Thuật ngữ Danh tính số: Những khái niệm, tiêu chuẩn và quy định thiết yếu

Danh tính số đang thay đổi cách các doanh nghiệp xác minh danh tính người dùng, đồng thời mang đến một loạt thuật ngữ mới có thể khó nắm bắt.

Bảng thuật ngữ này cung cấp giải thích dễ hiểu về các thuật ngữ phổ biến nhất bạn sẽ gặp khi tìm hiểu về thông tin xác thực số, danh tính đã được xác minh và các khung pháp lý do chính phủ hay ngành công nghiệp đặt ra. Chúng tôi phân chia định nghĩa thành bốn mục:

• Khái niệm cơ bản: Các yếu tố nền tảng giải thích cách hoạt động của danh tính số.
• Vai trò trong tam giác tin cậy: Ai phụ trách việc phát hành, sở hữu và xác minh thông tin xác thực.
• Tiêu chuẩn và định dạng: Các quy chuẩn kỹ thuật đảm bảo vận hành thông tin xác thực.
• Quy định và khung tin cậy: Luật pháp và hệ thống quản trị chi phối việc cấp và sử dụng danh tính số.

Khái niệm cơ bản

Khám phá các thuật ngữ và khái niệm then chốt giúp danh tính số vận hành.

Danh tính số: Phiên bản điện tử đại diện cho một cá nhân, tổ chức hay vật thể được sử dụng trong tương tác trực tuyến. Danh tính số bao gồm các thông tin như họ tên, ngày sinh, địa chỉ hoặc bằng cấp, định danh bạn trong từng ngữ cảnh cụ thể.

Thông tin xác thực số: Bản ghi điện tử xác nhận một thông tin về cá nhân hoặc tổ chức. Có thể bao gồm thuộc tính danh tính (tuổi, quốc tịch), bằng cấp (bằng tốt nghiệp đại học) hoặc quyền cấp phép (giấy phép nghề nghiệp). Thông tin xác thực số được một tổ chức tin cậy phát hành và chia sẻ qua định dạng điện tử thay vì giấy hoặc bản scan.

Thông tin xác thực có thể xác minh: Một thông tin xác thực số có thể kiểm tra xác minh bằng phương pháp mã hóa. Tổ chức nhận được có thể xác nhận ai đã phát hành và thông tin không bị thay đổi kể từ khi cấp. Thông tin xác thực có thể xác minh không cần dò thủ công, xác thực tức thì mà không phải liên hệ với bên phát hành. Chúng tuân theo các tiêu chuẩn mở như W3C Verifiable Credentials Data Model.

Tìm hiểu thêm về thông tin xác thực có thể xác minh và cách chúng vận hành.

Thuộc tính danh tính: Thông tin cụ thể về một cá nhân như họ tên đầy đủ, ngày sinh, địa chỉ hoặc quốc tịch. Một thông tin xác thực thường tập hợp nhiều thuộc tính, nhưng cũng có loại chỉ gồm một thuộc tính, ví dụ xác minh tuổi tác.

Xác minh danh tính (phân biệt với xác thực): Hai khái niệm liên quan nhưng khác nhau. Xác minh danh tính là kiểm tra một lần để xác nhận ai đó đúng là người họ xưng danh khi tạo danh tính với tổ chức. Còn xác thực là quá trình kiểm tra mỗi lần đăng nhập, đảm bảo người sử dụng dịch vụ chính là người đã từng được xác minh danh tính ban đầu.

Tiết lộ chọn lọc: Khả năng chỉ chia sẻ thông tin thực sự cần thiết cho bên xác minh mà không tiết lộ toàn bộ dữ liệu trên thông tin xác thực hay tài liệu đó. Ví dụ, chứng minh đã trên 18 tuổi mà không cần lộ toàn bộ ngày sinh. Tiết lộ chọn lọc là một trong những tính năng bảo mật cốt lõi của thông tin xác thực có thể xác minh.

Ví danh tính số: Ứng dụng bảo mật, thường dùng trên thiết bị di động, cho phép chủ sở hữu lưu trữ thông tin xác thực số. Các thông tin này được lưu trực tiếp trên thiết bị, không phải qua cơ sở dữ liệu trung tâm và người dùng được quyền chủ động lựa chọn khi nào, với ai sẽ chia sẻ.

Tìm hiểu thêm về ví danh tính số.

Danh tính phi tập trung: Phương thức quản lý trong đó cá nhân tự sở hữu và kiểm soát thông tin xác thực của mình thay vì phó thác cho tổ chức trung gian. Chủ sở hữu trực tiếp trình bày thông tin xác thực cho bên kiểm tra, bên này xác minh tính xác thực qua mã hóa mà không cần liên hệ lại với bên phát hành ban đầu. Cách tiếp cận này giúp giảm thiểu việc lộ dữ liệu cá nhân và loại bỏ hệ thống trung tâm lưu trữ lớn.

