Hạ tầng chứng thực dữ liệu bắt buộc đạt FIPS 140-2 mức 3

Kể từ ngày 01 tháng 7 năm 2026, Thông tư 53/2025/TT-BKHCN ban hành Quy chuẩn kỹ thuật quốc gia QCVN 139:2025/BKHCN đã chính thức có hiệu lực thi hành. Văn bản này đặt ra khung kỹ thuật pháp lý bắt buộc đối với các đơn vị vận hành hệ thống tin cậy tại Việt Nam. Trọng tâm của quy chuẩn là yêu cầu các hệ thống quản trị khóa và thiết bị bảo mật phần cứng phải đạt chuẩn FIPS 140-2 mức 3 trở lên, đồng thời chuẩn hóa toàn diện cấu trúc chứng thư chữ ký số và quy trình truyền nhận dữ liệu điện tử an toàn.

Phạm vi điều chỉnh và nhóm đối tượng chịu sự tác động

Theo Mục 1.1, Quy chuẩn kỹ thuật quốc gia QCVN 139:2025/BKHCN quy định các yêu cầu kỹ thuật về dịch vụ chứng thực thông điệp dữ liệu, cùng các yêu cầu về quy trình vận hành và kiểm soát đối với tổ chức cung cấp dịch vụ chứng thực thông điệp dữ liệu. Quy chuẩn xác lập một hệ thống tiêu chuẩn kỹ thuật đồng bộ, ngăn ngừa rủi ro giả mạo và bảo đảm giá trị pháp lý cho giao dịch điện tử.

Theo Mục 1.2, đối tượng áp dụng là các tổ chức, cá nhân có liên quan đến cung cấp dịch vụ chứng thực thông điệp dữ liệu tại Việt Nam. Về mặt ngoại lệ, quy chuẩn nêu rõ không áp dụng cho tổ chức cung cấp dịch vụ chứng thực thông điệp dữ liệu chuyên dùng công vụ. Điều này phân định rõ ranh giới áp dụng giữa hạ tầng thương mại thông thường và hệ thống công vụ chuyên biệt.

Theo Mục 1.4.1, dịch vụ chứng thực thông điệp dữ liệu được định nghĩa là dịch vụ do tổ chức cung cấp dịch vụ tin cậy thực hiện nhằm chứng minh việc gửi, nhận, thời điểm gửi, nhận, tính toàn vẹn và nguồn gốc của thông điệp dữ liệu giữa người gửi và người nhận. Khái niệm thông điệp dữ liệu, theo Mục 1.4.2, là thông tin được tạo ra, gửi đi, nhận hoặc lưu trữ bằng phương tiện điện tử.

Yêu cầu kỹ thuật đối với mật mã, hàm băm và bảo mật phần cứng

Hệ thống kỹ thuật của đơn vị cung cấp dịch vụ phải tuân thủ nghiêm ngặt các thuật toán mã hóa và an toàn khóa. Quy chuẩn xác định rõ các ngưỡng kỹ thuật cụ thể tại Mục 2.1 nhằm loại bỏ hoàn toàn các thuật toán lỗi thời có nguy cơ mất an toàn.

Theo quy định đối với mật mã phi đối xứng, các hệ thống sử dụng thuật toán RSA không được dùng độ dài khóa dưới 2048 bit và bắt buộc dùng sơ đồ tạo chữ ký RSASSA-PSS thay cho các sơ đồ cũ. Đối với hệ mật mã đường cong elliptic ECDSA, độ dài khóa tối thiểu là 256 bit để bảo đảm độ an toàn trước các kỹ thuật tấn công giải mã hiện đại.

Chuẩn mực HSM và tiêu chuẩn FIPS 140-2 mức 3

Theo Mục 2.1.4, thiết bị HSM và thiết bị mật mã, lưu khóa của tổ chức cung cấp dịch vụ bắt buộc phải đáp ứng một trong ba tiêu chuẩn kỹ thuật sau đây:

• Tiêu chuẩn FIPS PUB 140-2 (tối thiểu mức 3) về yêu cầu an toàn đối với mô-đun mật mã;
• Tiêu chuẩn FIPS PUB 140-3 (tối thiểu mức 3) về yêu cầu an toàn đối với mô-đun mật mã;
• Tiêu chuẩn EN 419221-5:2018 (tối thiểu EAL mức 4) về hồ sơ bảo vệ cho mô-đun mật mã dùng cho dịch vụ tin cậy.

