1. Quản lý vòng đời của khóa -Key Lifecycle Management
Thông thƣờng việc quản lý khóa đƣợc CA thực hiện thông qua việc quản lý chứng thƣ. Vòng đời thực của một khóa phụ thuộc vào việc nó đƣợc sử dụng cho mục đích mã hóa đảm bảo tính bí mật hay cho mục đích ký. PKI phải hỗ trợ các chức năng quản lý khóa sau.
Sinh khóa
Quá trình sinh khóa đƣợc thực hiện nhƣ thế nào tùy thuộc vào chính sách của từng hệ thống PKI. Các khóa đƣợc sinh ra phải đƣợc đảm bảo về chất lƣợng, tính duy nhất, tính bí mật, và có khả năng phục hồi. Việc sinh một cặp khóa thƣờng đi kèm với việc phát hành một chứng thƣ cho cặp khóa đó. Các chính sách an ninh của các ứng dụng có thể áp đặt các qui định riêng đối với các cặp khóa. Tuy nhiên có một yêu cầu thiết yếu cho tất cả các hệ thống đảm bảo an ninh là tất cả các khóa bí mật chỉ nên đƣợc biết bởi ngƣời sở hữu chúng.
Tùy thuộc vào cơ sở hạ tầng và các chính sách của các CA mà các cặp khóa có thể đƣợc sinh ra theo một trong ba cách sau:
a) Ngƣời sử dụng tự sinh cặp khóa của mình. Phƣơng pháp này có ƣu điểm là khóa bí mật của ngƣời sử dụng không bao giờ bị biết đến bởi ngƣời khác nhƣng lại yêu cầu một mức độ năng lực nào đó từ ngƣời sử dụng.
b)Cặp khóa đƣợc tính toán bởi một bên thứ ba. Bên thứ ba này gửi khóa bí mật cho ngƣời sử dụng theo một con đƣờng tin cậy sau đó xóa bỏ hết các thông tin liên quan trong quá trình sinh khóa, bao gồm cả khóa bí mật. Trong trƣờng hợp này các thiết bị an ninh (vật lý) phù hợp nên đƣợc sử dụng để đảm bảo rằng bên thứ ba và quá trình thao tác dữ liệu an toàn.
c) Cặp khóa đƣợc tính toán bởi CA, đây là một trƣờng hợp riêng của b).
Các hệ thống mã hóa khác nhau cũng có các qui định riêng cho việc sinh cặp khóa.
Phân phối, thu hồi, treo, chống chối bỏ và lưu trữ khóa
Thông thƣờng, các chức năng quản lý khóa này đƣợc đồng nhất với các chức năng quản lý chứng thƣ và đƣợc thực hiện bởi các CA. Tuy nhiên, trong nhiều trƣờng hợp khóa và chứng thƣ lại có các yêu cầu đƣợc quản lý khác nhau, ví dụ nhƣ, một cặp khóa có thể đƣợc sử dụng trong nhiều chứng thƣ khác nhau (trƣờng hợp cấp lại chứng thƣ). Chính vì vậy, PKI phải hỗ trợ đƣợc các chức năng sau:
Phân phối khóa thông qua các thiết bị lƣu trữ và dịch vụ thƣ mục thích hợp. Cung cấp cho các CA khả năng thu hồi, đình chỉ việc sử dụng các chứng thƣ và các khóa cá nhân dựa vào các chính sách.
Cho phép ngƣời sử dụng yêu cầu thu hồi và đình chỉ khóa công khai của chính mình.
Cho phép ngƣời sử dụng tiếp cận với thông tin về các khóa/chứng thƣ hết hạn, bị thu hồi, hay đình chỉ.
Cho phép lƣu trữ và phục hồi các chứng thƣ để hỗ trợ phục hồi và kiểm tra các dữ liệu sau thời gian dài.
Phục hồi khóa
Một hệ thống PKI phải có chức năng phục hồi khóa bao gồm cả các chính sách bảo vệ và phục hồi khóa bằng một trung tâm lƣu trữ các khóa. Trung tâm phục hồi khóa phải có khả năng kiểm tra tính hợp pháp của khóa đƣợc đƣa đến để lƣu trữ. Một ngƣời sử dụng cũng có thể kiểm tra kho lƣu trữ khóa phục hồi xem liệu nó có phải là một kho hợp pháp hay không.
2. Quản lý chứng thư
Trƣớc tiên chúng ta sẽ tìm hiểu khái niệm chứng thƣ số.
Khái niệm chứng thƣ số
Chứng thƣ số là một “chứng nhận” khóa công khai của thực thể nào đó. Nó bao gồm khoá công khai của thực thể và các thông tin định danh của thực thể. Hai thành phần này gắn kết với nhau thông qua chữ ký của nhà phát hành chứng thư.
Hình 2-2. Mô hình chứng thƣ số
Chứng thƣ số hay còn đƣợc gọi là chứng thƣ khóa công khai, ID số, hay đơn giản là chứng thƣ. Ở luận văn này chúng ta sử dụng từ "chứng thƣ số" để chỉ khái niệm phía trên đã trình bày.
