Đ Ạ I H Ọ C Q U Ố C G I A H Ả N Ộ I
K H O A C Ô N G N G H Ệ
■
NGUYỀN MẠNH HÙNG
X Â Y D Ư N G H Ê T H Ố N G C H Ứ N G C H Ỉ S Ó V À
• •
Ứ N G D Ụ N G C H Ữ K Ý S Ố T R O N G T H Ư Đ I Ệ N T Ử
Chuyên ngành : Công nghệ thông tin
Mã số : 01.01.10
LUẬN VĂN THẠC sĩ
NGƯỜI HƯỚNG DẢN KHOA HỌC: TS ĐỎ TRUNG TUÂN
ĐẠI HOC. QUỐC GIA HÀ NÔI
TRuNGTÂM THÔNG TIN .THư VIỆN
No \ L L Q J 1 M
HÀ NỘI - 2003
MỤC LỤC
I . B ả o m ậ t I n t e r n e t , m ậ t m ã v à a n to à n t h ô n g t i n

6
1.1 Bảo mật Internet 6
a. Hiểm hoạ về an ninh mạng 6
b. Hiểm hoạ đe doạ dịch vụ 7
1.2 Mật mã và An toàn thông t in
8
1.2.1 Các hệ mật mã cổ điển 9
a. Mã dịch chuyển (Shift Cipher) 10
b. Mã thay thế (Substitation) 10
c. M ãApphin 11
d. Mã Vigenere 11
e. Mã H ill 12
f. Mã hoán v ị 12

b. Khuôn dạng của S/M IM E 45
c. Cơ chế làm việc của S/M IME 49
d. ứng dụng của S/MIME 54
IV . X â y d ự n g h ệ t h ố n g c h ứ n g c h ỉ s ô v à ứ n g d ụ n g x â y d ự n g
d ịc h v ụ S /W e b m a il 56
IV .l Cơ chế hoạt động của hệ thống chứng chỉ số 56
a. Cơ chế hoạt động của chứng chi cá nhân 56
b. Cơ chế hoạt động của chứng chỉ máy c h ủ 56
c. Cơ chế xác nhận chứng c h ỉ 57
d. Cơ chế xác nhận đảm báo 58
IV.2 Hệ thống chứng chỉ số 63
IV.2.1 Khối chức năng của nhà cung cấp chứng chi 64
IV.2.2 Khối chức năng xác nhận đăng ký chứng chỉ (RAServer) 69
IV.2.3 Khối chức năng dành cho người sử dụng giao tiếp với R A

72
IV.3 ứ n g dụng chứng chỉ số vào xây dựng dịch vụ SAVebmaiI

74
3
IV.3.1 Các chức năng chính của dịch vụ S/Webmail
74
IV.3.2 Lợi ích khi áp dụng hệ thống chứng chi sổ vào hệ thống m ail

80
K ế t lu ậ n 82
v .l Những kết quả chính đã đạt được 82
V.2 Những hạn chế của hệ th ống 83
V.3 Tương iai của hệ thống 84
T à i liệ u t h a m k h ả o 85

