Cảm biến vân tay và camera IR trên laptop – Đăng nhập sinh trắc an toàn tới đâu

Từ laptop văn phòng phổ thông tới dòng doanh nhân, cảm biến vân tay và camera IR đã trở thành cặp phương án thay mật khẩu quen thuộc trên Windows. Đằng sau một lần chạm nút nguồn hay một lần nhìn vào màn hình là cả chuỗi xử lý phía sau, gồm chip so khớp mẫu sinh trắc, kênh truyền mã hoá, vùng nhớ cách ly bằng ảo hoá và mã PIN dự phòng. Bài viết phân tích nguyên lý từng loại cảm biến, chuẩn Enhanced Sign-in Security, mức an toàn thực chất của đăng nhập sinh trắc so với mật khẩu và cách xử lý các lỗi hay gặp.

Cảm biến vân tay trên laptop nhận dạng dấu vân tay ra sao

Cảm biến vân tay phổ biến trên laptop hoạt động theo nguyên lý điện dung. Bề mặt cảm biến chứa một ma trận điểm đo rất nhỏ, khi đầu ngón tay chạm vào thì các gờ vân nằm sát bề mặt, còn các rãnh vân cách xa hơn một chút, tạo ra chênh lệch điện dung đáng kể giữa từng điểm. Bộ điều khiển đọc chênh lệch đó thành một ảnh xám của vùng vân tay, sau đó trích xuất các điểm đặc trưng như vị trí gờ vân kết thúc hoặc rẽ nhánh để so khớp với mẫu đã đăng ký từ trước.

Cảm biến vân tay cùng Windows Hello không giữ lại ảnh chụp ngón tay để so sánh. Theo tài liệu Windows Hello của Microsoft, dữ liệu sinh trắc chỉ được lưu cục bộ trên thiết bị, không đồng bộ sang thiết bị khác và không bao giờ gửi lên máy chủ. Thứ được lưu là mẫu đặc trưng dạng số, dùng để đối chiếu ở những lần chạm sau. Nhờ vậy, đăng nhập sinh trắc không tạo ra một kho dữ liệu tập trung, nên kẻ tấn công không có một điểm duy nhất để đánh cắp vân tay hàng loạt như khi một máy chủ mật khẩu bị xâm nhập.

Trong yêu cầu sinh trắc học cho Windows Hello, Microsoft chia cảm biến vân tay thành ba nhóm, gồm loại diện tích lớn đạt từ 160 x 160 điểm ảnh ở mật độ 320 dpi, loại diện tích nhỏ dưới ngưỡng đó và loại quẹt. Loại diện tích lớn phải có tỷ lệ chấp nhận nhầm dưới 0,001%, hai loại còn lại dưới 0,002%, và cả ba đều bắt buộc có cơ chế chống giả mạo với tỷ lệ từ chối nhầm thực tế dưới 10%. Quy đổi ra kích thước, 160 điểm ở 320 dpi chỉ tương đương khoảng 12,7 mm mỗi cạnh.

Nút nguồn tích hợp vân tay và cảm biến rời trên touchpad

Trên laptop, cảm biến vân tay thường xuất hiện ở hai vị trí, hoặc tích hợp vào nút nguồn, hoặc đặt thành một ô cảm biến rời ở vùng kê tay cạnh touchpad. Kiểu tích hợp nút nguồn gộp hai thao tác làm một, vì ngón tay nhấn để mở laptop cũng đồng thời được quét, nên khi màn hình khoá hiện lên, Windows có thể đã xác minh xong danh tính. Ưu thế này rõ nhất với laptop mỏng nhẹ, nơi nhà sản xuất cần tiết kiệm từng milimét trên mặt C và muốn giữ bố cục gọn gàng.

Nhược điểm của kiểu nút nguồn đến từ chính vị trí đặt cảm biến. Bề mặt nút nguồn hẹp nên cảm biến vân tay gắn ở đây thường thuộc nhóm diện tích nhỏ trong phân loại của Microsoft, vùng da được quét mỗi lần chỉ là một phần ngón tay. Đặt lệch ngón, ngón tay còn ướt hoặc dính kem dưỡng đều dễ dẫn tới từ chối nhầm. Khi người khác nhấn nút nguồn, lần quét đó đơn giản không khớp và Windows giữ nguyên màn hình khoá để chờ PIN.

