Her Satıcı Bir Güvence Seviyesi İddia Eder. Tavanlarının Ne Olduğunu Sorun

Aşağıdakilerin hiçbiri bir vaka çalışması değildir ve hiçbir akredite kurum bunların hiçbirini değerlendirmemiştir.

Satın almanın üzerinde yürüdüğü kelime

Güvence seviyesi, bir alıcının "ne kadar emin olmam gerekiyor" sorusunu ifade etme biçimidir. Düzenleyicilerin gereksinimlerini yazdığı eksen, satıcıların konumlandığı eksen ve neredeyse hiç kimsenin iki kez aynı şekilde tanımlamadığı eksendir.

NIST bunu üç bağımsız ölçeğe ayırır ve eIDAS düşük, önemli ve yüksek olarak kendi kademelerini koyar; tek tek düzenleyiciler de üstüne başka kademeler ekler. Bir kelime dağarcığıyla yazılmış ve başkasıyla cevaplanmış bir gereksinim istisna değil olağan durumdur.

En pahalıya mal olan hata

Güvenceyi tek bir merdiven saymak.

Kayıt sırasında birinin kim olduğunu ne kadar titizlikle kurduğunuz ile her dönüşte hâlâ o kişi olduğunu ne kadar güçlü kanıtladıkları farklı özelliklerdir. Bir sistem bir pasaportu titizlikle kontrol edip sonra bir parola kabul edebilir. Bir başkası kaydı zar zor kontrol edip her oturumda bir donanım anahtarı isteyebilir.

İkisi de farklı riskler için savunulabilirdir ve tek bir sayı adlandıran bir gereksinim, bir satıcıyı hangisini kastettiğinizi tahmin etmeye zorlar.

Satıcıları gerçekten ayıran soru

"Hangi seviyeyi destekliyorsunuz" değil. Her satıcı bir slaytta her seviyeyi destekler.

"Bugün ihraç edebileceğiniz en yüksek seviye nedir ve onu ne sınırlıyor?"

Cevap neredeyse her zaman belirli bir eksik şeydir: kimsenin parasını ödemediği akredite bir değerlendirme, henüz okunmayan bir belge tipi, henüz sertifikalanmamış bir biyometrik kontrol, gerçek belgelere karşı hiç test edilmemiş bir çip doğrulaması. Tavan bir olgudur. İddia edilen aralık pazarlamadır.

Tavanımızı özellikle ne sınırlıyor

Çip okuması dürüst kısıttır. Temassız bir pasaport çipi, ihraç eden devlet tarafından imzalanmış veri taşır ve o imzayı ülkenin sertifikasına karşı doğrulamak, bir çip okumasını bir fotoğraftan daha güçlü kanıt yapan şeydir.

O kontrolün uygulamamız, üretimdeki gerçek pasaportlara karşı değil sentetik sertifikalara karşı doğrulanmıştır. Yani bugün bir çip okuması, geçen bir makine tarafından okunabilir bölgeyi güçlendirir, kendi başına karar vermez, ve çip doğrulamasına yaslanan bir güvence iddiası kanıtlanmamış bir şeye yaslanıyor olurdu.

Tavanın olduğu yerde olmasının sebebi budur ve bu mimari değil bir test açığıdır.

Herhangi bir satıcının cevabı nasıl okunur

Arkasında bir değerlendirme olmayan bir seviye bir öz değerlendirmedir. Bu değersiz değildir ve akredite bir uygunluk sonucu da değildir. Satıcılar farkı nadiren işaretler; bir alıcı işaretlemelidir.

Hangi ölçek olduğunu sorun. "Seviye iki" cevabı, bunun NIST'in kayıt ölçeği mi, NIST'in kimlik doğrulama ölçeği mi, eIDAS mı, yoksa satıcının kendi kelime dağarcığı mı olduğunu bilene kadar hiçbir şey ifade etmez.

Bir belgede makine tarafından okunabilir bölge olmadığında ne olduğunu sorun. Dürüst cevap, bir insana gittiğidir ve o sonuca iliştirilen seviye teknik değil bir politika kararıdır.

Bu karar için ne anlama geliyor

Bugün L2'nin üstünde bir kimlik bilgisine ihtiyacınız varsa, bir tane ihraç edemeyiz ve aksini iddia eden her satıcıya tavanlar konusunda aynı soruyu sormalısınız. Gereksiniminiz L2 ise, seviye kimlik bilgisinde açıklanır, aşağı akış kuralı iyi niyetlerle değil şemayla uygulanır ve tavanımızı sınırlayan şey sizin bulmanıza bırakılmak yerine yukarıda yazılıdır.