Xác thực giao dịch (Kỳ 4): Face OTP và bài toán tránh rò rỉ dữ liệu cá nhân

Công nghệ nhận diện khuôn mặt, mống mắt, vân tay...(công nghệ sinh trắc học) được áp dụng mạnh mẽ trong mọi lĩnh vực của Trung Quốc (ảnh: Công nghệ nhận diện được ứng dụng vào quản lý khách tham dự triển lãm quốc tế quy mô hàng nghìn người tại Trung Quốc - Lê Mỹ).

Facebook, Google cho bạn nhiều thứ: Mở rộng hiểu biết, kết nối xã hội, tìm kiếm thông tin… nhưng bạn muốn tham gia thì bạn phải đưa thông tin cho người ta để họ định danh bạn là ai. Sẽ là hỗn loạn nếu thế giới là tập hợp của những cá thể nặc danh? Rồi cũng trên những nền tảng mạng xã hội đó, chính bạn là người hăng hái nhất trong việc đưa sự riêng tư của mình ra, bằng selfie, check-in, đăng hình bản thân và người thân. 

Hay với điện thoại smartphone, bạn bật định vị, bạn dùng Google Map, các nền tảng đó sẽ biết chính xác bạn ở đâu. 10 phút trước, ở văn phòng, bạn bật Google tìm kiếm thông tin về hoa tươi. 10 phút sau, ở quán cà phê nào đó cách xa văn phòng, khi bạn mở Facebook, lập tức có quảng cáo cửa hàng hoa tươi ngay gần quán cà phê bạn ngồi. Bạn cung cấp thông tin của bạn cho các nền tảng, và họ dùng trí tuệ nhân tạo để đọc hành vi của bạn. Cũng may, đây là những thứ họ dùng có vẻ giúp bạn nhiều hơn là hại bạn.

Người dùng tự cung cấp tự thông tin của mình là loại rò rỉ thứ nhất. Loại thứ hai là người khác làm rò rỉ thông tin của bạn. Bạn không dùng smartphone mà dùng điện thoại thường, bạn mua vé máy bay chuyến TP.HCM đi Nha Trang, 24 giờ trước giờ bay, đã có tin nhắn quảng cáo xe taxi đi từ sân bay về thành phố Nha Trang gửi tới bạn. Đó là do người bán vé hay hãng máy bay đã rò rỉ thông tin chuyến bay, số điện thoại của bạn cho hãng xe taxi. Loại rò rỉ thông tin này khiến bạn rất bực mình, hàng ngày bạn phải nhận rất nhiều cuộc gọi, tin nhắn từ những dịch vụ không mong muốn: bất động sản, cho vay tiêu dùng cá nhân, bảo hiểm…

Loại rò rỉ này có hai nguyên nhân, thứ nhất, các định chế, tổ chức, dịch vụ thu thập thông tin của người dùng có hệ thống bảo mật quá kém cỏi, bị xâm nhập đánh cắp thông tin. Thứ hai, chính người trong tổ chức đó bán thông tin người dùng ra bên ngoài. Trên mạng nhan nhản các quảng cáo rao bán thông tin cá nhân người dân.

Rò rỉ thông tin như tên, tuổi, số điện thoại, người thân có vẻ là chuyện trở nên “bình thường” với mọi người, vì sự rò rỉ này đã xảy ra quá lâu và quá nhiều. Nhưng khi nói đến rò rỉ “thông tin nhận dạng khuôn mặt” thì “nghe có vẻ” trở thành nghiêm trọng, đó là do mọi người bị ám thị. Bạn vẫn “cung cấp” khuôn mặt của bạn đều đều trên Facebook, Instagram đó thôi, bạn vẫn “khai báo” bạn đi đâu bằng smartphone của bạn đó thôi.

Rất nhiều giả thiết được đặt ra về các rủi ro xoay quanh sử dụng công nghệ nhận diện khuôn mặt, song đến hiện tại đây là phương thức xác thực được đánh giá an toàn, khó có thể làm giả vì đòi hỏi quá công phu.

Năm ngoái, dân mạng xôn xao với thông tin rằng ứng dụng vui vẻ FaceApp đánh cắp thông tin khuôn mặt người dùng, nhưng cuối cùng không ai giải thích được họ lấy thông tin đó để làm gì, ngoài việc dùng ảnh để “dạy” cho một thuật toán nhận dạng khuôn mặt. FaceApp có thể lấy thông tin đó bằng cách vào từng tài khoản Facebook cá nhân để lấy hình.

Những thông tin khuôn mặt lấy từ hình ảnh chụp trên mạng hay lấy từ camera an ninh không có tác dụng gì trong việc dùng để đánh lừa các thuật toán nhận dạng khuôn mặt tối tân dùng trong những ngành có sự bảo mật cao như tài chính, ngân hàng, đặc biệt là các thuật toán nhận dạng sống động Liveness Check Face Recognition (xem kỳ 3) đang phát triển mạnh hiện nay. Bên cạnh đó, thuật toán và độ chính xác trong việc bắt khuôn mặt của các camera an ninh yếu hơn rất nhiều so với các thuật toán dùng cho ngành tài chính, ngân hàng.

Bây giờ, đặt trường hợp hacker đánh cắp dữ liệu khuôn mặt người dùng của một tổ chức nào đó, hacker sẽ làm gì với mớ dữ liệu đó? Cũng chỉ dùng để “dạy” cho một thuật toán nhận dạng khuôn mặt khác thôi (vì nhận dạng khuôn mặt là một dạng trí tuệ nhân tạo, càng được học nhiều, thuật toán càng chính xác), không khác gì lấy hình trên Google, Facebook.

Đặt thêm một giả thiết nữa: Khuôn mặt của bạn có thể bị kẻ xấu làm giả bằng mặt nạ silicon 3D như trong phim Mission Impossible và dùng mặt nạ này để đăng nhập tài khoản hoặc xác thực giao dịch? Để đánh lừa được thuật toán nhận dạng khuôn mặt Liveness Check, mặt nạ đó phải được làm rất kỹ, với công nghệ làm mặt nạ cao, và tốn chi phí cao. Và kẻ xấu muốn làm giả khuôn mặt của bạn, bạn phải “hợp tác” bằng cách ngồi im để cho họ quét máy tạo khuôn.

Nhưng nếu mặt nạ silicon 3D vượt được qua được vòng bảo vệ này, vẫn còn những vòng bảo vệ khác như mã PIN, vân tay…