BAN CƠ YẾU CHÍNH PHỦ

HỌC VIỆN KỸ THUẬT MẬT MÃ

¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯

BÁO CÁO
Đề tài : NGHIÊN CỨU TỔNG QUAN VỀ ỨNG DỤNG PKI
TRONG TRIỂN KHAI HỘ CHIẾU ĐIỆN TỬ

Học phần: Chứng thực điện tử

Lớp L01 Nhóm 10
Thành viên nhóm :
Nguyễn Mạnh Thế-AT150454
Lò Thị Ngọc Anh -AT150403
Vũ Hà Quang -AT150447

Hà Nội, 2022
Mụ c Lụ c
Mục Lục...................................................................................................................1
Lời nói đầu...............................................................................................................2
CHƯƠNG I: TỔNG QUAN VỀ CƠ SỞ HẠ TẦNG KHÓA CÔNG KHAI VÀ
CHỮ KÝ SỐ............................................................................................................4
1.1. Tổng quan về cơ sở hạ tầng khóa công khai..............................................4
1.1.1 Các thành phần của PKI.............................................................................................................4
1.2 Chứng thư số CA...........................................................................................7
1.2.1 Quy trình cấp chứng thư số.........................................................................................................8
1.3 Chứng chỉ số...................................................................................................8
1.3.1 Ba thành phần chính của chứng chỉ số:.....................................................................................9
1.3.2 Chữ ký số của CA cấp chứng chỉ:...............................................................................................9
CHƯƠNG 2 HỘ CHIẾU ĐIỆN TỬ....................................................................11
2.1 Hộ chiếu điện tử...........................................................................................11
2.2 Cấu trúc hộ chiếu điện tử...........................................................................13
2.2.1 Công nghệ RFID........................................................................................................................14
2.2.2 RFIC trong hộ chiếu điện tử......................................................................................................15
2.2.3 MRZ............................................................................................................................................15
2.3 Một số yêu cầu đối với bảo mật thông tin hộ chiếu điện tử.....................16
2.4 Các cơ chế bảo mật thông tin trong hộ chiếu điện tử..............................17
CHƯƠNG III: ỨNG DỤNG CỦA PKI TRONG HỘ CHIẾU ĐIỆN TỬ........19
3.1 Xác thực thụ động (Passive Authentication).............................................19
3.2 Xác thực đầu cuối (Terminal Authentication)..........................................19
3.2.1 Country Verifying Cas (CVCA).................................................................................................21
3.2.2 Document Verifiers và Inspection Systems................................................................................21
3.2.3 ICAO PKD..................................................................................................................................22
3.3 Quy trình cấp phát hộ chiếu điện tử được đề xuất...................................24
3.4 Quy trình xác thực hộ chiếu điện tử..........................................................26
TỔNG KẾT............................................................................................................28

1
 Lời nói đầu
Hộ chiếu điện tử (ePassport) đã được sử dụng lần đầu tiên tại Malaysia
vào năm 1998, do đó đã có trước tiêu chuẩn ICAO. Bỉ là một trong những nước
đầu tiên trên thế giới phát hành ePassport tuân thủ tiêu chuẩn này. Ngày nay,
nhiều quốc gia khác phát hành ePassport như Pháp, Đức, Nederlands, Hoa Kỳ,
…
Hiện nay, công nghệ sinh trắc học nói riêng và các công nghệ bảo
vệ hộ chiếu, thị lực, các loại giấy tờ lien quan xuất nhập cảnh nói chung đang
được nghiên cứu, phát triển rất mạnh mẽ trên thế giới. Đặc biệt là sau sự kiện
11/9/2001 nước Mĩ bị tấn công khủng bố, tất cả các nước trên thế giới đều rất
quan tâm đến việc củng cố hệ thống an ninh, áp dụng nhiều biện pháp kĩ
thuật nghiệp vụ để bảo vệ, chống làm giả hộ chiếu giấy tờ xuất nhập cảnh,
đồng thời tăng cường kiểm tra, kiểm soát tại các cửa khẩu quốc tế để kịp
thời phát hiện và ngăn chặn các phần tử khủng bố quốc tế. Mặt khác tình
hình xuất nhập cảnh trái phép cũng diễn ra phức tạp. Hộ chiếu truyền thống
không đáp ứng được hết yêu cầu đặt ra về tính tiện lợi của loại giấy tờ mang
tính tƣơng tác toàn cầu đó là độ an toàn và bảo mật thông tin, tránh làm giả
và phải dễ dàng thuận tiện cho cơ quan kiểm soát xuất nhập cảnh cũng như
công dân các quốc gia khi xuất nhập cảnh. Vì vậy trong bản nghị quyết của
Tổ chức hàng không dân dụng thế giới (ICAO) phát hành năm 2003, tất cả
các thành viên của tổ chức này sẽ triển khai ứng dụng hộ chiếu điện tử trước
năm 2010. Ngày nay, với những ứng dụng của CNTT, hộ chiếu điện tử đã
nghiên cứu và đưa vào triển khai ,ứng dụng thực tế tại nhiều nước phát triển
trên thế giới như .Việc sử dụng hộ chiếu điện tử được xem như là 1 trong
những biện pháp có thể tăng cường khả năng xác thực, bảo mật và an ninh
cho cả ngƣời mang hộ chiếu cũng như quốc gia.
Cơ bản của việc thực hiện hộ chiếu điện tử là cung cấp hộ chiếu an toàn hơn
thông qua một vi mạch điện tử được nhúng trong cuốn sách của mình. Chip này
cho phép đảm bảo tính toàn vẹn dữ liệu, tức là không ai có thể sửa đổi nội dung
của hộ chiếu mà không bị phát hiện; tính toàn vẹn này được đảm bảo bởi chữ ký
2
số của cơ quan cấp phát hành. Tính xác thực của dữ liệu cũng được bảo vệ: chế
tạo một hộ chiếu từ đầu là không thể vì một người làm giả không thể tự tạo chữ
ký được đề cập. Bên cạnh đó, chip điện tử cho phép kết hợp sinh trắc học để ràng
buộc hộ chiếu với quốc tịch đích thực của nó, do đó bổ sung thêm các tính năng
nhận dạng bổ sung. Do tính chất vật lý và điện của nó, con chip này là một lưu
trữ rất an toàn về thông tin tiểu sử và sinh trắc học (tên, ngày sinh, số hộ chiếu,
hình ảnh khuôn mặt, ...), có thể được so sánh với những người được tiết lộ trực
quan trên trang đầu tiên của hộ chiếu và với sinh trắc học của người vật lý. Cuối
cùng, chip có thể ngăn chặn nhân bản hoặc thay thế thông qua một cơ chế trong
đó chip phải chứng minh việc sở hữu khóa riêng dựa trên khóa công khai được
tạo ra một cách an toàn cao bởi nhà nước phát hành.

