Ứng dụng chữ ký số dựa trên BioPKI trong quản lý cấp giấy phép kinh doanh
Hiện nay, việc đăng ký, cấp giấy phép sản xuất kinh doanh thường được thực hiện theo phương pháp thủ công truyền thống. Tức là các doanh nghiệp, tổ chức phải đến cơ quan cấp phép, cơ quan chứng nhận để làm thủ tục đăng ký. Cùng với chủ trương thực hiện cải cách hành chính và xây dựng chính phủ điện tử, nhiều bộ, ngành, địa phương đã triển khai các hệ thống đăng ký kinh doanh trực tuyến qua mạng. Tuy nhiên, những hình thức tấn công trên mạng có thể khiến cho các hệ thống này trở nên không tin cậy. Sử dụng chữ ký số chính là giải pháp tốt nhất hiện nay để giải quyết các vấn đề này, đảm bảo cho văn bản được xác thực rõ ràng về nguồn gốc, về nội dung và chống chối bỏ trách nhiệm của các bên. Tại Việt Nam, ngày 15/2/2007, Thủ tướng Chính phủ ban hành Nghị định 26/2007/NĐ - CP quy định chi tiết thi hành Luật Giao dịch điện tử về Chữ ký số và Dịch vụ chứng thực chữ ký số đã công nhận chữ ký số có giá trị pháp lý trong giao dịch điện tử.
Chữ ký số là mô hình ứng dụng trong hệ mật khóa công khai. Một điểm yếu của hệ thống khóa công khai truyền thống là việc bảo vệ khóa riêng. Nếu khóa riêng bị tiết lộ thì chữ ký số sẽ mất tác dụng. Bài báo này sẽ trình bày mô hình chữ ký số trong hệ thống BioPKI sử dụng xác thực với thẻ sinh trắc để bảo vệ khóa riêng, giúp giải quyết nhược điểm này, đồng thời giới thiệu ứng dụng vào vấn đề đăng ký cấp phép kinh doanh.
Chữ ký số trong hệ thống BioPKI
1. Giới thiệu về hệ thống BioPKI:
Hệ thống BioPKI là một cơ sở hạ tầng khóa công khai trong đó tính an toàn của hệ thống được tăng cường bởi việc tích hợp các công nghệ xác thực sinh trắc học và sử dụng công nghệ nhúng bảo vệ khóa riêng và các thông tin của người dùng. Mô hình kiến trúc của hệ thống được trình bày trong hình 1.
Các thành phần của hệ thống bao gồm:
- Trung tâm phát hành chứng thư số - Certificate Authority (CA): chịu trách nhiệm quản lý và cung cấp các dịch vụ liên quan đến chứng thư số như: cấp mới, thu hồi, hủy, gia hạn chứng thư... CA được cách ly hoàn toàn với các thành phần khác trong môi trường mạng của hệ thống, mọi giao dịch của CA với các thành phần khác được thực hiện thông qua các thiết bị lưu trữ cá nhân. Đây là thành phần hạt nhân của hệ thống, nó bao gồm 2 bộ phận nhỏ hơn:
+ OpenCA: Trong hệ BioPKI, khối này cung cấp các dịch vụ lõi PKI liên quan đến quản lý chứng thư và cung cấp một giao diện quản trị.
Hình 1: Mô hình hệ thống BioPKI
+?CA-Operator: Là công cụ dành cho người quản trị CA dùng để quản lý các hoạt động của OpenCA. Nó gửi các yêu cầu xin cấp phát chứng thư mới lên OpenCA và nhận về chứng thư cùng với khóa riêng. Nó cũng chịu trách nhiệm ghi thông tin lên thẻ Bio-Etoken cho người dùng sử dụng trong các ứng dụng của hệ thống về sau này.
- Bộ phận thẩm quyền đăng ký – Registration Authority (RA): chịu trách nhiệm tiếp nhận và xử lý các yêu cầu của người dùng. Nó sẽ quyết định kết quả xử lý một yêu cầu xin cấp chứng thư mới (đồng ý hay không), nhận thẻ sinh trắc Bio- Etoken từ CA- Operator, chuyển xuống cho bộ phận dưới của hệ thống (các LRA) và cũng cung cấp các dịch vụ liên quan đến việc sử dụng chứng thư của người dùng khi họ giao dịch bằng các ứng dụng của hệ thống. RA có 3 bộ phận là:
+ Registration Center: Trung tâm đăng ký, tiếp nhận mọi yêu cầu về cấp phát và hủy chứng thư số.
+ Certificate Service Center: Trung tâm dịch vụ chứng thư số, cung cấp các dịch vụ liên quan đến việc sử dụng chứng thư: xác thực chứng thư, download chứng thư....
+ Website: cổng thông tin để người dùng tra cứu, tìm kiếm các thông tin về quy trình xin cấp mới chứng thư, biểu mẫu, tra cứu trạng thái các đăng ký, tìm kiếm chứng thư và khóa công khai.
