BỘ THÔNG TIN VÀ TRUYỀN THÔNG BỘ THÔNG TIN VÀ TRUYỀN THÔNG Số 22/2020/TT BTTTT CỘNG HOÀ XÃ HỘI CHỦ NGHĨA VIỆT NAM Độc lập Tự do Hạnh phúc Hà Nội, ngày 07 tháng 9 năm 2020 THÔNG TƯ Quy định về yêu cầu k[.]
BỘ THÔNG TIN VÀ TRUYỀN THÔNG Số: 22/2020/TT-BTTTT CỘNG HOÀ XÃ HỘI CHỦ NGHĨA VIỆT NAM Độc lập - Tự - Hạnh phúc _ Hà Nội, ngày 07 tháng năm 2020 THÔNG TƯ Quy định yêu cầu kỹ thuật phần mềm ký số, phần mềm kiểm tra chữ ký số Căn Luật giao dịch điện tử ngày 29 tháng 11 năm 2005; Căn Nghị định số 130/2018/NĐ-CP ngày 27 tháng năm 2018 Chính phủ quy định chi tiết thi hành Luật giao dịch điện tử chữ ký số dịch vụ chứng thực chữ ký số; Căn Nghị định số 17/2017/NĐ-CP ngày 17 tháng 02 năm 2017 Chính phủ quy định chức năng, nhiệm vụ, quyền hạn cấu tổ chức Bộ Thông tin Truyền thông; Theo đề nghị Giám đốc Trung tâm Chứng thực điện tử quốc gia, Bộ trưởng Bộ Thông tin Truyền thông ban hành Thông tư quy định yêu cầu kỹ thuật phần mềm ký số, phần mềm kiểm tra chữ ký số Chương I QUY ĐỊNH CHUNG Điều Phạm vi điều chỉnh Thông tư quy định yêu cầu kỹ thuật phần mềm ký số, phần mềm kiểm tra chữ ký số Yêu cầu kỹ thuật phần mềm ký số, phần mềm kiểm tra chữ ký số cho văn điện tử quan nhà nước không thuộc phạm vi điều chỉnh Thông tư Điều Đối tượng áp dụng Thông tư áp dụng quan, tổ chức, cá nhân lựa chọn sử dụng phần mềm ký số, phần mềm kiểm tra chữ ký số giao dịch điện tử; tổ chức cung cấp dịch vụ chứng thực chữ ký số; tổ chức, cá nhân phát triển ứng dụng, sử dụng chữ ký số Thông tư không áp dụng tổ chức cung cấp dịch vụ chứng thực chữ ký số chuyên dùng Chính phủ Điều Giải thích từ ngữ “Chứng thư số tổ chức” dạng chứng thư điện tử tổ chức cung cấp dịch vụ chứng thực chữ ký số cấp nhằm cung cấp thơng tin định danh cho khố cơng khai quan, tổ chức từ xác nhận quan, tổ chức người ký chữ ký số việc sử dụng khố bí mật tương ứng “Chứng thư số cá nhân” dạng chứng thư điện tử tổ chức cung cấp dịch vụ chứng thực chữ ký số cấp nhằm cung cấp thông tin định danh cho khố cơng khai cá nhân, từ xác nhận cá nhân người ký chữ ký số việc sử dụng khố bí mật tương ứng “Khố bí mật tổ chức” khố bí mật tương ứng với chứng thư số tổ chức “Khố bí mật cá nhân” khố bí mật tương ứng với chứng thư số cá nhân “Phần mềm ký số” chương trình phần mềm độc lập thành phần (module) phần mềm giải pháp có chức ký số vào thơng điệp liệu “Phần mềm kiểm tra chữ ký số” chương trình phần mềm độc lập thành phần (module) phần mềm giải pháp có chức kiểm tra tính hợp lệ chữ ký số thơng điệp liệu ký số “Đường dẫn tin tưởng chứng thư số” thông tin đường dẫn địa internet chứng thư số cho biết tổ chức cung cấp dịch vụ chứng thực chữ ký số cấp phát chứng thư số Chương II YÊU CẦU KỸ THUẬT ĐỐI VỚI PHẦN MỀM KÝ SỐ, PHẦN MỀM KIỂM TRA CHỮ KÝ SỐ Mục 1- Phần mềm ký số Điều Yêu cầu chung Tuân thủ tiêu chuẩn kỹ thuật chữ ký số thông điệp liệu Phụ lục Danh mục tiêu chuẩn kỹ thuật chữ ký số thông điệp liệu kèm theo Thông tư Điều Yêu cầu chức Chức ký số: a) Trường