2.3. HẠ TẦNG MẬT MÃ KHÓA CÔNG KHAI (PKI)
2.3.5.4. Các hoạt động liên quan đến chứng chỉ số
Có nhiều hoạt động liên quan tới chứng chỉ số và đƣợc phân thành:
- Đăng ký và xác thực ban đầu
Trong quá trình này, trƣớc tiên, EE phải thông báo cho CA hoặc RA biết về sự hiện diện của mình trong hệ thống. Đối tƣợng đƣợc thông báo có quyền ƣu tiên cao hơn là CA sẽ cấp phát cho EE này một chứng chỉ số khi nó chấp nhận yêu cầu. Kết quả của quá trình này là một CA sẽ tạo ra một chứng chỉ số cho EE ứng với khóa công khai mà EE này cung cấp khi đăng ký. Đồng thời, CA này cũng gửi chứng chỉ số này đến cho hệ thống lƣu trữ. Trong một hệ PKI lớn, hệ thống lƣu trữ có vai trò quan trọng và có tính độc lập cao đối với CA.
Nếu xét một cách chi tiết, giai đoạn này gồm nhiều bƣớc nhỏ hơn. Có thể, nó sẽ bao gồm cả công đoạn khởi tạo các công cụ của EE. Ví dụ, để có thể đƣợc sử dụng trong công đoạn kiểm chứng đƣờng dẫn đến các chứng chỉ số, các công cụ của EE phải đƣợc khởi tạo một cách an toàn với khóa công khai của một CA nào đó. Ngoài ra, một EE còn cần phải đƣợc khởi tạo với cặp khóa của chính nó.
- Cập nhật thông tin về cặp khóa
Mỗi đối tƣợng tham gia vào hệ thống PKI đều phải có một cặp khóa gồm khóa khóa công khai và khóa riêng. Tất cả các cặp khóa này cần phải đƣợc cập nhật một cách thƣờng xuyên vì các cặp khóa này có thể đƣợc thay bằng cặp khóa mới. Việc thay đổi thông tin của các cặp khóa này có thể là do chúng đã hết hạn sử dụng hoặc đã bị lộ.
Nhƣ vậy, để đảm bảo tất cả các đối tƣợng có liên quan nắm đƣợc thông tin mới nhất về cặp khóa của mình, đối tƣợng sở hữu cặp khóa phải tạo các thông điệp cập nhật cặp khóa để gửi đến cho các đối tƣợng có liên quan.
- Cập nhật thông tin về chứng chỉ số
Mỗi chứng chỉ số đƣợc cấp phát cho các đối tƣợng sử dụng chỉ có tác dụng trong một khoảng thời gian đã định. Khi các chứng chỉ số này hết hạn và đối tƣợng sử dụng muốn tiếp tục có đƣợc chứng chỉ số của mình thì CA quản lý đối tƣợng ấy sẽ tạo ra một chứng chỉ số mới cho đối tƣợng và phải làm nhiệm vụ cập nhật thông tin về chứng chỉ số này. Trong trƣờng hợp không có sự thay đổi nào về các tham số môi trƣờng của hệ thống PKI, các CA có thể chỉ cần “làm tƣơi” các chứng chỉ số này.
- Cập nhật thông tin về cặp khóa của CA
Cũng giống nhƣ đối với các EE, cặp khóa của CA cũng cần đƣợc cập nhật thƣờng xuyên. Tuy nhiên, do vai trò và các mối liên hệ của CA trong hệ thống có nhiều khác biệt và phức tạp hơn nên ta cần phải có những cơ chế thích hợp để thực hiện công việc này. Ví dụ, CA phải gửi đƣợc thông tin về cặp khóa công khai của mình tới tất cả các EE mà nó quản lý theo kiểu multicast. Ngoài ra, nó còn phải gửi thông tin này đến các CA khác có liên quan.
- Yêu cầu xác thực ngang hàng
Khi diễn ra quá trình trao đổi thông tin giữa các CA ngang hàng, một CA có thể sẽ yêu cầu CA còn lại gửi cho mình một chứng chỉ số ngang hàng. Chứng chỉ số ngang hàng này về bản chất cũng giống với các chứng chỉ số dành cho các EE. Trƣờng
subject của chứng chỉ số ngang hàng dùng để chỉ CA đƣợc cấp thẻ còn trƣờng issuer
đƣợc dùng để chỉ CA cấp phát thẻ.
