Xác thực sinh trắc học (Biometric Authentication)
1. Tổng quan
Định nghĩa: Xác thực sinh trắc học (Biometric Authentication) là phương thức xác thực quyết định một cách xác suất rằng "người này chính là người họ tuyên bố" bằng cách dùng cảm biến thu thập và trích xuất đặc trưng từ các đặc điểm sinh lý độc nhất của cá nhân (thông tin sinh trắc) — vân tay, khuôn mặt, mống mắt, tĩnh mạch — hoặc các đặc điểm hành vi như chữ ký, dáng đi, nhịp gõ phím, rồi đối chiếu với một mẫu tham chiếu đã đăng ký trước.
Xác thực người dùng truyền thống được phân thành ba yếu tố: "điều bạn biết (knowledge — mật khẩu, PIN)", "điều bạn có (possession — token OTP, thẻ thông minh)" và "điều bạn là (inherence — thông tin sinh trắc)". Hai yếu tố đầu cùng chia sẻ một giới hạn căn bản: chúng có thể trao cho người khác (chuyển nhượng được), có thể bị mất hoặc rò rỉ, và có thể bị quên. Mật khẩu bị đánh cắp qua lừa đảo (phishing), token bị mất cắp, và người dùng liên tục trả chi phí đặt lại. Xác thực sinh trắc học xuất hiện để biến chính "bản thân con người" thành chiếc khóa, cung cấp hình thức xác thực không cần mang theo cũng không cần ghi nhớ.
Bối cảnh trực tiếp thúc đẩy sự lan rộng bùng nổ của sinh trắc học là sự mở rộng của kinh tế di động, fintech và phi tiếp xúc. Khi mở khóa bằng vân tay và khuôn mặt phổ cập đến hàng tỷ thiết bị, sinh trắc học vượt khỏi lĩnh vực an ninh chuyên biệt để trở thành phương tiện xác thực hằng ngày, định hình như cơ chế cốt lõi cho xác minh danh tính (eKYC) trong mở tài khoản phi tiếp xúc, thanh toán đơn giản và chữ ký điện tử. Tuy vậy có một tính chất khác biệt mang tính quyết định so với mật khẩu: mật khẩu bị rò rỉ thì có thể đổi, nhưng vân tay, mống mắt thì không thể đổi. "Tính không thể thu hồi" này khiến sinh trắc học trở thành con dao hai lưỡi — vừa tiện lợi vừa nguy hiểm. Do đó dưới góc nhìn Kỹ sư chuyên nghiệp, sinh trắc học không phải chỉ là "mở khóa tiện lợi" mà là chủ đề phải thiết kế đồng thời ba trục: bản chất của quyết định xác suất (sự đánh đổi tỷ lệ lỗi), phòng thủ trước tấn công giả mạo (presentation attack), và bảo vệ thông tin sinh trắc không thể thu hồi.
Bối cảnh xuất hiện và sự cần thiết
Khi sự mệt mỏi với xác thực dựa trên mật khẩu tích tụ, việc thương mại hóa cảm biến vân tay trên điện thoại thông minh năm 2013 và phổ cập hóa xác thực khuôn mặt năm 2017 đã tạo ra bước ngoặt đại chúng hướng tới "xác thực không sở hữu, không tri thức". Đồng thời, nhu cầu phi tiếp xúc trong lĩnh vực tài chính và công nhằm xác minh danh tính mà không qua quầy đối mặt gia tăng, khiến eKYC — kết hợp chụp giấy tờ tùy thân thực và đối chiếu sinh trắc — được thể chế hóa. Như vậy, sinh trắc học là sản phẩm của một môi trường đòi hỏi đồng thời trải nghiệm người dùng (UX) không ma sát và xác minh danh tính mạnh.
Các yêu cầu đối với thông tin sinh trắc
Để một đặc điểm sinh lý hay hành vi có thể dùng cho xác thực, nó phải đáp ứng vài yêu cầu. Mọi người đều phải có nó (tính phổ quát, universality), phải đủ khác nhau giữa người với người (tính độc nhất, uniqueness), phải không thay đổi theo thời gian (tính bền vững, permanence), và phải đo được bằng cảm biến (tính thu thập được, collectability). Thêm vào đó, để vận hành thực tế còn phải xét hiệu năng, mức độ chấp nhận và khả năng chống giả mạo (circumvention). Vân tay và mống mắt được dùng rộng rãi vì đáp ứng đồng đều các yêu cầu này, còn các đặc điểm hành vi như dáng đi, gõ phím chỉ dừng ở vai trò bổ trợ vì tính bền vững và độc nhất tương đối yếu. Nghĩa là số phận của một phương thức (modality) là hàm số của mức độ đáp ứng các yêu cầu này.
