Tương thích hoạt động giữa các tên miền PKI
09:04 | 13/01/2015 | CÔNG NGHỆ PKI
Các miền PKI tách biệt cần đến các mô hình liên tác tại phía thượng tầng. Nhưng để cho từng người sử dụng thuộc các miền PKI khác nhau có thể giao dịch với nhau chỉ với duy nhất một CTS, thì cần sự tương thích hoạt động giữa các PKI đó.
Liên tác trong chứng thực chữ ký số (CKS) là yếu tố quan trọng, giúp cho các hạ tầng PKI có khả năng liên tác với nhau và nhận biết về các chứng thực số (CTS) của nhau, hay nói cách khác là có khả năng kết nối các miền PKI với nhau trong hoạt động chứng thực điện tử (CTĐT) khi thực hiện giao dịch điện tử. Liên tác các miền PKI khác nhau liên quan đến tính chất của các thuật toán mật mã, nền phần cứng và hệ điều hành, các mô hình tin cậy, tính chất của CTS.
Tuy nhiên, để các thuê bao đầu cuối thuộc các miền PKI khác nhau có thể sử dụng CTS trong các giao dịch với nhau một cách thuận tiện thì ngoài việc liên tác chứng thực CKS, cần giải quyết vấn đề tương thích hoạt động giữa các miền PKI có các CTS này.
Các miền PKI khác nhau sử dụng các loại CTS khác nhau, kỹ thuật công nghệ hạ tầng PKI, các phần mềm và thiết bị ràng buộc PKI và các chính sách, quy chế chứng thực CKS khác nhau. Để thuê bao sử dụng được các CTS thuộc về các miền PKI khác nhau trong hoạt động CTĐT, ngoài việc các hạ tầng PKI được liên tác để nhận biết về các CTS của các hạ tầng PKI khác, thì tương thích hoạt động của các CTS này cần phải được giải quyết trên ba mức khác nhau: mức thành phần PKI, mức ứng dụng PKI và mức nội miền PKI.
Ví dụ, trường hợp thuê bao thứ nhất sử dụng phần mềm ràng buộc PKI với CTS và thiết bị lưu khóa là SmartCard, khác với phần mềm ràng buộc PKI với CTS và thiết bị lưu khóa là USB Token của thuê bao thứ hai. Khi vấn đề liên tác và tương thích hoạt động giữa hai miền PKI được giải quyết thì hai thuê bao này có thể tiến hành các hoạt động CTĐT để giao dịch điện tử với nhau, mặc dù hai thuê bao này thuộc về hai miền PKI khác nhau và sử dụng các CTS, phần mềm và thiết bị ràng buộc PKI khác nhau.
Trong trường hợp PKI tại phía hạ tầng không tương thích hoạt động, thì phần mềm ràng buộc PKI của thuê bao thứ nhất không sử dụng được CTS của thuê bao thứ hai và ngược lại. Kết quả là hai thuê bao không thể thực hiện được các dịch vụ CTĐT của nhau, dù các hạ tầng PKI có thể đã được liên tác PKI và nhận biết được về các CTS của hai bên. Vấn đề tương thích hoạt động của các miền PKI sẽ được phân tích chi tiết ở phần dưới đây.
Tương thích hoạt động mức thành phần PKI
Đây là sự tương thích hoạt động giữa các hệ thống hỗ trợ trực tiếp và sử dụng các dịch vụ liên quan đến PKI. Ở đây, chúng ta chỉ xem xét đến tương thích hoạt động nội miền PKI, còn vấn đề tương thích hoạt động liên miền PKI phức tạp hơn sẽ được phân tích ở phần sau.
