Ứng dụng FIDO2 và PAD Level 2 cho ngân hàng điện tử

Ngân hàng số đang đối mặt với một áp lực kép: phải đơn giản hóa trải nghiệm cho khách hàng nhưng đồng thời vẫn phải tăng cường bảo mật, ngăn chặn tấn công giả mạo, chiếm đoạt tài khoản, giả mạo sinh trắc học và các hành vi gian lận ngày càng tinh vi. Trong bối cảnh đó, mô hình xác thực phụ thuộc nhiều vào OTP truyền thống bộc lộ ngày càng nhiều giới hạn về mức an toàn, chất lượng bằng chứng xác thực và hiệu quả vận hành.

Vì sao ngân hàng cần nâng cấp lớp xác thực ngay lúc này?

Khung quản lý đối với ngân hàng điện tử đã dịch chuyển từ việc chỉ yêu cầu “có xác thực” sang yêu cầu “xác thực đủ mạnh, có kiểm soát thiết bị, kiểm soát ứng dụng, có khả năng chứng minh và có thể kiểm toán”. Theo định hướng trong proposal, các ngân hàng cần một giải pháp không chỉ giải quyết bài toán đăng nhập, mà còn bao phủ các tình huống đổi thiết bị, kích hoạt lại, thay đổi thông tin định danh và các giao dịch có dấu hiệu bất thường.

Đặc biệt, khi khuôn mặt được sử dụng như một yếu tố bảo mật cho các luồng giao dịch quan trọng, việc chỉ đối soát khuôn mặt thông thường là chưa đủ. Hệ thống cần được trang bị thêm lớp công nghệ Chống tấn công giả mạo sinh trắc học (PAD) Level 2 để nâng cao năng lực phòng chống các hình thức tấn công bằng ảnh chụp, phát lại video, chèn mã video, deepfake hoặc các phương thức lừa đảo tinh vi khác.

Bài toán lớn nhất của OTP và soft OTP là gì?

SMS OTP và soft OTP vẫn còn vai trò trong nhiều hệ thống hiện hữu, nhưng mô hình này phụ thuộc vào bí mật chia sẻ theo phiên hoặc theo giao dịch. Điều đó khiến OTP trở thành mục tiêu hấp dẫn cho các cuộc tấn công giả mạo, chiếm quyền SIM, lừa đảo thao túng tâm lý và các hình thức mã độc can thiệp vào thiết bị đầu cuối.

Từ góc độ ngân hàng, ba hạn chế lớn nhất nằm ở: rủi ro gian lận, trải nghiệm người dùng và chất lượng bằng chứng xác thực. Khi xảy ra tranh chấp, ngân hàng thường cần một cơ chế chứng minh chắc hơn rằng đúng người dùng hợp lệ, trên đúng thiết bị hợp lệ, đã thực sự phê duyệt hành động đó.

FIDO2 mang lại điều gì khác biệt cho ngân hàng điện tử?

Điểm khác biệt cốt lõi của FIDO2 nằm ở mô hình khóa bất đối xứng gắn với thiết bị. Khóa bí mật được giữ cục bộ và an toàn trên thiết bị người dùng, trong khi khóa công khai được lưu ở phía máy chủ xác thực. Nhờ đó, giải pháp có thể giảm đáng kể rủi ro tấn công giả mạo và đồng thời nâng chất lượng bằng chứng xác thực.

Trong kiến trúc được Mobile-ID đề xuất, FIDO2 không chỉ dùng cho đăng nhập mà còn cho xác thực nâng cao, xác nhận giao dịch và các hành trình tái xác minh có rủi ro cao. Điều này giúp ngân hàng tiến dần tới ngân hàng phi mật khẩu theo lộ trình phù hợp với mức độ sẵn sàng của từng kênh.

PAD Level 2 giải quyết vấn đề gì mà đối soát khuôn mặt thông thường không xử lý được?