Ô cảm biến rời trên vùng kê tay tách biệt thao tác bật laptop với thao tác xác thực, nên người sở hữu có thể mở nắp, chờ màn hình khoá rồi mới đặt ngón tay. Cách bố trí này tốn thêm diện tích và thêm một chi tiết trên mặt C, bù lại trải nghiệm chủ động hơn và ít quét nhầm khi chỉ muốn đánh thức laptop. Dù đặt ở đâu, yếu tố quyết định mức an toàn của cảm biến vân tay vẫn là khả năng so khớp ngay trên chip và kênh truyền được mã hoá, hai nội dung được phân tích ở phần sau.

Camera IR nhận diện khuôn mặt bằng ảnh hồng ngoại cận

Phương thức đăng nhập sinh trắc bằng khuôn mặt của Windows Hello không dựa vào webcam màu thông thường mà cần camera hồng ngoại cận, thường được gọi là camera IR, đặt cạnh webcam ở viền trên màn hình. Microsoft giải thích lựa chọn này từ kinh nghiệm với Kinect trên Xbox 360, khi việc phụ thuộc ánh sáng môi trường cho ra hình ảnh thiếu ổn định. Ảnh hồng ngoại cận duy trì độ nhất quán cả khi phòng tối, lúc chiếu slide hay khi ngồi cạnh cửa sổ chịu ánh sáng xiên từ một phía.

Ưu thế thứ hai của ảnh hồng ngoại nằm ở khả năng chống giả mạo cơ bản. Theo tài liệu thiết kế của Microsoft, hình ảnh hồng ngoại không hiển thị trong ảnh in hay trên màn hình LCD vì thuộc bước sóng khác, nên kiểu tấn công giơ ảnh chụp khuôn mặt trước camera bị loại từ đầu. Hệ thống cũng không lưu ảnh khuôn mặt, chỉ lưu một biểu diễn dạng histogram mô tả độ chênh sáng tối quanh các điểm đặc trưng, và dữ liệu đăng ký không bao giờ được gửi cho website hay ứng dụng.

Về ngưỡng chính xác, Microsoft yêu cầu nhận diện khuôn mặt có tỷ lệ chấp nhận nhầm dưới 0,001%, tức dưới 1 trên 100.000 lần thử, tỷ lệ nhận đúng trên 95% khi chỉ có một tài khoản đăng ký và thời gian xác thực dưới 2 giây. Khác cảm biến vân tay, camera IR cho phép đăng nhập sinh trắc chỉ bằng việc mở nắp và nhìn vào màn hình. Đổi lại, cụm camera này chiếm chỗ trên viền màn hình, làm cấu hình phần cứng phức tạp hơn và phụ thuộc chipset khi muốn đạt chuẩn bảo mật cao hơn.

Match-on-Chip và Enhanced Sign-in Security bảo vệ dữ liệu sinh trắc

Với cảm biến vân tay, khác biệt lớn nhất giữa các thiết kế nằm ở nơi diễn ra việc so khớp. Loại so khớp trên máy chủ (match-on-host) gửi dữ liệu quét về bộ xử lý của laptop để đối chiếu với mẫu lưu trên ổ đĩa. Loại Match-on-Chip, còn gọi là match-on-sensor, tích hợp vi xử lý và bộ nhớ ngay trong chip cảm biến, nên mẫu vân tay nằm yên trong chip và chỉ kết quả khớp hoặc không khớp được gửi ra ngoài, kể cả khi hệ điều hành đã bị mã độc chiếm quyền.

