4.5. HỆ THỐNG CẤP PHÁT VÀ QUẢN LÝ CHỨNG CHỈ SỐ

Hệ thống quản lý chứng chỉ số bao gồm mô hình hoạt động, đăng ký, cấp phát, quản lý, phân phối, sửa đổi, thu hồi chứng chỉ. Các minh hoạ trong phần trình bày này là dựa trên mô hình thử nghiệm tại Tổng cục Thuế.

4.5.1. Mô hình hoạt động của hệ thống quản lý chứng chỉ số 

Hệ thống CA hoạt động theo mô hình sau:

Trong đó:

CAServer là thành phần quan trọng nhất trong hệ thống. Nó được cài đặt phần mềm CA và lưu giữ khoá riêng của CA. Chính vì vậy, cần phải đảm bảo an toàn tuyệt đối cho CAServer.

RAServer cài đặt chương trình quản lý các đăng ký và các chứng chỉ. RAServer thực hiện kiểm tra các yêu cầu đăng ký chứng chỉ, chấp nhận hoặc huỷ bỏ các yêu cầu đăng ký chứng chỉ trước khi chúng được CA ký, đồng thời gửi chứng chỉ đã được CA phát hành xuống các điểm đăng ký từ xa để chuyển cho doanh nghiệp, hoặc cũng có thể chuyển trực tiếp cho doanh nghiệp.

LDAP Server là một máy chủ chứa tất cả các chứng chỉ đã được phát hành, cho phép các doanh nghiệp sử dụng dịch vụ thư mục để tra cứu thông tin về các chứng chỉ.

Điểm đăng ký từ xa có nhiệm vụ kiểm tra thông tin đăng ký (chẳng hạn như xin cấp mới, huỷ bỏ, hoặc cấp lại chứng chỉ) của doanh nghiệp và ký xác nhận trước khi chuyển cho RAServer. Tất cả quá trình truyền thông giữa RAServer và điểm đăng ký từ xa được thực hiện thông qua những phiên liên lạc an toàn.

Để thiết lập mạng cấp phát chứng chỉ, các điểm đặng ký từ xa được thiết lập trước và được cấp chứng chỉ trong quá trình thiết lập mạng cấp phát. Khoá công khai của CA và khoá riêng của các điểm đăng ký từ xa được CA cấp theo một kênh an toàn.

4.5.2. Chu trình cấp phát chứng chỉ

Khi một doanh nghiệp muốn đăng ký một chứng chỉ, doanh nghiệp đến gặp người quản trị tại điểm đăng ký từ xa hoặc người quản trị RAServer, đưa ra yêu cầu và điền các thông tin cần thiết chẳng hạn tên, số chứng minh thư, địa chỉ thư điện tử, kích thước khoá yêu cầu, ... theo một mẫu đăng ký. Khi xác minh thông tin, nếu thông tin không chính xác người quản trị yêu cầu doanh nghiệp điền lại, ngược lại nếu thông tin chính xác, yêu cầu sẽ được nhập vào cơ sở dữ liệu để quản lý, đồng thời chuyển cho RAServer. Sau khi nhận và kiểm tra yêu cầu, người quản trị trên RAServer sẽ chuyển yêu cầu cho CAServertheo một kênh an toàn.

Tại CAServer, các yêu cầu về chứng chỉ được nhập vào. Nếu thông tin đăng ký là hợp lệ, CAServer sẽ sinh cặp khoá và tạo chứng chỉ cho doanh nghiệp với khoá công khai vừa tạo. Các chứng chỉ được CAServerchuyển cho RAServertheo một kênh an toàn. RAServer sẽ chuyển chứng chỉ cho doanh nghiệp, đồng thời cũng chuyển chúng vào LDAP Serverđể các doanh nghiệp khác có thể tra cứu.

