1. Giới thiệu về BioPKI
BioPKI là một giải pháp tích hợp sinh trắc học vào Cơ sở hạ tầng khoá công khai – PKI (Public Key Infrastructure) nhằm hạn chế tối thiểu một số nhược điểm của hệ thống PKI và tăng tính bảo mật, an toàn cho thông tin lưu truyền trên đó. PKI là công nghệ xác thực đầu tiên và hoàn thiện sử dụng phương pháp mã hoá dựa trên khoá bí mật và khoá công khai. Tuy nhiên, nhược điểm của PKI là việc truy cập đến khoá bí mật thường chỉ dùng mật khẩu, nhưng trên thực tế mật khẩu có nguy cơ bị lộ rất cao, mất hoặc bị đánh cắp... do vậy không đảm bảo được an toàn cho khoá bí mật của chủ sở hữu. Hơn nữa, PKI còn có hạn chế là không có dấu hiệu đặc trưng để nhận biết chủ sở hữu của chứng thư số và việc xác thực chứng thư số chỉ dựa vào số serialnumber do Cơ quan chứng thực - CA (Certificate Authority) cấp. Ngoài ra, khi có sự xâm hại đến khóa bí mật của người sử dụng dẫn đến họ không thể thực hiện được việc ký chữ ký số thì người sử dụng phải trực tiếp đến RA (Cơ quan đăng ký) hoặc CA để xác minh định danh (ID) của mình và yêu cầu thay đổi chứng thư số.... Các nhược điểm trên có thể giải quyết được bằng cách sử dụng đặc trưng sinh trắc của người dùng, nghĩa là sử dụng hệ thống tích hợp BioPKI. BioPKI kết hợp công nghệ sinh trắc học để truy cập khóa bí mật, tạo ra ký số dựa trên sự xác thực sinh trắc và kỹ thuật PKI theo chuẩn công nghiệp. Sự xác thực được thực hiện dựa trên việc đối sánh các dấu hiệu sinh trắc với khuôn mẫu đã biết để có thể truy cập tới khóa bí mật được lưu trữ an toàn trước khi hoạt động giao dịch diễn ra.
Việc ứng dụng BioPKI vào thực tiễn đã được các nước nghiên cứu từ lâu và triển khai thành công ở một số nước với nhiều mô hình ứng dụng khác nhau như: dùng đặc trưng sinh trắc để bảo vệ thiết bị lưu khoá bí mật, bảo vệ truy cập hệ thống PKI hoặc sinh khoá mật mã từ đặc trưng sinh trắc để mã hoá khoá bí mật....
2. Xác thực các giao dịch của người dùng với CA bằng dấu vân tay
Ngày nay, các kỹ thuật sinh trắc được ứng dụng khá rộng rãi, trong đó, nhận dạng vân tay được xem là một trong những kỹ thuật hoàn thiện và đáng tin cậy nhất để xác nhận người dùng. Kỹ thuật này cũng thích hợp với những ứng dụng có cơ sở dữ liệu nhỏ.
Với cách kết hợp này, người dùng sẽ được yêu cầu nhập vào mẫu vân tay của mình. Hệ thống sẽ đối sánh mẫu nhận được với mẫu đã được lưu trữ trước đó. Nếu kết quả đối sánh là chấp nhận được thì người dùng mới được phép truy cập hệ thống để thực hiện các giao dịch an toàn của mình (Hình 1).
Để thực hiện được chức năng trên, người ta quan tâm nghiên cứu đến các giải pháp tích hợp dấu vân tay vào hệ thống PKI. Các giải pháp này phải đáp ứng yêu cầu là dễ dàng thực hiện và quản trị. Hiện nay, có rất nhiều giải pháp khác nhau được đưa ra. Sau đây, chúng tôi xin đề xuất 3 giải pháp: tích hợp mã vân tay người dùng vào chứng thư số X.509; dùng vân tay truy xuất khoá bí mật được lưu trữ trong etoken và dùng vân tay truy xuất khoá bí mật lưu trên server.
2.1. Tích hợp mã vân tay người dùng vào chứng thư số X.509
X.509 là một tiêu chuẩn của ITU-T (International Telecommunications Union) định ra những định dạng chuẩn cho các chứng thư khoá công khai và các thuật toán xác thực việc cấp chứng thư.
Các chứng thư số được tạo ra theo chuẩn X.509 phiên bản 3 có chứa hai phần là cấu trúc cơ bản và phần mở rộng. Phần cấu trúc cơ bản bao gồm các trường như: phiên bản (Version), số serial (Serial Number), nơi cấp (Issuer), thời gian hợp lệ (Period of Validity), khoá công khai,.... Trong phần này mã băm sẽ được tính, sau đó được CA ký và gán chữ ký vào. Phần mở rộng có chứa các trường mở rộng (Extensions) đóng vai trò làm tăng độ linh hoạt của chứng thư số. Nó có thể thêm một số thông tin mà không thể thêm vào phần cấu trúc cơ bản của chứng thư số định dạng chuẩn. Do vậy, mã vân tay của người chủ sở hữu chứng thư sẽ được tích hợp vào trong phần này.
