Phần này trình bày toàn bộ quy trình tác nghiệp phát hành và quản lý chứng thư số tại Trung tâm bảo mật thông tin Kinh tế - Xã hội, Ban Cơ yếu Chính phủ. Hệ thống BioPKI sẽđược thử nghiệm các dịch vụ lõi cho quy trình tác nghiệp này. Các giao dịch chính trong quy trình bao gồm :
− Cấp phát chứng thư số mới.
− Hủy chứng thư số theo yêu cầu của người dùng. − Cấp lại chứng thư mới : bao gồm 2 giao dịch
• Hủy chứng thư số cũ
• Cấp phát chứng thư số mới
Giao dịch xin gia hạn sử dụng chứng thư số không được sử dụng vì lý do đảm bảo an toàn – an ninh thông tin.
4.1.1.1 Cấp phát chứng thư mới
Quy trình cấp phát chứng thư mới như sau :
(1) Người dùng muốn có 1 chứng thư số để sử dụng đến chi nhánh đăng kí chứng thư số , điền thông tin vào mẫu đơn đăng kí xin cấp chứng thư số nộp cho nhân viên chi nhánh. Các thông tin bao gồm :
85 - Giới tính - Ngày sinh - Nơi sinh - Quốc tịch - Số CMND/Hộ chiếu - Ngày cấp - Nơi cấp - Địa chỉ thường trú - Nơi công tác - Điện thoại - Fax - Điện thoại di động - Email - Chức vụ - Thời hạn đề nghị cấp (tối đa là 05 năm tính từ ngày cấp chứng thư số)
(2) Nhân viên chi nhánh kiểm tra thông tin đăng kí, kiểm tra thuê bao và quyết định chấp nhận yêu cầu hoặc không.
(3) Nếu đồng ý, nhân viên chi nhánh nhập thông tin đăng kí từ giấy vào máy tính, kí dữ liệu và gửi cho trung tâm đăng kí.
(4) Nhân viên tại trung tâm đăng kí kiểm tra chữ kí dữ liệu nhận được từ chi nhánh, nếu kiểm tra tốt, dữ liệu được lưu vào một cơ sở dữ liệu.
Chú ý, nếu dữ liệu đăng kí cần sửa chữa tại trung tâm, cần phải ghi nhận lại sự sửa chữa này.
(5) Xuất dữ liệu đăng kí từ cơ sở dữ liệu tại trung tâm đăng kí, kí lên tập dữ liệu đăng kí gửi cho trung tâm phát hành chứng thư số qua thiết bị lưu trữ cá nhân. (6) Trung tâm phát hành kiểm tra dữ liệu đăng kí nhận được từ trung tâm đăng kí.
(7) Nếu kết quả kiểm tra chữ kí tốt, trung tâm phát hành ghi nhận các yêu cầu đăng kí vào cơ sở dữ liệu.
86
(8) Trung tâm phát hành chứng thư số theo các yêu cầu đã có trong cơ sở dữ liệu (9) Trung tâm phát hành chuyển tình trạng yêu cầu đăng kí (qua thiết bị lưu trữ cá nhân), thiết bị nhúng chứa chứng thư số xuống cho trung tâm đăng kí
(10) Trung tâm đăng kí ghi nhận ghi nhận tình trạng các yêu cầu đăng kí, chuyển thiết bị nhúng cho chi nhánh đăng kí để cấp cho thuê bao.
4.1.1.2 Hủy chứng thư theo yêu cầu
(1) Khi thuê bao phát hiện bị mất thiết bị, phải ngay lập tức thông báo với chi nhánh đăng kí. Các thông tin cần cung cấp bao gồm :
- Họ và tên - Giới tính - Ngày sinh - Nơi sinh - Quốc tịch - Số CMND/Hộ chiếu - Ngày cấp CMND/Hộ chiếu - Nơi cấp CMND/Hộ chiếu - Địa chỉ thường trú - Nơi công tác - Chức vụ - Số chứng thư số - Ngày cấp - Ngày hết hạn - Lý do thu hồi
(2) Chi nhánh đăng kí kiểm tra thông tin hủy bỏ và gọi điện lên trung tâm phát hành để hủy chứng thư số
(3) Trung tâm phát hành kiểm tra danh tính của chi nhánh đăng kí sau đó thực hiện hủy bỏ chứng thư số tương ứng
87
(4) Chi nhánh đăng kí nạp thông tin hủy bỏ vào máy tính, kí lên dữ liệu hủy bỏ và gửi cho trung tâm đăng kí.
