Đồ án PKI full setup Hạ tầng khóa công khai PKI

Hạ tầng khóa công khai PKI Đồ án tốt nghiệp full hướng dẫn cài đặt setup Đại học Bách Khoa Hà Nội .

Trang 1

Sinh viên thực hiện: Lưu Việt Tùng – 20159550 Khóa 57 Lớp CNTT.TT2 1

Trang 2

PHIẾU GIAO NHIỆM VỤ ĐỒ ÁN TỐT NGHIỆP

1 Thông tin về sinh viên

Họ và tên sinh viên: Lưu Việt Tùng

Điện thoại liên lạc :0968877723 Email:LuuviettungBKHN@gmail.com

Đồ án tốt nghiệp được thực hiện tại: Bộ môn truyền thông và mạng máy tính Viện công nghệthông tin và truyền thông – Đại học Bách Khoa Hà Nội

Thời gian làm ĐATN: Từ ngày 14 /02 /2016 đến 30 /06 /2016

2 Mục đích nội dung của ĐATN

Nhiệm vụ của đồ án là nghiên cứu hoạt động và triển khai hạ tầng khóa công khai PKI trên Windows Server 2008

3 Các nhiệm vụ cụ thể của ĐATN

• Nghiên cứu hạ tầng khóa công khai PKI

• Xây dựng hạ tầng khóa công khai PKI

• Ứng dụng hạ tầng khóa công khai PKI vào triển khai các ứng dụng trên windows server 2008

Trang 3

4 Lời cam đoan của sinh viên:

Tôi Lưu Việt Tùng cam kết ĐATN là công trình nghiên cứu của bản thân tôi dưới sự hướng dẫn của TS Trần Quang Đức

Các kết quả nêu trong ĐATN là trung thực, không phải là sao chép toàn văn của bất kỳ côngtrình nào khác

Hà Nội, ngày tháng năm

Tác giả ĐATN

Lưu Việt Tùng

5 Xác nhận của giáo viên hướng dẫn về mức độ hoàn thành của ĐATN và cho phép bảo vệ:

Hà Nội, ngày tháng năm

Giáo viên hướng dẫn

Ts.Trần Quang Đức

Trang 4

MỤC LỤC

Trang 5

LỜI CẢM ƠN

Tôi xin gửi lời cảm ơn chân thành nhất tới TS Trần Quang Đức, người thầy đãcho tôi những định hướng và những ý kiến rất quý báu để tôi hoàn thành được đồ án tốtnghiệp này Tôi xin tỏ lòng biết ơn sâu sắc tới các thầy cô, bạn bè cùng làm việc đã dìudắt, giúp đỡ tôi tiến bộ trong suốt quá trình làm đồ án tốt nghiệp Xin cảm ơn gia đình

và bè bạn, những người luôn khuyến khích và giúp đỡ tôi trong mọi hoàn cảnh khókhăn Tôi xin cảm ơn bộ môn Truyền Thông và Mạng Máy Tính, viện Công NghệThông Tin và Truyền Thông trường Đại Học Bách Khoa Hà Nội đã hết sức tạo điềukiện cho tôi trong quá trình học tập và làm đồ án này

Trang 6

TÓM TẮT NỘI DUNG ĐỒ ÁN TỐT NGHIỆP

Đồ án này có tên “Nghiên cứu – Xây dựng hạ tầng khóa công khai PKI ” là đề tài xây

dựng làm đồ án tốt nghiệp Nội dung đồ án là nghiên cứu – xây dựng hạ tầng khóa công khaiPKI, trên nền tảng hạ tầng đó triển khai các ứng dụng trên Windows Server Trong đó tậptrung nghiên cứu – xây dựng hạ tầng khóa công khai PKI và triển khai bảo mật cho hệ thốngMail , Website, thiết lập đường truyền bảo mật VPN

Đồ án được chia ra làm 3 phần:

Phần 1: Chương 1: Đặt vấn đề và định hướng giải pháp

Phần 2: Quá trình nghiên cứu và kết quả đạt được

Chương 2: Lý thuyết tổng quan: Có nhiệm vụ giới thiệu tổng quan về mật

mã, tổng quan hạ tầng khóa công khai PKI, tổng quan VPN, tổng quan SSL.Chương 3: Triển khai hạ tầng PKI: Xây dựng mô hình và triển khai hạ tầngPKI trên nền Windows Server 2008, thử nghiệm với các kịch bản đề ra, rút ranhận xét

Phần 3: Kết luận : Đưa ra nhận xét về hệ thống, đánh giá kết quả đạt được, phần chưalàm được và đưa ra định hướng phát triển

Trang 7

ABSTRACT OF THESIS

The graduated dissertation is named: “studying – public infrastructure of PKI The main content of the dissertation is studying and building the public key infrastructure PKI, which is the foundation to deploy the application for Windows Server The disserfation focuses on studying and building public key infrastructure PKI and deploying the security for mai system,website, setting up the secured lines VPN

The dissertation is divided into 3 parts :

Part1: Chapter 1: introduction and orientation for solution

Part2: Process of studying and results

Chapter 2: Overall theory, Overall introduction about encryption, Overall introduction about public key infrastructure PKI, Overall introduction about VPN, Overall introduction about SSL

Chapter 3: Deployment of infrastructure PKI: building the model and deployingthe public key infrastructure PKI which is basic in Windows Server 2008, testing some script, giving comments

Part 3: Conlusion: Giving comments about the system, notable the achieved results anduncomplete part, giving the orientation of development as well

Trang 8

DANH MỤC TỪ VIẾT TẮT

APKI Architecture for Public-Key Infrastructure

CA Certificate Authority

CRL Certifiate Revocation List

DES Data Encrytion Standard

DSA Digital Signature Algorithm

DSS Digital Signature Standard

IETF Internet Engineering Task Force

LDAP Lightweight Directory Access Protocol

MD2, 4,5 Message Digest 2,4,5

NIST National Institute of Standards and Technology

NSA National Security Agency

PEM Privacy Enhanced Mail

PGP Pretty Good Privacy

RA Registration Authority

PKCS Public Key Cryptography Standards

PKI Public Key Infrastructure

PKIX Public Key Infrastructure X.509 group

RFC Request For Comments

RSA Rivest Shamir Adleman

SCEP Simple Certificate Enrollment Protocol

SET Secure Electronic Transactions

SHA Secure Hash Algorithm

SPKI Simple Public Key Infrastructure

SSL Secure Socket Layer

TSL Transport Layer Security

Trang 9

DANH MỤC HÌNH VẼ

Trang 10

CHƯƠNG 1 ĐẶT VẤN ĐỀ VÀ ĐỊNH HƯỚNG GIẢI PHÁP

1.1: GIỚI THIỆU ĐỀ TÀI

Trong một vài năm lại đây, hạ tầng truyền thông IT càng ngày càng được mởrộng khi mà người sử dụng dựa trên nền tảng này để truyền thông và giao dịch với cácđồng nghiệp, các đối tác kinh doanh cũng như việc khách hàng dùng email trên cácmạng công cộng Hầu hết các thông tin kinh doanh nhạy cảm và quan trọng được lưutrữ và trao đổi dưới hình thức điện tử Sự thay đổi trong các hoạt động truyền thôngdoanh nghiệp này đồng nghĩa với việc phải có biện pháp bảo vệ tổ chức, doanh nghiệpcủa mình trước các nguy cơ lừa đảo, can thiệp, tấn công, phá hoại hoặc vô tình tiết lộcác thông tin đó Cấu trúc hạ tầng mã khoá công cộng (PKI - Public Key Infrastructure

- hay còn gọi là Hạ tầng mã khoá bảo mật công cộng hoặc Hạ tầng mã khoá công khai)cùng các tiêu chuẩn và các công nghệ ứng dụng của nó có thể được coi là một giảipháp tổng hợp và độc lập mà bản có thể sử dụng để giải quyết vấn đề này

Đó cũng chính là lí do em lựa chọn đề tài : Nghiên cứu xây dựng hạ tầng khóa công khai PKI làm đồ án tốt nghiệp

1.2: MÔ TẢ BÀI TOÁN ĐẶT RA

Bài toán đặt ra là nghiên cứu và triển khai hạ tầng khóa công khai PKI :

Bảo mật cho quá trình gửi mail.Tấn công xâm nhập hệ thống.Xác thực người dùng.Truy cập web với giao thức HTTPS trên nền tảng SSL triển khai với CA Xây dựng đường hầm VPN ứng dụng với hạ tầng khóa công khai PKI

Mô hình bài toán đặt ra được miêu tả như hình

Trang 11

Hình 1 1 : Mô hình bài toán đặt ra

Bài toán đặt ra được phân tích cụ thể như sau :

Bài toán gửi mail:

User1 gửi thư cho User2 , bức thư phải đi qua Mail server rồi chuyển đếnUser2 Kẻ thứ 3 tấn công xâm nhập vào hệ thống Bức thư khi không có cơ chế bảomật và xác thực người dùng, nên kẻ thứ 3 đã đọc được nội dung bức thư, sửa đổi vàchuyển tiếp đi

Bài toán truy cập web với giao thức an toàn:

Khi một hệ thống Mail truy cập ra bên ngoài sử dụng đường truyền internetthông qua web browser , hoặc các thành viên trong công ty truy cập web thông tin nội

bộ qua web browser Khi đó sử dụng giao thức HTTP không còn an toàn, nội dungkhông được mã hóa và xác thực Đó là tiền đề cho việc kết hợp giao thức bảo mật SSL

1.3: CÔNG NGHỆ LIÊN QUAN

Giới thiệu về PKI

Trong mật mã học, hạ tầng khóa công khai (tiếng Anh: public key

infrastructure, viết tắt PKI) là một cơ chế để cho một bên thứ 3 (thường là nhà cung

cấp chứng thực số) cung cấp và xác thực định danh các bên tham gia vào quá trình traođổi thông tin Cơ chế này cũng cho phép gán cho mỗi người sử dụng trong hệthống một cặpkhóa công khai/khóa bí mật Các quá trình này thường được thực hiệnbởi một phần mềm đặt tại trung tâm và các phần mềm phối hợp khác tại các địa điểmcủa người dùng Khóa công khai thường được phân phối trong chứng thực khóa côngkhai

Khái niệm hạ tầng khóa công khai (PKI) thường được dùng để chỉ toàn bộ hệthống bao gồm nhà cung cấp chứng thực số (CA) cùng các cơ chế liên quan đồng thờivới toàn bộ việc sử dụng các thuật toán mật mã hóa khóa công khai trong trao đổithông tin Tuy nhiên phần sau được bao gồm không hoàn toàn chính xác bởi vì các cơchế trong PKI không nhất thiết sử dụng các thuật toán mã hóa khóa công khai

Giới thiệu về Window Server 2008

Trang 12

Ngày 12/11/2007 Microsoft chính thức tung ra thị trường phiên bản hệ điều hành máy chủ Windows Server 2008, hệ điều hành này gồm 6 phiên bản chính:Việc lựa chọn phiên bản nào thì phụ thuộc vào yêu cầu của người sử dụng.

