CAC (Common Access Card) là gì?
CAC là **thẻ thông minh (smart card)** kích thước thẻ tín dụng, do **Bộ Quốc phòng Hoa Kỳ (DoD - Department of Defense)** cấp cho:
- Quân nhân hiện役 (Active Duty)
- Dự bị được chọn (Selected Reserve)
- Nhân viên dân sự DoD
- Nhà thầu đủ điều kiện (Eligible Contractors)
CAC là **thẻ nhận diện chuẩn (PIV - Personal Identity Verification)** theo Chỉ thị HSPD-12, dùng cho: **xác thực vật lý (vào căn cứ, tòa nhà)** và **xác thực logic (đăng nhập hệ thống, ký số, mã hóa email)**.
Cấu trúc & Thành phần CAC
- Chip nhúng (ICC - Integrated Circuit Chip): Chứa chứng chỉ số (certificates), khóa riêng/t öffentliche, dữ liệu sinh trắc học (vân tay), thông tin cá nhân
- Dải từ (Magnetic Stripe): Dữ liệu nhân sự cơ bản (tra cứu nhanh)
- Mã vạch (Barcode / PDF417): Mã hóa thông tin nhận diện
- Ảnh chân dung, tên, cấp bậc, nhánh quân đội, ngày hết hạn
- EDIPI (Electronic Data Interchange Personal Identifier): Số nhận dạng duy nhất 10 chữ số
Hai yếu tố xác thực (Two-Factor Authentication - 2FA)
CAC thực hiện **2FA bản chất**:
- Things you have (Đồ vật bạn có): Thẻ CAC vật lý (chip)
- Things you know (Kiến thức bạn biết): **PIN** (6-8 chữ số, do chủ thẻ đặt)
→ **Không có PIN thì thẻ CAC vô dụng** (trừ đọc thông tin thô trên dải từ/mã vạch).
Chức năng chính của CAC
| Chức năng | Mô tả | Chứng chỉ liên quan |
|---|
| Xác thực vật lý (Physical Access) | Quét thẻ tại cổng căn cứ, tòa nhà, khu vực hạn chế | PIV Authentication Cert (không dùng PIN cho vật lý cơ bản) |
| Đăng nhập hệ thống (Logon / PKI Auth) | Đăng nhập Windows, Linux, VPN, Web portal, VDI, Citrix | PIV Authentication Cert + PIN |
| Ký số (Digital Signature) | Ký văn bản, hợp đồng, email (S/MIME), form PDF, code signing | Digital Signature Cert + PIN |
| Mã hóa Email (Encryption) | Mã hóa/giải mã email S/MIME, file | Key Encryption Cert (Public key của người nhận) |
| Xác thực Website (Client Cert Auth) | Truy cập trang web DoD/.mil yêu cầu client certificate | PIV Authentication Cert |
CAC vs Security Clearance (Hủy bảo mật)
| Đặc điểm | CAC (Common Access Card) | Security Clearance |
|---|
| Mục đích | Xác thực danh tính, truy cập vật lý/logic, ký số | Cho phép truy cập thông tin MẬT (Classified: Confidential, Secret, Top Secret) |
| Phạm vi | Tất cả nhân sự DoD đủ điều kiện | Chỉ người có nhu cầu biết (need-to-know) + điều tra nền (background investigation) |
| Quy trình cấp | Đăng ký tại DEERS/RAPIDS, lấy vân tay, chụp ảnh, đặt PIN | SF-86 (e-QIP), điều tra FBI/OPM, phán định |
| Thời hạn | Thường 4-5 năm (theo hợp đồng/quân vụ) | Định kỳ reinvestigation (5-10 năm) |
| Mối quan hệ | Cần có CAC để *sử dụng* clearance trên hệ thống | Clearance quyết định *được truy cập dữ liệu gì* |
Tóm lại: CAC = "Chìa khóa điện tử" (identity + crypto). Clearance = "Giấy phép đọc tài liệu mật". Có CAC không có Clearance = chỉ truy cập hệ thống UNCLASS/FOUO. Có Clearance không có CAC = không đăng nhập được hệ thống DoD.
