CHƯƠNG 2 CƠ SỞ LÝ THUYẾT
3.1 Mơ hình đề xuất
Từ những nhu cầu về cơng tác quản lý văn bản hành chính, hiện trạng về chữ ký số ở Việt Nam nói chung cũng như Trung tâm CNTT VNPT-IT nói riêng, tơi nhận thấy rằng cần xây dựng một webportal quản lý văn bản đi tập trung đồng thời tích hợp cơng nghệ chữ ký số vào ký các văn bản.
Webportal quản lý văn bản đi tập trung phục vụ việc quản lý văn bản hành chính đồng thời tích hợp cơng nghệ chữ ký số vào sẽ góp phần:
- Quản lý, lưu trữ tập trung các văn bản hành chính.
- Rút ngắn thời gian xử lý và phát hành văn bản để các chính sách được triển khai áp dụng phục vụ phát triển kinh doanh của đơn vị.
- Tiết kiệm thời gian, cơng sức chi phí do việc in ấn, chuyển phát, lưu trữ. - Có thể thực hiện xử lý văn bản ở mọi nơi, thao tác đơn giản qua trình duyệt
Web.
- Thể hiện sự chuyên nghiệp, theo kịp xu hướng công nghệ của một cơng ty trong cơng cuộc số hóa.
- Để đảm bảo tính bảo mật cho hệ thống cần xác định rõ các vùng ứng dụng public ra internet và các vùng ứng dụng nằm trong mạng nội bộ được bảo vệ các lớp tường lửa của Trung tâm CNTT VNPT-IT.
- Với hướng giải pháp triển khai chương trình trên đa nền tảng: web app, mobile app do đó mơ hình thiết kế cần được public ra internet để các ứng dụng di động có thể truy cập dữ liệu được. Vì vậy để bảm bảo an tồn dữ liệu, hệ thống sẽ được phân tách thành 02 vùng: Vùng có kết nối internet và vùng nội bộ-khơng kết nối internet. Mơ hình đề xuất cho hệ thống ở hình 3.1:
19
Server cân bằng tải
Server DB
Vùng kết nối internet
Vùng mạng nội bộ
Server ứng dụng Người dùng ký số
qua app Mobile hoặc qua ứng dụng web
Hình 3.1: Mơ hình đề xuất cho hệ thống
3.2 Mơ hình chi tiết về SIM KPI
3.2.1 Tổng quan
Chữ ký trên di động có thể được sử dụng trên tất cả các ứng dụng chứ không chỉ dành riêng cho các ứng dụng chạy trên thiết bị di động. Thiết bị di động có thể coi là một công cụ ký - tương đương với một cây bút điện tử dùng để ký số. Việc ký số từ yêu cầu của 1 ứng dụng qua mạng di động và các kênh điện tử tương đương trên di động sẽ cần có sự cho phép của người dùng.[9]
20
Hình 3.2: Thiết bị di động trở thành cơng cụ ký số [9]
Trong triển khai dựa trên SIM PKI, việc tạo chữ ký đạt được bằng cách sử dụng bộ xử lý mã hóa trên thẻ SIM.
Hình 3.3: Xử lý mã hóa ký số trên thẻ SIM [9]
Yêu cầu ký số nhận được tại thiết bị di động của người dùng kích hoạt ứng dụng "ký" trên thẻ SIM. Điều này cho phép hiển thị văn bản giao dịch trên màn hình thiết bị di động và cung cấp tùy chọn cho người dùng nhập mã PIN ký tên của mình. Hành động nhập mã PIN ký chính xác sẽ bắt đầu tạo chữ ký di động trong thẻ SIM và truyền chữ ký đến dịch vụ chữ ký di động. Bằng cách nhập mã PIN ký chính xác, người dùng được coi là đã xác nhận ý định của mình để tiến hành các chi tiết giao dịch được hiển thị trên màn hình thiết bị di động của họ. Quy trình thực hiện ký số sim PKI ở hình 3.4:
21
Nhà cung cấp dịch vụ
MSSP Server
SMS Gateway
Mobile KPI APPLET (nhúng trong SIM)
Bộ phận chứng thực Bộ phận xác nhận
MSSP
Bước 1: Người dùng gửi yêu cầu ký số
Bước 2: Chuyển tiếp thông tin về CTS và tài liệu cần ký
Bước 3: Yêu cầu xác thực CTS Bước 4: Gửi kết quả xác thực CTS Bước 5: Gửi yêu cầu ký số đến SIM PKI
Bước 6: Gửi yêu cầu ký số đến SIM PKI Bước 7: Gửi kết quả ký
Bước 8: Gửi kết quả
ký Bước 9: Gửi kết quả ký
Bước 10: Hiển thị bản thể hiện cho người dùng xem
Hình 3.4: Quá trình ký SIM PKI
3.2.2 Kiến trúc sim PKI
Thẻ SIM: Thiết bị tạo chữ ký di động (Mobile SCD):[9]
Hình 3.5 Kiến trúc tổng thể
PKI SIM sử dụng hệ điều hành với kiến trúc 3 lớp:
22
- Lớp phần cứng: phát triển hoàn toàn độc lập, hỗ trợ các thuật toán 3DES, AES và RSA sử dụng cho thượng tầng kiến trúc, và sẵn sàng sử dụng được mọi loại chip trên thế giới và cả Việt Nam trong tương lai.
