Do an TN - Bui Van Hanh - TTM K50 pdf
Bạn đang xem bản rút gọn của tài liệu. Xem và tải ngay bản đầy đủ của tài liệu tại đây (2.67 MB, 84 trang )
Xây dựng ứng dụng kiểm soát truy cập mạng trên nền hệ thống BioPKI
PHIẾU GIAO NHIỆM VỤ ĐỒ ÁN TỐT NGHIỆP
1. Thông tin về sinh viên
Họ và tên sinh viên: Bùi Văn Hạnh
Điện thoại liên lạc: 097.230.8187 Email:
Lớp: Truyền thông và Mạng máy tính K50 Hệ đào tạo: Chính quy
Đồ án tốt nghiệp được thực hiện tại: Bộ môn truyền thông và Mạng máy tính
Thời gian làm ĐATN: Từ ngày 23/2/2010 đến 28/5/2010
2. Mục đích nội dung của ĐATN
Nhiệm vụ của đồ án là xây dựng ứng dụng kiểm soát truy cập mạng trên cơ sở hạ tầng hệ
thống BioPKI, là hệ thống an ninh thông tin dựa trên sự kết hợp giữa sinh trắc học với hạ
tầng khóa công khai PKI dùng môi trường OpenCA có sử dụng thiết bị nhúng. Trọng tâm
của đồ án là đi vào nghiên cứu các vấn đề của bài toán truy cập mạng, phân tích giải pháp,
thiết kế và cài đặt ứng dụng kiểm soát truy cập mạng đảm bảo tính xác thực, tính mật, tính
toàn vẹn của dữ liệu.
3. Các nhiệm vụ cụ thể của ĐATN
- Tìm hiểu về khái niệm kiểm soát truy cập, kiểm soát truy cập từ xa và hướng tiếp cận
sinh trắc trong kiểm soát truy cập từ xa.
- Tìm hiểu về hạ tầng khóa công khai – PKI và môi trường hệ lõi OpenCA.
- Tổng quan về hệ thống BioPKI trong phạm vi đề tài KHCN cấp nhà nước KC01.11/06
-10 và mô hình triển khai ở phòng thí nghiệm liên mạng C1-415, Bộ môn Truyền thông
và mạng máy tính.
- Phân tích, thiết kế và cài đặt ứng dụng kiểm soát truy cập mạng sử dụng thẻ sinh trắc
trong hạ tầng hệ thống BioPKI.
4. Lời cam đoan của sinh viên
Tôi – Bùi Văn Hạnh - cam kết ĐATN là công trình nghiên cứu của bản thân tôi dưới sự
hướng dẫn của PGS.TS Nguyễn Thị Hoàng Lan.
Sinh viên: Bùi Văn Hạnh – Lớp Truyền thông và Mạng máy tính – K50 - ĐHBKHN Trang 1
Xây dựng ứng dụng kiểm soát truy cập mạng trên nền hệ thống BioPKI
Các kết quả nêu trong ĐATN là trung thực, không phải là sao chép toàn văn của bất kỳ
công trình nào khác.
Hà Nội, ngày tháng năm 2010
Tác giả ĐATN
Bùi Văn Hạnh
5. Xác nhận của giáo viên hướng dẫn về mức độ hoàn thành của ĐATN và cho phép bảo
vệ:
Hà Nội, ngày tháng năm 2010
Giáo viên hướng dẫn
PGS.TS Nguyễn Thị Hoàng Lan
Sinh viên: Bùi Văn Hạnh – Lớp Truyền thông và Mạng máy tính – K50 - ĐHBKHN Trang 2
Xây dựng ứng dụng kiểm soát truy cập mạng trên nền hệ thống BioPKI
TÓM TẮT NỘI DUNG ĐỒ ÁN TỐT NGHIỆP
Đồ án này có tên “Xây dựng ứng dụng kiểm soát truy cập mạng trên nền hệ thống
BioPKI” nằm trong khuôn khổ đề tài nghiên cứu khoa học công nghệ cấp nhà nước
KC01.11/06-10 “Hệ thống an ninh thông tin dựa trên sinh trắc học sử dụng công nghệ
nhúng BioPKI”. Nội dung đồ án là nghiên cứu các vấn đề của bài toán truy cập mạng, phân
tích giải pháp, thiết kế và cài đặt ứng dụng kiểm soát truy cập mạng đảm bảo tính xác thực,
tính mật, tính toàn vẹn dữ liệu trên nền hệ thống BioPKI.
Sinh viên: Bùi Văn Hạnh – Lớp Truyền thông và Mạng máy tính – K50 - ĐHBKHN Trang 3
Xây dựng ứng dụng kiểm soát truy cập mạng trên nền hệ thống BioPKI
MỤC LỤC
PHIẾU GIAO NHIỆM VỤ ĐỒ ÁN TỐT NGHIỆP 1
TÓM TẮT NỘI DUNG ĐỒ ÁN TỐT NGHIỆP 3
MỤC LỤC 4
LỜI NÓI ĐẦU 8
DANH MỤC CÁC HÌNH VÀ BẢNG 10
CÁC ĐỊNH NGHĨA, TỪ VIẾT TẮT 12
CHƯƠNG MỘT: 13
TÌM HIỂU VỀ KIỂM SOÁT TRUY CẬP 13
!"#$%&
'(%)*+
'!"+
',*-
''.*-
'/0123
'4$13
56789:4$1;
CHƯƠNG HAI: 20
TỔNG QUAN VỀ HẠ TẦNG KHÓA CÔNG KHAI - PKI 20
'<=>1'?
'=>1@$A'?
Sinh viên: Bùi Văn Hạnh – Lớp Truyền thông và Mạng máy tính – K50 - ĐHBKHN Trang 4
Xây dựng ứng dụng kiểm soát truy cập mạng trên nền hệ thống BioPKI
''=>1B@$A'
''5"C>1D1EFG'&
'''&
'''<#C)1"C>1D1FG'+
'''<H8I18JK<JL'+
''''MJ'-
'''<A6'-
'''&N%';
'''+AO';
''9PFG';
''9PFG@><JK(QH<JJHHL'R
'''9PFG$S
''9PFGQ1
''&TB@>1/U$%6V!,#6789WFG+
'NXD6VQYZH<JR
'[7ZH<JR
''<#C)1ZH<J&?
