Kiểm tra người thật (liveness detection) là bước eKYC xác định khuôn mặt trước camera là một người sống đang có mặt ở đó, chứ không phải ảnh in, ảnh trên màn hình khác, video phát lại, mặt nạ hay hình ảnh được chèn thẳng vào luồng camera. Những yêu cầu quay đầu, chớp mắt, đưa máy lại gần rồi ra xa, giữ yên dưới ánh đèn đổi màu đều phục vụ mục đích này.
Bước này tồn tại vì so khớp khuôn mặt một mình không đủ: một tấm ảnh lấy từ mạng xã hội của bạn có thể khớp rất cao với ảnh trên giấy tờ. Nếu không có lớp kiểm tra người thật, ai có ảnh căn cước bị lộ cộng một bức ảnh mặt của bạn là mở được tài khoản đứng tên bạn. Bài này giải thích hai kiểu kiểm tra, cách làm cho đúng, và vì sao những lời rao "qua liveness hộ" vừa nguy hiểm vừa vô nghĩa.
Tấn công trình diện: thứ mà bước này phải chặn
Trong ngành sinh trắc, việc đưa một vật giả ra trước cảm biến để mạo nhận người khác gọi là tấn công trình diện. Với khuôn mặt, vật giả có thể là ảnh in, ảnh hiển thị trên máy tính bảng, video phát lại, mặt nạ giấy hay mặt nạ ba chiều. Bộ tiêu chuẩn quốc tế ISO/IEC 30107 định nghĩa các khái niệm này và cách đánh giá một hệ thống phát hiện chúng, nên nhiều nhà cung cấp công bố kết quả kiểm định theo tiêu chuẩn này.
Bên cạnh đó là một kiểu tấn công khác không cần đưa gì ra trước camera: chèn thẳng hình ảnh giả vào luồng dữ liệu, ví dụ qua phần mềm giả lập camera hay thiết bị đã bị can thiệp. Khi công cụ tạo khuôn mặt bằng AI trở nên phổ biến, kiểu tấn công này được các đơn vị chú ý nhiều hơn. Vì vậy hệ thống hiện đại không chỉ nhìn khuôn mặt mà còn kiểm tra xem hình ảnh có thật sự đến từ camera của chiếc máy đang dùng hay không.
Bạn không cần nhớ thuật ngữ, chỉ cần hiểu một điều: những gì ứng dụng bắt bạn làm trong vài giây đó là để bảo vệ chính bạn khỏi việc bị người khác mở tài khoản đứng tên mình. Vài giây thao tác hơi phiền đó rẻ hơn nhiều so với hàng tháng trời chứng minh một khoản vay hay một tài khoản nhận tiền lừa đảo không phải do bạn mở.
Kiểm tra chủ động và thụ động khác nhau thế nào
Ứng dụng bạn dùng có thể thuộc một trong hai kiểu, hoặc kết hợp cả hai. Nhận ra kiểu nào giúp bạn biết cần làm gì.
| Tiêu chí | Kiểm tra chủ động | Kiểm tra thụ động |
|---|---|---|
| Bạn phải làm gì | Làm theo yêu cầu: quay trái, quay phải, chớp mắt, mỉm cười, đưa máy gần ra xa | Chỉ nhìn thẳng, giữ yên vài giây |
| Phần mềm dựa vào | Phản ứng đúng lúc với yêu cầu ngẫu nhiên, chuyển động ba chiều của khuôn mặt | Kết cấu da, độ sâu, phản xạ ánh sáng, chi tiết nhỏ trong một vài khung hình |
| Ưu điểm | Khó dùng video quay sẵn vì yêu cầu thay đổi mỗi lần | Nhanh, dễ cho người cao tuổi, ít thao tác |
| Nhược điểm | Người run tay, khó cử động, thị lực kém dễ thất bại | Phụ thuộc nhiều vào chất lượng camera và ánh sáng |
| Dấu hiệu nhận biết | Có mũi tên hoặc chữ yêu cầu từng thao tác | Chỉ có khung tròn hoặc màn hình đổi màu |
Một số ứng dụng cho màn hình nháy vài màu liên tiếp trong lúc bạn giữ yên. Màu sắc phản chiếu trên da người thật khác với trên ảnh hay màn hình, nên đây là một cách kiểm tra thụ động có hỗ trợ. Bạn chỉ cần không nhắm mắt, không quay đi.
Làm bước kiểm tra người thật cho đúng
Phần lớn lần thất bại ở bước này đến từ thao tác vội hoặc điều kiện xung quanh. Trình tự gợi ý:
- Chọn nơi đủ sáng, ánh sáng chiếu vào mặt, phía sau không có cửa sổ hay đèn rọi ngược.
