Vấn đề bảo mật thông tin trong HCĐT

Chương 3. QUY TRÌNH XÁC THỰC HỘ CHIẾU ĐIỆN TỬ

3.1.2 Vấn đề bảo mật thông tin trong HCĐT

Hộ chiếu điện tử được dùng thay thế cho hộ chiếu thông thường bằng cách lưu các thông tin cá nhân của chủ sở hữu vào trong một chip RFIC tạo nhiều thuận lợi hơn cho việc đi lại và an ninh. Tuy nhiên, một số người lại lo ngại rằng loại hộ chiếu điện tử này rất dễ bị tin tặc đột nhập từ xa và đọc dữ liệu, cho phép chúng có thể sao chép dữ liệu người dùng và tạo ra sản phẩm giả mạo. Chính vì vậy, bảo mật thông tin hộ chiếu là một trong những vấn đề cần phải đặt lên hàng đầu, có liên quan trực tiếp đến an ninh quốc gia.

Việc nghiên cứu các biện pháp tăng cường bảo mật thông tin trong HCĐT cũng như nâng cao hiệu quả việc xác thực, chống khả năng đánh cắp thông tin, làm giả hộ chiếu luôn

được quan tâm và có tính cấp bách. Những thông tin lưu trong thẻ RFID là những thông tin cá nhân của chủ sở hữu nên cần phải đảm bao an ninh tuyệt mật, tránh tình trạng mất cắp thông tin.

1) Một số nguy cơ đối với bảo mật thông tin HCĐT

Hộ chiếu điện tử sử dụng công nghệ không dây và lưu trữ các dữ liệu cá nhân nhạy cảm của người dùng. Cùng với sự phát triển mạnh mẽ của công nghệ thông tin và các thiết bị hiện đại nên càng ngày càng xuất hiện những nguy cơ tiềm ẩn đối với việc bảo mật thông tin trong HCĐT.

Theo [15] thì có một số nguy cơ chính đối với vấn đề bảo mật thông tin HCĐT nhƣ sau:

 Clandestine scanning: Chính sách của ICAO không bắt buộc có kiểm soát truy cập hoặc mã hóa truyền thông giữa chip RFID và đầu đọc trong quá trình xác thực HCĐT. Điều này sẽ gây ra nguy cơ dữ liệu trong chip RFID sẽ bị scanning trong quá trình truyền, dẫn đến lộ những thông tin cá nhân của người dùng.

 Clandestine tracking: Nguy cơ này liên quan đến định danh của thẻ RFID. Việc xác định đƣợc định danh của thẻ phi tiếp xúc cho phép xác định đƣợc nguồn gốc của HCĐT, chẳng hạn như quốc tịch của người mang hộ chiếu.

 Skimming and Cloning: Khi dữ liệu trong chip RFID bị rò rỉ, nó cho phép nhân bản chip RFID để tạo ra một HCĐT mới. Đây là một trong những nguy cơ nghiêm trọng cần phải đƣợc chú ý trong suốt quá trình phát hành và sử dụng HCĐT.

 Eavesdropping: Nguy cơ nghe lén thông tin luôn đƣợc coi là nguy cơ có tính nguy hiểm nhất trong vấn đề bảo mật hộ chiếu điện tử. Nguy cơ này diễn ra trong quá trình đầu đọc hộ chiếu đọc dữ liệu từ chip RFID. Những thông tin đƣợc truyền giữa chip và đầu đọc có thể bị nghe lén trong một khoảng cách nhất định. Hiệu ứng lồng Faraday đối với hộ chiếu điện tử cũng không thể ngăn chặn đƣợc nguy cơ này. Tại các điểm xuất nhập cảnh, việc kiểm soát nguy cơ này có thể thực hiện đƣợc khi làm tốt việc kiểm tra tự động những thiết bị đọc thẻ RFID khác.

 Biometric data-leakage: Cùng với các thông tin cá nhân khác, HCĐT còn chứa các dữ liệu sinh trắc học của người sở hữu hộ chiếu như ảnh khuôn mặt, dấu vân tay, mống mắt. Đây đều là những dữ liệu đặc biệt quan trọng và có nguy cơ bị lộ

ra ngoài. Nguy cơ này liên quan mật thiết đến vấn đề đảm bảo an toàn đối với dữ liệu sinh trắc nói riêng và toàn bộ dữ liệu lưu trong chip nói chung.

