8. Chữ ký số và dịch vụ chứng thực chữ ký số
8.4.2. Điều kiện về khung pháp lý
Để dịch vụ chứng thực điện tử thực sự đi vào cuộc sống, cần phải có một cơ sở pháp lý chặt chẽ với các quy định rõ ràng để bảo đảm quyền lợi và trách nhiệm của các bên khi tham gia giao dịch điện tử. Trước hết, cần có luật và quy định cụ thể về các vấn đề như:
- Thừa nhận giá trị pháp lý của chữ ký điện tử, quy định về nghĩa vụ của người đăng ký cũng như bên chấp nhận chữ ký điện tử trong các giao dịch điện tử; Thừa nhận giá trị pháp lý của các chữ ký số và chứng thư số của nước ngoài
- Quy định hướng dẫn quy trình hoạt động của các cơ quan chứng thực điện tử; điều kiện cấp phép và hoạt động của các tổ chức cung cấp dịch vụ chứng thực chữ ký số và cả biện pháp xử lý những vi phạm pháp luật liên quan đến chữ ký số… Quy định các điều kiện đảm bảo an toàn cho chữ ký số;
Do đặc thù của chữ ký số, dù có rất nhiều lợi ích nhưng cũng rất phức tạp về công nghệ, trong quy định của luật cũng như các chính sách cần đảm bảo nhấn mạnh đến khuyến khích sử dụng chữ ký số và dịch vụ chứng thực chữ ký số. Đặc biệt khuyến khích sử dụng trong các lĩnh vực kinh tế, chính trị, xã hội để thúc đẩy việc trao đổi thông tin và các giao dịch qua mạng nhằm nâng cao năng suất lao động; mở rộng các hoạt động thương mại; hỗ trợ cải cách hành chính, tăng tiện ích xã hội.
Song song với xây dựng khung pháp lý cần triển khai đồng bộ về phổ biến pháp luật; phát triển ứng dụng; tổ chức đào tạo nguồn nhân lực;
nghiên cứu, hợp tác và chuyển giao công nghệ liên quan đến chữ ký số và dịch vụ chứng thực chữ ký số.
Môi trường pháp luật đầy đủ về chữ ký điện tử và dịch vụ chứng thực chữ ký điện tử là cơ sở để các doanh nghiệp tiến hành triển khai dịch vụ cấp và chứng thực chữ ký số cho các tổ chức và cá nhân để có công cụ ký kết các hợp đồng điện tử thuận tiện, an toàn và phù hợp với trình độ quốc tế.
Hoa Kỳ
- Luật Giao dịch điện tử thống nhất (Uniform Electronic Transaction Act) 1999
- Luật Chữ ký điện tử trong thương mại quốc gia và quốc tế thống nhất (Electronic Signatures in Global and National Commerce Act) 2000
Liên minh Châu Âu (bao gồm cả Bỉ)
- Chỉ thị Thương mại Điện tử (Electronic Commerce Directive), 2000
Hàn Quốc
- Luật thương mại điện tử (The Basic Law on Electronic Commerce)
Singapore
- Luật Giao dịch Điện tử (Electronic Transactions Act) 1998
Việt Nam
- Luật Giao dịch điện tử (Electronic Transactions Act) 2005
8.4.3. Điều kiện về chính sách phát triển của Nhà nƣớc
Để dịch vụ chứng thức có thể phát triển và đi vào cuộc sống, cần phải có sự ủng hộ của Nhà nước thông qua các chính sách khuyến khích phát triển, khuyến khích các doanh nghiệp tham gia dịch vụ và khuyến khích khách hàng sử dụng. Cụ thể, Nhà nước cần có chính sách hỗ trợ phát triển hạ tầng cơ sở mạng Internet và viễn thông, chính sách hỗ trợ xây dựng hành lang pháp lý, chính sách hỗ trợ các doanh nghiệp đi đầu trong lĩnh vực cung cấp dịch vụ tạo điều kiện thuận lợi thúc đẩy dịch vụ chứng thực điện tử Việt Nam phát triển.
Trước hết, cần có những quy định, chính sách cụ thể để triển khai áp dụng chữ ký điện tử trong các cơ quan quản lý nhà nước. Đặc biệt, cần có chính sách cụ thể, từng bước khuyến khích triển khai sử dụng chữ ký điện tử trong các giao dịch điện tử như:
- Giao dịch điện tử trong nội bộ cơ quan nhà nước. - Giao dịch điện tử giữa các cơ quan nhà nước với nhau.
- Giao dịch điện tử giữa cơ quan nhà nước với cơ quan, tổ chức, cá nhân.