CHƯƠNG BA : 41
GIỚI THIỆU VỀ HỆ THỐNG BioPKI CỦA ĐỀ TÀI KC01.11/06-10 41
(@\AWFG&
'<A])1#CWFG&
'5<J&
''5MJKMH18JL&+
'5^MJK^1QMH18JL&3
'&_!`6V!,&R
CHƯƠNG BỐN: 50
Sinh viên: Bùi Văn Hạnh – Lớp Truyền thông và Mạng máy tính – K50 - ĐHBKHN Trang 5
Xây dựng ứng dụng kiểm soát truy cập mạng trên nền hệ thống BioPKI
XÂY DỰNG ỨNG DỤNG KIỂM SOÁT TRUY CẬP MẠNG TRÊN NỀN HỆ
THỐNG BioPKI 50
&F.a#"+?
&W#"+?
&'F.a#"+?
&'DXA!`<(b^4$1+'
&'(@\1!cA!`<(b^4$1+'
&''dX<(b^4$1+&
&F.a99A!`"/WFG++
&W@\.BA]++
&<A]@]1\A]e+-
&'<A]9Q/!fQe+-
&<A]>1/e+3
&&<A]8+3
&'(@\A+;
&&(@\A!67@O-&
&&N99*X)1<(b^4$1-3
&&dX6V!,@]#-;
&&'dX#.>1/-R
&&dX4$1f1<QH#bW(HH3?
&&&W@\C%)13
CHƯƠNG NĂM: 72
CÀI ĐẶT ỨNG DỤNG KIỂM SOÁT TRUY CẬP CSDL TỪ XA TRÊN NỀN
HỆ THỐNG BioPKI 72
+F.a/C3'
+'[3'
Sinh viên: Bùi Văn Hạnh – Lớp Truyền thông và Mạng máy tính – K50 - ĐHBKHN Trang 6
Xây dựng ứng dụng kiểm soát truy cập mạng trên nền hệ thống BioPKI
+'[D3'
+''[3
+''<#@gA!`0<QHe3
+'''<#@gMJJQ18(HHe3
+''<#@g!QH/bW(HHe3&
+h.!%c#i3&
+ci3&
+'X1!)1A!`3+
+ $jU@A!`;'
KẾT LUẬN 83
TÀI LIỆU THAM KHẢO 84
Sinh viên: Bùi Văn Hạnh – Lớp Truyền thông và Mạng máy tính – K50 - ĐHBKHN Trang 7
Xây dựng ứng dụng kiểm soát truy cập mạng trên nền hệ thống BioPKI
LỜI NÓI ĐẦU
Những năm gần đây, cùng với sự phát triển mạnh mẽ của môi trường mạng Internet
các giao dịch trực tuyến qua mạng, các ứng dụng truy cập cơ sở dữ liệu (CSDL) qua
mạng ngày càng trở nên phổ biến. Việc sử dụng các ứng dụng truyền thông tin qua
mạng đã giúp chúng ta ‘rút ngắn’ được khoảng cách về địa lý và tiết kiệm được rất
nhiều thời gian và tiền bạc.
Tuy nhiên, làm sao để đảm bảo được an toàn an an ninh thông tin cho các giao dịch
điện tử qua mạng ?
Đây thực sự là vấn đề cấp thiết đối với cơ quan, tổ chức và quốc gia. Hiện có nhiều
giải pháp, nhiều sản phẩm công nghệ đã và đang được nghiên cứu và ứng dụng. Một
trong những giải pháp công nghệ giải quyết tốt vấn đề này là công nghệ PKI dựa
trên nền tảng hệ mật mã khóa công khai cùng với các chính sách, các kiến trúc hệ
thống, cơ chế sử dụng các khoá công khai và tính toàn vẹn của chứng thư số tạo
thành cơ sở hạ tầng an toàn cho các giao dịch điện tử trên mạng. Bên cạnh đó, với sự
phát triển nhanh chóng của khoa học kỹ thuật việc nghiên cứu và ứng dụng các đặc
trưng sinh trắc của con người trong kỹ thuật nhận dạng và xác thực ngày càng chính
xác. Vấn đề xác thực và thẩm định chủ thể, điểm yếu của PKI, lại là điểm mạnh của
sinh trắc học. Cho nên sự kết hợp sinh trắc học với PKI thành BioPKI thực sự là
một giải pháp hữu hiệu cho việc đảm bảo an toàn an ninh thông tin cho các giao dịch
điện tử qua mạng.
Trong khuôn khổ đề tài nghiên cứu khoa học công nghệ cấp nhà nước KC01.11/06-
10 “Hệ thống an ninh thông tin dựa trên sinh trắc học sử dụng công nghệ nhúng
BioPKI”, hệ thống hạ tầng khóa công khai dùng môi trường PKI tích hợp các giải
pháp đa sinh trắc để trở thành hệ BioPKI đã được nghiên cứu và thử nghiệm thành
công. Đây là cở sở hạ tầng cần thiết để xây dựng ứng dụng kiểm soát truy cập mạng
đảm bảo an toàn an ninh thông tin.
Nhiệm vụ của đề tài đồ án là nghiên cứu các vấn đề của bài toán truy cập mạng,
phân tích giải pháp, thiết kế và cài đặt ứng dụng kiểm soát truy cập mạng đảm bảo
tính xác thực, tính mật, tính toàn vẹn dữ liệu. Đề tài tốt nghiệp này có tên “Xây
dựng ứng dụng kiểm soát truy cập mạng trên nền hệ thống BioPKI”, được trình
bày thành 5 chương như sau:
-Chương 1: Tìm hiểu về kiểm soát truy cập
Sinh viên: Bùi Văn Hạnh – Lớp Truyền thông và Mạng máy tính – K50 - ĐHBKHN Trang 8
Xây dựng ứng dụng kiểm soát truy cập mạng trên nền hệ thống BioPKI
Chương này trình bày các khái niệm cơ bản về kiểm soát truy cập và hướng tiếp cận
sinh trắc trong kiểm soát truy cập từ xa.
-Chương 2: Tìm hiểu về hạ tầng khóa công khai PKI và các hướng tiếp cận BioPKI
Chương này giới thiệu các khái niệm cơ bản, quan trọng về PKI, môi trường hệ lõi
OpenCA và một số hướng tiếp cận tích hợp sinh trắc vào hệ PKI trở thành hệ
BioPKI.