 Cryptographic Weeknesses: Nguy cơ này liên quan đến mô hình bảo đảm an toàn và bảo mật thông tin lưu trong chip RFID. ICAO có đưa ra một cơ chế tùy chọn cho phép xác thực và mã hóa truyền thông giữa chip và đầu đọc. Bằng cách đọc vùng dữ liệu MRZ sẽ nhận đƣợc khóa mã hóa K. Tuy nhiên, khi đầu đọc đã biết đƣợc khóa K thì không có cơ chế nào để hủy bỏ việc truy cập đến chip.

Chính vì vậy cần phải sử dụng các kỹ thuật mạnh mẽ để bảo đảm an toàn bảo mật dữ liệu.

2) Cơ chế bảo mật thông tin

Tổ chức hàng không dân dụng quốc tế ICAO đã đƣa ra bốn cơ chế bảo mật thông tin nhằm ngăn chặn những nguy cơ ảnh hưởng đến an toàn, an ninh HCĐT như sau [12]:

 Passive Authentication (PA): Cơ chế xác thực bị động, là cơ chế bắt buộc đối với quá trình xác thực HCĐT, kiểm tra tính nguyên vẹn và xác thực của thông tin lưu trong chip RFID bằng cách kiểm tra chữ ký của cơ quan cấp hộ chiếu để xác thực dữ liệu được lưu trong các nhóm dữ liệu LDS trên chip RFID.

 Basic Access Control (BAC): Cơ chế kiểm soát truy cập cơ bản, chống lại việc nghe lén và đọc trộm thông tin trong HCĐT mà chưa có sự đồng ý của người sở hữu, ngăn chặn đƣợc nguy cơ Skimming và Eavesdropping.

 Active Authentication (AA): Cơ chế xác thực chủ động, đảm bảo tính duy nhất và xác thực của chip tích hợp trong HCĐT bằng cách đƣa ra một cặp khóa riêng.

Khóa bí mật được lưu trữ trong nhóm dữ liệu DG15 và được bảo vệ bởi cơ chế PA. Khóa công khai tương ứng được lưu trữ trong bộ nhớ bảo mật và có thể chỉ đƣợc sử dụng trong chip RFID và không thể đọc đƣợc ở bên ngoài. Cơ chế này chỉ nên đƣợc sử dụng ở những nơi mà BAC đã đƣợc thiết lập.

 Extended Access Control (EAC): Cơ chế kiểm soát truy cập mở rộng, tăng cường bảo vệ các thông tin sinh trắc học nhạy cảm như vân tay, mống mắt…

đồng thời khắc phục hạn chế của quá trình xác thực chủ động. Cơ chế này gồm hai giai đoạn:

 Chip Authentication: là một giao thức cho phép hệ thống kiểm tra xác thực tính đúng đắn của chip RFID trong HCĐT. Trước khi sử dụng giao thức này thì chip RFID cần đƣợc bảo vệ bởi giao thức BAC.

 Terminal Authentication: là giao thức chip RFID xác minh xem hệ thống kiểm tra có đƣợc quyền truy cập đến vùng dữ liệu nhạy cảm hay không. Khi hệ thống kiểm tra có thể truy cập đến dữ liệu sinh trắc thì tất cả truyền thông phải được bảo vệ một cách phù hợp. Trước khi thực hiện giao thức này thì bắt buộc phải thực hiện thành công giao thức Chip Authentication.

3.1.3 Các đặc trƣng sinh trắc quan tâm

Trong quy trình xác thực hộ chiếu điện tử, chúng tôi chú trọng đến việc sử dụng cả ba đặc trƣng sinh trắc đã đƣợc nêu trong tài liệu 9303 của ICAO, đó là ảnh khuôn mặt, ảnh vân tay và ảnh mống mắt của người mang hộ chiếu.

 Khuôn mặt

Trong các đặc trưng sinh trắc học của con người được sử dụng vào các hệ thống bảo mật, nhận dạng cá nhân… thì khuôn mặt đƣợc nghiên cứu đầu tiên và lâu đời nhất. Khuôn mặt thu hút sự chú ý trong giao tiếp xã hội, đóng một vai trò quan trọng trong việc định danh và truyền đạt biểu cảm. Tuy nhiên, việc phát triển các mô hình tính toán để nhận dạng mặt là khá khó khăn bởi vì khuôn mặt thì phức tạp và có nhiều tác nhân kích thích.

