Chắc các bạn cũng biết rằng trong quý 3 vừa qua, các ứng dụng ngân hàng đồng loạt phát ra thông báo chặn ứng dụng có quyền trợ năng và khuyến cáo người dùng tắt chúng đi. Một số ứng dụng ngân hàng còn làm mạnh tay hơn khi ép người dùng phải tắt các ứng dụng không được ngân hàng cho phép nếu muốn tiếp tục sử dụng ứng dụng đó (tôi đang nhìn bạn đấy Vietcombank). Thế thì quyền trợ năng là cái gì mà khiến ngành tài chính đau đầu thế?
Quyền trợ năng và lợi ích
MB có một đoạn văn bản nói về quyền trợ năng mà tôi thấy khá tâm đắc. Mặc dù MB đã xóa đoạn này nhưng một số ứng dụng khác đã kịp copy đoạn này, và tôi xin trích lại nội dung này.
Quyền trợ năng (Accessibility) trên điện thoại là tính năng đem đến các giải pháp hỗ trợ tất cả mọi người, trong đó có cả những người bị giới hạn về thể chất và các giới hạn khác có thể sử dụng điện thoại một cách thuận tiện. Các tính năng khác nhau của trợ năng trên điện thoại sẽ đáp ứng đầy đủ các nhu cầu mà người dùng cần.
Đây là một định nghĩa rất tốt, vì mọi người xứng đáng được dùng điện thoại theo cách thuận tiện nhất cho họ, chứ không riêng gì người khuyết tật. Cần chữ to hơn, đậm hơn? Được. Bảo điện thoại đọc nội dung trên màn hình? Duyệt. Muốn một phím tắt giúp người dùng truy cập các tính năng trên điện thoại mà không phải di chuyển tay quá xa hoặc dùng phím cứng? Quá ổn! Mọi hệ điều hành phổ biến đều có sẵn một bộ công cụ trợ năng cơ bản để hỗ trợ người dùng, và đó là lý do tại sao người khiếm thính, khiếm thị hay người bị mất khả năng vận động vẫn có thể sử dụng điện thoại, máy tính được.
Nhưng mà bộ công cụ đó chỉ đáp ứng một số nhu cầu cơ bản. Giả sử tôi muốn dùng điện thoại chỉ bằng mắt hoặc đầu thì sao? Với tính mở của mình, Android hỗ trợ lập trình viên nhiều công cụ để họ có thể giải quyết các nhu cầu trợ năng của người dùng, chẳng hạn như đọc nội dung trên màn hình, gửi phím bấm phần cứng hay gửi thao tác nhấn trên màn hình. Nhờ các quyền này, lập trình viên có thể tạo ra ứng dụng giúp người có nhu cầu có thể kết nối công tắc điều khiển bằng đầu, sau đó ứng dụng có thể hiện con trỏ đặc biệt và di chuyển nó theo công tắc của người dùng; hoặc ứng dụng có thể biết người dùng đang nhìn vào đâu trên màn hình thông qua camera chuyên dụng và đưa con trỏ đến đó để thao tác thay người dùng.
Video trên nói về việc người dùng Apple sử dụng các tính năng trợ năng trong các sản phẩm của họ. Nếu bạn vẫn chưa hình dung ra việc điều khiển thiết bị bằng đầu là như thế nào, Sady Paulson (xuất hiện ở đầu và cuối video) đang sử dụng Switch Control để soạn thảo văn bản và dựng video.
Tất nhiên là khi bạn cho lập trình viên công cụ, họ sẽ tận dụng chúng để làm nhiều thứ hay ho hơn. Chẳng hạn như SD Maid, họ dọn cache tự động cho máy bằng cách nhấn chuỗi nút trên màn hình để bạn không phải kiếm từng ứng dụng và làm nữa. Ứng dụng có phủ một lớp lên màn hình nhưng lớp này mờ một chút để bạn thấy rõ ứng dụng đang thao tác gì dưới lớp phủ đó. Hoặc là Fluid Navigation Gestures (ứng dụng đã ngừng phát triển vài năm nay), ứng dụng có thể giúp tạo các cử chỉ để dùng máy nhanh và thuận tiện hơn — nó có mặt trước khi Android có cử chỉ điều hướng như bây giờ. FNG giúp tôi có thể mở camera, mở ứng dụng gọi điện, khóa máy hay chụp ảnh màn hình chỉ bằng một lần vuốt. Ứng dụng giúp cho người dùng nâng cao làm mọi thứ tiện hơn, và nó giúp tôi điều khiển điện thoại khi chỉ có một ngón tay rảnh hoặc tay đau và không thể nhấn phím cứng. Tất nhiên là ứng dụng cần quyền trợ năng để gửi các phím nhấn tới hệ thống thì mới hoạt động được rồi.
