Hình 2.11. Mô hình kiến trúc CA phân cấp
Số hóa bởi Trung tâm Học liệu http://www.lrc-tnu.edu.vn/
+ Mô hình này có nhiều CA, trong đó các CA có quan hệ tin tưởng theo kiểu cấp trên-cấp dưới (quan hệ 1 chiều). Mô hình này dựa trên mối quan hệ uỷ thác giữa các CA khác bên trong mô hình.
+ Mô hình này có dạng hình cây với Root CA ở mức cao nhất và các nhánh được mở rộng xuống dưới. Root CA là gốc của tin cậy cho toàn bộ các thực thể bên dưới nó. Dưới Root CA là thực thể hoặc một số CA trung gian tạo thành các đỉnh trong của cây. Các đỉnh khác của cây là thực thể không phải là CA.
- Trong mô hình này thì :
+ Root CA cung cấp chứng thư cho các CA hoặc thực thể ngay dưới nó.
- Các CA này lại cung cấp chứng thư cho các thực thể hoặc nhiều CA khác ngay dưới nó.
+ Tất cả các đối tượng đều phải biết khoá công khai của Root CA.
+ Tất cả các hứng chỉ đều có thể kiểm chứng bằng cách kiểm tra đường dẫn của chứng thư đó tới RootCA
+ Đặc biệt có thể thêm CA mới vào hệ thống.
+ Thiết lập đường dẫn cấp phát chứng thư bắt đầu từ chứng thư của thực thể cuối(người dùng), mặc dù đường dẫn cấp phát chứng thư bắt đầu từ gốc tới thực thể cuối.
+ Chứng thư của thực thể cuối chứa 2 trường mở rộng để tìm chứng thư CA là: + Issuer Identifier (danh tính nơi cấp phát): để định vị các chứng thư CA trong kho dữ liệu bằng cách so khớp trường issuer identifier với subject identifier (danh tính chủ thể) trong các chứng thư CA.
+ Authority Key Identifier (danh tính khoá cấp phát): để xác định khoá dùng để đăng ký chứng thư.
+ Đối với mỗi thực thể trong hệ thống PKI phân cấp, chỉ tồn tài duy nhất 1 đường dẫn cấp phát chứng thư (vì là 1 chiều)
+ Ví dụ đường dẫn cấp phát chứng thư cho user X: [RootCACA1]:[CA1CA3]:[CA3UserX]
- Ưu điểm của mô hình này:
+ Tính co dãn tốt:
Số hóa bởi Trung tâm Học liệu http://www.lrc-tnu.edu.vn/
+ Để thêm 1 CA vào hệ thống PKI thì CA gốc chỉ việc thiết lập 1 quan hệ tin tưởng với CA đó hoặc một trong các CA không phải là CA gốc hiện thời trong hệ cấp phát cho CA mới.
+ Dễ triển khai vì là 1 chiều nên kiến trúc PKI phân cấp khá dễ dàng trong việc triển khai: đường dẫn cho 1 thực thể tới CA gốc hoặc CA cấp phát có thể được xác đinh nhanh chóng và dễ dàng.
+ Đường đẫn cấp phát chứng thư ngắn
+ Đường dẫn dài nhất chỉ là chứng thư CA cho từng CA cộng với chứng thư cho thực thể cuối.
+ Cách thức tìm ra một nhánh xác thực là theo một hướng nhất định không có hiện tượng vòng lặp.
- Nhược điểm của mô hình này:
+ Có 1 điểm tin tưởng đơn là CA gốc điều khiển toàn bộ kiến trúc PKI phân cấp. Do đó, nếu CA gốc mà bị phá vỡ thì cả hệ thống PKI phân cấp đó sẽ không còn giá trị tin tưởng.
+ Trong một phạm vi rộng, một CA duy nhất không thể đảm nhận được tất cả quá trình xác thực.
+ Các quan hệ kinh doanh thương mại không bao giờ cũng có dạng phân cấp.
2.5.4. Mô hình mạng lƣới
Số hóa bởi Trung tâm Học liệu http://www.lrc-tnu.edu.vn/
- Mô hình này có những đặc điểm sau:
+ Các CA ấy có quan hệ tin tưởng theo kiểu ngang cấp (quan hệ 2 chiều)
+ Có nhiều điểm tin tưởng: Tất cả các CA trong kiến trúc lưới PKI đều có thể là những điểm tin tưởng.
+ Hai CA sẽ cần phải kết nối quan hệ tin tưởng lẫn nhau hễ khi các thực thể của 2 CA muốn truyền thông an toàn với nhau.
+ Mỗi CA sẽ có nhiều chứng thư, các chứng thư này chỉ được cấp phát từ các CA khác nhau, mỗi cái sẽ dẫn tới 1 vị trí khác nhau trong lưới.
