5.3.1 Yếu tố về giá cả
Đáng tiếc, để xác định giá thành việc triển khai PKI, không có công thức duy nhất có thể được áp dụng cho tất cả các tổ chức, và rất ít các nguồn trong khu vực công khai cung cấp xác định phẩm chất toàn diện, trung lập đối với nhà cung cấp.
Nhiều tổ chức có thể nâng cao các đầu tư công nghệ thông tin đang tồn tại của họ để giúp cho việc bù đắp triển khai PKI. Điều này áp dụng cho cả cá nhân và cho các thiết bị. Ví dụ, các CA cần phải được đặt trong các thiết bị được bảo vệ sao cho việc truy nhập bởi một cá nhân không được phép có thể được ngăn chặn và tính trách nhiệm có thể được duy trì. Một số tổ chức, đặc biệt là các tổ chức lớn, có thể có các thiết bị kiểu như vậy đã sẵn sàng. Hơn nữa, công chức công nghệ thông tin đang tồn tại có thể được tận dụng để giúp khai thác và vận hành các thành phần mà tạo nên PKI. Rõ ràng, mức độ của đòn bẩy này sẽ có khuynh hướng thay đổi với mỗi tổ chức.
Như đã bàn tới ở các chương trước, dịch vụ kho lưu trữ có mặt khắp nơi cũng là một phần quan trọng của PKI doanh nghiệp qui mô lớn. Việc khai thác các dịch vụ thư mục đã tồn tại là cũng có thể trong nhiều tổ chức. Điều này cho phép PKI tiêu thụ các dịch vụ thư mục mà là một phần đã sẵn sàng của hạ tầng công nghệ thông tin trong công ty đã tồn tại, do đó giảm các chi phí mua và chi phí hoạt động phân phối qua việc sử dụng nhiều thư mục.
Trong trường hợp bất kỳ, một số các xem xét cần phải được đánh giá để giúp xác định Giá tổng cộng của quyền sở hữu trong một tổ chức đã cho, bao gồm:
Có bao nhiêu các thành phần phần cứng, tức là, các RA, các CA, các máy chủ thư mục, ... được yêu cầu để thoả mãn các yêu cầu của cộng đồng sử dụng? Số các thành phần có thể phụ thuộc vào nhiều yếu tố bao gồm qui mô của cộng đồng sử dụng, các xem xét về địa lý, số các vùng tự trị được cấp cho các ban khác nhau hoặc các cộng đồng cùng lợi ích.
Giá của phần mềm và các công cụ hỗ trợ cần thiết? Cả việc mua phần mềm ban đầu và giá bảo hành phần mềm về sau cần được xem xét.
Hạ tầng cơ sở CNTT đang tồn tại của công ty có thể được khai thác đến mức độ nào để hỗ trợ cộng đồng mục tiêu? Ví dụ, một sản phẩm thư mục riêng biệt được yêu cầu hoặc có thể sử dụng dịch vụ thư mục đã có của công ty?
Các yêu cầu về tài nguyên tương ứng với kế hoạch, triển khai, hoạt động, và bảo hành về sau của hạ tầng cơ sở là những gì?
Các yêu cầu về tài nguyên tương ứng với việc xác định các chính sách và các thủ tục cần để hỗ trợ những người sử dụng/tổ chức trong hoặc ngoài?
Các thiết bị cần thiết có sẵng sàng để chứa các thành phần hạ tầng cơ sở; nếu không, cái gì được yêu cầu, nó có giá bao nhiêu?
Các yêu cầu về tính sẵn sàng của các thành phần là gì? Có cần thiết phải dư thừa hoàn toàn đối với các thành phần bất kỳ (ví dụ, các CA)?
Giá thành đào tạo là bao nhiêu? Cái đó áp dụng cho những người quản trị/nhân viên vận hành cũng như những người sử dụng đầu cuối.
Mức độ hỗ trợ quản trị cần yêu cầu là gì (ví dụ, hỗ trợ bàn trợ giúp, các thủ tục đăng ký thực thể đầu cuối, ..)?
PKI được triển khai có tương tác với các PKI khác dựa trên công nghệ của các nhà cung cấp khác hay không? Việc chấp nhận công nghệ dựa trên các chuẩn là cần thiết.
Cái gì được yêu cầu theo thuật ngữ của một học thuyết có liên quan đến luật pháp và chính trị? Việc bảo vệ nghĩa vụ pháp lý là thiết yếu trong nhiều trường hợp, đặc biệt khi tính tương tác được yêu cầu với những người sử dụng bên ngoài hoặc các PKI lĩnh vực khác.