Trên thực tế, cần có những biện pháp, quy định và chính sách cụ thể để triển khai giao dịch điện tử có sử dụng chữ ký điện tử trong nội bộ các cơ quan nhà nước trước, tiếp đến triển khai đối với các giao dịch điện tử giữa các cơ quan nhà nước với nhau. Tiến tới, triển khai ứng dụng chữ ký điện tử và chứng thực chữ ký điện tử cho tổ chức và cá nhân khác để sử dụng trong mọi giao dịch điện tử.
Song song với xây dựng chính sách, cần có cơ quan đầu mối về chứng thực điện tử quốc gia (CA root) để quản lý chung và đưa ra hệ thống chữ ký điện tử thống nhất trong cả nước và phù hợp với các tiêu chuẩn quốc tế. Bên cạnh đó, cần có chính sách chứng thực và tiêu chuẩn chứng thực quốc gia nhằm đảm bảo sự thống nhất và độ tin cậy, an toàn của hệ thống cũng như thuận tiện trong triển khai. Đồng thời, cần có những biện pháp, chính sách cụ thể để đẩy nhanh tiến độ hoạt động của Tổ chức cung cấp dịch vụ chứng thực chữ ký số quốc gia.
8.4.4. Điều kiện về nội lực của tổ chức sử dụng chữ ký điện tử
Để phát triển dịch vụ chứng thực điện tử, cần có một đội ngũ chuyên gia công nghệ thông tin đủ mạnh, có khả năng bắt kịp với sự phát triển của công nghệ, kỹ thuật cũng như có khả năng thiết kế, xây dựng các ứng dụng đáp ứng yêu cầu khi triển khai dịch vụ chứng thực điện tử. Yêu cầu về nhân lực không chỉ về chất lượng mà phải cả về số lượng để có thể triển khai áp dụng chữ ký điện tử đồng bộ tại các tổ chức trên cả nước trong các giao dịch phi thương mại và thương mại.
Điều này đòi hỏi phải có các chính sách khuyến khích đào tạo chuyên sâu và rộng rãi về thương mại điện tử, khuyến khích ứng dụng công nghệ thông tin trong quản lý hành chính và kinh doanh, đồng thời khuyến khích đào tạo chuyên sâu về ứng dụng chữ ký điện tử. Bên cạnh đó, cần tạo điều kiện thuận lợi để các cơ sở đào tạo tổ chức triển khai đào tạo nguồn nhân lực để triển khai hoạt động này.
Kinh nghiệm các nước đã triển khai thành công dịch vụ chứng thực chữ ký điện tử cho thấy, khó khăn khi triển khai dịch vụ chứng thực điện tử và áp dụng chữ ký điện tử trong giao dịch điện tử chính là ở trình độ của đội ngũ cán bộ chuyên trách về hoạt động này trong các tổ chức sử dụng dịch vụ này.
8.4.5. Điều kiện về nội lực của các tổ chức cung cấp dịch vụ chứng thực chứng thực
Chữ ký điện tử khi được chính thức đưa vào hoạt động sẽ có số lượng tổ chức và cá nhân tham gia sử dụng rất lớn. Do đó, nội lực của các cơ quan tổ chức cung cấp dịch vụ phải đảm bảo được các yêu cầu rất cao về hạ tầng kỹ thuật, mạng Internet, về nguồn nhân lực… Nhìn chung, các tổ chức tham gia cung cấp dịch vụ chứng thực điện tử phải đáp ứng 5 điều kiện:
(i) Điều kiện về thủ tục, giấy phép hoạt động: Các tổ chức tham gia cung cấp dịch vụ chứng thực chữ ký điện tử phải đáp ứng các điều kiện về thủ tục như: (1) Có giấy phép cung cấp dịch vụ chứng thực chữ ký số; (2) Có chứng thư số do tổ chức cung cấp dịch vụ chứng thực chữ ký số quốc gia cấp.
(ii) Điều kiện về tài chính: Để được cấp phép hoạt động, tổ chức cung cấp dịch vụ phải đáp ứng những điều kiện nhất định về tài chính như: (a) Có đủ năng lực tài chính để thiết lập hệ thống trang thiết bị kỹ thuật, tổ chức và duy trì hoạt động phù hợp với quy mô cung cấp dịch vụ; (b) Ký quỹ tại một ngân hàng hoặc cam kết mua bảo hiểm để giải quyết các rủi ro và các khoản đền bù có thể xảy ra trong quá trình cung cấp dịch vụ và thanh toán chi phí tiếp nhận và duy trì cơ sở dữ liệu của doanh nghiệp trong trường hợp bị thu hồi giấy phép.
