Việc ứng dụng hệ mật mã khóa công khai nhằm các mục đích sau:
Đảm bảo an toàn (tính toàn vẹn và tính bảo mật) cho việc trao đổi dữ liệu giữa giữa máy trạm và OLEServer mà trong mô hình này chính là dữ liệu mầm khóa (đƣợc sử dụng để mã hoặc giải mã dữ liệu dùng cho các hệ mật đối xứng) trong một phiên làm việc và ngƣời ta gọi là khóa phiên. Trong một số tình huống
Hình 3.2 Mô hình làm việc có ứng dụng hệ mật mã khóa công khai Hình 3.2 Mô hình làm việc có ứng dụng hệ mật mã khóa công khai
90
khối lƣợng dữ liệu trao đổi là đủ nhỏ thì hệ mật đảm bảo an toàn cho chính dữ liệu cần trao đổi.
Xác thực ngƣời sử dụng và các thông tin trao đổi giữa máy trạm và OLEServer.
Ngoài ra, hệ thống còn cho phép hai đối tƣợng bất kỳ đã đƣợc cấp khóa riêng/khóa công khai và chứng chỉ điện tử có thể liên lạc thông tin mật trực tiếp với nhau. Đồng thời, cho phép tổ chức áp dụng chữ ký điện tử đối với các dữ liệu mang tính pháp lý nhƣ các văn bản phát hành, các chứng từ thanh toán...
3.2.2 Các lớp bảo mật
Hình 3.3 Các lớp bảo mật sử dụng cho hệ thống
Để đảm bảo an toàn cho toàn hệ thống, hầu hết các tổ chức mạng máy tình thƣờng áp dụng nhiều giải pháp bảo mật. Mỗi một giải pháp sẽ có những chức năng bảo mật riêng. Việc ứng dụng hạ tầng cơ sở mật mã khóa công khai để bảo mật CSDL trong mô hình này cũng chỉ là một giải pháp
91
Hình 3.3 cho thấy các giải pháp bảo mật thƣờng đƣợc áp dụng đối với mô hình đƣợc trình bày trong chƣơng này.
Vai trò của các lớp bảo mật nhƣ sau:
Firewall (tƣờng lửa)
Chặn các truy cập trái phép từ các máy không đăng ký sử dụng dịch vụ đến OLEServer.
Chỉ những ngƣời sử dụng đã đƣợc đăng ký làm việc với OLESERVER.DLL trên OLEServer mới đƣợc phép truy cập đến OLEServer và không đƣợc truy cập đến các OLEServer khác trong hệ thống.
SSL :
Đƣờng truyền đƣợc mã hoá theo chuẩn SSL 128 bit, đây là chuẩn thông dụng dùng cho các giao dịch thƣơng mại điện tử.
Cơ chế truy cập Microsoft LDAP
Hệ thống lƣu mật khẩu truy cập của ngƣời sử dụng tại Microsoft LDAP, cơ chế đăng nhập của các hệ thống ứng dụng đƣợc tích hợp với cơ chế đăng nhập vào LDAP.
LDAP giúp cho việc bảo vệ mật khẩu an toàn hơn và hỗ trợ quản lý các chính sách về mật khẩu.
Thông qua cơ chế đăng nhập vào LDAP, hệ thống sẽ chấp nhận hay từ chối yêu cầu kết nối với OLEServer.
Lƣu trữ thông tin cá nhân trên thiết bị ghi nhớ Etoken
Khóa bí mật và các thông tin dùng làm chữ ký điện tử của ngƣời sử dụng hay của các Server đƣợc lƣu trên một thiết bị ghi nhớ đặc biệt gọi là Etoken, thông tin này đƣợc bảo vệ bởi các kỹ thuật mã hóa cao cấp và có cơ chế quản lý truy cập.
Chỉ có thể truy cập đƣợc các thông tin này khi xác định chính xác đƣợc ngƣời chủ hợp pháp của thiết bị. Ví dụ, có thể dùng cơ chế đặt mật khẩu, nhận dạng sinh trắc học...
