng khai tạo nên hướng phát triển cho dịch vụ an toàn an ninh thông tin Tư tưởng cốt lõi phương thức mã hố bảo mật với khố cơng khai việc sử dụng cặp khố cơng khai khố riêng Mỗi đối tượng truyền thơng có cặp khố cơng khai khố riêng Khố cơng khai đối tượng thông báo cho tất đối tượng tham gia truyền thơng, cịn khố riêng đối tượng nắm giữ Đối tượng truyền mã hố thơng tin cần truyền với khố cơng khai đối tượng nhận Sau đó, thơng tin mã hố truyền đến cho đối tượng nhận Sau nhận thông tin truyền đến, đối tượng nhận giải mã thơng tin truyền đến với khố riêng Khi dịch vụ an tồn sử dụng khố cơng khai phát triển rộng rãi việc quản lý đối tượng với khố cơng khai trở nên phức tạp phải đối mặt với nhiều vấn đề an tồn an ninh thơng tin Mặt khác, phạm vi ứng dụng thơng tin khố cơng khai rộng lớn (có thể phạm vi quốc gia xuyên quốc gia) nên phải có thống khố cơng khai để đảm bảo đối tượng tham gia truyền thông nhiều phạm vi khác với nhiều dịch vụ an toàn an ninh khác Trong năm gần đây, hướng giải nghiên cứu triển khai, Hạ Tầng Khố Công Khai (Public Key Infrastructure - PKI) PKI dịch vụ mức nền, đảm bảo việc tạo lập, quản lý phân phát khố cơng khai đối tượng tham gia vào dịch vụ an tồn, an ninh (dựa phương thức mã hố với khố cơng khai) thơng qua thẻ xác nhận PKI triển khai nhiều phạm vi khác nhau; vậy, giải khó khăn mà ứng dụng an tồn an ninh gặp phải phải triển khai phạm vi rộng đối tượng sử dụng đa dạng Việc nghiên cứu triển khai hệ thống PKI phạm vi doanh nghiệp hay tầm cỡ quốc gia địi hỏi phải có nghiên cứu kỹ lưỡng tầm nhìn chiến lược Theo nhiều ý kiến nhận định, PKI có tiềm phát triển ứng dụng lớn Nó ứng dụng rộng rãi việc đảm bảo an toàn an ninh cho hệ thống thông tin, thương mại điện tử, kênh liên lạc an tồn Nói chung, PKI cần thiết cho hầu hết ứng dụng sử dụng phương thức mã hố bảo mật với khố cơng khai Với mục tiêu tìm hiểu nghiên cứu đặc trưng hoạt động hệ thống PKI, phạm vi đồ án này, ta tìm hiểu khái niệm bản, cấu trúc liệu đặc trưng, mơ hình hoạt động chức hệ thống Trên sở kết nghiên cứu, ta triển khai hệ thống PKI đơn giản nhằm minh hoạ trình hoạt động hệ thống thực tế Đây cách để ta hiểu sâu hệ thống PKI, yêu cầu trình triển khai hệ thống lợi ích mà hệ thống mang lại Dong Manh Quan Trang 23/08/2005 Phần 1 TỔNG QUAN VỀ PKI Trong phần này, ta tìm hiểu vấn đề hệ thống PKI Những nội dung trình bày phần cho ta nhìn tổng quan mơ hình hệ thống PKI Ta hiểu rõ đối tượng hệ thống hoạt động cần thực để quản lý hệ thống PKI Song song với trình tìm hiểu nội dung này, ta có định nghĩa, khái niệm thuật ngữ sử dụng hệ thống PKI Khái quát hệ thống PKI Các dịch vụ phạm vi ứng dụng PKI Các đối tượng hệ thống PKI Các hoạt động việc quản lý hệ thống PKI Cấu trúc thông điệp PKI 1.1 KHÁI QUÁT Thành phần cốt lõi hệ thống PKI thẻ xác nhận Mỗi thẻ xác nhận có hai thành phần thông tin định danh khố cơng khai đối tượng sử dụng Các thẻ xác nhận đối tượng quản lý thẻ xác nhận tạo ký với phương thức chữ ký số Trong số hệ thống, đối tượng quản lý đăng ký tách riêng khỏi CA Đối tượng khơng tạo thẻ xác nhận Nó có nhiệm vụ xác minh đối tượng truyền thông cho CA cấp phát thẻ xác nhận cho đối tượng Nghĩa là, q trình xác thực đối tượng yêu cầu thẻ xác nhận CA RA đảm nhận Đúng tên gọi nó, PKI dịch vụ cho dịch vụ an toàn an ninh dựa thẻ xác nhận Trong hệ thống này, PKI đảm nhận vai trò tạo lập, quản lý phân phát thẻ xác nhận cho đối tượng truyền thơng Nói tóm lại, tất chức quản lý hệ thống PKI hướng tới yêu cầu nhất: Quản lý đối tượng sử dụng hệ thống với khố cơng khai đối tượng 1.2 CÁC DỊCH VỤ VÀ PHẠM VI ỨNG DỤNG CỦA PKI Trong phần này, ta tìm hiểu yêu cầu an tồn an ninh thơng tin Từ đó, xem xét dịch vụ mà hệ thống PKI cung cấp để đáp ứng yêu cầu nêu đánh giá phạm vi ứng dụng hệ thống 1.2.1 Các yêu cầu an toàn an ninh thơng tin An tồn an ninh thơng tin bao hàm nhiều vấn đề khác nhau, đó, nói đến biện pháp an tồn an ninh có sử dụng phương pháp mã hố (với khố cơng khai), ta kể đến yêu cầu sau đây: Dong Manh Quan Trang 23/08/2005 Tổng quan PKI HẠ TẦNG KHỐ CƠNG KHAI Tồn vẹn liệu: Toàn vẹn liệu đảm bảo cho thông tin không bị thay đổi đối tượng không cấp thẩm quyền Không thể bác bỏ: Các đối tượng bác bỏ hành động mà thực Xác thực đối tượng: Khả xác thực đối tượng cho đối tượng truyền tin biết giao tiếp với đối tượng Bí mật thơng tin: Bí mật thơng tin yêu cầu việc đảm bảo A muốn truyền thơng tin cho B có B đọc thơng tin 1.2.2 