Lộ sinh trắc học, nạn nhân nguy cơ phải chứng minh "mình không phải mình"

Sáng 4/11, thảo luận tại Quốc hội về dự án Luật Định danh và xác thực điện tử, đại biểu Phạm Trọng Nhân (đoàn TPHCM) đặt vấn đề về mức độ an toàn của xác thực sinh trắc học trước sự phát triển của trí tuệ nhân tạo (AI), đặc biệt là công nghệ giả mạo hình ảnh, giọng nói và video.

Theo đại biểu, sinh trắc học vẫn là yếu tố cần thiết trong xác thực danh tính, nhưng không thể được xem là giải pháp bảo đảm an toàn nếu chỉ dựa vào yếu tố này mà thiếu các biện pháp bảo vệ bổ sung.

"Mật khẩu bị lộ thì đổi được, thẻ bị mất thì khóa được, còn khuôn mặt bị lộ thì cả đời không đổi được", ông Nhân nói.

Khi khuôn mặt trở thành "chiếc chìa khóa treo sẵn ngoài cửa"

Dẫn số liệu tính đến ngày 2/10, đại biểu Phạm Trọng Nhân cho biết ngành ngân hàng đã đối chiếu sinh trắc học cho hơn 175 triệu hồ sơ khách hàng cá nhân. Tuy nhiên, ngày 8/10, đại diện Vụ Thanh toán, Ngân hàng Nhà nước nhấn mạnh sinh trắc học không phải giải pháp duy nhất để chống lừa đảo.

Ông Nhân cho biết dự thảo luật đã có quy định cấm sử dụng sinh trắc học giả để điều chỉnh vấn đề liên quan đến AI. Tuy nhiên, ông đề nghị xem xét kỹ hơn quy định về mức độ xác thực.

Đại biểu phân tích, mức xác thực cao nhất là mức độ 3, sử dụng tối thiểu hai yếu tố, trong đó có ít nhất một yếu tố đặc trưng. Trên thực tế, yếu tố đặc trưng thường là khuôn mặt, giọng nói hoặc vân tay.

Ông cho rằng cách thiết kế quy định này có nguy cơ đặt quá nhiều niềm tin vào đặc điểm sinh trắc học, trong khi công nghệ giả mạo ngày càng tinh vi.

Để minh chứng, đại biểu nhắc đến vụ việc Công an Thanh Hóa triệt phá đường dây mua bán gần 1.000 tài khoản ngân hàng vào tháng 6. Theo thông tin ông dẫn, các đối tượng sử dụng ảnh chụp sẵn của chủ tài khoản, dựng thành video bằng phần mềm, can thiệp thiết bị để thay thế hình ảnh từ camera, qua đó vượt qua bước xác thực sinh trắc học của nhiều ngân hàng.

Đáng chú ý, khuôn mặt và giọng nói của mỗi người có thể đã xuất hiện trên mạng xã hội, khiến những dữ liệu này có nguy cơ bị lợi dụng mà chủ thể không hay biết.

"Chúng ta đang có một chiếc chìa khóa treo sẵn ngoài cửa, rồi luật lại đặt nó vào vị trí là chìa khóa chính", ông Nhân ví von.

Từ thực tế này, đại biểu cho rằng cần thiết kế hệ thống xác thực dựa trên nhiều lớp bảo vệ, thay vì mặc nhiên coi đặc điểm sinh trắc học là yếu tố khó bị giả mạo nhất.

Nguy cơ nạn nhân phải chứng minh "mình không phải là mình"

Không chỉ cảnh báo về nguy cơ công nghệ, đại biểu Phạm Trọng Nhân đặc biệt quan tâm đến hệ quả pháp lý khi một giao dịch được xác thực bằng danh tính giả mạo.

Ông đề cập tình huống kẻ gian sử dụng hình ảnh, video giả để vượt qua cả mức xác thực cao nhất. Khi đó, kết quả xác thực có thể trở thành chứng cứ bất lợi đối với chính người bị chiếm đoạt danh tính, dù họ không trực tiếp thực hiện giao dịch.

Theo ông Nhân, dự thảo chưa làm rõ nghĩa vụ chứng minh thuộc về ai khi phát sinh tranh chấp liên quan đến giả mạo danh tính.

"Nếu kẻ gian dùng ảnh, video giả vượt qua mức độ 3, kết quả xác thực ở mức cao nhất lại trở thành chứng cứ bất lợi đầu tiên cho chính người bị hại", ông phân tích.

Đại biểu đặt câu hỏi, một người cao tuổi ở vùng sâu, vùng xa bị chiếm đoạt tài khoản sẽ chứng minh mình không thực hiện giao dịch bằng cách nào? Liệu mức xác thực càng cao có khiến người dân càng khó bảo vệ quyền lợi khi bị giả mạo?

Từ đó, ông đề nghị bổ sung nguyên tắc: Khi chủ thể đã kịp thời thông báo và khiếu nại về việc danh tính bị sử dụng trái phép, kết quả xác thực không mặc nhiên được coi là chứng cứ xác nhận giao dịch do chính người đó thực hiện.

Thay vào đó, cơ quan, tổ chức thực hiện xác thực phải có nghĩa vụ chứng minh quá trình xác thực đã tuân thủ đầy đủ các yêu cầu chống giả mạo.

Đồng thời, ông kiến nghị bổ sung nghĩa vụ kiểm định độc lập định kỳ đối với hệ thống AI sử dụng trong xác thực điện tử, kiểm định lại khi xuất hiện phương thức tấn công mới.

Để nâng cao mức độ an toàn, đại biểu Phạm Trọng Nhân đề xuất bổ sung những yêu cầu cụ thể đối với các giao dịch có nguy cơ rủi ro cao.

Đối với những giao dịch thuộc danh mục rủi ro cao, ông kiến nghị bắt buộc áp dụng xác thực mức độ 3, đồng thời bổ sung yếu tố sở hữu gắn với phần cứng, chẳng hạn chip trên thẻ căn cước.

Theo đại biểu, không nên chỉ dựa vào camera và mã OTP trên cùng một điện thoại. Nếu thiết bị bị can thiệp, cả dữ liệu khuôn mặt thu nhận qua camera lẫn mã OTP gửi đến thiết bị đều có thể không còn đáng tin cậy.

Đại biểu cũng đề cập việc Viettel và Ban Cơ yếu Chính phủ ra mắt chip bảo mật do kỹ sư Việt Nam thiết kế ngày 3/11, tích hợp thuật toán mật mã quốc gia, định hướng ứng dụng trong thiết bị chữ ký số và chip định danh.

Từ thành tựu này, ông kiến nghị luật ưu tiên, theo lộ trình, việc sử dụng chip và thuật toán mật mã do Việt Nam làm chủ, đã qua kiểm định, trong hệ thống định danh và xác thực điện tử.

Một đề xuất khác là gắn danh tính điện tử với các video, hình ảnh và phát ngôn chính thức của cơ quan, tổ chức trong hệ thống chính trị khi phát hành trên môi trường số, để người dân có thể kiểm chứng qua VNeID.

"Nếu không thể bắt hết hàng giả thì trước mắt phải đóng dấu được hàng thật", ông Nhân nói.

Khép lại phát biểu, đại biểu nhấn mạnh: "Luật này làm ra không chỉ để chứng minh hệ thống xác thực an toàn và thông minh đến đâu, mà còn phải bảo đảm không một người dân nào phải có nghĩa vụ đi chứng minh: mình là chính mình".