hợp người ký số thông điệp liệu cá nhân, cho phép người ký số sử dụng khố bí mật cá nhân để thực việc ký số vào thông điệp liệu; b) Trường hợp người ký số thông điệp liệu tổ chức, cho phép người ký số sử dụng khố bí mật tổ chức để thực việc ký số vào thông điệp liệu Chức kiểm tra hiệu lực chứng thư số: a) Cho phép việc kiểm tra chứng thư số người ký số thông điệp liệu phải kiểm tra theo đường dẫn tin tưởng chứng thư số phải thực đến tổ chức cung cấp dịch vụ chứng thực chữ ký số quốc gia b) Nội dung kiểm tra hiệu lực chứng thư số thời điểm ký số: - Thời gian có hiệu lực chứng thư số; - Trạng thái chứng thư số qua danh sách chứng thư số thu hồi (CRL) công bố thời điểm ký số phương pháp kiểm tra trạng thái chứng thư số trực tuyến (OCSP) chế độ trực tuyến trường hợp tổ chức cung cấp dịch vụ chứng thực chữ ký số có cung cấp dịch vụ OCSP; - Thuật tốn mật mã chứng thư số; - Mục đích, phạm vi sử dụng chứng thư số c) Hiệu lực chứng thư số đáp ứng tất tiêu chí sau: - Thời gian chứng thư số hiệu lực thời điểm ký số; - Các thuật toán mật mã chứng thư số tuân thủ theo quy định quy chuẩn, tiêu chuẩn kỹ thuật bắt buộc áp dụng chữ ký số dịch vụ chứng thực chữ ký số có hiệu lực; - Trạng thái chứng thư số hoạt động thời điểm ký số; - Chứng thư số sử dụng mục đích, phạm vi sử dụng Chức lưu trữ huỷ bỏ thông tin sau kèm theo thông điệp liệu ký số: a) Chứng thư số tương ứng với khố bí mật mà người ký số sử dụng để ký thông điệp liệu thời điểm ký số; b) Danh sách chứng thư số thu hồi thời điểm ký tổ chức cung cấp dịch vụ chứng thực chữ ký số cấp chứng thư số để ký số tương ứng với chữ ký số thông điệp liệu đi; c) Quy chế chứng thực tổ chức cung cấp dịch vụ chứng thực chữ ký số cấp chứng thư số tương ứng với chữ ký số thông điệp liệu đi; d) Kết kiểm tra trạng thái chứng thư số tương ứng với chữ ký số thông điệp liệu gửi đến Chức thay đổi (thêm, bớt) chứng thư số tổ chức cung cấp dịch vụ chứng thực chữ ký số Chức thông báo (bằng chữ/bằng ký hiệu) cho người ký số biết việc ký số vào thông điệp liệu thành công hay không thành công Mục 2- Phần mềm kiểm tra chữ ký số Điều Yêu cầu chung Tuân thủ tiêu chuẩn kỹ thuật chữ ký số thông điệp liệu Phụ lục Danh mục tiêu chuẩn chữ ký số thông điệp liệu kèm theo Thông tư Điều Yêu cầu chức Chức kiểm tra tính hợp lệ chữ ký số thơng điệp liệu: a) Cho phép xác minh chữ ký số thông điệp liệu theo nguyên tắc chữ ký số tạo với khố bí mật tương ứng với khố cơng khai chứng thư số; b) Cho phép việc kiểm tra chứng thư số người ký số thông điệp liệu phải kiểm tra theo đường dẫn tin tưởng chứng thư số phải thực đến tổ chức cung cấp dịch vụ chứng thực chữ ký số quốc gia c) Cho phép kiểm tra, xác thực thông tin người ký số thông điệp liệu thực tất nội dung đây: - Thời gian có hiệu lực chứng thư số; - Trạng thái chứng thư số qua danh sách chứng thư số thu hồi (CRL) công bố thời điểm ký số phương pháp kiểm tra trạng thái chứng thư số trực tuyến (OCSP) chế độ trực tuyến trường hợp