-Chương 3: Giới thiệu về hệ thống BioPKI.
Chương này giới thiệu tổng quan về hệ thống BioPKI đã được xây dựng và triển
khai trong khuôn khổ đề tài KHCN cấp nhà nước KC01.11/06-10 .
-Chương 4: Xây dựng ứng dụng kiểm soát truy cập mạng
Chương này tập trung vào phân tích, thiết kế giải pháp cho ứng dụng kiểm soát
kiểm soát truy cập CSDL từ xa.
-Chương 5: Cài đặt ứng dụng kiểm soát truy cập mạng
Chương này tập trung vào việc cài đặt các module, thành phần của ứng dụng và thực
hiện một số kịch bản ứng dụng.
Tuy đã hết sức cố gắng nhưng đồ án này không thể tránh khỏi được những thiếu sót,
người làm đồ án rất mong nhận được sự đóng góp ý kiến từ các thầy cô giáo và các
bạn.
Tôi xin được bày tỏ sự biết ơn sâu sắc đến PGS.TS Nguyễn Thị Hoàng Lan và KS.
Nguyễn Văn Toàn, bộ môn Truyền thông và mạng máy tính, Viện công nghệ thông
tin và truyền thông, trường Đại học Bách Khoa Hà Nội, những người đã nhiệt tình
giúp đỡ, hướng dẫn tôi hoàn thành đồ án tốt nghiệp này. Tôi cũng xin được cảm ơn
các thầy cô trong bộ môn Truyền thông và mạng máy tính đã tạo điều kiện để tôi có
thể thực hiện và thử nghiệm ứng dụng trên phòng LAB của bộ môn, giúp tôi hoàn
thành đồ án. Xin cảm ơn các bạn trong nhóm BioPKI, những người trực tiếp tham
gia vào đề tài KHCN cấp nhà nước KC01.11/06-10.
Hà Nội, tháng 05 năm 2010
Sinh viên thực hiện đồ án
Bùi Văn Hạnh
Sinh viên: Bùi Văn Hạnh – Lớp Truyền thông và Mạng máy tính – K50 - ĐHBKHN Trang 9
Xây dựng ứng dụng kiểm soát truy cập mạng trên nền hệ thống BioPKI
DANH MỤC CÁC HÌNH VÀ BẢNG
Hình 1-1: Một số phương pháp xác thực người dùng 13
Hình 1-2: Một số đặc trưng sinh trắc thông dụng 19
Hình 2-3: mật mã khóa đối xứng 20
Hình 2-4: mật mã khóa công khai dùng để giữ mật thông tin 22
Hình 2-5: mật mã khóa công khai dùng xác thực 23
Hình 2-6: Các thành phần của PKI 25
Hình 2-7: Cấu trúc chứng thư 27
Hình 2-8: Kiến trúc PKI đơn CA 29
Hình 2-9: Mô hình danh sách các CA tin cậy 30
Hình 2-10: Mô hình PKI phân cấp 32
Hình 2-11: Mô hình PKI lưới 33
Hình 2-12: Mô hình danh sách điểm tin cậy mở rộng 34
Hình 2-13: Mô hình PKI chứng nhận chéo 34
Hình 2-14: Mô hình CA bắc cầu 35
Hình 2-15: Tích hợp sinh trắc học vào PKI 36
Hình 2-16: Hệ thống BioPKI xác thực thẩm định sinh trắc theo phương pháp
mật mã sinh trắc học 38
Hình 3-17: Sơ đồ mức khung cảnh hệ thống BioPKI 42
Hình 3-18: Biểu đồ phân rã chức năng của CAOperator 44
Hình 3-19: Biểu đồ phân rã chức năng của RA 46
Hình 3-20: Biểu đồ phân rã chức năng của LRA 48
Hình 4-21: Mô hình ứng dụng truy cập CSDL từ xa 51
Sinh viên: Bùi Văn Hạnh – Lớp Truyền thông và Mạng máy tính – K50 - ĐHBKHN Trang 10
Xây dựng ứng dụng kiểm soát truy cập mạng trên nền hệ thống BioPKI
Hình 4-22: Sơ đồ giao dịch trong ứng dụng kiểm soát truy cập CSDL từ xa 53
Hình 4-23: Biểu đồ phân cấp chức năng ứng dụng kiểm soát truy cập mạng
trên nền hệ thống BioPKI 56
Hình 4-24: Sơ đồ mức khung cảnh ứng dụng kiểm soát truy cập CSDL từ xa58
Hình 4-25: Sơ đồ mức đỉnh ứng dụng kiểm soát truy cập CSDL từ xa 62
Hình 4-26: Sơ đồ mức dưới đỉnh định nghĩa chức năng kiểm soát truyền tin
bảo mật 65
Hình 4-27: Mô hình Use Case của ứng dụng kiểm soát truy cập CSDL từ xa.67
Hình 4-28: Quy trình đăng nhập vào máy 68
Hình 4-29: Quy trình sinh và phân phối khóa phiên 69
Hình 4-30: Quá trình truy cập từ xa giữa Client và DB Server 70
Hình 4-31: Biểu đồ tuần tự của hệ thống 72
Hình 5-32: Giao diện chính của ứng dụng ở máy Client 75
Hình 5-33: Giao diện xác thực vân tay người dùng 76
Hình 5-34: Giao diện khi người dùng đăng nhập vào hệ thống thành công 77
Hình 5-35: Giao diện thiết lập cấu hình cho RA Application Server 78
Hình 5-36: Giao diện chính của RA Application Server 79
Hình 5-37: Giao diện chính của DB Server 80
Sinh viên: Bùi Văn Hạnh – Lớp Truyền thông và Mạng máy tính – K50 - ĐHBKHN Trang 11
Xây dựng ứng dụng kiểm soát truy cập mạng trên nền hệ thống BioPKI
CÁC ĐỊNH NGHĨA, TỪ VIẾT TẮT
CA: Certification Authority.
RA: Registration Authority.
LRA: Local Registration Authority
CRL: Certificate Revocation List.