Windows Server 2008 Standard Edition: là lựa chọn tốt nhất cho doanh nghiệpnhỏ, không có nhu cầu mở rộng của phần cứng và không sử dụng tính năng clustering

Windows Server 2008 Enterprise Edition: là lựa chọn tốt cho môi trường doanhnghiệp lớn, hỗ trợ đầy đủ các tính năng như: clustering, failover, virtualization và khảnăng mở rộng phần cứng

Windows Server 2008 DataCenter Edition (IA-64 DataCenter Edition): là tùychọn cho các doanh nghiệp dùng lưu trữ dữ liệu lớn và sử dụng tính năng ảo hoá trênquy mô lớn

Một số tính năng mới Windows Server 2008 so với Windows Server 2003:Server Manager, Terminal Services Advanced Event Viewer, Server Core, Hỗ trợ Ipv6,Windows PowerShell, Internet Information Services 7.0, máy chủ ảo

Giới thiệu về hệ thống Mail Server Kerio

Kerio Connect là ứng dụng kế thừa của Kerio MailServer Nó thực chất là hệthống mailserver hoạt động trên nhiều hệ điều hành khác nhau, hỗ trợ nhiều giao thức.Những giao thức này cho phép sử dụng bất kỳ email client được hỗ trợ bởi các thiết bị

di động Mailserver này còn cho phép bạn trực tiếp truy cập vào hòm thư thông quagiao diện web độc quyền Kerio Connect sử dụng các hòm thư để lưu trữ nhiều dạng

dữ liệu khác nhau như tin nhắn email, lịch, ghi chú, danh sách liên hệ, nhiệm vụ

Tính năng:

Kết nối mọi người: Chia sẻ email, lịch, danh sách liên hệ,…trên mọi hệ thốngnhư Mac, Windows, Linux và smartphone.Kết nối mọi lúc, mọi nơi:Tập trung hóa dữliệu vào một địa điểm Truy cập công việc tại văng phòng, trên đường đi hoặc tại nhà.Với domain đã phân chia, có thể lập kế hoạch cuộc họp, sử dụng danh sách địa chỉtoàn cầu, và dễ dàng quản lý hay liên lạc với các văn phòng chi nhánh từ xa

Tùy chọn client linh hoạt: Gồm Microsoft Outlook, Microsoft Entourage AppleiCal, Apple Mail, Apple Address Book Kerio WebMail, thiết bị đi động

Đồng bộ mọi dữ liệu: Đồng bộ với email push trực tiếp Tự động đồng bộ email,lịch, và danh sách liên hệ với thiết bị di động Thay đổi trên điện thoại, máy tính hoặcweb trong thời gian thực

Dễ dàng quản lý các folder công cộng hoặc được chia sẻ bằng cách lựa chọnnhững folder muốn đồng bộ với thiết bị di động.Kerio Connect kết nối trực tiếp vớicác thiết bị kích hoạt Exchange ActiveSync

Trang 13

Bảo vệ dữ liệu:Bảo vệ dữ liệu khi điện thoại bị mất Xóa thông tin quan trọng

từ thiết bị thông qua Kerio Smart Wipe

Sức mạnh của ứng dụng:Kerio Connect được tích hợp với công cụ chống spam

và virus mạnh nhất vào mail server.Ngăn chặn spam và virus hiệu quả hơn từ các tinnhắn email và đính kèm gửi đi, chuyển tiếp hoặc nhận

Chống spam:Hơn 14 lớp chống spam DHA (Directory Harvest Attackprotection).Loại bỏ spam (Bayes, Heuristic, and SURBL) Chống lừa đảo Server danhsách đen RBL (Real-time blacklist servers) Tùy chỉnh whitelists và blacklists.Giảmthiểu lượng tiêu thụ tài nguyên server.Ngăn chặn tới 80% spam trước khi tấn công vàoserver Tiết kiệm dung lượng ổ cứng, RAM và CPU

Chống virus: Sophos tích hợp Kết hợp Sophos với một công cụ chống viruskhác để bảo vệ kép

Bảo vệ kịp thời: Công nghệ quét tiên tiến.Dễ dàng bảo dưỡng.Cập nhật từnggiờ.Chương trình nhúng chống virus bên thứ 3 Sử dụng hệ thống chống virus đang cóvới Kerio Connect dễ dàng thông qua chương trình nhúng chống virus tích hợp

Khôi phục sao lưu trên một server khác: Khôi phục dữ liệu user và cấu hìnhserver trên một cài đặt mới trong trường hợp lỗi phần cứng Tích hợp với các giải phápthứ 3 để có thời gian hoạt động tối đa

Giới thiệu về SSL

Giao thức Secure Socket Layer (SSL) được phát triển bởi Netscape, ngày nay giao thức Secure Socket Layer (SSL) đã được sử dụng rộng rãi trên hệ thống mạng nhằm mục đích xác thực và mã hoá thông tin giữa client và server Cụ thể SSL được sửdụng để mã hóa cho tất cà các protocol hoạt động tại lớp Application như: HTTP, FTP,SMTP, POP, IMAP…Hiện nay, khi public một web site lên internet, để áp dụng cơ chế

mã hóaSSL chúng ta phải thuê SSL Certificate cho Web Server từ các tổ chức cung cấpDigital Certificate như: Verisign, CyberTrust, EnTrust…

Giới thiệu về đường hầm VPN

VPN được hiểu đơn giản là sự mở rộng của một mạng riêng (Private Network) thông qua các mạng công cộng Về căn bản, mỗi VPN là một mạng riêng rẽ sử dụng một mạng chung (thường là Internet) để kết nối cùng với các site (các mạng riêng lẻ) hay nhiều người sử dụng từ xa Thay cho việc sử dụng kết nối thực, chuyên dùng như đường leased-line, mỗi VPN sử dụng các kết nối ảo được dẫn qua đường Internet từ mạng riêng của các công ty tới các site các nhân viên từ xa Để có thể gửi và nhận dữ liệu thông qua mạng công cộng mà vẫn đảm bảo tính an toàn và bảo mật, VPN cung cấp các cơ chế mã hóa dữ liệu trên đường truyền tạo ra một đường ống bảo mật giữa nơi nhận và nơi gửi gọi là Tunnel , Tunnel giống như một kết nối point-to-point trên mạng riêng

Trang 15

CHƯƠNG 2 LÝ THUYẾT TỔNG QUAN

2.1 :TỔNG QUAN VỀ MẬT MÃ VÀ ỨNG DỤNG

2.1.1 :Giới thiệu chung về mật mã

Mật mã đã được con người sử dụng từ lâu đời Các hình thức mật mã sơ khai đãđược tìm thấy từ khoảng bốn nghìn năm trước trong nền văn minh Ai Cập cổ đại Trảiqua hàng nghìn năm lịch sử, mật mã đã được sử dụng rộng rãi ở khắp nơi trên thế giới

từ Đông sang Tây để giữ bí mật cho việc giao lưu thông tin trong nhiều lĩnh vực hoạtđộng giữa con người và các quốc gia, đặc biệt trong các lĩnh vực quân sự, chính trị,ngoại giao Mật mã trước hết là một loại hoạt động thực tiễn, nội dung chính của nó là

để giữ bí mật thông tin Để thực hiện được một phép mật mã, ta cần có một thuật toánbiến bản rõ cùng với khoá mật mã thành bản mã mật và một thuật toán ngược lại biếnbản mật cùng với khoá mật mã thành bản rõ Các thuật toán đó được gọi tương ứng làthuật toán lập mã và thuật toán giải mã Các thuật toán này thường không nhất thiếtphải giữ bí mật, mà cái luôn cần được giữ bí mật là khoá mật mã Trong thực tiễn, cónhững hoạt động ngược lại với hoạt động bảo mật là khám phá bí mật từ các bản mã

“lấy trộm” được, hoạt động này thường được gọi là mã thám hay phá khoá

2.1.2 :Khái niệm mật mã và hệ mật mã

Khái niệm về mật mã

Mã hóa (code): Biến đổi cách thức biểu diễn thông tin

Mật mã ( cipher ):Mã Hóa để che giấu, giữ mật thông tin

Mật mã học (cryptography ): Ngành khoa học nghiên cứu các phương pháp toán học để mã hóa giữ mật thông tin

Thám mã (cryptoanalysis) : Ngiên cứu các phương pháp toán học để phá vỡ hệ mật mã

Khái niệm về hệ mật mã

Hệ mật mã được định nghĩa là một bộ năm (P, C, K, E, D), trong đó:

P là tập hữu hạn các các bản rõ có thể, C tập hữu hạn các bản mã có thể, K là tập hữu hạn các khoá có thể, E là tập các hàm lập mã, D là tập các hàm giải mã Với mỗi k thuôc K, có một hàm lập mã

ek thuộc E, ek : P → C và một hàm giải mã dk thuộc D, dk: C → P sao chodk(ek(x)) = x , ∀ x thuộc P

Trang 16

Hình 2 1 Quá trình mã hoá và giải mã 2.1.3: Hệ mật mã đối xứng và bất đối xứng

dễ dàng bằng phần cứng

Một số hệ mật mã khóa đối xứng hiện đại: DES, 2DES, 3DES, AES, RC4, RC5

Hạn chế: Cần kênh mật để chia sẻ khóa bí mật giữa các bên.Số lượng khóa lớn:

n(n-1)/2 Khó ứng dụng trong các hệ thống mở (E-commerce) Không dễ dàng để xácthực đối với thông tin quảng bá

Trang 17

Hệ mật mã phi đối xứng.

