Chữ ký số từ xa cho phép bạn ký tờ khai, hóa đơn, hợp đồng mà không cần cắm USB Token. Bài viết giải thích khóa bí mật nằm ở đâu, bạn xác nhận lệnh ký thế nào, căn cứ pháp lý theo Nghị định 23/2025/NĐ-CP và cách giữ an toàn khi đổi hoặc mất điện thoại.
Chữ ký số từ xa (remote signing) là mô hình ký số mà khóa bí mật của bạn được nhà cung cấp lưu và bảo vệ trên hệ thống chuyên dụng; mỗi lần ký, bạn xác nhận bằng phương thức xác thực đã đăng ký, thường là ứng dụng trên điện thoại. Nghị định 23/2025/NĐ-CP ghi nhận đây là một mô hình của dịch vụ chứng thực chữ ký số công cộng, nên chữ ký có chứng thư còn hiệu lực có giá trị pháp lý như chữ ký số dùng USB Token. MySign là dịch vụ ký số từ xa của Viettel-CA.
Chữ ký số từ xa là gì, khác gì “chữ ký số trên điện thoại”
Các hình thức chữ ký số khác nhau chủ yếu ở nơi lưu khóa bí mật. Khoản 1 Điều 26 Nghị định 23/2025/NĐ-CP chia dịch vụ chứng thực chữ ký số công cộng thành ba mô hình: ký số trên phương tiện lưu khóa bí mật bằng thiết bị phần cứng (như USB Token), ký số trên thiết bị di động và ký số từ xa.
Với ký số từ xa, khóa bí mật không nằm trong thiết bị bạn cầm theo. Khoản 4 Điều 37 của Nghị định cho phép tổ chức cung cấp dịch vụ theo mô hình ký số từ xa được lưu khóa bí mật của thuê bao và phải bảo đảm sử dụng các phương thức an toàn để lưu trữ. Thứ bạn giữ là quyền ra lệnh ký: tài khoản, thiết bị đã đăng ký và các yếu tố xác thực.
Vì vậy cụm từ “chữ ký số trên điện thoại” có thể chỉ hai thứ: ký số từ xa (điện thoại dùng để xác nhận, khóa ở hệ thống nhà cung cấp) hoặc mô hình ký số trên thiết bị di động mà Nghị định tách thành loại riêng. Khi so sánh gói dịch vụ, hãy hỏi rõ khóa bí mật được lưu ở đâu.
Cơ chế hoạt động: một lệnh ký đi qua những bước nào
Giao diện mỗi dịch vụ khác nhau, nhưng luồng xử lý của ký số từ xa thường gồm bốn bước:
Phát hành chứng thư, lưu khóa trên hệ thống
Sau khi xác minh hồ sơ, nhà cung cấp phát hành chứng thư chữ ký số công cộng; khóa bí mật được lưu trong thiết bị bảo mật phần cứng chuyên dụng (HSM). Viettel-CA cho biết giải pháp ký số từ xa của mình dùng HSM đặt tại máy chủ của Viettel-CA. Phát hành trực tuyến phải kèm đối chiếu dữ liệu sinh trắc học để chống mạo danh (Điều 36).
Gửi yêu cầu ký
Bạn thao tác ký trên phần mềm, cổng dịch vụ hoặc ứng dụng đã kết nối với dịch vụ ký số từ xa; hệ thống gửi yêu cầu ký tới nhà cung cấp.
Xác nhận trên thiết bị đã đăng ký
Ứng dụng xác thực trên điện thoại hiển thị yêu cầu; với MySign, tài liệu API của Viettel-CA mô tả tên tài liệu ký hiện trên ứng dụng để người ký xác thực. Bạn xác nhận bằng phương thức mà dịch vụ quy định; đây là bước bảo đảm dữ liệu tạo chữ ký chỉ thuộc sự kiểm soát của bạn tại thời điểm ký.
Tạo và trả chữ ký
Hệ thống dùng khóa bí mật của bạn để tạo chữ ký và trả về tài liệu đã ký kèm chứng thư. Người nhận kiểm tra chữ ký này theo cùng cách như chữ ký tạo bằng USB Token.
Đăng ký, kích hoạt và thao tác với MySign xem tại hướng dẫn đăng ký, kích hoạt MySign và hướng dẫn cài đặt, sử dụng MySign.