MITM: Man-In-The-Middle
DB: DataBase
SSL: Secure Socket Layer
I&A: Identification & Authentication
PID: Process ID
PIN: Personal Identification Number
DES: Data Encryption Standard
AES: Advanced Encryption Standard
DAC: Discretionary Access Control
ACL: Access Control List
RSA: Rivest Shamir Adleman
PKI : Public Key Infrastructure
KHCN : Khoa Học Công Nghệ
Sinh viên: Bùi Văn Hạnh – Lớp Truyền thông và Mạng máy tính – K50 - ĐHBKHN Trang 12
Xây dựng ứng dụng kiểm soát truy cập mạng trên nền hệ thống BioPKI
CHƯƠNG MỘT:
TÌM HIỂU VỀ KIỂM SOÁT TRUY CẬP
1.1 Khái niệm chung về kiểm soát truy cập
1.1.1 Một số khái niệm cơ bản về kiểm soát truy cập
Trong lĩnh vực an ninh, thuật ngữ kiểm soát truy cập (access control) ám chỉ đến các
thi hành nhằm hạn chế sự thâm nhập vào một cơ sở, một tòa nhà, hoặc một phòng
làm việc và chỉ cho phép những người đã được ủy quyền tiếp cận mà thôi. Điều này
có thể được thực hiện bằng cách sử dụng người bảo vệ , khóa hay hiện đại hơn là sử
dụng mật khẩu, thẻ từ, e-token [9].
Trong an ninh máy tính, nhiệm vụ kiểm soát truy cập (Computer security access
control) bao gồm các nhiệm vụ xác thực (authentication), ủy quyền (authorization) và
kiểm toán (Accounting). Nhiệm vụ này được thực hiện bằng cách sử dụng các
phương pháp:
- Sử dụng các thiết bị phần cứng: Sử dụng máy quét sinh trắc học (biometric
scans), dùng các khóa bằng kim loại (metal locks)
- Các phương pháp xử lý phần mềm: Sử dụng “ đường dẫn ẩn” (hidden path),
chữ ký điện tử (digital signatures), mật mã hóa (encryption).
-Theo dõi mọi hoạt động của hệ thống dưới sự giám sát của nhân viên chuyên
trách hoặc bằng các hệ thống tự động.
Hình 1-1: Một số phương pháp xác thực người dùng
Sinh viên: Bùi Văn Hạnh – Lớp Truyền thông và Mạng máy tính – K50 - ĐHBKHN Trang 13
Xây dựng ứng dụng kiểm soát truy cập mạng trên nền hệ thống BioPKI
Khi thực hiện kiểm soát truy cập hệ thống chúng ta có thể cho phép hoặc từ chối một
chủ thể (một người, một quy trình…) sử dụng tài nguyên của hệ thống, và kiểm soát
được mọi thao tác của chủ thể đó lên hệ thống.
Tài nguyên của hệ thống: Các thư mục, tệp tin văn bản, chương trình, cơ sở dữ liệu,
máy in, các thiết bị…
Các hệ thống kiểm soát truy cập cung cấp những dịch vụ thiết yếu như dịch vụ nhận
dạng và xác minh (Identification & authentication – I&A), dịch vụ ủy quyền
(Authorization) và dịch vụ quy trách nghiệm (Accountability) đối với người dùng hoặc
đối với quy trình. Trong khi dịch vụ nhận dạng và xác minh nhằm xác định ai là người
được đăng nhập vào hệ thống, thì dịch vụ ủy quyền xác định những gì mà một người
dùng đã được xác thực có thể thi hành, và dịch vụ quy trách nghiệm nhận dạng và
chứng thực những hành vi hay hoạt động mà người dùng đã thực hiện khi họ sử dụng
hệ thống.
Trong các hệ ứng dụng công nghệ thông tin, thông thường khi một người nào đó thực
hiện thao tác trong hệ thống như xem, chỉnh sửa, xóa… các thông tin thì được gọi là
truy cập hệ thống. Chẳng hạn như, khi người dùng thực hiện thay đổi các thông tin cá
nhân của mình, hay thực hiện truy vấn đến cơ sở dữ liệu nào đó.
1.1.1.1 Nhận dạng và xác thực
Nhận dạng và xác thực (Identification and Authentication – I&A) là một quy trình gồm
hai bước nhằm xác minh người truy cập vào hệ thống.
a. Nhận dạng
Nhận dạng là phương pháp người dùng báo cho hệ thống biết họ là ai (chẳng hạn như
bằng cách dùng tên người dùng). Bộ phận nhận dạng người dùng của hệ thống kiểm
soát truy cập thường là một cơ chế tương đối đơn giản, hoạt động chủ yếu dựa trên một
hệ thống tên người dùng (username) hoặc định danh người dùng (userID). Trong
trường hợp đối với một hệ thống hoặc một quy trình (process), việc nhận dạng thường
dựa vào:
- Tên máy tính (computer name)
- Địa chỉ truy cập thiết bị (Media Access Control – MAC – address)
- Địa chỉ giao thức mạng (Internet Protocol – IP –address)
- Định danh của quy trình (Process ID – PID)
Điều kiện:
-Định danh phải là duy nhất, không thể có một định danh cho 2 người hoặc
Sinh viên: Bùi Văn Hạnh – Lớp Truyền thông và Mạng máy tính – K50 - ĐHBKHN Trang 14
Xây dựng ứng dụng kiểm soát truy cập mạng trên nền hệ thống BioPKI
không được dùng định danh để xác định vị trí hay tầm quan trọng của người dùng
trong tổ chức, chẳng hạn không được có định danh chỉ ra rằng người này là chủ tịch,
giám đốc hoặc nhân viên.
-Tránh việc sử dụng các thư mục được dùng chung bởi nhiều người dùng, như thư mục
gốc (root), thư mục của người quản trị (admin), hoặc thư mục của người quản lý hệ
thống (sysadmin).
- Không nên dùng các thư mục không hỗ trợ việc quy trách nghiệm vì chúng có thể trở
thành những lỗ hổng nguy hiểm của hệ thống.
b.Xác thực
Xác thực là một quy trình xác minh định danh của người dùng, chẳng hạn bằng cách
so sánh mật khẩu mà người dùng đăng nhập với mật khẩu được lưu trữ trong hệ thống.
Quy trình xác thực thường dựa trên các yếu tố:
- Dựa vào những chi tiết mà ta biết trước, chẳng hạn như mật khẩu, hoặc một số
nhận dạng cá nhân (personal identification number – PIN) .
