BKIS và Công Nghệ Nhận Dạng Khuôn Mặt (Face Recognition)

Cập nhật 21.02.2009BKIS có báo cáo tại diễn đàn bảo mật BlackHat và được vnexpress tường thuật ở đây (khen hết lời). Nhận định của chuyên gia bảo mật có thể xem thêm ở đây (khác với khen).

[YOUTUBE]<object width="425" height="344"><param name="movie" value="http://www.youtube.com/v/H2a0KYtG97E&color1=0xb1b1b1&color2=0xcfcfcf&hl=en& feature=player_embedded&fs=1"></param><param name="allowFullScreen" value="true"></param><embed src="http://www.youtube.com/v/H2a0KYtG97E&color1=0xb1b1b1&color2=0xcfcfcf&hl=en& feature=player_embedded&fs=1" type="application/x-shockwave-flash" allowfullscreen="true" width="425" height="344"></embed></object>[/YOUTUBE]

(Video quảng cáo công nghệ nhận dạng khuôn mặt của Lenovo. Ngay khi người thân và cún cưng trong nhà cũng không thể nhận ra, thì máy tính vẫn nhận ra!)


Mấy ngày nay, các trang tin điện tử ở VN tràn ngập tin BKIS (Trung tâm an ninh mạng, ĐHBK Hà Nội), đã phát hiện ra lỗ hổng bảo mật trong tính năng đăng nhập máy tính bằng công nghệ nhận dạng khuôn mặt (face recognition) của các máy tính Lenovo, Toshiba và Asus.

BKIS đã tổ chức hẳn một buổi họp báo để công bố điều này, mà theo họ, phải mất hơn 4 tháng nghiên cứu mới khám phá ra. Dưới con mắt của các nhà báo VN, sự kiện này được ghi nhận như là một sự kiện lớn. Ví dụ, tờ Nhân Dân Điện Tử, cho rằng, "Phủ nhận công nghệ nhận dạng, BKIS qua mặt Asus, Lenovo, Toshiba". Hay với ICTNews, thì "Bkis xuyên thủng công nghệ bảo mật laptop". Vậy thực hư thế nào? Có phải đây là một điều khám phá có giá trị về bảo mật mà nhiều người không biết hay không?

1. Đăng nhập bằng công nghệ nhận dạng khuôn mặt
Với dòng Lenovo Y và Ideapads, công nghệ nhận dạng khuôn mặt Veriface được tích hợp để hỗ trợ người dùng đăng nhập, bên cạnh việc đăng nhập bằng cách gõ mật khẩu thông thường. Tính năng này có thể được tóm tắt như sau: đầu tiên người dùng sẽ đăng kí với máy tính khuôn mặt của mình. Để đăng kí, người dùng sẽ ngồi trước máy tính để máy tính thu nhận các hình ảnh liên quan đến khuôn mặt. Việc thu nhận hình ảnh được thực hiện thông qua webcam gắn liền với máy tính, với độ phân giải 1.3Megapixel. Bước đăng kí chỉ thực hiện một lần. Sau đó, mỗi khi muốn đăng nhập vào hệ thống, người dùng chỉ cần ngồi trước máy tính chìa mặt ra, máy tính sẽ tự động thu thập hình ảnh (face) và kiểm tra với thông tin đã đăng kí trước đó. Nếu đúng thì sẽ cho phép bạn sử dụng máy tính. Có thể xem video minh họa tại đây:

[YOUTUBE]<object width="425" height="344"><param name="movie" value="http://www.youtube.com/v/VRk5Gi1-F3U&color1=0xb1b1b1&color2=0xcfcfcf&hl=en&feature= player_embedded&fs=1"></param><param name="allowFullScreen" value="true"></param><embed src="http://www.youtube.com/v/VRk5Gi1-F3U&color1=0xb1b1b1&color2=0xcfcfcf&hl=en&feature= player_embedded&fs=1" type="application/x-shockwave-flash" allowfullscreen="true" width="425" height="344"></embed></object>[/YOUTUBE]

(Video minh họa tính năng đăng nhập bằng nhận dạng khuôn mặt của Lenovo Y series)

