Xác thực vân tay — khái niệm, nguyên lý hoạt động và ứng dụng

Xác thực vân tay là gì?

Xác thực vân tay là phương pháp nhận dạng sinh trắc học phân tích hoa văn nhú độc đáo trên bề mặt ngón tay để xác minh danh tính người dùng. Mỗi người có một hoa văn đường gờ và rãnh riêng biệt hình thành vào tuần thứ 12 của thai kỳ và không thay đổi trong suốt cuộc đời, ngoại trừ chấn thương vật lý.

Vân tay là một trong ba loại đặc điểm sinh trắc học được công nhận là đáng tin cậy nhất để nhận dạng tự động, cùng với mống mắt và võng mạc. Các đường nhú tạo thành các đặc điểm đặc trưng — chi tiết nhỏ: điểm kết thúc, điểm phân nhánh, điểm và giao cắt. Tính độc đáo của vân tay được xác định bởi vị trí và loại của 40–100 chi tiết nhỏ trong khu vực quét, tạo ra xác suất toán học trùng khớp là 1 trên 64 tỷ cho hai người khác nhau.

Hệ thống nhận dạng vân tay tự động (AFIS) đầu tiên xuất hiện vào những năm 1970 dành cho cơ quan thực thi pháp luật. Việc áp dụng đại trà vào thiết bị tiêu dùng bắt đầu vào năm 2013 với iPhone 5S và Touch ID. Ngày nay, máy quét vân tay được lắp đặt trong điện thoại thông minh, máy tính xách tay, máy tính bảng, khóa cửa và thiết bị đầu cuối thanh toán.

Máy quét vân tay hoạt động như thế nào?

Bất kể loại cảm biến nào, quy trình xác thực vân tay bao gồm ba giai đoạn: chụp ảnh, xử lý và trích xuất đặc điểm, so sánh với mẫu tham chiếu. Mỗi giai đoạn có thể được thực hiện ở cấp độ hệ điều hành hoặc cấp độ Trusted Execution Environment, tùy theo cách triển khai.

Chụp ảnh vân tay

Cảm biến ghi lại hoa văn vật lý của ngón tay. Mảng điện dung đọc sự khác biệt về điện thế giữa các đường gờ (chạm vào mảng) và rãnh (không chạm). Máy quét quang học chiếu sáng ngón tay bằng đèn LED và thu ánh sáng phản xạ qua cảm biến CMOS. Cảm biến siêu âm phát ra sóng âm và phân tích tiếng vọng phản xạ từ các độ sâu khác nhau của da — điều này tạo ra hình ảnh ba chiều chống lại các chất bẩn trên bề mặt ngón tay.

Trích xuất chi tiết nhỏ và tạo mẫu

Ảnh chụp được trải qua quá trình lọc: loại bỏ nhiễu, chuẩn hóa độ tương phản và nhị phân hóa (chuyển đổi thành đen trắng). Thuật toán xác định các đường gờ nhú, làm khung xương (làm mỏng xuống độ rộng 1 pixel) và tìm chi tiết nhỏ — điểm kết thúc và điểm phân nhánh của đường. Mỗi chi tiết nhỏ được mô tả bằng tọa độ (x, y), góc hướng và loại. Mẫu toán học có kích thước 2–10 KB, không chứa ảnh gốc và không thể dùng để tái tạo vân tay.

So sánh và ra quyết định

Mẫu thu được trong quá trình quét được so sánh với mẫu tham chiếu đã lưu trong quá trình đăng ký. Thuật toán tính số lượng chi tiết nhỏ trùng khớp. Xác minh thành công yêu cầu trùng khớp ít nhất 12–15 chi tiết nhỏ (có thể điều chỉnh bởi nhà sản xuất). Nếu số điểm trùng khớp vượt quá ngưỡng, xác thực được coi là thành công. Trên thiết bị di động, ngưỡng được đặt sao cho FAR không vượt quá 0,001% với FRR khoảng 2%.

Các loại máy quét vân tay

Các thiết bị di động hiện đại sử dụng ba loại máy quét vân tay chính, khác nhau về công nghệ đọc, độ chính xác và chi phí sản xuất. Việc chọn loại phụ thuộc vào phân khúc giá của thiết bị và yêu cầu bảo mật.

Trong giai đoạn 2025–2026, máy quét dưới màn hình (in-display) tích hợp trực tiếp bên dưới màn hình OLED đang trở nên phổ biến. Chúng có thể là quang học (phân khúc giá rẻ) hoặc siêu âm (phân khúc cao cấp). Ưu điểm là không có nút hoặc vùng riêng biệt trên thân máy, cho phép màn hình không viền. Nhược điểm của máy quét quang học dưới màn hình là dễ bị ảnh hưởng bởi ánh sáng mặt trời mạnh làm bão hòa cảm biến CMOS qua các điểm ảnh màn hình.

So sánh vân tay và nhận dạng khuôn mặt

Xác thực vân tay và nhận dạng khuôn mặt là hai công nghệ sinh trắc học chủ đạo trong thiết bị di động. Mỗi công nghệ đều có điểm mạnh và điểm yếu ảnh hưởng đến việc lựa chọn cho các trường hợp sử dụng cụ thể.

