I Phân loại an toàn máy tính
9.3Các chứng chỉ thuộc tính đặc quyền
8. Cặp khoá và các thời hạn hợp lệ của chửhg ch ỉ ’
9.3Các chứng chỉ thuộc tính đặc quyền
Khái niệm “phân tán thông tin uỷ quyền được chứng thực” đã được sử Jụng lừ những đầu năm 1990 trong một môi trường hơi khác một chút. Trong nôi trường này, các nhà cung cấp phân tán tính toán theo mô hình Client- Sci-ver. Hình thức phân tán thông tin uỷ quyền này được ECMA xây dựng đẩu iôn, sau đó nó bị ảnh hưởng gần như hoàn toàn vào các thiết k ế hộ thống của 3SF, OSF/DCE và dự án SESAME.
Hình thức này giải quyết vấn đề sau: một người sử dụng máy tính tương ác truy nhập vào các phương tiện của nhiều hệ thống máy chủ, do các hệ hống này hô trợ nhiều ứng dụng cần thiết. Các tổ chức khác nhau điều hành ;ác hệ ihống máy chủ này. Cấu hình được minh hoạ trong hình HCA10. Viôc lác thực sử dụng kỹ thuật xác thực Client-Server, ví dụ cơ chế Kerberos. Cơ :hế này như sau : Client tiến hành Irao đổi trực tuyến với một máy chủ xác hực. Sau khi xác thực (hoặc cùng kết hợp xác thực), Client tiến hành trao đổi rực tuyến với một máy chủ Ihuộc tính đặc quyền (PAserver) để có được một
C l i e n t thay mặl cho người sử dụng Iruy nhập vào các máy chủ này. Máy chủ ứng dụng đích sử dụng PAC đổ ra các quyết định như : người sử dụng cỏ yêu cẩu - có thể truy nhập vào các lài nguyên nào và các dạng truy nhập nào được phép.
Hu man
U ser
Hình HCA10. Kiểm soái truy nhập rà xác thực Clienl-Server của ECMA
PAC là mộl cấu trúc dữ liệu, cấu Irúc này được một máy chủ tin cây sinh ra Irong tlomain của người sử dụng, nó gắn thông tin đặc quyền (hoặc uỷ quyền) vào trong nhận dạng của người sử dụng này hoặc phiên đăng nhập, theo một dạng cỏ thể được chứng thực thông qua các máy chủ đích mà người sử dụng muốn truy nhập vào. Thông lin đặc quyền đầu tiên liôn quan đốn việc kiổrn tra người sử dụng có thể là một thành viên trong một nhóm riêng biệt (ví dụ, mội thành viên trong nhóm lái thiết k ế các hệ thống quản trị của công ly Ihép Sharon), hoặc có m ột vai Irò riêng (ví dụ, một người của công ly thép Sharon được uỷ quyền ký). Mô hình này có thể được mở rộng ra nhiều mô hình uỷ quyền khác, ví dụ như : các mức thông tin an loàn kiểu quân sự.
Một PAC được bảo vệ, cho nên một máy chủ đích khi nhận được PAC có thể tin lương rằng chứng chỉ :
■ được lạo ra íừ một nguồn chính xác;
■ không bị sửa đổi trong quá trình phân phối;
■ không bị mộl đối tưựng nào khác xem xét Irừ người nắm giữ hựp lệ. Trong các môi trường này, các thiết k ế ban đầu đều sử dụng mật mã đối xứng. Trong các phát triển mới đây, các kỹ thuật khoá công khai và chữ ký số đã đưực giới thiệu từng bước và người la có thổ nhận thức được: một PAC là
một cấu trúc được ký số, cấu Irúc này gắn các thông tin đặc quyền vào mộl nhạn dạng. Do vây, sự tương thích giữa các PAC và các chứng chỉ thuộc tính hưởng xác Ihực (được ANSI 19 phái triển) ngày càng tăng.
9.4 Cơ sở hạ tầng an toàn được phân tán đơn giản
Vào năm 1996, Ron Rivest và Butler Lampson đưa ra một đề xuâì dành cho việc thiết k ế chứng chỉ khoá công khai, được gọi là cơ sở hạ tầng an toàn được phân tán đưn giản (S D S I). Giải pháp SDSI không nhất trí với sự phức tạp ngày càng nhiều của X.509 - cần đơn giản hưn để có thể đáp ứng nhiều môi trường ứng dụng. SDSỈ định nghTa mộl tập hựp nhỏ chức năng của X.509. Nỏ bỏ qua một số đặc tính phức lạp của X.509, ví dụ như : các chính sách của chứng chỉ, các hắt buộc và quản lý vòng đời của khoá, m ột môi trường ứng dụng đơn giản hơn có thổ thực hiện mà không cần các đặc tính này. Nó cũng sử dụng một cách biểu diễn và cú pháp mã đơn giản hơn ký hiệu ASN.l (được sử dụng trong X.509).
