Ký số từ xa: khoá bí mật lưu tại nhà cung cấp, người dùng ra lệnh ký qua xác thực. Cách hoạt động, pháp lý theo NĐ 23/2025, QCVN 137, so sánh USB Token và HSM.
Với USB Token, khoá bí mật nằm trong thiết bị bạn cầm trên tay. Ký số từ xa đảo ngược điều đó: khoá bí mật nằm trong hệ thống của nhà cung cấp dịch vụ chứng thực, còn bạn chỉ ra lệnh ký sau khi xác thực. Không cần cắm thiết bị, không cần cài driver — nhưng đổi lại, việc bảo vệ tài khoản đăng nhập trở thành điểm mấu chốt.
Định nghĩa theo quy chuẩn
Mô hình mà khóa bí mật của thuê bao được tạo và lưu trữ tại hệ thống của tổ chức cung cấp dịch vụ chứng thực chữ ký số công cộng, việc tạo chữ ký số được thực hiện từ xa theo lệnh của thuê bao thông qua cơ chế xác thực và ủy quyền nghiêm ngặt.
— QCVN 137:2025/BKHCN (Thông tư 50/2025/TT-BKHCN)
Nghị định 23/2025/NĐ-CP liệt kê ký số từ xa là một trong ba mô hình của dịch vụ chứng thực chữ ký số công cộng, bên cạnh ký số trên thiết bị phần cứng lưu khoá (như USB Token) và ký số trên thiết bị di động. Nói cách khác, đây không phải "chữ ký hạng hai" mà là một mô hình được pháp luật ghi nhận.
Ký số từ xa hoạt động thế nào?
- 1
Nhà cung cấp tạo và giữ khoá
Khi đăng ký, khoá bí mật của bạn được tạo và lưu trong thiết bị bảo mật phần cứng (HSM) tại hệ thống của tổ chức cung cấp dịch vụ; chứng thư số được cấp gắn với khoá đó.
- 2
Phần mềm gửi yêu cầu ký
Phần mềm bạn dùng (cổng thuế, phần mềm hoá đơn, nền tảng trình ký…) tính giá trị băm của tài liệu và gửi yêu cầu ký tới nhà cung cấp.
- 3
Bạn xác thực và cho phép
Bạn xác nhận lệnh ký qua cơ chế mà nhà cung cấp quy định, thường là ứng dụng trên điện thoại hoặc mã xác thực.
- 4
Chữ ký được tạo và trả về
Hệ thống của nhà cung cấp dùng khoá của bạn để ký giá trị băm và trả chữ ký về phần mềm, phần mềm gắn chữ ký vào tài liệu.
Về mặt kỹ thuật, chữ ký tạo ra vẫn theo cùng chuẩn với chữ ký bằng USB Token. Người kiểm tra file PDF đã ký không phân biệt được chữ ký được tạo từ USB Token hay từ xa — họ chỉ kiểm tra chứng thư, tính toàn vẹn và trạng thái chứng thư.
So sánh với USB Token
| Tiêu chí | USB Token | Ký số từ xa |
|---|---|---|
| Khoá bí mật nằm ở đâu | Trong thiết bị người dùng giữ | Trong HSM tại hệ thống nhà cung cấp |
| Xác thực khi ký | Mã PIN của thiết bị | Theo cơ chế của nhà cung cấp, thường qua ứng dụng điện thoại |
| Cài đặt trên máy tính | Cần driver hoặc công cụ ký | Thường không cần thiết bị gắn vào máy |
| Ký ở nhiều nơi | Phải mang thiết bị theo | Ký được ở nơi có kết nối và thiết bị xác thực |
| Rủi ro chính | Mất thiết bị, lộ mã PIN | Lộ tài khoản, mất điện thoại dùng để xác thực |
| Phụ thuộc | Máy tính có cổng USB và driver | Kết nối mạng và dịch vụ của nhà cung cấp |
Còn ký số tập trung HSM của doanh nghiệp?