Ký số từ xa có hợp pháp, có giá trị như USB Token không
Luật Giao dịch điện tử 2023 không phân biệt giá trị pháp lý theo nơi lưu khóa. Điều 23 quy định chữ ký số có giá trị pháp lý tương đương chữ ký của cá nhân trên văn bản giấy; chữ ký số của cơ quan, tổ chức đáp ứng yêu cầu xác nhận của cơ quan, tổ chức đó. Điều kiện nằm ở khoản 3 Điều 22, trong đó có yêu cầu dữ liệu tạo chữ ký chỉ thuộc sự kiểm soát của chủ thể ký tại thời điểm ký và chữ ký được bảo đảm bởi chứng thư chữ ký số.
Nghị định 23/2025/NĐ-CP (hiệu lực từ 10/04/2025) ghi nhận mô hình này (khoản 1 Điều 26, khoản 4 Điều 37), nên chữ ký tạo bằng dịch vụ ký số từ xa của tổ chức được cấp phép, với chứng thư còn hiệu lực, có giá trị như chữ ký số trên USB Token.
Với Viettel-CA – dịch vụ chứng thực chữ ký số của Viettel, danh sách CA công cộng trên neac.gov.vn (xem ngày 28/09/2026) ghi Giấy phép số 363/GP-BTTTT cho dịch vụ Remote Signing, cấp ngày 20/07/2022, thời hạn đến 19/07/2032, đang hoạt động; Viettel-CA công bố dịch vụ ký số từ xa này với tên MySign. Trang viettel-ca.vn có danh sách thu hồi riêng cho chứng thư Remote Signing và tài liệu tích hợp API MySign.
Giá trị pháp lý là một chuyện; cổng dịch vụ công hay phần mềm hóa đơn có hỗ trợ kỹ thuật cho ký số từ xa hay không là chuyện khác. Trước khi bỏ hẳn USB Token, hãy kiểm tra từng hệ thống bạn đang dùng. Phần này tóm tắt quy định để tham khảo, không phải tư vấn pháp lý.
Ưu điểm và hạn chế so với USB Token
Không cần mang thiết bị hay cài driver Token; ký được khi đi công tác; không phụ thuộc cổng USB hay việc máy mới có nhận Token; có thể tích hợp vào phần mềm qua API.
Cần Internet và điện thoại đã đăng ký; hệ thống bạn dùng phải hỗ trợ; quyền ký gắn với tài khoản và thiết bị xác thực, nên mất điện thoại là sự cố cần xử lý ngay.
Người ký hay di chuyển, ký trên nhiều máy, hoặc doanh nghiệp muốn giảm phụ thuộc vào một thiết bị vật lý. Ngồi một máy cố định thì USB Token vẫn đơn giản.
So sánh USB Token, MySign và HSM theo tình huống có trong bài USB Token, MySign hay HSM: nên chọn loại nào; phân biệt chữ ký số với chữ ký điện tử khác xem bài chữ ký số và chữ ký điện tử khác nhau thế nào.
Bảo mật điện thoại khi dùng ký số từ xa
Với ký số từ xa, điện thoại và các yếu tố xác thực là “tay cầm” của khóa bí mật. Điều 45 Nghị định 23/2025/NĐ-CP yêu cầu thuê bao kiểm soát và sử dụng khóa bí mật an toàn trong suốt thời gian chứng thư có hiệu lực và bị tạm dừng. Những thói quen nên có:
- Đặt khóa màn hình mạnh, bật sinh trắc học; không dùng chung điện thoại ký số với người khác.
- Chỉ cài ứng dụng từ kho ứng dụng chính thức hoặc đường dẫn của nhà cung cấp; cập nhật hệ điều hành và ứng dụng.
- Không chia sẻ mã PIN, OTP, mã kích hoạt hay ảnh mã QR kích hoạt cho bất kỳ ai, kể cả người tự xưng là nhân viên hỗ trợ.
- Chỉ xác nhận lệnh ký do chính bạn vừa tạo, đọc tên tài liệu trước khi đồng ý; gặp yêu cầu lạ thì từ chối và báo nhà cung cấp.
- Không cài ứng dụng điều khiển từ xa theo yêu cầu người lạ; không ký trên máy đã bị bẻ khóa hệ thống (root, jailbreak).
- Giữ số điện thoại, email đăng ký với nhà cung cấp luôn đúng để nhận thông báo.
Quy tắc chung cho Token và ký số từ xa có trong bài bảo mật chữ ký số: 12 nguyên tắc.
