Mục lục bài viết
Một số ứng dụng ngân hàng và ví điện tử yêu cầu xác nhận thêm mã PIN ngay cả khi vân tay đã quét đúng, khiến người dùng cảm thấy phiền phức và đặt câu hỏi tại sao không tin tưởng hoàn toàn vào sinh trắc học. Câu trả lời nằm ở cách các yếu tố xác thực bổ trợ cho nhau về mặt bảo mật, chứ không phải sinh trắc học kém tin cậy hơn.
Khái niệm yếu tố xác thực và vì sao kết hợp lại mạnh hơn
Bảo mật thường chia xác thực thành ba nhóm yếu tố: thứ người dùng biết như mật khẩu hoặc mã PIN, thứ người dùng có như thiết bị hoặc thẻ vật lý, và thứ người dùng là như vân tay hoặc khuôn mặt. Mỗi nhóm yếu tố có điểm yếu riêng biệt và không trùng nhau. Khi kết hợp hai yếu tố thuộc hai nhóm khác nhau, kẻ tấn công buộc phải vượt qua đồng thời cả hai loại điểm yếu hoàn toàn khác bản chất, thay vì chỉ cần khai thác một điểm yếu duy nhất như khi dùng một yếu tố đơn lẻ.
Điểm yếu riêng của sinh trắc học khi đứng một mình
Vân tay và khuôn mặt gắn liền với cơ thể nên không thể thay đổi nếu bị lộ, khác với mật khẩu có thể đổi ngay khi nghi ngờ bị lộ. Sinh trắc học cũng có thể bị ép sử dụng trong tình huống người dùng không tự nguyện, vì cơ thể luôn ở đó và có thể bị người khác thao túng lấy dấu vân tay hoặc đưa mặt vào máy. Ngoài ra, mọi hệ thống đối chiếu sinh trắc học đều chấp nhận một sai số nhất định để tránh từ chối người dùng hợp lệ quá thường xuyên, sai số này là điểm mà các kỹ thuật giả mạo tinh vi có thể khai thác.
Điểm yếu riêng của mã PIN khi đứng một mình
Mã PIN không gắn với cơ thể nên có thể bị người khác nhìn trộm qua vai, bị đoán ra từ ngày sinh hay số điện thoại quen thuộc, hoặc bị lộ nếu người dùng vô tình để lại dấu vết dầu tay trên màn hình cảm ứng. Một mã PIN ngắn cũng có không gian khả năng hữu hạn, về lý thuyết có thể bị dò thử tuần tự nếu không có cơ chế giới hạn số lần thử sai đi kèm.
Hiểu nhầm thường gặp
“Đã có vân tay rồi thì PIN chỉ là thủ tục thừa, không thêm bảo mật gì” là suy nghĩ đánh giá thấp nguyên tắc phòng thủ theo lớp. Khi hệ thống yêu cầu cả vân tay lẫn PIN, kẻ tấn công phải vừa giả mạo hoặc chiếm quyền truy cập sinh trắc học, vừa biết mã PIN đúng, hai điều kiện gần như không thể xảy ra đồng thời. Hai yếu tố thuộc hai nhóm bản chất khác nhau bù đắp đúng vào điểm yếu của nhau: PIN không thể bị ép dùng qua vũ lực với cơ thể như sinh trắc học, còn sinh trắc học không thể bị nhìn trộm qua vai như PIN, nên kết hợp cả hai luôn an toàn hơn dùng riêng lẻ.
Xem thêm
Nội dung này thuộc cụm bài Khoá sinh trắc học: tổng hợp bài viết. Xem thêm Vì sao vẫn cần mã PIN, mật khẩu dù đã cài vân tay hoặc Face ID.
Zalo
