Biometrikus azonosítással ellátott weboldal tervezése és fejlesztése

Biometrikus azonosítás weboldalon magánügyfeleknek

A Biometrikus azonosítás akkor kerül szóba, ha egy weboldalon vagy online felületen a felhasználó belépését, jóváhagyását vagy személyazonosságának ellenőrzését erősebb módon kell kezelni. A rövid válasz az, hogy ez nem csak technikai funkció, hanem biztonsági és felhasználói élmény kérdés is. Ujjlenyomat, arcfelismerés, eszközalapú hitelesítés vagy más biológiai jellemzőre épülő megoldás csak akkor jó, ha a használata érthető, jogilag átgondolt, és nem terheli túl a látogatót.

Magánügyfélként sokszor nem teljes banki szintű rendszert keres valaki, hanem egy konkrét online feladatot. Például biztonságosabb belépést, ügyfélazonosítási folyamat tervét, meglévő weboldal hitelesítési részének átnézését, vagy olyan megoldási javaslatot, amelyhez később fejlesztő is tud csatlakozni. Szerintem itt az első lépés mindig az, hogy pontosan meg kell nevezni, mit kell védeni. Fiókot, dokumentumot, rendelést, személyes adatot vagy egy belső funkciót.

A Qjob.hu felületén olyan szabadúszó szakember kereshető, aki távolról tud egyeztetni, kérdéseket feltenni, majd tervet, technikai leírást vagy fejlesztési javaslatot adni. Ez nem vállalati csomag. Egyéni szakértői munka, ahol a pontosság sokat számít. A biometrikus beléptetés nem látványos dísz, hanem érzékeny funkció, ezért nem érdemes túl gyorsan dönteni.

Biometrikus azonosítás célja

A biometrikus azonosítás célja az, hogy a felhasználó igazolása biztonságosabb vagy kényelmesebb legyen. Ez elsőre egyszerűnek hangzik, de a háttérben több döntés van. Nem mindegy, hogy a weboldal valódi biometrikus adatot kezel, vagy csak az eszköz saját hitelesítésére támaszkodik. Az utóbbi sok esetben biztonságosabb és egyszerűbb út, mert az érzékeny adat nem kerül közvetlenül a weboldal tulajdonosához.

Tapasztalatom szerint sok ügyfél úgy beszél erről, mintha egyetlen gomb lenne. Legyen arcfelismerés. Legyen ujjlenyomat. De a jó szakember előbb azt kérdezi meg, mi történjen sikertelen azonosításnál, kell-e második belépési mód, milyen eszközöket használnak az ügyfelek, és milyen adatvédelmi tájékoztatás szükséges.

A hitelesítési megoldásnak arányosnak kell lennie. Egy egyszerű hírlevélfiókhoz túlzás lehet. Egy dokumentumfeltöltő, ügyfélkapu, fizetéshez kötött felület vagy személyes adatokat kezelő rendszer esetén viszont indokolt lehet erősebb védelem. A cél nem az, hogy a weboldal modernebbnek tűnjön, hanem az, hogy a felhasználó és az adat biztonságban legyen.

Biometrikus belépés és adatvédelem

A biometrikus belépés egyik legfontosabb kérdése az adatvédelem. Biológiai jellemzőről van szó, ezért óvatosan kell kezelni. Egy magánügyfélnek is tudnia kell, hogy milyen adat keletkezik, hol tárolódik, ki fér hozzá, és mi történik, ha a felhasználó visszavonja a hozzájárulást. Ezek nem apró részletek.

Sokan ott hibáznak, hogy csak a kényelmet nézik. Pedig a felhasználó akkor fogja elfogadni a megoldást, ha világosan érti, miért van rá szükség. Ha egy oldal hirtelen arcazonosítást kér, de nem magyarázza el az okát, az bizalmatlanságot kelthet. A szakértő feladata az is, hogy segítse a megfelelő szövegek, folyamatok és tartalék megoldások kialakítását.

Én azt látom, hogy kisebb webes feladatoknál sokszor elegendő eszközalapú hitelesítési logikában gondolkodni. Ilyenkor a böngésző és a felhasználó saját készüléke végzi az érzékeny ellenőrzést, a weboldal pedig csak a sikeres hitelesítés tényét használja. Ez nem minden helyzetben elég, de gyakran jó kiindulópont.

Biometrikus azonosítás ára

A Biometrikus azonosítás ára nagyban függ attól, hogy csak tanácsadás, terv, meglévő rendszer átnézése vagy tényleges fejlesztés kell. Az is számít, hogy van-e már bejelentkezési rendszer, milyen technológiával készült a weboldal, és kell-e külső szolgáltatáshoz kapcsolódni. A túl olcsó munka ezen a területen gyakran gyengébb minőséget jelent, mert a biztonsági tesztelés, az adatvédelmi gondolkodás és a hibakezelés nem hagyható ki.

