Sinh trắc hành vi là nhận ra một người qua cách họ làm chứ không phải qua hình dạng cơ thể: dáng đi, giọng nói, chữ ký, nhịp gõ phím, cách cầm và vuốt điện thoại. Nó kém chính xác hơn vân tay hay mống mắt nếu dùng một mình, nên thường làm "tín hiệu nền": ứng dụng ngân hàng âm thầm so cách bạn thao tác hôm nay với thói quen thường ngày, thấy lạ thì đòi xác thực thêm. Ưu điểm là chạy liên tục, không bắt người dùng làm gì; nhược điểm là dễ bị ảnh hưởng bởi mệt mỏi, bệnh tật và đặt ra câu hỏi lớn về việc bị theo dõi âm thầm.
Thói quen cũng là chữ ký
Ý tưởng không mới. Chữ ký tay là một dạng sinh trắc hành vi đã dùng hàng thế kỷ. Thời điện báo, người ta kể rằng các điện báo viên lâu năm nhận ra đồng nghiệp ở đầu dây bên kia qua nhịp gõ mã Morse đặc trưng, giới trong nghề gọi là "tay" của người gửi. Người Việt cũng quen nhận ra người nhà từ tiếng bước chân trên cầu thang hay tiếng ho ngoài ngõ.
Điều mới là máy móc giờ đo được những thói quen ấy bằng con số, liên tục, ở quy mô hàng triệu người. Điện thoại có cảm biến gia tốc, con quay hồi chuyển, màn hình cảm ứng đo lực và vị trí chạm, micro thu giọng. Mỗi thao tác để lại một dấu vết đủ đặc trưng để thống kê.
Các loại sinh trắc hành vi phổ biến
| Loại | Máy đo gì | Dùng ở đâu | Điểm yếu |
|---|---|---|---|
| Nhịp gõ phím | Thời gian giữ mỗi phím, khoảng nghỉ giữa hai phím, lỗi gõ hay mắc | Đăng nhập, phát hiện tài khoản bị người khác dùng | Đổi bàn phím, đau tay, gõ vội là lệch |
| Thao tác điện thoại | Góc cầm máy, lực chạm, tốc độ vuốt, tay thuận | Ứng dụng ngân hàng, ví điện tử | Đổi máy, đổi ốp, vừa đi vừa dùng |
| Giọng nói | Âm sắc, cao độ, cách phát âm, nhịp nói | Tổng đài, trợ lý ảo, xác thực qua điện thoại | Cảm lạnh, ồn, giọng do máy tạo |
| Dáng đi | Nhịp bước, độ dài bước, dao động thân người | Nghiên cứu, theo dõi sức khoẻ, an ninh | Giày dép, mang đồ nặng, chấn thương |
| Chữ ký động | Tốc độ, áp lực, thứ tự nét khi ký trên bảng điện tử | Ngân hàng, giao nhận hàng | Chữ ký thay đổi theo tuổi, tư thế |
| Cách dùng chuột | Quỹ đạo, tốc độ, kiểu nhấp | Phát hiện phần mềm tự động giả người | Đổi chuột, đổi bàn làm việc |
Nhịp gõ phím: mỗi người một nhịp
Hai người cùng gõ một mật khẩu đúng y nhau vẫn để lại hai "giai điệu" khác nhau. Máy đo hai đại lượng chính: thời gian giữ (ngón tay đè một phím bao lâu) và thời gian chuyển (từ lúc nhả phím này đến lúc nhấn phím kia). Người quen gõ mười ngón có nhịp đều; người gõ hai ngón có khoảng nghỉ dài ở những cặp phím xa nhau; người hay gõ tiếng Việt kiểu Telex có những tổ hợp phím quen thuộc riêng.
Nghiên cứu về nhịp gõ phím để nhận dạng có từ thập niên 1970–1980. Ngày nay, một số dịch vụ dùng nó như lớp kiểm tra phụ: mật khẩu đúng nhưng nhịp gõ khác hẳn thường ngày thì hệ thống có thể yêu cầu xác thực thêm. Nhịp gõ cũng giúp phân biệt người thật với phần mềm tự động điền biểu mẫu.
Giọng nói: tiện nhưng đang lung lay
Nhận dạng người nói khác nhận dạng lời nói
Hay bị nhầm: nhận dạng lời nói là máy hiểu bạn nói gì (chuyển giọng thành chữ). Nhận dạng người nói là máy biết ai đang nói, bất kể nói gì. Sinh trắc giọng nói thuộc loại thứ hai. Giọng phụ thuộc cả cơ thể (thanh quản, khoang miệng, khoang mũi) lẫn thói quen (giọng địa phương, nhịp nói), nên nằm giữa sinh trắc cơ thể và hành vi.
Ngân hàng từng mê giọng nói
Từ giữa thập niên 2010, nhiều ngân hàng nước ngoài cho khách xác thực qua tổng đài chỉ bằng cách nói một câu ngắn, theo tinh thần "giọng nói chính là mật khẩu". Nhưng giọng nói gặp hai thử thách. Năm 2017, một phóng viên của chương trình BBC Click cho thấy người anh em sinh đôi của mình qua được hệ xác thực giọng nói của một ngân hàng lớn ở Anh. Vài năm sau, các công cụ tạo giọng nói bằng trí tuệ nhân tạo chỉ cần một đoạn ghi âm ngắn là bắt chước được giọng khá giống. Nhiều tổ chức an ninh đã khuyên không dùng giọng nói làm yếu tố xác thực duy nhất.
