Jak działa elektroniczna tożsamość?
Elektroniczna tożsamość to cyfrowy odpowiednik dokumentu tożsamości, który pozwala zdalnie potwierdzić, kim jesteś. System nie przekazuje usługodawcy hasła do banku ani pełnego dostępu do rachunku. Zaufany pośrednik, taki jak bank, system państwowy lub e-dowód, potwierdza wybrane dane po Twoim uwierzytelnieniu i za zgodą na ich przekazanie.
Czym jest elektroniczna tożsamość?
Elektroniczna tożsamość działa jak cyfrowy klucz do usług internetowych. Dzięki niej możesz zalogować się do serwisu publicznego lub komercyjnego i potwierdzić, że osoba korzystająca z usługi jest tą, za którą się podaje. W praktyce zastępuje część czynności wykonywanych wcześniej przy okienku, takich jak okazanie dokumentu czy potwierdzenie danych przez pracownika.
Możesz użyć jej między innymi przy zakładaniu konta, zawieraniu umowy z operatorem, korzystaniu z usług medycznych, ubezpieczeniowych lub energetycznych, a także podczas załatwiania spraw urzędowych. Zakres zastosowania zależy od konkretnego usługodawcy i wymaganego poziomu pewności co do tożsamości.
Trzeba przy tym rozróżnić identyfikację od podpisu elektronicznego. Identyfikacja odpowiada na pytanie „kim jestem?”. Podpis potwierdza natomiast, że świadomie zaakceptowałeś treść dokumentu lub złożyłeś oświadczenie. Podpis kwalifikowany jest usługą zaufania regulowaną między innymi przez eIDAS, a nie tylko sposobem logowania.
Jak przebiega potwierdzenie tożsamości?
W procesie uczestniczą zwykle trzy strony: Ty, usługodawca oraz podmiot zaufany. Tym ostatnim może być bank, Profil Zaufany albo system obsługujący e-dowód. W przypadku mojeID usługę dostarcza Krajowa Izba Rozliczeniowa, a bank pełni funkcję źródła, które wcześniej zweryfikowało Twoje dane.
Uproszczony przebieg wygląda następująco:
- Inicjacja – na stronie usługodawcy wybierasz opcję potwierdzenia tożsamości i wskazujesz dostępną metodę, na przykład mojeID, bankowość elektroniczną, Profil Zaufany albo e-dowód.
- Uwierzytelnienie – zostajesz przekierowany do banku lub innego zaufanego systemu. Logujesz się w sposób, którego używasz na co dzień, na przykład przez aplikację mobilną, kod lub inne zabezpieczenie.
- Przekazanie danych – system pokazuje, jakie informacje chce otrzymać usługodawca. Dopiero po Twojej akceptacji wybrane dane są przekazywane w bezpiecznym kanale.
- Powrót do usługodawcy – po pomyślnej weryfikacji wracasz na pierwotną stronę. Usługodawca otrzymuje potwierdzenie i dane niezbędne do dokończenia rejestracji, umowy lub innej czynności.
Bank nie widzi przy tym szczegółów sprawy załatwianej u zewnętrznej firmy, a usługodawca nie uzyskuje dostępu do rachunku bankowego. Każdy z nich otrzymuje tylko informacje przewidziane dla danego procesu.
Najpopularniejsze metody e-tożsamości
Poszczególne narzędzia różnią się sposobem działania i zakresem zastosowania. Poziom bezpieczeństwa zależy nie tylko od samej nazwy metody, lecz także od sposobu jej wdrożenia i wymagań konkretnej usługi.
| Metoda | Główne przeznaczenie | Poziom bezpieczeństwa |
|---|---|---|
| mojeID | Zdalne potwierdzanie danych w usługach komercyjnych i publicznych za pomocą bankowości elektronicznej | Średni lub wyższy, zależnie od procesu i źródła danych |
| e-dowód | Identyfikacja i uwierzytelnienie z użyciem elektronicznej warstwy dowodu, aplikacji eDO App lub czytnika | Wysoki, ponieważ dane są odczytywane z dokumentu i chronione kodem CAN oraz PIN |
| Profil Zaufany | Logowanie i składanie wniosków w systemach administracji publicznej | Poziom dostosowany do usług publicznych i sposobu uwierzytelnienia |
E-dowód ma wbudowany chip NFC. Do korzystania z jego funkcji potrzebne są między innymi numer CAN oraz PIN1, który służy do identyfikacji i uwierzytelnienia. Podpis osobisty wykorzystuje odrębny PIN2. Połączenie z telefonem może obsługiwać aplikacja eDO App, a z komputerem także czytnik i odpowiednie oprogramowanie.
Profil Zaufany jest przeznaczony przede wszystkim do kontaktu z administracją publiczną. Pozwala między innymi logować się do usług państwowych, składać deklaracje i podpisywać wnioski. MojeID ma szerszy charakter i może działać także w relacjach z firmami, na przykład przy zawieraniu umowy telekomunikacyjnej lub ubezpieczeniowej.
Dlaczego elektroniczna tożsamość jest bezpieczna?
Bezpieczeństwo nie wynika z jednego mechanizmu, lecz z połączenia kilku zabezpieczeń. W procesie ważne są zarówno technologia, jak i ograniczenie zakresu przekazywanych informacji.
Najważniejsze filary ochrony to:
- Szyfrowanie danych – informacje są przesyłane zabezpieczonym kanałem, aby utrudnić ich przechwycenie lub zmianę.
- Świadoma zgoda – użytkownik loguje się, sprawdza zakres żądanych danych i akceptuje ich przekazanie.
- Minimalizacja informacji – usługodawca powinien otrzymać tylko dane konieczne do realizacji konkretnej czynności.
- Rozdzielenie systemów – usługodawca nie otrzymuje dostępu do rachunku bankowego, a bank nie musi znać szczegółów sprawy załatwianej u tego usługodawcy.
- Dodatkowe uwierzytelnienie – bankowość elektroniczna, e-dowód i Profil Zaufany wykorzystują logowanie, kody, aplikację lub PIN, zależnie od wybranej metody.
Weryfikacja tożsamości może być elementem procedury KYC, czyli „poznaj swojego klienta”. Firmy stosują ją między innymi wtedy, gdy zawierają umowy, udostępniają usługi finansowe albo muszą spełnić wymagania prawne. Nie oznacza to jednak, że każda usługa wymaga takiego samego poziomu potwierdzenia.
Rozwój tego obszaru obejmuje także unijny portfel tożsamości cyfrowej. Ma on umożliwiać przechowywanie dokumentów, potwierdzanie tożsamości i udostępnianie tylko wybranych informacji w różnych państwach Unii Europejskiej. Jego działanie będzie opierało się na wspólnych unijnych standardach, ale szczegóły dostępności poszczególnych funkcji zależą od wdrażanych rozwiązań.
Najprościej ujmując, elektroniczna tożsamość nie polega na przesłaniu skanu dowodu do każdej firmy. To kontrolowany proces, w którym zaufany podmiot potwierdza Twoje dane, a Ty decydujesz, czy i w jakim zakresie zostaną one przekazane usługodawcy.
