Công nghệ bảo mật bằng dấu hiệu sinh trắc học có thật sự an toàn?

• Bản vá lỗ hổng bảo mật Spectre và Meltdown của Intel gặp lỗi
• Hacker đánh bại công nghệ nhận diện mống mắt của điện thoại Samsung S8
• Công nghệ nhận diện qua mống mắt lên ngôi

Sau bước đi tiên phong của Apple, đại gia điện tử Samsung cũng nhanh chóng nắm bắt xu thế chung và tung ra thị trường chiếc Galaxy S5 với tính năng tương tự. Nhiều dự đoán cho rằng công nghệ sinh trắc học sẽ là nguyên nhân khai tử cho mật khẩu truyền thống. Song, việc hàng loạt công ty điện tử lớn nhỏ trên toàn thế giới đang tập trung tấn công vào lĩnh vực công nghệ mới mẻ này đã làm nảy sinh không ít quan ngại về tính an toàn thật sự của chúng.

Bước đi tiên phong của Apple

Ông lớn Apple có được công nghệ cảm biến vân tay Touch ID sau khi mua lại AuthenTec, công ty chuyên cung cấp công nghệ bảo mật, vào năm 2012. Tương tự, công ty Qualcomm cũng đã khẳng định sẽ sớm cho ra đời thiết bị cảm biến vân tay 3D, hứa hẹn sẽ là thiết bị không thể thiếu của mỗi người trong vòng 2 năm sau đó. Thêm vào đó, RBS - Ngân hàng Hoàng gia Scotland - và Ngân hàng Nat West (Anh) gần đây đã chấp nhận khách hàng đăng nhập vào tài khoản ngân hàng của mình bằng Touch ID của iPhone.

Cảm biến nhận diện dấu vân tay Touch ID được tích hợp vào nút home của chiếc iPhone 5S.

Tuy nhiên, theo hacker người Đức, Starbug - tên thật là Jan Krissler - thì anh hoàn toàn không cảm thấy thuyết phục bởi những công nghệ tiên tiến này. Được biết, Starbug đã có thể hack thành công Touch ID của Apple chỉ trong 1 ngày từ khi chúng được đưa ra thị trường. Starbug đã sao chép dấu vân tay còn sót lại trên mặt kính của chiếc Iphone chỉ với chiếc máy scan, máy in và một ít hồ dán. Thậm chí, Starbug từng sử dụng cách này để giả mạo dấu vân tay của Bộ trưởng Quốc phòng Đức Ursula von der Leyen bằng những ảnh chụp ở khoảng cách 3 mét tại một buổi họp báo.

Starbug tin rằng một biện pháp bảo mật cần phải trải qua tối thiểu 2 lần xác nhận, dựa trên 2 trong 3 cách thức độc lập, đó là: Mật khẩu (tri thức), thẻ thông minh (vật sở hữu) và các dấu hiệu sinh trắc học. Nói cách khác, những biện pháp bảo mật thường được thiết lập trên 3 cơ chế đó là dựa vào những thứ mà ta biết, những thứ ta có và những dấu hiệu riêng của chính ta. Như vậy, nếu dấu vân tay trở thành một nhân tố trong số hai bước xác nhận bảo mật cần thiết và theo những gì mà Starbug có thể làm với chúng thì thật ra chúng ta chỉ còn một bước xác nhận còn giá trị.

Cùng có quan điểm tương tự, Candid Wueest, nhà nghiên cứu về các mối nguy cơ tại công ty an ninh mạng Symantec, chia sẻ: "Chúng tôi đã từng chứng kiến những chuyên gia thử nghiệm khả năng đột nhập, thay vì tìm cách hack một dấu vân tay, họ chỉ cần hai chiếc đinh ốc để gỡ chiếc máy quét vân tay trên tường xuống. Sau đó, việc còn lại là chỉ cần sử dụng một thiết bị nào đó để kết nối với dây tín hiệu và báo với hệ thống rằng đã tìm thấy một dấu vân tay hợp lệ".

Đôi lúc, Chính phủ và các cơ quan cũng nên bớt nghiêm trọng hóa các biện pháp bảo mật thay vì liên tục gây phiền phức cho khách hàng của mình. Là một chuyên gia sinh trắc học, Tiến sĩ Caral Buttle cho biết: "Có càng nhiều vòng canh gác thì tính an toàn dường như cũng giảm đi".

