Chứng thư ký email, theo chuẩn thường gọi là S/MIME, là chứng thư số cấp cho một địa chỉ thư (và có thể kèm tên người, tên tổ chức) để người gửi ký số lên từng thư và, nếu cần, mã hoá thư cho người nhận. Người nhận thấy thư đã được ký thì biết thư đến từ đúng hộp thư đó và nội dung không bị sửa trên đường đi. Doanh nghiệp đáng dùng khi thường xuyên trao đổi những thư có hậu quả tài chính hay pháp lý, như đề nghị thanh toán, thay đổi tài khoản nhận tiền, gửi hồ sơ cho đối tác.
Khác với các cơ chế xác thực tên miền gửi thư do máy chủ thư làm tự động, chứng thư ký email gắn với từng người và từng hộp thư, nên phải được cấp, giao, gia hạn và thu hồi như một thứ tài sản. Bài tập trung vào phần đó: chọn loại chứng thư, xin cho nhân viên, cài đặt, giữ khoá giải mã và việc phải làm khi có người nghỉ. Tên nhà cung cấp và giá không nằm trong bài.
Chứng thư ký email giải quyết vấn đề gì và không giải quyết vấn đề gì
Kiểu lừa đảo gây thiệt hại nhiều nhất cho doanh nghiệp qua email không cần mã độc: kẻ gian giả làm giám đốc hoặc nhà cung cấp, gửi thư yêu cầu kế toán chuyển tiền gấp hoặc báo đổi số tài khoản nhận tiền. Thư trông giống hệt thư thật, có khi gửi từ một tên miền chỉ khác một ký tự. Nếu trong công ty đã quen với việc mọi thư về tiền từ giám đốc đều có chữ ký số hợp lệ, một thư thiếu chữ ký sẽ nổi bật ngay.
Chữ ký trên thư chứng minh hai điều: thư được gửi bởi người đang giữ khoá bí mật gắn với chứng thư của hộp thư đó, và nội dung, kể cả tệp đính kèm, không bị thay đổi sau khi ký. Nếu kèm mã hoá, chỉ người nhận có khoá phù hợp mới đọc được nội dung. Đây là bảo vệ từ đầu tới cuối, không phụ thuộc máy chủ thư ở giữa có an toàn hay không.
Những gì chứng thư ký email không làm được cũng cần nói rõ. Nó không ngăn được thư giả mạo đến hộp thư của bạn; nó chỉ giúp bạn nhận ra thư không có chữ ký hợp lệ. Nó không thay được việc gọi điện xác nhận với những yêu cầu chuyển tiền lớn. Và nó chỉ phát huy khi người nhận dùng chương trình đọc thư hiển thị được trạng thái chữ ký; nhiều ứng dụng đọc thư trên nền web hoặc điện thoại hiển thị hạn chế.
Về giá trị pháp lý, chữ ký trên thư là một dạng chữ ký điện tử. Nó có được coi là chữ ký số theo pháp luật Việt Nam hay không phụ thuộc chứng thư do ai cấp và quy định về chữ ký điện tử hiện hành. Với hợp đồng, văn bản cần giá trị chứng minh cao, doanh nghiệp nên dùng chữ ký số công cộng hoặc dịch vụ gửi nhận điện tử bảo đảm thay vì dựa vào chữ ký trên thư.
Các mức xác minh của chứng thư email
Từ năm 2023, chứng thư email được các chương trình đọc thư tin cậy phải theo một bộ quy tắc chung của ngành, chia thành mấy mức xác minh. Tên gọi trên trang của từng đơn vị cấp có thể khác, nhưng logic như sau.
| Mức | Chứng thư ghi gì | Bên cấp xác minh gì | Hợp với |
|---|---|---|---|
| Chỉ xác minh hộp thư | Chỉ địa chỉ thư | Người xin kiểm soát hộp thư đó | Cá nhân, nhu cầu ký đơn giản |
| Xác minh tổ chức | Địa chỉ thư và tên tổ chức | Tổ chức tồn tại, tổ chức kiểm soát tên miền thư | Hộp thư chung như phòng kế toán, bộ phận bán hàng |
| Tổ chức bảo lãnh cá nhân | Địa chỉ thư, tên tổ chức và tên người | Tổ chức đã xác minh; tổ chức xác nhận danh tính nhân viên | Nhân viên cấp cho từng người trong công ty |
| Xác minh cá nhân | Địa chỉ thư và tên người | Danh tính người xin bằng giấy tờ | Người làm tự do, chuyên gia độc lập |
Với doanh nghiệp, mức tổ chức bảo lãnh cá nhân thường hợp lý nhất: công ty đăng ký một lần, sau đó tự cấp cho nhân viên qua bảng quản trị mà không phải xác minh từng người với đơn vị cấp. Đổi lại, công ty phải tự chịu trách nhiệm xác nhận đúng người.