- Dựa vào những gì mà chúng ta đã có, chẳng hạn nhử thẻ thông minh (smart card)
- Dựa vào những đặc trưng sinh trắc riêng có của mỗi người như vân tay, giọng nói,
võng mạc, khuôn mặt
1.1.1.2 Sự ủy quyền
Sự ủy quyền (authorization) định nghĩa quyền hạn, phạm vi thực hiện quyền của
người dùng trong một hệ thống. Cụ thể, sau khi người dùng (hoặc một quy trình) đã
được chứng thực, việc ủy quyền chỉ định những cái gì mà người dùng đó có thể thi
hành trên hệ thống.
Thông thường, người sử dụng được thực hiện một số quyền:
- Quyền đọc (Read): Người dùng có thể liệt kê các tài nguyên của hệ thống,
xem nội dung của các tài nguyên này.
- Quyền ghi (Write): Người dùng có quyền đọc và thay đổi nội dung trong hệ
thống như thêm, sửa, xóa và đổi tên.
- Quyền thi hành (Execute): Người dùng có quyền chạy các ứng dụng (chương
trình chạy) của hệ thống.
1.1.2 Một số dạng kiểm soát truy cập
Có nhiều tiêu chí để phân loại các dạng kiểm soát truy cập:
Nếu dựa trên vị trí địa lý, thì có 2 dạng đó là:
Sinh viên: Bùi Văn Hạnh – Lớp Truyền thông và Mạng máy tính – K50 - ĐHBKHN Trang 15
Xây dựng ứng dụng kiểm soát truy cập mạng trên nền hệ thống BioPKI
- Kiểm soát truy cập trực tiếp tại vị trí máy chủ (truy cập thông thường).
- Kiểm soát truy cập từ xa
Nếu dựa trên cách thức kiểm soát truy cập thì có 3 dạng:
- Kiểm soát truy cập tùy quyền
- Kiểm soát truy cập bắt buộc
- Kiểm soát truy cập trên cơ sở vai trò
1.1.2.1 Kiểm soát truy cập tùy quyền
Kiểm soát truy cập tùy quyền (discretionary access control-DAC) là một chính
sách truy cập mà chủ nhân của tài nguyên tự định đoạt, quyết định ai là người được
phép truy cập tài nguyên và những đặc quyền (privilege) nào người đó được phép
thi hành. Hai khái niệm quan trọng trong truy cập tùy quyền.[9]
- Quyền sở hữu tài nguyên (tập tin, dữ liệu): Bất cứ một đối tượng nào trong hệ
thống cũng phải có chủ sở hữu, chính sách truy cập các đối tượng là do chủ nhân
tài nguyên quyết định. Các tài nguyên có thể là: các tập tin, các thư mục, dữ liệu,
chương trình, thiết bị (devices). Những đối tượng nào không có chủ sở hửu thì đối
tượng đó bị bỏ lơ, không được bảo vệ. Thông thường chủ sở hữu của tài nguyên
chính là người đã kiến tạo nên tài nguyên (như tập tin, thư mục).
- Các đặc quyền truy cập: Đây là những quyền khống chế những thực thể tài
nguyên mà chủ nhân của tài nguyên chỉ định cho mỗi người hoặc một nhóm người
dùng.
Kiểm soát truy cập tùy quyền có thể được áp dụng thông qua nhiều kỹ thuật khác
nhau:
- Danh sách kiểm soát truy cập (Access control list – ACL) định danh các quyền
(rights) và phép (permissions) được chỉ định cho một tài nguyên trong hệ thống, ví
dụ như trong hệ trong hệ thống có 4 người dùng A, B, C, D chẳng hạn, khi đó ta có
danh sách kiểm soát truy cập của các file trong hệ thống như sau: File 0: (A, rx),
File1: (A, rw-), (B, r ), (C, rw), File 3: (B,rwx), (D,rx)… Danh sách kiếm soát
truy cập cho ta một phương pháp linh hoạt để áp dụng quy chế kiểm soát truy cập
tùy quyền.
1.1.2.2 Kiểm soát truy cập phân quyền
Kiểm soát truy cập bắt buộc (mandatory access control – MAC) là một chính sách
truy cập không do cá nhân sở hữu tài nguyên quyết định mà do hệ thống quyết định.
MAC được dùng trong các hệ thống đa tầng cấp, là những hệ thống xử lý các loại dữ
Sinh viên: Bùi Văn Hạnh – Lớp Truyền thông và Mạng máy tính – K50 - ĐHBKHN Trang 16
Xây dựng ứng dụng kiểm soát truy cập mạng trên nền hệ thống BioPKI
liệu quan trọng như các thông tin được phân cấp về mức độ bảo mật trong chính
phủ, công an và quân đội.
Có thể phân thành 4 mức độ bảo mật theo cấp độ giảm dần: Tối mật (Top secret-T),
Tuyệt mật (Secret-S), Mật (Confidential – C) và không quan trọng. Người dùng và
tài nguyên trong hệ thống sẽ được phân loại dựa trên các mức độ bảo mật này.
Ý nghĩa:
- Khi một chủ thể có quyền truy cập đến tài nguyên ở mức độ bảo mật cao thì chủ
thể đó có thể thực hiện truy cập đến tài nguyên ở mức độ bảo mật thấp hơn.
- Tài nguyên ở mức độ bảo mật thấp có thể được ghi vào vị trí của tài nguyên ở mức
độ bảo mật cao hơn, nhưng điều ngược lại thì không được.
1.1.2.3 Kiểm soát truy cập trên cơ sở vai trò
Luật (Role) là một nhóm các đặc quyền, kiểm soát truy dựa vào các luật (Role-
Based Access Control –RBAC) là việc gán các luật cho từng người dùng hoặc nhóm
người dùng trong hệ thống. Vì người dùng không được cấp quyền trực tiếp, mà phải
thông qua các luật mà họ được gán nên việc quản lý quyền hạn của người dùng trở
nên đơn giản hơn. Chẳng hạn như việc thêm một người dùng vào hệ thống, hay đổi
phòng làm việc, chức vụ của một người dùng, khi đó chỉ cần thu hồi các role cũ và
gán cho họ các role mới phù hợp. RBAC khác với các danh sách kiểm soát truy cập
– ACL được dùng trong hệ thống kiểm soát truy cập tùy quyền ở chỗ nó chỉ định
các quyền hạn tới một nhóm người dùng có vai trò, ý nghĩa trong hệ thống, trong khi
ACL chỉ định quyền cho từng người dùng cụ thể trong hệ thống.