- Chi nhánh tiếp nhận đăng ký – Local Registration Authority (LRA): đóng vai trò cầu nối giữa người dùng và RA. LRA trực tiếp nhận các yêu cầu đăng ký chứng thư mới, hủy chứng thư của người dùng và chuyển lên RA, nhận thẻ Bio-Etoken và chứng thư trả về cho người dùng.
- Thẻ sinh trắc Bio-Etoken: là một thiết bị nhúng được cấp cho người dùng của hệ thống, trong đó các thông tin nhạy cảm của người dùng được lưu trữ và bảo vệ an toàn, bảo mật. Dữ liệu lưu trữ bao gồm: Khóa riêng của người dùng; Chứng thư số (khóa công khai); Mã PIN để kích hoạt thẻ; Mã sinh trắc bảo vệ; Các thông tin cá nhân khác.
Khi muốn đọc các thông tin trong thẻ, người dùng phải được xác thực sinh trắc “sống” trực tiếp, nếu quá trình xác thực thành công thì các thông tin trong thẻ mới có thể được giải mã và đọc ra.
2. Mô hình chữ ký số trong hệ thống BioPKI
Có 2 vấn đề cần giải quyết khi xác thực chữ ký của thông điệp.
Thứ nhất: khóa công khai của người gửi lấy ở đâu? Vấn đề này có thể được giải quyết thông qua việc truy xuất kho lưu trữ chứng thư để lấy chứng thư của người gửi và từ đó lấy ra khóa công khai.
Thứ hai: việc xác thực chỉ đảm bảo thông điệp được gửi bởi người có khóa riêng đúng, chứ không đảm bảo người đó đúng là người chủ của khóa riêng. Như vậy, vấn đề chống chối bỏ vẫn tồn tại trong mô hình ký số truyền thống. Người gửi có thể từ chối nhận thông điệp là của mình với lý do mất khóa riêng. Vấn đề này được giải quyết trong hệ thống BioPKI: người gửi cần có đặc trưng sinh trắc mới có thể lấy ra được khóa riêng để sử dụng. Hệ thống BioPKI đã cung cấp khả năng gắn bó khóa riêng với chủ thể của nó thông qua các đặc trưng sinh trắc – những dấu hiệu của riêng từng người dùng.
Quá trình ký và xác minh trong mô hình ứng dụng chữ ký số của hệ BioPKI như sau:
Bên ký (hay bên gửi)
Bước 1: Truy xuất khóa riêng từ thẻ nhúng Bio-Etoken. Để thực hiện được công việc này, người dùng phía gửi phải tiến hành 2 pha xác thực là xác thực bằng số PIN và xác thực bằng đặc trưng sinh trắc.
Bước 2: Áp dụng hàm băm lên văn bản điện tử.
Bước 3: Mã hóa giá trị băm thu được từ bước 2 bằng khóa riêng để tạo chữ ký số cho văn bản điện tử.
Bước 4: Gắn chữ ký số lên văn bản điện tử và gửi đi.
Hình 2: Quá trình ký số trong hệ thống BioPKI
Bên xác minh (hay bên nhận)
Bước 1: Giải mã chữ ký số với khóa công khai của bên gửi. Chứng thư số chứa khóa công khai này cần được xác minh tính hợp lệ từ hệ thống BioPKI.
Bước 2: Áp dụng hàm băm lên văn bản gốc.
Bước 3: So sánh các kết quả của bước 1 và bước 2. Nếu hai kết quả này trùng nhau, văn bản điện tử được bên nhận chấp nhận vì đã xác định chính xác người gửi văn bản và nội dung văn bản không bị thay đổi. Ngược lại, nguồn gốc của văn bản là không rõ ràng và/hoặc nội dung của văn bản đã bị thay đổi.
Hình 3: Quá trình xác minh trong hệ thống BioPKI
Ứng dụng chữ ký số trên nền BioPKI vào quản lý cấp giấy phép kinh doanh
Mô hình triển khai hệ thống nền BioPKI như đã phân tích ở phần trên.
Sau khi quá trình cấp phát chứng thư mới hoàn tất, người dùng nhận được một thẻ sinh trắc Bio- Etoken tại LRA tương ứng. Mỗi người dùng trong hệ chỉ có thể có duy nhất một thẻ Bio- Etoken.
Hệ thống cấp giấy phép kinh doanh trong bài toán này là một hệ thống website với các chức năng chính sau:
- Quản lý hồ sơ đăng ký kinh doanh: quản lý các thông tin hồ sơ và các tài liệu được lưu trữ trong hồ sơ; quản lý việc giải quyết các hồ sơ;
- Quản lý kê khai của các doanh nghiệp: quản lý các thông tin kê khai của các doanh nghiệp; lập và thống kê các báo cáo về thông tin kê khai;
- Khai thác thông tin: tra cứu hồ sơ tài liệu; tìm kiếm hồ sơ tài liệu; lập và in thông tin trong hồ sơ tài liệu; thống kê hồ sơ đăng ký, theo dõi tình trạng xử lý;
- Quản trị người dùng: quản trị người sử dụng; quản trị các bộ phận tham gia sử dụng phần mềm;
- Quản trị hệ thống: sao lưu dữ liệu định kỳ; khắc phục các sự cố và phục hồi dữ liệu; lập các báo cáo vận hành hệ thống;
- Xác thực người dùng.
