Lỗi OCSP khi ký trên dịch vụ công Kho bạc bằng chứng thư Viettel-CA thường không có nghĩa chứng thư của bạn có vấn đề. Theo KBNN và Viettel-CA, nguyên nhân hay gặp là máy có nhiều chứng thư CA của Viettel-CA, cũ và mới, khiến chương trình ký số của Kho bạc chọn sai. Bài này xử lý cả nhóm lỗi cùng gốc: lỗi OCSP và “Nhà cung cấp CTS đang bị khóa”.
Cài bản mới nhất của Chương trình ký số KBNN (bộ dành cho chứng thư số công cộng) đè lên bản cũ. Sau đó xem chứng thư của bạn do chứng thư CA nào của Viettel-CA cấp (Token Manager, tab Details, dòng Issuer), bảo đảm CA đó đã được cài, và theo hướng dẫn của Viettel-CA, bỏ các chứng thư CA Viettel-CA khác trong mục Intermediate Certification Authorities của certmgr.msc. Chỉ thao tác trong mục CA trung gian, không động tới chứng thư cá nhân.
Thông báo lỗi và khi nào xuất hiện
Tài liệu sửa lỗi ký số dành cho Viettel do KBNN đăng tải ghi nguyên văn: “[KBNN-2002] Kiểm tra dịch vụ OCSP chứng thư số không xác định được trạng thái từ nhà cung cấp”. Cùng nhóm, Viettel-CA có hướng dẫn cho hai thông báo “Nhà cung cấp CTS đang bị khóa” và “Cảnh báo: Lỗi kiểm tra thông tin chữ ký số: Null”. Các lỗi này xuất hiện khi kế toán trưởng hoặc chủ tài khoản ký số trên hệ thống.
OCSP là dịch vụ trực tuyến của tổ chức cung cấp chứng thư, dùng để hỏi trạng thái một chứng thư đang còn hiệu lực hay đã bị thu hồi. Muốn hỏi đúng, chương trình ký số phải xác định đúng chứng thư CA đã cấp chứng thư cho bạn; xác định sai thì không lấy được trạng thái và báo lỗi.
Nguyên nhân, xếp theo khả năng
| Khả năng | Nguyên nhân | Nguồn ghi nhận |
|---|---|---|
| Cao nhất | Máy có nhiều chứng thư CA Viettel-CA (cũ, mới), chương trình ký số của Kho bạc xác định sai CA đã cấp chứng thư của khách hàng | KBNN và Viettel-CA |
| Cao | Chương trình ký số KBNN là bản cũ; cách xử lý KBNN đưa ra là chạy bộ cài mới đè lên | KBNN |
| Trung bình | Máy thiếu đúng chứng thư CA đã cấp chứng thư của bạn, chuỗi chứng thư không đầy đủ | Viettel-CA |
| Khác nhóm | Chứng thư thật sự bị thu hồi; thông báo khi đó thường ghi Revoked | Xem bài riêng |
Vì sao máy dễ có nhiều CA Viettel-CA: trang rootca.gov.vn của Trung tâm Chứng thực điện tử quốc gia liệt kê nhiều chứng thư CA của Viettel-CA qua từng giai đoạn, có cái còn hiệu lực, có cái đã hết hạn. Máy ký nhiều năm, qua nhiều lần gia hạn, có thể còn giữ các chứng thư CA cũ.
Cách sửa từng bước
Cập nhật Chương trình ký số KBNN
Tải bộ cài mục 3, dành cho chứng thư số công cộng, ở trang Phần mềm và tài liệu hướng dẫn của dịch vụ công; chạy bộ cài đè lên bản đang có, khởi động lại máy. Thử ký lại; nhiều trường hợp hết lỗi ở bước này.
Xác định CA đã cấp chứng thư của bạn
Mở Token Manager, đăng nhập, chọn chứng thư, bấm xem chứng thư số, vào tab Details, chọn dòng Issuer và ghi lại tên, thời hạn của CA. Cách mở chi tiết chứng thư có trong bài xem thông tin chứng thư số Viettel-CA.
Dọn các CA Viettel-CA gây nhầm
Nhấn Windows + R, gõ certmgr.msc, mở Intermediate Certification Authorities, chọn Certificates. Theo hướng dẫn của Viettel-CA, chỉ giữ chứng thư CA Viettel-CA đã cấp chứng thư của bạn, xóa các mục Viettel-CA còn lại (với lỗi “Nhà cung cấp CTS đang bị khóa”, Viettel-CA hướng dẫn xóa mục Viettel-CA do Vietnam National Root CA cấp trong thư mục này). Chụp màn hình danh sách trước khi xóa.
