O espetro da garantia de identidade
No panorama digital atual, as organizações enfrentam o desafio crítico de garantir que os utilizadores online são realmente quem afirmam ser. Processos robustos de verificação de identidade são essenciais em todos os sectores para evitar fraudes, proteger dados sensíveis e manter a integridade do ecossistema digital.
Para enfrentar estes desafios, desenvolvemos a série de três partes Spectrum of Identity Assurance. Este guia abrangente fornece informações para ajudar as organizações a selecionar os níveis de garantia adequados para vários casos de utilização ao conceber e implementar processos de verificação de identidade.
Ao compreenderem o espetro da garantia de identidade, as empresas podem encontrar o equilíbrio certo entre segurança, facilidade de utilização e conformidade - promovendo a confiança do utilizador ao mesmo tempo que reduzem os riscos de fraude de identidade.
Para enfrentar estes desafios, desenvolvemos a série de três partes Spectrum of Identity Assurance. Este guia abrangente fornece informações para ajudar as organizações a selecionar os níveis de garantia adequados para vários casos de utilização ao conceber e implementar processos de verificação de identidade.
Ao compreenderem o espetro da garantia de identidade, as empresas podem encontrar o equilíbrio certo entre segurança, facilidade de utilização e conformidade - promovendo a confiança do utilizador ao mesmo tempo que reduzem os riscos de fraude de identidade.
Descarregar a série de relatórios sobre o espetro da garantia de identidade
Este guia completo está dividido em três documentos descarregáveis, cada um centrado num aspeto crucial do panorama da verificação de identidade:
Documento 1: Espectro da prova de identidade
Este documento centra-se no estabelecimento inicial de confiança durante o processo de integração e explora os vários métodos e tecnologias disponíveis para a prova remota de identidade, incluindo a verificação da base de dados, a verificação biométrica e a verificação de documentos. Discute os pontos fortes e as limitações de cada abordagem e fornece orientações sobre a seleção do nível de garantia adequado com base no caso de utilização específico e no perfil de risco. Clique no botão abaixo para descarregar.
Documento 2: Navegando pelas complexidades da autenticação remota
Partindo da base da prova de identidade, este documento analisa a autenticação contínua dos utilizadores ao longo do seu percurso com uma organização. Examina os diferentes factores de autenticação, como os factores baseados no conhecimento, na posse e na herança, e discute como podem ser combinados para criar esquemas de autenticação fortes e resistentes. O documento também explora tecnologias emergentes, como a autenticação sem palavra-passe e a autenticação contínua, e o seu potencial para melhorar a segurança e a experiência do utilizador.
Espectro da biometria
O último documento da série aprofunda a utilização de tecnologias biométricas para a verificação e autenticação da identidade. Examina várias modalidades biométricas, incluindo a biometria facial, de impressões digitais e da palma da mão, e discute os seus pontos fortes, limitações e potenciais aplicações. O documento também aborda considerações importantes relacionadas com o seu desenvolvimento, implementação, privacidade dos dados, segurança e aceitação do utilizador.
Ao compreender o espetro destes três documentos, as organizações podem tomar decisões bem informadas ao conceber e implementar processos de verificação de identidade seguros e fáceis de utilizar, adaptados às suas necessidades específicas.
Centro de conteúdos do Spectrum of Identity Assurance: De que trata esta página?
Embora a série de três partes do documento Spectrum of Identity Assurance forneça uma visão geral abrangente, alguns tópicos técnicos exigem uma exploração mais aprofundada. Para garantir a amplitude e a profundidade da cobertura, criámos esta página Web específica.
Aqui, encontrará secções expandidas que se debruçam sobre os detalhes e nuances intrincados de várias tecnologias, métodos e processos de verificação de identidade. Isto permite-nos fornecer um recurso completo, mas acessível - dando-lhe a opção de ler os conceitos de alto nível nos documentos principais ou explorar os pontos técnicos mais finos, conforme necessário.
Nesta página, pode esperar encontrar análises detalhadas, exemplos ilustrativos e análises mais aprofundadas. Para explorar um tópico específico em pormenor, basta seleccioná-lo nas opções abaixo para revelar as informações.
Documento 1 (Espectro da garantia de identidade) Tópicos
O que é a prova de identidade?
A prova de identidade é o processo de estabelecer e verificar a identidade de um indivíduo, garantindo que ele é quem diz ser. Envolve a recolha e avaliação de várias provas, como documentos de identificação emitidos pelo governo, dados biométricos ou informações pessoais, para determinar a autenticidade e legitimidade da identidade reivindicada. O objetivo da prova de identidade é reduzir o risco de fraude, impedir o acesso não autorizado a informações ou sistemas sensíveis e estabelecer uma ligação fiável e de confiança entre uma identidade do mundo real e uma pessoa digital ou em linha. A prova de identidade é uma etapa crucial em muitos processos de integração, especialmente em sectores com requisitos regulamentares rigorosos, como os serviços financeiros, os cuidados de saúde e a administração pública.
O que é a verificação da identidade?