Để biết thêm chi tiết, xem giải thích về danh tính phi tập trung của chúng tôi.

Tam giác tin cậy: Mô hình ba thành phần mô tả quy trình phát hành, sở hữu và xác minh thông tin xác thực số. Ba vai trò chính gồm: bên phát hành (tổ chức tin cậy tạo ra thông tin xác thực); chủ sở hữu (cá nhân/tổ chức đứng tên thông tin xác thực); và bên xác minh (đơn vị cần kiểm tra thông tin). Mỗi vai trò phối hợp cùng nhau, tạo nền tảng cho cách thông tin xác thực số vận hành.

Khả năng tương tác: Khả năng giúp thông tin xác thực được một tổ chức phát hành có thể được chấp nhận và xác minh bởi tổ chức khác, bất kể khác biệt về hệ thống, lĩnh vực hay quốc gia. Tính tương tác giúp thông tin xác thực có giá trị vượt ra khỏi ngữ cảnh ban đầu, nhờ dựa vào chuẩn chung thay vì tích hợp cụ thể giữa các nhà cung cấp.

Vai trò trong tam giác tin cậy

Mỗi thông tin xác thực số đều trải qua ba tác nhân chính trước khi được công nhận là tin cậy, dựa trên mô hình tam giác tin cậy. Dưới đây là ba vai trò chủ chốt này.

Bên phát hành: Tổ chức khởi tạo thông tin xác thực số và đảm bảo độ chính xác của thông tin bên trong. Ví dụ: cơ quan công quyền cấp giấy tờ tùy thân, trường đại học cấp bằng tốt nghiệp, hội đồng chuyên môn cấp giấy phép hành nghề. Bên phát hành sẽ thêm chữ ký điện tử để sau này có thể kiểm tra nguồn gốc và tính toàn vẹn của thông tin xác thực đó.

Chủ sở hữu: Cá nhân hoặc tổ chức sở hữu, lưu trữ và chia sẻ thông tin xác thực. Thông thường, chủ sở hữu lưu trực tiếp trên thiết bị của mình và chủ động quyết định thời điểm, đối tượng để chia sẻ. Chủ sở hữu không được phép chỉnh sửa nội dung thông tin xác thực.

Bên xác minh (hoặc bên tin cậy): Tổ chức/cá nhân cần xác thực thông tin trước khi cung cấp dịch vụ, hoàn tất giao dịch hoặc đáp ứng yêu cầu pháp lý. Bên xác minh kiểm tra chữ ký điện tử của thông tin xác thực để đảm bảo dữ liệu do nguồn tin cậy phát hành và chưa bị sửa đổi. Tùy vào pháp luật, vị trí này còn gọi là “bên tin cậy”.

Tham khảo giải thích chi tiết của chúng tôi về tam giác tin cậy.

Tiêu chuẩn và định dạng

Các quy định kỹ thuật mở giúp thông tin xác thực số hoạt động thống nhất trên mọi hệ thống và nhà cung cấp. Bạn không cần nắm quá sâu, nhưng tên các tiêu chuẩn này thường xuyên xuất hiện trong các tài liệu chuyên môn hoặc pháp lý.

Verifiable Credentials Data Model: Tiêu chuẩn mở của World Wide Web Consortium (W3C) quy định về cách cấu trúc, ký số và trình bày thông tin xác thực có thể xác minh. Đủ linh hoạt cho nhiều loại dữ liệu, đây là một trong hai định dạng chính được nhắc đến trong các quy chuẩn của châu Âu hay ngành dọc.

mdoc: Định dạng thông tin xác thực được xác lập trong tiêu chuẩn quốc tế ISO/IEC 18013-5, dành cho lưu trữ giấy tờ tùy thân trên thiết bị di động. mdoc được ký mã hóa và có thể chia sẻ qua Bluetooth, NFC hoặc online để xác minh từ xa. Được thiết kế riêng cho giấy tờ nhận diện, định dạng này đã được nhiều chính phủ áp dụng trên toàn cầu.

mDL: Bằng lái xe số (Mobile Driver's License). mDL là một dạng cụ thể của mdoc: bản điện tử của bằng lái xe truyền thống, lưu trữ trong ví danh tính số và chia sẻ trực tuyến. Nhiều tiểu bang ở Mỹ, Úc và các nước khác đã cấp mDL, chủ yếu để kiểm tra tuổi tác hoặc danh tính tại sân bay.

Thông tin xác thực với tiết lộ chọn lọc (SD-JWT VC): Định dạng dựa trên tiêu chuẩn JSON Web Token (JWT) bổ sung tính năng tiết lộ chọn lọc. Chủ sở hữu có thể chia sẻ đúng thông tin cần thiết cho bên xác minh. Định dạng này ngày càng được châu Âu sử dụng song song với các tiêu chuẩn của W3C hoặc ISO, và đã xuất hiện trong các văn bản hướng dẫn thi hành eIDAS 2.0.