Quy chuẩn cho phép doanh nghiệp lựa chọn giữa hệ thống tiêu chuẩn FIPS của Hoa Kỳ hoặc chuẩn Common Criteria EN của châu Âu, nhưng kiên quyết áp đặt ngưỡng an toàn vật lý và logic tối thiểu. Mức 3 của chuẩn FIPS và EAL mức 4 của EN đòi hỏi khả năng phát hiện, chống xâm nhập trái phép vào thiết bị lưu trữ khóa riêng, bảo đảm các khóa ký bảo mật không thể bị trích xuất trái phép dưới bất kỳ hình thức nào.

Chuẩn hóa định dạng thông tin dữ liệu và chứng thư chữ ký số

Định dạng dữ liệu cấu trúc bên trong hệ thống chứng thực được chuẩn hóa chặt chẽ nhằm bảo đảm khả năng tương thích và liên thông giữa các nền tảng tin cậy khác nhau. Theo Mục 2.1.2, các yêu cầu về thông tin, dữ liệu được quy định cụ thể tại Bảng 2:

• Định dạng chứng thư chữ ký số và danh sách thu hồi chứng thư chữ ký số (CRL): tuân thủ tiêu chuẩn RFC 5280;
• Cú pháp thông điệp mật mã: tuân thủ tiêu chuẩn PKCS #7 (RFC 2630) phiên bản 1.5;
• Cú pháp thông tin khóa riêng: tuân thủ tiêu chuẩn PKCS #8 (RFC 5208) phiên bản 1.2;
• Cú pháp yêu cầu chứng thực: tuân thủ tiêu chuẩn PKCS #10 (RFC 2986) phiên bản 1.7;
• Giao diện giao tiếp với các thẻ mật mã: tuân thủ tiêu chuẩn PKCS #11 phiên bản 2.20;
• Cú pháp trao đổi thông tin cá nhân: tuân thủ tiêu chuẩn PKCS #12 phiên bản 1.0.

Bên cạnh việc định dạng dữ liệu, công tác quản lý vòng đời chứng thư cũng chịu sự điều chỉnh của các giao thức chuẩn. Theo Mục 2.1.3, chứng thư chữ ký số phải tuân thủ:

• Chính sách chứng thư chữ ký số: xây dựng theo RFC 3647;
• Lược đồ Giao thức truy nhập thư mục: áp dụng RFC 4523 cho chứng thư X.509;
• Giao thức truy nhập thư mục: áp dụng đồng bộ bộ bốn tiêu chuẩn gồm RFC 4510, RFC 4511, RFC 4512 và RFC 4513;
• Giao thức truyền, nhận chứng thư và danh sách thu hồi: áp dụng một hoặc cả hai giao thức FTP và HTTP theo RFC 2585;
• Giao thức cho kiểm tra trạng thái chứng thư chữ ký số trực tuyến: áp dụng giao thức OCSP theo chuẩn RFC 6960.

Việc áp dụng RFC 6960 theo Mục 2.1.3 cho phép hệ thống tra cứu trạng thái chứng thư tức thời qua kênh OCSP, khắc phục độ trễ cập nhật so với phương thức tải tệp CRL truyền thống.

Quy chuẩn đối với dịch vụ gửi nhận dữ liệu bảo đảm

Theo Mục 2.2.1, dịch vụ gửi, nhận thông điệp dữ liệu bảo đảm phải đáp ứng đầy đủ các tiêu chuẩn kỹ thuật quy định tại Bảng 5, bao gồm:

• ETSI EN 319 522 Part 1 (phiên bản V1.2.1): Khung kiến trúc tổng thể;
• ETSI EN 319 522 Part 2 (phiên bản V1.2.1): Nội dung ngữ nghĩa;
• ETSI EN 319 522 Part 3 (phiên bản V1.2.1): Định dạng dữ liệu;
• ETSI EN 319 522 Part 4-1 (phiên bản V1.2.1): Ràng buộc chuyển phát thông điệp;
• ETSI EN 319 522 Part 4-2 (phiên bản V1.1.1): Ràng buộc về bằng chứng và định danh;
• ETSI EN 319 532 Part 1 (phiên bản V1.1.1): Dịch vụ gửi, nhận thông điệp dữ liệu bảo đảm cho thư điện tử (Registered Electronic Mail - REM).

