Έλεγχος ταυτότητας υπογράφου: μέθοδοι και ζητήματα

Γιατί η ταυτοποίηση είναι κρίσιμη

Η ίδια η ταυτοποίηση του υπογράφοντος είναι ο πιο εύθραυστος κρίκος της αλυσίδας απόδειξης. Χωρίς αυτήν είναι αδύνατο να αποδειχθεί ποιος πράγματι υπέγραψε. Μια σύγχρονη πλατφόρμα υπογραφής πρέπει να προσφέρει πολλούς διαβαθμισμένους μηχανισμούς.

Οι διαθέσιμες μέθοδοι

Έμπιστο email

Κάθε υπογράφων λαμβάνει έναν μοναδικό σύνδεσμο στη διεύθυνση email του. Μόνο ο κάτοχος της θυρίδας μπορεί να κάνει κλικ. Απλό και αποτελεσματικό για την SES.

Υπολειπόμενος κίνδυνος: κλοπή λογαριασμού email. Αποδεκτός για έγγραφα χαμηλού διακυβεύματος.

OTP μέσω SMS

Κωδικός μίας χρήσης που στέλνεται στον αριθμό τηλεφώνου. Σε συνδυασμό με το email = AES.

Υπολειπόμενος κίνδυνος: SIM swapping (σπάνιο αλλά γνωστό για στόχους υψηλής αξίας).

OTP μέσω εφαρμογής

Κωδικός που παράγεται από εφαρμογή (Google Authenticator, Authy, Twilio Authy). Ασφαλέστερος από το SMS για υψηλά διακυβεύματα.

Βιομετρία

Δακτυλικό αποτύπωμα, αναγνώριση προσώπου. Χρησιμοποιείται στο κινητό για πιο ομαλή εμπειρία. Δεν αποθηκεύεται στον διακομιστή (τηρώντας τον ΓΚΠΔ).

Προσωπικό πιστοποιητικό

Κρυπτογραφικό πιστοποιητικό εκδοθέν από QTSP και αποθηκευμένο σε συσκευή (YubiKey, έξυπνη κάρτα). Υποχρεωτικό για την QES.

Βίντεο KYC

Έλεγχος ταυτότητας μέσω βιντεοκλήσης ή εγγραφής. Χρησιμοποιείται σε ρυθμιζόμενους κλάδους (τράπεζες, ασφάλειες).

Εθνική ψηφιακή ταυτότητα

FranceConnect+ (Γαλλία), itsme (πάνω από 40 ευρωπαϊκές χώρες, μεταξύ των οποίων το Βέλγιο και η Γαλλία), SPID (Ιταλία). Αναγνωρισμένη στο επίπεδο "σημαντικό" από το eIDAS.

Επίπεδα διασφάλισης (LoA)

Το eIDAS ορίζει τρία επίπεδα:

Επίπεδο | Απαίτηση | Παράδειγμα

Χαμηλό | Email ή ισοδύναμο | SES

Σημαντικό | Δύο παράγοντες | AES (email + OTP)

Υψηλό | Αυστηρός έλεγχος ταυτότητας | QES, βίντεο KYC

Ευθυγράμμιση με το διακύβευμα

• Εσωτερικό έγγραφο, παραγγελία: αρκεί το χαμηλό επίπεδο (SES)
• Σύμβαση εργασίας, μίσθωση, συμφωνία εμπιστευτικότητας: σημαντικό επίπεδο (AES)
• Συμβολαιογραφική πράξη, δημόσιος διαγωνισμός: υψηλό επίπεδο (QES)

Συχνά λάθη

• Η χρήση της SES για τα πάντα (υποδιαστασιολογημένη)
• Η άσκοπη συσσώρευση ταυτοποιήσεων (τριβή)
• Η μη καταγραφή των μεθόδων που χρησιμοποιήθηκαν (αποδυναμωμένη απόδειξη)
• Η συλλογή υπερβολικών βιομετρικών δεδομένων (ΓΚΠΔ)

Προστασία από τις επιθέσεις

• Ηλεκτρονικό ψάρεμα: εκπαιδεύστε τους υπογράφοντες να ελέγχουν τον αποστολέα
• Man-in-the-middle: υποχρεωτικό TLS 1.3
• SIM swapping: OTP μέσω εφαρμογής για πολύ υψηλά διακυβεύματα
• Deepfake στο βίντεο KYC: έλεγχοι ζωντάνιας + διασταύρωση

Συγκεκριμένη περίπτωση: νεοτράπεζα

Η διαδρομή ανοίγματος λογαριασμού:

1. Έμπιστο email
2. OTP μέσω SMS
3. Μεταφόρτωση ταυτότητας
4. Δοκιμή ζωντάνιας (selfie)
5. Διασταύρωση με λίστες κυρώσεων
6. Υπογραφή AES

LoA: σημαντικό. Σύμφωνο με την ACPR. Η διαδικασία διαρκεί 10 λεπτά.

Πώς σας βοηθά η Certyneo

Η Certyneo προσφέρει όλους τους συνήθεις μηχανισμούς: email, OTP μέσω SMS (μέσω Twilio Verify), ενσωμάτωση εγκεκριμένων πιστοποιητικών για την QES, προαιρετικό βίντεο KYC και FranceConnect+ υπό ενσωμάτωση. Κάθε μέθοδος καταγράφεται στο ίχνος ελέγχου.

Ανακαλύψτε τη λύση ηλεκτρονικής υπογραφής της Certyneo

Συχνές ερωτήσεις

Είναι το SMS αρκετά ασφαλές;

Για την AES ναι. Για πολύ υψηλά διακυβεύματα, προτιμήστε OTP μέσω εφαρμογής ή βιομετρία.

Αποθηκεύεται η βιομετρία;

Στον διακομιστή όχι (τηρώντας τον ΓΚΠΔ). Τα πρότυπα παραμένουν στη συσκευή.

Μπορούν να συνδυαστούν πολλές μέθοδοι;

Ναι, για να ενισχυθεί η απόδειξη.

Αναγνωρίζεται το FranceConnect+;

Ναι: κατά την έννοια του eIDAS φτάνει το σημαντικό επίπεδο και μπορεί να φέρει τόσο AES όσο και QES. Στην Certyneo η ενσωμάτωση βρίσκεται σε εξέλιξη και δεν έχει ακόμη ανοίξει για τους λογαριασμούς πελατών — η AES ταυτοποιείται σήμερα με OTP μέσω SMS.

Τι συμβαίνει αν λήξει το OTP;

Ο υπογράφων μπορεί να ζητήσει νέο. Υπάρχουν όρια κατά της ωμής βίας.

Συμπέρασμα

Μια καλή ταυτοποίηση είναι διαβαθμισμένη, καταγεγραμμένη και προσαρμοσμένη στο διακύβευμα. Η υπερ-ταυτοποίηση δημιουργεί τριβή· η υπο-ταυτοποίηση αποδυναμώνει την απόδειξη. Η ισορροπία βρίσκεται έγγραφο προς έγγραφο.

Δοκιμάστε την Certyneo για να στέλνετε, να υπογράφετε και να παρακολουθείτε τα έγγραφά σας online — απλά, γρήγορα και με πλήρη ασφάλεια.