Trong quá trình chuyển đổi số, chữ ký số ngày càng được sử dụng phổ biến trong giao dịch điện tử, kê khai thuế, bảo hiểm xã hội, hóa đơn điện tử và ký kết hợp đồng. Tuy nhiên, để thực hiện ký số lại cần cả một hệ thống công nghệ bảo mật nhằm xác thực người ký và bảo đảm dữ liệu không bị thay đổi phía sau. Một trong những nền tảng quan trọng nhất của hệ thống này là PKI (Public Key Infrastructure – hạ tầng khóa công khai). Vậy PKI là gì, hoạt động như thế nào? Chúng có vai trò gì đối với chữ ký số? Hiểu rõ kiến trúc PKI giúp doanh nghiệp nắm được bản chất của chữ ký số, chứng thư số và cơ chế bảo mật trong các giao dịch điện tử.

1. PKI là gì?

PKI (Public Key Infrastructure) là hạ tầng khóa công khai, bao gồm hệ thống công nghệ, quy trình và các thành phần được sử dụng để tạo lập, quản lý, phân phối, xác thực và thu hồi khóa mật mã cũng như chứng thư số.

PKI sử dụng cơ chế mật mã khóa công khai (Public Key Cryptography), trong đó mỗi chủ thể thường có một cặp khóa gồm:

• Khóa riêng (Private Key): được giữ bí mật và sử dụng để tạo chữ ký số hoặc thực hiện các thao tác mật mã.
• Khóa công khai (Public Key): được công khai thông qua chứng thư số và được sử dụng để kiểm tra chữ ký hoặc mã hóa dữ liệu tùy từng trường hợp.

Hai khóa có mối quan hệ toán học với nhau nhưng việc suy ra khóa riêng từ khóa công khai phải được thiết kế để rất khó thực hiện về mặt tính toán.

Có thể hiểu đơn giản, PKI chính là “hạ tầng” đứng phía sau để chữ ký số có thể hoạt động một cách an toàn và có khả năng xác thực.

2. PKI có vai trò gì đối với chữ ký số?

Chữ ký số không chỉ đơn thuần là hình ảnh chữ ký được gắn vào văn bản điện tử. Về bản chất, chữ ký số được tạo ra bằng công nghệ mật mã và gắn với chứng thư số của người ký hoặc tổ chức ký.

PKI hỗ trợ chữ ký số thực hiện các chức năng quan trọng như:

• Xác thực danh tính: Chứng thư số giúp liên kết khóa công khai với chủ thể được cấp chứng thư. Nhờ đó, bên nhận có cơ sở xác định chữ ký số thuộc về chủ thể nào.
• Đảm bảo tính toàn vẹn của dữ liệu: Khi dữ liệu đã được ký, bất kỳ thay đổi nào đối với nội dung tài liệu đều có thể khiến quá trình kiểm tra chữ ký không còn hợp lệ.
• Hỗ trợ chống chối bỏ: Chữ ký số được gắn với khóa riêng của người ký và chứng thư số tương ứng, tạo cơ sở kỹ thuật cho việc xác định chủ thể đã thực hiện hành vi ký.
• Quản lý vòng đời chứng thư số: PKI hỗ trợ việc cấp mới, gia hạn, thay đổi, tạm ngừng hoặc thu hồi chứng thư số khi cần thiết.

3. Kiến trúc PKI gồm những thành phần nào?

Một hệ thống PKI thường có nhiều thành phần phối hợp với nhau, trong đó các thành phần quan trọng gồm:

3.1. CA – Certification Authority

CA (Certificate Authority – tổ chức cung cấp dịch vụ chứng thực chữ ký số) là thành phần có nhiệm vụ cấp và quản lý chứng thư số.

CA xác nhận mối liên hệ giữa danh tính của chủ thể và khóa công khai được ghi nhận trong chứng thư số. Đây là thành phần quan trọng tạo nên “chuỗi tin cậy” trong hệ thống PKI.

Ví dụ: Khi doanh nghiệp đăng ký sử dụng chữ ký số, nhà cung cấp dịch vụ chứng thực sẽ thực hiện quy trình xác minh thông tin trước khi cấp chứng thư số cho doanh nghiệp.

3.2. RA – Registration Authority

RA (Registration Authority) thực hiện các nhiệm vụ liên quan đến tiếp nhận và xác minh thông tin của chủ thể trước khi chứng thư số được cấp.

Có thể hình dung RA là “đầu mối xác minh”, còn CA là thành phần thực hiện việc cấp và quản lý chứng thư số theo quy trình của hệ thống.

3.3. Chứng thư số – Digital Certificate

Chứng thư số là một loại chứng thư điện tử được sử dụng để xác nhận danh tính của chủ thể gắn với khóa công khai.