Một chứng thƣ số tƣơng tự nhƣ một chiếc bằng lái xe. Mỗi chiếc bằng lái gồm ảnh của ngƣời sở hữu với các thông tin định danh của ngƣời đó ( nhƣ tên, địa chỉ, chữ ký...). Hai thông tin này đƣợc xác thực có mối quan hệ với nhau thông qua con dấu của cơ quan phát hành bằng lái. Thông qua con dấu của cơ quan phát hành bằng lái mà bất kỳ ai cũng biết đƣợc đối tƣợng sở hữu nó có đủ khả năng để vận hành một chiếc xe.
Thông tin định danh của thực
thể Khóa công khai
của thực thể Chữ ký của nhà phát hành chứng thƣ Thuật toán ký Khóa bí mật của nhà phát hành chứng thƣ
Chứng thƣ số cũng thế. Nó đảm bảo một cách chính xác đối tƣợng với những thông tin định danh tƣờng minh trên, nó sở hữu một khoá bí mật tƣơng ứng. Dựa vào điều kiện trên mà đối tƣợng có thể truy cập vào các hệ thống xác thực, hoặc thực hiện các kết nối an toàn.
Chứng thƣ số chỉ có ý nghĩa khi nó đựơc ký bởi nhà phát hành chứng thƣ. Bởi nếu không có chữ ký của nhà phát hành chứng thƣ thì không có mối liên hệ giữa khoá công khai của thực thể và thông tin định danh; đồng nghĩa chứng thƣ số vô giá trị. Nhƣ vậy chứng thƣ số phải tồn tại trong một hệ thống mà ở đó nhà phát hành chứng thƣ là một nhân tố quan trọng. Mặt khác chứng thƣ cũng có thời gian sử dụng nhất định nên nó cần đƣợc thu hồi khi cần thiết và trạng thái thu hồi của chứng thƣ cũng phải đƣợc công bố rộng rãi cho toàn bộ hệ thống thông qua danh sách thu hồi chứng thƣ.
Ngoài khóa công khai, một chứng thƣ số còn chứa thêm thông tin về đối tƣợng mà nó nhận diện, hạn dùng, tên của CA cấp chứng thƣ số, số serial,...
Khi một ngƣời (ngƣời gửi) thông báo muốn sử dụng phƣơng pháp mã hóa khóa
công khai để mã hóa một thông điệp và gửi cho ngƣời nhận, ngƣời gửi cần một bản
sao khóa công khai của ngƣời nhận. Khi một thành viên bất kỳ muốn kiểm tra chữ ký
số - chữ ký số này đƣợc thành viên khác sinh ra, thành viên kiểm tra cần một bản sao
khóa công khai của thành viên ký. Chúng ta gọi cả hai thành viên mã hóa thông điệp
và thành viên kiểm tra chữ ký số là những ngƣời sử dụng khóa công khai. Các chứng
thƣ khóa công khai giúp cho việc phân phối khóa công khai trở nên có hệ thống.
Nếu ngƣời sử dụng khóa công khai cần khóa công khai của một trong các thuê bao của CA, ngƣời đó có thể lấy một bản sao chứng thƣ của thuê bao, lấy ra giá trị khóa công khai, kiểm tra chữ ký của CA có trên chứng thƣ hay không bằng cách sử dụng khóa công khai của CA.
Phân loại chứng thƣ số
Chứng thƣ số không mang tính chất đa năng, cũng tƣơng tự nhƣ việc một ngƣời có bằng lái xe máy, không đồng nghĩa với việc anh ta có thể lái đƣợc ô tô. Mỗi chứng thƣ số chỉ có tác dụng trong một phạm vi xác định. Dựa vào mục đích sử dụng ngƣời ta chia chứng thƣ số ra làm các loại sau:
Cá nhân: Sử dụng bởi một con ngƣời cụ thể. Chứng thƣ loại này đƣợc sử dụng chủ yếu cho mục đích đảm bảo an toàn trong các kết nối với môi trƣờng internet nhƣ bảo vệ mail, hay các giao dịch web.
Tổ chức: Đây là loại chứng thƣ sử dụng cho mục đích xác thực là chính. Trong các tổ chức, công ty sử dụng công nghệ chứng thƣ số đảm bảo xác thực ngƣời sử dụng một cách chính xác dựa trên yếu tố: các thông tin định danh của ngƣời sử dụng đƣợc nhà phát hành chứng thƣ xác nhận thông qua chữ ký của mình.
Máy chủ: Chứng minh quyền sở hữu một tên miền, cung cấp một phiên kết nối https an toàn giữa server và client. Trong mô hình một mạng LAN, thì chứng thƣ số đảm bảo việc xác thực và các kết nối an toàn giữa các host.
Ngƣời phát triển: Chứng thƣ số còn cung cấp giải pháp chứng minh quyền tác giả, nguồn gốc phần mềm và đảm bảo tính toàn vẹn của chƣơng trình phần mềm đƣợc cung cấp trên mạng internet công khai.