Video trên thể hiện cách tôi sử dụng SD Maid để dọn rác trên điện thoại, và cuối video tôi có sử dụng các cử chỉ của FNG để thực hiện một số tác vụ trên máy mà không cần dùng đến phím cứng.
Khi quyền trợ năng được tận dụng đúng cách, nó sẽ khiến trải nghiệm dùng đồ công nghệ trở nên tuyệt vời hơn rất nhiều, và còn giúp người khuyết tật không mất cơ hội sử dụng thiết bị công nghệ họ muốn nữa.
Khi quyền trợ năng bị lợi dụng
Tất nhiên là với công cụ mạnh mẽ như thế thì việc kẻ xấu lợi dụng là điều không thể tránh khỏi. Vậy kẻ xấu đã làm gì?
Bước 1: Kẻ xấu tiếp cận bạn qua điện thoại, mạng xã hội hay trực tiếp. Kịch bản có thể là giả nhân viên cơ quan thuế dụ tải ứng dụng khai báo thuế, lừa là người quen nhờ bình chọn nội dung hay là hiện popup giả báo máy bị virus. Dù kịch bản có giống như thế hoặc không, kẻ xấu vẫn sẽ dụ bạn tải ứng dụng không đến từ chợ ứng dụng, chẳng hạn là file apk, sau đó cài vào máy.
Bước 2: Sau khi cài đặt ứng dụng và khởi chạy, ứng dụng sẽ bảo bạn cho phép quyền trợ năng cho ứng dụng giả mạo đó. Nếu bạn đồng ý, ứng dụng đó sẽ có thể phủ một lớp lên màn hình làm bạn nghĩ rằng máy bị đơ, nhưng bên dưới lớp phủ thì ứng dụng gửi các lệnh chạm lên điện thoại và đọc những gì hiển thị trên màn hình. Và tất nhiên là sau khi bạn cấp quyền, chúng sẽ thực hiện mở ứng dụng ngân hàng của bạn và chuyển tiền đến tài khoản của kẻ lừa đảo, thực hiện thanh toán dịch vụ, hoặc/và lấy cắp các thông tin thẻ ngân hàng và những nội dung quan trọng khác.
Vậy là vấn đề ở đây phát sinh từ việc người dùng chưa được trang bị kiến thức dẫn đến việc nghe theo kẻ xấu tải ứng dụng độc hại. Chúng ta cũng hiểu được vì sao ngân hàng lại chặn ứng dụng cần quyền trợ năng, vì họ nghĩ đến việc bảo vệ người dùng. Tuy nhiên khi đánh giá rủi ro, có vẻ họ đã phớt lờ sự quan trọng của quyền trợ năng.
Xử lý không đồng bộ
Các ứng dụng ngân hàng hiện đang giải quyết vấn đề này theo nhiều cách khác nhau. Tại thời điểm viết bài này…
- HDBank cho phép người dùng tự chịu trách nhiệm cho hành động của mình. Ứng dụng chỉ hiện một popup thông báo và cho phép người dùng bỏ qua sau vài giây. Cách này tuy ít phiền toái cho người dùng nhất, nhưng kẻ xấu có thể thao tác dưới lớp phủ để bỏ qua thông báo đó mà người dùng không hay biết.
- VietinBank thì chỉ dừng ứng dụng khi phát hiện ứng dụng nằm trong danh sách rủi ro, và sẽ yêu cầu người dùng quét mặt khi thực hiện giao dịch nếu có các ứng dụng cần quyền trợ năng khác trong máy — cách này thì hơi bất tiện khi giao dịch trong môi trường thiếu sáng nhưng cũng chấp nhận được.
- Trong khi đó, ví VNPAY thì chỉ hiện cảnh báo mỗi khi khởi động, cho phép người dùng bỏ qua và chỉ hiện CAPTCHA giải toán, cách này hơi phiền nhưng cũng đỡ hơn việc chặn người dùng sử dụng.
- MB và Vietcombank thì chặn hết ứng dụng không được ngân hàng cho phép và phải tắt quyền trợ năng của chúng thì mới sử dụng được ứng dụng, nhưng có vẻ MB làm cẩn thận hơn khi có giám sát ứng dụng của người dùng trước khi ra lệnh chặn và chặn ít ứng dụng hơn VCB rất nhiều — tôi có hai ứng dụng hay sử dụng nhất cần quyền trợ năng là SD Maid và FNG, và với phiên bản mới nhất của MB thì tôi vẫn sử dụng bình thường, trong khi VCB thì không cho.