các công nghệ chuấn này và áp dụng chúng một cách linh hoạt vào những hệ thống
mạng truyền thông máy tính theo những tính chất và đặc thù riêng.
Chứng chí số là một bước tiến quan trọng của hệ thống bảo mật, áp dụng phương
pháp mã hoá chìa khoá công cộng hiện đại. đam bảo tính an toàn cao cho thông tin
trong quá trình truyền đi trên mạng. Hiện nay, trên thế giới đã có nhiều quốc gia triển
khai hệ thống chữ ký số (chừ ký điện tử) trong các hoạt động kinh tế, xã hội của quốc
gia mình, đây là một trong những ứng dụng tiêu biểu, hiệu quả, tin cậy cao của hệ
thống Chứng chỉ số đổi với xã hội, ngoài ra còn có một số ứng dụng khác trên nó như:
báo mật thư điện tử, giao dịch điện tử, chính phú điện tử,
Tại Việt Nam hiện đã có nhiều doanh nghiệp, tổ chức quan tâm và có nhu cầu sử
dụng, ứng dụng hệ thống chứng chỉ số vào các hoạt động cùa mạng truyền thông máy
tính. Một số lĩnh vực đặc biệt như Ngân hàng. An ninh đã triển khai các ứng dụng
bước đầu trên hệ thống chứng chi sổ đang trong giai đoạn thử nghiệm.
Lời mở đầu
5
Xuất phát từ nhu cầu thực tiễn và các kiến thức về những công nghệ chuân đã thu
thập, tôi đề xuất hướng “Xây dựng hệ thống chứng chi số và ứng dụng chừ ký số
trong thư điện tử”. Từ đó tạo tiền đề cho phép phát triển một loạt các ứng dụng trong
tương lai trên nền tảng của hệ thống chứng chỉ số, nhàm hướng tới xây dựng một hệ
thống chứng chì số có khả năng ứng dụng trong nhiều lĩnh vực kinh tế, xã hội của đất
nước.
Trong cuốn khoá luận tốt nghiệp này, tôi sẽ trình bày các cơ sở lý thuyết của Mật mã
hiện đại. cơ sở lý thuyết về chứng chỉ số và thư bảo mật S/MIME, từ những cơ sở lý
thuyết trên triển khai và xây dụng: Hệ thống cấp phát chứng chỉ số SoftCA, hệ thống
thư tín điện tử bảo mật S/Webmail qua các phần cụ thể sau:
Lời giói tlíiệu
Phần I Báo mật Internet và mật mã an toàn thông tin
Phần II Chứng chi số và các vấn đề liên quan
Phần III Giới thiệu hệ thống thư điện tử và S/MIME
Phần IV Xây dựng hệ thống chứng chỉ số và ứng dụng xây dựng dịch vụ

cảm hay chặn những thông tin nhất định.
• Giá mạo: Trong quá trình gưi thư đi, thông tin bị thay đổi hay đảo lộn rồi sau đó
mới được gửi đến cho người nhận. Ví dụ như thay đổi nội dung một đom đặt hàng
hay thay đổi lý lịch một người.
• Mạo nhận: Thông tin được chuyên đến cho một người được coi như là ngirời nhận
thực sự. Mạo nhận có thể chia làm hai hỉnh thức:
> Bắt chước (Spoofing): Một người có thề giả vờ là một người khác. Ví
dụ như một người có thể giá vờ là có địa chỉ thư điện tử ,
hoặc một máy tính có thể tự nhận mình là site www.mozilla.com trong khi thực
tế nó không phải như vậy.
> Mô tả sai (Misrepresentation): Một người hay một tổ chức có thể tự
mô tả sai chỉnh mình. Giả dụ như site www.mozilla.com có thể tự nhận mình là
một cửa hàng đồ gỗ trong khi thực tế nó chi là một site nhận tiền thanh toán
bằng thẻ tín dụng nhưng không bao giờ gứi hàng.
❖ Bản thân các giao thức thành phần trong bộ giao thức TCP/IP đều được thiết kế đề
làm việc với một loại gói số liệu nhất định, với một thủ tục thiết lập kết nổi (thủ tục
7
bắt tay) và trao đổi số liệu nhất định. Do đó. nếu các giao thức thành phân này phài
làm việc ở một chế độ khác hay với một loại giả mạo khi thiết lập kết nối và trao
đồi sổ liệu thì rất có thể chúng sẽ suy yếu hay làm sụp đổ cá hệ TCP/IP cua hệ
thống.
b. Hiểm ho ạ đe doạ dịch vụ
Q Hiếm hoạ dịch vụ thư điện tử
• • • •
Đối với dịch vụ thư điện tử SMTP, có một số mối đe doạ sau đây:
> Từ chổi thư điện tứ: Đây là mối đe doạ làm tê liệt máy phục vụ thư điện tử bằng
cách gửi liên tiếp các bức thư điện tử có kích thước cực lớn, còn gọi là “bom thư”.
Thông thường, các máy phục vụ thư không có khả năng nhận các bức thư lớn hơn
1 Mbyte hoặc nhận một số lượng thư lớn tại một thời điềm. Trong trường hợp
này. máy phục vụ thư không còn kha năng xứ lý các truy nhập hộp thư một cách