2. Công nghệ nhận dạng khuôn mặt (Face recognition technology)
Bài toán nhận dạng (recognition) khuôn mặt thường được mô tả như sau (xem hình): đưa vào một ảnh (face) của một người, hệ thống sẽ kiểm tra xem trong cơ sở dữ liệu xem người đó là người nào (ví dụ Mr. A). Bài toán tương tự là xác nhận (verfication), nghĩa là đưa vào ảnh được cho là của Mr. A, hãy kiểm tra xem, đó có đúng là Mr. A hay không. Đây là cách mà các hệ thống hỗ trợ đăng nhập như Veriface sử dụng.

http://4.bp.blogspot.com/_hy6-L-j5Jw...ition-Task.jpg

Mặc dầu công nghệ này đã được nghiên cứu hơn 30 năm (tutorial có thể xem tại đây), tuy nhiên kết quả hiện nay là khá khiêm tốn. Do đó, những ai biết chút ít về lĩnh vực này sẽ rất dễ dàng "bẻ gãy" các tính năng nhận dạng khuôn mặt. Ví dụ, nếu đeo thêm kính, hoặc đội mũ, hoặc để mặt nghiêng chứ ko phải thẳng, ánh sáng tối, đứng xa webcam, độ phân giải kém, ... thì máy tính hầu như không thể nhận dạng được (xem các video test: http://jp.youtube.com/watch?v=p7Fzq2...eature=related, http://jp.youtube.com/watch?v=rIvHUlTmAFk).

Nếu ảnh đầu vào đủ tốt (ví dụ ảnh có độ nét cao, chụp thẳng, không đeo kính, không cười), các công nghệ nhận dạng khuôn mặt hiện nay chắc chắn sẽ xác nhận được người đó là ai. Nghĩa là nếu ảnh vào là của Mr. A thì chắc chắn sẽ nhận ra được đó là Mr. A chứ không phải là Mr. B.

3. Về khám phá của BKIS
Trong demo của mình, BKIS dùng ảnh của Mr. A thay vì Mr. A bằng xương bằng thịt đứng trước máy tính để đăng nhập và kết quả là thành công. Nếu chiếu theo những gì đã bàn ở trên, điều khám phá này là quá tầm thường (trivial). Đầu vào của hệ thống nhận dạng là ảnh (face). Để có được ảnh, máy tính dùng webcam. Do đó, máy tính ko thể có khả năng nhận ra đâu là người bằng xương bằng thịt với ảnh photo được cả. Đối với nó, người ngồi trước webcam, hay ảnh để trước webcam là như nhau. Do đó, nếu dùng ảnh của Mr. A có chất lượng đủ tốt như nói ở trên, thì chắc chắn máy tính phải nhận ra đó là Mr. A. Không nhận ra được mới là chuyện lạ. :-)

http://i.i.com.com/cnwk.1d/i/bto/20081202/4_610x379.JPG
(Minh họa của BKIS. Người lạ có thể đăng nhập dùng ảnh thay cho người thật!).

Vậy khám phá của BKIS thực chất là gì? Thực chất khám phá của BKIS là phủ nhận một điều rằng, dùng ảnh thay cho người để đăng nhập là không thể, như trong các quảng cáo của Lenovo và Toshiba. Xem demo của Toshiba ở dưới:

[YOUTUBE]<object width="425" height="344"><param name="movie" value="http://www.youtube.com/v/srciOY9EWwU&color1=0xb1b1b1&color2=0xcfcfcf&hl=en& feature=player_embedded&fs=1"></param><param name="allowFullScreen" value="true"></param><embed src="http://www.youtube.com/v/srciOY9EWwU&color1=0xb1b1b1&color2=0xcfcfcf&hl=en& feature=player_embedded&fs=1" type="application/x-shockwave-flash" allowfullscreen="true" width="425" height="344"></embed></object>[/YOUTUBE]

(Video quảng cáo của Toshiba. Nếu đưa vào ảnh, máy tính sẽ biết ngay đó không phải là người thật)

Rõ ràng, các hãng máy tính như Lenovo, Toshiba biết mọi người sẽ lo lắng chuyện dùng ảnh có thể đăng nhập được hay không nên họ đã đưa thêm một số tính năng để kiểm tra ảnh thu nhận vào là của người thực hay là ảnh tĩnh. Ví dụ, Veriface có thể kiểm tra xem mắt có chớp không,

Using a photo won't fool the VeriFace technology, as it looks for small eye movements which cannot be replicated in an image.

