Luận văn nghiên cứu phát triển quy trình xác thực hộ chiếu Điện tử tại việt nam

chiếu, ngày cap, thoi han 06 gid tri ơ quan cấp, các thông tin về cơ quan cấp hộ Với sự ra đời của thẻ thang minh phi tiếp xúc sử dụng công nghệ RIID, những thông tin cá nhân thê hi

ĐẠI HỌC QUỐC GIÁ HA NỘI TRƯỜNG ĐẠI HỌC CÔNG NGHỆ

BÙI TII QUỲNH PHƯƠNG

NGHIÊN CUU, PHAT TRIEN QUY TRÌNH

XÁC THUC HO CHIEU DIEN TU TAI VIET NAM

LUAN VAN THAC SI

HA NOI - 2010

DẠI HỌC QUỐC GIÁ HÀ NỘI TRƯỜNG ĐẠI HỌC CÔNG NGHỆ

BÙI TII QUỲNH PHƯƠNG

NGHIÊN CỨU, PHÁT TRIÊN QUY TRÌNH

XÁC THỰC HỘ CHIEU ĐIỆN TỬ TẠI VIỆT NAM

Ngành: Công nghệ thông tin

Chuyên ngành: Hệ thống thông tin

Mã số: 60 48 05

T.UẬN VĂN THẠC SĨ NGƯỜI HƯỚNG DAN KHOA HOC: TS LE PHE DO

HÀ NỘI - 2010

MỤC LỤC

CÁC KÝ IIẾU VIẾT TẮT

MỞ DẦU

Chương TONG QUAN VE HO CHIFU ĐIỆN TỦ

2.3.2 Chức năng cơ bản của PKI " - "——

2.3.3 Mô hình tin cậy cho PKI " sec 2

2.4 Kết luận sẻ

Chương3 QUY TRÌNILXÁC THỰC HỘ CHIẾU ĐIỆN TỬ 37

3.1 Yêu cầu đặt ra ch 6 37

3.1.1 Yêu cầu chung “37

3.1.3 Các đặc trưng sinh trắc quan tâm 40

3.2 Quy trỉnh xác thực HCĐT tại Việt Nam

3.2.1 Hạ lằng khoá công khai với HCĐT

3.2.3 Quy trinh xác thực hộ chiếu điện tứ sete AD

CSCA Country Signing Cortification Authority

TVCA Country Ver iying Certification Authority

EAC Advanced Access Control

HCĐI Hộ chiều điện tử

ICAO Infernational Civil Aviation Orgnization

180 Indernational Organization for Standardizalion

MRZ Machine Readable Zone

LDS Logical Data Structure

SHA Secure Hash Algorithm

REIC Radio Frequency Integrated

RFID Radio Frequency Tdentification

PKI Public Key Infrastructure

MO DAU

liiện nay trên thế giới đã có rất nhiều quốc gia sit dung hộ chiếu điện tứ thay thé cho hộ chiếu thông thường đề đám báo an toán, an ninh théng tin của người sử đụng, giâm thiểu nguy cơ bị làm giả hộ chiếu, nâng cao hiệu quả, chất lượng quy trình cấp phat/kiém soát hộ chiếu Nhìn clrung, hộ chiếu điện tử có thể được xem như thành quả của việc lích hợp công nghệ định đanh qua lần số võ tuyến (Radio Frequency Tđertification - RFT), công rghệ xác thực người dùng dựa lrên các đặc trưng sinh trắc của người dùng như ảnh khuôn mặt, đâu vân lay, mông mắt với những chuân cơ ban

của hộ chiều thông thường,

Việt Nam đang trên đường hội nhập toàn diện với thế giới, đặc biết là từ khi tham

gia tổ chức thương mại quốc tế WTO, vẫn dễ giao lưu, du lịch giữa công đân Việt Nam va các nước trên thẻ giới ngày càng dược dây mạnh Chính vì thế, vẫn dễ thay thế hộ chiếu

thông thưởng bảng hộ chiêu điện tử tại Việt Nam là một việc vô củng cấp thiết Trước

đây, Cục quản lý Xuất nhập cônh cửa Bộ Công An đã tmg dự kiên triển khai hộ chiến

điện tữ vào năm 2009, nhung cản thêm thời giản đề hoàn thiên kỹ thuật và phối hợp đồng

hộ giữa các ngành Ngày 24/02/2010, Thủ tướng Chính Phủ đã phê đuyệt đề án quốc gia

“Sản xuấi và phát hành hộ chiều điện từ Viée Nam” và nêu rõ, bắt đầu Từ năm 2011 sẽ

phát hành hộ chiều điện tử cho céng dan Việt Nam, mục tiêu đến năm 2015 là 100% hậ

chiếu cấp cho công dân Việt Nam là hộ chiếu điện tứ Với tỉnh bình thực tế đó, luận văn nay tập trung vảo việc nghiên cửu vả phát triển quy trình xác thực hộ chiếu điện tử tại Việt Nam dựa trên những kiến thúc từ những muổ hình đã triển khai tại nhiều nước trên thể

- Chương 2 Hạ tầng khứa công khai PKT: Đẻ cập đến những kiến thức ly thuyết quan trọng trong quy trinh xác thực hộ chiêu điện tử, đó là những vẫn đề

_—<3 —

lién quan dén ha tang Khoa céng khai PKI (Public Key Infrastructure) niu chứng chỉ số, chữ ký diện tử, các thành phần của PKI, chức năng và các mô

hình PKI cơ bản

-_ Chương 3 Quy trình xác thực hộ chiến điện tử: Trinh bảy cáo buớc trong

quy trình xác thực hộ chiếu điện tử mả chúng tôi để xuất sử dụng tại Việt Nam với việc xác thực ba đặc trưng sinh trắc của người sở hữu hộ chiếu dựa trên ánh khuôn mặt, ảnh vân tay và ảnh mống mắt

- Chương 4 Thực nghiệm: Nêu lên những kết quá thủ nghiệm quy trình cập

phát, quản lý chứng chỉ số phục vụ quy trình xác thực hệ chiếu điện tử: Ngoài

ra, những thực nghiệm về việc ký cững như kiểm tra xác thực thêng tin được

hm trên hộ chiều cũng sẽ được trình bảy trong chương này

Phần kết luận chung sẽ tổng hợp lại những dóng góp chỉnh của luận vần cũng nữ

những hướng phát triển ké tiếp sau này.

a de

CHUONG 1 TONG QUAN VE HO CHIEU ĐIỆN TỬ 1.1 Một số khái niệm cơ bản

1.1.1 Công nghé RFID

RFID (Radio Frequency IDentification) là công nghệ nhận dạng đối tượng bằng

sóng vô Inyển Công nghệ này cho phép nhận biết các đối lượng thông qua hệ thống thu

phải sóng radio, từ đó có thể giám sát, quận lý hoặc lưu vết từng đối lượng

REID là kỹ thuật kết hợp nhiều lĩnh vục, công nghệ khác nhau như lý thuyết mạch,

lý thuyết ăngten, truyền séng radio, kỹ thuật vị sóng, thiết kế bộ thu, thiết kế mạch tích

hợp, mã hoá, công nghệ vật liệu, thiết kế máy và các lĩnh vực liên quan khác Hệ thông RFID thường dược mô tả là một bộ thiết bị, một phía là thiết bị dơn giản, phía còn lại là

thiết bị phúc tạp hơn Thiết bị đơn giản (gọi là thẻ hoặc bộ tiếp sóng) thường nhỏ gọn và

rẻ, được sẵn xuất với số lượng lớn và đính vào các đổi tượng cân quận lý, điển bành tu động Thiết bị phức tạp (gợi là đầu đọc) có nhiều tính năng hơn và thường kết nối với máy

tính hoặc mạng máy tính Tân số vô tuyển sử dụng trong khoảng từ 100 kHz đến 10 GHz

