Khi bấm "Ký" trên tờ khai thuế hay hóa đơn điện tử, người dùng chỉ thấy hộp thoại nhập mã PIN. Phía sau là cả hệ thống tiêu chuẩn mật mã được quốc tế công nhận và được pháp luật Việt Nam quy định cụ thể. Hiểu các tiêu chuẩn này giúp doanh nghiệp đánh giá đúng mức an toàn của chữ ký số.
Hạ tầng khóa công khai PKI: nền móng của chữ ký số
PKI (Public Key Infrastructure, hạ tầng khóa công khai) là tập hợp công nghệ, quy trình và tổ chức giúp gắn khóa công khai với danh tính người hoặc tổ chức một cách đáng tin cậy, gồm:
- • Cặp khóa bất đối xứng: khóa bí mật do người ký giữ để tạo chữ ký, khóa công khai được công bố để mọi người kiểm tra chữ ký.
- • Tổ chức chứng thực (CA): xác minh danh tính của thuê bao và cấp chứng thư chữ ký số, xác nhận khóa công khai thuộc về ai.
- • Chuỗi tin cậy: tại Việt Nam, chứng thư của các tổ chức cung cấp dịch vụ chứng thực chữ ký số công cộng được cấp bởi Tổ chức cung cấp dịch vụ chứng thực điện tử quốc gia (Root CA quốc gia) do Trung tâm Chứng thực điện tử quốc gia (NEAC) vận hành. Phần mềm kiểm tra chữ ký lần ngược theo chuỗi này để xác nhận chữ ký hợp lệ.
- • Cơ chế thu hồi: danh sách chứng thư bị thu hồi (CRL) và dịch vụ kiểm tra trạng thái trực tuyến (OCSP) cho biết một chứng thư còn hiệu lực hay đã bị tạm dừng, thu hồi.
Quy định kỹ thuật hiện hành tại Việt Nam
Hai văn bản kỹ thuật chính của Bộ Khoa học và Công nghệ:
- • Thông tư 15/2025/TT-BKHCN ngày 15/8/2025, có hiệu lực từ ngày ký, về phần mềm ký số, phần mềm kiểm tra chữ ký số và Cổng kết nối dịch vụ chứng thực chữ ký số công cộng, thay thế Thông tư 22/2020/TT-BTTTT.
- • Thông tư 50/2025/TT-BKHCN ngày 31/12/2025 ban hành QCVN 137:2025/BKHCN về yêu cầu đối với dịch vụ chứng thực chữ ký số công cộng, có hiệu lực từ 01/7/2026, thay thế Thông tư 06/2015/TT-BTTTT và Thông tư 16/2019/TT-BTTTT. Tổ chức đang hoạt động có thời hạn đến 10/4/2027 để đáp ứng.
Thuật toán ký: RSA 2048 bit và ECDSA
RSA là thuật toán khóa công khai phổ biến nhất trong chữ ký số, an toàn dựa trên độ khó của bài toán phân tích số lớn ra thừa số nguyên tố.
Theo Phụ lục I Thông tư 15/2025/TT-BKHCN:
- • Thuật toán RSA áp dụng tối thiểu theo PKCS #1 phiên bản 2.1, dùng lược đồ RSASSA-PSS cho chữ ký và RSAES-OAEP cho mã hóa, với độ dài khóa tối thiểu 2048 bit.
- • Thuật toán ECDSA (chữ ký số trên đường cong elliptic) có độ dài khóa tối thiểu 256 bit, theo ANSI X9.62-2005.
Hàm băm SHA-256: "dấu vân tay" của văn bản
Chữ ký số không ký trực tiếp lên toàn bộ văn bản. Phần mềm trước tiên tính giá trị băm (hash) của văn bản, một chuỗi độ dài cố định đại diện cho nội dung, rồi dùng khóa bí mật ký lên giá trị băm này. Chỉ cần văn bản bị sửa một ký tự, giá trị băm sẽ thay đổi hoàn toàn và chữ ký bị báo không hợp lệ.
Thông tư 15/2025/TT-BKHCN cho phép các hàm băm thuộc họ SHA-2 (SHA-256, SHA-384, SHA-512, SHA-512/224, SHA-512/256) theo FIPS PUB 180-4 và họ SHA-3 (SHA3-224/256/384/512, SHAKE128, SHAKE256) theo FIPS PUB 202. SHA-256 phổ biến nhất; SHA-1 không nằm trong danh sách.
Chứng thư X.509 và định dạng chữ ký
Chứng thư chữ ký số được xây dựng theo chuẩn X.509. Thông tư 15/2025/TT-BKHCN quy định định dạng chứng thư và danh sách thu hồi theo RFC 5280, truyền nhận chứng thư và CRL theo RFC 2585, kiểm tra trạng thái trực tuyến theo giao thức OCSP (RFC 6960). Chứng thư chứa tên chủ thể, khóa công khai, số hiệu, thời hạn hiệu lực và chữ ký của tổ chức cấp.