3
 CHƯƠNG I: TỔNG QUAN VỀ CƠ SỞ HẠ TẦNG
KHÓA CÔNG KHAI VÀ CHỮ KÝ SỐ
1.1. Tổng quan về cơ sở hạ tầng khóa công khai
PKI (Public Key Infrastructure) hoạt động dựa trên sự hỗ trợ của các thẻ
chứng thực số (digital certificates), nó bao gồm các thành phần: Hardware,
software, tập chính sách, các thủ tục phát hành/thu hồi thẻ chứng thực và các
chuẩn. Các thành phần này kết hợp với nhau để thiết lập một phương thức trao
đổi thông tin trong môi trường mạng đảm bảo tính xác thực định danh đối tác ở
mức an toàn cao nhất.
Nhiệm vụ chính của PKI là sử dụng chiến lược mã hóa khóa công cộng
(public key encryption) để tạo, quản lý và thu hồi các thẻ chứng thực,. Cụ thể:
- Tạo và xác định tính hợp lệ của chữ ký số (digital signatures)
- Đáp ứng sự đăng ký thẻ của người sử dụng mới
- Xác thực người sử dụng và phân phối thẻ chứng thực đến họ
- Thu hồi các thẻ chứng thực hết hạn
- Tạo các private key và public key cho các PKI client.

Với sự hỗ trợ của PKI, hệ thống bảo mật có thể xác thực người sử dụng theo
cách an toàn hơn so với cách xác thực chuẩn (xác thực thông qua user name và
password): Nó sử dụng các thẻ chứng thực có chứa thông tin định danh và
public key của một đối tác trao đổi thông tin để xác định định danh và tính hợp
lệ của họ. Ngoài ra, PKI còn giúp mã hóa các thông tin nhạy cảm và “ký” các tài
liệu số.
Có thể nói, PKI là hạ tầng kỹ thuật thông tin, nó cho phép người dùng trên
Internet trao đổi thông tin một cách riêng tư và bảo mật thông qua việc sử dụng
cặp khóa public và private của riêng họ. Cặp khóa này được nhận và được chia
sẻ thông qua một trung tâm ủy quyền tin cậy (CA).
PKI cung cấp thẻ chứng thực số cho các đối tác tham gia trao đổi thông tin trên
môi trường Internet. Thẻ này được sử dụng để định danh một cá nhân, một tổ
chức hoặc một dịch vụ thư mục nào đó
1.1.1 Cá c thà nh phầ n củ a PKI
Hệ thống PKI bao gồm các thành phần chính sau:
 PKI client
 Certification Authority (CA) – Ủy quyền thẻ chứng thực
CA là thành phần thứ 3 tin cậy (trusted third part), nó nhận một yêu cầu
phát hành (cấp) thẻ chứng thực, từ một tổ chức hoặc một cá nhân nào đó,
và phát hành thẻ chứng thực yêu cầu đến họ sau khi đã xác thực client yêu
4
cầu (Verisign và MSN là hai công ty CA nổi tiếng thế giới).

5
 CA dựa vào các chính sách, trao đổi thông tin trong môi trường bảo
mật, của tổ chức để định nghĩa một tập các quy tắc, các thủ tục liên
quan đến việc phát hành thẻ chứng thực. Mọi họat động tạo, phát hành,
thu hồi thẻ chứng thực sau này đều tuân theo các quy tắc, thủ tục này
 Registration Authority (RA) – Ủy quyền đăng ký
Nhiệm vụ của RA kiểm tra yêu cầu thẻ chứng thực số của client.
Khi một PKI client gửi yêu cầu phát hành thẻ chứng thực số đến một CA,
CA ủy quyền sự phản hồi xác thực yêu cầu đến RA. Sau khi kiểm tra yêu
cầu thành công, RA forward yêu cầu đến CA. CA nhận yêu cầu, phát
hành thẻ chứng thực yêu cầu, và gửi thẻ chứng thực đến RA. RA forward
thẻ đó đến cho PKI client (gửi yêu cầu phát hành thẻ chứng thực trước
đó).
 Digital certificates (DC) – Chứng chỉ số
Thẻ chứng thực số được xem như một card định danh (ID card) sử dụng
trong môi trường điện tử/môi trường mạng máy tính. Nếu như trong thực
tế, người ta dùng ID card để định danh duy nhất một cá nhân nào đó thì
trong môi trường trao đổi thông tin an toàn, PKI sử dụng thẻ chứng thự
số để định danh duy nhất một đối tượng nào đó trong suốt quá trình
truyền thông.

