Chứng chỉ (khoá công) và thông tin thu hồi chứng chỉ phải ựược phân phối sao cho những người cần ựến chứng chỉ ựều có thể truy cập và lấy ựược. Có 2 phương pháp phân phối chứng chỉ:
a. Phân phối cá nhân
Phân phối cá nhân là cách phân phối cơ bản nhất. Trong phương pháp này thì mỗi cá nhân sẽ trực tiếp ựưa chứng chỉ của họ cho người dùng khác. Việc này có thể thực hiện theo một số cơ chế khác nhau. Chuyển giao bằng tay chứng chỉ ựược lưu trong
ựĩa mềm hay trong một số các môi trường lưu trữ khác. Cũng có thể phân phối bằng cách gắn chứng chỉ trong e-mail ựể gửi cho người khác.
Cách này thực hiện tốt trong một nhóm ắt người dùng nhưng khi số lượng người dùng tăng lên thì có thể xảy ra vấn ựề về quản lý.
b. Phân phối công khai
Một phương pháp khác phổ biến hơn ựể phân phối chứng chỉ (và thông tin thu hồi chứng chỉ) là công bố các chứng chỉ rộng rãi, các chứng chỉ này có thể sử dụng một cách công khai và ựược ựặt ở vị trắ có thể truy cập dễ dàng. Những vị trắ này ựược gọi là cơ sở dữ liệu. Dưới ựây là vắ dụ về một số hệ thống lưu trữ:
- X.500 Directory System Agents (DSAs)
- Lightweight Directory Access Protocol (LDAP ) Server - Online Certificate Status Protocol (OCSP) Responders - Domain name System (DNS) và Web servers
- File Transfer Protocol (FTP) Servers và Corporate Databases 2.5.3 Chức năng cơ bản của PKI
Những hệ thống cho phép PKI có những chức năng khác nhau. Nhưng nhìn chung có hai chức năng chắnh là: chứng thực và thẩm tra.
2.5.3.1 Chứng thực (certification)
Chứng thực là chức năng quan trọng nhất của hệ thống PKI. đây là quá trình ràng buộc khoá công khai với ựịnh danh của thực thể. CA là thực thể PKI thực hiện chức năng chứng thực. Có hai phương pháp chứng thực:
- Tổ chức chứng thực (CA) tạo ra cặp khoá công khai / khoá bắ mật và tạo ra chứng chỉ cho phần khoá công của cặp khoá.
- Người sử dụng tự tạo cặp khoá và ựưa khoá công cho CA ựể CA tạo chứng chỉ
cho khoá công ựó. Chứng chỉ ựảm bảo tắnh toàn vẹn của khoá công khai và các thông tin gắn cùng.
2.5.3.2 Thẩm tra (validation)
Quá trình xác ựịnh liệu chứng chỉ ựã ựưa ra có thể ựược sử dụng ựúng mục ựắch thắch hợp hay không ựược xem như là quá trình kiểm tra tắnh hiệu lực của chứng chỉ. Quá trình này bao gồm một số bước sau:
- Kiểm tra xem liệu có ựúng là CA ựược tin tưởng ựã ký số lên chứng chỉ hay không (xử lý theo ựường dẫn chứng chỉ).
- Kiểm tra chữ ký số của CA trên chứng chỉ ựể kiểm tra tắnh toàn vẹn. - Xác ựịnh xem chứng chỉ còn ở trong thời gian có hiệu lực hay không. - Xác ựịnh xem chứng chỉ ựã bị thu hồi hay chưa.
- Xác ựịnh xem chứng chỉ ựang ựược sử dụng có ựúng mục ựắch, chắnh sách, giới
hạn hay không (bằng cách kiểm tra những trường mở rộng cụ thể như mở rộng chắnh sách chứng chỉ hay mở rộng việc sử dụng khoá).
