Turvalise identiteedi tulevik

Teenused-tooted on juba ammu internetti kolinud. Mida suurema osa meie elust digimaailm moodustab, seda olulisem on eraisikuna oma identiteeti kaitsta ja ettevõtetel turvariske maandada. Eestis on selles vallas välja töötatud mitmedki põnevad lahendused. Lähemalt uuris Kadri Kütt.

Online-isikutuvastamise teenuseid pakkuva ettevõtte Veriff asutaja ja juht Kaarel Kotkase esmane kokkupuude turvalise autentimisega oli aastaid tagasi: „Olin 14-aastane ja tahtsin netipoest biolagunevat heinapallinööri osta, aga krediitkaardita oli minu jaoks ainuke maksevahend PayPal. Selle teenuse kasutamiseks paluti mul oma dokumendi koopia üles laadida. Paar päeva hiljem sain vastuse, et mulle kui alaealisele ei saa kahjuks teenust osutada. Mul oli aga nööri väga vaja ja nii otsustasin dokumendil oleva sünniaasta 1994 muuta 1984ks. Photoshopis tähendas see lihtsat numbrivahetust ja ma ei mõelnud tol ajal, et sellest võiks probleeme tulla. Järgmine päev sain positiivse vastuse ja ei mõelnud selle peale, kui lihtne dokumendi muutmine oli.”

Oma hilisemateski tegemistes koges Kaarel, et poisipõlves testitud nipid toimivad endiselt. Nüüd aga vaatas ta asja teist poolt, tajudes, et online-turule on vaja  turvalisemaid lahendusi. 2015. aastal asutaski ta online-identimislahendust pakkuva ettevõtte Veriff. Peamiseks internetiavarustes valitsevaks turvariskiks nii aastaid tagasi kui ka nüüd peab Kaarel tehingute protsessi ennast. Osapooled peavad teadma, kes nende vastas on. Neile, kes tahtsid kellegi teise identiteedi najal kasu lõigata, luua uue rahapesuskeemi või võtta tema nimel laenu, oli see varasemalt liiga lihtne. „Üheks põhinäitajaks on seejuures pettuse hind ehk see, kui palju pahatahtlik inimene peab vaeva nägema. Pelgalt dokumendifoto üleslaadimise puhul on see hind väga madal, kuna pole võimalik tuvastada, kes seda tegi ja võib-olla oli tegemist hoopis leitud või varastatud dokumendiga. Veriffi süsteem muudab pettuse kulu ebamõistlikult kõrgeks ja välistab sellega võimalikud riskid,” selgitab Kotkas.

Minimaalne inimfaktor

Veriff pakub teenuseid äriklientidele ja see näeb ette, et lõppkliendid kasutavad enda identimiseks seadme kaamerat ning taustal kontrollitakse, et sessioon toimuks samal ajahetkel. „Ainult piltidest ei piisa, et online-keskkonnas turvalist identimist teha, selleks on vaja rohkem andmestikku. Isikusamasuse tuvastamine on usalduse kasvatamine kogu kliendi teekonna jooksul, et hinnata, kas ta on aus. Selle põhjal saame anda oma kvaliteedimärgisega vastuse,” ütleb Kotkas.

Sageli tuleb ette, et inimene kasutab aastaid vana dokumenti, mille peal on tema pilt, kuid mis ei sarnane enam temaga. Veriff on selle aspekti lahendanud biomeetria abil ja süsteem analüüsib mitmeid näojooni, mis ajas ei muutu. Aluseks võetakse just iga inimese kõige täpsemad näitajad. Lisaks visuaalsele vaatlusele kontrollib süsteem ka dokumendi turvaelemente ja numbrilisi ning sõnalisi andmeid ning nende vastet standarditele ja andmebaasidele.

Eestis on seda lihtne teha, kuna juurdepääs vajalikele infoallikatele on olemas. Teistes riikides on Veriffil selleks koostööpartnerid ja kontrolliks kasutatakse 35 andmebaasi.

Varem tuli Veriffi teenuse puhul pangakonto avamise protsessis rangete nõuete tõttu kliendil identifitseerimise viimase etapina läbida videointervjuu. Tänaseks on see minevik, sest kui süsteemil on olemas kriitiline mass andmestikku, on võimalik autentimise protsess automatiseerida ja inimfaktori kasutamise vajadus puudub. Kotkas selgitab, et inimene on autentimise puhul (nt kui on vaja hinnata dokumendi autentsust) nõrgim lüli, sest ta ei suuda silmaga nähtavas alati kõiki erisusi tuvastada. Süsteemi nii lihtsalt aga ära ei peta, kuna seda täiendab andmeanalüüs. Mida suuremad andmemahud, seda enam on kasu masinõppe- ja tehisintellektilahendustest, mis neil tagatoas kasutusel on.

Arvuti terane silm

Tänaseks on Veriffi teenuse kasutajad paljudelt aladelt ja turgudelt, sest pettuse hind on kõrge kõigi online-keskkonnas tegutsevate ettevõtete jaoks. Kotkase sõnul hoiab nende teenuse kasutamine kliendile kokku raha, mis muidu läheks kelmi kätesse. Turvalise identifitseerimise teenuses peitub kulude kokkuhoid ja pettuste osakaalu arvesse võttes tajub iga ettevõte, mis hetkest ja mil määral autentimise teenust on vaja.

„Näiteks lapsehoidmisteenuse ostmisel care.com’ist on tehingu väärtus palju suurem kui vaid rahaline number. Kõik ostukeskkonnad on üles ehitatud usaldusele ja kui seal viga tehakse, ei ole see portaal edukas,” arutleb Kotkas.