Máy quét vân tay được sử dụng phổ biến.

Những yếu điểm của biện pháp nhận diện bằng dấu vân tay không khó để nhận thấy. Chính vì vậy, các nhà nghiên cứu vẫn luôn cố gắng tìm ra đặc điểm nhận diện mới an toàn hơn để thay thế cho dấu vân tay. Sự phát triển của những công nghệ này được thúc đẩy nhờ vào nguồn cung cấp các thiết bị cảm biến giá rẻ dồi dào từ các quốc gia Đông Á và hàng loạt các phần mềm kết nối chúng với những dịch vụ dữ liệu đám mây. Có thể nói, dù chưa hẳn hoàn hảo tuyệt đối như mong đợi nhưng đây vẫn là mảnh đất tương đối mới mẻ hứa hẹn sẽ là khu vực tiềm năng thu hút phần lớn vốn đầu tư của ngành công nghệ trong tương lai gần.

Barclays đã ứng dụng công nghệ nhận diện tĩnh mạch đầu ngón tay VeinID tại Anh.

Điển hình là gần đây, Barclays, một trong những ngân hàng lớn của thế giới có trụ sở tại London (Anh), đã ứng dụng công nghệ nhận diện tĩnh mạch đầu ngón tay VeinID với các khách hàng của mình tại Anh. VeinID là công nghệ mới đến từ Nhật Bản được phát triển bởi hãng Hitachi. Công nghệ hiện đại này đang được sử dụng tại Nhật Bản và Ba Lan.

Theo Ravi Ahluwalia, nhân viên của Hitachi, thì cấu trúc các tĩnh mạch được hình thành từ khi chúng ta còn trong bụng mẹ và sẽ vĩnh viễn không thay đổi đến khi ta chết đi. Khi được chiếu dưới tia cận hồng ngoại, một số tia sẽ bị hấp thụ bởi những tế bào hồng cầu bên trong tĩnh mạch và bằng cách này thiết bị quét VeinID của Hitachi có thể nhận biết được hệ thống tĩnh mạch của từng cá nhân. Ahluwalia cho biết Hitachi đã thử nghiệm công nghệ này tại các sàn giao dịch chứng khoán tại Pháp và một số nước ở Bắc Âu.

Bên cạnh đó, Sthaler - công ty khởi nghiệp về dịch vụ thanh toán đặt trụ sở tại Anh - hợp tác cùng Hitachi và Tập đoàn BT (Anh) để cho ra đời phương thức thanh toán sử dụng chính dấu hiệu sinh trắc của khách hàng. Sthaler tiến hành bước đầu thử nghiệm công nghệ này tại một số sự kiện âm nhạc với tên gọi là FingoPay. Ahluwalia cho biết: "Bạn chỉ cần đặt đầu ngón tay vào máy quét, hệ thống sẽ xác nhận tên cùng một vài số cuối cùng của thẻ tín dụng và thế là việc thanh toán đã được thực hiện trên thực tế".

Mở rộng những công nghệ bảo mật

Nếu không muốn chia sẻ dấu vân tay của mình cho phía ngân hàng, chúng ta có thể chọn cho mình một phương thức xác nhận sinh trắc học khác, tiêu biểu là Nymi. Đây là công nghệ của công ty Bionym tại Toronto (Canada). Bionym đã cho ra đời một loại băng đeo tay có thể cho phép nhận diện chính xác dựa trên thông tin về xung điện nhịp tim của người sử dụng.

Tương tự, Cognitec, công ty có trụ sở tại Dresden - miền đông nước Đức, sau một thời gian tập trung phát triển công nghệ xác nhận dấu vân tay, đang bắt đầu hướng mũi nhọn sang nhóm công nghệ nhận diện khuôn mặt.

Thậm chí, Myris, công nghệ nhận diện bằng mống mắt thường thấy trong các phim điện ảnh, cũng được Eyelock - một công ty tại New York (Mỹ) - khai thác. Theo đó, chiếc máy quét mống mắt mang tên Myris này được khẳng định sẽ mang lại sự nhận diện chính xác chỉ thua mỗi xét nghiệm ADN.

Myris - công nghệ nhận diện bằng mống mắt thường thấy trong các phim điện ảnh.

