H c vi n K Thu t M t Mã An Toàn M ng Máy Tínhọ ệ ỹ ậ ậ ạ
M C L CỤ Ụ
M C L C..........................................................................................................................1Ụ Ụ
M Đ U ...........................................................................................................................2Ở Ầ
PH N 1-T NG QUAN V CH NG CH S ................................................................4Ầ Ổ Ề Ứ Ỉ Ố
1.1 Gi i thi u ..............................................................................................................5ớ ệ
1.2 Ch ng ch khóa công khai X.509 .........................................................................6ứ ỉ
1.3 Thu h i ch ng ch ...............................................................................................10ồ ứ ỉ
1.4 Chính sách c a ch ng ch ...................................................................................11ủ ứ ỉ
1.5 Công b và g i thông báo thu h i ch ng ch .....................................................11ố ử ồ ứ ỉ
PH N 2- H T NG MÃ KHÓA CÔNG KHAI ...........................................................15Ầ Ạ Ầ
2.1 T ng quan v PKI ..............................................................................................15ổ ề
2.2 Các thành ph n c a PKI .....................................................................................15ầ ủ
2.2.1 T ch c ch ng th c (Certification Authority) ................................................16ổ ứ ứ ự
2.2.2 Trung tâm đăng ký ( Registration Authorities) ...............................................16
2.2.3 Th c th cu i ( Ng i gi ch ng ch và Clients) ...........................................17ự ể ố ườ ữ ứ ỉ
2.2.4 H th ng l u tr ( Repositories) .....................................................................17ệ ố ư ữ
2.3 Ch c năng c b n c a PKI .................................................................................18ứ ơ ả ủ
2.3.1 Ch ng th c ( Certification) .............................................................................18ứ ự
2.3.2 Th m tra ( Validation) .....................................................................................18ẩ
2.3.3 M t s ch c năng khác ...................................................................................18ộ ố ứ
PH N 3-MÔ HÌNH TIN C Y CHO PKI .......................................................................22Ầ Ậ
3.1 Mô hình CA đ n ................................................................................................22ơ
3.2 Mô hình phân c p ...............................................................................................23ấ
3.3 Mô hình m t l i (Xác th c chéo) .....................................................................25ắ ướ ự
3.4 Mô hình Hub và Spoke (Bridge CA) .................................................................26
3.5 Mô hình Web ( Trust Lists) ................................................................................27
3.6 Mô hình ng i s d ng trung tâm ( User Centric Model) .................................29ườ ử ụ
K T LU N .....................................................................................................................30Ế Ậ
TÀI LI U THAM KH O ...............................................................................................31Ệ Ả