1.2 Kiểm soát truy cập từ xa
Ngày nay, các giao dịch trên mạng đang thay thế dần các giao dịch thủ công, mọi
người phải đến tận vị trí máy chủ để thực hiện các thao tác truy cập cơ sở dữ liệu
(CSDL), thay vào đó mọi người có thể ngồi ở một vị trí bất kỳ trong hệ thống hay ở
nhà để thực hiện điều này. Một hạ tầng mạng tốt là điều kiện cần thiết để thực hiện truy
cập từ xa.
Điểm khác biệt lớn nhất của truy cập từ xa so với truy cập thông thường: Quá trình xác
thực và truy cập thông tin phải truyền qua mạng, đây chính là điểm yếu của các hệ
thống truy cập từ xa, tin tặc có thể lợi dụng điều này để ăn cắp thông tin của người
dùng hoặc tấn công máy chủ. Đã có nhiều giải pháp được đưa ra để giải quyết điểm
yếu này, một trong những giải pháp hữu hiệu đó là sử dụng ký số để xác thực thông tin,
và sử dụng mã hóa để bảo vệ tính mật cho thông tin. Tuy nhiên, làm sao có thể thực
hiện được điều này?
Sinh viên: Bùi Văn Hạnh – Lớp Truyền thông và Mạng máy tính – K50 - ĐHBKHN Trang 17
Xây dựng ứng dụng kiểm soát truy cập mạng trên nền hệ thống BioPKI
Hạ tầng khóa công khai PKI được biết đến như là môi trường lý tưởng để thực hiện,
bởi lẽ nó cho phép triển khai nhiều ứng dụng bảo mật thông tin sử dụng mật mã khóa
bất đối xứng như: ứng dụng chữ ký số, hay ứng dụng mã hóa thông điệp nhằm đảm
bảo độ an toàn của thông tin trên đường truyền.
1.3 Hướng tiếp cận sinh trắc trong kiểm soát truy cập từ xa
Trong truy cập từ xa thông tin xác thực người dùng được truyền qua mạng do vậy
người dùng rất có khả năng bị mạo danh. Thông thường, mật khẩu thường bao gồm
username và password, giả sử một người nào có lấy được thông tin về mật khẩu của
bạn, họ có thể dễ dàng đăng nhập vào hệ thống bằng cách sử dụng mật khẩu của bạn.
Vậy có giải pháp nào cho vấn đề này?
Ngoài mật khẩu, cần phải có thêm một dấu hiệu đặc trưng riêng nào đó để xác thực
người dùng, điều này sẽ đảm bảo rằng một người nào đó dù có được mật khẩu của bạn
cũng không thể đăng nhập được vào hệ thống.
Như chúng ta đã biết , từ xa xưa các dấu hiệu sinh trắc đã được coi như là một đặc
trưng riêng có của mỗi người , không ai giống ai, và nó đã được sử dụng để xác thực
trong các giao dịch cũng như nhận dạng. Như vậy, có thể sử dụng một số đặc tính
sinh trắc thông dụng đã và đang được nghiên cứu để xác thực người dùng như:
- ADN (cấu trúc di truyền)
- Cấu trúc vành tai (Ear)
- Nét mặt (Face)
- Thân nhiệt (cụ thể là ở mặt : Facial Thermogram)
- Cấu trúc mạch máu trên bàn tay, gân tay (Hand vein)
- Vân tay (Fingerprint)
- Dáng đi (Gait)
- Các đặc trưng hình học của bàn tay và ngón tay (Hand geometry)
- Mống mắt (Iris)
- Võng mạc (Retina)
- Chữ kí viết tay (Signature)
- Giọng nói (Voice)…
Sinh viên: Bùi Văn Hạnh – Lớp Truyền thông và Mạng máy tính – K50 - ĐHBKHN Trang 18
Xây dựng ứng dụng kiểm soát truy cập mạng trên nền hệ thống BioPKI
Các
đặc tính
sinh trắc này có các tính chất về phổ biến, bất biến, khả năng thu thập, phân biệt
khác nhau. [3]
Sinh viên: Bùi Văn Hạnh – Lớp Truyền thông và Mạng máy tính – K50 - ĐHBKHN Trang 19
Hình 1-2: Một số đặc trưng sinh trắc thông dụng
Xây dựng ứng dụng kiểm soát truy cập mạng trên nền hệ thống BioPKI
CHƯƠNG HAI:
TỔNG QUAN VỀ HẠ TẦNG KHÓA CÔNG KHAI - PKI
Như trình bày chương 1, hạ tầng khóa công khai là môi trường lý tưởng để thực hiện
các kỹ thuật mã hóa, ký số. Để hiểu rõ về PKI trước tiên chúng ta phải nắm được một
số khái niệm cơ bản về mã hóa.
2.1 Các hệ mã hóa
Từ xa xưa con người đã có nhu cầu đảm bảo an toàn an ninh cho thông tin khi trao đổi
thông điệp cho nhau. Có rất nhiều cơ chế, công nghệ, kĩ thuật nhằm đảm bảo an toàn,
an ninh thông tin nhưng mã hóa vẫn là cách làm căn bản và chủ yếu nhất. Có hai
phương pháp mã hóa cơ bản : Mã hóa đối xứng và mã hóa bất đối xứng.
2.1.1 Mã hóa đối xứng
Mã hóa có thể hiểu đơn giản là việc biến đổi bản tin rõ thành bản tin mật để che dấu
nội dung của bản tin rõ. Việc biến đổi được thực hiện nhờ một khóa gọi là khóa mã
hóa. Giải mã là quá trình ngược lại, biến bản tin mật thành bản tin rõ nhờ khóa giải mã.
Theo đó, hệ mã hóa đối xứng là hệ mà khóa giải mã d trùng với khóa mã hóa e. Hoặc
là d có thể được suy ra dễ dàng từ e. Trong các hệ mã đối xứng chỉ có một khoá được
chia sẻ giữa các bên tham gia liên lạc. Cứ mỗi lần truyền tin bảo mật, cả người gửi A
và người nhận B cùng thoả thuận trước với nhau một khoá chung K, sau đó người gửi
dùng hàm mã hóa để lập mã cho thông báo gửi đi và người nhận dùng hàm giải mã hóa
để giải mã bản mật mã nhận được. Người gửi và người nhận có cùng một khoá chung
K, được giữ bí mật dùng cho cả lập mã và giải mã [10].