Nhiều ngân hàng đã triển khai đối sánh khuôn mặt trong quy trình mở tài khoản trực tuyến hoặc tái xác thực. Tuy nhiên, khi khuôn mặt trở thành yếu tố bảo mật cho các hành trình có ảnh hưởng tài chính hoặc định danh, việc chỉ đối soát khuôn mặt đơn thuần là chưa đủ. Hệ thống còn cần có khả năng chống lại các hình thức tấn công trình diễn.

PAD Level 2 bổ sung lớp bảo vệ chống giả mạo bằng ảnh in, phát lại video, mặt nạ hoặc deepfake. Điều này đặc biệt quan trọng trong những tình huống như kích hoạt lại trên thiết bị mới, mở khóa tài khoản, thiết lập lại yếu tố xác thực, thay đổi hồ sơ định danh hoặc giao dịch giá trị cao có dấu hiệu bất thường.

Kiến trúc mục tiêu: từ ứng dụng ngân hàng đến tầng điều phối tin cậy layer

Kiến trúc đề xuất được chia theo hướng dễ tích hợp với hệ sinh thái ngân hàng hiện hữu. Các kênh giao dịch phía trước gồm Mobile Banking, Internet Banking, ngân hàng doanh nghiệp và các quy trình hỗ trợ tại quầy hoặc tổng đài. Phía sau là Tầng điều phối tin cậy – nơi tập trung các thành phần cốt lõi như: Trusted Hub, công cụ thực thi chính sách, phê duyệt giao dịch, gắn kết thiết bị và Face Match + PAD Level 2.

Lớp tích hợp kết nối tới IAM/CIAM, Core Banking, CIF, API Gateway, hệ thống phòng chống gian lận, thông báo và SIEM. Trên cùng là lớp vận hành và quản trị để đảm bảo nhật ký hệ thống, dấu vết kiểm toán, HA/DR, giám sát an ninh và đáp ứng các tiêu chuẩn hậu kiểm. Mô hình này giúp tách bạch các tầng xác thực, quyết định rủi ro và thực thi giao dịch theo ranh giới Microservice rõ ràng.

Các luồng nghiệp vụ nên ưu tiên triển khai trước

1. Đăng ký thiết bị và định danh FIDO

Người dùng đăng nhập bằng cơ chế hiện hữu hoặc theo quy trình đã xác minh danh tính. Ứng dụng kiểm tra thiết bị và phiên bản ứng dụng, sau đó gọi Trusted Hub để khởi tạo quy trình đăng ký định danh. Định danh được ràng buộc với tài khoản, thiết bị và chính sách sử dụng.

2. Đăng nhập hằng ngày

Ứng dụng hoặc trình duyệt gửi yêu cầu xác thực tới Trusted Hub. Người dùng xác thực cục bộ bằng sinh trắc học thiết bị hoặc cơ chế mở khóa phù hợp với chính sách. Trusted Hub xác minh phản hồi, cấp kết quả xác thực và ghi đầy đủ nhật ký kiểm toán.

3. Xác nhận giao dịch rủi ro cao

Hệ thống quản trị rủi ro hoặc công cụ thực thi chính sách sẽ đánh giá giao dịch. Khi vượt hạn mức, có hành vi bất thường hoặc cần tăng cường kiểm soát, hệ thống kích hoạt xác thực nâng cao bằng FIDO2. Với những trường hợp nhạy cảm hơn, hành trình có thể yêu cầu thêm Face Match + PAD Level 2 trước khi cho phép thực thi giao dịch.

4. Thay đổi thông tin định danh hoặc thiết bị

Đây là nhóm hành trình có nguy cơ gian lận cao. Mobile-ID đề xuất áp dụng tái xác thực mạnh hơn đăng nhập thông thường, kết hợp FIDO2, PAD Level 2 và các kiểm tra bổ sung theo chính sách của ngân hàng, đồng thời lưu trữ đủ bằng chứng phục vụ kiểm toán và xử lý tranh chấp.

