Dữ liệu sinh trắc của bạn có thể nằm ở ba kiểu nơi rất khác nhau: trong vùng bảo mật phần cứng của điện thoại và không bao giờ rời máy, trên máy chủ của ngân hàng hay dịch vụ để so khớp từ xa, hoặc trong bộ nhớ của máy chấm công, khoá cửa ngay tại chỗ. Mỗi nơi có mức bảo vệ và rủi ro riêng, và biết nó nằm ở đâu giúp bạn quyết định nên đồng ý với cái gì.
Bài này giải thích từng kiểu lưu trữ ở mức nguyên lý, những gì thật sự được lưu, vì sao mẫu bị lộ nguy hiểm hơn mật khẩu bị lộ, và những câu hỏi bạn nên đặt ra trước khi giao khuôn mặt, vân tay cho một bên nào đó. Phần quyền yêu cầu xoá, rút đồng ý theo pháp luật có bài riêng ở danh mục quyền với dữ liệu định danh của trang.
Trên điện thoại: mẫu nằm trong một căn phòng khoá kín
Điện thoại thông minh hiện đại có một vùng xử lý riêng trong chip, tách biệt với phần chạy ứng dụng, thường được gọi là vùng bảo mật hoặc môi trường thực thi tin cậy. Khi bạn đăng ký khuôn mặt hay vân tay, mẫu được tạo ra, mã hoá bằng khoá chỉ vùng này biết, và cất trong đó. Hệ điều hành và ứng dụng không đọc được mẫu; chúng chỉ được hỏi một câu "người này có khớp không" và nhận lại đúng hoặc sai.
Thiết kế này có hai hệ quả quan trọng. Thứ nhất, ứng dụng ngân hàng, mạng xã hội hay trò chơi trên máy bạn không lấy được vân tay, khuôn mặt của bạn khi bạn dùng sinh trắc để đăng nhập. Thứ hai, mẫu thường không được sao lưu lên đám mây; khi đổi máy, bạn phải đăng ký lại từ đầu. Đó không phải sự bất tiện vô cớ mà là dấu hiệu cho thấy mẫu không rời khỏi thiết bị.
Kiểu lưu trữ này phù hợp cho việc xác minh một với một hằng ngày và là nơi an toàn nhất trong ba kiểu. Tuy nhiên, nó chỉ an toàn khi điện thoại còn được cập nhật bảo mật. Máy quá cũ, đã bẻ khoá hệ điều hành hoặc cài phần mềm từ nguồn lạ có thể làm suy yếu lớp bảo vệ này.
Trên máy chủ: khi việc so khớp cần làm ở phía dịch vụ
Có những việc không thể chỉ làm trên điện thoại của bạn. Khi ngân hàng cần biết người đang chuyển tiền đúng là chủ tài khoản, họ không thể chỉ tin vào câu trả lời của một chiếc điện thoại có thể đã bị kẻ gian kiểm soát. Họ cần tự so khuôn mặt vừa chụp với mẫu mà họ giữ. Điều tương tự xảy ra với eKYC mở tài khoản, với hệ thống định danh của nhà nước, với dịch vụ xác minh danh tính cho doanh nghiệp.
Trong mô hình này, ảnh hoặc mẫu được gửi từ điện thoại lên máy chủ qua kết nối mã hoá, so khớp ở đó, và mẫu gốc được lưu trong hệ thống của tổ chức. Một số nơi lưu cả ảnh chụp mỗi lần xác thực để đối chiếu khi có tranh chấp. Mức bảo vệ phụ thuộc hoàn toàn vào tổ chức: mã hoá khi lưu, tách mẫu khỏi thông tin nhân thân, giới hạn ai được truy cập, ghi nhật ký truy cập, kiểm toán định kỳ.
Rủi ro lớn nhất của kiểu này là tập trung. Một kho chứa mẫu của hàng triệu người là mục tiêu hấp dẫn cho kẻ tấn công. Pháp luật Việt Nam xếp dữ liệu sinh trắc vào nhóm dữ liệu cá nhân nhạy cảm, đòi hỏi bên xử lý có biện pháp bảo vệ tương xứng. Với người dùng, việc cần làm là chỉ giao dữ liệu cho tổ chức có nghĩa vụ rõ ràng và có lý do chính đáng để thu.
