Underskrivende autentisering: metoder og problemer

Hvorfor autentisering er avgjørende

Underskriverens autentisering er det svakeste leddet i beviskjeden. Uten den er det umulig å bevise hvem som faktisk har signert. En moderne signaturplattform må tilby flere graderte mekanismer.

De tilgjengelige metodene

Betrodd e-post

Hver underskriver mottar en unik lenke til e-postadressen sin. Bare den som eier postkassen, kan klikke. Enkelt og effektivt for SES.

Restrisiko: tyveri av e-postkonto. Akseptabelt for dokumenter med lav verdi.

OTP på SMS

Engangskode sendt til telefonnummeret. Kombinert med e-post = AES.

Restrisiko: SIM-swapping (sjelden, men kjent for mål med høy verdi).

OTP via app

Kode generert av en app (Google Authenticator, Authy, Twilio Authy). Sikrere enn SMS ved høye verdier.

Biometri

Fingeravtrykk, ansiktsgjenkjenning. Brukes på mobil for å gjøre forløpet smidig. Lagres ikke på serversiden (i tråd med GDPR).

Personlig sertifikat

Kryptografisk sertifikat utstedt av en QTSP og lagret på en enhet (YubiKey, smartkort). Obligatorisk for QES.

Video-KYC

Identitetskontroll via videomøte eller opptak. Brukes i regulerte bransjer (bank, forsikring).

Nasjonal digital identitet

FranceConnect+ (Frankrike), itsme (over 40 europeiske land, blant dem Belgia og Frankrike), SPID (Italia). Anerkjent på nivået "betydelig" etter eIDAS.

Sikkerhetsnivåer (LoA)

eIDAS definerer tre nivåer:

Nivå | Krav | Eksempel

Lavt | E-post eller tilsvarende | SES

Betydelig | To faktorer | AES (e-post + OTP)

Høyt | Streng identitetskontroll | QES, video-KYC

Tilpasning til risikoen

• Internt dokument, bestilling: lavt LoA (SES) holder
• Arbeidsavtale, leiekontrakt, taushetserklæring: betydelig LoA (AES)
• Notarialdokument, offentlig anskaffelse: høyt LoA (QES)

Vanlige feil

• Å bruke SES til alt (underdimensjonert)
• Å stable autentiseringer unødig (friksjon)
• Å ikke logge metodene som er brukt (svekket bevis)
• Å samle inn for mye biometrisk data (GDPR)

Beskyttelse mot angrep

• Phishing: lær underskriverne å kontrollere avsenderen
• Man-in-the-middle: TLS 1.3 er obligatorisk
• SIM-swapping: OTP via app ved svært høye verdier
• Deepfake ved video-KYC: livlighetskontroll + kryssjekk

Konkret tilfelle: en nettbank

Forløpet ved kontoåpning:

1. Betrodd e-post
2. OTP på SMS
3. Opplasting av legitimasjon
4. Livlighetstest (selfie)
5. Kryssjekk mot sanksjonslister
6. AES-signatur

LoA: betydelig. I samsvar med ACPR. Prosessen tar 10 minutter.

Slik hjelper Certyneo deg

Certyneo tilbyr alle de gjengse mekanismene: e-post, OTP på SMS (via Twilio Verify), integrasjon av kvalifiserte sertifikater for QES, valgfri video-KYC og FranceConnect+ under integrasjon. Hver metode logges i revisjonssporet.

Oppdag Certyneos løsning for elektronisk signatur

Ofte stilte spørsmål

Er SMS sikkert nok?

For AES ja. Ved svært høye verdier bør man foretrekke OTP via app eller biometri.

Lagres biometrien?

Ikke på serversiden (i tråd med GDPR). Malene blir liggende på enheten.

Kan man kombinere flere metoder?

Ja, for å styrke beviset.

Er FranceConnect+ anerkjent?

Ja: etter eIDAS når den nivået betydelig, og den kan bære både en AES og en QES. Hos Certyneo er integrasjonen underveis og ennå ikke åpnet for kundekontoer — AES autentiseres i dag med OTP på SMS.

Hva skjer hvis OTP-koden utløper?

Underskriveren kan be om en ny. Det er grenser mot brute force.

Konklusjon

God autentisering er gradert, sporet og tilpasset risikoen. For mye autentisering skaper friksjon; for lite svekker beviset. Balansen finnes dokument for dokument.

Prøv Certyneo for å sende, signere og følge dokumentene dine på nett — enkelt, raskt og trygt.