Cơ chế truy cập của OLEServer
92
Sử dụng các thuật toán mã pháp dòng hoặc mã pháp khối kết hợp của hệ mã mật khóa công khai RSA để chống xem trộm thông tin.
Sử dụng Microsoft CA để cấp chứng chỉ số dùng cho hạ tầng cơ sở khoá công khai.
Sau khi ngƣời sử dụng kết nối đƣợc với OLEServer, OLEServer gửi yêu cầu xác định ID của Etoken tới máy trạm của ngƣời sử dụng.
Sau khi nhận đƣợc thông tin trả lời từ phía máy trạm, OLEServer sẽ chấp nhận/ không chấp nhận yêu cầu truy cập CSDL của ngƣời sử dụng dựa trên thông tin về ID của Etoken và nhờ giải mã các thông tin cấu hình liên quan đến chỉ số ID của Etoken. Nếu chấp nhận, OLEServer sẽ lấy tên và mật khẩu tƣơng ứng của ngƣời sử dụng để truy cập hệ quản trị CSDL. Nếu thực hiện đƣợc OLEServer trả lời chấp nhận cho máy trạm làm việc; ngƣợc lại sẽ thông báo không kết nối đƣợc cho máy trạm. Nhƣ vậy, thay vì việc lƣu trữ tên ngƣời sử dụng ở mức hệ thống với tên và mật khẩu truy cập CSDL của họ trong mô hình ở phần 3.2.1 bằng việc lƣu trữ ID của Etoken với tên và mật khẩu truy cập CSDL của ngƣời sử dụng.
Cơ chế truy cập CSDL
Các hệ quản trị CSDL nhƣ SQL, Oracle có tính bảo mật cao, để truy cập đƣợc vào CSDL cần tên ngƣời sử dụng và Mật khẩu.
Sau khi có tên và mật khẩu truy cập CSDL của ngƣời sử dụng, OLEServer sẽ thay mặt cho ngƣời sử dụng gửi đi yêu cầu kết nối vào CSDL. Nhƣ vậy mọi thao tác làm việc với CSDL từ máy trạm sẽ chỉ chuyển trực tiếp đến OLEServer và sau đó OLEServer mới làm việc với CSDL. Chính vì vậy việc trao đổi thông tin giữa các đối tƣợng này cần phải đƣợc xác thực và ghi nhận lại trong hệ thống.
Cơ chế nhật ký
Ngoài cơ chế ghi lại nhật ký của hệ điều hành và hệ quản trị cơ sở dữ liệu, cần phải tổ chức cho OLEServer lƣu lại mọi thao tác của ngƣời sử dụng yêu cầu làm việc với cơ sở dữ liệu có ký xác thực bằng chữ ký điện tử của ngƣời sử dụng.
93
Do việc phân quyền theo chức năng của từng ứng dụng không liên quan đến việc ứng dụng PKI nên không cần đề cập trong tài liệu này.
Xem xét ở mức hệ thống tổng thể, có thể phân đối tƣợng ngƣời sử dụng làm 3 nhóm cơ bản: Nhóm CA,nhóm quản trị hệ thống và nhóm ngƣời sử dụng thông thƣờng.
Nhóm CA : Cấp khóa riêng và cấp chứng chỉ số cho ngƣời sử dụng và các OLEServer.
Nhóm quản trị hệ thống : Nhiệm vụ cơ bản của nhóm là thực thi các chính sách để đảm bảo an toàn thông tin của toàn hệ thống. Nhóm này có thể chia thành hai nhóm.
Bộ phận quản lý : Có trách nhiệm tiếp nhận các yêu cầu của ngƣời sử dụng, trình cấp có thẩm quyền phê duyệt và chuyển yêu cầu cho nhóm ADMIN. Nhóm này làm nhiệm vụ đăng ký ngƣời sử dụng mới với CA để CA cấp chứng chỉ số cho ngƣời sử dụng mới. Bộ phận này đóng vai trò RA trong mô hình CA.
