2.3.1 End Entity
Là người dựng cuối, thiết bị (chẳng hạn Server, router,...) hoặc một đối tượng nào đú được xỏc định trong trường chủ thể của chứng chỉ khoỏ cụng khai. Núi cỏch khỏc end entity là cỏc ứng dụng PKI, và cỏc đối tượng tham gia trong cỏc giao dịch điện tử.
2.3.2 CA (Certification Authority)
Là thành phần rất cơ bản của PKI vỡ nú là thành phần phỏt hành chứng chỉ khoỏ cụng khai. Cỏc chứng chỉ khoỏ cụng khai được ký bởi CA. CA cũng chịu trỏch nhiệm phỏt hành cỏc CRL trừ khi chỳng được uỷ quyền cho cỏc nhà phỏt hành CRL riờng biệt. CA cũng cú thể thực hiện một nhiệm vụ quản trị chẳng hạn như đăng ký người dựng cuối tuy nhiờn những nhiệm vụ này thụng thường được thực hiện tại cỏc RA. CA cũng cú thể thực hiện cỏc chức năng sao lưu và khụi phục khoỏ.
CA cú thể là một thành phần thứ ba đứng độc lập hoặc cỏc tổ chức tự vận hành phần mềm cấp chứng chỉ số của mỡnh.
Chữ ký số của CA cấp chứng chỉ: Cũn gọi là chứng chỉ gốc. Đõy chớnh là sự xỏc nhận của CA, bảo đảm tớnh chớnh xỏc và hợp lệ của chứng chỉ. Muốn kiểm tra một chứng chỉ số, trước tiờn phải kiểm tra chữ ký số của CA cú hợp lệ hay khụng
2.3.2.1 Cấu trỳc tổ chức của hệ thống CA : cú thể chia làm ba loại:
Cấu trỳc riờng lẻ : CA tự cấp chứng chỉ số cho mỡnh. Cấu trỳc này thường được sử dụng trong nội bộ một đơn vị như trong một trường đại học, một cơ quan nghiờn cứu
Cấu trỳc mắt lưới : được ứng dụng trong một cộng đồng cỏc CA tin cậy lẫn nhau. Cỏc CA trong cấu trỳc mắt lưới cú quan hệ ngang hàng và thường cấp chứng chỉ cho nhau
Cấu trỳc hỡnh cõy : Là cấu trỳc phổ biến nhất, nú bao gồm cỏc thành phần cơ bản như Hỡnh 1
2.3.2.2 Cỏc cấu trỳc quan hệ của CA
Khi sử dụng khoỏ cụng khai của một thành viờn từ xa, cần phải tỡm và phờ chuẩn một đường dẫn chứng thực đầy đủ, đường dẫn chứng thực này đi qua nhiều CA, từ khoỏ cụng khai này tới một CA gốc, khoỏ cụng khai của cỏc CA trờn đường dẫn được lưu giữ trong một khuụn dạng tin cậy. Để xõy dựng cỏc PKI lớn và cú khả năng mở rộng, một trong cỏc vấn đề chớnh cần giải quyết là làm cho việc tỡm và phờ chuẩn cỏc đường dẫn chứng thực trở nờn thuận tiện. Cú nghĩa là thiết lập cỏc quy ước cấu trỳc quản lý, trong đú cỏc CA chứng thực cỏc CA khỏc như thế nào, cỏc quy ước cấu trỳc này đụi khi được gọi là cỏc mụ hỡnh tin cậy. Tuy nhiờn, sự tin cậy khụng phải là cõu hỏi duy nhất được đặt ra. Tiếp theo sau, chỳng ta tỡm hiểu cỏc chuẩn bị cấu trỳc chớnh, cỏc chuẩn bị này đó được đề xuất và được sử dụng trong việc phỏt triển cỏc PKI.
