Kiểm tra chữ ký số trên file PDF: 3 câu hỏi khác nhau

Mở tệp bằng phần mềm đọc PDF có bảng chữ ký, rồi đọc ba thứ: nội dung còn nguyên không, ai cấp chữ ký đó, và chữ ký bảo vệ tới đâu. Ba thứ này độc lập nhau. Một tệp có thể còn nguyên vẹn mà vẫn đáng ngờ, nên kiểm tra chữ ký số không bao giờ là một câu trả lời có hoặc không.

Nội dung bài viết

1. Kiểm tra chữ ký số là kiểm tra những gì?
2. Hình chữ ký vẽ tay có phải chữ ký số không?
3. Kiểm tra chữ ký số báo nguyên vẹn thì đã yên tâm chưa?
4. Vì sao cùng một tệp mà máy này tin, máy kia không?
5. Kiểm tra chữ ký số có cho biết chữ ký che tới đâu không?
6. Nối, nén hay xoá trang xong thì kiểm tra chữ ký số thấy gì?
7. Kiểm tra chữ ký số ở đâu mà không mất tiền?
8. Câu hỏi thường gặp

Kiểm tra chữ ký số là kiểm tra những gì?

Là kiểm tra ba thứ tách rời nhau, và phần mềm nào cũng trả lời đủ ba, chỉ khác cách gọi tên.

1. Nội dung còn nguyên không. Lúc ký, máy tính ra một con số rút gọn từ toàn bộ nội dung tệp rồi khoá con số đó lại. Khi bạn mở tệp, phần mềm tính lại con số ấy. Lệch một ký tự là lệch con số.
2. Ai cấp chữ ký này. Chữ ký gắn với một chứng thư do nhà cung cấp dịch vụ phát hành. Câu hỏi là nhà cung cấp đó có nằm trong danh sách được tin không.
3. Chữ ký che tới đâu. Tệp PDF cho phép ghi thêm vào phía sau mà không đụng phần cũ. Chữ ký chỉ bảo vệ phần nó ký, không bảo vệ thứ thêm vào sau đó.

Ba câu này độc lập. Gộp chúng thành một câu duy nhất là chỗ hầu hết người dùng hiểu sai. Để thấy rõ, chúng tôi dựng một hợp đồng mua bán mẫu rồi đem thử năm tình huống, mỗi lần đo bằng phần mềm chứ không nhìn bằng mắt.

Tình huống	Số chữ ký số	Nội dung nguyên vẹn	Người cấp được tin	Chữ ký che tới đâu
Chưa ký gì	0
Chỉ vẽ nét mực lên trang	0
Ký số thật	1	Đúng	Đúng	Cả tệp
Ký xong rồi thêm vào	1	Đúng	Đúng	Chỉ phần cũ
Ký xong rồi ghi lại tệp	1	Sai	Sai	Một khối từ đầu tệp

Ba dòng cuối đều báo có một chữ ký số. Ai chỉ hỏi mỗi câu tệp này có chữ ký số hay không thì cả ba đều đáng tin như nhau. Thực tế chỉ dòng thứ ba là lành.

Hình chữ ký vẽ tay có phải chữ ký số không?

Không. Đây là chỗ nhầm phổ biến nhất, và cũng dễ kiểm nhất.

Chúng tôi lấy hợp đồng mẫu, vẽ lên chỗ ĐẠI DIỆN BÊN A hai nét mực, giống hệt một bản đã ký rồi đem quét lại. Sau đó ký số thật vào chỗ ĐẠI DIỆN BÊN B. Hai chỗ nằm cạnh nhau trên cùng một trang.

Nhìn bằng mắt thì bên trái trông còn giống chữ ký hơn. Nhưng khi kiểm tra chữ ký số, phần mềm chỉ đếm được một chữ ký, là ô bên phải. Nét mực bên trái với máy tính chỉ là hai đường cong, không khác gì đường kẻ bảng.

Bản chỉ có nét mực, chưa ký số, cho kết quả bằng không.

Hệ quả thực tế: một bản hợp đồng giấy ký tay rồi quét thành PDF thì không có chữ ký số nào, dù nhìn đầy đủ dấu má. Nó có giá trị theo cách khác, nhưng không phải thứ máy kiểm tra được.

Ô chữ ký số thật làm tệp nặng thêm. Hợp đồng mẫu của chúng tôi tăng khoảng 7.000 byte sau khi ký, phần tăng đó chính là chữ ký và chứng thư kèm theo.

Kiểm tra chữ ký số báo nguyên vẹn thì đã yên tâm chưa?

Chưa. Nguyên vẹn chỉ trả lời rằng nội dung không bị sửa kể từ lúc ký. Nó không nói gì về việc người ký có phải người bạn tưởng hay không.