Bộ phận ADMIN: Làm nhiệm vụ cấp/thu hồi quyền của ngƣời sử dụng đối với các OLEServer, các DB Server và cả các CSDL. Thông tin liên quan nhƣ tên ID của Etoken, tên và mật khẩu truy cập CSDL của ngƣời dùng sẽ đƣợc bộ phận này tạo và tổ chức lƣu giữ dƣới dạng dữ liệu đƣợc mã hóa cao cấp và lƣu trữ trong vùng an toàn và chỉ có các OLEServer mới giải mã đƣợc (có thể ứng dụng ngay hệ mật mã khóa công khai để mã hóa và ký xác thực thông tin này) . Ngoài ra để đảm bảo tốt hơn có thể bố trí cho nhóm ADMIN làm việc ngay trong khu vực đảm bảo an toàn tuyệt đối, thậm chí là ngay ở tại các Server.
Ngƣời sử dụng thông thƣờng : Làtoàn bộ ngƣời sử dụng các ứng dụng. Đối với mỗi ngƣời sử dụng sẽ có những quyền sau:
Đƣợc cấp CA cấp cho một Etoken với ID duy nhất có kèm theo khóa truy cập Etoken.
Là ngƣời dùng hợp pháp của hệ thống đƣợc cấp tên và mật khẩu để truy nhập đến OLEServer.
94
Mỗi ngƣời sử dụng phải có tên và mật khẩu để OLEServer thay mặt sử dụng truy cập vào CSDL với các quyền theo yêu cầu của ứng dụng. Ngƣời sử dụng không cần biết các thông tin này. Dựa vào chỉ số ID của Etoken, OLEServer sẽ tìm ra thông tin này.
3.2.3 Quy trình ký, mã hoá và giải mã dữ liệu giao dịch dựa vào hệ mật mã khóa công khai
Sau khi ngƣời sử dụng kết nối đƣợc vào OLEServer, mọi thông tin trao đổi giữa máy trạm và OLEServer đều đƣợc áp dụng theo quy trình ký, mã hóa và giải mã dựa vào khóa công khai nhƣ trong các sơ đồ của hình 3.4 và hình 3.5.
Trong một số trƣờng hợp của ứng dụng, dữ liệu truyền đi có kích thƣớc lớn cần áp dụng kết hợp với các hệ mật mã đối xứng. Khi đó cần tiến hành hai giai đoạn nhƣ sau:
Giai đoạn 1 :Bên gửi dữ liệu tạo mầm khóa (hoặc xin cấp một mầm khóa từ hệ thống cấp phát cố định) và chuyển cho bên nhận dữ liệu mầm khóa này. Mọi trao đổi thông tin giữa các đối tƣợng tham gia đƣợc thực hiện theo đúng quy trình ký, mã hoá và giải mã dữ liệu giao dịch dựa vào hệ mật mã khóa công khai. Quá trình này đƣợc gọi là quá trình trao đổi mầm khóa (hay còn gọi là trao đổi khóa phiên).
Giai đoạn 2 : Bên gửi ký dữ liệu cần gửi đi và mã hóa dữ liệu đã đƣợc ký bằng hệ mật đối xứng với mầm khóa đã thống nhất giữa hai bên; Gửi dữ liệu đã đƣợc mã cho bên nhận; Bên nhận tiến hành giải mã dữ liệu nhận đƣợc dựa vào mầm khóa đã biết và xác thực lại chữ ký của bên gửi để nhận đƣợc dữ liệu và đảm bảo tính xác thực của dữ liệu.
Nhƣ vậy, việc trao đổi mầm khóa giữa bên mã và bên giải mã đƣợc thực hiện nhờ áp dụng hệ mật mã khóa công khai.
95
Hình 3.4 Quy trình gửi dữ liệu mã hóa khóa công khai có kèm theo chữ ký điện tử xác thực
Hình 3.4 Quy trình gửi dữ liệu mã hóa khóa công khai có kèm theo chữ ký điện tử xác thực
96
Hình 3.5 Quy trình giải mã dữ liệu và kiểm tra chữ ký Hình 3.5 Quy trình giải mã dữ liệu và kiểm tra chữ ký
97
3.3 MÔ HÌNH CA
3.3.1 Mục tiêu của hệ thống
Cung cấp một hệ thống cấp phát và quản lý chứng chỉ hoàn chỉnh. Đảm bảo an toàn thông tin trong quá trình thực hiện.