- Bỏ khẩu trang, kính râm, mũ; vén tóc để thấy rõ trán, lông mày, hai tai.
- Giữ máy ngang tầm mắt, mặt nằm gọn trong khung, cách mặt khoảng một cánh tay hơi co.
- Đọc hết hướng dẫn trên màn hình trước khi bắt đầu, đừng vừa đọc vừa làm.
- Khi được yêu cầu quay đầu, quay chậm và vừa phải, không quay quá nhanh làm ảnh nhoè.
- Khi được yêu cầu chớp mắt, chớp rõ một lần; khi được yêu cầu giữ yên, giữ yên thật sự.
- Không để người khác lọt vào khung hình, không có tiếng ồn làm bạn quay đi giữa chừng.
Nếu thất bại hai ba lần liên tiếp dù đã làm đúng, nghỉ một lúc rồi thử lại ở chỗ sáng hơn. Người có khó khăn về vận động hoặc thị lực nên đi thẳng đến quầy giao dịch, nơi nhân viên có thể xác minh bằng cách khác.
Những điều phần mềm coi là đáng ngờ dù bạn không cố ý
Quay qua gương hoặc qua kính. Có người quay mặt trong gương cho dễ nhìn, nhưng ảnh phản chiếu bị lật và mất độ sâu. Luôn nhìn thẳng vào camera trước của máy.
Dùng camera ngoài, phần mềm điều khiển màn hình từ xa. Trên máy tính, dùng camera rời qua phần mềm trung gian hoặc đang chia sẻ màn hình có thể khiến hệ thống nghi luồng hình bị chèn. Làm eKYC trên điện thoại với camera gắn sẵn là chắc nhất.
Ứng dụng làm đẹp chạy nền. Bộ lọc làm mịn da, đổi khối mặt can thiệp vào luồng hình. Tắt trước khi xác thực.
Đang có ai đó cầm máy giúp và đứng rất gần. Khuôn mặt thứ hai lọt vào khung khiến phần mềm không biết so ai. Người hỗ trợ nên đứng ngoài khung hình.
Thiết bị đã bị bẻ khoá hoặc cài ứng dụng ngoài kho chính thức. Nhiều ứng dụng tài chính kiểm tra tình trạng thiết bị và từ chối chạy trên máy bị can thiệp hệ thống, vì đó là môi trường dễ bị chèn dữ liệu giả.
Vì sao người thật đôi khi vẫn bị từ chối
Mọi hệ thống phát hiện giả mạo đều phải cân bằng giữa hai loại sai: để lọt một khuôn mặt giả, hoặc từ chối nhầm một người thật. Đơn vị tài chính thường chấp nhận từ chối nhầm nhiều hơn một chút để giảm khả năng lọt kẻ gian, vì một tài khoản mở bằng danh tính giả gây thiệt hại lớn hơn một khách phải thử lại. Nghĩa là nếu bạn bị từ chối, điều đó không có nghĩa phần mềm cho rằng bạn gian lận, mà chỉ là lần quay đó chưa đủ tín hiệu để chắc chắn.
Các đánh giá độc lập về công nghệ nhận diện khuôn mặt, trong đó có báo cáo của Viện Tiêu chuẩn và Công nghệ Hoa Kỳ (NIST) năm 2019 về khác biệt theo nhóm nhân khẩu học, ghi nhận độ chính xác có thể chênh lệch giữa các nhóm tuổi, giới tính và màu da, mức chênh tuỳ từng thuật toán. Người rất cao tuổi, trẻ vị thành niên, người có da rất sẫm hoặc rất sáng dưới ánh sáng gắt có thể gặp khó hơn với một số hệ thống. Đây là giới hạn đã biết của công nghệ, không phải lỗi của bạn.
Vì vậy quy trình tử tế luôn có đường thay thế: xác minh tại quầy, gọi video với nhân viên hoặc bổ sung giấy tờ. Nếu đơn vị chỉ có duy nhất kênh tự động, bạn có quyền hỏi kênh xác minh khác qua bộ phận hỗ trợ chính thức.
Deepfake và cuộc chạy đua giữa hai phía
Công cụ tạo video khuôn mặt giả bằng AI ngày càng dễ dùng, và kẻ gian chắc chắn thử chúng với eKYC. Phía phòng thủ đáp lại bằng nhiều lớp: mô hình phát hiện dấu vết tổng hợp trong hình ảnh, kiểm tra luồng camera có nguyên bản không, đọc chip để có ảnh gốc độ phân giải cao, đối chiếu dữ liệu gốc, và theo dõi hành vi của tài khoản sau khi mở. Không lớp nào hoàn hảo, nên sức mạnh nằm ở việc chồng nhiều lớp.