- Lớp ứng dụng : phát triển mở sẵn sàng cho các loại ứng dụng thẻ thông minh trên lĩnh vực chữ ký số.
- SIM PKI phát triển sử dụng thư viện RSA cứng hóa bên trong chip đã được cấp chứng chỉ CC EAL5+ như chip của Infineon, SAM SUNG, … PKI SIM Applet dựa trên thuật tốn mã hóa RSA với cặp khóa cơng khai và bí mật sử dụng mã hóa, giải mã, ký điện tử và xác thực ngay bên trong chip với khóa bí mật chỉ được lưu trữ bên trong chip như hộp đen tuyệt đối. PKI SIM Applet với thẻ SIM để tạo ra PKI SIM sử dụng với Handset hoặc USB 3G/4G…
SIM PKI gồm 5 module:
- Module sinh khóa: cặp khóa bí mật và khóa cơng khai được sinh ngay trong thẻ.
- Module lưu khóa: lưu trữ khóa bí mật bên trong thẻ để giải mã hoặc ký điện tử.
- Module mã hóa và giải mã: mã hóa bằng khóa cơng khai và giải mã bằng khóa bí mật.
- Module ký điện tử: ký chuỗi dữ liệu thành một đoạn dữ liệu gửi kèm cùng với thông tin.
- Module xác thực: xác thực chữ ký và dữ liệu được truyền vào
Nhà cung cấp ứng dụng (AP):
- Nhà cung cấp ứng dụng chịu trách nhiệm bảo đảm ứng dụng phải an toàn và tin cậy để thúc đẩy việc sử dụng chữ ký điện tử. AP đảm bảo rằng dữ liệu cần ký phải chính xác theo yêu cầu từ người sử dụng. Các biện pháp bảo mật đảm bảo gồm:
- Giao tiếp MSSP với các AP của các đối tác và hệ thống nghiệp vụ của nhà cung cấp dịch vụ khác được bảo mật bởi giao thức https với tính năng SSL mã hóa 2 chiều;
- Mỗi AP được cấp một mã định danh người sử dụng và chứng thư số để mã hóa dữ liệu giao tiếp với MSSP. Giao tiếp giữa AP và MSSP được xác thực mạnh dựa trên chứng thư số. AP muốn sử dụng dịch vụ phải ký số lên yêu cầu trước khi
23
gửi sang MSSP. Khi nhận được yêu cầu từ AP, MSSP thực hiện xác thực chữ ký để xác định AP. Nếu chữ ký hợp lệ, MSSP sẽ xử lý yêu cầu và trả về kết quả cho AP. Ngược lại, MSSP sẽ bỏ qua yêu cầu của AP
Hệ thống cung cấp dịch vụ ký (MSSP)
MSSP: Máy chủ cung cấp các dịch vụ ký số và xác thực trên di động thực hiện các chức năng chính sau:
- Quản lý và cấp phép truy cập cho các hệ thống nghiệp vụ của các nhà cung cấp dịch vụ được kết nối và thực hiện các yêu cầu nghiệp vụ;
- Trung tâm chung chuyển yêu cầu cấp pháp chứng thư số với hệ thống RA, yêu cầu ký điện tử giữa AP, hạ tầng mạng với điện thoại người dùng và chứng thực chữ ký số với hệ thống CORE-CA của CA công cộng.
- MSSP giúp đảm bảo rằng “những gì người sử dụng nhìn thấy là những gì họ ký” và bảo mật của hệ thống đối với khách hàng, đối tác; ngăn ngừa, phát hiện truy nhập trái phép vào cơ sở dữ liệu cũng như xử lý, theo dõi các điểm yếu dễ bị tấn công;
- Ghi lịch sử giao dịch, lưu và báo cáo các thông tin về truy nhập hệ thống để phục vụ kiểm tra, giám sát hệ thống.
3.2.3 Quy trình ký sim PKI
Quy trình nghiệp vụ này mơ tả các bước thực hiện trên hệ thống khi người sử dụng muốn ký điện tử sử dụng chứng thư số trên SIM PKI.