Công nghệ RFID dược ứng dụng rồng rãi trong nhiễu lĩnh vực của dời sống xã hội

như quản lý dối tượng, quân lý nhân sự, quản lý hàng hóa bán lẻ trong siêu thị, quản lý xe

cỏ qua tram thu phí, chủng trộm ö tỏ hay điện thoại di dòng, các hệ thống cửa tự dộng,

theo di c ứng đụng an nình lành thổ như phát hiện vượt biên, làm

soát thang ruáy Trung târu Công nghệ

tũ - tin học - tự động hỏa, đang nghiên cứu thiết kế và xảy dựng hệ phân mêm cho các hệ

thống quân lý tự động bằng thê RFID dé tag dung tong việc thu phí cẩu dường Mới dây

nhất, tại siêu thị BigC Thăng Long, thé RFID đã được sử dựng trong quản lý xe máy Tại

TP Hồ Chí Minh, công nghé RFID cứng đang được triển khai ứng dụng trong trạm thu phí

xa lộ Hà Nội và hệ thống kiếm soát bãi đỗ xe ty động tại hâm đậu xa tỏa nhà The

Maner [21]

thuộc Viện diện

tốp lích hop | Aintergration | Plato) "mm

(tạ

By af oe

Hinh 1 Mé ta hé thong RFID

Thông thuong, mét hé théng RFID bao gồm thẻ RFID, dau doc RFID va một máy

tính chủ lưu trữ dữ liệu

> Thé RFID

Thẻ REID có kích thước nhỏ vả cé the ding dé gan vao sản phẩm, người hay đông,

vật Thẻ thường bao gồm một bộ vi xử lý (chip silieon) đề lưu trữ, tính toán và một ăngten dùng cho truyền thông Bộ nhớ của thẻ có thể lả chỉ đọc, ghi một lản-đọc nhiều lần hoặc

có khả năng đọc ghi hoàn toàn [17]

‘The Comactese tc Antara or Coupling Blament

_- Ftc

(ts)

Hình 2 Mạch tích hợp phi tiếp xúc

Phan loai thé RFID:

» Thẻ chủ động: là thẻ cỏ nguồn năng lượng Ưu điềm của loại thẻ nảy là khả năng liên lạc từ khoảng cách xa do nó có thẻ nhận biết tin hiệu rất yêu đến từ

a Ge

dau dọc Nhược diém là giỏi hạn về thời gian sử dụng (khoảng 5 năm) Hơn

nữa, thể chủ động cỏ giá thành cao, kích thước lớn và cần chi phi bảo trì như thay pin theo dinh ky

Thé thu déng: loai thé nav khéng cé nguồn năng lượng, năng lượng cung

cấp bởi đâu đọc thông qua ăng ten Nhược điểm chính của loại thế này lả làm việc trong khoáng cách gần (chỉ khoảng vải feet) Tuy nhiên, ưu điểm của nó

là không cần nguồn nuôi, thời gian sử đụng lên đến 20 năm, giá thành rẻ và

kích thước thổ

Thế bản thụ động: Giống như thẻ thụ động, thẻ bán thụ động phản hồi (không phải truyền) năng lượng sóng vô tuyển ngược lại đầu đọc Tuy nhiền, chứng cũng có nguền môi các mạch tích hợp trong thẻ Loại này kết hợp ưu

diễm vá hạn chế được một số nhược diễm của hai loại trên

Ngoài cách phân chia như trên, người ta cũng phân loại thẻ theo khả năng đọc ghỉ bộ

nhớ của thẻ Theo cách tiếp cận này, thẻ chia thành một số loại như chỉ đọc, ghỉ một lần-

chỉ đọc, đọc/ghi, đọc/ghi tích hợp bộ cảm biển và đọc/phi tích hợp bộ phát [17]

> Dau doc thé RFID

Là thiết bị đùng để truy xuất thông tin tử thẻ REID Đầu đọc có một ăngten phát sóng vô tuyển, khi thế đi vào vừng phủ sóng của đầu đọc, nó sẻ thu nắng lượng từ sóng vô tuyển nay và kích hoạt thẻ, Với các ứng dụng lảm việc trong khoáng gân như điều khiển truy cập, šngten được tích hợp trong đầu đọc, nhưng với các ứng dụng lam việc tầm xa, ăngten thường nằm độc lập và kết nỗi với đầu đọc bằng cáp đồng có trở kháng được báo

vệ Bộ dọc giãi mã đữ liệu dã dược mã hỏa từ mạch tích hợp (chúp siieon) của thé, dữ liệu

được dưa vào máy chủ và được xứ lý bởi phân mềm thích hợp

> ‘Tan sé lam việc

Thé RFID chủ yêu hoạt động trong bén tin s6 chinh sau

Low-frequency (LE): bing tn tir 125 KIlz - 134 Kz Thé hoat dang trong dai

băng tản này phù hợp với phạm vi ngắn như hệ thông chống trộm, nhận đạng

động vật hay hệ thống khỏa tự động, High-frequency (HF): bang tin 13.56 MHz Tần số này có độ chính xác cao

hơn với phại ác thể hoại

13 feeL (s Tm), vì thê giảm thiểu rủi ra đọc sai thể

động ở tần số HE được đùng trong việc theo đối vật liệu trong các thư viên và kiểm soát hiệu sách, theo đối hành lý vận chuyện bằng máy bay Loại thẻ hoạt động trong hai dai tin sé LT va TIP sir dung bộ đổi cảm ímg giữa hai cuộn

dây xoắn (ăngten) của thẻ và đầu đọc dễ cung cấp năng lượng và gửi thông tìm Các cuộn day nay thực sự là các mạch LƠ tuncd, khi đặt dúng tần số thì chúng, cực dại hỏa việc truyền nẵng lượng

-_ tiwahigh-frequancy (UIE): băng tân 900 MIIz Trong tần số này các thể có

thể hoạt động ở phạm vi từ 3 dén 15 feet Tuy nhiên, trong tin sé nay, cac thé

dễ bị ảnh hướng bỡi các yêu tổ môi trường hơn ở các tân số khác Băng tân 900 MHz phù hợp hơn cho các ứng dụng dây chuyển như kiểm tra pallet va conlamer, xe chỏ hàng và các loa trong vận chuyển tàu biển

- Microware-frequency (ME): băng tần 2,45 GI1z và 5,8 GIIz Thẻ hoạt động

trong tin số này có thể đọc được ở phạm vi hen 10m [17]