- BIDV chuyển từ nhắc nhở kiểu VNPAY sang chặn ứng dụng không tin cậy giống VCB và MB, nhưng yêu cầu tắt còn ngặt nghèo hơn khi bắt người dùng tắt cả Microsoft Authenticator (quyền trợ năng giúp ứng dụng đọc nội dung trong ứng dụng khác để Authenticator điền mật khẩu ở nhiều ứng dụng hơn) hay Microsoft Launcher (quyền trợ năng giúp ứng dụng nhấn phím nguồn tại màn hình chính khi người dùng nhấn kép vào vùng trống).
Việc xử lý không đồng nhất thế này khiến người dùng nâng cao ảnh hưởng khi họ không thể biết trước ngân hàng sẽ phản ứng với ứng dụng họ đang dùng thế nào cho đến khi bị chặn. Nhưng chịu ảnh hưởng nặng nề nhất là người dùng những ứng dụng trợ năng được thiết kế riêng biệt, vì lượng người dùng những ứng dụng loại này không đủ lớn nên ngân hàng có thể đã bỏ qua chúng trong khi xét duyệt ứng dụng cho phép. Đâu thể chỉ vì lý do bảo mật mà gây ảnh hưởng đến một nhóm người dùng không hề nhỏ?
Bảo mật vs. thuận tiện
Trước khi bàn về cách giải quyết cho vấn đề ứng dụng trợ năng, hãy cùng xem qua một vài trường hợp về bảo mật để xem chúng ta nên tiếp cận vấn đề này như thế nào nhé.
Trường hợp 1: Mật khẩu
Để đảm bảo an toàn cho hệ thống, công ty A đã cài đặt quy định yêu cầu đổi mật khẩu: Sau mỗi 60 ngày, mật khẩu đăng nhập vầo hệ thống sẽ hết hạn và nhân viên sẽ phải thay mật khẩu. Họ làm thế vì nghĩ rằng mật khẩu thay thường xuyên thì sẽ tránh bị tin tặc dò ra, nhưng thứ mà họ không nhận ra là điều này khiến phòng IT phải giải quyết các yêu cầu cấp lại mật khẩu nhiều hơn, tệ hơn thì có nhiều người viết mật khẩu của họ ra giấy cho khỏi quên, và nếu dán trước màn hình máy tính thì không biết mật khẩu còn tác dụng gì nữa không.
Microsoft hiểu điều đó và họ không còn khuyến khích việc ép người dùng đổi mật khẩu thường xuyên nữa (xem tại đây). Đổi mật khẩu sẽ chỉ có tác dụng khi biết hoặc nghi ngờ mật khẩu đã bị lộ, nếu đổi thường xuyên thì không phản ứng kịp khi bị hack và cũng gây ra quá nhiều phiền toái cho người dùng. MoMo ngày xưa cũng từng ép người dùng đổi mật khẩu nhưng giờ thì không, chắc một phần cũng tại họ biết người dùng thường đặt ngược lại về mật khẩu cũ và điều này chỉ gây phiền toái cho người dùng vì tự dưng phải tốn 2 phút trong cuộc đời để xoay vòng mật khẩu.
Trường hợp 2: Digital OTP của MB
MB là một trong số những ngân hàng hiếm hoi cho phép người dùng đăng nhập trên nhiều điện thoại cùng lúc để nhận thông báo (nhưng tại một thời điểm chỉ có thể giao dịch trên một thiết bị), rất phù hợp cho người có nhiều điện thoại như tôi. Để đảm bảo bảo mật, dù đăng nhập vào MB rất dễ, nhưng để giao dịch thì bạn phải kích hoạt Digital OTP (sau đây viết tắt là D-OTP). Ngày xưa, bạn chỉ có thể kích hoạt D-OTP khi có điện thoại cũ, hoặc phải ra ngân hàng để yêu cầu kích hoạt lại. Mà thậm chí kể cả như thế thì sau 15 phút kể từ khi nhân viên thao tác mà bạn không kích hoạt ngay thì bạn lại phải ra ngân hàng lần nữa. Bảo mật thật đấy, nhưng quá bất tiện cho người ở quê hay nước ngoài, không thuận tiện đến các điểm giao dịch của MB. Để giải quyết bất tiện này, MB đã khắc phục bằng cách yêu cầu quét khuôn mặt và sau đó nhận OTP qua số điện thoại đã đăng ký để kích hoạt lại D-OTP, thuận tiện hơn rất nhiều, vẫn đảm bảo bảo mật mà tiện cho người dùng rất nhiều.
