- eIDASElectronic IDentification, Authentication and trust Services: khung pháp lý EU về định danh số. eIDAS 2.0 (2024) yêu cầu digital wallet cho 400M+ công dân EU. 2.0 yêu cầu EU member states cung cấp EU Digital Identity Wallet (EUDIW) cho công dân — bắt đầu 2026
- Architecture: PID (Person Identification Data) + attestation + selective disclosureChia sẻ có chọn lựa: từ một credential nhiều thuộc tính, chỉ reveal đúng những gì verifier cần — không lộ thêm bất kỳ thông tin nào. (SD-JWTSelective Disclosure JWT: chuẩn chia sẻ có chọn lựa. Issuer hash từng claim riêng — holder chọn reveal claim nào. Được eIDAS 2.0 chọn làm standard.)
- eIDAS 2.0 compatible với W3C VC/DID nhưng không require — approach riêng của EU
- Việt Nam: VNeID đang phát triển, CCCD chip-based — theo hướng centralized government wallet
- Gap lớn nhất giữa VN và EU không phải technical mà là governance model
- Rủi ro chính: government wallet tập trung = potential surveillance tool
1. eIDAS 2.0 Là Gì — EU Digital Identity Framework
eIDAS 2.0 (Electronic Identification, Authentication and Trust Services 2.0) là regulation của EU, update từ eIDAS gốc (2014), có hiệu lực từ 2024. Mục tiêu: mọi công dân EU đều có quyền truy cập EU Digital Identity Wallet (EUDIW) — một ứng dụng digital có thể dùng để chứng minh identity ở mọi nơi trong EU.
Điểm đột phá: eIDAS 2.0 yêu cầu mọi business được quy định (ngân hàng, telecom, public service lớn) phải chấp nhận EUDIW — không thể từ chối. Đây là lần đầu tiên government-issued digital identity được mandate acceptance ở quy mô lớn như vậy.
Timeline deployment
- 2024: Regulation có hiệu lực
- 2026: Member states phải cung cấp EUDIW cho công dân
- 2027: Mandatory acceptance bởi regulated businesses
eIDAS 2.0 = framework pháp lý + kỹ thuật đầy đủ: EUDIW là implementation target, ARF là spec chi tiết. Không chỉ là regulation — là blueprint cho stack identity từ credential format đến trust anchor.
2. Kiến Trúc Kỹ Thuật eIDAS 2.0
eIDAS 2.0 Architecture Reference Framework (ARF) định nghĩa stack kỹ thuật:
PID — Person Identification Data
PID là credential cốt lõi trong EUDIW — chứa thông tin định danh cơ bản: tên, ngày sinh, địa chỉ, national ID number. PID được issue bởi government của member state và stored trong EUDIW. PID là trusted anchor — các attestation khác (bằng cấp, bằng lái xe, prescriptions) được bind với PID.
Attestation — Các Loại Credential
eIDAS 2.0 dùng thuật ngữ "attestation" thay vì "Verifiable Credential" — nhưng về mặt kỹ thuật tương đương:
- Person Identification Data (PID): Government-issued identity
- Qualified Electronic Attestation (QEAA): Từ qualified provider — legal equivalent với physical document
- Electronic Attestation (EAA): Từ non-qualified provider — lower assurance
SD-JWT — Selective Disclosure
eIDAS 2.0 ARF chọn SD-JWT VC làm format cơ bản cho attestation — không phải BBS+Pairing-based signature scheme cho phép selective disclosure với unlinkability mạnh: issuer ký một lần, holder reveal subset bất kỳ mà không thể link các lần present.. Lý do: simpler cryptography, không cần trusted setupNghi thức khởi tạo một lần cho zk-SNARK: nhiều bên generate tham số và xóa secret. An toàn nếu ít nhất 1 bên honest. Không cần cho zk-STARK., IETF-standardized, mobile-friendly. ISO/IEC 18013-5 (mDL — mobile Driver License) cũng dùng SD-JWT-based approach.
