Token Viettel-CA, FPT-CA và MISA đã ký thật trên GoSign. Cần cài gì của từng CA, kiểm tra token trên Windows, chọn đúng chứng thư và xử lý lỗi hay gặp.
GoSign không bán USB Token và không gắn với một nhà cung cấp chứng thư (CA) nào. Doanh nghiệp đang dùng token của CA nào thì ký bằng token đó. Bài này ghi lại những gì chúng tôi rút ra khi ký thật trên GoSign bằng token của ba CA: Viettel-CA, FPT-CA và MISA. Phần cài GoSign Desktop Signer và cấp quyền cho trình duyệt có bài hướng dẫn riêng, bài này đi vào phần khác nhau giữa các CA.
Vì sao một ứng dụng ký dùng được token của nhiều CA?
Mỗi CA phát hành token kèm phần mềm riêng: driver và công cụ quản lý token. Khi cài phần mềm này và cắm token, chứng thư số trên token xuất hiện trong kho chứng thư cá nhân (Personal) của Windows, còn khoá bí mật vẫn nằm trong chip của token và không chép ra ngoài được.
GoSign Desktop Signer không làm việc riêng với từng loại token. Ứng dụng đọc kho chứng thư của Windows và chỉ liệt kê chứng thư thoả hai điều kiện: có khoá bí mật đi kèm, và được phép dùng để ký số. Khi bạn bấm ký, Windows chuyển lệnh ký tới driver của CA, token tự tạo chữ ký và hộp thoại nhập mã PIN là hộp thoại của CA. GoSign chỉ gửi giá trị băm của tài liệu xuống máy, không nhận mã PIN và không ghi gì lên token.
Kết quả kiểm chứng theo từng CA
| Token | Trên GoSign | Cần chuẩn bị trước (theo hướng dẫn của CA) |
|---|---|---|
| Viettel-CA | Đã ký thật | Viettel-CA có nhiều đời token; trang Tải về của Viettel-CA có bộ cài driver và Token Manager riêng cho từng đời. Cài đúng bộ cho token của bạn. |
| FPT-CA | Đã ký thật | Cài phần mềm hỗ trợ token do FPT-CA cung cấp, đi kèm thiết bị hoặc tải từ trang hỗ trợ của FPT. |
| MISA | Đã ký thật | Cắm token, mở ổ đĩa MISA-CA và chạy autorun.exe để cài MISA-CA Token Manager. Token mới phải kích hoạt bằng mã MISA gửi qua email hoặc số điện thoại, rồi đặt mã PIN. |
| VNPT-CA, BKAV-CA và CA khác | Về nguyên tắc dùng được, chưa ký thử | Cài driver của CA đó. Nên ký thử một tài liệu trong thời gian dùng thử trước khi triển khai. |
Ký số từ xa SmartCA, MySign, MISA eSign hoạt động thế nào và vì sao chưa dùng được trên GoSign.
Trước khi ký: kiểm tra token đã sẵn sàng trên Windows
- 1
Mở công cụ quản lý token của CA
Sau khi cài phần mềm của CA và cắm token, mở công cụ quản lý token (Token Manager hoặc tên tương đương). Công cụ nhận thiết bị và hiển thị chứng thư còn hạn nghĩa là phần của CA đã xong.
- 2
Xem chứng thư trong kho của Windows
Nhấn Windows + R, gõ certmgr.msc rồi Enter. Mở mục Personal > Certificates (Cá nhân > Chứng chỉ). Chứng thư của bạn phải có trong danh sách này thì Desktop Signer mới thấy.
- 3
Kiểm tra có khoá bí mật đi kèm
Mở chứng thư, ở thẻ General phải có dòng "You have a private key that corresponds to this certificate" (bản tiếng Việt ghi bạn có khoá riêng tương ứng với chứng chỉ này). Thiếu dòng này thì máy chỉ có bản sao chứng thư, không ký được.