Trường hợp 3: Tài khoản Facebook
Chắc hẳn sẽ có nhiều người trong số chúng ta gặp tình huống này: Vào một ngày đẹp trời, mở Facebook trên điện thoại thì bị báo “phiên đã hết hạn”, khi đăng nhập lại thì tài khoản đã bị khóa vì lý do bảo mật. Nếu Facebook nhận thấy có dấu hiệu nghi ngờ rằng tài khoản của bạn đã bị hack thì bạn sẽ bị khóa tài khoản, và chỉ có thể mở lại sau khi hoàn thành kiểm tra và đặt lại mật khẩu trên thiết bị quen thuộc và/hoặc tại mạng quen thuộc. Đôi khi thuật toán của Facebook hoạt động quá “hiệu quả” và khóa oan người dùng, có thể khiến họ phải bỏ luôn tài khoản. Cũng may là dạo gần đây có vẻ Facebook đã thoáng hơn, và họ dùng tuyệt chiêu mới để đảm bảo an toàn cho người dùng: vô hiệu hóa mật khẩu cũ trên thiết bị lạ — nếu bạn dùng mật khẩu đó đăng nhập trên thiết bị quen thì sẽ đăng nhập được, còn nếu đăng nhập thiết bị lạ thì dù mật khẩu đúng thì Facebook cũng sẽ báo sai.
Trường hợp 4: Tôi và ứng dụng Vietcombank
Từ ngày VCB yêu cầu tôi tắt ứng dụng cần quyền trợ năng để đảm bảo an toàn, tôi gần như chả đụng đến ứng dụng VCB nữa mà chỉ giao dịch qua ví điện tử, còn thông tin số thẻ thì lưu đâu đấy và nhớ số CVV trong đầu để giao dịch thôi. Thậm chí kể cả sau khi tìm được giải pháp để tạm tắt ứng dụng khi được yêu cầu, tôi vẫn không thèm mở ứng dụng VCB nữa. Tại sao tôi phải tắt bộ ứng dụng giúp trải nghiệm dùng điện thoại tốt hơn trong nhiều năm qua để được dùng ứng dụng ngân hàng? Vietcombank à, FNG dừng phát triển cũng vài năm rồi mà tôi vẫn tìm cách để nó hoạt động trên Android mới bằng cách tắt cử chỉ trở lại của hệ thống thì bạn cũng hiểu nó quan trọng với tôi thế nào rồi.
Qua các trường hợp này thì bạn thấy được gì? Bảo mật rất quan trọng, đặc biệt là khi đụng tới ngân hàng (tiền mà). Tuy nhiên không phải vì lý do bảo mật mà đưa ra chính sách mang lại phiền toái cho người dùng. Khi đưa ra các chính sách, cần phải hiểu hành vi và nhu cầu của người dùng để đưa ra các quyết định hợp lý, đảm bảo bảo mật đồng thời tránh người dùng tìm đường vòng, làm mất an toàn và lãng phí thời gian của người dùng.
Tại sao lại cần quyền trợ năng?
Có thể bạn vẫn chưa thật sự tin rằng tại sao phải cân nhắc đến quyền trợ năng trong khi xem xét các yêu cầu bảo mật. Để tôi cho bạn vài lý do nhé.
Có rất nhiều người khuyết tật xung quanh ta
Việt Nam đang có hơn 7 triệu người khuyết tật, chiếm hơn 7.06% dân số từ 2 tuổi trở lên. Nhìn rộng ra thế giới, thì cứ khoảng 6 người thì lại có một người khuyết tật. Không phải tự nhiên mà các hệ điều hành lớn phải bổ sung bộ tính năng trợ năng cơ bản đâu. Với lượng người khuyết tật như thế tất nhiên là đáng để quan tâm rồi!
Đừng để mất bò mới lo làm chuồng
Ai cũng muốn cơ thể hoạt động bình thường nhưng biến cố có thể xảy đến bất kỳ lúc nào, và mọi thứ hỗ trợ người khuyết tật phải sẵn sàng trước khi bạn gặp vấn đề. Nếu để đến lúc bạn gặp vấn đề mới lo tìm giải pháp thì vừa tốn thời gian, vừa ảnh hưởng đến sức khỏe tinh thần của bạn nữa.