2.5.3.3 Một số chức năng khác
Hệ thống PKI thực hiện chức năng chứng thực, thẩm tra cùng với một số chức năng phụ trợ khác. Dưới ựây là một số chức năng và dịch vụ ựược hầu hết các hệ
thống PKI cung cấp. Một số những chức năng khác có thể ựược ựịnh nghĩa tuỳ theo yêu cầu cụ thể của các hệ thống PKI.
a. đăng ký
đăng ký là quá trình ựến hoặc liên lạc với các tổ chức, trung tâm tin cậy ựể ựăng ký các thông tin và xin cấp chứng chỉ. RA và CA là những thực thể trong quá trình ựăng ký. Quá trình ựăng ký phụ thuộc vào chắnh sách của tổ chức. Nếu chứng chỉ ựược cung cấp với mục ựắch dùng cho những hoạt ựộng bắ mật thì sử dụng phương pháp gặp mặt trực tiếp. Nếu chứng chỉ chỉ ựược sử dụng cho những mục ựắch, hoạt ựộng thường thì có thể ựăng ký qua những ứng dụng viết sẵn hoặc ứng dụng ựiện tử.
b. Khởi tạo ban ựầu
Khi hệ thống trạm của chủ thể nhận ựược các thông tin cần thiết ựể liên lạc với CA thì quá trình khởi tạo bắt ựầu. Những thông tin này có thể là khoá công của CA, chứng chỉ của CA, cặp khóa công /bắ mật của chủ thể.
Một số hệ thống khác sử dụng cơ chế dựa trên password trong giai ựoạn khởi tạo. Người dùng cuối liên lạc với CA khi nhận ựược password và sau ựó thiết lập một kênh bảo mật ựể truyền những thông tin cần thiết. Giai ựoạn khởi tạo thường tiếp tục với quá trình chứng thực.
c. Khôi phục cặp khoá
Hầu hết hệ thống PKI tạo ra hai cặp khoá cho người sử dụng cuối, một ựể ký số và một ựể mã hoá. Lý do ựể tạo hai cặp khoá khác nhau xuất phát từ yêu cầu khôi phục và sao lưu dự phòng khoá.
Tuỳ theo chắnh sách của tổ chức, bộ khoá mã (mã và giải mã) và những thông tin liên quan ựến khoá của người sử dụng phải ựược sao lưu ựể có thể lấy lại ựược dữ liệu khi người sử dụng mất khoá riêng hay rời khỏi ựơn vị.
Còn khoá ựể ký số ựược sử dụng tuỳ theo mục ựắch cá nhân nên không ựược sao lưu. Riêng khoá bắ mật của CA thì ựược lưu giữ dự phòng trong một thời gian dài ựể giải quyết những vấn ựề nhầm lẫn có thể xảy ra trong tương lai. Hệ thống PKI có những công cụ ựể thực hiện chức năng sao lưu và khôi phục khoá.
d. Tạo khoá
Cặp khoá công khai/bắ mật có thể ựược tạo ở nhiều nơi. Chúng có thể ựược tạo ra bằng phần mềm phắa client và ựược gửi ựến CA ựể chứng thực.
CA cũng có thể tạo ra cặp khoá trước khi chứng thực. Trong trường hợp này, CA tự tạo cặp khoá và gửi khoá bắ mật này cho người sử dụng theo một cách an toàn. Nếu khoá do bên thứ ba tạo ra thì những khoá này phải ựược CA tin cậy trong miền xác nhận trước khi sử dụng.
e. Hạn sử dụng và cập nhật khoá
Một trong những thuộc tắnh của chứng chỉ là thời gian hiệu lực. Thời gian hiệu lực của mỗi cặp khoá ựược xác ựịnh theo chắnh sách sử dụng. Các cặp khoá của người sử dụng nên ựược cập nhật khi có thông báo về ngày hết hạn. Hệ thống sẽ thông báo về tình huống này trong một thời gian nhất ựịnh. Chứng chỉ mới sẽ ựược người cấp công bố tự ựộng sau thời gian hết hạn.
