1

HỌC VIỆN CÔNG NGHỆ BƯU CHÍNH VIỄN THÔNG
NGUYỄN HỒNG QUANG

NGHIÊN CỨU MÔ HÌNH PKI- PHỤC VỤ
XÁC THỰC VÀ BẢO MẬT MỘT SỐ GIAO DỊCH
ĐIỆN TỬ NGÂN HÀNG
CHUYÊN NGÀNH : TRUYỀN DỮ LIỆU VÀ MẠNG MÁY TÍNH
MÃ SỐ: 60.48.15
Người hướng dẫn khoa học:
PGS.TS TRỊNH NHẬT TIẾN
TÓM TẮT LUẬN VĂN THẠC SĨ KỸ THUẬT

Hà Nội- 2010
2

Hiện nay nhu cầu bảo đảm an toàn thông tin trên mạng máy
tính là cấp thiết trong các hoạt động kinh tế xã hội, đặc biệt là
trong hệ thống ngân hàng với các dịch vụ ngân hàng điện tử, cụ
thể là các dịch vụ Internet Banking (Trong phạm vi luận văn, tác
giả giới hạn khái niệm giao dịch Internet Banking được hiểu
tương đương với một số giao dịch điện tử ngân hàng). Trong quá
trình thực tế, với các dịch vụ Internet Banking sẽ có những rủi ro
điển hình: Khả năng giả mạo máy tính của nhân viên; Máy tính

cập trái phép
Dựa vào các cơ chế an toàn bảo mật trên, chúng ta không có
cách nào đảm bảo an toàn (tính bí mật, toàn vẹn và xác thực) của
thông tin giữa hai đối tượng bất kỳ (vì không có cách tổng quát
nào để xác định độ tin cậy giữa chúng trước khi truyền thông).
Phần dưới đây sẽ đề cập đến một số phương pháp bảo vệ thông
tin bằng mật mã (cryptography). Phương pháp này được xem
như là một phương pháp bổ sung bảo vệ thông tin cho hệ thống
hiện thời.
1.2. KỸ THUẬT MÃ HÓA
1.2.1 Khái niệm hệ mã hóa
Hệ mã hóa được định nghĩa là một bộ năm (P, C, K, E, D),
trong đó
o P là tập hữu hạn các các bản rõ có thể.
o C tập hữu hạn các bản mã có thể.
o K là tập hữu hạn các khoá có thể.
o E là tập các hàm lập mã.
o D là tập các hàm giải mã.
o Với mỗi k

K, có một hàm lập mã e
k


E, ek: P

C và
một hàm giải mã d
k


rất “khó” tính được khoá riêng.
Mô hình mã hóa khóa công khai được mô tả như sau:

Hình 1-2: Mô hình mã hóa khóa công khai
21

KẾT LUẬN
Hạ tầng cơ sở về mật mã khóa công khai (PKI) là một nền
tảng cho các hệ thống thông tin an toàn, cung cấp các dịch vụ
quản lý và truy cập, tính toàn vẹn, tính xác thực, tính bí mật và
tính chống chối bỏ. PKI đảm bảo cho các giao dịch điện tử
ngân hàng cũng như những phiên kết nối bí mật được an toàn.
Kết quả chính của luận văn gồm có:
1/ Nghiên cứu về hạ tầng cơ sở mật mã khóa công khai
(PKI).
2/ Đề xuất xây dựng PKI để thực hiện xác thực và bảo mật
một số giao dịch điện tử ngân hàng
3/ Mô phỏng thử nghiệm hệ thống an toàn cho giao dịch trực
tuyến của ngân hàng.
Hướng phát triển dự kiến tiếp theo của luận văn :
1/ Xây dựng hoàn thiện chương trình mô phỏng ứng dụng
PKI phục vụ an toàn giao dịch ngân hàng. Mục tiêu là có
thể ứng dụng làm giảng dạy, là các sản phẩm demo trình
diễn trong các hội thảo hoặc tư vấn bán hàng ( khách
hàng là các ngân hàng, công ty chứng khoán cần mua
giải pháp an toàn ứng dụng PKI).
2/ Kết hợp với các nhà cung cấp ứng dụng PKI như:
Entrust, Verisign, RSA, VDC, để đề xuất các nhóm giải
pháp tư vấn phù hợp nhất triển khai cho từng hệ thống
ngân hàng đáp ứng yêu cầu an toàn đề ra với chi phí đầu


