4.2 KIẾN TRÚC HỆ THỐNG
4.2.4Các chức năng chính của người quản trị hệ thống
Cho mục đích bảo mật mức độ cao nhất của hệ thống PKI, Entrust PKI phân chia việc duy trì bảo mật và vận hành hệ thống theo các mức sử dụng khác nhau cho các cá nhân tùy thuộc vào vai trò và khả năng đáp ứng các nhiệm vụ trong hệ thống. Những cá nhân có chức năng quản trị trong hệ thống được định nghĩa một cách rõ ràng về khả năng và vai trò của họ khi vận hành hệ thống. Trong hệ thống Entrust PKI những người có chức năng quản trị gồm những nhóm người sau:
- Những người chủ hệ thống (Master User).
- Những người quản lý về bảo mật (Security Officer) - Những quản trị viên (Administrator)
- Những người quản trị hệ thống thư mục (Directory Administrator) - Những người kiểm soát tình hình hệ thống (Auditor)
Dưới đây là minh họa về sự phân cấp bảo mật của người sử dụng hệ thống Entrust PKI. Những người sử dụng cuối (End User) là những người co nhu cầu sử dụng chứng thư số cho các công việc hàng ngày trong tổ chức đơn thuần không được xem là có vai trò quản trị.
Hình 4.2: minh họa về sự phân cấp bảo mật của người sử dụng hệ thống Entrust PKI Entrust PKI
Dưới đây chúng tôi sẽ trình bày các chức năng chính của những người có vai trò quản trị trong hệ thống Entrust PKI.
Master User
Là những người có sự tin tưởng cao nhất của hệ thống cũng như những Security Officer. Đây là những người có quyền cao nhất có thể cài đặt và cấu hình Entrust PKI. Họ cũng là những cá nhân duy nhất có thể sử dụng dịch vụ Entrust Authority™ Security Manager Control để thực hiện những thao tác ở mức thấp của hệ thống Security Manager.
- Quản lý các Security Officer: Những người sử dụng Master có chức năng quan trọng là quản trị các Security Officer. Chức năng quản trị có thể bao gồm các công việc như xem thông tin về Security Officer, thêm một Security Officer vào hệ thống, khôi phục lại các hồ sơ về Security Officer bị mất hay cấp phát lại các chứng thư số chính sách của Security Officer.
- Thực hiện các thao tác thư mục đối với CA: Các thao tác này bao gồm backup dữ liệu CA của thư mục, ghi lại danh sách chứng thư số thu hồi (CRL) hay danh sách nhà cung cấp CA thu hồi (ARL) vào thư mục, thay đổi tên của quản trị thư mục, hay các công việc mức thấp hơn như thiết lập việc truy cập của CA tới nhiều thư mục, cũng như việc xác thực việc truy cập của CA các hệ thống thư mục đó.
- Tùy biến chính sách bảo mật của CA: Chức năng này bao gồm việc thay thiết lập và thay đổi các giải thuật hay độ dài khóa mã hóa CA. Ngoài ra còn cho phép cấp quyền thêm cho Master hay Security Officer để thực hiện các thao tác bảo mật không mặc định,..
- Duy trì hoạt động của CA: Chức năng này bao gồm các công việc mức thấp để duy trì khả năng hoạt động của hệ thống. Từ việc bật tắt dịch vụ CA, khôi phục các hồ sơ về CA, thiết lập lại bộ đếm số Serial của chứng thư số, xem và export các chứng thư số gốc của các CA trong cây phân cấp, xem và điều khiển các file nhật ký kiểm soát (audit log) thay đổi thời gian hợp lệ của các chứng thư số, cho đến các công việc cập nhật, thu hồi cặp khóa của Root CA hay khôi phục lại các tài khoản người sử dụng trong hệ thống. Ngoài ra việc quản lý cây CA phân cấp hoặc chứng thực chéo giữa các hệ thống CA hay xuất bản và kiểm soát các CRL cũng là một trong những công việc của Master cho hệ thống.
- Quản lý dữ liệu của Security Manager trong Informix: Một chức năng quan trọng khác chỉ có trong quyền quản trị của Master là có thể quản lý được dữ liệu của Security Manager khi thao tác với cơ sở dữ liệu của hệ thống Entrust PKI (Cơ sở dữ liệu Informix). Dữ liệu lưu trữ trong Informix thường là cặp khóa ký của CA, lịch sử cặp khóa mã hóa của người sử dụng, thông tin của người sử dụng,… Các thao tác quản lý này có thể bao gồm như các tác vụ backup (chọn vị trí, lập lịch, xác nhận dữ liệu backup,…), xác nhận tính hợp lệ của dữ liệu, khôi phục dữ liệu backup, mã hóa lại hệ thống cơ sở dữ liệu nếu có yêu cầu, thay đổi mật khẩu cơ sở dữ liệu, cập nhật miền thời gian cho báo cáo cơ sở dữ liệu hay cho phép thi hành bảo mật cơ sở dữ liệu bằng phần cứng,…
- Sử dụng HSM cho CA: Các thiết bị phần cứng bảo mật có thể dùng cho một hệ thống PKI, nó thường dùng để lưu trữ các cặp khóa ký của CA để ký cho các chứng thư số mà CA đó phát hành ra hay cặp khóa để bảo mật cho cơ sở dữ liệu sử dụng trong hệ thống PKI đó. Đây là những khóa mà cần phải có sự bảo mật cao nhất vì nó ảnh hưởng đến toàn bộ hệ thống CA. Người sử dụng Master là người có chức năng thao tác với các module bảo mật phần cứng này. Đó có thể là các công việc như xem thông tin về thiết bị, cập nhật các khóa lưu trữ trên thiết bị, cập nhật mật khẩu truy cập thiết bị, hay xác định thư viện phần cứng cho nhiều thiết bị ghép nối, hoặc đơn giản hơn là cho phép hoặc không cho phép sử dụng chức năng này trong hệ thống.
