Đề xuất bảo mật khi tích hợp FPT.AI eKYC

Tài liệu này cung cấp các hướng dẫn và khuyến nghị bảo mật dành cho khách hàng khi tích hợp giải pháp FPT.AI eKYC, nhằm đảm bảo an toàn dữ liệu và chống lại các rủi ro gian lận.

1. Sự phối hợp bảo mật giữa FPT.AI và Khách hàng

Để mang lại một quy trình định danh (eKYC) an toàn và đáng tin cậy nhất, bảo mật sẽ là sự đồng hành chặt chẽ giữa hệ thống FPT.AI và Hệ thống của Khách hàng:

• Về phía FPT.AI eKYC: FPT.AI tập trung đảm bảo độ chính xác của các thuật toán AI (nhận diện khuôn mặt, trích xuất giấy tờ). Đặc biệt, hệ thống phát hiện giả mạo sinh trắc học (Liveness Detection / Presentation Attack Detection - PAD) của FPT.AI đã vượt qua kiểm định theo tiêu chuẩn quốc tế ISO/IEC 30107-3 Level 2 — cấp độ cao nhất hiện hành dành cho phát hiện tấn công giả mạo trình diễn (Presentation Attack). Tiêu chuẩn này đánh giá khả năng phát hiện các hình thức giả mạo vật lý trước cảm biến camera, bao gồm: ảnh in, phát lại video trên thiết bị số (replay attack), mặt nạ 3D, mặt nạ silicon, và các đạo cụ tinh vi khác. Khách hàng có thể đọc thêm thông tin về tiêu chuẩn tại đây: https://fptsmartcloud.com/fpt-ai-ekyc-dat-chung-nhan-sinh-trac-hoc-quoc-te-iso-iec-30107-3/ Lưu ý quan trọng: ISO/IEC 30107-3 là tiêu chuẩn dành cho Presentation Attack (tấn công giả mạo trình diễn), tức các cuộc tấn công diễn ra trong thế giới vật lý trước ống kính camera. Tiêu chuẩn này không bao gồm các hình thức Injection Attack (tấn công tiêm chèn) — nơi kẻ tấn công inject dữ liệu giả (video deepfake, ảnh đã qua chỉnh sửa, v.v.) trực tiếp vào luồng dữ liệu số thông qua các công cụ can thiệp phần mềm (camera ảo, thiết bị root, gọi API trực tiếp, v.v.). Để phòng chống Injection Attack, cần có các lớp bảo vệ bổ sung từ phía thiết bị và ứng dụng (xem phần phía Khách hàng và khuyến nghị cho Mobile SDK bên dưới).

  Đồng thời, FPT.AI chịu trách nhiệm bảo vệ an toàn tuyệt đối cho dữ liệu trong suốt quá trình xử lý trên hệ thống Backend.

• Về phía Khách hàng: Để bức tường bảo mật được toàn diện, Khách hàng đóng vai trò quan trọng trong việc bảo vệ môi trường chạy ứng dụng (Web / Mobile App) ngay trên thiết bị của người dùng cuối. Việc này bao gồm duy trì kết nối mạng an toàn và thiết lập các rào chắn chống can thiệp vào ứng dụng từ bên ngoài.

2. Khuyến nghị Bảo mật cho Web SDK

Môi trường trình duyệt Web có những đặc thù riêng và không thể thực hiện các kiểm tra tính toàn vẹn phần cứng (như check Root/Jailbreak) sâu như ứng dụng Mobile native. Do đó, để sử dụng Web SDK an toàn, khách hàng cần tuân thủ:

1. Bắt buộc sử dụng giao thức HTTPS (Secure Context):

   • Để ngăn chặn các cuộc tấn công tiêm chèn (Injection Attack), FPT.AI Web SDK yêu cầu kết nối an toàn.
   • Trên môi trường thực tế (Production), SDK sẽ được kích hoạt cơ chế bảo vệ và chỉ hoạt động khi trang web của Khách hàng chạy trên HTTPS. Các kết nối HTTP không mã hóa sẽ bị từ chối.
   • (Lưu ý: Trong quá trình tích hợp ban đầu, nếu Khách hàng cần test trên localhost hoặc giao thức HTTP, vui lòng liên hệ bộ phận hỗ trợ của FPT để được tạm thời cấp chế độ Development Mode).

