BAN CƠ YẾU CHÍNH PHỦ HỌC VIỆN KỸ THUẬT MẬT MÃ ThS.LÊ QUANG TÙNG, KS.NGUYỄN THỊ HỒNG HÀ GIÁO TRÌNH CHỨNG THỰC ĐIỆN TỬ HÀ NỘI, 2013 BAN CƠ YẾU CHÍNH PHỦ HỌC VIỆN KỸ THUẬT MẬT MÃ ThS.LÊ QUANG TÙNG, KS.NGUYỄN THỊ HỒNG HÀ GIÁO TRÌNH CHỨNG THỰC ĐIỆN TỬ HÀ NỘI, 2013 MỤC LỤC MỤC LỤC .3 DANH MỤC HÌNH VẼ DANH MỤC CHỮ VIẾT TẮT .12 DANH MỤC BẢNG BIỂU 13 LỜI NÓI ĐẦU .14 Chương 1.1 CÁC KHÁI NIỆM CƠ BẢN 16 AN TỒN THƠNG TIN .16 1.1.1 Khái niệm an tồn thơng tin 16 1.1.2 Khái niệm đảm bảo an tồn thơng tin 16 1.1.3 Khái niệm đánh giá an tồn thơng tin 17 1.1.4 Những đặc tính thơng tin cần đảm bảo 18 1.1.5 Mơ hình tổng quát biện pháp đảm bảo an toàn thông tin .19 1.1.6 Nhu cầu đánh giá an tồn thơng tin tiêu chí đánh giá chung 20 1.2 GIAO DỊCH ĐIỆN TỬ 21 1.3 CHÍNH PHỦ ĐIỆN TỬ 22 1.3.1 Một số khái niệm phủ điện tử 22 1.3.2 Các chức Chính phủ điện tử .23 1.3.3 Mục tiêu Chính phủ điện tử 23 1.3.4 Các giao dịch điện tử phủ điện tử: 23 1.3.5 Ưu nhược điểm Chính phủ điện tử 24 1.4 MẬT MÃ TRONG AN TỒN THƠNG TIN .24 1.4.1 Mật mã khóa đối xứng .27 1.4.2 Mật mã khóa công khai 29 Chương CÁC LÝ THUYẾT CƠ BẢN VỀ HỆ THỐNG PKI .32 2.1 GIỚI THIỆU CHUNG 32 2.1.1 Tại cần có sở hạ tầng khóa cơng khai PKI 33 2.1.2 Tổng quan PKI 34 2.1.3 Các chuẩn đặc tả PKI 43 2.2 CÁC DỊCH VỤ CỦA PKI .45 2.2.1 Dịch vụ đảm bảo tính bí mật 46 2.2.2 Dịch vụ đảm bảo tính tồn vẹn 47 2.2.3 Dịch vụ xác thực 50 2.2.4 Dịch vụ dấu thời gian 54 2.3 CHỮ KÝ SỐ VÀ CHỨNG THƯ SỐ 56 2.3.1 Chữ ký số 57 2.3.2 Chứng thư số 59 2.3.3 Giới thiệu chứng thư khố cơng khai 60 2.4 CÁC MƠ HÌNH KIẾN TRÚC TIN CẬY 63 2.4.1 Giới thiệu kiến trúc hệ thống PKI .63 2.4.2 Mơ hình tổng thể hệ thống PKI .65 2.4.3 Hệ thống kiến trúc đơn 67 2.4.4 Hệ thống kiến trúc cho doanh nghiệp (thương mại) 68 2.4.5 Đường dẫn chứng thực 79 Chương QUY TRÌNH HOẠT ĐỘNG CỦA HỆ THỐNG PKI .82 3.1 CHỨC NĂNG CỦA CÁC THÀNH PHẦN TRONG HỆ THỐNG PKI.82 3.1.1 Thành phần CA (Certification Authority) 83 3.1.2 Thành phần RA (Registration Authority) 84 3.1.3 Thành phần VA (Varidation Authority) 86 3.1.4 Người sử dụng/thực thể đầu cuối (End Entities – EE) 86 3.1.5 Chức hệ thống dịch vụ chứng thực chữ ký số 87 3.2 QUY TRÌNH QUẢN LÝ VỊNG ĐỜI CHỨNG THƯ SỐ 88 3.2.1 Hoạt động đăng ký chứng thư số quan đăng ký .89 3.2.2 Quản lý, trì khóa chứng thư số 92 3.2.3 Công bố chứng thư số 97 3.2.4 Các phương pháp hủy bỏ chứng thư số 100 3.3 BÀI THỰC HÀNH SỐ .112 Chương QUAN 4.1 MỘT SỐ GIAO THỨC QUẢN LÝ PKI VÀ CÁC CHUẨN LIÊN 113 CÁC GIAO THỨC QUẢN LÝ PKI 113 4.1.1 Các chuẩn PKCS 113 4.1.2 Giao thức quản lý chứng thư số (CMP) 123 4.1.3 Giao thức đăng ký chứng thư số đơn giản(SCEP) 126 4.2 NHĨM CHUẨN VỀ KHN DẠNG CHỨNG THƯ SỐ VÀ CRL 129 4.2.1 Chứng thư số X.509 version .129 4.2.2 Danh sách chứng thư số bị thu hồi (CRL) hồ sơ trường mở rộng CRL 142 4.2.3 Các trường CRL mở rộng 147 4.3 NHÓM CHUẨN VỀ GIAO THỨC HOẠT ĐỘNG 151 4.3.1 RFC 2585 – Internet X.509 Public Key Infrastructure Operational Protocols: FTP and HTTP 151 4.3.2 Quy ước FTP 154 4.3.3 Quy ước HTTP 155 4.3.4 Đăng ký MIME 155 4.4 NHÓM CHUẨN VỀ GIAO THỨC QUẢN LÝ 158 4.4.1 Giới thiệu Internet X.509 Public Key Infrastructure Certificate Request Message Format (CRMF) 158 4.4.2 Tổng quan 158 4.4.3 Cấu trúc CertReqMessage .159 4.4.4 Chứng minh tính sở hữu (Proof of Possesion – POP) 159 4.4.5 Cú pháp CertReq 160 4.4.6 Cú pháp thuộc tính kiểm sốt (Controls syntax) 161 4.4.7 Kiểm soát RegInfo (RegInfo Controls) 164 4.4.8 Object Identifiers 165 4.5 NHĨM CHUẨN VỀ CHÍNH SÁCH 166 4.5.1 Chính sách chứng thư 167 4.5.2 Quy chế chứng thực .169 4.5.3 Mối quan hệ sách chứng thư quy chế chứng thực 170 4.6 NHÓM CHUẨN VỀ DẤU THỜI GIAN VÀ CHỨNG THỰC DỮ LIỆU 170 4.6.1 Giới thiệu .171 4.6.2 Khái niệm chung 172 4.6.3 Các sách gắn nhãn thời gian 174 4.6.4 Nghĩa vụ trách nhiệm 175 4.6.5 Những yêu cầu nghiệp vụ TSA 176 4.6.6 Những xem xét đến an ninh 183 4.7 BÀI THỰC HÀNH SỐ .184 Chương CỦA PKI 5.1 MỘT SỐ HỆ THỐNG PKI ĐIỂN HÌNH VÀ CÁC ỨNG DỤNG 185 CÁC HỆ THỐNG PKI ĐIỂN HÌNH 185 5.1.1 Hệ thống mã đóng 185 5.1.2 Giải pháp Entrust 198 5.1.3 Hệ thống mã mở 206 5.2 CÁC ỨNG DỤNG PKI .216 5.2.1 Ứng dụng PKI bảo mật thư điện tử S/MIME 216 5.2.2 Ứng dụng PKI hệ thống mạng riêng ảo VPN 217 5.2.3 Ứng dụng PKI việc bảo mật kênh SSL 218 5.2.4 Ứng dụng PKI hệ thống Single Sign On .223 5.3 CÁC THIẾT BỊ PHẦN CỨNG AN TOÀN (HSM, USB TOKEN) 224 5.3.1 Vai trò thiết bị phần cứng an toàn hệ thống PKI .224 5.3.2 Thiết bị an toàn cá nhân USB Token .231 5.3.3 Thiết bị an toàn cho hệ thống PKI HSM .231 5.4 BÀI THỰC HÀNH SỐ .232 5.4.1 Sử dụng chứng thư số để ký số mã hóa tài liệu điện tử dạng PDF, Word, thư điện tử,… 232 Chương HÀNH LANG PHÁP LÝ PKI Ở VIỆT NAM VÀ XU HƯỚNG PHÁT TRIỂN PKI .233 6.1 MƠ HÌNH PKI TẠI VIỆT NAM 233 6.2 HÀNH LANG PHÁP LÝ 234 6.2.1 Luật giao dịch điện tử số 51/2005/QH11 235 6.2.2 Nghị định 26/2007/NĐ-CP 242 6.3 XU HƯỚNG PHÁT TRIỂN 243 TÀI LIỆU THAM KHẢO 248 DANH MỤC HÌNH VẼ Hình 1-1: Cơ sở cho mơ hình tổng qt 18 Hình 1-2: Mơ hình mã hóa thơng thường 25 Hình 1−3: Secret key cryptography .26 Hình 1−4: Mật mã khóa cơng khai 28 Hình 2-1: Mơ hình tổng thể PKI .33 Hình 2-2: Tổ chức liên lạc bí mật 44 Hình 2.3- Sử dụng mã khối đối xứng DES-CBC-MAC 46 Hình 2.4- sử dụng hàm băm mật mã HMAC-SHA-1 46 Hình 2-6: Chữ ký số xác định tính xác thực chống chối bỏ .48 Hình 2-7: Bob xác thực với Alice, sử dụng xác thực từ xa dựa khố cơng khai 51 Hình 2-8: Dịch vụ dấu thời gian 53 Hình 2-9: Mơ hình tạo dấu thời gian an tồn 54 Hình 2-10 : Kiểm tra tính hợp lệ dấu thời gian an tồn 54 Hình 2-11: Hàm băm .55 Hình 2-12: Cách tạo chữ ký số 56 Hình 2-13: Kiểm tra chữ ký số 57 Hình 2-14: Chứng thư khóa cơng khai đơn giản 60 Hình 2-15: Đường dẫn chứng thực 63 Hình 2-16: Mơ hình kiến trúc CA đơn 66 Hình 2-17: Kiến trúc phân cấp .68 Hình 2-18: Thêm CA làm CA gốc 69 Hình 2-19: Kiến trúc mạng lưới 72 Hình 2-20: Hệ thống lai 73 Hình 2-21: Kiến trúc danh sách tin cậy mở rộng 74 Hình 2-22: Kiến trúc chứng thực chéo 75 Hình 2-23: Kiến trúc CA cầu nối 77 Hình 2-24: Đường dẫn chứng thực 79 Hình 3-1: Các thành phần hạ tầng khố cơng khai 82 Hình 3-2: Quá trình đăng ký 90 Hình 3-3: Định dạng CRL phiên 102 Hình 3-4: Thông tin chứng thư số bị thu hồi .103 Hình 3-5:Xác minh CRL chuyển hướng .108 Hình 3-6: OCSP 109 Hình 4-1: Khn dạng chứng thư phiên X.509 130 Hình 4-2 : Tên phân biệt 132 Hình 4-3: Mối quan hệ sách 165 Hình 4-4: Quản lý dịch vụ gán nhãn thời gian 182 Hình 5-1: Kiến trúc giải pháp RSA Certificate Manager Solution 184 Hình 5-2: Các thành phần giải pháp RSA Certificate Manager 191 Hình 5-3: Các ứng dụng tương thích với Entrust PKI 197 Hình 5-4: Kiến trúc tổng thể hệ thống Entrus PKI 197 Hình 5-5: Security Manager Administration .199 Hình 5-6: Entrust Authority Administration Service 200 Hình 5-7: Kiến trúc PKI phân tán 206 - Hệ thống PKI công cộng Bộ Thông tin Truyền thông quản lý cấp phép phục vụ giao dịch công cộng, kinh tế xã hội (bao gồm giao dịch G2B, G2C, B2B, B2C, C2C) - Hệ thống thứ hai hệ thống PKI chuyên dùng Chính phủ Ban Cơ yếu Chính phủ thiết lập trì phục vụ quan thuộc hệ thống trị: giao dịch điện tử nội quan nhà nước quan nhà nước với nhau; Các thông tin đạo, điều hành, tác nghiệp quan nhà nước cấp 12.2.HÀNH LANG PHÁP LÝ Trong thời gian gần đây, đặc biệt sau có Luật Giao dịch điện tử (GDĐT) số 51/2005/QH11 ngày 29 tháng 11 năm 2005, việc ứng dụng Công nghệ Thông tin (CNTT) vào hoạt động lãnh đạo, điều hành quan Đảng, nhà nước phát triển mạnh mẽ mang lại hiệu bước đầu quan trọng, đặc biệt văn quy phạm pháp luật nhà nước văn Đảng tạo hành lang pháp lý điều kiện thiết thực nhằm thúc đẩy mạnh mẽ trình triển khai ứng dụng chứng thực chữ ký số- yêu cầu quan trọng q trình xây dựng Chính phủ điện tử mà trước hết phải triển khai có hiệu quan, bộ, ngành thuộc hệ thống trị Luật Giao dịch điện tử số 51/2005/QH11 ngày 29 tháng 11 năm 2005 tạo hành lang pháp lý quan trọng nhằm thúc đẩy mạnh mẽ ứng dụng Công nghệ Thông tin (CNTT), điều chỉnh quan hệ phát sinh từ giao dịch điện tử (GDĐT) tất lĩnh vực KTXH, quốc phòng, an ninh quản lý điều hành đất nước…,đảm bảo quyền lợi hợp pháp Nhà nước, tổ chức cá nhân; đảm bảo bình đẳng an tồn GDĐT; Tạo hành lang pháp lý cho bên tham gia GDĐT; Công nhận giá trị pháp lý thông điệp điện tử, chữ ký điện tử dịch vụ chứng thực chữ ký điện tử với điều kiện an toàn kèm theo Quy định quyền lợi trách nhiệm bên có liên quan Các loại hình GDĐT quan nhà nước gồm có: GDĐT nội quan Nhà nước, GDĐT quan Nhà nước với nhau, GDĐT quan Nhà nước với quan, tổ chức, cá nhân Trong đó, GDĐT quan Nhà nước phải chứng thực tổ chức chứng thực điện tử quan Nhà nước có thẩm quyền Tiếp theo, Nghị định 64/2007/NĐ-CP ngày 10 tháng năm 2007 ứng dụng CNTT hoạt động quan nhà nước Quy định tạo hành lang pháp lý việc thúc đẩy ứng dụng CNTT hoạt động quan Nhà nước: Quy định điều kiện đảm bảo ứng dụng CNTT quan nhà nước: hạ tầng thông tin, cung cấp thông tin, phát triển nguồn nhân lực CNTT ; Quy định hoạt động quan Nhà nước mơi trường mạng: quy trình công việc, quản lý văn điện tử, đảm bảo an tồn bảo mật thơng tin, sử dụng chữ ký điện tử để xác nhận văn điện tử ; Quy định trách nhiệm quan, Bộ, ngành việc ứng dụng CNTT Nghị định Chính phủ số 26/2007/NĐ-CP ngày 15 tháng năm 2007 quy định chi tiết thi hành Luật GDĐT chữ ký số dịch vụ chứng thực chữ ký số, đối tượng áp dụng quan, tổ chức cung cấp dịch vụ chứng thực chữ ký số quan, tổ chức, cá nhân lựa chọn sử dụng chữ ký số dịch vụ chứng thực chữ ký số GDĐT Nghị định quy định với nội dung quan trọng nhằm đảm bảo độ an toàn tin cậy tài liệu điện tử thúc đẩy trình sử dụng, làm sở để thúc đẩy trình ứng dụng cơng nghệ thơng tin, dịch vụ hành cơng tiến tới Chính phủ điện tử Nghị định xác định sách phát triển dịch vụ chứng thực chữ ký số nhà nước, khuyến khích việc ứng dụng chữ ký số dịch vụ chứng thực chữ ký số tất lĩnh vực đời sống xã hội 12.2.1 Luật giao dịch điện tử số 51/2005/QH11 Cơ cấu luật Luật Giao dịch điện tửgồm chương với 54 điều Chương I:Những quy định chung, gồm điều, từ Điều đến Điều 9; Chương II:Thông điệp liệu, gồm 11 điều, từ Điều 10 đến Điều 20; Chương III: Chữ ký điện tửvà chứng thực chữký điện tử, gồm 12 điều, từ Điều 21 đến Điều 32; Chương IV: Giao kết thực hợp đồng điện tử, gồm điều, từ Điều 33 đến Điều 38; Chương V: Giao dịch điện tửcủa cơquan nhà nước, gồm điều, từ Điều 39 đến Điều 43; Chương VI: An ninh, an toàn, bảo vệ, bảo mật giao dịch điện tử, gồm điều, từ Điều 44 đến Điều 49; Chương VII: Giải tranh chấp xửlý vi phạm, gồm điều, từ Điều 50 đến Điều 52; Chương VIII: Điều khoản thi hành, gồm điều, Điều 53 Điều 54 Những nội dung Luật 1) Chương I: Những quy định chung Chương quy định phạm vi điều chỉnh; đối tượng áp dụng; áp dụng Luật Giao dịch điện tử; giải thích từ ngữ; nguyên tắc chung tiến hành giao dịch điện tử; sách phát triển ứng dụng giao dịch điện tử; nội dung quản lý nhà nước hoạt động giao dịch điện tử; trách nhiệm quản lý nhà nước hoạt động giao dịch