1a. Người sử dụng đến trung tâm RAO để thực hiện huỷ bỏ chứng chỉ 1b. Người quản trị RAO đưa yêu cầu huỷ bỏ chứng chỉ lên RA.
2. RA kiểm tra chữ ký của người dùng trên yêu cầu huỷ bỏ chứng chỉ, nếu thấy đúng thì ký sau đó chuyển sang máy CA. Nếu ngược lại thì không ký vào yêu cầu huỷ bỏ chứng chỉ và không chuyển sang máy CA, báo cho RAO biết. 3. CA kiểm tra chữ ký của RA trên yêu cầu huỷ bỏ, nếu đúng thì ký vào yêu cầu
huỷ bỏ chứng chỉ, đồng thời thu hồi lại khoá bí mật và token từ người dùng. Nếu không đúng thì không ký và thông báo lại cho RA.
4. CA cập nhật lại CRL trên Directory Server 5a. RAO cập nhật danh sách chứng chỉ bị huỷ bỏ
5b. Người dùng được RAO cấp giấy chứng nhận huỷ bỏ chứng chỉ.
6.3 Cấu trúc vật lý và các vấn đề đảm bảo an toàn cho của hệ thống
Có rất nhiều cách trong đó một PKI có thể được thiết kế vật lý. Ở đây các thành phần chính của PKI được thi hành trên các hệ thống riêng biệt, đó là, CA trên một hệ thống, RA trên hệ thống khác và các máy chủ thư mục trên các hệ thống
User RAO RA CA DS 1a 5b 1b 2 4 5a 3
khác. Bởi vì các hệ thống có các dữ liệu nhạy cảm, chúng nên được đặt sau một tường lửa internet của tổ chức. Hệ thống CA đặc biệt quan trọng bởi vì một tổn thương nào đó cho CA có thể phá vỡ toàn bộ hệ thống hoạt động PKI và phải bắt đầu với các chứng chỉ mới. Do đó, việc đặt hệ thống CA đằng sau tường lửa của công ty để nó được bảo vệ cả bởi từ internet và từ các hệ thống trong chính công ty. Dĩ nhiên, tường lửa của công ty cho phép các giao tiếp giữa CA và RA cũng như các hệ thống thích hợp khác. Song song với việc bảo vệ trên mạng như vậy, về mặt vật lý, hệ thống CA cũng cần được đặt trong một phòng riêng biệt được xây dựng và bảo vệ đặc biệt.
Hệ thống VnpCert được thiết kế thực hiện sao lưu toàn bộ khoá bí mật và chứng chỉ của người dùng một ngày một lần, để đảm bảo an toàn cho hệ thống thì dữ liệu sao lưu cũng cần được bảo vệ đặc biệt và tách biệt hoàn toàn với hệ thống CA đang hoạt động (đề phòng trường hợp hoả hoạn, nơi CA đang hoạt động bị phá huỷ...).
Hệ thống VnpCert liên quan nhiều tới vấn đề pháp lý do đó công ty cần kiểm tra chặt chẽ, đảm bảo các yêu cầu kỹ thuật và chất lượng dịch vụ của hệ thống CA. Việc báo cáo định kỳ về hoạt động của các CA cần được thực hiện một tuần một lần. Việc kiểm tra các CA cần được tiến hành định kỳ một ngày một lần và có thể kiểm tra đột xuất khi cần thiết. Đồng thời cần xây dựng chính sách chứng thực để đảm bảo hệ thống hoạt động an toàn và ổn định.
Để đảm bảo cho các user và các các hệ thống riêng biệt muốn truy cập các chứng chỉ của công ty thuận lợi đồng thời lại đảm bảo được an toàn cho hệ thống, các thư mục cần sẵn sằng cho các user và các tổ chức khác trên internet. Một giải pháp là tạo một thư mục mà chỉ chứa khoá công khai hay chứng chỉ, các CRLs và định vị thư mục này tại đường biên của công ty. Thư mục này được xem như là thư mục đường biên. Một vị trí phù hợp cho thư mục sẽ bên ngoài tường lửa của công ty và trên một đoạn mạng được bảo vệ để nó vẫn sẵn sàng công khai nhưng được bảo vệ tốt hơn khỏi tấn công.
Máy chủ thư mục chính định vị trong mạng được bảo vệ của tổ chức sẽ định kỳ làm mới lại thư mục đường biên với những chứng chỉ mới hay những sự cập nhật tới những chứng chỉ hiện hữu và các CRLs. Những người sử dụng bên trong công ty sử dụng máy chủ thư mục chính, trong khi những hệ thống, tổ chức khác và các user sẽ chỉ truy cập tới thư mục đường biên.