1.1.2 Chudn ISO 14443

ISO (International Crganization for Standardization) va IEC (International

Electrotechnical Commission) tao thanh héi déng quốc tế tiêu chuẩn hóa kỹ thuật toàn câu Các tố chức quốc gia thành viên của ISO hoặc IEC tham gia trong việc phát triển các chuẩn quốc tẻ thông qua các úy ban kỹ thuật được thành lập đề giải quyết các vấn đề đặc

thủ của hoạt động kỹ thuật

ác chuẩn trong đặc tả sủa TRO hoặc TRỢ đâm bảo sự Lương tác lẫn nhau giữa cáu

bai các nhà sản xuất khác nhau

TSO/TEC đặt ra, mỗi nha sản xuất sẽ tự thiết kê các sản phẩm của họ theo đặc tả riêng và

gây ra vẫn đề không tương thích khi kết nải các sản phẩm đó lại với nhau

Chuan ISO/IEC 14443 (wiét tat la ISO 14443} la một chuẩn quốc tế gồm 4 phan, dic

ta thé thong minh phi ti¢p xuc (contactless smart cards) hoạt động ở tần số 13.56MHz trong phạm vì gần với ruột angten Chuẩn TSO này lao gồm chuẩn giao tiếp và giao thức truyền thông tin giữa thể và đâu đọc Chuẩn ISO 14443 không chỉ định tệ điều hành trong, thể và đầu đọc, đuợc hỗ trợ bởi hấu hết các nhà sản xuất thẻ thông mình phủ tiếp xúc

18O 14443 gồm 4 phân: Đặc tá phần cứng, Năng lượng tần sẻ vô tuyến và giao diện tin hiéu; Khéi tao va chẳng xung đột, Giao thức truyền đữ liệu

> ISƠ 14443-1

Phân 1 của chuẩn LSO 14443 là đặc tá phản cứng, được đưa ra vào ngày 15/04/2000,

xác dịnh cáo đặc điểm vật ly của thể tiếp xúc (PICC - Proximity Card) Chuan này định Tighữa:

-_ Kích thước của thẻ (tham khảo thêm trong chuẩn ISO 7810)

a Bae

- _ Chất lượng mẫn trên bẻ mặt thẻ

-_ Sứ cản cơ học

-_ Bức cán tia UV và tia X

- Mal dé ur tinh bao quanh

18O 14443-1 cũng liệt kẻ ra một số yêu câu về môi trường đề thể trảnh bị phá hủy,

- Độ sáng của tia cục tím (JV và tia X

n, độ xoắn

-_ Các yêu cầu về độ

- Dai ti tinh va dién xoay chiều

- Dai tir tinh va tinh din

Những yêu cầu về môi trường này phụ thuộc và quá trình sâu xuất thể và trong thiết

ké angten Trong phan này cũng nêu rõ khoảng nhiệt độ cho phép thẻ hoạt động từ 0C

đến 50°C [6]

> ISO 14443-2

Phan 2 của chuẩn ISO 14443 là năng lượng tần số vô tuyến và giao điện tín hiệu, được đưa ra vào ngày 07/01/2001 Phan này mô tả các đặc tinh trayén và giao tiếp năng, lượng giữa đầu đọc và thẻ Năng lượng gửi tới thế sử dụng đãi tần số 13.56MIz +/-

7kllz

Có hai loại giao tiếp lruyền tín Hiệu khác nhau được miêu tả (biển đổi và mã hóa bid)

tương ứng là Type A và Type B Su điều chính giao thúc bít được xác định và tốc độ

truyền tải đữ liệu mặc định được xác định ở 106 kBaud Cả hai cơ chế giao tiệp đều là bán song công (ha duplsx) với tôc đỗ truyền đữ hện mặc định cả 2 chiêu là 106 kbit/s Dir tiệu được truyền từ thé đến dau đọc theo phương pháp điên biển với tân số sóng mang là

847,5kIlz Thẻ được trưởng tin sé sóng radio cấp năng lượng và không yêu cầu phải có

sử dụng mi hóa biển déi bit Miller Trong ki do, Type Ð sử dụng phương pháp doe dit

tiêu được mã hỏa với duy nhất sự giảm sút nhỗ của biên độ thường, cho phép cả thẻ và

ae Dame

dầu dọc duy trì nẵng lượng trong suốt quá trình trao dỗi Đây là thể mạnh chính so với

Type À Type Ð sử dạng mã hóa bịt NRZ,

Dé thé va đâu đọc trao đối được với nhau, Type A sử đụng kỹ thuật mã hóa bit OOK

Manchester, Type B str dung ma héa bit BPSK [7]

> ISO 1443-3

Phân 3 của chuẩn TSƠ 144143 là khởi tạo và chồng xung đột Chuẩn nảy mô tả

- Cơ chế thắm đỏ (Polling) dối với các thẻ di vào từ ưường của dẫu đọc

- Dinh dang byie, cấu trúc lệnh và khe thời gian

- _ Câu lệnh yêu cầu (REQ) và trả lời yêu cầu (ATQ)

-_ Phương pháp chống xung đột để phát hiện và giao tiếp với một thế cụ thế khi

có một vải thẻ cùng ở trong phạm vi của đầu đọc Phương pháp phát hiện xung đột này dựa trên số ID duy nhất của mỗi thẻ, tuy nhiên, phương pháp này là khác nhau đối với Type A và Type B

© Type A: Sữ dụng phương pháp Binary Brec để phát hiện rø TD của thể

o Type D: Sử đụng phương pháp Slette4 Aloha với những bộ đánh dâu khe đặc biệt

Cơ chế khỏi tạo và g xung đội được thiết kế cho phép xây dựng các đầu đọc có khả năng giao tiếp đồng thời với nhiều thẻ củng loại Các thẻ này sẽ củng đợi trong trường chờ lénh Polling, Mét dau đọc đa giao thúc oó thế PoHing một loại, hoàn thành giao dịch với thẻ phần hỗi vá sau đỏ Polling cho loại khác, đồng thời giao địch với cáo cái

khác [8]

> TS014443-4

Phan 4 của chuẩn ISO 14443 là giao thức truyền dữ liệu Dây là phẩn đặc tả giao thie truvén khối bản sơng cổng (half-duplex), xác định những vấn dé cho môi trường phi tiếp xúc, định nghĩa việc truyền dữ liệu trong suốt vả độc lập với các lớp bên dưới

Phan nay định nghữa một giao thức truyền đữ lệu mức cao cho Type A va Type B

Giao thức được miêu 1ã trong phần 4 là một tùy chọn cho chuẩn ISO 144143, các thẻ cam từng có thê được thiết kê hỗ trợ hoặc không hỗ trợ giao thức này:

Phan này giải quyết phần lớn quy ước thông nhất băng thông giữa thẻ và dầu dọc, dinh dạng khỏi dóng gói dữ liệu, chuỗi (chia nhỏ uuột khỏi lớn ra thành nhiều khối nhỏ

hơn) và xử lý lỗi

chiếu, ngày cap, thoi han 06 gid tri

ơ quan cấp, các thông tin về cơ quan cấp hộ

Với sự ra đời của thẻ thang minh phi tiếp xúc sử dụng công nghệ RIID, những thông tin cá nhân thê hiện trong ruột hộ chiều của công đân hoàn toàn có thể được lưu trữ trén thé thong minh phi tiép mic Việc lưu trữ những thông tin cả nhân của hộ chiều trong thẻ thông mình phi tiếp xúc sẽ cho phép nâng, cao hiệu quá của quy trinh cấp phát, kiểm duyệt hộ chiếu thông qua các hệ thống xác thực tự động, Với cách tiếp cận này, hiện nay trên thể giới dã và dang triển khai mô hình hộ chiếu mới, đó là hộ chiếu diện tử (HCĐT),

