Ngày 20/4, MasterCard công bố thẻ ghi nợ sinh trắc học mới tại Nam Phi. Ngân hàng phát hành muốn dùng quốc gia này làm thử nghiệm để điều chỉnh, hoàn thiện công nghệ trước khi mở rộng quốc gia khác.
Dù phản hồi tích cực từ người dùng thích ý tưởng thanh toán nhanh hơn, phải hỏi: vân tay có an toàn hơn PIN truyền thống không?畢竟, phương pháp xác thực tiện lợi, "tương lai" không nhất thiết an toàn hơn.
Xác Thực Sinh Trắc Học - Xu Hướng Mạnh
Phương pháp mật khẩu truy cập thông tin đặc quyền tồn tại từ thời cổ đại: lính canh thách thức kẻ xâm nhập nói câu mật để quyết định cho qua. Kỷ nguyên số: cách rẻ, dễ bảo vệ tài khoản. Xác thực vân tay trước đây chỉ quan tâm tập đoàn lớn, nhà nước.
Mọi thứ thay đổi sau khi Apple và Samsung đua nhau gắn vân tay trên điện thoại. Từ đó, xu hướng gắn sinh trắc học trên sản phẩm cao cấp bùng nổ. Galaxy S8 thậm chí có quét mống mắt.
Người ta tin vào hình thức này vì nó duy nhất. An toàn giả định hacker không có vân tay/mống mắt như bạn. Cảm giác an tâm "liên kết sinh học" với thiết bị/tài khoản - có lẽ một lý do MasterCard gắn mạch quét vân tay ngay trên thẻ để thanh toán không PIN, an toàn.
Tại Sao Cần Lo Ngại
Nâng cấp mới của MasterCard nêu vấn đề: tài khoản ngân hàng gắn với vân tay thay vì PIN có an toàn không? Ban đầu nghe hợp lý. PIN 4 số có 10.000 tổ hợp (0000-9999), vân tay có hàng tỷ hoán vị. Khó đoán vân tay hơn.
Vấn đề nhỏ: Trộm/hacker hiếm khi đoán thông tin xác thực thẻ vừa lấy. Tốn năng lượng, thẻ bị khóa sau vài lần sai. Lấy cắp thông tin xác thực loại bỏ việc đoán. Lấy PIN qua nhiều cách tinh vi: gắn keypad giả trên ATM, hoặc nhìn lén victim gõ từ phía sau.
Ban đầu, PIN kém an toàn hơn sinh trắc học hẳn. Vân tay không thể bị cắp, đúng không?
Sai.
Thực tế, cắp vân tay khá dễ. Hacker nổi tiếng Jan Kissler trích xuất dữ liệu vân tay từ ảnh high-res bộ trưởng Quốc phòng Đức Ursula von der Leyen và tái tạo đủ tốt để truy cập dữ liệu khóa sinh trắc học của bà.
Cố gắng làm chắc chắn quét vân tay bằng mapping mẫu mạch máu trong ngón tay cũng vô hiệu sau khi nhà nghiên cứu Suisse dùng kỹ thuật hình ảnh đặc biệt vượt qua. Cũng đừng quên vụ xâm phạm Văn phòng Quản lý Nhân sự Mỹ tháng 7/2015: hacker lấy 21,5 triệu số an sinh xã hội. Cùng lúc đó, họ cắp vân tay của 5,6 triệu người.
Và Đây Là Lý Do Quan Trọng
Khi database khổng lồ bị xâm phạm, hacker cắp mật khẩu, hậu quả nghiêm trọng, nhưng bạn hạn chế thiệt hại bằng cách đổi mật khẩu ngay. Nhưng nếu vân tay bị cắp? Làm sao đổi?
Đây là cốt lõi: Vân tay là dữ liệu bất khả kháng. Sinh ra với nó, giữ trọn đời. Tương tự mống mắt hoặc định danh sinh trắc học khác. Tốt nhất chỉ đổi ngón khác, nhưng chỉ có 10 ngón. Nếu bạn là mục tiêu cao hoặc có nhiều ảnh high-res trên mạng, bạn không thể trốn tránh thực tế này.
Thực tế, xác thực sinh trắc học hiệu quả nhất khi dùng trong môi trường nhạy cảm, an ninh cao bởi người không có đời sống công khai (vd: đặc vụ). Là một phần công nghệ tiêu dùng, nó là sự tiện lợi hy sinh an ninh. Ngay cả việc trở nên nổi tiếng hơn làm vân tay của bạn kém an toàn hơn.
Hiện tại, đặt toàn niềm tin vào sinh trắc học có thể là "bom hẹn giờ" sẽ đạt entropy trong vài năm khi hacker nhắm vào database vân tay/mống mắt lớn.
Bạn nghĩ có cách làm an toàn hơn sinh trắc học cho công nghệ tiêu dùng? Chia sẻ ở comment!