Chương 1 An toàn thông tin và chữ kí số
1.2. Về chữ kí điện tử
1.2.3. Các thành phần của cơ sở hạ tầng khóa công khai
Một PKI (public key infrastructure) cho phép người sử dụng của một mạng công cộng không bảo mật, chẳng hạn như Internet, có thể trao đổi dữ liệu và tiền một cách an toàn. Nền tảng khoá công khai cung cấp một chứng chỉ số, dùng để xác minh một cá nhân hoặc tổ chức, và các dịch vụ danh mục có thể lưu trữ và khi cần có thể thu hồi các chứng chỉ số. Mặc dù các thành phần cơ bản của PKI đã phổ biến, nhưng một số nhà cung cấp đang muốn đưa ra những chuẩn PKI riêng khác biệt. Một tiêu chuẩn chung về PKI trên Internet cũng đang trong quá trình xây dựng.
Cơ sở hạ tầng khóa công khai đề cập tới việc tạo, cung cấp, phân phối, kiểm soát, quản lý khóa công khai và cung cấp những hỗ trợ cần thiết để hỗ trợ cho việc cung cấp ứng dụng bảo mật, xác thực giao dịch mạng cũng như tính toàn vẹn và chống chối bỏ nguồn gốc.
Một cơ sở hạ tầng khoá công khai bao gồm:
1. Cơ quan cung cấp chứng thực số (CA)
2. Cơ quan quản lý đăng ký (RA)
3. Cơ quan quản lý đăng ký địa phương (LRA): Dùng đối với PKI có mạng
lưới rộng lớn về mặt địa lý.
4. Kho lưu trữ chứng chỉ (CD)
5. Danh sách thu hồi chứng chỉ (CRL): Dùng đối với PKI cần một kho lưu
Hình 1.5. Cơ sở hạ tầng khóa công khai (PKI)
1.2.3.1. Tổ chức chứng nhận khóa công khai (CA)
CA là một thành phần thiết yếu của PKI. CA phát hành các chứng chỉ sau khi danh tính của người sẽ sở hữu chứng chỉ đã được xác nhận. Cấp một chứng chỉ có nghĩa là CA ký vào hàm băm để bảo vệ sự toàn vẹn và xác thực danh tính của người sở hữu. Kết quả là các chứng chỉ đã phát hành có thể được sẵn sàng công khai và sử dụng bởi các cá nhân đang làm việc hoặc kinh doanh với chủ sở hữu chứng chỉ.
CA có thể là một đơn vị trong tổ chức hoặc của một thực thể độc lập. CA phát hành chứng chỉ cho các RA, LRA, và người dùng. Đồng thời, CA cũng chịu trách nhiệm thu hồi chứng chỉ và tạo, duy trì, phát hành danh sách thu hồi chứng chỉ, duy trì lưu trữ các chứng chỉ đã hết hạn và bị thu hồi, và có thể giữ lại một bản sao khóa bí mật mã hóa dữ liệu của người dùng để phục hồi dữ liệu trong trường hợp người dùng mất khóa bí mật.
Một CA cũng có thể nói rõ chất lượng của các kiểm tra đã tiến hành trước khi chứng chỉ được cung cấp. Các loại khác nhau của giấy chứng nhận có thể được trả giá tương ứng với mức độ kiểm tra đã thực hiện. Có 4 loại chứng chỉ phổ biến:
1. Loại 1: Chứng chỉ dễ dàng có được bằng cách cung cấp một địa chỉ email
2. Loại 2: Chứng chỉ yêu cầu bổ sung thêm một số thông tin cá nhân
3. Loại 3: Chứng chỉ được cung cấp sau khi đã kiểm tra kỹ lưỡng thông
tin của người yêu cầu.
4. Loại 4: Chứng chỉ được sử dụng bởi chính phủ hoặc các tổ chức cần
tới mức độ cao đối với việc xác nhận định danh của người dùng. Thông tin thu hồi chứng chỉ được cung cấp bởi CA về chứng chỉ bị thu hồi cho người dùng biết các chứng chỉ nào không còn hiệu lực và có thể làm theo hai cách:
1.Chứng chỉ có thể được xóa từ kho lưu trữ hoặc cơ sở dữ liệu mà chúng
được tìm thấy. Kết quả là bất kỳ nỗ lực nào tìm kiếm sự tồn tại của chứng chỉ đó sẽ thất bại và mọi người hiểu rằng chúng đã bị thu hồi.
