CHƯƠNG I : T NG QUAN AN TOÀN BẢO MẬT HỆ TH NG THÔNG TIN
3.3 Một số đề xuất về tổ chức cung cấp quản lý chứng chỉ số
3.3.1 Đề xuất mơ hình CA
Mơ hình Root CA, có một CA gốc tự cấp chứng thư cho mình và cấp chứng thư cho các CA khác theo hình thức lan tỏa. CA gốc được coi là điểm tin cậy của hệ thống, thường ứng dụng trong một lĩnh vực hay quốc gia.
3.3.2 Kiến trúc và các thành phần thiết bị
- Các máy chủ Web đặt tại vùng mạng bên ngoài (DMZ) phục vụ truy nhập cho khách hàng qua Internet.
- Các máy chủ ứng dụng: Phục vụ kết nạp hoặc yêu cầu chứng chỉ và các yêu cầu tìm kiếm trong cơ sở dữ liệu.
- Máy chủ thực hiện chữ ký giữ khóa khóa gốc CA (được lưu trữ trong thiết bị lưu trữ và bảo mật khóa chuyên dụng HSM) và được dùng để thực hiện chữ ký số lên các chứng chỉ, hoặc phản hồi cho các yêu cầu về trạng thái của chứng chỉ số thông qua giao thức (OCSP) hoặc danh sách thu hồi chứng chỉ (CRL).
- Máy chủ giám sát trung tâm: Máy chủ này chạy các kịch bản (scipt) và các quy trình để giám sát các thành phần chức năng của Trung tâm cung cấp dịch vụ CA của Sở Thông tin và Truyền thông.
- Máy chủ cơ sở dữ liệu: lưu trữ cơ sở dữ liệu thông tin người dùng.
- Máy chủ sinh khóa việc sinh các khóa CA được thực hiện tại một thiết bị riêng độc lập và khơng có kết nối vào mạng.
- Máy chủ phục hồi khóa : Máy chủ hồi phục hóa làm việc tại phân vùng hậu phương cho phép quản lý và hồi phục khóa.
3.3.3 Tính năng sản phẩm đề xuất
1/. Tính năng phần mềm CA
- Quản lý chứng chỉ số tự động,trong suốt với người sử dụng. - Lưu trữ an tồn các khóa bí mật của một hệ thống CA.
- Cấp phát các chứng chỉ số cho người sử dụng cũng như thiết bị hay ứng dụng có yêu cầu sử dụng (chuẩn X.509).
- Duy trì một cơ sở dữ liệu an tồn và có thể kiểm sốt được về lịch sử của các khóa bí mật được cấp phát. Mục đích là để phục hồi khóa trong trường hợp khóa của người sử dụng bị mất.
- Hỗ trợ nhiều kiến thức CA chuẩn.
+ Đảm bảo chứng thực được với các nhà cung cấp CA khác nhau.
+ Cung cấp giải pháp sao lưu dữ liệu cho hệ thống một cách linh động, theo các cơ chế khác nhau.
+ Có chế độ Backup dữ liệu hệ thống PKI và các file dữ liệu liên quan của hệ thống.
2/. Tính năng registration authority (RA)
- Thêm bớt người sử dụng CA trong hệ thống. - Quản lý người sử dụng và các chứng chỉ của họ. - Quản trị chính sách bảo mật một cách tập trung. - Cung cấp giao diện quản trị đa dạng.
3/. Tính năng HSM (Hardware Sercurity Module) - Lưu trữ khóa một cách bảo mật.
- Quản lý khóa bằng phần cứng.
- Hiệu suất thực hiện các thao tác mã hóa cao.
4/. Tính năng về phần mềm quản lý chứng chỉ của người dùng cuối cùng Kiểm tra được chữ ký của CA trên chứng chỉ.
Phần mềm phía người dùng cuối có khả năng sinh cặp khóa cơng khai – bí mật tại chỗ.
Phần mềm phía người dùng cuối phải có khả năng giám sát và theo dõi được các cặp khóa của người dùng để đảm bảo chúng phải được cập nhập trước khi hết hạn.
Phần mềm phía người dùng cuối phải có khả năng cập nhập khóa một cách tự động và trong suốt với người sử dụng, việc thay đổi khóa tn theo chính sách được quản lý đồng bộ, tập trung tại CA server.
3.4 Các giải pháp triển khai
3.4. 1 Xây dựng một hệ thống CA riêng tại Sở Thông tin và Truyền thông
Giải pháp này địi hỏi việc đầu tư kinh phí tương đối lớn và mất thời gian cho việc thiết lập Trung tâm CA; Trung tâm CA dự phòng; Hệ thống Directory (cho phép người sử dụng đầu cuối tại các địa điểm khác nhau truy cập).