// SD-JWT VC trong eIDAS 2.0 context
{
"iss": "https://pid-provider.example.eu", // government issuer
"vct": "PersonIdentificationData",
// Selective Disclosure Claims (hidden by default)
"_sd": [
"jCkFH...", // hash of {"given_name": "Jean"}
"kLMnO...", // hash of {"family_name": "Dupont"}
"pQrSt...", // hash of {"birth_date": "1990-03-15"}
"uVwXy..." // hash of {"nationality": "FR"}
],
"age_over_18": true, // always visible — pre-computed
"iat": 1709856000,
"exp": 1741392000 // 1 year validity
}
// Holder chọn reveal claim nào khi presentARF bắt buộc 2 format: SD-JWT VC + ISO 18013-5 mDL. Selective disclosure là requirement, không phải optional. EU đã quyết định — SD-JWT đang trở thành global standard thực tế.
3. eIDAS 2.0 vs W3C VC/DID — Compatible Hay Competing?
Câu hỏi được nhiều developer và identity researcher hỏi: eIDAS 2.0 có dùng W3C DID và VC không?
Câu trả lời ngắn: eIDAS 2.0 không require W3C DID/VC, nhưng không cấm. eIDAS 2.0 ARF để open cho member states implement theo nhiều cách khác nhau, miễn là đáp ứng interoperability requirement.
| Khía cạnh | eIDAS 2.0 | W3C VC/DID |
|---|---|---|
| Issuer | Government/Qualified Provider | Bất kỳ ai |
| Credential format | SD-JWT VC (chủ yếu) | JWT-VC, JSON-LD VC |
| Identifier | Không require DID | DID-based |
| Trust model | Government PKI root | Web of trust / DID-based |
| Selective disclosure | SD-JWT | BBS+ hoặc SD-JWT |
| Legal validity | Explicit legal framework | Không có mặc định |
Một số member states (Đức, Hà Lan) đang experiment với W3C DID-based approach cho EUDIW. Nhưng eIDAS 2.0 không mandate điều này — chỉ cần interoperable.
Trust framework eIDAS: TSP register trong Trusted List quốc gia. Verifier check chữ ký TSP trên credential — không cần contact issuer real-time. Scalable và auditable theo regulatory requirement.
4. Việt Nam: VNeID, CCCD Chip & Hướng Đi Hiện Tại
Việt Nam đang phát triển hạ tầng danh tính số theo hướng government-led centralized system:
CCCD Chip-based (Căn cước công dân gắn chip)
CCCD mới của VN có chip NFC chứa: ảnh chân dung, vân tay, thông tin cá nhân. Chip dùng PKI để authenticate — có thể đọc bằng NFC app. Đây là bước đầu tốt về infrastructure. Nhưng kiến trúc là centralized: government database là single source of truth.
VNeID Application
VNeID là ứng dụng kết nối với CCCD chip và cơ sở dữ liệu dân cư — cho phép present digital identity, đăng nhập dịch vụ công, và một số dịch vụ tư nhân. Đang mở rộng integration với ngân hàng và dịch vụ tài chính.
Gap so với eIDAS 2.0
| Tiêu chí | eIDAS 2.0 (EU) | VNeID (VN hiện tại) |
|---|---|---|
| Selective disclosure | SD-JWT — chỉ reveal cần thiết | Chưa có — full data hoặc không |
| User control | User chọn reveal gì | Limited user control |
| Private sector integration | Mandatory acceptance | Đang phát triển |
| Cross-border | Pan-EU interoperability | Chưa có framework |
| Legal framework | eIDAS regulation | Đang hoàn thiện |
eIDAS interop chỉ trong EU member states. Cần bilateral/multilateral treaty để mở rộng sang ASEAN hoặc Việt Nam. ASEAN Digital Framework đang khởi động nhưng còn xa.
5. Gap Governance — Không Chỉ Là Technical
Gap lớn nhất giữa VN và EU trong digital identity không phải về technical capability — mà là về governance model và legal framework.