Hình 2 3 Hệ mật mã phi đối xứng

Asymmetric key cryptography, Public key cryptography: Tháng 11/1976, Diffie vàHellman giới thiệu ý tưởng về một kịch bản chia sẻ khóa bí mật (của hệ mật mã khóa đối xứng) mới mà không truyền trực tiếp giá trị của khóa Độ an toàn dựa trên độ khó.Các thuật toán dựa trên các hàm toán học Một số hệ mật mã khóa công khai: RSA, El-Gamal

2.1.4 : Chữ kí số

Mật mã khoá công khai có thể được sử dụng theo nhiều cách khác nhau Chữ ký

số là một ví dụ minh chứng cho việc đảm bảo xác thực người dùng và toàn vẹn dữ liệu.Nếu người gửi A mã hoá thông điệp hay tài liệu với khoá cá nhân của mình thì bất kỳ

ai cũng có thể giải mã thông điệp với khoá công của A Do đó, người nhận có thể chắcchắn rằng thông điệp mình nhận chỉ có thể do A mã vì chỉ A mới có khoá cá nhân củamình Quá trình mã hoá thông điệp với khoá cá nhân của người gửi gọi là quá trình “kýsố”

Trong thực tế, quá trình ký số thường khó hơn Thay bằng việc mã bản thông điệp gốc với khoá cá nhân của người gửi thì chỉ có bản đại diện thông điệp (bản băm)

có độ dài cố định được mã hoá với khoá cá nhân của người gửi và bản băm đã được mãhoá này được gắn vào với thông điệp gốc Người nhận B sau khi nhận được thông điệp đầu tiên sẽ giải mã bản băm với khoá công của người gửi, sau đó băm thông điệp đi kèm bằng thuật toán băm tương ứng với thuật toán băm người gửi đã sử dụng B so sánh hai giá trị băm nếu giống nhau thì chắc chắn rằng thông điệp A gửi cho B còn nguyên vẹn, đồng thời xác thực được người gửi thông tin là ai

Tính toàn vẹn của thông điệp được đảm bảo vì chỉ thay đổi một bit trong thôngđiệp gửi đi thì kết quả hai giá trị băm sẽ khác nhau Tính xác thực của người gửi cũngđược đảm bảo vì chỉ có người gửi A mới có khoá cá nhân để mã bản băm Chữ ký sốcũng chứng minh được tính chống chối bỏ bản gốc vì chỉ có A mới có khoá cá nhândùng để ký số

Trang 18

Sơ đồ chữ ký được định nghĩa như sau:

Sơ đồ chữ ký là một bộ năm (P, A, K, S, V), trong đó:

P là một tập hữu hạn các văn bản có thể

A là một tập hữu hạn các chữ ký có thể

K là một tập hữu hạn các khoá có thể

S là tập các thuật toán ký

V là tập các thuật toán kiểm thử

Với mỗi k ∈ K, có một thuật toán ký sig k ∈ S, sig k: P → A và một thuậttoán kiểm thử ver k ∈ V, ver k: P x A → {đúng, sai}, thoả mãn điều kiện

sau đây với mọi x ∈ P, y ∈ A:

RSA cũng là thuật toán được dùng nhiều cho mục đích ký số Sơ đồ chữ ký RSA được

mô tả Ngoài ra, còn có một số thuật toán công khai khác được dùng để ký số, ví dụnhư chuẩn chữ ký số DSS

Cho n = p*q với p,q là số nguyên tố lớn Đặt P = A = Zn

K = {(n, p, q, a, b)/ n = p*q, a*b ≡ 1 mod φ(n)}

trong đó (n,b) là công khai, (a, p, q) là bí mật

Với mỗi K = (n, p, q, a, b), mỗi x ∈ P, ta định nghĩa:

y = sigK (x) = xa mod n, y ∈ A verK (x, y) = đúng ⇔ x ≡ yb mod n

Hình 2 4Sơ đồ chữ ký RSA

Quá trình ký và kiểm tra chữ ký được mô tả trong hình

Giả sử A muốn gửi cho B thông điệp x A thực hiện các bước sau:

1.A băm thông điệp x thu được bản đại diện z = h(x) – có kích

thước cố định 128 bit hoặc 160 bit

2 A ký số trên bản đại diện z bằng khóa bí mật của mình, thu

được bản ký số y = sigK (z).

3 A gửi (x, y) cho B

Trang 19

Hình 2 5Băm thông điệp.

Hình 2 6Ký trên bản băm.

Hình 2 7Truyền dữ liệu thông tin cần gửi.

Sơ đồ mô tả các công đoạn người A làm trước khi gửi thông điệp

cho người B (sử dụng hàm băm rồi ký số)

Trang 20

Khi B nhận được (x, y) B thực hiện các bước sau:

1 B kiểm tra chữ ký số để xác minh xem thông điệp mà mình nhận được có

phải được gửi từ A hay không bằng cách giải mã chữ ký số y, bằng khóa công khai của A, được z

2 B dùng một thuật toán băm – tương ứng với thuật toán băm mà A dùng – để

băm thông điệp x đi kèm, nhận được h(x).

3 B so sánh 2 giá trị băm z và h(x), nếu giống nhau thì chắc chắn rằng thông điệp x – mà A muốn gửi cho B – còn nguyên vẹn, bên cạnh đó cũng xác thực

được người gửi thông tin là ai

Hình 2 8Xác minh chữ ký.

Hình 2 9Tiến hành băm thông điệp x đi kèm.

Hình 2 10Kiểm tra tính toàn vẹn của thông điệp

Sơ đồ mô tả các công đoạn kiểm tra chữ ký sau khi người B nhận

được thông điệp

Trang 21

2.1.5 : Hàm băm

Hàm băm (tiếng Anh: hash function) là hàm sinh ra các giá trị băm tương ứngvới mỗi khối dữ liệu (có thể là một chuỗi kí tự, một đoạn tin nhắn ) Giá trị băm đóngvai trò gần như một khóa để phân biệt các khối dữ liệu, tuy nhiên, người ta chấp nhậnhiện tượng trùng khóa hay còn gọi là đụng độ và cố gắng cải thiện giải thuật để giảmthiểu sự đụng độ đó Hàm băm thường được dùng trong bảng băm nhằm giảm chi phítính toán khi tìm một khối dữ liệu trong một tập hợp (nhờ việc so sánh các giá trị băm

nhanh hơn việc so sánh những khối dữ liệu có kích thước lớn).

Trong ngành mật mã học, một hàm băm mật mã học là một hàm băm với một

số tính chất bảo mật nhất định để phù hợp việc sử dụng trong nhiều ứng dụng bảo mậtthông tin đa dạng, chẳng hạn như chứng thực (authentication) và kiểm tra tính nguyênvẹn của thông điệp (message integrity) Một hàm băm nhận đầu vào là một xâu ký tự

dài (hay thông điệp) có độ dài tùy ý và tạo ra kết quả là một xâu ký tự có độ dài cố

định, đôi khi được gọi là tóm tắt thông điệp (message digest) hoặc chữ ký số (digital fingerprint).

Hàm băm - hiểu theo một nghĩa đơn giản là hàm cho tương ứng một mảng dữ liệu lớnvới một mảng dữ liệu nhỏ hơn - được sử dụng rộng rãi trong nhiều ứng dụng khác nhaucủa tin học, không chỉ thuộc phạm vi mật mã học

Hàm băm được đề cập đến trong phạm vi đồ án là hàm băm một chiều, có tácdụng trợ giúp cho các sơ đồ ký số nhằm làm giảm dung lượng của dữ liệu cần thiết đểtruyền qua mạng Hàm băm ở đây được hiểu là các thuật toán không sử dụng khoá để

mã hóa (ở đây ta dùng thuật ngữ “băm” thay cho “mã hoá”), nó có nhiệm vụ bămthông điệp được đưa vào theo một thuật toán h một chiều nào đó, rồi đưa ra một bảnbăm – văn bản đại diện – có kích thước cố định Giá trị của hàm băm là duy nhất vàkhông thể suy ngược lại được nội dung thông điệp từ giá trị băm này Hàm băm mộtchiều h có một số đặc tính quan trọng sau:

- Với thông điệp đầu vào x thu được bản băm z = h(x) là duy nhất.

- Nếu dữ liệu trong thông điệp x thay đổi hay bị xóa để thành thông điệp x’ thì h(x’) ≠ h(x) Cho dù chỉ là một sự thay đổi nhỏ hay chỉ là xóa đi 1 bit dữ liệu của thông

điệp thì giá trị băm cũng vẫn thay đổi Điều này có nghĩa là: hai thông điệp hoàn toànkhác nhau thì giá trị hàm băm cũng khác nhau

- Nội dung của thông điệp gốc không thể bị suy ra từ giá trị hàm băm Nghĩa làvới thông điệp x thì dễ dàng tính được z = h(x), nhưng lại không thể (thực chất là khó)suy ngược lại được x nếu chỉ biết giá trị hàm băm h(x)

Một số thuật toán băm được biết đến nhiều là hàm băm dòng và hàm băm chuẩnnhư: [MD2], [MD4], [MD5], [SHA-1]…

2.2 :TỔNG QUAN VỀ HẠ TẦNG KHÓA CÔNG KHAI PKI

2.2.1: Khái niệm hạ tầng khóa công khai PKI

Trong một vài năm lại đây, hạ tầng truyền thông IT càng ngày càng được mởrộng khi mà người sử dụng dựa trên nền tảng này để truyền thông và giao dịch với cácđồng nghiệp, các đối tác kinh doanh cũng như việc khách hàng dùng email trên cácmạng công cộng Hầu hết các thông tin kinh doanh nhạy cảm và quan trọng được lưu

Trang 22

trữ và trao đổi dưới hình thức điện tử Sự thay đổi trong các hoạt động truyền thôngdoanh nghiệp này đồng nghĩa với việc người sử dụng phải có biện pháp bảo vệ tổ chức,doanh nghiệp của mình trước các nguy cơ lừa đảo, can thiệp, tấn công, phá hoại hoặc

vô tình tiết lộ các thông tin đó Cấu trúc hạ tầng PKI cùng các tiêu chuẩn và các côngnghệ ứng dụng của nó có thể được coi là một giải pháp tổng hợp và độc lập có thể sửdụng để giải quyết vấn đề này

Trong mật mã học, hạ tầng khóa công khai (Public Key Infracstructure – PKI) làmột cơ chế để cho một bên thứ 3 (thường là nhà cung cấp chứng thực số) cung cấp vàxác thực định danh các bên tham gia vào quá trình trao đổi thông tin Cơ chế này cũngcho phép gán cho mỗi người sử dụng trong hệ thống một cặp khóa công khai và khóa

bí mật Các quá trình này thường được thực hiện bởi một phần mềm đặt tại trung tâm

và các phần mềm phối hợp khác tại các địa điểm của người dùng Khóa công khaithường được phân phối trong chứng thực khóa công khai

Khái niệm hạ tầng khóa công khai (PKI) thường được dùng để chỉ toàn bộ hệthống bao gồm nhà cung cấp chứng thực số (Certificate Authority) cùng các cơ chếliên quan đồng thời với toàn bộ việc sử dụng các thuật toán mã hóa khóa công khaitrong trao đổi thông tin

