Underskrivende autentificering: metoder og problemer

Hvorfor autentificering er afgørende

Underskriverens autentificering er det svageste led i beviskæden. Uden den er det umuligt at bevise, hvem der reelt har underskrevet. En moderne underskriftsplatform skal tilbyde flere gradvise mekanismer.

De tilgængelige metoder

Betroet e-mail

Hver underskriver modtager et unikt link til sin e-mailadresse. Kun indehaveren af postkassen kan klikke. Enkelt og effektivt til SES.

Restrisiko: tyveri af e-mailkonto. Acceptabelt for dokumenter med lav værdi.

OTP via SMS

Engangskode sendt til telefonnummeret. Kombineret med e-mail = AES.

Restrisiko: SIM swapping (sjældent, men kendt for mål med høj værdi).

OTP via app

Kode genereret af en app (Google Authenticator, Authy, Twilio Authy). Sikrere end SMS ved høje værdier.

Biometri

Fingeraftryk, ansigtsgenkendelse. Bruges på mobil for at gøre forløbet glidende. Gemmes ikke på serversiden (overholder GDPR).

Personligt certifikat

Kryptografisk certifikat udstedt af en QTSP og gemt på en enhed (YubiKey, chipkort). Obligatorisk til QES.

Video-KYC

Identitetskontrol via videomøde eller optagelse. Bruges i regulerede brancher (bank, forsikring).

National digital identitet

FranceConnect+ (Frankrig), itsme (over 40 europæiske lande, heriblandt Belgien og Frankrig), SPID (Italien). Anerkendt på niveauet "betydeligt" efter eIDAS.

Sikkerhedsniveauer (LoA)

eIDAS definerer tre niveauer:

Niveau | Krav | Eksempel

Lavt | E-mail eller tilsvarende | SES

Betydeligt | To faktorer | AES (e-mail + OTP)

Højt | Streng identitetskontrol | QES, video-KYC

Tilpasning til risikoen

• Internt dokument, ordrebekræftelse: lavt LoA (SES) er nok
• Ansættelseskontrakt, lejekontrakt, NDA: betydeligt LoA (AES)
• Notarialdokument, offentligt udbud: højt LoA (QES)

Hyppige fejl

• At bruge SES til alt (underdimensioneret)
• At stable autentificeringer unødigt oven på hinanden (friktion)
• Ikke at logge de anvendte metoder (svækket bevis)
• At indsamle for mange biometriske data (GDPR)

Beskyttelse mod angreb

• Phishing: lær underskriverne at kontrollere afsenderen
• Man-in-the-middle: TLS 1.3 er obligatorisk
• SIM swapping: OTP via app ved meget høje værdier
• Deepfake ved video-KYC: livlighedskontrol + krydstjek

Konkret eksempel: en neobank

Forløbet ved oprettelse af konto:

1. Betroet e-mail
2. OTP via SMS
3. Upload af legitimation
4. Livlighedstest (selfie)
5. Krydstjek mod sanktionslister
6. AES-underskrift

LoA: betydeligt. I overensstemmelse med ACPR. Processen tager 10 minutter.

Sådan hjælper Certyneo dig

Certyneo tilbyder alle de gængse mekanismer: e-mail, OTP via SMS (gennem Twilio Verify), integration af kvalificerede certifikater til QES, valgfri video-KYC og FranceConnect+ under integration. Hver metode logges i revisionssporet.

Oplev Certyneos løsning til elektronisk underskrift

FAQ

Er SMS sikkert nok?

Til AES ja. Ved meget høje værdier bør man foretrække OTP via app eller biometri.

Gemmes biometrien?

Ikke på serversiden (overholder GDPR). Skabelonerne bliver på enheden.

Kan man kombinere flere metoder?

Ja, for at styrke beviset.

Er FranceConnect+ anerkendt?

Ja: efter eIDAS når den niveauet betydeligt, og den kan bære både en AES og en QES. Hos Certyneo er integrationen undervejs og endnu ikke åben for kundekonti — AES autentificeres i dag med OTP via SMS.

Hvad sker der, hvis OTP-koden udløber?

Underskriveren kan bede om en ny. Der er grænser mod brute force.

Konklusion

God autentificering er gradueret, sporet og tilpasset risikoen. For meget autentificering skaber friktion; for lidt svækker beviset. Balancen findes dokument for dokument.

Prøv Certyneo til at sende, underskrive og følge dine dokumenter online — enkelt, hurtigt og sikkert.