EU approach
EUDIW được thiết kế để: (1) Chỉ issuer biết credential được issue cho ai; (2) Verifier không biết user đã dùng ở đâu khác; (3) Issuer không biết user present credential với ai; (4) User có thể generate unlinkable credential giữa các transaction. Đây là privacy-by-design ở level regulation.
Centralized risk trong VN model
VNeID hiện tại là centralized system: government có thể correlate tất cả transactions, biết user dùng identity ở đâu, và có thể revoke access dễ dàng. Điều này không nhất thiết là "xấu" từ perspective governance, nhưng tạo surveillance risk tiềm tàng và single point of failure.
Rủi ro tập trung: Government wallet tập trung = government biết user làm gì, ở đâu, khi nào. Ngay cả với intent tốt, database này là target hấp dẫn cho breach, misuse, hoặc future policy change. eIDAS 2.0 cố tình thiết kế để minimize thông tin issuer có thể learn về holder — VNeID chưa có cơ chế tương tự.
Privacy mandate trong eIDAS 2.0: verifier không được track usage, holder biết ai verify credential, không cần reveal identity thật cho verifier. Privacy-by-design được viết vào regulation — không optional.
6. Cơ Hội Web3: Bridge eIDAS Credential Vào DeFiDecentralized Finance: tài chính phi tập trung dựa trên smart contract, không qua ngân hàng hay sàn tập trung.
eIDAS 2.0 mở ra cơ hội thú vị cho Web3 ecosystem: một khi EUDIW được deployed rộng rãi với 450 triệu công dân EU, đây là credential pool lớn nhất thế giới với legal backing.
Potential use cases
- DeFi KYC với eIDAS credential: ZK proof rằng "tôi là EU resident, verified eIDAS level High" — không reveal identity, nhưng DeFi protocol biết người dùng đã pass EU-grade KYC
- Cross-border DeFi compliance: EUDIW credential cho phép EU user comply với MiCA (Markets in Crypto-Assets regulation) mà bảo vệ privacy
- DAO governance: Prove "1 EU citizen = 1 vote" trong DAO với EUDIW credential — Sybil-resistant vì government-issued
Để hiểu ZK proof layer cho phép dùng eIDAS credential trong Web3 mà bảo vệ privacy, xem bài ZK Proof. Về Sybil resistanceKhả năng của hệ thống chống lại Sybil attack — đảm bảo một thực thể không thể kiểm soát hệ thống bằng cách tạo nhiều identity giả. và tại sao government-issued credential là strong Sybil defense, xem bài Sybil Attack. Về kiến trúc tổng thể, xem bài nghiên cứu chính về danh tính phi tập trung tại WLD.VN.
VNeID tụt hậu về selective disclosure và offline verify. Singapore MyInfo là benchmark thực tế nhất cho Việt Nam — centralized nhưng consent-driven, API mở, đã chứng minh scale.
6. So Sánh VNeID vs eIDAS 2.0 vs Singapore MyInfo
Việt Nam không đơn độc trong hành trình xây dựng digital identity. Nhìn sang các nước trong khu vực và EU cho thấy VN đang ở đâu và cần đi về đâu:
| Tiêu chí | VNeID (VN) | eIDAS 2.0 (EU) | MyInfo (Singapore) |
|---|---|---|---|
| Mô hình | Centralized gov portal | Federated wallet (EUDIW) | Centralized gov API |
| Selective disclosure | Không | Có (SD-JWT) | Partial (consent-based) |
| Offline verify | CCCD chip (hạn chế) | Có (wallet-based) | Không — cần API call |
| Cross-border | Không | Có (EU member states) | ASEAN pilot |
| Private sector access | VNeID SDK (giới hạn) | Open (relying party) | MyInfo API (mở rộng) |
| Cryptographic standard | Không public | SD-JWT, ISO 18013-5 | TLS + OAuth |
| User data control | Gov-controlled | User wallet | Consent-driven |
Kết luận: Singapore MyInfo là benchmark gần nhất và thực tế nhất cho VN — model tập trung nhưng có API mở cho private sector, consent-driven, đã chứng minh scale. eIDAS 2.0 là bài học dài hạn về user data control và cross-border interoperability.
