Xác thực sinh trắc học trong ứng dụng di động: nó là gì, các loại cảm biến và nguyên lý hoạt động

Xác thực sinh trắc học là gì?

Xác thực sinh trắc học là quá trình xác minh danh tính của người dùng dựa trên các đặc điểm sinh lý hoặc hành vi độc đáo của họ. Trên thiết bị di động, công nghệ này được sử dụng để mở khóa màn hình, xác nhận thanh toán và truy cập các ứng dụng được bảo vệ.

Một hệ thống sinh trắc học bao gồm ba thành phần: cảm biến thu thập mẫu sinh trắc học (vân tay, khuôn mặt, giọng nói), thuật toán trích xuất các đặc điểm độc đáo và mô-đun so khớp để đối chiếu chúng với mẫu đã lưu. Theo NIST, các thuật toán nhận dạng khuôn mặt hiện đại chỉ mắc lỗi trong 0,08% trường hợp trong điều kiện ánh sáng tiêu chuẩn.

Các phương pháp sinh trắc học đang thay thế mật khẩu truyền thống vì chúng gắn liền với con người và không thể bị chặn trong quá trình truyền. Theo báo cáo của Goode Intelligence, đến năm 2027, hơn 80% điện thoại thông minh sẽ được trang bị cảm biến sinh trắc học.

Một ưu điểm quan trọng của sinh trắc học là tốc độ. Thời gian xác thực trung bình bằng vân tay là 0,2 giây, bằng khuôn mặt — 0,4 giây. Để so sánh, nhập mã PIN sáu chữ số mất trung bình 2,5 giây. Với hàng chục lần mở khóa mỗi ngày, điều này tiết kiệm thời gian đáng kể và giảm tải nhận thức cho người dùng.

Cảm biến sinh trắc học được phân loại theo mức độ bảo mật theo Android CDD và Apple App Review. Lớp 3 (Strong) — cảm biến đáng tin cậy nhất được chứng nhận cho thanh toán. Lớp 2 (Weak) — camera thông thường để nhận dạng khuôn mặt, chỉ phù hợp để mở khóa màn hình. Lớp 1 — chỉ để thuận tiện, không đảm bảo bảo mật.

Các loại cảm biến sinh trắc học chính

Các thiết bị di động hiện đại sử dụng bốn loại cảm biến sinh trắc học chính. Mỗi loại có đặc điểm riêng về độ chính xác, tốc độ và khả năng chống tấn công. Việc chọn cảm biến được xác định bởi chi phí, yếu tố hình thức và yêu cầu bảo mật của mẫu điện thoại cụ thể.

Máy quét vân tay

Đây là loại cảm biến sinh trắc học phổ biến nhất trong điện thoại thông minh. Máy quét điện dung, được Apple sử dụng trong Touch ID, phân tích sự khác biệt về điện thế giữa các đường gờ và rãnh của mô hình nhú. Máy quét siêu âm (Qualcomm 3D Sonic) xuyên qua bụi bẩn và kính bảo vệ, cung cấp độ chính xác 98,6%.

Nhận dạng khuôn mặt

Camera 2D sử dụng chụp ảnh thông thường và hoạt động nhanh hơn nhưng kém an toàn hơn. Hệ thống 3D (Face ID, Huawei 3D Face Unlock) chiếu 30.000 điểm hồng ngoại lên khuôn mặt và xây dựng bản đồ độ sâu chính xác. Xác suất mở khóa ngẫu nhiên bằng khuôn mặt của người khác là 1 trên 1.000.000 — thấp hơn 20 lần so với Touch ID.

Máy quét mống mắt và nhận dạng giọng nói

Máy quét mống mắt sử dụng camera có đèn hồng ngoại để phân tích tới 200 điểm độc đáo trên mống mắt. Công nghệ này được sử dụng trong Samsung Galaxy Note 7–9 nhưng đã nhường chỗ cho nhận dạng khuôn mặt 3D do vấn đề về khả năng sử dụng. Sinh trắc học giọng nói xây dựng dấu vân tay giọng nói dựa trên hơn 100 thông số âm thanh: âm sắc, tần số cơ bản và khớp nối. Nó được sử dụng trong hệ thống ngân hàng để xác minh qua điện thoại.

Sinh trắc học hoạt động như thế nào trên thiết bị di động

Quá trình xác thực sinh trắc học được chia thành hai giai đoạn: đăng ký và xác minh. Trong giai đoạn đăng ký, cảm biến chụp nhiều ảnh mẫu sinh trắc học, thuật toán trích xuất các đặc điểm đặc trưng và lưu chúng dưới dạng mẫu toán học. Mẫu không phải là hình ảnh mà là một tập hợp các vectơ số không thể đảo ngược thành hình ảnh gốc.

Trong quá trình xác minh, một mẫu mới được so sánh với mẫu đã lưu và hệ thống đưa ra kết quả: khớp hoặc từ chối. Các thuật toán hiện đại dựa trên mạng thần kinh (Neural Engine trong chip Apple A, NPU trong Snapdragon) xử lý việc so sánh này trong 100–400 mili giây. Theo Apple Security Guide, Neural Engine thực hiện tới 1 nghìn tỷ phép tính mỗi giây chỉ riêng cho các tính toán sinh trắc học.

Một đặc điểm chính của sinh trắc học di động là tất cả các tính toán được thực hiện trên thiết bị, trong một khu vực cách ly của bộ xử lý. Đối với Android, đó là Trusted Execution Environment (TEE), đối với iOS — Secure Enclave. Dữ liệu sinh trắc học không bao giờ rời khỏi chip và không được truyền qua internet.