(5) Trung tâm đăng kí kiểm tra chữ kí của chi nhánh đăng kí, nếu tốt thông tin hủy sẽđược lưu vào cơ sở dữ liệu của chi nhánh đăng kí.
(6) Trung tâm đăng kí kí số lên thông tin hủy, gửi lên trung tâm phát hành (sử dụng thiết bị lưu trữ cá nhân).
(7) Trung tâm phát hành kiểm tra chữ kí của trung tâm đăng kí, phát hành danh sách hủy bỏ CRL.
(8) Chi nhánh đăng kí ghi nhận hành chính yêu cầu hủy chứng thư số của người dùng.
4.1.2 Quy trình một nghiệp vụ trao đổi và xử lí văn bản
Phần này trình bày quy trình quản lí bảng điểm tại Viện Công nghệ thông tin và truyền thông, trường Đại học Bách khoa Hà Nội. Quy trình này sẽđược sử dụng làm kịch bản triển khai và thử nghiệm ứng dụng chữ kí số trên nền tảng Application-based. Qui trình nghiệp vụ cụ thể của ứng dụng được mô tả như sau:
1. Cuối mỗi kì học, phòng Đào tạo Đại học sắp xếp lịch thi kết thúc học phần cho sinh viên, lên danh sách các sinh viên đủ điều kiện dự thi. Bảng điểm của từng môn, đã được trưởng phòng Đào tạo Đại học ki xác nhận, được giao về cho khoa phụ trách môn đó.
2. Sau khi tổ chức thi kết thúc học phần mà khoa phụ trách cho sinh viên, giáo vụ khoa thông báo và giao cho các cán bộ Giảng dạy phụ trách môn học và lớp học tương ứng bài thi và bảng điểm.
3. Sau khi chấm xong bài thi, cán bộ Giảng dạy điền điểm thi của sinh viên vào bảng điểm, kí xác nhận và gửi lại cho giáo vụ khoa.
4. Giáo vụ khoa tập hợp các bảng điểm, chuyển lại cho Ban chủ nhiệm khoa xác nhận trước khi gửi trả cho Phòng Đào tạo.
5. Phòng Đào tạo nhận được bảng điểm, cập nhật vào cơ sở dữ liệu và đưa bảng điểm lên trang Web thông tin.
88
Như vậy, quy trình có liên quan đến 3 đơn vị trong trường, đó là Cán bộ phòng Đào tạo Đại học, Giáo vụ khoa và Cán bộ Giảng dạy. Khi bảng điểm đến mỗi đơn vị này, họ cần xác thực chữ kí của đơn vị đã gửi bảng điểm, thực hiện các thay đổi nếu cần thiết, và kí lên để xác nhận thay đổi của mình.
4.1.3 Triển khai hạ tầng hệ thống BioPKI tại địa chỉứng dụng
Hình 4.1 Mô hình triển khai hệ thống BioPKI tại các đơn vịứng dụng
Với quy trình tác nghiệp trên, khi cần triển khai hệ thống BioPKI tại địa chỉ ứng dụng, tác giả đề xuất triển khai tại mỗi địa chỉ ứng dụng từ mức RA, đảm bảo những chức năng sau :
− Chủđộng triển khai số lượng LRA tùy thuộc quy mô và chính sách của tổ chức. − Chủđộng đăng kí và quản lí người dùng theo chính sách của tổ chức.
89
− Tiếp nhận các yêu cầu của người dùng : đăng kí chứng thư số mới, hủy chứng thư số, xin cấp lại chứng thư số.