Hộ chiếu điện tử, hay còn gọi là hộ chiếu sinh trắc là hộ chiếu thông thường kết hợp dùng

thể thông mình phí tiếp xúo dùng để lưu trữ những thông tín cá nhân, trong đó có những dữ liệu sinh trắc của người dùng Thế thông mình phi tiếp xúc được nhúng vào bên trong thân hộ chiếu, và toàn bộ đữ liệu sinh trac hưu trong thẻ sẽ được mã hóa, được bảo

đảm tinh nguyên vẹn thông qua những chuẩn đặc biệt liên quan [1]

Hộ chiêu truyền thống đã sử dụng một số kỳ thuật bào vệ để tăng tính an toàn, bảo mật hộ chiếu như thưỷ ân (watorrnarking], các vùng quang học chí ghi được bằng các máy

Hiên nay trên thế giới đã và dang cỏ nhiều nước triển khai mô hình hộ chiêu diện tử

như Anh, Pháp, Mỹ, Đức Việt Nam đang trên đường hội nhập và phát triển toàn điện

với thể giới, nhất là khi đã tham gia tố chức thương mại quốc tê WTO Vấn để kiếm soát một cách có hiệu quả việc xuất nhập cảnh của cêng dân, không chỉ đối với công đân Việt Nam mà còn déi với những công đân nước ngoài đang trở thành vẫn để quan trọng đổi với an ninh quốc gia Chính vi vậy, việc nghiên cứu công nghệ, xây đựng một mô hình

bảo mật và quy trình xác thực hộ chiếu điện tử ở Việt Nam đang được đặt ra Một trong những chỉ tiền dược đặt ra trong dự tháo Quyết dịnh của Thủ tướng Chính phú Phê duyệt

Chương trình Quốc Gia về Ứng dụng Công Nghệ Lhông Tìm được Bộ Thông tim và

soni be

“Truyền thông xin ý kiến nhân dân từ ngày 16/10/2009 đến 16/12/2009 là đến năm 2015,

100% hộ chiều được cấp cho công dân Việt Nam phục vụ công tác xuất, nhập cảnh là hộ chiếu điện tử [22

1.2 Cấu trúc và tổ chức hộ chiếu điện tử

1.2.1 Cấu trúc hộ chiếu điện tử

Hình 3 Mô hình chung của HCĐT [14]

Tương tự hộ chiếu truyền thống, HCĐT giống như một cuốn sách nhỏ (booklet), gồm bia cia booklet va it nhat tam trang đữ liệu, trong đỏ cỏ một trang chứa dữ liệu cá nhân của người sở hữu hộ chiêu vả ngày hiệu lực Điểm khác biệt giữa HCĐT và hộ chiêu truyền thông là ở chỗ HCĐT có thêm một biểu tượng riêng phía ngoài bia, một mạch tích hợp phi tiếp xtic RFIC (Radio Frequency Integrated) được gắn vào hộ chiều va phan

MRZ phía cuối trang dữ liệu Mạch REIC có thể được đặt trong trang dữ liệu hoặc có thẻ

44 kỷ tự và được sắp xếp theo phông OCR-B in hoa gồm bổn thông tin quan

trọng:

© Ho tén: Xuat hién 6 dong đầu tiên từ ký tự thứ 6 đến ký tự thứ 44

©_ Số hộ chiếu: Xuất hiện ở 9 kỷ tự đầu tiên của dòng thứ 2

© Ngày tháng năm sinh: Xuất hiện từ ký tự thử 14 đến 19 của dỏng thứ 2

Hình 6 Mạch tích hợp RFIC

Mạch tích hợp RFIC gồm một chúp tuân theo chuẩn ISO/IEC 14443 và một

ăngten vòng không những dùng đề kết nổi mà còn dùng đề nhân biết tín hiệu từ

dau doc Điều nảy giải thích vi sao HCĐT không có nguồn điện trong, năng,

lượng hoạt động cho chip được thu nhận qua ăngten

on Puen

Mach REIC có thẻ được gắn vào một trong các vị trí khác nhau trong booklet, thông thưởng lả giữa phần bìa và phần trang dữ liệu Trong quá trình gan, can phai dam bao ring chip không bị ăn mon và không bị rời ra khỏi booklet,

Việc chuẩn hóa tổ chức dữ liệu logic (Logical Data Structure - LDS) trong HCĐT

được Tổ chức hàng không dân dụng quốc tế ICAO khuyến nghị đẻ cỏ được sự thông nhất

giữa các thành phân dữ liêu trong HCĐT trên phạm vi toàn câu và phân thành phần dữ

Document Number Thee Diat- Dee Number

Encoded Food Encoded FingerG) Encoded Eva)

Giher Valid Ta vel Dow mens)

Busfo dy Tifa mation

Tsung Authority

Renewed for Future Uae Dither Person(s) Inclided on MRTO Displayed Sign ale o1 Usual Maik Endowements/Otereations

Contact Detals of Personts) to Natity

Travel e001 Detait=)

Hinh 9 Cac thành phần dữ liệu trong LDS [12].

-— 15 ——-

Trong quả trình tổ chức đừ liệu logic, cần phải thöa mãn các yêu cầu sau 1124:

Đâm bâo liệu quâ và lạo các điền kiện thuận lợi chơ người sở hữu HCĐT hợp

pháp

" Đảm bão sự an toản cho các thông tín đã lưu khi mở rộng dung lượng lưu trữ cia chip

Cho phép tương tác toàn câu đổi với đụng lượng đít liệu mở rộng đựa trên câu

trúc đữ liện logic của IICDT

Xác dịnh các thông 1m thy chon rnở rộng theo nhú cần của tổ chức hoặc chính

phủ cấp hệ chiêu

Cung cắp dung lượng mở rộng khi người dùng yêu cầu

Hồ trợ da đạng các tùy chọn bảo vệ đữ liệu

11ễ trợ cho các tổ chức và chính phủ cập nhật thông tin vào HCDT,

Tận dụng các chuẩn quốc tế hiện có

Củng với tô chúc dữ liệu logic, việc phân loại logic các thành phân đữ liệu có liên quan cũng đã được thiết lập Và đề thuận lợi cho việc đọc, ghỉ và kiểm tra thông tin trên phạm vi toàn cầu, các thành phần dữ liệu dược tổ chức thành các nhỏm dữ liệu Mỗi nhỏm dữ liệu được gản với một số tham chiếu Với các phiên bản HCĐT hién tai, LDS chia các thành phần đữ liệu thành 16 nhóm, duợc đánh số từ DG1 đến DG16 Trong

tương lại, T.D8 số có thêm be nhóm dữ liệu mới là DG17, DG18 và DG19 Các nhóm dit

liệu đều được mã hóa đề đâm bảo tính xác thực và toàn vợn thông tìm.

on 1G

~_ Boairent Type Tis ing State orerganzaton Mame @tHoldat) Deourmant Number Thack Digi Doe Number

Nationality Date of Birth Thed Digt- 008)

Enovde d¥ aoe Encoded Finger) Encoded Eyets)

Di plaved Porrat Reserved for Future Use Displayed Sign ature of Usual Mak

Daa Feb) SWudeFesluse) Subriance Features)

“Additonal Pewconal Seta),

“Adsizonal Document Details) }—

‘Optional Betas)

7 Rasernved orFuture Use

‘Relue Authentication Pubic Key info

Faison) Wot

HH ‘Addition al Personal Details)

‘Addibon al Dooument Delaiks)

Trava iR ecord Details)

Hình 10 Tổ chức dit ligu HCDT theo nhom [12].

