HỌC VIỆN CÔNG NGHỆ BƯU CHÍNH VIỄN THÔNG

NGUYỄN CÔNG SƠN NGHIÊN CỨU HẠ TẦNG CƠ SỞ KHÓA CÔNG KHAI
CHUYÊN NGÀNH: KỸ THUẬT VIỄN THÔNG
Mã số: 60.52.02.08
TÓM TẮT LUẬN VĂN THẠC SĨ HÀ NỘI - NĂM 2014
Luận văn được hoàn thành tại:
HỌC VIỆN CÔNG NGHỆ BƯU CHÍNH VIỄN THÔNG
Người hướng dẫn khoa học: GS-TS. NGUYỄN BÌNH


và Truyền thông. Một câu hỏi tự nhiên đặt ra là: vậy ai sẽ chịu trách
nhiệm kiểm soát, giám sát về sự an toàn thông tin khi PKI đi vào hoạt
động? Để kiếm soát, giám sát an toàn thông tin trên hệ thống PKI,
trước hết chúng ta cần nghiên cứu ngay từ bây giờ, những lỗ hổng
của hệ thống và cách thức giám sat/kiểm soát như thế nào để đảm
bảo yêu cầu đặt ra.
Đây là nhiệm vụ rất khó khăn ví nó liên quan đến các kỹ
thuật cao cũng như kiến thức toán học sâu sắc. Do đó chúng ta nên
chuẩn bị trước như nhân lực, công nghệ và tổ chức thực hiện.
Trên đây là một số ý kiến của em về vấn đề nghiên cứu hạ
tầng khóa công khai tại Việt Nam. Tuy nhiên trong luận văn này vẫn
còn nhiều điểm cần phải nghiên cứu và hoàn thiện hơn, nhưng do
thời gian và trình độ nghiên cứu và tìm hiểu của bản thân có hạn nên
không tránh khỏi những nhược điểm và sai sót. Vì thế em rất mong
nhận được sự góp ý của các Thầy, Cô, Anh, Chị và các bạn.
Cuối cùng em xin chân thành cảm ơn GS.TS Nguyễn Bình
đã tận tình chỉ bảo, giúp đỡ em hoàn thành luận văn này.
Em xin chân thành cảm ơn!

1
LỜI MỞ ĐẦU

1. Lý do chọn đề tài
Chúng ta đã biết rằng hiện này Nhà nước ta đang tiến hành cải
cách hành chính, trong đó việc xây dựng một chính phủ điện tử đóng
một vai trò trọng tâm. Nói đến chính phủ điện tử là nói đến những
vấn đề như về hạ tầng máy tính, về con người, về tổ chức, về chính
sách, về an toàn – an ninh thông tin….
Trong đó đảm bảo an toàn – an ninh thông tin cho các dịch vụ
đóng một vai trò quan trọng vì nếu thông tin mà không đảm bảo an

thông tin nên chúng ta cần những tìm hiểu sâu sắc và thận trọng về
vấn đề này. Đây là vấn đề cấp thiết nên chúng ta không thể không
tiến hành nghiên cứu.
Xuất phát từ lý do trên, được sự nhất trí của nhà trường và
thầy giáo hướng dẫn, em đã chọn đề tài “Nghiên cứu hạ tầng khóa
công khai” làm đề tài khoá luận tốt nghiệp của mình.
2. Mục đích nghiên cứu
- Tìm hiểu vài trò, cấu trúc, chức năng của PKI trong thương
mại điện tử.
- Tìm hiểu các chuẩn thông dụng của PKI
3. Đối tượng và phạm vi nghiên cứu
- Hạ tầng khóa PKI và các chuẩn
4. Phương pháp nghiên cứu
- Nghiên cứu các lý thuyết cơ bản liên quan đến mã hoá, mật
mã.
- Tham khảo tài liệu, tổng hợp, đánh giá.
5. Kết cấu luận văn
Ngoài phần mở đầu, kết luận và danh mục tài liệu tham khảo,
luận văn được kết cấu gồm 3 chương:
Chương 1: Tổng quan về PKI
Chương 2: Cấu trúc của các PKI
Chương 3: Các chuẩn và ứng dụng của khóa công khai
PKI