Hai câu đó hoàn toàn tách rời, và tệp thử của chúng tôi chứng minh được điều ấy rõ ràng. Cùng một tệp, không đổi một byte nào, mà phần mềm kiểm tra chữ ký số cho ra hai kết luận khác nhau tuỳ máy đang chạy.

Theo Trung tâm Chứng thực điện tử quốc gia, chữ ký số chỉ có giá trị khi chứng thư đi kèm do một tổ chức cung cấp dịch vụ được cấp phép phát hành. Phần mềm trên máy bạn muốn biết điều đó thì phải có sẵn danh sách gốc để đối chiếu.

Vì sao cùng một tệp mà máy này tin, máy kia không?

Vì danh sách tin cậy nằm ở máy đọc, không nằm trong tệp.

Chúng tôi lấy đúng một tệp đã ký, đem kiểm hai lần.

1. Lần đầu, máy chưa biết gì về nhà cung cấp chứng thư. Kết quả: nội dung nguyên vẹn đúng, người cấp được tin sai.
2. Lần sau, cài chứng thư gốc của nhà cung cấp đó vào danh sách tin cậy rồi kiểm lại. Kết quả: nguyên vẹn đúng, người cấp được tin đúng.

Tệp không đổi. Chỉ hiểu biết của máy đọc đổi.

Đây chính là lý do nhiều người mở hợp đồng thật, phần mềm vẫn hiện dấu hỏi vàng hoặc dòng cảnh báo, rồi tưởng tệp có vấn đề. Phần lớn trường hợp là máy chưa cài danh sách chứng thư gốc. Ở Việt Nam, danh sách đó do hệ thống chứng thực chữ ký số quốc gia phát hành.

Ngược lại cũng đúng và nguy hiểm hơn: ai cũng tự tạo được một chứng thư rồi ký lên tài liệu. Chữ ký ấy vẫn báo nguyên vẹn. Nó chỉ trượt ở câu hỏi thứ hai. Cho nên khi kiểm tra chữ ký số, đọc mỗi chữ nguyên vẹn là chưa đủ.

Kiểm tra chữ ký số có cho biết chữ ký che tới đâu không?

Có, và đây là câu ít người để ý nhất.

Định dạng PDF cho phép ghi thêm vào cuối tệp mà giữ nguyên phần cũ. Cơ chế này vốn để người ta ghi chú hay ký thêm mà không phá chữ ký của người ký trước. Mặt trái là thứ thêm vào sau không được chữ ký cũ bảo vệ.

Chúng tôi lấy hợp đồng đã ký, ghi thêm một khung đỏ khoanh vào đúng dòng tổng giá trị hợp đồng, theo cách ghi thêm nói trên.

Kết quả kiểm tra chữ ký số sau khi thêm:

• Số chữ ký: vẫn 1.
• Nội dung nguyên vẹn: vẫn báo đúng.
• Người cấp được tin: vẫn đúng.
• Nhưng phạm vi che tụt từ cả tệp xuống chỉ phần trước khi thêm.

Phần mềm còn báo thêm rằng ở bản sau có thay đổi nó không giải thích được. Người chỉ liếc dòng chữ ký hợp lệ sẽ bỏ qua hẳn chi tiết đó, trong khi khung đỏ kia hoàn toàn có thể là một dòng chữ sửa số tiền.

Vì vậy khi kiểm tra chữ ký số cho hợp đồng hay chứng từ, luôn tìm dòng nói về phạm vi. Chữ cần tìm thường là che toàn bộ tệp, hoặc chỉ che một bản trước đó.

Nối, nén hay xoá trang xong thì kiểm tra chữ ký số thấy gì?

Thấy chữ ký hỏng, và đáng ngại ở chỗ nhìn vào trang thì không nhận ra.

Chúng tôi đưa hợp đồng đã ký qua một công cụ ghi lại cả tệp, kiểu mọi phần mềm làm khi bạn nối, nén hay xoá trang. Kết quả: tệp vẫn còn một ô chữ ký, nhưng nội dung nguyên vẹn chuyển thành sai.

Rồi chúng tôi kết xuất vùng chữ ký của cả hai tệp ra ảnh và so sánh. Hai ảnh giống nhau tới từng điểm ảnh, cùng một mã băm. Tệp còn giá trị và tệp đã hỏng trông y hệt nhau.

Tuỳ công cụ mà kết quả hơi khác: có công cụ xoá hẳn ô chữ ký, có công cụ để lại ô nhưng chữ ký bên trong đã hỏng. Cả hai đường đều dẫn tới một chỗ, là tệp mới không còn giá trị xác thực.

