Sinh trắc học trong xác thực

Mục lục

1. Xác thực sinh trắc học khác gì so với nhận diện?
2. Một lần xác thực sinh trắc học diễn ra như thế nào?
3. FAR, FRR và ngưỡng: vì sao “chính xác 99%” là câu vô nghĩa?
4. Các loại sinh trắc học nào hợp với bài toán xác thực nào?
5. Giả mạo sinh trắc học: tấn công diễn ra ở đâu?
6. So khớp trên thiết bị hay trên máy chủ?
7. Quy định ngân hàng hiện hành về sinh trắc học là gì?
8. Dữ liệu sinh trắc học tạo ra nghĩa vụ gì khi doanh nghiệp tự triển khai?
9. Triển khai sinh trắc học nội bộ: các bước làm thật
10. Những lỗi thường gặp khi dùng sinh trắc học và cách xử lý
11. Ưu điểm, hạn chế và khi nào không nên dùng sinh trắc học
12. So sánh ngắn: sinh trắc học, OTP và khoá bảo mật
13. Câu hỏi thường gặp

Xác thực sinh trắc học khác gì so với nhận diện?

Hai bài toán này hay bị gộp làm một, trong khi đòi hỏi kỹ thuật khác nhau.

• Xác minh 1:1 (verification): người dùng tuyên bố “tôi là A”, hệ thống chỉ so khớp mẫu hiện tại với đúng một mẫu của A. Đây là bài toán của mở khoá điện thoại, đăng nhập ứng dụng ngân hàng, chấm công.
• Nhận diện 1:N (identification): hệ thống so khuôn mặt hoặc vân tay với cả kho dữ liệu để tìm xem đó là ai. Sai số tăng theo kích thước kho, và dữ liệu cá nhân bị đưa vào xử lý ở quy mô lớn hơn nhiều.

Bài này tập trung vào 1:1 vì đó là cách dùng thông thường của “xác thực”. Nếu bạn đang cân nhắc 1:N, ví dụ nhận diện khách VIP tại cửa hàng, rủi ro pháp lý và sai số hoàn toàn khác, và cần đánh giá riêng.

Về vị trí trong bộ yếu tố xác thực, sinh trắc học thuộc nhóm “bạn là ai”, cạnh nhóm “bạn biết gì” (mật khẩu, PIN) và “bạn có gì” (thiết bị, token). Cách ghép các nhóm này được trình bày trong bài về xác thực đa yếu tố. Điểm cần nhớ ở đây là sinh trắc học không phải bí mật. Khuôn mặt bạn xuất hiện trên mạng xã hội, vân tay để lại trên ly nước. Vì vậy sức mạnh của nó nằm ở việc chứng minh người thật đang có mặt, không phải ở việc “khó biết”.

Một lần xác thực sinh trắc học diễn ra như thế nào?

Quy trình gồm hai pha: đăng ký một lần và so khớp mỗi lần dùng.

Có ba chi tiết kỹ thuật thường bị bỏ sót.

• Template không phải ảnh gốc. Hệ thống chuyển ảnh thành một vector số (ví dụ vector đặc trưng khuôn mặt hoặc tập điểm chi tiết của vân tay) rồi lưu vector đó. Từ template thường không dựng lại được ảnh nguyên bản, nhưng nếu rò rỉ thì kẻ xấu vẫn có thể dùng nó để tấn công hệ thống cùng nhà cung cấp.
• Kết quả là điểm, không phải “đúng/sai”. Mỗi lần quét cho một điểm tương đồng, khác nhau theo ánh sáng, góc mặt, ngón tay ướt hay khô. Việc chấp nhận hay không là do ngưỡng bạn đặt.
• Kiểm tra người thật (liveness detection, còn gọi là PAD, presentation attack detection) chạy trước so khớp. Nếu bước này lỏng, thuật toán so khớp tốt đến đâu cũng bị ảnh in hoặc video đánh lừa.

FAR, FRR và ngưỡng: vì sao “chính xác 99%” là câu vô nghĩa?

Khi nhà cung cấp nói “độ chính xác 99%”, bạn cần hỏi lại: ở ngưỡng nào, trên tập dữ liệu nào, đo loại sai số nào. Ba chỉ số cần biết:

• FAR (False Acceptance Rate): tỷ lệ chấp nhận nhầm người lạ. Đây là chỉ số an ninh.
• FRR (False Rejection Rate): tỷ lệ từ chối nhầm chính chủ. Đây là chỉ số trải nghiệm, và cũng là gánh nặng cho tổng đài hỗ trợ.
• EER (Equal Error Rate): điểm FAR bằng FRR. Dùng để so sánh thô hai thuật toán, không dùng làm cấu hình vận hành.

Cách chọn ngưỡng phụ thuộc vào hậu quả của từng loại sai. Ví dụ minh hoạ: một máy chấm công cho nhà xưởng có thể chấp nhận FAR cao hơn một chút, vì hậu quả chỉ là chấm công hộ, có thể phát hiện qua camera. Cổng duyệt lệnh chi trên hệ thống kế toán thì ngược lại: nên đặt ngưỡng chặt, chấp nhận FRR cao và cho phép dùng phương án dự phòng, vì nhận nhầm một người lạ là mất tiền.

Một lưu ý nữa: FAR trên tài liệu quảng cáo thường đo với người lạ “ngẫu nhiên” (zero-effort impostor), không đo với kẻ cố tình giả mạo. Hai con số này không so sánh được với nhau. Phần đo kẻ cố tình giả mạo nằm ở các chỉ số của PAD, được thử nghiệm theo họ tiêu chuẩn ISO/IEC 30107.

Các loại sinh trắc học nào hợp với bài toán xác thực nào?

Loại	Dùng tốt cho	Điểm yếu cần biết
Vân tay	Mở khoá thiết bị, chấm công, két, tủ	Ngón tay ướt, khô, trầy xước làm tăng FRR. Cảm biến rẻ dễ bị vân tay giả
Khuôn mặt	Xác thực từ xa qua camera điện thoại, đối chiếu ảnh CCCD	Nhạy với deepfake và tấn công chèn video. Phụ thuộc ánh sáng và chất lượng camera
Mống mắt	Khu vực an ninh cao, cần cảm biến chuyên dụng	Thiết bị đắt, ít có trên điện thoại phổ thông
Giọng nói	Tổng đài, xác minh khi gọi điện	Dễ bị giả bằng giọng tổng hợp hoặc ghi âm. Chất lượng đường truyền ảnh hưởng điểm
Hành vi (gõ phím, cách vuốt)	Lớp phát hiện bất thường chạy ngầm	Không đủ độc lập để làm yếu tố duy nhất, dùng như tín hiệu rủi ro

Với doanh nghiệp, khuôn mặt từ xa và vân tay trên thiết bị là hai kịch bản phổ biến nhất. Chúng có mô hình rủi ro rất khác, nên cần tách ra ở phần sau.

Giả mạo sinh trắc học: tấn công diễn ra ở đâu?

Dưới góc nhìn phòng thủ, có hai điểm vào mà bạn cần che.

Giả mạo tại cảm biến (presentation attack)

Đối tượng đưa một vật giả trước camera hoặc cảm biến: ảnh in, màn hình phát video, mặt nạ, vân tay mô phỏng. Biện pháp chống là PAD. PAD chủ động yêu cầu người dùng quay đầu, chớp mắt, đọc chuỗi số ngẫu nhiên. PAD thụ động phân tích kết cấu da, phản xạ ánh sáng và chuyển động vi mô mà không cần người dùng làm gì.

Chèn dữ liệu vào đường truyền (injection attack)

Đây là điểm yếu đang được các đơn vị cung cấp giải pháp nói nhiều. Kẻ tấn công không đưa vật giả trước camera mà chèn trực tiếp video hoặc ảnh tổng hợp vào luồng dữ liệu, chẳng hạn qua camera ảo hoặc ứng dụng bị can thiệp. PAD ở tầng camera không thấy được tình huống này vì không có vật giả nào xuất hiện. Phòng thủ nằm ở môi trường chạy: phát hiện thiết bị root hoặc jailbreak, phát hiện camera ảo, xác thực tính toàn vẹn ứng dụng, ký dữ liệu ngay tại thiết bị trước khi gửi.

Điều này liên quan trực tiếp đến lừa đảo bằng thao túng tâm lý. Nhiều vụ chiếm đoạt tài khoản không phá sinh trắc học mà dụ chính chủ tự quét mặt hoặc cài ứng dụng lạ. Phần cơ chế này được giải thích trong bài về social engineering, và nên được đưa vào nội dung huấn luyện nhân viên đi cùng với triển khai sinh trắc học.

So khớp trên thiết bị hay trên máy chủ?

Đây là quyết định kiến trúc ảnh hưởng nhiều nhất đến rủi ro dữ liệu, và các bài top thường không nhắc đến.

Với so khớp trên thiết bị, ứng dụng không nhận ảnh hay template. Hệ điều hành xác nhận vân tay hoặc khuôn mặt trong vùng bảo mật phần cứng, rồi mở khoá một khoá mật mã riêng cho ứng dụng. Chuẩn FIDO2 và WebAuthn dùng chính cơ chế này: máy chủ chỉ giữ khoá công khai, nên một vụ rò rỉ máy chủ không làm lộ dữ liệu sinh trắc học của ai. Bài về MFA và passkey đã nói riêng về cách passkey thay mật khẩu, nên ở đây chỉ nhấn mạnh sự khác biệt về nơi lưu mẫu.

So khớp trên máy chủ là lựa chọn bắt buộc khi bạn cần đối chiếu với một nguồn bên ngoài thiết bị người dùng. Ví dụ điển hình là eKYC, nơi ảnh khuôn mặt được so với ảnh trên giấy tờ. Quy trình này được phân tích riêng trong bài về eKYC. Khi chọn hướng này, template cần được mã hoá khi lưu, tách khỏi dữ liệu định danh (họ tên, số CCCD), và có chính sách xoá khi người dùng ngừng sử dụng.

Quy định ngân hàng hiện hành về sinh trắc học là gì?

Đây là bối cảnh pháp lý mà phần lớn người Việt gặp sinh trắc học đầu tiên. Có một điểm cần cập nhật: nhiều bài còn dẫn Quyết định 2345/QĐ-NHNN như văn bản đang áp dụng trực tiếp.

• Quyết định 2345/QĐ-NHNN do Ngân hàng Nhà nước ban hành tháng 12/2023, có hiệu lực từ 01/7/2024. Văn bản này đặt ngưỡng 10 triệu đồng mỗi lần hoặc 20 triệu đồng mỗi ngày phải xác thực sinh trắc học.
• Thông tư 50/2024/TT-NHNN ban hành ngày 31/10/2024, có hiệu lực từ 01/01/2025. Theo phân tích trên Thư viện pháp luật, thông tư quy định cụ thể hình thức xác nhận cho giao dịch thanh toán trực tuyến và thay thế quy định tương ứng trong Quyết định 2345. Thông tư cũng giữ yêu cầu khớp sinh trắc học khi khách hàng cá nhân dùng Mobile Banking lần đầu trên thiết bị mới.

Thông tư 50 phân giao dịch thành bốn loại A, B, C, D. Theo các báo đã đối chiếu, chuyển khoản trên 10 triệu đồng giữa các chủ tài khoản khác nhau thuộc loại C, cần OTP (SMS, Voice, Soft OTP, Token OTP loại cơ bản hoặc chữ ký điện tử) cộng với khớp đúng sinh trắc học. Nghĩa là sinh trắc học ở đây là một yếu tố đi cùng OTP, không thay OTP. Bạn có thể xem cách các loại OTP khác nhau ở bài mã OTP và quy định ngân hàng.

Nếu doanh nghiệp bạn là đơn vị trung gian thanh toán hoặc tổ chức tín dụng, hãy đọc trực tiếp văn bản và hướng dẫn mới nhất của Ngân hàng Nhà nước, vì ngưỡng và loại giao dịch có thể được sửa đổi. Nếu bạn chỉ là khách hàng doanh nghiệp, cần nhớ rằng yêu cầu này áp lên ngân hàng cung cấp dịch vụ, không áp lên hệ thống nội bộ của bạn.

Dữ liệu sinh trắc học tạo ra nghĩa vụ gì khi doanh nghiệp tự triển khai?

Khi bạn tự thu thập khuôn mặt hoặc vân tay của nhân viên và khách hàng, đó là dữ liệu cá nhân nhạy cảm. Ba việc cần làm cụ thể cho trường hợp này: ghi rõ mục đích (chỉ để chấm công thì không dùng để phân tích cảm xúc hay hành vi), xin đồng ý riêng cho sinh trắc học thay vì gộp vào đồng ý chung, và quy định thời điểm huỷ template khi nhân viên nghỉ việc. Khung pháp lý đầy đủ nằm trong bài về bảo vệ dữ liệu cá nhân, bạn không cần đọc lại ở bài này.

Một tình huống minh hoạ: nhân viên từ chối quét vân tay chấm công. Nếu doanh nghiệp chỉ có một đường duy nhất thì họ mất khả năng chứng minh quyền lợi của người đó. Vì vậy, nên có phương án thay thế như thẻ hoặc mã QR cho trường hợp này, và ghi trong quy chế nội bộ.

Triển khai sinh trắc học nội bộ: các bước làm thật

Dưới đây là trình tự cho một doanh nghiệp muốn dùng sinh trắc học để đăng nhập hoặc duyệt thao tác nhạy cảm.

1. Xác định mức rủi ro của từng thao tác. Liệt kê thao tác (đăng nhập VPN, duyệt thanh toán, vào phòng máy chủ) và hậu quả khi bị giả mạo. Thao tác càng nặng, càng cần ngưỡng chặt và yếu tố thứ hai.
2. Chọn nơi so khớp. Với ứng dụng web và di động nội bộ, ưu tiên passkey trên thiết bị. Chỉ dùng kho template tập trung khi có lý do rõ như kiểm soát ra vào dùng chung thiết bị.
3. Yêu cầu bằng chứng kiểm thử từ nhà cung cấp. Hỏi báo cáo kiểm thử PAD của phòng thí nghiệm độc lập, kết quả FAR và FRR kèm ngưỡng, và dữ liệu thử có người Việt, nhiều độ tuổi, nhiều điều kiện ánh sáng hay không.
4. Thiết kế luồng đăng ký an toàn. Đăng ký mẫu là điểm yếu nhất: nếu kẻ xấu đăng ký mặt của mình vào tài khoản người khác thì mọi lần xác thực sau đều “hợp lệ”. Hãy xác minh danh tính bằng kênh khác trước khi cho đăng ký hoặc đổi mẫu, rồi gắn quy trình này với định danh điện tử khi có thể.
5. Giữ đường dự phòng và đường khôi phục. Khi cảm biến hỏng, trời tối, tay bị thương, người dùng cần cách xác thực khác. Đường dự phòng phải được bảo vệ ngang với đường chính, nếu không kẻ tấn công sẽ bỏ qua sinh trắc học và đi đường dự phòng.
6. Ghi nhật ký và theo dõi. Ghi lại lần thất bại liên tiếp, thiết bị mới, địa điểm bất thường. Dữ liệu này đưa vào hệ thống giám sát để phát hiện tấn công thử ngưỡng.

Những lỗi thường gặp khi dùng sinh trắc học và cách xử lý

Triệu chứng	Nguyên nhân hay gặp	Cách xử lý
Chính chủ bị từ chối nhiều lần	Ánh sáng ngược, camera bẩn, khẩu trang, ngón tay ướt	Hướng dẫn thao tác ngay trên màn hình, cho phép đăng ký thêm vài mẫu ở điều kiện khác nhau
Quét xong vẫn không qua ở ứng dụng ngân hàng	Dữ liệu trên CCCD gắn chip chưa được đồng bộ hoặc chưa được thu thập tại ngân hàng	Cập nhật sinh trắc học qua ứng dụng bằng CCCD gắn chip hoặc đến quầy giao dịch
Đổi điện thoại thì phải xác thực lại	Template trên thiết bị cũ không chuyển sang máy mới	Đây là hành vi đúng. Thiết kế quy trình khôi phục thay vì cố sao chép mẫu
Nhiều lần thất bại liên tiếp từ cùng một nguồn	Có thể là dò ngưỡng hoặc thử ảnh giả	Khoá tạm, tăng yêu cầu xác minh và cảnh báo cho bộ phận bảo mật
Nhân viên nghỉ việc vẫn còn template	Không gắn vòng đời mẫu với quy trình nhân sự	Thêm bước xoá template vào quy trình thôi việc

Ưu điểm, hạn chế và khi nào không nên dùng sinh trắc học

Ưu điểm: người dùng không phải nhớ gì, khó chia sẻ hộ như mật khẩu, và gắn thao tác với người có mặt. Khi phối hợp với OTP hoặc khoá thiết bị, nó nâng đáng kể độ khó với kẻ chiếm tài khoản từ xa.

Hạn chế: mẫu không đổi được khi lộ, có sai số tự nhiên, có thể bị giả mạo bằng công nghệ tổng hợp, và tạo nghĩa vụ bảo vệ dữ liệu nhạy cảm. Một số người có đặc điểm cơ thể không phù hợp (vân tay mờ do lao động tay chân, người khuyết tật) có thể bị loại.

Nên cân nhắc không dùng khi:

• Chỉ có một đường xác thực duy nhất, không có phương án thay thế cho người không dùng được sinh trắc học.
• Bạn muốn giữ ảnh hoặc template trong kho tập trung nhưng chưa có khả năng mã hoá, phân quyền và xoá theo vòng đời.
• Nhà cung cấp không cung cấp được kết quả kiểm thử chống giả mạo, chỉ nêu một con số “độ chính xác”.
• Bài toán thực chất là kiểm soát ngoại lệ trong quy trình phê duyệt: khi đó cần phân quyền và nhật ký hơn là thêm một lớp quét mặt.

So sánh ngắn: sinh trắc học, OTP và khoá bảo mật

Tiêu chí	Sinh trắc học	OTP	Khoá bảo mật (FIDO2)
Yếu tố	Bạn là ai	Bạn có gì (điện thoại, SIM, ứng dụng)	Bạn có gì (thiết bị vật lý hoặc passkey)
Chống lừa lấy mã	Tốt nếu có PAD, nhưng dễ bị dụ quét hộ	Yếu nếu người dùng đọc mã cho kẻ gian	Tốt, gắn với tên miền thật
Đổi được khi lộ	Không	Có	Có
Dữ liệu cá nhân nhạy cảm	Có	Ít	Không
Phù hợp	Xác nhận người thật có mặt	Xác nhận giao dịch phổ thông	Đăng nhập tài khoản quản trị

Sinh trắc học không cạnh tranh với hai lựa chọn còn lại mà bổ sung cho chúng. Một cách ghép hợp lý cho hệ thống quản trị: khoá bảo mật hoặc passkey cho đăng nhập, sinh trắc học trên thiết bị để mở khoá khoá đó, OTP cho kênh khôi phục. Muốn tìm hiểu cách bố trí này trong mô hình rộng hơn, bạn có thể đọc nền tảng chung ở bài về an toàn thông tin.

Câu hỏi thường gặp

Sinh trắc học có an toàn hơn mật khẩu không?

Tuỳ cách triển khai. Sinh trắc học khó chia sẻ và không cần nhớ, nhưng không đổi được khi lộ và có thể bị giả mạo. Cách an toàn nhất là dùng nó để mở khoá khoá mật mã trên thiết bị hoặc kết hợp với một yếu tố khác, thay vì dùng riêng lẻ.

Dữ liệu vân tay hay khuôn mặt có bị lưu thành ảnh không?

Phần lớn hệ thống lưu template, tức một chuỗi số đặc trưng, không lưu ảnh gốc. Tuy vậy, một số quy trình (như eKYC) vẫn lưu ảnh để đối soát. Bạn nên hỏi nhà cung cấp rõ lưu gì, lưu ở đâu, lưu bao lâu và xoá thế nào.

Vì sao chuyển khoản trên 10 triệu đồng phải quét mặt?

Quy định xuất phát từ Quyết định 2345/QĐ-NHNN, nay được quy định chi tiết trong Thông tư 50/2024/TT-NHNN có hiệu lực từ 01/01/2025. Mục đích là bảo đảm giao dịch do chính chủ thực hiện, giảm chiếm đoạt tài khoản. Ngân hàng của bạn có thể có hướng dẫn riêng về cách thu thập và cập nhật dữ liệu.

Deepfake có qua mặt được xác thực khuôn mặt không?

Có thể, nếu hệ thống chỉ so khớp mà thiếu kiểm tra người thật và bảo vệ đường truyền. Hình ảnh tổng hợp có thể được chèn vào luồng camera. Khả năng chống chịu phụ thuộc vào PAD, phát hiện camera ảo, kiểm tra thiết bị, và việc kết hợp thêm yếu tố khác.

Doanh nghiệp nhỏ có nên dùng máy chấm công vân tay hoặc khuôn mặt?

Có thể, nếu bạn có thông báo mục đích rõ ràng, có đồng ý của nhân viên, bảo vệ thiết bị và dữ liệu, và có phương án thay thế cho người không dùng được. Hãy ưu tiên thiết bị cho phép xoá template, xuất log và không bắt buộc đẩy dữ liệu lên dịch vụ ngoài.

Nếu dữ liệu sinh trắc học bị lộ thì làm gì?

Không đổi được mẫu, nên cần vô hiệu hoá template đã lộ, buộc đăng ký lại, tăng yêu cầu yếu tố thứ hai cho các tài khoản liên quan và theo dõi dấu hiệu dùng mẫu giả. Đồng thời thực hiện nghĩa vụ thông báo theo quy định về bảo vệ dữ liệu cá nhân và đánh giá nguyên nhân rò rỉ.