Chứng chỉ, khoá riêng của doanh nghiệp và khoá công khai của CA được RAServer chuyển trực tiếp cho doanh nghiệp, hoặc chuyển cho điểm đăng ký từ xa (nơi doanh nghiệp đến đăng ký) thông qua phiên liên lạc an toàn, sau đó doanh nghiệp đến điểm đăng ký từ xa để nhận trực tiếp. Doanh nghiệp có thể lưu chứng chỉ trong máy tính của mình và lưu khoá riêng trong các thiết bị ngoài an toàn (chẳng hạn như smart card, đĩa mềm ...).

4.5.3. Đăng ký chứng chỉ

Trình tự đăng ký và cấp phát chứng chỉ cho người dùng được thực hiện như sau:

Người dùng đến gặp người quản trị tại điểm đăng ký địa phương xin đăng ký chứng chỉ và điền các thông tin cần thiết vào mẫu đăng ký. Sau khi người dùng đăng ký chứng chỉ và điền các thông tin cần thiết, người quản trị tại điểm đăng ký địa phương xác minh lại các thông tin. Nếu thông tin nào chưa chính xác thì yêu cầu người dùng đăng ký lại, nếu các thông tin là chính xác thì vào chương trình quản lý các đăng ký dành cho các RAClient, chọn mục "Đăng ký chứng chỉ mới" và điền các thông tin của người dùng vào Form đăng ký rồi chọn "Tiếp tục"

Người quản trị kiểm tra lại các thông tin đã nhập, nếu chưa đúng thì chọn "Huỷ bỏ" để về Form nhập dữ liệu ban đầu sửa đổi lại, nếu đúng thì chọn "Chấp nhận" để đưa yêu cầu vào CSDL chờ ký nhận và gửi đi.

4.5.4. Ký nhận và gửi yêu cầu

Để yêu cầu có thể chuyển sang CA ký tạo chứng chỉ thì trước đó yêu cầu phải được ký nhận bởi các RAClient Cục thuế và gửi lên RAServer Tổng cục. Người quản trị tại RAClient Cục thuế thực hiện việc này bằng cách chọn mục "Các yêu cầu chờ ký" trong phần "Chứng chỉ mới" để xem danh sách các yêu cầu cấp chứng chỉ đang chờ ký nhận, chọn các yêu cầu sẽ ký nhận để gửi đi.

Sau khi chọn các yêu cầu, RAClient chọn chức năng "Gửi yêu cầu" trên thanh công cụ và chọn nút "Tiếp tục" để xác nhận việc gửi các yêu cầu. Khi đó các yêu cầu được chọn sẽ được mã hoá và ký nhận bởi RAClient.

 4. Nhận yêu cầu chứng chỉ

Trên RAServer, người quản trị chạy chương trình quản lý các đăng ký bằng cách vào Start-> Program -> KC01-05 RAServer-> Quản lý đăng ký chứng chỉ và đăng nhập với user name và mật khẩu mặc định là "admin".

Để nhận các yêu cầu từ các RAClient, người quản trị chọn chức năng "Nhận yêu cầu" trên thanh công cụ.

Khi đó các yêu cầu chứng chỉ được nhận về, phân tích, giải mã và cập nhật vào CSDL trên RAServer.

4.5.5. Xuất yêu cầu và tạo chứng chỉ

Sau khi các đăng ký cấp chứng chỉ đã được nhận về, người quản trị trên RAServer xem lại các đăng ký bằng cách chọn mục "Các yêu cầu đã ký nhận" trong phần "Chứng chỉ mới", chọn các đăng ký sau đó chọn chức năng "Xuất các yêu cầu" trên thanh công cụ và chọn thiết bị lưu trữ để xuất các yêu cầu là đĩa mềm.

Khi đó các đăng ký chứng chỉ sẽ được chuyển vào thư mục requests trên đĩa mềm.