5

1.3. CHỮ KÝ SỐ
Quá trình mã hoá thông điệp với khoá riêng của người gửi
gọi là quá trình “ký số”.
Sơ đồ chữ ký là một bộ năm (P, A, K, S, V), trong đó:
1/ P là một tập hữu hạn các văn bản có thể
2/ A là một tập hữu hạn các chữ ký có thể
3/ K là một tập hữu hạn các khoá có thể
4/ S là tập các thuật toán ký
5/ V là tập các thuật toán kiểm thử
6/ Với mỗi k ∈ K, có một thuật toán ký sig
k
∈ S,
sig
k
: P → A và một thuật toán kiểm thử ver
k
∈ V,
ver
k
: P x A → {đúng, sai}, thoả mãn điều kiện sau đây
với mọi x ∈ P, y ∈ A:
ver k (x,y) = đúng, nếu y = sig
k
(x)
sai, nếu y ≠sig
k
(x)

khác tại các địa điểm của người dùng. Khóa công khai thường
được phân phối trong chứng thực khóa công khai (chứng chỉ
số).
2.1.2 Các dịch vụ và phạm vi ứng dụng của PKI
2.1.2.1. Các dịch vụ sử dụng PKI có khả năng đảm bảo năm
yêu cầu sau:
- Bảo mật thông tin
- Toàn vẹn thông tin.
- Xác thực thực thể.
- Chống chối bỏ.
- Tính pháp lý.
2.1.2.2. Phạm vi ứng dụng của PKI
- Phạm vi ứng dụng của PKI bao trùm các hệ thống từ lớn tới
nhỏ và thuộc nhiều lĩnh vực như: ngân hàng, tài chính, viễn
thông, hàng không, các nghành công nghiệp hay cho hoạt động
trao đổi công văn giữa các Sở, Ban, Nghành,….
19

4.2. SƠ ĐỒ CHỨC NĂNG HỆ THỐNG

Hình 4-1: Mô hình hệ thống thử nghiệm
- Hệ thống giao dịch từ người dùng tới ngân hàng trên kênh
truyền Internet mã hóa SSL được mô tả như sau:
1/ Web browser kết nối với web server và yêu cầu một
kết nối an toàn và an toàn bảo mật.
2/ Web server trả về cho web browser site's certificate.
3/ Web browser kiểm tra các thông tin trong site's
certificate xem có trust được hay không (khi
certificate không được trust ta sẽ thấy xuất hiện một
warning dialog, và nếu muốn cố tự mình cho rằng nó

- Thực hiện các nghiệp vụ cơ bản của Internet Banking:
Vấn tin tài khoản cá nhân và giao dịch chuyển tiền giữa các
khách hàng thông qua hệ thống ngân hàng.
Công nghệ sử dụng:
- Ngôn ngữ lập trình C#
- Công nghệ ASP.Net
- Cơ sở dữ liệu: SQL2000
- Sử dụng hệ thống cấp phát chứng chỉ số thử nghiệm SSL
của Hãng Verisign
- Hệ thống chứng thực người dùng thông qua thẻ token xác
thực One Time Password của hãng VASCO
7

2.1.3 Các thành phần của PKI
Theo định nghĩa đầy đủ, PKI gồm ba phần chính:
- Phần1: Tập hợp các công cụ, phương tiện, các giao thức
bảo đảm an toàn thông tin.
- Phần 2: Hành lang pháp lý: Luật giao dịch điện tử, các qui
định dưới luật.
- Phần 3: Các tổ chức điều hành giao dịch điện tử (CA,RA, )
2.1.4 Một số chức năng của PKI
2.1.4.1. Quản lý khóa
1/. Sinh khóa
2/. Phân phối, thu hồi khóa
3/. Cập nhật thông tin về cặp khóa
4/. Cập nhật thông tin về cặp khóa của CA
5/. Khôi phục khóa
2.1.4.2. Quản lý chứng chỉ
1/. Đăng ký và xác nhận ban đầu
2/. Cập nhật thông tin về chứng chỉ số

b
(mod n)
Giải mã:
- Dùng khóa bí mật a để giải mã y theo công thức sau:
x=y
a
(mod n).
2.2.2 Kỹ thuật xác thực:
Sử dụng sơ đồ chữ ký RSA
Thuật toán sinh khóa của sơ đồ chữ ký RSA
Thực thể A tạo khóa công khai và khóa riêng tương ứng theo
phương thức sau:
- Sinh ra hai số nguyên tố lớn ngẫu nhiên p và q
17