Trình tự triển khai cho một phòng ban
Không nên cấp cho cả công ty ngay. Bắt đầu với những người gửi thư có hậu quả tài chính, chạy ổn rồi mới mở rộng.
- Chọn nhóm đầu tiên: giám đốc, kế toán trưởng, người phụ trách mua hàng và thanh toán; ghi lý do vào quy chế nội bộ.
- Quyết định có dùng mã hoá hay chỉ ký. Chỉ ký thì đơn giản hơn nhiều; có mã hoá thì phải giải quyết bài toán lưu giữ khoá giải mã ở mục dưới.
- Đăng ký với đơn vị cấp ở mức phù hợp, hoàn tất xác minh tổ chức và tên miền thư.
- Cấp chứng thư cho từng người, cài lên chương trình đọc thư trên máy tính và điện thoại mà họ dùng; bật mặc định ký cho mọi thư gửi ra ngoài.
- Thông báo cho đối tác và nội bộ: từ nay thư về thanh toán từ những người này luôn có chữ ký số; thư không có chữ ký phải gọi xác nhận.
- Ghi mỗi chứng thư vào sổ danh mục chứng chỉ của công ty, có ngày hết hạn và người phụ trách.
Bước năm là bước biến công nghệ thành biện pháp phòng lừa thật sự. Chữ ký số chỉ có ích khi người nhận biết phải nhìn vào nó.
Khoá giải mã: thứ phải giữ lại kể cả khi chứng thư đã hết hạn
Với chữ ký, khoá bí mật chỉ cần trong lúc chứng thư còn hạn; hết hạn thì xin chứng thư mới, chữ ký cũ vẫn kiểm tra được bằng chứng thư cũ. Với mã hoá thì khác: mọi thư đã được mã hoá bằng khoá công khai cũ chỉ mở được bằng đúng khoá bí mật cũ. Xoá khoá cũ khi gia hạn là tự khoá mình khỏi toàn bộ thư mã hoá trước đó.
Vì vậy, nếu doanh nghiệp dùng mã hoá, cần một cơ chế lưu giữ có kiểm soát các khoá giải mã, thường gọi là lưu ký khoá. Một số dịch vụ cấp chứng thư cho doanh nghiệp có tính năng này; nếu không, bộ phận quản trị phải tự cất bản sao khoá giải mã của từng nhân viên ở nơi an toàn, có quy định ai được mở và trong trường hợp nào.
Ngược lại, khoá dùng để ký không nên có bản sao do công ty giữ. Nếu công ty giữ bản sao khoá ký của nhân viên, chữ ký đó không còn chứng minh được ai thực sự đã ký. Nhiều doanh nghiệp tách hai cặp khoá: một cặp chỉ để ký, không lưu ký; một cặp chỉ để mã hoá, có lưu ký. Hỏi đơn vị cấp xem dịch vụ có hỗ trợ cách tách này không.
Khi nhân viên nghỉ việc hoặc đổi vị trí
Thu hồi chứng thư ký. Ngày người đó nghỉ, thu hồi chứng thư ký email của họ để không ai dùng hộp thư cũ ký thư nhân danh công ty. Ghi ngày thu hồi vào sổ.
Giữ khoá giải mã theo quy chế. Nếu có mã hoá, khoá giải mã đã lưu ký phải được giữ lại để công ty mở được thư công việc cũ khi cần. Việc mở thư cũ của người đã nghỉ phải theo quy chế nội bộ và quy định về bảo vệ dữ liệu cá nhân, có người duyệt và có ghi nhận.
Hộp thư chuyển cho người kế nhiệm. Người kế nhiệm dùng chứng thư của chính họ, không dùng lại chứng thư của người cũ. Báo cho đối tác biết người phụ trách mới và việc thư từ người mới sẽ có chữ ký của người mới.
Đổi vị trí trong công ty. Nếu chứng thư ghi chức danh hoặc phòng ban, đổi vị trí là lúc nên cấp chứng thư mới cho đúng thông tin.
Công sức và chi phí cần tính trước khi mở rộng
Chi phí chứng thư theo đầu người. Chứng thư email thường tính theo từng hộp thư và từng kỳ. Mở rộng cho cả công ty nghĩa là chi phí nhân theo số nhân viên, cộng với chi phí gia hạn đều đặn. Bài không nêu giá; khi so sánh báo giá, hãy so cùng mức xác minh, cùng thời hạn và cùng tính năng quản trị.