điện tử; hành vi bị nghiêm cấm giao dịch điện tử Về phạm vi điều chỉnh, Luật quy định giao điện tử hoạt động quan nhà nước; lĩnh vực dân sự, kinh doanh, thương mại lĩnh vực khác pháp luật quy định Việc cấp giấy chứng nhận quyền sử dụng đất, quyền sở hữu nhà bất động sản khác, văn thừa kế, giấy đăng ký kết hôn, định ly hôn, giấy khai sinh, giấy khai tử, hối phiếu giấy tờ có giá khác khơng áp dụng quy định Luật giao dịch điện tử Về nguyên tắc, quan, tổ chức, cá nhân có quyền tự thỏa thuận tự nguyện lựa chọn phương thức giao dịch (theo phương thức truyền thống hay giao dịch điện tử), tự thỏa thuận việc lựa chọn loại công nghệ thực giao dịch phải chịu trách nhiệm hành vi giao dịch điện tử Không công nghệ coi giao dịch điện tử Trong giao dịch điện tử, bình đẳng an tồn phải bảo đảm; quyền lợi ích hợp pháp quan, tổ chức, cá nhân, lợi ích nhà nước, lợi ích công cộng phải bảo vệ Theo quy định Điều 9, hành vi sau bị nghiêm cấm giao dịch điện tử: Cản trở việc lựa chọn sử dụng giao dịch điện tử Cản trở ngăn chặn trái phép q trình truyền, gửi, nhận thơng điệp liệu Thay đổi, xoá, huỷ, giả mạo, chép, tiết lộ, hiển thị, di chuyển trái phép phần tồn thơng điệp liệu Tạo phát tán chương trình phần mềm làm rối loạn, thay đổi, phá hoại hệ thống điều hành có hành vi khác nhằm phá hoại hạ tầng công nghệ giao dịch điện tử Tạo thông điệp liệu nhằm thực hành vi trái pháp luật Gian lận, mạo nhận, chiếm đoạt sử dụng trái phép chữ ký điện tử người khác 2) Chương II: Thông điệp liệu Thông điệp liệu thông tin tạo ra, gửi đi, nhận lưu trữ phương tiện điện tử Thông điệp liệu thể hình thức trao đổi liệu điện tử, chứng từ điện tử, thư điện tử, điện tín, điện báo, fax hình thức tương tự khác Tinh thần xuyên suốt chương pháp luật công nhận giá trị pháp lý thơng điệp liệu Chương có mục: Mục quy định hình thức thể thơng điệp liệu; giá trị pháp lý thông điệp liệu; thơng điệp liệu có giá trị văn bản; thơng điệp liệu có giá trị gốc; thơng điệp liệu có giá trị làm chứng cứ; lưu trữ thông điệp liệu Mục gồm quy định người khởi tạo thông điệp liệu; thời điểm, địa điểm gửi thông điệp liệu; nhận thông điệp liệu; thời điểm, địa điểm nhận thông điệp liệu; gửi, nhận tự động thông điệp liệu Trong trường hợp pháp luật yêu cầu thông tin phải thể văn thơng điệp liệu xem đáp ứng yêu cầu thông tin chứa thông điệp liệu truy cập sử dụng để tham chiếu cần thiết Thơng điệp liệu có giá trị gốc (Điều 13) đáp ứng điều kiện sau: Nội dung thông điệp liệu bảo đảm toàn vẹn kể từ khởi tạo lần dạng thông điệp liệu hồn chỉnh (nội dung thơng điệp chưa bị thay đổi, trừ thay đổi hình thức phát sinh trình gửi, lưu trữ hiển thị thơng điệp đó); Nội dung thơng điệp liệu truy cập sử dụng dạng hồn chỉnh cần thiết Thơng điệp liệu có giá trị làm chứng (Điều 14) Giá trị chứng thông điệp liệu xác định vào độ tin cậy cách thức khởi tạo, lưu trữ truyền gửi thông điệp liệu; cách thức bảo đảm trì tính tồn vẹn thông điệp liệu; cách thức xác định người khởi tạo yếu tố phù hợp khác 3) Chương III: Chữ ký điện tử chứng thực chữ ký điện tử Chương gồm mục Mục 1: Giá trị pháp lý chữ ký điện tử, quy định chữ ký điện tử; điều kiện bảo đảm an toàn cho chữ ký điện tử; nguyên tắc sử dụng chữ ký điện tử; giá trị pháp lý chữ ký điện tử; nghĩa vụ người ký chữ ký điện tử; nghĩa vụ bên chấp nhận chữ ký điện tử; thừa nhận chữ ký điện tử chứng thư điện tử nước Mục 2: Dịch vụ chứng thực điện tử, quy định hoạt động dịch vụ chứng thực chữ ký điện tử; nội dung chứng thư điện tử; tổ chức cung cấp dịch vụ chứng thực chữ ký điện tử; quyền nghĩa vụ tổ chức cung cấp dịch vụ chứng thực chữ ký điện tử Mục 3: Quản lý dịch vụ chứng thực chữ ký điện tử quy định điều kiện để cung cấp dịch vụ chứng thực chữ ký điện tử Chữ ký điện tử chữ ký tạo lập dạng từ, chữ, số, ký hiệu, âm hình thức khác phương tiện điện tử, gắn liền kết hợp cách lôgic với thông điệp liệu Chữ ký điện tử có giá trị xác nhận người ký thơng điệp liệu xác nhận chấp thuận người nội dung thông điệp liệu ký Theo quy định Điều 22 , chữ ký điện tử xem bảo đảm an toàn kiểm chứng quy trình kiểm tra an tồn bên giao dịch thoả thuận đáp ứng điều kiện sau đây: Dữ liệu tạo chữ ký điện tử gắn với người ký bối cảnh liệu sử dụng; Dữ liệu tạo chữ ký điện tử thuộc kiểm soát người ký thời điểm ký; Mọi thay đổi chữ ký điện tử sau thời điểm ký bị phát hiện; Mọi thay đổi nội dung thông điệp liệu sau thời điểm ký bị phát Về giá trị pháp lý chữ ký điện tử, trường hợp pháp luật quy định văn cần có chữ ký u cầu thơng điệp liệu xem đáp ứng chữ ký điện tử sử dụng để ký thông điệp liệu đáp ứng điều kiện sau: Phương pháp tạo chữ ký điện tử cho phép xác minh người ký chứng tỏ chấp thuận người ký nội dung thông điệp liệu; Phương pháp đủ tin cậy phù hợp với mục đích mà theo thơng điệp liệu tạo gửi Giá trị pháp lý chữ ký điện tử chứng thư điện tử nước ngồi nhà nước cơng nhận chữ ký điện tử chứng thư điện tử có độ tin cậy tương đương với độ tin cậy chữ ký điện tử chứng thư điện tử theo quy định pháp luật Việc xác định mức độ tin cậy chữ ký điện tử chứng thư điện tử nước phải vào tiêu chuẩn quốc tế thừa nhận, điều ước quốc tế mà Cộng hòa xã hội chủ nghĩa Việt Nam thành viên yếu tố có liên quan khác (khoản Điều 27) Chứng thực chữ ký điện tử việc xác nhận cá nhân, tổ chức chứng thực người ký chữ ký điện tử Dịch vụ chứng thực chữ ký điện tử bao gồm hoạt động: Cấp, gia hạn, tạm đình chỉ, phục hồi, thu hồi chứng thư điện tử Cung cấp thông tin cần thiết để giúp chứng thực chữ ký điện tử người ký thông điệp liệu Cung cấp dịch vụ khác liên quan đến chữ ký điện tử chứng thực chữ ký điện tử theo quy định pháp luật 4) Chương IV: Giao kết thực hợp đồng điện tử Nội dung chương công nhận giá trị pháp lý hợp đồng điện tử, quy định hợp đồng điện tử; thừa nhận giá trị pháp lý hợp đồng điện tử; nguyên tắc giao kết thực hợp đồng điện tử; giao kết hợp đồng điện tử; việc nhận, gửi, thời điểm nhận, gửi thông điệp liệu giao kết thực hợp đồng điện tử; giá trị pháp lý thông báo giao kết thực hợp đồng điện tử Hợp đồng điện tử hợp đồng thiết lập dạng thông điệp liệu theo quy định Luật Việc giao kết thực hợp đồng điện tử dựa nguyên tắc: Các bên tham gia có quyền thỏa thuận sử dụng phương tiện điện tử giao kết thực hợp đồng Việc giao kết thực hợp đồng điện tử phải tuân thủ quy định Luật pháp luật hợp đồng Khi giao kết thực hợp đồng điện tử, bên có quyền thoả thuận yêu cầu kỹ thuật, chứng thực, điều kiện bảo đảm tính tồn vẹn, bảo mật có liên quan đến hợp đồng điện tử 5) Chương V: Giao dịch điện tử quan Nhà nước Chương quy định giao dịch điện tử quan Nhà nước (cả lập pháp, hành pháp tư pháp), quy định loại hình giao dịch điện tử quan Nhà nước; nguyên tắc tiến hành giao dịch điện tử quan Nhà nước; bảo đảm an tồn, bảo mật lưu trữ thơng tin điện tử quan Nhà nước; trách nhiệm quan Nhà nước trường hợp hệ thống thông tin điện tử bị lỗi; trách nhiệm tổ chức, cá nhân giao dịch điện tử với quan Nhà nước Theo quy định Điều 39, loại hình giao dịch điện tử quan Nhà nước bao gồm: Giao dịch điện tử nội quan Nhà nước; giao dịch điện tử quan Nhà nước với nhau; giao dịch điện tử quan Nhà nước với tổ chức, cá nhân 6) Chương VI: An ninh, an toàn, bảo vệ, bảo mật giao dịch điện tử Chương quy định bảo đảm an ninh, an toàn giao dịch điện tử; bảo vệ thông điệp liệu; bảo mật thông tin giao dịch điện tử; trách nhiệm tổ chức cung cấp dịch vụ mạng; trách nhiệm quan, tổ chức, cá nhân có yêu cầu quan Nhà nước có thẩm quyền; quyền trách nhiệm quan Nhà nước có thẩm quyền Điều 46 quy định: quan, tổ chức, cá nhân có quyền lựa chọn biện pháp bảo mật phù hợp với quy định pháp luật tiến hành giao dịch điện tử; không sử dụng, cung cấp tiết lộ thơng tin bí mật đời tư thông tin quan, tổ chức, cá nhân khác mà tiếp cận kiểm sốt giao dịch điện tử không đồng ý họ, trừ trường hợp pháp luật có quy định khác Tổ chức cung cấp dịch vụ mạng có trách nhiệm phối hợp với quan hữu quan xây dựng quy chế quản lý biện pháp kỹ thuật để phòng ngừa, ngăn chặn việc sử dụng dịch vụ mạng nhằm phát tán thông điệp liệu có nội dung khơng phù hợp với truyền thống văn hoá, đạo đức dân tộc, gây phương hại đến an ninh quốc gia, trật tự, an toàn xã hội vi phạm quy định khác pháp luật; phải chịu trách nhiệm trước pháp luật không kịp thời loại bỏ thơng điệp liệu nhận thông báo quan nhà nước có thẩm quyền (Điều 47) 7) Chương VII: Giải tranh chấp xử lý vi phạm Chương quy định có tính ngun tắc xử lý vi phạm pháp luật giao dịch điện tử; tranh chấp giao dịch điện tử; giải tranh chấp giao dịch điện tử Theo quy định Điều 50, người có hành vi vi phạm pháp luật giao dịch điện tử tuỳ theo tính chất, mức độ vi phạm mà bị xử lý kỷ luật, xử phạt hành bị truy cứu trách nhiệm hình sự, gây thiệt hại phải bồi thường theo quy định pháp luật; Cơ quan, tổ chức có hành vi vi phạm pháp luật giao dịch điện tử tuỳ theo tính chất, mức độ vi phạm mà bị xử phạt hành chính, đình hoạt động, gây thiệt hại phải bồi thường theo quy định pháp luật Nhà nước khuyến khích bên giải tranh chấp phát sinh giao dịch điện tử thông qua hồ giải Trong trường hợp bên khơng hồ giải thẩm quyền, trình tự, thủ tục giải tranh chấp giao dịch điện tử thực theo quy định pháp luật (Điều 52) 8) Chương VIII: Điều khoản thi hành Chương quy định hiệu lực thi hành hướng dẫn thi hành Luật Giao dịch điện tử 12.2.2 Nghị định 26/2007/NĐ-CP Ngày 15/02/2007, Chính phủ ban hành Nghị định số 26/2007/NĐ-CP quy định chi tiết thi hành Luật Giao dịch điện tử chữ ký số dịch vụ chứng thực chữ ký số Theo đó, trường hợp pháp luật quy định văn cần có chữ ký u cầu thông điệp liệu xem đáp ứng thơng điệp liệu ký chữ ký số Trong trường hợp pháp luật quy định văn cần đóng dấu quan, tổ chức u cầu thông điệp liệu xem đáp ứng thơng điệp liệu ký chữ ký số người có thẩm quyền theo quy định pháp luật quản lý sử dụng dấu chữ ký số bảo đảm an toàn theo quy định Chữ ký số chứng thư số nước ngồi cơng nhận có giá trị pháp lý hiệu lực chữ ký số chứng thư tổ chức cung cấp dịch vụ chứng thực chữ ký số công cộng Việt Nam cấp 12.3.XU HƯỚNG PHÁT TRIỂN Một số khẳng định PKI không tồn lâu, người khác lại nói tạm lắng xuống; người khác cảm thấy sống thực phồn vinh Nhưng không phụ thuộc vào bạn thuộc vào tập người nào, khơng có tranh cãi PKI có đạt hay khơng đỉnh cao tính phổ cập phổ biến mà người đề xướng mạnh dự báo ngày Cái xảy ra? Tại khơng có năm “năm PKI”? Khơng nghi ngờ gì, có nhiều ngun nhân Khơng thể có ngun nhân tầm nhìn cụ thể tương lai không diễn theo cách mà miêu tả người ủng họ nó: Có nhiều biến động diễn ra; nhiều hoàn cảnh giới thực mà tiên liệu Tuy nhiên, đề xuất có nguyên nhân chủ yếu Thứ nhất, với PKI có lỗ hổng tương đối lớn nhiều tình “bán” “mua” Đặc biệt, ngày đầu nó, mơ trường thương mại, nhà phân tích, người bán hàng tích cực thường miêu tả PKI cài đặt đơn giản giải tất vấn đề an toàn Trong thực tế, nhiều nhà quản trị tìm thấy cơng nghệ mà họ yêu cầu tương đối khó phức tạp để cài đặt giải số vấn đề an ninh an tồn Sự khơng trùng lặp thơng thường mang lại khơng hài lịng, vỡ mộng, sau giận dữ, sau phê phán Kết PKI sai thực chất giá trị cơng nghệ – làm gì- tuyên truyền hiểu không Nguyên nhân thứ hai, vậy, quan trọng nguyên nhân Một số người ủng hộ PKI nhấn mạnh khía cạnh hạ tầng sở cơng nghệ này, kiện tảng nằm cho an toàn cho nhiều dịch vụ khác xây dựng lên nhiều ứng dụng khác tích hợp với Nhưng phần lớn, người ủng hộ khơng hình dung hạ tầng sở cần hạ tầng sở Điều cho PKI Khó xây dựng khai thác cơng nghệ cư sở khơng có làm cho hoạt động; hạ tầng sở khác cần phải tồn trước Khi nghĩ PKI, phát rằng, cần sở hạ tầng xung quanh để sống Nó cần: Một tổ chức có quyền lực cơng nhận Ai thiết lập làm cho PKI hoạt động? Thế đại lý có khả vươn lên? Sẽ tốt Alice tự thiết đặt CA nhà gara mình, cịn coi ta nguồn gốc thẩm quyền? Ai có lý để tin chứng mà cô ta phát hành cho mục đích bất kỳ? Sẽ vấn đề nội cơng ty tổ chức đóng khác người ban cụ thể cơng bố tổ chức có quyền lực; tất người làm thuê công nhận tổ chức thơng báo cơng ty, khẳng định thức sách thủ tục công ty đem lại đảm bảo tổ chức có quyền lực hợp pháp Trên Internet, khơng có chế đảm bảo tương tự để nhanh chóng thiết lập tính hợp pháp; đó, tổ chức có quyền lực cơng nhận khó tạo Khi khơng có tổ chức này, PKI Internet tồn cầu khó tồn Động lực Mục đích PKI gì? Tại khai thác? Khi khơng có động hay với động sai, PKI khơng chứng minh có ích khơng sống sót Những người sử dụng Ai người sử dụng PKI, họ sử dụng nào? Thơng thường, mơ tả đề xuất người sử dụng người, mơ hình khái niệm Trong thực tế, phần mềm mà tương tác trực tiếp với PKI: ứng dụng mà sử dụng dịch vụ mà PKI cung cấp Cái giao diện ứng dụng dịch vụ? Giao diện có tiện lợi dễ hiểu cho ứng dụng người cần phải quản trị nó? PKI cần hạ tầng sở thích hợp để phồn vinh Trong nhiều trường hợp, nhiên, hạ tầng không tồn môi trường mà PKI khai thác trường hợp khác, hạ tầng có phần Một thành công PKI mang lại bị giới hạn Có thể bàn luận theo tất lĩnh vực yêu cầu mà mô tả sơ lược trên, giới tiến hoá để thoả mãn nhu cầu hạ tầng PKI Không thể đề xuất dạng nỗ lực chủ ý, có điều phối để ảnh hưởng tới thay đổi tốt Tuy nhiên, điều kiện cần cho PKI phồn vinh bắt đầu thiết lập Tổ chức có quyền lực cơng nhận PKI cần tổ chức để đẩy mạnh việc khai thác sử dụng chứng khố cơng khai Tổ chức cần phải công nhận tất tổ chức có quyền lực lĩnh vực này, việc công nhận hỗ trợ chế bảo đảm số dạng khác Hơn nữa, việc cho chứng định danh tin cậy địi hỏi kiểu bước khởi tạo (thông thường gặp vật lý), tổ chức cần phải tổ chức mà thiết lập kiểu thủ tục cách thành cơng Tất điều dường khó đạt được, câu trả lời khơng khó: phủ tồn giới giai đoạn khác kế hoạch cung cấp chứng khố cơng khai tới cơng dân họ Chính phủ nước có xác tài nguyên đặc trưng đòi hỏi để trở thành tổ chức có quyền lực công nhận cho PKI Các báo mới, tạp chí quảng cáo, quảng cáo ti vi, gửi thư đồng loạt, lời truyền miệng công dân – tất mang lại đảm bảo cho khẳng định phủ vai Hơn nữa, người dân phần lớn (không phải tất cả) nước sẵn sàng quen với việc làm viếng thăm vật lý tới văn phịng quyền địa phương để nhận tương tự hộ chiếu, lái xe; thủ tục tương tự để nhận “hộ chiếu điện tử” - ghi đĩa mềm, CD, thẻ phần cứng, ví dụ, khơng xem khơng bình thường, ngạc nhiên gây khó chịu cho Động lực Đăng nhập lập khơng phải động lực mạnh cho PKI nhiều tình Cho môi trường quan Internet, khái niệm giải trình trách nhiệm (accountability) động lực cưỡng bách Không phụ thuộc vào việc người sử dụng người làm công cho bạn hay lướt trang Web bạn để đặt hàng đó, bạn muốn bảo đảm mạnh xem họ cho có xảy khơng đúng, bạn theo dõi họ thông báo cho họ biết, phụ thuộc vào tình huống, truy cứu họ trách nhiệm Trong nhiều trường hợp, việc định danh khơng địi hỏi để phê chuẩn hoàn thiện giao dịch Tuy nhiên, gần chắn yêu cầu đổ vỡ tranh cãi có câu hỏi nảy sinh sau kiện Việc nắm giữ bên tham gia vào giải trình trách nhiệm – đơn giản chắn họ báo tin được- cần đến dạng thơng tin định dạng, mà PKI thiết kế để mang lại cách tin cậy Chúng ta thống với Web công cụ lớn đắc lực đời sống ngày Nhưng kèm với Web có SSL mà SSL lại có sử dụng chứng số Như đủ thấy động lực PKI trở nên mạnh Người sử dụng Trước đây, điểm truy cập ứng dụng đến PKI chủ yếu thông qua API để tới công cụ Có hai khó khăn với phương pháp Thứ nhất, cơng nghiệp an tồn thơng tin có thành cơng việc cố gắng chuẩn hố API cho mục đích này, điều có nghĩa ứng dụng cần ghi lại nhà cung cấp PKI thay đổi Mặc dù số thành tích làm giao diện hàm mật mã (ví dụ, BSAFE, CAPI) dịch vụ (ví dụ, GSSAPI), API cho dịch vụ PKI nói chung không thu công nhận rộng rãi Thứ hai, với khai thác lớn, việc nâng cấp phần mềm mang lại gánh nặng quản trị đáng kể phiên cơng cụ cần phải cài đặt máy để bàn Đối với số môi trường, phương pháp công cụ ưu tiên chấp nhận; với môi trường khác; dạng khác tương tác với PKI dường ưu tiên Gần đây, công nghiệp an tồn thơng tin cộng đồng chuẩn bắt đầu khảo sát thay cho khái niệm API công cụ máy tính để bàn người sử dụng Trong nỗ lực chiến đấu với khó khăn nhắc tới trên, nhiều công việc làm lĩnh vực chuẩn hoá giao thức máy chủ mà tương tác với phần lại PKI Nếu thoả thuận lớn đạt khn dạng chi tiết giao thức, người phát triển ứng dụng viết mã lệnh cho giao thức mà không sợ thay đổi nhà cung cấp PKI yêu cầu ứng dụng họ phải sửa đổi Hơn nữa, máy chủ điểm tương tác với PKI, việc nâng cấp phần mềm PKI không cần thay đổi thông tin máy để bàn người sử dụng; việc nâng cấp ảnh hưởng tới thành phần máy chủ mơi trường Các nỗ lực chuẩn hố hướng bao gồm OCSP, phát đường dẫn uỷ quyền xác nhận đường dẫn uỷ quyền thông qua Simple Certificate Validation Protocol, xác nhận chữ ký số off-loaded thông qua giao thức Delegated Signature Validation (DSV) IETF PKIX dịch vụ quản lý khoá - dịch vụ đăng ký khoá (X-KRSS) dịch vụ thơng tin khố (XKISS) W3C XKMS Nhiều số nỗ lực dường có hỗ trợ tương đối rộng từ nhà cung cấp khách hàng có tiềm năng, khó khăn vấp phải số môi trường ứng dụng/tương tác PKI nhanh chóng đề cập tới sản phẩm thương mại tương thích chuẩn TÀI LIỆU THAM KHẢO Lê Mỹ Tú, Trần Duy Lai, Giáo trình Chứng thực điện tử, Học viện Kỹ thuật Mật Mã, 2006 [2] Nguyễn Nam Hải, Đào Thị Hồng Vân, Phạm Ngọc Thúy, Chứng thực điện tử Thương mại điện tử, NXB Khoa học kỹ thuật , 2003 [3] Suranjan Choudhury with Kartik Bhatnagar, Wasim Haque, &NIIT, Public Key Infrastructure: Implementation and Design, ISBN978-0-7645-4879-6, M&T Books, 2002 [4] Russ Housley, Tim Polk, Planning for PKI: Best practices Guide for Deploying Public Key Infrastructure, ISBN 0471397024, Wiley, 2001 [5] Carlisle Adams, Steve Lloyd, Understanding PKI: Concepts, Standards, and Deployment Considerations, Second Edition, ISBN 0672323915, Addison Wesley, 2002 ... thúc đẩy Và để thực hoá ý tưởng tuyệt vời này, tiêu chuẩn cần phải nghiên cứu phát triển mức độ khác bao gồm: mã hố, truyền thơng liên kết, xác thực, cấp phép quản lý Tuy nhiên, hầu hết công nghệ... 4.4 NHÓM CHUẨN VỀ GIAO THỨC QUẢN LÝ 158 4.4.1 Giới thiệu Internet X.509 Public Key Infrastructure Certificate Request Message Format (CRMF) 158 4.4.2 Tổng quan 158 4.4.3 Cấu... PKI Việt Nam 231 DANH MỤC CHỮ VIẾT TẮT SSL Secure Socket Layer PKI Public Key Infrastructure CNTT Cơng nghệ thơng tin CPĐT Chính phủ điện tử G2C Government to Customer G2B Government to