Face ID của Apple không đủ an toàn để thay thế được bảo mật 2 lớp

Tôi nhớ khi còn bé, khi xem những bộ phim khoa học viễn tưởng cùng với sự mong đợi mãnh liệt, hy vọng vào những công nghệ tuyệt vời như nhận diện khuôn mặt, trí tuệ nhân tạo, điều khiển bằng cử chỉ và xe hơi bay có thể trở thành hiện thực. Ngày nay, hầu hết các công nghệ kể trên đều tồn tại (trừ xe hơi bay) và nhờ các công ty như Apple, mà chúng tôi có thể trải nghiệm những công nghệ như vậy.

Nhận diện khuôn mặt là một trong những công nghệ mới. Apple gần đây đã thông báo rằng iPhone X sẽ thay thế bộ cảm biến dấu vân tay Touch ID bằng tính năng nhận dạng khuôn mặt được gọi là Face ID. Mặc dù Face ID khá cool, tiện lợi và hiện đại, nhưng tôi tự hỏi liệu nó có an toàn như Touch ID. Nó có gây ra bất kỳ rủi ro bảo mật mới hoặc vấn đề về tính riêng tư nào không?

Trước khi đánh giá tính an toàn của phương pháp sinh trắc học cần cân nhắc 2 yếu tố:

• Các phương pháp xác thực này có thể dễ dàng bị kẻ tấn công: đoán, sao chép, ăn cắp hoặc giả mạo hay không?
• Bản lưu trữ các dữ liệu xác thực này được bảo vệ như thế nào?

Đây là lý do tại sao Face ID sẽ không thay thế được multifactor authentication (xác thực dựa trên nhiều nhân tố kết hợp).

Face ID hoạt động như thế nào ?

Cho đến gần đây, thì các công nghệ nhận dạng khuôn mặt rất bị dễ đánh lừa hoặc quá nhạy cảm với các yếu tố môi trường, khiến các yếu tố xác thực không hiệu quả.

Nhưng Face ID đã vượt xa việc theo dõi chuyển động 2D, nó đã thực sự nắm bắt kịp môi trường 3D, với một kỹ thuật được gọi là structured light (cấu trúc ánh sáng). Hệ thống “TrueDepth” của Apple mô phỏng các IR light có cấu trúc (30,000 dot) trên khuôn mặt của bạn để đo độ sâu của các điểm khác nhau, về cơ bản chúng tạo ra mô hình 3D khuôn mặt bạn.

Riêng điều này đã cải thiện đáng kể tính chính xác và do đó tính bảo mật của Face ID đã được công nhận. Không giống những công nghệ trong quá khứ, một hình ảnh hoặc video sẽ không thể đánh lừa Face ID.

Apple cũng khuyên bạn phải nhìn trực tiếp vào điện thoại của mình để nhận diện khuôn mặt. Điều này cho thấy hệ thống cũng sử dụng một số dữ liệu dựa trên mắt hay đồng tử. Cuối cùng, một số hệ thống nhận diện khuôn mặt cũng tích hợp các chỉ số màu và kết cấu da, để có thể nâng cao độ chính xác. Tuy nhiên Face ID thì không.

Điểm mấu chốt ở đây là, không có công nghệ nào mà không thể xâm nhập. Trong quá khứ, các nhà nghiên cứu đã chứng minh rằng họ có thể tái tạo các mô hình 3D tương đối chính xác về mặt người sử dụng các hình ảnh có sẵn và khoa học về phép đo các điểm ảnh bằng quang phổ. Không có lý do mà các nhà nghiên cứu và những kẻ tấn công không tìm ra những cách mới để qua mặt hệ thống Face ID của Apple trong tương lai.

Mặc dù có những trò đùa về Face ID đăng nhập không thành công trong sự kiện ra mắt của Apple, nhưng tôi tin rằng Face ID đã được thiết kế rất tốt. Tôi nghĩ rằng Face ID sẽ an toàn hơn nhiều các hệ thống nhận dạng khuôn mặt khác. Không phải nói vậy là không thể đánh bại Face ID, nhưng sẽ mất nhiều công sức hơn để đánh bại nó, không chỉ với một mô phỏng khuôn mặt 3D.

Về vấn để lưu trữ các bản sao của mô hình khuôn mặt 3D

Mối quan tâm bảo mật thứ hai đối với các hệ thống xác thực là cách chúng lưu trữ và truyền tải phiên bản lưu trữ của một yếu tố xác thực. Nói cách khác, kẻ tấn công có thể phục hồi bản sao của yếu tố và sử dụng nó để đăng nhập như bạn không?