Vì giọng nói dễ thu (một cuộc gọi, một video đăng mạng), nó là loại sinh trắc khó giữ bí mật nhất. Chuyện kẻ gian dùng giọng giả người thân để lừa tiền là chủ đề riêng; ở góc sinh trắc, bài học là đừng để giọng nói một mình làm chìa khoá.
Dáng đi: nhận ra từ xa
Mỗi người có một kiểu bước riêng do chiều dài chân, cách đặt bàn chân, nhịp vung tay. Điện thoại trong túi đo được nhịp bước qua cảm biến gia tốc; camera đo được hình dáng dáng đi từ xa, kể cả khi không thấy rõ mặt.
Trong đời sống, dáng đi dùng nhiều nhất cho sức khoẻ: đồng hồ, điện thoại theo dõi độ vững của bước chân, phát hiện nguy cơ té ngã ở người cao tuổi. Dùng dáng đi để nhận dạng người từ xa thì gây tranh cãi về quyền riêng tư, vì người bị nhận dạng không hề biết và không đồng ý.
Xác thực liên tục: điểm mạnh thật sự
Vân tay hay khuôn mặt kiểm tra một lần lúc mở cửa. Sinh trắc hành vi kiểm tra suốt thời gian sử dụng. Ví dụ một ứng dụng ngân hàng có thể nhận thấy:
- Máy đang được cầm theo góc khác hẳn thường ngày.
- Thao tác điền số tiền nhanh và đều bất thường, giống phần mềm tự động.
- Có dấu hiệu người dùng đang được ai đó hướng dẫn từng bước từ xa, như khoảng nghỉ dài trước mỗi thao tác.
Không tín hiệu nào đủ để kết luận, nhưng gộp lại thì hệ thống có thể chặn tạm, yêu cầu quét mặt hoặc gọi xác nhận. Vì thế sinh trắc hành vi thường đóng vai người gác cổng thứ hai, không phải chìa khoá chính.
Mặt trái: bị đo mà không hay biết
Vân tay thì phải chủ động đặt tay. Sinh trắc hành vi thì thu được trong lúc bạn chỉ đang dùng ứng dụng bình thường. Điều này đặt ra mấy câu hỏi:
- Đồng ý: người dùng có được báo rõ rằng cách gõ, cách cầm máy đang bị phân tích không?
- Thông tin lộ ra ngoài ý muốn: dáng đi, giọng nói, nhịp gõ có thể phản ánh tình trạng sức khoẻ, mệt mỏi, cảm xúc.
- Thiên lệch: người khuyết tật, người cao tuổi, người có bệnh run tay có thể bị gắn cờ "bất thường" nhiều hơn.
Ở Việt Nam, Nghị định 13/2023/NĐ-CP coi thông tin sinh trắc học là dữ liệu cá nhân nhạy cảm; việc thu và xử lý phải có căn cứ và thông báo cho người dùng. Quy định tính tới 11/2026.
Góc nhìn hôm nay
- Đọc mục quyền riêng tư của ứng dụng tài chính để biết họ có phân tích hành vi không và dùng vào việc gì.
- Khi bị ứng dụng ngân hàng yêu cầu xác thực thêm "không rõ lý do", đừng vội bực: đó có thể là lớp sinh trắc hành vi đang làm việc.
- Hạn chế đăng nhiều đoạn ghi âm giọng nói dài, rõ ở chế độ công khai nếu giọng bạn đang được dùng làm yếu tố xác thực ở đâu đó; tốt nhất là tắt xác thực bằng giọng nói nếu có lựa chọn khác.
- Muốn tìm hiểu thêm: tìm đọc các bài tổng quan về "behavioral biometrics" và "continuous authentication" trên các tạp chí khoa học máy tính; trang của Ủy ban Bảo vệ Dữ liệu châu Âu có hướng dẫn về sinh trắc học và quyền riêng tư.
Câu hỏi thường gặp
Sinh trắc hành vi là gì?
Là nhận dạng người qua thói quen hành động như nhịp gõ phím, cách cầm và vuốt điện thoại, giọng nói, dáng đi, chữ ký. Nó thường được dùng như lớp kiểm tra nền, chạy liên tục trong lúc sử dụng, thay vì làm chìa khoá chính.
Nhịp gõ phím có nhận ra được người không?
Có ở một mức nhất định. Thời gian giữ từng phím và khoảng chuyển giữa các phím tạo thành nhịp riêng của mỗi người. Tuy vậy nhịp này dễ đổi khi mệt, gõ vội hay đổi bàn phím, nên chỉ dùng làm tín hiệu phụ.
Xác thực bằng giọng nói còn an toàn không?
Ngày càng kém an toàn khi dùng một mình, vì giọng nói dễ thu và trí tuệ nhân tạo có thể bắt chước từ đoạn ghi âm ngắn. Nhiều chuyên gia khuyên kết hợp với yếu tố khác hoặc chọn cách xác thực mạnh hơn.
Nhận dạng giọng nói và nhận dạng người nói khác nhau thế nào?
Nhận dạng giọng nói (lời nói) là máy hiểu bạn nói gì để chuyển thành chữ. Nhận dạng người nói là máy xác định ai đang nói. Chỉ loại thứ hai mới là sinh trắc học.
Ứng dụng có được thu sinh trắc hành vi mà không báo không?
Theo Nghị định 13/2023/NĐ-CP, thông tin sinh trắc học là dữ liệu cá nhân nhạy cảm, việc xử lý phải có căn cứ và người dùng phải được thông báo. Quy định có thể thay đổi, tính tới 11/2026; nên đọc chính sách quyền riêng tư của ứng dụng.