+ Ví dụ: CA1 kết nối tới CA2 thông qua CA3 nên Alice sẽ có tới 3 chứng thư. + Thiết lập đường dẫn cấp phát chứng thư được bắt đầu từ điểm tin tưởng cho tới nới cấp phát chứng thư cho thực thể cuối. Thông thường có nhiều hơn 1 đường dẫn cấp phát chứng thư giữa 1 thực thể bất kỳ với 1 điểm tin tưởng (do kiến trúc lưới chứa nhiều quan hệ tin tưởng 2 chiều). Xây dựng 1 đường dẫn cấp phát chứng thư từ chứng thư của người dùng tới điểm tin tưởng cao nhất là bất định và rất khó khăn. Ví dụ:
+ Alice có thể thiết lập đường dẫn cấp phát chứng thư cho Bob [ CA1 Bob] + Nhưng đối với James, Alice có thể thiết lập một trong 2 đường dẫn cấp phát chứng thư sau:
[CA1CA2]:[CA2James]
[CA1CA3]:[CA3CA2]:[CA2James]
+ Kích thước đường dẫn cấp phát chứng thư cực đại trong kiến trúc lưới là số CA có trong nó.
- Ưu điểm của mô hình này:
+ Nếu 1 CA bị phá hỏng thì chỉ ảnh hưởng đến các thực thể gắn với CA đó mà không ảnh hưởng tới toàn bộ PKI. Hơn nữa, chứng thư của CA bị phá hỏng có thể bị thu hồi bởi các CA đã cấp phát các chứng thư cho CA đó.
+ Có thể dễ dàng thêm 1 CA mới vào kiến trúc lưới PKI
+ Đây là mô hình linh động, thích hợp với các mối liên quan-quan hệ tin cậy lẫn nhau trong thực tế của công việc kinh doanh.
+ Cho phép các CA xác thực ngang hàng trực tiếp, điều này đặc biệt có lợi khi các đối tượng sử dụng của các CA làm việc với nhau thường xuyên làm giảm tải lượng đường truyền và thao tác xử lý.
Số hóa bởi Trung tâm Học liệu http://www.lrc-tnu.edu.vn/
+ Khi một CA bị lộ khoá chỉ cần thu hồi cấp phát chứng thư của CA tới các đối tượng có thiết lập quan hệ tin cậy với CA này.
- Nhược điểm của mô hình này:
+ Do cấu trúc của mạng lưới có thể phức tạp nên việc tìm kiếm các đối tượng có thể khó khăn.
+ Một đối tượng không thể đưa ra một nhánh xác thực duy nhất có thể đảm bảo rằng tất cả các đối tượng trong hệ thống có thể tin cậy được.
Số hóa bởi Trung tâm Học liệu http://www.lrc-tnu.edu.vn/
2.5.5.Kiến trúc CA bắc cầu _ Bridge CA Architecture
Hình 2.13. Mô hình kiến trúc cầu CA
Kiến trúc CA bắc cầu - Bridge CA Architecture đôi khi thường được gọi là Hub PKI hay Spoke PKI. Đây là kiểu kiến trúc thích hợp nhất để liên kết các PKI có kiến trúc khác nhau.
Bridge CA không cấp phát chứng thư trực tiếp tới người dùng. Bridge CA thiết lập quan hệ ngang cấp với các CA của các thực thể khác nhau. Các quan hệ được kết hợp để tạo thành 1 cầu tin tưởng cho phép các thực thể tương tác với nhau thông qua CA bắc cầu. Việc thiết lập quan hệ tin tưởng phải tuỳ thuộc vào kiểu kiến trúc PKI:
- Đối với kiến trúc phân cấp, tin tưởng được thiết lập với CA gốc.
- Đối với kiến trúc lưới, quan hệ tin tưởng có thể được thiết lập với bất kỳ CA
nào trong đó.
CA thiết lập 1 quan hệ tin tưởng với Bridge CA được gọi là Principle CA.Quan hệ tin tưởng giữa Principle CA với Bridge CA là ngang cấp.
Dễ dàng thêm các CA mới hay toàn bộ PKI tới PKI được kết nối cầu. Sự thay đổi là trong suốt với người dùng và không có sự thay đổi các điểm tin tưởng.
Nếu 1 Principle CA bị hỏng (phá) thì Bridge CA có thể thu hồi chứng thư của nó mà các quan hệ tin tưởng khác không bị ảnh hưởng. Nếu Bridge CA bị phá thì Principle CA sẽ thu hồi chứng thư đã cấp phát cho Bridge CA.
Thiết lập đường dẫn cấp phát chứng thư có duy nhất 1 chứng thư kết nối PKI nguồn với các PKI khác bên ngoài.
