Chƣơng 3 QUY TRÌNH XÁC THỰC HỘ CHIẾU ĐIỆN TỬ
2) Basic Access Control
IS tiến hành thực hiện cơ chế BAC trên HCĐT. Đây là cơ chế chống nghe lén và đọc trộm thông tin truyền từ chip RFIC đến IS. Ý tƣởng của BAC là phải có sự đồng ý của ngƣời sở hữu hộ chiếu mới đƣợc phép đọc các thông tin từ chip RFIC. Do đó hệ thống chỉ cho phép truy cập thông tin khi đã nhận đƣợc các khóa truy cập từ vùng dữ liệu MRZ. Nghe lén và đọc trộm bị chặn bằng cách truyền thông báo bảo mật, dữ liệu trao đổi giữa RFIC và IS đƣợc mã hóa sử dụng cặp khóa phiên có đƣợc từ BAC.
IS đọc thông tin từ vùng dữ liệu MRZ, lấy số hộ chiếu (DoN), ngày sinh của ngƣời sở hữu hộ chiếu (DoB) và ngày hết hạn hộ chiếu (ExD), sau đó tính khóa cơ bản Kseed nhƣ sau:
o Sử dụng hàm băm SHA-1 để băm các thông tin vừa đọc đƣợc: Kseed‟ = SHA-1 (DoN||DoB||ExD)
o Lấy 16 byte quan trọng nhất của giá trị vừa băm tạo thành khóa Kseed: Kseed = MostImporByte (Kseed‟, 16)
RFIC và IS xác thực lẫn nhau và cùng tính toán các khóa truy cập dữ liệu cơ bản KENC và KMAC (hai khóa này đƣợc lƣu vào chip RFIC) từ khóa Kseed nhƣ sau:
o KENC‟=SHA-1 (Kseed || “00000001”) KENC=MostImporByte (KENC‟,16)
o KMAC‟=SHA-1 (Kseed || “00000002”) KMAC=MostImporByte (KMAC‟,16)
Hình 35. Nguồn gốc khóa trong cơ chế Basic Access Control [3].
Khi IS đã có KENC và KMAC, nó gửi yêu cầu trao đổi thông tin đến RFIC. RFIC sẽ gửi một số ngẫu nhiên rRFIC đến IS. IS sinh ra kIS (đƣợc sử dụng để tạo khóa phiên) và một tham số ngẫu nhiên rIS. Sau đó IS tính giá trị CIS=KENC(rIS||rRFIC||kIS), tính mã xác thực thông báo MIS=KMAC(CIS) và gửi hai giá trị (CIS||MIS) đến RFIC.
RFIC tiến hành giải mã xác thực MIS sử dụng khóa KENC và so sánh rRFIC
nhận đƣợc xem có trùng với giá trị ban đầu hay không. Nếu những xác minh này thành công, RFIC mới tin chắc rằng IS đã đọc đƣợc dữ liệu MRZ và đã có đƣợc khóa KENC và KMAC.
Để tạo cặp khóa phiên cho quá trình mã hóa thông tin, RFIC sinh ra số ngẫu nhiên kRFIC, tính giá trị CRFIC=KENC(rRFIC||rIS||kRFIC), tính mã xác thực thông báo MRFIC=KMAC(CRFIC) và gửi hai giá trị (CRFIC||MRFIC) đến cho IS.
Cuối cùng, cả RFIC và IS cùng tính khóa phiên truyền thông báo bảo mật kSM = kIS kRFIC và sử dụng khóa này để mã hóa thông tin trao đổi giữa chúng [13].
IS
Kseed‟ = SHA-1 (DoN||DoB||ExD) Kseed = MostImporByte (Kseed‟, 16) KENC‟=SHA-1 (Kseed || “00000001”) KENC=MostImporByte (KENC‟,16) KMAC‟=SHA-1 (Kseed || “00000002”) KMAC=MostImporByte (KMAC‟,16)
Create rIS and kIS CIS=KENC(rIS||rRFIC||kIS) MIS=KMAC(CIS) kSM = kIS kRFIC Read MRZ Get Challenge rRFIC CIS||MIS CRFIC||MRFIC RFIC Create rRFIC Verify MIS và rRFIC Create kRFIC
CRFIC=KENC(rRFIC||rIS||kRFIC) MRFIC=KMAC(CRFIC)
kSM = kIS kRFIC
Hình 37. Minh họa quá trình Basic Access Control [19]. 3) Đọc vùng dữ liệu DG1
Sau khi BAC thành công, hệ thống kiểm tra sẽ tiến hành đọc vùng dữ liệu DG1 trong chip RFID của HCĐT và so sánh với những dữ liệu hệ thống đã đọc đƣợc từ vùng MRZ trƣớc đó. Nếu dữ liệu trùng nhau thì chuyển sang bƣớc 4, nếu không thì chuyển qua bƣớc kiểm tra đặc biệt.