Rút cục, chìa khoá để thành công là kế hoạch đi trước; hiểu nhiều các vấn đề nếu có thể sẽ giúp dẫn đến việc phát triển một chiến lược kinh doanh vững chắc.
5.3.2 Các vấn đề triển khai và quyết định Mô hình tin cậy: thứ bậc hay phân tán ? Mô hình tin cậy: thứ bậc hay phân tán ?
Các triển khai PKI cần phải dựa vào một trong các mô hình tin cậy. Trong thực tế, một số các triển khai doanh nghiệp dựa vào các thứ bậc (ví dụ, Identrus), trong khi có những cái dựa vào mô hình tin cậy phân tán (ví dụ mô hình PKI của Chính phủ Canada)[7].
Tự làm lấy hay đi thuê ?
Tự làm là khi doanh nghiệp quyết định triển khai PKI trong của riêng mình – tận dụng các tài nguyên của họ (bao gồm nhân viên, phần cứng, ...) và/hoặc thuê các tài nguyên bên ngoài để trợ giúp với bất kỳ hoặc tất cả các hoạt động bên trong PKI. Mấu chốt ở đây là PKI ở dưới sự kiểm soát của doanh nghiệp. Đi thuê là khi cơ quan cho phép một bên ở ngoài cung cấp và vận hành một số khía cạnh- có thể tất cả các khía cạnh- của PKI của họ.
Tự phát triển sản phẩm hay là đi mua ?
Lựa chọn “tự phát triển” kéo theo việc cơ quan sẵn sàng đầu tư phát triển công nghệ PKI (ví dụ, trong công nghệ CA và/hoặc RA). Lựa chọn “mua” đơn giản có nghĩa rằng cơ quan sẽ mua các sản phẩm và dịch vụ PKI.
Môi trường đóng là một môi trường ở đó chỉ có các truyền thông ở trong miền là được xem xét tới. Miền có thể là một doanh nghiệp, hoặc một tập các doanh nghiệp, tất cả hoạt động dưới các thủ tục và hạn chế hoạt động và kỹ thuật giống nhau. Môi trường mở là môi trường mà ở đó các truyền thông giữa các miền được đòi hỏi và hỗ trợ.
Khuôn dạng chứng chỉ X.509 hay một khuôn dạng chứng chỉ khác ?
Phục vụ một số ứng dụng hay giải pháp tổng thể ?
Có thể cài đặt nhiều dịch vụ an toàn đã được bàn tới ở chương 2 mà không cần tới lợi ích của PKI. Có các giải pháp điểm thông thường và các đặc trưng an toàn cụ thể thường được đưa ngầm vào trong mỗi ứng dụng. Điều đó có thể là lựa chọn trong một số giới hạn các môi trường, nhưng phần lớn các lĩnh vực qui mô lớn hoặc trung bình không thể chấp nhận việc triển khai nhiều giải pháp điểm.
Dùng giải pháp chuẩn hay giải pháp riêng ?
Giải pháp được gọi là dựa trên các chuẩn khi (1) nó dựa vào các chuẩn công nghiệp được chấp nhận và (2) không có các chi tiết cài đặt duy nhất đưa ra hiểm hoạ đối với tính tương tác với nhà cung cấp công nghệ khác mà cũng dựa trên cùng các chuẩn. Một giải pháp được gọi là riêng khi nó dựa vào các chi tiết cài đặt duy nhất mà sẽ, theo định nghĩa, ngăn cản tính tương tác với các các nhà cung cấp công nghệ khác.
Các hoạt động trực tuyến hay không trực tuyến ?
Hoạt động trực tuyến là tình huống trong đó các thực thể đầu cuối được kết nối trực tiếp với mạng. Thông thường, các thực thể đầu cuối có thể tiêu thụ tất cả các dịch vụ liên quan tới PKI. Hoạt động không trực tuyến cho phép các thực thể đầu cuối tiêu thụ ít nhất một tập con của các dịch vụ PKI, mặc dù chúng không được nối trực tiếp với mạng.
Hỗ trợ ngoại vi
Cần xác định xem có một module phần cứng mật mã được yêu cầu tương ứng với hoạt động của CA hay không. Hơn nữa, các token cứng hoặc smart-card cũng có thể cho người sử dụng đầu cuối.
Các yêu cầu về thiết bị
Các thành phần nhạy cảm của PKI (nhất là CA) cần phải đuợc bảo vệ đủ mức.
