NFC ile kimlik kartı doğrulama nasıl çalışır?

Bir şirket uzaktan işe aldığı çalışanın kimliğini görmek istiyor. Kimlik kartının fotoğrafını e-postayla istemek hem güvensiz hem de sahteciliğe açık: fotoğraf düzenlenebilir, başkasının kartı kullanılabilir. Yeni nesil kimlik kartındaki çip ise farklı bir imkân sunar. Kart telefona yaklaştırıldığında, kartın gerçek olduğu ve bilgilerinin değiştirilmediği matematiksel olarak doğrulanabilir.

Kimlik kartının çipinde ne var?

T.C. kimlik kartı, uluslararası seyahat belgeleri için ICAO'nun 9303 numaralı belgesinde tanımlanan yapıya benzer bir temassız çip taşır. Çipte birkaç ayrı veri grubu bulunur:

Kimliği doğrulamak için birinci ve sonuncu grup yeterlidir. Yüz görüntüsü ve parmak izi, gerekmedikçe okunmamalıdır.

Okuma adım adım nasıl yapılır?

1. Makine okunur satırlar okunur. Kartın arka yüzündeki alt satırlar telefon kamerasıyla okunur. Buradan seri numarası, doğum tarihi ve son geçerlilik tarihi alınır. Kamera okuyamazsa bu bilgiler elle girilebilir.
2. Güvenli bağlantı kurulur. Bu bilgiler bir anahtar gibi kullanılarak çiple şifreli bir bağlantı açılır. Bağlantı protokolü genellikle PACE'tir, desteklenmiyorsa BAC kullanılır. Bu adım, kartı elinde tutmayan birinin çipi uzaktan okumasını engeller.
3. Kimlik bilgileri okunur. Ad, soyad ve diğer bilgiler çipten alınır.
4. Güvenlik verisi okunur. Çipteki veri gruplarının özetleri ve bunları imzalayan devlet sertifikası alınır.
5. Özgünlük denetimi yapılır. Kartın kopyalanmadığını göstermek için aktif doğrulama yapılır.

Okuma genellikle birkaç saniye sürer. Kartın kıpırdatılmaması ve kılıfın çıkarılması okumayı kolaylaştırır.

Pasif ve aktif doğrulama ne demek?

İki ayrı kontrol iki ayrı soruya cevap verir.

Pasif doğrulama: bilgiler değişmiş mi? Çipteki her veri grubunun özeti güvenlik verisinde yazılıdır ve bu veri devletin sertifikasıyla imzalanmıştır. Okunan bilgilerin özeti yeniden hesaplanır ve imzalı özetle karşılaştırılır. İmza da kök sertifikaya kadar kontrol edilir. Eşleşme, bilgilerin devletin yazdığı bilgiler olduğunu gösterir.

Aktif doğrulama: kart kopyalanmış mı? Pasif doğrulama tek başına kopyalamayı engellemez; çipteki veriler başka bir çipe aynen kopyalanabilir. Aktif doğrulamada kart, yalnızca kendi içinde bulunan ve dışarı çıkarılamayan bir anahtarla rastgele bir sorguyu imzalar. Kopya çipte bu anahtar bulunmadığı için cevap veremez. Bu kontrole klon kontrolü de denir.

NFC doğrulama hukuken ne sağlar?

NFC ile kimlik doğrulama bir kimlik tespiti yöntemidir; elektronik imza değildir. 5070 sayılı Kanun anlamında güvenli elektronik imza, nitelikli sertifikayla üretilir. NFC doğrulamasıyla verilen onay ise kimin onayladığını güçlü biçimde gösteren bir elektronik onaydır.

Bu yöntem, kodla onayın kimlik konusundaki zayıflığını kapatır. Kodla onayda kimlik, kodun gittiği telefonla sınırlıdır; NFC doğrulamasında ise kişinin elinde kendi kimlik kartının olduğu ve kartın gerçek olduğu gösterilir. Yöntemlerin karşılaştırmasını e-imza, mobil imza ve basit elektronik imza yazısında anlattık.

Kanun yazılı şekil arıyorsa NFC doğrulaması bu şekli karşılamaz; o belgeler için güvenli elektronik imza gerekir.

KVKK açısından nelere dikkat edilmeli?

KVKK'nın 4. maddesi kişisel verilerin amaçla bağlantılı, sınırlı ve ölçülü işlenmesini ister. Kimlik doğrulama için gereken veri, kimlik bilgileri ve güvenlik verisidir. Yüz görüntüsü ve parmak izi biyometrik veridir ve KVKK'nın 6. maddesine göre özel nitelikli kişisel veri sayılır; bunların işlenmesi ayrı şartlara bağlıdır. Doğrulama amacı için gerekmiyorsa okunmamaları en doğru yoldur.

Ayrıca kişiye, kimlik kartının neden okunduğu ve hangi bilgilerin saklandığı aydınlatma metniyle anlatılmalıdır. Konuyu elektronik onay ve imza süreçlerinde KVKK yazısında ele aldık.

yepp'te kimlik kartıyla onay

yepp uygulamasında kimlik kartıyla onay adımında kamera kartın arka yüzündeki satırları okur, ardından kart telefona yaslanır. Uygulama güvenli bağlantıyı kurar, kimlik bilgilerini ve güvenlik verisini okur ve klon kontrolünü yapar. Çipteki fotoğraf ve parmak izi okunmaz. Doğrulamanın kararı sunucuda verilir.

Onayın arkasında belgenin özeti, doğrulama yöntemi ve zaman bilgisi delil paketinde saklanır; belgeye doğrulama kodu basılır, T.C. kimlik numarası basılmaz. Ayrıntılar için doğrulanmış onay sayfasına bakabilirsiniz.