Khả đáp ứng dịch vụ sử dụng PKI Trong phần này, ta lấy ví dụ để minh hoạ khả đảm bảo yêu cầu an toàn an ninh mà dịch vụ sử dụng PKI (thực chất dịch vụ sử dụng phương thức mã hố với khố cơng khai) đáp ứng Để tiện minh hoạ, ta lấy phương thức chữ ký số để mơ tả ví dụ Chữ ký số số dịch vụ tiêu biểu dựa phương thức mã hoá với khố cơng khai Trong q trình hoạt động, phương thức kết hợp chặt chẽ với hệ thống PKI Đối với khả bảo vệ tính tồn vẹn liệu, thơng điệp mã hố (tạo chữ ký số cho thông điệp), thay đổi chữ ký số tạo làm cho khơng thể kiểm chứng đối tượng nhận Do vậy, đối tượng nhận kiểm chứng chữ ký số tạo đối tượng truyền chứng tỏ thơng tin truyền bị thay đổi có sai sót Với vấn đề đảm bảo tính khơng thể bác bỏ, đối tượng muốn tạo chữ ký số cho thông điệp, đối tượng biết khố riêng nên ta kiểm chứng chữ ký số với khố cơng khai đối tượng chứng tỏ đối tượng tạo chữ ký số với khố riêng tương ứng Nghĩa là, tính bác bỏ gắn đối tượng với hành động mà đối tượng thực Với yêu cầu xác thực đối tượng, đối tượng A muốn xác thực định danh đối tượng B, gửi thơng điệp với số thơng tin định dạng mã xác thực đến cho B B tạo chữ ký số thông điệp nhận khố riêng truyền lại cho A A thực kiểm chứng ký số B thơng điệp vừa nhận khố cơng khai B Nếu thơng thơng điệp kiểm chứng A biết liên lạc với B Với việc đảm bảo tính bí mật thơng tin, A muốn trao đổi thông tin với B, A mã hố thơng tin cần truyền với khố cơng khai B truyền cho B Chỉ B biết khoá riêng nên có B giải mã đọc thông tin 1.2.3 Các dịch vụ an toàn an ninh dựa hệ thống PKI Trong sơ đồ ta có nhìn khái qt dịch vụ an tồn an ninh sử dụng thẻ xác nhận sở PKI Tổng quan PKI HẠ TẦNG KHỐ CƠNG KHAI QUẢN LÝ THẺ XÁC NHẬN PKI Hình 1-1 Các ứng dụng dựa hệ thống PKI 1.3 CÁC ĐỐI TƯỢNG CƠ BẢN CỦA HỆ THỐNG PKI Dưới góc độ hoạt động quản lý hệ thống PKI, đối tượng tham gia vào hệ thống PKI bao gồm: đối tượng sử dụng (EE), đối tượng quản lý thẻ xác nhận (CA) đối tượng quản lý đăng ký (RA) hệ thống lưu trữ 1.3.1 Chủ thể đối tượng sử dụng Khái niệm chủ thể sử dụng để đối tượng ghi tên trường subject thẻ xác nhận Tuy nhiên, để tránh nhầm lẫn chủ thể với tên trường thẻ xác nhận, ta nên dùng cụm từ đối tượng sử dụng Ta cần lưu ý: Một chủ thể CA EE, đặc tính q trình cấp phát thẻ xác nhận Thẻ xác nhận cấp cho CA EE Tuy nhiên, ta gọi EE đối tượng sử dụng thẻ cấp cho đối tượng loại sử dụng trực tiếp dịch vụ an toàn an ninh Thẻ xác nhận cấp cho CA chủ yếu dùng để hình thành mối tin cậy chúng Có điều quan trọng mà ta cần lưu ý khái niệm đối tượng sử dụng không bao hàm người sử dụng dịch vụ mà thân dịch vụ Đây điều hiển nhiên trình ứng dụng an toàn an ninh đề cập đến dịch vụ dựa thẻ xác nhận Điều ảnh hưởng đến giao thức mà hoạt động hệ thống PKI sử dụng Ví dụ, phần mềm ứng dụng biết trường mở rộng thẻ xác nhận cần thiết người sử dụng phần mềm lại khơng biết thơng tin Trong số trường hợp cho phép, ta coi đối tượng sử dụng đối tượng không thuộc loại đối tượng quản lý hệ thống PKI Tất đối tượng sử dụng phải có khả quản lý truy cập cách an tồn đến thơng tin sau: Tên đối tượng Khố riêng đối tượng Tên CA đối tượng tin tưởng (trusted CA) 10 Quá trình xây dựng hệ thống HẠ TẦNG KHỐ CƠNG KHAI u cầu thơng gửi theo thơng điệp trả lời CA gửi thêm số thơng tin không yêu cầu thấy cần thiết Đối tượng yêu cầu nhận thông điệp trả lời Nếu thơng điệp báo lỗi phân tích nguyên nhân mà CA cung cấp Trong trường hợp yêu cầu đáp ứng, phân tích thơng tin trả lời lưu lại thông tin cần thiết Sau q trình hồn tất, đối tượng u cầu gửi cho CA yêu cầu thơng điệp báo nhận Lưu đồ thuật tốn thực chức Bắt đầu Nhận phân tích tt cần đáp ứng Tạo gửi GENM với số hiệu loại tt cần có Y Tạo GENP với thơng tin đáp ứng Tạo GENP báo lỗi tương ứng Gửi cho đối tượng u cầu Nhận phân tích thơng điệp trả lời N N Đáp ứng yêu cầu Yêu cầu đáp ứng Y Lưu lại thông tin đáp ứng Kết thúc Hình 4-8: Lưu đồ thuật tốn yêu cầu trả lời thông tin hệ thống PKI 4.3 LẬP TRÌNH THỰC THI HỆ THỐNG PKI Trong phần này, ta đề cập tới khía cạnh cụ thể lập trình thực thi hệ thống Ta khơng sâu tìm hiểu mã nguồn để thực chức mà tìm hiểu trình lập trình thực thơng qua lưu đồ thuật tốn Trong phần này, ta đề cập tới cơng việc cần thực để đảm bảo q trình truyền thông đối tượng hệ thống, đặc tính giải pháp dịch vụ an toàn an ninh mà mội trường phát triển cung cấp 4.3.1 Cụ thể hoá yêu cầu trình phân tích thiết kế Hệ thống phát triển với hai đối tượng CA EE thực hình thức