Trên lý thuyết, Apple đã thực hiện một cách tuyệt vời để đảm bảo dữ liệu này. Apple cho biết mô hình khuôn mặt của bạn không bao giờ ra khỏi phạm vi chiếc iPhone X của bạn. Nó sẽ không được truyền tải nó qua bất kỳ kết nối nào hoặc lưu trữ trên cloud. Giống như dữ liệu dấu vân tay Touch ID của bạn, dữ liệu Face ID của bạn được lưu trữ cụ thể trong một nơi nào đó được gọi là vùng an toàn của iPhone.

Bộ vi xử lý hệ thống trên chip mới nhất (SOC) của Apple có một bộ xử lý đồng bộ riêng được gọi là bộ mã vạch an toàn (secure enclave processor) được sử dụng cho các chức năng an toàn và mật mã. Bộ xử lý này có hệ điều hành riêng và được cách ly khỏi bộ xử lý chính.

Nếu điện thoại của bạn lưu trữ một “chìa khoá” (như mô hình Face ID) trong SEP, bộ xử lý chính không bao giờ xử lý dữ liệu này. Cái nó nhận được chỉ là “kết quả” của từ “chìa khóa” đó. Nói cách khác, hệ điều hành không bao giờ nhìn thấy khuôn mặt của bạn, nó chỉ nhận được kết quả “phù hợp” hoặc “không kết hợp” từ vùng an toàn. Nói tóm lại, Apple đã thiết kế một hệ thống không thể khiến dữ liệu Face ID của bạn bị rò rỉ, do đó sẽ rất khó cho kẻ tấn công có thể truy cập.

Nhưng vậy liệu đã đủ mạnh ?

Mặc dù Face ID có tính bảo mật cao, nhưng tôi vẫn tin mà các nhà nghiên cứu và hacker cuối cùng sẽ crack được nó. Vì như đã nói ở trên, không một yếu tố xác thực nào, dù được thiết kế tốt đến đâu, sẽ luôn có lỗ hỏng. Những phương pháp xác thực chúng ta biết là mật khẩu, token hoặc là biometrics (sinh trắc học). Vấn đề là luôn có những cách để đánh cắp, đoán hoặc làm giả các yếu tố này.

Sinh trắc học, như Touch ID và Face ID, đã trở thành trào lưu bởi vì chúng dễ sử dụng hơn nhiều so với mật khẩu và cung cấp sự bảo mật chắc chắn. Mặc dù bạn vẫn có thể sử dụng mật khẩu để bảo mật tốt, nhưng nó quá khó để một người bình thường nhớ một chuỗi dài các chữ cái và số ngẫu nhiên.

Nhưng chúng ta đang rơi vào chính cái bẫy mà chúng ta tin tưởng. Sinh trắc học cũng có những điểm yếu, điều mà tất cả các yếu tố xác thực đều có. Sẽ có một ngày, chúng ta nhận ra rằng những sinh trắc học như Face ID cũng không thật sự hoàn hảo hơn các mật khẩu mà chúng ta đã sử dụng trước đây.

Đó là lý do tại sao chúng ta nên chọn multifactor authentication. Thay vì sử dụng các yếu tố khác nhau một cách riêng lẻ, chúng ta cần ghép hai hoặc nhiều hơn, chúng lại với nhau. Ví dụ với đủ thời gian và công sức, có một ai đó có thể tạo một bản sao khuôn mặt của bạn chuẩn xác, nhưng nếu điện thoại hoặc tài khoản ngân hàng yêu cầu cả khuôn mặt lẫn mật khẩu để đăng nhập? Điều đó sẽ gián đoạn việc crack.

Cuối cùng, tôi tin rằng multifactor authentication là lựa chọn duy nhất của bạn mà thực sự an toàn để bảo vệ những thông tin quan trọng. Thay vì việc tranh cãi xem liệu Face ID có an toàn hơn Touch ID hay không, thì chúng ta nên nhận ra rằng tất cả các yếu tố xác thực đều có điểm yếu. Apple đã làm rất tốt trong việc thiết kế Face ID, nhưng trừ khi bạn kết hợp nó với một cái gì đó khác, nếu không hacker vẫn sẽ đánh bại được nó dù sớm hay muộn.

Techtalk via Techbeacon