Ba trang công cụ của chúng tôi đều nói thẳng điều này ngay tại chỗ làm việc: nối file PDF, nén file PDF và xoá, xoay, sắp xếp trang PDF. Không phải vì công cụ yếu, mà vì theo đúng nguyên tắc của chữ ký số, sửa nội dung xong mà chữ ký cũ vẫn còn giá trị thì chữ ký ấy chẳng bảo vệ được gì.

Cách làm đúng: nối hoặc nén trước, ký số sau cùng. Lỡ làm ngược rồi thì xin bên ký cấp lại bản mới, đừng gửi đi bản đã hỏng.

Kiểm tra chữ ký số ở đâu mà không mất tiền?

Có hai đường, và chọn đường nào phụ thuộc vào tài liệu của bạn kín tới mức nào.

Đường thứ nhất, phần mềm cài trên máy. Các phần mềm đọc PDF thông dụng đều có một bảng chữ ký, nơi ghi đủ ba câu trả lời ở trên. Ưu điểm lớn nhất là tệp không rời khỏi máy bạn. Hợp đồng, bảng lương, chứng từ thuế thì nên đi đường này.

Có một điều chúng tôi gặp khi thử, nên nói trước kẻo bạn tưởng tệp không có chữ ký: mở hợp đồng đã ký bằng một phần mềm đọc PDF phổ biến, màn hình hiện tài liệu bình thường, không có dòng nào báo rằng tệp có chữ ký số. Phải tự mở bảng chữ ký mới thấy. Không thấy cảnh báo không có nghĩa là không có gì để xem.

Đường thứ hai, trang kiểm tra của cơ quan nhà nước. Trung tâm Chứng thực điện tử quốc gia có sẵn mục kiểm tra chữ ký số, dùng miễn phí, nhận tệp PDF và XML. Đây là nơi đáng tin hơn hẳn các trang kiểm tra trôi nổi, vì nó do chính cơ quan quản lý danh sách chứng thư gốc vận hành.

Đổi lại, bạn phải tải tệp lên máy chủ của họ. Với tài liệu cần giữ kín thì cân nhắc, còn với văn bản vốn đã công khai thì tiện.

Nếu trang không mở được, hoặc trình duyệt hiện cảnh báo bảo mật, đừng bấm bỏ qua cảnh báo để vào cho bằng được. Quay về đường thứ nhất, kết quả như nhau mà không phải gửi tệp đi đâu.

Còn trang này thì không kiểm tra chữ ký số. Mọi công cụ ở đây chạy trong trình duyệt của bạn, mà muốn trả lời câu hỏi người cấp có được tin hay không thì phải mang theo và cập nhật danh sách chứng thư gốc quốc gia. Việc đó vượt quá sức một trang chạy hoàn toàn trên máy người dùng.

Câu hỏi thường gặp

Kiểm tra chữ ký số trên file PDF online có an toàn không?

Còn tuỳ bạn gửi tệp cho ai. Trang của Trung tâm Chứng thực điện tử quốc gia là chỗ đáng tin, còn các trang kiểm tra trôi nổi thì bạn không biết tệp mình đi đâu. Mọi trang trực tuyến đều đòi tải tệp lên máy chủ của họ, nên tài liệu cần giữ kín thì vẫn nên kiểm bằng phần mềm cài trên máy.

Vì sao phần mềm báo chữ ký hợp lệ nhưng vẫn hiện dấu hỏi màu vàng?

Gần như chắc chắn là máy chưa có chứng thư gốc của nhà cung cấp trong danh sách tin cậy. Nội dung tệp vẫn nguyên vẹn, chỉ là máy chưa biết nên tin ai. Cài danh sách chứng thư gốc vào rồi kiểm lại sẽ hết.

File PDF quét từ bản ký tay có chữ ký số không?

Không có. Bản quét chỉ là ảnh chụp trang giấy, kể cả khi có đủ chữ ký và dấu đỏ. Khi kiểm tra chữ ký số, phần mềm sẽ báo tệp không chứa chữ ký nào.

Ghép file PDF có chữ ký số thì chữ ký của ai mất?

Mất hết, của mọi người đã ký, không riêng ai. Vì tệp mới có nội dung khác tệp cũ nên không chữ ký nào trong đó còn khớp.

Nén file PDF có chữ ký số rồi còn kiểm tra lại được không?

Kiểm được, và kết quả sẽ cho thấy chữ ký không còn giá trị. Nếu cần vừa nén vừa giữ chữ ký thì phải nén trước rồi mới ký.

Làm sao biết tệp bị thêm thứ gì vào sau khi ký?

Xem dòng nói về phạm vi bảo vệ trong bảng chữ ký. Nếu chữ ký chỉ che một bản trước đó chứ không che cả tệp, nghĩa là có thứ được ghi thêm vào sau. Nhiều phần mềm còn liệt kê ra các bản của tệp để bạn so.