6
 Thẻ chứng thực số chứa các thông tin sau:

- Số serial của thẻ chứng thực

- Ngày hết hạn của thẻ chứng thực

- Chữ ký số của CA

- Public key của PKI client

Trong quá trình giao dịch, bên gửi gửi thẻ chứng thực số, cùng với dữ liệu
đã được mã hóa, của nó cho bên nhận. Bên nhận cuối sử dụng thẻ chứng
thực số này để xác nhận tính hợp lệ xác thực của bên gửi.
Bên nhận, sử dụng public key của CA để giải mã public key của bên gửi
(được nhận cùng với thông điệp được mã hóa đến từ bên gửi). Sau khi
định dang của bên gửi là được xác định, bên nhận sử dụng public key của
bên gửi để giải mã dữ liệu mà nó nhận được.
Một số loại chứng chỉ số thông dụng là:
- Chứng chỉ X.509
- Chứng chỉ khóa công khai đơn giản (Simple Public Key Certificates
- SPKC).
- Chứng chỉ Pretty Good Privacy (PGP).
- Chứng chỉ thuộc tính (Attribute Certificates – AC)
 Certificate Distribution System (CDS) – Hệ thống phân phối thẻ
CDS lưu trữ tất cả các thẻ chứng thực đã được phát hành đến cho người
sử dụng trên mạng. CDS cũng lưu trữ các cặp khóa, tính hợp lệ và “chữ
ký” của các khóa public. Danh sách các khóa hết hạn, các khóa bị thu hồi
do bị mất, do bị hết hạn cũng được CDS lưu trữ.
Ngoài ra còn có các thành phần khác:
 Validation Authority (VA) – Ủy quyền xác nhận hợp lệ: Xác nhận tính
hợp lệ thể chứng thực số của một đối tác trao đổi thông tin.
 Certificate revocation list (CRL): Chứa danh sách các thẻ chứng thực bị
thu hồi bởi CA.
Danh sách Thu hồi Chứng chỉ (CRL) là danh sách các chứng chỉ kỹ thuật
số đã bị thu hồi bởi Tổ chức phát hành Chứng chỉ (CA) trước ngày hết
hạn đã lên lịch và không còn đáng tin cậy nữa. CRL là một loại danh sách

7
 cấm và được sử dụng bởi các điểm cuối khác nhau để xác minh xem
chứng chỉ có hợp lệ và đáng tin cậy hay không.
 Kỹ thuật mã hóa public key và privte key: Có thể được sử dụng để mã hóa
và giải mã thông tin.
 Các đối tác (partner)/Đối tượng (Subject): Có thể là users, organizations
hoặc service systems: Đây là những đối tượng muốn sử dụng kỹ thuật
public key và private key để trao đổi thông tin một cách an toàn
Hình sau đây cho ta một cái nhìn khái quát nhất về chức năng của các thành
phần trong hệ thống PKI và sự hoạt động của hệ thống này:

User gửi yêu cầu phát hành thẻ chứng thực và public key của nó đến RA (1);
Sau khi xác nhận tính hợp lệ định danh của user thì RA sẽ chuyển yêu cầu này
đến CA (2); CA phát hành thẻ chứng thực cho user (3); Sau đó user “ký” thông
điệp trao đổi với thẻ chứng thực mới vừa nhận được từ CA và sử dụng chúng
(thẻ chứng thục số + chữ ký số) trong giao dịch (4); Định danh của user được
kiểm tra bởi đối tác thông qua sự hỗ trợ của VA (5): Nếu thẻ chứng thực của
user được xác nhận tính hợp lệ (6) thì đối tác mới tin cậy user và có thể bắt đầu
quá trình trao đổi thông tin với nó (VA nhận thông tin về các thẻ chứng thực đã
được phát hành từ CA (a))
1.2 Chứng thư số CA
Chứng thư số hay còn gọi là chứng thư điện tử, cũng giống như chứng
minh thư nhân dân hoặc hộ chiếu của bạn vậy, dùng để xác nhận danh tính của
một đối tượng nào đó ví dụ như phần mềm , ứng dụng, máy chủ hoặc đại diện
cho một cá nhân, một tổ chức nào đó khi tham gia các giao dịch điện tử, nhằm
đảm bảo an toàn trong quá trình giao dịch điện tử.
Một chứng thư số phải đảm bảo chứ đủ các thông tin sau:
8
  Tên chủ thể, chủ sở hữu chứng thư số.
 Khóa công khai (Public key).
 Một số thông tin khác như: thông tin về doanh nghiệp, hạn sử dụng,
thông tin về sản phẩm…
 Chữ ký số của người cấp chứng thư đó.
Chứng thư số dùng để xác định danh tính của một đối tượng khi tham gia
vào giao dịch điện tử dựa trên máy chủ xác thực danh tính.
1.2.1 Quy trình cấ p chứ ng thư số
 Bước 1: Khách hàng chuẩn bị đầy đủ hồ sơ về thông tin cá nhân hoặc
doanh nghiệp như tên, giấy phép kinh doanh và gửi thông tin đăng ký đến các
nhà cung cấp dịch vụ chữ ký số.
 Bước 2: Các nhà cung cấp dịch vụ chữ ký số sẽ xác thực thông tin của cá
nhân, doanh nghiệp có đúng với thông tin trên trung tâm dữ liệu quốc gia, nếu
đúng thông tin hồ sơ đăng ký chứng thư số sẽ được chấp nhận. Thông tin khách
hàng sẽ được nạp vào usb token hoặc smart card. Khi khách hàng nhận được
hợp đồng và thiết bị từ nhà cung cấp, cần xác nhận nội dung chứng thư số là gì?
Tên doanh nghiệp và thời hạn chứng thư số có đúng với hợp đồng hay không?
 Bước 3: Nhà cung cấp NewCA gửi toàn bộ thông tin về doanh nghiệp A
đến Trung tâm chứng thực chữ ký số quốc gia (Root CA) – Trực thuộc cục Ứng
dụng công nghệ thông tin của Bộ Thông tin và Truyền thông.
 Bước 4: Doanh nghiệp đăng ký tài khoản với máy chủ của Tổng cục thuế
(Tên đăng nhập là Mã số thuế của doanh nghiệp), đồng thời gửi khóa công khai
 Bước 5: Máy chủ thuế gửi yêu cầu xác nhận thông tin tới Trung tâm
chứng thực chữ ký số quốc gia.
 Bước 6: Trung tâm chứng thực chữ ký số quốc gia (Root CA) trả lại kết
quả xác nhận với cơ quan thuế.
1.3 Chứng chỉ số
 Chứng chỉ số là một tệp tin điện tử dùng để xác minh danh tính một cá
nhân, một máy chủ, một công ty... trên Internet. Nó giống như bằng lái xe, hộ
chiếu, chứng minh thư hay những giấy tờ xác minh cá nhân. Để có chứng minh
thư, bạn phải được cơ quan Công An sở tại cấp.
 Chứng chỉ số cũng vậy, phải do một tổ chức đứng ra chứng nhận những
thông tin của bạn là chính xác, được gọi là Nhà cung cấp chứng thực số (CA -
Certificate Authority). CA phải đảm bảo về độ tin cậy, chịu trách nhiệm về độ
chính xác của chứng chỉ số mà mình cấp
9
1.3.1 Ba thà nh phầ n chính củ a chứ ng chỉ số :
+ Dữ liệu cá nhân của người được cấp
+ Khoá công khai (Public key) của người được cấp
+ Chữ ký số của CA cấp chứng chỉ
Dữ liệu cá nhân:
 Bao gồm tên, quốc tịch, địa chỉ, điện thoại, email, tên tổ chức .v.v.
 Phần này giống như các thông tin trên chứng minh thư của mỗi người.
Khoá công khai:
Là một giá trị được nhà cung cấp chứng thực đưa ra như một khóa mã
hoá, kết hợp cùng với một khoá cá nhân duy nhất được tạo ra từ khoá công khai
để tạo thành cặp mã khoá bất đối xứng.
Nguyên lý hoạt động của khoá công khai trong chứng chỉ số là hai bên
giao dịch phải biết khoá công khai của nhau. Bên A muốn gửi cho bên B thì phải
dùng khoá công khai của bên B để mã hoá thông tin. Bên B sẽ dùng khoá cá
nhân của mình để mở thông tin đó ra.
Tính bất đối xứng trong mã hoá thể hiện ở chỗ khoá cá nhân có thể giải
mã dữ liệu được mã hoá bằng khóa công khai, nhưng khoá công khai không có
khả năng giải mã lại thông tin, kể cả những thông tin do chính khoá công khai
đó đã mã hoá.
Một cách hiểu nôm na, nếu chứng chỉ số là một chứng minh thư nhân dân,
thì khoá công khai đóng vai trò như danh tính của bạn trên giấy chứng minh thư
(gồm tên địa chỉ, ảnh...), còn khoá cá nhân là gương mặt và dấu vân tay của bạn.
Nếu coi một bưu phẩm là thông tin truyền đi, được "mã hoá" bằng địa chỉ
và tên người nhận của bạn, thì dù ai đó có dùng chứng minh thư của bạn với
mục đich lấy bưu phẩm này, họ cũng không được nhân viên bưu điện giao bưu
kiện vì ảnh mặt và dấu vân tay không giống.
1.3.2 Chữ ký số củ a CA cấ p chứ ng chỉ:
Còn gọi là chứng chỉ gốc. Đây chính là sự xác nhận của CA, bảo đảm tính
chính xác và hợp lệ chứng chỉ. Muốn kiểm tra một chứng chỉ số, trước tiên phải
kiểm tra chữ ký số của CA có hợp lệ hay không. Trên chứng minh thư, đây
chính là con dấu xác nhận của Công An Tỉnh hoặc Thành phố mà bạn trực
thuộc. Về nguyên tắc, khi kiểm tra chứng minh thư, đúng ra đầu tiên phải là xem
con dấu này, để biết chứng minh thư có bị làm giả hay không.
Một số loại chứng chỉ số:

 Chứng chỉ X.509.

 Chứng chỉ khóa công khai đơn giản (Simple Public Key

10
 Certificates - SPKC).
 Chứng chỉ Pretty Good Privacy (PGP).
 Chứng chỉ thuộc tính (Attribute Certificates - AC).

Những loại chứng chỉ này đều có cấu trúc định dạng riêng. Hiện nay chứng
chỉ X.509 được sử dụng rộng rãi trong hầu hết các hệ thống PKI.

11
 CHƯƠNG 2 HỘ CHIẾU ĐIỆN TỬ
2.1 Hộ chiếu điện tử
Hộ chiếu là một loại giấy tờ tùy thân xác nhận công dân mang quốc
tịch của một quốc gia. Thông thường, hộ chiếu chứa các thông tin cơ bản
như họ tên, ngày sinh, quê quán, quốc tịch, ảnh khuôn mặt, các thông tin về
cơ quan cấp hộ chiếu, ngày cấp, thời hạn có giá trị…
Với sự ra đời của chip khồg tiếp xúc sử dụng công nghệ nhận dạng tần
số radio RFID (Radio frequency identification), rõ ràng những thông tin cá
nhân thể hiện trong một hộ chiếu của công dân hoàn toàn có thể được lưu trữ
trên chip không tiếp xúc. Việc lưu trữ những thông tin cá nhân của hộ chiếu
trong chip không tiếp xúc cho phép nâng cao hiệu quả của quy trình cấp
phát, kiểm duyệt hộ chiếu thông qua các hệ thống xác thực tự động. Các tiếp
cận này cho phép xây dựng và phát triển mô hình hộ chiếu mới: “Hộ chiếu
điện tử”(HCDT).

12
 Hộ chiếu điện tử là hộ chiếu tích hợp chip điện tử ICC (Integrated
Cỉcuit Chip) có chức năng mã hóa và lưu trữ thông tin cá nhân người dùng.
Thông tin cá nhân người dùng này phải đƣợc bảo vệ chống truy nhập trái
phép và phải được xác thực tính chính xác, duy nhất của hộ chiếu. Một
trong những công cụ bảo vệ dữ liệu mà hiện nay trên thé giới sử dụng đó
là phương pháp mã hóa dữ liệu. Chữ kí số đƣợc sử dụng để kí vào các dữ
liệu cơ bản và chúng được lưu trữ trong chip.
Trong hộ chiếu điện tử lưu trữ những thông tin cá nhân trong đó có cả
những cơ sở dữ liệu sinh trắc học của ngƣời mang hộ chiếu. Vì lí do này mà
hộ chiếu điện tử còn có tên gọi khác là hộ chiếu sinh trắc học (biometric
passport).
Hiện nay yêu cầu về tiêu chuẩn cho hộ chiếu điện tử đã đƣợc cung cấp
bởi tổ chức hang không dân dụng quốc tế ICAO (International Civil Aviation
Organization). Và các yêu cầu này sẽ đáp ứng được an ninh tại cửa khẩu,
kiểm tra tại biên giới các nước. Hộ chiếu điện tử tích hợp 3 công nghệ:
- Nhận dạng tần số Radio (RFID)
- Sinh trắc (vân tay, mống mắt)
- Cơ sở hạ tầng khóa công khai PKI (Public key infrastructure).