Định nghĩa vấn đề dưới góc nhìn Kỹ sư chuyên nghiệp
Trong bài luận, mô tả sinh trắc học chỉ như "công nghệ đăng nhập bằng vân tay, khuôn mặt" là thất bại. Cốt lõi nằm ở việc tích hợp vào một kiến trúc duy nhất: ① việc sinh trắc học là quyết định xác suất mà chấp nhận/từ chối phụ thuộc vào ngưỡng (khác biệt căn bản với so sánh mật khẩu mang tính xác định), ② tính tất yếu của phát hiện tấn công giả mạo (PAD/liveness) nhằm loại bỏ mẫu giả, và ③ bảo vệ mẫu và quyền riêng tư đối với dữ liệu không thể cấp lại khi rò rỉ.
2. Nguyên lý xác thực và kiến trúc hệ thống
Hệ thống sinh trắc được chia lớn thành giai đoạn đăng ký (Enrollment) và giai đoạn xác thực (Verification/Identification). Ở giai đoạn đăng ký, mẫu sinh trắc được thu thập, trích xuất đặc trưng, tạo mẫu tham chiếu (reference template) và lưu vào kho an toàn; ở giai đoạn xác thực, mẫu mới trình diện được đặc trưng hóa theo cùng cách và tính độ tương đồng với mẫu đã lưu. Sơ đồ cấu trúc tổng thể dưới đây thể hiện hai giai đoạn và các thành phần cốt lõi.
flowchart TD
subgraph ENR["Đăng ký (Enrollment)"]
S1["Cảm biến thu thập sinh trắc"] --> Q1["Kiểm tra chất lượng + tiền xử lý"]
Q1 --> F1["Trích xuất đặc trưng (feature extraction)"]
F1 --> T1["Tạo mẫu tham chiếu"]
T1 --> DB["Kho bảo vệ (TEE/HSM, mã hóa)"]
end
subgraph AUT["Xác thực (Verification/Identification)"]
S2["Cảm biến thu thập sinh trắc"] --> PAD["Phòng chống giả mạo (PAD/Liveness)"]
PAD --> Q2["Kiểm tra chất lượng + tiền xử lý"]
Q2 --> F2["Trích xuất đặc trưng"]
F2 --> M["Đối sánh (tính điểm tương đồng)"]
DB --> M
M --> D{"So sánh ngưỡng"}
D -->|"điểm >= ngưỡng"| OK["Chấp nhận (Accept)"]
D -->|"điểm < ngưỡng"| NO["Từ chối (Reject)"]
end
Ở đây xác thực phân thành hai chế độ vận hành. Kiểm chứng (Verification, 1:1) quyết định "ID bạn tuyên bố có đúng không" và chỉ đối chiếu với một mẫu đã lưu; mở khóa điện thoại và đăng nhập thuộc nhóm này. Nhận dạng (Identification, 1:N) quyết định "bạn là ai" bằng cách đối chiếu với nhiều mẫu để tìm ra, tiêu biểu là đối chiếu vân tay điều tra tội phạm và nhận diện khuôn mặt xuất nhập cảnh sân bay. Vì 1:N nhân số lần đối chiếu lên N lần nên lỗi tích lũy, do đó dù cùng cảm biến vẫn cần ngưỡng bảo thủ hơn nhiều và quản lý chất lượng chặt hơn so với 1:1. Ví dụ, dù FAR của mỗi cá nhân là một phần triệu trong cơ sở dữ liệu một triệu người, kỳ vọng số lần đối sánh sai trong một lần truy vấn tiến gần tới một — đây là nan đề của thiết kế 1:N.
