Блокчейн и идентификация пользователей в цифровых каналах

Сегодня востребованность технологий, позволяющих проводить идентификацию пользователей финансовых услуг удаленным способом в цифровых каналах, постоянно растет. Причина тому – необходимость повышения доступности финансовых услуг для всех слоев населения наряду с ухудшением условий конкуренции в секторе розничного банкинга и на платежном рынке. Именно удаленная идентификация дает клиенту возможность избирательно пользоваться только теми услугами, которые представляются ему лучшими, независимо от того, какой участник рынка их предлагает. Соответственно, с развитием данного направления конкуренция переходит на качественно иной уровень. Также удаленная идентификация необходима при обслуживании лиц с ограниченными возможностями и проживающих в труднодоступных местах.  

Проблемы удаленной идентификации

[caption id="attachment_393674" align="alignright" width="200"] Алексей Евтушенко,
исполнительный вице-президент АКБ «РосЕвроБанк» (АО)[/caption]

Проблемы удаленной идентификации в той или иной мере решаются различными способами. В некоторых случаях достаточно осуществлять идентификацию клиента с помощью социальных сетей или по номеру телефона. Но юридическая значимость удаленной идентификации возникает только тогда, когда в ней принимают участие операторы персональных данных, определенные в 115-ФЗ. При этом специфика российского законодательства на текущий момент заключается в том, что не все услуги могут быть оказаны с применением удаленной идентификации. Банкам сейчас доступны в этом случае только денежные переводы без открытия счета.

Однако не все так плохо. Например, активно обсуждаемым сейчас законопроектом предусмотрены поправки в 115-ФЗ, которые позволяют банкам открывать счета клиентам, идентифицируя их удаленно. При этом клиент обязательно должен быть первично идентифицирован с личным присутствием, а его персональные данные помещены в ЕСИА. Таким образом, ЕСИА обеспечивает возможность аутентификации (в том числе по биометрическим параметрам) и передачу персональных данных оператору того или иного сервиса. При этом возникают некоторые риски, связанные с согласием клиента (и с отзывом этого согласия) на передачу своих ПДн третьим лицам, а также с централизованным хранением ПДн. Дополнительно появляются технологические сложности в обновлении дескриптора.

Как известно, основной целью любой идентификации физического лица являются проверка корректности данных, предоставленных клиентом, и подтверждение того, что предоставленные данные соответствуют человеку, который их передал. Но при проведении процедуры удаленной идентификации возникают сложности с подтверждением соответствия персональных данных и клиента, который их отправил. Трудности связаны с тем, что на данный момент на рынке не существует удобного инструмента, который позволил бы организациям проводить эту процедуру без личного присутствия клиента в офисе этой организации и предъявления им гражданского паспорта.

Есть категории организаций, услуги которых получает почти все население страны, – например, банки и операторы мобильной связи. Подписывая договор с клиентом, эти организации проводят первичную идентификацию, т. е. получают персональные данные клиента при его личном присутствии и при предъявлении паспорта. Соответственно, в дальнейшем эти организации могут подтверждать корректность персональных данных и принадлежность этих сведений человеку, который их предоставил.

В процессе удаленной идентификации участвуют три стороны:

• организация, которой необходимо удаленно идентифицировать своего клиента;
• организация, которая проводила первичную идентификацию, например, банк;
• физическое лицо, которое хочет получить услугу у первой организации.

Процесс удаленной идентификации можно организовать с полной передачей персональных данных банком организации с использованием авторизационного протокола OAuth 2.0. Последний позволяет предоставлять одному сервису (приложению) права на доступ к ресурсам пользователя на другом сервисе (приложении). Но такое решение имеет ряд проблем:

• недоверие участников друг к другу в части фиксации факта проведения идентификации;
• необходимость выстраивания интерфейсов «каждый с каждым»;
• передача, обработка и хранение персональных данных.

Первая проблема заключается в том, что в данном процессе потребуется третья сторона, которая будет фиксировать факт передачи данных. Это влечет за собой дополнительные расходы на создание доверенного посредника, которому будут доверять обе стороны, и расходы на комиссию этому посреднику за проведение удаленной идентификации.

Вторая проблема связана с тем, что при наличии большого количества поставщиков персональных данных конечным потребителям сервиса необходимо выстраивать взаимоотношения с каждым из них.

Третья проблема связана с рисками несоответствия Федеральному закону № 152 «О персональных данных».

Блокчейн как выход из ситуации

В то же время, применив принцип интер-операбельности систем консорциума организаций, который предполагает наличие продуктов или систем с открытыми интерфейсами, и использовав технологию блокчейн, можно решить обе проблемы. При этом открываются широкие возможности для финтеха по доступу к банковской аудитории и банковской инфраструктуре.

Данное решение реализует механизм удаленной идентификации на базе технологии блокчейн. Благодаря ему организациям не нужно делиться персональными данными, а каждая операция будет фиксироваться в неизменяемой блокчейн-цепочке.

Участники процесса (см. рис.):

• клиент – физическое лицо, которое хочет получить услугу у организации;
• банк – кредитная организация, в которой клиент проходил процедуру первичной идентификации с личным присутствием;
• организация – структура, в которую обратился клиент и которая хочет получить услугу удаленной идентификации у банка для предоставления услуги клиенту.

В общих чертах процесс удаленной идентификации состоит из следующих этапов:

1) банк формирует пару значений для клиента, которая состоит из хеша токена и хеша сложенных между собой персональных данных клиента и токена, после чего помещает эту пару значений в смарт-контракт;

2) клиент обращается за услугой в организацию;

3) организация предоставляет клиенту интерфейс для ввода персональных данных и выбора структуры, в которой клиент хотел бы идентифицироваться (в нашем случае это банк);

4) переадресация клиента на интерфейс дистанционного банковского обслуживания (предполагается интернет-банк) для прохождения аутентификации (авторизации);

5) банк проводит аутентификацию по собственному механизму (двухфакторная, биометрия и т. д.);

6) при успешном прохождении клиентом аутентификации банк шифрует открытым ключом организации токен клиента;

7) отправка в организацию зашифрованного токена клиента через смарт-контракт для фиксации факта передачи токена;

8) формирование сообщения с зашифрованным токеном и передача его организации;

9) получение и расшифровка с помощью закрытого ключа токена;

10) формирование и отправка запроса с хешом токена и хешом сложенных между собой персональных данных, предоставленных клиентом через интерфейс организации, и токена;

11) сверка данных, размещенных банком в смарт-контракте, и данных, переданных организации;

12) в случае успешной сверки смарт-контракт фиксирует факт успешной сверки и отправляет ответ организации;

13) организация получает ответ об успешной идентификации клиента;

14) организация предоставляет услугу клиенту.

Принцип смарт-контрактов и монетизация сервиса

Данная система позволит кардинально изменить рынок дистрибуции услуг в цифровых каналах, открыть клиентам банков широкий доступ к продуктам и сервисам сторонних организаций – участников консорциума – без необходимости личного посещения их офисов для идентификации. Прототип решения создан на базе облачной платформы Azure Blockchain as a Service от Microsoft.

Консорциум позволяет обеспечить выполнение основных процессов, необходимых для проведения идентификации:

• «получить идентификационные сведения о клиенте» – получение персональных данных непосредственно от клиента;
• «подтвердить достоверность полученных сведений» – сравнение значений хеш-функций, хранящихся в блокчейне, с рассчитанными в моменте;
• «удостоверить (верифицировать) личность клиента» – аутентификация в банке, который проводил первичную идентификацию клиента.