Trong khi nhận dạng tần số RFID được sử dụng cho các lí do thực tế trong
công việc giao tiếp vật lí với các hệ thống kiểm tra, thì việc nhận dạng thông
tin sinh trắc và cơ sở hạ tầng khóa công khai PKI được coi là có khả năng
giảm thiểu gian lận và tăng cường an ninh trên toàn thế giới trong kĩ thuật
nhận dạng số. Do vậy yêu cầu cấp thiết đặt ra cho mỗi nƣớc xây dựng hộ
chiếu điện tử là phải xây dựng được một hạ tầng cơ sở khóa công khai quốc
gia.

13
2.2 Cấu trúc hộ chiếu điện tử

Hộ chiếu điện tử được tổ chức dựa trên cấu trúc của hộ chiếu thông thường,
được chia thành hai thành phần: phần tài liệu vật lí – booklet (quyển hộ
chiếu) và phần vi mạch tích hợp RFIC (thể hiện dưới dạng chip không tiếp
xúc).
Phần tài liệu vật lí – booklet (quyển hộ chiếu):
Booklet gần tương tự như hộ chiếu truyền thống, nó chỉ khác ở chỗ có thêm
biểu tượng HCĐT ở trang bìa và dòng ICAO (MRZ – vùng đọc được bằng
máy đọc hộ chiếu ) ở cuối trang dữ liệu.

Biểu tượng hộ chiếu điện tử

14
2.2.1 Cô ng nghệ RFID
Radio Frequency Identification (RFID) là công nghệ nhận dạng đối tượng
bằng sóng vô tuyến. Hai thiết bị này hoạt động thu phát sóng điện từ cùng tần số
với nhau. Các tần số thường được sử dụng trong hệ thống RFID là 125Khz hoặc
900Mhz.
Một thiết bị hay một hệ thống RFID được cấu tạo bởi hai thành phần
chính là thiết bị đọc ( reader) và thiết bị phát mã RFID có gắn chip hay còn gọi
là tag. Thiết bị đọc được gắn antenna để thu- phát sóng điện từ, thiết bị phát mã
RFID tag được gắn với vật cần nhận dạng, mỗi thiết bi RFID tag chứa một mã
số nhất định và không trùng lặp nhau.

Khi hoạt động thiết bị RFID reader phát ra sóng điện từ ở một tần số nhất định,
khi thiết bị RFID tag trong vùng hoạt động sẽ cảm nhận được sóng điện từ này và
thu nhận năng lượng từ đó phát lại cho thiết bị RFID Reader biết mã số của mình.
Từ đó thiết bị RFID reader nhận biết được tag nào đang trong vùng hoạt động.

15
2.2.2 RFIC trong hộ chiếu điện tử

Mạch tích hợp RFIC gồm một chip tuân theo chuẩn ISO/IEC 14443 và một
ăngten vòng không những dùng để kết nối mà còn dùng để nhận biết tín hiệu từ
đầu đọc. Điều này giải thích vì sao HCĐT không có nguồn điện trong, năng
lượng hoạt động cho chip được thu nhận qua ăngten.
Mạch RFIC có thể được gắn vào một trong các vị trí khác nhau trong
quyển hộ chiếu, thông thường là giữa phần bìa và phần trang dữ liệu. Trong quá
trình gắn, cần phải đảm bảo rằng chip không bị ăn mòn và không bị rời ra khỏi
quyển hộ chiếu.

2.2.3 MRZ
Vùng MRZ trong hộ chiếu hoặc thẻ du lịch rơi vào hai loại: Loại 1 và Loại 3 .
MRZ loại 1 là ba dòng, với mỗi dòng chứa 30 ký tự. MRZ loại 3 chỉ có hai
dòng, nhưng mỗi dòng chứa 44 ký tự. Trong cả hai trường hợp, MRZ mã hóa
xác định thông tin của một công dân cụ thể, bao gồm loại hộ chiếu, ID hộ chiếu,
quốc gia phát hành, tên, quốc tịch, ngày hết hạn, v.v.

16
2.3 Một số yêu cầu đối với bảo mật thông tin hộ chiếu điện tử
Vấn đề bảo mật HCĐT trong các quy trình cấp phát, kiểm duyệt luôn là
1 trong những vấn đề tối quan trọng đối với an ninh quốc gia. Vấn đề này
cần phải thỏa mãn được 6 yêu cấu sau đây:
Tính chân thực
Cơ quan cấp hộ chiếu phải ghi đúng thông tin của người đƣợc cấp hộ
chiếu, không có sự nhầm lẫn trong quá trình ghi thông tin khi cấp hộ chiếu.
Đây là điều đƣơng nhiên bắt buộc phải có.
Tính không thể nhân bản
Mục tiêu này phải đảm bảo không thể tạo ra bản sao chính xác của RFIC
Tính nguyên vẹn và xác thực
Cần chứng thực tất cả thông tin lƣu trên trang dữ liệu và trên RFIC do
cơ quan hộ chiếu tạo ra(xác thực). Hơn nữa cần chứng thực thông tin đó
không bị thay đổi từ lúc được lưu(nguyên vẹn).
Tính liên kết người - hộ chiếu
Cần phải chứng minh rằng HCĐT thuộc về ngƣời mang nó hay nói
một cách khác các thông tin trong hộ chiếu mô tả con người sở hữu hộ chiếu.
Tính liên kết hộ chiếu – chip
Cần phải khẳng định booklet khớp với mạch RFIC nhúng trong nó.
Kiểm soát truy cập
Đảm bảo việc truy cập thông tin lưu trong chip phải được sự đồng ý của
người sở hữu nó, hạn chế truy cập đến các thông tin sinh trắc học nhạy cảm
và tránh mất mát thông tin cá nhân.