7. Regulatory Landscape — Khung Pháp Lý Số Việt Nam
Bài toán digital identity tại VN không chỉ là kỹ thuật — khung pháp lý đang định hình (và giới hạn) những gì có thể xây dựng:
Các văn bản pháp lý quan trọng
- Luật Giao dịch điện tử 2023 (51/2023/QH15): Công nhận chữ ký số, định nghĩa định danh điện tử cấp độ 1-2-3. Đây là nền tảng pháp lý cho VC-based identity tại VN.
- Nghị định 13/2023/NĐ-CP: Bảo vệ dữ liệu cá nhân — yêu cầu accountability cho automated processing, consent mechanism, right to erasure. Tương đồng với GDPR nhưng enforcement còn đang xây dựng.
- Nghị định 59/2022/NĐ-CP: Quy định định danh và xác thực điện tử — định nghĩa VNeID Level 1/2, tương tác giữa identity provider (VNPT, Viettel) và dịch vụ công.
- Thông tư 09/2020/TT-NHNN: eKYC ngân hàng — căn cứ pháp lý cho VC-based bank onboarding trong tương lai.
Gap quan trọng nhất — Thiếu DID/VC Standard
Khác với EU (có eIDAS ARF), Singapore (có NDI framework) hay Hàn Quốc (có DID standard), Việt Nam chưa có standard kỹ thuật chính thức nào cho decentralized identity hay Verifiable Credential. Điều này có nghĩa:
- Không có trusted issuer registry — không biết ai được phép issue VC "chính thống"
- Không có credential schema standard — mỗi org issue VC theo format riêng
- Không có interoperability mandate — bank A không chấp nhận VC từ bank B
Cơ hội: Bộ TT&TT và NHNN đang trong giai đoạn xây dựng chuẩn — đây là thời điểm tốt nhất để community tech VN đóng góp vào định hướng standard, thay vì chờ được top-down. Các RFC từ W3C DID/VC và eIDAS ARF là starting point tốt nhất.
Lộ trình thực tế cho developer VN
Trong khi chờ standard chính thức, developer và tổ chức muốn implement identity tốt ngay hôm nay:
- Dùng W3C VC Data Model 2.0 làm format — compatible với direction của hầu hết standard
- Implement SD-JWT thay vì BBS+ — đơn giản hơn, aligned với eIDAS 2.0 và ISO mDL
- Chọn did:web hoặc did:jwk cho issuer DID — không cần blockchain, deploy được ngay
- Thiết kế schema dựa trên Schema.org — tăng khả năng interop
- Chuẩn bị crypto-agility — xem bài Post-Quantum Identity
Luật GĐDT 2023 + NĐ13 là nền pháp lý đủ để implement VC ngay. Gap lớn nhất: chưa có trusted issuer registry và credential schema standard. Bài toán governance — không phải bài toán kỹ thuật.
Câu hỏi thường gặp
Tài liệu tham khảo
- European Commission. eIDAS 2.0 — European Digital Identity Framework. digital-strategy.ec.europa.eu. 2024.
- European Commission. Architecture Reference Framework (ARF) for the European Digital Identity Wallet. 2024.
- IETF. SD-JWT: Selective Disclosure for JWTs. draft-ietf-oauth-selective-disclosure-jwt.
- ISO/IEC 18013-5. Mobile Driver License (mDL) — Application Identifiers. 2021.
- Cục Cảnh sát QLHC về TTXH (C06). VNeID — Hệ thống định danh điện tử quốc gia. vneid.gov.vn.
- ZRO Research. AI & Identity Research Hub. zro.vn/wld-vn/.