3 ° Encoded Fingats

4 oO Additonal Feanme Encoded Ins(s

Machine Assisted Meniiy Confirmation Details) — Displayed Identification Feature(s)

3 ° Dicplayed Portrait (S102)

6 ° Reserved for funure use

7 ° Displayed Signature or Ususl Mark

Machine Assisted Security Feature Verification — Encoded Security Fenturef5)

£ ° Data Feanwe(s

$ ° Structire Feature(s)

10 9 Substance Feature(s)y

Additional Personal Detail(s)

11 ° Additional Personal Data Elements

Additional Document Details)

12 ° Additional Docunient Dats Elements

Optional Defuiifs)

1 ° Discretionary Data Element(s) defined by issuing State or

‘organization

‘Reserved for Future Use

tá ° Reserved for funare wre

15 ø Active Authentication Public Key info

18 -

Trong 16 nhém dữ liệu của LD8, 2 nhóm đữ liệu dâu tiên DGI và DG2 là bắt buộc, còn 14 nhóm đữ liệu sau là tùy chọn:

DGI Nhóm dữ liệu chứa thông trn giống với thông tin lưu wong MRZ

DG2 Nhóm dữ liệu lưu trữ ảnh khuôn mặt đã mã hóa của người số hữu hộ

chiếu Ảnh này định dang theo chuẩn JPEG hoặc JPRG2000 Kích thước

én 20K (kilobytes) Đây là thông tín thông rất trên loàn

ảnh khoảng từ 12 đi

cầu giúp cho việc kiểm tra định đanh của người sử đụng với các thông tin

trong HCĐT, D3: Nhém dữ liệu hmu trữ đấu vân tay của người sở hữu HCĐT đã mã hóa D1: Nhóm dữ liệu lưu trữ mồng mắt của người sở hữu HCDT đã mã hóa

TIai nhém đít lện DG3 và DG4 là tùy chọn đối với mỗi quốc gia trong việc

đưa vào chip RTID trong TICĐT để xác thực người đửng, DG5: Lưu ảnh chân dung của người mang hộ chiếu Dịnh dạng ảnh là IPEG hoặc JPHG2000,

DG6: Nhóm dữ liệu đự phòng đùng trong tương lai

DG?: Nhỏm đữ liệu lưu chữ ký của người mang hộ chiếu Thông tin nay

được lưu dưới dạng ảnh JPEG2000,

DG8/9/10: Các nhóm để liệu mô tả thông tin về đặc tính đữ liệu, đặc tỉnh

cau trúc

DG11⁄12: Nhỏm đữ liệu lưu trữ các thông tím chỉ tiết thêm về người sở hữu

hộ chiếu ngoài các thông tin dã dược lưu ở DGI

DG16 Nhóm dữ liệu lưu Irữ thông tín về người khú cần có thể liên lạc

CHỉ tiết về độ lớn trường thông tin, bắt buộc hay tùy chọn, định dạng các thánh phần

dữ liệu của các nhỏm dữ liệu tham khảo ở tài liệu ICAO Document 9303 [12]

_—19—-~

1.2.3 Lưu trữ vật lý

Dữ liệu lưu trữ trong thé REID theo các lớp ứng với từng nhỏ đữ liệu, các lệp này

là các tập co ban có tên bắt đâu bằng “EF." Ngoài ra côn có một số tệp đặc biệt như DF1

(tép chứa thông tin khai bao), EF SOp (tép chứa thông tin phục vụ quá trình xác thực thụ động - Dassive Authenhication) Trong mỗi tếp (hay nhóm đữ liệu), các trường thông tin

phân tách nhan bởi các thẻ Tag đánh đâu bắt đầu và kết thúc giá trị của trường thông tin

[Z1

RFQUIRED KIP.TONAI

——-DT — Datzercup_2 (Encoded Tace] ‘REQUIRED

Tình 12 TỂ chức vật lý thông tin trong hộ chiếu điện tử [12]

Tiến nhóm thành phân đữ liệu bắt buộc

® Phần thông In MRZ, (Machine Readable Zone) tuong ứng với nhóm đữ liệu

Da

+ Nhém dit ligu DG? lưu ảnh khuôn mặt của người mang hộ chiếu

® EF.COM, chứa thông tín phiên bản và danh sách các thể

*È IT.SOp, chứa thêng tỉn phục vụ xáo thực vả toàn vẹn

Khi thé phi tiếp xúc đi qua vùng giáo Hiếp của đâu đọc, quá tình đọc điển ra theo chuẩn T8O 14443

Lễ kiểm tra sự toản vẹn các nhóm thông tin, một số thông tin chữ ký được đưa thêm vào và ghỉ trong tệp cơ sở có tên LE SOp,

Cách thúc lưu trữ các nhóm và (hành phẩn dữ liệu theo mỏ hình thử tự ngẫu nhiên

|

Cách thức lưu trữ này phủ hợp với kỹ thuật mở rộng dung lượng tuy chon cho phép duy

trì các thành phân dữ liệu ngay cả khi nó được ghủ vượt quá Các thành phản đữ liệu cỏ độ

đải không xác định được mã theo cap gia tri length/value theo hệ thập lục phân

Đổ định vị và giải mã các nhóm và thành phân dữ liệu lưu trong các nhóm đã ghi bởi

cơ quan cấp hộ chiếu, dau doc dua vao phản thông tin Header trong tệp EF.COM (hinh

13), Việc xác định nhóm dữ liệu nảo cỏ trong chíp căn cử vảo thông tin Data Group Presenee Map chứa trong tệp EF.COM thông qua các thẻ TAG, mỗi thẻ chỉ định vị trí lưu trữ nhóm thông tin tương ứng (hình 14)

Hình 14 Thông tin chi thi sự tồn tại của nhóm dữ liệu trong chíp

Với các thành phần dữ liệu trong mỗi nhỏm (trường thông tin), đầu đọc cũng nhận

diện sự tôn tại của chúng thong qua Data Element Presence Maps, và định vị trí lưu trữ

dữ liệu thông qua các thẻ TAG [12]

DATA ELEMENT PRESENCE MAP

Hinh 15 Théng tin chi thi sx ton tai thanh phan dữ liệu trong một nhóm

Df

bảy về một số vấn đề liên quan đến chứng chỉ số và hạ tâng khóa công khai PKI Đây lả một trong những nội dung quan trọng liên quan đèn vẫn đề xác thực hộ chiều điện tử nói

riêng và xác thực thông tin nói chung.