Số hóa bởi Trung tâm Học liệu http://www.lrc-tnu.edu.vn/
Dễ dàng cấp phát đường dẫn cấp phát chứng thư hơn so với PKI lưới, nhưng vẫn khó hơn so với PKI phân cấp. Đường dẫn tin tưởng ngắn hơn so với PKI lưới ngẫu nhiên có cùng số CA nhưng dài hơn 2 lần so với PKI phân cấp.
2.6.Ứng dụng của PKI trong ký số và bảo mật dữ liệu 2.6.1. Mã hóa
Lợi ích đầu tiên của chứng thư số là tính bảo mật thông tin. Khi người gửi đã mã hóa thông tin bằng khóa công khai của bạn, chắc chắn chỉ có bạn mới giải mã được thông tin để đọc. Trong quá trình truyền thông tin qua Internet, dù có đọc được các gói tin đã mã hóa này, kẻ xấu cũng không thể biết được trong gói tin có thông tin gì. Đây là một tính năng rất quan trọng, giúp người sử dụng hoàn toàn tin cậy về khả năng bảo mật thông tin. Những trao đổi thong tin cần bảo mật cao, chẳng hạn giao dịch ngân hàng, ngân hàng số, thanh toán thẻ tín dụng, đều phải có chứng thư số để đảm bảo an toàn.
2.6.2.Chống giả mạo
Khi bạn gửi đi một thông tin, có thể là một dữ liệu hoặc một email, có sử dụng chứng thư số số, người nhận sẽ kiểm tra được thông tin của bạn có bị thay đổi hay không. Bất kỳ một sự sửa đổi hay thay thế nội dung của thông điệp gốc đều sẽ bị phát hiện. Địa chỉ mail của bạn, tên domain… đều có thể bị kẻ xấu làm giả để đánh lừa người nhận để lây lan virus, ăn cắp thông tin quan trọng. Tuy nhiên, chứng thư số thì không thể làm giả, nên việc trao đổi thông tin có kèm chứng thư số luôn đảm bảo an toàn.
2.6.3. Xác thực
Khi bạn gửi một thông tin kèm chứng thư số, người nhận – có thể là đối tác kinh doanh, tổ chức hoặc cơ quan chính quyền – sẽ xác định rõ được danh tính của bạn. Có nghĩa là dù không nhìn thấy bạn, nhưng qua hệ thống chứng thư số mà bạn và người nhận cùng sử dụng, người nhận sẽ biết chắc chắn đó là bạn chứ không phải là một người khác. Xác thực là một tính năng rất quan trọng trong việc thực hiện các giao dịch số qua mạng, cũng như các thủ tục hành chính với cơ quan pháp quyền. Các hoạt động này cần phải xác minh rõ người gửi thông tin để sử dụng tư cách pháp nhân. Đây chính là nền tảng của một Chính phủ số, môi trường cho phép công dân có thể giao tiếp, thực hiện các công việc hành chính với cơ quan nhà nước hoàn toàn qua mạng. Có thể nói, chứng thư số số là một phần không thể thiếu, là phần cốt lõi của Chính phủ số.
Số hóa bởi Trung tâm Học liệu http://www.lrc-tnu.edu.vn/
2.6.4.Chống chối bỏ nguồn gốc
Khi sử dụng một chứng thư số, bạn phải chịu trách nhiệm hoàn toàn về những thông tin mà chứng thư số đi kèm. Trong trường hợp người gửi chối cãi, phủ nhận một thông tin nào đó không phải do mình gửi (chẳng hạn một đơn đặt hàng qua mạng), chứng thư số mà người nhận có được sẽ là bằng chứng khẳng định người gửi là tác giả của thông tin đó. Trong trường hợp chối cãi, CA cung cấp chứng thư số cho hai bên sẽ chịu trách nhiệm xác minh nguồn gốc thông tin, chứng tỏ nguồn gốc thông tin được gửi.
2.6.5. Chữ ký số
Những thông điệp có thể gửi đi qua Internet, đến những khách hàng, đồng nghiệp, nhà cung cấp và các đối tác. Tuy nhiên, tài liệu rất dễ bị tổn thương bởi các hacker. Những thông điệp có thể bị đọc hay bị giả mạo trước khi đến người nhận.
Bằng việc sử dụng chứng thư số cá nhân, bạn sẽ ngăn ngừa được các nguy cơ này. Với chứng thư số cá nhân, bạn có thể tạo thêm một chữ ký số vào tài liệu như một bằng chứng xác nhận của mình. Chữ ký số cũng có các tính năng xác thực thông tin, toàn vẹn dữ liệu và chống chối cãi nguồn gốc.