SDSI cũng định rõ một cách sắp xếp cấu trúc lên riêng biệt, dựa vào các không gian tên cục hộ được liên kết với nhau. Ví dụ, Công ty ch ế tạo máy của Danielle có thể gán lên cho tấl cả những người làm công của công ty, ví dụ với một tên là Ali. Tổ chức khác (lổ chức này công nhân công ty Danielle là một ihực thể duy nhấl và tin tưởng rằng công ty Danielle đã gán các tên duy nhất cho tất cả những người làm công của Danielle) có thể nhận ra A li Ihông qua một tên rõ ràng là D anielle’s Ali. Mình thức này có thể được sử dụng một cách đệ quy để xay dựng các lên rõ làng Iheo ngữ cảnh mà chúng được sử dụng, không cần phải sử dụng đến cấu trúc tên có thứ bậc (đã đưực trình bày ở
I r ô n ) .
Dựa vào X.509, SDSI cũng giải quyết phát hành uỷ quyền bằng cách cung cấp các định nghĩa về một số kiểu chứng chí uỷ quyền đơn giản. Ví dụ, một chứng chỉ của SDSỈ có thể chứa một định nghĩa của một nhóm cá nhân. Chứng chỉ gán một tên cho nhóm, tên này có thể được sử dụng trong các danh sách kiểm soái truy nhập vào các tài nguyên. SDSI cũng định nghĩa m ột chứng chỉ uỷ quyền, chứng chỉ này cho phép cho một thành viên ký các tuyên bố về các kiổu xác định - thay mặt người uỷ quyền.
9.5 Cơ sở hạ tầng khoá công khai đơn giản
M ột lược đồ chứng chỉ xác thực khác được phát triển trong IETF, trong m ộl nhóm được gọi là nhóm cơ sở hạ tầng khoá cồng khai đơn giản (S P K l). Giải pháp SPKI là còn rất mới, trong đó một chứng chỉ SPKI cho phép xác định các uỷ quyổn, hoặc các đặc quyền đối với mộl khoá công khai mà không yêu cầu nhận dạng gắn với mộl người hoặc một thực Ihể nắm giữ khoá riêng tương ứng. Ví dụ, một chứng chỉ SPKỈ có thể cho phép một khoá cộng khai xác thực các đăng nhập Internet bằng cách sử dụng giao thức Telnet với một
lên người sử dụng riêng biệt - vào một máy chủ được chọn trong một khoảng thời gian xác định.
Giống như SDSI, SPKỈ cũng xúc liến viôc thiết lập “đơn giản” cùa nó hằng cách chấp nhận một lưực đổ mã dữ liệu nghèo nàn và chi phí thiếl lập lliấp hơn so với ký hiệu ASN. ỉ (được sử dụng Irong X.509).
Giải pháp SPKI có một khả năng cần đưực quan tâm, đặc biệt khi nó đưực sử dụng cho việc bảo vệ Iruy nhập vào các nguồn lài nguyên. Tuy nhiên, hiện nay người ta đặt ra một số câu hỏi nhưng chưa trả lời được về các giới hạn của việc đảm hảo trách nhiệm và khả năng kiểm toán trong các môi trường thương mại điện tử mở.
10. Tóm lại
Khi mộl khoá công khai đưực sử dụng Uong việc m ã hoá thông báo, hoặc để kidm tra chữ ký số, viôc sử dụng này mang tính thiết yếu bởi vì nổ có thể đảm bảo cho người sử dụng khoá công khai rằng: khoá công khai mà họ sử dụng đúng là khoá công khai của người nhận thông háo từ xa hoặc từ người ký. Mộl chứng chỉ khoá công khai là một cấu trúc dữ liệu, nó liên kết một giá trị khoá cồng khai với một người, thiết bị hoặc thực thể khác một cách an loàn. Chứng chỉ đưực một CA ký số và nó chứng llìựe nhân dạng của chủ thể.
Với các đường dẫn chứng thực, các chứng chỉ được sử dụng để chứng thực dần dẩn các giá trị khoá công khai của các CA, sau đó mới đến các khoá công khai của các thực thể cuối. Do vậy, mộl hệ thống chứng chỉ cho phép một người sử dụng khoá công khai thu được các khoá công khai của một số lượng lớn các thành viên khác m ột cách đáng tin cậy, mà chỉ cần biếl các thông tin vồ khoa công khai của một CA.
Hệ thống chứng chỉ phụ thuộc vào khoá riêng lương ứng với khoá công khai (khoá công khai này được chứng ihực và đưực bảo vệ bằng cách chỉ cho phép chủ thổ của chứng chỉ đã đưực xác thực sử dụng klioá này). Tương tự, một thực thể cuối nên sử dụng các cặp khoá khác nhau cho các mục đích mã hoá và chữ ký số.
