Chứng thư số là gì? Nội dung, thời hạn và vòng đời từ lúc cấp đến khi thu hồi

Nếu chữ ký số là con dấu mật mã gắn lên văn bản, thì chứng thư số là giấy tờ tuỳ thân đi kèm con dấu đó: nó cho người nhận biết chữ ký thuộc về ai, do tổ chức nào xác nhận và còn giá trị đến bao giờ. Trong văn bản pháp luật, tên đầy đủ là chứng thư chữ ký số; loại doanh nghiệp dùng phổ biến nhất là chứng thư chữ ký số công cộng, do tổ chức cung cấp dịch vụ chứng thực chữ ký số công cộng (thường gọi là CA) cấp.

Hiểu chứng thư số giúp doanh nghiệp tránh những sự cố rất đời thường: chữ ký bị báo không hợp lệ vì chứng thư hết hạn, không ký được vì chứng thư bị tạm dừng, hay lúng túng khi nhân sự giữ USB Token nghỉ việc.

Chứng thư số dùng để làm gì?

Chữ ký số dựa trên một cặp khoá: khoá bí mật dùng để ký và khoá công khai dùng để kiểm tra. Bản thân cặp khoá không nói lên chủ sở hữu là ai. Chứng thư số giải quyết điều đó bằng cách gắn khoá công khai với danh tính của thuê bao, và được chính CA ký xác nhận. Chữ ký của CA lại được bảo đảm bởi chứng thư cấp trên, cho đến chứng thư gốc của hệ thống chứng thực điện tử quốc gia — gọi là chuỗi tin cậy.

• Xác định danh tính người ký: tên cá nhân hoặc tổ chức sở hữu khoá bí mật
• Cung cấp khoá công khai để phần mềm kiểm tra chữ ký trên văn bản
• Cho biết thời hạn và phạm vi sử dụng hợp lệ của chữ ký
• Là căn cứ để kiểm tra trạng thái: còn hiệu lực, bị tạm dừng hay bị thu hồi

Chứng thư số, khoá bí mật và khoá công khai khác nhau thế nào?

Vì chứng thư được gắn kèm vào file đã ký, người nhận không cần bạn gửi thêm gì để kiểm tra chữ ký. Ngược lại, khoá bí mật không bao giờ rời khỏi thiết bị: khi ký, phần mềm gửi giá trị băm của tài liệu vào thiết bị và nhận lại chữ ký.

Một chứng thư số công cộng gồm những thông tin gì?

Theo Nghị định 23/2025/NĐ-CP, chứng thư chữ ký số công cộng phải có các nội dung sau:

• Tên của tổ chức phát hành chứng thư
• Tên của thuê bao
• Số hiệu chứng thư (serial number)
• Thời hạn có hiệu lực
• Khoá công khai của thuê bao
• Chữ ký số của tổ chức phát hành
• Mục đích, phạm vi sử dụng
• Trách nhiệm pháp lý của tổ chức cung cấp dịch vụ
• Thuật toán khoá không đối xứng

Với chứng thư của doanh nghiệp, phần tên thuê bao thường kèm mã số thuế; với chứng thư cá nhân là họ tên và số định danh. Đây là lý do cùng một người có thể có hai chứng thư: một của cá nhân và một đại diện cho doanh nghiệp.

Chứng thư số có thời hạn bao lâu?

Trên thực tế, chứng thư thường được bán theo gói 1, 2 hoặc 3 năm tuỳ nhà cung cấp. Hết thời hạn, chứng thư không còn dùng để ký mới được và cần gia hạn hoặc cấp chứng thư mới.

Vòng đời của một chứng thư số

1. 1

   Đăng ký và tạo cặp khoá

   Thuê bao ký hợp đồng với CA. Cặp khoá có thể do thuê bao tự tạo trên thiết bị đạt chuẩn, hoặc do CA tạo rồi chuyển giao khoá bí mật an toàn cho thuê bao.