4) Chip Authentication
Các bƣớc Chip Authentication và Terminal Authentication chỉ đƣợc thực hiện tại các quốc gia có triển khai cơ chế EAC trong xác thực hộ chiếu điện tử.
Chip Authentication là giao thức thỏa thuận khóa Diffie-Hellman ngắn hạn đƣợc sử
dụng để xác thực chip RFIC và tạo ra một cặp khóa phiên để mã hóa quá trình truyền thông báo bảo mật giữa chip RFIC và hệ thống kiểm duyệt IS. Quá trình này đƣợc thực hiện trƣớc Passive Authentication.
Chip RFIC lƣu trữ khóa công khai PKRFIC, khóa bí mật tƣơng ứng SKRFIC và các tham số miền DRFIC. IS cũng tạo ra một cặp khóa Diffie-Hellman ngắn hạn cho mỗi một truyền thông mới sử dụng các tham số miền DRFIC của chip RFIC. Khóa công khai là PKIS
và khóa bí mật tƣơng ứng là SKIS. Sử dụng giao thức thỏa thuận khóa Diffie-Hellman, cả RFIC và IS có thể tạo ra một khóa bí mật dùng chung mà không làm ảnh hƣởng đến thông tin trong quá trình truyền.
Giao thức Chip Authentication thực hiện theo các bƣớc sau [4]:
Chip RFIC gửi khóa công khai PKRFIC và tham số miền DRFIC đến IS.
IS tạo ra cặp khóa Diffie-Hellman ngắn hạn là khóa công khai PKIS, khóa bí mật SKIS trên miền DRFIC, sau đó gửi khóa công khai PKIS đến chip RFIC. Sau khi đã có khóa công khai của nhau, cả chip RFIC và hệ thống kiểm tra
IS cùng tính toán:
o Khóa bí mật dùng chung K từ các giá trị (SKRFIC, PKIS, DRFIC) và (SKIS, PKRFIC, DRFIC).
o Cặp khóa phiên (KENC, KMAC) đƣợc tính từ K đƣợc dùng cho việc truyền thông báo bảo mật.
o Hàm băm khóa công khai ngắn hạn của IS là H(PKIS) đƣợc sử dụng trong quá trình Terminal Authentication.
RFIC IS
Cặp khóa tĩnh
(SKRFIC, PKRFIC, DRFIC) PKFRIC DRFIC
Chọn cặp khóa ngắn hạn ngẫu nhiên (SKIS, PKIS, DRFIC)
PKIS
K(SKRFIC, PKIS, DRFIC) K(SKIS, PKRRIC, DRFIC)
Hình 38. Chip Authentication.
Cơ chế Chip Authentication tạo ra cặp khóa phiên mới (KENC, KMAC) đƣợc trích ra từ khoá K để dùng cho truyền thông báo bảo mật và hàm băm khóa công khai ngắn hạn H(PKIS) của hệ thống kiểm duyệt sử dụng cho quá trình Terminal Authentication.
5) Passive Authentication
Tiến hành thực hiện quá trình Passive Authentication để kiểm tra tính xác thực và
toàn vẹn thông tin lƣu trong chip RFID thông qua việc kiểm tra chữ ký lƣu trong SOD
bằng khóa công khai của cơ quan cấp hộ chiếu. Việc trao đổi khóa công khai thông qua chứng chỉ số đƣợc thực hiện theo mô hình khuyến cáo của ICAO. Thực hiện thành công
quá trình Passive Authentication cùng với Chip Authentication trong cơ chế EAC thì có
thể khẳng định chắc chắn chip trong hộ chiếu là nguyên gốc.
Passive Authentication là quá trình kiểm tra tính xác thực và toàn vẹn thông tin [4].
- Đọc SOD từ chip RFIC.
- Lấy chứng chỉ CDS từ SOD vừa đọc ở trên.