Trong các loại chứng chỉ số ngang hàng, ta phân ra làm hai loại nhƣ sau: Nếu hai CA thuộc về vùng quản lý khác nhau, ta có chứng chỉ số ngang hàng liên miền. Nếu hai CA thuộc cùng một vùng quản lý thì ta gọi đó là chứng chỉ số ngang hàng nội miền.
Đối với các chứng chỉ số ngang hàng, ta có một số chú ý sau:
Trong nhiều hệ thống PKI, nếu không có những định nghĩa chi tiết hơn, các chứng chỉ số ngang hàng thƣờng đƣợc hiểu là chứng chỉ số ngang hàng liên miền.
Việc phát hành các chứng chỉ số ngang hàng không nhất thiết phải đƣợc tiến hành ở cả hai CA. Nghĩa là có cả trƣờng hợp một CA đƣợc xác thực bởi một CA khác mà không có theo chiều ngƣợc lại.
- Cập nhật chứng chỉ số ngang hàng
Việc cập nhật chứng chỉ số ngang hàng cũng giống với việc cập nhật chứng chỉ số cho các đối tƣợng sử dụng. Tuy nhiên, các đối tƣợng có liên quan đến quá trình này chỉ là các CA.
- Phát hành thẻ và danh sách thẻ bị hủy bỏ
Có những hoạt động của hệ thống quản lý PKI sẽ dẫn đến việc tạo ra các chứng chỉ số hoặc danh sách các chứng chỉ số bị hủy bỏ. Ta có hai hoạt động tiểu biểu thuộc loại này là: phát hành chứng chỉ số và phát hành danh sách chứng chỉ số bị hủy bỏ.
Khi CA phát hành một chứng chỉ số, trƣớc tiên, nó cần phải dựa trên định dạng của chứng chỉ số cần cấp. Sau khi có đƣợc các thông tin về chính sách quản trị, CA sẽ tổ chức chúng theo định dạng đã biết, khi đó, chứng chỉ số đã hoàn thiện. Tuy nhiên, việc phát hành chứng chỉ số chỉ hoàn tất sau khi CA gửi thông tin về chứng chỉ số này đến đối tƣợng sử dụng và lƣu thẻ này vào hệ thống lƣu trữ.
Việc phát hành danh sách chứng chỉ số bị hủy bỏ cũng đƣợc tiến hành nhƣ với danh sách chứng chỉ số. Tuy nhiên, thông tin về danh sách này chỉ đƣợc truyền cho hệ thống lƣu trữ.
- Các hoạt động phục hồi
Các hoạt động phục hồi đƣợc thực hiện khi các đối tƣợng sử dụng đánh mất thông tin mà nó lƣu trữ. Ví dụ, nhƣ đã nêu ở phần trên, các đối tƣợng sử dụng có thể có một số phƣơng tiện lƣu trữ an toàn cá nhân; khi phƣơng tiện lƣu trữ này bị hỏng thì nó cần phải nhờ đến CA để phục hồi các thông tin bị mất.
Việc phục hồi thông tin chủ yếu đƣợc tập trung vào việc phục hồi các cặp khóa. Đối với các CA và RA, việc lƣu trữ thông tin backup về khóa của các đối tƣợng là không bắt buộc. Khi các đối tƣợng sử dụng cần phục hồi các cặp khóa của mình, ta cần phải có thêm một số giao thức chuyển đổi để hỗ trợ việc phục hồi khóa.
- Các hoạt động hủy bỏ
Có một số hoạt động quản lý hệ thống PKI dẫn đến việc tạo một danh sách chứng chỉ số sẽ đƣợc hủy bỏ hoặc bổ sung những thẻ cần đƣợc hủy bỏ vào danh sách này. Ví dụ, một đối tƣợng đã đƣợc phân quyền trong hệ thống có thể thông báo cho CA về một trạng thái không bình thƣờng và cần phải có một số yêu cầu hủy bỏ chứng chỉ số. Cụ thể, nếu ta phát hiện đƣợc một đối tƣợng đã đăng ký để lấy chứng chỉ số có những biểu hiện không bình thƣờng hoặc những thông tin do đối tƣợng này có một số bất hợp lý thì ta có thể báo cho CA biết và hủy bỏ chứng chỉ số đã cấp cho đối tƣợng sử dụng đó.
Đối với tất cả các hoạt động đã nêu trên, ta có một số lƣu ý sau: Các giao thức làm việc theo chế độ on-line không phải là giải pháp duy nhất để thực hiện các hoạt động trên. Đối với tất cả các giao thức hoạt động theo chế độ on-line, ta đều có một phƣơng thức hoạt động theo chế độ off-line cho kết quả tƣơng đƣơng.