Bởi vậy để phát triển một hệ thống nhận dạng mặt phải yêu cầu rất nhiều kỹ thuật thị giác.

Trong hệ thống xác thực hộ chiếu điện tử, ảnh khuôn mặt được lưu vào vùng dữ liệu DG2 sau khi đã mã hóa. Định dạng ảnh là JPEG hoặc JPEG2000, kích thước ảnh phải đảm bảo bé hơn 20Kb. Tại các điểm xuất nhập cảnh sẽ có các camera chuyên dụng để quét ảnh khuôn mặt của mỗi người. Để các ảnh này phù hợp với các ứng dụng sinh trắc, chúng phải thõa mãn các tiêu chuẩn đặt ra nhƣ trên.

Hình 26. Camera thu ảnh khuôn mặt.

 Dấu vân tay

Vân tay là một trong những dấu hiệu sinh học tự nhiên và độc nhất đối với mỗi người. Xác suất hai dấu vân tay của hai anh (chị) em sinh đôi cùng trứng có cùng bộ dấu vân tay là 1 trên 64 tỉ. Ngay cả các ngón trên cùng bàn tay cũng có vân khác nhau. Dấu vân tay của mỗi người là không đổi trong suốt cuộc đời, người ta có thể làm phẫu thuật thay da ngón tay, nhƣng chỉ sau một thời gian, dấu vân tay lại đƣợc phục hồi lại nhƣ ban đầu. Chính vì vậy, xác thực sinh trắc dấu vân tay là một quá trình xác thực định danh người dùng rất phổ biến và hiệu quả, thường được sử dụng tại các sân bay hay các điểm xuất nhập cảnh (trong hộ chiếu điện tử).

Hình 27. Một số cách thu nhận dấu vân tay.

Một hệ thống tự động nhận dạng vân tay cần phải thõa mãn hai yêu cầu đặt ra:

 Hệ thống phải tự động so sánh hai dấu vân tay và đƣa ra quyết định rằng hai dấu vân tay đó có phải là một hay không.

 Hệ thống phải áp dụng các kỹ thuật có ý nghĩa cải tiến nhằm tăng khả năng phân loại và nhận biết một số lƣợng lớn vân tay trong thời gian tìm kiếm là ngắn nhất và độ chính xác là cao nhất.

 Mống mắt

Hình 28. Cấu trúc mống mắt

Vết lõm mống mắt

Vùng đồng tử Vùng mao

Vòng nhỏ Đồn

g tử Mống

mắt

Các nếp nhăn

Điềm đồng tử

Mống mắt cũng giống như vân tay, là những đặc trưng sinh trắc của mỗi con người, đƣợc duy trì và ổn định trong suốt cuộc đời của họ. Mống mắt là một cơ trong mắt điều chỉnh kích thước đồng tử, điều chỉnh số lượng ánh sáng vào mắt. Nó phân chia màu mắt với màu sắc dựa trên số lƣợng sắc tố melatonin trong cơ. Các đặc tính của mống mắt đƣợc bảo vệ từ môi trường và khá ổn định so với các đặc tính sinh trắc khác của con người.

Cùng với ảnh khuôn mặt và dấu vân tay thì sử dụng sinh trắc mống mắt cũng là một giải pháp rất hữu hiệu trong việc nhận dạng cá nhân con người. Tại các điểm xuất nhập cảnh hoặc các điểm kiểm tra, người dùng đứng trước một camera để chụp hình hoặc sử dụng tia laser để thu đƣợc ảnh mống mắt.

Hình 29. Camera thu ảnh mống mắt.