17
2.4 Các cơ chế bảo mật thông tin trong hộ chiếu điện tử
Để có thể đáp ứng được các yêu cầu về bảo mật dữ liệu thì hộ chiếu điện
tử cần phải có những cơ chế bảo mật thông tin nhằm ngăn chặn các nguy cơ và
đáp ứng được các yêu cầu bảo mật thông tin trên. Tổ chức Hãng hàng không
dân dụng quốc tế ICAO đã đưa ra các cơ chế bảo mật cho hộ chiếu điện tử như
sau :
Passive Authentication (PA): Cơ chế xác thực bị động, là cơ chế bắt
buộc đối với quá trình xác thực hộ chiếu điện tử. Cơ chế này làm nhiệm vụ
kiểm tra tính nguyên vẹn và xác thực của thông tin lưu trong chip RFID bằng
cách kiểm tra chữ ký số của cơ quan cấp hộ chiếu để xác thực dữ liệu được lưu
trong các nhóm cấu trúc dữ liệu logic LDS trên chip RFID.
Basic Access Control (BAC): Đây là thế hệ đầu tiên của cơ chế kiểm soát
truy cập và vẫn được sử dụng trong nhiều ePassports trên toàn thế giới. Hệ
thống kiểm tra bắt nguồn từ khóa truy cập bằng cách đọc Vùng máy có thể đọc
(MRZ) trên datapage của ePassport (thông tin này cũng có thể được khóa bằng
tay nếu không thể đọc máy MRZ). Các khóa được sử dụng trong BAC là đối
xứng (tức là cùng một khóa được sử dụng để mã hóa dữ liệu để truyền cho
người đọc được người đọc sử dụng để giải mã dữ liệu).
Thiết lập kết nối xác thực 2 mật khẩu (PACE): PACE được thiết kế để
khắc phục các hạn chế của BAC, có sức mạnh hạn chế vì nó sử dụng mật mã
đối xứng. Nói một cách đơn giản, quá trình cho PACE giống như đối với
BAC; tuy nhiên, PACE sử dụng mật mã bất đối xứng để thiết lập sự bảo vệ
mạnh hơn chống lại nghe lén.
Active Authentication (AA): Cơ chế xác thực chủ động, cơ chế này đảm
bảo tính duy nhất và xác thực chip tích hợp trong hộ chiếu điện tử bằng cách
đưa ra một cặp khóa riêng. Khóa bí mật được lưu trong DG15 và được bảo vệ
bởi cơ chế PA. Khóa công khai tương ứng được lưu vào bộ nhớ bảo mật và có
thể chỉ được sử dụng trong chip RFID và không thể được đọc ở bên ngoài. Cơ
chế này chỉ nên được sử dụng ở những nơi mà BAC được áp dụng.
Extended Access Control (EAC): Mục đích của cơ chế EAC để tăng
cường bảo vệ các thông tin sinh trắc học nhạy cảm (vân tay, mống mắt) đồng
thời khắc phục hạn chế của quá trình xác thực chủ động. Tuy nhiên ICAO chỉ
đề cập tới cơ chế này dưới dạng tùy chọn để các quốc gia, giới khoa học tiếp
tục nghiên cứu và bổ sung. Cơ chế này bao gồm hai quá trình:
 Xác thực chip (Chip Authentication)

18
 Là một giao thức cho phép hệ thống kiểm tra xác thực tính đúng đắn của
chip RFID trong HCĐT. Trước khi sử dụng giao thức này thì chip RFID
cần được bảo vệ bởi giao thức BAC.
 Xác thực đầu đọc (Terminal Authentication)
Là giao thức chip RFID xác minh xem hệ thống kiểm tra có được quyền
truy cập đến vùng dữ liệu nhạy cảm hay không. Khi hệ thống kiểm tra có
thể truy cập đến dữ liệu sinh trắc thì tất cả truyền thông phải được bảo vệ
một cách phù hợp. Trước khi thực hiện giao thức này thì bắt buộc phải
thực hiện thành công giao thức Chip Authentication.
Supplement Access Control (SAC): Là cơ chế kiểm soát truy cập bổ sung
sẽ xuất hiện vào tháng 12/2014. SAC dựa trên giao thức thiết lập kết nối có xác
thực mật khẩu PACE ( Password Authenticated Connection Establishment).
PACE còn tích hợp một tùy chọn để sử dụng số truy cập thẻ bổ sung cho MRZ
(tức là dữ liệu cá nhân của người chủ hộ chiếu được in trên trang chính của hộ
chiếu). SAC đã khắc phục được nhược điểm của cơ chế BAC, đảm bảo mức độ
an toàn và riêng tư cao.

19
 CHƯƠNG III: ỨNG DỤNG CỦA PKI TRONG HỘ
CHIẾU ĐIỆN TỬ

PKI (Public Key Infrastructure) là công nghệ cơ bản đằng sau ePassport.
Cơ sở hạ tầng khóa công khai đối với cả hộ chiếu điện tử và hệ thống xác thực
IS (Inspection System - Hệ thống kiểm duyệt tại các điểm xuất nhập cảnh). PKI
được sử để xác thực dữ liệu được lưu trong chip điện tử RFID khiến cho nó đắt
tiền và khó giả mạo hơn khi tất cả các cơ chế bảo mật được triển khai đầy đủ và
chính xác.
Như vậy cơ sở hạ tầng khóa công khai khi triển khai cần phải đáp ứng được
hai quá trình:
3.1 Xác thực thụ động (Passive Authentication)
Là quá trình kiểm tra tính nguyên vẹn và xác thực của thông tin lưu trong
chip RFID. Trong quy trình cấp phát hộ chiếu điện tử, sau khi ghi thông tin vào
chip RFID, cơ quan cấp hộ chiếu phải ký số lên chip để chứng thực những thông
tin vừa ghi vào là đúng. Sau khi nhận được chứng chỉ số CDS do CA cấp cao nhất
phát hành, cơ quan cấp HCĐT DS sử dụng khóa bí mật của mình để ký số lên hộ
chiếu đó, còn khóa công khai được lưu trong CDS.