- Kiểm tra CDS từ khóa công khai PKCSCA có đƣợc từ PKD hoặc từ cơ sở dữ liệu đƣợc trao đổi trực tiếp giữa các quốc gia thông qua đƣờng công hàm. - Kiểm tra chữ ký số SOD.signature sử dụng khóa bí mật SKDS của DS.
Bƣớc này nhằm khẳng định thông tin SOLDS đúng là đƣợc tạo ra bởi cơ quan cấp hộ chiếu và SOLDS không bị thay đổi.
- Đọc các thông tin cần thiết từ LDS.
- Tính hàm băm cho các thông tin ở bƣớc 4, sau đó so sánh với SOLDS. Qua bƣớc này mới khẳng định đƣợc nhóm dữ liệu là xác thực và toàn vẹn.
RFIC IS
SOD
LDS
- CDS = SOD.cert.
- Kiểm tra CDS bằng khóa công khai PKCSCA.
- Kiểm tra chữ ký SOD.signature sử
dụng khóa bí mật SKDS.
- Tính các giá trị băm LDS và so sánh với SOLDS.
Hình 39. Passive Authentication. 6) Terminal Authentication
Thực hiện quá trình Terminal Authentication để chứng minh quyền truy cập thông
tin của IS đối với các vùng dữ liệu nhạy cảm trên chip RFID (DG3 và DG4). Quá trình này cũng chỉ thực hiện đối với cơ quan kiểm tra hộ chiếu có thực hiện EAC. Sau khi
Terminal Authentication thành công, đầu đọc có thể truy cập thông tin theo quyền thể
ICAO sử dụng giao thức này đối với HCĐT để tạo sự xác thực từ phía IS [4].
- Đầu tiên, IS sẽ gửi một chuỗi chứng chỉ đến chip RFIC. Chuỗi chứng chỉ này bắt đầu bằng một chứng chỉ có thể xác minh đƣợc với khóa công khai PKCVCA lƣu trữ trên chip và kết thúc bằng chứng chỉ CIS của hệ thống kiểm duyệt IS.
- RFIC xác minh các chứng chỉ này và trích ra khóa công khai PKIS. Sau đó RFIC sẽ gửi lệnh rRFIC đến IS.
- IS trả lời bằng chữ ký:
- sIS = Sign (SKIS, IDRFIC || rRFIC || H(PKIS))
- Chip RFIC kiểm tra chữ ký nhận đƣợc từ IS bằng khóa PKIS. - Verify(PKIS, sIS, IDRFIC || rRFIC || H(PKIS))
- Trong đó: IDRFIC là định danh (số) của hộ chiếu lƣu trong chip RFIC bao gồm cả chữ số kiểm tra nhƣ trong MRZ. H(PKIS) là hàm băm thu đƣợc từ bƣớc Chip Authentication.
RFIC IS
Chọn rRFIC ngẫu nhiên rRFIC
sIS=Sign(SKIS, IDRFIC || rRFIC || H(PKIS)) sIS
Verify(PKIS, sIS, IDRFIC || rRFIC || H(PKIS))
Hình 40. Terminal Authentication. 7) Đối chiếu đặc trƣng sinh trắc
Hệ thống kiểm duyệt có quyền truy cập vào các vùng dữ liệu DG2, DG3, DG4 và tiến hành đọc các dữ liệu sinh trắc của ngƣời sở hữu hộ chiếu (ảnh khuôn mặt, dấu vân tay, mống mắt) đƣợc lƣu trong chip RFID của hộ chiếu điện tử. Cùng lúc đó, bằng các thiết bị nhận dạng đặc biệt, cơ quan kiểm tra sẽ tiến hành thu nhận các đặc tính sinh trắc học nhƣ ảnh khuôn mặt, vân tay, mống mắt… từ ngƣời dùng. Sau đó, hệ thống sẽ thực hiện quá trình trích chọn đặc trƣng của các đặc tính sinh trắc, tiến hành đối chiếu và đƣa ra kết quả. Nếu cả ba dữ liệu sinh trắc thu đƣợc trực tiếp từ ngƣời dùng khớp với dữ liệu
thu đƣợc từ chip RFID thì cơ quan kiểm tra xác thực có đủ điều kiện để tin tƣởng hộ chiếu điện tử đó là đúng đắn và ngƣời mang hộ chiếu là hợp lệ.