Về cấu trỳc quan hệ của hệ thống CA cú thể chia làm ba loại:
- Cấu trỳc phõn cấp tổng quỏt
- Cấu trỳc phõn cấp với liờn kết bổ sung
- Cấu trỳc phõn cấp trờn - xuống
Ở đõy tụi chỉ trỡnh bày chi tiết về cấu trỳc CA dạng phõn cấp tổng quỏt :
Để quy gọn vấn đề cơ bản về một dạng đơn giản nhất, chỳng ta cần liờn kết một cỏch cú hệ thống cỏc cặp khoỏ của cỏc thành viờn (nằm trong một cộng đồng lớn) thụng qua cỏc đường dẫn ngắn cú thể chấp nhận được, với mỗi đường dẫn đi qua
cỏc CA tin cậy. Theo lý thuyết đồ thị toỏn học, thụng qua cấu trỳc cõy hoặc phõn cấp, chỳng ta tỡm ra một cỏch giải quyết hiệu quả và hệ thống đối với vấn đề này. Khi xem xột cấu trỳc trong hỡnh 2.4, cỏc thực thể cú tờn bằng chữ hoa (vớ dụ như Z,
X và Y) là cỏc CA. Cỏc thực thể cú tờn bằng chữ thường (vớ dụ như a, b và c) là cỏc thực thể cuối, hoặc cỏc thuờ bao. Cỏc mũi tờn một chiều chỉ ra rằng thực thể nguồn đó phỏt hành một chứng chỉ, chứng chỉ này cú chứa khoỏ cụng khai của thực thể đớch; cỏc mũi tờn hai chiều chỉ ra rằng mỗi cặp CA phỏt hành cỏc chứng chỉ cho nhau.
Theo cấu trỳc này, chỳng ta cú thể dễ dàng xõy dựng được một đường dẫn chứng thực giữa cỏc cặp thực thể cuối bất kỳ, khụng quan tõm đến việc mỗi thực thể cuối làm thế nào để xỏc định CA (hoặc nhiều CA) được chấp nhận như là một CA gốc (root CA). Lưu ý rằng, mỗi thực thể cuối thiết lập một mối quan hệ gần gũi với một CA và quyết định chấp nhận nú như một CA gốc. Vớ dụ, thực thể cuối a thiết lập một mối quan hệ gần gũi với CA A và chấp nhận khoỏ cụng khai của A như là khoỏ cụng khai gốc. Sau đú a cú thể cú được (một cỏch cú hệ thống) một bản sao khoỏ cụng khai (đó được phờ chuẩn) của cỏc thực thể cuối khỏc trong cấu trỳc, từ đú tồn tại một đường dẫn chứng thực cho tất cả cỏc thực thể cuối.
Vớ dụ, để cú thể cú được một bản sao khoỏ cụng khai của c (bản sao khoỏ cụng khai này đó được phờ chuẩn), a phải xử lý một đường dẫn chứng thực của 3 chứng chỉ như sau:
Chứng chỉ của A dành cho CA Q , chứng chỉ này được CA A phỏt hành (lưu ý rằng a luụn tin tưởng vào khoỏ cụng khai của A);
Chứng chỉ của A dành cho CA C , chứng chỉ này được CA Q phỏt hành; Z X Y Q R S T O M K I G E C A a b c d e f g h i j k l m n o p
Chứng chỉ của A dành cho thực thể cuối c, chứng chỉ này được CA C phỏt hành.
Để a cú được một bản sao khoỏ cụng khai của g cần sử dụng một đường dẫn chứng thực gồm cú 5 chứng chỉ. Để a cú được một bản sao khoỏ cụng khai của m, cần sử dụng một đường dẫn chứng thực gồm cú 7 chứng chỉ.
Mụ hỡnh này thực sự hợp lý. ở đõy cú thể cú nhiều hơn hai thực thể là mức dưới (hoặc lệ thuộc) của một thực thể khỏc. Vớ dụ, giả thiết rằng mọi CA cú thể chứng thực tới 100 CA hoặc cỏc thực thể cuối mức dưới. Trong trường hợp này, 4 mức CA (như đó được trỡnh bày trong hỡnh 2.5), cú thể cho phộp tới 100 triệu thực thể cuối phờ chuẩn cỏc khoỏ cụng khai của mỗi thực thể, với độ dài của cỏc đường dẫn chứng thực khụng bao giờ vượt quỏ 7 chứng chỉ. Nếu chỳng ta thờm vào một mức cỏc CA khỏc và cho trước độ dài đường dẫn tối đa là 9 chứng chỉ, thỡ cú tới 10 tỷ thực thể cuối được hỗ trợ.