Tại bước kiểm tra hộ chiếu tại các điểm xuất nhập cảnh, hệ thống IS sử
dụng cơ chế Passive Authentication để kiểm tra và xác thực chữ ký của DS. Hệ
thống IS tiến hành đọc HCĐT, lấy chứng chỉ số CDS, kiểm tra tính xác thực của
nó bằng khóa công khai của CA phân phối, khóa công khai này được các nước
có triển khai HCĐT trao đổi với nhau qua đường công hàm hoặc thông qua danh
mục khóa công khai PKD. Sau khi xác thực xong CDS, hệ thống IS sẽ dùng
CDS để xác thực nội dung lưu trong chip RFID.
3.2 Xác thực đầu cuối (Terminal Authentication)
Xác thực đầu cuối (TA) được sử dụng để xác định xem hệ thống kiểm tra
(IS) có được phép đọc dữ liệu nhạy cảm từ hộ chiếu điện tử hay không. Cơ chế

20
 này dựa trên các chứng chỉ kỹ thuật số có định dạng chứng chỉ có thể xác minh
thẻ
Tại mỗi quốc gia có triển khai hộ chiếu điện tử, sẽ có một cơ quan cấp
chứng chỉ số quốc gia, có thể là CSCA (Coutry Signing Certification Authority)
hoặc CVCA (Country Verifying Certification Authority). Các CA cấp quốc gia
này sẽ phân phối chứng chỉ cho các cơ quan cấp hộ chiếu điện tử DS (Document
Signer) để ký số lên hộ chiếu hoặc cơ quan xác thực hộ chiếu điện tử DV
(Document Verifier) để kiểm tra hộ chiếu.
Trong quá trình xác thực hộ chiếu điện tử, Terminal Authentication yêu
cầu hệ thống kiểm tra IS chứng minh được là nó được quyền truy cập vào vùng
dữ liệu nhạy cảm. Khi đó một hệ thống kiểm duyệt được trang bị ít nhất một hệ
thống xác thực chứng chỉ (Inspection System Certificate - ISC) để mã hóa khóa
công khai của hệ thống kiểm duyệt và các quyền truy cập, tương ứng với khóa bí
mật. Sau khi hệ thống kiểm duyệt đã chứng minh được các thông tin của khóa bí
mật thì chip RFID mới chấp nhận cho hệ thống kiểm duyệt truy cập vào vùng dữ
liệu nhạy cảm được chỉ ra trong ISC.
Mô hình PKI triển khai với cơ chế Terminal Authentication có các thực thể sau:

Mô hình PKI phân cấp phục vụ cơ chế Terminal Authentication

- CVCA (Country Verifying Certification Authority): Cơ quan xác thực
chứng chỉ số quốc gia.
- DV (Document Verifier): Cơ quan xác thực hộ chiếu điện tử.
- IS (Inspection System): Hệ thống kiểm duyệt tại các điểm xuất nhập cảnh.

21
3.2.1 Country Verifying Cas (CVCA)
Tại mỗi quốc gia có triển khai hộ chiếu điện tử cần phải thiết lập một điểm
tin cậy (trust-point), gọi là CVCA, là nơi cung cấp và xác thực chứng chỉ số
DV- Cert cho các cơ quan xác thực hộ chiếu điện tử DV. CVCA xác định tất cả
các quyền truy cập đến tới chip RFID cho tất cả các DV (bao gồm các DV trong
quốc gia đó và các DV ở các quốc gia khác) bằng cách cung cấp chứng chỉ cho
các DV, trong đó có mô tả quyền truy cập thông tin. Để giảm thiểu nguy cơ mất
mát thông tin, DV-Cert chỉ có giá trị trong một khoảng thời gian ngắn. CVCA
có toàn quyền gán thời hạn cho DV-Cert và mỗi chứng chỉ của DV khác nhau
thì có thời hạn khác nhau
3.2.2 Document Verifiers và Inspection Systems
Document Verifiers (DV) là cơ quan xác thực hộ chiếu, một đơn vị tổ chức
và quản lý hệ thống kiểm duyệt IS, cung cấp chứng chỉ số IS-Cert cho các IS.
Như vậy, DV cũng là một CA và được xác thực bởi CVCA.
Inspection System (IS) là hệ thống kiểm duyệt HCĐT tại các điểm xuất
nhập cảnh. Để chip RFID có thể chứng thực được chứng chỉ số IS-Cert thì IS
cần phải gửi một chuỗi chứng chỉ hay các chứng chỉ liên kết quốc gia (CVCA
Link Certificates), bao gồm DV- Cert và IS-Cert.

22
 Mô hình PKI chung cho HCĐT và IS
3.2.3 ICAO PKD
Để chữ ký điện tử trở thành một tính năng bảo mật hiệu quả và hiệu quả,
các quốc gia phải trao đổi chứng chỉ tương ứng với nhau. Trong khi cả hai
chứng chỉ CSCA và DSC có thể được trao đổi song phương, số lượng ngày càng
tăng của các nước phát hành ePassports và khối lượng ePassports tương ứng cao
sẽ dẫn đến một hệ thống không hiệu quả, phức tạp và dễ bị lỗi. Như vậy, ICAO
đã tạo ra một hệ thống để tạo thuận lợi cho việc chia sẻ thông tin giữa các quốc
gia: Danh bạ khóa công khai của ICAO (PKD). PKD ICAO là một thư mục tập
trung cung cấp nguồn trực tuyến độc lập, có tổ chức, an toàn và tiết kiệm chi phí
để cập nhật thông tin.

23
 Người tham gia PKD có thể tải lên chứng chỉ CSCA tương ứng của họ,
chứng chỉ người ký chứng chỉ DSC, Danh sách thu hồi chứng chỉ CRL và Danh
sách Chính cho PKD ICAO. Trong khi những người tham gia PKD được yêu
cầu gửi chứng chỉ CSCA của họ đến PKD ICAO, họ không được xuất bản trực
tiếp trong thư mục để tải xuống. Thay vào đó, chúng được sử dụng bởi Nhà điều
hành PKD để xác thực chứng chỉ người ký chứng chỉ, chứng chỉ người đăng ký
danh sách và danh sách thu hồi chứng chỉ của trạng thái phát hành trước khi các
mục này được xuất bản lên PKD ICAO và cung cấp cho người tham gia PKD và
những người dùng khác để tải xuống.