− Xét duyệt yêu cầu theo chính sách chung của hệ thống và chuyển tiếp yêu cầu cho CA (đặt tại cơ quan có thẩm quyền phát hành và quản lý chứng thư theo quy định của Pháp luật) qua thiết bị lưu trữ cá nhân.
− Nhận thẻ Bio-Etoken có chứa chứng thư số, khóa cá nhân và các thông tin khác từ CA. Trả thẻ cho người dùng.
− Cung cấp dịch vụ cho phép sử dụng chứng thư số tại đơn vị, cụ thể là ứng dụng chữ kí số.
− Đồng bộ hóa cơ sở dữ liệu quản lý chứng thư với cơ sở dữ liệu của CA. Điều này không những cho phép tổ chức tự chứng thực được chữ kí số trong tổ chức mà còn có thể chứng thực chéo chữ kí số của các đơn vị triển khai khác.
Hình 4.2 Hạ tầng triển khai hệ thống BioPKI
Hạ tầng triển khai hệ thống được mô tả trong hình 4.2 − Máy chủ RA :
• Cấu hình phần cứng :
9 CPU Pentium4 3.0 GHz (hoặc tương đương)
90
9 HDD 40GB
• Hệđiều hành : Microsoft Windows XP Professional SP2
• Các phần mềm môi trường : .Net framwork 2.0, thư viện OpenSSL • Hệ quản trị cơ sở dữ liệu : MySQL server 5.0
− Phần mềm hệ thống RA. − Máy trạm đăng kí LRA :
• Cấu hình phần cứng :
9 CPU Pentium4 3.0 GHz (hoặc tương đương)
9 DDR RAM 512 MB
9 HDD 40GB
• Hệđiều hành : Microsoft Windows XP Professional SP2
• Các phần mềm môi trường : .Net framwork 2.0, thư viện OpenSSL • Hệ quản trị cơ sở dữ liệu : MySQL server 5.0
• Thiết bị thu nhận sinh trắc
9 Bắt buộc : Biometrika FX3000.
9 Tùy chọn : camera thu nhận lòng bàn tay hoặc khuôn mặt. • Phần mềm hệ thống LRA.
− Máy trạm người dùng: • Cấu hình phần cứng :
9 CPU Pentium4 2.06 GHz (hoặc tương đương)
9 DDR RAM 512 MB
9 HDD 40GB
• Hệđiều hành : Microsoft Windows XP Professional SP2
• Các phần mềm môi trường : .Net framwork 2.0, thư viện OpenSSL • Thiết bị thu nhận sinh trắc.
9 Bắt buộc : Biometrika FX3000.
9 Tùy chọn : camera thu nhận lòng bàn tay hoặc khuôn mặt. • Thẻ sinh trắc Bio-Etoken do hệ thống phát hành.
91 • Các ứng dụng sử dụng chứng thư số. − Môi trường mạng : tốc độ 100Mbps
4.2 Kết quả triển khai thử nghiệm
Giải pháp triển khai hệ thống BioPKI và ứng dụng chữ kí số ở trên đã được thử nghiệm trong khuôn khổđề tài KC.01.11/06-10, bao gồm :
− Triển khai hệ thống BioPKI tại phòng thí nghiệm liên mạng, Bộ môn Truyền thông và Mạng máy tính, Viện Công nghệ thông tin và Truyền thông, Đại học Bách khoa Hà Nội.
− Triển khai thử nghiệm chữ kí số cho ứng dụng quản lý bảng điểm tại phòng thí nghiệm liên mạng.
− Triển khai thử nghiệm chữ kí số cho hai ứng dụng tại Trung tâm bảo mật thông tin Kinh tế-Xã hội, Ban Cơ yếu Chính phủ:
• Ứng dụng quản lí hồ sơ trên nền tảng công nghệ Application-based. • Ứng dụng quản lí kinh doanh trên nền tảng công nghệ Web-based. Toàn bộ quá trình triển khai và thử nghiệm sẽđược mô tả sau đây.
