Bkis “xuyên thủng” công nghệ bảo mật laptop
Posted: Mon Dec 08, 2008 11:00 am
TT An ninh mạng Bách khoa (Bkis) là hãng bảo mật đầu tiên thế giới tuyên bố công nghệ nhận dạng khuôn mặt ở laptop Asus, Lenovo và Toshiba không an toàn.
Công nghệ nhận dạng khuôn mặt được dùng làm mật khẩu truy cập hiện có trong nhiều dòng laptop của ba hãng máy tính Asus (Đài Loan), Lenovo (Trung Quốc) và Toshiba (Nhật Bản). Áp dụng công nghệ bảo mật nhận dạng khuôn mặt, thay vì phải gõ mật khẩu hoặc xác thực bằng vân tay, chủ nhân laptop chỉ cần ngồi trước máy tính là có thể đăng nhập.
Theo ông Nguyễn Minh Đức, một chuyên gia Bkis, để áp dụng công nghệ này, người sử dụng phải để webcam chụp cận khuôn mặt mình với nhiều góc độ khác nhau. Việc này giúp máy tính “học thuộc” đặc điểm khuôn mặt chủ nhân và xây dựng dấu hiệu đặc trưng của khuôn mặt.
Công nghệ nhận dạng khuôn mặt được các hãng sản xuất laptop giới thiệu là một tính năng nổi trội, giúp ngăn chặn người khác tiếp cận máy tính trái phép, đảm bảo an toàn thông tin cho chủ nhân.
Thế nhưng ông Đức cho biết kết quả nghiên cứu kéo dài 4 tháng của Bkis phát hiện tính năng xác thực bằng nhận dạng khuôn mặt của cả 3 hãng sản xuất laptop có điểm yếu, cho phép kẻ xấu tạo bộ nhận diện hình ảnh giả chủ nhân laptop để vượt qua hàng rào xác thực.
Điều này được Bkis công bố ngày 2/12 tại Hà Nội bằng việc trình diễn các thử nghiệm trực tiếp với 3 laptop của Asus, Lenovo và Toshiba trước sự chứng kiến của báo chí trong nước và quốc tế. Trong quá trình thử nghiệm, từ những hình ảnh thu được qua webcam của chủ nhân laptop, chỉ trong 10 phút, các chuyên gia Bkis đã tạo ra hình ảnh dễ dàng qua mặt công nghệ nhận dạng khuôn mặt trong ba laptop Lenovo, Asus và Toshiba.
Theo Bkis, có ít nhất 4 kịch bản mà kẻ xấu có thể sử dụng để khai thác điểm yếu này: Chat webcam lừa lấy được ảnh của nạn nhân (bằng MSN, Yahoo Messenger, AOL, Skype…); Tìm kiếm trên Internet, đặc biệt là các website mạng xã hội (Flickr, Yahoo360, Facebook…); Sử dụng máy ảnh với ống kính tele chụp trộm từ khoảng cách xa; Rủ nạn nhân cùng chụp ảnh…
Kịch bản dễ thực hiện nhất là lừa chat webcam để chụp hàng loạt ảnh. Sau đó, tổng hợp các ảnh này và xử lý theo thuật toán. Ảnh sau khi xử lý được in ra giấy bằng máy in màu. Kẻ xấu có thể dùng bức ảnh này dễ dàng đăng nhập máy tính mục tiêu.
Tuy nhiên, theo ông Đức, việc tạo hình ảnh đánh lừa được công nghệ nhận dạng của các laptop không dễ, chỉ có những người hiểu được thuật toán công nghệ của các hãng sản xuất mới có thể làm được.
Kết quả nghiên cứu của Bkis nảy sinh lo ngại về độ an toàn với nhiều sản phẩm và lĩnh vực khác đang sử dụng công nghệ nhận dạng khuôn mặt làm hàng rào bảo mật. Công nghệ nhận dạng khuôn mặt đang rất được ưa chuộng và ngày càng được sử dụng rộng rãi ví dụ nhận diện trong điều tra an ninh, ứng dụng trong lĩnh vực kiểm soát truy cập các tòa nhà, nhà máy, bảo vệ xe hơi…
Trung tâm An ninh mạng Bkis cho hay đã gửi cảnh báo về lỗ hổng tới Asus, Lenovo và Toshiba để khắc phục những hạn chế của tính năng này. Trong khi chờ đợi các hãng này có giải pháp cho vấn đề này, Bkis khuyến cáo những người coi trọng bảo toàn dữ liệu trong laptop không nên dùng công nghệ này làm hàng rào bảo mật.