Ngồi ra giải pháp cịn cần đội ngũ vận hành có kinh nghiệm, quy chế hoạt động CA chặt chẽ để đảm bảo an toàn cho hệ thống.
3.4.2 Đăng ký sử dụng với một tổ chức cung cấp dịch vụ chứng thực số
Giải pháp này yêu cầu đầu tư nhỏ hơn nhiều cả về kinh phí và nhân lực so với giải pháp 1. Mặt khác, đối với các giao dịch G2G, G2B và G2C chỉ cần đăng ký sử dụng với một tổ chức cung cấp dịch vụ chứng thực số để xin cấp chứng chỉ số cho các giao dịch cần triển khai.
3.4.3 Lưu trữ và bảo vệ khóa bí mật sử dụng cho chữ ký số
Trong suốt quá trình sử dụng chứng chỉ số người dùng có trách nhiệm lưu giữ và đảm bảo sự an tồn và bí mật cho khố riêng của mình. Khố riêng của người sử dụng thường được lưu trữ trong đĩa mềm, thẻ thông minh (SmartCard), USBToken,… của người đó. Thẻ thơng minh và USB token là thiết bị có tích hợp chip trên nó nhằm đáp ứng các nhu cầu về lưu trữ dữ liệu, bảo vệ dữ liệu và xử lý dữ liệu (nhờ vào bộ vi xử lý trên chip), bộ vi xử lý 32 bit trên chip thơng thường có EEPROM (Electrically Erasable Programmable Read-only Memory) khoảng 32KB hoặc 64K (EPPROM có thể cùng lúc ở mode đọc hoặc ghi).
Thẻ thơng minh giao tiếp với máy tính qua một thiết bị đọc thẻ (smart card
reader), cịn USB token khơng cần thiết bị đọc thẻ mà sử dụng cổng USB trên
máy tính. Thiết bị đọc thẻ và USB token đều cần một trình điều khiển (driver). Khi người dùng sử dụng thẻ thông minh hoặc USB Token trong các ứng dụng PKI (chữ ký số, mã hóa) thì phải nhập vào số PIN (Personal Indentification Number) để xác thực.
Hiện nay, USB Token là thiết bị được dùng phổ biến trong các ứng dụng PKI và có nhiều loại khác nhau. Việc lựa chọn USB Token được dựa trên các tiêu chí chính sau đây:
- Khả năng hỗ trợ hệ điều hành và ngơn ngữ lập trình
- Tiêu chuẩn bảo mật.
Giới thiệu eToken Pro USB
eToken Pro USB là một sản phẩm thuộc dòng sản phẩm eToken™ của Aladdin Knowledge Systems Ltd., Israel.
Hình 3.2: eToken Pro 32K
eToken Pro USB là một thiết bị bảo mật cao, giao tiếp với máy tính qua cổng USB, sử dụng tiện lợi, an toàn, dễ mở rộng. eToken Pro USB hỗ trợ tất cả hạ tầng khóa cơng khai eToken PKI như xác thực người dùng, quản lý mật khẩu, bảo mật chữ ký số và bảo mật dữ liệu…Ngoài ra, do eToken Pro USB hỗ trợ các giao diện và hệ thống bảo mật theo tiêu chuẩn cơng nghiệp, nên eToken Pro USB cịn đảm bảo việc tích hợp dễ dàng với hạ tầng và các chính sách bảo mật.
Dựa trên các tiêu chí đánh giá, eToken Pro USB có tính năng nổi trội về khả năng hỗ trợ hệ điều hành, hỗ trợ các ứng dụng PKI, hỗ trợ các chuẩn bảo mật và khả năng tích hợp. Vì vậy, eToken Pro USB là sản phẩm được Ban cơ yếu Chính phủ lựa chọn và khuyến cáo các bộ/ngành sử dụng sản phẩm này.
3.5 Triển khai thử nghiệm
Trình tạo khóa tạo ra cặp khóa 1024 bit. Nội dung thông điệp là tập tin được nạp vào và sử dụng khóa bí mật tạo ra hàm băm SHA1 đầu vào sau đó tạo thành chữ ký. Việc này tương ứng với cặp mã bí mật cơng khai được tạo ra trong các USB token, trong đó khóa bí mật được lưu trữ trên USB token, khóa cơng khai được lưu trữ tại máy chủ Root-CA.