3.2 Quy trình xác thực HCĐT tại Việt Nam 3.2.1 Hạ tầng khoá công khai với HCĐT

Để quy trình xác thực hộ chiếu điện tử đƣợc diễn ra thành công, đảm bảo thông tin lưu trong chip RFID là xác thực và toàn vẹn, cần triển khai hạ tầng khóa công khai PKI đối với cả hộ chiếu điện tử và hệ thống xác thực IS. Nói cách khác, hạ tầng khóa công khai triển khai phải đáp ứng đƣợc cả hai quá trình [4]:

 Passive Authentication: Là quá trình kiểm tra tính nguyên vẹn và xác thực của thông tin lưu trong chip RFID. Trong quy trình cấp phát hộ chiếu điện tử, sau khi ghi thông tin vào chip RFID, cơ quan cấp hộ chiếu phải ký số lên chip để chứng thực những thông tin vừa ghi vào là đúng. Sau khi nhận đƣợc chứng chỉ số CDS do CA cấp cao nhất phát hành, cơ quan cấp HCĐT DS sử dụng khóa bí mật của mình để ký số lên hộ chiếu đó, còn khóa công khai được lưu trong CDS.

Tại bước kiểm tra hộ chiếu tại các điểm xuất nhập cảnh, hệ thống IS sử dụng cơ chế Passive Authentication để kiểm tra và xác thực chữ ký của DS. Hệ thống IS tiến hành đọc HCĐT, lấy chứng chỉ số CDS, kiểm tra tính xác thực của nó bằng khóa công khai của CA

phân phối, khóa công khai này được các nước có triển khai HCĐT trao đổi với nhau qua đường công hàm hoặc thông qua danh mục khóa công khai PKD. Sau khi xác thực xong CDS, hệ thống IS sẽ dùng CDS để xác thực nội dung lưu trong chip RFID.

 Terminal Authentication: Là quá trình xác thực hệ thống kiểm tra IS, kiểm tra xem IS có quyền truy cập vào vùng dữ liệu nhạy cảm trong chip RFID hay không.

Tại mỗi quốc gia có triển khai hộ chiếu điện tử, sẽ có một cơ quan cấp chứng chỉ số quốc gia, có thể là CSCA (Coutry Signing Certification Authority) hoặc CVCA (Country Verifying Certification Authority). Các CA cấp quốc gia này sẽ phân phối chứng chỉ cho các cơ quan cấp hộ chiếu điện tử DS (Document Signer) để ký số lên hộ chiếu hoặc cơ quan xác thực hộ chiếu điện tử DV (Document Verifier) để kiểm tra hộ chiếu.

Trong quá trình xác thực hộ chiếu điện tử, Terminal Authentication yêu cầu hệ thống kiểm tra IS chứng minh đƣợc là nó đƣợc quyền truy cập vào vùng dữ liệu nhạy cảm. Khi đó một hệ thống kiểm duyệt đƣợc trang bị ít nhất một hệ thống xác thực chứng chỉ (Inspection System Certificate - ISC) để mã hóa khóa công khai của hệ thống kiểm duyệt và các quyền truy cập, tương ứng với khóa bí mật. Sau khi hệ thống kiểm duyệt đã chứng minh đƣợc các thông tin của khóa bí mật thì chip RFID mới chấp nhận cho hệ thống kiểm duyệt truy cập vào vùng dữ liệu nhạy cảm đƣợc chỉ ra trong ISC [4].

Mô hình PKI triển khai với cơ chế Terminal Authentication có các thực thể sau:

- CVCA (Country Verifying Certification Authority): Cơ quan xác thực chứng chỉ số quốc gia.

- DV (Document Verifier): Cơ quan xác thực hộ chiếu điện tử.

- IS (Inspection System): Hệ thống kiểm duyệt tại các điểm xuất nhập cảnh.

Hình 30. Mô hình PKI phân cấp phục vụ cơ chế Terminal Authentication [4].

1) Country Verifying CAs

Tại mỗi quốc gia có triển khai hộ chiếu điện tử cần phải thiết lập một điểm tin cậy (trust-point), gọi là CVCA, là nơi cung cấp và xác thực chứng chỉ số DV-Cert cho các cơ quan xác thực hộ chiếu điện tử DV. CVCA xác định tất cả các quyền truy cập đến tới chip RFID cho tất cả các DV (bao gồm các DV trong quốc gia đó và các DV ở các quốc gia khác) bằng cách cung cấp chứng chỉ cho các DV, trong đó có mô tả quyền truy cập thông tin. Để giảm thiểu nguy cơ mất mát thông tin, DV-Cert chỉ có giá trị trong một khoảng thời gian ngắn. CVCA có toàn quyền gán thời hạn cho DV-Cert và mỗi chứng chỉ của DV khác nhau thì có thời hạn khác nhau.