M Đ UỞ Ầ
H c vi n K Thu t M t Mã An Toàn M ng Máy Tínhọ ệ ỹ ậ ậ ạ
Trong m t vài năm l i đây, h t ng truy n thông IT càng ngày càng đ c m r ng khiộ ạ ạ ầ ề ượ ở ộ
ng i s d ng d a trên n n t ng này đ truy n thông và giao d ch v i các đ ng nghi p,ườ ử ụ ự ề ả ể ề ị ớ ồ ệ
các đ i tác kinh doanh cũng nh vi c khách hàng dùng email trên các m ng công c ng.ố ư ệ ạ ộ
H u h t các thông tin nh y c m và quan tr ng đ c l u tr và trao đ i d i hình th cầ ế ạ ả ọ ượ ư ữ ổ ướ ứ
đi n t trong các c quan văn phòng, doanh nghi p. S thay đ i trong các ho t đ ngệ ử ơ ệ ự ổ ạ ộ
truy n thông này đ ng nghĩa v i vi c c n ph i có bi n pháp b o v đ n v , t ch c,ề ồ ớ ệ ầ ả ệ ả ệ ơ ị ổ ứ
doanh nghi p c a mình tr c các nguy c l a đ o, can thi p, t n công, phá ho i ho c vôệ ủ ướ ơ ừ ả ệ ấ ạ ặ
tình ti t l các thông tin đó. C s h t ng mã khoá công khai (PKI - Public Keyế ộ ơ ở ạ ầ
Infrastructure) cùng các tiêu chu n và công ngh ng d ng c a nó có th đ c coi là m tẩ ệ ứ ụ ủ ể ượ ộ
gi i pháp t ng h p và đ c l p có th s d ng đ gi i quy t v n đ này.ả ổ ợ ộ ậ ể ử ụ ể ả ế ấ ề
PKI b n ch t là m t h th ng công ngh v a mang tính tiêu chu n, v a mang tính ngả ấ ộ ệ ố ệ ừ ẩ ừ ứ
d ng đ c s d ng đ kh i t o, l u tr và qu n lý các ch ng ch s hay ta còn g i làụ ượ ử ụ ể ở ạ ư ữ ả ứ ỉ ố ọ
ch ng th c đi n t (digital certificate) cũng nh các khoá công c ng (khoá công khai) vàứ ự ệ ử ư ộ
cá nhân (khoá riêng). Sáng ki n PKI ra đ i năm 1995, khi mà các chính ph và các t ch cế ờ ủ ổ ứ
công nghi p xây d ng các tiêu chu n chung d a trên ph ng pháp mã hoá đ h tr m tệ ự ẩ ự ươ ể ỗ ợ ộ
h t ng b o m t trên m ng Internet. T i th i đi m đó, m c tiêu đ c đ t ra là xây d ngạ ầ ả ậ ạ ạ ờ ể ụ ượ ặ ự
m t b tiêu chu n b o m t t ng h p cùng các công c và lý thuy t cho phép ng i sộ ộ ẩ ả ậ ổ ợ ụ ế ườ ử
d ng cũng nh các t ch c (doanh nghi p ho c phi l i nhu n) có th t o l p, l u tr vàụ ư ổ ứ ệ ặ ợ ậ ể ạ ậ ư ữ
trao đ i các thông tin m t cách an toàn trong ph m vi cá nhân và công c ng.ổ ộ ạ ộ
Cho t i nay, nh ng n l c hoàn thi n PKI v n đang đ c đ u t và thúc đ y. Và đ hi nớ ữ ỗ ự ệ ẫ ượ ầ ư ẩ ể ệ
th c hoá ý t ng tuy t v i này, các tiêu chu n c n ph i đ c nghiên c u phát tri n cácự ưở ệ ờ ẩ ầ ả ượ ứ ể ở
m c đ khác nhau bao g m: mã hoá, truy n thông và liên k t, xác th c, c p phép và qu nứ ộ ồ ề ế ự ấ ả
lý. Nhi u chu n b o m t trên m ng Internet, ch ng h n Secure Sockets Layer/Transportề ẩ ả ậ ạ ẳ ạ
Layer Security (SSL/TLS) và Virtual Private Network (VPN), chính là k t qu c a sángế ả ủ
ki n PKI. M t minh ch ng là thu t toán mã hoá phi đ i x ng đ c xây d ng d a trênế ộ ứ ậ ố ứ ượ ự ự
ph ng pháp mã hoá và gi i mã thông tin s d ng hai khoá mã: khoá công khai (publicươ ả ử ụ
key) và khoá riêng (private key). Trong tr ng h p này, m t ng i s d ng có th mã hoáườ ợ ộ ườ ử ụ ể
tài li u c a mình v i khoá riêng và sau đó gi i mã thông tin đó b ng khoá công khai. N uệ ủ ớ ả ằ ế
m t văn b n ch a các d li u nh y c m và c n ph i đ c truy n m t cách b o m t t iộ ả ứ ữ ệ ạ ả ầ ả ượ ề ộ ả ậ ớ
duy nh t m t cá nhân, thông th ng ng i g i mã hoá tài li u đó b ng mã khoá riêng c aấ ộ ườ ườ ử ệ ằ ủ
mình và ng i nh n s gi i mã s d ng khoá công khai c a ng i g i. Khoá công khaiườ ậ ẽ ả ử ụ ủ ườ ử
này có th đ c g i kèm theo tài li u này ho c có th đ c g i cho ng i nh n tr cể ượ ử ệ ặ ể ượ ử ườ ậ ướ
đó.
M t khác, do có khá nhi u thu t toán phi đ i x ng nên các chu n công khai hi n cóặ ề ậ ố ứ ẩ ệ
th ng xuyên đ c nghiên c u c i ti n đ phù h p v i các thu t toán này. Hi n nay ườ ượ ứ ả ế ể ợ ớ ậ ệ ở
Vi t Nam, vi c nghiên c u, ng d ng và tri n khai PKI nói chung và d ch v cung c pệ ệ ứ ứ ụ ể ị ụ ấ
ch ng ch s nói riêng là v n đ còn mang tính th i s . B ng vi c s d ng ch ng ch vàứ ỉ ố ấ ề ờ ự ằ ệ ử ụ ứ ỉ
ch ký s , nh ng ng d ng cho phép PKI đ a ra nhi u đ c tính đ m b o an toàn thôngữ ố ữ ứ ụ ư ề ặ ả ả
tin cho ng i s d ng. Bài báo cáo này đ c th c hi n v i m c đích tìm hi u nghiên c uườ ử ụ ượ ự ệ ớ ụ ể ứ
v PKI, bao g m các khái ni m t ng quan v ch ng ch s , các khái ni m c s v PKI,ề ồ ệ ổ ề ứ ỉ ố ệ ơ ở ề
ch c năng và các thành ph n PKI. T đó xây d ng các mô hình tin c y c a PKI trongứ ầ ừ ự ậ ủ
VPN, u và nh c đi m c a các mô hình này.V i gi i h n nh ng v n đ tìm hi u vàư ượ ể ủ ớ ớ ạ ữ ấ ề ể
nghiên c u nh trên, bài báo cáo bao g m 3 ph n:ứ ư ồ ầ
H c vi n K Thu t M t Mã An Toàn M ng Máy Tínhọ ệ ỹ ậ ậ ạ
Ph n 1: T ng quan v ch ng ch sầ ổ ề ứ ỉ ố
Gi i thi u các khái ni m v ch ng ch s và m t s v n đ liên quan.ớ ệ ệ ề ứ ỉ ố ộ ố ấ ề
Ph n 2: H t ng mã khóa công khaiầ ạ ầ
Khái ni mệ PKI, ch c năng và các thành ph n c a PKI.ứ ầ ủ
Ph n 3: Mô hình tin c y cho PKIầ ậ
Phân tích và xây d ng các mô hình tin c y c a PKI, u và nh c đi m các mô hình này.ự ậ ủ ư ượ ể
PH N 1Ầ
T NG QUAN V CH NG CH S Ổ Ề Ứ Ỉ Ố
M t mã khoá công khai cho đ n nay đ c xem là gi i pháp t t nh t đ đ m b o đ cậ ế ượ ả ố ấ ể ả ả ượ
các yêu c u v an toàn thông tin m ng: “b o m t”, “toàn v n”, “xác th c” và “ch ngầ ề ạ ả ậ ẹ ự ố
ch i b ”. M c dù v n còn m i khi so sánh v i các ph ng pháp mã c đi n nh ng m tố ỏ ặ ẫ ớ ớ ươ ổ ể ư ậ
mã khoá công khai đã nh n đ c s tin c y r ng rãi c a th gi i Internet vì nh ng côngậ ượ ự ậ ộ ủ ế ớ ữ
c có kh năng phát tri n cho v n đ qu n lý khoá.ụ ả ể ấ ề ả
Nh đã đ c p trên, v n đ chính c a h mã khoá đ i x ng là v n đ qu n lý khoá vàư ề ậ ở ấ ề ủ ệ ố ứ ấ ề ả
đ gi i quy t v n đ này h mã khoá công khai đã đ c đ a ra nh m t gi i pháp. Trongể ả ế ấ ề ệ ượ ư ư ộ ả
H c vi n K Thu t M t Mã An Toàn M ng Máy Tínhọ ệ ỹ ậ ậ ạ
h th ng m t mã khoá công khai, khoá riêng (khoá bí m t) đ c ng i dùng gi bí m tệ ố ậ ậ ượ ườ ữ ậ
trong khi khoá công khai v i tên c a ng i s h u t ng ng l i đ c công b côngớ ủ ườ ở ữ ươ ứ ạ ượ ố