Công nghệ nhận diện bằng sinh trắc học đã mang lại cho chúng ta nhiều sự lựa chọn hướng đến sự tiện lợi, chính xác và an toàn nhất. Tuy nhiên, một số nghiên cứu cho thấy việc các ngân hàng hay công ty phát hành thẻ tín dụng đưa những chiếc máy quét sinh trắc học vào lĩnh vực tài chính thông thường dường như có đôi chút xâm phạm đến thông tin cá nhân của khách hàng. Đối với những công ty áp dụng phương thức nhận diện này, Tiến sĩ Neil Costigan - chuyên gia viết mật mã người Ireland, giám đốc điều hành công ty BehavioSec - cho rằng: "Phần tốn kém và bất tiện của những công nghệ này thật sự đang làm khó người tiêu dùng".

Thêm vào đó, Neil Costigan còn nhấn mạnh: "Mỗi bước xác nhận bảo mật đòi hỏi người dùng phải thực hiện một thao tác nhất định và điều này sẽ làm sụt giảm các giao dịch". Chính vì vậy, giải pháp sáng tạo thay thế nhằm loại bỏ tối đa những bước bảo mật rườm rà cũng bắt đầu ra đời - công nghệ "sinh trắc học hành vi".

Với công nghệ này, những cử chỉ và tốc độ thực hiện hành vi của người dùng cũng sẽ là một yếu tố giúp xác nhận bảo mật. Như vậy, người dùng chỉ cần nhập mã bảo mật như thông thường mà không hề nhận thấy rằng những cử chỉ của mình đang được phân tích như một bước bảo mật bổ sung. Khi ngân hàng Danske - có trụ sở tại Copenhagen, Đan Mạch - thử nghiệm đưa một thiết bị tính giờ vào hệ thống thanh toán điện tử của mình, họ đã phát hiện ra rằng tốc độ người dùng điền một mẫu đơn trực tuyến có thể giúp phân biệt người dùng thật sự với kẻ lừa đảo với độ chính xác lên đến 97,4% các trường hợp.

Tuy nhiên, đối với những ai không ngại phiền hà và muốn thử biện pháp bảo mật cực an toàn thì công nghệ "cấy ghép sinh trắc học" đang được nghiên cứu có lẽ sẽ đáp ứng được yêu cầu khắt khe nhất. Công nghệ này hoạt động nhờ vào một con chip nhận diện bằng tần số vô tuyến (RFID) được cấy dưới da hoặc dưới dạng một hình xăm tạm thời trên da có thể bay đi trong 1 hay 2 tháng.

Như vậy, cho đến phút cuối cùng của cuộc đua thì dấu hiệu sinh trắc nào ít được bộc lộ ra bên ngoài nhất sẽ giành được danh hiệu dấu hiệu hoàn hảo nhất. Một số trong đó thậm chí còn có thể là những món đồ công nghệ có thể đeo trên người. Tiến sĩ Buttle nhận định: "Nếu bạn có một chiếc đồng hồ đeo tay có thể đọc được các dấu hiệu sinh trắc của mình thì sẽ thật hữu dụng".

Sau hàng loạt những công nghệ được sử dụng trong ngành tài chính được giới thiệu chính thức thì cho đến thời điểm hiện nay lĩnh vực mới mẻ này đã trở thành một mảnh đất màu mỡ cho các doanh nhân khởi nghiệp. Phần lớn các công ty phát hành thẻ tín dụng đều thừa nhận rằng họ đang rất hứng thú với các công nghệ sinh trắc học đang được phát triển.

Hầu như vào 20 năm trước đây, không ai có thể nghĩ rằng một chiếc điện thoại nhỏ bé lại có thể tích hợp chức năng hoạt động ngân hàng như chúng ta đang sử dụng hiện nay. Điều này mang lại rất nhiều tiện lợi cho khách hàng cũng như tạo điều kiện để các tổ chức tín dụng có thể cải thiện dịch vụ của mình.

Tuy nhiên, theo Tiến sĩ Stephanie Schuckers - giáo sư Đại học Clarkson (Mỹ) và giám đốc điều hành công ty NexID Biometrics - nhận định cách bẻ khóa được công bố bởi Starbug chỉ thường bắt gặp ở nhóm các tội phạm có tổ chức nên không dễ dàng phổ biến rộng khắp. Dù vậy, cho đến nay thì có lẽ chúng ta cũng không nên quá tin tưởng vào những dấu vân tay nhỏ bé của mình.