Cài đúng CA nếu còn thiếu
Mở lại chứng thư, tab Certification Path. Nếu chuỗi chưa đầy đủ, tải đúng chứng thư CA theo tên ở dòng Issuer tại rootca.gov.vn, mục Thông tin các CA công cộng, Viettel-CA, rồi cài vào máy.
Khởi động lại và ký lại
Khởi động lại máy, kiểm tra Chương trình ký số KBNN đang chạy ở khay hệ thống, chỉ cắm Token của người ký, đăng nhập và ký lại.
Chỉ thao tác trong Intermediate Certification Authorities. Không xóa chứng thư trong Personal, không xóa chứng thư gốc quốc gia, không dùng công cụ “dọn chứng thư” tải từ nguồn lạ. Máy ký cho nhiều đơn vị hoặc bạn chưa chắc CA nào cần giữ thì nhờ bộ phận hỗ trợ làm cùng.
Kiểm tra đã hết lỗi
- Tab Certification Path của chứng thư hiển thị đủ chuỗi tới chứng thư gốc quốc gia, không có cảnh báo.
- Trong Intermediate Certification Authorities chỉ còn chứng thư CA Viettel-CA đang cấp cho các chứng thư bạn dùng.
- Ký trên hệ thống thành công và hồ sơ đổi trạng thái; không còn thông báo OCSP, “Nhà cung cấp CTS đang bị khóa” hay “Null”.
Vẫn lỗi: gửi gì cho bộ phận hỗ trợ
Chuẩn bị ảnh thông báo lỗi, ảnh tab General và Certification Path của chứng thư, danh sách chứng thư trong Intermediate Certification Authorities, phiên bản Windows và Firefox. Vấn đề về chứng thư, chuỗi CA thì liên hệ nhà cung cấp chứng thư; vấn đề của chương trình ký số và hệ thống thì gửi KBNN qua [email protected] kèm mã hồ sơ. Nếu thông báo ghi chứng thư đã bị thu hồi, xem lỗi chứng thư số bị thu hồi; nếu lỗi xuất hiện ngay ở bước lấy serial, xem lỗi kích hoạt chứng thư số không thành công. Các thông báo khác tra trong bảng lỗi dịch vụ công Kho bạc.
Câu hỏi thường gặp
Lỗi OCSP có nghĩa chứng thư Viettel-CA của tôi bị thu hồi không?
Thường không. KBNN và Viettel-CA ghi nhận lỗi này chủ yếu do chương trình ký số xác định sai chứng thư CA của Viettel-CA trên máy. Nếu thông báo ghi rõ trạng thái Revoked thì đó là lỗi khác, cần liên hệ nhà cung cấp chứng thư.
Xóa chứng thư CA trung gian có làm mất chữ ký số không?
Không, nếu chỉ xóa trong mục Intermediate Certification Authorities. Chứng thư và khóa của bạn nằm trong USB Token; chứng thư CA có thể cài lại từ rootca.gov.vn khi cần. Không xóa trong mục Personal.
Mã KBNN-2002 nghĩa là gì?
Đó là mã của thông báo kiểm tra dịch vụ OCSP chứng thư số không xác định được trạng thái từ nhà cung cấp, được KBNN nêu trong tài liệu sửa lỗi ký số dành cho chứng thư Viettel.
Có cần gỡ Chương trình ký số KBNN trước khi cài bản mới không?
Theo hướng dẫn của KBNN cho lỗi này, người dùng chạy bộ cài mới đè lên phần mềm ký số hiện tại. Nhớ khởi động lại máy sau khi cài.
Cần hỗ trợ kiểm tra chuỗi chứng thư Viettel-CA?
Đội hỗ trợ viettel-ca.com giúp xác định CA đã cấp chứng thư và dọn kho chứng thư đúng cách. Không gửi mã PIN hay mật khẩu cho bất kỳ ai.
Nguồn đối chiếu: KBNN: khắc phục lỗi ký số của Viettel trên dịch vụ công; Viettel-CA: sửa lỗi OCSP trên hệ thống Kho bạc; Viettel-CA: lỗi “Nhà cung cấp CTS đang bị khóa”; Trung tâm Chứng thực điện tử quốc gia: chứng thư CA công cộng; Dịch vụ công KBNN: phần mềm và tài liệu hướng dẫn. Thông tin có thể thay đổi; ưu tiên hướng dẫn hiện hành của cơ quan/nhà cung cấp tại thời điểm thao tác. Cập nhật: 28/09/2026.
