Ngoài các chức năng chính như ở trên thì hệ thống PKI còn có một số chức năng sau:
2.2.3.1. Đăng ký
Đăng ký là quá trình đến hoặc liên lạc với các tổ chức, trung tâm tin cậy để đăng ký các thông tin và xin cấp chứng chỉ. RA và CA là những thực thể trong quá trình đăng ký uá trình đăng ký phụ thuộc vào chính sách của tổ chức. Nếu chứng , q chỉ được cung cấp với mục đích dùng cho những hoạt động bí mật thì sử dụng phương pháp gặp mặt trực tiếp. Nếu chứng chỉ chỉ được sử dụng cho những mục đích, hoạt động th ng thì có thể đăng ký qua những ứng dụng viết sẵn hoặc ứng ườ dụng điện tử.
2.2.3.2. Khởi tạo ban đầu.
Khi hệ thống trạm của chủ thể nhận đ c các thông tin cần thiết để liên lạc ượ với CA thì quá trình khởi tạo bắt đầu. Những thông tin này có thể là khóa công khai của CA, chứng chỉ của CA, cặp khóa công khai/bí mật của chủ thể.
Một số hệ thống khác sử dụng cơ chế dựa trên password trong giai đoạn khởi tạo. Người dùng cuối liên lạc với CA khi nhận đ c password và sau đó thiết lập ượ một kênh bảo mật để truyền những thông tin cần thiết. Giai đoạn khởi tạo thường tiếp tục với quá trình chứng thực.
2.2.3.3. Khôi phục cặp khóa
Hầu hết hệ thống PKI tạo ra hai cặp cho ng i sử dụng cuối, một để ký số và ườ một để mã hóa. Lý do tạo 2 cặp khóa khác nhau xuất phát từ yêu cầu khôi phục và sao lưu dự phòng khóa.
Tùy theo chính sách của tổ chức, bộ khóa mã (mã và giải mã) và những thông tin liên quan đến khóa của người sử dụng phải được sao lưu để có thể lấy lại
Còn khóa để ký số đ c sử dụng tùy theo mục đích cá nhân nên không đượ ược sao l u. ư Riêng khóa bí mật của CA thì được lưu giữ dự phòng trong một thời gian dài để giải quyết những vấn đề nhầm lẫn có thể xảy ra trong tương lai. Hệ thống PKI có những công cụ để thực hiện chức năng sao lưu và khôi phục khóa.
2.2.3.4. Tạo khóa
Cặp khóa công khai/bí mật có thể đ c tạo ở nhiều nơi. Chúng có thể đượ ược tạo ra bằng phần mềm từ phía client và được gửi tới CA để chứng thực.
CA cũng có thể tạo ra cặp khóa tr c khi chứng thực. Trong tr ng hợp này, ướ ườ CA tự tạo ra cặp khóa và gửi cặp khóa bí mật này cho người sử dụng theo một cách an toàn. Nếu khóa do bên thứ ba tạo ra thì những khóa này phải đ c CA tin cậy ượ trong miền xác định trước khi sử dụng.
2.2.3.5. Hạn chế sử dụng và cập nhật khóa
Một trong những thuộc tính của chứng chỉ là thời gian hiệu lực. Thời gian hiệu lực của mỗi cặp khóa đ c xác định theo chính sách dử dụng. Các cặp khóa ượ của người sử dụng nên đ c cập nhật khi có thông báo về ngày hết hạn. Hệ thống sẽ ượ thông báo về tình huống này trong một thời gian nhất định. Chứng chỉ mới sẽ được người cấp công bố tự động sau thời gian hết hạn.
2.2.3.6. Xâm hại khóa
Đây là trường hợp không bình thường nhưng nếu xảy ra thì khóa mới sẽ đ c công bố và tất cả ng i sử dụng trong hệ thống sẽ nhận thấy điều này.ượ ườ Xâm hại đến khóa của CA là một tr ng hợp đặc biệt.ườ Và trong trường hợp này thì CA sẽ công bố lại tất cả các chứng chỉ với CA- Certificate mới của mình.
2.2.3.7. Thu hồi
Chứng chỉ đ c công bố sẽ đ c sử dụng trong trong khoảng thời gian có ượ ượ hiệu lực. Nhưng trong trường hợp khóa bị xâm hại hay có sự thay đổi trong thông tin của chứng chỉ thì chứng chỉ sẽ được công bố, chứng chỉ cũ sẽ bị thu hồi.