Hình 2-3: mật mã khóa đối xứng
Sinh viên: Bùi Văn Hạnh – Lớp Truyền thông và Mạng máy tính – K50 - ĐHBKHN Trang 20
Xây dựng ứng dụng kiểm soát truy cập mạng trên nền hệ thống BioPKI
Có rất nhiều hệ mật mã khóa đối xứng, một trong những hệ mật mã đối xứng được
sử dụng nhiều là hệ mã chuẩn DES (Data Encryption Standard) được xây dựng tại
Mỹ trong những năm 70 theo yêu cầu của Văn phòng quốc gia về chuẩn (NBS).
DES kết hợp cả hai phương pháp thay thế và chuyển dịch. DES thực hiện mã hoá
trên từng khối bản rõ là một xâu 64 bit, có khoá là một xâu 56 bit và cho ra bản mã
cũng là một xâu 64 bit. Hiện nay, DES và biến thể của nó (3DES) vẫn được sử
dụng rộng rãi trong nhiều ứng dụng.
Độ an toàn của hệ mã này phụ thuộc vào một số yếu tố. Trước hết, thuật toán mã
hoá phải đủ mạnh, sao cho việc giải mã một thông báo mà chỉ dựa vào bản mã là
không khả thi. Tiếp theo, độ an toàn của mã hoá đối xứng phụ thuộc vào sự bí mật
của khoá, chứ không phải là sự bí mật của thuật toán. Có nghĩa là, việc giải mã một
thông báo dựa vào bản mã và các thông tin về thuật toán mã hoá giải mã là không
khả thi. Nói cách khác, người ta không cần giữ bí mật thuật toán mà giữ bí mật
khoá. Chính đặc tính này đã làm cho mã hoá đối xứng được sử dụng rộng rãi. Đó
là vì các thuật toán không cần phải giữ bí mật, có nghĩa là các nhà sản xuất có thể
sản xuất các chíp thuật toán mã hóa giá thành thấp. Các chíp này có sẵn và dễ dàng
ghép với một số sản phẩm khác. Khi sử dụng mã hoá đối xứng, vấn đề an toàn cần
được quan tâm hàng đầu chính là sự bí mật của khoá. Một giải thuật mã hóa đối
xứng khác với độ an toàn khá cao là AES.
Nhận xét:
Ưu điểm nổi bật của các hệ mật mã khoá đối xứng là việc xây dựng một hệ mật mã
có độ bảo mật cao khá dễ dàng về mặt lý thuyết và tốc độ mã hóa nhanh. Tuy
nhiên nó vẫn còn một số nhược điểm cần giải quyết được:
- Cần có trước một kênh mật để phân phối khóa đến các bên tham gia giao dịch,
nếu kênh mật này bị lộ thì bản tin mật không còn an toàn nữa.
- Nếu hệ thống có n người thì số lượng khóa tối đa cần phải quản lý n(n-1)/2, đây
thực sự là một vấn đề lớn khi hệ thống mở rộng.
- Quá trình mã hóa chỉ sử dụng 1 khóa chung không đưa ra được cơ chế tạo dấu
hiệu đặc trưng cho từng bên tham gia giao dịch nên không thể kí dấu lên bản tin
truyền đi.
2.1.2 Mã hóa bất đối xứng
Việc phải duy trì kênh mật phân phối khóa và hạn chế trong việc kí dấu đặc trưng là
hai vấn đề nội tại của hệ mã hóa đối xứng, hai vấn đề này chỉ có thể được giải quyết
với hệ mã hóa công khai. Sự ra đời của hệ mã hóa công khai được coi như một cuộc
cách mạng trong mật mã học [1]. Nó giải quyết được hai vấn đề của hệ mã hóa đối
xứng nói trên. Khác với hệ mã hóa đối xứng chủ yếu dùng các phép thế và hoán vị,
Sinh viên: Bùi Văn Hạnh – Lớp Truyền thông và Mạng máy tính – K50 - ĐHBKHN Trang 21
Xây dựng ứng dụng kiểm soát truy cập mạng trên nền hệ thống BioPKI
hệ mã hóa công khai thường dựa trên các hàm toán học. Lý thuyết về hệ mã công
khai liên quan nhiều tới lý thuyết số.
Trong hệ mã hóa công khai, khóa giải mã và khóa mã hóa là khác nhau. Một cặp
khóa bao gồm khóa công khai (public key) và khóa bí mật (hay khóa cá nhân)
(private key). Khóa cá nhân phải được giữ bí mật, chỉ người chủ của nó biết, còn
khóa công khai thì không cần giữ mật. Mã hóa bằng khóa cá nhân thì giải mã bằng
khóa công khai tương ứng và ngược lại: mã hóa bằng khóa công khai thì giải mã
được đúng bằng khóa cá nhân tương ứng. Với đặc điểm như vậy, có thể coi khóa cá
nhân đặc trưng cho người chủ nên có thể dùng nó để kí dấu đặc trưng, phục vụ cho
việc xác thực chủ thể. Do đó hệ mã hóa công khai có thể đáp ứng được yêu cầu về
giữ mật thông tin cũng như có khả năng tạo dấu hiệu để xác thực.[11]
Hình 2-2, 2-3 minh họa cho quá trình mã hóa sử dụng khóa công khai để đảm bảo
tính mật của thông tin, và dùng để xác thực tính toàn vẹn của nội dung, xác thực chủ
thể trong giao dịch.[1]
Hình 2-4: mật mã khóa công khai dùng để giữ mật thông tin
Sinh viên: Bùi Văn Hạnh – Lớp Truyền thông và Mạng máy tính – K50 - ĐHBKHN Trang 22
Xây dựng ứng dụng kiểm soát truy cập mạng trên nền hệ thống BioPKI
Hình 2-5: mật mã khóa công khai dùng xác thực
Có nhiều hệ thống khoá công khai được triển khai rộng rãi như hệ RSA, hệ
ElGamal sử dụng giao thức trao đổi khoá Diffie-Hellman và gần đây là hệ đường
cong Elliptic. Trong số các hệ mật mã trên thì hệ RSA là hệ được cộng đồng chuẩn
quốc tế và công nghiệp chấp nhận rộng rãi trong việc thực thi mật mã khoá công
khai.