2. 2

   Xác nhận và công bố

   Sau khi thuê bao xác nhận thông tin trên chứng thư là chính xác, CA công bố chứng thư chậm nhất trong 24 giờ để các bên có thể tra cứu.

3. 3

   Sử dụng

   Trong thời hạn hiệu lực, thuê bao dùng chứng thư để ký hợp đồng, văn bản, hoá đơn, tờ khai. Mỗi lần ký cần thiết bị và mã PIN.

4. 4

   Gia hạn

   Trước khi hết hạn, thuê bao yêu cầu gia hạn với CA. Nên làm sớm để tránh gián đoạn các giao dịch cần chữ ký số.

5. 5

   Tạm dừng (có thể phục hồi)

   Chứng thư có thể bị tạm dừng theo yêu cầu của thuê bao, khi phát hiện rủi ro hoặc giao dịch đáng ngờ, theo yêu cầu của cơ quan có thẩm quyền hoặc theo hợp đồng. Khi tạm dừng, chứng thư không dùng để ký được.

6. 6

   Thu hồi (chấm dứt vĩnh viễn)

   Chứng thư bị thu hồi theo yêu cầu của thuê bao, khi cá nhân chết hoặc mất tích, tổ chức giải thể hoặc phá sản, theo hợp đồng hoặc theo yêu cầu của cơ quan có thẩm quyền. Muốn ký tiếp phải được cấp chứng thư mới.

Cách xem thông tin chứng thư số trên máy tính Windows

1. 1

   Dùng phần mềm quản lý thiết bị của nhà cung cấp

   Cắm USB Token và mở phần mềm quản lý đi kèm (do CA cung cấp). Hầu hết đều có chức năng xem chứng thư, thời hạn và đổi mã PIN.

2. 2

   Hoặc mở kho chứng chỉ của Windows

   Nhấn Windows + R, gõ certmgr.msc rồi Enter, mở Personal > Certificates. Khi trình điều khiển của token đã được cài, chứng thư trên thiết bị thường xuất hiện tại đây.

3. 3

   Đọc các tab thông tin

   Mở chứng thư: tab General cho biết người được cấp, đơn vị cấp và khoảng thời gian hiệu lực; tab Details có số hiệu (Serial number); tab Certification Path cho thấy chuỗi chứng thư lên đến chứng thư gốc.

Khi ký số trên GoSign, bạn không cần tra thủ công: hộp thoại "Chọn chứng thư số" liệt kê các chứng thư đọc được từ thiết bị và gắn nhãn "Đang hoạt động" hoặc "Hết hạn / không hợp lệ". Vừa cắm token mà chưa thấy chứng thư, bấm "Quét lại".

Phần mềm kiểm tra trạng thái chứng thư bằng cách nào?

CA có trách nhiệm cập nhật danh sách chứng thư có hiệu lực, bị tạm dừng và bị thu hồi, cho phép truy cập trực tuyến 24 giờ mỗi ngày, 7 ngày mỗi tuần. Phần mềm kiểm tra chữ ký thường dùng một trong hai cơ chế kỹ thuật:

• CRL (Certificate Revocation List): danh sách chứng thư bị thu hồi do CA phát hành định kỳ, phần mềm tải về để đối chiếu
• OCSP (Online Certificate Status Protocol): truy vấn trực tuyến tới máy chủ của CA để hỏi trạng thái của một chứng thư cụ thể

Chứng thư hết hạn thì văn bản đã ký có còn giá trị?

Chữ ký số được xem xét theo thời điểm ký. Một chữ ký được tạo khi chứng thư còn hiệu lực không tự nhiên trở nên sai chỉ vì chứng thư hết hạn sau đó. Điều cần làm là giữ được bằng chứng về thời điểm ký: lưu bản gốc đã ký, lịch sử xử lý và thông tin thời gian đi kèm. Ngược lại, không thể dùng chứng thư đã hết hạn, bị tạm dừng hoặc bị thu hồi để ký văn bản mới.

Những lỗi thường gặp liên quan đến chứng thư số