Tới nay, những nỗ lực hoàn thiện PKI vẫn đang được đầu tư và thúc đẩy Và đểhiện thực hoá ý tưởng này, các tiêu chuẩn cần phải được nghiên cứu phát triển ở cácmức độ khác nhau bao gồm: mã hoá, truyền thông và liên kết, xác thực, cấp phép vàquản lý Nhiều chuẩn bảo mật trên mạng Internet, chẳng hạn Secure SocketsLayer/Transport Layer Security (SSL/TLS) và Virtual Private Network (VPN), chính

là kết quả của sáng kiến PKI

PKI là công nghệ xác thực đầu tiên và hoàn thiện nhất sử dụng phương pháp mãhoá dựa trên khoá bí mật và khoá công cộng Tuy nhiên, PKI cũng bao gồm cả việcứng dụng rộng rãi các dịch vụ bảo mật khác, bao gồm dịch vụ dữ liệu tin cậy, thốngnhất dữ liệu về tổng thể và quản lý mã khoá

2.2.2: Các khái niệm trong hệ thống PKI

a, Chứng thư số - Chứng thư khóa công khai X.509

Mật mã khoá công khai sử dụng hai khoá khác nhau (khoá công và khoá cánhân) để đảm bảo yêu cầu “bí mật, xác thực, toàn vẹn và chống chối bỏ ” của nhữngdịch vụ an toàn Một đặc tính quan trọng khác của lược đồ khoá công khai là phầnkhoá công khai được phân phối một cách tự do Ngoài ra, trong hạ tầng mã khoá côngkhai thì khoá công ngoài việc phải luôn sẵn có để mọi người trong hệ thống có thể sửdụng còn phải được đảm bảo về tính toàn vẹn

Khoá công được đặt ở vị trí công khai trong một định dạng đặc biệt Định dạngnày được gọi là chứng thư Chứng thư (thực ra là chứng thư khoá công – public keycertificate (PKC)) là sự gắn kết giữa khoá công của thực thể và một hoặc nhiều thuộctính liên quan đến thực thể Thực thể có thể là người, thiết bị phần cứng như máy tính,router hay một phần mềm xử lý Một chứng thư khoá công (PKC) được người cấp ký

Trang 23

bằng chữ ký có hiệu lực đưa ra một bảo bảm đầy đủ về sự gắn kết giữa khoá công, thựcthể sở hữu khoá công này và tập các thuộc tính khác được viết trong chứng thư.

PKC còn được gọi là “digital certificate”- chứng thư số, “digital ID”, hay đơn

giản là chứng thư

Chứng thư chứa những thông tin cần thiết như khóa công khai, chủ thể (người sở hữu)khoá công, người cấp và một số thông tin khác Tính hợp lệ của các thông tin đượcđảm bảo bằng chữ ký số của người cấp chứng thư Người nào muốn sử dụng chứng thưtrước hết sẽ kiểm tra chữ ký số trong chứng thư Nếu đó là chữ ký hợp lệ thì sau đó cóthể sử dụng chứng thư theo mục đích mong muốn

Có nhiều loại chứng thư, một trong số đó là:

Chứng thư khoá công khai X.509

Chứng thư khoá công khai đơn giản (Simple Public Key Certificates - SPKC)Chứng thư Pretty Good Privacy (PGP)

Chứng thư thuộc tính (Attribute Certificates - AC)

Hình 2 11.Certificate

Tất cả các loại chứng thư này đều có cấu trúc định dạng riêng Hiện nay chứngthư khoá công khai X.509 được sử dụng phổ biến trong hầu hết các hệ thống PKI Hệthống chương trình cấp chứng thư số thử nghiệm cũng sử dụng định dạng chứng thưtheo X.509, nên đồ án này tập trung vào xem xét chi tiết chứng thư công khai X.509.Trong đồ án, thuật ngữ chứng thư “certificate” được sử dụng đồng nghĩa với chứng thưkhoá công khai X.509 v3

b,Chứng thư khoá công khai X.509

Chứng thư X.509 v3 là định dạng chứng thư được sử dụng phổ biến và đượchầu hết các nhà cung cấp sản phẩm PKI triển khai

Chứng thư khoá công khai X.509 được Hội viễn thông quốc tế (ITU) đưa ra lầnđầu tiên năm 1988 như là một bộ phận của dịch vụ thư mục X.500

Trang 24

Chứng thư gồm 2 phần Phần đầu là những trường cơ bản cần thiết phải có trongchứng thư Phần thứ hai chứa thêm một số trường phụ, những trường phụ này được gọi

là trường mở rộng dùng để xác định và đáp ứng những yêu cầu bổ sung của hệ thống

Hình 2 12 Chứng thư X.509 Những trường cơ bản của chứng thư X.509

Version: xác định số phiên bản của chứng thư

Certificate Serial Number: do CA gán, là định danh duy nhất của chứng thư.Signature Algorithm ID: chỉ ra thuật toán CA sử dụng để ký số chứng thư Cóthể là thuật toán RSA hay DSA…

Extensions (Optional): chỉ có trong chứng thư v.3

Certification Authority’s Digital Signature: chữ ký số của CA được tính từnhững thông tin trên chứng thư với khoá cá nhân và thuật toán ký số được chỉ ra trongtrường Signature Algorithm Identifier của chứng thư

Trang 25

Những trường mở rộng của chứng thư X.509

Authority Key Indentifier: chứa ID khoá công khai của CA, ID này là duy nhất

và được dùng để kiểm tra chữ ký số trên chứng thư Nó cũng được sử dụng để phânbiệt giữa các cặp khoá do một CA sử dụng (trong trường hợp nếu CA có nhiều hơn mộtkhoá công khai) Trường này được sử dụng cho tất cả các chứng thư tự ký số (CA -certificates)

Subject Key Identifier: chứa ID khoá công khai có trong chứng thư và được sửdụng để phân biệt giữa các khoá nếu như có nhiều khoá được gắn vào trong cùngchứng thư của người sử dụng (Nếu chủ thể có nhiều hơn một khoá công khai)

Key Usage: chứa một chuỗi bit được sử dụng để xác định (hoặc hạn chế) chứcnăng hoặc dịch vụ được hỗ trợ qua việc sử dụng khoá công khai trong chứng thư

Extended Key Usage: chứa một hoặc nhiều OIDs (định danh đối tượng – ObjectIdentifier) để xác định cụ thể việc sử dụng khoá công trong chứng thư Các giá trị cóthể là : (1) xác thực server TLS, (2) xác thực client TLS, (3) Ký Mã, (4) bảo mật e-mail, (5) Tem thời gian

CRL Distribution Point: chỉ ra vị trí của CRL tức là nơi hiện có thông tin thu hồichứng thư Nó có thể là URI (Uniform Resource Indicator), địa chỉ của X.500 hoặcLDAP server

Private Key Usage Period: trường này cho biết thời gian sử dụng của khoá cánhân gắn với khóa công khai trong chứng thư

Certificate Policies: trường này chỉ ra dãy các chính sách OIDs gắn với việc cấp

và sử dụng chứng thư

Policy Mappings: trường này chỉ ra chính sách xác thực tương đương giữa haimiền CA Nó được sử dụng trong việc thiết lập xác thực chéo và kiểm tra đường dẫnchứng thư Trường này chỉ có trong chứng thư CA

Subject Alternative Name: chỉ ra những dạng tên lựa chọn gắn với người sở hữuchứng thư Những giá trị có thể là: địa chỉ e-mail, địa chỉ IP, địa chỉ URI…

Issuer Alternative Name: chỉ ra những dạng tên lựa chọn gắn với người cấpchứng thư

Subject Directory Attributes: trường này chỉ ra dãy các thuộc tính gắn với người

sở hữu chứng thư Trường mở rộng này không được sử dụng rộng rãi Nó được dùng

để chứa những thông tin liên quan đến đặc quyền

Basic Constraints Field: trường này cho biết đây có phải là chứng thư CA haykhông bằng cách thiết lập giá trị logic (true) Trường này chỉ có trong chứng thư CA.Chứng thư CA dùng để thực hiện một số chức năng Chứng thư này có thể ở một tronghai dạng Nếu CA tạo ra chứng thư để tự sử dụng, chứng thư này được gọi là chứng thư

CA tự ký Khi một CA mới được thiết lập, CA tạo ra một chứng thư CA tự ký để kýlên chứng thư của người sử dụng cuối trong hệ thống Và dạng thứ hai là CA cấpchứng thư cho những CA khác trong hệ thống

Path Length Constraint: trường này chỉ ra số độ dài tối đa của đường dẫn chứngthư có thể được thiết lập Giá trị “zero” chỉ ra rằng CA chỉ có thể cấp chứng thư chothực thể cuối , không cấp chứng thư cho những CA khác (Trường này chỉ có trongchứng thư của CA)

Trang 26

Name Constrainsts: được dùng để bao gồm hoặc loại trừ các nhánh trong nhữngmiền khác nhau trong khi thiết lập môi trường tin tưởng giữa các miền PKI.

Policy Constraints: được dùng để bao gồm hoặc loại trừ một số chính sáchchứng thư trong khi thiết lập môi trường tin tưởng giữa các miền PKI

Hình 2 13 Certificate xin cấp phát Hình 2 14 Nội dung Certificate cấp phát 2.2.3 :Các thành phần của hệ thống PKI

Một hệ thống PKI gồm các thành phần sau

Certificate Authorites (CA): cấp và thu hồi chứng chỉ

Registration Authorites (RA): gắn kết giữa khóa công khai và định danh củangười giữ chứng chỉ

Clients: Người sử dụng cuối hoặc hệ thống là chủ thể của chứng chỉ PKI

Repositories: Hệ thống lưu trữ chứng chỉ và danh sách các chứng chỉ bị thu hồi.Cung cấp cơ chế phân phối chứng chỉ và CRLs đến các thực thể cuối

Các thành phần PKI và các mối quan hệ giữa chúng được chỉ ra như trong hình sau

Tổ chức chứng thực (Certification Authority)

Trong hạ tầng cơ sở khoá công khai, chứng thư có vai trò gắn kết giữa địnhdanh với khoá công Sự gắn kết này thể hiện trong dạng cấu trúc dữ liệu được ký sốđược đề cập đến như chứng thư đã được thảo luận ở phần trước Một certificateauthority (CA) là một thực thể PKI có trách nhiệm cấp chứng thư cho các thực thểkhác trong hệ thống

Tổ chức chứng thực - CA cũng được gọi là bên thứ ba được tin tưởng vì người

sử dụng cuối tin tưởng vào chữ ký số của CA trên chứng thư trong khi thực hiện những

Trang 27

hoạt động mã hoá khoá công khai cần thiết Tổ chức cung cấp dịch vụ chứng thực –Certification Service Provider (CSP) là một thuật ngữ khác nhắc đến CA được sử dụngtrong đồ án.