Khi người dùng cần sử dụng khoá bí mật để thực hiện các giao dịch an toàn, họ phải đưa ra chứng thư số và đồng thời cả dấu vân tay của mình để hệ thống đối sánh. Khi dấu vân tay được quét vào, hệ thống sẽ tính toán và sinh khoá mã. Khoá này sẽ được băm và lấy một đoạn mã băm. Đồng thời, hệ thống cũng tự động đọc thông tin mã vân tay trong phần mở rộng để đối sánh. Toàn bộ quá trình đối sánh và truy xuất khoá bí mật được biểu diễn trong Hình 2.
2.2. Dùng vân tay truy xuất khoá bí mật lưu trong etoken
Với hình thức triển khai tích hợp sinh trắc vào hệ thống PKI này, khoá bí mật sau khi sinh ra sẽ được lưu vào etoken và được giao cho người dùng bằng con đường vật lý. Người dùng khi muốn thực hiện các giao dịch trong hệ thống thì phải đăng nhập vào hệ thống tại các máy user. Quá trình này yêu cầu người dùng phải kết nối etoken với hệ thống và nhập số PIN (password) để kích hoạt etoken. Nếu số này được xác nhận đúng, hệ thống ứng dụng sẽ yêu cầu người dùng cung cấp đặc trưng sinh trắc “sống” của mình để xác thực thông qua máy quét Biometric. Hệ thống sẽ thực hiện quá trình xác thực xem hình ảnh nhận được có đúng là của chủ sở hữu etoken đó hay không. Quá trình này được thực hiện tại máy Workstations. Nếu kết quả xác thực được chấp nhận thì người dùng có thể truy xuất khoá bí mật từ etoken.
Hệ thống này có thể được mô tả đơn giản như Hình 3.
2.3. Dùng vân tay truy xuất khoá bí mật lưu trên server
Khoá bí mật được lưu tại một server an toàn trong hệ thống PKI, khi cần truy xuất khoá từ server này, người dùng cung cấp đặc trưng sinh trắc của mình cho hệ thống.
Cũng giống như với mô hình PKI chuẩn, mô hình tích hợp BioPKI này sử dụng mật mã khóa công khai theo chuẩn PKCS để đảm bảo tính bí mật của thông tin (hình 4). Theo đó, người sử dụng hợp lệ được phép nhận từ Máy khách PKdI (9) các thông tin như phần mềm, phần cứng lưu giữ chữ ký sinh trắc và mật mã riêng. Một cặp khóa gồm khóa công khai (2) và khóa bí mật (3) cũng sẽ được tạo ra để người dùng hợp lệ sử dụng trong hệ thống. Tuy nhiên không giống như mô hình PKI quy ước, khóa bí mật của người dùng được giữ bí mật và được lưu giữ trong một server an toàn và chỉ có thể truy cập sau khi dấu hiệu sinh trắc (chữ ký sinh trắc học (4)) hợp lệ được xác thực. Các khóa trong cặp khóa có sự liên quan về mặt toán học nên các văn bản đã được mã hoá bởi khóa bí mật (3) của người gửi chỉ có thể xác thực được bằng cách sử dụng khóa công khai (2) tương ứng. Người gửi mã hoá thông điệp gửi bằng khóa bí mật (3) của mình và người nhận xác thực tính hợp lệ của thông điệp đó bằng cách sử dụng khóa công khai (2) của người gửi. Khóa công khai có thể được công bố công khai và đưa lên danh bạ điện tử.
Mô hình BioPKI bao gồm một thành phần chính là Cơ quan chứng thực (1) - CA - chịu trách nhiệm phát hành chứng thư số (5) và quản lý các chứng thư này trong suốt thời gian sống của chúng. Tuy nhiên, khác với CA thông thường, CA (1) này còn bao gồm một Máy chủ PKdI (6) có chức năng tạo và quản lý kho chứa các khuôn mẫu sinh trắc và khóa bí mật của người dùng.
Chữ ký sinh trắc học (4) có thể dùng các dấu hiệu như dấu vân tay, mống mắt... của người dùng được lấy từ mẫu sinh trắc đã lưu trữ và trích ra các đặc trưng để tạo mẫu chữ ký sinh trắc. Quá trình đối sánh sinh trắc sẽ được thực hiện với mẫu đã được đăng ký để cấp quyền truy cập khóa bí mật (3) phục vụ cho các giao dịch điện tử an toàn.
Chữ ký số (7) là một bộ định danh điện tử có các đặc tính như chữ ký trên giấy truyền thống (duy nhất, có thể xác minh được và chỉ có người ký mới có thể ký nó). Chữ ký số đảm bảo rằng các thông tin chứa trong thông điệp hoặc tài liệu được ký không bị thay đổi trong suốt quá trình truyền.
Máy khách PKdI (9) bao gồm thiết bị lấy mẫu sinh trắc và các phần mềm liên quan như: phần mềm quét vân tay/mống mắt và đặc trưng hóa, phần mềm mã hoá/giải mã trong quá trình truyền thông với Máy chủ PKdI (6).