Điều kiện: Người dùng sử dụng SIM PKI đã đấu nối chứng thư số, chứng thư số đang hoạt động. Người sử dụng đăng ký dịch vụ chữ ký số di động với nhà cung cấp dịch vụ AP, đồng thời các AP đăng ký kết nối với dịch vụ chữ ký số của CA
Luồng ký số:
24
Người dùng Phần mềm ứng dụng Mobile Signature Service Provider(MSSP)
SIMPKI Gửi yêu cầu ký số
Hash file cần ký
Gửi dữ liệu cần ký số theo định dạng của MSSP
Gửi dữ liệu cần ký số theo định dạng của SIM PKI
Nhập mã PIN trên điện thoại Chữ ký số Chữ ký số Gắn chữ ký số và thông điệp dữ liệu File thể hiện cho người
dùng
Hình 3.5: Quy trình nghiệp vụ ký điện tử
- Bước 1: Người dùng gửi yêu cầu ký số thông qua giao diện ứng dụng như:
website trực tuyến, ứng dụng mobi….
- Bước 2: Đối với các giao dịch điện tử yêu cầu người dùng ký trực tiếp vào
nội dung thì AP chuyển tồn bộ nội dung sang cho MSSP. Trong trường hợp dữ liệu là dạng văn bản dài hoặc cần ký lên trên file dữ liệu, thì AP cần chuyển đổi thành mã băm – hash, mục tiêu là giảm kích thước của file cần ký và tang cường an tồn bảo mật thơng tin cho nội dung ký số.
- Bước 3: Máy chủ cung cấp dịch vụ - AP, chuẩn bị dữ liệu theo định dạng
chuẩn để gửi dữ liệu yêu cầu ký tới MSSP.
- Bước 4: Dữ liệu cần ký được đóng gói và gửi xuống điện thoại của người
sử dụng. Dữ liệu được đảm bảo đường truyền được bảo mật theo chuẩn viễn thông.
- Bước 5: Thông tin cần ký hoặc dữ liệu mô tả thông tin cần ký được ứng
dụng trên SIM hiển thị tới người dùng – Đảm bảo nguyên tắc “Ký trên những gì bạn thấy”. Sau đó, màn hình hiển thị để người dùng nhập mã PIN xác nhận việc ký.
25
- Bước 6: Dữ liệu đã ký được đóng gói và gửi trở lại MSSP. Dữ liệu được
đảm bảo đường truyền được bảo mật theo chuẩn viễn thông.
- Bước 7: MSSP gửi về ứng dụng dữ liệu đã ký.
- Bước 8: Trong trường hợp dữ liệu gửi tới MSSP là dạng mã băm – cho dữ
liệu dưới dạng file dữ liệu hoặc văn bản dài, thì ứng dụng làm nhiệm vụ “dán” chữ ký vào bên trong văn bản.
26
CHƯƠNG 4. PHÂN TÍCH VÀ THIẾT KẾ HỆ THỐNG
4.1 Các tác nhân
Hệ thống gồm các tác nhân là nhân viên, lãnh đạo, văn thư và quản lý hệ thống. - Quản trị hệ thống: Quản trị các chức năng quản trị, phân quyền người dùng - Lãnh đạo: Xử lý văn bản theo vai trị được phân cơng.
- Nhân viên: Xử lý dữ liệu theo vai trị, nhiệm vụ được phân cơng. - Văn thư: Quản lý các văn bản đi của đơn vị.
4.2 Các chức năng chính của hệ thống
Hệ thống gồm các chức năng chính:
- Đăng nhập bảo mật 3 lớp: chức năng này nhằm mục đích xác thực người dùng truy cập sử dụng hệ thống.
- Quản lý luồng xử lý văn bản: Cho phép quản trị hệ thống thực hiện các công việc liên quan đến quản lý cây từ điển luồng xử lý cho các dịch vụ: thêm-sửa-xóa, gán luồng cho các dịch vụ.
- Quản lý văn bản: Cho phép người dùng thực hiện các công việc từ dự thảo văn bản đến ký các văn bản, trong trường hợp văn bản chưa đáp ứng ký người dùng có thể thực hiện từ chối văn bản để nhân viên có thể hiệu chỉnh văn bản.
- Quản lý dịch vụ: Cho phép quản trị hệ thống thực hiện các công việc liên quan đến quản lý thông tin dịch vụ trên hệ thống: thêm-sửa-xóa dịch vụ. gán luồng xử lý văn bản cho các dịch vụ.
- Quản lý người dùng: Cho phép quản trị hệ thống thực hiện các chức năng thêm-sửa-xóa-khóa tài khoản người dùng, phân quyền người dùng theo chức năng được ủy quyền trên hệ thống.