¬

CHƯƠNG2 HẠ TẢNG CƠ SỞ MẬT MÃ KHÓA CÔNG KHAI

‘Trong quá trinh cáp phát và xác thực hộ chiếu điện tủ, cần phái triển khai hạ tầng khóa công khai PKI (Public Key Infrastructure) cho cả hộ chiều điện tử vá hệ thống kiểm duyệt tại các điểm xuất nhập cảnh dẻ đảm bảo đữ liệu lưu trong hộ chiếu là xác thực và

toàn vẹn Trước khi di vào tìm hiểu nội dung chính của luận văn, chương 2 sẽ nêu rõ một

số khải riệm liên quan đến hạ tầng khỏa công khai PKT và quá trình xác thực hộ chiếu

điện tử

2.1 Chứng chỉ số

TIiện nay, mật mã khóa công khai được xem là giải pháp tốt nhất đảm bảo được các yêu cầu vẻ an toản thông tin mạng như bảo mặt, toàn vẹn, xác thực vá chỗng chủi bỏ Khác với hệ mật mã khỏa đói xứng là chỉ sử dụng một khóa bị mật cho quả trinh mã hóa

và giải mã, hệ mật mã khởớa sông khai lại sử dụng hai khỏa khác nhau (khỏa công,

khai/khóa bí mậU, trong đó khóa sông khai được phân phối một cách Lự đo, còn khóa bí

mật được cất giữ cho quá Irình mã hỏa

Củng với sự phát triển của Internet thì nhu cầu trao đổi thông tin trên mạng ngày cảng cao Mỗi cả nhân, tổ chức chức muốn đám bảo an toàn cho thông tin cửa rninh, trước khi trao đổi sẽ phải mã hỏa thông tin bằng khỏa bí mật, sau đó đưa khóa công khai của mình ra trao dễi Có một vẫn để dặt ra, dó là làm thế nảo để nhận biết được khỏa công khai thục sự thuộc về một cá nhân hay một tổ chức nào đó?

Chímg chỉ số (digital certiffcate) được tạo ra để giải quyết vẫn để này

Khóa công khai được lưu trữ trong mét dịnh dạng dặc biết, dé chính là chứng chỉ số

ân điện xuột thực thể, gắn khóa công

Ching chi sé 1a mét file dién ur duoc sử dụng để

hay thiết bị phần cứng như máy tính, router hay muột phân tuêm xứ lý, Chứng chỉ số được

tao ra béi nha cung cắp chứng chi sé (CA - Certificate Authority) CA phai dam bảo về độ

tin cậy, chịu trách nhiệm về độ chính xác của chúng chỉ số mà mình cấp

à cá z lính cửa thục thê vào nó Thực thể có thể là mội cá nhân, một tổ chức,

Ngoài khóa công khai và các thuộc tính của thực thể, chứng chỉ số còn lưu trữ chữ

ký số của CA Đây chính là sự xác nhận của CA, bảo dộ tin cây, đô chính xác của

chứng chỉ sẻ mà CA emg cấp Cá nhân, tố chức muốn kiểm tra một chứng chỉ số, trước hết phãi kiếm tra chữ ký số của CA có hợp lệ hay khổng

Một số loại chứng chí số thông dung la:

v Chứng chỉ X 509

—

Chứng chỉ khỏa công khai don gian (Simple Public Key Certificates -

SPKC)

Y Chimg chi Pretty Good Privacy (PGP)

v Chứng chỉ thuộc tính (Attribute Certificates - AC)

Những loại chứng chỉ này đều có cấu trúc định dạng riêng Hiện nay chứng chỉ

X 509 được sử dụng rộng rãi trong hảu hét các hệ thông PKI

2.1.1 Chứng chỉ khóa công khai X.509

Chứng chỉ khỏa công khai X.509 v3 là định dạng chứng chỉ được sử dụng phô biến

và được hâu hết các nhà cung cấp sản phầm PKI triển khai X.509 được Hội viên thông quốc tế (TTU) đưa ra lần đầu tiên vào năm 1988 như là một bộ phân của dịch vụ thư mục

Định dạng chứng chỉ số X.509 bao gồm một số trường cơ bãn sau:

“Version number: Số phiên bản của chứng chỉ

Y Serial number: La dinh danh duy nhat cia chimg chi so do CA gan

UM

Y Signature: Chi ra thuat toan ma CA sit dumg dễ ký số chứng chỉ, thường là

thuật toán RSA hoặc D8A

v“ Tssuer: Chỉ ra CA cắp và ký số chứng chỉ

Y Validity period: Chi ra khoang thi gian mả chứng chỉ có biệu lực, từ thời

điểm chứng chỉ bắt dầu có hiệu lực dén thoi diểm chứng chỉ hết hạn

y¥ Subject: Xác định thực thê mà khỏa công khai của thực thể này được xác nhận Tên của thực thể này là đuy nhất

Y Subject public key Tnforraatian: Chứa khỏa công khai và những tham số

liên quan đến thực thế, xác định thuật toán đuợc sử dụng cùng với khóa

v“ Tssuer unique identifier: Dây là trường từy chợn không bắt buộc, cho phép

sử dụng lại tên người cấp, it dược sứ dụng trons thực tế

Y Subject unique identifier: La tring tiy chon cho phép str dung lai tên của

thực thế khi quá hạn, it được sử dụng

Y Extensions: Chi cé trong chime chi sd v.3

Tinh toàn vẹn của chứng chỉ số được đảm bảo bằng chữ ký số của CA trên chứng

chỉ Khóa công khai của CA được phân phổi đến người sử đựng chứng chỉ theo một cơ

chế bão mật trước khi thực hiện các thao tác PKI Người sử đụng kiếm tra hiệu lạc của

chứng chỉ được cắp với chữ ký số và khóa công khai của CA

—_ 5 seo

Eait Properties, “Copy to Fie

Learn more about co ufcave datas

Revocation Lists - CRLs)

CRL lả một giải pháp được sử dụng đề làm cơ chế thu hỏi chứng chỉ só hết hạn Day

là một cầu trúc dữ liệu được ký như chứng chỉ người sử dụng CRL chứa danh sách các

chứng chỉ bị thu hỏi và những thông tin cân thiết khác của người sử dụng Ngảy thông báo thu hỏi chứng chỉ số được xác định trong header của CRL khi nó được công bổ Vị trí

của thông tin thu hỏi có thể khác nhau tủy theo CA khác nhau Bản thân chứng cỉ

thể chửa con trỏ đến vị trí của thông tin thu hỏi Do đó, người sử dụng có thể biết được thư mục, kho lưu trữ hay cơ chế đề lẫy thông tin thu hồi dựa trên những thông tin cầu hình được thiết lập trong quá trình khởi tạo

SỐ có

Hình 19 như trên chỉ ra định đạng một danh:

Version number Signature Issuer This update

Version Number- Chỉ ra phiên bản của CRL,

Signarazx: Nhân biết loại hàm lẫn

th thu hoi CRI

và thuật toán ký được sử địng để ký đanh

5

dssuer: én ciia thyc thé cap va ky CRL

This Update: Chi ra thai gian CRI duce công bê

Next Update: Chi ra thoi gian danh sich thu héi ké tiép durge cap

List of Revoked Certificates: Danh sich cic chứng chỉ bị thủ hội (bạo gầm số

serial, ngày thu hồi và lý do thu hổi)

on

Learn more about certificate revoeation ist

Hinh 20 Danh sách chứng chỉ thu hồi

2.2 Chữ ký điện tử

Củng với sự phát triển của công nghệ thông tin vả mạng Internet, như câu trao đổi

thông tin qua mạng cảng ngày cảng đòi hỏi độ bảo mật cao, đảm bảo tỉnh nguyên vẹn và

xác thực Chinh vì thể nhu cầu sử dụng chữ ký điện tử ngày càng được phỏ biến rộng rãi

Chữ ký điện ti (electronic signature) 14 thông tin đi kèm với đữ liệu (văn bản, hình

ảnh, âm thanh ) nhằm mục đích xác định người chủ của dữ liệu đó [19].