Mụ hỡnh này cú thể cho chỳng ta cỏch xõy dựng cỏc đường dẫn chứng thực cú độ dài ngắn hợp lý giữa một số lượng lớn cỏc thực thể cuối, nhưng cú một vấn đề cần quan tõm đú là sự tin cậy. Khi sử dụng một đường dẫn chứng thực cho trước, người sử dụng chứng chỉ phải tin cậy mọi CA trờn đường dẫn và tiến hành cỏc biện phỏp phũng ngừa nhằm đảm bảo rằng khụng một thành viờn nào khỏc cú thể làm giả cỏc chứng chỉ, cú nghĩa là khoỏ riờng được sử dụng để ký chứng chỉ phải được bảo vệ chặt chẽ và khụng bị lộ.
Một vấn đề xuất hiện trong cấu trỳc phõn cấp này là nhiều đường dẫn chứng thực mong muốn được đi qua cỏc CA ở mức cao hơn, đặc biệt là CA mức cao nhất, đú là
Z. Vỡ vậy, tất cả cỏc thành viờn trong cơ sở hạ tầng cần tin cậy Z. Nếu một đối tượng tấn cụng cú được khoỏ riờng của Z (nhờ thoả hiệp) thỡ đối tượng tấn cụng này cú thể làm giả cỏc chữ ký số của những người ký trong cấu trỳc và làm cho người kiểm tra chữ ký số (người này sử dụng đường dẫn chứng thực đi qua Z) tin rằng chữ ký giả là hợp lệ.
Đụi khi, một mụ hỡnh được coi là thớch hợp với cấu trỳc phõn cấp, trong đú CA Z là một cơ quan chứng thực quốc tế; mức tiếp theo là cỏc cơ quan chứng thực quốc gia, vớ dụ: X và Y là cỏc cơ quan chứng thực quốc gia của Mỹ và Anh; mức CA thấp hơn tương ứng với cỏc tổ chức của quốc gia, cỏc nhà kinh doanh, cơ quan và cộng đồng của cỏc cỏ nhõn. Cỏc mối quan tõm về sự tin cậy trở nờn rừ ràng hơn. Nếu cơ quan chứng thực của Mỹ bị thỏa hiệp (để lộ khoỏ), điều này cho phộp một đối tượng tấn cụng:
người trờn thế giới tin rằng cỏc chữ ký là hợp lệ;
Làm giả cỏc chữ ký số của bất cứ người nào ở bờn ngoài nước Mỹ và làm cho mọi người trờn nước Mỹ tin rằng cỏc chữ ký là hợp lệ.
Đối với Z, cỏc hậu quả của việc lộ khoỏ rất nghiờm trọng. Một đối tượng tấn cụng cú thể làm giả cỏc chữ ký số của bất cứ người nào trờn thế giới và làm cho mọi người ở cỏc nước khỏc tin rằng cỏc chữ ký đều hợp lệ. (Nếu cỏc quy tắc ràng buộc cú thể giới hạn cỏc đường dẫn chứng thực trong nước, khụng được mở rộng tới cơ quan chứng thực mức cao nhất, cỏc đường dẫn chứng thực trong một nước khụng nờn bị co ngắn lại). Do cỏc mối quan tõm về độ tin cậy, việc sử dụng cấu trỳc phõn cấp này khụng được chấp nhận và thực thi trong một số cỏc lĩnh vực kinh doanh xỏc định hoặc trong cỏc cộng đồng khộp kớn khỏc.
2.3.2.3 Cỏc nội dung của một chớnh sỏch chứng chỉ
Ở đõy khụng cú định nghĩa chuẩn về việc yờu cầu một chớnh sỏch chứng chỉ phải bao gồm những chủ đề gỡ. Việc thiết lập cỏc chủ đề (mà một CA thấy cần phải đưa vào và thoả món những người sử dụng chứng chỉ, như khả năng ứng dụng của cỏc chứng chỉ đặc thự) rất đơn giản. Cỏc chủ đề điển hỡnh như sau:
(a)Cỏc giới hạn về khả năng ứng dụng và cộng đồng (Community and applicability restrictions): CA cú thể chỉ phỏt hành cỏc chứng chỉ cho cỏc thành viờn trong một cộng đồng riờng biệt theo một chớnh sỏch định sẵn. Vớ dụ, những người làm cụng của một tổ chức hoặc cỏc thuờ bao dịch vụ của một CA. Ngoài ra, cỏc chứng chỉ (tuõn theo một chớnh sỏch đặc thự) được dự định dựng cho một mục đớch xỏc định.