Ảnh khuôn mặt
Tại các điểm xuất nhập cảnh, cơ quan kiểm duyệt sẽ tiến hành lấy ảnh khuôn mặt của ngƣời sở hữu hộ chiếu điện tử. Sau đó hệ thống sẽ đọc dữ liệu từ chip RFIC, so sánh ảnh khuôn mặt đƣợc lƣu trong chip với ảnh vừa thu đƣợc từ hệ thống bên ngoài. Đây là quá trình nhận dạng mặt ngƣời từ ảnh 2D và ảnh 3D. Quá trình nhận dạng ảnh khuôn mặt thông thƣờng gồm 3 bƣớc chính, đó là (1) phát hiện mặt, (2) trích chọn đặc trƣng, (3) nhận diện và kiểm tra. Đôi khi các công việc này không đƣợc phân tách rõ ràng ví dụ nhƣ khi các đặc trƣng mặt nhƣ mắt, mũi, miệng đƣợc sử dụng để nhận dạng mặt, thì công việc phát hiện và trích đặc trƣng đƣợc thực hiện đồng thời.
Hình 41. Trích chọn các đặc trƣng mặt [16].
Sau khi đã phát hiện đƣợc mặt, hệ thống tiến hành trích chọn đặc trƣng để thu đƣợc các đặc trƣng cung cấp cho hệ thống phân loại mặt. Tùy thuộc vào kiểu hệ thống phân loại, các đặc trƣng có thể là các đặc trƣng cục bộ nhƣ các đƣờng, các điểm chuẩn hoặc các đặc trƣng mặt nhƣ đôi mắt, mũi, miệng. Việc phát hiện mặt cũng có thể thu đƣợc các đặc trƣng, trong trƣờng hợp đó các đặc trƣng đƣợc trích chọn một cách đồng thời với phát hiện mặt.
Việc nhận dạng và đối chiếu các đặc trƣng mặt đƣợc miêu tả cụ thể trong tài liệu [5] và [16].
Hình 42. Đặc trƣng vân tay
Ảnh vân tay
Khi xác thực hộ chiếu điện tử bằng dấu vân tay, hệ thống kiểm tra sẽ tiến hành thu nhận dấu vân tay từ ngƣời sở hữu hộ chiếu bằng các thiết bị thu nhận đặc biệt, sau đó hệ thống sẽ so sánh ảnh vân tay thu đƣợc với ảnh vân tay lƣu trong hộ chiếu (DG3) thông qua các đặc trƣng vân tay. Các đặc trƣng của vân tay bao gồm các điểm chạc ba và điểm kết thúc (nhƣ hình 41).
Thông thƣờng, một hệ thống kiểm tra sẽ tiến hành trích chọn đặc trƣng và mã hóa dấu vân tay thu đƣợc theo các bƣớc nhƣ hình 43 bên dƣới. Với đầu vào là một ảnh vân tay, hệ thống sẽ tiến hành xác định hƣớng của vân tay để tách đƣờng vân và tiến hành làm mảnh để thu các đặc trƣng của vân tay. Sau khi thu đƣợc đặc trƣng của dấu vân tay đầu vào, hệ thống sẽ tiến hành so sánh đặc trƣng này với tất cả đặc trƣng của dấu vân tay trong cơ sở dữ liệu. Còn trong hệ thống xác thực hộ chiếu điện tử thì chỉ cần so sánh đặc trƣng của dấu vân tay thu đƣợc và dấu vân tay lƣu trên hộ chiếu. Nếu hai ảnh vân tay này có đặc trƣng trùng khớp nhau, thì đó là dấu vân tay đăng ký cho cùng một ngƣời và quá trình xác thực dấu vân tay coi nhƣ thành công.
Hình 43. Quá trình trích chọn đặc trƣng và mã hóa vân tay.
Cũng giống nhƣ thông tin sinh trắc khuôn mặt, dữ liệu ảnh vân tay đƣợc lƣu vào vùng dữ liệu DG3 trên trang dữ liệu của hộ chiếu điện tử, đƣợc mã hóa cùng với tất cả dữ liệu ứng dụng khác và đƣợc gửi tới cơ quan sản xuất hộ chiếu thông qua hạ tầng truyền thông bảo mật cao. Sau khi hộ chiếu đƣợc sản xuất và trải qua quá trình kiểm tra chất lƣợng thành công thì dấu vân tay sẽ bị xóa tại cơ quan cấp hộ chiếu. Sau đó HCĐT đƣợc gửi đến các tổ chức quản lý hộ chiếu, trải qua một số bƣớc kiểm tra chất lƣợng và chuyển đến ngƣời dùng. Nhƣ vậy, dữ liệu ảnh vân tay của công dân xin cấp hộ chiếu chỉ đƣợc lƣu trên chip HCĐT để đảm bảo tính bảo mật thông tin ngƣời dùng.