2.2.3.8. Công bố và g i thông báo thu h i ch ng ch ử ồ ứ ỉ
Một chứng chỉ được cấp cho ng i sử dụng cuối sẽ đ c gửi đến cho ngườ ượ ười nắm giữ và hệ thống lưu trữ để có thể truy cập công khai. Khi một chứng chỉ bị thu hồi vì một lý do nào đó, tất cả ng i sử dụng trong hệ thống sẽ đ c thông báo về ườ ượ việc này.
2.2.3.9. Xác thực chéo
Xác thực chéo là một trong những đặc tính quan trọng nhất của hệ thống PKI. Chức năng này đ c sử dụng để nối hai miền PKI khác nhau. Xác thực chéo là ượ cách để thiết lập môi trường tin cậy giữa hai CA d i những điều kiện nhất định.ướ
Những điều kiện này đ c xác định theo yêu cầu của người sử dụng. Những ượ người sử dụng ở các miền khác nhau chỉ có thể giao tiếp an toàn với người khác sau khi việc xác thực chéo giữa các CA thành công.
Xác thực chéo đ c thiết lập bằng cách tạo ra chứng chỉ CA xác thựcượ (CA- certificate) lẫn nhau. Nếu CA - 1 và CA - 2 muốn thiết lập xác thực chéo thì cần thực hiện một số bước sau:
+ CA - 1 công bố CA - certificate cho CA - 2 + CA - 2 công bố CA - certificate cho CA - 1.
+ CA - 1 và CA - 2 sẽ sử dụng những tr ng mở rộng xác định trong chứng ườ chỉ để đặt những giới hạn cần thiết trong CA certificate. Việc xác thực chéo đòi - hỏi phải có sự kiểm tra cẩn thận các chính sách PKI.
Nếu cả hai đều có cùng hoặc t ng tự chính sách của nhau thì việc xác thực ươ chéo sẽ có ý nghĩa. Ngược lại, sẽ có những tình huống không mong muốn xuất hiện trong trường hợp chính sách PKI của một miền trở thành một phần của miền khác. 2.3. Tìm hiểu các mô hình, kiến trúc của PKI
Tùy theo các yêu cầu, quy mô và khả năng của từng tổ chức mà có thể chọn triển khai một trong các mô hình PKI ph ổ biến sau:
2.3.1. Mô hình đơn
Đây là mô hình PKI cơ bản nhất phù hợp với các tổ chức nhỏ trong đó chỉ có một CA cung cấp dịch vụ cho toàn hệ thống và tất cả người dùng đặt sự tin cậy vào CA này. Mọi thực thể muốn tham gia vào PKI và xin cấp chứng chỉ đều phải thông qua CA duy nhất này. Mô hình này dễ thiết kế và triển khai nhưng cũng có các hạn chế riêng. Thứ nhất là ở khả năng co giãn – khi quy mô tổ chức được mở rộng, chỉ một CA thì khó mà quản lý và đáp ứng tốt các dịch vụ. Hạn chế thứ hai là CA này sẽ là điểm chịu lỗi duy nhất, nếu nó ngưng hoạt động thì dịch vụ bị ngưng trệ. Cuối cùng, nếu nó bị xâm hại thì nguy hại tới độ tin cậy của toàn bộ hệ thống và tất cả các chứng chỉ số phải được cấp lại một khi CA này được phục hồi.
2.3.2. Mô hình phân cấp
Đây là mô hình PKI được áp dụng rộng rãi trong các tổ chức lớn. Có một CA nằm ở cấp trên cùng gọi là oot CA, tất cả các CA còn lại là các Subordinate CA R (gọi tắt là sub. CA) và hoạt động bên dưới root CA. Ngoại trừ Root CA thì các CA còn lại trong đều có duy nhất một CA khác là cấp trên của nó. Hệ thống tên miền DNS (Domain Name System) trên Internet cũng có cấu trúc tương tự mô hình này.
Hình 2.4. Mô hình phân cấp.
Tất cả các thực thể (như người dùng, máy tính) trong tổ chức đều phải tin cậy cùng một oot CA. Sau đó các trust relationship được thiết lập giữa các sub. CA và R cấp trên của chúng thông qua việc CA cấp trên sẽ cấp các chứng chỉ cho các sub. CA ngay bên dưới nó. Lưu ý, oot CA không trực tiếp cấp chứng chỉ số cho các R thực thể mà chúng sẽ được cấp bởi các sub CA.Các CA mới có thể được thêm ngay
dưới root CA hoặc các sub CA cấp thấp hơn để phù hợp với sự thay đổi trong cấu trúc của tổ chức. Sẽ có các mức độ tổn thương khác nhau nếu một CA nào đó trong mô hình này bị xâm hại.