hai ứng dụng độc lập Hai yếu tố kết nối hai đối tượng với thơng điệp PKI thẻ xác nhận Ngồi ra, ta cịn số thơng tin định danh khố cơng khai cần trao đổi đối tượng pha khởi tạo đối tượng Với phân 65 Quá trình xây dựng hệ thống HẠ TẦNG KHỐ CƠNG KHAI tích tình chi tiết nêu chức năng, ta cần có thủ tục cụ thể cho đối tượng sau: 4.3.1.1 Các yêu cầu CA CA đối tượng phải làm việc với nhiều đối tượng hệ thống, lượng thơng tin mà quản lý lớn so với đối tượng sử dụng Ta liệt kê yêu cầu sau với CA bước chi tiết trình phân tích thiết kế: Có khả làm việc đồng thời với nhiều đối tượng khác theo phiên riêng biệt CA cần có thủ tục để gửi thông tin đồng thời đến nhiều đối tượng hệ thống Có khả tạo phân tích thông điệp PKI Nếu xét cách khái quát, chức thực tương tự EE Tuy vậy, tình trao đổi thơng tin cụ thể thủ tục tương ứng hai đối tượng coi đối ngẫu Nghĩa là, CA tạo thơng điệp PKI EE phân tích, ngược lại, EE tạo thơng điệp PKI CA phân tích Có khả tạo phân tích trường thơng tin thẻ xác nhận Điều đảm bảo cho trình trao đối thơng tin thẻ xác nhận thực giữ CA EE CA với Có khả quản lý hiển thị danh sách thẻ xác nhận tạo Tính hỗ trợ cho đối tượng quản trị CA Q trình cụ thể hình dung sau: Với thẻ xác nhận tạo ra, CA phải lưu lại thẻ xác nhận cần cho hiển thị trở lại CA phải có cơng cụ để thiết lập thơng số hệ thống kết nối, thơng tin sách thẻ xác nhận công cụ quản lý đối tượng đăng nhập để sử dụng hệ thống 4.3.1.2 Các yêu cầu EE EE có số chức xử lý thông tin giống CA Tuy nhiên, có cơng việc quan trọng mà EE khơng phải thực thiết lập thơng tin cho thẻ xác nhận Với thẻ xác nhận CA cấp, EE cần lưu lại sử dụng phiên làm việc sau Các yêu cầu EE gồm có: Tạo trì kết nối cho phiên làm việc với CA Tuy nhiên, phát triển lớn EE phải trao đổi thơng tin đồng thời với nhiều đối tượng khác Do vậy, để đảm bảo tính mở ứng dụng, ta phải đảm bảo cho EE quản lý nhiều tiến trình truyền thơng đồng thời Có khả tạo phân tích thơng điệp PKI Như nêu phần yêu cầu CA, EE phải có chức đối ngẫu với CA việc xử lý thơng điệp Có khả tạo u cầu phân tích trường thơng tin thẻ xác nhận Tuy tạo thẻ xác nhận EE phải tạo yêu cầu phải phân tích 66 Q trình xây dựng hệ thống HẠ TẦNG KHỐ CƠNG KHAI thẻ xác nhận cấp Tính phục vụ cho q trình sử dụng thơng tin thẻ xác nhận phiên làm việc để hiển thị thơng tin Có cơng cụ để quản lý đối tượng đăng nhập sử dụng hệ thống công cụ thiết lập tham số hệ thống kết nối 4.3.2 Các lớp đối tượng Trong phần này, ta tìm hiểu lớp đối tượng cần xây dưng Với lớp đối tượng, ta có mơ tả sơ lược chức thàn phần chúng Ta không mô tả riêng biệt lớp CA EE mà xem xét chung đối tượng cho toàn hệ thống Các lớp xây dựng gồm có: CCertificationAuthority CEndEntity CPKIMessage CCertificate CSessionSocket CListeningSocket CCryptoTools Sau ta tìm hiểu thông tin lớp 4.3.2.1 Lớp CCertificationAuthority Lớp xây dựng để thực chức CA Đây lớp định ứng dụng xây dựng Thành phần lớp đối tượng thuộc lớp khác để thực tính CA Hai lớp đươc xây dựng để hỗ trợ cho lớp lớp thơng điệp lớp thẻ xác nhận Ngồi ra, lớp cón có thành phần lưu thông tin phục vụ trực tiếp cho phiên trao đỏi thông tin thông tin cần lưu trữ lâu dài danh sách thẻ xác nhận khóa Các chức trực tiếp lớp khơng xây dựng chức cần thiết đối tượng CA xây dựng lớp đối tượng thành phần 4.3.2.2 Lớp CEndEntity Cũng giống lớp CCertificationAuthority, lớp CEndEntity xây dưng với chức tạo từ đối tượng thành phần Đây lớp để tạo ứng dụng EE Đối tượng có thành phần lưu trữ thông tin lâu dài thẻ xác nhận Các thơng tin cịn lại quản lý theo phiên làm việc 67 Quá trình xây dựng hệ thống HẠ TẦNG KHỐ CƠNG KHAI 4.3.2.3 Lớp CPKIMessage Do tồn thơng tin cần thiết thông điệp PKI hỗ trợ hệ điều hành nên ta không cần xây dựng biến thành phần lớp Thông tin cần tổ chức thơng điệp PKI tạo ra, mã hố thồng điệp huỷ ta có thơng điệp dạng chuỗi byte liệu Định hướng xây dựng cho lớp CPKI cung cấp hàm để tạo phân tích thành phần thông điệp PKI mô tả Đối với CA EE, có số thủ tục xây dựng giống (thủ tục tạo header), lại hầu hết thủ tục mang tính đối ngẫu Nghĩa là, với kiểu thông điệp PKI, CA thủ tục xây dựng EE thủ tục phân tích, ngược lại 4.3.2.4 Lớp CCertificate Do đặc thù hệ thống PKI CA tạo thẻ xác nhận nên ta dễ nhận thấy lớp không giống xây dựng cho CA cho EE Đối với CA, lớp vừa có chức tạo lập có chức phân tích thơng tin thẻ xác nhận Việc phân tích thơng tin thẻ xác nhận CA nhằm đáp ứng hai muc tiêu chủ yếu hiển