¿Cómo asegurar que una ID digital no se falsifique?

Question

¿Cómo asegurar que una ID digital no se falsifique?

#1 de symcbean (1 votos)
#2 de zzarzzur (0 votos)

3

Estamos intentando crear una identificación digital para reemplazar los pasaportes / permisos de conducir del Reino Unido para ingresar a las instalaciones con licencia, pero debemos asegurarnos de que no se pueda falsificar (o, en su defecto, la barrera para falsificarla debe ser muy alta).

Aquí están las restricciones con las que debemos lidiar:

Necesitamos poder implementarlo en Android y iOS
A los supervisores de puertas no les gusta usar la tecnología de su lado, por lo que los dispositivos móviles Las soluciones de comunicación móvil no son posibles, y todo lo que requiere más que un esfuerzo menor en su lado es probable que no sea un opción cualquiera
Para mostrar la identificación, los usuarios escanearán un código QR estático alrededor del cuello de los supervisores de la puerta, que mostrará la identificación en el teléfono del usuario hasta que se retire.

Suponer que una autenticación suficiente es un requisito previo, y que podemos utilizar los datos de Facebook de los usuarios si es necesario.

Las identificaciones tradicionales usan un holograma para evitar la falsificación, y a pesar de que en muchos casos es relativamente fácil de falsificar, se considera un nivel de seguridad suficiente para muchas tarjetas de identificación físicas. Podríamos usar los datos del giroscopio y el acelerómetro para crear algo que se vea y se mueva como un holograma, pero nuestro temor es que esto pueda ser falsificado, ya sea en una aplicación web en el navegador o en una aplicación en un iPhone arraigado / sideloaded en Android.

También hemos considerado el uso de tokens de seguridad física como una solución, por lo que el personal de la puerta tiene un token de seguridad física con el código QR. El usuario escanearía el código QR que le dice a la aplicación en qué lugar se encuentra y cuál es el ID del token de seguridad. La aplicación podría hablar con el servidor de autenticación digital de token de seguridad y mostrar el código de token correspondiente a esa ID, que debería coincidir y evitar falsificaciones. Sin embargo, debido a la deriva del token a lo largo del tiempo, se necesitaría una sincronización manual regular, por lo que no es una solución perfecta.

¿Alguna idea?

authentication identity qr-code

pregunta Taro 26.01.2017 - 13:16

fuente

2 respuestas

Lea otras preguntas en las etiquetas authentication identity qr-code

Cifrado de datos y SSO Evita el cambio de document.location, al inyectar el comando document.location de JavaScript

score 1 · Answer 1

los usuarios escanearán un código QR estático alrededor del cuello de los supervisores de la puerta, que mostrará la identificación en el teléfono del usuario hasta que sea despedido.

Si "el usuario" es el sujeto de verificación, no puede crear un sistema con ningún nivel de precisión / confianza basado en esta restricción. El sujeto controla tanto los datos de identidad como su procesamiento. Incluso si los supervisores de puertas tenían conocimientos tecnológicos, no pueden confiar en la información que se muestra en el dispositivo de otra persona.

Suponiendo que tiene una base de datos de clientes y edades verificadas (o más fechas correctas de nacimiento), entonces la única forma en que podría ver este funcionamiento sería que el cliente dirija al supervisor de la puerta al registro (por ejemplo, presentando un QR código) que el supervisor de la puerta podría resolver en su propio dispositivo. Esto todavía necesita un mecanismo para vincular el registro a la persona que está frente a ellos: la forma más obvia y menos intrusiva de hacerlo sería presentar una imagen del cliente en el dispositivo de los supervisores de la puerta (hay muchas formas diferentes de hacerlo). para resolver esta última parte). Pero esta es la ruta para resolver un problema imposible cambiando las restricciones.

score 0 · Answer 2

¿Por qué no mover el lado del servidor de verificación?

Suponiendo que tenga un método para verificar la identidad de los usuarios, todo lo que debe hacer es escanear un código QR alrededor del cuello de los supervisores de la puerta. Lo que sucede entonces es que la aplicación de los usuarios se pondrá en contacto con el servidor, que ya se ha autenticado, y le proporcionará al servidor el código de identificación del supervisor de la puerta.

El supervisor solo necesitaría una tableta montada en su escritorio, que recibiría los perfiles de las personas que intentan acceder al edificio, lo que permite al supervisor revisar los datos antes de abrir la puerta. Puede configurarlo para que el supervisor no tenga que interactuar con el dispositivo, simplemente abre automáticamente la siguiente solicitud.

Esto es seguro porque la información del usuario ya se verificará y almacenará de forma segura en sus servidores. También requiere un esfuerzo mínimo en ambas partes, ya que todo lo que el usuario debe hacer es escanear el código y el supervisor que elija permitirles entrar.

También puede expandir esto más adelante para incluir registros de quién ingresó a qué hora.

Aparte de eso, no tienes muchas opciones. Como se indica en los comentarios, cualquier verificación del lado del usuario puede ser falsificada.