Autentifikacija potpisnika: metode i problemi
Kako autentificirati potpisnika elektroničkim potpisom: metode, razine, rizici i najbolje prakse.
Ažurirano
Tim Certyneo
Urednik — Certyneo · O Certyneu
Zašto je provjera autentičnosti kritična
Zašto je provjera autentičnosti kritičnaProvjera autentičnosti potpisnika jenajkrhkija karika
u lancu dokazivanja. Bez toga je nemoguće dokazati tko je zapravo potpisao. Moderna platforma za potpis mora ponuditi nekoliko stupnjevanih mehanizama.
Dostupne metode
Pouzdana e-pošta
Potpisnik prima jedinstvenu vezu na svoju adresu e-pošte. Samo držač kutije može kliknuti. Jednostavno, učinkovito za SES.Preostali rizik ⬥⬥⬥: krađa računa e-pošte. Prihvatljivo za dokumente s niskim ulozima.
Preostali rizik ⬥⬥⬥: krađa računa e-pošte. Prihvatljivo za dokumente s niskim ulozima.
OTP putem SMS-a
Jednokratni kod poslan na broj telefona. U kombinaciji s e-poštom = AES.Preostali rizik ⬥⬥⬥: Zamjena SIM kartice (rijetko, ali poznato za ciljeve visoke vrijednosti).
OTP prema aplikaciji
Kod koji je generirala aplikacija (Google Authenticator, Authy, Twilio Authy). Sigurnije od SMS-a za visoke uloge.
Biometrija
Otisak prsta, prepoznavanje lica. Koristi se na mobilnom uređaju za pojednostavljenje iskustva. Nije pohranjeno na strani poslužitelja (sukladnost s GDPR-om).
Otisak prsta, prepoznavanje lica. Koristi se na mobilnom uređaju za pojednostavljenje iskustva. Nije pohranjeno na strani poslužitelja (sukladnost s GDPR-om).
Osobni certifikat
Kriptografski certifikat koji izdaje QTSP, pohranjen na uređaju (YubiKey, pametna kartica). Obavezno za QES.
Video KYC
Provjera identiteta putem video konferencije ili snimanja. Koristi se za regulirane sektore (bankarstvo, osiguranje).
Nacionalni digitalni identitet
FranceConnect+, itsme (Belgija), SPID (Italija). eIDAS je prepoznao kao "znatnu" razinu.
Razine osiguranja (LoA)
eIDAS definira tri razine:
eIDAS definira tri razine:
Razina | Zahtjev | Primjer
Low | E-pošta ili ekvivalent | SES
Znatan | Dvostruki faktor | AES (e-pošta + OTP)
- Visok | Stroga provjera identiteta | QES, video KYCUsklađivanje s problemom
- Interni dokument, narudžbenica ⬥⬥⬥: Nizak LoA (SES) je dovoljanUgovor o radu, najam, NDA ⬥⬥⬥: Znatan LoA (AES)
- Ugovor o radu, najam, NDA ⬥⬥⬥: Znatan LoA (AES)Javnobilježnički akt, javni ugovor ⬥⬥⬥: Visoki LoA (QES)
Uobičajene pogreške
- Koristite SES za sve (premalo)
- Nepotrebno gomilajte autentifikacije (trenje)
- Nemojte zapisivati korištene metode (oslabljeni dokaz)
- Prikupiti previše podataka biometrija (GDPR)
Zaštita od napada
- Phishing ⬥⬥⬥: obučite potpisnike za provjeru pošiljateljaPhishing ⬥⬥⬥: obučite potpisnike za provjeru pošiljatelja
- Man-in-the-middle ⬥⬥⬥: TLS 1.3 obavezanSIM swapping ⬥⬥⬥: OTP po aplikaciji za vrlo visoke uloge
- Deepfake video KYC ⬥⬥⬥: provjere živosti + unakrsna provjeraKonkretan slučaj: neo-bank
- Proces otvaranja računa:Pouzdana e-pošta
OTP SMS
OTP SMS
- Prenesite identifikacijski dokument
- Test živosti (selfie)
- Unakrsna provjera osnova sankcija
- AES potpis
- LoA: znatan. Sukladno ACPR-u. Obraditi za 10 minuta.
- Kako vam Certyneo pomaže
Certyneo nudi sve uobičajene mehanizme: e-poštu, OTP SMS (putem Twilio Verify), integraciju kvalificiranih certifikata za QES, izborni video KYC, FranceConnect+ integraciju. Svaka se metoda bilježi u revizijskom tragu.
Otkrijte rješenje za elektronički potpis Certyneo
Otkrijte rješenje za elektronički potpis Certyneo
Je li SMS dovoljno siguran?
Za AES da. Za vrlo visoke uloge, preferirajte OTP aplikaciju ili biometriju.
Pohranjuju li se biometrijski podaci?
Strana poslužitelja ne (sukladnost s GDPR-om). Predlošci ostaju na uređaju.
Možemo li kombinirati više metoda?
Da, da ojačam dokaze.
Da, da ojačam dokaze.
Je li FranceConnect+ prepoznat?
Da, znatnu razinu. Može pokrenuti AES i QES.
Što se događa ako OTP istekne?
Potpisnik može zatražiti novi. Ograničenja protiv grube sile postoje.
Zaključak
Dobra autentifikacija se ocjenjuje, prati i prilagođava problemu. Pretjerana autentifikacija stvara trvenje; underauthenticating slabi dokaz. Stanje se utvrđuje dokument po dokument.
Isprobajte Certyneo za jednostavno, brzo i sigurno slanje, potpisivanje i praćenje vaših dokumenata na mreži.
Isprobajte Certyneo besplatno
Pošaljite vašu prvu omotnicu potpisa za manje od 5 minuta. 5 besplatnih omotnica mjesečno, bez kreditne kartice.
Dublje razumijevanje teme
Referentni članci o ovoj temi.
Dublje razumijevanje teme
Naši sveobuhvatni vodiči za savladavanje elektroničkog potpisivanja.
Nastavite čitanje o Sécurité
Proširite svoje znanje sa članicima povezanim sa ovom temom.
Je li elektronički potpis siguran?
Enkripcija, autentifikacija, revizijski trag: zašto su elektronički potpisi sigurniji od papira.
Zaštita podataka kupaca e-trgovine: usklađenost s GDPR-om
Elektronički certifikat i digitalni potpis
Što je elektronički certifikat, čemu služi i koja je poveznica s digitalnim potpisom?