f. Xâm hại khoá
đây là trường hợp không bình thường nhưng nếu xảy ra thì khoá mới sẽ ựược công bố và tất cả người sử dụng trong hệ thống sẽ nhận thấy ựiều này. Xâm hại ựến khoá của CA là một trường hợp ựặc biệt. Và trong trường hợp này thì CA sẽ công bố lại tất cả các chứng chỉ với CA-certificate mới của mình
g. Thu hồi
Chứng chỉ ựược công bố sẽ ựược sử dụng trong khoảng thời gian có hiệu lực. Nhưng trong trường hợp khoá bị xâm hại hay có sự thay ựổi trong thông tin của chứng chỉ thì chứng chỉ mới sẽ ựược công bố, chứng chỉ cũ sẽ bị thu hồi.
h. Công bố và gửi thông báo thu hồi chứng chỉ
Một chứng chỉ ựược cấp cho người sử dụng cuối sẽ ựược gửi ựến cho người nắm giữ và hệ thống lưu trữ ựể có thể truy cập công khai. Khi một chứng chỉ bị thu hồi vì một lý do nào ựó, tất cả người sử dụng trong hệ thống sẽ ựược thông báo về việc này. Phương thức ựể công bố và gửi những thông báo thu hồi ựã ựược ựề cập chi tiết trong nội dung về chứng chỉ số ở phần trên.
i. Xác thực chéo
Xác thực chéo là một trong những ựặc tắnh quan trọng nhất của hệ thống PKI. Chức năng này ựược sử dụng ựể nối hai miền PKI khác nhau. Xác thực chéo là cách ựể thiết lập môi trường tin cậy giữa hai CA dưới những ựiều kiện nhất ựịnh. Những ựiều kiện này ựược xác ựịnh theo yêu cầu của người sử dụng. Những người sử dụng ở các miền khác nhau chỉ có thể giao tiếp an toàn với người khác sau khi việc xác thực chéo giữa các CA thành công.
Xác thực chéo ựược thiết lập bằng cách tạo chứng chỉ CA xác thực lẫn nhau. Nếu CA-1 và CA-2 muốn thiết lập xác thực chéo thì cần thực hiện một số bước sau:
- CA-1 công bố CA Ờ certificate cho CA-2. - CA-2 công bố CA Ờ certificate cho CA-1.
- CA-1 và CA-2 sẽ sử dụng những trường mở rộng xác ựịnh trong chứng chỉ ựể ựặt những giới hạn cần thiết trong CA-certificate.
Việc xác thực chéo ựòi hỏi phải có sự kiểm tra cẩn thận các chắnh sách PKI. Nếu cả hai ựều có cùng hoặc tương tự chắnh sách của nhau thì việc xác thực chéo sẽ có ý nghĩa. Ngược lại, sẽ có những tình huống không mong muốn xuất hiện trong trường hợp chắnh sách PKI của một miền trở thành một phần của miền khác.
Trường mở rộng ỘPolicy mappingỢ, Ộname constraintsỢ và Ộpolicy constraintsỢ của chứng chỉ X.509 chuẩn ựược sử dụng trong xác thực chéo ựể ựưa ra một số giới hạn trong môi trường tin cậy.
Hình 2.12 dưới ựây minh hoạ ựường dẫn cấp chứng chỉ ựược xây dựng giữa 2 CA (2 CA này ựã thiết lập mối quan hệ tin cậy sử dụng xác thực chéo ngang hàng). Mô hình chỉ ra chứng chỉ chéo ựược cấp giữa mỗi CA và chứng chỉ thực thể cuối ựược CA cấp. Người cấp của một chứng chỉ là chủ thể của chứng chỉ khác. Khoá công khai ựược xác nhận trong một chứng chỉ tương ứng với khoá riêng ựược sử dụng ựể ký chứng chỉ khác.