Các thành phần cốt lõi là cảm biến (capture), xử lý tín hiệu (tiền xử lý/đánh giá chất lượng), bộ trích xuất đặc trưng, bộ đối sánh (matcher), ra quyết định (ngưỡng) và kho lưu. Trong đó, trích xuất đặc trưng là quá trình chuyển ảnh sinh trắc gốc — thay vì lưu nguyên — thành vector đặc trưng khó đảo ngược (ví dụ điểm đặc biệt minutiae của vân tay, vector nhúng của khuôn mặt), vừa giảm dung lượng lưu vừa tạo tuyến phòng thủ đầu tiên khiến việc tái tạo ảnh gốc trở nên khó khăn. Tuy nhiên, vì đã có nghiên cứu báo cáo việc phục dựng một phần ảnh gốc từ vector nhúng, không được khẳng định rằng chỉ riêng trích xuất đặc trưng đã bảo đảm quyền riêng tư.
Vị trí và mức bảo vệ của kho lưu là biến thiết kế chi phối an ninh tổng thể. Gom mẫu lên máy chủ trung tâm như trước đây tạo thành điểm hỏng đơn (single point of failure) mà một lần xâm phạm làm rò rỉ thông tin sinh trắc của toàn bộ người dùng, nên thiết bị di động hiện đại giam mẫu và phép tính đối sánh bên trong Môi trường thực thi tin cậy (TEE)/Vùng an toàn (Secure Enclave) cách ly khỏi OS chính, để ngay cả khi ứng dụng hay OS bị xâm phạm cũng không truy cập được thông tin sinh trắc. Ví dụ, dữ liệu vân tay hay khuôn mặt của điện thoại không chuyển sang bộ xử lý ứng dụng mà chỉ được đối sánh bên trong con chip an ninh chuyên dụng, và chỉ trả ra bên ngoài kết quả "khớp/không khớp". Như vậy, độ an toàn của sinh trắc học phụ thuộc lớn không chỉ vào độ chính xác thuật toán mà vào quyết định kiến trúc "thông tin sinh trắc nằm ở đâu và được so sánh ở đâu."
3. Chỉ số hiệu năng và sự đánh đổi tỷ lệ lỗi
Tính chất bản chất nhất tách sinh trắc học khỏi mật khẩu là quyết định không mang tính xác định mà mang tính xác suất. Vì ngay cùng một ngón tay cũng tạo ra ảnh khác nhau mỗi lần tùy theo mồ hôi, góc độ, lực ấn, hệ thống phán đoán không phải "trùng khớp hoàn toàn" mà "có đủ tương đồng không" bằng ngưỡng. Kết quả là hai loại lỗi tất yếu phát sinh, được định lượng bằng các chỉ số dưới đây. Sơ đồ chi tiết quy trình sau thể hiện cấu trúc mẫu đầu vào được tính điểm và tách thành hai phân bố lỗi.
flowchart LR
IN["Mẫu trình diện"] --> SC["Tính phân bố điểm đối sánh"]
SC --> GEN["Phân bố điểm chính chủ (genuine)"]
SC --> IMP["Phân bố điểm người khác (impostor)"]
GEN --> TH{"Đặt ngưỡng T"}
IMP --> TH
TH -->|"nâng ngưỡng"| SEC["Tăng an ninh: FAR giảm, FRR tăng"]
TH -->|"hạ ngưỡng"| USA["Tăng tiện lợi: FRR giảm, FAR tăng"]
SEC --> EER["Điểm hai lỗi bằng nhau = EER"]
USA --> EER
A. FAR và FRR — sự giằng co giữa an ninh và tiện lợi
Tỷ lệ chấp nhận sai (FAR, False Acceptance Rate) là tỷ lệ chấp nhận nhầm người lạ thành chính chủ, một lỗi chí mạng gắn trực tiếp với sự cố an ninh. Tỷ lệ từ chối sai (FRR, False Rejection Rate) là tỷ lệ từ chối nhầm chính chủ thành người lạ, gây bất tiện cho người dùng và dẫn tới rời bỏ dịch vụ. Hai lỗi bị buộc bởi một ngưỡng duy nhất và ở thế đánh đổi (trade-off): giảm bên này thì bên kia lớn lên. Nâng ngưỡng làm phán đoán chặt hơn nên FAR giảm nhưng FRR tăng; hạ ngưỡng thì ngược lại.