tất cả số liệu trao đồi trên kết nối Telnet và biết được rõ ràng tên hoặc/và mật khẩu của
người dùng.
Ngoài ra bản thân chương trình Telnet có thế ghi lại rõ ràng tên và mật khẩu của người
đặng ký sứ dụng hệ thống, và vì vậy, một khi đã đăng nhập trái phép vào hệ thống thì
hoàn toàn có thế đọc được tên và mật khấu rõ ràng của người dùng cũng như các thông
số hệ thống khác.
Cách đơn giản nhất để chống lại mối đe doạ dịch vụ này là mã hoá nội dung số liệu
trao đổi kết nối Telnet, bao gồm tên, mật khẩu người dùng và số liệu.
□ Hiểm hoa dich vu FTP
• • •
Dịch vụ FTP thường bị đe doạ khi không được quản lý một cách chặt chẽ, nhất là các
thư mục số liệu riêng, nội dung không được lưu giữ một cách tách biệt với các thư
mục số liệu “Công cộng” để cung cấp cho dịch vụ FTP. Trong những trường họp này,
người dùng dịch vụ FTP để truy nhập các số liệu công cộng có thể tải về các số liệu nội
bộ, không công khai một cách hết sức dễ dàng. Hơn thế nữa, người dùng trái phép còn
có thể thay đổi quyền truy nhập vào một số tệp số liệu khác mà họ quan tâm đế tải về
được các số liệu này làm đảo lộn chính sách quán lý quyền truy nhập hệ thống và các
ứng dụng được thiết lập trước đó.
Tương tự như dịch vụ Telnet, tên và mật khẩu của người dùng trong dịch vụ FTP cũng
không được bảo vệ. Vì vậy đây cũng là một mối đe doạ lớn, tên và mật khẩu rất dễ bị
lộ nếu có người dùng trái phép thu và phân tích số liệu kết nối FTP.
1.2 Mật mã và An toàn thông tin
Thông thường, những người sứ dụng các máy tính liên kết tạo nên Internet hay các
mạng khác không kiểm soát hay can thiệp vào giao thông trên mạng đi qua máy họ.
Tuy nhiên rất nhiều giao dịch cá nhân và giao dịch kinh doanh nhạy cảm trên Internet
cần đề phòng những mối nguy hiếm đã đề cập ở trên.Vì vậy, một bộ đầy đủ các kỹ
9
thuật và tiêu chuân đáng tin cậy gợi là mật mã chìa khoá công cộng đã ra đời và làm
cho việc đề phòng này trở lên khá dễ dàng.
Mật mã được dùng đê bảo vệ bí mật thông tin khi thông tin được truyền trên các kênh

Trong thực tế, p và c thường là báng chữ cái (hoặc tập các dãy chữ cái có độ dài cố
định);
Nếu bản rõ là một xâu chữ cái:
x=x1x2 xn (x,eP), và khoá là K.
Thì bán mã sẽ là:
y=yiy2 yn (yieC )
Trong đó yi=ek(Xj) (1< i < n). Nhận được ban mã y, biết khoá K sẽ giải được bản rõ X,
vì Xj=dk(yi).
a. Mã dịch chuyển (Shift Cipher)
Ký hiệu: zm là tập các số nguyên từ 0 đến m-1, ký hiệu đó cũng dùng cho vành các số
nguyên từ 0 đến m-1 với các phép cộng và nhân theo mod m.
Như vậy bảng chừ cái tiếng Anh có thể xem là vành z?6 với sự tương ứng kể trên. Mã
dịch chuyến được định nghĩa như sau:
P=C=K=Z26. Với keK, định nghĩa:
ek(x) = x+k mod 26;
dk(y) = y-k mod 26;
(x,y 6 z26)
Mã dịch chuyển đã được sử dụng từ rất lâu, với k=3 được gọi là mã Caesar.
Tập khoá chỉ có tối đa 26 khoá nên việc tìm mã có thể thực hiện bằng cách dịch chuyển
tuần tự 26 khoá đó. Do đó, độ an toàn của mã dịch chuyển là rất thấp.
b. Mã thay thể (Substitution)
Khoá của phép mã thay thế là một hoán vị bảng chữ cái. Gọi S,(E) là tập họp tất cả các
phép hoán vị các phần tử của E. Mã thay thế được mô tả như sau:
p=c=z26. Với keệ(Z 26)
với mồi 7ieK, tức là một hoán vị trên z26, ta xác định:
e,(x) = 7i(x) v àd n(y) = 7ĩ'l(y),
10
11
với x,y e z 26,7I’1 là nghich đáo của 71
Dề xác định được 7i'\ và do đó từ bán mã ta lại tìm được ban rõ.