Đổi hoặc mất điện thoại: làm gì trước, làm gì sau
Báo nhà cung cấp ngay
Mất máy hoặc nghi bị chiếm quyền, hãy liên hệ nhà cung cấp để khóa phương thức xác thực hoặc tạm dừng chứng thư. Điều 45 yêu cầu thuê bao thông báo trong vòng 24 giờ khi phát hiện khóa bí mật bị lộ, bị đánh cắp hoặc bị sử dụng trái phép; thuê bao có thể yêu cầu tạm dừng bằng văn bản (Điều 41).
Khóa thiết bị và SIM
Dùng tính năng định vị, khóa hoặc xóa dữ liệu từ xa của hệ điều hành; nếu số điện thoại dùng để nhận mã xác thực, liên hệ nhà mạng để khóa SIM.
Rà soát giao dịch
Kiểm tra hồ sơ, hóa đơn, hợp đồng đã ký gần đây trên các hệ thống bạn dùng; ghi lại mốc thời gian phát hiện sự cố.
Kích hoạt lại trên thiết bị mới
Làm thủ tục chuyển hoặc kích hoạt lại theo hướng dẫn của nhà cung cấp. Khi đổi máy chủ động, làm xong thủ tục chuyển thiết bị rồi mới xóa ứng dụng, khôi phục cài đặt gốc hoặc bán máy cũ.
Nếu dùng MySign, xem hướng dẫn trên trang dịch vụ MySign hoặc gọi đường dây hỗ trợ MySign ở cuối bài để được hướng dẫn chuyển thiết bị.
Câu hỏi thường gặp
Chữ ký số từ xa có hợp pháp không?
Có. Nghị định 23/2025/NĐ-CP ghi nhận ký số từ xa là một mô hình của dịch vụ chứng thực chữ ký số công cộng (khoản 1 Điều 26); chữ ký có chứng thư còn hiệu lực của tổ chức được cấp phép có giá trị pháp lý theo Điều 23 Luật Giao dịch điện tử 2023.
Ký số từ xa có giá trị pháp lý như USB Token không?
Như nhau về giá trị pháp lý: cả hai đều là chữ ký số công cộng. Khác biệt là khóa bí mật nằm trên hệ thống của nhà cung cấp thay vì trong Token, và bạn xác nhận lệnh ký qua thiết bị đã đăng ký.
Khóa bí mật của ký số từ xa có nằm trong điện thoại không?
Không. Theo khoản 4 Điều 37 Nghị định 23/2025/NĐ-CP, trong mô hình ký số từ xa, nhà cung cấp được lưu khóa bí mật của thuê bao và phải bảo đảm sử dụng các phương thức an toàn để lưu trữ; Viettel-CA cho biết khóa nằm trong HSM đặt tại máy chủ của Viettel-CA. Điện thoại là nơi bạn xác thực, phê duyệt lệnh ký.
Mất điện thoại đang dùng ký số từ xa thì làm gì?
Báo ngay nhà cung cấp để khóa phương thức xác thực hoặc tạm dừng chứng thư; thuê bao phải thông báo trong vòng 24 giờ khi phát hiện khóa bí mật bị lộ, bị đánh cắp hoặc bị sử dụng trái phép. Sau đó khóa thiết bị, SIM và rà soát giao dịch gần đây.
Có dùng ký số từ xa thay USB Token trên mọi cổng được không?
Chưa chắc. Việc dùng được phụ thuộc hệ thống đó có hỗ trợ kỹ thuật cho ký số từ xa hay không. Hãy kiểm tra từng cổng, phần mềm bạn dùng trước khi chuyển hẳn.
Đang cân nhắc chuyển sang ký số từ xa?
Xem thông tin dịch vụ MySign hoặc gọi để kiểm tra các hệ thống bạn đang dùng trước khi chuyển. Không cung cấp mã PIN, OTP hay mã kích hoạt khi trao đổi.
Nguồn đối chiếu: Nghị định 23/2025/NĐ-CP; Luật Giao dịch điện tử 2023; NEAC – Danh sách CA công cộng; Viettel-CA – Ký số từ xa; Viettel-CA – API MySign. Thông tin có thể thay đổi; ưu tiên hướng dẫn hiện hành của cơ quan/nhà cung cấp tại thời điểm thao tác. Cập nhật: 28/09/2026.