(iii) Điều kiện về nhân lực: Các doanh nghiệp phải đáp ứng thêm điều kiện về nhân lực như: (a) Có đội ngũ nhân viên kỹ thuật, nhân viên quản lý, điều hành, nhân viên quản lý an ninh và nhân viên dịch vụ khách hàng đáp ứng được yêu cầu về chuyên môn và quy mô triển khai dịch vụ; không có tiền án, tiền sự; (b) Người đại diện theo pháp luật hiểu biết pháp luật về chữ ký số và dịch vụ chứng thực chữ ký số.
(iv) Điều kiện về kỹ thuật: Do đặc thù của dịch vụ chứng thực chữ ký số, các doanh nghiệp phải đáp ứng những điều kiện rất chặt chẽ về kỹ thuật. Cụ thể, các doanh nghiệp đăng ký tham gia cung cấp dịch vụ này phải thiết lập hệ thống thiết bị kỹ thuật đảm bảo các yêu cầu: (a) Lưu trữ đầy đủ, chính xác và cập nhật thông tin của thuê bao phục vụ cho việc cấp chứng thư số trong suốt thời gian chứng thư số có hiệu lực; (b) Đảm bảo tạo cặp khoá chỉ cho phép mỗi cặp khoá được tạo ra ngẫu nhiên và đúng một lần duy nhất; có tính năng đảm bảo khoá bí mật không bị phát hiện khi có khoá công khai tương ứng; (c) Hệ thống phân phối khóa cho thuê bao phải đảm bảo sự toàn vẹn và bảo mật của cặp khoá. Trong trường hợp phân phối khoá thông qua môi trường mạng máy tính thì hệ
thống phân phối khoá phải sử dụng các giao thức bảo mật đảm bảo không lộ thông tin trên đường truyền.
(v) Điều kiện về kinh doanh: Tổ chức cung cấp dịch vụ chứng thực điện tử cũng phải đáp ứng các yêu cầu về cơ sở hạ tầng phục vụ kinh doanh cao hơn so với các ngành kinh doanh dịch vụ khác, cụ thể như: (a) Có phương án kỹ thuật và phương án kinh doanh khả thi, phù hợp với các quy chuẩn kỹ thuật và tiêu chuẩn bắt buộc áp dụng; (b) Có các phương án kiểm soát sự ra vào trụ sở, quyền truy nhập hệ thống, quyền ra vào nơi đặt thiết bị phục vụ việc cung cấp dịch vụ chứng thực chữ ký số; (c) Có các phương án dự phòng đảm bảo duy trì hoạt động an toàn, liên tục và khắc phục khi có sự cố xảy ra;
Như vậy, có thể thấy để tham gia cung cấp dịch vụ chứng thực chữ ký số, các doanh nghiệp phải đáp ứng nhiều yêu cầu rất cao về tài chính, nhân sự và kỹ thuật. Tuy nhiên, các yêu cầu về nhân sự và kỹ thuật cần được quy định cụ thể và rõ ràng hơn nữa đối với từng loại, từng cấp của tổ chức này. Đặc biệt là các yêu cầu cụ thể về trang thiết bị phần cứng, phần mềm phục vụ cung cấp dịch vụ chứng thực chữ ký số.
9. Bảo mật trong giao dịch điện tử
Bảo mật thông tin trong thương mại điện tử là một vấn đề mà các hệ thống giao dịch trực tuyến cần giải quyết. Thông tin truyền trên mạng gặp rất nhiều rủi ro và nguy cơ bị mất thông tin là thường xuyên. Chẳng hạn việc thanh toán bằng thẻ tín dụng thông qua dịch vụ web sẽ gặp một số rủi ro như sau:
- Thông tin từ trình duyệt web của khách hàng ở dạng thuần văn bản nên có thể lọt vào tay kẻ tấn công.
- Trình duyệt web của khách hàng không thể xác định được máy chủ mà mình trao đổi thông tin có phải là thật hay một web giả mạo.
- Không ai có thể đảm bảo dữ liệu truyền đi có bị thay đổi hay không. Vì vậy, các hệ thống cần phải có một cơ chế đảm bảo an toàn trong quá trình giao dịch điện tử. Một hệ thống thông tin trao đổi dữ liệu an toàn phải đáp ứng một số yêu cầu sau:
- Hệ thống phải đảm bảo dữ liệu trong quá trình truyền đi là không bị đánh cắp.
- Hệ thống phải có khả năng xác thực, tránh trường hợp giả danh, giả mạo.