Trong ngữ cảnh này, mỗi miền PKI có thể sẽ có một số tổ chức chứng thực (CA) để thể hiện các mối quan hệ nội miền, đó là các mối quan hệ tin cậy ngang hàng hoặc quan hệ tin cậy thứ bậc trên - dưới. Tương thích hoạt động mức thành phần PKI sẽ bao gồm các vấn đề sau:
- Các giao thức chung, các định dạng thông báo và các định dạng CTS phải được thực thi giữa các thành phần PKI ứng dụng. Điều này áp dụng cho các mối tương thích giữa CA-CA, tổ chức chứng thực và tổ chức đăng ký (CA-RA), Hệ thống thực thể khách - CA và Hệ thống thực thể khách - RA;
- Các thuật toán chung phải được thực thi xác thực thực thể và bảo vệ dữ liệu được trao đổi giữa các thành phần PKI;
- Giao thức và các lược đồ xác thực được thực hiện để tạo thuận lợi cho lưu trữ và phục hồi các CTS và thông tin trạng thái CTS giữa kho chứa thông tin liên quan đến PKI và các thành phần PKI phải được hỗ trợ;
- Các thực thể có thẩm quyền có thể truy cập tới các khóa bí mật theo cách an toàn dù sử dụng bất kỳ phương thức lưu trữ nào như lưu trữ mềm, thẻ thông minh, hay thẻ Token cứng;
- Một hay nhiều cơ chế trạng thái CTS thông dụng phải được hỗ trợ như các cơ chế gỡ bỏ CTS sử dụng CRL, hay giao thức trạng thái CTS trực tuyến OCSP;
- Sự hỗ trợ đối với các kiểu CTS và các hồ sơ CTS phải được thực hiện một cách mềm dẻo và linh hoạt.
Trong một số trường hợp, giao diện mật mã chuẩn để hỗ trợ môđun an toàn phần cứng HSM tại CA cũng có thể được yêu cầu phù hợp với chính sách của miền PKI.
Tương thích hoạt động mức ứng dụng PKI
Tương thích hoạt động mức ứng dụng truyền thống quan tâm đến sự tương thích giữa hai ứng dụng ràng buộc PKI, mà không phụ thuộc vào nhà cung cấp ứng dụng hay các thành phần hạ tầng PKI được sử dụng để hỗ trợ ứng dụng. Ví dụ, hai trình khách thư điện tử S/MIME phải có khả năng liên tác với nhau, ngay cả khi sử dụng phần mềm ứng dụng của hai nhà cung cấp khác nhau, các ứng dụng chạy trên hai nền khác nhau và mỗi trình khách S/MIME sử dụng công nghệ PKI của một nhà cung cấp riêng biệt.
Thuật ngữ “ứng dụng” ở đây được hiểu theo nghĩa rộng hơn định nghĩa về tầng ứng dụng trong mô hình kết nối các hệ thống mở OSI. Ví dụ, IPSec cũng được coi là một ứng dụng trong ngữ cảnh cụ thể này.
Tương thích hoạt động mức ứng dụng bao gồm các vấn đề sau đây:
- CTS và thông tin trạng thái CTS phải tương thích với nhau. Đảm bảo rằng việc kiểm soát để các CTS đang sử dụng phù hợp với việc sử dụng khóa đã định và những ràng buộc kèm theo bất kỳ;
- Các thuật toán (kể cả các thuật toán mật mã) và các kích thước khóa, các định dạng mã hóa và đóng gói dữ liệu (như định dạng tệp, các định dạng thông báo…) phải tương thích với nhau;
- Các giao thức liên lạc được sử dụng để trao đổi thông tin giữa các ứng dụng ràng buộc PKI, các phương pháp chia sẻ thông tin liên quan đến khóa công khai như trạng thái CTS, CTS của CA và thực thể đầu cuối,… phải tương thích với nhau.
- Các thông tin ủy nhiệm bí mật của thuê bao phải truy cập được, cho dù sử dụng bất kỳ phương pháp lưu trữ nào như mềm, SmartCard, Token dựa trên phần mềm hoặc phần cứng.
Một khía cạnh khác là các ứng dụng trên cùng một hệ thống đầu cuối cần được sự phối hợp và hỗ trợ từ các nhà cung cấp khác nhau. Điều này đòi hỏi khả năng truy cập đến cùng các thông tin ủy nhiệm của PKI, như các khóa bí mật và các CTS khóa công khai.