thị thông tin nhận biết trường thông tin thu trường hợp cấp thẻ xác nhận ngang hàng Đối với EE, lớp xây dựng nhằm mục đích phân tích trường thông tin thẻ ứng dụng Nếu phát triển chặt chẽ, ta xây dựng hai lớp thành phần cho lớp với chức tạo lập phân tích Lớp cho CA có hai chức cịn lớp cho EE có tinh phân tích 4.3.2.5 Lớp CSessionSocket Lớp CSessionSocket đảm nhận chức truyền thông cho phiên làm việc CA EE Nhiệm vụ cụ thể lớp gửi thông tin đến đối tượng nhận nhận thông tin gửi đến vào buffer liệu để chuẩn bị cho xử lý Để đáp ứng yêu cầu làm việc theo nhiều phiên đối tượng, socket tạo bổ sung vào danh sách mô tả phần phân tích thiết kế 4.3.2.6 Lớp CListeningSocket Như mơ tả phần phân tích thiết kế, nhiệm vụ lớp đơn giản lắng nghe yêu cầu kết nối Khi kết nối chấp nhận, tạo SessionSocket gửi cho đối tượng yêu cầu kết nối Sau đó, trình lắng nghe yêu cầu kết nối lại tiếp tục Riêng với phía CA, sau gửi thơng báo chấp nhận cho EE, ta thực số thủ tục phân phát thông tin định danh khố cơng khai CA 4.3.2.7 Lớp CCryptoTools Lớp có chức thực thủ tục mã hố giải mã liệu cho tồn hệ thống Nó lập trình theo ngun tắc độc lập với liệu đầu vào tham số hệ thống Nghĩa là, ta khơng cần chỉnh sửa mã nguồn sử dụng lớp cho nhiều hệ thống khác Việc đảm bảo tính đóng gói đối tượng xây dựng 68 Quá trình xây dựng hệ thống HẠ TẦNG KHỐ CƠNG KHAI Ngồi khả mã hố giải mã, lớp đối tượng có phương thức hỗ trợ trình trao đổi thoả thuận khố Chức khơng thể thiếu ta thực mã hố liệu với khoá tương đồng 4.3.3 Các đối tượng lưu trữ liệu phương thức quản lý Toàn liệu sử dụng chương trình lưu dạng file text Ta cần có file sau để lưu liệu chương trình: File lưu thơng tin account người sử dụng hệ thống, file có tên useraccount.acn File lưu thơng tin sách hệ thống PKI, file có tên: certpolicy.ctp File lưu thông tin thẻ xác nhận, file có tên certstore.cts Sau đây, ta tìm hiểu chi tiết phương thức quản lý file liệu 4.3.3.1 Quản lý file lưu trữ account Việc quản lý file gắn liền với việc quản trị account đối tượng có quyền cao thực Trong thực tế, file sử dụng hai trương hợp tiêu biểu là: Các thao tác account Các thao tác account gồm có việc bổ sung, xố bớt tạo account Trong thực tế, có hoạt động vậy, ta tải thơng tin account vào nhớ chương trình Những thơng tin phục vụ cho q trình thao tác với account, sau đó, chúng cập nhật lưu trở lại file hoạt động hoàn tất Các hoạt động kiểm chứng người sử dụng Các hoạt động kiểm chứng diễn người sử dụng đăng nhập thông tin account để sử dụng hệ thống Với thông số account mà người sử dụng cung cấp, hệ thống tải thơng tin account mà lưu trữ vào nhớ để thực kiểm chứng Nếu có tên đối tượng sử dụng danh sách mật cung cấp người sử dụng phép sử dụng chương trình Sau pha này, thơng tin lưu file lại đóng lại Thực chất, file đóng thông tin account tải vào nhớ tồn hoạt động kiểm chứng khơng có thủ tục làm thay đổi thơng tin account cần phải cập nhật vào file nhớ 4.3.3.2 Quản lý file lưu trữ sách hệ thống PKI File chứa thông tin cần thiết sách hệ thống PKI Trong hệ thống triển khai đầy đủ, thông tin quan trọng thường xuyên dùng đến Trong hệ thống triển khai, việc thiết lập quản trị sách cịn chưa hồn thiện nên ta khơng thể dùng thơng tin sách tất hoạt động hệ thống Trong lập trình thực thi, ta sử dụng thông tin tạo thẻ xác nhận nên file lưu trữ sách tải vào nhớ 69 Quá trình xây dựng hệ thống HẠ TẦNG KHỐ CƠNG KHAI hoạt động tạo thẻ xác nhận diễn Còn lại, file coi đối tượng lưu trữ thông tin tĩnh 4.3.3.3 Quản lý file lưu trữ thẻ xác nhận File lưu tất thẻ xác nhận mà hệ thống cần quản lý Thực chất, CA EE phải có file lưu trữ việc CA phải làm việc với nhiều thẻ xác nhận điều đương nhiên Ngoài ra, EE có nhiều thẻ chứng nhận CA khác cung cấp Trong hệ thống triển khai, cho dù có CA EE việc tổ chức file tạo điều kiện thuận lợi cho việc mở rộng hệ thống Quản lý phía CA CA quản lý file với mục đích phục vụ cho q trình tạo mới, huỷ bỏ tạo thẻ tự xác nhận Do vậy, thường xun phải sử dụng đến thông tin lưu file Tuy nhiên, ta nhận thấy điều CA thường xuyên sử dụng thẻ xác nhận thân cấp Thơng tin thẻ ngồi mục đích nhằm xác thực cho thân CA cịn dùng hoạt động tạo thẻ xác nhận khác Do vậy, lập trình thực thi, ta tải thông tin thẻ xác nhận vào nhớ chương trình thơng tin tồn suốt trình hệ thống Khi cần, hoạt động cập nhật diễn sau thơng tin cập nhật có hiệu lực để hệ thống sử dụng Quản lý phía EE Các EE quản lý thẻ xác nhận chủ yếu