4.2.1 Mô hình hệ thống thử nghiệm
Mô hình hệ thống thử nghiệm được biểu diễn trong hình 4.3. Toàn bộ cấu hình hệ thống đáp ứng theo đề xuất trong phần 4.1 của chương này.
92
Bảng 4.1 Danh sách thiết bị triển khai hệ thống
Máy chủ cài đặt OpenCA.
Máy trạm cài đặt phần mềm điều hành CA Operator.
Máy trạm cài đặt RA
Máy trạm cài đặt LRA
Máy trạm của người dùng, cài đặt ứng dụng
Thiết bị thu nhận vân tay Biometrika
2 Webcam thu nhận khuôn mặt và lòng bàn tay
Thẻ sinh trắc Bio-Etoken Bộ chuyển mạch
Hệ thống gồm 2 mạng LAN chuẩn Ethernet 100BASE-T
− Mạng LAN 1 : kết nối máy chủ OpenCA và máy điều hành CA Operator.
− Mạng LAN 2 : kết nối máy trạm RA, 2 máy trạm LRA, 2 máy trạm của người dùng.
93
4.2.2 Nội dung và kết quả thử nghiệm
Hệ thống đã được thử nghiệm theo 7 kịch bản để kiểm tra và đánh giá giải pháp xây dựng hệ thống BioPKI và ứng dụng chữ kí số mà tác giảđề xuất. Các kịch bản này được chia làm 2 nhóm :
− Nhóm các kịch bản đánh giá khả năng tương thích của hệ thống BioPKI với các nghiệp vụ trong mô hình tác nghiệp thực tế, bao gồm :
¾ Thử nghiệm chức năng Cấp phát chứng thư mới cho người dùng.
¾ Thử nghiệm chức năng Thu hồi chứng thư số hết hạn.
¾ Thử nghiệm chức năng Thu hồi chứng thư số theo yêu cầu.
¾ Thử nghiệm triển khai Chữ kí số cho ứng dụng trên nền Application-based.
¾ Thử nghiệm triển khai Chữ kí số cho ứng dụng trên nền Web-based.
− Nhóm các kịch bản đánh giá mức độ an toàn của ứng dụng chữ kí số trên nền tảng BioPKI, bao gồm :
¾ Thử nghiệm Khả năng chống tấn công giả mạo nội dung file/form dữ liệu của chữ kí số trên nền tảng BioPKI.
¾ Thử nghiệm Khả năng chống tấn công giả danh người dùng của chữ kí số
trên nền tảng BioPKI
4.2.2.1 Thử nghiệm kiểm tra hoạt động của hệ thống BioPKI và ứng dụng chữ
kí số trong nghiệp vụ thực tế
a. Thử nghiệm chức năng Cấp phát chứng thư mới cho người dùng
Kịch bản thử nghiệm tuân theo quy trình trong phần 4.1.1.1. Kết quả thử nghiệm được trình bảy trong bảng 4.2.
Bảng 4.2. Kết quả thử nghiệm cấp phát chứng thư mới STT Số lượt trong lô xử lí Kịch bản Kết quả 1 1 1 lượt đăng kí chứng thư mới với thời hạn 30 ngày tại LRA 1 Hệ thống ghi nhận đã cấp phát 1 chứng thư mới kèm theo 1 thẻ Bio- Etoken.
94 2 14 14 lượt đăng kí chứng
thư mới với thời hạn 60 ngày tại LRA1 và LRA2
Hệ thống ghi nhận đã cấp phát 14 chứng thư mới kèm theo 14 thẻ Bio-Etoken.
3 20 15 lượt đăng kí chứng thư mới với thời hạn 90 ngày tại LRA1 và LRA2 5 lượt đăng kí lại tại LRA1 và LRA2 Hệ thống ghi nhận đã cấp phát 15 chứng thư mới kèm theo 15 thẻ Bio-Etoken. Hệ thống phát hiện 5 trường hợp đăng kí lại và từ chối.