Khi nói tới mật mã khóa công khai chúng ta có thể thấy những ưu điểm nổi bật của
hệ mã hóa này:
- Khóa riêng không phải truyền tới người nhận nên không sợ khả năng bị đánh cắp
khi truyền.
- Số lượng khóa công khai cần phải phân phối bằng với số lượng người tham gia
truyền tin do đó giúp hệ thống có thể mở rộng được trong phạm vi lớn, đồng thời
tránh được những vấn đề phức tạp trong việc phân phối khóa cho các bên tham gia.
- Ứng dụng của nó trong lĩnh vực chữ ký số, cùng với các kết quả về hàm băm, thủ
tục ký để bảo đảm tính toàn vẹn của một văn bản được giải quyết.
Tuy nhiên, do bản thân các hệ mật mã khoá công khai đều dựa vào các giả thiết
liên quan đến các bài toán khó nên đa số các hệ mật mã này đều có tốc độ mã hóa
không nhanh lắm.
Sinh viên: Bùi Văn Hạnh – Lớp Truyền thông và Mạng máy tính – K50 - ĐHBKHN Trang 23
Xây dựng ứng dụng kiểm soát truy cập mạng trên nền hệ thống BioPKI
Để đưa hệ mật mã khóa vào triển khai trong thực tế thì chúng ta cần giải quyết
được những vấn đề như thẩm quyền và độ tin cậy của người tạo khóa, sự thống
nhất về định dạng dữ liệu, việc cập nhật thông tin về khóa, các hoạt động cần tiến
hành nếu phát hiện khóa bị xâm phạm … đòi hỏi một chính sách thống nhất để hệ
thống có thể hoạt động mà không gặp các cản trở. Hạ tầng khóa công khai PKI
chính là 1 framework hoàn chỉnh cung cấp các chính sách như vậy. Dưới đây,
chúng ta sẽ tìm hiểu một số khái niệm cơ bản về PKI.
2.2 Hạ tầng khóa công khai – PKI
Như đã nói ở trên, để triển khai được hệ mã hóa khóa bất đối xứng thì chúng ta
phải giải quyết được các vấn đề :
Cơ quan, tổ chức hay cá nhân nào sẽ tạo ra cặp khoá công khai – bí mật ?
Dữ liệu (khoá, định danh người dùng, các thông tin khác) được lưu dưới định
dạng nào trong hệ thống lưu trữ ?
Có cơ chế nào để sinh và phân phối khoá và chứng thư số ?
Làm thế nào để đảm bảo việc gắn kết giữa khoá công khai và định danh của thực
thể có khoá đó là chính xác và đáng tin cậy ?
Làm thế nào để người dùng có thể truy cập được đến nơi lưu trữ ?
Vấn đề gì sẽ xảy ra đối với khoá công khai nếu khoá bí mật bị xâm hại ?
Cần phải có một hạ tầng cơ sở xác thực và phân phối đáng tin cậy để quản lý và hỗ
trợ cho những ứng dụng của mật mã khoá công khai trên mạng máy tính, nhằm tận
dụng được những ưu điểm vượt trội mà mật mã khoá công khai đem lại. Giải pháp
được sử dụng ở đây là hạ tầng cơ sở mật mã khoá công khai – PKI (Public Key
Infrastructure).
2.2.1 Khái niệm
Trên thực tế có rất nhiều định nghĩa về PKI như:
PKI là một hệ thống nền tảng bảo gồm các chính sách bảo mật, các cơ chế mã hóa
và các ứng dụng cho phép tạo, lưu trữ và quản lí các khóa. Nó cũng cung cấp các
thủ tục được chuẩn hóa để tạo, phân phối và sử dụng khóa công khai, khóa riêng
và các chứng thư.[4]
PKI là một hạ tầng bảo mật rộng khắp mà các dịch vụ của nó được đưa ra để triển
khai các khái niệm và công nghệ của mã hóa khóa công khai [5].
PKI là một hệ thống các CA (và có thể có thêm RA và các server, agent khác hỗ
trợ) thực hiện các chức năng về quản lý chứng thư, quản lý lưu trữ, quản lý khóa
trong một ứng dụng dùng hệ mật mã khóa công khai [8].
Sinh viên: Bùi Văn Hạnh – Lớp Truyền thông và Mạng máy tính – K50 - ĐHBKHN Trang 24
Xây dựng ứng dụng kiểm soát truy cập mạng trên nền hệ thống BioPKI
Như vậy, chúng ta có thể hiểu PKI là một hệ thống gồm cả phần cứng lẫn phần
mềm dựa trên mật mã khóa bất đối xứng, cung cấp các dịch vụ hòan chỉnh để tạo,
quản lí, lưu trữ và sử dụng cặp khóa cũng như các chứng thư cho các giao dịch
điện tử.
2.2.2 Các thành phần của hạ tầng khóa công khai PKI
Để thực hiện được các chức năng được nêu ra như định nghĩa, một hệ PKI thường
có các thành phần sau:[4]
- Certification Authority (CA) – Cơ quan phát hành, thu hồi chứng thư.
- Registration Authority (RA) – Cơ quan đăng kí chứng thực.
- Digital Certificate – chứng thư số.
- PKI client: người dùng trong hệ thống, là thực thể cuối (End user)
- Kho chứa chứng chỉ: làm nhiệm vụ lưu trữ các chứng chỉ để các thực thể đầu cuối
có thể lấy được.
Hình 2-6: Các thành phần của PKI
2.2.2.1 Certification Authority (CA)
CA là thành phần trung tâm quan trọng nhất của hệ PKI. Nó đóng vai trò là bên thứ
3 được các bên tham gia giao dịch tin tưởng. Các bên sẽ chỉ truyền tin tin cậy với
nhau nếu bên kia được chứng thực bởi CA. Để chứng thực cho một thực thể, CA
sử dụng chứng thư. Chứng thư chứa các thông tin như tên của thực thể, khóa công
khai của thực thể và chứng thư được CA kí và phát hành cho các bên. CA sẽ quản
lí chứng thư không chỉ trong lúc nó được tạo ra mà cả trong quá trình nó được sử
dụng.
Sinh viên: Bùi Văn Hạnh – Lớp Truyền thông và Mạng máy tính – K50 - ĐHBKHN Trang 25