nhằm tạo cơng cụ để xác thực cho thân dựa phương thức chữ ký số Khi muốn đối tượng (do CA gốc quản lý) xác thực, phải gửi thơng điệp chữ ký số thẻ xác nhận CA gốc CA cấp thấp cung cấp Như vậy, ta không lấy thông tin thẻ xác nhận vào nhớ chương tình mà lấy thẻ xác nhận định cần Sau tạo chữ ký số thẻ xác nhận tạo, thông tin thẻ xác nhận giải phóng khỏi nhớ Trong trường hợp EE phải thường xuyên dùng đến thẻ xác nhận hơn, phương pháp không thật hiệu Tuy nhiên, việc quản lý thông tin giảm bớt rủi ro làm tăng hiệu hệ thống 70 Phần 5 KIỂM THỬ VÀ ĐÁNH GIÁ KẾT QUẢ 5.1 ĐÁNH GIÁ VỀ NHỮNG KẾT QUẢ NGHIÊN CỨU LÝ THUYẾT Trong trình nghiên cứu lý thuyết phục vụ cho đồ án, ta có thơng tin vấn đề liên quan đến hệ thống PKI Những thông tin thu từ tài liệu đặc tả hỗ trợ nhiều cho việc lập trình thực thi hệ thống CA EE Những kết lý thuyết có khơng bao hàm phần trình bày báo cáo Ta có hiểu biết định phương thức mã hố bảo mật, mơ hình dịch vụ an toàn an ninh, hệ thống triển khai Việc áp dụng kết lý thuyết chưa hoàn toàn chặt chẽ song bược đầu tiên, bước kiểm chứng lý thuyết tìm hiểu Tuy nhiên, cịn nhiều lĩnh vực thơng tin cần tìm hiểu để có nhìn hồn thiện hệ thống Đây điều cần thiết ta muốn hoàn thiện hệ thống định hướng xây dựng hệ thống với khả ứng dụng thực 5.2 ĐÁNH GIÁ VỀ NHỮNG CHỨC NĂNG ĐÃ XÂY DỰNG Bảng 1: Danh sách chức triển khai STT Tên chức Hệ thống Các chức thẻ xác nhận 1.1 1.2 Chức đóng gói lưu trữ thẻ xác nhận CA EE 1.3 Chức tạo thẻ xác nhận CA Chức quản lý danh sách thẻ xác nhận CA EE Các chức quản lý hệ thống PKI 2.1 CA EE 2.2 Chức yêu cầu đáp ứng thông tin hệ thống PKI CA EE 2.3 Chức khởi tạo hệ thống CA EE 2.4 Chức yêu cầu đáp ứng thẻ xác nhận Chức yêu cầu đáp ứng thẻ xác nhận ngang hàng CA Các chức quản lý kết nối 3.1 CA EE 3.2 Chức nghe đáp ứng yêu cầu kết nối Chức quản lý danh sách phiên kết nối CA EE Các công cụ quản trị hệ thống 4.1 4.2 Công cụ tạo lập quản lý sách thẻ xác nhận CA 4.3 Công cụ quản lý người sử dụng hệ thống Công cụ quản lý kiện hệ thống CA Chức bảo vệ liệu thông qua thủ tục mã hoá giải mã Dong Manh Quan Trang 71 CA EE CA EE 23/08/2005 Kiểm thử đánh giá kết HẠ TẦNG KHỐ CƠNG KHAI Trong phần này, ta có đánh giá nhận xét chức hệ thống triển khai Dựa đánh giá ưu khuyết điểm hệ thống triển khai, ta để biện pháp cải tiến nhằm hoàn thiện hệ thống Trong phần này, ta tiến hành kiểm thử chức hai hệ thống xây dựng Do đặc điểm hệ thống nhiều thông qua hiệu nên việc xác định mức độ hồn thiện hệ thống khơng đánh giá nhiều qua yếu tố Ngoài ra, có chức thực cho CA EE nên ta đánh giá chức với CA Việc đánh giá thực riêng với đối tượng cần thiết Hệ thống triển khai với chức nêu phần phân tích thiết kế chức chi tiết Sau đây, ta xét danh sách chức triển khai 5.2.1 Các chức thẻ xác nhận Với chức quản lý thẻ xác nhận xây dựng, ta có đánh giá chức sau: 5.2.1.1 Chức tạo thẻ xác nhận Việc tạo thẻ xác nhận, mơ tả phần phân tích thiết kế, tiến hành theo nhánh phân cấp thành phần từ lên Ta có nhận xét chức sau: Ưu điểm Quá trình tạo thẻ xác nhận thực theo tiến trình tuyến tính cho thành phần riêng biệt Điều giúp ta dễ dàng nắm bắt trình tạo thẻ xác nhận dễ dàng tìm đoạn gây lỗi cho hệ thống làm sai lệch thông tin Việc tạo thẻ xác nhận theo thành phần nhỏ lên giúp ta độc lập việc tạo thẻ xác nhận cấp độ Đây thể q trình module hố cơng việc, chưa triệt để công đoạn phân nhỏ đến mức đủ để coi cơng đoạn Hạn chế Việc tạo lập theo mơ hình tuyến tính có nguy thất bại cao Nếu có cơng đoạn khơng thực tồn q trình thất bại Ví dụ, tất phần thẻ xác nhận hoàn thành ngoại trừ phần mở rộng sách thẻ xác nhận, việc truy cập đến thông tin sách hệ thơng khơng thể thực coi trình tạo thẻ thất bại Để tránh tượng này, ta cần phải tổ chức đáp ứng thông tin để tạo thẻ xác nhận thật tốt Việc quản lý nhớ cho biến trung gian hay thành phần thẻ xác nhận cần xác đến byte Như vậy, ta không gặp phải lỗi q trình giải phóng nhớ Đây lỗi hay gặp thao tác với cấu trúc liệu Trong trình phát triển hệ thống, vấn đề lưu ý đặc biệt 72 Kiểm thử đánh giá kết HẠ TẦNG KHOÁ CƠNG KHAI Q trình tạo đóng gói thẻ xác nhận tiến hành đồng thời Thực chất, vói yêu cầu hệ thống cần xây dựng việc cần làm Điều giúp cho hệ thống tận dụng tối đa nhịp thời gian CPU dành thời gian hệ thống cho tiến trình khác Tuy nhiên, điều hợp lý ta thực hệ thống nhỏ, với lượng thông tin cần xử lý không lớn (thời gian CPU không tăng ta tạo thẻ xác nhận máy Pentium II - 400 