- 4
Quét lại trong GoSign
Mở GoSign Desktop Signer, vào trang ký và mở hộp thoại chọn chứng thư. Chưa thấy chứng thư thì bấm Quét lại.
Máy có nhiều chứng thư: chọn đúng cái nào?
Hộp thoại chọn chứng thư của GoSign hiện tên trên chứng thư, số serial và thời hạn. Tên người ký trên dấu ký số lấy từ chứng thư bạn chọn, nên chọn nhầm là tài liệu ghi nhầm người ký. Ba tình huống hay gặp:
| Tình huống | Dấu hiệu | Cách chọn |
|---|---|---|
| Có cả chứng thư tổ chức và chứng thư cá nhân | Một chứng thư mang tên công ty, một mang tên người | Chọn theo yêu cầu của văn bản: văn bản cần chữ ký số của doanh nghiệp thì chọn chứng thư mang tên công ty |
| Vừa gia hạn | Hai chứng thư cùng tên, khác thời hạn | Chọn chứng thư có nhãn Đang hoạt động, hạn xa hơn. Chứng thư đã hết hạn bị khoá, không chọn được |
| Một máy từng cắm token của nhiều người hoặc nhiều CA | Danh sách có chứng thư của token không đang cắm | Windows có thể giữ lại chứng thư của token đã rút ra. Đối chiếu số serial với chứng thư trong công cụ quản lý token đang cắm |
Lỗi hay gặp khi dùng token của các CA
| Hiện tượng | Thường do | Cách xử lý |
|---|---|---|
| Cắm token, máy chỉ hiện thêm một ổ đĩa, Desktop Signer không thấy chứng thư | Chưa cài phần mềm của CA. Với token MISA, ổ đĩa MISA-CA chứa bộ cài | Chạy bộ cài trong ổ đĩa đó hoặc tải từ trang của CA, rồi bấm Quét lại |
| Chứng thư có trong certmgr.msc nhưng không hiện trên GoSign | Chứng thư không có khoá bí mật đi kèm, hoặc không phải chứng thư dùng để ký | Kiểm tra dòng khoá bí mật như hướng dẫn ở trên; cắm đúng token chứa chứng thư |
| Bấm ký nhưng không hiện hộp thoại nhập mã PIN, hoặc báo lỗi tại thiết bị | Driver cũ, cài nhầm đời token, hoặc token rút ra giữa chừng | Gỡ và cài lại bản driver mới của CA cho đúng loại token, cắm lại token rồi ký lại |
| Token bị khoá sau khi nhập sai mã PIN nhiều lần | Cơ chế bảo vệ của token | Liên hệ CA đã cấp token để mở khoá. Viettel-CA có phần mềm mở khoá token trên trang Tải về |
| Đã gia hạn nhưng GoSign vẫn chỉ thấy chứng thư cũ | Chứng thư mới chưa được cập nhật lên token | Làm theo hướng dẫn cập nhật chứng thư của CA, rút ra cắm lại token, bấm Quét lại |
Lỗi kết nối Desktop Signer, quyền truy cập mạng nội bộ và cập nhật ứng dụng.
Việc nào hỏi CA, việc nào hỏi GoSign
| Việc | Liên hệ |
|---|---|
| Mua, gia hạn, cấp lại chứng thư số | CA đã cấp token |
| Kích hoạt token mới, đổi hoặc mở khoá mã PIN | CA đã cấp token |
| Cài driver, công cụ quản lý token | CA đã cấp token |
| Tạm dừng, thu hồi chứng thư khi mất token | CA đã cấp token, báo ngay |
| Cài Desktop Signer, kết nối trình duyệt, chọn chứng thư trên GoSign | GoSign |
| Thiết lập luồng ký, vị trí chữ ký, dấu ký số | GoSign |
Ảnh thậtXem toàn bộ bảng: token, máy tính, định dạng file và phần mềm GoSign dùng được.
Căn cứ pháp lý & nguồn tham khảo