Thông thường, CA thực hiện chức năng xác thực bằng cách cấp chứng thư chocác CA khác và cho thực thể cuối (người giữ chứng thư) trong hệ thống Nếu CA nằm

ở đỉnh của mô hình phân cấp PKI và chỉ cấp chứng thư cho những CA ở mức thấp hơnthì chứng thư này được gọi là chứng thư gốc “root certificate”

Trung tâm đăng ký (Registration Authorites )

Mặc dù CA có thể thực hiện những chức năng đăng ký cần thiết, nhưng đôi khicần có thực thể độc lập thực hiện chức năng này Thực thể này được gọi là “registrationauthority” - trung tâm đăng ký Ví dụ khi số lượng thực thể cuối trong miền PKI tănglên và số thực thể cuối này được phân tán khắp nơi về mặt địa lý thì việc đăng ký tạimột CA trung tâm trở thành vấn đề khó giải quyết Để giải quyết vấn đề này cần thiếtphải có một hoặc nhiều RAs (trung tâm đăng ký địa phương)

Mục đích chính của RA là để giảm tải công việc của CA Chức năng thực hiệncủa một RA cụ thể sẽ khác nhau tuỳ theo nhu cầu triển khai PKI nhưng chủ yếu baogồm những chức năng sau:

- Xác thực cá nhân chủ thể đăng ký chứng thư.

- Kiểm tra tính hợp lệ của thông tin do chủ thể cung cấp.

- Xác nhận quyền của chủ thể đối với những thuộc tính chứng thư được yêu cầu.

- Kiểm tra xem chủ thể có thực sự sở hữu khoá cá nhân đang được đăng ký hay

không - điều này thường được đề cập đến như sự chứng minh sở hữu (proof

of possession - POP)

- Tạo cặp khoá cá nhân /công khai.

- Phân phối bí mật được chia sẻ đến thực thể cuối (ví dụ : khoá công của CA).

- Thay mặt chủ thể thực thể cuối khởi tạo quá trình đăng ký với CA.

- Lưu trữ khoá cá nhân.

- Khởi sinh qúa trình khôi phục khoá.

- Phân phối thẻ bài vật lý (ví dụ như thẻ thông minh) chứa khoá cá nhân.

Nhìn chung, RA xử lý việc trao đổi (thường liên quan đến tương tác ngườidùng) giữa chủ thể thực thể cuối và quá trình đăng ký, phân phối chứng thư và quảnlývòng đời chứng thư/khoá Tuy nhiên, trong bất kỳ trường hợp nào thì RA cũng chỉ đưa

ra những khai báo tin cậy ban đầu về chủ thể Chỉ CA mới có thể cấp chứng thư hayđưa ra thông tin trạng thái thu hồi chứng thư như CRL

Thực thể cuối (end entity)

Thực thể cuối trong PKI có thể là con người, thiết bị, và thậm chí là một chươngtrình phần mềm nhưng thường là người sử dụng hệ thống Thực thể cuối sẽ thực hiệnnhững chức năng mật mã (mã hoá, giải mã và ký số)

Hệ thống lưu trữ (Repositories)

Chứng thư (khoá công) và thông tin thu hồi chứng thư phải được phân phối saocho những người cần đến chứng thư đều có thể truy cập và lấy được Có 2 phươngpháp phân phối chứng thư:

Trang 28

a Phân phối cá nhân

Phân phối cá nhân là cách phân phối cơ bản nhất Trong phương pháp này thìmỗi cá nhân sẽ trực tiếp đưa chứng thư của họ cho người dùng khác Việc này có thểthực hiện theo một số cơ chế khác nhau Chuyển giao bằng tay chứng thư được lưutrong đĩa mềm hay trong một số các môi trường lưu trữ khác Cũng có thể phân phốibằng cách gắn chứng thư trong e-mail để gửi cho người khác

Cách này thực hiện tốt trong một nhóm ít người dùng nhưng khi số lượng ngườidùng tăng lên thì có thể xảy ra vấn đề về quản lý

b Phân phối công khai

Một phương pháp khác phổ biến hơn để phân phối chứng thư (và thông tin thuhồi chứng thư) là công bố các chứng thư rộng rãi, các chứng thư này có thể sử dụngmột cách công khai và được đặt ở vị trí có thể truy cập dễ dàng Những vị trí này đượcgọi là cơ sở dữ liệu Dưới đây là ví dụ về một số hệ thống lưu trữ:

- X.500 Directory System Agents (DSAs)

- Lightweight Directory Access Protocol (LDAP ) Server

- Online Certificate Status Protocol (OCSP) Responders

- Domain name System (DNS) và Web servers

- File Transfer Protocol (FTP) Servers và Corporate Databases

2.2.4:Chức năng cơ bản của PKI

Những hệ thống cho phép PKI có những chức năng khác nhau Nhưng nhìn chung có hai chức năng chính là: chứng thực và thẩm tra

Chứng thực (certification)

Chứng thực là chức năng quan trọng nhất của hệ thống PKI Đây là quá trình ràngbuộc khoá công khai với định danh của thực thể CA là thực thể PKI thực hiện chứcnăng chứng thực Có hai phương pháp chứng thực:

Tổ chức chứng thực (CA) tạo ra cặp khoá công khai, khoá bí mật và tạo ra chứng chỉ cho phần khoá công của cặp khoá

Người sử dụng tự tạo cặp khoá và đưa khoá công cho CA để CA tạo chứng chỉcho khoá công đó Chứng chỉ đảm bảo tính toàn vẹn của khoá công khai và các thông tin gắn cùng

Thẩm tra (validation)

Quá trình xác định liệu chứng chỉ đã đưa ra có thể được sử dụng đúng mục đíchthích hợp hay không được xem như là quá trình kiểm tra tính hiệu lực của chứng chỉNghiên cứu, xây dựng hạ tầng khóa công khai PKI dựa trên OpenCA

Quá trình này bao gồm một số bước sau:

Kiểm tra xem liệu có đúng là CA được tin tưởng đã ký số lên chứng chỉ haykhông (xử lý theo đường dẫn chứng chỉ)

Trang 29

Kiểm tra chữ ký số của CA trên chứng chỉ để kiểm tra tính toàn vẹn.

Xác định xem chứng chỉ còn ở trong thời gian có hiệu lực hay không

Xác định xem chứng chỉ đã bị thu hồi hay chưa

Xác định xem chứng chỉ đang được sử dụng có đúng mục đích, chính sách, giớihạn hay không (bằng cách kiểm tra những trường mở rộng cụ thể như mở rộng chínhsách chứng chỉ hay mở rộng việc sử dụng khoá)

Một số chức năng khác

Hệ thống PKI thực hiện chức năng chứng thực, thẩm tra cùng với một số chứcnăng phụ trợ khác Dưới đây là một số chức năng và dịch vụ được hầu hết các hệ thốngPKI cung cấp Một số những chức năng khác có thể được định nghĩa tuỳ theo yêu cầu

cụ thể của các hệ thống PKI

Đăng ký: Là quá trình đến hoặc liên lạc với các tổ chức, trung tâm tin cậy đểđăng ký các thông tin và xin cấp chứng chỉ RA và CA là những thực thể trong quátrình đăng ký Quá trình đăng ký phụ thuộc vào chính sách của tổ chức Nếu chứng chỉđược cung cấp với mục đích dùng cho những hoạt động bí mật thì sử dụng phươngpháp gặp mặt trực tiếp Nếu chứng chỉ chỉ được sử dụng cho những mục đích, hoạtđộng thường thì có thể đăng ký qua những ứng dụng viết sẵn hoặc ứng dụng điện tử

Khởi tạo ban đầu: Khi hệ thống trạm của chủ thể nhận được các thông tin cầnthiết để liên lạc với CA thì quá trình khởi tạo bắt đầu Những thông tin này có thể làkhoá công của CA, chứng chỉ của CA, cặp khóa công /bí mật của chủ thể Một số hệthống khác sử dụng cơ chế dựa trên password trong giai đoạn khởi tạo Người dùngcuối liên lạc với CA khi nhận được password và sau đó thiết lập một kênh bảo mật đểtruyền những thông tin cần thiết Giai đoạn khởi tạo thường tiếp tục với quá trìnhchứng thực

Khôi phục cặp khóa: Hầu hết hệ thống PKI tạo ra hai cặp khoá cho người sửdụng cuối, một để ký số và một để mã hoá Lý do để tạo hai cặp khoá khác nhau xuấtphát từ yêu cầu khôi phục và sao lưu dự phòng khoá Tuỳ theo chính sách của tổ chức,

bộ khoá mã (mã và giải mã) và những thông tin liên quan đến khoá của người sử dụngphải được sao lưu để có thể lấy lại được dữ liệu khi người sử dụng mất khoá riêng hayrời khỏi đơn vị Còn khoá để ký số được sử dụng tuỳ theo mục đích cá nhân nên khôngđược sao lưu Riêng khoá bí mật của CA thì được lưu giữ dự phòng trong một thời giandài để giải quyết những vấn đề nhầm lẫn có thể xảy ra trong tương lai Hệ thống PKI

có những công cụ để thực hiện chức năng sao lưu và khôi phục khoá

Tạo khóa: Cặp khoá công khai/bí mật có thể được tạo ở nhiều nơi Chúng cóthể được tạo ra bằng phần mềm phía client và được gửi đến CA để chứng thực CAcũng có thể tạo ra cặp khoá trước khi chứng thực Trong trường hợp này, CA tự tạo cặpkhoá và gửi khoá bí mật này cho người sử dụng theo một cách an toàn Nếu khoá do

Trang 30

bên thứ ba tạo ra thì những khoá này phải được CA tin cậy trong miền xác nhận trướckhi sử dụng.