Định dạng chữ ký trên văn bản:
| Loại dữ liệu | Định dạng chữ ký | Tiêu chuẩn tham chiếu |
|---|---|---|
| File PDF | PAdES | ETSI EN 319 142-1, 319 142-2 hoặc ISO 32000-1/-2 |
| File XML (như hóa đơn điện tử, tờ khai) | XAdES | ETSI EN 319 132-1, 319 132-2 |
| Dữ liệu CMS | CAdES | ETSI EN 319 122-1, 319 122-2, TS 119 122-3 |
Phần mềm ký số phải kiểm tra hiệu lực của chứng thư trước khi cho phép ký; nếu không kiểm tra được trạng thái qua OCSP hoặc CRL, phần mềm phải cảnh báo người ký.
Thiết bị lưu khóa: USB Token và HSM
Toàn bộ độ an toàn của chữ ký số phụ thuộc vào việc khóa bí mật không bị sao chép. Vì vậy, khóa được tạo và lưu trong thiết bị phần cứng, không thể xuất ra ngoài. Tiêu chuẩn được tham chiếu là FIPS 140-2 / FIPS 140-3 của Viện Tiêu chuẩn và Công nghệ Hoa Kỳ (NIST), đánh giá mô-đun mật mã theo các mức từ 1 đến 4.
| Thiết bị | Yêu cầu theo Thông tư 15/2025/TT-BKHCN | Đặc điểm |
|---|---|---|
| USB Token, thẻ thông minh | FIPS PUB 140-2/140-3 mức 2 | Người dùng tự giữ, cắm vào máy tính khi ký, bảo vệ bằng mã PIN |
| SIM ký số | FIPS 140-2/140-3 mức 2 hoặc TCVN 8709 (ISO/IEC 15408) EAL4 | Dùng cho mô hình ký số trên thiết bị di động |
| HSM (Hardware Security Module) | FIPS PUB 140-2/140-3 mức 3 hoặc EN 419221-5:2018 | Thiết bị bảo mật chuyên dụng đặt tại trung tâm dữ liệu của tổ chức cung cấp dịch vụ, dùng cho ký số từ xa |
Ở mức 3, thiết bị phải có cơ chế phát hiện và phản ứng khi bị can thiệp vật lý, kiểm soát truy cập theo vai trò và bảo vệ khóa ngay cả khi thiết bị bị tháo rời. Đường truyền giữa người dùng và hệ thống tối thiểu phải dùng TLS 1.2.
PKCS#11: cầu nối giữa phần mềm và thiết bị lưu khóa
PKCS#11 là giao diện lập trình chuẩn (thường gọi là Cryptoki) để phần mềm giao tiếp với USB Token, thẻ thông minh và HSM. Nhờ PKCS#11, phần mềm kê khai thuế, phần mềm hóa đơn hay trình đọc PDF có thể yêu cầu thiết bị thực hiện thao tác ký mà không bao giờ đọc được khóa bí mật: dữ liệu cần ký được gửi vào thiết bị, thiết bị trả về chữ ký. Vì vậy, khi dùng USB Token cần cài trình điều khiển do nhà cung cấp phát hành.
Xu hướng mật mã hậu lượng tử
Máy tính lượng tử trong tương lai có thể đe dọa các thuật toán như RSA và ECDSA. Năm 2024, NIST đã công bố các chuẩn mật mã hậu lượng tử đầu tiên (FIPS 203, FIPS 204, FIPS 205), trong đó có các thuật toán chữ ký số mới. Việc chuyển đổi sẽ diễn ra dần theo quy định của cơ quan quản lý. Hiện tại, chữ ký số dùng RSA 2048 bit và SHA-256 theo quy định vẫn là tiêu chuẩn áp dụng tại Việt Nam.
Người dùng cần làm gì?
Đổi mã PIN mặc định, rút USB Token sau khi ký, chỉ cài phần mềm từ nguồn chính thức của nhà cung cấp và báo ngay khi mất thiết bị hoặc nghi lộ khóa để tạm dừng, thu hồi chứng thư.
Chữ ký số Hilo-CA
Hilo-CA là dịch vụ chứng thực chữ ký số công cộng của Công ty Cổ phần Dịch vụ T-VAN Hilo, hoạt động theo Giấy phép số 690/GP-BTTTT ngày 25/10/2021, cung cấp chữ ký số dạng USB Token và chữ ký số từ xa HSM cho doanh nghiệp, hộ kinh doanh và cá nhân.
Đăng ký mới hoặc gia hạn USB Token Hilo-CA ngay trên HiloShop: chọn gói, thanh toán online, giá đã giảm 40% so với giá niêm yết.
Liên hệ Hilo-CA qua hotline 1900 2929 62 hoặc email cskh@hilo.com.vn để được hỗ trợ kỹ thuật và tư vấn.