Khi muốn có inộl chứng chí, một người hoặc một thực ihể hựp pháp khác cần đăng ký với một CA và yêu cầu pliál hành mội chứng chỉ. Việc phát hành chứng chí có thể sử dụng các ihủ tục trực luyến nhưng sẽ phải cần đến các ihay đổi ngoại tuyến, ví dụ như : việc truyền thông các thông tin xác Ihực hoặc một mậl khẩu bí mâl. Viổc chứng thực nhân dạng có thổ yêu cẩu sự hiên diện cá nhân, hoặc các tài liệu nhận dạng (đưực trình bày trong mục II 1.3). Một CƯ quan đăng ký địa phương là một người hoặc lổ chức có thể cung c ấ p hỗ trợ cục bộ cho các thuê bao của CA. Các chứng chỉ đưực phân tán cho những người sử dụng cuối Ihông qua các dịch vụ Ihư mục, các máy chủ hoặc các kho chứa, hoặc đưực gắn vào các mục dữ liệu đưực ký số.
chỉ X .509 có 3 phiên bản; Phiên bản 3 (được hoàn thành năm 1996) giới thiệu nhiều đặc tính mới và tuỳ chọn. Khi các phiên bản trước chỉ hồ trợ hệ thống tên X.500, phiên bản 3 hỗ trự nhiều dạng lên khác nhau, ví dụ như địa chỉ thư tín điên tử và các URL. Phiên bản 3 cung cấp các Irường mở rộng cho chứng chỉ, bao gồm các trường mở rộng chuẩn và các trường mở lộng được định nghĩa riêng hoặc dành cho một cộng đồng nào đó. Các trường mở rộng chuẩn được định nghĩa cho nhiều mục đích khác nhau, bao gồm thông tin về chính sách và khoá, các thuộc tính của chủ thể và người phát hành, các bắt buộc đối với đường dãn chứng thực.
Một chứng chỉ được phái hành trong một khoảng thời gian định trưức và nó chỉ hợp lệ trong khoảng thời gian đổ. Tuy nhiên, trong một số trường hợp, ví dụ như xảy ra thoả hiệp khoá riêng lương ứng, chứng chỉ cẩn bị thu hổi. Giải pháp thông háo huỷ bỏ phổ hiến nhất như sau : CA ký lên một CRL (đây là mộl danh sách các chứng chỉ bị Ihu hồi, danh sách này được gán nhãn thời gian) và phát hành CRL một cách định kỳ. Các giải pháp thông báo huỷ bỏ khác cũng có thể đưực sử dụng, ví dụ như : truyền thông trực tiếp với một máy chủ tin cậy để xác thực tình Irạng hiện thời của một chứng chỉ.
Trong chuẩn X.509 có định nghĩa một khuôn dạng CRL chuẩn. Khuôn dạng C RL chuẩn (có trong phiên bản 2 của CRL) có cơ chế trường mở rộng giống với cơ chế m ở rộng trong khuôn dạng chứng chỉ X.509 của phiên bản 3 và nó cũng có các trường mở lông chuẩn, các trường này tương thích với các trường mở rộng chuẩn của chứng chỉ X.509 trong phiên bản 3. CRL chuẩn này thông báo về tình trạng thu hổi lạm thời (treo), hoặc thu hồi vinh viễn của một chứng chỉ.
Việc phân tán các thông tin uỷ quyền là một yêu cầu khác với yêu cầu gắn kết mộl khoá công khai vào một nhận dạng, nhưng yêu cầu này cũng có lliổ ihoả mãn bàng cách sử dung các chứng chỉ. Một cư quan được công nhân có thể phát hành một chứng chỉ, tuyên bố ràng một người riêng biêt hoãc một đối lượng nào đó nắm giữ quyền hoặc đặc quyền riêng. Như một sự lựa chọn, các đặc quyền hoặc quyền có Ihể được liên kết trực tiếp với một khoá công khai, không cần nhận dạng người hoặc đối tượng được liên kết. Các cách khác đổ nhận ra các chứng chỉ uỷ quyền hao gồm: các thích ứng của các chứng chỉ X.509 có Irong phiên bản 3, các chứng chí thuộc tính (đưực ANSI định nghĩa), các chứng chỉ thuộc tính đặc quyền (PAC - được ECM A định nghía), giải pháp (adsbygoogle = window.adsbygoogle || []).push({});
cư sở hạ lầng an toàn được phân tán đơn giản (SDSI) và giải pháp cơ hạ tầng khoá công khai đơn giản (SPKI).