MHz) Khi CA hoạt động hệ thống có nhiều đối tượng sử dụng việc cấp phát thẻ xác nhận nhiều diễn động thời, ta cần phải phân chia trình làm hai giai đoạn riêng biệt Như vậy, thời gian hệ thống lượng nhớ chương trình khơng tăng đột ngột 5.2.1.2 Chức đóng gói lưu trữ thẻ xác nhận Chức xây dựng với mục đích chuyển đói cấu trúc thẻ xác nhận sang chuỗi byte để lưu trữ hay truyền đến đối tượng nhận Nguyên tắc đóng gói thẻ xác nhận giống với đóng gói thơng tin khác mà hệ thống cần quản lý Ta có đánh giá chức sau: Ưu điểm Chức đóng gói lưu trữ thẻ xác nhận thực cho phép ta nắm rõ trình tổ chức lưu trữ thẻ xác nhận mà hệ thống cần thực Trong thực tế, trình cần thực cách độc lập mà không nên dựa vào công cụ mà hệ điều hành hỗ trợ nhiều Các biện pháp tăng cường an ninh hiệu cho trình lưu trữ thực dễ dàng dựa hiểu biết rõ ràng cách thức lưu trữ thơng tin Mặc dù cách thức đóng gói lưu trữ thẻ xác nhận chưa hoàn toàn tối ưu tốc độ thức lưu trữ sử dụng dấu hiệu đặc biệt để phân tách trường, ta coi việc lưu trữ hiệu Do số lượng dấu hiệu phân tách cố định nên ta không thấy chúng ảnh hưởng nhiều đến toàn thẻ xác nhận kích thước thẻ thay đổi Sự sai sót trường khơng ảnh hưởng đến trường khác Hạn chế Q trình đóng gói liệu thực chất đẩy trường liệu mảng với dấu hiệu phân tách đặc biệt Làm chưa tận dụng khả mà công cụ phát triển hỗ trợ Các ứng dụng MFC sử dụng tính đồng liệu xây dựng sẵn Nếu ta xây dựng thẻ xác nhận riêng mà không sử dụng cấu trúc định nghĩa sẵn, việc đồng liệu thực ta vào chi tiết trường thẻ xác nhận Các thẻ xác nhận lưu thành khối có kích thước cố định vào nhớ Điều làm tốn nhớ lưu trữ, số lượng thẻ xác nhận tăng lên Giải pháp cho vấn đề đọc ghi xác byte liệu Hệ thống triển khai với chức song gặp phải số hạn chế kiểu liệu lưu trữ Tuy nhiên, khơng cịn cản trở ta xây dựng lớp thẻ xác nhận với khả đồng liệu riêng 73 Kiểm thử đánh giá kết HẠ TẦNG KHỐ CƠNG KHAI 5.2.1.3 Chức quản lý danh sách thẻ xác nhận Chức quản lý danh sách thẻ xác nhận bao gồm việc bổ sung, loại bỏ, cập nhật trích thơng tin cần thiết từ thẻ xác nhận mà hệ thống cần lưu trữ Thực chất, trình đồng liệu hệ thống hoạt động với liệu lưu trữ file Ta có đánh giá sau trình đồng liệu hệ thống: Ưu điểm Quá trình đồng đảm bảo cần thơng tin thẻ xác nhận đưa vào nhớ hệ thống Việc bổ sung hay loại bỏ thẻ xác nhận thực dễ dàng hệ thống làm việc trực tiếp với file mà không cần thông qua danh sách thẻ xác nhận quản lý Hạn chế Việc tải thông tin vào nhớ cần thiết cho dù có tiết kiệm nhớ cho hệ thống khơng thật hợp lý hệ thông phải liên tiếp truy cập đến danh sách thẻ xác nhận theo phiên ròi rạc Trong trường hợp đó, việc đọc ghi thơng tin từ file tốn nhiều thời gian hệ thống Đây điều thường gặp triển khai hệ thống lớn, liệu hệ thống truy cập thay đổi Ở đây, ta có hai giải pháp cho hệ thống lớn sau: Thứ nhất, cần tổ chức lại việc lưu trữ danh sách thẻ xác nhận Danh sách thẻ xác nhận phân đoạn để dễ quản lý theo kiểu danh mục nhóm đối tượng Thứ hai, ta sử dụng hệ thống quản trị sở liệu (DBMS) chuyên nghiệp Oracle Với CA lớn, giải pháp khả quan Với việc sử dụng DBMS, liệu lưu trữ vơ lớn mà hệ thống lại có cơng cụ mạnh để can thiệp vào liệu cần quản lý Danh sách lưu thẻ xác nhận danh sách tuyến tính Ta chưa tổ chức danh sách thẻ xác nhận hỗ trợ việc tìm kiếm thông tin cần thiết 5.2.2 Các chức quản lý hệ thống PKI Trong phần này, ta tìm hiểu đặc điểm chức xây dựng nhằm quản lý hệ thống PKI Những chức có thẻ tác động riêng đến đối tượng số đối tượng hệ thống 5.2.2.1 Yêu cầu đáp ứng thẻ xác nhận Ưu điểm Quá trình yêu cầu đáp ứng thẻ xác nhận thực theo mô tả giao thức có giản lược để chức thực đơn giản Quá trình kết hợp tốt với việc đồng thông tin thẻ xác nhận hai phía Hạn chế 74 Kiểm thử đánh giá kết HẠ TẦNG KHỐ CƠNG KHAI Việc cấp phát thẻ xác nhận cho đối tượng chưa kết hợp tốt với sách hệ thống Thứ nhất, sách cho hệ thống cịn Thứ hai, hệ thống phát triển dựa tảng sách an tồn an ninh cịn Hiện tại, ta chưa có giải pháp để tăng cường vai trị sách hệ thống Trong hệ thống an toàn an ninh, sách an tồn an ninh yếu tố định đến an toàn hệ thống Điều đề cập phần phân tích thiết kế hệ thống Thẻ xác nhận truyền cho đối tượng yêu cầu dạng khơng mã hố Ta nói việc phân tích thiết kế song cần nhắc lại thông điệp PKI thực tế cần có số biện pháp bảo vệ Hiện tại, ta có thẻ thực mã hố thơng điệp truyền với công cụ hỗ trợ Tuy vậy, việc mã hố giải mã khơng phải lúc thực