Ai cấp chữ ký số? Chuỗi tin cậy từ Root CA quốc gia đến USB Token của bạn

Bạn nhận một cuộc gọi: "Chữ ký số của công ty anh sắp hết hạn, bên em gia hạn giá ưu đãi, anh chuyển khoản trước để giữ suất." Người gọi xưng là "đơn vị cấp chữ ký số". Nhưng thực sự thì ai được phép cấp chữ ký số, và làm sao biết người đang nói chuyện với bạn có phải là một trong số đó?

Hiểu chuỗi tin cậy phía sau chữ ký số giúp bạn trả lời câu hỏi đó trong một phút, đồng thời hiểu vì sao phần mềm đọc PDF đôi khi báo "không xác định được chữ ký".

Ba tầng của chuỗi tin cậy

Khi bạn ký, phần mềm của người nhận đi ngược chuỗi này: chứng thư của bạn do CA nào cấp, chứng thư của CA đó có do Root CA quốc gia cấp không, và tất cả có còn hiệu lực tại thời điểm ký không. Nghị định 23/2025/NĐ-CP yêu cầu người nhận kiểm tra cả trạng thái chứng thư của người ký lẫn trạng thái chứng thư của tổ chức đã phát hành nó.

Làm sao biết nhà cung cấp có được cấp phép?

1. 1

   Đối chiếu danh sách chính thức

   Bộ Khoa học và Công nghệ công bố danh sách doanh nghiệp đã được cấp giấy phép dịch vụ chứng thực chữ ký số công cộng; NEAC có trang giới thiệu các CA công cộng.

2. 2

   Phân biệt nhà cung cấp và đại lý

   Nhiều đơn vị bán chữ ký số là đại lý của một CA. Hỏi rõ chứng thư sẽ do CA nào cấp, rồi đối chiếu tên CA đó với danh sách.

3. 3

   Xem trên chính chứng thư

   Mở thông tin chứng thư trên máy (hoặc trong trình đọc PDF): mục tổ chức cấp (Issuer) phải là tên CA đã được cấp phép.

4. 4

   Không chuyển tiền theo cuộc gọi

   Gia hạn, cấp mới nên làm qua kênh chính thức của CA hoặc đại lý bạn đã ký hợp đồng, không theo số điện thoại lạ gọi đến.

Ai cấp chữ ký số cho cơ quan nhà nước?

Chữ ký số chuyên dùng công vụ là một hệ thống riêng. Theo Nghị định 68/2024/NĐ-CP, tổ chức cung cấp dịch vụ chứng thực chữ ký số chuyên dùng công vụ là Cục Chứng thực số và Bảo mật thông tin thuộc Ban Cơ yếu Chính phủ, phục vụ cơ quan, tổ chức nhà nước, tổ chức chính trị, tổ chức chính trị - xã hội và cán bộ, công chức, viên chức. Doanh nghiệp tư nhân không được cấp loại chữ ký này, nhưng sẽ gặp nó khi nhận công văn ký số từ cơ quan nhà nước.

Còn chứng thư nước ngoài thì sao?

Luật Giao dịch điện tử 2023 có quy định về việc công nhận chữ ký điện tử, chứng thư điện tử và tổ chức cung cấp dịch vụ chứng thực chữ ký điện tử nước ngoài tại Việt Nam. Nghị định 23/2025/NĐ-CP yêu cầu, với chứng thư nước ngoài được công nhận, người nhận kiểm tra hiệu lực trên cả hệ thống của tổ chức cung cấp dịch vụ chứng thực điện tử quốc gia và hệ thống của tổ chức nước ngoài. Khi ký với đối tác nước ngoài, hãy thống nhất trước cách ký và cách kiểm tra.

Vì sao phần mềm báo "không xác định được chữ ký"?

Thường là vì máy tính của người mở file chưa có chứng thư gốc của Việt Nam trong danh sách tin cậy, nên phần mềm không đi hết được chuỗi ba tầng. Chữ ký vẫn có thể hoàn toàn hợp lệ. Cách xử lý là cài chứng thư gốc theo hướng dẫn của CA hoặc NEAC, hoặc kiểm tra bằng công cụ của hệ thống đã phát hành văn bản, thay vì kết luận vội là chữ ký giả.

Thay đổi pháp lý sắp tới

Ngày 24/8/2026, Quốc hội thông qua Luật số 20/2026/QH16 sửa đổi, bổ sung một số điều của Luật Tần số vô tuyến điện, Luật Viễn thông, Luật Giao dịch điện tử và Luật Chuyển giao công nghệ. Với Luật Giao dịch điện tử, các thay đổi chủ yếu liên quan đến thủ tục giấy phép kinh doanh dịch vụ tin cậy và thay tên cơ quan quản lý thành Bộ Khoa học và Công nghệ. Với thuê bao như doanh nghiệp bạn, cách mua, dùng và kiểm tra chữ ký số không thay đổi.

GoSign có cấp chữ ký số không?

Không. GoSign là nền tảng trình ký, không phải tổ chức cung cấp dịch vụ chứng thực. Doanh nghiệp mua chứng thư số trên USB Token hoặc SmartCard từ CA được cấp phép, rồi dùng chứng thư đó để ký số trên GoSign qua ứng dụng GoSign Desktop Signer. GoSign hiện chưa hỗ trợ ký số từ xa (ký số đám mây) và HSM.