Kisebb online feladathoz szerintem nem mindig kell azonnal végleges rendszert építeni. Először érdemes egy tervet vagy prototípust kérni. Ez megmutatja, hogy a felhasználók eszközei támogatják-e a megoldást, és a folyamat nem lesz-e túl bonyolult.

Biometrikus szakember választása

Biometrikus szakember választásánál nem elég a webfejlesztési tapasztalat. Kell biztonsági gondolkodás, felhasználói folyamatok ismerete és alapvető adatvédelmi érzék. A jó szakember nem azt mondja azonnal, hogy minden megoldható. Előbb felméri, mire van szükség, milyen adatok érintettek, és mi a legkisebb biztonságos megoldás.

Érdemes megkérdezni, dolgozott-e már bejelentkezési, kétlépcsős hitelesítési vagy eszközalapú azonosítási feladaton. Hasznos, ha tud példát mutatni olyan munkára, ahol a felhasználónak egyszerű maradt a belépés, de a védelem erősebb lett. A szakember legyen képes érthetően beszélni. Ha csak bonyolult kifejezéseket használ, de nem magyarázza el a döntések okát, az később gondot okozhat.

A jó szabadúszó külön kezeli a látványt és a biztonságot. Egy modern belépési felület önmagában nem jelent biztonságos rendszert. Ugyanígy egy biztonságos megoldás sem jó, ha a felhasználók fele nem tudja használni. A két szempontot együtt kell vizsgálni.

Online munka menete és egyeztetés

Az online munka általában rövid igényfelméréssel kezdődik. A szakember megkérdezi, milyen weboldalról van szó, kik használják, milyen adatot kell védeni, és milyen belépési mód működik jelenleg. Ezután jön a kockázatok és lehetőségek áttekintése. Itt derül ki, hogy elég-e egy erősebb hitelesítési folyamat, vagy valóban szükség van biometrikus elemre.

A következő lépés lehet egy folyamatábra, technikai javaslat vagy próbaműködés. Egyszerűbb feladatnál néhány nap alatt készülhet döntési anyag. Komolyabb fejlesztésnél két három hét is reális, különösen akkor, ha több eszközön és böngészőben kell tesztelni. A kommunikáció legyen rendszeres, de nem kell feleslegesen hosszú. A fontos döntéseket írásban érdemes rögzíteni.

Volt olyan eset, amikor egy ügyfél arcfelismerést kért egy olyan oldalhoz, ahol valójában csak az admin felület védelme volt gyenge. A szakember végül nem biometrikus rendszert javasolt első lépésként, hanem erősebb bejelentkezési szabályokat és tartalék azonosítást. Ez olcsóbb és ésszerűbb volt. Nem minden korszerűnek hangzó ötlet ad jobb eredményt.

Gyakori hibák és reális elvárások

A Biometrikus azonosítás nem minden problémára megoldás. Ha a weboldal alapvető biztonsági hibákat tartalmaz, akkor először azokat kell javítani. Ha nincs rendben a belépési rendszer, a jogosultságkezelés vagy az adatkezelési folyamat, akkor egy biometrikus réteg csak elfedi a gondot.

Gyakori hiba, hogy a megrendelő nem gondol a tartalék belépésre. Mi történik, ha a felhasználó új telefont használ. Mi történik, ha a kamera nem működik. Mi történik, ha valaki nem akar biometrikus megoldást használni. Ezekre választ kell adni. A jó rendszer nem zárja ki indokolatlanul a felhasználót.

Az is hiba, ha a projekt csak technikai feladatként indul. A felhasználói tájékoztatás, a beleegyezés, a visszavonás lehetősége és az ügyféltámogatás mind része a folyamatnak. Szerintem a jó biometrikus belépés csendesen működik. Nem ijesztő, nem magyarázkodó, de egyértelmű.

Eredmény átadása és további használat

A munka végén az ügyfélnek olyan eredményt kell kapnia, amely később is használható. Ez lehet döntési anyag, fejlesztési terv, működő prototípus, beépített funkció vagy tesztelési jelentés. Fontos, hogy az átadás ne csak kész fájlokból álljon. Kell hozzá rövid magyarázat is arról, hogyan működik a megoldás, milyen korlátai vannak, és mikor kell karbantartani.

Hasznos, ha a szakember külön leírja a sikeres és sikertelen azonosítás lépéseit, a tartalék belépést, az érintett adatokat és a javasolt felhasználói szövegeket. Ez segít akkor is, ha később más fejlesztő dolgozik tovább a rendszeren. Az online azonosítás nem egyszeri látványelem, hanem folyamatosan figyelt funkció.

A biztonságos webes azonosítás akkor jó, ha az ügyfél érti, mit kapott, és a felhasználó érti, mit kell tennie. A túl bonyolult rendszer lassít. A túl laza rendszer kockázatos. A jó megoldás a kettő között van, a konkrét feladathoz igazítva.