So sánh ba nơi lưu dữ liệu sinh trắc
Bảng dưới tổng hợp đặc điểm của từng kiểu lưu trữ ở mức phổ biến. Từng thiết bị, từng tổ chức cụ thể có thể làm tốt hơn hoặc kém hơn mức này.
| Tiêu chí | Trong điện thoại | Máy chủ ngân hàng, dịch vụ | Máy chấm công, khoá cửa |
|---|---|---|---|
| Ai giữ | Chính bạn, trong chip máy | Tổ chức cung cấp dịch vụ | Công ty, chủ nhà, ban quản lý toà nhà |
| Rời khỏi chỗ đăng ký không | Thường không | Có, gửi qua mạng lên máy chủ | Có thể, nếu máy đồng bộ lên phần mềm quản lý |
| Mức bảo vệ điển hình | Cao, có phần cứng chuyên dụng | Tuỳ tổ chức, có nghĩa vụ pháp lý rõ | Rất khác nhau, nhiều máy giá rẻ bảo vệ kém |
| Rủi ro chính | Máy cũ, bị bẻ khoá | Kho tập trung bị tấn công | Mật khẩu quản trị mặc định, xuất dữ liệu dễ dàng |
| Bạn kiểm được gì | Cài đặt bảo mật của máy | Điều khoản, chính sách quyền riêng tư | Hỏi người quản lý về nơi lưu và cách xoá |
Máy chấm công và khoá cửa vân tay là chỗ thường bị xem nhẹ nhất. Nhiều thiết bị cho phép xuất toàn bộ dữ liệu ra thẻ nhớ hoặc qua phần mềm, với mật khẩu quản trị không bao giờ được đổi. Nếu bạn quản lý một nơi như vậy, cách làm đúng được bàn ở danh mục định danh cho doanh nghiệp của trang.
Thứ được lưu thật ra là gì
Mẫu, không phải ảnh, ở phần lớn hệ thống. Như đã giải thích ở các bài về khuôn mặt và vân tay, máy biến đặc điểm cơ thể thành một dãy số đặc trưng. Đây là thứ được dùng để so khớp. Nhiều hệ thống trên điện thoại chỉ lưu thứ này.
Nhưng nhiều nơi lưu cả ảnh gốc. Dịch vụ cần đối chiếu khi có tranh chấp, hoặc cần cập nhật thuật toán sau này, có thể lưu cả ảnh khuôn mặt, ảnh giấy tờ. Ảnh gốc nhạy cảm hơn mẫu nhiều, vì dùng được cho nhiều mục đích khác.
Mẫu không phải vô hại. Mẫu từ một thuật toán không thể dùng trực tiếp cho thuật toán khác, nhưng nghiên cứu đã cho thấy có thể dựng lại hình ảnh gần giống từ mẫu khuôn mặt hay vân tay nếu mẫu không được bảo vệ. Vì vậy các tiêu chuẩn quốc tế về bảo vệ mẫu sinh trắc yêu cầu mẫu có thể huỷ và thay mới, không liên kết được giữa các hệ thống.
Kèm theo là siêu dữ liệu. Thời điểm, địa điểm, thiết bị mỗi lần xác thực cũng được ghi. Gom lại, chúng cho biết bạn ở đâu, khi nào, dùng dịch vụ gì. Dữ liệu đi kèm này đôi khi còn tiết lộ nhiều hơn chính mẫu sinh trắc.
Vì sao lộ dữ liệu sinh trắc nguy hiểm hơn lộ mật khẩu
Khi một trang web bị lộ mật khẩu, bạn đổi mật khẩu là xong. Khi một hệ thống bị lộ dữ liệu sinh trắc, bạn không thể đổi khuôn mặt hay vân tay. Phần dữ liệu đó, nếu đủ chất lượng, có thể bị dùng để thử mạo danh bạn ở những hệ thống kém bảo vệ trong nhiều năm sau. Đây là điểm khác biệt căn bản khiến pháp luật nhiều nước, trong đó có Việt Nam, xếp dữ liệu sinh trắc vào nhóm phải bảo vệ đặc biệt.
Mức nguy hiểm thực tế phụ thuộc vào thứ bị lộ. Lộ ảnh khuôn mặt gốc độ phân giải cao kèm thông tin nhân thân là trường hợp xấu. Lộ mẫu đã mã hoá đúng cách, khoá giữ riêng, thì nguy cơ thấp hơn nhiều. Nhưng người dùng thường không biết tổ chức đã làm đúng đến đâu, nên nguyên tắc an toàn là giảm số nơi giữ dữ liệu sinh trắc của mình xuống mức cần thiết.
Tin tốt là các hệ thống quan trọng ngày càng dựa vào nhiều lớp. Có mẫu sinh trắc của bạn chưa đủ để kẻ gian chuyển tiền, vì chúng còn cần thiết bị đã đăng ký, mật khẩu, và vượt qua kiểm tra người thật. Lộ sinh trắc làm giảm một lớp bảo vệ, không phải mở toang mọi cánh cửa.
Câu hỏi nên đặt ra trước khi giao khuôn mặt, vân tay
Mỗi lần được yêu cầu đăng ký sinh trắc ở một nơi mới, như phòng tập, chung cư, công ty, ứng dụng lạ, hãy tự hỏi hoặc hỏi thẳng bên thu thập những câu sau.