trong ban rõ. Như vậy khoá sẽ được cho bới một ma trận cấp m, tức là một phân tư của
z 26m'm- Đe phép biến đổi tuyến tính xác định bởi ma trận K eZ26mxm có phép nghịch
đảo, ma trận K cũng phần tử nghịch đáo K 1 eZ 26mxm. Điều kiện cần và đủ đề ma trận K
có ma trận nghịch đảo là định thức của nó. ký hiệu det K, nguyên tố với m. Như vậy,
mã Hill được mô tả như sau:
Cho m là số nguyên dương. p = c= z m26-
X={KeZ26mxm: (det K,26)=l},
Với mỗi K ex ta định nghĩa
ek(x,x2 x m) = (X|,X2, . K
dk(yiy2 ym) = (yi,y2, ■ K'1
f. Mã hoán vị
Khác với các mã trước, mã hoán vị không thay đổi các ký tự trong bản mã rõ, mà chi
thay đổi vị trí các ký tự trong từng bộ m các ký tự của bán rõ. Ta ký hiệu là tập họp
tất cả các phép hoán vị của {1 ,2 , m}. Mã hoán vị được mô tả như sau:
Cho m là số nguyên dương. p = c = z m26, Xe Cm
Với mỗi K=7ieÇm, ta định nghĩa:
ek(x,x2 x m) .«= (xn(1),xn(2), ,xK(m)) và
dk(yiy2 ym) = (y /u ^ y /u ).
Trong đó 71'1 là hoán vị nghịch đảo của 71.
g. Mã dòng (Stream ciphers)
Trong các hệ mã được xét cho đến nay, ta dùng cùng một khoá K để mã hoá các ký tự
(hay các bộ m ký tự) trong văn bán rõ. Điều khác cơ bản của mã dòng là sinh ra một
dòng khoá Z=Z|Z2 và dùng chúng đề m ã hoá các ký tự ở các vị trí trong bản rõ
X=X|X2 , cụ thế là bản mã được xác định bởi:
y=yiy2 = ezi(xl)ez2(x2)
Một cách tống quát mã dòng được định nghĩa như sau:
Một hệ mã dòng là một bộ ( íp, c,, X- 3 , F, ị, 9) thoả mãn điều kiện sau đây:
<p: là một tập hữu hạn các bán rõ
C,: là một tập hữu hạn các bản mã
%: là một tập hữu hạn các khoá chính

