Giải mã chữ ký điện tử: Tìm hiểu cách PAdES đảm bảo tính bảo mật cho chữ ký PDF

Bài viết trước, chúng ta đã hiểu đơn giản về ESI, trong bài này, chúng ta sẽ nghiên cứu và so sánh sâu hơn về khái niệm PAdES, để thấy được định dạng chữ ký điện tử cho PDF được quy định như thế nào.

I. PAdES là gì?

1. Định nghĩa trong một câu

PAdES (PDF Advanced Electronic Signature) là một bộ tiêu chuẩn quốc tế về chữ ký điện tử nâng cao được thiết kế cho tài liệu PDF. Nó không chỉ đơn giản là đặt một con dấu chữ ký vào PDF, mà thông qua một bộ cấu trúc dữ liệu và cơ chế phức tạp nhưng được tiêu chuẩn hóa, đảm bảo rằng tệp PDF đã ký vẫn có thể được xác minh và tin cậy sau nhiều năm.

II. Vai trò cốt lõi của PAdES:

Chữ ký điện tử thông thường sẽ phải đối mặt với ba rủi ro theo thời gian:

• Chứng chỉ hết hạn: Chứng chỉ số được sử dụng để ký thường chỉ có hiệu lực trong 1-3 năm, làm thế nào để xác minh chữ ký ban đầu sau khi hết hạn?
• Thuật toán bị bẻ khóa: Các thuật toán mã hóa an toàn hiện tại có thể bị bẻ khóa bởi các máy tính mạnh hơn trong tương lai.
• Mất tài liệu: Các tài liệu cần thiết để xác minh chữ ký, chẳng hạn như danh sách thu hồi chứng chỉ (CRL), có thể bị đóng máy chủ, dẫn đến không thể xác minh.

PAdES giải quyết những vấn đề này bằng cách xác định các cấp độ chữ ký khác nhau, từng bước một:

• PAdES-B-B (Cấp cơ bản): Chứng minh danh tính của người ký và tính toàn vẹn của tài liệu.
• PAdES-B-T (Có dấu thời gian): Thêm dấu thời gian đáng tin cậy, chứng minh rằng chữ ký đã tồn tại tại một thời điểm nhất định, ngăn chặn việc chối bỏ sau này.
• PAdES-B-LT (Xác minh dài hạn): Đóng gói tất cả các tài liệu cần thiết để xác minh (chứng chỉ, danh sách thu hồi, v.v.) vào chính PDF, ngăn chặn việc không thể xác minh do máy chủ bên ngoài bị đóng.
• PAdES-B-LTA (Xác minh và lưu trữ dài hạn): Định kỳ tạo dấu thời gian mới bằng các thuật toán an toàn hơn, bao phủ toàn bộ gói chữ ký, chống lại rủi ro thuật toán lỗi thời, đạt được hiệu lực vĩnh viễn.

Hiện tại, chỉ cần sử dụng PAdES-B-T (có dấu thời gian) là có thể đáp ứng các yêu cầu cơ bản của quy chuẩn chữ ký điện tử (xét cho cùng, khả năng CA tự phá sản không cao, vì vậy việc xác minh trạng thái chứng chỉ thường được hỗ trợ).

III. Thành phần của PAdES:

Một chữ ký PAdES tích hợp một "gói dữ liệu tin cậy" hoàn chỉnh trong tệp PDF:

• Giá trị chữ ký (Signature Value): Giá trị chữ ký cốt lõi dựa trên các phép toán mật mã.
• Chứng chỉ của người ký (Signer's Certificate): Chứng minh thư điện tử chứng minh danh tính của người ký.
• Dấu thời gian đáng tin cậy (Trusted Timestamp): Được cấp bởi một cơ quan có thẩm quyền, chứng minh thời gian ký.
• Dữ liệu xác minh (DSS - Document Security Store):
  • Chuỗi chứng chỉ (Certificates): Chứng chỉ của cơ quan cấp trên của chứng chỉ người ký.
  • Thông tin thu hồi (Revocation Information): Danh sách chứng minh rằng chứng chỉ không bị thu hồi tại thời điểm ký.
• Dấu thời gian lưu trữ (Archive Timestamp): Ở cấp độ LTA, dấu thời gian mới được sử dụng để định kỳ "gia cố" toàn bộ gói chữ ký.

IV. Mối quan hệ giữa PAdES, CAdES và XAdES

PAdES không phải là một tiêu chuẩn độc lập, nó cùng với CAdES và XAdES tạo thành "bộ ba" tiêu chuẩn chữ ký điện tử nâng cao của ETSI (Viện Tiêu chuẩn Viễn thông Châu Âu). Ý tưởng cốt lõi của ba tiêu chuẩn này là giống nhau, nhằm mục đích đạt được hiệu lực và đảm bảo tin cậy lâu dài của chữ ký điện tử. Tuy nhiên, chúng có các đặc điểm khác nhau đối với các định dạng tệp và tình huống ứng dụng khác nhau.