Trường hợp một sub CA bị thỏa hiệp thì CA cấp trên của nó sẽ thu hồi chứng chỉ đã cấp cho nó và chỉ khi sub CA đó được khôi phục thì nó mới có thể cấp lại các chứng chỉ mới cho người dùng của nó. Cuối cùng, CA cấp trên sẽ cấp lại cho nó một chứng chỉ mới.
Nếu root CA bị xâm hại thì đó là một vấn đề hoàn toàn khác, toàn bộ hệ thống PKI sẽ chịu ảnh hưởng. Khi đó tất cả các thực thể cần được thông báo về sự cố và cho đến khi root CA được phục hồi và các chứng chỉ mới được cấp lại thì không một phiên truyền thông nào là an toàn cả. Vì thế, cũng như single CA, root CA phải được bảo vệ an toàn ở mức cao nhất để đảm bảo điều đó không xảy ra và thậm chí root CA có thể ở trạng thái offline – bị tắt và không được kết nối vào mạng.
2.3.3. Mô hình mắt lưới
Nổi lên như một sự thay thế chính cho mô hình phân cấp truyền thống, thiết kế của mô hình mắt lưới giống với kiến trúc Web-of-Trust trong đó không có một CA nào làm Root CA và các CA sẽ có vai trò ngang nhau trong việc cung cấp dịch vụ. Tất cả người dùng trong mạng lưới có thể tin cậy chỉ một CA bất kỳ, không nhất thiết hai hay nhiều người dùng phải cùng tin một CA nào đó và người dùng tin cậy CA nào thì sẽ nhận chứng chỉ do CA đó cấp
Các CA trong mô hình này sau đó sẽ cấp các chứng chỉ cho nhau. Khi hai CA cấp chứng chỉ cho nhau thì một sự tin cậy hai chiều được thiết lập giữa hai CA đó. Các CA mới có thể được thêm vào bằng cách tạo các mối tin cậy hai chiều giữa chúng với các CA còn lại trong mạng lưới.
Vì không có một CA duy nhất làm cấp cao nhất nên sự tổn hại khi tấn công vào mô hình này có khác so với hai mô hình trước đó. Hệ thống PKI không thể bị đánh sập khi chỉ một CA bị thỏa hiệp. Các CA còn lại sẽ thu hồi chứng chỉ mà chúng đã cấp cho CA bị xâm hại và chỉ khi CA đó khôi phục hoạt động thì nó mới có khả năng cấp mới các chứng chỉ cho người dùng rồi thiết lập trust với các CA còn lại trong mạng lưới.
Áp dụng các mô hình trên Việt Nam chúng ta cũng có mô hình PKI riêng nhằm phục vụ lợi ích chung của quốc gia.
CHƢƠNG 3: THIẾT KẾ MÔ HÌNH HỆ THỐNG QUẢN LÝ HỌC SINH, SINH VIÊN DỰA TRÊN CƠ SỞ HẠ TẦNG MÃ HÓA
KHÓA CÔNG KHAI Hệ thống quản lý HSSV gồm các chức năng sau: [8], [9]
- Quản lý nhập học
- Quản lý nội trú, ngoại trú - Quản lý chế độ chính sách - Quản lý khen thưởng ỷ luật, k
- Quản lý thôi học, bảolưu kết quả học tập
Hình 3.1. Sơ đồ chức năng của hệ thống quản lý HSSV Hệ thống Quản lý HSSV Quản lý nhập học Quản lý chế độ chính sách Quản lý Nội trú, ngoại trú Quản lý Khen thưởng, kỷ luật Quản lý thôi học, lưu ban
3.1. Quản lý nhập học
Hình 3.2. Mô hình đảm bảo tính xác thực thông tin khi nhập học
Sinh viên trước khi đến nhập học cần soạn thảo các nội dung cần thiết cho thủ tục khi nhập học (1), sau đó ký vào văn bản vừa soạn thảo dùng chìa khóa bí mật của mình để ký “private key”, mã hóa văn bản và chữ ký dùng chìa khóa công khai của Server để mã hóa “Server public key”(2), gửi lên server văn bản và chữ ký (3), Server nhận thông tin và giải mã văn bản dùng chìa khóa công khai của sinh viên để giải mã “client public key” (4), server kiểm tra văn bản và chữ ký (5), xác nhận thông tin (6), ký văn bản phản hồi dùng chìa khóa bí mật của server “server private key”(7), mã hóa văn bản và chữ ký phản hồi mã hóa văn bản dùng chìa khóa công khai của sinh viên “client public key (8), ” gửi phản hồi cho sinh viên (9), sinh viên nhận thông tin phản hồi (10), sinh viên giải mã văn bản và kiểm tra chữ ký dùng khóa công khai của server để giải mã “server public key” (11), hiển thị nội dung văn bản và chữ ký phản hồi (12). Nếu đúng thì coi như việc nhập học đã hoàn