• Độ chính xác (FAR) — Máy quét vân tay siêu âm: 0,0005%, Face ID 3D: 0,0001%. Nhận dạng khuôn mặt chính xác hơn khi sử dụng camera chiều sâu
• Tốc độ — Máy quét điện dung: 200–300 ms, quang học: 400–600 ms, khuôn mặt 3D: 600–1000 ms. Vân tay nhanh hơn trong các tình huống tĩnh
• Không tiếp xúc — Face ID và khuôn mặt 2D không cần chạm vào thiết bị; vân tay cần tiếp xúc vật lý với máy quét
• Điều kiện — Vân tay không hoạt động với ngón tay ướt nhưng hoạt động với khẩu trang và găng tay; Face ID không hoạt động với khẩu trang (không có Apple Watch) và khi camera IR bị che
• Chi phí cảm biến — Máy quét điện dung: ~0,5–1,5 dollar, siêu âm: ~3–5 dollar, camera 3D TrueDepth: ~12–15 dollar

Đối với nhà phát triển ứng dụng di động, điều quan trọng cần lưu ý là BiometricPrompt trên Android và LocalAuthentication trên iOS trừu tượng hóa loại cảm biến. Tuy nhiên, trên các thiết bị Android cũ (API < 28), chỉ có FingerprintManager khả dụng — trong trường hợp này, ứng dụng phải kiểm tra rõ ràng loại cảm biến và cung cấp phương pháp xác thực thay thế.

Triển khai xác thực vân tay trên Android

Trước Android 9 (API 28), cách duy nhất để tích hợp máy quét vân tay là lớp FingerprintManager, được thêm vào API 23. Bắt đầu từ Android 9, Google khuyến nghị sử dụng BiometricPrompt, thống nhất làm việc với tất cả các loại cảm biến sinh trắc học. Tuy nhiên, đối với thiết bị có API 23–27, nhà phát triển vẫn có thể cần FingerprintManager.

class FingerprintAuthHelper(
    private val context: Context
) {
    private val manager =
        context.getSystemService(Context.FINGERPRINT_SERVICE)
            as FingerprintManager?

    fun isFingerprintAvailable(): Boolean {
        return manager?.isHardwareDetected() == true
            && manager?.hasEnrolledFingerprints() == true
    }

    fun authenticate(callback: FingerprintManager.AuthenticationCallback) {
        if (isFingerprintAvailable()) {
            manager?.authenticate(
                null,
                CancellationSignal(),
                0,
                callback,
                null
            )
        }
    }
}

// Sử dụng:
val helper = FingerprintAuthHelper(context)
helper.authenticate(object : FingerprintManager.AuthenticationCallback() {
    override fun onAuthenticationSucceeded(
        result: FingerprintManager.AuthenticationResult
    ) {
        // Vân tay được nhận dạng — đã cấp quyền truy cập
        binding.showContent()
    }

    override fun onAuthenticationFailed() {
        binding.showError("Vân tay không được nhận dạng")
    }
})

Đoạn mã trên minh họa chu trình xác thực đầy đủ sử dụng FingerprintManager cho các thiết bị Android cũ. Điều quan trọng cần lưu ý là FingerprintManager không sử dụng TEE theo mặc định — kết quả xác thực được trả về không gian người dùng, khiến nó kém an toàn hơn BiometricPrompt với cờ BIOMETRIC_STRONG. Đối với các dự án mới, luôn sử dụng BiometricPrompt và chỉ sử dụng FingerprintManager để tương thích ngược với API 23–27.

Khi di chuyển từ FingerprintManager sang BiometricPrompt, hãy xem xét sự thay đổi trong mô hình bảo mật: BiometricPrompt đảm bảo tất cả các hoạt động sinh trắc học được thực hiện trong TEE (Trusted Execution Environment). Kết quả xác thực, được ký bằng khóa mật mã bên trong TEE, không thể bị giả mạo từ mã không gian người dùng. Thư viện AndroidX Biometric cung cấp thêm giao diện BiometricPrompt.AuthenticationResult.getCryptoObject() để liên kết xác thực sinh trắc học với các hoạt động mật mã — mã hóa khóa và ký dữ liệu.

Tiêu chuẩn bảo mật và chống giả mạo

Chống giả mạo vân tay là một trong những thách thức chính đối với các nhà sản xuất máy quét. Cảm biến hiện đại sử dụng kết hợp các phương pháp phần cứng và thuật toán để phát hiện sống (liveness detection) và chặn bản sao. Mỗi phương pháp đều có hạn chế, nhưng cùng nhau chúng khiến việc giả mạo trở nên không khả thi về mặt kinh tế đối với các cuộc tấn công hàng loạt.

Các phương pháp bảo vệ chính bao gồm: phân tích độ sâu da (máy quét siêu âm xác định độ dày của biểu bì bằng thời gian phản hồi tiếng vọng), phân tích quang phổ da (máy quét quang học đánh giá hệ số phản xạ của da ở các bước sóng khác nhau — silicone và gelatin có quang phổ khác nhau), phát hiện mạch đập (rung động vi mô của dòng máu trong mao mạch ngón tay), và xác minh điện thế (da sống có trở kháng điện cụ thể khác với vật liệu tổng hợp).

Tiêu chuẩn ISO/IEC 30107-3:2023 xác định mức độ kháng cự của hệ thống sinh trắc học đối với các cuộc tấn công trình diện (phát hiện tấn công trình diện, PAD). Đối với ứng dụng tài chính, Mức 2 (PAD Level 2) được khuyến nghị, yêu cầu phát hiện tự động ít nhất 95% các cuộc tấn công sử dụng bản sao với FAR không vượt quá 0,01%. Máy quét siêu âm Samsung và Qualcomm 3D Sonic Sensor đáp ứng yêu cầu PAD Level 2, trong khi máy quét quang học giá rẻ thường không vượt qua chứng nhận trên Level 1.