xác nên ta khơng tin tượng vào công cụ Khi phát triển thư viện thủ tục mã hoá liệu, ta sử dụng để mã hố hầu hết thông điệp PKI truyền 5.2.2.2 Chức yêu cầu đáp ứng thông tin hệ thống PKI Hiện tại, chức yêu cầu thông tin hệ thống PKI giúp đối tượng có thông tin cần thiết pha khởi tạo hệ thống Nó có hạn chế với tất q trình khác thơng điệp truyền cịn chưa qua mã hoá 5.2.2.3 Chức khởi tạo hệ thống Ưu điểm Quá trình khởi tạo tạo đầy đủ thông tin cần thiết cho hệ thống hoạt động cách nhanh chóng (khi chạy máy gần tức thời) Đối với người sử dụng, thao tác cần thực nhập vào thông tin cần thiết để sử dụng hệ thống Hạn chế Hiện thông tin yêu cầu đáp ứng giới hạn thông tin phục vụ cho trình khởi tạo Bản thân thơng tin (định danh, khố cơng khai …) giản lược nên thơng tin cịn chưa hồn thiện cho dù đủ để khởi tạo cho hệ thống Trong pha khởi tạo CA, thơng tin định danh khố cơng khai chưa truyền theo dạng thẻ tự ký hay thơng điệp fingerprint Tồn thơng tin truyền dựa yêu cầu từ phía CA Tuy nhiên, muc tiêu thực ta có phương thức đóng gói liệu riêng để đảm bảo an tồn cho thơng điệp truyền Trong mức độ đó, coi thơng điệp chứa khố cơng khai CA thông điệp fingerprint 5.2.2.4 Chức yêu cầu đáp ứng thẻ xác nhận ngang hàng Chức sử dụng cho trình yêu cầu đáp thẻ xác nhận CA với Về bản, chức dựa trình yêu cầu cấp phát thẻ xác nhận dành cho EE Qua thực tế triển khai, ta có số nhận xét chức sau: 75 Kiểm thử đánh giá kết HẠ TẦNG KHỐ CƠNG KHAI Ưu điểm Thẻ xác nhận yêu cầu đáp ứng giống EE Điều đơn giản hố q trình thực hài hồ với thong tin sách cịn chưa hồn thiện Hạn chế Mơ hình u cầu chấp nhận thẻ xác nhận ngang hàng chưa thể đặc trưng mơ hình danh sách tin cậy nêu Nguyên nhân vấn đề hạn chế việc đề sách cho mối quan hệ CA nội miền liên miền Điều cần có định hướng chiến lược thực tế quản trị hệ thống an toàn an ninh Độ an toàn khả kiểm tra tính hợp thức CA giảm sút Ta chấp nhận điều muốn minh hoạ q trình thực khơng thể chấp nhận triển khai hệ thống sử dụng thực tế 5.2.3 Các chức quản lý kết nối Việc quản lý kết nối để phục vụ cho phiên truyền thông thường không đánh yêu tố hệ thống PKI Nhưng thực tế vấn đề truyền thơng lại yếu tố khơng thể thiếu hệ thống thông tin Ta không đề cập nhiều tới ưu điểm nhược điểm chức quản lý kết nối có số nhận xét mơ hình tổ chức kết nối Xét cách tổng thể, trình truyền thơng gồm hai tiến trình Tiến trình nghe yêu cầu tiến trình đáp ứng hoạt động phiên tương tác Việc tổ chức riêng hai tiến trình làm hợp lý hệ thống đồng thời tham gia vào nhiều phiên làm việc Ta có nhìn rõ ràng cách thực dễ dàng tiến trình truyền thơng với nhiều mục đích khác 5.2.4 Các công cụ quản lý hệ thống Các công cụ quản lý hệ thống tạo với mục tiêu đảm bảo cho hoạt động khác hệ thống minh hoạ chức chưa có điều kiện triển khai đầy đủ 5.2.4.1 Quản lý người sử dụng hệ thống Ưu điểm Công cụ cách thức để hạn chế người sử dụng hệ thống Nó giúp hệ thống khơng bị xáo trộn người khơng có quyền Những mức phân quyền khác mà hệ thống cung cấp cho phép hệ thống sử dụng cách linh hoạt cho nhiều người sử dụng với quyền ưu tiên khác Công cụ thực chất kết hợp với q trình thu nhận thơng tin để khởi tạo đối tượng người sử dụng muốn gia nhập hệ thống PKI Điều giúp cho q trình đăng nhập thu thập thơng tin khởi tạo đơn giản 76 Kiểm thử đánh giá kết HẠ TẦNG KHỐ CƠNG KHAI Hạn chế Các thơng tin để kiểm sốt đối tượng sử dụng lưu dạng file text thông thường nên khơng thể đảm bảo an tồn cao Trong thực tế, việc giữ kín thơng tin đăng nhập cần thiết Nó hạng chế đựoc nhiều hình thức công vào hệ thống Hạn chế khắc phục ta có số cơng cụ mã hố liệu tốt Việc cấp quyền sử dụng hệ thống chưa dựa nguyên tắc hay sách phần quyền quản trị hệ thống Kết việc tính phân quyền cịn chưa triệt để Nếu xem xét cách khái quát, ta thấy việc đưa cấp ưu tiên cho người sử dụng cho phép Giải pháp cho vấn đề phải định sách phân quyền quản trị hệ thống Nếu kết hợp tốt với q trình cáp quyền sử dụng, ta đảm bảo an toàn hợp lỹ phiên quản trị hệ thống người sử dụng nhiều mức khác Như vậy, hệ thống cần phải có cơng cụ để hỗ trợ việc cụ thể hố sách phân quyền sử dụng Sau đó, phải kết hợp tốt với việc tạo quyền sử dụng cho người quản trị hệ thống 5.2.4.2 Công cụ thiết lập quản lý sách thẻ xác nhận Thực chất, công cụ xây dựng nhàm minh hoạ q trình quản lý sách thẻ xác nhận Những sách thời gian sống thẻ xác nhận hay cơng dụng khố cơng khai phần đáp ứng thông tin cần thiết cấp