Hình 21 mô tả quả trình tạo chữ ký điện tử từ một thông điệp Trước tiên, chương

trình sẽ tiên hành tạo giá trị băm của thông điệp bằng các thuật toán băm (như SHA,

SHA-1 ) Sau đó sử dụng khóa bí mật của chủ thẻ và các thuật toán kỷ đề tiên hảnh tạo chữ ký điện tử Cuối cùng, thông điệp gửi đi đã được ký chỉnh lả thông điệp gốc có gắn

kèm chữ ký điện tử vừa mới được tạo [19].

sẽ được sử dụng để xác thực chữ kỷ điện tử, sử dụng khỏa bi mật của chủ thé

băm phủ hợp với chữ ký điện tử thì kết luận chữ ký điện tử đó là hợp lệ

2.3 Hạ tầng cơ sở mật mã khóa công khai

Với sự phát triển nhanh chóng của Internet và công nghệ thông tin như hiện nay,

ngảy cảng xuất hiện nhiều nguy cơ mắt an toàn dữ liệu Các thông tin truyền đều có thẻ bị

nghe trộm, bị làm giả, mạo danh với các thủ đoạn ngảy cảng tỉnh vỉ

Chính vì thể, để quy trình xác thực hộ chiếu điện tử được diễn ra một cách bảo mật

và an toàn, đảm bảo tỉnh nguyên vẹn và xác thực của các thông tin cả nhân hu trong chip

RFID, ha tang co sé mật mã khóa céng khai (Public Key Infrastructure - PKI) la mét

trong những giải pháp tốt nhất cần được triển khai Đây lả một cơ chế đề cho một bên thứ

ba (thường là nhà cung cấp chứng chỉ số CA) cung cấp và xác thực định danh của các bên

tham gia vảo quả trình trao đổi thông tin

—— 30 ———

2.3.1 Các thành phần cửa PKT

Thông thường, một hệ thống PKT gồiu 4 thành phan sau [18]

+ Certification Authorities (CA): Té clute chime thuc

Trong ha Ling khéa céng khai PKI, chứng chỉ số có vai trò gắn kết giữa định danh của thực thể với khóa công khai Một CA là một thực thể trơng PKT có trách nhiệm cấp

chứng chỉ số cho các thực thế khác trong hệ thống,

CA cón dược gọi là bên thử ba dược tin tưởng dễ cùng cấp và xác thực dịnh danh của các bên tham gia vào quả trình trao dỗi thông tin Thông thường, CA thực hiện chức nang xác thực bằng cách cấp chứng chỉ số cho các CA khác và cho các thục thể cuối trơng hệ thống PKI Nêu ỞA nằm ở đỉnh mô hình phân cấp PKI và chỉ cấp chứng chỉ cho những CA ô mức thấp Lon thi CA nay goi lA CA géc (rool)

Registration Authorities (RA): Trung tim ding ky

Mặc dù ƠA có thể thực hiện những chức năng đăng an tuết, nhàng đối khi

lượng thực thể cuối trong PKI tăng lên và được phân tân khắp nơi vị địa lý thì việc đăng ký tại một CA trung tâm rất khó khăn Chính vì vậy việc đăng ký cần có các thực thế độc lập thực hiện chúc năng này, để giảm tải công việc cho CA, đó chính là RA Chúc

năng thực hiện của một RA sẽ khác nhau tùy theo từng hạ tang PKI khae nhan nhìng chủ

yêu bao gồm một số chức năng sau:

Y Xác thục cá nhân chủ thể đăng kỷ chứng chỉ

+“ Kiểm tra tính hợp lệ của thêng tin che chủ thể cung cấp

Y Xac dinh quyén của chủ thể đổi với những thuộc tính chứng chỉ dược yêu

cầu

Kiểm tra quyền sở hữu của chủ thể đối với khóa riêng đang được đăng ký

Tạo cặp khóa công khai/khóa bí mật

Lam trữ khóa riêng,

Khởi lao qua trinh khéi phuc khoa

Chức năng của RA chỉ đưa ra những khai bảo tin cậy ban đâu về chủ thể Chỉ có CA mới có thể cấp chứng chỉ hay đưa ra thông tin trạng thái thu hỏi chứng chỉ như CRT,

_— 31 ———

Clients: Thue thé cudi

Thue thé cudi trong PKI có thể là con người, thiết bị, thậm chí là một chương trình

phân mẻm nào đó, nhưng thường là người sử đụng hệ thống,

Repository: Hệ thống lưu trữ

Chứng chỉ khóa công khai và thâng tin thu hỏi chúng chỉ cân phải được phân phối

saa cha những người cân đến chúng chỉ đều có thể truy cập và lấy được dé đàng, Có 2 phương pháp phân phổi chứng chỉ và thông tin thu hồi chúng chỉ như sau:

v_ Phân phối cả nhân

Day 1a cách phân phối cơ bản nhất, mỗi cả nhân sẽ trực tiếp đưa chứng chỉ của họ cho người đừng khác Việc này có thể thực hiện theo một số cơ chế khác nhau như chuyển giao bằng tay chứng chỉ dược lưu trong dĩa mềm hoặc trong, một sở mỗi trường lưu trữ khác Với những người dùng ở xa thì

v Phân phổi công khai

Một phương pháp khác để phân phối chứng chi va thông tin thu héi ching chí là công bỏ các thông tin đỏ một cách rộng rãi, các ching chi được sử dụng một cách công khai và dược đặt ở một số hệ thống lưu trữ cơ sở đữ liệu đễ có thể truy cập dễ dàng Một số hệ thống lưu trữ phổ biến là

© X.S00 Directory System Agents (DSAs)

© Lightweight Dircetory Access Protocol (LDAP) Server

© Online Certificate Status Protocol (OCSP) Responders

©_ Domain Name System (DNS) va Web Servers

© File Transfer Protocol (FTP) Servers va Corporate Databases

_— 32 ———

2.3.2 Chức năng cơ bản cia PKI

+ Chứng thuc (certification):

Tây là chức năng quan trọng nhất của PKI, là quá trình ràng buộc khóa công khai

với định danh của thực thể trong PKI, GA lả thực thể thực hiện clrửc năng chứng thạc

Có hai phương, pháp chứng thực:

vˆ Tổ chức chứng thực CA tạo ra cặp khỏa công khai/khóa bí mật vả tạo ra phần chứng chỉ cho khóa cáng khai của cặp khóa

Người sử dụng tự tạo cặp khóa và dưa khỏa công khai cho CA dé CA tao

chứng chi cho khóa công khai dó, Chứng chi dam báo tỉnh toản vẹn của

khóa công khai và các thông tín gắn chúng

¢ Thẩm tra (validation):

Đây là quả trình kiểm tra tính hiệu hạc của chúng chỉ, xác định xem liệu chứng chỉ

đã đưa ra có được sử dụng đúng mục đích hay không Quá trình này bao gồm ruột số bước

như sau

¥ Kiém tra chit ky sé của CA trên chứng chí đề kiểm tra tinh toan ven

Y Xac dink thời gian liệu lực cửa chứng chủ để xem chứng chỉ đã bị thà hỏi

hay chưa v“ Xác định xem chứng chỉ đang hoại động có được sử dụng đúng mục đích hay không