DS RootCA RA Firewall RAO Gate way Firewall Directory Border SubCA1 RA1 Firewall RAO1 SubCA2 RA2 Firewall RAO2 SubCA3 RA3 Firewall RAO3 WAN
Firewall Firewall Firewall
Hình 6.12: Mô hình cung cấp chứng chỉ số VnpCert cùng các giải pháp đảm bảo an toàn cho hệ thống cung cấp chứng chỉ số và mạng nội bộ
KẾT LUẬN
PKI là một chủ đề phức tạp và phong phú, bao quanh tất cả các khía cạnh đã yêu cầu để biến mật mã khoá công khai thành nền tảng CSHT cho các dịch vụ bảo mật và xác thực.
PKI, như mô tả bởi định nghĩa mở rộng, chứa đựng về mặt chức năng để có một phạm vi an toàn rộng cần thiết. Một sự thi hành PKI cụ thể cho một môi trường hoạt động cụ thể có thể không yêu cầu chức năng đầy đủ này, một vài tập hợp con của các chức năng đã mô tả có thể đã đầy đủ. Tuy nhiên, định nghĩa mở rộng hữu ích bởi vì một PKI có mô tả này có thể cần thiết cho bất cứ môi trường nào ngày nay, cũng như là những cần thiết phát triển của môi trường theo thời gian.
Trong luận văn này, sau khi trình bày PKI một cách cơ bản, như một sự vận dụng bước đầu vào thực tiễn, tôi sẽ suy nghĩ đề xuất nên một hệ thống cung cấp chứng chỉ số cho Công ty Dịch vụ viễn thông (Vinaphone). Ở đây, hệ thống không yêu cầu đầy đủ các chức năng của PKI. Hơn nữa, có thể nói đó là những nét cơ bản, khi đưa vào ứng dụng chắc chắn còn phải nghiên cứu bổ xung thêm.
Nội dung của luận văn là một vấn đề phức tạp và phong phú mà trình độ và thời gian của tác giả còn nhiều hạn chế nên không tránh khỏi nhiều thiếu sót. Tôi xin chân thành tiếp thu các ý kiến đóng góp để có thể hiểu và vận dụng vào thực tế có hiệu quả.
TÀI LIỆU THAM KHẢO
Tiếng Việt
1. Lê Mỹ Tú, Trần Duy Lai (2006), Giáo trình chứng thực điện tử, Hà Nội. 2. Nguyễn Minh Dân (2004), Một số vấn đề khi triển khai chứng thực điện
tử tại Việt Nam, Hà Nội.
3. Phan Đình Diệu (1999), Lý thuyết mật mã và an toàn thông tin, Đại học Quốc Gia Hà Nội, Hà Nội.
4. Trịnh Nhật Tiến (2004), Bài giảng: “một số vấn đề về an toàn dữ liệu”.
Tiếng Anh
5. American Bar Association (1995), Digital Signature Guidelines: Legal Infrastructure for Certification Authorities and Electronic Commerce. 6. Brands, S. (2000), Rethinking Public Key Infrastructures and Digital
Certificates: Building in Privacy, Cambridge .
7. Carlisle Adams, Steve Lloyd (2002), Understanding PKI: Concepts, Standards, and Deployment Considerations, Addison-Wesley, New York.
8. Diffie, W., and M. Hellman (1976), "New Directions in Cryptography", IEEE Transactions on Information Theory, pp 644–654.
9. ITU-T Recommendation X.509 (1997), “Information technology-Open systems interconnection-The directory: Authentication framework”. 10.ITU-T Recommendation X.509 (2000), “Information technology-Open
systems interconnection-The directory: Public key and attribute certificate frameworks”.
11.Menezes A. P. van Oorschot, S. Vanstone (1997), Handbook of Applied Cryptography, Boca Raton.
Một số RFC
12.Dusse, S., P. Hoffman, B. Ramsdell, L. Lundblade, and L. Repka (1998),
13.Dusse, S., P. Hoffman, B. Ramsdell, and J. Weinstein (1998), S/MIME Version 2 Certificate Handling, Internet Request for Comments 2312. 14.Kent, S., and R. Atkinson (1998), Security Architecture for the Internet
Protocol, Internet Request for Comments 2401.
15.Housley, R. (1999), Internet X.509 Public Key Infrastrure Certificate and CRL Profile, RFC 2459.
16.Housley, R., W. Polk, W. Ford, and D. Solo (2002), Internet X.509 Public Key Infrastructure: Certificate and Certificate Revocation List (CRL) Profile, Internet Request for Comments 3280 .
17.Ramsdell, B. (1999), S/MIME Version 3 Certificate Handling, Internet Request for Comments 2632.
18.Ramsdell, B. (1999), S/MIME Version 3 Message Specification, Internet Request for Comments 2633.
Một số Website
19.http://europa.eu.int/comm/internal_market/en/media/sign/Dir99-93-
ecEN.pdf, “Directive 1999/93/EC of the European Parliament and of the Council of 13 December 1999 on a Community framework for electronic signatures”.
20.http://grouper.ieee.org/groups/1363/index.html, “Institute of Electrical and Electronics Engineers Standards Association Working Group P1363”.