Hình 2.12: đường dẫn chứng chỉ chéo
2.6. Ứng dụng của hạ tầng khóa công khai và cấp phát chứng thực thực
2.6.1. Mã hóa
- Lợi ắch ựầu tiên của chứng chỉ số là tắnh bảo mật thông tin. Khi người gửi ựã mã hóa thông tin bằng khóa công khai của bạn, chắc chắn chỉ có bạn mới giải mã dược thông tin ựể ựọc. Trong qúa trình truyền thông tin qua Internet, dù có ựọc ựược các gói tin ựã mã hóa này, kẻ xấu cũng không thể biết ựược trong gói tin có thông tin gì. đây là một tắnh năng rất quan trọng, giúp người sử dụng hoàn toàn tin cậy về khả năng bảo mật thông tin. Những trao ựổi thông tin cần bảo mật cao, chẳng hạn giao dịch liên ngân hàng, ngân hàng ựiện tử, thanh toán bằng thẻ tắn dụng, ựều cần phải có chứng chỉ số ựể ựảm bảo an toàn.
2.6.2 Chống giả mạo
- Khi bạn gửi ựi một thông tin, có thể là một dữ liệu hoặc một Email, có sử dụng chứng chỉ số, người nhận sẽ kiểm tra ựược thông tin của bạn có bị thay ựổi hay
không. Bất kỳ một sự sửa ựổi hay thay thế nội dung của thông ựiệp gốc ựều sẽ bị phát hiện. địa chỉ mail, tên domain... ựều có thể bị kẻ xấu làm giả ựể ựánh lừa người nhận lây lan virus, ăn cắp thông tin quan trọng. Tuy nhiên , chứng chỉ số thì không thể làm giả, nên việc trao ựổi thông tin có kèm chứng chỉ số luôn ựảm bảo an toàn.
2.6.3 Xác thực
- Khi sử dụng một chứng chỉ số, người nhận Ờ có thể là ựối tác kinh doanh, tổ chức hoặc cơ quan chắnh quyền- sẽ xác ựịnh rõ ựược danh tắnh của bạn. Có nghĩa là dù không nhìn thấy bạn, nhưng qua hệ thống chứng chỉ số mà bạn và người nhận cùng sử dụng, người nhận sẽ biết chắc chắn ựó là bạn chứ không phải ai khác. Xác thực là một tắnh năng rất quan trọng trong việc giao dịch ựiện tử qua mạng, cũng như các thủ tục hành chắnh với cơ quan với cơ quan pháp quyền. Các hoạt ựộng này cần phải xác minh rõ người gửi thông tin ựể sử dụng tư cách pháp nhân. đây chắnh là nền tảng của một chắnh phủ ựiện tử, môi trường cho phép công dân có thể giao tiếp. Có thể nói, chứng chỉ số là một phần không thể thiếu, là phần cốt lõi của chắnh phủ ựiện tử.
2.6.4 Chống chối bỏ nguồn gốc
- Khi sử dụng một chứng chỉ số, bạn phải chịu trách nhiệm hoàn toàn về những thông tin mà chứng chỉ số ựi kèm. Trong trường hợp người gửi chối cãi, phủ nhận một thông tin nào ựó không phải do mình gửi(chẳng hạn qua mạng) chứng chỉ số mà người nhận có ựược sẽ là bằng chứng khẳng ựịnh người gửi là tác giả của thông tin ựó. Trong trường hợp chối bỏ, CA cung cấp chứng chỉ số cho hai bên sẽ chịu trách nhiệm xác minh nguồn gốc thông tin, chứng tỏ nguồn gốc thông tin ựược gửi.
2.6.5 Chữ ký ựiện tử
- Email ựóng vai trò khá quan trọng trong trao ựổi thông tin hàng ngày của chúng ta vì ưu ựiểm nhanh, rẻ và dễ sử dụng. Những thông ựiệp có thể gửi ựi nhanh chóng qua internet ựến khách hàng ựồng nghiệp, nhà cung cấp và ựối tác. Tuy nhiên, email rất dễ bị ựọc bởi các Hacker. Những thông ựiệp có thể bị ựọc hay bị giả mạo trước khi ựến người nhận.