CHƯƠNG 4
C ơ SỞ HẠ TẨNG KHOÁ CÔNG KHAI
Cư sở hạ lẩng khoá công khai (PK1) bao gồm nhiều dịch vụ hỗ trợ. Các dịch vụ hỗ trợ này rất cần thiết khi các kỹ thuậl khoá công khai được sử dụng trên phạm vi rộng. Các cơ quan chứng thực (CA) và các phương tiện quản lý chứng chỉ lạo thành hạt nhân của các CƯ sỏ hạ tầng khoá công khai. Tuy nhiên, khi chúng la cố gắng áp dụng các khái niệm quản lý chứng chỉ này vào trong môi Iniừng thực, đặc biệt Irong các môi Irường có nhiều tổ chức và các cộng đổng khác nhau, chúng cần làm việc với nhau theo các cách thức phức tạp, nảy sinh nhiều vấn đề nhạy cảm và cần được quan tâm. Nhiều ứng dụng hỗ trợ khác nhau (mang tính kỹ thuậl và hợp pháp) cần được sử dụng để khai thác một cách có hiệu quả các kỹ ihuạt khoá công khai. Trong phần này chúng ta tìm hiểu m ột số vấn đề trong việc xây dựng các PKI, trong đó các PKI này hỗ trợ mội số lưựng lớn những người sử dụng khác nhau. Các mục được trình bày bao gồm: các cách để xây dựng cấu trúc quan hệ giữa các CA, các cách đổ kết hợp các chính sách và các hoạt động chứng thực khác nhau cùng với các khái niệm về đường dẫn chứng thực và các làng buộc đối với lên, các cách để tìm và phê chuẩn các đường dẫn chứng Ihực và các giao thức quản lý chứng chỉ. Chúng ta có thể lìm hiểu các hoạt động gần đây nhằm ban hành hợp pháp các PKI - hỗ trợ các chữ ký số trong các giao dịch kinh doanh của chính phủ và thương mại. Chúng ta quan tâm đến hai trường hợp PKI là: cơ sở hạ tầng SET của M aslerCard/Visa được dùng trong các ihanh toán sử dụng ihẻ ngân hàng trên Internet và cơ sở hạ tầng của Bộ quốc phòng Mỹ dùng trong gửi tin điện lử (MISSI).
1. Các yêu cầu
Các PKI rất cần thiết cho sự tồn tại của thưưng mại điện tử Irong phạm vi rộng. Tuy nhiên, chi phí cho chúng lất lớn và rất dẻ xảy ra rủi ro khi triển khai và điều hành, việc phát Iriển chúng gặp mộl sô trở ngại. Khi thiết k ế mộl PKI cần tuân Iheo m ột số yêu cầu như sau:
(a )K h ả năng m ở rộng (Scalabiỉity): Các PKI cần có khả năng m ở lộng. Điều cốt yếu của khả năng m ở rộng là đảm bảo tính kinh tế trong triển khai và điều hành, tối giản các vấn đề trong đó người sử dụng cuối có dược sự tiện lợi và an toàn, hằng cách công nhận một tập hợp các giấy
uỷ n h i ệ m của những người s ử dụng nhằm h ỗ irự cho việc truyền Ihòng với các thành viên từ xa khác nhau.
(b)H ỗ trợ cho nhiều ứng dụng (Support for mulliple applications): Vì các lý do của người sử dụng cuối (ví dụ như: sự liên lợi, an toàn và tính kinh tế), các cơ sử hạ tầng nên hỗ Irự nhiều ứng dụng. Ví dụ, một người sử dụng Inlem el có thể đăng ký với một nhà cung cấp PKI trên Internet và có thể có đưực các dịch vụ dành cho ihư lín điện tử, truy nhập W eb và truyền file.
(c )K h ả năng liên vận hành của các cơ sở hạ lầng được quản trị riêng lẻ (ỉnteroperability o f separately administered iníraslructure): Để có mộl cơ sử hạ tầng ở khắp mọi nơi và cư sử hạ tầng này đưực điều hành Ihông qua mội quản lý đơn lẻ - là điều khổng thực lế. Tuy nhiên, khả năng liên vận hành của các cơ sở hạ lầng (ví dụ, à tại mộl số nước khác nhau hoặc được điều hành thông qua các quản lý khác nhau Irong một nước) có thổ Ihực hiện được và phụ thuộc vào yôu cầu (a).
(d )H ỗ trự nhiều chính sách (Supporl for mulliple policies): Các đường dẫn chứng thực Ihích hợp với một ứng dụng, khổng nhất thiết phải thích hựp với ứng dụng khác. (Ví dụ, tỏi có thể lin cậy một CA trong việc chứng Ihực các máy chủ W eb Ihưưng mại, nhờ chúng - tôi có ihể tiến hành các giao dịch kinh doanh giá trị thấp, nhưng tôi không thể giao phó cho CA này các thông tin mà có thể làm lộ các bí mật kinh doanh của tôi). Do vậy, đổ ihoả mãn các yêu cầu (a) và (b), cần kếl hợp các chính sách khác