27
4.3 Biểu đồ Usecase tổng quan
Quản lý người dùng
Quản lý dịch vụ
Quản lý luồng xử lý văn bản
Dự thảo văn bản
Ký số văn bản với SIM KPI
Xem văn bản Download văn bản Từ chối ký văn bản Quản trị hệ thống Nhân viên Lãnh đạo Văn thư Hình 4.1: Usecase tổng quan
4.4 Biểu đồ phân rã chức năng
4.4.1 Quản lý người dùng
Cho phép người dùng là quản lý hệ thống thực hiện các chức năng thêm- sửa-xóa-khóa tài khoản người dùng, phần quyền người dùng theo chức năng được ủy quyền trên hệ thống.
28
Thêm người dùng
Sửa thơng tin người dùng
Khóa người dùng
Tìm kiếm người dùng
Xóa người dùng
Phân quyền người dùng Quản trị hệ thống Quản lý người dùng <<Extend >> <<Extend >> <<Extend >> <<Extend >> <<Extend >> <<Extend >>
Hình 4.2: Usecase quản lý người dùng
4.4.2 Quản lý luồng xử lý văn bản
Cho phép người dùng là quản lý hệ thống thực hiện các công việc liên quan đến quản lý cây từ điển luồng xử lý cho các dịch vụ: thêm-sửa-xóa, gán luồng cho các dịch vụ.
29 Thêm luồng Chỉnh sửa luồng ký Gán luồng vào dịch vụ xử lý Tìm kiếm luồng Xóa luồng Quản trị hệ thống Quản lý luồng xử lý văn bản <<Extend >> <<Extend >> <<Extend >> <<Extend >> <<Extend >>
Hình 4.3: Usecase quản lý luồng xử lý văn bản
4.4.3 Quản lý văn bản
Cho phép người dùng thực hiện các công việc từ dự thảo văn bản đến ký các văn bản, trong trường hợp văn bản chưa đáp ứng ký người dùng có thể thực hiện từ chối văn bản để nhân viên có thể hiệu chỉnh văn bản.
Ký văn bản
Từ chối văn bản
Xem trước văn bản
Tải văn bản về máy cá nhân Nhân viên
Lãnh đạo
Văn thư Dự thảo văn bản
30
4.4.4 Quản lý dịch vụ
Cho phép người dùng là quản lý hệ thống thực hiện các công việc liên quan đến quản lý thơng tin dịch vụ trên hệ thống: thêm-sửa-xóa dịch vụ. gán luồng xử lý văn bản cho các dịch vụ.
Thêm dịch vụ
Sửa dịch vụ
Xóa dịch vụ
Map luồng xử lý văn bản Quản trị hệ thống Quản lý dịch vụ <<Extend >> <<Extend >> <<Extend >> <<Extend >> Hình 4.5: Usecase quản lý dịch vụ 4.5 Đặc tả Use-case 4.5.1 Đăng nhập bảo mật. - Đặc tả:
Tên Usecase: Đăng nhập Mức độ BMT: A
Tác nhân chính: Tất cả các tác nhân Tác nhân phụ: Hệ thống
Mô tả Usecase: Dùng để đăng nhập vào hệ thống ký số thông qua SIM-KPI, để tăng
cường lớp bảo mật cho hệ thống chức năng đăng nhập đã được thiết kế thông qua 03 lớp:
- Lớp 1: Đăng nhập sử dụng tài khoản LDAP - Lớp 2: Đăng nhập sử dụng mã PIN của SIM-KPI - Lớp 3: Đăng nhập sử dụng mã OTP
Điều kiện để bắt đầu Use-case (Pre-Condition): Cán bộ được cấp account đăng nhập
vào hệ thống
Điều kiện để kết thúc Use-case (Post Condition): Đăng nhập thành công và hiện thị
giao diện ký số cho người dùng
31
Đăng nhập lớp 1 – LDAP:
Bước 1: Người dùng nhập userName và password mà quản trị đã cấp khi đăng ký
tài khoản trên hệ thống và nhấn “Đăng nhập” trên giao điện đăng nhập.
Bước 2: Chương trình truy xuất vào DB và thực hiện kiểm tra thơng tin người dùng:
• Nếu thơng tin user có trong DB thì chương trình chuyển sang Bước 3.
• Nếu thơng tin user khơng có trong DB thì chương trình cảnh báo “Tài khoản khơng hợp lệ” cho người dùng.
Bước 3: Hệ thống thực hiện kiểm tra tài khoản thông qua API gọi lên LDAP server.
• Nếu server trả về tài khoản đúng thì hệ thống chuyển qua đăng nhập lớp 02 bằng SIM-KPI
• Nếu sai thơng tin tài khoản thì hệ thống thơng báo “Tài khoản sai” cho user.