A verificação da identidade é o ato de confirmar que uma pessoa é efetivamente quem diz ser. É um subconjunto do processo de prova de identidade e centra-se na validação das informações fornecidas pelo indivíduo em relação a fontes fiáveis e autorizadas. A verificação da identidade envolve a verificação da autenticidade e validade dos documentos de identidade, a comparação de dados biométricos ou a verificação de informações pessoais em bases de dados fiáveis. O objetivo da verificação da identidade é garantir que a identidade reivindicada é genuína, actualizada e pertence à pessoa que a apresenta. Este processo ajuda a evitar fraudes de identidade, acesso não autorizado e outros riscos de segurança associados a identidades falsas ou roubadas. A verificação da identidade é uma componente essencial de vários processos empresariais, como a integração de clientes, o controlo de acesso e a autenticação de transacções.
O que é o Remote Onboarding?
O Onboarding remoto refere-se ao processo de registo e integração de um novo utilizador, cliente ou funcionário nos sistemas e serviços de uma organização sem exigir a sua presença física. Permite que os indivíduos concluam os passos necessários de registo, autenticação e verificação remotamente, normalmente através de canais digitais, como sítios Web, aplicações móveis ou videoconferência. A integração remota ganhou uma importância significativa nos últimos anos, impulsionada pela crescente digitalização dos serviços e pela necessidade de soluções convenientes e acessíveis. Permite às organizações expandir o seu alcance, melhorar a experiência do utilizador e simplificar os seus processos de integração. No entanto, o onboarding remoto também apresenta desafios únicos, particularmente em termos de prova e verificação de identidade, uma vez que se baseia em métodos digitais para estabelecer confiança e mitigar os riscos de fraude. As organizações devem implementar soluções robustas de integração remota que equilibrem a segurança, a conformidade e a experiência do utilizador para garantir a integridade e a fiabilidade do processo.
Obtenção de provas
Esta etapa envolve a recolha de provas relevantes do indivíduo para apoiar a sua identidade reivindicada. As provas podem incluir documentos emitidos pelo governo, como passaportes ou cartas de condução, bem como provas digitais, como facturas de serviços públicos ou extractos bancários.
Verificação da validade das provas
Uma vez obtidas as provas, estas devem ser validadas para garantir a sua genuinidade e autenticidade. Para tal, é necessário examinar as caraterísticas de segurança dos documentos físicos, verificar a integridade das provas digitais e verificar junto de fontes fidedignas a existência de documentos perdidos, roubados ou caducados.
Confirmar a existência da identidade reivindicada ao longo do tempo
Para reduzir o risco de identidades sintéticas, as organizações devem confirmar que a identidade reivindicada existiu durante um período de tempo. Isto pode ser feito verificando o histórico de interações com outras organizações ou através da análise da pegada eletrónica.
Validação da base de dados (segurança média-alta)
- Exemplo: Durante o processo de integração de um serviço financeiro, as informações fornecidas pelo utilizador, como o nome, a morada e a data de nascimento, são cruzadas com bases de dados fiáveis, como agências de crédito, registos governamentais e fornecedores de serviços públicos. O sistema valida a exatidão e a consistência das informações em várias fontes para estabelecer a existência da identidade.
- Segurança - Base de dados média A validação de base de dados oferece um nível médio de segurança, validando as informações do utilizador com fontes fiáveis de terceiros. Pode ser efectuada totalmente online, simplificando o processo de verificação de identidade e reduzindo a intervenção manual. Quando combinada com outros métodos de verificação, fornece uma visão abrangente da identidade de um indivíduo.
- Usabilidade - Elevada (para utilizadores com histórico de crédito/digital estabelecido) No entanto, a validação da base de dados pode não ser adequada para utilizadores com histórico de crédito ou pegada digital limitados, como indivíduos mais jovens ou imigrantes recentes. A sua eficácia depende da exatidão e segurança das bases de dados acedidas, e dados incompletos, desactualizados ou comprometidos podem levar a falsas rejeições ou a potenciais fraudes de identidade.
Verificação biométrica (segurança média-alta)
- Exemplos: Facial (Alta), digitalização de impressões digitais (Alta) Durante o processo de integração de uma aplicação bancária móvel, é pedido ao utilizador que tire uma selfie e tire uma fotografia do seu documento de identificação emitido pelo governo. A aplicação utiliza a biometria facial para fazer corresponder a selfie do utilizador à fotografia do documento de identificação para verificar a sua identidade. Embora a verificação biométrica possa ser efectuada com recurso a impressões digitais, este método não é muito utilizado, uma vez que as impressões digitais não são muito comuns como elemento de comparação. Por exemplo, num passaporte biométrico, as impressões digitais não estão presentes ou são armazenadas num local apenas acessível ao governo. Por conseguinte, a biometria facial é considerada a modalidade biométrica mais acessível e conveniente.
- Estabelece uma forte ligação entre uma identidade real e uma identidade digital - essencial para as cartas de condução móveis (mDL) e as identidades electrónicas (eID), bem como para as carteiras móveis.
- Os níveis de garantia variam consoante a tecnologia e as medidas anti-spoofing
- Usabilidade - Alta
Verificação de documentos (segurança média-alta)
- Exemplos: Verificação baseada em NFC de passaportes electrónicos e verificação ótica de documentos de identidade. Uma instituição financeira exige que os novos clientes forneçam uma cópia do seu documento de identificação emitido pelo governo (por exemplo, passaporte ou carta de condução) durante o processo de integração. A instituição utiliza tecnologia de verificação automática de documentos para verificar a autenticidade e a validade do documento de identificação.