4.5.6. Nhập các yêu cầu đăng ký chứng chỉ

Vào trang Web của CA bằng cách khởi động Netscape, nhập địa chỉ Web có dạng: https://tên_máy (hoặc địa chỉ IP)/tên trang Web CA/ . Ví dụ: https://linux/ca/ hoặc https://10.64.0.251/ca/

Màn hình CA có dạng:

Hình 11. Trang Web của CA

 Hình 12. Nhập các yêu cầu vào CA

7. Xem các yêu cầu cấp chứng chỉ đã nhập

Chọn mục "Các yêu cầu chờ ký" trong phần "Yêu cầu chứng chỉ",

Cho đĩa mềm vào ổ A, trên trang Web của CA chọn mục "Nhập các yêu cầu" trong phần "Yêu cầu chứng chỉ", chương trình cho phép xem danh sách các yêu cầu cấp chứng chỉ đang chờ CA chấp nhận.

4.5.7. Tạo chứng chỉ

Chọn yêu cầu cần tạo chứng chỉ trong danh sách các yêu cầu chờ ký, kiểm tra thông tin đăng ký. Nếu thông tin chưa chính xác, CA có thể xoá bỏ yêu cầu. Nếu thông tin là chính xác, CA chấp nhận yêu cầu để sinh cặp khoá và chứng chỉ cho người dùng.

4.5.8. Xuất chứng chỉ

Sau khi được tạo ra trên CA các chứng chỉ phải được xuất ra thiết bị lưu trữ để đưa vào RAServer và LDAPServer. Thực hiện xuất các chứng chỉ bằng cách cho đĩa vào ổ mềm, chọn mục "Xuất các chứng chỉ" trên màn màn hình CA. Khi đó các chứng chỉ sẽ được đưa vào thư mục certificates trên đĩa mềm, khoá riêng được đưa vào thư mục keys, các chứng chỉ ở khuôn dạng PKCS12 được đưa vào thư mục pkcs12 trên đĩa mềm.

4.5.9. Đưa chứng chỉ vào ldapserver

Vào trang Web quản trị LDAPServer bằng cách khởi động Netscape, nhập địa chỉ Web có dạng: https://tên_máy (hoặc địa chỉ IP)/tên trang Web quản trị LDAP/. Ví dụ: https://hanoi/ldapadmin/ hoặcĐưa đĩa mềm chứa các chứng chỉ vừa xuất từ CA vào ổ mềm của LDAPserver, chọn chức năng "Nhập các chứng chỉ mới", chọn tiếp chức năng "Xuất chứng chỉ ra LDA". Khi đó các chứng chỉ sẽ được đưa lên LDAP Server để mọi người có thể tìm kiếm và download về.

Sau khi chứng chỉ đã được đưa lên LDAPServer người dùng có thể xem, tìm kiếm ... các chứng chỉ bằng cách vào trang Web trên LDAPServer dành cho người dùng

4.5.10. Đưa chứng chỉ vào RAserver

RAServer quản lý tất cả các chứng chỉ đã được cấp phát bởi CA. Khởi động chương trình quản lý chứng chỉ trên RAServer bằng cách vào Start-> Program -> KC01-05 RAServer-> Quản lý chứng chỉ và đăng nhập với user name và mật khẩu mặc định là "admin".

Cho đĩa mềm chứa các chứng chỉ đã xuất ra từ CA vào ổ mềm, chọn chức năng "Nhập chứng chỉ mới" trên thanh công cụ. Chọn File chứng chỉ và File khoá riêng tương ứng trong ổ mềm rồi chọn "Chấp nhận", chứng chỉ và khoá sẽ được đưa vào CSDL trên RAServer để quản lý

4.5.11. Chuyển chứng chỉ vào các vùng của các raclient

Sau khi chứng chỉ được đưa từ CA vào RAServer , người quản trị RAServer xem xét các chứng chỉ và chọn chức năng "Chuyển chứng chỉ" để chuyển các chứng chỉ vào các vùng tương ứng với các RAClient.