(b)Chớnh sỏch xỏc thực và nhận dạng (Identification and authentication policy): Đõy là cỏc hoạt động mà CA cần tuõn theo khi nhận dạng và xỏc thực cỏc chủ thể của chứng chỉ.
(c)Chớnh sỏch quản lý khoỏ (Key Management policy): CA cần thực hiện cỏc biện phỏp để bảo vệ cỏc khoỏ mật mó của CA và khoỏ của cỏc thuờ bao của CA. Người ta cũng mong muốn cỏc thuờ bao tự bảo vệ cỏc khoỏ mật mó của mỡnh. (d)Chớnh sỏch hoạt động (Operational policy): Đõy là cỏc hoạt động mà CA cần
tuõn theo khi tiến hành cỏc dịch vụ của mỡnh, vớ dụ, thường xuyờn phỏt hành cỏc danh sỏch cỏc chứng chỉ bị thu hồi (CRL) và cỏc thủ tục kiểm toỏn.
(e)Chớnh sỏch an toàn cục bộ (Local security policy): Một CA, cơ quan đăng ký địa phương (LRA), và/ hoặc thực thể cuối cần thực hiện cỏc biện phỏp để đảm bảo an toàn cho mụi trường của chỳng. Trong đú, cỏc biện phỏp bảo vệ liờn
quan tới an toàn vật lý, an toàn cỏ nhõn, bảo hành sản phẩm và an toàn truy nhập mạng.
(f) Cỏc điều khoản phỏp lý (Legal provisions): Đõy là một cụng bố về cỏc giới hạn trỏch nhiệm phỏp lý (CA xỏc nhận cụng bố này), chẳng hạn, sử dụng cỏc chứng chỉ theo một chớnh sỏch riờng biệt, cộng với cỏc bỏc bỏ hợp phỏp hoặc cỏc điều khoản khỏc.
(g)Quản lý chớnh sỏch (Policy administration): Tờn, cỏc thụng tin chi tiết liờn quan đến cơ quan định nghĩa chớnh sỏch và cỏc thụng tin về cỏc định nghĩa chớnh sỏch được duy trỡ và phỏt hành như thế nào.
2.3.3 RA (Registration Authority)
Đõy là một thành phần tuỳ chọn và cú thể thực hiện một số chức năng từ CA. RA thụng thường liờn quan đến quỏ trỡnh đăng ký của thành phần End entity.
RA thụng thường liờn quan đến quỏ trỡnh đăng ký End Entity, bao gồm cả việc kiểm tra định danh của End Entity đăng ký với PKI. Tuy nhiờn RA cú thể thực hiện một số chức năng khỏc như:
- Phờ chuẩn cỏc thuộc tớnh của chủ thể yờu cầu chứng chỉ.
- Sinh cặp khoỏ bớ mật/cụng khai.
- Tiến hành cỏc tương tỏc với CA như là thành phần trung gian của End Entity kể cả việc thụng bỏo lộ khoỏ cũng như cỏc yờu cầu khụi phục khoỏ.
Cho dự RA cú thể thực hiện nhiều chức năng của CA nhưng RA khụng bao giờ là người phỏt hành chứng chỉ khoỏ cụng khai.
2.3.4 Repository:
Là cơ sở dữ liệu quản lý và lưu trữ toàn bộ cỏc chứng thực số đó được cấp cho tỡm kiếm và truy lục. Cho phộp truy xuất trực tuyến cho xỏc thực tớnh hợp lệ của một chứng thực số.
CSDL cỏc thụng tin liờn quan đến PKI. Repository cú thể là danh bạ X500 với truy nhập của khỏch hàng bằng LDAP. Vấn đề mấu chốt ở đõy là cỏc End Entity phải cú một cơ chế nào đú để tỡm kiếm được những chứng chỉ và những CRL cần thiết.