2) Document Verifiers và Inspection Systems

Document Verifiers (DV) là cơ quan xác thực hộ chiếu, một đơn vị tổ chức và quản lý hệ thống kiểm duyệt IS, cung cấp chứng chỉ số IS-Cert cho các IS. Nhƣ vậy, DV cũng là một CA và đƣợc xác thực bởi CVCA.

Inspection System (IS) là hệ thống kiểm duyệt HCĐT tại các điểm xuất nhập cảnh.

Để chip RFID có thể chứng thực đƣợc chứng chỉ số IS-Cert thì IS cần phải gửi một chuỗi chứng chỉ hay các chứng chỉ liên kết quốc gia (CVCA Link Certificates), bao gồm DV- Cert và IS-Cert.

3) Card Verifiable Certificates

Card Verifiable Certificates (CVC) là các chứng chỉ xác thực thẻ, bao gồm CVCA Link Certificates, DV-Cert, IS-Cerst cần phải đƣợc phê chuẩn bởi chip RFIC.

Hình 31. Lịch trình cấp phát chứng chỉ [4].

Mỗi chứng chỉ đƣợc cấp phát chỉ có giá trị trong một khoảng thời gian nhất định.

Khoảng thời gian này đƣợc xác định bởi hai giá trị:

 Certificate effective date: Ngày tạo chứng chỉ.

 Certificate expiration date: Ngày hết hạn chứng chỉ.

Khi tạo ra chứng chỉ, các cơ quan tạo chứng chỉ cần phải có kế hoạch rõ ràng về thời hạn của chứng chỉ. Dĩ nhiên, một chứng chỉ mới phải được tạo ra trước khi chứng chỉ hiện tại hết hạn và cần phải tính toán thời gian phân phối chứng chỉ tối đa (max distribution time).

Hình 32. Mô hình PKI chung cho HCĐT và IS [20].

4) Danh mục khóa công khai

Hạ tầng khóa công khai PKI cho phép mỗi thực thể đƣợc gán với một cặp khóa công khai, khóa bí mật. Việc trao đổi chứng chỉ có gắn khóa công khai của các cơ quan cấp hộ chiếu DS giữa các quốc gia sẽ được thực hiện bằng đường công hàm bí mật và thông qua danh mục khóa công khai PKD (Public Key Directory) của ICAO.

PKD là một mô hình lưu trữ tập trung và phân phối chứng chỉ số CDS, danh sách chứng chỉ bị thu hồi CRL của các cơ quan cấp hộ chiếu DS. Thông qua PKD, ICAO sẽ

tập hợp chứng chỉ số (khóa công khai) của các quốc gia thành viên để quản lý và cung cấp trực tuyến [12].

Hình 33. Danh mục khóa công khai PKD.

Ngoài thông tin về khóa công khai, CDS còn chứa thông tin quy định quyền truy cập cho hệ thống kiểm duyệt IS. Chứng chỉ này không chỉ chứng thực cho các hệ thống kiểm tra IS ở một quốc gia mà còn chứng thực và quy định quyền truy cập thông tin cho các hệ thống IS ở các quốc gia khác có sử dụng cơ chế kiểm soát truy cập mở rộng EAC.

3.2.2 Quy trình cấp phát hộ chiếu điện tử

Một số bước chính trong quá trình cấp phát hộ chiếu điện tử như sau.

B1: Công dân có nhu cầu cấp hộ chiếu điện tử đến tại các cơ quan có thẩm quyền đăng ký theo mẫu phát hành.

B2: Thu nhận thông tin sinh trắc học của người dùng như ảnh mặt, vân tay, mống mắt…

B3: In hộ chiếu và ghi các thông tin sinh trắc vào chip FRID.

 Ghi các thông tin cơ bản nhƣ họ tên, ngày sinh, giới tính… (nhƣ trên trang hộ chiếu giấy) vào vùng dữ liệu DG1.

 Ghi ảnh khuôn mặt vào vùng dữ liệu DG2.

 Ghi dấu vân tay vào DG3.

 Ghi ảnh mống mắt vào DG4.

The Public Key Directory PKD CDS CVCA

Country Verifying CA

CRL Certificate Revocation List

DS Document

Signer