Đỗ Duy
Công nghệ nhận dạng khuôn mặt được dùng làm mật khẩu truy cập hiện có trong nhiều dòng laptop của ba hãng máy tính Asus (Đài Loan), Lenovo (Trung Quốc) và Toshiba (Nhật Bản). Áp dụng công nghệ bảo mật nhận dạng khuôn mặt, thay vì phải gõ mật khẩu hoặc xác thực bằng vân tay, chủ nhân laptop chỉ cần ngồi trước máy tính là có thể đăng nhập.
Theo ông Nguyễn Minh Đức, một chuyên gia Bkis, để áp dụng công nghệ này, người sử dụng phải để webcam chụp cận khuôn mặt mình với nhiều góc độ khác nhau. Việc này giúp máy tính “học thuộc” đặc điểm khuôn mặt chủ nhân và xây dựng dấu hiệu đặc trưng của khuôn mặt.
Công nghệ nhận dạng khuôn mặt được các hãng sản xuất laptop giới thiệu là một tính năng nổi trội, giúp ngăn chặn người khác tiếp cận máy tính trái phép, đảm bảo an toàn thông tin cho chủ nhân.
Thế nhưng ông Đức cho biết kết quả nghiên cứu kéo dài 4 tháng của Bkis phát hiện tính năng xác thực bằng nhận dạng khuôn mặt của cả 3 hãng sản xuất laptop có điểm yếu, cho phép kẻ xấu tạo bộ nhận diện hình ảnh giả chủ nhân laptop để vượt qua hàng rào xác thực.
Điều này được Bkis công bố ngày 2/12 tại Hà Nội bằng việc trình diễn các thử nghiệm trực tiếp với 3 laptop của Asus, Lenovo và Toshiba trước sự chứng kiến của báo chí trong nước và quốc tế. Trong quá trình thử nghiệm, từ những hình ảnh thu được qua webcam của chủ nhân laptop, chỉ trong 10 phút, các chuyên gia Bkis đã tạo ra hình ảnh dễ dàng qua mặt công nghệ nhận dạng khuôn mặt trong ba laptop Lenovo, Asus và Toshiba.
Theo Bkis, có ít nhất 4 kịch bản mà kẻ xấu có thể sử dụng để khai thác điểm yếu này: Chat webcam lừa lấy được ảnh của nạn nhân (bằng MSN, Yahoo Messenger, AOL, Skype…); Tìm kiếm trên Internet, đặc biệt là các website mạng xã hội (Flickr, Yahoo360, Facebook…); Sử dụng máy ảnh với ống kính tele chụp trộm từ khoảng cách xa; Rủ nạn nhân cùng chụp ảnh…
Kịch bản dễ thực hiện nhất là lừa chat webcam để chụp hàng loạt ảnh. Sau đó, tổng hợp các ảnh này và xử lý theo thuật toán. Ảnh sau khi xử lý được in ra giấy bằng máy in màu. Kẻ xấu có thể dùng bức ảnh này dễ dàng đăng nhập máy tính mục tiêu.
Tuy nhiên, theo ông Đức, việc tạo hình ảnh đánh lừa được công nghệ nhận dạng của các laptop không dễ, chỉ có những người hiểu được thuật toán công nghệ của các hãng sản xuất mới có thể làm được.
Kết quả nghiên cứu của Bkis nảy sinh lo ngại về độ an toàn với nhiều sản phẩm và lĩnh vực khác đang sử dụng công nghệ nhận dạng khuôn mặt làm hàng rào bảo mật. Công nghệ nhận dạng khuôn mặt đang rất được ưa chuộng và ngày càng được sử dụng rộng rãi ví dụ nhận diện trong điều tra an ninh, ứng dụng trong lĩnh vực kiểm soát truy cập các tòa nhà, nhà máy, bảo vệ xe hơi…
Trung tâm An ninh mạng Bkis cho hay đã gửi cảnh báo về lỗ hổng tới Asus, Lenovo và Toshiba để khắc phục những hạn chế của tính năng này. Trong khi chờ đợi các hãng này có giải pháp cho vấn đề này, Bkis khuyến cáo những người coi trọng bảo toàn dữ liệu trong laptop không nên dùng công nghệ này làm hàng rào bảo mật.
Đỗ Duy