3. Kết luận
Nhìn chung, có nhiều phương pháp khác nhau để tích hợp sinh trắc học vào PKI. Mỗi phương pháp đều có những đặc điểm riêng và phù hợp với từng môi trường cụ thể. Việc lựa chọn phương pháp nào phụ thuộc vào nhiều yếu tố, trong đó bao gồm cả mục tiêu mà nhà quản trị hệ thống muốn đạt tới cũng như đối tượng phục vụ của hệ thống. Tuy nhiên, đối với những tổ chức, tập đoàn lớn hoặc có cơ sở dữ liệu lớn, nhu cầu đảm bảo an toàn thông tin mức cao thì việc xây dựng một hệ thống BioPKI là cần thiết và phù hợp, đảm bảo được những yêu cầu của người sử dụng.
15:00 | 23/04/2012
07:00 | 17/06/2022
10:00 | 05/02/2024
Kiểm tra, đánh giá tình hình ứng dụng chữ ký số trong hoạt động của cơ quan nhà nước là công tác có ý nghĩa hết sức quan trọng, không thể thiếu, góp phần thực hiện tốt nhiệm vụ quản lý nhà nước về lĩnh vực chữ ký số chuyên dùng Chính phủ. Thông qua kết quả kiểm tra, đánh giá của Đoàn công tác Ban Cơ yếu Chính phủ, bài báo sẽ cung cấp đến độc giả thực trạng tình hình ứng dụng chữ ký số chuyên dùng Chính phủ tại một số địa phương, đồng thời đưa ra những tồn tại, khó khăn, vướng mắc trong công tác quản lý, triển khai sử dụng, từ đó có biện pháp khắc phục, hướng dẫn, điều chỉnh bảo đảm đúng quy định, chặt chẽ và hiệu quả.
14:00 | 17/02/2023
Theo Bộ Thông tin và Truyền thông, trong tháng 1/2023, các Bộ, ngành, địa phương tiếp tục đẩy mạnh cung cấp dịch vụ công trực tuyến theo hướng toàn trình quy định tại Nghị định số 42/2022/NĐ-CP ngày 24/6/2022 của Chính phủ quy định về việc cung cấp thông tin và dịch vụ công trực tuyến của cơ quan nhà nước trên môi trường mạng.
07:00 | 11/01/2023
Hiện nay, trong bối cảnh các cuộc tấn công mạng ngày càng gia tăng cả về số lượng lẫn quy mô nhắm vào đối tượng là người dùng sử dụng Smartphone, các phương thức tấn công cũng vì thế được tin tặc thay đổi và phát triển với mức độ tinh vi hơn, đặc biệt là các phần mềm, ứng dụng độc hại được sử dụng để theo dõi, đánh cắp thông tin dữ liệu. Do đó, mỗi cá nhân nên trang bị những kỹ năng cần thiết giúp nhận biết và bảo vệ các thiết bị smartphone của chính mình. Để làm rõ điều này, bài báo sau đây sẽ cung cấp đến độc giả cách thức phát phát hiện phần mềm gián điệp dựa vào các dấu hiệu và một số tùy chọn để gỡ bỏ, ngăn chặn các cuộc tấn công độc hại.
07:00 | 15/09/2022
Chủ thể danh tính điện tử là cơ quan, tổ chức, công dân Việt Nam không phải thanh toán chi phí đăng ký cấp tài khoản định danh điện tử và chi phí sử dụng tài khoản định danh điện tử do hệ thống định danh và xác thực điện tử tạo lập. Đây là một trong những nội dung tại Nghị định số 59/2022/NĐ-CP quy định về định danh và xác thực điện tử vừa được Thủ tướng Chính phủ Phạm Minh Chính ký ban hành.
08:00 | 11/01/2024 | Chính sách - Chiến lược
09:00 | 10/01/2024 | Giải pháp khác
09:00 | 05/01/2024|Chính sách - Chiến lược
09:00 | 05/01/2024|An ninh – Quốc Phòng
Ngày 21/3, Bộ Quốc phòng đã có văn bản trả lời kiến nghị của cử tri tỉnh Quảng Nam với nội dung: "Đề nghị chỉ đạo thống nhất về giá trị pháp lý của chữ ký số, hồ sơ điện tử (hiện nay, nhiều cơ quan quản lý nhà nước, tổ chức tín dụng chưa áp dụng thống nhất nội dung này và bắt buộc phải sử dụng chữ ký thông thường, hồ sơ giấy song song với chữ ký số, hồ sơ điện tử)".
15:00 | 25/03/2024
Thời gian gần đây, nhiều đối tượng xấu đã giả danh cơ quan công an gọi điện cho người dân yêu cầu ra công an phường để khắc phục sự cố đồng bộ VNeID mức 2. Đây là một hình thức lửa đảo mới nhằm chiếm đoạt toàn bộ tiền trong tài khoản ngân hàng của nạn nhân.
09:00 | 19/04/2024