1. Tăng cường bảo mật cho việc xác thực người dùng đăng nhập hệ thống
Thông thường, việc đăng nhập của người dùng vào hệ thống được thực hiện qua xác thực username, password có sử dụng Etoken tích hợp với hệ thống PKI. Sử dụng chữ ký số và thẻ sinh trắc Bio-Etoken, quá trình đăng nhập này sẽ được thực hiện như sau:
- Doanh nghiệp đăng ký một tài khoản và cập nhật khoá công khai của mình lên thư mục chứa trên máy chủ của hệ thống.
- Sau khi khởi tạo tài khoản và cập nhật khoá công khai thành công, người dùng có thể đăng nhập vào hệ thống phần mềm hoặc website bằng khoá bí mật được lưu trong thẻ Bio-Etoken của mình.
- Khi người dùng truy cập vào hệ thống sẽ nhận được một thông điệp từ máy chủ. Sau khi ký thông điệp sẽ được gửi tới máy chủ.
- Máy chủ kiểm tra chữ ký của người dùng. Nếu quá trình kiểm tra chữ ký thành công tức là người dùng đó có tài khoản trong hệ thống và người đó được cấp phép đăng nhập và sử dụng hệ thống.
2. Tích hợp chữ ký số vào các văn bản đăng ký kinh doanh được gửi đi
Khi đăng ký cấp giấy phép kinh doanh mới, người dùng điền thông tin vào các mẫu đăng ký trực tiếp tương ứng hoặc download biểu mẫu đăng ký về và điền thông tin lên đó. Nếu thực hiện trực tiếp thì những thông tin đăng ký này sẽ được hệ thống tổng hợp vào các file xml.
Hệ thống yêu cầu trên máy User phải cài đặt môđun ký số của hệ thống BioPKI.
Khi người dùng nhấn gửi đi trên form hoặc gửi file đăng ký lên máy chủ cho người thụ lý hồ sơ, phần mềm ký số ở máy người dùng sẽ được kích hoạt và yêu cầu người dùng phải được xác thực sinh trắc thêm lần nữa để đọc ra khóa riêng từ thẻ Bio-Etoken. Ứng dụng sau đó dùng khóa riêng này để tạo ra chữ ký từ file đăng ký, đính kèm chữ ký vào file này, sau đó, hệ thống mới gửi file kèm chữ ký lên máy chủ.
3. Xác thực chữ ký số của các văn bản
Người thụ lý hồ sơ nhận được các yêu cầu đăng ký kinh doanh kèm chữ ký số của người dùng gửi lên sẽ cần phải xác thực các thông tin này. Kết quả của quá trình thụ lý hồ sơ cũng sẽ được ký và gửi về cho tài khoản người dùng, quá trình ký giống với quá trình ký vào file đăng ký cấp giấy phép kinh doanh của người dùng, tức là cũng thực hiện quá trình xác minh sinh trắc để đọc thẻ lấy ra khóa cá nhân và ký. Người dùng nhận được kết quả thụ lý hồ sơ cũng cần xác thực tính hợp lệ và toàn vẹn.
Hệ thống sẽ sử dụng chứng thư số của người dùng được lưu trên máy chủ của hệ thống để kiểm tra tính hợp lệ của người dùng tức là kiểm tra tính hợp lệ của chứng thư số.
Để tăng cường tính mật cho hệ thống, các thông tin được gửi đi giữa máy người dùng và máy chủ sẽ được truyền đi trên kênh mật SSL.
Như vậy, so với ứng dụng chỉ tích hợp mô hình PKI thông thường, ứng dụng trong hệ thống BioPKI đã giải quyết được vấn đề bảo vệ khóa riêng tin cậy hơn, khắc phục được điểm yếu của hệ PKI truyền thống.
Kết luận
Dựa trên nền tảng hệ thống an ninh BioPKI cùng giải pháp xác thực sinh trắc bảo vệ khóa riêng bằng thẻ, ứng dụng này đã giúp chống lại được các tấn công vào tính xác thực của văn bản điện tử, đảm bảo tính toàn vẹn, tính hợp lệ và chống việc phủ nhận của các bên liên quan. Bài báo dựa trên kết quả của đề tài KC.01.11/06-10 “Nghiên cứu xây dựng hệ thống kiểm soát truy cập mạng và an ninh thông tin dựa trên sinh trắc học sử dụng công nghệ nhúng” nằm trong Chương trình Khoa học- Công nghệ trọng điểm cấp nhà nước giai đoạn 2006 - 2010.