Quy định này buộc các tổ chức cung cấp dịch vụ gửi nhận bảo đảm phải chuẩn hóa toàn bộ chuỗi tạo lập bằng chứng điện tử, bảo đảm tính xác thực từ khâu tiếp nhận thông điệp đến thời điểm chuyển phát thành công đến người nhận.

Tình huống minh họa về đáp ứng thông số kỹ thuật

Một doanh nghiệp nộp hồ sơ xin cấp phép cung cấp dịch vụ chứng thực thông điệp dữ liệu và thiết lập hạ tầng công nghệ. Doanh nghiệp đưa vào sử dụng hệ thống máy chủ ký số và bảo mật dữ liệu với các thông số cấu hình cụ thể được đối chiếu trực tiếp theo QCVN 139:2025/BKHCN:

• Về thiết bị lưu khóa: Đơn vị trang bị thiết bị HSM đạt chứng nhận EN 419221-5:2018 mức EAL 4. Căn cứ Mục 2.1.4, thiết bị này đáp ứng điều kiện vì nằm trong danh mục một trong ba tiêu chuẩn được công nhận cùng với FIPS PUB 140-2 và FIPS PUB 140-3.
• Về thuật toán mật mã: Doanh nghiệp sử dụng RSA với độ dài khóa 2048 bit, áp dụng lược đồ RSAES-OAEP để mã hóa và RSASSA-PSS để ký, kết hợp hàm băm SHA-256. Theo Bảng 1 của quy chuẩn, cấu hình này hoàn toàn hợp lệ.
• Về giao thức kiểm tra chứng thư: Hạ tầng cung cấp giao thức OCSP tuân thủ RFC 6960 và xuất bản danh sách thu hồi CRL định dạng RFC 5280 theo Mục 2.1.2 và Mục 2.1.3.

Nếu doanh nghiệp này hạ độ dài khóa RSA xuống dưới 2048 bit hoặc sử dụng module mật mã chỉ đạt chứng nhận cấp độ thấp hơn mức 3, hệ thống sẽ bị kết luận không đạt tiêu chuẩn kỹ thuật bắt buộc.

Yêu cầu kiểm toán kỹ thuật và quy trình vận hành kiểm soát

Ngoài các tiêu chí về trang thiết bị và định dạng dữ liệu, quy chuẩn đòi hỏi các tổ chức phải duy trì quy trình kiểm soát chặt chẽ. Theo Mục 2.2.2, tổ chức cung cấp dịch vụ phải đáp ứng đầy đủ các yêu cầu đối với quy trình vận hành và kiểm soát.

Theo Mục 1.4.7, kiểm toán kỹ thuật là hoạt động đánh giá độc lập, khách quan đối với hệ thống thông tin, quy trình cung cấp dịch vụ nhằm xác định việc đáp ứng tiêu chuẩn kỹ thuật bắt buộc áp dụng, quy chuẩn kỹ thuật, yêu cầu kỹ thuật của chữ ký điện tử bảo đảm an toàn, chứng thư chữ ký điện tử bảo đảm an toàn, chữ ký số, chứng thư chữ ký số và dịch vụ tin cậy. Trong đó, tiêu chuẩn kỹ thuật bắt buộc áp dụng khi được viện dẫn trong quy chuẩn kỹ thuật hoặc văn bản quy phạm pháp luật.

Theo Mục 1.4.8, tổ chức kiểm toán kỹ thuật là tổ chức chứng nhận được chỉ định theo quy định của pháp luật về tiêu chuẩn, quy chuẩn kỹ thuật, chất lượng sản phẩm, hàng hóa. Hoạt động kiểm toán kỹ thuật là căn cứ then chốt để xác minh sự tuân thủ trên thực tế của đơn vị cung cấp dịch vụ.