tổ chức cung cấp dịch vụ chứng thực chữ ký số có cung cấp dịch vụ OCSP; - Thuật tốn mật mã chứng thư số; - Mục đích, phạm vi sử dụng chứng thư số d) Hiệu lực chứng thư số đáp ứng tất tiêu chí sau: - Thời gian chứng thư số cịn hiệu lực thời điểm ký số; - Các thuật toán mật mã chứng thư số tuân thủ theo quy định quy chuẩn, tiêu chuẩn kỹ thuật bắt buộc áp dụng chữ ký số dịch vụ chứng thực chữ ký số có hiệu lực; - Trạng thái chứng thư số hoạt động thời điểm ký số; - Chứng thư số sử dụng mục đích, phạm vi sử dụng đ) Cho phép kiểm tra tính tồn vẹn thơng điệp liệu ký số: - Giải mã chữ ký số thơng điệp liệu để có thơng tin mã băm; - Sử dụng thuật tốn hàm băm an tồn tạo mã băm chữ ký số để thực tạo mã băm cho thông điệp liệu; - So sánh trùng khớp hai mã băm để kiểm tra tính tồn vẹn thơng điệp liệu ký số e) Chữ ký số thông điệp liệu hợp lệ khi: - Việc kiểm tra, xác thực thông tin người ký số; - Chứng thư số người ký số thời điểm ký hiệu lực; - Xác minh chữ ký số thơng điệp liệu với khố bí mật tương ứng với khố cơng khai chứng thư số thơng điệp liệu đảm bảo tính tồn vẹn Chức lưu trữ huỷ bỏ thông tin sau kèm theo thông điệp liệu ký số: a) Các chứng thư số tương ứng với chữ ký số thông điệp liệu ký số gửi đến; b) Các danh sách chứng thư số thu hồi thời điểm ký tổ chức cung cấp chứng thực chữ ký số tương ứng với chữ ký số thông điệp liệu gửi đến; c) Quy chế chứng thực tổ chức cung cấp dịch vụ chứng thực chữ ký số cấp phát chứng thư số tương ứng với chữ ký số thông điệp liệu gửi đến; d) Kết kiểm tra trạng thái chứng thư số tương ứng với chữ ký số thông điệp liệu gửi đến Chức thay đổi (thêm, bớt) chứng thư số tổ chức cung cấp dịch vụ chứng thực chữ ký số Chức thông báo (bằng chữ/bằng ký hiệu) việc kiểm tra tính hợp lệ chữ ký số hợp lệ hay không hợp lệ Chương III ĐIỀU KHOẢN THI HÀNH Điều Tổ chức thực Trung tâm Chứng thực điện tử quốc gia có trách nhiệm hướng dẫn thực nội dung Thông tư Tổ chức cung cấp dịch vụ chứng thực chữ ký số công cộng, tổ chức cung cấp dịch vụ chứng thực chữ ký số chuyên dùng quan, tổ chức công bố đặc tả kỹ thuật (tài liệu công cụ), chứng thư số liên quan đến tổ chức cung cấp dịch vụ chứng thực chữ ký số tiêu chuẩn chữ ký số trang tin điện tử tổ chức cung cấp dịch vụ chứng thực chữ ký số Tổ chức, cá nhân phát triển ứng dụng, sử dụng chữ ký số có trách nhiệm tuân thủ quy định yêu cầu kỹ thuật, hướng dẫn sử dụng phần mềm ký số, phần mềm kiểm tra chữ ký số Điều Điều khoản chuyển tiếp Các quan, tổ chức, cá nhân sử dụng phần mềm ký số, phần mềm kiểm tra chữ ký số trước thời điểm Thơng tư có hiệu lực tiếp tục sử dụng thay đổi, nâng cấp thay phần mềm mới, tuân thủ quy định Thông tư Điều 10 Hiệu lực thi hành Thơng tư có hiệu lực thi hành kể từ ngày 01 tháng 11 năm 2020 Chánh Văn phòng, Giám đốc Trung tâm Chứng thực điện tử quốc gia, Thủ trưởng quan, đơn vị thuộc Bộ, Giám đốc Sở Thông tin Truyền thông tỉnh, thành phố trực thuộc Trung ương, tổ chức, cá nhân có liên quan chịu