OpenID for Verifiable Credential Issuance (OID4VCI): Giao thức quy định cách bên phát hành chuyển giao thông tin xác thực số vào ví của chủ sở hữu. OID4VCI dựa trên OAuth 2.0 (cực kỳ phổ biến với nhà phát triển), tương thích mọi định dạng chính và là giao thức chuẩn trong hướng dẫn của châu Âu và ngành nghề.

Hạ tầng khóa công khai (PKI): Công nghệ mã hóa nền tảng cho việc tạo và kiểm tra chữ ký số. PKI sử dụng cặp khóa riêng và khóa công khai để chứng minh tài liệu được phát hành từ chủ nhân khóa riêng và chưa bị thay đổi. Hầu hết giải pháp danh tính số hay dịch vụ tin cậy đều dựa vào PKI, kể cả việc ký điện tử nâng cao và hợp lệ theo eIDAS.

Quy định và khung tin cậy

Luật pháp và tiêu chuẩn quản lý việc cấp và sử dụng danh tính số. Dù giữa các quốc gia có khác biệt, các quy chuẩn đều tiến đến hướng: nhà cung cấp được công nhận, thông tin xác thực có giá trị quốc tế và trao cho người dùng quyền kiểm soát dữ liệu cá nhân tốt hơn.

Digital Identity Services Trust Framework (DISTF): Khung pháp lý ở New Zealand cho thông tin xác thực và dịch vụ danh tính số, được quy định bởi luật Digital Identity Services Trust Framework Act 2023. DISTF đặt ra yêu cầu cho việc phát hành/tiếp nhận thông tin xác thực số đã xác minh trong nước và được quản lý bởi một cơ quan độc lập.

eIDAS 2.0: Quy định (EU) 2024/1183 cập nhật khung pháp lý châu Âu về danh tính số, chữ ký điện tử và dịch vụ tin cậy. Điểm mới nổi bật là giới thiệu ví danh tính số châu Âu, bắt buộc mọi thành viên EU phải cung cấp cho công dân. eIDAS 2.0 còn phân loại ba cấp chữ ký điện tử (SES, AES, QES) và quy định tiêu chuẩn bắt buộc cho nhà cung cấp dịch vụ đủ điều kiện.

Tìm hiểu thêm về eIDAS 2.0.

Chữ ký điện tử thông thường (SES): Hình thức ký điện tử cơ bản nhất theo eIDAS. Bao gồm việc gõ tên vào cuối tài liệu, bấm “Đồng ý” hoặc chèn ảnh chữ ký. SES phù hợp với phần lớn hợp đồng không cần xác thực mạnh.

Chữ ký điện tử nâng cao (AES): Ký điện tử với mức bảo đảm cao hơn SES. Theo quy định eIDAS, AES phải liên kết riêng biệt với người ký, xác định rõ danh tính, chỉ được tạo dưới sự kiểm soát của người ký và phải phát hiện thay đổi sau khi ký. Thường dùng trong hợp đồng thương mại yêu cầu truy vết giao dịch.

Chữ ký điện tử đủ điều kiện (QES): Cấp ký cao nhất trong eIDAS và là loại duy nhất có giá trị pháp lý ngang chữ ký tay tại châu Âu. Để hợp lệ, QES phải sử dụng chứng chỉ hợp lệ do nhà cung cấp đủ điều kiện cấp và thực hiện qua thiết bị bảo mật được chứng nhận. Với eIDAS 2.0, ví danh tính số châu Âu sẽ giúp người dùng tiếp cận QES dễ dàng hơn.

NIST SP 800-63: Bộ hướng dẫn Digital Identity Guidelines của Viện Tiêu chuẩn và Công nghệ quốc gia Hoa Kỳ — tài liệu kỹ thuật trích dẫn nhiều nhất về xác thực danh tính, xác minh và chia sẻ xác thực. Dù dành cho cơ quan liên bang Mỹ, nhưng có ảnh hưởng quan trọng tới nhiều bộ chuẩn quốc tế khác.

Nhà cung cấp dịch vụ tin cậy: Tổ chức được cấp phép cung cấp dịch vụ danh tính hoặc dịch vụ tin cậy như cấp chứng chỉ, xác thực chữ ký hoặc quản lý danh tính số. Ở EU, “nhà cung cấp đủ điều kiện” (QTSP) đáp ứng đầy đủ mọi quy định eIDAS 2.0 và có quyền phát hành chữ ký điện tử đủ điều kiện.

Sổ đăng ký tin cậy: Danh sách do cơ quan quản lý cấp phép duy trì, bao gồm các nhà phát hành và đơn vị xác minh hợp lệ trong một khung pháp lý nhất định. Sổ đăng ký giúp người dùng xác thực nguồn gốc của thông tin xác thực, đảm bảo sự quản trị thống nhất cho cả hệ sinh thái.