2.Một hệ thống chứa danh sách thu hồi (CRLs) được phát triển ngoài kho
lưu trữ chứng chỉ. Đây là danh sách các chứng chỉ không còn hiệu lực.
1.2.3.2. Cơ quan quản lý đăng ký (RA)
Một CA thường sử dụng một hoặc nhiều cơ sở RA để kiểm tra người nộp đơn đăng ký. Một RA cho phép cung cấp thông tin xác nhận danh tính đến CA. Tùy thuộc vào từng cơ sở hạ tầng cụ thể, có thể là RA hoặc cơ quan đăng ký địa phương (LRA) gửi khóa công khai của người nộp đơn đến CA để chứng nhận và đặt trong một chứng chỉ. Các RA cũng chịu trách nhiệm quản lý bất kỳ LRA nào được coi là cần thiết và phục vụ như là điểm thông báo yêu cầu thu hồi.
1.2.3.3. Cơ quan quản lý đăng ký địa phương (LRA)
Giống như RA, LRA có trách nhiệm đối với các đơn đăng ký. Các LRA cho phép tạo ra xác nhận và cung cấp các thông tin cần thiết cho CA.
Người dùng được yêu cầu chứng minh danh tính của mình bằng chứng minh thư. Sau khi danh tính được xác minh LRA thực hiện đăng ký người sử dụng. Sau đó người dùng được dạy làm thế nào để sinh cặp khóa của họ và nhận chứng nhận từ CA. Các LRA chỉ được thiết lập trong các PKI lớn mà người dùng ở trong khu vực địa lý rộng, do đó sẽ có lợi ích từ khả năng tiếp cận của một văn phòng địa phương để xử lý đăng ký người sử dụng và thay mặt CA quản lý người sử dụng.
1.2.3.4. Kho lưu trữ chứng chỉ (CD)
Kho lưu trữ chứng chỉ là một trong những thành phần quan trọng của bất kỳ PKI nào. Các CA cung cấp chứng chỉ và danh sách thu hồi chứng chỉ đến kho lưu trữ chứng chỉ. Bằng cách này, người dùng có thể nhận chứng chỉ của những người dùng khác mà được cấp chứng chỉ bởi CA sở hữu kho lưu trữ. Kho lưu trữ này lưu trữ tất cả các chứng chỉ hiện hành và danh sách chứng chỉ thu hồi hiện hành.
Kho lưu trữ chứng chỉ là cơ sở dữ liệu lưu trữ các chứng chỉ. Chúng có thể được công khai hoặc hạn chế truy cập cho một tổ chức cụ thể. Ví dụ, một tổ chức có thể có kho lưu trữ riêng nơi giữ các chứng chỉ dành riêng cho người dùng của tổ chức này.
1.2.3.5. Danh sách thu hồi chứng chỉ (CRL)
Mỗi chứng chỉ có ghi ngày hết hạn. Thêm vào đó, một giấy chứng nhận có thể trở thành không hợp lệ trước ngày hết hạn. Do đó, CA cần một cơ chế để cung cấp một bản cập nhật trạng thái cho các chứng chỉ đã cung cấp và phát hành.
Một phương pháp để giải quyết vấn đề này là xóa các chứng chỉ từ kho lưu trữ chứng chỉ. Kết quả là, bất kỳ một nỗ lực nào kiểm tra sự tồn tại của các chứng chỉ đã xóa sẽ thất bại và chúng ta hiểu rằng chứng chỉ đã thu hồi. Có 3 vấn đề với phương pháp này:
Một cuộc tấn công từ chối dịch vụ vào kho lưu trữ chứng chỉ hoặc cơ sở
dữ liệu có thể tạo ra sự xuất hiện của chứng chỉ lỗi;
Xóa các bản ghi không nói cho người yêu cầu thông tin tại sao không có;
Nhiều sự triển khai PKI có thể tạo ra các bản sao chép tại nhiều nơi. Kết quả là một hệ thống quản lý danh mục thu hồi đã được phát triển bên ngoài kho lưu trữ chứng chỉ. Một CRL là một máy tính tạo ra danh sách các chứng chỉ được thu hồi bởi các công ty phát hành trước ngày hết hạn ban đầu của chúng vì một số lý do. Khả năng tiếp cận với các danh sách thu hồi là hết sức quan trọng cho sự tin tưởng cần thiết của cơ sở hạ tầng, các bên phải đảm bảo rằng các chứng chỉ mà họ sử dụng chưa được thu hồi. Vì vậy, những danh sách này phải có sẵn mọi lúc, ngay cả khi kho lưu trữ chứng chỉ có thể không có.