Thành phần	Điều kiện để chạy ESS theo Microsoft
Cảm biến vân tay	So khớp trên chip, mang chứng chỉ Microsoft nạp từ khâu sản xuất
Camera khuôn mặt	Camera IR dùng chipset hỗ trợ, firmware tích hợp sẵn, driver UVC chuẩn của Windows
Nền tảng hệ thống	Đáp ứng yêu cầu VBS, có TPM 2.0 và bảng ACPI SDEV cho camera
Thiết bị ngoại vi	Camera rời không được hỗ trợ, cảm biến không đạt ESS bị chặn
Copilot+ PC	Mọi Copilot+ PC bật ESS theo mặc định

Enhanced Sign-in Security (ESS) là lớp bảo vệ Microsoft bổ sung trên Windows 11 và Windows 10 để khoá chặt con đường đăng nhập sinh trắc. Theo tài liệu Enhanced Sign-in Security trên Microsoft Learn, thuật toán khuôn mặt chạy trong vùng bảo mật dựa trên ảo hoá VBS, mẫu khuôn mặt được tạo ngay trong VBS rồi mã hoá bằng khoá chỉ VBS truy cập. Với cảm biến vân tay, ESS chỉ hỗ trợ loại so khớp trên chip, mang chứng chỉ do Microsoft cấp và được nạp vào chip từ khâu sản xuất.

Cầu nối giữa ESS và phần cứng là chip TPM 2.0, vì các thành phần sinh trắc chạy trong VBS lập kênh an toàn tới TPM bằng thông tin TPM chia sẻ lúc khởi động. TPM 2.0 cùng Secure Boot cũng là điều kiện mà trình chống gian lận cấp nhân của một số trò chơi đòi hỏi, cơ chế được phân tích trong bài TPM 2.0 và Secure Boot: Điều kiện bảo mật để chơi Valorant. Khi ESS được kích hoạt, camera rời không được hỗ trợ và mọi cảm biến không đạt chuẩn đều bị chặn.

Đăng nhập sinh trắc so với mã PIN và mật khẩu truyền thống

Nhiều người nghĩ đăng nhập sinh trắc thay hẳn mã PIN, nhưng trong Windows Hello, PIN mới là nền tảng. Khi thiết lập vân tay hay khuôn mặt, Windows yêu cầu tạo PIN trước, và PIN là phương án dự phòng mỗi khi cảm biến không nhận ra. Microsoft mô tả sinh trắc là cách thay yếu tố người dùng biết bằng yếu tố thuộc về chính cơ thể, kèm bảo đảm luôn quay lại được yếu tố đã biết khi cần.

Tiêu chí	Mật khẩu trực tuyến	PIN Windows Hello	Vân tay hoặc khuôn mặt
Nơi lưu bí mật	Máy chủ dịch vụ	Chỉ trên thiết bị, gắn TPM	Chỉ trên thiết bị, dạng mẫu đặc trưng
Dùng từ xa khi bị lộ	Có	Không, cần kèm thiết bị	Không, cần kèm thiết bị
Chống dò đoán	Tuỳ dịch vụ	Tích hợp sẵn	Giới hạn bởi tỷ lệ chấp nhận nhầm
Vai trò khi cảm biến lỗi	Khôi phục tài khoản	Phương án dự phòng	Chuyển sang PIN

Điểm mấu chốt nằm ở chỗ PIN gắn với một thiết bị cụ thể. Theo Microsoft, PIN không bao giờ rời khỏi thiết bị và có sẵn cơ chế chống dò đoán tích hợp, còn khoá xác thực được tạo ra trong vùng cách ly của TPM, nên không có bí mật đối xứng nào nằm trên máy chủ để bị đánh cắp hay lừa lấy từ xa. Kẻ tấn công vì thế phải chiếm được cả laptop lẫn PIN, hoặc vượt qua lớp đăng nhập sinh trắc ngay trên laptop đó. Mật khẩu tài khoản trực tuyến thì ngược lại, lộ ở đâu cũng có thể bị dùng từ xa.

Một số tính năng Windows đòi hỏi đăng nhập sinh trắc chứ không chấp nhận riêng PIN. Recall trên Copilot+ PC là ví dụ, khi Microsoft yêu cầu bật ít nhất một phương thức khuôn mặt hoặc vân tay mới mở được Recall, còn dữ liệu ảnh chụp màn hình chỉ được giải mã tức thời dưới sự bảo vệ của ESS. Tranh cãi quanh tính năng này, tổng hợp trong bài Các ứng dụng bảo mật phản đối Windows Recall – Cảnh báo nghiêm trọng về quyền riêng tư trên Windows 11, lý giải vì sao lớp sinh trắc được chọn làm chốt chặn.