Sự giằng co này hàm ý rằng điểm tối ưu khác nhau theo ứng dụng. Nơi an ninh là tối thượng — kiểm soát xuất nhập cảnh quốc gia, chuyển tiền tài chính — hạ FAR cực thấp và chịu phần nào FRR (thử lại), còn nơi tiện lợi quan trọng — ra vào bằng thẻ hội viên năm tại công viên giải trí — hạ FRR để giảm hàng chờ. Nghĩa là "hệ thống sinh trắc tốt" không phải hệ thống có tỷ lệ lỗi bằng không mà là hệ thống cho phép chọn điểm vận hành (operating point) phù hợp với rủi ro và UX của nghiệp vụ đó.
B. EER và đường cong DET, cùng tỷ lệ thất bại thu thập/đăng ký
Vẽ FAR và FRR khi thay đổi ngưỡng, sẽ có một điểm giao nhau mà tỷ lệ lỗi của nó gọi là tỷ lệ lỗi bằng nhau (EER, Equal Error Rate), được dùng làm chỉ số đơn tiêu biểu để so sánh độ chính xác của bản thân thuật toán; EER càng thấp càng tốt. Hiệu năng tổng thể được biểu diễn bằng đường cong DET (Detection Error Tradeoff), vẽ FAR theo FRR trên trục log và làm căn cứ chọn điểm vận hành.
Tại hiện trường, chỉ hai chỉ số này là chưa đủ. Tỷ lệ thất bại đăng ký (FTE, Failure to Enroll) chỉ tỷ lệ những người vốn không thể đăng ký — công nhân vân tay mòn hay bệnh nhân đục thủy tinh thể — còn tỷ lệ thất bại thu nhận (FTA, Failure to Acquire) chỉ tỷ lệ mà việc thu nhận mẫu thất bại ngay khi xác thực do chất lượng không đạt. Nếu FTE/FTA cao thì dù FAR/FRR tốt đến đâu, vẫn phát sinh vấn đề bao trùm (inclusion) khi "một bộ phận người dùng vốn không thể dùng được". Thực tế, ở một số ngành nghề mà da tay trở nên thô ráp, FTE vân tay được báo cáo đạt tới vài phần trăm, trong trường hợp đó thiết kế chỉ dùng vân tay loại trừ nhóm này một cách có hệ thống. Bảng dưới đây tóm tắt các chỉ số cốt lõi và hàm ý thiết kế.
| Chỉ số | Ý nghĩa | Vấn đề khi cao | Hàm ý thiết kế |
|---|---|---|---|
| FAR | Chấp nhận người lạ thành chính chủ | Xâm phạm an ninh (truy cập trái phép) | Nghiệp vụ càng an ninh càng đòi giá trị cực nhỏ |
| FRR | Từ chối chính chủ | Bất tiện/rời bỏ của người dùng | Lộ trình xác thực thay thế (fallback) là bắt buộc |
| EER | Tỷ lệ lỗi tại giao điểm FAR=FRR | Độ chính xác thuật toán thấp | Chỉ số so sánh phương thức/nhà cung cấp |
| FTE | Bản thân việc đăng ký thất bại | Loại trừ nhóm yếu thế | Bù đắp bằng đa phương thức |
| FTA | Thu nhận mẫu thất bại | Bùng nổ thử lại/UX giảm | Phản hồi chất lượng/cải thiện cảm biến |
C. Chọn điểm vận hành trong thực tiễn và quản trị ngưỡng
Dù EER lý thuyết tốt, nhiều dịch vụ không vận hành tại điểm EER. Đăng nhập tài chính, nơi an ninh quan trọng, cố định FAR thấp hơn EER rất nhiều (ví dụ FAR 0,001%) và hấp thụ mức FRR tăng kèm theo bằng thử lại và xác thực thay thế. Ngược lại, kiểm soát xuất nhập cảnh tự động ở sân bay, nơi lưu lượng lớn là sống còn, chọn điểm vận hành hạ FRR để giảm hàng chờ đồng thời bù an ninh bằng PAD và khâu thẩm tra bởi người ở phía sau. Như vậy điểm vận hành không phải hằng số đặt một lần rồi xong, mà là tham số vận hành được tinh chỉnh lại theo xu hướng tấn công, khiếu nại người dùng và thay đổi quy định.
Do đó, tổ chức trưởng thành không gắn cứng ngưỡng vào mã mà tách thành chính sách và quản lý lịch sử thay đổi. Kết hợp với xác thực dựa trên rủi ro, có thể hiện thực ngưỡng thích ứng (adaptive threshold) dùng điểm vận hành nới lỏng lúc bình thường và chỉ nâng ngưỡng hoặc yêu cầu xác thực bổ sung khi phát hiện tín hiệu rủi ro — chuyển tiền lớn, thiết bị mới, vị trí bất thường. Đây là cách giải quyết thực tế sự giằng co an ninh-UX "khác nhau theo tình huống".