khai. Đ i v i h th ng nh th này, ta c n xác đ nh và tr l i m t s câu h i nh :ố ớ ệ ố ư ế ầ ị ả ờ ộ ố ỏ ư
- Ai s t o ra c p khoá công khai – bí m t?ẽ ạ ặ ậ
- D li u s đ c l u d i đ nh d ng nh th nào trong h th ng l u tr (khoá công,ữ ệ ẽ ượ ư ướ ị ạ ư ế ệ ố ư ữ
đ nh danh c a ng i s h u và các thông tin khác)?ị ủ ườ ở ữ
- Có c ch nào đ gi cho thông tin không b thay đ i trên h th ng l u tr ?ơ ế ể ữ ị ổ ệ ố ư ữ
- Làm th nào đ đ m b o vi c g n k t gi a khoá công và đ nh danh c a th c th yêuế ể ả ả ệ ắ ế ữ ị ủ ự ể
c u có khoá công?ầ
- Làm th nào đ ng i s d ng có th truy c p đ c đ n n i l u tr ?ế ể ườ ử ụ ể ậ ượ ế ơ ư ữ
- Làm th nào ng i s d ng nh n bi t đ c có s thay đ i trong d li u đang đ c l uế ườ ử ụ ậ ế ượ ự ổ ữ ệ ượ ư
trên h th ng l u tr ?ệ ố ư ữ
- Đi u gì s x y v i khoá công khai n u khoá riêng t ng ng b xâm h i?ề ẽ ả ớ ế ươ ứ ị ạ
- Có m t chính sách nào cho t t c nh ng v n đ nêu trên không? ộ ấ ả ữ ấ ề
Đ tr l i cho nh ng câu h i trên có m t gi i pháp là s d ng h t ng khoá công khai -ể ả ờ ữ ỏ ộ ả ử ụ ạ ầ
PKI.
Cho đ n nay có nhi u đ nh nghĩa v PKI, nh ng ch a đ nh nghĩa nào đ c công nh nế ề ị ề ư ư ị ượ ậ
chính th c. Có m t s đ nh nghĩa v PKI nh sau:ứ ộ ố ị ề ư
“PKI là m t t p các ph n c ng, ph n m m, con ng i, chính sách và các th t c c nộ ậ ầ ứ ầ ề ườ ủ ụ ầ
thi t đ t o, qu n lý, l u tr , phân ph i và thu h i ch ng ch khoá công khai d a trênế ể ạ ả ư ữ ố ồ ứ ỉ ự
m t mã khoá công khai”.ậ
“PKI là h t ng c s có th h tr qu n lý khoá công khai đ h tr các d ch v xácạ ầ ơ ở ể ỗ ợ ả ể ỗ ợ ị ụ
th c, mã hoá, toàn v n hay ch ng ch i b ”.ự ẹ ố ố ỏ
“PKI là h t ng c s b o m t có nh ng d ch v đ c tri n khai và chuy n giao s d ngạ ầ ơ ở ả ậ ữ ị ụ ượ ể ể ử ụ
công ngh và khái ni m khoá công khai”.ệ ệ
Nhìn chung, PKI có th đ c đ nh nghĩa nh m t h t ng c s s d ng công nghể ượ ị ư ộ ạ ầ ơ ở ử ụ ệ
thông tin đ cung c p d ch v mã hoá khoá công khai và ch ký s . M t m c đích quanể ấ ị ụ ữ ố ộ ụ
tr ng khác c a PKI là đ qu n lý khoá và ch ng ch đ c s d ng trong h th ng.ọ ủ ể ả ứ ỉ ượ ử ụ ệ ố
Ch ng ch là c u trúc d li u đ c bi t, g n k t khoá công khai v i ch s h u c a nó.ứ ỉ ấ ữ ệ ặ ệ ắ ế ớ ủ ở ữ ủ
Vi c g n k t này đ c đ m b o b ng ch ký s c a n i đ c u quy n c pệ ắ ế ượ ả ả ằ ữ ố ủ ơ ượ ỷ ề ấ
ch ng ch .ứ ỉ
1.1 Gi i thi uớ ệ
Nh đã nói đ n trên, m t mã khoá công khai s d ng hai khoá khác nhau (khoá công vàư ế ở ậ ử ụ
khoá riêng) đ đ m b o yêu c u “bí m t, xác th c, toàn v n và ch ng ch i b ” c aể ả ả ầ ậ ự ẹ ố ố ỏ ủ