Việc nhận dạng vân tay đƣợc miêu tả cụ thể trong tài liệu [10]. Ảnh mống mắt
Mống mắt sẽ đƣợc xác định bằng cách sử dụng các đặc trƣng giới hạn. Các đặc trƣng giới hạn và hình dạng khác nhau của mống mắt đƣợc chỉ rõ trong ảnh đầu vào. Trƣớc khi tiến hành nhận dạng mống mắt, hệ thống kiểm tra cần phải tiến hành xác định ranh giới của mống mắt. Đó là việc xác định đƣờng ranh giới trong (giữa mống mắt và đồng tử) và đƣờng ranh giới ngoài (giữa mống mắt và màng cứng). Sau đó hệ thống cũng cần phải tiến hành dò tìm và loại bỏ các tạp nhiễu nhƣ lông mi hay mí mắt che khuất mống mắt. Việc xác định vị trí của mống mắt là một bƣớc rất quan trọng trong quá trình nhận dạng mống mắt bởi vì nếu để lẫn các tạp nhiễu nhƣ mí mắt, con ngƣơi… sẽ dẫn đến hiệu quả nhận dạng thấp.
Hình 45. Ranh giới mống mắt.
Sau khi lấy đƣợc ảnh mống mắt, vùng mống mắt sẽ đƣợc trích chọn một cách chính xác từ ảnh đó để hệ thống tiến hành nhận dạng. Do mống mắt thu đƣợc từ những ngƣời khác nhau có thể đƣợc giữ lại với kích thƣớc khác nhau nên trƣớc khi bắt đầu quá trình nhận dạng, cần phải tiến hành chuẩn hóa ảnh đầu vào cho phù hợp.
3.3 Đánh giá quy trình
Trong quy trình xác thực hộ chiếu điện tử đề xuất tại Việt Nam nói riêng và tại các nƣớc trên thế giới nói chung, vấn đề đảm bảo an toàn và an ninh cho hộ chiếu đƣợc đặt lên hàng đầu. Và để đảm bảo an toàn cho những thông tin cá nhân của chủ sở hữu hộ chiếu, cần phải mã hóa các thông tin đó trƣớc khi ghi vào chip RFID. Hệ mật mã dựa trên đƣờng cong Eliptic (ECC) đã đƣợc sử dụng trong bài toán đảm bảo an toàn thông tin cho hộ chiếu điện tử. Đây là hệ mật khóa công khai, dùng hai khóa khác nhau cho quá trình mã hóa và giải mã thông tin. Ngoài các ƣu điểm của hệ mật mã khóa công khai nhƣ sử dụng hai khóa khác biệt, không suy ra đƣợc từ nhau nên rất thuận tiện cho việc trao đổi khóa, có thể áp dụng để ký số… thì hệ mật ECC còn có tốc độ tính toán nhanh, phù hợp cho các thiết bị tính toán có năng lực xử lý yếu nên đƣợc áp dụng cho hộ chiếu điện tử. Chính vì thế, sử dụng hệ mật ECC là điều kiện tiên quyết đảm bảo hiệu năng của mô hình xác thực hộ chiếu điện tử.
Quá trình Chip Authentication sử dụng lƣợc đồ trao đổi khóa phiên ngắn hạn theo
thuật toán Diffie-Hellman và theo giải thuật tựa Elgamal, phần tính toán đối với chip cũng không nhiều. Theo mô hình thì chỉ cần phía chip lƣu trữ cặp khóa xác thực Diffie- Hellman tĩnh nên không nhất thiết phải trao đổi khóa trƣớc đó giữa IS và RFIC. Đây cũng là yếu tố góp phần đảm bảo hiệu năng cho mô hình.
Khác với Chip Authentication, quá trình Terminal Authentication có trao đổi chứng chỉ, tuy nhiên các công việc xử lý liên quan đến phân phối chứng chỉ đều do CVCA, DV và các IS thực hiện nên khối lƣợng tính toán xử lý của chip đƣợc hạn chế đến mức tối đa và có thể triển khai thực hiện đƣợc trong thực tế.
Việc tích hợp cả ba đặc trƣng sinh trắc trong hộ chiếu điện tử sẽ cho phép nâng cao