4. Các loại thông tin sinh trắc và so sánh phương thức
Thông tin sinh trắc được chia thành nhiều phương thức theo đối tượng đo, mỗi loại khác nhau về độ chính xác, chi phí, mức chấp nhận và độ khó giả mạo. Vân tay dựa trên điểm đặc biệt (minutiae) có cân bằng độ chính xác-chi phí tốt và được dùng rộng rãi nhất, nhưng dễ bị sao chép vân tay tiềm ẩn và giả mạo silicon. Khuôn mặt có tính phi tiếp xúc, tầm xa, mức chấp nhận đại chúng cao, phù hợp xuất nhập cảnh và CCTV, nhưng nhạy với ánh sáng, góc độ, khẩu trang, lão hóa và phơi lộ trước tấn công ảnh, video, deepfake. Mống mắt là phương thức độ chính xác cao với tỷ lệ lỗi cực thấp nhờ lượng thông tin mẫu lớn, nhưng cần thiết bị hồng ngoại chuyên dụng và sự hợp tác của người dùng. Tĩnh mạch (lòng bàn tay/ngón tay), là mẫu mạch máu trong cơ thể nên khó giả mạo và hợp vệ sinh, được dùng ở ATM tài chính và kiểm soát ra vào. Giọng nói cho phép xác thực từ xa qua kênh điện thoại nhưng yếu trước tấn công phát lại bản ghi và giọng tổng hợp. Bảng dưới đây tóm tắt lý do cùng hàm ý thực tiễn.
| Phương thức | Độ chính xác | Độ khó giả mạo | Mức chấp nhận/tiện lợi | Dụng chính và hàm ý thực tiễn |
|---|---|---|---|---|
| Vân tay | Cao | Trung | Cao (tiếp xúc) | Lựa chọn số một đa dụng; PAD bắt buộc chống giả mạo tiềm ẩn/silicon |
| Khuôn mặt | Trung~cao | Thấp | Rất cao (phi tiếp xúc) | Xác thực/giám sát đại chúng; phòng thủ deepfake/tấn công ảnh là then chốt |
| Mống mắt | Rất cao | Cao | Trung (cần hợp tác) | Ra vào an ninh cao/danh tính quốc gia; gánh nặng chi phí thiết bị |
| Tĩnh mạch | Cao | Rất cao | Trung | Tài chính/y tế; mẫu trong cơ thể khó sao chép |
| Giọng nói | Trung | Thấp | Cao (từ xa) | Tổng đài/ngân hàng điện thoại; cần kết hợp phát hiện giọng tổng hợp |
| Hành vi (dáng đi/gõ phím) | Thấp~trung | Trung | Rất cao (vô thức) | Hỗ trợ xác thực liên tục/phát hiện bất thường; không hợp làm xác thực đơn lẻ |
Các con số cụ thể cho thấy rõ sự đánh đổi này. Apple Face ID, ví dụ tiêu biểu của xác thực khuôn mặt trên điện thoại, từng công bố xác suất một người lạ bất kỳ mở được khóa là khoảng một phần triệu (1/1.000.000), và xác thực vân tay thế hệ trước (Touch ID) là khoảng một phần năm mươi nghìn (1/50.000). Tuy nhiên đây chỉ là con số chấp nhận sai (FAR) do nhà sản xuất đưa ra, còn từ chối sai (FRR) là riêng, và kèm lưu ý rằng độ chính xác giảm với cặp song sinh và trẻ em dưới 13 tuổi. Nghĩa là không nên phán xét hơn kém chỉ bằng một con số đơn lẻ mà phải đọc FAR, FRR, FTE cùng với môi trường vận hành.
