Nội dung của chương này trình bày khái niệm, vai trò và chức năng của hạ tần
4.2.2 Kiến trúc danh sách tín nhiệm
4.2.2.1 Kháiniệm
KiếntrúcCAđơnchỉthíchhợpchotổchứccósốlượngngườihạnchế.Trongtrường hợp số lượng người trong tổ chức tăng lên, nhu cầu sử dụng thêm các CA khác là cần thiết. Vấn đề đặt ra là làm sao những thực thể cuối có chứng nhận được phát hành bởi
các CA khác nhau nhưng có thể giao tiếp với nhau.
Một cải tiến của kiến trúc CA đơn là kiến trúc danh sách tín nhiệm cơ bản trong đó các dịch vụ PKI được cung cấp bởi nhiều CA. Trong kiến trúc này, các thực thể cuối phải duytrì một danhsách các CAmà họ tin cậyvà chỉsử dụngcác chứng nhậnvà CRLđượcpháthànhbởicácCAtrongdanhsáchcácCAđượctínnhiệmcủanó.
Hình4.5.Kiếntrúcdanhsáchtínnhiệm
Ở ví dụ trên, danh sách tín nhiệm của DBPhuong và HTPTrang đều là {CA-1, CA-2} 64
4.2.2.2 Đườngdẫnchứng nhận
TuycónhiềuCAtrongkiếntrúcnhưngnhữngCAnàykhôngthiếtlậpmộtmốiquan hệtínnhiệmgiữachúng.Dođó,đườngdẫnchứngnhậntrongkiếntrúcdanhsáchtín nhiệm cũng chỉ chứa duy nhất một chứng nhận đơn.
Hình4.6.Đườngdẫnchứngnhậntrongkiếntrúcdanhsáchtínnhiệm
• [CA−1→ DBPhương] • [CA−1→ HTPTrang] • [CA−2→ TMTriet] • [CA−3→ LVMinh]
4.2.2.3 Nhậnxét
Ngược lại với kiến trúc CA đơn trong đó CA mới không thể được thêm vào PKI, trong kiến trúc này ta có thể thêm CA mới bằng cách thay đổi trong danh sách tín nhiệm.Mặcdù kiếntrúcnày cómộtưu điểmdễ thấytrongviệc đơn giảntrong thiết kế nhưng đôi khi nó có thể trở nên hoàn toàn phức tạp. Với sự tăng thêm của số lượngCAđượctincậybởimộtthựcthể,sốlượngthựcthểtrongdanhsáchtínnhiệm của tăng lên. Ngoài ra, thông tin quan trọng về các CA được tin cậy cũng được duy trì bởi mọi thực thể. Sự cập nhật thông tin này có thể cho thấy một nhiệm vụ vất vả cho cácthựcthểkhisốlượngCAtănglên.
Mô hình này được thực thi trong các trình duyệt web Netscape và Microsoft, cho phép người sử dụng linh động trong việc thêm vào hay gỡ bỏ CA từ danh sách tín
65
nhiệmcủamình.Tuynhiên,mộttổchứchiểmđộccókhảnăngthêmmộtchứngnhận CA không có thật hay giả mạo vào danh sách và từ đó các chứngnhận người dùng khôngcóthậtđượcxácnhậnbởitrìnhduyệt.