phát thẻ xác nhận Tuy vậy, ta khẳng định thân sách cịn chưa đầy đủ Ngồi ra, sách cho thẻ xác nhận cần phải đầy đủ chi tiết Ví dụ, sách giới hạn phạm vi cấp thẻ xác nhận cho đối tượng cần thiết Chính sách đảm bảo cho khả quản lý hệ thống PKI CA Xin nhắc lại nguyên tắc hệ thống an tồn an ninh: Các sách an tồn an ninh nhiều có vai trị định cơng cụ để thực mục tiêu an tồn an ninh 5.2.4.3 Công cụ quản lý kiện hệ thống Công cụ giúp người quản trị hệ thống cấp cao biết tác động hệ thống từ nhiều nguồn khác Sự tác động người quản trị, phiên giao dịch hay tình gặp lỗi bất ngờ Ta có nhận xét cơng cụ sau: Ưu điểm Công cụ hoạt động hiệu quả, quản lý tất kiện định Việc xác định thơng tin kiện cần lưu trữ thực dễ dàng Thông tin kiện mà cơng cụ cung cấp gồm có thời gian xảy kiện, tên kiện đối tượng gây kiện Đây thông tin quý giá giúp cho người quản trị dị tìm ngun nhân gây lỗi hệ thống gặp phải trục trặc Với thông tin có người quản trị đề sách hay sửa phần thực thi hệ thống 77 Kiểm thử đánh giá kết HẠ TẦNG KHỐ CƠNG KHAI Hạn chế Các thông tin kiện mà hệ thống lưu trữ cịn chưa mã hố chưa bảo vệ trước hành vi phá hoại có chủ ý Ví dụ, đối tượng sau thực hành vi khơng hợp lệ tìm cách xố thông kiện lưu trữ file Điều khơng khó file lưu thư mục file chạy chương trình Giải pháp cho vấn đề tìm cách cất giấu liệu thật tốt, liệu lưu thành số định để thực khả phục hồi phần bị Ta hình dung kiến trúc RAID cho thiết bị lưu trữ liệu ngoại vi hệ thống máy chủ Nó đảm bảo phục hồi liệu trì hoạt động liên tục hệ thống Công cụ để định loại kiện cần lưu trữ chưa xây dựng Đây điều quan trọng khơng phải tất kiện cần lưu trữ Nếu ta lưu trữ tất kiện hệ thống khơng có đủ chỗ để lưu thơng tin 5.2.4.4 Chức mã hoá liệu Đây chức quan trọng hệ thống Việc kiểm thử chức thực dựa thơng số tốc độ tính tốn, khơng gian lưu trữ độ an tồn Sau số đánh giá chức Ưu điểm Dữ liệu mã hoá với phương thức mã hoá tương đồng nên thời gian thực nhanh (gấp khoảng 10 lần so với mã hoá khoá cơng khai) Khố phiên sử dụng loại khố tương đồng nên kích thước nhỏ (140 byte) Do vậy, việc gửi kèm khố phiên với thơng điệp mã hố làm đơn giản hố q trình truyền nhận giải mã thơng tin Nếu khố phiên liệu truyền theo hai thông điệp riêng biệt việc đồng hai thơng điệp khó khăn Mỗi thơng điệp cần truyền mã hoá với khoá phiên khác nhau, vậy, độ bất định thơng tin khố cao Đặc điểm giúp cho việc mã hoá trở nên an toàn Hạn chế Hiện chức thực hồn tồn dựa cơng cụ mà hệ điều hành cung cấp Q trình mã hố giải mã thông tin không linh động ta thực bên hệ thống Việc dùng khố phiên cho thơng điệp cho dù không tốn nhiều liệu song làm giảm nhiều hiệu sử dụng đường truyền Hơn nữa, việc gửi kèm khố phiên mã hóa với thơng điệp lại tạo điều kiện cho đối tượng cơng thực q trình đồng khố thơng điệp Việc cần phải làm tìm khố phiên dựa liệu khố mã hóa 78 TÀI LIỆU THAM KHẢO Giáo trình mơn học: Cơng nghệ phần mềm Giáo trình mơn học: Phân tích thiết kế hệ thống Applied Cryptography – Bruce Schneider – 1996 Handbook of Applied Cryptography – J Menezes, Paul C van Oorschot, Scott A Vanstone – 1997 RFC – 2459: Internet X.509 Public Key Infrastructure Certificate and CRL Profile - R Housley, W Ford, W Polk, D Solo – 2001 RFC – 2510: Internet X.509 Public Key Infrastructure Certificate Management Protocols - C Adams, S Farrell – 2001 RFC – 2511: Internet X.509 Certificate Request Message Format - M Myers, C Adams, D Solo, D Kemp – 2001 RFC – 2527: Internet X.509 Public Key Infrastructure Certificate Policy and Certification Practices Framework - S Chokhani, W Ford – 2001 Public Key Infrastructure (PKI)Technical Specifications: Part A - Technical Concept of Operations – W E Burr – 1999 10 Introduction to Public Key Technology and the Federal PKI Infrastructure – NIST– 1999 Dong Manh Quan Trang 79 23/08/2005 ... Internet id-qt OBJECT IDENTIFIER ::= { id-pkix } id-qt-cps OBJECT IDENTIFIER ::= { id-qt } id-qt-unotice OBJECT IDENTIFIER ::= { id-qt } PolicyQualifierId ::= OBJECT IDENTIFIER ( id-qt-cps | id-qt-unotice... hoá liệu Khoá để mã hoá khoá phiên Khoá để chống bác bỏ Khoá tạo cho hàm phân tách Khoá để ký CRL chế độ offline Khoá để thoả thuận khoá phiên 4.2.4.3 Công cụ quản lý danh sách thẻ xác nhận Công. .. Các thuật ngữ Hạ tầng khố cơng khai (Public Key Infrastructure - PKI) Kênh truyền thơng riêng (Out-of-band) Khố cơng khai (Public Key) Khố riêng (Private Key) Khơng thể bác bỏ (Non-repudiation)