eIDAS Levels of Assurance i olika nationella systemen för e-legitimationer

Förtroende är kärnan i alla former av elektronisk identifiering, från inloggning till digital signering av dokument och e-handelstransaktioner.

Ramverket eIDAS (Electronic Identification, Authentication, and Trust Services) reglerar systemet för e-legitimationer i Europa och förlitar sig på konceptet Levels of Assurance (LoA), dvs. eIDAS-förordningens nivåer av tillit för elektronisk identifiering, för att mäta förtroendet.

Vi utforskar eIDAS LoA, hur de skiljer sig åt och hur de implementeras i olika europeiska systemen för e-legitimationer. 

Vad är tillitsnivåer?

En tillitsnivå mäter graden av förtroende som en tjänsteleverantör har för den påstådda identiteten hos en person som använder en e-legitimation. Den återspeglar hur väl den digitala identiteten har verifierats, autentiserats och säkrats.

Det är ett försök att kvantifiera förtroendet för den digitala identiteten och bedöma risken för identitetsbedrägeri. Ju högre LoA, desto högre är förtroendet och desto lägre är risken för bedrägeri.

Vilka faktorer avgör säkerhetsnivån?

Det finns flera element som påverkar tillitsnivån i ett system för e-legitimationer:

• Registrering: Hur skaffar en person e-legitimation i fråga? Sker processen personligen eller online? Krävs ett biometriskt pass eller en identitetshandling i pappersformat?
  
  
• Design och hantering av e-legitimation: Hur många faktorer krävs till exempel för autentisering? Räcker det med ett lösenord eller används multifaktorautentisering?
  
  
• Själva autentiseringen: Hur utförs den? Vilka krav finns det för att bekräfta en identitet gentemot en förlitande part? Vilka säkerhetsprotokoll används under verifieringen?

Den lägsta nivån i något av de ovanstående elementen avgör den övergripande säkerhetsnivån i systemet för e-legitimationer.

De tre tillitsnivåerna

I eIDAS-förordningen definieras tre tillitsnivåer:

Low

Detta är den lägsta tillitsnivån. Den innebär minimal identitetsverifiering och används vanligtvis för tillämpningar med låg risk.

Exempel: Åtkomst till en offentlig webbplats med användarnamn och lösenord.

Substantial

Detta motsvarar en högre säkerhetsnivå än LoA Low. Den omfattar vanligtvis starkare metoder för identitetsverifiering, till exempel ID-kort eller en engångskod. Tillitsnivån Substantial passar för applikationer med måttlig risk, till exempel åtkomst till myndighetstjänster online.

Exempel: Användare lämnar identitetsuppgifter som verifieras vid registreringen. Autentiseringen sker med en kombination av användarnamn, lösenord och en engångskod som skickas till en mobiltelefon.

High

Detta är den högsta säkerhetsnivån som definieras av eIDAS. Den kräver de mest robusta metoderna för identitetsverifiering, ofta baserade på personliga identitetsbevis och användning av hårdvarutokens eller smartkort. LoA High används vanligtvis för transaktioner med hög risk, till exempel att underteckna juridiskt bindande avtal eller få tillgång till mycket känslig information.

Exempel: Registrering och autentisering ansikte mot ansikte med ett smartkort.

Olika nationella system för e-legitimationer 

eIDAS-förordningen specificierar inte vilka specifika tekniker som krävs för att uppfylla olika LoA-nivåer. Därför utvecklar EU:s medlemsstater sina egna system för e-legitimationer som följer eIDAS-principerna, men som anpassas efter varje lands rättsliga, sociala och tekniska landskap. 

Om ett nationellt system för e-legitimationer erbjuder flera säkerhetsnivåer kan organisationer och tjänsteleverantörer välja den LoA som bäst överensstämmer med de risker som är involverade i deras specifika verksamhet.

Enligt en studie från september 2022 av 40 europeiska systemen för e-legitimationer:

• 25 stödjer LoA High
• 20 stödjer LoA Substantial
• 12 stödjer LoA Low

Låt oss titta närmare på några nationella system för e-legitimationer och vilka säkerhetsnivåer de erbjuder.

Danskt MitID

MitID erbjuder alla tre säkerhetsnivåerna:

• Low: För vissa digitala tjänster räcker det med en kombination av MitID-användar-ID:t och en annan autentiseringsfaktor (till exempel lösenord)
• Substantial: Kräver två autentiseringsfaktorer. Till exempel:
  • MitID-appen + användar-ID
  • eller en alternativ autentiseringsfaktor, t.ex. MitID-koddisplay + användar-ID + OTP-kod + lösenord.
• Hög: Denna nivå finns i utvalda kommuner. Den kräver personlig registrering och minst två autentiserare (t.ex. MitID-appen och en koddisplay).

MitID låter tjänsteleverantörer avgöra vilken säkerhetsnivå som passar deras behov. LoA Substantial är den vanligaste nivån. Den används ofta för offentliga självbetjäningstjänster som skat.dk och sundhed.dk samt för internetbanker och försäkringar.

BankID

I Sverige tillhandahåller tolv storbanker elektronisk identifiering. Användare installerar BankID-appen på dator, mobil eller surfplatta.

BankID uppfyller kraven på tillitsnivå 3 i kvalitetsmärket för svensk e-legitimation, vilket motsvarar LoA Substantial enligt eIDAS.

Norskt BankID

BankID Biometric gör det möjligt för användaren att identifiera sig med biometri och fungerar på säkerhetsnivån Substantial.

Organisationer och tjänsteleverantörer som kräver LoA High (till exempel för stora penningöverföringar), kan använda de äldre versionerna av Bank ID: BankID eller BankID på mobilen.

Finnish Trust Network

Finnish Trust Network (FTN) reglerar autentiseringsmetoder som används för att få tillgång till offentliga och privata tjänster online.

Alla e-legitimationer inom FTN - inklusive Finnish Bank ID och Mobiilivarmenne, fungerar på eIDAS-nuivån Substantial.

Belgiska itsme®

itsme® är a en mobilapp som kan användas med över 800 organisationer i Belgien, Nederländerna och Luxemburg.

Den fungerar på säkerhetsnivån High enligt eIDAS. 

Nederländska iDIN

iDIN erbjuds av nederländska banker och gör det möjligt för privatpersoner att använda både offentliga och privata tjänster och plattformar online.

Försäkringsnivån i eIDAS för nederländska iDIN är Substantial.

Är du intresserad av att implementera e-legitimationsbaserade lösningar för kundautentisering?

Idura hjälper företag att effektivisera sina digitala onboardingprocesser genom att integrera en rad europeiska e-legitimationer, inklusive danska MitID, norska och svenska BankID, finska Trust Network med flera.

Kontakta gärna våra experter för mer information om våra lösningar för digital identitet.