Hạn sử dụng và cập nhật khóa: Một trong những thuộc tính của chứng chỉ làthời gian hiệu lực Thời gian hiệu lực của mỗi cặp khoá được xác định theo chínhsách

sử dụng Các cặp khoá của người sử dụng nên được cập nhật khi có thông báo về ngàyhết hạn Hệ thống sẽ thông báo về tình huống này trong một thời gian nhất định Chứngchỉ mới sẽ được người cấp công bố tự động sau thời gian hếthạn

Xâm hại khóa: Đây là trường hợp không bình thường nhưng nếu xảy ra thìkhoá mới sẽ được công bố và tất cả người sử dụng trong hệ thống sẽ nhận thấy điềunày Xâm hại đến khoá của CA là một trường hợp đặc biệt Và trong trường hợp nàythì CA sẽ công bố lại tất cả các chứng chỉ với CA-certificate mới của mình

Thu hồi: Chứng chỉ được công bố sẽ được sử dụng trong khoảng thời gian cóhiệu lực Nhưng trong trường hợp khoá bị xâm hại hay có sự thay đổi trong thông tincủa chứng chỉ thì chứng chỉ mới sẽ được công bố, chứng chỉ cũ sẽ bị thu hồi

Công bố và gửi thông báo thu hồi chứng chỉ: Một chứng chỉ được cấp chongười sử dụng cuối sẽ được gửi đến cho người nắm giữ và hệ thống lưu trữ để có thểtruy cập công khai Khi một chứng chỉ bị thu hồi vì một lý do nào đó, tất cả người sửdụng trong hệ thống sẽ được thông báo về việc này Phương thức để công bố và gửinhững thông báo thu hồi đã được đề cập chi tiết trong nội dung về chứng chỉ số ở phầntrên

Xác thực chéo: Xác thực chéo là một trong những đặc tính quan trọng nhất của

hệ thống PKI Chức năng này được sử dụng để nối hai miền PKI khác nhau Xác thựcchéo là cách để thiết lập môi trường tin cậy giữa hai CA dưới những điều kiện nhấtđịnh Những điều kiện này được xác định theo yêu cầu của người sử dụng Nhữngngười sử dụng ở các miền khác nhau chỉ có thể giao tiếp an toàn với người khác saukhi việc xác thực chéo giữa các CA thành công Xác thực chéo được thiết lập bằngcách tạo chứng chỉ CA xác thực lẫn nhau Nếu CA-1 và CA-2 muốn thiết lập xác thựcchéo thì cần thực hiện một số bước sau:

CA-1 công bố CA – certificate cho CA-2

CA-2 công bố CA – certificate cho CA-1

CA-1 và CA-2 sẽ sử dụng những trường mở rộng xác định trong chứng chỉ để đặtnhững giới hạn cần thiết trong CA-certificate Việc xác thực chéo đòi hỏi phải có sựkiểm tra cẩn thận các chính sách PKI Nếu cả hai đều có cùng hoặc tương tự chính sáchcủa nhau thì việc xác thực chéo sẽ có ý nghĩa Ngược lại, sẽ có những tình huốngkhông mong muốn xuất hiện trong trường hợp chính sách PKI của một miền trở thànhmột phần của miền khác Trường mở rộng “Policy mapping”, “name constraints” và

“policy constraints” của chứng chỉ X.509 chuẩn được sử dụng trong xác thực chéo đểđưa ra một số giới hạn trongmôi trường tin cậy

Trang 31

Thẩm quyền thứ cấp: cho phép CA gốc hạn chế tính năng của các CA thứ cấp.tính năng này để quyết định dạng CA được phát hành và các dịch vụ khác mà CA đó

có thể tạo ra cho khách hàng Một khi đã có một cơ chế phân cấp trong tổ chức, xácđịnh các đối tác kinh doanh chính và bắt đầu đưa vào cấu trúc bảo mật Tạo ra cácchính sách bảo mật trong nội bộ tổ chức trong đó định nghĩa các tài sản cần bảo vệ vànhững cách thức và công cụ mà nhân viên sẽ sử dụng để thực hiện điều này Thảo racác quy trình hỗ trợ người sử dụng trong các vấn đề liên quantới phát hành, gia hạn vàphục hồi các chứng thực và mã khoá, sau đó phân công trách nhiệm phát triển và duytrì tổng thể hệ thống PKI cho những bộ phận có chức năng

2.2.5 :Các mô hình hệ thống

Có một số mô hình tin cậy có thể được áp dụng hoặc được đề xuất để sử dụngtrong hạ tầng mã khoá công khai - PKI dựa trên X.509:

- Single CA Model (mô hình CA đơn )

- Hierarchical Model (Mô hình phân cấp )

- Mesh Model (Mô hình mắt lưới – mô hình xác thực chéo)

- Hub and Spoke (Bridge CA) Model (Mô hình cầu CA)

- Web Model (Trust Lists) (Mô hình web)

- User Centric Model (Mô hình người sử dụng trung tâm )

a, Mô hình CA đơn

Đây là mô hình tổ chức CA cơ bản và đơn giản nhất Trong mô hình CA đơn chỉ

có một CA xác nhận tất cả các thực thể cuối trong miền PKI Mỗi người sử dụng trongmiền nhận khoá công khai của CA gốc (root CA) theo một số cơ chế nào đó Trong môhình này không có yêu cầu xác thực chéo Chỉ có một điểm để tất cả người sử dụng cóthể kiểm tra trạng thái thu hồi của chứng thư đã được cấp Mô hình này có thể được mởrộng bằng cách có thêm các RA ở xa CA nhưng ở gần các nhóm người dùng cụ thể

Mô hình này được minh hoạ trong hình

Hình 2 15Mô hình CA đơn

Trang 32

b, Mô hình phân cấp

Mô hình này tương ứng với cấu trúc phân cấp với CA gốc và các CA cấp dưới

CA gốc xác nhận các CA cấp dưới, các CA này lại xác nhận các CA cấp thấp hơn Các

CA cấp dưới không cần xác nhận các CA cấp trên

Hình 2 16 Mô hình phân cấp

c, Mô hình mắt lưới (xác thực chéo)

Mô hình mắt lưới là mô hình đưa ra sự tin tưởng giữa hai hoặc nhiều CA Mỗi

CA có thể ở trong mô hình phân cấp hoặc trong mô hình mắt lưới khác Trong mô hìnhnày không chỉ có một CA gốc mà có nhiều hơn một CA gốc phân phối sự tin cậy giữacác CA với nhau Thông qua việc xác thực chéo giữa các CA gốc, các CA có thể tintưởng lẫn nhau Xác thực chéo liên kết các miền khác nhau bằng việc sử dụng thuộctính BasicConstraints, Name Constraints, PolicyMapping và PolicyConstraints củaX.509 v3 mở rộng

Trong cấu hình mắt lưới đầy đủ, tất cả các CA gốc xác nhận chéo lẫn nhau.Điều này yêu cầu n2 lần xác thực trong hạ tầng cơ sở Hình dưới là minh hoạ biểu diễnbằng đồ thị mô hình này

Hình 2 17Mô hình mắt lưới

Trang 33

d, Mô hình Hub và Spoke (Bridge CA)

Trong mô hình Hub và Spoke, thay bằng việc thiết lập xác thực chéo giữa các

CA, mỗi CA gốc thiết lập xác thực chéo với CA trung tâm CA trung tâm này làm choviệc giao tiếp được thuận lợi hơn CA trung tâm được gọi là hub (hoặc bridge) CA Động cơ thúc đẩy mô hình này là giảm số xác thực chéo từ n2 xuống n

Một điểm quan trọng khác với cấu hình này là CA trung tâm không tạo ra sựphân cấp Tất cả các thực thể trong cấu hình đều giữ khoá công khai của CA cục bộ,không có khoá của CA trung tâm Như vậy, rõ ràng mô hình này giảm đi nhược điểmcủa mô hình mạng nhưng lại gặp phải khó khăn trong việc thiết lập bridge CA làm việcvới các CA khác trong hạ tầng cơ sở để các CA này có thể hoạt động được với nhau

Hình 2 18Mô hình Hub và Spoke (Bridge CA) 2.2.6 :Ứng dụng trong thực tế

PKI cho phép người tham gia xác thực lẫn nhau và sử dụng các thông tin của hệ thống

PKI để mã hóa và giải mã thông tin trong quá trình trao đổi Nhờ vậy người sử dụng

có thể sử dụng trong một số ứng dụng như sau :

- Mã hóa email , xác thực người gửi email

- Mã hóa, xác thực văn bản , tập tin

- Xác thực người dùng ứng dụng

- Giao thức truyền thông an toàn ( IKE , SSL )

- Một số ứng dụng khác trong cuộc sống : Chữ kí điện tử trong cục thuế, giao dịch điện tử, mua sắm trực tuyến, úng dụng bảo mật, xác thực trong internet banking Giao dịch chứng khoán, giao dịch điện tử

Trang 34

Hình 2 19: Ứng dụng hạ tầng khóa PKI trong thực tế 2.3: TỔNG QUAN VỀ VPN

2.3.1: Định nghĩa về VPN

VPN được hiểu đơn giản là sự mở rộng của một mạng riêng (Private Network)thông qua các mạng công cộng Về căn bản, mỗi VPN là một mạng riêng rẽ sử dụngmột mạng chung (thường là Internet) để kết nối cùng với các site (các mạng riêng lẻ)hay nhiều người sử dụng từ xa Thay cho việc sử dụng kết nối thực, chuyên dùng nhưđường leased-line, mỗi VPN sử dụng các kết nối ảo được dẫn qua đường Internet từmạng riêng của các công ty tới các site các nhân viên từ xa Để có thể gửi và nhận dữliệu thông qua mạng công cộng mà vẫn đảm bảo tính an toàn và bảo mật, VPN cungcấp các cơ chế mã hóa dữ liệu trên đường truyền tạo ra một đường ống bảo mật giữanơi nhận và nơi gửi gọi là Tunnel , Tunnel giống như một kết nối point-to-point trênmạng riêng Để có thể tạo ra một đường ống bảo mật đó, dữ liệu phải được mã hóatheo cơ chế giấu đi, chỉ cung cấp phần đầu gói tin (header) là thông tin về đường đi chophép nó có thể đi tới đích thông qua mạng công cộng một cách nhanh chống dữ liệuđược mã hóa một cách cẩn thận do đó nếu các packet bị bắt trên đường truyền côngcộng cũng không thể đọc nội dung vì không có khóa đề giải mã, liên kết với dữ liệu mãhóa và đóng gói được gọi là kết nối VPN Các đường kết nối VPN thường được gọi làđường ống VPN (Tunnel)

2.3.2: Các thành phần VPN

Để triển khai một hệ thống VPN cần có một số thành phần cơ bản sau, nhưngviệc tạo ra hệ thống VPN thì mỗi người sẽ có một sự lựa chọn thành phần khác nhau đểphù hợp với công ty hay mục đích của mỗi người

Các thành phần tạo nên VPN

Trang 35

VPN Client : Máy tính , bộ định tuyến , thiết bị cầm tay hỗ trợ giao thức PPTP ,

L2TP, IPSec, sử dụng trên Win 2000, XP , Win7 8 Nhưng sử dụng tốt nhất là WinXP

vì hỗ trợ tốt PPTP, L2TP , IPSec thông dụng

VPN Server : Windows Server NT4.0 , Windows Server 2003 2008 2012 :