năm 1980 công bố “các cách dùng DES”. DES được cài đặt cả với tư cách là một thiết
bị phần cứng, cả với tư cách một thiết bị phần mềm và đã được sử dụng rộng rãi trong
khu vực hành chính, kinh tế, đặc biệt trong các hệ thống ngân hàng.
R2=L,© f(R,,K2)
R|5-L|4® f(R|4,K|ỉ)
ĩ
Ri6=L,5® f(R|5,K
So do DES
R I = L0® f(R0,K|)
Sơ đồ chung: DES thực hiện mã hoá trên từng khối bản rõ là một xâu 64 bít, có một
khoá là một xâu 56 bit, và cho ra văn bản mã cũng là một xâu 64 bit. Sau một hoán vị
ban đầu IP, bản rõ được chia thành 2 nửa L0 và Rfl, mỗi nửa 32 bit. Từ đó thực hiện 16
vòng những phép toán giống nhau, trong đó dừ liệu được kết hợp với khoá. Đến vòng
15
cuối cùng, ta đảo ngược 2 nứa để được R15L 15, và thực hiện phép hoán vị ngược IP'1
trên R|sL|5 để được bản mã.
Tinh bảo mâí của DES
Ta chú ý rằng trong cấu trúc của thuật toán DES, ở mỗi vòng lặp đều thực hiện xen kẽ
liên tiếp nhau các phép dịch và thay thế. điều đó nói chung có tác dụng tăng thêm độ
bao mật của s (nội dung cần báo mật). Nhưng yếu tố phi tuyến duy nhất trong các phép
toán của s là ở các hộp s (S 1, s 2, S3, s 8). Chúng ta không biết các hộp đó đã được
chọn theo các tiêu chuân nào và NSA có cài vào đó những “cửa sập” nào không. Sau
nhiều cố gấng tìm mã, đặc biệt là sau việc tìm mã bằng phương pháp “phân tích chênh
lệch" được công khai hoá, người ta đã công bố các tiêu chuẩn cho các hộp s như sau:
■ Mỗi hàng cua mỗi s phải là một hoán vị của 0, 1, 15.
■ Hộp s không phải là hàm tuyến tính hay apphin của các đầu vào của nó.
■ Thay đổi một bit vào ớ một hộp s gây ra sự thay đổi ít nhất hai bit ra của nó.
■ Nếu hai xâu vào của một hộp s giống nhau ở hai bít đầu và hai bit cuối, thì hai
xâu ra phải khác nhau ít nhất ở hai bit.
■ Nếu hai xâu vào của một hộp s khác nhau ở hai bit đầu và giống nhau ở hai bit

dk -(y)=ya mod n
Thực thi hệ RSA: hệ RSA chỉ có khá năng bảo mật nếu p, q và n là những số rất lớn
(cỡ khoảng hơn 100 chữ số thập phân đối với p và q và hơn 200 chừ số thập phân đổi
với n). Để tạo khoá và thực hiện các phép lập mã, giả mã ta phải giải quyết các bài toán
sau đây:
■ Tìm các số nguyên tố lớn đề làm các giá trị p, q.
■ Thực hiện các phép toán số học trên các số rất lớn. đặc biệt là phép mã với
sổ mã lớn theo mod n.
Đề triển khai RSA, phải xây dựng các chương trinh tính toán số học trên các số rất lớn;
phép mũ xb có thể thực hiện qua phép bình phương và nhân.
17
□ Hệ mật mã Rabin
Hệ được đề xuất bởi Ranbin năm 1979 như sau:
Giả sử n là tích của 2 sổ nguyên tố khác nhau n = p.q, với p,
q = 3 (mod 4).
Lấy p = £ r Zn, và
K={(n. B, p. q): 0 < B < n-1}
Với K=(n, B, p, q), khoá công khai K'=(n,B), khoá riêng
K”=(p, q)
ek-(x) = x(x+B) (mod n)
dk (y) = Căn bặc hai [ (B2/4)+y ]- (B/2) (mod n)
b. Hệ mật mã EỈGamaí và các hệ tương tụ-
□ Hệ mã EIGamal
Hệ mã ElGamal được đề xuất từ năm 1985, dựa trên cơ sở bài toán logarit rời rạc. Giả
sử p là một số nguyên tố lớn (thường có ít nhất 150 chữ số thập phân), a là một phần tử
nguyên thuỷ theo mod p, và sao cho bài toán tính loguP là khó. Chưa có tiêu chuẩn nào
đối với p và a đề đảm bảo bài toán tính log„P là khó, nhưng có một số dấu hiệu, chẳng
hạn p- 1 phái có ít nhất một thừa số nguyên tố “lớn”, cho ta hy vọng đạt được điều đó:
Hệ mã ElGamal được mô tả như sau:
Cho p là số nguyên tố, và a là một phần tử nguyên thuỷ của z*p

