Bảo vệ hạ tầng truyền thông với PKI
Nh
ững tính năng mới trong phiên bản Windows Server 2003 và Windows XP
giúp cho việc truyền các dữ liệu nhạy cảm thông qua PKI trở nên dễ dàng và
bảo mật hơn bao giờ hết.
Trong một vài năm lại đây, hạ tầng truyền thông IT càng ngày càng được mở
rộng khi mà người sử dụng dựa trên nền tảng này để truyền thông và giao dịch
với các đồng nghiệp, các đối tác kinh doanh cũng như việc khách hàng dùng
email trên các mạng công cộng. Hầu hết các thông tin kinh doanh nhạy cảm và
quan trọng được lưu trữ và trao đổi dưới hình thức điện tử. Sự thay đổi trong
các hoạt động truyền thông doanh nghiệp này đồng nghĩa với việc bạn phải có
biện pháp bảo vệ tổ chức, doanh nghiệp của mình trước các nguy cơ lừa đảo,
can thiệp, tấn công, phá hoại hoặc vô tình tiết lộ các thông tin đó. Cấu trúc hạ
tầng mã khoá công cộng (PKI - Public Key Infrastructure - hay còn gọi là Hạ
tầng mã khoá bảo mật công cộng hoặc Hạ tầng mã khoá công khai) cùng các
tiêu chuẩn và các công nghệ ứng dụng của nó có thể được coi là một giải pháp
tổng hợp và độc lập mà bản có thể sử dụng để giải quyết vấn đề này.
PKI bản chất là một hệ thống công nghệ vừa mang tính tiêu chuẩn, vừa mang
tính ứng dụng được sử dụng để khởi tạo, lưu trữ và quản lý các chứng thực
điện tử (digital certificate) cũng như các mã khoá công cộng và cá nhân. Sáng
kiến PKI ra đời năm 1995, khi mà các tổ chức công nghiệp và các chính phủ
xây dựng các tiêu chuẩn chung dựa trên phương pháp mã hoá để hỗ trợ một hạ
tầng bảo mật trên mạng Internet. Tại thời điểm đó, mục tiêu được đặt ra là xây
dựng một bộ tiêu chuẩn bảo mật tổng hợp cùng các công cụ và lý thuyết cho
phép người sử dụng cũng như các tổ chức (doanh nghiệp hoặc phi lợi nhuận)
có thể tạo lập, lưu trữ và trao đổi các thông tin một cách an toàn trong phạm vi
cá nhân và công cộng.
Tới nay, những nỗ lực hoàn thiện PKI vẫn đang được đầu tư và thúc đẩy. Và
để hiện thực hoá ý tưởng tuyệt vời này, các tiêu chuẩn cần phải được nghiên
cứu phát triển ở các mức độ khác nhau bao gồm: mã hoá, truyền thông và liên
kết, xác thực, cấp phép và quản lý. Tuy nhiên, hầu hết các công nghệ hình
thành từ ý tưởng này đã trở nên chín muồi và một số đã bước vào giai đoạn
"lão hoá". Nhiều chuẩn bảo mật trên mạng Internet, chẳng hạn Secure Sockets
Layer/Transport Layer Security (SSL/
TLS) và Virtual Private Network (VPN),
chính là kết quả của sáng kiến PKI. Một minh chứng là thuật toán mã hoá bất
đối xứng được xây dựng dựa trên phương pháp mã hoá và giải mã thông tin sử
dụng hai loại mã khoá: công cộng và cá nhân. Trong trường hợp này, một
người sử dụng có thể mã hoá tài liệu của mình với mã khoá bí mật và sau đó
giải mã thông tin đó bằng chìa khoá công cộng. Nếu một văn bản có chứa các
dữ liệu nhạy cảm và cần phải được truyền một cách bảo mật tới duy nhất một
cá nhân, thông thường người gửi mã hoá tài liệu đó bằng mã khoá riêng và
người nhận sẽ giải mã sử dụng mã khoá công khai của người gửi. Mã khoá
công khai này có thể được gửi kèm theo tài liệu này hoặc có thể được gửi cho
người nhận trước đó.