Do vậy, cần tập trung vào việc bảo vệ các tài sản khi chúng được chuyển tiếp giữa máy khách và máy chủ từ xa. Việc cung cấp hệ thống
bảo mật thương mại an toàn đồng nghĩa với việc đảm bảo tính toàn vẹn của thông báo và tính sẵn sàng của hệ thống. Một hệ thống bảo mật an toàn còn bao gồm cả tính xác thực.
9.1. Một số giải pháp công nghệ đảm bảo trong giao dịch điện tử
Các kỹ thuật đảm bảo cho an toàn giao dịch điện tử chính là là việc sử dụng các hệ mật mã, chứng chỉ số và sử dụng chữ ký số trong quá trình thực hiện các giao dịch.
9.1.1. Chứng chỉ số
Việc sử dụng mã hóa hay ký số chỉ giải quyết được vấn đề bảo mật thông điệp và xác thực. Tuy nhiên, không có thể đảm bảo rằng đối tác không thể bị giả mạo, trong nhiều trường hợp cần thiết phải “chứng minh” bằng phương tiện điện tử danh tính của ai đó.
Chứng chỉ số là một tệp tin điện tử được sử dụng để nhận diện một cá nhân, một máy dịch vụ, một tổ chức,… nó gắn định danh của đối tượng đó với một khóa công khai, giống như bằng lái xe, hộ chiếu, chứng minh thư.
Trong chứng chỉ số chứa một khóa công khai được gắn với một tên duy nhất của một đối tượng (tên nhân viên hoặc máy dịch vụ). Các chứng chỉ số giúp ngăn chặn việc sử dụng khóa công khai cho việc giả mạo. Chỉ có khóa công được chứng thực bởi chứng chỉ số sẽ làm việc với khóa bí mật tương ứng, nó được sở hữu bởi đối tượng có định danh năm trong chứng chỉ số. Ngoài khóa công khai, chứng chỉ số còn chứa thông tin đối tượng như tên mà nó nhận diện, hạn dùng, tên của Tổ chức (Certificate Authority – CA) cấp chứng chỉ số, mã số,… Điều quan trọng nhất là chứng chỉ số phải có chữ ký số của tổ chức CA đã cấp chứng chỉ số đó, nó cho phép chứng chỉ số như đã được đóng dấu để người sử dụng có thể kiểm tra.
Tổ chức (Certificate Authority – CA): Là một đơn vị có thẩm quyền xác nhận định danh và cấp các chứng chỉ số. Tổ chức CA có thể là một đối tác thứ ba đứng độc lập hoặc có các tổ chức tự vận hành một hệ thống tự cấp các chứng chỉ cho nội bộ của họ. CA đặt ra các chính sách đảm bảo cho việc cấp chứng chỉ số phải đúng đắn, ai được cấp và mục đích dùng vào việc gì. Thông thường, trước khi cấp một chứng chỉ số, CA sẽ công bố các thủ tục cần thiết phải thực hiện cho các loại chứng chỉ số.
9.1.2. Xác thực định danh
Việc giao tiếp trên mạng giữa một máy khách (Client) như duyệt trên máy cá nhân và với một máy dịch vụ (Server) như máy chủ website.
Việc chứng thực có thể được thực hiện ở cả hai phía. Máy dịch vụ có thể tin tưởng vào máy khách và ngược lại. Việc xác thực ở đây không chỉ có ý nghĩa một một chiều đối với người gửi, tức là người gửi muốn người nhận tin tưởng vào mình. Khi một người đã gửi thông điệp có kèm theo chữ ký số của mình (cùng với chứng chỉ số), thì không thể chối cãi và đó không phải là thông điệp của anh ta.
Có hai hình thức xác thực máy khách:
- Xác thực dựa trên tên truy nhập và mật khẩu (Username và Password): Tất cả các máy dịch vụ cho phép người dùng nhập mật khẩu, để có thể truy cập vào hệ thống. Máy dịch vụ sẽ quản lý danh sách các Username và Password này. Khi sử dụng loại xác thực, người dùng phải nhập mật khẩu cho mỗi máy dịch vụ khác nhau, nó lưu lại dấu vết của các mật khẩu này cho mỗi người dùng.
- Xác thực dựa trên chứng chỉ số: Đó là một phần của giao thức bảo mật SSL. Máy khách ký số vào dữ liệu, sau đó gửi cả chữ số và cả chứng chỉ số qua mạng. Máy dịch vụ sẽ dùng kỹ thuật mã hóa khóa công khai để kiểm tra chữ ký và xác định tính hợp lệ của chứng chỉ số. Sử dụng chứng chỉ số để chứng thực có lợi thế hơn dùng mật khẩu là vì nó dựa vào việc người sử dụng dã có như khóa bí mật và mật khẩu để bảo vệ