Bản đồ tuân thủ theo yêu cầu pháp lý

Bản đề xuất nhấn mạnh việc ngân hàng cần một phương án vừa triển khai được trong thực tế, vừa dễ xây dựng ma trận tuân thủ và hồ sơ nghiệm thu. Cách tiếp cận của Mobile-ID giúp ánh xạ từ yêu cầu pháp lý sang biện pháp kỹ thuật và quy trình vận hành.

Phương án triển khai và lộ trình

Để phù hợp với thực tế ngân hàng, Mobile-ID chia lộ trình triển khai thành nhiều giai đoạn để vừa kiểm soát rủi ro vừa tạo ra giá trị sớm.

• Giai đoạn 1 – Thiết lập nền tảng & Tuân thủ: khảo sát hiện trạng, tích hợp Trusted Hub với ứng dụng di động, Internet Banking, IAM/CIAM và công cụ phòng chống gian lận; hoàn thiện tiêu chuẩn an ninh, cơ chế nhật ký hệ thống và giám sát.
• Giai đoạn 2 – Xác thực mạnh cho các luồng nghiệp vụ trọng yếu: Mở rộng phạm vi FIDO2 cho các kịch bản xác thực tăng cường và phê duyệt giao dịch đối với các nhóm nghiệp vụ ưu tiên.
• Giai đoạn 3 – PAD Level 2 cho các hành trình rủi ro cao: tích hợp Face Match + PAD Level 2 cho đổi thiết bị, thiết lập lại yếu tố xác thực, thay đổi thông tin định danh và các giao dịch nhạy cảm.
• Giai đoạn 4 – Mở rộng quy mô & Tối ưu hóa: mở rộng sang Internet Banking và Corporate Banking, tối ưu hiệu năng, DR Drill và các KPI vận hành.

Mô hình vận hành, bảo mật và tích hợp hệ thống

Giải pháp được thiết kế đáp ứng các tiêu chuẩn khắt khe của ngành ngân hàng. Điều này đồng nghĩa với việc nền tảng không chỉ giải quyết bài toán xác thực đơn thuần mà còn quản trị toàn diện các yêu cầu vận hành cốt lõi như: HA/DR, nhật ký kiểm toán, quản lý chính sách tập trung, quản trị vòng đời định danh, khả năng kết nối với hệ thống phòng chống gian lận và hỗ trợ điều tra sự cố an ninh.

Tại tầng ứng dụng di động, giải pháp tích hợp các cơ chế bảo vệ chuyên sâu như: Phát hiện thiết bị đã can thiệp hệ thống, chống can thiệp vào luồng xử lý, chống sửa đổi mã nguồn, kiểm soát tính toàn vẹn khi thực thi và thực thi chính sách phiên bản ứng dụng. Tại tầng máy chủ, Lớp tin cậy đóng vai trò tập trung hóa logic xác thực và quản lý bằng chứng số, thay vì để từng kênh hoặc ứng dụng xử lý rời rạc.

Giá trị thực tế đối với ngân hàng

Vì sao lựa chọn Mobile-ID?

Điểm khác biệt của Mobile-ID nằm ở việc sở hữu trọn bộ thành phần FIDO2 từ từ phía ứng dụng, bộ xác thực đến máy chủ, đồng thời có định hướng tích hợp chặt với bộ quy tắc chính sách, Face Match + PAD Level 2 và các lớp bằng chứng số phục vụ môi trường ngân hàng. Điều này giúp giảm rủi ro tích hợp đa nhà cung cấp, tăng tính nhất quán và giúp ngân hàng chủ động hơn trong việc thiết kế trải nghiệm lẫn cơ chế kiểm soát rủi ro.

Thay vì chỉ cung cấp một SDK hay một máy chủ xác thực độc lập, Mobile-ID định vị giải pháp như một tầng điều phối tin cậy có thể mở rộng, phù hợp với nhu cầu vận hành thực tế của ngân hàng Việt Nam.