USB Token là gì? Vì sao chiếc USB nhỏ này giữ quyền ký của cả doanh nghiệp

Trong ngăn kéo của phòng kế toán nhiều doanh nghiệp có một chiếc USB nhỏ bằng ngón tay cái. Nó không lưu được file, không mở được như ổ đĩa, nhưng lại là thứ duy nhất cho phép doanh nghiệp nộp tờ khai thuế, phát hành hoá đơn và ký hợp đồng điện tử. Mất nó, công việc dừng lại. Để người khác cầm nó cùng mã PIN, họ có thể ký nhân danh công ty.

Chiếc USB đó là USB Token. Bài viết này giải thích USB Token là gì, bên trong có gì, vì sao không sao chép được, và những quy tắc đơn giản giúp doanh nghiệp không phải trả giá cho sự lơ là với nó.

USB Token là gì?

USB Token là thiết bị phần cứng có hình dạng như chiếc USB, bên trong chứa một chip bảo mật. Chip này lưu khoá bí mật và chứng thư chữ ký số của người sở hữu, đồng thời tự thực hiện phép tính tạo chữ ký. Khi bạn "ký số" một văn bản bằng USB Token, chính con chip bên trong thiết bị tạo ra chữ ký, không phải máy tính.

Nói gọn: chứng thư số cho biết bạn là ai, khoá bí mật là thứ tạo ra chữ ký của bạn, còn USB Token là chiếc két nhỏ giữ khoá bí mật đó. Nghị định 23/2025/NĐ-CP ghi nhận ký số trên thiết bị phần cứng như USB Token và SmartCard là một trong các mô hình cung cấp dịch vụ chứng thực chữ ký số công cộng.

Bên trong một USB Token có gì?

USB Token khác USB lưu trữ thế nào?

USB Token hoạt động thế nào khi bạn ký?

1. 1

   Cắm token và cài driver

   Máy tính nhận thiết bị qua driver do tổ chức cấp chứng thư cung cấp. Không có driver, phần mềm ký sẽ không thấy chứng thư.

2. 2

   Phần mềm ký tính mã băm

   Phần mềm (trình đọc PDF, công cụ khai thuế, nền tảng trình ký…) tính một chuỗi mã băm ngắn đại diện cho nội dung văn bản.

3. 3

   Bạn nhập mã PIN

   Hộp thoại của thiết bị hỏi mã PIN. Đây là bước xác nhận chính người giữ token đang ký.

4. 4

   Chip ký bên trong thiết bị

   Mã băm được đưa vào token, chip dùng khoá bí mật tạo chữ ký rồi trả kết quả ra.

5. 5

   Chữ ký được gắn vào văn bản

   Phần mềm gắn chữ ký cùng chứng thư vào file. Ai mở file cũng kiểm tra được người ký và việc văn bản có bị sửa sau khi ký hay không.

USB Token dùng để làm gì trong doanh nghiệp?

• Kê khai, nộp thuế điện tử và các thủ tục trên cổng dịch vụ công.
• Ký hoá đơn điện tử trên phần mềm hoá đơn.
• Kê khai bảo hiểm xã hội, hải quan điện tử (tuỳ hệ thống của từng cơ quan).
• Ký hợp đồng điện tử với đối tác, khách hàng.
• Ký văn bản nội bộ quan trọng: quyết định, biên bản, quy chế.

Mỗi hệ thống có phần mềm ký riêng, nhưng cùng dùng một chứng thư trong token. Vì vậy một token thường "đi" qua tay nhiều người trong tuần: kế toán nộp thuế, hành chính ký hợp đồng, giám đốc ký quyết định. Chính việc chuyền tay này sinh ra rủi ro lớn nhất.

Tự kiểm tra: token của doanh nghiệp bạn có đang an toàn?

Trả lời nhanh 6 câu dưới đây. Mỗi câu "Không" là một lỗ hổng nên xử lý trong tuần này.

1. 1Bạn có biết chính xác hôm nay token của công ty đang nằm ở đâu, ai cầm?
2. 2Mã PIN mặc định đã được đổi ngay khi nhận token?
3. 3Mã PIN không được dán, viết lên thiết bị hay để trong file trên máy tính?
4. 4Có sổ hoặc biên bản ghi lại mỗi lần giao nhận token giữa các bộ phận?
5. 5Bạn biết ngày hết hạn của chứng thư và đã đặt lịch nhắc gia hạn?
6. 6Bạn biết số điện thoại hỗ trợ của tổ chức cấp chứng thư để báo mất ngay khi cần?

7 quy tắc giữ USB Token an toàn

1. 1Đổi mã PIN mặc định ngay lần đầu dùng; mỗi người giữ token phải tự đặt và giữ bí mật PIN.
2. 2Rút token ngay sau khi ký xong. Token cắm cả ngày trên máy là cánh cửa mở cho phần mềm độc hại.
3. 3Không chụp ảnh, không gửi PIN qua tin nhắn hay email, kể cả cho đồng nghiệp.
4. 4Ghi biên bản mỗi lần bàn giao token, đặc biệt khi người giữ nghỉ phép hoặc nghỉ việc.
5. 5Chỉ cài driver và phần mềm ký từ tổ chức cấp chứng thư hoặc nhà cung cấp phần mềm chính thức.
6. 6Theo dõi ngày hết hạn chứng thư; gia hạn trước hạn để không gián đoạn công việc.
7. 7Khi mất token hoặc nghi lộ PIN, báo ngay tổ chức cấp chứng thư. Nghị định 23/2025/NĐ-CP (khoản 6 Điều 45) yêu cầu thuê bao thông báo trong thời gian 24 giờ khi phát hiện dấu hiệu khoá bí mật bị lộ, bị đánh cắp hoặc bị sử dụng trái phép.

USB Token, SmartCard hay ký số từ xa?

SmartCard dùng cùng loại chip nhưng ở dạng thẻ, cần đầu đọc thẻ. Ký số từ xa thì khoá bí mật nằm trên hệ thống của nhà cung cấp, người ký xác thực qua điện thoại. Mỗi mô hình có ưu nhược riêng về sự tiện lợi và cách kiểm soát. Nếu doanh nghiệp đang dùng USB Token, bạn không cần đổi chỉ để "theo xu hướng": điều quan trọng là quản lý tốt thiết bị đang có.

Dùng USB Token trên GoSign

Trên GoSign, người cần ký số cắm USB Token vào máy tính Windows có cài ứng dụng GoSign Desktop Signer. Máy chủ GoSign chuẩn bị tài liệu và tính mã băm, Desktop Signer chỉ nhận mã băm, đưa vào token để ký rồi trả chữ ký về. File PDF không bị gửi xuống máy, và mã PIN được nhập trên hộp thoại của thiết bị chứ không nhập trên trang web.

Những người chỉ phê duyệt, ký ảnh hoặc ký nháy trong cùng luồng không cần token. Nhờ vậy doanh nghiệp chỉ cần token cho đúng người phải ký số, không phải chuyền tay token cho từng bước duyệt. GoSign hiện hỗ trợ ký số bằng USB Token và SmartCard; chưa hỗ trợ ký số từ xa (ký số đám mây) và HSM.