Chính sách ký số

Cập nhật: 05/08/2026

Phạm vi

Chính sách này áp dụng cho mọi tệp thực thi phát hành dưới tên ATKey: ATKey64.exe, ATKey32.exe, OpenKeyUpdate.exe và tệp atkey.exe phân phối trên atkey.org.

Vai trò

Vai trò	Trách nhiệm	Người đảm nhiệm
Tác giả	Viết và gửi mã nguồn	Đội phát triển ATPOS — Công ty Cổ phần MIKI
Người duyệt	Xét mã nguồn trước khi hợp nhất vào nhánh `main`	Người phụ trách kỹ thuật, ATPOS
Người phê duyệt ký	Phê duyệt từng yêu cầu ký số	Người đại diện, Công ty Cổ phần MIKI

Mọi tài khoản có quyền trên kho mã nguồn và hệ thống ký số đều bật xác thực hai yếu tố.

Quản lý khoá

Khoá riêng do nhà cung cấp dịch vụ ký số lưu trên mô-đun bảo mật phần cứng (HSM). Chúng tôi không giữ bản sao khoá riêng ở bất kỳ đâu.
Không có thao tác ký nào chạy trên máy cá nhân của lập trình viên.
Chỉ ký các tệp do chính dự án ATKey tạo ra, không ký hộ bất kỳ bên nào khác.

Quy trình phát hành

Toàn bộ tệp thực thi được build bằng GitHub Actions từ kho mã nguồn công khai github.com/Tailee1/atkey. Không phát hành tệp build trên máy cá nhân.
Mỗi bản build kèm chứng thực nguồn gốc (actions/attest-build-provenance), cho phép đối chiếu tệp nhị phân với đúng commit đã sinh ra nó.
Yêu cầu ký được gửi từ chính quy trình CI đó và phải được người phê duyệt chấp thuận.
Mã băm SHA-256 của mọi tệp phát hành công bố tại atkey.org/SHA256SUMS.txt.

Siêu dữ liệu tệp

Mọi tệp được ký đều mang thông tin phiên bản đầy đủ và nhất quán:

CompanyName	Công ty Cổ phần MIKI
ProductName	ATKey
LegalCopyright	Copyright (C) 2026 Công ty Cổ phần MIKI. Dựa trên OpenKey, Copyright (C) 2019 Mai Vũ Tuyên. GPL v3.

Báo cáo vi phạm

Nếu bạn phát hiện tệp được ký dưới tên ATKey mà có hành vi bất thường, hoặc nghi ngờ chứng chỉ bị lạm dụng, xin liên hệ Công ty Cổ phần MIKI. Chúng tôi cam kết điều tra mọi báo cáo và thu hồi chứng chỉ nếu xác nhận có vi phạm.

Code Signing Policy (English)

Scope. All executables released under the ATKey name.

Roles. Authors: ATPOS development team, MIKI JSC. Reviewers: technical lead, ATPOS. Signing approvers: company representative, MIKI JSC. All accounts with repository or signing access have multi-factor authentication enabled.

Key management. Private keys are held by our signing provider in an HSM. We keep no copy of the private key. No signing operation runs on a developer workstation. We sign only binaries produced by the ATKey project itself.

Release process. All binaries are built by GitHub Actions from the public repository at github.com/Tailee1/atkey, with build provenance attestation enabled. Signing requests originate from that CI pipeline and require approval. SHA-256 hashes of all released files are published at atkey.org/SHA256SUMS.txt.

Reporting. Report suspected abuse of our certificate to MIKI JSC via miki-jsc.net. We will investigate any report and request revocation if a violation is confirmed.