21.http://myhome.naver.com/t0pp0/source/0672323915_bib01.html,
“Understanding PKI: Concepts, Standards, and Deployment
Considerations, Second Edition”.
22.http://www.ietf.org/html.charters/pkix-charter.html, “The PKIX Working Group Charter”.
PHỤ LỤC
Một số chuẩn mật mã khoá công khai PKCS
PKCS - Public Key Cryptography Standards là chuẩn mã hoá khoá công khai do phòng thí nghiệm RSA phát triển. Chuẩn PKCS cung cấp những định nghĩa cơ bản về định dạng dữ liệu và thuật toán là cơ sở nền tảng của việc triển khai PKI.
PKCS#1 RSA Encryption Standard – Mã và ký sử dụng hệ mã công khai RSA
PKCS#3 Diffie-Hellman Key Agreement Standard - Chuẩn trao đổi khoá Diffie-Hellman. PKCS#3 mô tả phương pháp thực hiện trao đổi khoá Diffie-Hellman.
PKCS#5 Password-based Encrytion Standard - Chuẩn mã hoá dựa trên password. PKCS#5 mô tả phương pháp mã xâu bát phân sử dụng khoá bí mật được tính từ password để sinh ra xâu bát phân được mã hoá. PKCS # 5 có thể được sử dụng để mã hoá khoá riêng trong việc truyền khoá bí mật.
PKCS#6 Extended Certificate Syntax Standard - Chuẩn cú pháp chứng chỉ mở rộng. PKCS # 6 định nghĩa cú pháp chứng chỉ X.509 mở rộng.
PKCS#7 Crytographic Message Syntax Standard - Chuẩn cú pháp thông điệp mật mã.PKCS#7 xác định cú pháp tổng thể dữ liệu được mã hoá ví dụ như chữ ký số. PKCS#7 cung cấp một số lựa chọn định dạng: message không mã hoá hoặc ký số, message được mã hoá, message được ký số và message có cả ký số và mã hoá.
PKCS#8 Private Key Information Syntax Standard - Chuẩn cú pháp thông tin riêng. PKCS#8 định nghĩa cú pháp thông tin khoá riêng và cú pháp khoá riêng được mã hoá.
PKCS#9 Selected Attribute Types - Những loại thuộc tính được lựa chọn. PKCS#9 định nghĩa những loại thuộc tính được lựa chọn sử dụng trong chứng chỉ mở rộng PKCS#6, thông điệp ký số PKCS#7, thông tin khoá riêng PKCS#8 và yêu cầu ký chứng chỉ PKCS#10. Những thuộc tính chứng chỉ được chỉ rõ ở đây gồm có địa chỉ thư, loại nội dung, bản tóm tắt thông điệp, thời gian ký, password yêu cầu và
PKCS#10 Certification Request Syntax Standard - Chuẩn cú pháp yêu cầu chứng chỉ. PKCS#10 định nghĩa cú pháp yêu cầu chứng chỉ. Yêu cầu chứng chỉ gồm tên phân biệt, khoá công và tập các thuộc tính tuỳ chọn, chữ ký của thực thể yêu cầu chứng chỉ.
PKCS#11 Cryptographic Token Interface Standard - Chuẩn giao diện thẻ bài mật mã. PKCS#11 xác định giao diện lập trình ứng dụng (Application programming interface - API) cho thiết bị người sử dụng chứa thông tin mã hoá (cũng như khoá mã hoá và chứng chỉ) và thực hiện chức năng mã hoá. Smart Card là thiết bị đặc trưng thực hiện Cryptoki.
PKCS#12 Personal Information Exchange Syntax Standard - Chuẩn cú pháp trao đổi thông tin cá nhân. PKCS#12 định nghĩa định dạng thông tin nhận diện cá nhân bao gồm khoá riêng, chứng chỉ, bí mật đặc tính khác nhau và mở rộng. PKCS#12 làm cho việc truyền chứng chỉ và khoá bí mật gắn kèm được thuận tiện, giúp người sử dụng có thể chuyển thông tin nhận diện cá nhân từ thiết bị này sang thiết khác.
PKCS#13 Elliptic Curve Crytography Standard - Chuẩn mật mã đường cong elliptic. PKCS#13 bao gồm việc tạo tham số đường cong elliptic và kiểm tra hiệu lực, tạo khoá và công nhận giá trị, chữ ký số và mã hoá khoá công khai cũng như thoả thuận khoá.
PKCS#14 Pseudo-Random Number Generation Standard - Chuẩn tạo số giả ngẫu nhiên. Nhiều hàm mật mã cơ bản được sử dụng trong PKI như tạo khoá và thoả thuận khoá bí mật Diffie – Hellman sử dụng dữ liệu ngẫu nhiên. Tuy nhiên nếu dữ liệu ngẫu nhiên lại không ngẫu nhiên mà được chọn từ tập giá trị có thể tiên đoán được thì hàm mật mã không bảo mật được đầy đủ. Do đó tạo số giả ngẫu nhiên an toàn là điều quan trọng đối với bảo mật PKI