- Vì sao cần sinh trắc cho việc này, có cách khác như thẻ, mã số không, và từ chối có được không?
- Dữ liệu lưu ở đâu: trong thiết bị tại chỗ, trên máy chủ của đơn vị, hay trên dịch vụ đám mây của bên thứ ba?
- Lưu ảnh gốc hay chỉ lưu mẫu, có mã hoá không?
- Ai được truy cập, có chia sẻ cho đối tác nào không?
- Khi bạn nghỉ việc, chuyển nhà, huỷ dịch vụ, dữ liệu được xoá thế nào và bạn có được xác nhận không?
- Có văn bản đồng ý ghi rõ mục đích, hay chỉ là một nút bấm chung chung?
Câu trả lời mơ hồ, kiểu "yên tâm, an toàn mà", là tín hiệu nên cân nhắc. Với ứng dụng điện thoại dùng sinh trắc của chính máy để đăng nhập, bạn không cần lo nhiều vì mẫu không rời máy; câu hỏi trên chủ yếu dành cho nơi tự thu và tự giữ dữ liệu.
Nhờ AI đọc chính sách quyền riêng tư về sinh trắc
Chính sách quyền riêng tư thường dài và khó đọc, và phần về sinh trắc hay bị chôn giữa các mục khác. Chatbot có thể giúp bạn tìm và tóm tắt phần đó. Câu lệnh mẫu: "Từ đoạn chính sách quyền riêng tư sau, trích ra tất cả nội dung liên quan đến dữ liệu khuôn mặt, vân tay, giọng nói. Trả lời: lưu ở thiết bị hay máy chủ, lưu ảnh gốc hay mẫu, thời gian lưu, chia sẻ cho ai, cách xoá. Chỗ nào chính sách không nói rõ thì ghi là không nêu."
Cách hỏi như vậy ép câu trả lời bám sát văn bản thay vì đoán theo hiểu biết chung. Sau khi có bản tóm tắt, hãy mở lại văn bản gốc kiểm những câu quan trọng, vì chatbot có thể diễn giải sai hoặc bỏ sót. Chính sách cũng có thể thay đổi; lưu lại bản bạn đã đọc kèm ngày.
Chỉ dán văn bản chính sách công khai, không dán hợp đồng có thông tin cá nhân của bạn. Nếu chính sách để trống những điểm quan trọng, bạn có thể dùng chính bản tóm tắt đó làm danh sách câu hỏi gửi cho bộ phận chăm sóc khách hàng, và ghi lại câu trả lời bằng văn bản.
Câu hỏi thường gặp
Ứng dụng trên điện thoại có lấy được vân tay của bạn không?
Với điện thoại hiện đại, không. Mẫu vân tay nằm trong vùng bảo mật của chip, ứng dụng chỉ nhận kết quả khớp hay không khớp từ hệ điều hành. Rủi ro chỉ xuất hiện với máy đã bẻ khoá hoặc quá cũ không còn được cập nhật bảo mật.
Vì sao đổi điện thoại phải đăng ký lại khuôn mặt?
Vì mẫu được mã hoá bằng khoá riêng của chip trong máy cũ và không được sao lưu lên đám mây. Máy mới không giải mã được mẫu cũ. Đây là thiết kế có chủ đích để dữ liệu sinh trắc không rời khỏi thiết bị.
Ngân hàng lưu khuôn mặt của bạn trên máy chủ có an toàn không?
Ngân hàng có nghĩa vụ bảo vệ dữ liệu sinh trắc theo pháp luật về dữ liệu cá nhân và quy định ngành. Mức an toàn cụ thể phụ thuộc vào từng tổ chức. Bạn có quyền hỏi về cách lưu trữ và bảo vệ dữ liệu của mình.
Máy chấm công vân tay ở công ty có lưu vân tay của bạn không?
Có, máy lưu mẫu vân tay để so khớp, và có thể đồng bộ lên phần mềm quản lý. Bạn nên hỏi người quản lý dữ liệu lưu ở đâu, ai xem được, và sẽ xoá thế nào khi bạn nghỉ việc.
Dữ liệu sinh trắc bị lộ thì có làm gì được không?
Bạn không đổi được khuôn mặt hay vân tay, nhưng có thể giảm rủi ro: tăng các lớp xác thực khác như mã PIN, thiết bị riêng, theo dõi thông báo giao dịch, và yêu cầu tổ chức để lộ thông tin rõ phạm vi sự cố cùng biện pháp khắc phục.
Có nên từ chối đăng ký sinh trắc ở phòng tập, chung cư không?
Bạn có thể hỏi phương án thay thế như thẻ từ hay mã số. Nếu nơi đó không giải thích được rõ lưu ở đâu, xoá thế nào, thì việc chọn phương án khác là hợp lý. Dữ liệu không đổi được nên đáng được cân nhắc kỹ.