Chữ ký số được thiết kế để xác thực người ký và bảo đảm tính toàn vẹn của dữ liệu trong giao dịch điện tử. Tuy nhiên, điều đó có đồng nghĩa chữ ký số không thể bị giả mạo? Câu trả lời cần được nhìn từ cơ chế mật mã và hệ thống PKI đứng phía sau chữ ký số.

1. Chữ ký số có thể bị giả mạo không?

Về bản chất, không thể dễ dàng sao chép hình ảnh chữ ký số để tạo ra một chữ ký số hợp lệ. Chữ ký số được phát triển từ thuật toán RSA - thuật toán tạo ra mật mã mã khóa công khai, bao gồm hệ thống một cặp khóa không đối xứng: khóa bí mật (private key) và khóa công khai (public key).

Khóa bí mật được sử dụng để tạo chữ ký số và phải được bảo mật bởi chủ thể ký. Khóa công khai được sử dụng để kiểm tra chữ ký. Hai khóa có mối quan hệ chặt chẽ với nhau, nhưng từ khóa công khai không thể thực tế suy ngược để lấy khóa bí mật bằng các phương pháp thông thường khi sử dụng thuật toán mật mã phù hợp.

Khi một tài liệu được ký, hệ thống sử dụng khóa bí mật để tạo chữ ký gắn với dữ liệu cần ký. Bên nhận sau đó có thể sử dụng khóa công khai tương ứng để xác minh.

Nếu nội dung tài liệu bị thay đổi sau khi ký, kết quả xác minh sẽ không còn phù hợp với chữ ký ban đầu. Do đó, cần phân biệt “giả mạo chữ ký số” với “chiếm quyền sử dụng chữ ký số”.

• Giả mạo chữ ký số: Tạo một chữ ký mới nhưng khiến hệ thống xác minh như thể nó được tạo bởi khóa bí mật của người ký hợp pháp. Đây là bài toán rất khó về mặt mật mã nếu khóa bí mật được bảo vệ đúng cách.
• Chiếm quyền sử dụng chữ ký số: Kẻ xấu có được quyền truy cập hoặc kiểm soát khóa bí mật, thiết bị ký, tài khoản hoặc phương thức xác thực của người dùng rồi sử dụng chúng để ký. Đây mới là rủi ro thực tế mà người sử dụng cần đặc biệt lưu ý.

2. PKI là gì và bảo vệ chữ ký số như thế nào?

PKI (Public Key Infrastructure - Hạ tầng khóa công khai) là hệ thống gồm công nghệ, quy trình và chính sách được xây dựng để quản lý khóa mật mã và chứng thư số, qua đó hỗ trợ xác thực danh tính, tạo lập và kiểm tra chữ ký số cũng như bảo đảm an toàn trong giao dịch điện tử.

Trong hệ thống PKI, chứng thư số đóng vai trò liên kết khóa công khai với thông tin nhận diện của một chủ thể. Chứng thư được cấp và xác thực thông qua tổ chức cung cấp dịch vụ chứng thực theo quy định.

Có thể hình dung PKI như một chuỗi tin cậy: thay vì chỉ nhìn vào một chữ ký trên tài liệu, hệ thống sẽ kiểm tra chữ ký, khóa công khai, chứng thư số và các điều kiện liên quan để xác định chữ ký có hợp lệ hay không.

2.1. Các thành phần quan trọng của PKI

a. Khóa bí mật (Private Key)

Đây là thành phần quan trọng nhất khi nói đến khả năng bảo vệ chữ ký số. Khóa bí mật được sử dụng để tạo chữ ký và phải được giữ bí mật, kiểm soát bởi chủ thể ký. Nếu khóa bí mật bị lộ hoặc bị người khác kiểm soát, nguy cơ bị sử dụng trái phép sẽ phát sinh.

b. Khóa công khai (Public Key)

Khóa công khai được sử dụng để xác minh chữ ký được tạo bởi khóa bí mật tương ứng. Khóa này có thể được công khai trong chứng thư số mà không cần giữ bí mật như private key.

c. Chứng thư số (Digital Certificate)

Chứng thư số chứa thông tin định danh của chủ thể cùng khóa công khai và được tổ chức cung cấp dịch vụ chứng thực ký xác nhận. Chứng thư số giúp bên nhận xác định khóa công khai đang được sử dụng thuộc về chủ thể nào, thay vì chỉ biết rằng một chữ ký được tạo ra bởi một khóa nào đó.

d. Tổ chức cung cấp dịch vụ chứng thực (CA)

CA là thành phần quan trọng trong chuỗi tin cậy của PKI. CA thực hiện việc cấp và quản lý chứng thư số theo quy định, từ đó tạo cơ sở để các bên tin tưởng vào mối liên hệ giữa danh tính của chủ thể và khóa công khai.

