Aláíró hitelesítés: módszerek és kérdések

Miért kritikus a hitelesítés

Az aláíró hitelesítése a bizonyítási lánc leggyengébb láncszeme. Nélküle lehetetlen bizonyítani, ki írt alá valójában. Egy korszerű aláírási platformnak több, fokozatokra bontott mechanizmust kell kínálnia.

Az elérhető módszerek

Megbízható e-mail

Minden aláíró egyedi hivatkozást kap az e-mail-címére. Csak a postafiók tulajdonosa tud rákattintani. Egyszerű és hatékony a SES-hez.

Maradékkockázat: az e-mail-fiók eltulajdonítása. Alacsony tétű dokumentumoknál elfogadható.

SMS-es OTP

A telefonszámra küldött egyszer használatos kód. E-maillel kombinálva = AES.

Maradékkockázat: SIM-csere (ritka, de nagy értékű célpontoknál ismert).

Alkalmazásos OTP

Alkalmazás által generált kód (Google Authenticator, Authy, Twilio Authy). Nagy tétnél biztonságosabb az SMS-nél.

Biometria

Ujjlenyomat, arcfelismerés. Mobilon használják a folyamat gördülékenyebbé tételére. A kiszolgálón nem tárolják (a GDPR tiszteletben tartásával).

Személyes tanúsítvány

QTSP által kiadott kriptográfiai tanúsítvány, eszközön tárolva (YubiKey, chipkártya). A QES-hez kötelező.

Videós ügyfél-azonosítás

Személyazonosság ellenőrzése videokapcsolattal vagy felvétellel. Szabályozott ágazatokban használják (bank, biztosítás).

Nemzeti digitális identitás

FranceConnect+ (Franciaország), itsme (több mint 40 európai országban, köztük Belgiumban és Franciaországban), SPID (Olaszország). Az eIDAS "jelentős" szinten ismeri el.

Bizonyossági szintek (LoA)

Az eIDAS három szintet határoz meg:

Szint | Követelmény | Példa

Alacsony | E-mail vagy azzal egyenértékű | SES

Jelentős | Kétfaktoros | AES (e-mail + OTP)

Magas | Szigorú személyazonosság-ellenőrzés | QES, videós azonosítás

Igazítás a téthez

• Belső dokumentum, megrendelés: elég az alacsony LoA (SES)
• Munkaszerződés, bérleti szerződés, titoktartási megállapodás: jelentős LoA (AES)
• Közjegyzői okirat, közbeszerzés: magas LoA (QES)

Gyakori hibák

• Mindenre SES-t használni (alulméretezett)
• Fölöslegesen egymásra pakolni a hitelesítéseket (súrlódás)
• Nem naplózni a használt módszereket (gyengébb bizonyíték)
• Túl sok biometrikus adatot gyűjteni (GDPR)

Védekezés a támadások ellen

• Adathalászat: tanítsuk meg az aláírókat a feladó ellenőrzésére
• Man-in-the-middle: kötelező TLS 1.3
• SIM-csere: alkalmazásos OTP nagyon nagy tétnél
• Deepfake a videós azonosításnál: élőségvizsgálat és kereszt-ellenőrzés

Konkrét eset: neobank

A számlanyitás menete:

1. Megbízható e-mail
2. SMS-es OTP
3. Személyazonosító okmány feltöltése
4. Élőségteszt (szelfi)
5. Egyeztetés a szankciós listákkal
6. AES-aláírás

LoA: jelentős. Megfelel az ACPR előírásainak. A folyamat 10 perc.

Így segít a Certyneo

A Certyneo minden bevett mechanizmust kínál: e-mail, SMS-es OTP (a Twilio Verify révén), minősített tanúsítványok bekötése a QES-hez, opcionális videós azonosítás és integrálás alatt álló FranceConnect+. Minden módszer bekerül az auditnaplóba.

Ismerje meg a Certyneo elektronikus aláírási megoldását

GYIK

Elég biztonságos az SMS?

Az AES-hez igen. Nagyon nagy tétnél inkább alkalmazásos OTP vagy biometria.

Tárolják a biometrikus adatokat?

A kiszolgálón nem (a GDPR tiszteletben tartásával). A minták az eszközön maradnak.

Lehet több módszert kombinálni?

Igen, a bizonyíték erősítésére.

Elismert a FranceConnect+?

Igen: az eIDAS értelmében eléri a jelentős szintet, és AES-t és QES-t egyaránt hordozhat. A Certyneónál az integráció folyamatban van, ügyfélfiókok számára még nem nyílt meg — az AES ma SMS-es OTP-vel hitelesít.

Mi történik, ha lejár az OTP?

Az aláíró kérhet újat. Beépített korlátok védenek a nyers erővel szemben.

Összegzés

A jó hitelesítés fokozatokra bontott, naplózott és a téthez igazított. A túlhitelesítés súrlódást szül; az alulhitelesítés gyengíti a bizonyítékot. Az egyensúlyt dokumentumonként kell megtalálni.

Próbálja ki a Certyneót dokumentumai online küldésére, aláírására és követésére — egyszerűen, gyorsan és biztonságosan.