Güvenli ve Uyumlu Kimlik Doğrulama Yapmanın Yolları – eIDAS 2.0 Çağı

Avrupa Birliği genelinde, eIDAS (elektronik Kimlik, Kimlik Doğrulama ve Güven Hizmetleri) vatandaşlar, işletmeler ve yetkililerin dijital ortamda birbirleriyle nasıl etkileşime gireceklerini belirleyen ana düzenlemelerden biridir. 2016 yılında kabul edilen eIDAS, elektronik kimlik için standartlar oluşturur ve Birlik çapında dijital etkileşimler için yasal güvence sağlar.

Güncellenmiş versiyon (eIDAS 2.0), orijinal eIDAS çerçevesine birkaç önemli özellik getirdi. İlk olarak, her AB üye devletinin vatandaşlarına 2026 yılı sonuna kadar sunması gereken Avrupa Dijital Kimlik Cüzdanını tanıttı. Cüzdan, insanların kendilerini tanıtmalarına, doğrulanmış verileri depolamalarına ve paylaşmalarına, hem kamu hem de özel hizmetlere erişmelerine olanak tanır.

Ancak, dijital kaydolma daha da standart hale geldikçe, işletmelerin yalnızca uyuma değil, aynı zamanda kimlik doğrulama sistemlerinin nasıl inşa edildiğine de düşünmeleri gerekir. Asıl önemli olan, duyarlı kullanıcı verilerinin güvenli bir çevre içinde işlenip işlenemeyeceği ve bu verilerin her aşamada toplanması ve iletilmesi gerekip gerekmediğidir. İşletmeler için, KYC işlemlerini yeni çerçeveye uyumlu hale getirmek yalnızca görevin bir parçasıdır. Aynı derecede önemli olan, uyumu duyarlı verileri depolamadan ve iletmekten destekleyen teknolojileri seçmektir.

eIDAS Güven Seviyelerini Anlamak

eIDAS kuralları, elektronik kimlik araçlarının nasıl verileceği ve kullanılacağı konusunda standartlar belirledi. Bu, müşteriler için dijital hizmetlerde kaydolmayı AB’den geldiği ülkeye bakılmaksızın sorunsuz hale getirdi. Çerçeve, her biri elektronik kimlik için standartlar içeren üç Güven Seviyesi (LoA) tanımlar. Bu standartlar, eIDAS uyumlu olduklarını iddia eden KYC sağlayıcıları ve kimlik doğrulama satıcıları için uyumlu olmaları gereken standartlardır.

“Düşük” seviye, iddia edilen kimlik hakkında temel bir güvence düzeyi sunar, “önemli” daha katı kontroller gerektirir ve “yüksek” seviye, kimlik sahteciliğine karşı en güçlü korumaları sunar. Şirketler, risk maruziyetlerine, işledikleri verilerin duyarlılığına ve hizmetlerine uygulanabilecek diğer düzenleyici yükümlülüklere bağlı olarak gerekli seviyeyi seçerler.

eIDAS Kimlik Doğrulama Standartlarının Ana Güçlüğü ve Zayıflığı

eIDAS kimlik doğrulama standartlarının ana gücü, tüm Avrupa Birliği için ortak bir çerçeve oluşturmasıdır. Pratik olarak, bu, bir kimlik doğrulama yaklaşımının eIDAS ile uyumlu hale getirilmesi, farklı AB üye ülkelerinde faaliyet göstermek için güçlü bir temel oluşturabileceği anlamına gelir.

eIDAS kimlik doğrulama standartlarının ana zayıflığı, gerçekten kişisel verilerin sızıntılarından ve kimlik doğrulama işlemlerinin sorunsuz olmasını sağlayan, kişisel verileri depolamayan ve iletmeyen on-premise / on-device doğrulama teknolojilerini desteklememesidir. Depolama ve iletimi düzenleyen çerçeveler riski azaltabilir, ancak bu risk yüzeyini tamamen ortadan kaldıramaz. Herhangi bir kimlik verisi toplandığında veya iletilindiğinde, bu bir sızıntı olasılığı yaratır ve yalnızca düzenleyici uyumluluk bu zayıflığı tamamen ortadan kaldıramaz.

eIDAS’ın Avrupa genelinde birleşik ve güvenli bir kimlik doğrulama ekosistemi oluşturuyor gibi görünse de, bu gerçekten güvenlik anlamına gelir mi? OCR Studio’da, gerçek korumanın yalnızca kişisel verileri depolamaya veya iletmeye gerek kalmadan çalışan teknolojiler tarafından sağlanabileceğine inanıyoruz. Kimlik doğrulamada, en güvenli mimari, duyarlı verileri daha dikkatli yöneten değil, hiçbir aşamada bu verileri işlemeye gerek olmayan olandır.

Güvenli ve Uyumlu Kimlik Doğrulama Yapmanın Yolları

Her eIDAS güvence seviyesi büyük ölçüde kişisel verilerin depolanması ve iletilmesinin en aza indirilmesine dayanmaktadır, on-premise / on-device teknolojileri, hem uyumlu hem de gerçekten güvenli bir kimlik doğrulama sistemi oluşturmanın en etkili yoludur. Teknolojik açıdan, bu sistemler, bulut altyapısına veya dış sunuculara güvenen mimarilerden daha üstündür, çünkü üçüncü taraf kesintilerine karşı savunmasız değildir ve istikrarlı bir internet bağlantısı olmadan da çalışabilir.

Aşağıda, üç ana eIDAS standardı örneğini kullanarak, modern on-device teknolojilerinin bu kimlik doğrulama gereksinimlerine tam olarak uyumlu olduğunu gösteriyoruz:

“Kişi, elektronik kimlik aracı başvurusu yapılan üye devlette tanınan kanıtlara sahip olduğu varsayılabilir ve iddia edilen kimliği temsil eder”

Kullanıcının belge sahibi olduğunu doğrulamak için, kimlik doğrulama sistemleri genellikle selfie-to-ID kontrolleri yapar ve sunucunun selfie fotoğrafını kimlik fotoğrafıyla karşılaştırır. On-device sistemler aynı kontrolleri aynı doğrulukla gerçekleştirir, ancak duyarlı biyometrik verileri hiçbir yere iletmez. Bazı on-device sistemleri ayrıca sunum saldırılarını tespit edebilir, yani sahtekarlar ekran yakalamaları ve fotoğrafları kullanır – bu, kullanıcının gerçekten mevcut olduğunu garantiler.

“Kanítica gerçek veya yetkili bir kaynaktan geldiği ve geçerli olduğu varsayılabilir”

Bu gereksinimi karşılamak için, seçilen kimlik doğrulama sistemi, kullanıcının sunduğu belgenin geçerli ve gerçek olduğu değerlendirmesi yapmalıdır. Bazı on-device çözümleri, belge tanıma teknolojileriyle birleştirerek bunu gerçekleştirir. Tek bir belge fotoğrafından, deepfake, AI tarafından oluşturulan ve morfolojik belgeleri gibi çeşitli manipülasyonları tespit edebilir. Ayrıca, VIZ, MRZ ve NFC’den verileri çapraz doğrulayarak, sahtecilik veya dolandırıcılık göstergesi olabilecek tutarsızlıkları belirleyebilir.

“Ulusal yasalara veya ulusal idari düzenlemelere uygun olarak, güvenlik ihlallerinin denetimi ve soruşturması için gereken süre boyunca kayıtları saklayın ve koruyun, daha sonra kayıtları güvenli bir şekilde imha edin”

Bu gereksinim, tüm kişisel verileri varsayılan olarak depolamak değil, sistemi denetlenebilir tutmaktır. Gerçek zorluk, mimari düzeydedir: Kimlik verileri nasıl yerel olarak işlenebilir ve izlenebilirlik nasıl korunabilir? Görüşümüze göre, veriler işleme amaçlarıyla değil, yalnızca sınırlı ve güvenli denetim amaçlarıyla iletilmelidir. Gelecek yaklaşımlar, seçici günlüğe kaydetme, şifreli denetim kayıtları veya ham kişisel verileri açığa çıkarmadan denetlenebilirliği koruyan mekanizmaları içerebilir. Bu, on-device modelinin bir sınırlaması değil, bir sonraki kimlik doğrulama sistemleri nesli için daha geniş bir zorluktur.

Gördüğünüz gibi, on-premise teknolojileri, eIDAS’ın ana zayıflığını giderirken, ana eIDAS gereksinimlerini tam olarak karşılar. Verileri depolamaya veya iletmeye gerek kalmadığı için, alternatif yaklaşımlardan daha güçlü bir koruma sağlar. Bu teknolojiler, “düşük”den “yüksek”e kadar her gerektirilen güvence seviyesinde kimlik doğrulama işlemlerini destekleyebilir.

On-Premise Mimarisi eIDAS Uyumunu Aşar

eIDAS gereksinimlerini karşılamak, AB’de faaliyet gösteren herhangi bir şirket için esastır. Ancak, uyumluluk alone gerçek müşteri verisi korumasını garanti etmez. Gerçekten güvenli bir KYC oluşturmak için, işletmelerin formal uyumluluğun ötesine bakmaları ve kullandıkları kimlik doğrulama çözümlerinin teknik özelliklerine dikkat etmeleri gerekir. Görüşümüze göre, en güvenli seçim, yalnızca kişisel veri toplama ihtiyacını en aza indiren değil, her aşamada bu verileri toplama ve iletme ihtiyacını ortadan kaldıran bir satıcıdır.