Các yêu cầu về nhân viên
Các dạng nhân viên có trình độ cao có thể được yêu cầu, bao gồm: những sĩ quan an ninh (security officers) chịu trách nhiệm để bắt buộc các chính sách an toàn được ra lệnh bởi doanh nghiệp, những người vận hành (operators) thực hiện các cài đặt hệ thống, sao lưu, khởi động lại, ...những người quản trị (administrators) thực hiện các thao tác hàng ngày chẳng hạn như đăng ký thực thể đầu cuối.
Thực thể cuối di động
Nhiều tổ chức có yêu cầu hỗ trợ những nhân viên trong khi đi công tác hay các nhân viên người mà hay dịch chuyển từ nơi này tới nơi khác trong một ngày làm việc.
Huỷ bỏ chứng chỉ
Có thể áp dụng một số kỹ thuật huỷ bỏ chứng chỉ khác nhau.
Khôi phục khoá
Có thể cài đặt thiết bị khôi phục khoá như là một phần của CA hoặc cài đặt thành phần khôi phục khoá riêng biệt. Thông tin về khôi phục khoá có thể tìm thấy ở trang web http://csrc.nist.gov/keyrecovery/
Các vấn đề về kho lƣu trữ
Một số các tuỳ chọn có thể được cài đặt để phát tán các chứng chỉ thực thể đầu cuối, thông tin huỷ bỏ, và các thông tin khác liên quan tới PKI chẳng hạn như thông tin chính sách.
Phòng ngừa và khôi phục tai họa
Mặc dù việc lập kế hoạch cẩn thận và cài đặt các thành phần dư thừa có thể cực tiểu hoá mạo hiểm tương ứng với nhiều nguồn gốc rủi ro, việc xem xét các kịch bản trường hợp tồi nhất và đảm bảo rằng các kế hoạch bất ngờ có thể tốt nhất có sẵn là quan trọng.
Một số các tiêu chuẩn có thể được sử dụng để đo mức tin cậy mà cần tương ứng với một sản phẩm đã cho. Ví dụ, FIPS 140-1 thiết lập tiêu chuẩn để đánh giá các modules mật mã, và nhiều phòng thí nghiệm độc lập đã chấp nhận thực hiện các đánh giá của FIPS 140-1.
Chƣơng 6 - XÂY DỰNG HỆ THỐNG CUNG CẤP CHỨNG CHỈ SỐ
6.1 Mục đích
Công ty Dịch vụ viễn thông (Vinaphone) là một trong những công ty lớn cung cấp dịch vụ di động và dịch vụ điện thoại thẻ. Chỉ cần một bộ phận nhỏ thiếu an toàn cũng sẽ gây ảnh hưởng lớn tới toàn hệ thống. Việc đảm bảo thông tin tin cậy và bí mật là một yêu cầu tất yếu trong trao đổi thông tin giữa lãnh đạo, nhân viên và đối tác với nhau.
Các chương trên đã trình bày kiến trúc, mô hình và chức năng các thành phần trong hệ thống PKI. Trong chương này, tôi xin được phân tích, xây dựng hệ thống cung cấp chứng chỉ số VnpCert ứng dụng tại Công ty Dịch Vụ Viễn Thông (Vinaphone), đưa ra qui trình đăng ký cấp phát và thu hồi chứng chỉ của hệ thống, sử dụng chứng chỉ được cấp với dịch vụ Web, Mail, Vpn. Hệ thống này phục vụ cho đối tượng người dùng là ban lãnh đạo, các nhân viên trong công ty và các đối tác làm việc với công ty. Ban lãnh đạo, nhân viên trong công ty và các đối tác thường xuyên gửi mail để trao đổi công việc. Khi người gửi gửi mail người gửi cần ký và mã hoá nội dung thư để người nhận được dự định tin tưởng người gửi là ai, đồng thời chỉ người nhận được dự định mới đọc được nội dung thư. Hiện tại công ty Vinaphone có một số trang Web có nội dung liên quan tới thông tin cá nhân của người sử dụng dịch vụ di động như cước sử dụng, lịch sử cuộc gọi, vị trí, nội dung tin nhắn…Do đó server yêu cầu client phải có chứng chỉ thì mới truy cập được, và server sẽ phân quyền cho client. Khi nhân viên đi công tác hay ngồi tại nhà có thể làm việc như đang ngồi tại công ty thông qua Vpn, chứng chỉ được sử dụng để xác thực người dùng với Vpn Server, và mã hoá những dữ liệu truyền đi để đảm bảo an toàn.