Quá trình giải mã dựa vào chữ ký được tạo ra trong quá trình ký nội dung văn bản, đối chiếu với hàm băm SHA1 và khóa cơng khai để kiểm tra xem văn bản có tồn vẹn hay khơng, đã bị sửa chữa hay chưa, đồng thời kiểm tra xác thực người ký văn bản với cặp mã cơng khai và bí mật.
3.5.2 Kết quả thử nghiệm
- Chữ ký số mã hóa RSA/SHA1 đảm bảo tính bảo mật cao. Ứng dụng hoạt động chính xác, kiểm tra chính xác văn bản, tệp tin khơng bị thay đổi. Nếu có thay đổi bất kỳ hệ thống sẽ báo file đã bị thay đổi.
- Xác định chính xác định danh của khóa cơng khai do cặp khóa bí mật, cơng khai là duy nhất. Khi thay đổi khóa cơng khai hoặc khóa bí mật bị thay đổi trước khi mã hóa tệp tin thì thơng xác nhận được tệp tin được ký chính xác.
Đánh giá kết quả 100 lần thử nghiệm với các thao tác: Thay đổi khóa bí mật, thay đổi khóa cơng khai, thay đổi file gốc khi file gốc là ảnh, thay đổi file gốc khi file gốc là text. Kết quả thử nghiệm được ghi chép trong bảng 3.1.
Bảng 3.1: Kết quả thử nghiệm STT Nội dung Số lần thử nghiệm Kết quả nhận dạng đúng Tỷ lệ nhận dạng
1 Thay đổi khóa bí mật 100 100 100%
2 Thay đổi khóa cơng khai 100 100 100%
3 Thay đổi input file ảnh 100 100 100%
4 Thay đổi input file text 100 100 100%
Kết luận chương
Xác thực là một cơ chế cơ bản nhất có vai trị bảo đảm an tồn cho các thực thể khi trao đổi thơng tin giữa các hệ thống. Kỹ thuật mật mã khóa đối xứng chỉ mới bảo vệ được tính bí mật và tính tồn vẹn của thơng tin. Các kỹ thuật mật mã khóa bất đối xứng, hàm băm mật mã một chiều và chữ ký điện tử cũng mới chỉ giải quyết được các vấn đề xác thực thông tin.
Chứng thực khóa cơng khai là một cơ chế hiệu quả đối với vấn đề chống chối bỏ trong các giao dịch, chống các thực thể tham gia giao dịch chối bỏ tính pháp lý của giao dịch. Mỗi chứng thực khóa bao gồm nhận dạng các thực thể, khóa cơng khai của thực thể đầu cuối và xác nhận (bằng chữ ký số) của một thực thể thứ ba. Một hệ thống cung cấp cơ chế tạo ra và quản lý chứng thực khóa được gọi là cơ sở hạ tầng khóa cơng khai PKI.
Hệ thống thơng tin về các dịch vụ hành chính cơng được tổ chức theo mơ hình phân tán. Yêu cầu phải quản lý các thực thể truy xuất thông tin, sao cho phải đảm bảo tuyệt đối an toàn hệ thống và cho các thực thể tham gia các hoạt động giao dịch trong hệ thống. Đảm bảo thông tin xác thực không bị đánh cắp và người sử dụng chỉ cần xác thực một lần cho tất cả các dịch vụ trong hệ thống thông tin. Hệ thống được xây dựng theo mơ hình xác thực người sử dụng tham gia các giao dịch truy xuất thông tin. Nghĩa là các thực thể muốn truy xuất thông tin trên hệ thống, trước tiên phải đăng ký và phải được hệ thống cấp phép. Khi đã được cấp phép, các thực thể có thể được truy xuất thơng tin, nhưng trong q trình truy xuất vẫn phải bị hệ thống giám sát bằng mơ hình xác thực sử dụng các dịch vụ thơng tin của hệ thống.
KẾT LUẬN
Việc đảm bảo an tồn bảo mật cho một hệ thống thơng tin là vấn đề rất quan trọng và cấp bách hiện nay, đặc biệt vấn đề bảo mật và xác thực thông tin trong các giao dịch hành chính giữa doanh nghiệp với cơ quan nhà nước được đảm bảo sẽ là tiền đề phát triển chính quyền điện tử tại địa phương.