23
3.4.4 Liên bang nhận dạng (Federate identity)
3.4.5 Sự không từ chối (non-repudiation)
3.4.6 Các nghi thức
3.5 Kết luận chương III
Chương III đã trình bầy những khái niệm cơ bản, các phương

tăng giá trị kinh doanh của nó bởi vì người dùng thích thấy chỉ dẫn có
thể nhìn thấy.
3. 4 Những thành phần cơ bản
3. 4. 1 Sự thu hồi
3. 4. 2 Các ID có ý nghĩa
3.4.3 Phân loại chứng nhận ID bằng sự chỉ định của ID

3
CHƯƠNG I
TỔNG QUAN VỀ PKI

1.1 Tìm hiểu mật mã học khóa công khai
1.1.1 Mật mã học khóa công khai
Để giải quyết vấn đề phân phối và thoả thuận khoá của mật
mã khoá đối xứng, năm 1976 Diffie và Hellman đã đưa ra khái niệm
về hệ mật mã khoá công khai và một phương pháp trao đổi công khai
để tạo ra một khoá bí mật chung mà tính an toàn được bảo đảm bởi
độ khó của một bài toán toán học cụ thể (là bài toán tính “logarit rời
rạc”). Hệ mật mã khoá công khai hay còn được gọi là hệ mật mã phi
đối xứng sử dụng một cặp khoá, khoá mã hoá còn gọi là khoá công
khai (public key) và khoá giải mã được gọi là khoá bí mật hay khóa
riêng (private key). Trong hệ mật này, khoá mã hoá khác với khoá
giải mã. Về mặt toán học thì từ khoá công khai rất khó tính được
khoá riêng. Biết được khoá này không dễ dàng tìm được khoá kia.
Khoá giải mã được giữ bí mật trong khi khoá mã hoá được công bố
công khai. Một người bất kỳ có thể sử dụng khoá công khai để mã
hoá tin tức, nhưng chỉ có người nào có đúng khoá giải mã mới có khả
năng xem được bản rõ.
 Ưu và nhược điểm của hệ mật mã khoá công khai
Vấn đề còn tồn đọng của hệ mật mã khoá đối xứng được giải

 Một nhà cung cấp chứng thực số (Certificate Authority: CA)
chuyên cung cấp và xác minh các chứng chỉ số. Một chứng chỉ bao
gồm khóa công khai hoặc thông tin về khóa công khai.
 Một nhà quản lý đăng ký (Registration Authority: RA)
đóng vai trò như người thẩm tra cho CA trước khi một chứng chỉ số
được cấp phát tới người yêu cầu.
 Một hoặc nhiều danh mục nơi các chứng chỉ số (với khóa
công khai của nó) được lưu giữ, phục vụ cho các nhu cầu tra cứu, lấy
khóa công khai của đối tác cần thực hiện giao dịch chứng thực số.
 Một hệ thống quản lý chứng chỉ.

21
Hình 3.9 minh họa một hệ thống phân cấp giấy chứng nhận
X.509 bình thường Nó là một cấu trúc cây, với một phím chữ ký vào
thư mục gốc của cây. Các lá của cây là chứng chỉ EE những cấp
không - CA Ở giữa có thể là số lượng bất kì các lớp chứng chỉ trung
gian. Những trung gian CA có thể được triển khai vì lý do an ninh,
khả năng chịu lỗi, hoặc cả hai.
 An ninh: Một CA gốc (trong đó chứa chìa khóa riêng cho
phím chữ ký gốc trong hình 3.9) cần bảo vệ khoá đó khỏi bị tổn hại.
Nếu nó đã bị tổn hại thì chữ ký đó phải bị huỷ bỏ, hiệu qủa nhất là
thu hồi các chứng chỉ ở tất cả các nhánh cây dưới nó. Nó là cách phổ
biến để một phím chữ ký gốc của một CA lớn được lưu giữ trong các
lớp của phần cứng và bảo vệ vật lý, không có kết nối mạng và được
truy cập bởi nhiều người. Mặt khác, CA áp chót có thể hoạt động như
một dịch vụ web trực tuyến. Nếu một trong số đó bị tổn hại, những
chứng chỉ EE đã ban hành sẽ phải được phát hành lại từ một CA thay
thế. Bằng cách trải tải ra trong số các CA áp chót, việc phục hồi lại
các tổn thương sẽ dễ dàng hơn.
 Khả năng chịu lỗi: Một CA chạy trên phần cứng máy tính


root
CA1 CA2
CA3
CA4
EE1 EE2 EE3
Hình 3.9: Chuỗi chứng chỉ

5
1.3.2 Nhà cung cấp chứng thực số CA (Certificate Authority)
1.3.3 Chứng chỉ số
1.4 Một vài kiến trúc PKI hiện hành
1.4.1 Một số ứng dụng
1.4.2 Một số hệ thống PKI
1.5 Kết luận
Một vài năm trở lại đây PKI là một chủ đề nóng đối với các
doanh nghiệp lớn. Ở Việt Nam đây vẫn là một đề tài khá mới mẻ. Do
vậy tìm hiểu và xây dựng hạ tầng cơ sở xác thực khóa công khai