Security Officer
Security Officer được tạo ra bởi các Master để thực hiện các thao tác quản trị. Security Officer thiết lập các chính sách bảo mật cho hệ thông PKI của tổ chức. Họ sử dụng Authority™ Security Manager Administration để thực hiện các tác vụ của một quản trị viên (Administrator - phần dưới), những người này đôi khi còn gọi là những quản trị viên giám sát. Security Officer có tất cả các chức năng của quản trị viên.
Tuy nhiên có một vài chức năng chính yếu khác của vai trò quản trị này: - Thiết lập hệ thống PKI để phù hợp với chính sách bảo mật của tổ chức
- Quản lý các quản trị viên khác (thêm/bớt người quản trị, thay đổi mật khẩu quản trị, thêm quyền cho người quản trị,…)
- Thiết lập các quan hệ chứng thực với các nhà cung cấp CA khác.
Administrator
Quản trị viên là những người thực hiện thi hành các tác vụ chính của hệ thống PKI. Số lượng các quản trị viên của hệ thống phụ thuộc vào từng tổ chức.
Các chức năng chính của quản trị viên là:
- Thiết đặt các hoạt động của CA: Các hoạt động này có thể là thiết đặt các chính sách bảo mật của hệ thống, thiết lập các rules, các tính chất của chứng thư số, các chính sách đối với của người sử dụng hay thậm chí là thiết lập chính sách cho các tài khoản quản trị. Ngoài ra những người quản trị viên cũng là những người có chức năng tùy biến các nhóm người sử dụng, các chính sách người sử dụng, các rules, hay các tìm kiếm thư mục, các file cấu hình hệ thống cho mục đích sử dụng linh hoạt.
- Quản lý các mã kích hoạt (Activation Code): Người quản trị là người quyết định cách thức phân phối mã kích hoạt cho các hoạt động xin cấp chứng thư số (qua điện thoại, email, hay một kênh bảo mật nào đó).
- Quản trị người dùng cuối: Chức năng này cho phép người quản trị tìm kiếm, thêm, bớt hay kích hoạt/ vô hiệu hóa/ tái kích hoạt, hay thu hồi, khôi phục chứng thư số của người dùng cuối cũng như thiết lập thời gian hoạt động của khóa. Các hoạt động khác liên quan đến người dùng cuối như thay đổi profile, thêm/xóa người sử dụng, thay đổi các thuộc tính, hạn chế quyền, cập nhật cặp khóa hay lưu trữ chứng thư số người sử dụng vào thư mục cũng là chức năng của quản trị viên hệ thống. Việc quản trị người dùng cuối có thể thực hiện đơn lẻ hay nhiều người sử dụng theo lô có thể thực hiện được trên hệ thống Entrust PKI. Họ cũng là những người giải quyết những vấn đề phát sinh khi áp dụng chính sách bảo mật được thiết lập khi vận hành hệ thống. - Cấu hình các cặp khóa của người sử dụng: Quản trị viên xác định mô hình
cặp khóa tốt nhất để áp dụng cho người sử dụng hay một nhóm người sử dụng. Họ là người áp dụng các chính sách chứng thư số để tạo các cặp khóa tùy biến cho từng đối tượng sử dụng khác nhau.
Directory Administrator
Chức năng chính của những người này là thực hiện các tác vụ liên quan đến thông tin trong hệ thống thư mục của hệ thống PKI. Nhiệm vụ chính của người quản trị
thư mục đối với hệ thống PKI là thêm, bớt các thực thể (người sử dụng) trong thư mục theo các thể hiện khác nhau đồng thời thêm, bớt hay thay đổi các thông tin thuộc tính của người sử dụng trong hệ thống thư mục của tổ chức.
Auditor
Là những người có chức năng chính là kiểm soát các hoạt động của hệ thống, quyền của họ được định nghĩa rõ ràng bằng các vai trò (Roles) trong Entrust Authority™ Security Manager Administration. Họ có thể xem các file nhật ký kiểm soát, các báo cáo, các chính sách bảo mật, hay các thuộc tính của người dùng nhưng không được quyền thay đổi chúng.