Ngoài 2 chức năng cơ bản trên, PKI còn có một số chức năng khác nữa như đăng ký chứng chỉ, tạo và khôi phục cặp khóa công khai/khóa bí mật, cập nhật khóa, thu hỏi chứng chỉ [18]

2.3.3 M6 hinh tin cay cho PKI

Trong ha tang khéa công khai PKI, mat thure thé cuối tin cậy một CA khi thực thế cuối cho rằng CA sẽ thiết lập vả duy trì sự gần kết các thuộc tỉnh của khóa công khai một

cách chính xáo

mê hình tia cậy có thể dược áp dụng hoặc dược dé xuất đẻ sử dụng trong,

tia tầng khóa công khai PKT dụa trên chứng chỉ X.509 như sau:

*“ Môhinh CA đơn (Sinple Model)

*⁄ˆ Mô hình CA phân cấp (Hierarchical Model)

Có một

a)

¥ M6 hinh mat lưới (Mesh Model)

¥ M6 hinh web (Web Model)

⁄⁄ˆ Ni bình người sử đụng trung tâm (User Conte Model)

s* Mô hình CA đơn

Đây là mô hình tổ chức CA cơ bản và đơn giản nhất Trong mô hình này chỉ có một

CA xác nhận tất cả các thực thể cuối trong miễn PKI Mỗi người sử dụng nhận khóa công, khai của CA gốc theo một số cơ chẻ nao đỏ Mô hình nay chỉ có một điềm de tat ca người

sử dụng có thẻ kiểm tra trạng thải thu hỏi của chứng chỉ đã được cấp Mô hình này cỏ thể

được mở rộng bằng cách thêm các RA ở xa CA nhưng ở gần các nhỏm người dùng cụ thể hoặc nhóm thực thể cuối EE (End Entity)

khả năng tương tác Tuy nhiên, mô hình này có một số nhược điềm sau;

+ Không thích hợp cho miễn PKI lớn vi một số người sử dụng ở những miễn

con có những yêu cầu khác nhau đối với người ở miễn khác

Y Viéc quản trị và số lượng công việc kỹ thuật của việc vận hanh CA don sẽ rat cao trong công đồng PKI lớn

*⁄ Trong mô hình chỉ có một CA sẽ gây ra thiểu khả năng hoạt động vả CA

nảy có thể sẽ trở thành mục tiêu tấn công

_—34-—-~

* Mô hình CA phân cấp

Mô hình CA phân cấp là câu Irúc mô hình phân cấp bao gồm mội CA gốc (rool CA)

và cáo CA cấp đưới CA gốc xác nhận oác CA cấp dưới, các CA này lại xác nhận các CÁ

cập thập hen Các CA cập đưới thì không cần phải xác nhận các CA cấp trên iTrong,

mô hinh nay, mỗi thực thể sẽ giữ một bản sao khỏa công khai của CA gốc vẻ kiểm tra đường dẫn của chứng chí bắt đâu từ chữ ký của CA gốc Đây được coi la mồ hình PKI tin cậy nhất và đã được sứ dụng rộng rãi

Mô tình CA phân cấp có thể dùng được trực tiếp cho những doanh nghiệp phân cấp

và độc lập, cũng như những tố chức chính phủ, quân đội Nỏ cho phép thực thi chính

sách và các chuân thông qua ha tang cơ sở Đây là mô hinh đễ vận hành giữa các tổ chức +kháo nhau Tuy nhiên, mô hình này có một số nhược điểm sau:

¥ Cé thé khong thích hợp đổi với mỗi trường mà mỗi miễn khác nhau cần có

chính sách và giải pháp PKI khác nhau

x⁄_ Các tổ chức có thể không tự nguyện tin vào một tổ chúc khác

x_ Chỉ có một CA gốc nên có thể gây ra một số vẫn dễ như thiểu khả năng, hoạt

dong, Hon ni tương trường hợp khóa bị mật của CA bị xâm phạm, khóa

công khai mới của CA gốc phải được phân phổi đền tất cả các thực thể cuối

trong hệ thông theo một số cơ chế khác nhau

3 Mô hình mắt lưới

Mô hình mắt lưới hay còn gọi là mô hình xác thực chéo, là mô hình đưa ra sự tin cây

giữa hai hoặc nhiều CA với nhau Mỗi CA cỏ thể ở trong mô hình CA hoặc trong một mô hình mắt lưới khác Trong mô hình này có thể có nhiều hơn một CA gốc tạo sự tin cậy

giữa các CA khác nhau Thông qua việc xác thực chéo giữa các CÁ gốc mả các CA tin

tưởng lẫn nhau Hình 25 là minh họa cho mô hình này

Ưu điểm của mõ hình nảy là linh hoạt hơn, phủ hợp hơn với nhu câu giao địch hiện

nay, cho phép những nhỏm người sử dụng khác nhau co thé tu do phát triển và thực thí những chính sách khác nhau Do mô hình này có nhiều CA gốc nên nó khắc phục được một số nhược điểm của mô hình phân cấp

Tuy nhiên, mô hình này vẫn cỏn tỏn tại một số nhược điểm

*⁄_ Phức tạp và khó quản lý vì xác thực chéo giữa các CA

*⁄ˆ Khó thực hiện vả có thể không hoạt động được do những vân đề vẻ giao tác

*⁄ Phần mềm người sử dụng có thể gặp phải một số vấn đẻ khi tìm chuỗi

chứng chỉ

_— 36 ———

Hiên nay các tổ chức chính phủ và các công ty dang thiết lập CA riêng theo yêu cau PKI của mình Khi cỏ yêu càu xử lý giao tiếp giữa các tổ chức với nhau, những CÁ này sẽ tiến hành xác thực chéo déc lập, dẫn dến sự phát triển của Internct trong mô hình tìn cậy

theo các hướng khác rau

# Mô hình người sử dụng trung tâm

Trong mô hình này, mỗi người sử dụng ưực tiếp và hoàn toàn có trách nhiệm trong

việc quyết định tin nrởng hay từ chối chứng chỉ Mỗi người sử dung giữ một khóa vòng

và khỏa này đông vai trò là CA của họ Khóa vòng chứa khỏa công khai được tin cậy của

những người sử dựng khác trong công đồng Mô hình này đã được Zimmerraan phát triển

đề sử dụng trong chương trinh phân mềm bảo mật PGF (Pretty Good Privacy)

Mô hình này có một số nhược điểm như sau 18]

x“ Không có khả năng mở rộng và thích hợp với những miễn lớn

v Khó đề đăt mức độ tin cậy đối với khỏa công khai được lấy từ người khác

+” Không có sự nhất quán của quả trình xác thực vi nó phụ thuộc vào người sử

đụng,

v⁄ˆ_ Mỗi người sử dụng đều phải quân lý PKI và đòi hôi phải hiểu sâu về nó, Trong hạ tảng khóa công khai PKI còn có mệt số mô hình nữa như mô hình Hub va Spoke, mô hình Web Mỗi mô hình cỏ một số ưu nhược điểm riêng Việc lựa chợn mổ

hình nào tủy thuộc vào những yêu cầu, mụo đích của oộng đồng người sứ dụng, liên quan

xinh cho những thông tín ca nhân được lưu trong chip RELD,