Bởi sự tồn tại của khá nhiều thuật toán bất đối xứng, các chuẩn công cộng tồn
tại và thường xuyên được nghiên cứu cải tiến để phù hợp các thuật toán đó. Có
một minh chứng khá đơn giản: Nếu những người sử dụng làm việc ở các tổ
chức khác nhau và chỉ có thể truyền thông với nhau qua một mạng công cộng,
chẳng hạn Internet, bạn sẽ cần phải xây dựng các tiêu chuẩn ở từng bước khác
nhau. Trước tiên, bạn phải xác định phương thức các chứng thực được phát
hành. Một người nhận đư
ợc xác thực cần phải chấp nhận tính hợp lệ của chứng
thực đó và tin tưởng bộ phận thẩm quyền phát hành chứng thực đó. Thứ hai,
các chuẩn phải thiết lập phương thức các chứng thực được truyền thông giữa
các chủ thể (đơn vị hoặc bộ phận) khác nhau. Email và các dạng truyền thông
khác đều dựa trên các tiêu chuẩn công nghệ và thông thường các chuẩn này
không nhất thiết phải hỗ trợ PKI. Để hiện thực hoá kịch bản mà chúng tôi vạch
ra ở trên, bạn cần phải có các quy tắc và tiêu chuẩn hỗ trợ việc các chứng thực
được phát hành bởi các chủ thể có thẩm quyền khác nhau có thể trao đổi và
giao dịch giữa các tổ chức khác nhau. Thứ ba, các tiêu chuẩn phải định nghĩa
rõ được các thuật toán có thể và phải bao gồm. Cuối cùng, các tiêu chuẩn phải
chỉ ra được cách thức duy trì các hạ tầng cấu trúc truyền thông. Bên cạnh đó,
chúng cũng phải xây dựng được danh sách người dùng được cấp chứng thực v
à
danh sách những chứng thực bị huỷ bỏ. Hãy quyết định cách thức các thẩm
quyền cấp chứng thực khác nhau sẽ được truyền thông với nhau và phương
pháp tái lập lại một chứng thực trong trường hợp xảy ra mất mát.
Sự chấp nhận của người dùng tăng theo thời gian
Quá trình nghiên cứu và phát triển PKI là một quá trình lâu dài và cùng v
ới nó,
mức độ chấp nhận của người dùng cũng tăng lên một cách khá chậm chạp.
Cũng giống như với nhiều tiêu chuẩn công cộng khác, tỷ lệ người dùng chấp
nhận sẽ tăng lên chỉ khi các chuẩn đó trở nên hoàn thiện, chứng minh đư
ợc khả
năng thực sự của nó, và khả năng ứng dụng và hiện thực hoá của nó là khả thi
(cả về khía cạnh chi phí lẫn thực hiện). Windows XP Professional v
à Windows
Server 2003 đều được cải tiến hỗ trợ PKI. Bạn có thể dùng một trong hai hệ
điều hành này để xây dựng một giải pháp PKI tổng hợp. Mặc dù Windows
2000 phiên bản dùng cho máy chủ và máy trạm có thể chấp nhận được môi
trường này song với những khả năng hạn chế (xem thêm Phần Tài liệu tham
khảo).
Bất chấp việc bạn có nhận thức được hay không, có nhiều khả năng bạn đã có
phần nào đó cấu trúc PKI trong các hạ tầng IT của bạn. Nếu bạn có website sử
dụng SSL/TLS, nếu bạn cho phép nhân viên của mình kết nối và làm việc
trong mạng nội bộ sử dụng chuẩn VPN và Point To Point Tunneling Protocol
(PPTP), hoặc nếu bạn đang dùng các tính năng mã hoá của IPSec, bạn thực tế
đang ứng dụng PKI. Cũng như vậy, nếu bạn sử dụng Exchange Server và
Outlook có nghĩa là bạn đang dùng các mã chứng thực và các mã khoá công
cộng. Nếu thực sự bạn đã dùng một hoặc một số trong những chuẩn kể trên,
việc cân nhắc sử dụng một giải pháp PKI toàn diện sẽ trở nên dễ dàng hơn.
PKI có thể đảm bảo một cơ chế bảo mật và tổng hợp để lưu trữ và chia sẻ các
tài sản trí tuệ của công ty bạn, cả trong và ngoài phạm vi công ty. Tuy nhiên,
chi phí và/hoặc sự phức tạp của nó có thể gây ra những rào cản nhất định đối
với khả năng ứng dụng. Trước tiên, tôi sẽ nêu ra những vấn đề phức tạp. Đa
phần các giao dịch truyền thông của doanh nghiệp với khách hàng, chính
quyền và các đối tác khác đều được diễn ra một cách điện tử. Nếu bạn nhận
thức được tất cả các kênh khác nhau trong các giao dịch đó, bạn là một trong
số ít các chuyên gia IT giỏi nhất. Một khi bạn mở cánh cửa đối với email, bạn
phải thừa nhận rằng mọi thứ có thể gửi đi sẽ được gửi đi, không kể đó là giữa
các đối tác, trong nội bộ công ty hay thậm chí vượt qua “ranh giới” công ty.