Cơ chế kiểm tra trạng thái chứng thư

PKI còn có các cơ chế phục vụ việc kiểm tra chứng thư số còn hiệu lực hay đã bị thu hồi. Điều này giúp hạn chế việc tiếp tục tin tưởng một chứng thư không còn đủ điều kiện sử dụng.

2.2. PKI xác minh một chữ ký số như thế nào?

Quy trình xác minh chữ ký số như sau: Tạo khóa → Cấp chứng thư → Ký dữ liệu → Kiểm tra chứng thư → Xác minh chữ ký → Kiểm tra tính toàn vẹn dữ liệu

Khi người dùng ký một tài liệu, khóa bí mật được sử dụng để tạo chữ ký số.

Khi bên nhận kiểm tra tài liệu, hệ thống sẽ sử dụng khóa công khai tương ứng và thông tin trong chứng thư số để xác minh chữ ký. Đồng thời, hệ thống có thể kiểm tra các yếu tố như thời hạn chứng thư, trạng thái chứng thư và chuỗi tin cậy.

Nếu tài liệu đã bị thay đổi sau thời điểm ký, dữ liệu được kiểm tra sẽ không còn phù hợp với chữ ký ban đầu. Đây chính là một trong những cơ chế quan trọng giúp chữ ký số bảo đảm tính toàn vẹn của dữ liệu.

3. Những trường hợp nào khiến chữ ký số có nguy cơ bị giả mạo hoặc sử dụng trái phép?

Công nghệ PKI được thiết kế để chống giả mạo, nhưng hiệu quả bảo vệ còn phụ thuộc lớn vào cách quản lý khóa bí mật và môi trường ký.

3.1. Khóa bí mật bị lộ

Nếu một đối tượng khác có được khóa bí mật và có khả năng sử dụng khóa đó, họ có thể tạo chữ ký bằng chính khóa tương ứng. Khi đó, hệ thống xác minh chữ ký có thể nhận diện chữ ký là phù hợp với khóa công khai của chủ thể. Vì vậy, bảo vệ khóa bí mật quan trọng hơn việc chỉ bảo vệ hình ảnh hoặc giao diện hiển thị của chữ ký.

3.2. Thiết bị hoặc phương tiện ký bị người khác kiểm soát

Đối với chữ ký số sử dụng thiết bị hoặc phương thức xác thực riêng, người dùng cần bảo vệ cả phương tiện ký và thông tin xác thực. Việc để người không có thẩm quyền tiếp cận thiết bị ký, mã PIN, mật khẩu hoặc tài khoản có quyền ký có thể làm tăng nguy cơ chữ ký bị sử dụng trái phép.

3.3. Thiết bị của người ký bị nhiễm mã độc

Một hệ thống PKI an toàn không đồng nghĩa mọi thiết bị dùng để ký đều an toàn. Mã độc có thể tìm cách đánh cắp thông tin xác thực, can thiệp vào quá trình ký hoặc khiến người dùng thực hiện một thao tác mà không nhận biết đầy đủ.

3.4. Người dùng ký nhầm tài liệu

Nếu người dùng được gửi một tài liệu giả mạo rồi chủ động ký vào tài liệu đó, chữ ký vẫn có thể được xác minh là hợp lệ về mặt kỹ thuật. Hệ thống không thể thay người ký xác định nội dung đó có đúng với ý chí giao dịch hay không.

Vì vậy, trước khi ký, người dùng cần kiểm tra kỹ:

• Tên và thông tin của đối tác;
• Nội dung tài liệu;
• Số tiền, thời hạn và các điều khoản quan trọng;
• File hoặc dữ liệu thực tế đang được yêu cầu ký;
• Đối tượng yêu cầu thực hiện thao tác ký.

3.5. Không xử lý kịp thời khi khóa hoặc chứng thư có nguy cơ mất an toàn

Khi phát hiện khóa bí mật bị lộ, phương tiện ký bị mất hoặc có dấu hiệu bị sử dụng trái phép, cần nhanh chóng thực hiện các biện pháp xử lý phù hợp, trong đó có việc liên hệ đơn vị cung cấp dịch vụ chứng thực để được hỗ trợ.

Chữ ký số ECA được xây dựng trên nền tảng hạ tầng khóa công khai, hỗ trợ doanh nghiệp và cá nhân thực hiện các giao dịch điện tử cần xác thực và ký số. Người dùng cần kết hợp giải pháp công nghệ với quy trình bảo mật phù hợp để khai thác đầy đủ giá trị an toàn của chữ ký số.

Nguyệt Nga