128
phép toán. Nhưng đến nay mục tiêu đó đã bị thất
bại. Xung đột của MD4 có thể tìm thấy với khoảng 2
20
phép toán.
2.1.4.2 Hàm băm MD5
Hàm băm MD5 là một hàm băm có độ dài 128 bit. Nó là hàm
băm cải tiến của MD4. Đầu vào là những khối 512bit, được chia cho
16 khối con 32bit. Đầu ra của thuật toán là một thiết lập của 4 khối
32bit để tạo thành một hàm băm 128bit duy nhất.
2.1.4.3 Họ hàm băm SHA
Thuật toán SHA là thuật toán băm mật được phát triển bởi
cục an ninh quốc gia Mỹ và được xuất bản thành chuẩn của chính
phủ Mỹ bởi viện công nghệ và chuẩn quốc gia Mỹ. Họ hàm băm
SHA bao gồm 5 thuật toán băm an toàn là: SHA – 1, SHA – 224,

19
X.500 đã được sản xuất như một thư mục đơn trên toàn thế
giới của tất cả mọi người và các thiết bị có thể tiếp cận được bởi các
mạng lưới thông tin liên lạc khác nhau. Có những sản phẩm khác
nhau được xây dựng trên cơ sở dữ liệu của X.500.
Tiêu chuẩn X.509 đã được tạo ra để chuẩn hóa các chứng chỉ
ID trong các thư mục X.500 toàn cầu. Nó đã vượt qua những giấc mơ
của một thư mục X.500 toàn cầu và được sử dụng phổ biến hiện nay,
mặc dù một số giả định thiết kế của nó đã được vô hiệu bởi sự thiếu
hụt của thư mục toàn cầu.
3.3.1 Ngôn ngữ cấu trúc dữ liệu
X.509 và cấu trúc dữ liệu có liên quan được phân loại trong
bảng tóm tắt ký hiệu cú pháp ASN.1. ASN1 nắm bắt được cấu trúc
của các kiểu dữ liệu phức tạp (SET, SQUENCE, dãy các loại, vv)

3.2.6 Ưu điểm của các nhóm và các phạm vi
3.2.7 Thống nhất ký hiệu và các quy tắc bảo mật
3.2.8 quyết định ủy quyền
3.3 Chứng nhận X.509
Ngày nay hầu hết mọi người cho rằng PKI được giới hạn trong
các chứng nhận X.509 và các giao thức khác nhau và các dịch vụ hỗ
trợ sử dụng của nó.

7
SHA – 256, SHA – 384 và SHA – 512. Bốn thuật giải sau thường
được gọi chung là SHA – 2.
2.2 Chữ ký số
2.2.1 Giới thiệu
2.2.2 Định nghĩa
2.3 Mô hình PKI
2.3.1 Mô hình đơn
Đây là một mô hình tổ chức CA cơ bản và đơn giản nhất.
Trong mô hình CA đơn chỉ có một CA xác nhận tất cả các thực thể
cuối trong miền PKI. Mỗi người sử dụng trong miền nhận khóa công
khai của CA gốc (root CA) theo một số cơ chế nào đó. Trong mô
hình này không có yêu cầu xác thực chéo. Chỉ có một điểm để tất cả
người sử dụng có thể kiểm tra trạng thái thu hồi của chứng chỉ đã
được cấp. Mô hình này có thể được mở rộng bằng cách có thêm các
RA ở xa CA nhưng ở gần các nhóm người dùng cụ thể. Hình 2.8: Mô hình CA đơn

