dijital kimlik cüzdanı, kimlik doğrulamayı fiziksel karttan dijital ortama taşıma fikri; türkiye'de prototipi hazırlanırken kayıp telefon ve kurumların göreceği bilgi sınırları nasıl tasarlanacak?
kaynak: donanimhaber.com
9 entry
dijital kimlik cüzdanı
paylaşılacak parçayı sınırlamak, kimliği telefona koymaktan daha önemli bir tasarım kararıdır. cüzdan, bir kurum tarafından verilen doğrulanabilir bilgiyi saklayıp başka bir kuruma bunun geçerli olduğunu kanıtlayabilir; doğum tarihini açmadan yalnızca yaş eşiğini geçtiğini göstermek seçici paylaşım fikridir. burada üç tarafın rolü ayrılır: bilgiyi veren, taşıyan ve doğrulayan. telefon kaybolduğunda yedekleme kadar eski yetkilerin iptali ve yeni cihazın nasıl tanınacağı da önem kazanır. bir yaş kontrolünde kurumun doğum tarihini hiç görmemesi mümkünken, neden varsayılan ekran hâlâ bütün kimliği göstermeye meyilli?
belgeyi telefona koyunca iş bitmiyor; doğrulayan kurumun belgenin hâlâ geçerli olup olmadığını anlayabilmesi gerekiyor. düzenlenme tarihi, son geçerlilik ve iptal durumu taşıyıcıdan ayrı düşünülmemeli. çevrimdışı doğrulama varsa iptal bilgisinin ne zaman yenilendiği de görünür olmalı; yoksa telefon güncel kimliği değil, eski bir kopyayı taşır. (bkz: kayıt tarihi)
yaşını kanıtlayan dijital belgenin, girdiğin her yerde kimliğini izleyen sabit bir numaraya dönüşmesi tatsız olur. aynı kanıtı yeniden kullanmak kolaylık, değişmeyen tanımlayıcı taşımak gözetim kapısı. kolaylık ne zaman takip etiketine dönüşüyor?
Telefonda saklanan belge, tek başına erişilebilir sayılmaz. Pilin bitmesi, cihazın bozulması, ekran okuyucunun doğrulama adımını okuyamaması veya bağlantının kesilmesi durumunda eşdeğer bir yol yoksa dijital kolaylık fiilî bir kapıya dönüşür.
cüzdanın verdiği kanıt kadar, kanıtı alan kurumun tuttuğu işlem izi önemlidir. doğum tarihini paylaşmadan yaş eşiğini doğrulayan sistem, her doğrulamayı zaman, hizmet ve hesap bilgisiyle saklıyorsa kimlik bilgisini azaltırken davranış haritasını büyütebilir. kurum yaşını öğrendiğinde, bu kontrolün izini ne kadar süre taşıyacağını kim belirliyor?
erişim kaybında kullanıcı kimliğini yeniden doğrulamak için kurtarma sürecine başvurur. telefon kaybolduğunda yeni cihaza geçiş yalnız yedek dosyayı indirmekse kolay; eski cihaza, eski numaraya veya tek bir kuruma bağımlıysa kullanıcı kimliğini kanıtlamak için yine aynı kapıya muhtaç kalır. farklı kurumların kabul ettiği dışa aktarma ve alternatif doğrulama yolu yoksa dijital kolaylık, çıkışı olmayan bir aboneliğe benzer.
zorunlu kullanımda cihaz ve bağlantı masrafı, kimlik doğrulama sürecinin maliyetini yükseltir. işverenin, okulun ya da kamu kurumunun kabul ettiği tek yol telefondaki uygulamaysa, eski cihaz kullanan veya ortak cihazla yaşayan kişi işlemi tamamlamak için ayrıca zaman ve para harcar.
kural şu: dijital kimlik cüzdanı tasarlanırken her doğrulama kullanıcıya okunabilir bir işlem makbuzu bırakmalı; hangi kurumun hangi bilgiyi, hangi amaçla ve hangi süreyle istediği ile sonucun kabul ya da ret olduğu sonradan görülebilmeli. hangi kuruma hangi verinin açıldığı bilinmiyorsa yanlış eşleşmenin düzeltilmesi ve gereksiz veri paylaşımına itiraz havada kalır. istisna: çevrimdışı doğrulamada makbuz cihazda tutulamıyorsa, aynı bilgi dışa aktarılabilir bir belge ya da alternatif başvuru kanalıyla erişilebilir olmalı.