Hình 2.1 - Mô hình tổng quan chữ ký điện tử từ xa - Cloud PKI
Các thành phần chính
Nhà cung cấp dịch vụ CA:
- Cung cấp module Server Signing Application (máy chủ ứng dụng ký số). Module này cần tuân thủ tiêu chuẩn bảo mật EN 419 241-1 [11].
- Cung cấp module Signature Activation Module (SAM) có chức năng điều khiển việc truy cập khóa bí mật người dùng. Module này cần tuân thủ tiêu chuẩn 419 241- 2 [12].
- Cung cấp Crypto Module: đây còn gọi là module HSM có chức năng sinh khóa và mã hóa khóa người dùng. Module này cần tuân thủ tiêu chuẩn bảo mật PP (Protection Profile) 419 221 -5 [13].
Người sử dụng:
- Đăng ký sử dụng, được cấp chứng thư số cho dịch vụ ký số từ xa.
- Xác thực quyền ký số trên thiết bị di động cá nhân (Signer Interaction Component). - Thực hiện ký số từ xa theo dịch vụ.
Thông tin trao đổi giữa thiết bịdi động cá nhân (Signer Interaction Component) và máy chủứng dụng ký số (Server Signing Application) cần tuân theo giao thức TS 119 432 [14].
Quy trình tạo chữ ký đưa ra các kịch bản mà chữ ký số AdES và / hoặc chữ ký số (DSV) được tạo ra bằng cách sử dụng khóa mật mã tạo chữ ký số được lưu giữ quản lý trong một mô- đun mật mã gọi là Thiết bị tạo chữ ký số (SCDev) và được vận hành bởi Nhà cung cấp dịch vụ tạo chữ ký số (SCSP).
52
Dựa trên phân loại quản lý dữ liệu khác nhau trong các lệnh và phản hồi, hai cấu phần chính trong sơ đồ quy trình trên cung cấp các giao diện khác nhau choquá trình ký số: Thành phần dịch vụ ứng dụng máy chủ ký số (SSASC) và Thành phần dịch vụ ứng dụng tạo chữ ký số (SCASC) được đặc tả sau đây:
+ SSASC là thành phần hỗ trợ tạo chữ ký số (DVS). SSASC có khả năng tương tác với SCDev đang quản lý khóa riêng của người ký. Khi SSASC sử dụng SCDev, người ký có khả năng kiểm soát khóa mật mã tạo chữ ký số với các cấp độ tin cậy xác định.
Đầu vào chính cho giao diện SSASC là đại diện dữ liệu cần ký số (DTBSR) và các tham số khác hỗ trợ và đầu ra chính là chữ ký số (DVS).
+ SCASC là cấu phần hỗ trợ tạo chữ ký số AdES và thực hiện một số chức năng cụ thể của quy trình tạo chữ ký số. SCASC có khả năng tương tác với SSASC cholệnh tạo chữ ký số (DVS).
Giao tiếp với SCASC là các tài liệu cần được ký số (SD) hoặc đại diện của các tài liệu cần được ký số (SDR) và các tham số khác là đầu vào chính và các tài liệu đã ký số hoặc các chữ ký số (DVS) là đầu ra chính.
SCS chỉ dịch vụ TSP triển khai Ứng dụng Tạo chữ ký số (SCA) và / hoặc ứng dụng máy chủ ký số (SSA). Một số tùy chọn giao tiếp tùy thuộc vào sự phân chia chức năng giữa SCS và phía hệ thống cục bộ từ người ký.