Về phía người dùng, điều quan trọng là đừng để kẻ gian có nguyên liệu. Video bạn tự quay mặt nói chuyện, nhìn thẳng, đăng công khai, cộng ảnh căn cước bị lộ là hai mảnh mà kẻ mạo danh cần. Chuyện này được bàn kỹ ở danh mục giả mạo danh tính bằng AI của trang; các kịch bản lừa cụ thể thì xem thêm ở AI Bảo Mật.
Bài này cố ý không mô tả bất kỳ kỹ thuật nào để qua mặt bước kiểm tra người thật. Lý do không chỉ là nguyên tắc: các rao vặt "bán dịch vụ qua eKYC", "thuê khuôn mặt" trên mạng thực chất là đường dây mua bán tài khoản, và người góp khuôn mặt hay giấy tờ cho họ trở thành chủ danh nghĩa của tài khoản dùng để nhận tiền phạm pháp.
Hỏi AI để hiểu, không hỏi AI để lách
Chatbot là công cụ tốt để hiểu vì sao một ứng dụng yêu cầu thao tác nào đó, hoặc để soạn câu hỏi gửi bộ phận hỗ trợ khi bạn bị từ chối mà không rõ lý do. Bạn chỉ cần mô tả bằng lời, không gửi ảnh hay video khuôn mặt.
Câu lệnh mẫu: "Hãy giải thích bằng ngôn ngữ phổ thông vì sao ứng dụng ngân hàng bắt quay đầu và chớp mắt khi mở tài khoản, và những điều kiện ánh sáng, tư thế nào giúp bước này thành công. Viết thành danh sách ngắn để đọc cho bố mẹ nghe." Một câu lệnh khác: "Soạn một tin nhắn lịch sự gửi bộ phận hỗ trợ, nói rằng đã thử bước xác thực khuôn mặt nhiều lần không thành công dù làm đúng hướng dẫn, đề nghị cho biết cách xác minh thay thế."
Nếu ai đó, hay chính chatbot, đưa ra gợi ý dùng ảnh, video sẵn hoặc phần mềm giả lập camera, bỏ qua ngay. Ngoài việc sai, những thao tác đó thường bị phát hiện và có thể khiến giấy tờ của bạn bị đánh dấu ở đơn vị đó.
Câu hỏi thường gặp
Vì sao có ứng dụng bắt quay đầu, có ứng dụng chỉ cần nhìn thẳng?
Mỗi đơn vị chọn kiểu kiểm tra khác nhau tuỳ nhà cung cấp công nghệ và mức rủi ro họ chấp nhận. Kiểu chủ động yêu cầu thao tác, kiểu thụ động phân tích hình ảnh khi bạn giữ yên. Không kiểu nào tốt hơn tuyệt đối, nhiều nơi kết hợp cả hai.
Ánh sáng màn hình nháy nhiều màu có hại mắt không?
Các ứng dụng chỉ nháy vài màu trong một hai giây với độ sáng của màn hình điện thoại bình thường. Người có tiền sử nhạy cảm với ánh sáng nhấp nháy nên hỏi ý kiến bác sĩ và chọn xác minh tại quầy để tránh hẳn.
Đang đeo niềng răng, có vết sẹo hay trang điểm đậm thì có qua được không?
Niềng răng và sẹo nhỏ thường không ảnh hưởng. Trang điểm rất đậm làm thay đổi đường nét hoặc kết cấu da có thể làm giảm điểm. Nếu bị từ chối, thử lại với khuôn mặt tự nhiên trước khi kết luận có vấn đề khác.
Kiểm tra người thật có lưu video khuôn mặt không?
Thường có lưu một phần khung hình hoặc đoạn video ngắn làm bằng chứng cho lần xác thực, theo nghĩa vụ lưu hồ sơ của đơn vị. Thời gian lưu và mục đích dùng nằm trong chính sách quyền riêng tư bạn đã đồng ý, nên đọc mục đó.
Có cách nào để biết ứng dụng eKYC là thật chứ không phải giả mạo?
Chỉ tải từ kho ứng dụng chính thức, kiểm tra đúng tên nhà phát hành, số lượt tải và đánh giá, không cài từ đường dẫn qua tin nhắn. Ứng dụng giả có thể làm y hệt bước quay mặt để thu khuôn mặt của bạn.
Người mù hoặc thị lực kém có làm eKYC được không?
Một số ứng dụng có hỗ trợ đọc màn hình và hướng dẫn bằng âm thanh, nhưng chưa phổ biến. Cách thực tế là xác minh tại quầy giao dịch hoặc nhờ người thân hỗ trợ thao tác, với điều kiện khuôn mặt trước camera là chính chủ tài khoản.