Nhóm đối tượng chịu tác động và các bước triển khai cần thiết

Các tổ chức cung cấp dịch vụ chứng thực thông điệp dữ liệu đang hoạt động tại Việt Nam cần thực hiện các nội dung cụ thể:

• Doanh nghiệp cung cấp dịch vụ chứng thực chữ ký số và dữ liệu: Rà soát danh mục thiết bị HSM và thẻ mật mã lưu khóa trong toàn bộ trung tâm dữ liệu, bảo đảm đạt FIPS PUB 140-2 tối thiểu mức 3, FIPS PUB 140-3 tối thiểu mức 3 hoặc EN 419221-5:2018 tối thiểu EAL mức 4 theo Mục 2.1.4.
• Đơn vị phát triển phần mềm ký số và lưu trữ: Cập nhật thuật toán chữ ký số lên RSA từ 2048 bit trở lên với sơ đồ RSASSA-PSS hoặc ECDSA từ 256 bit trở lên; chuẩn hóa định dạng dữ liệu đầu ra theo RFC 5280, PKCS #7, PKCS #8, PKCS #10, PKCS #11 và PKCS #12 theo Mục 2.1.2.
• Bộ phận vận hành mạng và hạ tầng khóa công khai (PKI): Cấu hình đầy đủ dịch vụ kiểm tra trạng thái trực tuyến OCSP theo RFC 6960 và giao thức truy nhập thư mục LDAP theo bộ tiêu chuẩn RFC 4510 đến RFC 4513 theo Mục 2.1.3.
• Nhà cung ứng dịch vụ gửi nhận dữ liệu bảo đảm: Thiết lập quy trình vận hành và kiến trúc thông điệp theo bộ tiêu chuẩn ETSI EN 319 522 và ETSI EN 319 532 theo Mục 2.2.1.

Câu hỏi thường gặp

Quy chuẩn QCVN 139:2025/BKHCN có áp dụng cho cơ quan nhà nước sử dụng dịch vụ nội bộ không?

Theo Mục 1.2, quy chuẩn này không áp dụng cho tổ chức cung cấp dịch vụ chứng thực thông điệp dữ liệu chuyên dùng công vụ.

Doanh nghiệp có bắt buộc phải dùng thiết bị HSM theo tiêu chuẩn FIPS của Mỹ không?

Theo Mục 2.1.4, doanh nghiệp không bắt buộc chỉ dùng FIPS PUB 140-2 hoặc FIPS PUB 140-3 mức 3, mà có thể áp dụng tiêu chuẩn EN 419221-5:2018 tối thiểu EAL mức 4.

Độ dài khóa tối thiểu đối với thuật toán ký số RSA là bao nhiêu?

Theo Bảng 1 của quy chuẩn, thuật toán RSA bắt buộc có độ dài khóa tối thiểu là 2048 bit, sử dụng phiên bản tối thiểu 2.1 với lược đồ mã hóa RSAES-OAEP và lược đồ ký RSASSA-PSS.

Có những thuật toán hàm băm nào được phép sử dụng?

Theo Bảng 1 của quy chuẩn, đơn vị được phép áp dụng một trong các hàm băm thuộc FIPS PUB 180-4 hoặc FIPS PUB 202 gồm: SHA-256, SHA-384, SHA-512, SHA-512/224, SHA-512/256, SHA3-224, SHA3-256, SHA3-384, SHA3-512, SHAKE128 và SHAKE256.

Trách nhiệm hoàn thiện hạ tầng và duy trì tuân thủ

Quy chuẩn kỹ thuật quốc gia QCVN 139:2025/BKHCN ban hành kèm theo Thông tư 53/2025/TT-BKHCN là cơ sở pháp lý cao nhất về mặt kỹ thuật cho dịch vụ chứng thực dữ liệu điện tử. Quy chuẩn đã chính thức có hiệu lực thi hành từ ngày 01 tháng 7 năm 2026, đòi hỏi các tổ chức cung cấp dịch vụ tin cậy không thể trì hoãn việc chuẩn hóa hệ thống.

Để bảo đảm hoạt động liên tục và hạn chế rủi ro pháp lý, doanh nghiệp cần chủ động đối chiếu toàn diện hạ tầng hiện tại với văn bản gốc của Thông tư và Quy chuẩn. Trong quá trình triển khai thực tế, đơn vị cung cấp dịch vụ cần tham khảo ý kiến tư vấn pháp lý và kỹ thuật chuyên sâu từ các tổ chức chuyên môn có thẩm quyền để bảo đảm mọi thành phần hệ thống đều đáp ứng chuẩn xác quy định pháp luật.