Cung cấp giải pháp Routing và Remote Access (RRAS) Các máy chủ VPN chỉ đơngiản là hoạt động như một bộ định tuyến cung cấp cho khách hàng VPN có thể truy cậpđến một mạng riêng Một trong những yêu cầu bổ sung cho một máy chủ VPN là cần

có một máy chủ RADIUS(Remote Authentication Dial In User Service) RADIUS làmột server sử dụng dịch vụ quay số xác thực từ xa RADIUS là cơ chế mà các nhàcung cấp dịch vụ Internet thường sử dụng để xác thực các thuê bao để thiết lập kết nốiInternet Microsoft cũng có phiên bản riêng của RADIUS được gọi là Dịch vụ xác thựcInternet hoặc IAS( International Accounting Standards ) Các dịch vụ IAS có cả trênWindows Server 2008

Giao thức sử dụng : Khi VPN khách hàng truy cập vào một máy chủ VPN qua

một đường hầm ảo Một số giao thức để lựa chọn để tạo đường hầm như : IPSec, L2TP, PPTP, GRE Trong quá trình thiết lập một VPN, chúng ta phải chọn một giao thứcxác thực Hầu hết là MS-CHAP v2 MS-CHAP tương đối an toàn, và nó làm việc vớikhách hàng VPN sử dụng hệ điều hành Windows Lựa chọn tốt nhất là MS-CHAP

2.3.3: Phân loại mạng VPN

Mục tiêu đặt ra đối với công nghệ mạng VPN là thoả mãn ba yêu cầu cơ bảnsau: Tại mọi thời điểm, các nhân viên của công ty có thể truy nhập từ xa hoặc di độngvào mạng nội bộ của công ty Nối liền các chi nhánh, văn phòng di động Khả năngđiều khiển được quyền truy nhập của khách hàng, các nhà cung cấp dịch vụ hoặc cácđối tượng bên ngoài khác Dựa vào những yêu cầu cơ bản trên, mạng riêng ảo VPNđược phân làm ba loại:

Mạng VPN truy nhập từ xa (Remote Access VPN)

Mạng VPN cục bộ (Intranet VPN)

Mạng VPN mở rộng (Extranet VPN)

Mạng VPN truy nhập từ xa (Remote Access VPN) Các VPN truy nhập từ xa

cung cấp khả năng truy nhập từ xa Tại mọi thời điểm, các nhân viên, chi nhánh vănphòng di động có khả năng trao đổi, truy nhập vào mạng của công ty Kiểu VPN truynhập từ xa là kiểu VPN điển hình nhất Bởi vì, những VPN này có thể thiết lập bất kểthời điểm nào, từ bất cứ nơi nào có mạng Internet VPN truy nhập từ xa mở rộng mạngcông ty tới những người sử dụng thông qua cơ sở hạ tầng chia sẻ chung, trong khinhững chính sách mạng công ty vẫn duy trì Chúng có thể dùng để cung cấp truy nhập

an toàn từ những thiết bị di động, những người sử dụng di động, những chi nhánh vànhững bạn hàng của công ty Những kiểu VPN này được thực hiện thông qua cơ sở hạtầng công cộng bằng cách sử dụng công nghệ ISDN, quay số, IP di động, DSL và công

Trang 36

nghệ cáp và thường yêu cầu một vài kiểu phần mềm client chạy trên máy tính củangười sử dụ ng.

a,Các ưu điểm của mạng VPN truy nhập từ xa:

Mạng VPN truy nhập từ xa không cần sự hỗ trợ của nhân viên mạng bởi vì quá trình kết nối từ xa được các ISP thực hiện

Giảm được các chi phí cho kết nối từ khoảng cách xa bởi vì các kết nối khoảng cách xa được thay thế bởi các kết nối cục bộ thông qua mạng Internet Cung cấp dịch

vụ kết nối giá rẻ cho những người sử dụng ở xa Bởi vì các kết nối truy nhập là nội bộ nên các Modem kết nối hoạt động ở tốc độ cao hơn so với các truy nhập khoảng cách

xa VPN cung cấp khả năng truy nhập tốt hơn đến các site của công ty bởi vì chúng hỗ trợ mức thấp nhất của dịch vụ kết nối

b) Nhược điểm của mạng VPN truy cập từ xa:

Mạng VPN truy nhập từ xa không hỗ trợ các dịch vụ đảm bảo QoS Nguy

cơ bị mất dữ liệu cao Hơn nữa, nguy cơ các gói có thể bị phân phát không đến nơi hoặc mất gói.Bởi vì thuật toán mã hoá phức tạp, nên tiêu đề giao thức tăng một cách đáng kể

Mạng VPN cục bộ ( Intranet VPN) Các VPN cục bộ được sử dụng để bảo mật

các kết nối giữa các địa điểm khác nhau của một công ty Mạng VPN liên kết trụ sởchính, các văn phòng, chi nhánh trên một cơ sở hạ tầng chung sử dụng các kết nối luônđược mã hoá bảo mật Điều này cho phép tất cả các địa điểm có thể truy nhập an toàncác nguồn dữ liệu được phép trong toàn bộ mạng của công ty Những VPN này vẫncung cấp những đặc tính của mạng WAN như khả năng mở rộng, tính tin cậy và hỗ trợcho nhiều kiểu giao thức khác nhau với chi phí thấp nhưng vẫn đảm bảo tính mềm dẻo.Kiểu VPN này thường được cấu hình như là một VPN Site- to- Site

a, Những ưu điểm chính của mạng cục bộ dựa trên giải pháp VPN bao gồm:Các mạng lưới cục bộ hay toàn bộ có thể được thiết lập (với điều kiện mạngthông qua một hay nhiều nhà cung cấp dịch vụ) Giảm được số nhân viên kỹthuật hỗ trợ trên mạng đối với những nơi xa Bởi vì những kết nối trung gianđược thực hiện thông qua mạng Internet, nên nó có thể dễ dàng thiết lập thêmmột liên kết ngang cấp mới Tiết kiệm chi phí thu được từ những lợi ích đạtđược bằng cách sử dụng đường ngầm VPN thông qua Internet kết hợp với côngnghệ chuyển mạch tốc độ cao Ví dụ như công nghệ Frame Relay, ATM

b) Nhược điểm chính của mạng cục bộ dựa trên giải pháp VPN :

Bởi vì dữ liệu được truyền “ngầm” qua mạng công cộng – mạng Internet – chonên vẫn còn những mối “đe dọa” về mức độ bảo mật dữ liệu và mức độ chấtlượng dịch vụ (QoS).Khả năng các gói dữ liệu bị mất trong khi truyền dẫn vẫncòn khá cao

Trang 37

Trường hợp truyền dẫn khối lượng lớn dữ liệu, như là đa phương tiện, với yêu cầutruyền dẫn tốc độ cao và đảm bảo thời gian thực là thách thức lớn trong môi trườngInternet.

Mạng VPN mở rộng (Extranet) Không giống như mạng VPN cục bộ và mạng

VPN truy nhập từ xa, mạng VPN mở rộng không bị cô lập với “thế giới bên ngoài”.Thực tế mạng VPN mở rộng cung cấp khả năng điều khiển truy nhập tới những nguồntài nguyên mạng cần thiết để mở rộng những đối tượng kinh doanh như là các đối tác,khách hàng, và các nhà cung cấp… Các VPN mở rộng cung cấp một đường hầm bảomật giữa các khách hàng, các nhà cung cấp và các đối tác qua một cơ sở hạ tầng côngcộng Kiểu VPN này sử dụng các kết nối luôn luôn được bảo mật và được cấu hình nhưmột VPN Site–to–Site Sự khác nhau giữa một VPN cục bộ và một VPN mở rộng đó là

sự truy cập mạng được công nhận ở một trong hai đầu cuối của VPN

a,Những ưu điểm chính của mạng VPN mở rộng:

Chi phí cho mạng VPN mở rộng thấp hơn rất nhiều so với mạng truyền thống

Dễ dàng thiết lập, bảo trì và dễ dàng thay đổi đối với mạng đang hoạt động.Vìmạng VPN mở rộng được xây dựng dựa trên mạng Internet nên có nhiều cơ hộitrong việc cung cấp dịch vụ và chọn lựa giải pháp phù hợp với các nhu cầu củamỗi công ty hơn Bởi vì các kết nối Internet được nhà cung cấp dịch vụ Internetbảo trì, nên giảm được số lượng nhân viên kỹ thuật hỗ trợ mạng, do vậy giảm

được chi phí vận hành của toàn mạng

b,Nhược điểm của mạng VPN mở rộng :

Khả năng bảo mật thông tin, mất dữ liệu trong khi truyền qua mạng công cộngvẫn tồn tại Truyền dẫn khối lượng lớn dữ liệu, như là đa phương tiện, với yêucầu truyền dẫn tốc độ cao và đảm bảo thời gian thực, là thách thức lớn trong môitrường Internet Làm tăng khả năng rủi ro đối với các mạng cục bộ của công ty

2.3.4: Các giao thức sử dụng trong VPN

Bộ giao thức IPSec

Internet Protocol Security (IPSec) là một bộ giao thức bảo mật (InternetProtocol -IP) thông tin liên lạc, bằng cách xác thực và mã hóa mỗi gói tin IP của mộtphiên giao dịch, IPSec cũng bao gồm các giao thức cho việc thiết lập xác thực lẫn nhaugiữa các đại lý trong các phiên giao dịch và đàm phán bằng cách sử dụng các key mãhóa IPSec là một chương trình điều hành bảo mật end-to-end trong các Layer Internet(lớp kết nối internet) của Internet Protocol Suite (IPS - giao thức chuẩn trong internet)

Nó được sử dụng để việc bảo vệ luồng dữ liệu giữa một cặp máy (host-to-host), giữahai mạng (network-to-network), hay giữa một mạng với một máy chủ (network-to-host) Nguồn gốc IPSec ban đầu được phát triển tại phòng thí nghiệm Nghiên cứu hảiquân và là một phần của dự án nghiên cứu của DARPA (Defense Advanced Research

Trang 38

Projects Agency - cơ quan nghiên công nghệ tiên tiến của bộ quốc phòng Mỹ ).Trong đó ESP đã được bắt nguồn trực tiếp thứ giao thức SP3D, chứ không phải đượcbắt nguồn từ lớp ISO Security Network Protocol (NLSP), các đặc trưng kĩ thuật củagiao thức SP3D được đưa ra bởi NIST(National Institute of Standards and Technology– Viện tiêu chuẩn và công nghệ), nhưng SP3D được thiết kế để bảo mật hệ thống mạngbởi cơ quan an ninh Quốc gia (NSP), IPSec AH bắt nguồn từ các tiêu chuẩnIETF(Internet Engineering Task Force).