Một ví dụ trong số đó là một người nhận "bên ngoàI" có tên trong dòng CC có
thể nhận được một tài liệu mật và gửi nó trên các kênh không an toàn khác.
Khi bạn có ý định giải quyết vấn đề này hoặc các vấn đề khác tương tự, bạn
cần phải quyết định về mức độ mở rộng của “biên giới" bảo mật, những tài
sản"bạn phải bảo vệ, và mức độ bất hợp lý bạn sẽ phải áp dụng đối với những
người dùng.
Ngày nay, m
ột giải pháp an ninh toàn diện cạnh tranh với PKI thực sự chưa
được tìm thấy. Từ góc độ giải pháp công nghệ, điều này làm cho việc chọn lựa
trở nên đơn giản hơn. Nhiều hãng khác cũng cung cấp các giải pháp PKI, song
nếu bạn đã từng đầu tư cho các công nghệ của Microsoft trong doanh nghiệp
của mình, bạn có thể sẽ tận dụng được những lợi thế mà tập đoàn khổng lồ này
đã có được. Với những cải tiến lớn với PKI trong Windows XP Professional
(dành cho máy trạm) và Windows Server (dành cho máy chủ) Microsoft đ
giải pháp có thể giải quyết được các vấn đề chính liên quan tới một chính sách
bảo mật PKI. Những tính năng này, cùng khả năng quản lý và liên kết PKI, đã
được tích hợp vào hệ điều hành và các ứng dụng có liên quan.
PKI cho phép bạn tạo ra một quan hệ tin cậy giữa các chứng thực của các tổ
chức khác nhau và gi
ải pháp PKI của Windows Server 2003 cũng bao gồm tính
năng này. Nó giúp bạn bắt đầu với một phạm vi quan hệ tin cậy không lớn và
cho phép bạn mở rộng phạm vi này trong tương lai.
Vạch kế hoạch cho giải pháp của riêng bạn
N
ếu bạn quyết định thiết kế một giải pháp PKI, bạn cần phải vạch ra một kịch
bản toàn diện về các nguy cơ bảo mật để xác định những tài sản"nào cần được
bảo vệ và các biện pháp bảo vệ hợp lý và phù hợp nhất. Hãy vạch ra một danh
sách tất cả các tài sản giá trị đối với bọn tội phạm và các đối thủ cạnh tranh.
Chẳng hạn, như trong ví dụ tôi đã nêu ra ở phần trước liên quan tới thuật toán
mã hoá bất đối xứng, bạn có thể cấu hình Outlook để mã hoá tất cả các thông
điệp và tệp đính kèm hoặc bạn có thể thiết lập chế độ mã hoá nội dung các
email riêng rẽ trước khi bạn gửi chúng đi. Giải pháp sau có thể cho người d
ùng
biết được những vấn đề mà bạn đang phải đối mặt còn giải pháp đầu tiên lại
gây ra khả năng mã hoá mọi thứ. Nếu bạn gửi nhiều thông tin nhạy cảm như
tệp đính kèm theo email trên Internet trong khi ý thức bảo mật của các thành
viên doanh nghiệp của bạn ở mức độ hạn chế, tốt nhất là bạn chọn giải pháp
mã hoá tất cả mọi lúc. Nếu người sử dụng gửi một số tài liệu quan trọng, bạn
có thể giải mã thông tin trong từng trường hợp cụ thể. Bạn cần lưu ý r
ằng thuật
toán mã hoá bị ảnh hưởng bởi sức mạnh của CPU. Hãy cân nhắc trước khi đưa
ra quyết định. Điều đó có nghĩa là, bất cứ phương pháp nào bạn dùng, hãy xây
dựng một chính sách cụ thể để áp dụng nó trong nội bộ doanh nghiệp. Hãy
công bố một danh sách các tài sản tương ứng cho từng nhân viên và nêu ra
những "hành động" nào mà người nhân viên đó được áp dụng trên các tài sản
đó. Với mỗi công cụ ứng dụng liên quan tới các hành động đó (chẳng hạn
Outlook đối với email), hãy đưa ra những hướng dẫn cụ thể để đảm bảo khả
năng bảo mật cao nhất.