Công cài đặt và hỗ trợ. Mỗi người dùng có thể đọc thư trên hai, ba thiết bị. Cài chứng thư lên từng thiết bị, xử lý khi đổi điện thoại, hướng dẫn người mới là phần công sức lặp lại mà bộ phận quản trị phải gánh.
Hệ thống lưu ký khoá nếu dùng mã hoá. Đây là phần tốn kém và đòi hỏi kỷ luật nhất. Nếu chưa sẵn sàng vận hành lưu ký khoá đúng cách, nhiều doanh nghiệp chọn chỉ dùng chữ ký, còn tài liệu cần bảo mật thì gửi qua kênh khác có kiểm soát truy cập.
Gia hạn và thu hồi. Mỗi chứng thư email là một dòng trong sổ danh mục chứng chỉ, có ngày hết hạn riêng. Số dòng tăng theo số nhân viên, nên nếu mở rộng cho cả công ty, hãy chọn dịch vụ có bảng quản trị tập trung, cảnh báo hạn và thu hồi hàng loạt.
Lợi ích đo được. Đổi lại, doanh nghiệp có một quy tắc rõ ràng để chặn lừa đảo đổi tài khoản nhận tiền, loại thiệt hại có thể lớn hơn nhiều lần chi phí cả năm. Bắt đầu với nhóm nhỏ giúp bạn đo được lợi ích trước khi quyết định mở rộng.
Những lỗi hay gặp khi mới triển khai
Phần lớn lỗi đến từ cài đặt và thói quen, không phải từ chứng thư.
- Chỉ cài trên máy tính, quên điện thoại; thư gửi từ điện thoại không có chữ ký, đối tác bắt đầu nghi ngờ hoặc ngược lại quen với việc thư thiếu chữ ký.
- Ký thư gửi vào danh sách nhận thư lớn hoặc qua hệ thống chuyển tiếp có chèn thêm chân thư; nội dung bị sửa sau khi ký nên chữ ký báo lỗi.
- Mã hoá thư gửi cho người không có chứng thư; người nhận không đọc được, phải gửi lại.
- Để chứng thư hết hạn mà không ai biết; thư từ ngày đó không còn chữ ký hợp lệ.
- Tưởng chữ ký trên thư thay được hợp đồng ký số; với giao dịch giá trị lớn vẫn phải dùng kênh ký số phù hợp.
Một buổi hướng dẫn ngắn cho nhóm đầu tiên, kèm một trang tóm tắt cách nhận biết thư có chữ ký hợp lệ, tránh được gần hết các lỗi trên.
Câu hỏi thường gặp
Chứng thư ký email có giống chữ ký số trên token dùng ký tờ khai không?
Cùng dựa trên hạ tầng khoá công khai nhưng là hai loại chứng thư khác nhau, cấp cho mục đích khác nhau. Token chữ ký số ký tờ khai, hoá đơn, hợp đồng theo quy định về giao dịch điện tử; chứng thư email cấp cho một địa chỉ thư để ký và mã hoá thư.
Đối tác dùng ứng dụng đọc thư trên web thì có thấy chữ ký không?
Tuỳ ứng dụng. Một số ứng dụng trên web và điện thoại hiển thị trạng thái chữ ký, một số không hoặc chỉ hiện tệp đính kèm lạ. Trước khi bắt buộc chính sách với đối tác, thử gửi thư có chữ ký sang các ứng dụng họ hay dùng.
Có cần chứng thư email cho hộp thư chung như phòng kế toán không?
Có thể cấp chứng thư cho hộp thư chung ở mức xác minh tổ chức. Khi đó cần quy định ai trong phòng được dùng khoá để ký, vì chữ ký chỉ chứng minh thư từ hộp thư đó chứ không chứng minh cá nhân nào gửi.
Mất máy tính có cài chứng thư email thì làm gì?
Báo bộ phận quản trị ngay để thu hồi chứng thư ký trên máy đó và cấp chứng thư mới. Nếu có mã hoá, khoá giải mã cũ vẫn cần giữ trong kho lưu ký để đọc thư cũ, nhưng chứng thư cũ nên bị thu hồi để không ai mã hoá thư mới cho nó.
Chứng thư email có ngăn được thư giả mạo tên miền công ty không?
Không trực tiếp. Việc chặn thư giả mạo tên miền dựa vào các bản ghi xác thực tên miền gửi thư trên DNS và cấu hình máy chủ thư. Chứng thư email bổ sung một lớp: thư thật luôn có chữ ký của người gửi, thư giả thì không.