Ai cũng được hưởng lợi
Microsoft có một bộ tài liệu rất hay về trợ năng mà bạn có thể đọc tại đây. Trong đó có một ý nói rằng khuyết tật có thể xảy ra theo tình huống, tạm thời hoặc vĩnh viễn. Việc có sẵn những giải pháp hỗ trợ người khuyết tật sẽ giúp tất cả chúng ta trong những lúc cần, dù có thể chỉ cần vài giây một ngày hay là trong vài ngày đến vài tháng.
Phụ đề sinh ra để giúp người khiếm thính có thể biết nội dung video có gì, và ngày nay chúng ta còn dùng chúng để xem video khi không thể nghe tiếng. Phần dốc nối từ mặt đường lên vỉa hè (curb cut) sinh ra để giúp xe lăn lên xuống đường dễ dàng cũng giúp chúng ta dễ dàng dắt xe máy, xe đạp lên vỉa hè. Thang máy sinh ra giúp chúng ta có tùy chọn để không phải leo thang bộ cho đỡ tốn công, và đó cũng chính là cách để người khuyết tật dễ dàng di chuyển trong một tòa nhà. Khi chúng ta thiết kế cái gì đấy và nghĩ cho những người khuyết tật, tất cả chúng ta đều sẽ được hưởng lợi.
Giải pháp cho vấn đề quyền trợ năng
Giờ bạn đã hiểu vì sao cần quyền trợ năng, và cách chúng đang bị lợi dụng trên Android. Giờ phải làm sao để ngăn ngừa kẻ xấu tấn công trong khi vẫn đảm bảo quyền cơ bản nhất của người dùng? Sau đây là một vài thứ mà tôi nghĩ có thể áp dụng được:
Nhóm ngân hàng
- Chủ trương lập nhóm bảo mật chung giữa các ngân hàng để thống nhất các giải pháp an toàn chung, đảm bảo tất cả các bên cùng hiểu đủ và kịp thời về mối nguy bảo mật và nhu cầu của khách hàng.
- Giáo dục cho người dùng về rủi ro bảo mật chung và nguyên tắc giao dịch an toàn, đừng chỉ chăm chăm vào một hai trường hợp nhất định để rồi phải giáo dục lại mỗi khi có vấn đề mới là biến thể của vấn đề cũ.
- Cho phép người dùng được tự chịu trách nhiệm với thiết bị của mình — đừng trừng phạt người có hiểu biết và người có nhu cầu về ứng dụng trợ năng. Có thể xác thực tại quầy hoặc qua tổng đài về nhu cầu người dùng và đảm bảo rằng người dùng hiểu rõ mình đang làm gì.
Android và AOSP
Cân nhắc không cho phép ứng dụng không cài từ một cửa hàng tin cậy (không nhất thiết là Google Play) đòi quyền trợ năng trừ khi có can thiệp từ adb. adb đủ để ngăn người dùng bình thường đụng đến, nhưng không làm ảnh hưởng đến người dùng nâng cao và người thật sự có nhu cầu.
Người dùng chúng ta
Để đảm bảo an toàn cho bản thân và mọi người, hãy hiểu rõ rủi ro có thể xảy ra từ việc cài ứng dụng không rõ nguồn gốc hay cấp quyền trợ năng cho các ứng dụng không đáng tin cậy, và tránh xa những ứng dụng có dấu hiệu bất thường. Ngoài ra, chúng ta cần chia sẻ, giáo dục cộng đồng của mình để giữ mọi người được an toàn. Cũng đừng quên lên tiếng trực tiếp với ngân hàng của bạn khi thấy quyền lợi của bạn bị ảnh hưởng nhé.
Còn giờ, trong lúc chờ đợi động thái mới từ các ngân hàng, bạn có thể thử mua Tasker và dùng nó để tự động hóa việc tắt các ứng dụng trợ năng khi mở ứng dụng ngân hàng. Trên mạng có hướng dẫn cả rồi, hoặc bạn có thể chọn con đường tự mày mò — tôi chỉ mất một tiếng để chế ra giải pháp phù hợp nhất cho bản thân.
Muốn bảo mật thì phải hy sinh một phần tiện lợi, nhưng hy sinh nhiều quá thì sẽ ảnh hưởng đến người dùng. Cân nhắc kỹ lưỡng mọi thứ để hài hòa trải nghiệm và đảm bảo an toàn tuy vất vả nhưng là điều hết sức cần thiết, và hy vọng tất cả những ai làm trong lĩnh vực CNTT và bảo mật sẽ ghi nhớ điều này để đưa ra quyết định đúng nhất vì người dùng của các bạn.
Để lại bình luận