SMS kód, e-mailový kód nebo Bank iD? Jak ověřit, kdo skutečně podepisuje

Prostý elektronický podpis stojí a padá s odpovědí na jednu otázku: kdo vlastně kliknul na „Podepsat“? Samotný odkaz v e-mailu to neřeší – e-mail může číst asistentka, kolega se sdíleným přístupem nebo kdokoli, kdo se k přeposlané zprávě dostane. Proto e-podpisové služby před podpisem vyžadují druhý krok: ověření.

Tři nejčastější metody na českém trhu jsou jednorázový kód z SMS, jednorázový kód zaslaný e-mailem a bankovní identita (Bank iD). Každá prokazuje něco jiného, každá má jiné náklady a jiný dopad na pohodlí klienta. Projdeme je po řadě a na závěr nabídneme jednoduché pravidlo, kterou zvolit.

Co ověření vlastně dokazuje

Ověření nikdy nedokazuje „identitu“ v absolutním smyslu. Dokazuje, že osoba, která podepisuje, má v daném okamžiku kontrolu nad něčím, co jste s ní předem spojili: e-mailovou schránkou, telefonním číslem nebo bankovním účtem. Čím těžší je tuto věc získat nebo zneužít a čím pevněji je svázána s konkrétním člověkem, tím silnější ověření je.

Důležitý je i princip nezávislých kanálů. Odkaz k podpisu posíláte e-mailem. Pokud kód k ověření přijde na tentýž e-mail, útočník, který ovládl schránku, má oboje. Pokud přijde na telefon, musí ovládnout dvě různé věci. Právě proto je v praxi standardem kombinace e-mail + SMS.

Kód e-mailem: nejnižší bariéra, nejslabší vazba

Příjemce otevře odkaz, platforma mu pošle šestimístný kód na e-mail, on ho opíše. Výhody jsou zřejmé: funguje bez telefonu, nestojí nic navíc a nevyžaduje po vás znát klientovo číslo. Nevýhoda je stejně zřejmá: kód i odkaz jdou stejným kanálem. Ověření tak potvrzuje jen to, že podepisující má přístup ke schránce, do které jste psali – což je totéž, co jste věděli už před ověřením.

Přesto má e-mailový kód smysl. Vytváří oddělený záznam v auditní stopě (kód odeslán, kód ověřen, čas, IP), nutí podepisujícího k vědomé akci a chrání před náhodným kliknutím. Hodí se pro dokumenty s nízkým rizikem a pro situace, kdy příjemce z nějakého důvodu nemůže přijímat SMS, například zahraniční klient nebo sdílená recepce.

Kód z SMS: standard pro smlouvy

Jednorázový kód (OTP) zaslaný na telefonní číslo, které jste u příjemce zadali, je druhý, nezávislý kanál. Útočník by musel ovládnout e-mail i SIM kartu. Telefonní číslo je navíc v praxi pevněji svázané s osobou než e-mail: lidé ho mění zřídka a často ho máte ověřené z předchozí komunikace.

SMS ověření má dva typy rizik, která je dobré znát. Prvním je chyba na vaší straně: překlep v čísle znamená, že kód dorazí někomu jinému, nebo nedorazí vůbec. Druhým je tzv. SIM swap, kdy útočník přesvědčí operátora, aby číslo převedl na jinou SIM. Je to cílený a nákladný útok, který se u běžných obchodních smluv prakticky nevyskytuje, ale u vysokých částek je argumentem pro Bank iD.

Dobrá praxe: kód platí omezenou dobu (v OneKlik deset minut), počet pokusů je omezený (pět) a každé odeslání i ověření se zapisuje do auditní stopy. Ověření lze vyžadovat před zobrazením dokumentu, což chrání i jeho obsah – nikoli jen podpis.

Bank iD: identita ověřená bankou

Bankovní identita využívá skutečnost, že banka svého klienta při zakládání účtu fyzicky identifikovala podle dokladu. Při ověření přes Bank iD se podepisující přihlásí do své banky (obvykle potvrzením v mobilní aplikaci) a banka platformě předá ověřené údaje – jméno, datum narození, podle rozsahu i adresu nebo číslo dokladu.

Bank iD má dvě podoby. Bank iD Connect/Identify slouží k ověření identity: potvrdí, kdo je na druhé straně, a podpis pak zůstává prostým podpisem s velmi silným záznamem v auditní stopě. Bank iD SIGN jde dál – systém Bankovní identity dokument sám podepíše certifikátem vydaným pro tuto transakci a výsledkem je zaručený elektronický podpis podle čl. 26 eIDAS. Není to podpis kvalifikovaný; podle nezávislých rozborů stojí na komerčním certifikátu a pro podání na úřady nestačí, pro smlouvy mezi firmami a klienty je však nejsilnější běžně dostupnou úrovní.

Nevýhody: podepisující musí mít bankovní identitu (většina českých bank ji nabízí, cizinci a klienti bez účtu v ČR nikoli), proces má o několik kroků víc a za každé použití platí odesílatel poplatek Bankovní identitě.

Jak vybrat: tři otázky

Místo tabulky vám nabízíme tři otázky, které vedou k rozhodnutí u každého dokumentu:

• Jak velká je škoda, když podepíše někdo jiný? U objednávky za pár tisíc stačí e-mail nebo SMS. U smlouvy o dílo, nájmu nebo rezervační smlouvy použijte SMS. U úvěru, pojištění nebo smlouvy s neznámým protějškem sáhněte po Bank iD.
• Znáte podepisujícího? U stálého klienta, jehož číslo máte v CRM, je SMS plnohodnotná. U člověka, kterého jste nikdy neviděli a znáte ho jen z e-mailu, dodá Bank iD to, co vám chybí – ověřenou totožnost.
• Co zvládne příjemce? Starší klient bez chytrého telefonu, zahraniční partner nebo firma se sdílenou schránkou mohou mít s Bank iD i SMS potíže. Raději slabší ověření, které proběhne, než silné, které klient vzdá.

Jak je to v OneKlik

OneKlik dnes nabízí u každého příjemce ověření kódem z SMS nebo kódem zaslaným e-mailem. Kód má šest číslic, platí deset minut a po pěti neúspěšných pokusech se obálka zamkne, dokud ji odesílatel neodemkne. Odeslání i úspěšné ověření kódu se zapisuje do auditní stopy spolu s časem, IP adresou a prohlížečem. Ověření přes Bank iD a zaručený podpis Bank iD SIGN jsou v plánu; metoda ověření pak bude další volbou u příjemce, beze změny zbytku procesu.