 Chọn "Tiếp tục" để chuyển các chứng chỉ

 Hình 19. Xác nhận gửi chứng chỉ

I.12. Nhận chứng chỉ về

Các RAClient chủ động nhận các chứng chỉ đã đăng ký về bằng cách chạy chương trình quản lý chứng chỉ mức RAClient (vào Start-> Program -> KC01-05 RAClient-> Quản lý chứng chỉ và đăng nhập với user name và mật khẩu mặc định là "admin")

Chọn chức năng "Nhận chứng chỉ" trên thanh công cụ sau đó chọn "Tiếp tục" để nhận chứng chỉ về từ RAServer.

Khi nhận về, các chứng chỉ và khoá riêng của người dùng được lưu vào cơ sở dữ liệu ở dạng mã chỉ đến khi nào được xuất ra cho người dùng thì mới được giải mã.

4.5.12. Xuất chứng chỉ cho người dùng

Người quản trị tại RAClient chọn chứng chỉ của người dùng sau đó chọn chức năng "Export chứng chỉ" trên thanh công cụ.

Chọn thiết bị lưu trữ sẽ chứa chứng chỉ và khoá riêng của người dùng, khoá công khai của CA sau đó chọn "Chấp nhận"

Khi đó chứng chỉ và khoá riêng của người dùng trong cơ sở dữ liệu sẽ được giải mã và ghi ra thiết bị lưu trữ (thường là đĩa mềm) cùng với khoá công khai của CA (khoá này đã được Import vào CSDL ngay từ khi khởi tạo hệ thống) để chuyển cho người dùng. Khoá riêng của người dùng trong cơ sở dữ liệu của RAClient sẽ được xoá đi để đảm bảo chỉ có người dùng là người duy nhất giữ khoá riêng của họ.

4.5.13. Sửa đổi chứng chỉ

Chứng chỉ cần sửa đổi khi người dùng thay đổi một số thông tin trong chứng chỉ như tên người dùng, địa chỉ ... hoặc người dùng cần thay đổi kích thước khoá. Trình tự đăng ký và sửa đổi chứng chỉ cho người dùng được thực hiện như sau:

Người dùng đến gặp người quản trị tại RAClient xin đăng kí sửa đổi chứng chỉ và điền các thông tin cần thiết vào mẫu đăng ký. Sau khi người dùng đăng ký sửa đổi chứng chỉ và điền các thông tin cần thiết, người quản trị tại RAClient xác minh lại các thông tin.

 Các bước tiếp theo như ký nhận, gửi lên RAServer, xuất sang CA ... được thực hiện hoàn toàn tương tự như quá trình đăng ký, cấp phát chứng chỉ mới.

4.5.14. Qui trình cấp lại chứng chỉ

Chứng chỉ cần cấp lại khi người dùng bị mất hoặc chứng chỉ hết hạn. Trình tự đăng ký và cấp lại chứng chỉ cho người dùng được thực hiện như sau:

Người dùng đến gặp người quản trị tại RAClient xin đăng kí cấp lại chứng chỉ và điền các thông tin cần thiết vào mẫu đăng ký. Sau khi người dùng đăng ký cấp lại chứng chỉ và điền các thông tin cần thiết, người quản trị tại RAClient xác minh lại các thông tin.

Các bước tiếp theo như ký nhận, gửi lên RAServer, xuất sang CA ... được thực hiện hoàn toàn tương tự như quá trình đăng ký, cấp phát chứng chỉ mới.

4.5.15. Qui trình huỷ bỏ chứng chỉ

a. Đăng ký huỷ chứng chỉ

Chứng chỉ cần huỷ bỏ khi người dùng bị lộ khoá hoặc chứng chỉ hết hạn. Trình tự đăng ký và huỷ bỏ chứng chỉ cho người dùng được thực hiện như sau:

Người dùng đến gặp người quản trị tại RAClient xin đăng kí huỷ bỏ chứng chỉ và điền các thông tin cần thiết vào mẫu đăng ký. Sau khi người dùng đăng ký huỷ bỏ chứng chỉ và điền các thông tin cần thiết, người quản trị tại RAClient xác minh lại các thông tin. Nếu thông tin nào chưa chính xác thì yêu cầu người dùng đăng ký lại, nếu các thông tin là chính xác thì vào chương trình quản lý các đăng ký tại RAClient, chọn mục "Đăng kí huỷ chứng chỉ" và điền các thông tin của người dùng vào Form đăng ký rồi chọn "Tiếp tục"