trách nhiệm thi hành Thơng tư Trong q trình thực hiện, có khó khăn, vướng mắc, quan, tổ chức, cá nhân phản ánh kịp thời Bộ Thông tin Truyền thông (Trung tâm Chứng thực điện tử quốc gia) để xem xét, giải quyết./ Nơi nhận: - Thủ tướng, Phó Thủ tướng Chính phủ; - Các Bộ, quan ngang Bộ, quan thuộc Chính phủ; - UBND tỉnh, thành phố trực thuộc TW; - Sở TTTT tỉnh, thành phố trực thuộc TW; - Sở Văn hố, Thơng tin, Thể thao Du lịch Bạc Liêu; - Cục Kiểm tra văn QPPL (Bộ Tư pháp); - Công báo, Cổng thơng tin điện tử Chính phủ; - Bộ TTTT: Bộ trưởng Thứ trưởng, quan, đơn vị thuộc Bộ; - Cổng thông tin điện tử Bộ; - Lưu: VT, NEAC (250) BỘ TRƯỞNG Nguyễn Mạnh Hùng BỘ THÔNG TIN VÀ TRUYỀN THÔNG CỘNG HOÀ XÃ HỘI CHỦ NGHĨA VIỆT NAM Độc lập - Tự - Hạnh phúc PHỤ LỤC DANH MỤC TIÊU CHUẨN KỸ THUẬT VỀ CHỮ KÝ SỐ TRÊN THÔNG ĐIỆP DỮ LIỆU (Ban hành kèm theo Thông tư số 22/2020/TT-BTTTT ngày 07 tháng năm 2020 Bộ trưởng Bộ Thông tin Truyền thông) Số TT 1.1 Loại tiêu chuẩn Ký hiệu Tên đầy đủ tiêu chuẩn tiêu chuẩn Quy định áp dụng Tiêu chuẩn định dạng thông điệp liệu Bộ ký tự mã ASCII hoá American Standard Code for Khuyến nghị áp dụng Information Interchange Bộ ký tự mã TCVN 6909:2001 “Công TCVN 1.2 hố cho tiếng nghệ thơng tin - Bộ mã ký tự Bắt buộc áp dụng 6909:2001 Việt tiếng Việt 16-bit” 1.3 Trình diễn ký tự UTF-8 8-bit Universal Character Set (UCS)/ Unicode Khuyến nghị áp dụng Transformation Format XML v1.0 Extensible Markup Language (5th Edition)version 1.0 (5th Edition) Ngôn ngữ định 1.4 dạng thông điệp liệu XML v1.1 (2nd Edition) Extensible Markup Language version 1.1 Khuyến nghị áp dụng hai tiêu chuẩn Định nghĩa XML 1.5 lược đồ Schema XML Schema version 1.1 tài liệu XML version 1.1 Khuyến nghị áp dụng Trao đổi liệu XML 1.6 đặc tả tài liệu V2.4.2 XML Khuyến nghị áp dụng 2.1 XML Metadata Interchange version 2.4.2 Tiêu chuẩn ký số, kiểm tra chữ ký số Tiêu chuẩn ký số thiết bị quản lý khóa bí mật, phần mềm ký số, tạo chữ ký số, chứng thư số, phần mềm kiểm tra chữ ký số 2.1.1 Thuật tốn mã TCVN Cơng nghệ thơng tin Kỹ thuật Khuyến nghị áp dụng hóa 7816:2007 mật mã - thuật toán mã liệu AES Recommendation for the NIST 800- Triple Data Encryption 67 Algorithm (TDEA) Block Cipher Khuyến nghị áp dụng PKCS#1 RSA Cryptography Standard (Phiên 2.1 trở lên) Áp dụng, sử dụng lược đồ Khuyến nghị áp dụng RSAES-OAEP để mã hoá Độ dài khóa tối thiểu 2048 bit ECC Elliptic Curve Crytography Khuyến nghị áp dụng TCVN Các kỹ thuật mật mã - Chữ ký - Áp dụng ba tiêu chuẩn 7635:2007 số - Đối với tiêu chuẩn TCVN 7635:2007 PKCS#1: PKCS#1 RSA Cryptography Standard + Phiên 2.1 + Áp dụng lược đồ Thuật toán chữ 2.1.2 RSAES-OAEP để mã ký số hoá RSASSA-PSS Public Key Cryptography for để ký the Financial Services + Độ dài khóa tối thiểu ANSI Industry: The Elliptic Curve 2048 bit X9.62-2005 Digital Signature Algorithm - Đối với tiêu chuẩn (ECDSA) ECDSA: độ dài khóa tối thiểu 256 bit Áp dụng hàm băm sau: FIPS PUB SHA-224, Secure Hash Algorithms 