PKI phải cung cấp các chức năng quản lý chứng thƣ sau:
Các chức năng này đảm bảo cho việc sử dụng chứng thƣ đƣợc an toàn và thuận lợi.
Đăng ký và xác nhận ban đầu
Trong quá trình này, trƣớc tiên, đối tƣợng đăng ký phải thông báo cho CA hoặc RA biết về sự hiện diện của. CA sẽ cấp phát cho đối tƣợng đăng ký này một chứng thƣ số khi nó chấp nhận yêu cầu.
Kết quả của quá trình này là CA sẽ tạo ra một chứng thƣ số cho đối tƣợng đăng ký ứng với cặp khoá (công khai/bí mật) của đối tƣợng đó. Đồng thời, CA này cũng gửi chứng thƣ số này đến cho hệ thống lƣu trữ.
Trong một hệ PKI lớn, hệ thống lƣu trữ có vai trò quan trọng và có tính độc lập cao đối với CA.
Cập nhật thông tin về chứng thư số
Mỗi chứng thƣ số đƣợc cấp phát cho các đối tƣợng sử dụng chỉ có tác dụng trong một khoảng thời gian đã định. Khi các chứng thƣ số này hết hạn và đối tƣợng sử dụng muốn tiếp tục có đƣợc chứng thƣ số của mình thì CA quản lý đối tƣợng ấy sẽ tạo ra một chứng thƣ số mới cho đối tƣợng và phải làm nhiệm vụ cập nhật thông tin về chứng thƣ số này.
Phát hành chứng thư và danh sách chứng thư bị hủy bỏ
Có những hoạt động của hệ thống quản lý PKI sẽ dẫn đến việc tạo ra các chứng thƣ số hoặc danh sách các chứng thƣ số bị huỷ bỏ. Ta có hai hoạt động tiêu biểu thuộc loại này là: phát hành chứng thƣ số và phát hành danh sách chứng thƣ số bị huỷ bỏ.
Khi CA phát hành một chứng thƣ số, trƣớc tiên, nó cần phải dựa trên định dạng của chứng thƣ số cần cấp. Sau khi có đƣợc các thông tin về chính sách quản trị, CA sẽ tổ chức chúng theo định dạng đã biết, khi đó, chứng thƣ số đã hoàn thiện. Tuy nhiên, việc phát hành chứng thƣ số chỉ hoàn tất sau khi CA gửi thông tin về chứng thƣ số này đến đối tƣợng sử dụng và lƣu chứng thƣ này vào hệ thống lƣu trữ.
Việc phát hành danh sách chứng thƣ số bị huỷ bỏ cũng đƣợc tiến hành nhƣ với danh sách chứng thƣ số. Tuy nhiên, thông tin về danh sách này chỉ đƣợc truyền cho hệ thống lƣu trữ.
Hủy bỏ chứng thư số
Trong một số trƣờng hợp, hệ thống PKI sẽ thực hiện hủy bỏ chứng thƣ số. Ví dụ, nếu một đối tƣợng sử dụng chứng thƣ số bị phát hiện có những biểu hiện không bình thƣờng, có dấu hiệu phạm pháp, hoặc những thông tin về đối tƣợng này có một số bất hợp lý thì CA quản lý đối tƣợng ấy có thể huỷ bỏ chứng thƣ số đã cấp cho đối tƣợng sử dụng đó.
3. Dịch vụ về thời gian
Thời gian trong hệ thống PKI phải có tính nhất quán, đồng bộ giữa tất cả các thành phần. Rất nhiều thành phần của PKI chỉ có đƣợc sự tin tƣởng trong một thời gian cụ thể (chứng thƣ hay CRL). Rõ ràng PKI phải quản lý cả vấn đề thời gian trong hệ thống. Nếu dịch vụ thời gian của PKI không đƣợc đảm bảo, thì bất kỳ thành phần nào trong hệ thống PKI đều có thể lạm dụng sử dụng những thành phần phụ thuộc vào thời gian, thực hiện những hành động không an toàn và chối bỏ về mặt thời gian trong các phiên kết nối.
4. Giao tiếp giữa các PKI
Các hệ thống PKI cung cấp bởi các nhà sản xuất khác nhau phải tƣơng thích, để hỗ trợ thao tác lẫn nhau các thành phần PKI phải:
Hỗ trợ các chuẩn quốc tế cho chứng thƣ và các dữ liệu liên quan.
Hỗ trợ các chuẩn quốc tế cho các dịch vụ chứng thƣ.
Hỗ trợ sự quốc tế hóa tất cả các chứng thƣ và các dữ liệu liên quan.
Hỗ trợ sự quốc tế hóa tất cả các dịch vụ chứng thƣ.
Các hỗ trợ này làm cho chứng thƣ có thể đƣợc chấp nhận rộng rãi trên nhiều khu
vực địa lý cũng nhƣ trên nhiều lĩnh vực hoạt động. Sự hộ trợ các chuẩn quốc tế đƣợc
chấp nhận rộng rãi sẽ nâng cao tính an toàn và tính tƣơng thích của các chứng thƣ.