Bộ giao thức IPSec là một tiêu chuẩn mở, IPSec sử dụng các giao thức để thựchiện các chức năng khác nhau, IPSec gồm các thành phần sau:

Authentication Header(AH): cung cấp kết nối an toàn và xác thực nguồn gốc dữliệu cho gói tin IP, đưa ra chính sách bảo vệ chống lại các cuộc tấn công

Encapsulating Security (ESP): Cung cấp bảo mật, xác thực nguồn gốc dữ liệu,kết nối toàn vẹn, kiểm soát các luồng dữ liệu một cách an toàn

Security Associations (SA):Cung cấp những thuật toán và thông số cần thiết để

AH và ESP hoạt động Đưa ra một cách thức trao đổi khóa ( ISAKMPInternet SecurityAssociation and Key Management Protocol) tính toán và cung cấp khóa chia sẻ (Pre-shared keys) như : IKE(Internet Key Exchange), IKEv2, KINK (Kerberized InternetNegotiation of Keys), hoặc IPSECKEY

Giao thức PPTP

PPTP là một phương thức của mạng riêng ảo, được phát triển bởi Microsoft kếthợp với một số công ty khác, nó sử dụng một kênh điều khiển qua giao thức TCP vàđường hầm GRE để đóng gói các gói dữ liệu PPP (Point-to-Point) PPTP là một phầncủa các tiêu chuẩn Internet Point-to-Point (PPP), PPTP sử dụng các loại xác thực nhưPPP (PAP, SPAP, CHAP, MS-CHAP, và EAP) PPTP thiết lập đường hầm nhưngkhông cung cấp mã hóa, nó mã hóa bằng cách sử dụng giao thức Microsoft Point-to-Point Encrytion (MPPE) để tạo ra một VPN an toàn PPTP có chi phí tương đối thấp,điều này giải thích tại sao PPTP thường được sử dụng nhiều bởi các khách hàng củaMicrosoft

PPP là giao thức truy nhập vào Internet và các mạng IP phổ biến hiện nay Nólàm việc ở lớp liên kết dữ liệu trong mô hình OSI, PPP bao gồm các phương thức đónggói, tách gói IP, là truyền đi trên chỗ kết nối điểm tới điểm từ máy này sang máy khác.PPTP đóng các gói tin và khung dữ liệu của giao thức PPP vào các gói tin IP để truyềnqua mạng IP PPTP dùng kết nối TCP để khởi tạo và duy trì, kết thúc đường hầm vàdùng một gói định tuyến chung GRE để đóng gói các khung PPP Phần tải của khungPPP có thể được mã hoá và nén lại PPTP sử dụng PPP để thực hiện các chức năngthiết lập và kết thúc kết nối vật lý, xác định người dùng, và tạo các gói dữ liệu PPP.PPTP có thể tồn tại một mạng IP giữa PPTP khách và PPTP chủ của mạng PPTPkhách có thể được đấu nối trực tiếp tới máy chủ thông qua truy nhập mạng NAS đểthiết lập kết nối IP Khi kết nối được thực hiện có nghĩa là người dùng đã được xác

Trang 39

nhận Đó là giai đoạn tuy chọn trong PPP, tuy nhiên nó luôn luôn được cung cấp bởiISP Việc xác thực trong quá trình thiết lập kết nối dựa trên PPTP sử dụng các cơ chếxác thực của kết nối PPP Một số cơ chế xác thực được sử dụng là:

Giao thức xác thực mở rộng EAP

Giao thức xác thực có thử thách bắt tay CHAP

Giao thức xác định mật khẩu PAP Giao thức PAP hoạt động trên nguyêntắc mật khẩu được gửi qua kết nối dưới dạng văn bản đơn giản và không có bảo mật.CHAP là giao thức các thức mạnh hơn, sử dụng phương pháp bắt tay ba chiều để hoạtđộng, và chống lại các tấn công quay lại bằng cách sử dụng các giá trị bí mật duy nhất

và không thể đoán và giải được PPTP cũng được các nhà phát triển công nghệ đưa vàoviệc mật mã và nén phần tải tin của PPP Để mật mã phần tải tin PPP có thể sử dụngphương thức mã hoá điểm tới điểm MPPE MPPE chỉ cung cấp mật mã trong lúctruyền dữ liệu trên đường truyền không cung cấp mật mã tại các thiết bị đầu cuối tớiđầu cuối Nếu cần sử dụng mật mã đầu cuối đến đầu cuối thì có thể dùng giao thứcIPSec để bảo mật lưu lượng IP giữa các đầu cuối sau khi đường hầm PPTP được thiếtlập

Khi PPP được thiết lập kết nối, PPTP sử dụng quy luật đóng gói của PPP đểđóng gói các gói truyền trong đường hầm Để có thể dựa trên những ưu điểm của kếtnối tạo bởi PPP, PPTP định nghĩa hai loại gói là điểu khiển và dữ liệu, sau đó gánchúng vào hai kênh riêng là kênh điều khiển và kênh dữ liệu PPTP tách các kênh điềukhiển và kênh dữ liệu thành những luồng điều khiển với giao thức điều khiển truyền dữliệu TCP và luồng dữ liệu với giao thức IP Kết nối TCP tạo ra giữa các máy khách vàmáy chủ được sử dụng để truyền thông báo điều khiển Các gói dữ liệu là dữ liệu thôngthường của người dùng Các gói điều khiển được đưa vào theo một chu kì để lấy thôngtin và trạng thái kết nối và quản lý báo hiệu giữa ứng máy khách PPTP và máy chủPPTP Các gói điều khiển cũng được dùng để gửi các thông tin quản lý thiết bị, thôngtin cấu hình giữa hai đầu đường hầm Kênh điều khiển được yêu cầu cho việc thiết lậpmột đường hầm giữa các máy khách và máy chủ PPTP Máy chủ PPTP là một Server

có sử dụng giao thức PPTP với một giao diện được nối với Internet và một giao diệnkhác nối với Intranet, còn phần mềm client có thể nằm ở máy người dùng từ xa hoặctại các

Nguyên tắc kết nối điều khiển đường hầm theo giao thức PPTP Kết nối điềukhiển PPTP là kết nối giữa địa chỉ IP của máy khách PPTP và địa chỉ máy chủ Kết nốiđiều khiển PPTP mang theo các gói tin điều khiển và quản lý được sử dụng để duy trìđường hầm PPTP Các bản tin này bao gồm PPTP yêu cầu phản hồi và PPTP đáp lạiphải hồi định kì để phát hiện các lỗi kết nối giữa các máy trạm và máy chủ PPTP Cácgói tin của kết nối điều khiển PPTP bao gồm tiêu đề IP, tiêu đề TCP và bản tin điềukhiển PPTP và tiêu đề, phần cuối của lớp liên kết dữ liệu

Nguyên lý đóng gói dữ liệu đường hầm PPTP Đóng gói khung PPP và gói địnhtuyến chung GRE.Phần tải của khung PPP ban đầu được mã hoá và đóng gói với tiêu

Trang 40

đề PPP để tạo ra khung PPP Khung PPP sau đó được đóng gói với phần tiêu đề củaphiên bản giao thức GRE sửa đổi GRE là giao thức đóng gói chung, cung cấp cơ chếđóng gói dữ liệu để định tuyến qua mạng IP Đối với PPTP, phần tiêu đề của GREđược sửa đổi một số điểm đó là Một trường xác nhận dài 32 bits được thêm vào Mộtbits xác nhận được sử dụ ng để chỉ định sự có mặt của trường xác nhận 32 bits trườngKey được thay thế bằng trường độ dài Payload 16 bits và trường chỉ số cuộc gọi 16bits Trường chỉ số cuộc gọi được thiết lập bởi máy trạm PPTP trong quá trình khởi tạođường hầm Đóng gói IP Trong khi truyền tải phần tải PPP và các tiêu đề GRE sau đóđược đóng gói với một tiêu đề IP chứa các thông tin địa chỉ nguồn và đích thích hợpcho máy trạm và máy chủ PPTP Đóng gói lớp liên kết dữ liệu Để có thể truyền quamạng LAN hay WAN thì gói tin IP cuối cùng sẽ đựơc đóng gói với một tiêu đề vàphần cuối của lớp liên kết dữ liệu ở giao diện vật lý đầu ra Như trong mạng LAN thìnếu gói tin IP đựơc gửi qua giao diện Ethernet, nó sẽ được gói với phần tiêu đề và đuôiEthernet Nếu gói tin IP được gửi qua đường truyền WAN điểm tới điểm nó sẽ đượcđóng gói với phần tiêu đề và đuôi của giao thức PPP

Các gói tin IP, IPX, hoặc khung NetBEUI được đưa tới giao diện ảo đại diệncho kết nối VPN bằng các giao thức tương ứng sử dụng đặc tả giao diện thiết bị mạngNDIS NDIS đưa gói tin dữ liệu tới NDISWAN, nơi thực hiện việc mã hoá và nén dữliệu, cũng như cung cấp tiêu đề PPP phần tiêu đề PPP này chỉ gồm trường mã số giaothức PPP không có trường Flags và trường chuổi kiểm tra khung (FCS) Giả địnhtrường địa chỉ và điều khiển được thoả thuận ở giao thức điều khiển đường truyền(LCP) trong quá trình kết nối PPP

NDISWAN gửi dữ liệu tới giao thức PPTP, nơi đóng gói khung PPP với phầntiêu đề GRE Trong tiêu đề GRE, trường chỉ số cuộc gọi được đặt giá trị thích hợp xácđịnh đường hầm Giao thức PPTP sau đó sẽ gửi gói tin vừa tạo ra tới TCP/IP TCP/IPđóng gói dữ liệu đường hầm PPTP với phần tiêu đề IP sau đó gửi kết quả tới giao diệnđại diện cho kết nối quay số tới ISP cục bộ NDIS NDIS gửi gói tin tới NDISWAN,cung cấp các tiêu đề và đuôi PPP

NDISWAN gửi khung PPP kết quả tới cổng WAN tương ứng đại diện cho phầncứng quay số

Nguyên tắc thực hiện gói tin dữ liệu tại đầu cuối đường hầm PPTP Khi nhậnđược dữ liệu đường hầm PPTP, máy trạm và máy chủ PPTP, sẽ thực hiện các bước sau

- Xử lý và loại bỏ gói phần tiêu đề và đuôi của lớp liên kết dữ liệu haygói tin

- Xử lý và loại bỏ tiêu đề IP

- Xử lý và loại bỏ tiêu đề GRE và PPP

- Giải mã hoặc nén phần tải tin PPP

- Xử lý phần tải tin để nhận hoặc chuyển tiếp

Định dạng
Số trang	85
Dung lượng	3,11 MB