Hai vấn đề quan trọng cần được quan tõm nhiều nhất trong thiết lập cỏc hệ thống khoỏ cụng khai trờn phạm vi lớn là làm thế nào để tỡm được một đường dẫn chứng thực thớch hợp và khi tỡm được rồi thỡ phờ chuẩn nú như thế nào. Cỏc chức năng này phải được thiết lập trong tất cả cỏc hệ thống sử dụng chứng chỉ (hoặc trong mỏy chủ hỗ trợ cho hệ thống này). Tốt nhất chỳng ta nờn tỏch riờng cỏc thiết lập này, vỡ việc phỏt hiện đường dẫn chứng thực khụng phải là một chức năng an toàn thiết yếu, việc phờ chuẩn đường dẫn chứng thực mới là chức năng an toàn thiết yếu.
2.3.4.1 Tỡm đường dẫn chứng thực
Chẳng hạn, chỳng ta gọi người sử dụng từ xa là người sử dụng đớch. Chỳng ta cũng giả thiết tồn tại một đường dẫn chứng thực nào đú.
Gốc 2 Gốc 3 Gốc 1 Đích User Cơ quan chứng thực Chứng chỉ Hình 2.6 Vấn đề tìm đ-ờng dẫn chứng thực tổng quát
Sự khú khăn của việc tỡm đường dẫn chứng thực đi từ đơn giản đến phức tạp, tuỳ thuộc vào cấu trỳc quan hệ của cỏc CA và vào cỏc thụng tin bổ sung thớch hợp để tỡm đường dẫn.
Bõy giờ ta bắt đầu với trường hợp phức tạp nhất, trong đú khụng cú thờm cỏc thụng tin nào khỏc, ngoài tờn của người sử dụng đớch và tờn của cỏc CA gốc (root CA). Điều này được minh hoạ trong hỡnh 2.6.
Nếu tồn tại một đường dẫn và đường dẫn này cú độ dài hợp lý, ta cú thể tỡm được đường dẫn này nếu cỏc dịch vụ tỡm thụng tin cú hiệu lực. Trước hết, ta cần lấy lại một chứng chỉ khoỏ cụng khai của người sử dụng đớch (do một CA nào đú phỏt hành). Điều này khụng khú thực hiện vỡ với một chữ ký số, chứng chỉ dành cho khoỏ cụng khai của người sử dụng đớch thường được phõn phối cựng với chữ ký; với mó hoỏ, cú thể dễ dàng thu được chứng chỉ của người sử dụng đớch, từ cỏc cuộc truyền thụng trước với người sử dụng này, ta cú được một bản sao chứng chỉ (được cất giữ) hoặc tỡm kiếm trong một danh bạ riờng (từ danh bạ này, cỏc chứng chỉ được phõn phối cho người sử dụng). Từ đú nảy sinh hai yờu cầu đối với dịch vụ lấy lại thụng tin:
(a)Từ tờn của một CA, dịch vụ lấy lại cỏc chứng chỉ (cú chứa khoỏ cụng khai của CA này) do cỏc CA khỏc phỏt hành, và/hoặc:
(b)Từ tờn của một CA, dịch vụ lấy lại cỏc chứng chỉ mà CA này đó phỏt hành cho cỏc CA khỏc.
Nếu dịch vụ (a) cú hiệu lực, chỳng ta cú thể tỡm được một đường dẫn chứng thực bằng cỏch lần ngược từng bước, từ chứng chỉ của người sử dụng đớch tới một khoỏ gốc:
Bước 1: Từ một chứng chỉ do CA X phỏt hành, xỏc định cỏc CA đó phỏt hành chứng chỉ cho khoỏ cụng khai của X;
Bước 2: Nếu một trong cỏc CA (đó được xỏc định ở bước 1) là cơ quan gốc thỡ cú thể tỡm được đường dẫn theo yờu cầu, cũn khụng, tiếp tục bước 3;
Bước 3: Tiếp tục tiến hành thủ tục của bước 1 với mỗi CA được tỡm thấy