nh ng d ch v an toàn. M t đ c tính quan tr ng khác c a l c đ khoá công khai là ph nữ ị ụ ộ ặ ọ ủ ượ ồ ầ
khoá công khai đ c phân ph i m t cách t do. Ngoài ra, trong h t ng mã khoá công khaiượ ố ộ ự ạ ầ
thì khoá công ngoài vi c ph i luôn s n có đ m i ng i trong h th ng có th s d ngệ ả ẵ ể ọ ườ ệ ố ể ử ụ
còn ph i đ c đ m b o v tính toàn v n.ả ượ ả ả ề ẹ
Khoá công đ c đ t v trí công khai trong m t đ nh d ng đ c bi t. Đ nh d ng này đ cượ ặ ở ị ộ ị ạ ặ ệ ị ạ ượ
g i là ch ng ch . Ch ng ch (th c ra là ch ng ch khoá công – public key certificate (PKC))ọ ứ ỉ ứ ỉ ự ứ ỉ
là s g n k t gi a khoá công c a th c th và m t ho c nhi u thu c tính liên quan đ nự ắ ế ữ ủ ự ể ộ ặ ề ộ ế
th c th . Th c th có th là ng i, thi t b ph n c ng nh máy tính, router hay m t ph nự ể ự ể ể ườ ế ị ầ ứ ư ộ ầ
m m x lý. M t ch ng ch khoá công (PKC) đ c ng i c p ký b ng ch ký có hi u l cề ử ộ ứ ỉ ượ ườ ấ ằ ữ ệ ự
H c vi n K Thu t M t Mã An Toàn M ng Máy Tínhọ ệ ỹ ậ ậ ạ
đ a ra m t b o b m đ y đ v s g n k t gi a khoá công, th c th s h u khoá côngư ộ ả ả ầ ủ ề ự ắ ế ữ ự ể ở ữ
này và t p các thu c tính khác đ c vi t trong ch ng ch . PKC còn đ c g i là “digitalậ ộ ượ ế ứ ỉ ượ ọ
certificate”- ch ng ch s , “digital ID”, hay đ n gi n là ch ng ch .ứ ỉ ố ơ ả ứ ỉ
Hình 1.1 minh ho m t ch ng ch s do h th ng MyCA c p.ạ ộ ứ ỉ ố ệ ố ấ
Hình 1.1 : Ch ng ch sứ ỉ ố
Ch ng ch ch a nh ng thông tin c n thi t nh khóa công khai, ch th (ng i s h u)ứ ỉ ứ ữ ầ ế ư ủ ể ườ ở ữ
khoá công, ng i c p và m t s thông tin khác. Tính h p l c a các thông tin đ c đ mườ ấ ộ ố ợ ệ ủ ượ ả
b o b ng ch ký s c a ng i c p ch ng ch . Ng i nào mu n s d ng ch ng ch tr cả ằ ữ ố ủ ườ ấ ứ ỉ ườ ố ử ụ ứ ỉ ướ
h t s ki m tra ch ký s trong ch ng ch . N u đó là ch ký h p l thì sau đó có th sế ẽ ể ữ ố ứ ỉ ế ữ ợ ệ ể ử
d ng ch ng ch theo m c đích mong mu n.ụ ứ ỉ ụ ố
Có nhi u lo i ch ng ch , m t trong s đó là:ề ạ ứ ỉ ộ ố
- Ch ng ch khoá công X.509ứ ỉ
- Ch ng ch khoá công đ n gi n (Simple Public Key Certificates - SPKC)ứ ỉ ơ ả
- Ch ng ch Pretty Good Privacy (PGP)ứ ỉ
- Ch ng ch thu c tính (Attribute Certificates - AC)ứ ỉ ộ
T t c các lo i ch ng ch này đ u có c u trúc đ nh d ng riêng. Hi n nay ch ng ch khoáấ ả ạ ứ ỉ ề ấ ị ạ ệ ứ ỉ
công khai X.509 đ c s d ng ph bi n trong h u h t các h th ng PKI. H th ngượ ử ụ ổ ế ầ ế ệ ố ệ ố
ch ng trình c p ch ng ch s th nghi m cũng s d ng đ nh d ng ch ng ch theoươ ấ ứ ỉ ố ử ệ ử ụ ị ạ ứ ỉ