Autentifikácia signatára: metódy a problémy

Prečo je overenie kritické

Samotné overenie podpisujúceho je najkrehkejší článok dôkazného reťazca. Bez neho nemožno preukázať, kto skutočne podpísal. Moderná podpisová platforma musí ponúknuť niekoľko odstupňovaných mechanizmov.

Dostupné metódy

Dôveryhodný e-mail

Každý podpisujúci dostane na svoju e-mailovú adresu jedinečný odkaz. Kliknúť môže len majiteľ schránky. Jednoduché a účinné pre SES.

Zvyškové riziko: krádež e-mailového účtu. Prijateľné pri dokumentoch s nízkou hodnotou.

OTP cez SMS

Jednorazový kód odoslaný na telefónne číslo. V kombinácii s e-mailom = AES.

Zvyškové riziko: SIM swapping (zriedkavé, ale pri cenných cieľoch známe).

OTP cez aplikáciu

Kód generovaný aplikáciou (Google Authenticator, Authy, Twilio Authy). Bezpečnejší než SMS pri vysokých hodnotách.

Biometria

Odtlačok prsta, rozpoznávanie tváre. Používa sa na mobile pre plynulejší priebeh. Neukladá sa na serveri (v súlade s GDPR).

Osobný certifikát

Kryptografický certifikát vydaný QTSP a uložený na zariadení (YubiKey, čipová karta). Povinný pre QES.

Video KYC

Overenie totožnosti videohovorom alebo záznamom. Používa sa v regulovaných odvetviach (banky, poisťovne).

Národná digitálna identita

FranceConnect+ (Francúzsko), itsme (vyše 40 európskych krajín vrátane Belgicka a Francúzska), SPID (Taliansko). Podľa eIDAS uznávané na úrovni "značná".

Úrovne záruky (LoA)

eIDAS definuje tri úrovne:

Úroveň | Požiadavka | Príklad

Nízka | E-mail alebo obdoba | SES

Značná | Dvojfaktorové overenie | AES (e-mail + OTP)

Vysoká | Prísne overenie totožnosti | QES, video KYC

Zosúladenie s mierou rizika

• Interný dokument, objednávka: stačí nízka LoA (SES)
• Pracovná zmluva, nájom, NDA: značná LoA (AES)
• Notárska zápisnica, verejné obstarávanie: vysoká LoA (QES)

Časté chyby

• Používať SES na všetko (poddimenzované)
• Zbytočne vrstviť overovania (trenie)
• Nezaznamenávať použité metódy (oslabený dôkaz)
• Zbierať priveľa biometrických údajov (GDPR)

Ochrana pred útokmi

• Phishing: naučiť podpisujúcich overovať odosielateľa
• Man-in-the-middle: povinné TLS 1.3
• SIM swapping: OTP cez aplikáciu pri veľmi vysokých hodnotách
• Deepfake pri video KYC: kontroly živosti + krížové overenie

Konkrétny prípad: neobanka

Priebeh otvorenia účtu:

1. Dôveryhodný e-mail
2. OTP cez SMS
3. Nahranie dokladu totožnosti
4. Test živosti (selfie)
5. Krížová kontrola sankčných zoznamov
6. Podpis AES

LoA: značná. V súlade s ACPR. Proces trvá 10 minút.

Ako vám Certyneo pomôže

Certyneo ponúka všetky bežné mechanizmy: e-mail, OTP cez SMS (cez Twilio Verify), zapojenie kvalifikovaných certifikátov pre QES, voliteľné video KYC a FranceConnect+ v integrácii. Každá metóda sa zaznamenáva do auditnej stopy.

Objavte riešenie elektronického podpisu Certyneo

Časté otázky

Je SMS dosť bezpečná?

Pre AES áno. Pri veľmi vysokých hodnotách dajte prednosť OTP v aplikácii alebo biometrii.

Ukladá sa biometria?

Na serveri nie (v súlade s GDPR). Šablóny zostávajú v zariadení.

Dá sa kombinovať viac metód?

Áno, na posilnenie dôkazu.

Je FranceConnect+ uznávaný?

Áno: v zmysle eIDAS dosahuje značnú úroveň a môže niesť tak AES, ako aj QES. V Certyneu integrácia prebieha a zatiaľ nie je otvorená zákazníckym účtom — AES sa dnes overuje OTP cez SMS.

Čo sa stane, keď OTP vyprší?

Podpisujúci si môže vyžiadať nový. Sú nastavené limity proti hrubej sile.

Záver

Dobré overenie je odstupňované, zaznamenané a primerané riziku. Prehnané overovanie vytvára trenie; nedostatočné oslabuje dôkaz. Rovnováha sa hľadá dokument po dokumente.

Vyskúšajte Certyneo na odosielanie, podpisovanie a sledovanie dokumentov online — jednoducho, rýchlo a bezpečne.