CAdES (CMS Advanced Electronic Signatures) là một tiêu chuẩn chữ ký điện tử được áp dụng rộng rãi cho bất kỳ định dạng tệp nào, đặc biệt là khi tệp cần chữ ký tách rời. XAdES (XML Advanced Electronic Signatures) được thiết kế đặc biệt để ký dữ liệu XML, có thể chi tiết đến cấp độ phần tử dữ liệu, phù hợp để ký dữ liệu có cấu trúc. So với hai tiêu chuẩn này, PAdES (PDF Advanced Electronic Signatures) tập trung vào việc ký các tệp PDF, nhấn mạnh sự kết hợp chặt chẽ giữa chữ ký và tài liệu, mang lại trải nghiệm hình ảnh tốt, người dùng có thể cảm nhận trực quan sự tồn tại của chữ ký.

Ba tiêu chuẩn này chia sẻ cùng một ý tưởng, đều hỗ trợ các cấp độ chữ ký khác nhau như B-B, B-T, B-LT, B-LTA, cố gắng đạt được hiệu lực lâu dài. Chúng dựa vào cùng một cơ sở hạ tầng, bao gồm cơ sở hạ tầng khóa công khai (PKI) và dịch vụ dấu thời gian (TSA). Về khung pháp lý, cả ba cũng tuân theo các yêu cầu pháp lý tương tự, tuân thủ các quy định về chữ ký điện tử nâng cao như eIDAS của EU.

Tùy thuộc vào định dạng tệp, người dùng có thể chọn tiêu chuẩn phù hợp theo nhu cầu: nếu cần ký bất kỳ loại tệp nào, bạn có thể chọn CAdES; nếu bạn ký dữ liệu XML, hãy chọn XAdES; và đối với việc ký tài liệu PDF, hãy chọn PAdES.

V. PAdES so với tiêu chuẩn Trung Quốc GB/T 31308.3-2023

Tiêu chuẩn GB/T 31308.3-2023 của Trung Quốc hoàn toàn phù hợp về mặt kỹ thuật với tiêu chuẩn PAdES quốc tế (ETSI EN 319 142). Cơ chế cốt lõi, cấp độ chữ ký và mục tiêu của cả hai đều giống nhau, nhằm mục đích giải quyết các vấn đề về hiệu lực lâu dài và hiệu lực pháp lý của chữ ký điện tử PDF. Nói tóm lại, tiêu chuẩn PAdES quốc tế và tiêu chuẩn GB/T 31308.3 không có bất kỳ sự khác biệt nào về thông số kỹ thuật, nhưng có các yêu cầu khác nhau về một số khía cạnh quan trọng, chủ yếu thể hiện ở việc lựa chọn thuật toán mật mã và gốc tin cậy.

Tiêu chuẩn quốc tế PAdES thường sử dụng các thuật toán mật mã phổ biến quốc tế như RSA, ECDSA và SHA-2, trong khi tiêu chuẩn GB/T 31308.3 nhấn mạnh hơn vào việc sử dụng các thuật toán mật mã quốc gia do Trung Quốc tự phát triển (chẳng hạn như SM2, SM3, SM9). Ngoài ra, PAdES dựa vào các tổ chức CA/TSA được quốc tế hoặc EU công nhận, trong khi GB/T 31308.3 yêu cầu sử dụng các tổ chức dịch vụ trong nước đã được chứng nhận sản phẩm mật mã thương mại và được CA cấp phép của Trung Quốc.

Về lĩnh vực ứng dụng, PAdES quốc tế được sử dụng nhiều hơn trong các hợp đồng điện tử xuyên biên giới và chứng từ thương mại quốc tế, đáp ứng các yêu cầu của thị trường quốc tế và công nhận lẫn nhau xuyên biên giới. Trong khi đó, GB/T 31308.3 chủ yếu được sử dụng trong các lĩnh vực như văn bản chính phủ, hợp đồng tài chính và lưu trữ tư pháp trong nước, tuân thủ các quy chuẩn ngành và yêu cầu pháp lý của Trung Quốc.

Nói chung, PAdES quốc tế có thể được coi là một "hộ chiếu chung quốc tế", trong khi GB/T 31308.3 là "phiên bản đặc biệt của Trung Quốc" của hộ chiếu này. Mặc dù các thông số kỹ thuật hoàn toàn giống nhau, nhưng trong các ứng dụng thực tế, phải tuân thủ các yêu cầu pháp lý của Trung Quốc, chẳng hạn như "Luật Chữ ký điện tử" và "Luật Mật mã", đồng thời sử dụng "công nghệ chống hàng giả" được chỉ định (thuật toán mật mã quốc gia).

VI. Tóm tắt

PAdES là một trong những công nghệ nền tảng để xây dựng lòng tin lâu dài trong kỷ nguyên số. Thông qua sự kết hợp với CAdES và XAdES, nó cung cấp các giải pháp toàn diện cho các tình huống ứng dụng khác nhau, đảm bảo rằng chữ ký điện tử từ dữ liệu đến tài liệu có thể chịu được thử thách của thời gian.

Đối với các doanh nghiệp, việc hiểu và áp dụng PAdES (hoặc GB/T 31308.3 trong nước) có nghĩa là:

• Đảm bảo pháp lý: Hợp đồng điện tử đã ký có hiệu lực chứng cứ tư pháp mạnh mẽ hơn.
• Giảm chi phí và tăng hiệu quả: Thực hiện quy trình không giấy tờ hoàn toàn, quản lý hợp đồng, lưu trữ và kiểm tra thuận tiện hơn.
• Tuân thủ lâu dài: Đáp ứng các yêu cầu lưu trữ lâu dài đối với chữ ký điện tử theo các quy định trong và ngoài nước.