Đảm bảo tiện dụng, chính xác.
3.3.2 Mô hình hệ thống quản lý và cấp phát chứng chỉ
98
Trong đó:
CAServer là thành phần quan trọng nhất trong hệ thống. Nó đƣợc cài đặt phần mềm CA và lƣu giữ khoá riêng của CA. Chính vì vậy, chúng ta cần phải đảm bảo an toàn tuyệt đối cho CAServer.
RAServer cài đặt chƣơng trình quản lý các đăng ký và quản lý các chứng chỉ. RAServer thực hiện kiểm tra các yêu cầu đăng ký chứng chỉ, chấp nhận hoặc huỷ
Router Router Modem Modem PSTN PSTN Modem Modem Đăng ký từ xa Đăng ký từ xa RAServer
RAServer LDAPServer LDAPServer
CA Server CA Server Switch Switch User User User User
Hình 3.6 Mô hình hoạt động của hệ thống CA Hình 3.6 Mô hình hoạt động của hệ thống CA
99
bỏ các yêu cầu đăng ký chứng chỉ trƣớc khi chúng đƣợc CA ký, đồng thời gửi chứng chỉ đã đƣợc CA phát hành xuống các điểm đăng ký từ xa để chuyển cho ngƣời dùng, hoặc cũng có thể chuyển trực tiếp cho ngƣời dùng.
LDAP Server là một máy chủ chứa tất cả các chứng chỉ đã đƣợc phát hành, cho phép mọi ngƣời dùng sử dụng dịch vụ thƣ mục để tra cứu thông tin về các chứng chỉ.
Điểm đăng ký từ xa có nhiệm vụ kiểm tra thông tin đăng ký (chẳng hạn nhƣ xin cấp mới, huỷ bỏ, hoặc cấp lại chứng chỉ) của ngƣời dùng và ký xác nhận trƣớc khi chuyển cho RAServer. Tất cả quá trình truyền thông giữa RAServer và điểm đăng ký từ xa đƣợc thực hiện thông qua những phiên liên lạc an toàn.
* Để thiết lập mạng cấp phát chứng chỉ, các điểm đặng ký từ xa đƣợc thiết lập trƣớc và đƣợc cấp chứng chỉ trong quá trình thiết lập mạng cấp phát. Khoá công khai của CA và khoá riêng của các điểm đăng ký từ xa đƣợc CA cấp theo một kênh an toàn.
3.3.3 Các chuẩn sử dụng tại CA
- Chứng chỉ sử dụng khuôn dạng theo chuẩn X509 V3
- Lƣu trữ khoá riêng sử dụng khuôn dạng theo chuẩn PKCS12
3.3.4 Bảo đảm mật mã trong CA
- Sử dụng chƣơng trình sinh số nguyên tố lớn. - Sử dụng hệ mật RSA.
- Sử dụng hàm băm MD5.
3.3.5 Tổ chức CA Server
Nền phát triển
- Hệ điều hành Mcrosoft Server 2003. - Open CA Server.
100
- Open SSL.
Các chức năng của CA Server
1. Nhận các yêu cầu từ RAServer
- Nhập các yêu cầu chứng chỉ từ thiết bị lƣu trữ vào. - Phân tích các yêu cầu chứng chỉ và lƣu vào CSDL.
- Quản lý các yêu cầu chứng chỉ: Thêm mới, Xem, Xoá yêu cầu ...
2. Phát hành chứng chỉ mới
- Xem các yêu cầu chứng chỉ cần cấp phát.
- Chấp nhận hoặc huỷ bỏ yêu cầu. Nếu đƣợc chấp nhận thì cặp khoá của ngƣời dùng đƣợc tạo ra sau đó mới tạo chứng chỉ tƣơng ứng đƣợc ký bằng khoá riêng của CA.
- Thực hiện quản lý các chứng chỉ đã cấp phát: Xem, xoá, huỷ bỏ...
3. Cấp lại chứng chỉ
- Xem các yêu cầu cấp lại chứng chỉ.