Luận văn đã tập trung nghiên cứu các vấn đề về bảo mật, an tồn thơng tin dữ liệu trong giao dịch điện tử; nghiên cứu tổng quan về hệ mật mã; phương pháp mã hóa đối xứng, chuẩn mã dữ liệu DES; mã hóa bất đối xứng và sự ra đời của hệ mật mã khóa cơng khai RSA được đánh giá là là đủ để đảm bảo tính riêng tư và xác thực dữ liệu đã đáp ứng đầy đủ yêu cầu bảo mật thông tin. Đồng thời nghiên cứu cơ sở khoa học của chữ ký số, nghiên cứu các lược đồ chữ ký số để tìm ra lược đồ chữ ký số khả thi, nghiên cứu cơ sở hạ tầng khóa cơng khai PKI, việc sử dụng chữ ký số vào việc bảo mật và xác thực thơng tin trong giao dịch hành chính công điện tử.
Luận văn cũng giới thiệu tổng quan, các đặc trưng và yêu cầu của việc bảo mật thông tin, chứng thực trong việc gửi /nhận và truyền tải văn bản trên mạng máy tính trong giao dịch điện tử; nghiên cứu một trong những phương pháp bảo vệ an tồn thơng tin dữ liệu có tính an tồn cao hiện nay, đó là dùng hệ mã hóa khóa cơng khai, ứng dụng chữ ký điện tử và chứng thực số trong việc xác thực thông tin truyền tải trên mạng Internet.
Về ứng dụng thực tế, học viên đề xuất các mơ hình xác thực cho hệ thống thơng tin về các dịch vụ hành chính cơng, theo mơ hình phân tán. Yêu cầu phải quản lý các thực thể truy xuất thông tin, sao cho phải đảm bảo tuyệt đối an toàn cho hệ thống và cho các thực thể tham gia các hoạt động giao dịch trong hệ thống. Các mơ hình được xây dựng theo mơ hình xác thực người sử dụng tham gia các giao dịch truy xuất thông tin. Nghĩa là các thực thể muốn có quyền truy xuất thơng tin trên hệ thống, trước tiên các thực thể đó phải đăng ký và phải được hệ thống cấp phép. Và khi được quyền truy xuất, các thực thể phải được hệ thống kiểm sốt bằng mơ hình xác thực sử dụng các dịch vụ thơng tin của hệ thống.
Hướng phát triển của đề tài là có thể áp dụng mơ hình triển khai vào thực tế nhiều hơn nữa chứ không chỉ dừng ở mức lý thuyết demo. Chúng ta có thể triển khai thử nghiệm một hệ thống chứng thực tập trung dựa vào chữ ký điện tử trong mơi trường cơ sở hạ tầng khóa cơng khai cho giao dịch hành chính cơng điện tử tỉnh Bắc Ninh. Hệ thống được triển khai này mang lại đầy đủ các tính chất cần thiết nhằm thiết lập một mơi trường an tồn, tin cậy trong giao tiếp như tính bảo mật, tính tồn vẹn, tính xác thực và tính khơng thể chối từ. Hơn nữa, hệ thống cịn có khả năng mở rộng, tích hợp với các hệ thống khác một cách dễ dàng.
Trong quá trình thực hiện vì điều kiện thời gian cũng như kiến thức hạn chế, luận văn khơng thể tránh khỏi sai sót về nội dung và hình thức, rất mong được sự tham gia góp ý của q thầy cơ và các bạn để bản luận văn hoàn chỉnh hơn.
TÀI LIỆU THAM KHẢO Tiếng Việt
[1] Phan Đình Diệu, Lý thuyết mật mã và an tồn thơng tin, NXB Đại học Quốc Gia Hà Nội, 2002.
[2] Nguyễn Linh Giang, An tồn và An ninh thơng tin mạng, Đại học Bách khoa Hà Nội, 2015.
[3] Trịnh Nhật Tiến, An toàn dữ liệu, NXB Đại học Quốc Gia Hà Nội, 2008. [4] Trần Duy Lai, Mã hóa dựa trên định danh, Tạp chí An tồn thơng tin số
3/2009 - ISSN 1859 -1256.
[5] Phạm Quốc Hồng, Mã hóa dựa trên thuộc tính, Tạp chí An tồn thơng tin số 2/2010 - ISSN 1859 - 1256.
Tiếng Anh
[6] Wenbo Mao, Modern Cryptography; Theory and Practice, Prentice Hall PTR, 2003.
[7] William Stallings, Cryptography and Network Security Principles andPractices, Fourth Edition, 2005.
[8] Svetlin Nakov How, Digital Signatures Work: Digitally Signing Message, 2005.
[9] Carlisle Adams and Steve Lloyd, Understanding PKI: Concepts, Standards and Deployment Considerations, Addison-Wesley, 2003.
[10] Federal Information, Processing Standards Publication 180 (1995), Secure Hash Standard (SHA).
[11] Mark Stamp, Information Security; Principles and Practices, John Wiley & Sons, 2006.