Sau thử nghiệm, hệ thống ghi nhận tổng cộng 30 chứng thưđã được cấp phát mới. Kết quả thử nghiệm cho thấy các thành phần LRA, RA, CA Operator, OpenCA và giải pháp tích hợp sinh trắc, tích hợp công nghệ nhúng đáp ứng các yêu cầu chức năng trong quy trình cấp phát chứng thư mới, bao gồm :
− Quản lí người dùng
− Quản lí yêu cầu cấp phát chứng thư − Phát hành chứng thư số và khóa cá nhân − Quản lí chứng thư
− Quản lí thẻ sinh trắc Bio-Etoken, đồng bộ cơ sở dữ liệu giữa RA và OpenCA
b. Thử nghiệm chức năng Thu hồi chứng thư số hết hạn
Kịch bản thử nghiệm được thực hiện bằng cách thay đổi thời gian của hệ thống. Kết quả thử nghiệm được trình bảy trong bảng 4.3.
Bảng 4.3 Kết quả thử nghiệm thu hồi chứng thư số hết hạn STT Kịch bản Kết quả 1 Chỉnh ngày giờ hệ thống cộng thêm 30 ngày Hệ thống ghi nhận có 1 chứng thư số hết hạn 2 Chỉnh ngày giờ hệ thống cộng thêm 60 ngày Hệ thống ghi nhận có 14 chứng thư số hết hạn
95
Sau các lô thử nghiệm, hệ thống ghi nhận tổng cộng có 15 chứng thư số hết hạn. Kết quả thử nghiệm cho thấy các thành phần RA, RA Operator, OpenCA đã đáp ứng các yêu cầu chức năng :
− Thu hồi các chứng thư số hết hạn tại thời điểm thử nghiệm − Ghi nhận danh sách thu hồi chứng thư CRL
− Thiết lập lại trạng thái của chứng thư và thẻ sinh trắc Bio-Etoken − Đồng bộ cơ sở dữ liệu giữa RA và OpenCA
c. Thử nghiệm chức năng Thu hồi chứng thư số theo yêu cầu
Kịch bản thử nghiệm tuân theo quy trình trong phần 4.1.1.2. Kết quả thử nghiệm được trình bảy trong bảng 4.4. Sau các lô thử nghiệm, hệ thống ghi nhận tổng cộng có 15 chứng thư số đã được thu hồi. Kết quả thử nghiệm cho thấy các thành phần LRA, RA, CA Operator, OpenCA và giải pháp tích hợp sinh trắc, tích hợp công nghệ nhúng đáp ứng các yêu cầu chức năng trong quy trình thu hồi chứng thư theo yêu cầu, bao gồm :
− Quản lí yêu cầu thu hồi chứng thư − Thu hồi chứng thư số
− Quản lí chứng thư
− Quản lí thẻ sinh trắc Bio-Etoken
− Đồng bộ cơ sở dữ liệu giữa RA và OpenCA.
Bảng 4.4 Kết quả thử nghiệm thu hồi chứng thư số theo yêu cầu
STT Số lượt trong lô xử lí
Kịch bản Kết quả
1 1 1 lượt yêu cầu thu hồi chứng thư số
Hệ thống ghi nhận đã thu hồi 1 chứng thư.
2 14 14 lượt yêu cầu thu hồi chứng thư số tại LRA1 và LRA2
Hệ thống ghi nhận đã thu hồi 14 chứng thư.
96
d. Thử nghiệm triển khai Chữ kí số cho ứng dụng trên nền Application-based.
Kịch bản thử nghiệm tuân theo quy trình trong phần 4.1.2 như sau :
− Bước 1. Phòng Đào tạo lên danh sách các sinh viên đủ điều kiện thi, lập bảng điểm mẫu, kí số lên bảng điểm và công bố trên Website.
− Bước 2. Một trong hai CBGD phụ trách môn học download bảng điểm trên
Website và kiểm tra tính hợp lệ của chữ kí trên bảng điểm. Nếu chữ kí là của