- Chấp nhận hoặc huỷ bỏ yêu cầu. Nếu đƣợc chấp nhận thì hủy bỏ chứng chỉ cũ, cặp khoá mới của ngƣời dùng đƣợc tạo ra sau đó mới tạo chứng chỉ tƣơng ứng đƣợc ký bằng khoá riêng của CA.
- Thực hiện quản lý các chứng chỉ đã cấp phát: Xem, xoá, huỷ bỏ...
4. Sửa đổi chứng chỉ
- Xem các yêu cầu sửa đổi chứng chỉ.
- Chấp nhận hoặc huỷ bỏ yêu cầu. Nếu đƣợc chấp nhận thì tiến hành nhƣ sau: + Huỷ chứng chỉ cũ.
+ Nếu chỉ sửa đổi thông tin về User thì chứng chỉ mới sẽ đƣợc tạo ra tƣơng ứng với cặp khoá cũ của user và đƣợc ký bằng khoá riêng của CA.
101
+ Nếu chỉ thay đổi kích thƣớc khoá hoặc vừa thay đổi kích thƣớc khoá vừa thay đổi thông tin về user thì cặp khoá mới đƣợc sinh ra sau đó mới tạo chứng chỉ tƣơng ứng và đƣợc ký bằng khoá riêng của CA.
- Thực hiện quản lý các chứng chỉ đã cấp phát: Xem, xoá, huỷ bỏ...
5. Huỷ bỏ chứng chỉ
- Xem chứng chỉ cần huỷ bỏ hoặc nhập các yêu cầu huỷ chứng chỉ từ RAServer thông qua thiết bị lƣu trữ.
- Chấp nhận hoặc huỷ bỏ việc huỷ chứng chỉ. Nếu đƣợc chấp nhận thì đánh dấu huỷ chứng chỉ.
6. Tạo danh sách chứng chỉ huỷ bỏ (CRL)
- Tạo danh sách các chứng chỉ đã bị huỷ bỏ và ký bằng khoá riêng của CA.
7. Xuất các chứng chỉ và CRL
- Xuất các chứng chỉ mới đƣợc tạo ra hoặc chứng chỉ còn hiệu lực ra thiết bị lƣu trữ để đƣa sang RAServer và LDAP Server.
- Xuất danh sách các chứng chỉ huỷ bỏ ra thiết bị lƣu trữ để đƣa vào LDAPServer.
8. Tìm kiếm chứng chỉ
- Tìm kiếm theo tên User. - Tìm kiếm theo Email.
- Tìm kiếm theo tên phòng ban (Organization Unit). - Tìm kiếm theo tên tổ chức (Organization).
Sơ đồ phân cấp chức năng cho CA đƣợc trình bày trong hình 3.7.
Tổ chức quản lý trên đĩa
102
Các yêu cầu cấp chứng chỉ mới là các File đƣợc nhập vào từ thiết bị lƣu trữ. CA quản lý các File yêu cầu này trong thƣ mục reqs của chƣơng trình. Thƣ mục này lại gồm các thƣ mục con nhƣ sau:
pending: Chứa các File yêu cầu đang chờ ký.
deleted: Chứa các File yêu cầu đã bị xoá.
archivied: Chứa các File yêu cầu đã đƣợc xử lý.
2. Quản lý các yêu cầu sửa chứng chỉ
Các yêu cầu sửa đổi chứng chỉ là các File đƣợc nhập vào từ thiết bị lƣu trữ. CA quản lý các File yêu cầu này trong thƣ mục repair_reqs của chƣơng trình. Thƣ mục này lại gồm các thƣ mục con nhƣ sau:
pending: Chứa các File yêu cầu đang chờ ký.
deleted: Chứa các File yêu cầu đã bị xoá.
archivied: Chứa các File yêu cầu đã đƣợc xử lý.
3. Quản lý các yêu cầu cấp lại chứng chỉ
Các yêu cầu cấp lại chứng chỉ là các File đƣợc nhập vào từ thiết bị lƣu trữ. CA quản lý các File yêu cầu này trong thƣ mục regen_reqs của chƣơng trình. Thƣ mục