Cơ chế eID Đức yêu cầu tài khoản Apple/Google để đảm bảo an ninh

Để đảm bảo an ninh cho số định danh cá nhân (PID) ở mức cao, hệ thống ví điện tử (eID wallet) của Đức đang triển khai một cơ chế mới gọi là Mobile Device Vulnerability Management (MDVM). Cơ chế này không chỉ là một phần của chuẩn eIDAS mà còn đặt ra yêu cầu quan trọng về việc người dùng phải tuân thủ các tiêu chuẩn bảo mật của các nền tảng lớn như Google và Apple.

Tại sao lại cần MDVM?

Số định danh cá nhân (PID) tại Đức yêu cầu mức xác thực rất cao, tương đương với việc sử dụng hộ chiếu. Thay vì sử dụng các mô-đun bảo mật phần cứng (HSM) được chứng nhận tách biệt, các thiết bị di động hiện đại sử dụng khóa công khai/riêng tư để bảo vệ thông tin. Tuy nhiên, việc này tạo ra một rủi ro lớn vì các thiết bị di động thường có nhiều lỗ hổng về bảo mật phần cứng (HKS) và hệ điều hành.

Nếu một thiết bị bị khai thác hoặc sử dụng bởi kẻ tấn công, thông tin xác thực có thể bị sao chép hoặc sử dụng sai mục đích. Để giải quyết vấn đề này, MDVM được thiết kế để giám sát liên tục các thiết bị di động trong quá trình vận hành. Mục tiêu là ngăn chặn việc sử dụng các thiết bị có lỗ hổng nghiêm trọng hoặc đã bị khai thác, từ đó đảm bảo rằng người dùng thực sự sở hữu thiết bị đó.

Sự phụ thuộc vào Google và Apple

Điểm quan trọng nhất trong bản triển khai này là sự phụ thuộc vào các dịch vụ xác thực từ Google và Apple. Vì không có cơ chế kiểm tra lỗ hổng phần cứng chuẩn mực cho các thiết bị di động, hệ thống dựa vào các dịch vụ nền tảng để xác thực tính toàn vẹn của thiết bị.

• Trên Android: Hệ thống sử dụng Play Integrity và Android KeyAttestation. Google cung cấp một backend riêng biệt để xác định xem thiết bị có bị chiếm dụng hay không, và yêu cầu thiết bị phải có bản vá bảo mật trong 12 tháng qua.
• Trên iOS: Hệ thống sử dụng Apple App Attest thông qua DCDeviceCheck. Điều này chứng minh rằng ứng dụng đang chạy trên Secure Enclave của Apple và không bị thay đổi.

Cơ chế này thực chất buộc người dùng phải sử dụng hệ sinh thái của các ông lớn. Một người dùng Android sẽ cần có ứng dụng được ký hợp lệ từ Google Play Store (hoặc tương đương) và tuân thủ các quy tắc của Google. Tương tự, người dùng iOS phải đảm bảo ứng dụng không bị jailbreak và tuân thủ các tiêu chuẩn của Apple.

Các công nghệ hỗ trợ: RASP và Attestation

Để tăng cường bảo mật, hệ thống đề xuất sử dụng RASP (Runtime Application Self-Protection - Tự bảo vệ ứng dụng thời gian chạy). RASP hoạt động như một lớp bảo vệ bên trong ứng dụng, giám sát các hoạt động như:

• Đang bị gỡ lỗi hoặc thao túng (App Hooking/debugging).
• Ứng dụng bị thay đổi, tái đóng gói (App Repackaging).
• Thiết bị bị root hoặc giả lập (Rooting/Emulation).

Thông qua việc kết hợp các tín hiệu từ KeyAttestation (xác thực khóa), Play Integrity và RASP, hệ thống MDVM có thể ra quyết định chính xác: cho phép sử dụng số định danh nếu thiết bị an toàn, hoặc chặn hoàn toàn nếu phát hiện bất kỳ dấu hiệu nào của lỗ hổng bảo mật.

Hệ quả cho người dùng

Bản triển khai này của Đức mang lại một bài học quan trọng về an ninh số. Việc sử dụng thiết bị di động cho các tài sản mật (như định danh chính thức) đòi hỏi sự hợp tác chặt chẽ với các nhà sản xuất hệ điều hành. Người dùng sẽ không còn có thể tự do cài đặt ứng dụng từ các nguồn ngoài hoặc sử dụng các công cụ phát triển để thao túng thiết bị nếu họ muốn sử dụng dịch vụ eID chính thức với mức bảo mật cao. Điều này tạo ra một "vòng tường thành" bảo mật dựa trên hệ sinh thái của Google và Apple.