Thông thường, chứng thư số chứa các thông tin như:

• Tên chủ thể được cấp chứng thư;
• Khóa công khai;
• Thông tin về tổ chức cấp chứng thư;
• Thời hạn hiệu lực;
• Số serial của chứng thư;
• Chữ ký của tổ chức cấp chứng thư;
• Các thông tin kỹ thuật khác.
• Chứng thư số đóng vai trò quan trọng trong việc xác định khóa công khai này thuộc về chủ thể nào.

3.4. CRL và OCSP

PKI không chỉ xác định chứng thư số có được cấp hợp lệ hay không mà còn cần kiểm tra trạng thái hiện tại của chứng thư.

Hai cơ chế thường được sử dụng là:

CRL (Certificate Revocation List): danh sách các chứng thư số đã bị thu hồi.

OCSP (Online Certificate Status Protocol): giao thức cho phép kiểm tra trực tuyến trạng thái của chứng thư số.

Nhờ đó, hệ thống có thể phát hiện trường hợp chứng thư số đã bị thu hồi trước thời điểm hết hạn.

4. PKI hoạt động như thế nào khi ký số?

Quá trình ký số có thể được khái quát theo các bước sau:

• Bước 1: Tạo cặp khóa: Chủ thể sử dụng hệ thống PKI để tạo hoặc được cấp một cặp khóa gồm khóa riêng và khóa công khai.
• Bước 2: Cấp chứng thư số: Khóa công khai được gắn với thông tin nhận dạng của chủ thể trong chứng thư số do CA cấp.
• Bước 3: Thực hiện ký: Khi người dùng ký một tài liệu điện tử, hệ thống sử dụng thuật toán băm để tạo ra giá trị đại diện cho nội dung tài liệu. Khóa riêng được sử dụng để tạo chữ ký số dựa trên giá trị này.
• Bước 4: Gửi tài liệu và chữ ký: Tài liệu cùng chữ ký số và thông tin chứng thư cần thiết được gửi tới bên nhận.
• Bước 5: Kiểm tra chữ ký: Hệ thống của bên nhận sử dụng khóa công khai trong chứng thư số để kiểm tra chữ ký và đối chiếu với nội dung tài liệu.

Nếu tài liệu chưa bị thay đổi và chứng thư số hợp lệ, chữ ký có thể được xác minh thành công.

5. Phân biệt PKI với chữ ký số

PKI và chữ ký số không phải là một khái niệm.

Có thể phân biệt đơn giản như sau:

Như vậy, chữ ký số có thể được xem là một ứng dụng quan trọng được xây dựng trên nền tảng PKI.

6. Doanh nghiệp cần lưu ý gì khi sử dụng hệ thống PKI và chữ ký số?

Để bảo đảm an toàn khi sử dụng chữ ký số, doanh nghiệp cần đặc biệt chú ý đến khóa riêng. Người có quyền kiểm soát khóa riêng về nguyên tắc có khả năng thực hiện việc ký bằng danh tính gắn với chứng thư số.

Do đó, doanh nghiệp nên:

• Bảo mật thiết bị hoặc môi trường lưu trữ khóa riêng;
• Không chia sẻ mã PIN, mật khẩu hoặc thông tin xác thực cho người không có thẩm quyền;
• Phân quyền rõ người được phép sử dụng chữ ký số;
• Theo dõi thời hạn hiệu lực của chứng thư số;
• Kiểm tra tình trạng chứng thư khi cần xác minh chữ ký;
• Chủ động xử lý khi nghi ngờ khóa riêng bị lộ hoặc bị sử dụng trái phép;
• Lựa chọn nhà cung cấp dịch vụ chứng thực chữ ký số đáp ứng các yêu cầu pháp lý và kỹ thuật.

Đặc biệt, doanh nghiệp không nên chỉ quan tâm đến việc “chữ ký số có ký được hay không” mà cần chú ý đến toàn bộ chuỗi bảo mật phía sau chữ ký số.

PKI là hạ tầng khóa công khai đóng vai trò nền tảng trong việc xây dựng môi trường tin cậy cho chữ ký số và nhiều giao dịch điện tử. Thông qua sự kết hợp giữa khóa công khai, khóa riêng, chứng thư số, CA, cơ chế kiểm tra trạng thái và các thành phần liên quan, PKI giúp xác thực danh tính, bảo đảm tính toàn vẹn của dữ liệu và hỗ trợ an toàn cho quá trình ký điện tử.

Với doanh nghiệp đang đẩy mạnh chuyển đổi số, hiểu rõ PKI là gì và kiến trúc PKI hoạt động như thế nào không chỉ giúp sử dụng chữ ký số đúng cách mà còn nâng cao khả năng quản lý, bảo mật và kiểm soát rủi ro trong các giao dịch điện tử.

Thu Hương