- Đảm bảo chứng thực được với các nhà cung cấp CA khác
nhau.
- Cung cấp giải pháp sao lưu dữ liệu cho hệ thống một cách
linh động, theo các cơ chế khác nhau.
- Có chế độ Backup dữ liệu hệ thống PKI và các file dữ liệu
liên quan của hệ thống.
2/. Tính năng registration authority (RA)
- Thêm bớt người sử dụng CA trong hệ thống.
- Quản lý người sử dụng và các chứng chỉ của họ.
- Quản trị chính sách bảo mật một cách tập trung.
- Cung cấp giao diện quản trị đa dạng.
3/. Tính năng HSM (Hardware Sercurity Module)
- Lưu trữ khóa một cách bảo mật.
- Quản lý khóa bằng phần cứng.
- Hiệu suất thực hiện các thao tác mã hóa cao.

- Máy chủ sinh khóa Việc sinh các khóa CA được thực hiện
tại một thiết bị riêng độc lập và không có kết nối vào mạng.
- Máy chủ phục hồi khóa : Máy chủ hồi phục hóa làm việc tại
phân vùng hậu phương cho phép quản lý và hồi phục khóa
3.2.2.3. Tính năng sản phẩm đề xuất:
1/. Tính năng phần mềm CA
- Quản lý chứng chỉ số tự động,trong suốt với người sử dụng.
- Lưu trữ an toàn các khóa bí mật của một hệ thống CA.
- Cấp phát các chứng chỉ số cho người sử dụng cũng như
thiết bị hay ứng dụng có yêu cầu sử dụng (chuẩn X.509).
- Phát hành danh sách thu hồi chứng chỉ .
- Duy trì một cơ sở dữ liệu an toàn và có thể kiểm soát được
về lịch sử của các khóa bí mật được cấp phát. Mục đích là để
phục hồi khóa trong trường hợp khóa của người sử dụng bị mất.
- Hỗ trợ nhiều kiến thức CA chuẩn.
9

- Tính: n=p*q và Ф(n)=(p-1)*(q-1).
- K=(n,p,q,a,b)
- Chọn b

Zn nguyên tố cùng Ф(n).
- Chọn a

Zn là nghịch đảo của b theo Ф(n).
- Các giá trị n và b là công khai, các giá trị p,q,a bí mật
Thuật toán ký và kiểm tra chữ ký
- Ký:
Với mỗi K=(n,p,q,a,b) và x


- Chữ ký điện tử của cơ quan cấp phát chứng chỉ số cho các
thông tin trên.
2.3.2.2. Mục đích và ý nghĩa của chứng chỉ số
- Mã hoá thông tin: Đảm bảo tính bí mật của thông tin
- Chống giả mạo: Việc trao đổi thông tin có kèm chứng chỉ
số luôn đảm bảo an toàn, không bị giả mạo
- Xác thực: Đảm bảo xác định rõ được danh tính của người
gửi
10

- Chống từ chối: Khi sử dụng một chứng chỉ số, ta phải chịu
trách nhiệm hoàn toàn về những thông tin mà chứng chỉ số đi
kèm.
2.3.2.3. Chứng chỉ khoá công khai X.509
Chứng chỉ X.509 v3 gồm 2 phần. Phần đầu là những trường
cơ bản cần thiết phải có trong chứng chỉ. Phần thứ hai chứa
thêm một số trường phụ, những trường phụ này được gọi là
trường mở rộng dùng để xác định và đáp ứng những yêu cầu bổ
sung của hệ thống.
Có sáu trường bắt buộc và bốn trường tuỳ chọn. Sáu trường
bắt buộc là: Số phát hành (Serial number); Kỹ thuật mã hoá ký
số (Certificate Signature Algorithm Identifier); Tên của CA
phát hành chứng chỉ (Certificate Issuer Name); Thời hạn hiệu
lực của chứng chỉ (Certificate Validity Period); Khoá công khai
(Public Key); Tên của chủ thể (Subject Name). Bốn trường tuỳ
chọn là: Số phiên bản (Version Number); Hai trường nhận dạng
duy nhất (Two Unique Indentifiers); Các phần mở rộng
(Extensions). Các trường tuỳ chọn chỉ có ở chứng chỉ phiên bản
2; 3 (Version 2; 3).
2.3.2.4. Danh sách chứng chỉ thu hồi