"Kết quả nghiên cứu 4 tháng" của BKIS thực ra chẳng mang lại chút ý nghĩa nào về mặt học thuật. Thực chất của "nghiên cứu" này đó là làm cách nào để bypass cách máy tính phân biệt đâu là người thật và đâu là ảnh tĩnh từ kết quả thu nhận của webcam. Do đó, những mỹ từ mà các nhà báo gán cho thành quả của BKIS như "phủ nhận công nghệ nhận dạng", "xuyên thủng công nghệ bảo mật" đã đi quá xa với thực tế hiện có. Cách bypass này có thể thấy không có gì quá khó. Thứ nhất, là nếu máy tính kiểm tra xem có eye-movement hay không thì chỉ cần lúc cầm cái ảnh ko nên để yên mà nên xê dịch chút ít. Thứ hai, ảnh nên được in với độ nét cao nhất có thể, hoặc có thể dùng một số phần mềm để làm tăng độ nét của ảnh trong trường hợp ảnh không rõ (ví dụ chụp qua web cam). Thứ ba, lúc đưa ảnh trước webcam, nên đưa gần một tí để khuôn mặt mà máy tính thu nhận được đủ lớn và đủ chi tiết. (Trong bài này, BKIS dùng ảnh in ra ở kích thước A4, đủ để minh họa cách giải thích trên).

Ngoài ra, có thể nói các kịch bản mà BKIS đưa ra rất thiếu tính thực tế. Nếu đã tiếp cận được máy của nạn nhân rồi thì không cần đến việc dụ chụp ảnh qua webcam, vẫn có nhiều cách để phá mật khẩu đăng nhập. Còn nếu nói rằng, đăng nhập bằng cách dùng ảnh sẽ ko làm cho nạn nhân biết máy tính bị truy cập trái phép, thì cũng không hợp lí. Bởi vì khi đã bật tính năng nhận dạng khuôn mặt lên, máy tính sẽ luôn luôn ghi lại người làm việc trước máy tính là ai. Chỉ có cách che cái webcam lại thì may ra, nhưng bằng cách này thì trước sau gì người ta cũng biết máy bị truy cập trái phép.

Nói tóm lại, có 2 ý chính sau:
- Khám phá của BKIS chẳng có gì là đáng nói về mặt công nghệ và học thuật.
- Tuy nhiên, thí nghiệm để đi đến cảnh báo của BKIS là rất có ích cho người dùng. Đặc biệt là người dùng quá tin vào quảng cáo rằng, đăng nhập bằng công nghệ nhận dạng khuôn mặt là an toàn. Nếu bạn đã từng xem phim Những Thiên Thần Charlies, sẽ thấy một demo tương tự. Ba cô gái đã lần lượt lấy thông tin về vân tay (fingerprints), tròng mắt (iris) của nạn nhân để đăng nhập vào hệ thống bảo mật một cách dễ dàng.

Lê Đình Duy

Bảo mật công nghệ sinh trắc học vẫn sẽ là những công nghệ bảo mật tuyệt vời. Hiện thì vẫn có những khó khăn nhưng không phải là không khắc phục đc. Đơn cử, với công nghệ nhận dạng vân tay. Chỉ cần lấy một miếng Silicon, in cái vân tay của chủ sở hữu là vào đc hết.
Với công nghệ nhận dạng khuôn mặt, hiện có thể dùng ảnh, nhưng chẳng khó khăn gì để sử dụng công nghệ 3D quan sát. Hoặc đơn giản là yêu cầu người xác thực phải có hành động (chơp mắt, vuốt tóc, ...). Chẳng lẽ đi xây dựng một đoạn video giả sao???
Dù sao. Mình vẫn ghét BKIS vì cái phần mềm BKAV chuối cả rừng luôn.

" Dù sao. Mình vẫn ghét BKIS vì cái phần mềm BKAV chuối cả rừng luôn. "

chuẩn không cần chỉnh , KIS vẫn là vô đối :picknose:

Lại là anh Quảng nổ,chả biết nói thế nào =))