Digital Certificates and Signature Trust Chains

Đỉnh của chuỗi niềm tin. Các chứng chỉ gốc CA được ký tự động và được cài đặt sẵn trong hệ điều hành và trình duyệt. Chúng là nguồn tin tưởng cuối cùng — nếu bạn tin tưởng gốc, bạn tin tưởng mọi thứ được cấp dưới nó.

Các CA gốc hiếm khi cấp chứng chỉ người dùng cuối trực tiếp. Thay vào đó, họ cấp chứng chỉ CA trung gian, mà lại cấp chứng chỉ người dùng cuối. Điều này thêm một lớp bảo mật — nếu một trung gian bị vi phạm, chỉ cần thu hồi nó, không phải gốc.

Chứng chỉ được cấp cho một cá nhân hoặc tổ chức để ký hoặc xác thực. Khi xác thực một chữ ký, người xác thực theo dõi chuỗi: người dùng cuối → trung gian → gốc. Nếu tất cả các liên kết đều hợp lệ và gốc được tin tưởng, chữ ký được tin tưởng.

RSA 2048-bit là mức tối thiểu được chấp nhận bởi NIST SP 800-131A cho các chữ ký sau năm 2030. ECC P-256 cung cấp độ bảo mật tương đương với kích thước khóa nhỏ hơn (256-bit) và ký nhanh hơn — 3 lần nhanh hơn so với RSA 2048. eSign.AI sử dụng ECC P-256 mặc định và RSA 3072 cho môi trường quy định yêu cầu RSA.

Cơ sở hạ tầng CA/Browser Forum cơ bản: tối đa 398 ngày cho chứng chỉ TLS. Đối với chứng chỉ eSignature: Chứng chỉ QTSP EU thường có hiệu lực từ 2-5 năm. Chứng chỉ CA Trung Quốc: 3 năm. Netrust Singapore: 2-3 năm. Sau khi hết hạn, chữ ký vẫn hợp lệ nhưng dữ liệu LTV phải được gắn vào để xác minh độc lập.

CA gốc → CA trung gian → Chứng chỉ ký là chuỗi 3 cấp độ tiêu chuẩn. Một số QTSP sử dụng 4 cấp độ (Gốc → Quốc gia → CA → Ký). Việc xác minh yêu cầu tất cả các chứng chỉ trung gian phải có sẵn — nếu chứng chỉ chuỗi bị thiếu, chữ ký sẽ hiển thị là "chưa được xác minh" trong Adobe Reader.

OCSP (Online Certificate Status Protocol) kiểm tra thu hồi trong thời gian thực, thường có độ trễ từ 50-200 ms. CRL (Certificate Revocation List) tải xuống danh sách đầy đủ (50 KB - 5 MB) và lưu trữ nó. PAdES B-LT gắn cả phản hồi OCSP và CRL vào thời điểm ký, đảm bảo việc xác minh hoạt động ngay cả khi CA ngừng hoạt động.

Quy trình phát hành chứng chỉ theo tiêu chuẩn: người đăng ký gửi đơn xin với các tài liệu chứng minh danh tính, CA xác minh danh tính (trực tiếp, qua eKYC hoặc thông qua đại lý đáng tin cậy), CA phát hành chứng chỉ với thời gian hiệu lực đã định và người đăng ký nhận khóa riêng lưu trữ trên phương tiện an toàn (HSM, thẻ token hoặc kho khóa đám mây). Theo Điều 15 của Luật Chữ ký số điện tử Trung Quốc, nhà cung cấp CA phải có giấy phép từ SCA. Theo eIDAS, QTSP phải được liệt kê trong Danh sách Đáng tin cậy của EU và kiểm tra theo tiêu chuẩn ETSI.

Chứng chỉ có thể bị thu hồi trước khi hết hạn do việc đánh cắp khóa, việc đánh cắp CA, gian lận danh tính người đăng ký hoặc thay đổi tổ chức (hợp nhất, giải thể). Thông tin thu hồi được công bố qua CRL (Danh sách thu hồi chứng chỉ) và/hoặc OCSP (Online Certificate Status Protocol). Chữ ký PAdES B-LT và B-LTA gắn dữ liệu thu hồi vào thời điểm ký, đảm bảo việc xác minh hoạt động ngay cả nhiều năm sau khi CA có thể không còn hoạt động. Không có dữ liệu thu hồi gắn vào, chữ ký trở nên không thể xác minh sau khi chứng chỉ hết hạn — một lỗi phổ biến trong các triển khai eSignature truyền thống.

Chương trình ký doanh nghiệp nên lên kế hoạch tái cấp chứng chỉ 60-90 ngày trước khi hết hạn. Đối với tài liệu bị niêm phong (báo cáo quy định, chứng chỉ tuân thủ), tái cấp chứng chỉ phải xảy ra trước khi hết hạn để duy trì chuỗi tin cậy liên tục. Các CA có giấy phép SCA của Trung Quốc thường phát hành chứng chỉ 3 năm; QTSP EU phát hành chứng chỉ từ 2-5 năm. eSign.AI quản lý tái cấp chứng chỉ tự động cho chứng chỉ dựa trên đám mây và gửi thông báo nhắc nhở cho chứng chỉ được quản lý bởi người đăng ký.