QCVN 137:2025/BKHCN: Yêu cầu dịch vụ chữ ký số công cộng mới nhất

Nội dung chính

Quy chuẩn kỹ thuật quốc gia QCVN 137:2025/BKHCN, do Bộ Khoa học và Công nghệ ban hành vào năm 2025, quy định các yêu cầu kỹ thuật và quy trình vận hành, kiểm soát đối với dịch vụ chứng thực chữ ký số công cộng tại Việt Nam. Mục tiêu của văn bản là nâng cao tính bảo mật, độ tin cậy và sự phù hợp với các tiêu chuẩn quốc gia và quốc tế cho các dịch vụ chữ ký số, góp phần thúc đẩy phát triển hạ tầng kỹ thuật số an toàn.

Quy chuẩn này bao quát ba mô hình cung cấp dịch vụ chữ ký số chính: ký số trên các phương tiện lưu khóa bí mật bằng thiết bị phần cứng (như USB token, thẻ thông minh), ký số từ xa và ký số trên thiết bị di động (thông qua thẻ SIM). Đối với mỗi mô hình, văn bản thiết lập các tiêu chí cụ thể về mật mã, định dạng thông tin và dữ liệu, chứng thư chữ ký số, cũng như các yêu cầu đối với thiết bị bảo mật phần cứng (HSM) và hệ thống quản lý khóa bí mật.

Điểm quan trọng

• Yêu cầu sử dụng các thuật toán mật mã và hàm băm an toàn theo tiêu chuẩn quốc gia (TCVN) và quốc tế (RSA, ECDSA, AES, SHA-2, SHA-3), với độ dài khóa tối thiểu được quy định.
• Đặt ra tiêu chuẩn chặt chẽ cho các thiết bị bảo mật phần cứng (HSM) và thẻ SIM, đòi hỏi phải đạt các mức bảo mật cao theo FIPS PUB 140 và TCVN 8709.
• Quy định các tiêu chuẩn về định dạng chứng thư chữ ký số (RFC 5280), giao thức kiểm tra trạng thái chứng thư trực tuyến (OCSP) và giao thức truy nhập thư mục (LDAP).
• Đề ra các yêu cầu chi tiết về quy trình vận hành và kiểm soát cho từng mô hình ký số, đảm bảo tuân thủ các bộ tiêu chuẩn ETSI EN 319 4xx và ETSI TS 119 4xx.

Đối tượng áp dụng

Quy chuẩn này áp dụng cho các Tổ chức cung cấp dịch vụ chứng thực chữ ký số công cộng tại Việt Nam, các Tổ chức cung cấp dịch vụ chứng thực chữ ký điện tử nước ngoài có đề nghị công nhận tại Việt Nam, cùng với các tổ chức và cá nhân có liên quan đến hoạt động cung cấp dịch vụ này. Quy chuẩn không áp dụng cho các Tổ chức cung cấp dịch vụ chứng thực chữ ký số chuyên dùng công vụ.