Luồng trao đổi giữa môi trường phía người dùng (không được bảo vệ) tương tác từ xa với nền tảng ký sốđiện tử từ xa của nhà cung cấp dịch vụ tin cậy (TSP) (môi trường được bảo vệ) như sau:
53
Hình 2.2 – Ký số điện tử từ xa giữa hai môi trường không được bảo vệ (dưới người dùng) và môi trường bảo vệ của nhà cung cấp dịch vụ tin cậy (TSP)
Luồng thực hiện: Thiết bị sử dụng thành phần tương tác người ký (SIC) để giao tiếp với SSA. SIC bắt đầu quá trình xác thực bằng xác thực yếu tố đầu tiên với SSA. SSA (có thể sử dụng một số mô-đun bên ngoài) phát hành thẻ xác thực, mà SIC hoặc SCA sử dụng trong giao tiếp trở đi trong mỗi bản tin đã gửi. SSA kiểm tra thẻ xác thực và chuyển tiếp thông tin liên lạc từ SIC có bổ sung thông tin từSSA đến QSCD. Bên trong QSCD, SAM nhận được bản tin, chứa tất cả dữ liệu có liên quan. Khi mô-đun SAM đã xác minh SAD và yếu tố xác thực thứ hai (trực tiếp), nó có thể cho phép kích hoạt khóa ký trong Mô-đun mật mã (Cryptographic Module) và tạo ra giá trị của chữký điện tử. Giá trị này được trả lại cho SSA và có thểđược chuyển tiếp cho SCA hoặc SIC.
- Ứng dụng tạo chữ ký (Signature Creation Appliction - SCA) làm nhiệm vụ tạo tài liệu đã
ký bằng cách sử dụng các giá trị của chữ ký được cung cấp.
- User Interface: thiết bị sử dụng của người dùng đểký như máy tính laptop, tablet, điện thoại thông minh - smartphone và hiển thị tài liệu cần ký.
- Hạ tầng PKI: Phần mềm mã nguồn mở SignServer là gói phần mềm cho phép triển khai một
54
một tập các khóa và lưu trong cơ sở dữ liệu (PKCS#12) hoặc trong HSM (PKCS#11) để các sử dụng khi ký số và quá trình mã hóa, cũng thường được sử dụng cho hoạt động ký số bởi giao thức kiểm tra chứng thư số trực tuyến (Online Certificate Status Protocol) và xác thực từ xa tới một thực thể khác. Trong Sign Server, mật mã chủ chốt (cryptographic keys) được lưu trữ tại thẻ mã hóa. Thẻ mã hóa hoặc lưu trong cơ sở dữ liệu hoặc lưu trong Keystore hoặc module phần cứng bảo mật – Hardware Security Module (HSM).
- Thành phần tương tác của người ký (Signer Iteraction Component – SIC) trên điện thoại của người dùng: SIC trực tiếp giao tiếp với SSA thông qua kênh giao tiếp bảo mật TLS (Transport Layer Security) và SSA sẽ có nhiệm vụ chuyển tiếp tới QSCD.
- Máy chủ ứng dụng ký số (Server Signing Application - SSA): Module này cần tuân thủ tiêu chuẩn bảo mật EN 419 241-1.
- Mô đun kích hoạt chữ ký số (Signature Activation Module – SAM) : có chức năng điều khiển việc truy cập khóa bí mật người dung. Module này cần tuân thủ tiêu chuẩn 419 241-2.
• Kiểm tra dữ liệu kích hoạt chữ ký (SAD) gồm người dùng được xác thực; giá
trị băm (hash); định danh khóa
• Sử dụng module mật mã cho hoạt động ký số.
- Dữ liệu kích hoạt ký số (Signature Activation Data - SAD): Dữ liệu đã ký, khẳng định sự đồng ý của người ký để ký dữ liệu cụ thể. Giao thức kích hoạt chữ ký số - SAP thực hiện hỗ trợ các yêu cầu và phân phối dư liệu kích hoạt ký số - SAD tới Module kích hoạt ký số - SAM để đảm bảo:
• Người ký được xác thực
• Người ký đồng ý ký vào dữ liệu được ký
• Chính xác khóa ký của người ký
Có 2 phần tử dữ liệu:
• SADRequest: yêu cầu đối với dữ liệu kích hoạt ký số
• SAD: dữ liệu kích hoạt ký số
- Thiết bị tạo chữ ký đủ điều kiện (Qualified Signature Creation Device- QSCD) là thiết bị tạo tạo chữ ký bảo mật đã được chứng nhận và phê duyệt để tạo các chữ ký điện tử đủ tiêu chuẩn, bao gồm HSM và SAM.