- Proporciona um elevado nível de garantia ao verificar a autenticidade dos documentos emitidos pelo governo
- A adoção varia consoante a região geográfica, com base nas caraterísticas de segurança dos documentos (por exemplo, disponibilidade de NFC)
- Usabilidade - Média
Mais informações sobre OCR e NFC
Reconhecimento ótico de caracteres (OCR):
- Nível de segurança: Baixo a médio - O OCR pode automatizar o processo de extração de texto a partir de imagens capturadas de documentos de identidade. A sua precisão e fiabilidade dependem de vários factores. A qualidade da imagem capturada desempenha um papel crucial no sucesso do OCR. Imagens de baixa qualidade, como as que têm pouca iluminação, desfocagem ou brilho, podem afetar significativamente a precisão do texto extraído. Além disso, o OCR pode ter dificuldades com diferentes tipos de letra, estilos de caligrafia ou idiomas, conduzindo a potenciais erros ou imprecisões nos dados extraídos. Estas limitações podem resultar em falsos positivos ou falsos negativos durante o processo de verificação de identidade, comprometendo a segurança global.
- A tecnologia OCR, por si só, não verifica a autenticidade ou a integridade do documento de identidade. Limita-se a extrair o texto da imagem sem avaliar as caraterísticas de segurança do documento ou detetar potenciais falsificações. Por conseguinte, deve ser utilizada em combinação com outros métodos de verificação, tais como técnicas de autenticação de documentos ou comparação biométrica, para reforçar a segurança global do processo de verificação de identidade.
- Acessibilidade e inclusão: Alta - O OCR pode ser executado numa vasta gama de documentos de identificação, incluindo passaportes, cartas de condução, cartões de identificação nacionais e outros documentos de identificação emitidos pelo governo. Esta versatilidade torna o OCR acessível a utilizadores com vários tipos de identificação, independentemente do seu país de origem ou do tipo de documento específico que possuem.
- O OCR não requer hardware ou equipamento especializado, o que o torna altamente acessível a uma vasta base de utilizadores. Pode ser facilmente integrado em aplicações móveis ou plataformas baseadas na Web, permitindo aos utilizadores captar imagens dos seus documentos de identificação utilizando as câmaras ou scanners dos seus smartphones. Isto elimina a necessidade de os utilizadores apresentarem fisicamente os seus documentos ou de se deslocarem a um local específico para verificação, aumentando a conveniência e a acessibilidade do processo. O OCR é efectuado com luz natural, embora a verificação de documentos com equipamento especializado num local físico possa suportar verificações com luz tripla que um smartphone não consegue.
Leitura de chips de comunicação de campo próximo (NFC):
- Nível de segurança: Elevado - Os passaportes modernos e alguns bilhetes de identidade nacionais estão equipados com chips NFC incorporados que armazenam dados assinados criptograficamente. Estes dados incluem normalmente as informações pessoais do titular do documento, dados biométricos (como uma imagem facial ou impressões digitais) e caraterísticas de segurança digital. A assinatura criptográfica dos dados garante a sua integridade e autenticidade, tornando-os altamente resistentes a tentativas de adulteração ou falsificação.
- Quando um dispositivo compatível com NFC, como um smartphone ou um leitor NFC dedicado, é aproximado do chip NFC do documento, pode ler de forma segura os dados armazenados. O dispositivo pode então verificar a assinatura criptográfica utilizando os certificados digitais da autoridade emissora, garantindo que os dados provêm de uma fonte fiável e não foram alterados. Este processo fornece uma forte garantia da genuinidade do documento e da identidade do seu titular.
- A leitura de chips NFC também permite a verificação de caraterísticas de segurança adicionais, como a autenticação ativa, que prova que o próprio chip é genuíno e não uma cópia clonada. Isto aumenta ainda mais a segurança do processo de verificação de identidade, tornando extremamente difícil para os autores de fraudes criar documentos falsificados com chips NFC funcionais.
- Acessibilidade e inclusão: Baixa a média - Embora a leitura de chips NFC ofereça um elevado nível de segurança, a sua acessibilidade e inclusão podem ser limitadas devido a vários factores. Uma das principais restrições é a necessidade de hardware especializado para ler chips NFC. Nem todos os smartphones ou dispositivos estão equipados com capacidades NFC, e os leitores NFC dedicados podem não estar amplamente disponíveis ou ser acessíveis a todos os utilizadores. Isto limita a acessibilidade da verificação de identidade baseada em NFC àqueles que possuem dispositivos compatíveis ou têm acesso ao hardware necessário.
- Além disso, a adoção de chips NFC em documentos de identidade varia de país para país e de região para região. Enquanto alguns países, como muitas nações europeias, implementaram totalmente os chips NFC nos seus passaportes e cartões de identificação nacionais, outros ainda não adoptaram esta tecnologia. Esta falta de padronização limita a acessibilidade global e a inclusão da verificação de identidade baseada em NFC.
- Avaliação dos riscos: Isto envolve a avaliação dos potenciais riscos e impactos da fraude de identidade para cada caso de utilização específico. Ao compreender o nível de risco associado a diferentes cenários, as organizações podem tomar decisões informadas sobre o nível de garantia necessário para mitigar esses riscos de forma eficaz.
- Conformidade regulamentar: Muitos sectores, como o dos serviços financeiros, têm regulamentos e diretrizes rigorosos que têm de ser cumpridos, tais como os requisitos "Know Your Customer" (KYC) e "Anti-Money Laundering" (AML). As organizações têm de assegurar que o nível de garantia escolhido cumpre ou excede estas normas regulamentares para evitar potenciais repercussões legais e financeiras.