hay không) đều được ghi nhật ký bằng hệ thống Logging
Đối với các giao dịch nội bộ cũng tương tự như khách hàng
Internet Banking. Tuy nhiên với đặc trưng giao dịch nội bộ
trong phạm vi mạng LAN/WAN , các kênh kết nối thuê riêng,
do vậy nhu cầu giao dịch nội bộ không cần xác thức với máy
chủ web qua SSL, chỉ cần thực hiện mã hóa các giao dịch với
chứng chỉ số của từng nhân viên, giúp tránh việc giả mạo nhân
viên và đảm bảo tính pháp lý của các giao dịch nội bộ.
3.2.2 Đề xuất về tổ chức cung cấp quản lý chứng chỉ số
3.2.2.1. Đề xuất mô hình CA:
Mô hình Root CA, có một CA gốc tự cấp chứng thư cho mình
và cấp chứng thư cho các CA khác theo hình thức lan tỏa. CA
gốc được coi là điểm tin cậy của hệ thống, thường ứng dụng
trong một lĩnh vực hay quốc gia.
14

bao gồm việc sử dụng các script mức cao và sử dụng API trong
các ngôn ngữ lập trình mức thấp (C, Java).
3.1.3 Chính sách áp dụng PKI
Các thông tin về chính sách áp dụng PKI trong môi trường
giao dịch điện tử được thể hiện trong hai tài liệu là:
- CP (Certificate Policy):
o Tài liệu mức cao mô tả chính sách an ninh trong việc
cấp phát và bảo trì thông tin trạng thái chứng chỉ số;
o Mô tả vận hành của CA;
o Định nghĩa trách nhiệm của người sử dụng trong việc
yêu cầu, sử dụng và lưu giữ chứng chỉ số và các khóa.
- CPS (Certification Practices Statement):
o Tài liệu rất chi tiết mô tả việc cách thức CA áp dụng
một CP cụ thể;

LDAP (Lightweight Directory Access Protocol).
2.3.4 Cơ quan đăng ký chứng chỉ (Registration Authority)
Thành phần này là một ứng dụng nhằm cung cấp giao diện
cho người điều hành hệ thống (người được tin cậy) thực hiện
các chức năng của hệ thống CA như:
o Bổ sung người dùng (xác thực chứng chỉ người dùng).
o Quản lý người dùng và chứng chỉ của họ.
o Quản lý chính sách an toàn.
o Xây dựng cây xác thực.
2.3.5 Mô hình tổ chức chứng thực số (Certification
Authority- CA)
Hiện nay trên thế giới tồn tại ba mô hình tổ chức chứng thực
số đó là: Mô hình CA dạng phân cấp (Hierarchy model) hay
còn gọi là mô hình chứng thực gốc (Root CA Model); Mô hình
CA dạng lưới (Mesh CA Model) hay còn gọi là mô hình chứng
thực ngang hàng; Mô hình CA cầu nối (Bridge CA Model).

12

Chương 3 ỨNG DỤNG HẠ TẦNG MẬT MÃ KHOÁ
CÔNG KHAI CHO HỆ THỐNG E-BANKING
3.1. NHU CẦU VỀ AN TOÀN THÔNG TIN TRONG
HOẠT ĐỘNG NGÂN HÀNG.
3.1.1 Ứng dụng PKI và các yêu cầu của ngân hàng
Yêu c
ầ
u v
ề

đ

  

Xác thực thực thể
  

Chống chối bỏ
 

Tính pháp lý


3.1.2 Phương hướng ứng dụng PKI vào giao dịch ngân
hàng
Kết quả của việc lựa chọn sử dụng PKI giải pháp giao dịch
ngân hàng là giảm khả năng giả mạo tối đa, xác thực truy cập
với mức an ninh cao và có thể truy tìm giao dịch trong thời gian
dài thông qua các giao dịch được lưu. Xác thực thực thể, bảo
mật, bảo toàn và không thể chối bỏ là các đặc tính của PKI
cho phép triển khai giao dịch Internet Banking trong thực tế.
3.1.2.1. Lưu trữ và bảo vệ khóa bí mật sử dụng cho chữ ký
số
USB token (PKCS#11) là một giải pháp sử dụng phần cứng
cũng có độ an toàn cao tương đương như smart card nhưng lại
có độ linh hoạt cao hơn nhiều so với giải pháp đó. Khi sử dụng
USB token trong giải pháp PKI, thiết bị token vật lý chứa
13

chứng chỉ số và khóa bí mật của người sử dụng, phải cắm vào
một cổng như USB, và kích hoạt khi truy cập với số PIN duy
nhất. Đề xuất khuyến nghị lựa chọn phương thức lưu trữ khóa