Ký số tập trung HSM là mô hình thứ ba hay được nhắc cùng USB Token và ký số từ xa: khoá ký của tổ chức được bảo vệ trong mô-đun bảo mật phần cứng (HSM) trên hạ tầng đạt chuẩn, và hệ thống nghiệp vụ gọi ký tự động theo quy trình. Mô hình HSM tập trung phù hợp khi cần thông lượng cao như xuất hoá đơn hay chứng từ số lượng lớn, đổi lại cần đầu tư hạ tầng và quy trình quản trị khoá bài bản.
| Tiêu chí | USB Token | Ký số từ xa | HSM tập trung |
|---|---|---|---|
| Người ký thao tác | Cắm thiết bị, nhập PIN | Xác nhận lệnh ký trên điện thoại | Hệ thống ký tự động theo quy trình |
| Ký tự động, khối lượng lớn | Khó | Hạn chế, mỗi lệnh cần xác nhận | Phù hợp, tích hợp với hệ thống nghiệp vụ |
| Chi phí ban đầu | Thấp | Thấp, trả theo gói dịch vụ | Cao hơn: hạ tầng và quản trị khoá |
| Phù hợp nhất với | Số người ký vừa phải, ký lẻ | Người ký hay di chuyển | Thông lượng cao như hoá đơn, chứng từ hàng loạt |
Giá trị pháp lý
Chữ ký số từ xa có giá trị như chữ ký số tạo trên thiết bị khác, miễn là chứng thư do tổ chức cung cấp dịch vụ chứng thực chữ ký số công cộng được cấp phép phát hành và còn hiệu lực tại thời điểm ký — tức chưa hết hạn, không bị tạm dừng, không bị thu hồi.
Rủi ro cần lưu ý
- Tài khoản và thiết bị xác thực là "chìa khoá": ai kiểm soát điện thoại xác thực của bạn có thể phê duyệt lệnh ký
- Không chia sẻ tài khoản ký số từ xa cho trợ lý hay kế toán — việc đó giống như đưa USB Token kèm mã PIN
- Đọc kỹ nội dung yêu cầu ký trước khi xác nhận trên điện thoại; đừng xác nhận yêu cầu bạn không chủ động gửi
- Khi mất điện thoại hoặc nghi lộ tài khoản, báo ngay cho nhà cung cấp để tạm dừng chứng thư
- Kiểm tra nhà cung cấp có kênh hỗ trợ và cơ chế dự phòng khi dịch vụ gián đoạn
Quy trình xử lý khi mất thiết bị hoặc nghi lộ khoá áp dụng tương tự cho ký từ xa.
Khi nào nên chọn ký số từ xa?
| Tình huống | Gợi ý |
|---|---|
| Người ký thường xuyên đi công tác, ký trên nhiều máy | Ký số từ xa thuận tiện hơn |
| Máy tính bị khoá cổng USB hoặc không cài được driver | Ký số từ xa |
| Người ký muốn tự giữ khoá, ngại phụ thuộc mạng | USB Token |
| Hệ thống cần ký khối lượng lớn, tự động | Ký số tập trung HSM theo giải pháp của nhà cung cấp |
Chữ ký số đăng ký trên VNeID cũng là ký số từ xa: có mất phí không, dùng được vào việc gì
Đến kỳ gia hạn USB Token: có nên chuyển sang ký số từ xa, và phải đăng ký lại những gì nếu chuyển.
Còn GoSign thì sao?
GoSign hỗ trợ ký số bằng USB Token trên Windows thông qua GoSign Desktop Signer: hệ thống chỉ gửi giá trị băm tới thiết bị, không thu mã PIN. GoSign hiện chưa hỗ trợ ký số từ xa (ký số đám mây).
Cài đặt và kết nối GoSign Desktop Signer cho USB Token.
Đang dùng VNPT SmartCA, Viettel MySign hay MISA eSign? Cách từng dịch vụ ký trên máy tính.
Căn cứ pháp lý & nguồn tham khảo