Tương thích hoạt động mức liên miền PKI
Tương thích hoạt động mức liên miền đề cập đến các tùy chọn, nhằm đạt được liên tác giữa hai miền PKI tách biệt. Đây là loại tương thích phức tạp nhất, liên quan đến sự hợp tác giữa nhiều miền quản trị khác nhau. Để thực hiện điều này, cần phải xử lý các yêu cầu trao đổi thông tin liên quan đến PKI giữa các miền PKI khác nhau, được thực hiện theo nhiều cách khác nhau.
Tương thích hoạt động mức liên miền liên quan đến một số yêu cầu cả về công nghệ và chính sách. Bởi vậy, phải nghiên cứu để sao cho tương thích mức ứng dụng, cũng có thể áp dụng cho tương thích mức liên miền. Việc thiết lập quan hệ tin cậy là cần thiết để hỗ trợ ứng dụng giữa các miền PKI. Ngoài ra, các vấn đề sau đây cũng cần được đề cập:
- Phương pháp thiết lập các quan hệ tin cậy giữa các miền PKI;
- Thông tin liên quan đến PKI tương ứng trong một miền PKI phải được hiện hữu trong miền PKI khác và ngược lại;
- Mỗi miền PKI phải thỏa thuận tuân theo một số chính sách và trong mỗi miền PKI cần phải có các cơ chế để bắt buộc tuân thủ các chính sách đã được thỏa thuận.
Việc nghiên cứu tương thích hoạt động giữa các miền PKI ở ba mức trên sẽ giúp cho hoạt động CTĐT của những thực thể sử dụng đầu cuối thuộc về các miền PKI khác nhau có thể hoạt động thông suốt chỉ với một CTS duy nhất, mà không gặp bất kỳ những trở ngại nào trong hoạt động tác nghiệp của mình.
Kết luận
Sự phát triển của các hạ tầng PKI làm xuất hiện nhiều miền PKI đứng tách biệt nhau như những “Ốc đảo”. Các miền PKI này chỉ cung cấp các dịch vụ CTĐT cho những thuê bao, thực thể đầu cuối với cùng các CTS do các miền PKI này cấp phát và duy trì cung cấp các dịch vụ tin cậy cần thiết. Bởi vậy, chỉ những thực thể đầu cuối có các CTS được cấp phát bởi cùng một miền PKI thì mới có thể giao dịch với nhau, với các dịch vụ CTĐT. Các thực thể đầu cuối thuộc về các miền PKI khác nhau muốn thực hiện giao dịch phải được cấp phát các CTS khác nhau tương ứng. Các giao dịch này tách rời nhau, nên không thuận tiện khi xử lý một đối tượng thông điệp dữ liệu điện tử, liên quan đến nhiều giao dịch điện tử dùng các CTS khác nhau.
Nhu cầu liên tác giữa các miền PKI là nhu cầu tất yếu, tuy nó đòi hỏi phải xây dựng các mô hình liên tác PKI và các yêu cầu tương thích hoạt động, nhằm giúp cho những thuê bao hay những thực thể sử dụng đầu cuối có được các dịch vụ CTĐT trong các giao dịch điện tử của mình chỉ với một CTS duy nhất.
Trong ba khía cạnh quan trọng và ảnh hưởng trực tiếp đến việc xây dựng liên tác các miền PKI là luật pháp, công nghệ và “chủ quyền”, thì khía cạnh luật pháp, công nghệ đã có nhiều thuận lợi và cho phép liên tác các miền PKI khi nhu cầu xuất hiện. Riêng khía cạnh “chủ quyền” trong triển khai chứng thực điện tử, do liên quan đến chính sách của từng quốc gia, khu vực và toàn cầu nên là rào cản lớn đối với liên tác các miền PKI.
Xây dựng chính sách liên tác giữa các miền PKI phải đảm bảo chủ quyền cho từng hạ tầng PKI và giữ được tính độc lập hoạt động và từng bí mật, an toàn của từng hạ tầng PKI khi tham gia liên tác với các miền PKI khác.