Sinh viên soạn thảo yêu cầu nhập học
Sinh viên ký văn bản, mã hóa văn bản
Gửi lên Server văn bản và chữ ký
Server nhận thông tin từ sinh viên
Server giải mã văn bản
Server kiểm tra văn bản, chữ ký
Server xác nhận thông tin và phản hồi Server ký văn bản
phản hồi Server mã hóa văn
bản phản hồi Server gửi phản hồi
cho sinh viên Sinh viên nhận thông
tin phản hồi Sinh viên giải mã văn
bản, kiểm tra chữ ký Hiển thị phản hồi
1 2 3 4 5 6 7 8 9 10 11 12
3.2. Quản lý nội trú, ngoại trú
Hình 3.3. Mô hình đảm bảo tính xác thực thông tin trong quản lý nội, ngoại trú. Trong quá trình học tập tại trường sinh viên tạm t ú ở nội trú hay ngoại trú r đều phải đăng ký với nhà trường thông qua phòng công tác học sinh sinh viên, để đăng ký được thông tin thì sinh viên cần soạn thảo các nội dung cần thiết cho thủ tục xin được ở tạm trú trong ký túc hay bên ngoài ký túc theo hướng dẫn (1), sau đó ký vào văn bản vừa soạn thảo dùng chìa khóa bí mật của mình để ký “ ey private”, k mã hóa văn bản và chữ ký dùng chìa khóa công khai của erver để mã hóa “s server public key ”(2), gửi lên server văn bản và chữ ký (3), Server nhận thông tin và giải mã văn bản dùng chìa khóa công khai của sinh viên để giải mã “client public key” (4), server kiểm tra văn bản và chữ ký (5), xác nhận thông tin (6), ký văn bả phảnn hồi dùng chìa khóa bí mật của server “server private key” (7), mã hóa văn bản và chữ ký phản hồi mã hóa văn bản dùng chìa khóa công khai của sinh viên “client public key”(8), gửi phản hồi cho sinh viên (9), sinh viên nhận thông tin phản hồi
Sinh viên soạn thảo nội dung về nơi tạm
trú
Sinh viên ký văn bản, mã hóa văn bản
Gửi lên Server văn bản và chữ ký
Server nhận thông tin từ sinh viên
Server giải mã văn bản
Server kiểm tra văn bản, chữ ký
Server xác nhận thông tin và phản hồi Server ký văn bản
phản hồi Server mã hóa văn
bản phản hồi Server gửi phản hồi
cho sinh viên Sinh viên nhận thông
tin phản hồi Sinh viên giải mã văn
bản, kiểm tra chữ ký Hiển thị phản hồi
1 2 3 4 5 6 7 8 9 10 11 12
đẻ giải mã “server public key” (11), hiển thị nội dung văn bản và chữ ký phản hồi (12). Nếu đúng thì coi như thủ tục xin tạm trú đã hoàn thành còn không thì làm theo hướng dẫn của văn bản phản hồi.
3.3. Quản lý chế độ chính sách
Hình 3.4. Mô hình đảm bảo tính xác thực thông tin trong quản lý chế độ chính sách. Trong quá trình học tập tại trường gia đình sinh viên thuộc diện chế độ chính sách của Nhà nước, Sinh viên cần soạn thảo các nội dung cần thiết cho thủ tục xin được hưởng chế độ theo hướng dẫn (1), sau đó ký vào văn bản vừa soạn thảo dùng chìa khóa bí mật của mình để ký “private key”, mã hóa văn bản và chữ ký dùng chìa khóa công khai của erver để mã hóa “s server public key ”(2), gửi lên server văn bản và chữ ký (3), erver nhận thông tin và giải mã văn bản dùng chìa khóa công khai s của sinh viên để giải mã “client public key” (4), server kiểm tra văn bản và chữ ký (5), xác nhận thông tin (6), ký văn bả phản hồi dùng chìa khóa bí mật của server n “server private key” (7), mã hóa văn bản và chữ ký phản hồi mã hóa văn bản dùng
Sinh viên soạn thảo nội dung xin hưởng
chế độ
Sinh viên ký văn bản, Mã hóa văn bản