Việc phát hành các chứng thực điện tử với Windows Server 2003 là khá đơn
giản và tính năng nạp danh sách tự động trong phiên bản hệ điều hành mới này
cho phép bạn khởi tạo và phân phối các chứng thực cá nhân một cách tự động
khi người dùng đăng nhập mà không gây ra bất cứ sự cản trở nào với họ.
Mặc dù trong bài viết này, chúng tôi không bàn tới vấn đề lợi ích thu được từ
PKI, tuy nhiên, bạn vẫn có thể tính toán được chi phí dành cho nó dựa trên m
ột
số giả thiết là công ty của bạn đang giao dịch điện tử và mức độ giao dịch ng
ày
càng tăng trong tương lai. Lấy ví dụ, nếu doanh nghiệp của bạn tập trung vào
việc giao dịch trên Internet và có ý định mở rộng phạm vi sang cả các dịch vụ
trên Web, bạn cần phải hiểu rằng các chứng thực kỹ thuật số và quá trình mã
hoá là một phần quan trọng của hạ tầng dịch vụ Web. Thậm chí nếu bạn có thể
tìm thấy một giải pháp bảo mật nào khác với chi phí thấp hơn, các chuyên gia
khuyến cáo bạn hãy cân nhắc lại bởi tất cả các công nghệ quan trọng nhất, bao
gồm Internet, truyền thông vô tuyến, các thiết bị bảo mật sinh học và công
nghệ Thẻ Thông minh (Smart Card), đều có thể quy về PKI.
Nh
ững tính năng mới trong Windows Server 2003 và Windows XP chính là
những bước đầu tiên ứng dụng ở quy mô rộng rãi các chuẩn công nghệ của
PKI. Windows Server 2003 tích hợp một module mã hoá nhân hoàn toàn mới
có thể thực hiện chuẩn FIPS (Federal Information Processing Standard) - một
thuật toán mã hoá cải tiến. Thông qua việc sử dụng hệ thống dịch vụ thư mục
động (Active Directory - AD), bạn có thể điều chỉnh phạm vi ứng dụng PKI
đối với từng doanh nghiệp cụ thể. Windows Server 2003 và Windows XP
Professional hỗ trợ quan hệ tin cậy PKI liên kết giữa các doanh nghiệp khác
nhau và gần đây, các sản phẩm của hãng Microsoft đã vượt qua chương trình
thử nghiệm cầu tin cậy cấp liên bang. Chính phủ Mỹ đã thiết lập chương trình
kiểm nghiệm này và coi đó là một phương pháp đánh giá mức độ thích hợp về
hợp tác công nghệ giữa các tổ chức khác nhau. Chương trình này cung c
ấp một
tính năng kết hợp cần thiết cho việc kết nối giữa các tổ chức khác nhau mà
không dựa trên việc họ sử dụng các hệ điều hành và sản phẩm gì.
Bên cạnh đó, sự tích hợp PKI vào các ứng dụng đầu cuối, chẳng hạn Outlook,
đặt các công cụ bảo mật quan trọng vào tay người sử dụng đầu cuối. Sự tăng
cường tích hợp PKI vào Windows XP cho phép bạn tận dụng tối đa những tính
năng tiên tiến về bảo mật, trong đó có Thẻ Thông minh (Smart Card) hoặc
thậm chí cả các thiết bị quét vân tròng mắt. Điều này cũng giúp bạn thiết lập
Hệ thống giải mã tệp (Encrypting File System) và các tính năng mới của
Windows Update cho phép bạn phân phối các phiên bản cập nhật chứng thực
gốc. Tất cả các đặc tính mới này chứng minh rằng tại sao đã đến thời điểm để
chúng ta bắt đầu lên kế hoạch và bắt tay triển khai PKI.
Đưa PKI vào cuộc
PKI là công nghệ xác thực đầu tiên và hoàn thiện nhất sử dụng phương pháp
mã hoá dựa trên khoá bí mật và khoá công cộng. Tuy nhiên, PKI c
ũng bao gồm
cả việc ứng dụng rộng rãi các dịch vụ bảo mật khác, bao gồm dịch vụ dữ liệu
tin cậy, thống nhất dữ liệu về tổng thể và quản lý mã khoá. Để có thể hiểu đư
ợc