- Bằng việc sử dụng chứng chỉ cá nhân, bạn sẽ ngăn ngừa ựược các nguy cơ này mà vẫn không làm giảm những lợi thể của Email. Với chứng chỉ số cá nhân, bạn có thể tạo thêm một chữ ký ựiện tử vào email như một bằng chứng xác nhận của mình. Chữ ký ựiện tử cũng có tắnh năng xác thực thông tin, toàn vẹn dữ liệu và chống chối bỏ nguồn gốc.
- Ngoài ra, chứng chỉ số cá nhân còn cho phép người dùng có thể chứng thực mình với một web server thông qua giao thức bảo mật SSL. Phương pháp chứng thực dựa trên chứng chỉ số ựược ựánh giá là tốt, an toàn bảo mật hơn phương pháp chứng thực truyền thống dựa trên mật khẩu.
2.6.6 Bảo mật website
- Khi website của bạn sử dụng cho mục ựắch thương mại ựiện tử hay cho những mục ựắch quan trọng khác, những thông tin trao ựổi giữa bạn và khách hàng có thể bị lộ. để tránh nguy cơ này, bạn có thể dùng chứng chỉ số SSL server ựể bảo mật cho Website của mình.
- Chứng chỉ số SSL server sẽ cho phép bạn lập cấu hình website của mình theo giao thức bảo mật SSL(Secure Sockets Layer). Các tắnh năng nổi bật:
Thực hiện mua bán bằng thẻ tắn dụng.
Bảo vệ những thông tin cá nhân nhạy cảm xủa khách hàng
đảm bảo hacker không thể dò tìm ựược mật khẩu.
2.6.7 đảm bảo phần mềm
Chứng chỉ số nhà phát triển phần mềm sẽ cho phép bạn ký vào các applet, script, Java software, ActiveX control, các file ựịnh dạng EXE, CAB, DLL... Như vậy, thông qua chứng chỉ số bạn sẽ ựảm bảo tắnh hợp pháp cũng như nguồn gốc xuất xứ của sản phẩm. Hơn nữa người dùng có thể xác thực ựược bạn là nhà cung cấp, phát hiện ựược sự thay ựổi của chương trình(virus, crack, bản lậu...).
Với những lợi ắch về bảo mật và xác thực, chứng chỉ số hiện ựã ựược sử dụng rộng rãi trên the giới như một công cụ xác minh danh tắnh của các bên trong giao dịch thương mại ựiện tử.
đây là một nền tảng công nghệ mang tắnh tiêu chuẩn trên toàn cầu, mặc dù ở mỗi nước có một số chắnh sách quản lý chứng thực số khác nhau. Mỗi quốc gia ựều cần có những CA bản ựịa ựể chủ ựộng về các hoạt ựộng chứng thực số trong nước.
Nhưng ngoài ra, nếu muốn thực hiện TMđT vượt ra ngoài biên giới, các quốc gia cũng phải tuân theo các chuẩn công nghệ chung, và thực hiện chứng thực chéo, trao ựổi và công nhân các CA của nhau.
2.7Mô hình tin cậy cho PKI
X.509 ựịnh nghĩa sự tin cậy như sau: ỘMột thực thể có thể ựược nói là tin cậy với một thực thể thứ hai nếu nó (thực thể ựầu tiên ) tạo ra sự ựảm bảo rằng thực thể thứ hai sẽ thực hiện chắnh xác như thực thể thứ nhất mong ựợiỢ.
định nghĩa này có thể ựược diễn ựạt lại về mặt PKI như sau: một thực thể cuối tin cậy một CA khi thực thể cuối cho rằng CA sẽ thiết lập và duy trì sự gắn kết các thuộc