24
3.3 Quy trình cấp phát hộ chiếu điện tử được đề xuất

Quy trình cấp phát hộ chiếu điện tử đề xuất

Quá trình cấp phát hộ chiếu điện tử trải qua các bước sau:
Bước 1: Đăng ký cấp hộ chiếu theo mẫu do cơ quan cấp phát, quản lý hộ chiếu
phát hành. Bước 2: Kiểm tra nhân thân.
Bước 3: Thu nhận thông tin sinh trắc học gồm có ảnh khuôn mặt, ảnh vân tay,
ảnh mống mắt. Tuy nhiên tùy thuộc vào ngữ cảnh và đối tượng tương ứng mà
thu nhận các đặc điểm sinh trắc này.
Bước 4: Ghi thông tin vào chip RFID, in hộ chiếu.
 Ghi thông tin cơ bản như trên trang hộ chiếu giấy vào DG1.
 Ghi ảnh khuôn mặt vào DG2;
 Ghi ảnh hai vân tay vào DG3.
 Ghi hai ảnh hai mống mắt vào DG4.

25
  Ghi các thông tin khác khóa công khai PKRFIC phục vụ quá trình Chip
Authentication vào DG14, khóa bí mật SKRFIC phục vụ quá trình Chip
Authentication.
 Khóa công khai PKCVCA dùng cho quá trình Terminal Authentication
vào bộ nhớ bí mật.
 Ghi SOD tạo giá trị băm các nhóm thông tin theo thuật toán SHA-256.
Tập tất cả các giá trị băm được gọi là SOLDS. Tiến hành lấy SOLDS
bằng khóa bí mật của cơ quan cấp hộ chiếu ta được chữ ký trên SOLDS
ký hiệu là SOD.Signature.
Cấu trúc của SOD là (SOLDS,… , SOLDS.cert) trong đó SOLDS.cert là các
chứng thư số. Phần thông tin này phục vụ Passive Authentication

Quá trình tạo đối tượng SOD

26
3.4 Quy trình xác thực hộ chiếu điện tử
Quá trình kiểm tra, xác thực hộ chiếu điện tử tại các cửa khẩu được thực hiện theo
các bước sau:

Quy trình xác thực hộ chiếu điện tử đề xuất

 Bước 1: Người mang hộ chiếu xuất trình hộ chiếu cho cơ quan kiểm tra,
cơ quan tiến hành thu nhận các đặc tính sinh trắc học từ người xuất trình hộ
chiếu.
 Bước 2: Kiểm tra các đặc tính bảo mật trên trang hộ chiếu giấy thông qua
các đặc điểm an ninh truyền thống: thủy ấn, dải quang học, hoặc lớp bảo vệ
ảnh…
 Bước 3: Hệ thống RFIC thực hiện quá trình BAC, sau khi BAC thành
công hệ thống có thể đọc các thông tin trong chip. Mọi thông tin trao đổi giữa
đầu đọc và chip được truyền thông qua mã hóa sau đó là xác thực theo cặp khóa.
IS tiến hành thực hiện cơ chế BAC trên HCĐT. Đây là cơ chế chống nghe
lén và đọc trộm thông tin truyền từ chip RFIC đến IS. Ý tưởng của BAC là phải

27
có sự đồng ý của người sở hữu hộ chiếu mới được phép đọc các thông tin từ
chip RFIC. Do đó hệ thống chỉ cho phép truy cập thông tin khi đã nhận được các
khóa truy cập từ vùng dữ liệu MRZ. Nghe lén và đọc trộm bị chặn bằng cách
truyền thông báo bảo mật, dữ liệu trao đổi giữa RFIC và IS được mã hóa sử
dụng cặp khóa phiên có được từ BAC.
 Bước 4: Thực hiện xác thực bị động Passive Authentication để kiểm tra
tính xác thực và toàn vẹn của các thông tin lưu trong chip thông qua kiểm tra
chữ ký trong bằng khoá công khai của cơ quan cấp hộ chiếu.
Tiến hành thực hiện quá trình Passive Authentication để kiểm tra tính xác
thực và toàn vẹn thông tin lưu trong chip RFID thông qua việc kiểm tra chữ ký
lưu trong SOD bằng khóa công khai của cơ quan cấp hộ chiếu. Việc trao đổi
khóa công khai thông qua chứng chỉ số đƣợc thực hiện theo mô hình khuyến
cáo của ICAO. Thực hiện thành công quá trình Passive Authentication cùng với
Chip Authentication trong cơ chế EAC thì có thể khẳng định chắc chắn chip
trong hộ chiếu là nguyên gốc.
 Bước 5: Quá trình Terminal Authentication chứng minh quyền truy cập
thông tin của hệ thống đến thông tin sinh trắc học. Chỉ thực hiện đối với những
cơ quan kiểm tra hộ chiếu triển khai EAC. Sau khi Terminal Authentication
thành công, đầu đọc có thể truy cập thông tin theo quyền thể hiện trong chứng
thư số.
 Bước 6: Hệ thống thực hiện so sánh thông tin sinh trắc học thu nhận được
trực tiếp từ người xuất trình hộ chiếu với thông tin sinh trắc học lưu trong chip.
Hệ thống kiểm duyệt có quyền truy cập vào các vùng dữ liệu DG2, DG3,
DG4 và tiến hành đọc các dữ liệu sinh trắc của người sở hữu hộ chiếu (ảnh
khuôn mặt, dấu vân tay, mống mắt) được lưu trong chip RFID của hộ chiếu điện
tử. Cùng lúc đó, bằng các thiết bị nhận dạng đặc biệt, cơ quan kiểm tra sẽ tiến
hành thu nhận các đặc tính sinh trắc học nhƣ ảnh khuôn mặt, vân tay, mống
mắt… từ người dùng. Sau đó, hệ thống sẽ thực hiện quá trình trích chọn đặc
trưng của các đặc tính sinh trắc, tiến hành đối chiếu và đưa ra kết quả. Nếu cả ba
dữ liệu sinh trắc thu được trực tiếp từ người dùng khớp với dữ liệu thu được từ
chip RFID thì cơ quan kiểm tra xác thực có đủ điều kiện để tin tưởng hộ chiếu
điện tử đó là đúng đắn và người mang hộ chiếu là hợp lệ.
 Bước 7: Nếu quá trình so sánh thành công và kết hợp với các chứng thực
trên, cơ quan kiểm tra hộ chiếu có đủ điều kiện để tin tưởng hộ chiếu là xác thực
và người mang hộ chiếu đúng là con người mô tả trong hộ chiếu.

28
TỔNG KẾT

29
TÀI LIỆU THAM KHẢO

30