- Experiência do utilizador: Embora a implementação de elevados níveis de garantia seja essencial para fins de segurança, é igualmente importante equilibrar este aspeto com a usabilidade e a demografia dos utilizadores. Uma solução demasiado complicada ou morosa pode levar à frustração e ao abandono do utilizador. Por conseguinte, as organizações devem esforçar-se por encontrar um nível de garantia que proporcione uma segurança robusta e, ao mesmo tempo, minimize a fricção e incentive a adoção pelos utilizadores.
- Implicações de custo de implementação e manutenção: Os níveis mais elevados de garantia requerem frequentemente tecnologias mais avançadas, hardware especializado e manutenção contínua, o que pode resultar num aumento dos custos. As organizações devem avaliar cuidadosamente a implementação e os custos contínuos associados a cada nível de garantia e compará-los com os benefícios e a redução de riscos que proporcionam.
Verificação de autorização bancária
- A verificação da autenticação bancária, também conhecida como verificação da conta bancária ou autenticação da conta bancária, é um processo que confirma a propriedade e a validade da conta bancária de um utilizador. Normalmente, este método implica que o utilizador forneça as suas credenciais bancárias em linha ou os dados da conta, que são depois verificados de forma segura junto do respetivo banco. A verificação da autenticação bancária oferece um elevado nível de segurança, uma vez que estabelece uma forte ligação entre a identidade do utilizador e a sua instituição financeira.
- Uma das principais vantagens da verificação de autenticação bancária é a sua capacidade de aproveitar a confiança existente e as medidas de segurança implementadas pelos bancos. As instituições financeiras têm procedimentos rigorosos de Know Your Customer (KYC) e Anti-Money Laundering (AML) em vigor, o que significa que uma verificação bem sucedida do Bank Auth pode proporcionar um elevado grau de confiança na identidade do utilizador. Além disso, este método pode ser realizado totalmente online, tornando-o conveniente para os utilizadores e reduzindo a fricção no processo de prova de identidade.
- No entanto, a verificação de autenticação bancária também tem as suas limitações. Alguns utilizadores podem hesitar em partilhar as suas credenciais bancárias em linha devido a preocupações de segurança, o que pode levar à desistência do utilizador. Além disso, o sucesso deste método depende do facto de o utilizador ter uma conta bancária existente e da vontade do banco em participar no processo de verificação. Apesar destes desafios, a verificação de autenticação bancária continua a ser uma ferramenta valiosa no ecossistema de prova de identidade, especialmente quando utilizada em conjunto com outros métodos de verificação para criar uma abordagem robusta e multi-camadas à garantia de identidade.
GIdentidade emitida pelo governo
<<< Diagram of the below >>>
- Nível de segurança: elevado - A verificação das informações fornecidas pelo utilizador em bases de dados de identidade emitidas pelo governo, como as mantidas pelo Departamento de Veículos Motorizados (DMV) ou pela Administração da Segurança Social (SSA), oferece um elevado nível de segurança. Estas bases de dados contêm registos que foram submetidos a processos de verificação de identidade minuciosos e são actualizados regularmente, o que dificulta a criação de identidades falsas ou a representação de outras pessoas por parte de autores de fraudes.
- Acessibilidade e inclusão: Média - Embora as bases de dados de identidade emitidas pelo governo sejam abrangentes e cubram um vasto leque da população, alguns indivíduos podem enfrentar dificuldades em serem verificados com sucesso nestas bases de dados. Isto pode dever-se a várias razões, tais como inconsistências nas informações pessoais, alterações recentes no nome ou morada, ou interação limitada com agências governamentais. Além disso, certos grupos marginalizados ou indivíduos com circunstâncias únicas podem encontrar dificuldades em serem corretamente representados nestas bases de dados.
Agência de crédito
- Nívelde segurança : Médio a alto - A verificação das informações fornecidas pelo utilizador em relação às bases de dados das agências de crédito oferece um nível de segurança médio a elevado. As agências de crédito mantêm registos extensivos dos históricos financeiros dos indivíduos, incluindo contas de crédito, históricos de pagamento e registos públicos. Estas bases de dados são actualizadas regularmente e podem ajudar a identificar inconsistências ou sinais de alerta nas informações fornecidas por um utilizador. No entanto, o nível de segurança da verificação da base de dados das agências de crédito depende da exatidão e da integridade dos registos mantidos pelas agências de crédito e da possibilidade de roubo ou fraude de identidade.
- Acessibilidade e inclusão: Média - As agências de crédito têm, em geral, uma cobertura populacional muito elevada, mas, dentro desta, podem ter utilizadores de "perfil reduzido". Um utilizador de perfil reduzido é alguém que tem um historial de crédito limitado, o que pode ser problemático para a pontuação de crédito, a verificação utilizando a verificação baseada no conhecimento (KBV) e os indicadores de risco de fraude (por exemplo, provas de atividade ao longo do tempo). Embora a cobertura das agências de crédito seja normalmente elevada para validar uma identidade, pode sofrer de atrasos porque dependem da atualização dos dados de origem.