Đơn giản hóa việc chọn phương thức thành "cái chính xác nhất là tốt nhất" sẽ làm hỏng thiết kế. Mống mắt chính xác nhưng vì gánh nặng chi phí và hợp tác nên không hợp thiết bị đại chúng như điện thoại, còn khuôn mặt yếu trước giả mạo nhưng UX phi tiếp xúc áp đảo nên được áp dụng ở kiểm soát xuất nhập cảnh tự động sân bay (ví dụ Smartpass của Hàn Quốc) và di động. Nghĩa là phương thức phải được chọn như hàm số của mức rủi ro của nghiệp vụ, môi trường vận hành, tính bao trùm người dùng và chi phí. Vì lý do này, các thiết kế kết hợp đa phương thức và đa yếu tố — vân tay + khuôn mặt, sinh trắc + PIN — để bù đắp lẫn nhau các điểm yếu của một phương thức đơn lẻ (FTE, giả mạo, nhạy môi trường) đang trở nên phổ biến.
Tấn công trình diện (Presentation Attack) và phòng chống giả mạo (PAD)
Mối đe dọa đặc thù của sinh trắc học là tấn công trình diện (presentation attack). Đó là nỗ lực mà kẻ tấn công trình diện một vật nhân tạo (artefact) — ngón tay silicon, ảnh độ phân giải cao, mặt nạ 3D, giọng ghi âm hoặc tổng hợp, video deepfake — lên cảm biến để được xác thực thành người khác. Công nghệ loại bỏ chúng là phòng chống giả mạo (PAD, Presentation Attack Detection) hay phát hiện sống (liveness detection), phát hiện các tín hiệu của "cơ thể thật đang sống" như lưu lượng máu, thân nhiệt, phản ứng đồng tử, chuyển động vi mô, kết cấu da, độ sâu 3D. PAD chia thành chủ động (ra lệnh người dùng chớp mắt, quay đầu) và bị động (phân tích kết cấu, phản xạ ở nền). Bộ tiêu chuẩn quốc tế ISO/IEC 30107 quy định thuật ngữ, đo lường, báo cáo của PAD, định lượng hiệu năng phát hiện mẫu tấn công bằng APCER (tỷ lệ phân loại nhầm tấn công thành thật) và BPCER (tỷ lệ phân loại nhầm thật thành tấn công). Trong tài chính và chữ ký điện tử, phải xem xác thực sinh trắc không có PAD về thực chất là không phòng bị.
Nguy cơ tấn công trình diện bất đối xứng theo phương thức. Thông tin sinh trắc dễ thu thập trên kênh công khai như khuôn mặt, giọng nói đe dọa lớn vì có thể dễ dàng lấy mẫu tấn công từ ảnh mạng xã hội, video công khai, bản ghi cuộc gọi, trong khi thông tin như tĩnh mạch lòng bàn tay nằm trong cơ thể và không thể thu thập phi tiếp xúc khiến việc chế tạo mẫu tấn công tự thân đã khó. Sự bất đối xứng này giải thích vì sao ATM tài chính chọn tĩnh mạch còn thiết bị đại chúng chọn khuôn mặt mà vẫn thay đổi cường độ PAD. Rốt cuộc thiết kế PAD phải khởi đi từ mô hình đe dọa "kẻ tấn công có thể lấy được thông tin sinh trắc đó dễ đến đâu".
5. Chuyên sâu: tiêu chuẩn bảo vệ mẫu và ứng phó trong kỷ nguyên FIDO và deepfake
Vấn đề mới nhất quanh sinh trắc học hội tụ vào "làm sao bảo vệ thông tin sinh trắc không thể thu hồi". Mật khẩu rò rỉ thì đặt lại là được, nhưng mẫu vân tay rò rỉ thì người đó suốt đời không thể dùng vân tay ấy an toàn nữa. Khái niệm cốt lõi giải quyết vấn đề này là sinh trắc có thể thu hồi (Cancelable Biometrics) và bảo vệ mẫu sinh trắc (Biometric Template Protection). Áp dụng phép biến đổi không khả nghịch khác nhau theo từng người dùng và dịch vụ (ví dụ Bloom filter, phép chiếu ngẫu nhiên) lên đặc trưng gốc trước khi lưu, thì khi rò rỉ có thể "cấp lại" mẫu mới chỉ bằng cách thay tham số biến đổi, và rò rỉ ở một dịch vụ không lan sang dịch vụ khác (tính không liên kết). Fuzzy Vault/Fuzzy Extractor rút ra khóa ổn định từ giá trị sinh trắc lẫn nhiễu và kết hợp với khóa mật mã. Lĩnh vực này được tiêu chuẩn quốc tế ISO/IEC 24745 (bảo vệ thông tin sinh trắc) định nghĩa yêu cầu, nêu tính không khả nghịch, tính không liên kết, tính làm mới làm các thuộc tính cốt lõi.