Trong đó
y , = a \ y2 = x ° p k
Thuật toán giải mã được xác định bởi
dk”(y) = y 2 ° (y iV
(° là phép toán nhóm của G).
c. Các hệ mật mã dựa trên bài toán NP đầy đủ
Nguyên tắc chung:
Các bài toán NP đầy đủ là các bài toán mà cho đến nay chưa tìm được một thuật toán
với độ phức tạp tính toán đa thức nào để giải chủng. Và tính “khó” của chúng lại được
bảo đảm bằng sự kiện là nếu có một thuật toán với độ phức tạp đa thức giải được một
bài toán NP đầy đủ nào đó thì lập tức ca lớp NP sẽ bằng lớp p, tức mọi bài toán
NP đầy đủ đều giải được trong thời gian đa thức.
19
Nguyên tắc chung để xây dựng một hệ mật mã dựa vào một bài toán NP đầy đủ là: Hệ
mật mã được xây dựng sao cho việc giải mã tương đương với việc tìm lời giai cho bài
toán NP đầy đù đó. Tuy nhiên có một thu thuật để biến dừ liệu đối với bài toán chung
đó thành dừ liệu trong trường hợp riêng cua bài toán mà đối với chúng ta là dễ giải.
“Thủ thuật” đó được sứ dụng như một “cửa lật”, làm cho hàm mật mã nói chung thành
một thứ hàm “cửa lật” một phía.
□ Hệ mật mã Merkle-Hellman
Bài toán KNAPSACK là NP đầy đú. Nhưng nếu dữ liệu cùa bài toán I = (S|, sn, T)
thoa mãn tính chất: dãy S], sn siêu tăng tức là:
Vj=2

n : Sj > Z i - i J' l Si,
Thì việc tìm lời giải là khá dễ dàng. Thuật toán sau đây sẽ cho ta biết bài toán đối với
dữ liệu I có lời giải hay không, và nếu có thì tìm ra lời giải (X|, xn) đó:
. for i = n downto 1 do
ifT > S jth en
T = T - Si

phương pháp thám mã dựa vào một thuật toán cúa Lenstia giải bài toán quy hoạch
động. Tuy nhiên, sau đó, năm 1988, Char và Ri vest có đưa ra một hệ mật mã khác cũng
dựa vào bài toán KNAPSACK cho đến nay chưa bị phá.
□ Hệ mật mã Mc-Eliece
Hệ mật mã Mc-Eliece dựa vào tính NP đầy đủ của bài toán giải mã tuyến tính tự sửa
sai. Bài toán có thế viết lại như sau: Giả sử n và k là các số nguyên dương, n > k, G là
ma trận cấp k * n với các giá trị 0 và 1. Một vector X = (X), xk) e {0,1}k được mã
hoá thành y = {yI, yn} e {0, 1 }n bởi: y = X.G
Ta định nghĩa khoáng cách d cùa hệ mã đó là khoang cách Hamming bé nhất giữa hai
từ mã bất kỳ. Một hệ mã như vậy được gọi là hệ [n, k, d] mã. Nếu d = 2t + 1 thì hệ mã
có khả năng tự sửa sai đến t sai ngẫu nhiên Thuật toán tự sửa sai, tức cũng là thuật toán
giải mã, có thể được xây dựng theo kiểu các thuật toán tìm láng giềng gần nhất. Tuy
nhiên khi k và t lớn, thì thuật toán có độ phức tạp rất lớn, và nói chung không giải được
trong thời gian đa thức trong trường hợp tông quát.
Một trường họp riêng mà bài toán có thể giải được thực hiện dễ hơn là trường họp mã
Gopper, đó là một hệ mã có n=2m, d=2t + 1 ; k=n-mt, có ma trận sinh G cấp k * m được
xây dựng dựa theo một số tính chất đại số của trường GF(2n). Ta sẽ dùng một ma trận s
khả nghịch cấp k * k trên z 2, và một ma trận hoán vị p cấp n * n (cũng có phần tử trong
z 2) đế biến hệ mã Gopper thành hệ mã phố biển, và được hệ mật mã McEliece như sau:
Lấy fp = z k2, ; = z k2; đặt G’ = SGP,
K = {(G, s, p, G’) với G, s, p, G ’ như trên
Với K = (G, S. p, G ’), ta giữ bí mật K ” = (G, s, P) và công khai
21
K’ = G ’
Lập một mã:
ek(x, e) = xG' + e, trong đó e € z"2. là một vectơ ngẫu nhiên có
trọng số t.
Giải mã: Nhận y € z'\, giải mã theo các bước:
T ín h y, = y P ‘‘
Giải mã Gopper đối với yi được Xi