- Além disso, alguns indivíduos podem ter um acesso limitado ao crédito devido a factores socioeconómicos, o que pode ter um impacto adicional na inclusão da verificação da base de dados das agências de crédito. Os jovens adultos que ainda não estabeleceram um historial de crédito, os imigrantes recentes que não tiveram a oportunidade de construir um perfil de crédito no novo país ou os indivíduos que dependem principalmente de transacções em dinheiro podem ter uma presença limitada ou nula nas bases de dados das agências de crédito. Isto pode resultar em dificuldades quando se tenta verificar as suas identidades utilizando apenas os dados das agências de crédito.
Fatura de serviços públicos
- Nível de segurança: Baixo a médio - A verificação das informações fornecidas pelo utilizador em bases de dados de facturas de serviços públicos oferece um nível de segurança baixo a médio. Embora as facturas de serviços públicos possam fornecer um comprovativo de morada, as bases de dados que armazenam estas informações podem não ter o mesmo nível de segurança e exatidão que as bases de dados de identidade emitidas pelo governo ou por agências de crédito. As bases de dados de facturas de serviços públicos podem ser mais susceptíveis a erros, informações desactualizadas ou entradas fraudulentas. Além disso, as próprias facturas de serviços públicos podem ser relativamente fáceis de falsificar ou manipular, o que pode comprometer a segurança do processo de verificação. O nível de segurança pode ser melhorado através do cruzamento de informações de várias facturas de serviços públicos ou combinando a verificação de facturas de serviços públicos com outros métodos de verificação.
- Acessibilidade e inclusão: Baixa - A verificação da base de dados de facturas de serviços públicos pode não ser tão acessível ou inclusiva como se pensava anteriormente. As facturas domésticas tendem a ser endereçadas a um indivíduo nomeado, o que significa que qualquer outra pessoa do agregado familiar pode ser excluída deste método de verificação. Isto não se limita aos estudantes universitários que vivem em dormitórios; muitas propriedades arrendadas têm facturas de serviços públicos em nome do senhorio, quer os serviços públicos estejam incluídos na renda ou sejam pagos separadamente pelo inquilino. Mesmo os contratos de telemóveis não estão necessariamente ligados ao utilizador final, como é o caso dos pais que pagam as contas dos filhos.
- Nestas situações, a verificação da base de dados de facturas de serviços públicos pode não ser uma opção viável para uma parte significativa da população. Isto pode resultar em desafios quando se tenta verificar as identidades de indivíduos que não têm facturas de serviços públicos em seu nome. Além disso, os sem-abrigo ou os que vivem em habitações transitórias podem não ter acesso a facturas de serviços públicos, o que limita ainda mais a acessibilidade e a inclusão deste método de verificação. Para garantir a acessibilidade e a inclusão de todos os utilizadores, poderá ser necessário considerar métodos de verificação alternativos em conjunto ou em substituição da verificação da base de dados de facturas de serviços públicos.
Caderno eleitoral
- Nível de segurança: Médio - A verificação das informações fornecidas pelo utilizador em relação às bases de dados dos cadernos eleitorais oferece um nível de segurança médio. Os cadernos eleitorais contêm informações sobre os eleitores registados, incluindo o nome, a morada e a data de nascimento, que podem ser utilizadas para confirmar a identidade de um utilizador. No entanto, a exatidão e o carácter exaustivo das bases de dados dos cadernos eleitorais podem variar, dependendo da frequência das actualizações e da eficiência do processo de registo dos eleitores. Em alguns casos, os cadernos eleitorais podem não incluir todas as pessoas elegíveis, como as que fizeram recentemente 18 anos ou as que não se registaram ativamente para votar. Além disso, a segurança das bases de dados dos cadernos eleitorais pode estar sujeita às mesmas vulnerabilidades que outras bases de dados governamentais, como a possibilidade de violação de dados ou de acesso não autorizado.
- Acessibilidade e inclusão: Baixa a média - Motivo: O acesso aos dados dos cadernos eleitorais é muitas vezes restrito, o que pode limitar a acessibilidade e a inclusão deste método de verificação. Nalguns países, como o Reino Unido, a versão não editada dos cadernos eleitorais só está acessível a organizações prescritas, como as agências de crédito. Isto significa que muitas organizações podem não ter acesso direto à base de dados completa dos cadernos eleitorais, reduzindo a acessibilidade geral deste método de verificação.
- Além disso, há certos grupos de indivíduos que podem ser excluídos das bases de dados dos cadernos eleitorais, mesmo em países onde o recenseamento eleitoral é obrigatório ou amplamente encorajado. Por exemplo, os indivíduos que não estão inscritos para votar, quer por opção quer devido a restrições de elegibilidade, não estarão presentes nos cadernos eleitorais. Do mesmo modo, as pessoas que mudaram recentemente de residência ou de morada podem não ter atualizado o seu registo de eleitor, o que leva a discrepâncias no processo de verificação. Em alguns países, certos grupos marginalizados podem enfrentar barreiras ao recenseamento eleitoral, o que pode limitar ainda mais a inclusão da verificação da base de dados dos cadernos eleitorais.
Operador de rede móvel (MNO)
- Nível de segurança: Médio - Os operadores de redes móveis recolhem e armazenam informações de identidade fornecidas pelos indivíduos durante o registo do cartão SIM, incluindo nome, morada e (em alguns países) dados de identificação emitidos pelo governo. Estes dados podem ser utilizados para confirmar a identidade de um utilizador durante o processo de verificação. No entanto, o nível de segurança da verificação da base de dados do operador móvel depende da exatidão e da fiabilidade dos processos de recolha e verificação de dados do operador móvel. Em alguns casos, as informações de identidade associadas a um número de telemóvel podem estar desactualizadas, imprecisas ou incompletas, especialmente se o cartão SIM tiver sido registado há muito tempo ou se o utilizador tiver alterado os seus dados pessoais sem atualizar os registos do operador móvel. Além disso, a segurança das bases de dados dos operadores de redes móveis pode ser comprometida, o que pode pôr em causa a integridade do processo de verificação.
- Acessibilidade e inclusão: Elevada - Com a adoção generalizada de telemóveis, a verificação das ORM é altamente acessível a uma grande parte da população. No entanto, pode excluir indivíduos que não possuem um telemóvel ou aqueles que utilizam serviços pré-pagos sem fornecer informações pessoais detalhadas.
Reconhecimento ótico de caracteres (OCR)
- Nível de segurança: Baixo a médio - O OCR depende da qualidade da imagem capturada e da exatidão dos algoritmos de reconhecimento de texto. Embora possa extrair dados de documentos de identidade, não verifica inerentemente a autenticidade do próprio documento. O OCR pode ser suscetível a erros e pode não detetar falsificações ou manipulações sofisticadas do texto do documento.
- Acessibilidade do utilizador: Elevada - A tecnologia OCR está amplamente disponível e pode ser integrada em várias aplicações destinadas ao utilizador, tais como aplicações móveis ou serviços baseados na Web. Os utilizadores podem facilmente capturar imagens dos seus documentos de identidade utilizando smartphones ou outros dispositivos, tornando o processo conveniente e acessível.
- Acessibilidade do operador: Alta - A tecnologia OCR é relativamente fácil de implementar e operar, com inúmeras soluções prontas para uso e APIs disponíveis. Os operadores podem integrar capacidades de OCR nos seus sistemas existentes sem necessitarem de conhecimentos ou recursos especializados alargados.
Leitura de chips de comunicação de campo próximo (NFC)
- Nível de segurança: Elevado - Os chips NFC nos passaportes modernos e em alguns cartões de identificação nacionais armazenam dados assinados criptograficamente, incluindo informações pessoais, dados biométricos e caraterísticas de segurança digital. Esta assinatura criptográfica garante a integridade e a autenticidade dos dados, tornando-os altamente resistentes a adulterações ou falsificações. Os dispositivos com NFC podem ler com segurança os dados e verificar a assinatura criptográfica, fornecendo uma forte garantia da genuinidade do documento e da identidade do titular. Outras caraterísticas de segurança, como a autenticação ativa, aumentam ainda mais a segurança do processo de verificação.
- Acessibilidade do utilizador: Baixa a média - A leitura de chips NFC requer hardware especializado, como smartphones com NFC ou leitores dedicados, que podem não estar amplamente disponíveis ou acessíveis a todos os utilizadores. Além disso, a adoção de chips NFC em documentos de identidade varia de país para país, limitando a acessibilidade e a inclusão a nível mundial.
- Acessibilidade do operador: Baixa a média - A implementação da leitura de chips NFC requer componentes de hardware e software especializados, que podem não estar disponíveis em grande escala ou não ser tão económicos em comparação com outras tecnologias de verificação de documentos. A extração e o processamento de dados de chips NFC também requerem conhecimentos técnicos e experiência específicos, o que pode limitar a acessibilidade dos operadores com recursos técnicos limitados.
Leitura de zonas de leitura ótica (MRZ)
- Nível de segurança: Médio - O MRZ é um formato normalizado que inclui mecanismos de deteção de erros, tornando-o mais fiável do que o reconhecimento de texto simples. No entanto, os dados MRZ podem ser copiados ou alterados, e a presença de um MRZ válido não garante a autenticidade de todo o documento.
- Acessibilidade do utilizador: elevada - À semelhança do OCR, a leitura MRZ pode ser facilmente efectuada utilizando dispositivos facilmente disponíveis, como smartphones ou scanners de documentos dedicados. Os utilizadores podem captar imagens da MRZ nos seus documentos de identificação sem necessitarem de equipamento especializado.
- Acessibilidade do operador: Alta - A tecnologia de leitura MRZ é amplamente suportada e pode ser integrada em vários sistemas e aplicações. Os operadores podem aproveitar as bibliotecas e ferramentas existentes para implementar capacidades de leitura MRZ sem complexidade ou custos significativos.
Leitura de códigos de barras
- Nível de segurança: Baixo a médio - Os códigos de barras podem armazenar dados codificados, mas não oferecem, por natureza, caraterísticas de segurança fortes. Os códigos de barras podem ser facilmente replicados ou manipulados e a presença de um código de barras válido não garante a autenticidade de todo o documento.
- Acessibilidade do utilizador: elevada - A leitura de códigos de barras é uma tecnologia comum. Os utilizadores podem facilmente ler os códigos de barras nos seus documentos de identificação sem necessitarem de equipamento especializado ou de conhecimentos técnicos.
- Acessibilidade do operador: Alta - A tecnologia de leitura de códigos de barras é amplamente suportada e pode ser facilmente integrada em vários sistemas e aplicações. Os operadores podem utilizar as bibliotecas e ferramentas existentes para implementar capacidades de leitura de códigos de barras com o mínimo de esforço e recursos.
Leitura de código QR
- Nível de segurança: Baixo a médio - Os códigos QR podem armazenar mais dados do que os códigos de barras tradicionais, mas enfrentam limitações de segurança semelhantes. Os códigos QR podem ser facilmente gerados ou manipulados, e a presença de um código QR válido não garante a autenticidade de todo o documento.
- Acessibilidade do utilizador: elevada - A leitura de códigos QR é amplamente suportada por smartphones e outros dispositivos comuns. Os utilizadores podem facilmente digitalizar códigos QR nos seus documentos de identificação utilizando aplicações facilmente disponíveis ou a funcionalidade de câmara integrada.
- Acessibilidade do operador: Alta - A tecnologia de leitura de códigos QR é amplamente suportada e pode ser facilmente integrada em vários sistemas e aplicações. Os operadores podem aproveitar as bibliotecas e ferramentas existentes para implementar capacidades de leitura de códigos QR sem complexidade significativa ou requisitos de recursos.
Verificação de documentos móveis (este método está implementado na licença de mergulho móvel (mDL), na identificação eletrónica (eID) e noutras carteiras, como a Google e a Apple)
- Nível de segurança: Médio a elevado - A verificação de documentos móveis tira partido das caraterísticas de segurança incorporadas nos dispositivos móveis e nas carteiras digitais, tais como o armazenamento seguro de elementos e a autenticação biométrica. Os próprios documentos digitais podem incorporar assinaturas criptográficas e outras medidas de segurança, aumentando a sua resistência à adulteração ou falsificação.
- Acessibilidade do utilizador: elevada - A verificação móvel de documentos permite aos utilizadores armazenar e apresentar os seus documentos de identidade digital utilizando os seus smartphones ou outros dispositivos móveis. Isto proporciona um método conveniente e de fácil acesso para os utilizadores gerirem e partilharem as suas credenciais de identidade.
- Acessibilidade do operador: Média a alta - A implementação da verificação móvel de documentos requer a integração com plataformas móveis e fornecedores de carteiras digitais. Embora existam estruturas estabelecidas e APIs disponíveis, os operadores poderão ter de investir em recursos de desenvolvimento e garantir a compatibilidade com vários dispositivos móveis e sistemas operativos.
Validação visual de elementos de segurança
- Nível de segurança: Médio a elevado - Os elementos de segurança visual, tais como hologramas, micro-impressão e padrões UV, foram concebidos para serem difíceis de replicar ou manipular. A validação destas caraterísticas pode ajudar a detetar documentos falsificados ou alterados, proporcionando uma camada adicional de segurança para além da simples extração de dados.
- Acessibilidade do utilizador: elevada - A validação visual do elemento de segurança pode ser efectuada utilizando câmaras de alta resolução em smartphones ou outros dispositivos facilmente disponíveis. Os utilizadores podem captar imagens dos seus documentos de identificação sem necessitarem de equipamento especializado ou de conhecimentos técnicos.
- Acessibilidade do operador: Média a alta - A implementação da validação visual de elementos de segurança requer algoritmos de visão por computador e modelos de aprendizagem automática treinados para reconhecer e validar elementos de segurança específicos. Embora existam soluções e estruturas disponíveis, os operadores poderão ter de investir no desenvolvimento ou adaptação destes modelos para os seus casos de utilização específicos.
Extração de imagens faciais
- Nível de segurança: Médio a elevado - A extração de imagens faciais permite a comparação biométrica entre a imagem no documento de identidade e uma selfie ao vivo ou uma imagem previamente registada do utilizador. Isto ajuda a estabelecer uma forte ligação entre o documento e o indivíduo que reivindica a identidade, reduzindo o risco de falsificação de identidade ou fraude. Os níveis de segurança dependem do desempenho da tecnologia de biometria facial utilizada.
- Acessibilidade do utilizador: elevada - A decisão de criar um modelo biométrico para utilizações contínuas e mais alargadas com organizações verificadas fica ao critério do indivíduo. Os utilizadores podem facilmente capturar imagens dos seus documentos de identidade e fornecer selfies ao vivo para comparação, tornando o processo conveniente e acessível.
- Acessibilidade do operador: Média a elevada - A implementação da extração de imagens faciais requer algoritmos de visão por computador e tecnologia biométrica facial. Embora existam várias soluções disponíveis, os operadores poderão ter de investir no desenvolvimento ou na integração destas capacidades nos seus sistemas. Garantir a exatidão, a justiça e a conformidade legal da tecnologia biométrica facial também pode aumentar a complexidade do processo de implementação.
Em última análise, estes métodos e tecnologias podem ser utilizados de forma independente ou em várias combinações, dependendo do tipo de documento de identidade que está a ser verificado e dos requisitos específicos do processo de verificação. Normalmente, as organizações escolhem a combinação mais adequada com base em factores como o nível de segurança, a experiência do utilizador e os tipos de documentos de identidade que necessitam de suportar.
Biometria das impressões digitais
- Nível de segurança: Médio - As impressões digitais são únicas para os indivíduos e difíceis de falsificar, mas podem ser comprometidas se forem roubadas de uma base de dados ou replicadas com imagens de alta resolução ou impressões digitais falsas.
- Acessibilidade e inclusão: Média - Os sensores de impressões digitais estão amplamente disponíveis nos smartphones, tornando-os acessíveis a muitos utilizadores. No entanto, algumas pessoas podem ter dificuldade em utilizar os scanners de impressões digitais devido a problemas de pele, lesões ou impressões digitais gastas.
Biometria facial
- Nível de segurança: elevado - Algoritmos avançados, mapeamento 3D e mecanismos de desafio-resposta dificultam a falsificação da biometria facial. No entanto, o nível de segurança pode ser inferior se estas caraterísticas avançadas não forem implementadas.
- Acessibilidade e inclusão: Elevada - Os rostos são utilizados na maioria dos documentos de identidade emitidos pelo governo, como os passaportes, o que facilita a ligação à verificação da identidade com o rosto dos utilizadores. A verificação biométrica facial é sem contacto e pode ser utilizada com as câmaras existentes, o que a torna altamente acessível. Pode ser utilizada por utilizadores com dificuldades de mobilidade ou que não possam utilizar outras modalidades biométricas, como as impressões digitais.
Biometria da palma da mão
- Nível de segurança: elevado - Os padrões das veias da palma da mão são únicos, difíceis de falsificar e permanecem estáveis ao longo do tempo. A combinação de veias da palma da mão e impressões palmares proporciona uma solução de segurança robusta.
- Acessibilidade e inclusão: Média - Os scanners biométricos da palma da mão estão menos disponíveis do que os sensores de impressões digitais ou as câmaras e não estão ligados a documentos de identidade emitidos pelo governo. Alguns utilizadores podem necessitar de formação para posicionar corretamente a palma da mão no scanner. No entanto, surgiram novos e mais recentes trabalhos de investigação e desenvolvimento que permitem aos utilizadores utilizar a câmara do seu smartphone para captar uma imagem da palma da mão.
Considerações adicionais
- Precisão e parcialidade: Os algoritmos biométricos podem apresentar níveis variáveis de precisão e parcialidade com base em factores como a idade, o sexo e a etnia. As organizações devem avaliar cuidadosamente o desempenho da solução escolhida em diversos grupos demográficos para garantir a equidade e minimizar os falsos positivos ou negativos.
- Preocupações com a privacidade: A recolha, o armazenamento e a utilização de dados biométricos suscitam preocupações significativas em termos de privacidade, uma vez que são altamente sensíveis e não podem ser facilmente alterados se forem comprometidos. As organizações têm de aderir a regulamentos rigorosos de proteção de dados e a boas práticas, tais como a obtenção do consentimento explícito do utilizador, a implementação de métodos de armazenamento e transmissão seguros e a definição de políticas claras de retenção e eliminação de dados.
- Cenário de ameaças: Embora as técnicas biométricas tenham como objetivo atenuar o risco de ataques de apresentação (por exemplo, utilizando fotografias, vídeos ou máscaras), os adversários sofisticados podem ainda tentar enganar o sistema utilizando falsificações de alta qualidade ou meios avançados alterados digitalmente (como trocas de rosto). As organizações devem manter-se informadas sobre as ameaças mais recentes e atualizar continuamente as suas medidas anti-spoofing para manter um elevado nível de segurança.
Abordaremos mais pormenores sobre a biometria no documento 3 do Espectro da Identidade - Tecnologias Biométricas.
- Efetuar uma avaliação completa dos riscos: Antes de implementar uma solução de prova de identidade, as organizações devem avaliar os riscos associados aos seus casos de utilização específicos. Isto inclui a avaliação do potencial impacto da fraude de identidade, a sensibilidade dos dados ou serviços acedidos e os requisitos regulamentares. A avaliação dos riscos ajuda a determinar o nível adequado de garantia necessário.
- Equilibrar a segurança, a conformidade, a experiência do utilizador e o custo: As soluções de prova de identidade devem encontrar um equilíbrio entre segurança, conformidade regulamentar, experiência do utilizador e considerações de custo. Embora sejam essenciais medidas de segurança robustas, estas não devem ser aplicadas à custa de uma experiência de utilizador sem problemas. As organizações também devem considerar as implicações de custo da implementação e manutenção de diferentes tecnologias de verificação de identidade.
- Adotar uma abordagem multi-camadas: A combinação de vários métodos e tecnologias de verificação pode aumentar o nível de garantia global. Uma abordagem em vários níveis torna mais difícil para os fraudadores contornar o processo de comprovação de identidade e fornece uma visão mais abrangente da identidade de um indivíduo.
- Rever e atualizar regularmente os processos: Os processos de verificação da identidade devem ser revistos e actualizados regularmente para acompanhar a evolução das ameaças e dos avanços tecnológicos. As organizações devem manter-se informadas sobre as melhores práticas emergentes, as normas da indústria e as alterações regulamentares para garantir a eficácia contínua dos seus esforços de verificação de identidade.
iProov: Confiado por
Só com o Dynamic Liveness é possível ter a certeza de que um indivíduo é a pessoa certa, uma pessoa real, que se está a autenticar neste momento.
AS CERTIFICAÇÕES SÃO IMPORTANTES.
- eIDAS Nível de garantia Elevado
- ISO/IEC 30107-3
- SOC 2 Tipo II
- Certificação do Quadro de Confiança para a Identidade Digital e os Atributos do Governo do Reino Unido
- Fornecedor certificado G-Cloud
- Provedor de Mitigação de SIF da Reserva Federal
- iBeta
- iRAP
- Laboratório Nacional de Física do Reino Unido (NPL)