2. Phiên bản Trình duyệt (Browser Compatibility):

   • Khuyến khích người dùng sử dụng các phiên bản ổn định (stable) mới nhất của Google Chrome hoặc Apple Safari.

3. Bảo vệ Website (Web Application Hardening):

   • Thiết lập Content Security Policy (CSP) chặt chẽ.
   • Bảo vệ hệ thống khỏi các lỗ hổng Cross-Site Scripting (XSS).

3. Khuyến nghị Bảo mật cho Mobile SDK & Native App

Khi tích hợp eKYC trên nền tảng ứng dụng di động, khách hàng nên tận dụng tối đa các lợi thế bảo mật của môi trường Native:

1. Phiên bản Hệ điều hành Tối thiểu (Minimum OS Policy):

   • Khách hàng chủ động thiết lập chặn các thiết bị chạy hệ điều hành quá cũ, vốn chứa nhiều lỗ hổng và không còn được nhà sản xuất hỗ trợ bản vá bảo mật.
   • Khuyến nghị tối thiểu: iOS 17+ và Android 14+.
   • Lưu ý quan trọng: Tiêu chuẩn bảo mật hệ điều hành thay đổi rất nhanh. Khách hàng cần thường xuyên theo dõi tin tức bảo mật để biết phiên bản OS nào mới bị bẻ khóa (jailbreak/root), từ đó chủ động nâng mức OS tối thiểu để bảo vệ hệ thống.
   • Mẹo tối ưu trải nghiệm (UX): Để tránh làm gián đoạn trải nghiệm của người dùng ở các tính năng thông thường, Khách hàng chỉ nên kiểm tra điều kiện hệ điều hành ở bước bắt đầu luồng eKYC / xác thực sinh trắc học, thay vì chặn ngay khi người dùng vừa mở ứng dụng.

2. Cảnh báo quan trọng khi sử dụng WebView (Hybrid Apps):

   • Nếu ứng dụng Mobile của Khách hàng nhúng Web SDK vào bên trong một thành phần WebView (thay vì tích hợp Mobile SDK Native trực tiếp), ứng dụng sẽ không được hưởng các lớp bảo vệ phần cứng từ phía SDK.
   • Giải pháp WebView tiềm ẩn rủi ro tấn công can thiệp dữ liệu cao hơn. Do đó, nếu sử dụng phương án này, khách hàng bắt buộc phải tự thiết lập các biện pháp đánh giá an toàn thiết bị độc lập.

3. Kiểm tra môi trường thiết bị (Device Integrity):

   • Mobile SDK hỗ trợ phát hiện các thiết bị rủi ro (như máy đã Root/Jailbreak, chạy trên phần mềm giả lập Emulator/Simulator, bị gắn công cụ gỡ lỗi Debugger, hoặc lạm dụng quyền Accessibility). Khách hàng có thể sử dụng các cờ (flags) này để quyết định chặn hoặc cho phép người dùng đi tiếp.

4. Thiết lập bảo mật nâng cao (App Hardening): Để chống lại các kịch bản vượt mặt eKYC tinh vi, ứng dụng di động nên tích hợp thêm:

   • Trình tự bảo vệ chống dịch ngược mã nguồn và can thiệp bộ nhớ (App Shielding / RASP).
   • Kiểm tra tính toàn vẹn ứng dụng với Google Play Integrity (Android) và Apple App Attest (iOS).
   • Ghim chứng chỉ máy chủ (Certificate Pinning) để bảo vệ luồng giao tiếp API giữa App và Backend.