2.6.6. Bảo mật website
Khi Website của bạn sử dụng cho mục đích thương mại số hay cho những mục đích quan trọng khác, những thông tin trao đổi giữa bạn và khách hàng của bạn có thể bị lộ. Để tránh nguy cơ này, bạn có thể dùng chứng thư số để bảo mật cho Website của mình.
Chứng thư số sẽ cho phép bạn lập cấu hình Website của mình theo giao thức bảo mật SSL (Secure Sockets Layer). Loại chứng thư số này sẽ cung cấp cho Website của bạn một định danh duy nhất nhằm đảm bảo với khách hàng của bạn về tính xác thực và tính hợp pháp của Website. Chứng thư số SSL Server cũng cho phép trao đổi thông tin an toàn và bảo mật giữa Website với khách hàng, nhân viên và đối tác của bạn thông qua công nghệ SSL mà nổi bật là các tính năng:
+ Thực hiện mua bán bằng thẻ tín dụng
+ Bảo vệ những thông tin cá nhân nhạy cảm của khách hàng + Đảm bảo hacker không thể dò tìm được mật khẩu.
2.6.7. Code Signing
Nếu bạn là một nhà sản xuất phần mềm, chắc chắn bạn sẽ cần những “con tem chống hàng giả” cho sản phẩm của mình. Đây là một công cụ không thể thiếu trong
Số hóa bởi Trung tâm Học liệu http://www.lrc-tnu.edu.vn/
việc áp dụng hình thức sở hữu bản quyền. Chứng thư số Nhà phát triển phần mềm sẽ cho phép bạn ký vào các applet, script, Java software, ActiveX control, các file dạng EXE, CAB, DLL… Như vậy, thông qua chứng thư số, bạn sẽ đảm bảo tính hợp pháp cũng như nguồn gốc xuất xứ của sản phẩm. Hơn nữa người dùng sản phẩm có thể xác thực được bạn là nhà cung cấp, phát hiện được sự thay đổi của chương trình (do vô tình hỏng hay do virus phá, bị crack và bán lậu…).
Với những lợi ích về bảo mật và xác thực, chứng thư số hiện đã được sử dụng rộng rãi trên thế giới như một công cụ xác minh danh tính của các bên trong giao dịch thương mại số. Đây là một nền tảng công nghệ mang tính tiêu chuẩn trên toàn cầu, mặc dù ở mỗi nước có một số chính sách quản lý chứng thực số khác nhau. Mỗi quốc gia đều cần có những CA bản địa để chủ động về các hoạt động chứng thực số trong nước. Nhưng ngoài ra, nếu muốn thực hiện TMĐT vượt ra ngoài biên giới, các quốc gia cũng phải tuân theo các chuẩn công nghệ chung, và thực hiện chứng thực chéo, trao đổi và công nhận các CA của nhau. Đây cũng là những yếu tố quan trọng đối với một quốc gia đang trong quá trình phát triển TMĐT như Việt Nam.
2.6.8. Chứng thực số
Phân biệt với chữ kí số (digital signature), chứng thực số (digital certification) được xem như là một chứng thư, con dấu số, dùng để chứng tỏ danh tính của bạn khi tham gia một công việc kinh doanh nào đó thông qua mạng. Nó sẽ chứa tên của bạn, các thông tin cá nhân, số serial, ngày hết hạn, một bản sao của của khóa công khai (public key – sử dụng cho việc mã hóa các thông điệp và chữ kí số của bạn), và chữ kí số của tổ chức cung cấp để cho người nhận có thể nhận biết chứng thực này là hợp lệ.
Chứng thực số cũng như giấy tờ xe, để biết được nó là hợp lệ thì phải cần một tổ chức có thẩm quyền xác nhận bằng cách đóng dấu và kí ở đằng sau nó. Tổ chức này được gọi là Certificate Authority (CA). Các tổ chức trung gian CA có trách nhiệm xem xét tất cả những văn kiện giấy tờ được yêu cầu về chứng thực số, “đóng dấu” và gắn thêm chữ kí số của họ lên nó cho mỗi lần xác nhận đúng, bảo đảm các chứng từ này là hợp lệ.
Số hóa bởi Trung tâm Học liệu http://www.lrc-tnu.edu.vn/
2.7. Thực trạng PKI ở Việt Nam
2.7.1. Các văn bản của Đảng và Nhà nƣớc quy định về chứng thực chữ ký số .
Trong thời gian gần đây, việc ứng dụng Công nghệ Thông tin (CNTT) vào hoạt động lãnh đạo, điều hành của các cơ quan Đảng, Nhà nước đã phát triển mạnh mẽ và mang lại các hiệu quả bước đầu quan trọng.
Các văn bản quy phạm pháp luật của Nhà nước và các văn bản của Đảng đã tạo