RAClient kiểm tra lại các thông tin đã nhập, nếu chưa đúng thì chọn "Huỷ bỏ" để về Form nhập dữ liệu ban đầu sửa đổi lại, nếu đúng thì chọn "Chấp nhận" để đưa yêu cầu vào CSDL chờ ký nhận và gửi đi.

Các bước tiếp theo gồm ký nhận, gửi lên RAServer, xuất sang CA, nhập các yêu cầu vào CA được thực hiện hoàn toàn tương tự như quá trình đăng ký, cấp phát chứng chỉ mới.

b. Huỷ chứng chỉ

Người quản trị tại CA xem các yêu cầu huỷ chứng chỉ chờ ký đã nhập vào CA bằng cách chọn mục "Các yêu cầu chờ ký" trong phần "Yêu cầu huỷ chứng chỉ", nháy chuột vào số hiệu của yêu cầu để xem các thông tin trên yêu cầu. Nếu các thông tin là chính xác, người quản trị CA chọn nút "Huỷ chứng chỉ" để huỷ chứng chỉ có số hiệu đã đăng ký. Nếu thông tin đăng ký không chính xác, người quản trị CA có thể chọn nút "Xoá yêu cầu" để xoá bỏ yêu cầu huỷ chứng chỉ trên CA.

c. Tạo danh sách chứng chỉ huỷ bỏ (CRL)

Danh sách chứng chỉ hủy bỏ (CRL: Certificate Revocation List) là một danh sách chứa các chứng chỉ đã bị huỷ bỏ cùng với ngày giờ đã huỷ bỏ chúng và chữ ký của CA. Người quản trị CA tạo và xuất danh sách chứng chỉ huỷ bỏ bằng cách đưa đĩa mềm vào ổ sau đó chọn mục "Xuất danh sách" trong phần "Chứng chỉ huỷ bỏ". Khi đó danh sách chứng chỉ huỷ bỏ sẽ được tạo và xuất ra thư mục CRL trên đĩa mềm.

d. Nhập danh sách chứng chỉ huỷ bỏ vào ldapserver

Chuyển đĩa mềm có chứa danh sách chứng chỉ huỷ bỏ vừa tạo trên CA vào LDAPServer, vào trang Web dành cho người quản trị LDAPServer, chọn chức năng "Nhập danh sách" trong mục "Chứng chỉ huỷ bỏ"

e. Xuất danh sách chứng chỉ huỷ bỏ

Để mọi người dùng có nhu cầu sử dụng chứng chỉ đều biết chứng chỉ của những người dùng nào đã bị hủy bỏ thì danh sách chứng chỉ huỷ phải được công khai trên trang Web của LDAPServer. Người quản trị LDAPServer thực hiện việc này bằng cách chọn mục "Xuất danh sách ra LDAP" trong phần "Chứng chỉ huỷ bỏ" trên trang Web dành cho người quản trị LDAPServer.

Hoạt động kinh doanh TMĐT cũng có những rủi ro nhất định do có những người tham gia với những mục đích xấu. Để tránh những rủi ro đáng tiếc xảy ra, việc áp dụng hệ thống bảo mật cho các hoạt động TMĐT của các doanh nghiệp là rất cần thiết. Trong thực tế, một số kỹ thuật áp dụng cho việc đảm bảo an toàn trong TMĐT như giải pháp mã hoá bảo vệ thông tin đường truyền, chứng chỉ điện tử, chữ ký số, xác thực máy chủ, máy khách … đã được áp dụng rộng rãi. Tuỳ theo quy mô kinh doanh trong TMĐT của đơn vị mình mà doanh nghiệp lựa chọn biện pháp áp dụng cho phù hợp.