■ Cho phép bạn dùng những chương trình e-mail phổ biến nhất, trong đó
có Outlook Express, Netscape Messenger, để gứi và nhận thư an toàn.
■ Khi bạn có một chứng chi số, các trang web đã thừa nhận chứng chi số
sẽ nhận dạng và cho phép bạn truy nhập tự động, không cần phải tiến
hành đăng ký lần nữa.
■ Khi một trang tin đã nhận dạng được bạn thông qua chứng chi số, nó có
thể thay đổi các trang web và các cơ chế theo sở thích của bạn. Và bạn
không cần phải làm bất cứ việc gì - tất cả đều diễn ra một cách tự động,
nhanh chóng.
Bạn chỉ cần mất một vài phút là có dược một chứng chỉ số cá nhân cho mình.
h. Hoạt động của chứng chỉ số
Chứng chi sổ hoạt động dựa trên cơ sớ Công nghệ chìa khoả riêng/công cộng.
Công nghệ này đã được sứ dụng đế bảo vệ các trang web có thông tin quan
trọng như về tên lửa hạt nhân. Mồi chìa khoá cũng giống như một phương tiện
mã hoá, giải mã duy nhất. Không bao giờ có hai chiếc chìa khoá giống nhau, vì
vậy mà chìa khoá có thể được sử dụng để nhận dạng ra người sở hữu nó.
Chìa khoá luôn có đôi, một chiếc riêng và một chiếc công cộng. Khi thực hiện
mã hoá bằng chìa khoá công cộng thì chỉ có chìa khoá riêng tương ứng mới
23
giải mã được và ngược lại. Chìa khoá công cộng được phân phát rộng rãi cho
tất cả những ai muốn trao đổi thông tin mật của mình với bạn. Chìa khoá riêng
của bạn không bao giờ bị sao chép hay phân phát mà sẽ được giữ an toàn trong
máy cá nhân hoặc trên máy chủ cùa bạn.
Chứng chỉ số cũng áp dụng quy trình phân phát chìa khoá công cộng và trao
đôi thông tin mật giống như trên. Khi bạn cài đặt chứng chi số vào máy tính
hoặc trên máy chủ, máy hoặc web site cua bạn sẽ có một chiếc chìa khoá riêng
của chính mình. Chìa khoá công cộng ứng với chiếc chìa này sẽ được phân
phối rộng rãi như một phần của chứng chỉ số gắn trên máy hay web site của
bạn.
Khi một máy tính khác muốn trao đổi thông tin với máy tính của bạn, nó sẽ tiếp

Ví dụ: Một công ty sử dụng chứng chí S/MIME và SSL kết họp chi đế
xác nhận nhận dạng nhân viên, do đó cho phép ký thư điện tử và xác
nhận SSL khách hàng nhưng không cho phép mã hoá thư điện tử . Một
công ty khác lại phát hành chứng chi S/MIME chỉ đề vừa ký vừa mã hoá
những thư điện tử nói về những vấn đề nhạy cảm như tài chính hay luật
pháp.
s Chứng chỉ ký đối tượng: dùng để xác nhận người ký Java Code. Java
Script hay những file ký khác.
Ví dụ: Một công ty phần mềm ký một phần mềm cung cấp qua internet
đến các người sử dụng với đám bảo rằng phần mềm đó là một sản phẩm
hợp pháp của công ty. Trong trường hợp này sử dụng chứng chỉ và chừ
ký số cũng có thể giúp người sử dụng xác định và kiểm soát những kiểu
truy cập vào máy của họ mà phần mềm vừa mới tải về.
S Chứng chi' CA: dùng đề nhận dạng các CA. Các phần mềm khách hàng
và phần mềm máy phục vụ dùng chứng chi CA để xác định xem các
chứng chỉ khác có đáng tin cậy không.
Ví dụ: Các chứng chỉ CA lưu giữ trong Communicator chỉ rõ các chứng
chỉ mà các bản Communicator có thế xác nhận. Một nhà quản trị có thể
áp dụng một số mặt của chính sách bảo mật tố chức bằng cách quản lý
các chứng chi CA lưu trong văn bản Communicator cùa mồi người sư
dụng.