Pettuste ärahoidmise süsteemi kasutades muudetakse ka mitmed teised lahendused mugavamaks. „Näiteks enne hotelli minekut saab telefonis autentimise ja sisseregistreerimise ära teha. Kohapeal saab telefonist QR-koodi näidates kas uksekaardi või kasutada mobiili otse ukse avamiseks. Sama lahendust kasutatakse juba ka autorendi puhul.”

Turvalisus on Kotkase sõnul nende tegevusvaldkonnas see, mis ei paista küll igas aspektis välja, aga mille peale läheb väga palju ressurssi. Teenuse kasutajate andmete puhul on Veriff töötleja, mitte omaniku rollis. „Meie teeme kontrolli oma kliendi nime alt, võtame kasutaja andmed ja töötleme neid isikusamasuse tuvastamise ulatuses. Andmeid hoiame lähtuvalt seadusest ja kliendi nõudmistest 1–5 aastat.”

Turvalise autentimise tulevikuna näeb Kotkas kõikvõimalike ligipääsude andmist seadmete kaamerate kaudu – nii ei ole vajadust täiendavaid vahendeid, näiteks ID-kaardilugejat kaasas kanda. „Sama võiks toimida korduvviisade taotlemisel või andmetele ja ruumidele juurdepääsu võimaldamise lahendustes. Identiteedi tähtsust on raske alahinnata.”

 

Kolme riski maandamine

Masinõppel ja tehisintellektil põhinevaid IT-lahendusi pakkuva ettevõtte MindTitan kaasasutaja ning juht Kristjan Jansons näeb online-teenuste pakkumisel mitmeid riske: identiteedivarguse oht (rahaline ja maine kahju), andmete puudulik turvalisus (info kasutamine ja edasimüümine) ning rahalised riskid (rahapesu ja terrorismi rahastamisega seonduv). Jansons täpsustab: „Isikusamasuse tuvastamine on väga oluline, aga vaid protsessi algus. Andmete ja tehisintellekti abil on võimalik klienti palju enam tundma õppida: millega ta tegeleb; kellega ta on seotud; millised on tema harjumused jne. Loomulikult ei pea kõik organisatsioonid kliente nii põhjalikult tundma, kuid näiteks finantsasutustel peab turvalisuse tagamiseks olema neist väga hea ülevaade.”

Identiteedivargusega seotud probleemid on Jansonsi sõnul rasked ja ei lõpe isikutuvastusega, vaid sellest tuleb minna samm edasi. Lihtsamad võltsingud püütakse kinni, kuid perfektsete pettuste tuvastamine on komplitseeritud. Seepärast peavad masinad võimalusel analüüsima inimeste käitumist ka pärast tuvastust nii individuaalsel kui laiemal tasemel, et veenduda, kas tema või grupi käitumises on mustreid, mis viitavad kahtlasele tegevusele. „Kui inimesel on õnnestunud võltsdokumendiga konto luua ja ta hakkab kahtlasi oste sooritama, saab sellele kiirelt jälile, kui andmeanalüütika abil sihipäraselt anomaaliaid tuvastada,” toob ta näite.

Kõik isikusamasuse tuvastamise võimalused põhinevad andmeteadusel ja masinõppel ning nende rangus peab vastama rakenduse nõuetele. Jansons kirjeldab, et riiklikult oluliste rakenduste ja finantsasutuste nõuded on kõrgemad kui mobiiltelefoni ekraani näotuvastusega avamisel ning see mõjutab ka kasutajamugavust. „Finantsasutused nõuavad isikutuvastamise protsessist läbisaamiseks passipildile omaste tingimuste täitmist, samas kui mobiili ekraani saab avada ka kehvas valguses nii, et nägu on osaliselt kaetud.”

Riigi- ja finantssektori pärusmaa

MindTitani tiim on Eestis kokku puutunud näost näkku isikutuvastamisega Mobiil-ID projekti kaudu, mille turvalisuse olulisuse aste on võrreldav isikule dokumendi väljastamisega. Mobiil-ID taotlemiseks vajalikku tuvastamise protsessi nimetab Jansons mitmetest näotuvastusalgoritmitest koosnevaks ansambliks. Selles on algoritme, mis võrdlevad näopunkte, ja ka koodiridu, mis analüüsivad süvanärvivõrkudega kogu nägu tervikuna.

Tuvastamisel võetakse arvesse erinevate mudelite arvamust, mille põhjal langetatakse lõplik otsus. Mobiil-ID taotlemisel vähendab pettuste riski ja võimalikkust ka inimeste füüsiline kohalolek ja seni on probleeme esinenud vaid protsessi administratiivse poolega, aga need lahenevad koolituste käigus.

Isikutuvastamise tehnoloogiate kasutamist näeb Jansons eelkõige pankade ja riigiasutuste võimalusena. „Testid on näidanud, et masinad on tuvastamisel täpsemad kui inimesed. Mõlemad õpivad kogemuse põhjal, mis on aga inimestel palju piiratum. Erinevus on selles, et masina õppimisvõime on palju kiirem ja see võimaldab ka paremat tulemust. Samas ei poolda ma näotuvastuse kasutamist igas olukorras. Äärmuslik näide on Hiina, kus kodanikele saadetakse näotuvastuse ja videosalvestiste põhjal trahviteade, kui nad on punase tulega tänavat ületanud.

Arengusuund on aga kindlasti see, et tuvastused muutuvad üha täpsemaks, sest masinõpe on juba oma olemuselt selline, et mida rohkem andmeid sellele näidata, seda paremaks see muutub. Turvalisus on inimeste jaoks väga oluline, samas peavad kõik lahendused olema võimalikult mugavad, sest vastasel juhul neid ei kasutata.”