CAC vs PIV Card
- CAC: Dành cho **DoD** (Quân đội, dân sự DoD, contractor DoD). Chứa thêm: Geneva Convention Category, Blood Type, Religious Preference.
- PIV Card: Dành cho **nhân viên chính phủ liên bang dân sự (Federal Civilian)** – các bộ như DHS, State, Treasury, FBI... (theo HSPD-12).
- Cả hai đều tuân thủ chuẩn **FIPS 201 / NIST SP 800-73 / 800-78**. Tương thích lẫn nhau (Interoperable) trên hạ tầng PKI liên bang (Federal PKI - FPKI).
Cách sử dụng CAC trên máy tính cá nhân (Windows 10/11)
- Mua đọc thẻ thông minh (Smart Card Reader): Hỗ trợ CCID, USB (VD: Identiv SCR3310, HID OMNIKEY 3121, Gemalto PC Twin Reader) – ~$20-40
- Cài Middleware (nếu cần): Windows 10/11 **có sẵn** driver CCID & Minidriver cho CAC/PIV. Thường **KHÔNG cần cài thêm** ActivClient (dùng cho cũ).
- Cài chứng chỉ gốc DoD (DoD Root CA Certs):
- Tải InstallRoot (32-bit, 64-bit, non-admin) từ
https://public.cyber.mil/pki-pke/
- Chạy: `InstallRoot.exe /auto` (cài vào Trusted Root & Intermediate)
- Cấu hình trình duyệt (Edge/Chrome/Firefox):
- Edge/Chrome: Dùng Windows Certificate Store (tự động nhận CAC)
- Firefox: Settings → Privacy & Security → Certificates → Security Devices → Load → Module: `CKBI` hoặc `opensc-pkcs11.dll` (nếu dùng OpenSC)
- Test: Truy cập
https://milconnect.dmdc.osd.mil/ hoặc https://www.dmdc.osd.mil/ → chọn chứng chỉ CAC → nhập PIN → đăng nhập thành công
Bảo vệ CAC của bạn
- ❌ **KHÔNG** chia sẻ PIN với ai (kể cả IT, cấp trên, đồng đội)
- ❌ **KHÔNG** ghi PIN lên thẻ, ví, điện thoại, giấy note
- ❌ **KHÔNG** để thẻ CAC ở nơi công khai, xe, bàn làm việc không khóa
- ✅ **LUÔN** mang theo CAC (đeo dây cổ, ví thẻ an toàn)
- ✅ **BÁO CÁO NGAY** nếu mất/thẻ hỏng → vô hiệu hóa chứng chỉ, cấp thẻ mới
- ✅ **KHÓA MÁY TÍNH** (Win+L) khi rời chỗ – CAC vẫn cắm trong reader nhưng session bị khóa
CAC tại Trung Quốc (Cyberspace Administration of China - CAC)
Lưu ý: Viết tắt **CAC** ở Trung Quốc chỉ **Cyberspace Administration of China (Quản lý Không gian mạng Trung Quốc)** – cơ quan quản lý nội dung internet, an ninh mạng, dữ liệu. **Hoàn toàn khác** Common Access Card của Mỹ. Không nhầm lẫn.
Tóm tắt
CAC (Common Access Card) = Thẻ thông minh DoD cho 2FA (Thẻ + PIN). Dùng cho: Vào căn cứ, Đăng nhập hệ thống, Ký số, Mã hóa email, Truy cập web .mil. Khác Security Clearance (giấy phép đọc tài liệu mật). Tương thích PIV Card (dân sự liên bang). Sử dụng trên PC cần: Smart card reader + DoD Root CA certs (InstallRoot). Bảo vệ PIN tuyệt đối.