6.2 Tổng quan về hệ thống 6.2.1 Mô hình hệ thống 6.2.1 Mô hình hệ thống
thống cung cấp chứng chỉ số VnpCert là cây phân cấp hai tầng, tại đỉnh của cây phân cấp là một RootCA, nó hành động như gốc của tin cậy, cho toàn miền của các thực thể PKI ở dưới nó. Dưới RootCA là các CA trung gian (SubCA, CA cấp dưới). Các lá tương ứng với các thực thể PKI mà không phải là CA, được gọi là người sử dụng đầu cuối. RootCA là điểm xuất phát cho tin cậy, tất cả các thực thể trong PKI (người sử dụng đầu cuối, các CA trung gian) giữ khoá công khai của RootCA như mỏ neo tin cậy của họ, điểm xuất phát hoặc điểm kết thúc của tin cậy cho tất cả các quyết định xác nhận chứng chỉ.
Trong mô hình này, tất cả các thực thể trong thứ bậc tin cậy một CA gốc (RootCA) duy nhất. Thứ bậc được thiết lập như sau:
RootCA được thiết lập và tự phát hành (hoặc tự ký) chứng chỉ gốc được thiết lập như là cơ sở của tin cậy cho tất cả các thực thể thuộc hệ thống.
RootCA chứng thực (tức là, tạo ra và ký các chứng chỉ cho) SubCA bên dưới nó
Mỗi SubCA lại chứng thực cho người dùng đầu cuối
Mỗi thực thể đầu cuối trong thứ bậc (cả CA trung gian(SubCA) và các lá
không là CA) cần phải được cung cấp một bản sao của khoá công khai của RootCA. Một người dùng, A, giữ một bản sao tin cậy của khoá công khai của RootCA, có thể kiểm tra chứng chỉ của một người dùng khác, B, theo cách sau. Giả sử chứng chỉ của B được ký bởi SubCA3, chứng chỉ của SubCA3 lại được ký bởi RootCA. A (với khoá công khai của gốc là kR) có thể kiểm tra chứng chỉ của SubCA3, và do đó trích bản sao tin cậy của khoá công khai của SubCA3 là k3. Sau đó, khóa này có thể được sử dụng để kiểm tra chứng chỉ của B, dẫn tới bản sao khoá công khai của B là kB. Bây giờ A có thể sử dụng khoá mong muốn kB, để mã các thông báo cho B hoặc để kiểm tra các chữ ký số mà B đã tạo ra. Tức là, bằng cách tuân theo thủ tục như đã được chỉ ra ở trên, các cuộc liên lạc an toàn giữa A và B được thiết lập.
Hình 6.1: Mô hình VnpCert phân cấp hai tầng Hình 6.2: CA và các thành phần liên kết với CA RAO RA CA DS Root CA SubCA3 SubCA2 SubCA1 A B
6.2.2 Các thành phần của hệ thống VnpCert
Hệ thống cung cấp chứng chỉ số bao gồm CA, RA, RAO
CA
Tạo các cặp khoá và lưu giữ các cặp khoá (đặc biệt có khoá bí mật).
Tạo các chứng chỉ, ký vào chứng chỉ.
Tạo các CRLs.
Công bố các chứng chỉ và CRLs tới thư mục LDAP/X.500.
Duy trì an toàn CSDL đã được ký đầy đủ.
Quản lý các quyền của các thực thể PKI (CA, RA, RAO) gắn với nó. RA được kết nối với CA. RAO được gắn với một RA đơn.
CA quản lý chính sách chứng chỉ.
Thu hồi khoá và tokens.
RA
Phê duyệt các yêu cầu cấp chứng chỉ và huỷ bỏ chứng chỉ trong đó có xác minh ID của từng user
RA duy trì một CSDL đăng ký cho tất cả các thực thể có chứng chỉ phát hành qua nó.
RA nắm giữ chi tiết chính sách chứng chỉ được truyền bởi CA. Nó cũng ghi lại những chính sách chứng chỉ nào được truyền cho RAO.
RAO
Nhập dữ liệu đăng ký của người sử dùng.
Tải chứng chỉ xuống, cấp cho người dùng và in giấy chứng nhận cấp chứng chỉ
Cập nhật lại danh sách các chứng chỉ đã huỷ bỏ, in giấy chứng nhận chứng chỉ hết hiệu lực cho người dùng.
6.2.3 Một số đặc tính của hệ thống cung cấp chứng chỉ số
Tách riêng các chức năng cấp chứng chỉ (CA), đăng ký cấp chứng chỉ (RA), phục vụ cấp chứng chỉ (RAO).
Cho phép tại một trung tâm cấp chứng chỉ (RAO), cùng một lúc phục vụ nhiều người.
Cho phép phối hợp nhiều đơn vị trong việc triển khai dịch vụ.
Cấp chứng chỉ có thời hạn và cho phép huỷ bỏ chứng chỉ (trước thời hạn)
Khuôn dạng của chứng chỉ: