Mô hình hạ tầng khóa công khai
Công ty bạn có đang áp dụng hạ tầng khóa công khai nào không? Liệu hạ tầng đó đã phù hợp chưa? Bài viết sau đây sẽ giới thiệu tới các bạn các loại mô hình chứng nhận ủy quyền và ưu nhược điểm của mỗi mô hình.
CA này tự ban hành chứng chỉ cho nó và đóng vai trò Root CA (CA gốc). Nó trực tiếp ban hành chứng chỉ cho tất cả các thực thể cuối ở dưới nó.
Mô hình này dễ thiết kế và triển khai nhưng có nhiều hạn chế riêng. Thứ nhất là khi mô hình tổ chức được mở rộng, chỉ có một CA khó có thể quản lý và đáp ứng tốt được các dịch vụ. Hạn chế thứ hai nếu CA bị lỗi thì mọi hoạt động dịch vụ sẽ bị ngưng trệ. Hạn chế thứ ba nếu bị tấn công thì sẽ ảnh hưởng đến độ tin cậy của toàn bộ hệ thống. Mô hình này thích hợp cho các tổ chức nhỏ, cần dùng chứng chỉ ở mức đơn giản, mang tính cục bộ.
Các thực thể trong mô hình tin tưởng chứng chỉ của nhau thông qua việc chúng cùng tin tưởng chứng chỉ của CA, hoặc Root CA.
Mô hình này thích hợp cho các tổ chức có cơ cấu phân rõ ràng. Khi đó mỗi tầng CA có thể là một tầng của tổ chức và mỗi CA sẽ phụ trách tầng tương ứng. Ví dụ một tỉnh đứng đầu là Root CA. Sau đó RootCA này ban hành chứng chỉ cho các CA cấp huyện. CA này ngoài việc ban hành chứng chỉ cho các cán bộ huyện, nó cũng sẽ ban hành chứng chỉ cho các CA xã.
Nếu Root CA bị tấn công thì toàn bộ hệ thống PKI bị ảnh hưởng, tất cả các thực thể cần được thông báo về sự cố và cho đến khi Root CA được phục hồi và chứng chỉ mới được cấp lại thì không một phiên truyền thông nào là an toàn cả. Vì vậy cũng như Single CA, Root CA cũng phải được bảo vệ an toàn ở mức cao nhất.
Mô hình Mesh xuất hiện khi các mô hình như Hierarchical Model cần liên thông với nhau. Khi đó, các Root CA sẽ ban hành chứng chỉ cho nhau để liên thông các hệ thống. Đó cũng là lý do mô hình này còn được gọi là mô hình chứng thực chéo.
Các thực thể trong cùng một nhánh của Hierarchical Model sẽ tin tưởng nhau. Các thực thể ở nhánh khác của Hierarchical Model thì có thể tin tưởng chứng chỉ của nhau thông qua việc các Root CA của chúng có mối quan hệ chứng thực chéo.
Mô hình này thường xuất hiện khi hai hay nhiều Hierarchical Model đã phát triển và có nhu cầu liên thông với nhau. Nhược điểm của nó là nếu số lượng Root CA lớn thì số lượng chứng thực chéo sẽ lớn.
Mô hình Bridge xuất hiện để khắc phục nhược điểm của Mesh PKI Model. Trong mô hình này thay vì phải chứng thực chéo nhau, các RootCA sẽ cùng chứng thực thông qua một RootCA trung lập. CA này sẽ như một cầu nối, được tất cả các RootCA tin tưởng, nhờ vậy số lượng chứng thực chéo sẽ giảm xuống.
Các thực thể trong mô hình này tin tưởng chứng chỉ lẫn nhau tương tự như trong Mesh PKI Model.
Nhược điểm của mô hình này là khó có thể thống nhất để tiến tới một Bridge CA hoạt động.
Thông qua bài viết hy vọng các bạn có thể lựa chọn mô hình phù hợp nhất để triển khai cho cơ quan tổ chức của mình. Bài tiếp theo chúng ta sẽ cùng tìm hiểu về một số tiêu chuẩn mật mã khóa công khai.
Có những loại mô hình hạ tầng khóa công khai nào?
CA là một thành phần quan trọng ở trong PKI, việc quyết định chọn mô hình nào là rất quan trọng. Tùy vào yêu cầu, quy mô và khả năng của từng loại tổ chức mà có thể triển khai một trong 4 mô hình phổ biến sau: Single CA Model, Hierarchical PKI Model, Mesh PKI Model, Bridge CA Model.Single CA Model (mô hình CA đơn)
Single CA là mô hình PKI cơ bản nhất phù hợp với các tổ chức nhỏ trong đóCA này tự ban hành chứng chỉ cho nó và đóng vai trò Root CA (CA gốc). Nó trực tiếp ban hành chứng chỉ cho tất cả các thực thể cuối ở dưới nó.
Hierarchical Model (mô hình CA phân tầng)
Mô hình Hierarchical bắt đầu bằng một Root CA tự ban hành chứng chỉ cho chính nó. RootCA này sau đó sẽ ban hành chứng chỉ cho các CA khác, các CA này tiếp tục ban hành cho các CA khác nữa hoặc ban hành cho thực thể cuối, và cứ thế tạo ra cấu trúc CA phân tầng, trong đó tầng 1- tầng cao nhất là Root CA.Các thực thể trong mô hình tin tưởng chứng chỉ của nhau thông qua việc chúng cùng tin tưởng chứng chỉ của CA, hoặc Root CA.
Mô hình này thích hợp cho các tổ chức có cơ cấu phân rõ ràng. Khi đó mỗi tầng CA có thể là một tầng của tổ chức và mỗi CA sẽ phụ trách tầng tương ứng. Ví dụ một tỉnh đứng đầu là Root CA. Sau đó RootCA này ban hành chứng chỉ cho các CA cấp huyện. CA này ngoài việc ban hành chứng chỉ cho các cán bộ huyện, nó cũng sẽ ban hành chứng chỉ cho các CA xã.
Nếu Root CA bị tấn công thì toàn bộ hệ thống PKI bị ảnh hưởng, tất cả các thực thể cần được thông báo về sự cố và cho đến khi Root CA được phục hồi và chứng chỉ mới được cấp lại thì không một phiên truyền thông nào là an toàn cả. Vì vậy cũng như Single CA, Root CA cũng phải được bảo vệ an toàn ở mức cao nhất.
Mesh Model (mô hình lưới)
Mô hình Mesh xuất hiện khi các mô hình như Hierarchical Model cần liên thông với nhau. Khi đó, các Root CA sẽ ban hành chứng chỉ cho nhau để liên thông các hệ thống. Đó cũng là lý do mô hình này còn được gọi là mô hình chứng thực chéo.
Các thực thể trong cùng một nhánh của Hierarchical Model sẽ tin tưởng nhau. Các thực thể ở nhánh khác của Hierarchical Model thì có thể tin tưởng chứng chỉ của nhau thông qua việc các Root CA của chúng có mối quan hệ chứng thực chéo.
Mô hình này thường xuất hiện khi hai hay nhiều Hierarchical Model đã phát triển và có nhu cầu liên thông với nhau. Nhược điểm của nó là nếu số lượng Root CA lớn thì số lượng chứng thực chéo sẽ lớn.
Bridge model (mô hình CA cầu nối)
Mô hình Bridge xuất hiện để khắc phục nhược điểm của Mesh PKI Model. Trong mô hình này thay vì phải chứng thực chéo nhau, các RootCA sẽ cùng chứng thực thông qua một RootCA trung lập. CA này sẽ như một cầu nối, được tất cả các RootCA tin tưởng, nhờ vậy số lượng chứng thực chéo sẽ giảm xuống.
Các thực thể trong mô hình này tin tưởng chứng chỉ lẫn nhau tương tự như trong Mesh PKI Model.
Nhược điểm của mô hình này là khó có thể thống nhất để tiến tới một Bridge CA hoạt động.
Root CA và Sub CA là gì?
Ở các tổ chức lớn thì PKI thường được triển khai theo mô hình phân tầng Hierarchical PKI Model bao gồm duy nhất một RootCA, một vài CA, SubCA. Đây là mô hình phổ biến và được tất cả các nhà cung cấp dịch vụ chứng chỉ số hàng đầu thế giới như RSA, Thawte, VeriSign áp dụng. Vậy RootCA, SubCA là gì và đóng vai trò như thế nào trong PKI?RootCA (root certificates authentication)
RootCA là chứng chỉ gốc cao nhất được tạo ra bởi cơ quan chứng nhận Certificate Authentication (CA), đóng vai trò là điểm tin cậy cho tất cả các chứng chỉ được cấp bởi CA. Điều này có nghĩa là chứng chỉ được coi là tin cậy chỉ khi nó được kiểm chứng qua chuỗi chứng chỉ có điểm kết thúc là RootCA.SubCA (Subordinate CA)
SubCA là cấp dưới của một CA khác. Nó sẽ cấp chứng chỉ cho các CA cấp dưới nó, SubCA có thể nằm ở bất kì ở bất kì cấp độ nào trong mô hình phần cấp trừ vị trí RootCA.Thông qua bài viết hy vọng các bạn có thể lựa chọn mô hình phù hợp nhất để triển khai cho cơ quan tổ chức của mình. Bài tiếp theo chúng ta sẽ cùng tìm hiểu về một số tiêu chuẩn mật mã khóa công khai.
Chỉnh sửa lần cuối bởi người điều hành: