Mở tài khoản ngân hàng bằng điện thoại: chụp giấy tờ, quay khuôn mặt, quay đầu sang trái, nháy mắt. Vài phút là xong.
Quy trình này được thiết kế dựa trên một giả định: video khuôn mặt khó làm giả. Giả định đó đang mất hiệu lực rất nhanh.
Xác thực trực tuyến đang dựa vào gì
Giấy tờ tuỳ thân. Chụp ảnh, đọc thông tin, kiểm dấu hiệu bảo an.
So khớp khuôn mặt với ảnh trên giấy tờ.
Kiểm tra người thật. Yêu cầu quay đầu, nháy mắt, đọc một dãy số — để phân biệt người thật với ảnh in hoặc video ghi sẵn.
Đối chiếu cơ sở dữ liệu. Việt Nam có lợi thế rõ ở khâu này nhờ hệ thống căn cước công dân gắn chip và định danh điện tử.
Xác nhận qua số điện thoại.
Cái đang đổi
Làm giả khuôn mặt theo thời gian thực. Công nghệ thay khuôn mặt trong video trực tiếp đã ra khỏi phòng thí nghiệm.
Giả giọng nói từ mẫu rất ngắn. Nghĩa là xác thực bằng giọng nói qua điện thoại không còn đáng tin.
Làm giả ảnh giấy tờ. Chỉnh sửa ảnh chụp giấy tờ dễ hơn làm giả giấy tờ vật lý nhiều.
Chi phí tấn công giảm mạnh. Trước đây cần kỹ năng chuyên môn, giờ cần công cụ phổ thông.
Hệ quả: những dấu hiệu mà hệ thống được dạy để tin — mặt người, giọng người, ảnh giấy tờ — đều đã sao chép được.
Chỗ Việt Nam có lợi thế
Không phải tất cả đều xấu đi:
Cơ sở dữ liệu dân cư tập trung. Đối chiếu với nguồn dữ liệu gốc của nhà nước mạnh hơn nhiều so với chỉ so ảnh.
Căn cước gắn chip. Chip đọc được bằng điện thoại, chứa dữ liệu có chữ ký số — thứ này khó làm giả hơn ảnh chụp rất nhiều.
Định danh điện tử đã phổ cập. Người dân quen dùng.
Điểm cần rút ra: hướng đi đúng là chuyển từ "nhìn ảnh giấy tờ" sang "đọc chip và đối chiếu nguồn gốc" — tức là từ tin vào hình ảnh sang tin vào chữ ký số.
Hướng khác đang được dùng trên thế giới
Xác thực nhiều lớp không cùng loại. Kết hợp thứ biết, thứ có, thứ là — và không cho một lớp bù cho lớp khác.
Khoá bảo mật vật lý. Không giả được bằng công nghệ tạo sinh.
Phân tích hành vi. Cách gõ, cách cầm điện thoại, thói quen sử dụng.
Tín hiệu thiết bị. Thiết bị quen, vị trí quen.
Tăng mức xác thực theo rủi ro. Giao dịch nhỏ thì nhẹ, giao dịch lớn thì nặng — thay vì áp cùng một mức cho mọi việc.
Vấn đề ít được nói: dữ liệu sinh trắc không đổi được
Mật khẩu lộ thì đổi. Khuôn mặt lộ thì không.
Điều này khiến mọi kho dữ liệu sinh trắc trở thành mục tiêu có giá trị lâu dài, và khiến việc thu thập tràn lan trở nên nguy hiểm hơn nhiều so với thu thập dữ liệu thông thường.
Nguyên tắc tối thiểu:
Chỉ thu thập khi thật cần. Nhiều dịch vụ yêu cầu quay mặt cho những việc không cần tới mức đó.
Lưu đặc trưng, không lưu ảnh gốc khi có thể.
Xử lý trên thiết bị người dùng thay vì gửi lên máy chủ, nếu bài toán cho phép.
Nói rõ lưu bao lâu và xoá khi nào.
Cái người dùng thường làm được ngay
Doanh nghiệp lo phần hệ thống, nhưng phần lớn vụ mất tiền hiện nay không đến từ việc phá hệ thống — nó đến từ việc người dùng tự đưa quyền truy cập:
Không đọc mã xác thực cho ai qua điện thoại. Không ngân hàng nào hỏi mã đó. Đây vẫn là đường mất tiền phổ biến nhất, trước mọi công nghệ giả mạo tinh vi.
Nghi ngờ cuộc gọi có giọng người quen đòi chuyển tiền gấp. Giọng nói giả được từ mẫu rất ngắn. Cách kiểm đơn giản nhất: cúp máy, gọi lại vào số mình lưu sẵn.
Không quay mặt theo yêu cầu của người lạ. Video khuôn mặt gửi đi có thể dùng để vượt bước xác thực ở nơi khác.
Bật xác thực hai lớp bằng ứng dụng thay vì chỉ bằng tin nhắn. Tin nhắn có thể bị chặn hoặc bị chiếm số.
Cảnh giác với sự gấp gáp. Gần như mọi vụ lừa đều có yếu tố thúc ép thời gian, vì bình tĩnh là kẻ thù của kẻ lừa.
AI đổi được gì
Phần hữu ích — và đáng chú ý là nó nằm ở chính phía phòng thủ:
- Phát hiện dấu hiệu ảnh và video tổng hợp. Đây là cuộc đua giữa bên tạo và bên phát hiện, và bên phòng thủ cũng đang mạnh lên.
- Phát hiện bất thường trong hành vi — cách một tài khoản được dùng khác với thường lệ.
- Đọc và kiểm tra tính nhất quán của giấy tờ.
- Chấm điểm rủi ro theo giao dịch để quyết định mức xác thực cần thiết.
- Hỗ trợ người dùng gặp khó với quy trình xác thực.
Ranh giới, và ở đây thì hậu quả rất nặng:
- Không được là lớp phòng thủ duy nhất. Bộ phát hiện ảnh giả nào cũng có tỉ lệ bỏ sót, và kẻ tấn công thì thử tới khi lọt.
- Nhận nhầm người thật là giả gây thiệt hại thật — người dùng bị khoá tài khoản, không tiếp cận được dịch vụ. Tỉ lệ này thường cao hơn ở nhóm người già và người có điều kiện chụp ảnh kém.
- Không thay được kiểm tra trực tiếp với giao dịch giá trị rất lớn.
- Dữ liệu sinh trắc phải được coi là dữ liệu nhạy cảm nhất trong mọi thiết kế hệ thống.
Vì sao cái tên đáng chú ý
"Xác thực số" là cụm từ chuẩn của một lĩnh vực đang trở thành hạ tầng — mọi dịch vụ tài chính, mọi dịch vụ công trực tuyến đều cần tới.
Đây là mảng mà người tra cứu gồm cả doanh nghiệp đang tìm giải pháp lẫn người dùng đang tìm hiểu quyền của mình về dữ liệu — hai nhóm rất khác nhau nhưng cùng gõ một cụm từ.
Với dịch vụ liên quan tới danh tính và tiền, cái tên còn là tín hiệu về mức độ nghiêm túc: một cái tên rõ nghĩa bằng tiếng Việt tạo lòng tin khác hẳn một cái tên viết tắt không ai hiểu.
AI đã làm cho việc dựng một sản phẩm xác thực thành chuyện vài tháng, và cũng làm cho việc tấn công nó rẻ đi. Thứ còn khan hiếm là thiết kế hệ thống hiểu rõ cái gì còn đáng tin, và một cái tên đủ uy tín cho lĩnh vực này.
xacthucso.com là phần thứ hai.
Xem thông tin tên miền: xacthucso.com trên Tên Miền Đẳng Cấp