Bảo mật dữ liệu sinh trắc học

Bảo mật sinh trắc học được đảm bảo bằng cách cách ly phần cứng và bảo vệ mật mã của các mẫu. Secure Enclave trong bộ xử lý Apple A7–A18 là một bộ đồng xử lý riêng biệt với phần sụn riêng, mã hóa dữ liệu sinh trắc học bằng khóa duy nhất cho mỗi thiết bị. Chỉ có hệ điều hành mới có quyền truy cập vào Secure Enclave thông qua một kênh bảo mật.

Trên thiết bị Android, vai trò của Secure Enclave được thực hiện bởi Trusted Execution Environment (TEE) dựa trên ARM TrustZone. TEE cách ly các tính toán sinh trắc học khỏi hệ điều hành chính và các ứng dụng. Theo Google Security Blog, Android 12+ yêu cầu bắt buộc sử dụng TEE cho tất cả các hoạt động sinh trắc học cấp Strong.

Cảm biến sinh trắc học cũng được bảo vệ chống lại các cuộc tấn công bằng mẫu giả. Cảm biến vân tay kiểm tra lưu lượng máu hoặc nhịp tim, và camera hồng ngoại của Face ID nhận biết kết cấu da sống và không phản ứng với ảnh chụp, mặt nạ hoặc khuôn silicon. Phát hiện sống là thành phần bắt buộc của chứng nhận Android Biometric Class 3.

Ưu điểm và nhược điểm của sinh trắc học

Xác thực sinh trắc học thuận tiện hơn đáng kể so với mật khẩu: người dùng không cần nhớ các tổ hợp ký tự và quá trình này chỉ mất một phần nhỏ của giây. Tốc độ là động lực chính cho việc áp dụng sinh trắc học trong các hệ thống thanh toán di động như Apple Pay và Google Pay.

Nhược điểm chính của sinh trắc học là không thể thay đổi định danh khi bị xâm phạm. Trong khi mật khẩu có thể thay đổi, vân tay hoặc khuôn mặt vẫn gắn liền với con người mãi mãi. Vì lý do này, các hệ thống sinh trắc học luôn được bổ sung bằng mã PIN hoặc mật khẩu như một phương pháp dự phòng.

Các rủi ro bổ sung bao gồm giảm độ chính xác khi ngoại hình thay đổi (sẹo, sưng, thay đổi do lão hóa) và các tiền lệ pháp lý về việc mở khóa cưỡng bức. Tòa án Tối cao Hoa Kỳ đã phán quyết vào năm 2019 rằng cảnh sát có thể yêu cầu mở khóa điện thoại qua Face ID hoặc Touch ID nhưng không thể buộc nhập mật khẩu (Tu chính án thứ năm).

Ví dụ mã: sử dụng Biometric API trên Android

Android cung cấp API BiometricPrompt hợp nhất cho tất cả các cảm biến sinh trắc học. Dưới đây là ví dụ về xác thực sử dụng Jetpack Biometric Library. Thư viện tự động phát hiện các cảm biến có sẵn trên thiết bị và hiển thị hộp thoại tương ứng.

class BiometricAuthActivity : AppCompatActivity() {

    private lateinit var biometricPrompt: BiometricPrompt

    override fun onCreate(savedInstanceState: Bundle?) {
        super.onCreate(savedInstanceState)
        setContentView(R.layout.activity_auth)

        val executor = ContextCompat.getMainExecutor(this)
        val callback = object : BiometricPrompt.AuthenticationCallback() {
            override fun onAuthenticationSucceeded(
                result: BiometricPrompt.AuthenticationResult
            ) {
                unlockApp()
            }

            override fun onAuthenticationFailed() {
                showError("Sinh trắc học không được nhận dạng")
            }
        }

        biometricPrompt = BiometricPrompt(this, executor, callback)

        val promptInfo = BiometricPrompt.PromptInfo.Builder()
            .setTitle("Xác nhận danh tính của bạn")
            .setSubtitle("Sử dụng vân tay hoặc Face ID")
            .setAllowedAuthenticators(
                BiometricManager.Authenticators.BIOMETRIC_STRONG
            )
            .build()

        biometricPrompt.authenticate(promptInfo)
    }
}

Ví dụ sử dụng BIOMETRIC_STRONG — mức bảo mật cao nhất theo phân loại Android. Nó chỉ hỗ trợ cảm biến Lớp 3: máy quét vân tay tích hợp và nhận dạng khuôn mặt 3D. Lớp 2 (BIOMETRIC_WEAK) bao gồm camera thông thường và không được chứng nhận cho thanh toán.

Tương lai của xác thực sinh trắc học

Sinh trắc học đang phát triển tích cực: các phương pháp nhận dạng mới đang thay thế vân tay và nhận dạng khuôn mặt. Sinh trắc học hành vi (động lực gõ phím, phân tích dáng đi) phân tích mẫu gõ và cách đi bộ mà không cần cảm biến chuyên dụng. Công nghệ này đã được sử dụng trong hệ thống ngân hàng để phát hiện gian lận.

Sinh trắc học đa phương thức — sự kết hợp của nhiều phương pháp trong một hệ thống — đang trở thành tiêu chuẩn cho điện thoại thông minh cao cấp. Ví dụ, Samsung Galaxy S25 kết hợp máy quét vân tay siêu âm và nhận dạng khuôn mặt 3D, chọn phương pháp tốt nhất tùy theo điều kiện ánh sáng và trạng thái tay. Theo Goode Intelligence, thị trường sinh trắc học đa phương thức sẽ đạt 12 tỷ đô la vào năm 2029.