Ưu điểm:
Mô hình này dễ triển khai và giảm tối thiểu được những vấn

nhiều hàng ngàn người giữ khóa cá nhân. Không phải là họ sẵn sàng
tham gia tất cả các yêu cầu chỉnh sửa cá nhân để có một lớp đồ thị
logic kiểm soát truy cập đơn – với mỗi cá thể được liệt kê trong một
ACL cho mỗi tài nguyên mà cá nhân có thể cần phải truy cập. Để
việc quản lý dễ dàng hơn, hầu hết hệ thống sử dụng các nhóm có
tên(tập hợp các chủ thể/ người giữ khóa) và sử dụng một số tên phạm
vi (tập hợp các tài nguyên chia sẻ một chính sách kiểm soát truy cập).
Một nhóm được định nghĩa như một tập hợp các ID. Tập hợp
đó có thể được duy trì trong một cơ sở dữ liệu tại địa phương trên
máy tính của RP hoặc trong một số thư mục thường có sẵn hoặc nó
có thể được thể hiện bằng một tập hợp chứng nhận, mỗi chứng nhận
chỉ rõ một thành viên. Trong văn bản, cả chứng nhận thành viên hoặc
mục nhập cơ sở dữ liệu có thể được biểu diễn như sau: Bằng đồ thị: Sự khác biệt duy nhất giữa một định nghĩa định danh (hình 3.
5) và một nhóm thành viên (hình 3.5) là có sự đặc trưng hơn là lập
bản đồ cho cùng một nhóm ID. Tuy nhiên, đó là một hạn chế nhân
tạo, và chương này bỏ qua sự phân biệt đó từ đây.
(K
1
,N)
(K
A

dài hơn đó, mà PKI được sử dụng.
3.2.2 Kiểm soát truy cập tại nguồn
Có rất nhiều cách để mô tả cách thực hiện để đưa tới một
quyết định ủy quyền, nhưng chương này sẽ bắt đầu với cơ chế cơ bản
nhất: danh sách kiểm soát truy cập (ACL). Có hai dạng thông thường
của ACL: mặc định từ chối và mặc định cho phép. Sự lựa chọn giữa
hai dạng này có liên quan trực tiếp tới PKI được sử dụng để hỗ trợ
chúng.
3.2.3 Các ID
Bất kỳ chính sách bảo mật nào cũng đều được tạo ra bởi con
người. Cả những người quản trị và những người dùng thông thường
đều không có khả năng xử lý những khóa công khai như các chuỗi số
và có ý nghĩa trong số chúng. Người sử dụng cần một định danh có
thể tiêu hóa được để xử trí trong khi thiết lập chính sách. Định danh

9
Trong mô hình này, mỗi thực thể sẽ giữ bản sao khóa công
khai của Root CA và kiểm tra đường dẫn của chứng chỉ bắt đầu từ
chữ ký của CA gốc. Đây là mô hình PKI tin cậy sớm nhất.
Ưu điểm:
- Mô hình này có thể dùng được trực tiếp cho những doanh
nghiệp phân cấp và độc lập, cũng như những tổ chức chính phủ quân
đội.
- Cho phép thực thi chính sách và chuẩn thông qua hạ tầng
cơ sở.
- Dễ vận hành giữa các tổ chức khác nhau.
Nhược điểm:
 Có thể không thích hợp đối với môi trường mà mỗi miền
khác nhau cần có chính sách và giải pháp PKI khác nhau.
 Có thể không thích hợp cho những mối quan hệ ngang

 Linh hoạt hơn và phù hợp hơn với nhu cầu giao dịch hiện
nay.
 Cho phép những nhóm người sử dụng khác nhau có thể tự do
phát triển và thực thi những chính sách và chuẩn khác nhau.
 Cho phép cạnh tranh.
 Không phải là mô hình phân cấp và khắc phục được những
nhược điểm của mô hình phân cấp tin cậy ở trên.
Nhược điểm:
 Phức tạp và khó để quản lý vì việc xác thực chéo.

15
CHƯƠNG III
CƠ SỞ HẠ TẦNG KHÓA CÔNG KHAI

3.1 Giới thiệu
Vai trò và thuật ngữ
Trong một PKI có 3 vai trò của các thực thể và chúng được
nhắc đến bởi tên gọi và từ viết tắt như sau:
 Người phát hành (Issuer) – người phát hành các
chứng nhận hay người lập ra một thư mục hay cơ sở
dữ liệu mà bao gồm ID hay thuộc tính có thể được
bao hàm trong chứng nhận.
 End Entity (EE) – chủ thể của chứng nhận – người
nắm giữ chìa khóa mật, người mà có khóa lien kết
công khai ở trong chứng chỉ được cấp.
 Relying party (RP) – thực thể đọc các chứng nhận
(hay lấy thông tin từ một thư mục tương đương hay
cơ sở dữ liệu nhập vào) và sử dụng các thông tin đó
để làm ra một quyết định bảo mật.
3.2 Các quyết định bảo mật