Trục thứ hai là kiến trúc "không truyền thông tin sinh trắc" dựa trên FIDO2/WebAuthn. Cách gom mẫu sinh trắc lên máy chủ trung tâm trước đây là điểm hỏng đơn cho rò rỉ quy mô lớn. Phe FIDO thực hiện đối sánh sinh trắc cục bộ chỉ bên trong vùng an toàn của thiết bị người dùng (TEE/Secure Enclave) và chỉ đăng ký khóa công khai — không phải thông tin sinh trắc — lên máy chủ. Vì thông tin sinh trắc không rời mạng, một vụ xâm phạm máy chủ không chuyển thành rò rỉ sinh trắc. Xác thực passkey bằng vân tay hay khuôn mặt điện thoại theo cấu trúc này, là ví dụ tiêu biểu nơi sinh trắc và mật mã khóa công khai kết hợp để đảm bảo đồng thời khả năng chống lừa đảo và quyền riêng tư (xem các chủ đề liên quan [[passkey-fido2]], [[decentralized-identity]]).
Một ví dụ công nghiệp tiêu biểu kết hợp hai trục này là kiểm soát xuất nhập cảnh tự động sân bay và tài chính phi tiếp xúc. Smartpass và cổng xuất nhập cảnh tự động của sân bay Incheon Hàn Quốc đối chiếu thông tin hộ chiếu với khuôn mặt tại chỗ theo 1:1 đồng thời loại bỏ tấn công ảnh/mặt nạ bằng PAD, để lại trách nhiệm cuối cùng cho thẩm tra viên là người nhằm phân tán rủi ro đối sánh sai. Trong mở tài khoản phi tiếp xúc (eKYC), tính xác thực của bản chụp giấy tờ, sự khớp giữa ảnh trên giấy tờ và ảnh selfie, và phát hiện sống của selfie (chớp mắt, độ sâu 3D) được kết hợp theo nhiều tầng để thất bại của một chỉ số đơn lẻ không trở thành thất bại toàn cục. Như vậy thực tiễn xây dựng niềm tin không bằng "xác thực đơn lẻ hoàn hảo" mà bằng sự chồng lớp của nhiều lớp phòng thủ không hoàn hảo.
Trục thứ ba là sự tinh vi hóa tấn công giả mạo do AI sinh tạo gây ra. Khi khuôn mặt deepfake, giọng tổng hợp, ảnh giấy tờ do AI tạo đe dọa eKYC và xác thực từ xa, PAD cũng tiến hóa thành cuộc chạy đua vũ trang AI đấu AI. Chuẩn đo FRVT/FATE của NIST (Hoa Kỳ) liên tục đánh giá thuật toán khuôn mặt và PAD, cung cấp căn cứ khách quan cho việc chọn nhà cung cấp. Đồng thời, sinh trắc hành vi (behavioral biometrics) — nhịp gõ phím, quỹ đạo chuột, tư thế cầm thiết bị — được đo liên tục ở nền để kiểm chứng "có phải cùng một người dùng suốt phiên hay không", và xác thực liên tục (continuous authentication) như vậy đang lan rộng khi kết hợp với zero trust và phát hiện bất thường (xem các chủ đề liên quan [[ueba]], [[zero-trust]]). Dù vậy, sinh trắc hành vi thực tế được dùng làm tín hiệu bổ trợ cho xác thực dựa trên rủi ro hơn là xác thực đơn lẻ.
6. Điểm cần cân nhắc và hàm ý
Thiết kế điểm vận hành (FAR/FRR) là vấn đề quản trị rủi ro, không chỉ là an ninh: Thành bại của việc đưa sinh trắc vào phụ thuộc vào "đặt ngưỡng ở đâu cho hợp với rủi ro nghiệp vụ" hơn là độ chính xác thuật toán. Giao dịch giá trị cao chọn FAR thấp, ra vào đại chúng chọn FRR thấp, nhưng phải thiết kế kèm lộ trình xác thực thay thế (PIN/OTP) cho người dùng chính đáng bị từ chối bởi FRR. Phụ thuộc đơn lẻ vào sinh trắc loại trừ nhóm yếu thế có FTE/FTA nên cũng nguy hiểm dưới góc độ bao trùm.
Bảo vệ mẫu và lưu trữ phân tán dựa trên tiền đề không thể thu hồi: Vì thông tin sinh trắc không thể phục hồi một khi rò rỉ, phải cấm lưu ảnh gốc, áp dụng biến đổi có thể thu hồi và bảo vệ mẫu (ISO/IEC 24745), và nếu được thì tách thông tin sinh trắc khỏi máy chủ bằng đối sánh trên thiết bị như FIDO. Lưu trữ tập trung vừa là điểm hỏng đơn vừa là rủi ro pháp lý.
Đầu tư liên tục cho phòng chống giả mạo (PAD) và ứng phó deepfake: Sinh trắc không có PAD bất lực trước ảnh, mặt nạ, giọng tổng hợp. Phải bắt buộc PAD theo chuẩn ISO/IEC 30107 và minh định trong quản trị quy trình vận hành nhằm huấn luyện lại và cập nhật định kỳ mô hình phát hiện theo bước tiến của AI sinh tạo. Đặc biệt eKYC phi tiếp xúc là tuyến đầu của tấn công deepfake.
Tuân thủ pháp chế/quyền riêng tư và sự đánh đổi: Thông tin sinh trắc là thông tin nhạy cảm theo Luật Bảo vệ thông tin cá nhân, đòi hỏi sự đồng ý riêng và biện pháp an toàn tăng cường cho việc thu thập, sử dụng, và GDPR của EU cùng một số pháp luật khu vực còn nghiêm ngặt hơn. Sự đánh đổi giữa thu thập đại trà tiện lợi và quyền riêng tư/phân biệt đối xử (chênh lệch độ chính xác theo chủng tộc, độ tuổi của nhận diện khuôn mặt) phải được kiểm soát ngay ở giai đoạn thiết kế bằng nguyên tắc PbD (xem chủ đề liên quan [[privacy-by-design]]), với giới hạn mục đích, thời hạn lưu giữ, thủ tục hủy rõ ràng.
Triển vọng mở rộng sang đa yếu tố và công nghệ liên kết: Giới hạn của một phương thức sinh trắc đơn lẻ (giả mạo, nhạy môi trường, FTE) hướng tới bù đắp bằng đa yếu tố sinh trắc + sở hữu + tri thức và hợp nhất đa phương thức. Hơn nữa, khi kết hợp với xác thực liên tục dựa trên sinh trắc hành vi, zero trust và danh tính phi tập trung (DID), mô thức đang dịch chuyển từ "đăng nhập một lần" sang "kiểm chứng suốt phiên", và Kỹ sư chuyên nghiệp phải trình bày được việc tích hợp kiến trúc với các công nghệ liên kết này như một lộ trình trung hạn.
Tài liệu tham khảo
- ISO/IEC 30107-3:2023, Information technology — Biometric presentation attack detection — Part 3: Testing and reporting, https://www.iso.org/standard/79520.html
- ISO/IEC 24745:2022, Information security, cybersecurity and privacy protection — Biometric information protection, https://www.iso.org/standard/75302.html
- ISO/IEC 19795-1, Biometric performance testing and reporting — Part 1: Principles and framework, https://www.iso.org/standard/73515.html
- NIST, Face Recognition Vendor Test (FRVT) / FATE, https://www.nist.gov/programs-projects/face-recognition-vendor-test-frvt
- FIDO Alliance, Biometrics and FIDO Authentication, https://fidoalliance.org/
- Apple Platform Security, About Face ID & Touch ID advanced technology, https://support.apple.com/en-us/102381
Tóm tắt một câu: Xác thực sinh trắc học là việc xác minh danh tính mang tính xác suất bằng cách dùng cảm biến thu thập các đặc điểm sinh lý/hành vi không thể thu hồi rồi đối chiếu với mẫu; nó phải thiết kế điểm vận hành FAR/FRR/EER cho hợp với rủi ro nghiệp vụ, phòng thủ giả mạo và rò rỉ bằng phát hiện tấn công trình diện (PAD, ISO/IEC 30107), bảo vệ mẫu (ISO/IEC 24745) và đối sánh cục bộ FIDO, và kết hợp với đa yếu tố, xác thực liên tục và zero trust — một công nghệ xác thực cốt lõi của kỷ nguyên phi tiếp xúc.