180-4 SHA-256, SHA-384, SHA-512, Hàm băm an 2.1.3 SHA-512/224, toàn SHA-512/256, SHA-3 Standard: SHA3-224, FIPS PUB Permutation- Based Hash and SHA3-256, 202 Extendable- Output Functions SHA3-384, SHA3-512, SHAKE128, SHAKE256 XML Encryption XML Encryption Syntax and Bắt buộc áp dụng Syntax and Processing Processing An toàn trao 2.1.4 đổi tin XML XML Signature XML Signature Syntax and Bắt buộc áp dụng Syntax and Processing Processing Quản lý khóa XML Key Management 2.1.5 cơng khai XKMS v2.0 Specification version 2.0 tin XML Bắt buộc áp dụng Cú pháp thông PKCS#7 Cryptographic message syntax 2.1.6 điệp mật mã v1.5 (RFC for file-based signing and Bắt buộc áp dụng cho ký, mã hóa 2315) encrypting version 1.5 2.2 Tiêu chuẩn ký số hệ thống thiết bị quản lý khóa bí mật, chứng thư số tạo chữ ký số theo mơ hình ký số từ xa (remote signing) ETSITS 119 431-1 Yêu cầu sách an ninh 2.2.1 cho máy chủ ký số ETSI TS 119 431-2 Giao thức tạo 2.2.2 chữ ký số ETSI TS 119 432 Electronic Signatures and Infrastructures (ESI); Policy and security requirements for trust service providers; Part : TSP service components operating a remote Áp dụng tiêu QSCD/SCDev chuẩn phần; Phiên V1.1.1 Electronic Signatures and (12/2018) Infrastructures (ESI); Policy and security requirements for trust service providers; Part 2: TSP service components supporting AdES digital signature creation Electronic Signatures and Infrastructures (ESI); Protocols for remote digital signature creation Trustworthy Systems ứng dụng ký EN 419241- Supporting Server Signing 2.23 máy chủ ký 1:2018 Part 1: General system số security requirements Yêu cầu cho 2.2.4 mô đun ký số Trustworthy Systems EN 419241- Supporting Server Signing 2:2019 Part 2: Protection Profile for QSCD for Server Signing Yêu cầu an ninh 2.2.5 khối an ninh phần cứng HSM Protection Profiles for TSP EN 419221- Cryptographic modules - Part 5:2018 5: Cryptographic Module for Trust Services Tiêu chuẩn kiểm tra trạng thái chứng thư số Phiên V1.1.1 (03/2019) Giao thức truyền, nhận chứng thư số 3.1 RFC 2585 danh sách chứng thư số bị thu hồi Internet X.509 Public Key Infrastructure - Operational Protocols: FTP and HTTP Giao thức cho kiểm tra trạng 3.2 RFC 2560 thái chứng thư số trực tuyến X.509 Internet Public Key Infrastructure - On-line Certificate status protocol Áp dụng hai giao thức FTP HTTP ... trưởng Thứ trưởng, quan, đơn vị thuộc Bộ; - Cổng thông tin điện tử Bộ; - Lưu: VT, NEAC (250) BỘ TRƯỞNG Nguyễn Mạnh Hùng BỘ THÔNG TIN VÀ TRUYỀN THÔNG CỘNG HOÀ XÃ HỘI CHỦ NGHĨA VIỆT NAM Độc... hoá, Thông tin, Thể thao Du lịch Bạc Liêu; - Cục Kiểm tra văn QPPL (Bộ Tư pháp); - Cơng báo, Cổng thơng tin điện tử Chính phủ; - Bộ TTTT: Bộ trưởng Thứ trưởng, quan, đơn vị thuộc Bộ; - Cổng thông. .. TIÊU CHUẨN KỸ THUẬT VỀ CHỮ KÝ SỐ TRÊN THÔNG ĐIỆP DỮ LIỆU (Ban hành kèm theo Thông tư số 22/2020/TT-BTTTT ngày 07 tháng năm 2020 Bộ trưởng Bộ Thông tin Truyền thông) Số TT 1.1 Loại tiêu chuẩn Ký