11
 Khó có khả năng thực hiện và có thể không hoạt động vì
những lý do giao tác.
 Phần mềm người sử dụng có thể gặp phải một số vấn đề khi
tìm chuỗi chứng chỉ.
 Để tìm chuỗi chứng chỉ CRLs với những mô hình khác thì
việc sử thư mục có thể trở nên khó hơn.
2.4. Ứng dụng của hạ tầng khóa công khai
2.4.1. Mã hóa
Khi người gửi đã mã hóa thông tin bằng khóa công khai của
một người thì chắc chắn chỉ có người đó mới giải mã được thông tin
để đọc. Trong quá trình truyền thông tin qua internet, dù có đọc được
các gói thông tin đã mã hóa này kẻ xấu cũng không thể biết được
trong gói tin có thông tin gì. Đây là một tính năng rất quan trọng,
giúp người sử dụng hoàn toàn tin cậy về khả năng bảo mật thông tin.
Những trao đổi thông tin cần bảo mật cao, chẳng hạn giao dịch liên
ngân hàng, ngân hàng điện tử, thanh toán bằng thẻ tín dụng đều cần
phải có chứng chỉ số để đảm bảo an toàn.
2.4.2. Chống giả mạo
Khi một người gửi đi một thông tin có thể là một dữ liệu
hoặc một Email, có sử dụng chứng chỉ số, người nhận sẽ kiểm tra
được thông tin của người gửi có bị thay đổi hay không. Bất kỳ một sự
sửa đổi hay thay thế nội dung của thông điệp gốc đều sẽ bị phát hiện.
Địa chỉ mail, tên domain… đều có thể bị kẻ xấu làm giả để đánh lừa
người nhận ăn cắp thông tin quan trọng. Tuy nhiên, chứng chỉ số thì
không thể làm giả nên việc trao đổi thông tin có kèm chứng chỉ số
luôn đảm bảo an toàn.
2.4.3. Xác thực
Khi sử dụng một chứng chỉ số, người nhận – có thể là đối tác

thể tạo thêm một chữ ký điện tử vào email như một bằng chứng xác
nhận của mình. Chữ ký điện tử cũng có tính năng xác thực thông tin,
toàn vẹn dữ liệu và chống chối bỏ nguồn gốc.
Ngoài ra, chứng chỉ số cá nhân còn cho phép người dùng có
thể chứng thực mình với một web server thông qua giao thức bảo mật
SSL. Phương pháp chứng thực dựa trên chứng chỉ số được đánh giá

13
là tốt, an toàn bảo mật hơn phương pháp chứng thực truyền thống
dựa trên mật khẩu.
2.4.6. Bảo mật website
Khi website sử dụng cho mục đích thương mại điện tử hay
cho những mục đích quan trọng khác, những thông tin trao đổi giữa
bạn và khách hàng có thể bị lộ. Để tránh nguy cơ này bạn có thể dùng
chứng chỉ số SSL server để bảo mật cho website.
Chứng chỉ số SSL server sẽ cho phép bạn lập cấu hình
website của mình theo giao thức bảo mật SSL. Các tính năng nổi bật:
 Thực hiện mua bán bằng thẻ tín dụng
 Bảo vệ những thông tin cá nhân nhạy cảm của khách hàng
 Đảm bảo Hacker không thể dò tìm được mật khẩu
2.4.7 Đảm bảo phần mềm
Chứng chỉ số nhà phát triển phần mềm sẽ cho phéo bạn ký
vào các script, ActiveX control, các file dạng EXE, CAB, DLL…
như vậy, thông qua chứng chỉ số bạn sẽ đảm bảo tính hợp pháp cũng
như nguồn gốc xuất xứ của sản phẩm. Hơn nữa người dùng có thể
xác thực được bạn là nhà cung cấp, phát hiện được sự thay đổi của
chương trình (virus, crack, bản lậu,…).
2.5 Ví dụ hệ thống PKI của Hàn Quốc
Hàn Quốc là một quốc gia đi đầu trong việc sử dụng mô hình
hệ thống Chứng thực số phân cấp. Họ đã đầu tư 9,3 triệu USD để xây