Lỗi đăng nhập vân tay thường gặp và cách khắc phục trên Windows

Lỗi phổ biến nhất khi đăng nhập sinh trắc bằng vân tay là thông báo không nhận ra kèm gợi ý thử ngón khác. Hướng dẫn của Microsoft xử lý theo thứ tự, trước hết lau sạch và giữ khô bề mặt cảm biến, sau đó ưu tiên đăng ký lại vân tay với nhiều góc đặt ngón khác nhau, rồi thêm một ngón thứ hai làm dự phòng. Với cảm biến vân tay trên nút nguồn, bề mặt nhỏ khiến việc đăng ký nhiều góc càng quan trọng, vì mỗi lần nhấn nút, ngón tay thường chạm ở một vị trí hơi khác.

Nhóm lỗi thứ hai là cảm biến vân tay hoặc camera IR biến mất khỏi danh sách tuỳ chọn, hay báo tạm thời không khả dụng, thường xuất hiện sau một bản cập nhật Windows hoặc driver. Hướng xử lý là xác nhận driver cảm biến đã ở phiên bản mới nhất từ trang hỗ trợ của hãng laptop, và khi Windows yêu cầu tạo lại PIN thì thực hiện ngay, vì Microsoft ghi nhận hiện tượng này có thể do bản cập nhật bảo mật. Nếu vẫn lỗi, gỡ phương thức đăng nhập sinh trắc trong Sign-in options rồi thiết lập lại từ đầu.

Với camera IR, Microsoft khuyến nghị lau ống kính, tránh nguồn sáng quá gắt và dùng mục Improve recognition để thêm một mẫu khuôn mặt, nhất là khi bắt đầu hoặc thôi đeo kính, hay thay đổi râu. Trường hợp cắm camera rời hoặc cảm biến vân tay USB mà Windows không cho đăng nhập sinh trắc, nguyên nhân thường là ESS đang bật. Từ phiên bản Windows 11 22H2 với bản cập nhật KB5031455, chủ laptop có thể tạm tắt ESS, đổi lại chấp nhận giảm một lớp bảo vệ dữ liệu sinh trắc.

Câu hỏi thường gặp

Cảm biến vân tay trên laptop có lưu ảnh ngón tay không?

Không. Windows Hello chỉ lưu mẫu đặc trưng dạng số trên chính thiết bị và không đồng bộ lên đám mây. Với loại Match-on-Chip, mẫu này nằm trong bộ nhớ của chip cảm biến, hệ điều hành chỉ nhận về kết quả khớp hoặc không khớp.

Làm sao biết laptop có hỗ trợ Enhanced Sign-in Security?

Theo Microsoft, cảm biến vân tay hỗ trợ ESS có giá trị registry SecureFingerprint bằng 1, còn camera khuôn mặt hỗ trợ ESS hiển thị khả năng CM_DEVCAP_SECUREDEVICE trong Device Manager. Mọi Copilot+ PC đều bật sẵn ESS.

Đăng nhập sinh trắc có thay thế hoàn toàn mật khẩu không?

Trên chính laptop đó, vân tay hoặc khuôn mặt cùng PIN dự phòng thay cho việc gõ mật khẩu hằng ngày. Mật khẩu tài khoản Microsoft hoặc tài khoản công ty vẫn cần để khôi phục tài khoản, đăng nhập trên thiết bị khác và đặt lại PIN khi quên.

Cảm biến vân tay có bị vượt qua không?

Đã có tiền lệ. Nghiên cứu do nhóm MORSE của Microsoft đặt hàng, công bố tháng 11/2023, vượt qua lớp xác thực cảm biến vân tay của Windows Hello trên Dell Inspiron 15, Lenovo ThinkPad T14 và Surface Pro Type Cover. Điểm chung là giao thức mã hoá SDCP bị tắt, triển khai chưa trọn vẹn hoặc không có, nên cập nhật firmware và bật ESS là cách giảm rủi ro.